2.10.2.1 Trinoo
Trinoo là một công cụ tấn công từ chối dịch vụ bằng kĩ thuật UDP Flood đƣợc kết hợp từ nhiều nguồn.
Một cuộc tấn công DDoS bằng Trinoo đƣợc thực hiện bởi kết nối của attacker đến một hay nhiều Trinoo Master và chỉ dẫn cho Master phát động tấn công DDoS
45
đến một hoặc nhiều mục tiêu. Master sẽ liên lạc với các daemons để ra lệnh cho các daemons gửi các UDP packet đến mục tiêu.
Mô hình :
attacker(s)-->Master(s)-->daemon(s)-->victim(s) - Attacker ---> Master : port 27665/TCP - Master ---> Deamons : port 27444/UDP - Daemon ---> Master : port 31335/UDP
- Deamon ---> UDP Flood đến mục tiêu (random port) .
2.10.2.2 Tribe Flood Network (TFN/TFN2K)
Tƣơng tự nhƣ Trinoo nhƣng Tribe Flood Network còn cho phép attacker sử dụng thêm ICMP flood, SYN flood và Smurf .
Mô hình :
attacker(s)-->client(s)-->daemon(s)-->victim(s)
2.10.2.3 Stacheldraht
Stacheldraht là sự kết hợp các tính năng của Trinoo và TFN, bên cạnh đó còn thêm khả năng mã hóa giao tiếp giữa attacker và stacheldraht masters.
Stacheldraht cung cấp cho attacker khá nhiều phƣơng thức tấn công từ chối dịch vụ : ICMP flood, SYN flood, UDP flood và Smurf .
Mô hình :
client(s)-->handler(s)-->agent(s)-->victim(s) - Client ---> handler(s) : port 16660/tcp
- Handler <----> agent(s): port 65000/tcp, ICMP ECHO REPLY
2.10.2.4 Trinity
Trinity có hầu hết các kỹ thuật tấn công bao gồm: UDP, TCP SYN, TCP ACK, TCP fragment, TCP NULL, TCP RST, TCP random flag, TCP ESTABLISHED packet flood. Nó có sẵn khả năng ngẫu nhiên hóa địa chỉ bên gởi. Trinity cũng hỗ trợ TCP flood packet với khả năng ngẫu nhiên tập CONTROL FLAG. Trinity có thể nói là một trong số các công cụ DDoS nguy hiểm nhất.
46
2.10.2.5 Shaft
Shaft có các kĩ thuật tấn công UDP, ICMP và TCP flood. Có thể tấn công phối hợp nhiều kiểu cùng lúc. Có thống kê chi tiết cho phép attacker biết tình trạng tổn thất của nạn nhân, mức độ quy mô của cuộc tấn công để điều chỉnh số lƣợng Agent.
Mô hình :
client(s)-->handler(s)-->agent(s)-->victim(s) - Client ----> handler(s): port 20432/tcp - Handler ---> agent(s): port 18753/udp - Agent ---> handler(s): port 20433/udp
2.10.2.6 X-flash
Vấn đề then chốt của hacker tấn công bằng hình thái cổ điển là nắm quyền điều khiển càng nhiều máy tính càng tốt, sau đó anh ta sẽ trực tiếp phát động tấn công hàng loạt từ xa thông qua một kênh điều khiển. Với quy mô mạng lƣới tấn công bao gồm vài trăm nghìn máy, hình thái này có thể đánh gục ngay lập tức bất cứ hệ thống nào. Phối hợp với khả năng giả mạo địa chỉ IP, kiểu tấn công này sẽ rất khó lần theo dấu vết.
47
Tuy nhiên, mô h nh này có một số nhƣợc điểm:
Mạng lƣới tấn công là cố định và tấn công xảy ra đồng loạt nên rất dễ điều tra ngƣợc tìm manh mối.
Software cài lên các Infected Agent là giống nhau và có thể dùng làm bằng chứng kết tội hacker.
