Phát hiện và phòng chống xâm nhập trái phép mạng máy tính

BỘ GIÁO DỤC VÀ ĐÀO TẠO TRƯỜNG ĐẠI HỌC BÁCH KHOA HÀ NỘI - NGUYỄN ĐÌNH TÌNH PHÁT HIỆN VÀ PHỊNG CHỐNG XÂM NHẬP TRÁI PHÉP MẠNG MÁY TÍNH LUẬN VĂN THẠC SĨ KỸ THUẬT KỸ THUẬT MÁY TÍNH Hà Nội – 2017 BỘ GIÁO DỤC VÀ ĐÀO TẠO TRƯỜNG ĐẠI HỌC BÁCH KHOA HÀ NỘI - NGUYỄN ĐÌNH TÌNH PHÁT HIỆN VÀ PHÒNG CHỐNG XÂM NHẬP TRÁI PHÉP MẠNG MÁY TÍNH Chuyên ngành: KỸ THUẬT MÁY TÍNH LUẬN VĂN THẠC SĨ KỸ THUẬT KỸ THUẬT MÁY TÍNH NGƯỜI HƯỚNG DẪN KHOA HỌC: PGS.TS NGUYỄN LINH GIANG Hà Nội – 2017 LỜI CAM ĐOAN Tôi xin cam đoan công trình nghiên cứu riêng tơi Các số liệu, kết nêu luận văn trung thực chưa cơng bố cơng trình khác Tác giả Nguyễn Đình Tình i DANH MỤC CÁC THUẬT NGỮ ACK Acknowledgement DNS Domain Name System DOS Denial of Service DDOS Distributed Denial of Service FTP File Transfer Protocol HTTP HyperText Transfer Protocol ICMP Internet Control Message Protocol IDS Intrusion Detection System IP Internet Protocol 10 IPS Intrusion Prevention System 11 NAT Network Address Translation 12 NTP Network Time Protocol 13 UDP User Datagram Protocol 14 RPC Remote Procedure Call 15 TCP Transmission Control Protocol ii MỤC LỤC LỜI CAM ĐOAN i DANH MỤC CÁC THUẬT NGỮ ii MỤC LỤC iii DANH MỤC CÁC BẢNG v DANH MỤC HÌNH VẼ VÀ SƠ ĐỒ vi MỞ ĐẦU CHƢƠNG I: TỔNG QUAN VỀ TẤN CÔNG TỪ CHỐI DỊCH VỤ PHÂN TÁN 1.1 Tấn công từ chối dịch vụ phân tán 1.2 Lịch sử công từ chối dịch vụ 1.3 Các giai đoạn công DDOS 1.3.1 Giai đoạn chuẩn bị .5 1.3.1.1 Kỹ thuật scanning 1.3.1.2 Cơ chế lây lan mã độc 1.3.2 Giai đoạn xác định mục tiêu thời điểm công 12 1.3.3 Giai đoạn phát động công 13 1.3.4 Giai đoạn xóa dấu vết 13 1.4 Mơ hình kiến trúc tổng quan DDOS attack-network 14 1.4.1 Mơ hình Agent-Handler 14 1.4.2 Mô hình dựa tảng IRC 16 CHƢƠNG II: PHÂN LOẠI CÁC DẠNG TẤN CÔNG DDOS 18 2.1 Dựa phương pháp công 18 2.2 Dựa mức độ tự động 19 2.3 Dựa giao thức mạng 19 2.4 Dựa phương thức giao tiếp 20 2.5 Dựa cường độ công 21 2.6 Dựa việc khai thác lỗ hổng an ninh 21 2.6.1 Tấn công gây cạn kiệt băng thông .21 2.6.2 Tấn công gây cạn kiệt tài nguyên 25 CHƢƠNG III: PHÁT HIỆN VÀ NGĂN CHẶN DDOS 30 3.1 Yêu cầu hệ thống phát ngăn chặn DDoS 30 3.2 Các biện pháp phát ngăn chặn DDOS .30 iii 3.2.1 Mơ hình đặt gần nạn nhân 30 3.2.2 Mô hình đặt gần nguồn cơng .31 3.2.3 Mơ hình đặt phần lõi internet 32 3.3 Một số nghiên cứu hệ thống ngăn chặn DDOS 33 3.3.1 Giao thức Active Internet Traffic Filtering (AITF) 33 3.3.2 Hệ thống D-WARD 35 CHƢƠNG IV: TRIỂN KHAI THÍ NGHIỆM PHƢƠNG PHÁP NGĂN CHẶN DDOS SỬ DỤNG SNORT-INLINE 39 4.1 Phần mềm phát ngăn chặn xâm nhập Snort-inline 39 4.1.1 Các chế hoạt động Snort 40 4.1.2 Kiến trúc Snort 41 4.1.3 Cấu trúc luật (rule) Snort 42 4.1.3.1 Cấu trúc rule Header 42 4.1.3.2 Cấu trúc rule option 43 4.2 Mơ hình triển khai 49 4.2.1 Mơ hình hệ thống chưa có IPS 49 4.2.2 Giải pháp tích hợp Snort-inline vào hệ thống 51 4.3 Bước triển khai 52 4.3.1 Bước .52 4.3.2 Bước .52 4.3.3 Bước 53 4.4 Triển khai