Xuất hiện vào năm 1999, so với tấn công DoS cổ điển, sức mạnh của DDoS cao hơn gấp nhiều lần. Hầu hết các cuộc tấn công DDoS nhằm vào việc chiếm dụng băng thông gây nghẽn mạch hệ thống dẫn đến hệ thống ngƣng hoạt động.
Hình 2-3. Mô hình tấn công DdoS
Một cuộc tấn công DDoS gồm 3 giai đoạn chính:
Giai đoạn chuẩn bị :
Chuẩn bị công cụ quan trọng của cuộc tấn công, công cụ này thƣờng hoạt động theo mô hình client-server.
Giai đoạn xác định mục tiêu và thời điểm:
Sau khi đã xác định đƣợc mục tiêu cần tấn công, hacker sẽ có hoạt động điều chỉnh cuộc tấn công mạng chuyển hƣớng tấn công về phía mục tiêu.
Yếu tố thời điểm sẽ quyết định mức độ thiệt hại và tốc độ đáp ứng của mục tiêu đối với cuộc tấn công.
Giai đoạn phát động tấn công và xóa dấu vết:
Đúng thời điểm đã định, hacker phát động tấn công từ máy của mình, lệnh tấn công này có thể đi qua nhiều cấp mới đến host thực sự tấn công. Toàn bộ attack – network (có thể lên tới hàng ngàn máy), sẽ vắt cạn năng lực của server mục tiêu liên tục, ngăn chặn không cho nó hoạt động nhƣ đã đƣợc thiết kế.
Sau một khoảng thời gian tấn công thích hợp, hacker tiến hành xóa mọi dấu vết có thể truy ngƣợc đến mình, việc này đòi hỏi trình độ khá cao và không tuyệt đối cần thiết.
DDoS attack – network có hai mô hình chính là: Mô hình Agent – Handler và Mô hình IRC – Based.
Hình 2-4. Sơ đồ chính phân loại các kiểu tấn công DDoS. Mô hình Agent – Handler:
Theo mô hình này, attack – network gồm 3 thành phần: Client, Agent, và Handler. Client là phần mềm cơ sở để hacker điều khiển mọi hoạt động của attack – network. Handler là một thành phần software trung gian giữa Agent và Client.
Agent là thành phần software thực hiện sự tấn công mục tiêu, nhần điều khiển từ các Client thông qua các Handler.
Hình 2-5 : Kiến trúc attack – network kiểu Agent – Handler
Attacker sẽ từ Client giao tiếp với các Handler để xác định số lƣợng Agent đang online, điều chỉnh thời điểm tấn công và cập nhật các Agent. Tùy theo cách attacker cấu hình attack – network, các Agent sẽ chịu sự quản lý của một hay nhiều Handler.
Thông thƣờng attacker sẽ đặt Handler software trên một Router hay một server có lƣợng traffic lƣu thông nhiều. Việc này nhằm làm cho các giao tiếp giữa Client, Agent, và
DDoS attack-network
Agent -Handler IRC - Based
Client – Handler Communication Secret/private channel Public channel
TCP UDP ICMP TCP UDP ICMP
Client – Handler Communication
Attacker Attacker
Handler Handler Handler Handler
Agent Agent Agent Agent Agent
Handler khó bị phát hiện. Các giao tiếp này thƣờng xảy ra trên các giao thức TCP, UDP, hay ICMP. Chủ nhân thực sự của các Agent thông thƣờng không hề hay biết họ bị lợi dụng vào cuộc tấn công kiểu DDoS, do các chƣơng trình Backdoor Agent chỉ sử dụng rất ít tài nguyên của hệ thống làm cho hầu nhƣ không thấy ảnh hƣởng gì đến hiệu năng của hệ thống.
Mô hình IRC – Based:
Internet Relay Chat (IRC) là một hệ thống chat online nhiều tài khoản ngƣời dùng. IRC cho phép ngƣời dùng tạo một kênh kết nối đến đa điểm đến nhiều tài khoản khác nhau và chat thời gian thực. Kiến trúc của mạng IRC gồm nhiều máy chủ IRC trên khắp internet, giao tiếp với nhau trên nhiều kênh. Mạng IRC cho phép ngƣời dùng tạo 3 loại kênh: công cộng (public), riêng (private), và bí mật (secrect).
Public channel: cho phép user của channel đó thấy tên IRC và nhận đƣợc tin nhắn của mọi user khác trên cùng channel.
Private channel: đƣợc thiết kế để giao tiếp với các đối tƣợng cho phép. Không cho phép các user không cùng channel thấy tên IRC và tin nhắn trên channel.Tuy nhiên, nếu user ngoài channel dùng một số lệnh channel locator thì có thể biết đƣợc sự tồn tại của private channel đó.
Secrect channel: tƣơng tự nhƣ private channel nhƣng không thể xác định bằng channel locator.
Hình 2-6. Kiến trúc attack – network kiểu IRC – Based
IRC – Based network cũng tƣơng tự nhƣ Agent – Handler nhƣng mô hình này sử dụng các kênh giao tiếp IRC làm phƣơng tiện giao tiếp giữa Client và Agent.
Attacker Attacker
Agent Agent Agent Agent Agent
Victim IRC NETWORK