Phía nạn nhân có thể điều chỉnh hệ thống phòng vệ để ngăn chặn vì mạng lƣới tấn công là “khả kiến”.
Hacker buộc phải trực tiếp kết nối đến mạng lƣới các máy tấn công tại thời điểm tấn công để điều khiển nên rất dễ lần ra thủ phạm.
X-Flash xuất hiện sau khi DantruongX và nhóm BeYeu phát hiện ra những lỗ hổng bảo mật của IE và Flash Player. Nó chỉ bằng cách đơn giản là gửi yêu cầu tới web server dạng HTTP Request ( yêu cầu dạng POST hay GET) với một tốc độ cực kì nhanh kiến web services bị crash.
Cách tấn công : Hacker treo một file flash trên một trang web trung gian có
nhiều ngƣời truy xuất, ngƣời dùng truy xuất trang web này file flash sẽ đƣợc tải về máy và đƣợc chƣơng trình Flash thực thi. Từ đây vô số các yêu cầu truy xuất sẽ gởi đến trang web mục tiêu.
48
Flash DDOS có một số đặc tính khiến cho việc ngăn chặn và phát hiện gần
nhƣ là không thể. Do mạng lƣới tấn công phức tạp và tự hình thành :
Không cần thiết phải nắm quyền điều khiển và cài DDOS software vào các infected agent. Thay vào đó mọi user với một trình duyệt có hỗ trợ nội dung Flash (có Flash Player) sẽ trở thành công cụ tấn công.
Số lƣợng attack agent tùy thuộc vào số lƣợng user truy xuất các trang web đã bị hacker “nhúng” nội dung flash, số lƣợng này thay đổi theo thời gian và hoàn toàn không thể nhận biết địa chỉ IP nguồn, vì đây là các user thông thƣờng.
Không hề có quá trình gởi lệnh và nhận báo cáo giữa hacker và mạng lƣới tấn công, toàn bộ lệnh tấn công đƣợc “nhúng” trong nội dung flash và hacker không cần nhận báo cáo do đây là mô hình tấn công bất đồng bộ.
Tấn công bất đồng bộ: Việc tấn công diễn ra không cần có mệnh lệnh. Ngƣời dùng truy xuất trang web , load nội dung flash về trình duyệt và Flash player thực thi nội dung flash thì ngay lập tức máy của họ trở thành một attack agent-liên tục gởi hàng trăm request đến máy chủ web nạn nhân.
Quy mô tấn công phụ thuộc vào số lƣợng trang web bị lợi dụng và số lƣợng ngƣời dùng thƣờng xuyên truy xuất các trang web này. Chỉ tính trung bình hacker lợi dụng đƣợc 10 trang web và mỗi trang web này có số lƣợng truy xuất khoảng 100 user tại một thời điểm thì tổng số request mà server nạn nhân phải hứng chịu tại một thời điểm lên đến con số vài chục ngàn. Đây là một số liệu kinh hoàng với bất kỳ ai làm quản trị hệ thống của bất cứ trang web nào và kết quả thƣờng là hệ thống tê liệt ngay lập tức.
Tuy nhiên, hiện nay chƣơng trình Flash player mới nhất đã đƣợc fix lỗi, cách tấn công Flash đã phần nào đƣợc hạn chế.
Phòng chống giảm thiểu tấn công DDoS 2.11.1 Phòng chống giảm thiểu tấn công DDoS
Có rất nhiều giải pháp và ý tƣởng đƣợc đƣa ra nhằm đối phó với các cuộc tấn công kiểu DDoS. Tuy nhiên không có giải pháp và ý tƣởng nào là giải quyết trọn vẹn bài toán Phòng chống DDoS. Các hình thái khác nhau của DDoS liên tục xuất
49
hiện theo thời gian song song với các giải pháp đối phó, tuy nhiên cuộc đua vẫn tuân theo quy luật tất yếu của bảo mật máy tính: “Hacker luôn đi trƣớc giới bảo mật một bƣớc”.