hệ thống 53 4.4.1 Cài đặt hệ điều hành gói phụ thuộc 53 4.4.2 Cài đặt gói cần thiết cho snort .54 4.4.3 Cài đặt Snort 55 4.4.4 Cài đặt Barnyard 56 4.5 Kết thí nghiệm 57 4.5.1 Kết bước 57 4.5.2 Kết bước 59 4.5.3 Kết bước 63 KẾT LUẬN 66 TÀI LIỆU THAM KHẢO iv DANH MỤC CÁC BẢNG Bảng 1: Cấu trúc rule Snort .42 Bảng 2: Cấu trúc rule header 42 v DANH MỤC HÌNH VẼ VÀ SƠ ĐỒ Hình 1: Mơ hình lan truyền mã độc qua nguồn trung tâm 10 Hình 2: Mơ hình lan truyền mã độc theo kiểu chuỗi kết nối ngược .11 Hình 3: Mơ hình lan truyền mã độc theo kiểu tự điều khiển 12 Hình 4: Mơ hình DDOS attack-network .14 Hình 5: Mơ hình network attack kiểu Agent-Handler 15 Hình 6: Mơ hình network attack kiểu IRC-Base 17 Hình 1: Mơ hình mạng botnet .23 Hình 2.2: Mơ hình công thông qua data center 24 Hình 3: Mơ hình cơng khuếch đại 25 Hình 2.4: Mơ hình giao thức TCP SYN 26 Hình 2.5: Mơ hình TCP SYN attack 27 Hình 1: Mơ hình đặt gần nạn nhân 31 Hình 2: Mơ hình đặt gần Attacker .32 Hình 3: Mơ hình đặt lõi internet 32 Hình 4: Mơ hình giao thức AITF 33 Hình 5: Hoạt động AITF 34 Hình 6: Mơ hình triển khai D-WARD 36 Hình 3.7: Mơ tả dịng kết nối .37 Hình 4.1: Netfilter Snort-inline 40 Hình 4.2: Sơ đồ luồng liệu qua Snort 41 Hình 4.3: Mơ hình mạng chưa có IPS 50 Hình 4.4: Sơ đồ luồng liệu chưa có IPS .50 Hình 4.5: Mơ hình hệ thống tích hợp Snort-inline 51 Hình 4.6: Sơ đồ luồng liệu tích hợp Snort-inline Iptables 51 Hình 4.7: Tài nguyên hệ thống chưa bị công 58 Hình 4.8: Truy cập vào web server 59 Hình 4.9: Sử dụng Slow POST HTTP request attack 60 Hình 4.10: Tài nguyên hệ thống bị công DDOS khoảng phút 60 Hình 4.11: Log apache bắt đầu cơng phút 61 Hình 4.12: Log hệ thống bị công DDOS khoảng phút 61 Hình 4.13: Log hệ thông sau công khoảng phút 61 vi Hình 4.14: Log cảnh báo nhận hệ thống bị công DDOS 62 Hình 4.15: Access log apache sever công xảy 62 Hình 4.16: Truy cập vào web server bị cơng DDOS .62 Hình 4.17: Sử dụng Slow POST HTTP request attack 63 Hình 4.18: Log hệ thống chặn công DDOS .64 Hình 4.19: Tài nguyên hệ thống sau phút DDOS bị ngăn chặn .64 Hình 4.20: Truy cập vào web server DDOS attacks bị ngăn chặn 65 vii MỞ ĐẦU An ninh thơng tin nói chung an ninh mạng nói riêng vấn đề quan tâm không Việt Nam mà toàn giới Với tốc độ phát triển nhanh chóng khơng ngừng, internet trở thành khơng gian xã hội mới, nơi người thực hành vi mang chất xã hội mình, giao tiếp, lao động, sáng tạo, học tập, sản xuất, tiêu dùng vui chơi giải trí Đặc biệt xuất phát triển nhanh chóng kết nối khơng dây, kết nối mạng 3G, 4G, mạng xã hội, thiết bị di động thơng minh dịch vụ điện tốn đám mây, người tương tác đa chiều hơn, phản ánh sinh động hơn, tức thời mặt đời sống mối quan hệ xã hội lên internet Cùng với lợi ích to lớn, đe dọa từ khơng gian mạng trở thành mối quan tâm hàng đầu nhiều quốc gia Sự phát triển công nghệ thông tin, mức độ tinh vi, khó lường tổ chức cá nhân tham gia vào hoạt động bất hợp pháp không gian mạng, chuyên chống phá nhằm