Có ba giai đoạn chính trong quá tr nh Phòng chống DDoS:
- Giai đoạn ngăn ngừa: tối thiểu hóa lƣợng Agent, tìm và vô hiệu hóa các Handler.
- Giai đoạn đối đầu với cuộc tấn công: Phát hiện và ngăn chặn cuộc tấn công, làm suy giảm và dừng cuộc tấn công, chuyển hƣớng cuộc tấn công.
- Giai đoạn sau khi cuộc tấn công xảy ra: thu thập chứng cứ và rút kinh nghiệm.
Hình 2.8: Các giai đoạn chi tiết trong phòng chống DDoS 2.11.1.1 Tối thiểu hóa lƣợng Agent
Từ phía ngƣời dùng: một phƣơng pháp rất tốt để ngăn ngừa tấn công DDoS là
từng ngƣời dùng Internet sẽ tự đề phòng không để bị lợi dụng tấn công hệ thống khác. Muốn đạt đƣợc điều này thì ý thức và kỹ thuật phòng chống phải đƣợc phổ biến rộng rãi cho mọi ngƣời dùng. Mạng lƣới Botnet sẽ không bao giờ hình thành nếu không có ngƣời nào bị lợi dụng trở thành Agent. Mọi ngƣời dùng phải liên tục
50
thực hiện các quá trình bảo mật trên máy vi tính của mình. Họ phải tự kiểm tra sự hiện diện của Agent trên máy của mình, điều này là rất khó khăn đối với những ngƣời dùng thông thƣờng. Một giải pháp đơn giản là nên cài đặt và update liên tục các software nhƣ antivirus, antitrojan và các bản patch của hệ điều hành.
Từ phía Network Service Provider: Thay đổi cách tính tiền dịch vụ truy cập
theo dung lƣợng sẽ làm cho user lƣu ý đến những gì họ gửi, nhƣ vậy về mặt ý thức tăng cƣờng phát hiện DDoS Agent sẽ tự nâng cao ở mỗi ngƣời dùng.
2.11.1.2 T m và vô hiệu hóa các Handler
Một nhân tố vô cùng quan trọng trong mạng Botnet là Handler, nếu có thể phát hiện và vô hiệu hóa Handler thì khả năng Phòng chống DDoS thành công là rất cao. Bằng cách theo dõi các giao tiếp giữa Handler và Client hay Handler và Agent ta có thể phát hiện ra vị trí của Handler. Do một Handler quản lý nhiều, nên triệt tiêu đƣợc một Handler cũng có nghĩa là loại bỏ một lƣợng đáng kể các Agent trong mạng Botnet.
2.11.1.3 Phát hiện dấu hiệu của cuộc tấn công
Có nhiều kỹ thuật đƣợc áp dụng:
- Agress Filtering: Kỹ thuật này kiểm tra xem một packet có đủ tiêu chuẩn ra khỏi một subnet hay không dựa trên cơ sở gateway của một subnet luôn biết đƣợc địa chỉ IP của các máy thuộc subnet. Các packet từ bên trong subnet gửi ra ngoài với địa chỉ nguồn không hợp lệ sẽ bị giữ lại để điều tra nguyên nhân. Nếu kỹ thuật này đƣợc áp dụng trên tất cả các subnet của Internet thì khái nhiệm giả mạo địa chỉ IP sẽ không còn tồn tại.
- MIB statistics: trong Management Information Base của route luôn có thông
tin thống kể về sự biến thiên trạng thái của mạng. Nếu ta giám sát chặt chẽ các thống kê của Protocol ICMP, UDP và TCP ta sẽ có khả năng phát hiện đƣợc thời điểm bắt đầu của cuộc tấn công để tạo “quỹ thời gian vàng” cho việc xử lý tình huống.
2.11.1.4 Làm suy giảm hay dừng cuộc tấn công
51
- Load balancing: Thiết lập kiến trúc cân bằng tải cho các server trọng điểm sẽ làm gia tăng thời gian chống chọi của hệ thống với cuộc tấn công DDoS. Tuy nhiên, điều này không có ý nghĩa lắm về mặt thực tiễn vì quy mô của cuộc tấn công là không có giới hạn.
- Throttling: Thiết lập cơ chế điều tiết trên router, quy định một khoảng tải hợp lý mà server bên trong có thể xử lý đƣợc. Phƣơng pháp này cũng có thể đƣợc dùng để ngăn chặn khả năng DDoS traffic không cho user truy cập dịch vụ. Hạn chế của kỹ thuật này là không phân biệt đƣợc giữa các loại traffic, đôi khi làm dịch vụ bị gián đoạn với user, DDoS traffic vẫn có thể xâm nhập vào mạng dịch vụ nhƣng với số lƣợng hữu hạn.
- Drop request: Thiết lập cơ chế drop request nếu nó vi phạm một số quy định
nhƣ: thời gian delay kéo dài, tốn nhiều tài nguyên để xử lý, gây deadlock. Kỹ thuật này triệt tiêu khả năng làm cạn kiệt năng lực hệ thống, tuy nhiên nó cũng giới hạn một số hoạt động thông thƣờng của hệ thống, cần cân nhắc khi sử dụng.
2.11.1.5 Chuyển hƣớng cuộc tấn công
Honeyspots: Một kỹ thuật đang đƣợc nghiên cứu là Honeyspots. Honeyspots là
một hệ thống đƣợc thiết kế nhằm đánh lừa attacker tấn công vào khi xâm nhập hệ thống mà không chú ý đến hệ thống quan trọng thực sự.
Honeyspots rất hiệu quả trong việc phát hiện và xử lý xâm nhập, vì trên Honeyspots đã thiết lập sẵn các cơ chế giám sát và báo động.
Ngoài ra, Honeyspots còn có giá trị trong việc học hỏi và rút kinh nghiệm từ Attacker, do Honeyspots ghi nhận khá chi tiết mọi động thái của attacker trên hệ thống. Nếu attacker bị đánh lừa và cài đặt Agent hay Handler lên Honeyspots thì khả năng bị triệt tiêu toàn bộ mạng Botnet là rất cao.
2.11.1.6 Giai đoạn sau tấn công
Trong giai đoạn này thông thƣờng thực hiện các công việc sau:
-Traffic Pattern Analysis: Nếu dữ liệu về thống kê biến thiên lƣợng traffic theo thời gian đã đƣợc lƣu lại thì sẽ đƣợc đƣa ra phân tích. Quá trình phân tích này rất có ích cho việc tinh chỉnh lại các hệ thống Load Balancing và Throttling. Ngoài
52
ra các dữ liệu này còn giúp quản trị mạng điều chỉnh lại các quy tắc kiểm soát traffic ra vào mạng của mình.
- Packet Traceback: bằng cách dùng kỹ thuật Traceback ta có thể truy ngƣợc
lại vị trí của Attacker (ít nhất là subnet của attacker). Từ kỹ thuật Traceback ta phát triển thêm khả năng Block Traceback từ attacker khá hữu hiệu.
- Bevent Logs: Bằng cách phân tích file log sau cuộc tấn công, quản trị mạng
có thể tìm ra nhiều manh mối và chứng cứ quan trọng.
2.11.2 Những vấn đề có liên quan
DDoS là một kiểu tấn công rất đặc biệt, điểm cực kỳ hiểm ác của DDoS làm cho nó khó khắc phục là “DDoS đánh vào nhân tố yếu nhất của hệ thống thông tin – con ngƣời”. Từ đặc điểm này của DDoS làm phát sinh rất nhiều các vần đề mà mọi ngƣời trong cộng đồng Internet phải cùng chung sức mới có thể giải quyết.