kiểm sốt thơng tin, đánh cắp liệu, gián đoạn hoạt động tổ chức, doanh nghiệp ngày tăng Trong năm gần có nhiều vụ công DDOS (tấn công từ chối dịch vụ phân tán) lớn, nhắm vào hệ thống tổ chức phủ, quân đội, an ninh hay tổ hợp công nghiệp, thương mại điện tử lớn toàn giới gây thiệt hại to lớn an ninh quốc phịng, kinh tế, trị làm ổn định xã hội Từ đó, việc đảm bảo an ninh cho hệ thống thông tin trở nên cấp thiết hết Các quốc gia, tổ chức, doanh nghiệp cần phải có chuẩn bị tốt để ứng phó với vụ cơng bất ngờ có biện pháp khắc phục kịp thời để hạn chế tối đa thiệt hại mà DDoS gây Việc hiểu rõ dạng công DDOS biện pháp ngăn chặn cần thiết Với mong muốn tìm hiểu thử nghiệm phịng chống số trường hợp công DDOS nhằm giảm tác hại gây với số hệ thống phổ biến Việt Nam, tác giả chọn đề tài luận văn “ Phát phòng chống xâm nhập trái phép mạng máy tính” Mục tiêu nghiên cứu giới hạn luận văn:  Nhận xét 4.3.3 Bước Kiểm tra server cài đặt hệ thống phát hiện, ngăn chặn DDoS hệ thống chạy mode inline (ngăn chặn) thời gian bị công DDoS:  Kiểm tra tài nguyên hệ thống  Truy cập vào server  Đưa nhận xét 4.4 Triển khai hệ thống 4.4.1 Cài đặt hệ điều hành gói phụ thuộc  Cài đặt hệ điều hành Ubuntu 12.0.4 X86-64  Cài đặt gói phụ thuộc: # apt-get -y install apache2 # apt-get -y install apache2-doc # apt-get -y install libapache2-mod-php5 # apt-get -y install bison # apt-get -y install flex # apt-get -y install g++ # apt-get -y install gcc # apt-get -y install gcc-4.4 # apt-get -y install libcrypt-ssleay-perl # apt-get -y install libmysqlclient-dev # apt-get -y install libnet1 # apt-get -y install libnet1-dev # apt-get -y install libpcre3 # apt-get -y install libpcre3-dev # apt-get -y install libphp-adodb # apt-get -y install libssl-dev # apt-get -y install libtool # apt-get -y install libwww-perl 53 # apt-get -y install make # apt-get -y install mysql-client # apt-get -y install mysql-common # apt-get -y install mysql-server # apt-get -y install php5-cli # apt-get -y install php5-gd # apt-get -y install php5-mysql # apt-get -y install php-pear 4.4.2 Cài đặt gói cần thiết cho snort  Cài đặt gói libpcap: # cd /usr/src # wget http://www.tcpdump.org/release/libpcap-1.6.4.tar.gz # tar -zxf libpcap-1.6.4.tar.gz # cd libpcap-1.6.4 # /configure prefix=/usr && make && make install  Cài đặt gói libdnet: # cd /usr/src # wget http://libdnet.googlecode.com/files/libdnet-1.12.tgz # tar -zxf libdnet-1.12.tgz # cd libdnet-1.12 # /configure prefix=/usr enable-shared && make && make install  Cài đặt gói daq: # cd /usr/src # wget https://www.snort.org/downloads/snort/daq-2.0.4.tar.gz # tar -zxf daq-2.0.4.tar.gz # cd daq-2.0.4 # /configure && make && make install  Cập nhật đường dẫn cho thư mục chia sẻ: # echo >> /etc/ld.so.conf /usr/lib 54 # echo >> /etc/ld.so.conf /usr/local/lib && ldconfig 4.4.3 Cài đặt Snort  Cài đặt Snort: # cd /usr/src # wget https://www.snort.org/downloads/snort/snort-2.9.8.0.tar.gz # tar -zxf snort-2.9.7.0.tar.gz && cd snort-2.9.8.0 # /configure enable-sourcefire && make && make install  Tạo thư mục cho Snort: # mkdir /usr/local/etc/snort # mkdir /usr/local/etc/snort/rules # mkdir /var/log/snort # touch /usr/local/etc/snort/rules/local.rules # touch /usr/local/etc/snort/rules/snort.rules # touch /usr/local/etc/snort/sid-msg.map  Tạo user phân quyền: # groupadd snort && useradd -g snort snort # chown snort:snort /var/log/snort  Copy file cấu hình Snort: # cp /usr/src/snort-2.9.7.0/etc/*.conf* /usr/local/etc/snort # cp /usr/src/snort-2.9.7.0/etc/*.map /usr/local/etc/snort  Cấu hình Snort (Chỉnh sửa file snort.conf): #vim /usr/local/etc/snort/snort.conf - Line #45 - ipvar HOME_NET 27.118.23.30/28 - Line #48 - ipvar EXTERNAL_NET !$HOME_NET - Line #104 - var RULE_PATH rules - Line #293 – Thêm vào sau “decompress_depth 65535” max_gzip_mem 104857600 - Line #521 – Thêm dòng - output unified2: filename snort.log, limit 128 - Line #265 55 preprocessor normalize_ip4 preprocessor normalize_tcp: ips ecn stream preprocessor normalize_icmp4 preprocessor normalize_ip6 preprocessor normalize_icmp6 - Line #188 - Cuối step #2 file snort.cong thêm: config policy_mode: inline  Cấu hình daq: - Line #159 in snort.cong config daq: afpacket config daq_dir: /usr/local/lib/daq config daq_mode: inline config daq_var: buffer_size_mb=512  Lưu vào file snort.conf 4.4.4 Cài đặt Barnyard Barnyard2 trình thơng dịch mã nguồn mở cho tập tin đầu nhị phân Snort unified2 Nhiệm vụ cho phép Snort phân tích liệu nhị phân thành định dạng khác ghi vào đĩa cách hiệu Q trình hồn tồn độc lập để khơng ảnh hưởng đến trình giám sát lưu lượng Snort  Cài đặt Barnyard2: # cd /usr/src # wget https://github.com/binf/barnyard2/tree/bug-fix-release # unzip bug-fix-release.zip # cd barnyard2-bug-fix-release # autoreconf -fvi -I /m4 && /configure with-mysql with-mysqllibraries=/usr/lib/x86_64-linux-gnu # make && make install  Configure Barnyard2: 56 #cp /usr/src/barnyard2-bug-fix-release/etc/barnyard2.conf /usr/local/etc/snort # mkdir /var/log/barnyard2 # chown snort:snort /var/log/barnyard2 # nano /usr/local/etc/snort/barnyard2.conf - Line #27 đổi thành /usr/local/etc/snort/reference.config - Line #28 đổi thành /usr/local/etc/snort/classification.config - Line #29 đổi thành /usr/local/etc/snort/gen-msg.map - Line #30 đổi thành /usr/local/etc/snort/sid-msg.map - Line #227 đổi thành output alert_fast - Cuối file: output database: log, mysql, user=snort password= dbname=snort host=localhost  Thiết lập Database: Login to MySQL: # mysql –uroot –p mysql> create database snort; mysql> grant CREATE, INSERT, SELECT, DELETE, UPDATE on snort.