Sau đây là các yếu điểm mà chúng ta cần phải hạn chế 2.11.2.1 Thiếu trách nhiệm với cộng đồng
Con ngƣời thông thƣờng chỉ quan tâm đầu tƣ tiền bạc và công sức cho hệ thống thông tin của “chính mình”. DDoS khai thác điểm này rất mạnh ở phƣơng thức giả mạo địa chỉ và Broadcast amplification.
- IP spoofing: một cách thức đơn giản nhƣng rất hiệu quả đƣợc tận dụng tối đa trong các cuộc tấn công DDoS. Thực ra chống giả mạo địa chỉ không có gì phức tạp, nhƣ đã đề cập ở phần trên, nếu tất cả các subnet trên Internet đều giám sát các packet ra khỏi mạng của mình về phƣơng diện địa chỉ nguồn hợp lệ thì không có một packet giả mạo địa chỉ nào có thể truyền trên Internet đƣợc.
Đề nghị “Tự giác thực hiện Egress Filtering ở mạng do mình quản lý”. Hi
vọng một ngày nào đó sẽ có quy định cụ thể về vấn đề này cho tất cả các ISP trên toàn cầu.
- Broadcast Amplification: tƣơng tự IP spoofing, nó lợi dụng toàn bộ một
subnet để flood nạn nhân. Vì vậy, việc giám sát và quản lý chặt chẽ khả năng broadcast của một subnet là rất cần thiết. Quản trị mạng phải cấu hình toàn bộ hệ thống không nhận và forward broadcast packet.
53
2.11.2.2 Sự im lặng
Hầu hết các tổ chức đều không có phản ứng hay im lặng khi hệ thống của mình bị lợi dụng tấn công hay bị tấn công. Điều này làm cho việc ngăn chặn và loại trừ các cuộc tấn công trở nên khó khăn. Mọi việc trở nên khó khăn khi mọi ngƣời không chia sẻ kinh nghiệm từ các cuộc tấn công, trong khi giới hacker thì chia sẻ mã nguồn mở của các công cụ, một cuộc chơi không cân sức .
Đề nghị
- Mỗi tổ chức có liên quan nên thiết lập quy trình xử lý xâm nhập vào tổ chức, nhóm chuyên trách với trách nhiệm và quy trình thật cụ thể. Các ISP nên thiết lập khả năng phản ứng nhanh và chuyên nghiệp để hỗ trợ các tổ chức trong việc thực hiện quy trình xử lý xâm nhập của mình.
- Khuyến khích các quản trị mạng gia nhập mạng lƣới thông tin toàn cầu của các tổ chức lớn về bảo mật nhằm thông tin kịp thời và chia sẻ kinh nghiệm với mọi ngƣời
- Tất cả các cuộc tấn công hay khuyết điểm của hệ thống đều phải đƣợc báo cáo đến bộ phận tƣơng ứng để xử lý.
2.11 Tầm nh n hạn hẹp
Nếu chỉ thực hiện các giải pháp trên thôi thì đƣa chúng ta ra khỏi tình trạng cực kỳ yếu kém về bảo mật. Các giải pháp này không thực sự làm giảm các rủi ro của hệ thống thông tin mà chỉ là các giải pháp tình thế. Có những vấn đề đòi hỏi một cái nhìn và thái độ đúng đắn của cộng đồng Internet. Cần phải có những nghiên cứu thêm về mặt quy định bắt buộc và pháp lý nhằm hỗ trợ chúng ta giải quyết các vấn đề mà kỹ thuật không thực hiện nổi. Một số vấn đề cần thực hiện thêm trong tƣơng lai:
- Giám sát chi tiết về luồng dữ liệu ở cấp ISP để cảnh cáo về cuộc tấn công. - Xúc tiến đƣa IPSec và Secure DNS vào sử dụng.
- Khẳng định tầm quan trọng của bảo mật trong quá trình nghiên cứu và phát