* to snort@localhost; mysql> snort@localhost=PASSWORD(''); //thiết lập password cho snort database user; mysql> use snort; mysql>source/usr/src/barnyard2-bug-fixrelease/schemas/create_mysql; mysql> show tables; mysql> exit; 4.5 Kết thí nghiệm 4.5.1 Kết bước  Tài nguyên hệ thống: 57 Hình 4.7: Tài nguyên hệ thống chưa bị công  Truy cập vào server: 58 Hình 4.8: Truy cập vào web server Từ kết trên, ta thấy khơng bị cơng DDOS thơng số tải hệ thống thấp , %CPU đợi xử lý 0% , lượng RAM free khoảng 67 MB truy cập vào web server bình thường 4.5.2 Kết bước  Thêm rule vào file /usr/local/etc/snort/rules/local.rules: alert tcp any any -> 192.168.73.128/24 80 (msg: “DDOS attack”; content: "POST"; nocase; flow: established,to_server; threshold:type threshold, track by_src, count 60, seconds 1; sid:1000852; rev:1; )  Sử dụng công cụ Switch Blade 4.0 để công máy chủ web gói Slow POST HTTP request: 59 Hình 4.9: Sử dụng Slow POST HTTP request attack  Bắt đầu thực cấu hình cơng: Hình 4.10: Tài ngun hệ thống bị công DDOS khoảng phút 60 Hình 4.11: Log apache bắt đầu cơng phút  Log cảnh báo bắt đầu xuất (mã lỗi 408 http): Hình 4.12: Log hệ thống bị cơng DDOS khoảng phút Hình 4.13: Log hệ thông sau công khoảng phút 61  Log cảnh báo: Hình 4.14: Log cảnh báo nhận hệ thống bị công DDOS  Log access Apache server: Hình 4.15: Access log apache sever công xảy  Truy cập vào web server: Hình 4.16: Truy cập vào web server bị công DDOS 62  Nhận xét: - Khi công DDOS xảy ra, tải hệ thống tăng liên tục, %CPU dành cho tiến trình chờ xử lý tăng lên đến 94,4% lượng RAM free giảm dần, sau công phút cịn khoảng 50 MB Hệ thống khơng thể tiếp tục xử lý bị treo - Liên tục nhận cảnh báo xảy công DDOS - Access log apache server gồm nhiều gói tin POST (gói tin cơng) - Khơng thể truy cập vào web server sau phút bị công DDOS 4.5.3 Kết bước  Thêm rule vào file /usr/local/etc/snort/rules/local.rules: drop tcp any any -> 192.168.73.128/24 80 (msg: “phat hien va DROP DDOS attack”; content: "POST"; nocase; flow: established,to_server; threshold:type threshold, track by_src, count 60, seconds 1; sid:1000852; rev:1; ) Chạy lệnh: snort –Q để kích hoạt mode inline snort  Sử dụng công cụ Switch Blade 4.0 để cơng máy chủ web gói Slow POST HTTP request: Hình 4.17: Sử dụng Slow POST HTTP request attack 63  Log hệ thống nhận được: Hình 4.18: Log hệ thống chặn công DDOS  Tài nguyên hệ thống sau phút: Hình 4.19: Tài nguyên hệ thống sau phút DDOS bị ngăn chặn 64  Truy cập vào web server: Hình 4.20: Truy cập vào web server DDOS attacks bị ngăn chặn  Nhận xét: - Khi kích hoạt hệ thống ngăn chặn DDOS, bị công DDOS tải hệ thống, %CPU dành cho tiến trình chờ xử lý tăng nhẹ (không đáng kể) lượng RAM free khoảng gần 63 MB - Khi phát bị công DDOS, hệ thống phát ngăn chặn DDOS drop gói tin công đưa log cho hệ thống - Access log apache server có gói tin GET mà khơng có gói tin POST - Truy cập vào web server bình thường 65 KẾT LUẬN Những kết đạt đƣợc  Tìm hiểu cơng từ chối dịch vụ phân tán (DDOS), đưa mô hình kiến trúc điển hình cơng DDOS  Các phương pháp xây dựng mạng công từ chối dịch vụ phân tán  Phân tích loại kỹ thuật cơng DDOS điển hình  Tìm hiểu số phương pháp ngăn chặn DDOS  Triển khai thành cơng thí nghiệm hệ thống ngăn chặn DDOS dựa hệ thống phát ngăn chặn xâm nhập Snort-inline Việc phát ngăn chặn cơng từ chối dịch vụ phân tán hồn tồn điều khó khăn Các quốc gia, tổ chức, doanh nghiệp cần phải có chuẩn bị tốt để ứng phó với vụ cơng bất ngờ có biện pháp khắc phục kịp thời để hạn chế tối đa thiệt hại mà DDoS gây Hy vọng luận văn giúp làm rõ chất, cách thức công kỹ thuật để phòng chống lại kiểu cơng DDoS Kết luận văn sử dụng làm sở tham khảo việc xây dựng hệ thống có khả chống lại cộng cơng từ chối dịch vụ phân tán, áp dụng vào thực tiễn Hƣớng phát triển Sau tháng làm luận văn, đạt thành công bước đầu việc xây dựng hệ thống phát ngăn chặn DDOS Tuy nhiên thành cơng cịn hạn chế Cần phát triển phương pháp ngăn chặn phù hợp với đa dạng phương pháp công Tác giả luận văn xin kiến nghị số hướng phát triển luận văn:  Triển khai network load-balancing cho hệ thống mạng để tăng khả chịu tải cho hệ thống  Triển khai hệ thống HONEYNET để phát sớm chuyển hướng công 66 TÀI LIỆU THAM KHẢO [1] A Cisco Guide to Defending Against Distributed Denial of Service Attacks – http://www.cisco.com/c/en/us/about/security-center/guide-ddosdefense.html [2] David Dittrich dittrich@cac.washington.edu University of Washington Copyright 1999 All rights reserved October 21, 1999 - The DoS Project's "trinoo" distributed denial of service attack tool [3] DNS Amplification - https://www.incapsula.com/ddos/attackglossary/dns- amplification.html [4] Hellinton H - Instituto Tecnológico de Aeronáutica S J dos Campos – Brazil, Takada and Ulrich Hofmann - Univ of Applied Sciences & Salzburg Research Salzburg – Austria - Application and Analyses of Cumulative Sum to Detect Highly Distributed Denial of Service Attacks using Different Attack Traffic Patterns [5].http://www.cisco.com/web/about/ac123/ac147/archived_issues/ipj_74/do s_attacks.html [6].http://www.linuxhomenetworking.com/wiki/index.php/Quick_HOWTO_ :_Ch14_:_Linux_Firewalls_Using_iptables#.VthdZ-a6KM8 [7] http://manual.snort.org/ [8] Network Time Protocol – https://en.wikipedia.org/wiki/Network_Time_Protocol [9] www.linux.com/ [10] Secure your network, protect your critical infrastructure - https://www.corero.com [11] http://openmaniak.com/inline.php [12] Vladimir Koychev (2015), Build IPS Virtual Appliance Based on Vmware ESXi, Snort and Debian Linux [13] Hypertext Transfer Protocol HTTP/1.1 - Copyright (C) The Internet Society (1999) ...BỘ GIÁO DỤC VÀ ĐÀO TẠO TRƯỜNG ĐẠI HỌC BÁCH KHOA HÀ NỘI - NGUYỄN ĐÌNH TÌNH PHÁT HIỆN VÀ PHỊNG CHỐNG XÂM NHẬP TRÁI PHÉP MẠNG MÁY TÍNH Chuyên ngành: KỸ THUẬT MÁY TÍNH LUẬN VĂN... Do tính đa dạng dạng xâm nhập trái phép mạng máy tính, phương pháp phát phòng chống vướng mắc thời gian để nghiên cứu, thử nghiệm mơ hình, giải pháp mà luận văn đề cập đến sử dụng mơ hình gồm máy. .. thử nghiệm phịng chống số trường hợp công DDOS nhằm giảm tác hại gây với số hệ thống phổ biến Việt Nam, tác giả chọn đề tài luận văn “ Phát phòng chống xâm nhập trái phép mạng máy tính? ?? Mục tiêu