Nghiên cứu các giải pháp giám sát lưu lượng mạng internet phục vụ công tác an ninh, an toàn thông tin

1.1.2.Các yếu tố cần được bảo vệ trong hệ thống mạng Yếu tố đầu tiên phải nói đến là dữ liệu, những thông tin lưu trữ trên hệ thống máy tính cần được bảo vệ do các yêu cầu về tính bảo m

1

MỤC LỤC

LỜI CAMĐOAN 4

LỜI CẢM ƠN 5

DANH MỤC VIẾT TẮT 6

DANH MỤC HÌNH VẼ 12

CHƯƠNG 1: TỔNG QUAN VỀ AN NINH MẠNG 12

1.1.Giới thiệu về An Ninh Mạng 12

1.1.1.An Ninh mạng là gì 12

1.1.2.Các yếu tố cần được bảo vệ trong hệ thống mạng 12

1.1.3.Các yếu tố đảm bảo an toàn thông tin 13

1.2 Các lỗ hổng bảo mật 15

1.2.1.Lỗ hổng loại C 15

1.2.2.Lỗ hổng loại B 15

1.2.3.Lỗ hổng loại A 15

1.3.Các kiểu tấn công của hacker 16

1.3.1.Tấn công trực tiếp 16

1.3.2.Kỹ thuật đánh lừa : Social Engineering 16

1.3.3.Kỹ thuật tấn công vào vùng ẩn 16

1.3.4.Tấn công vào các lỗ hổng bảo mật 17

1.3.5.Khai thác tình trạng tràn bộ đệm 17

1.3.6.Nghe trộm 17

1.3.7.Kỹ thuật giả mạo địa chỉ 17

1.3.8.Kỹ thuật chèn mã lệnh 18

1.3.9.Tấn công vào hệ thống có cấu hình không an toàn 18

1.3.10.Tấn công dùng Cookies 18

1.3.11.Can thiệp vào tham số trên URL 19

1.3.12.Vô hiệu hóa dịch vụ 19

1.3.13.Một số kiểu tấn công khác 19

1.4.Các biện pháp bảo mật mạng 20

2

1.4.1.Mã hoá, nhận dạng, chứng thực người dùng và phần quyền sử dụng 20

1.4.2.Bảo mật máy trạm 25

1.4.3.Bảo mật truyền thông 26

1.4.4.Các công nghệ và kỹ thuật bảo mật 27

1.5.Những cách phát hiện hệ thống bị tấn công 29

1.6.Kết luận chương 1: 30

CHƯƠNG 2: CÁC TỪ CHỐI DỊCH VỤ DoS VÀ DDoS 31

2.1 KHÁI NIỆM DoS VÀ DDoS 31

2.1.1 Tấn công từ chối dịch vụ (DoS) 31

2.1.2 Tấn công từ chối dịch vụ phân tán(DDoS) 31

2.1.3 Dấu hiệu khi bị tấn công DoS 31

2.1.4 Các mục đích của tấn công DoS 31

2.1.5 Tội phạm mạng 32

2.1.6 Sơ đồ tổ chức của tổ chức tội phạm mạng 32

2.1.7 Internet Chat Query 32

2.1.8 Internet Relay Chat 33

2.2 CÁC KỸ THUẬT TẤN CÔNG DoS 33

2.2.1 Tấn công băng thông 33

2.2.2 Tấn công tràn ngập yêu cầu dịch vụ 34

2.2.3 Tấn công tràn ngập SYN 34

2.2.4 Tấn công tràn ngập ICMP 35

2.2.5 Tấn công điểm nối điểm 36

2.2.6 Tấn công cố định DoS 36

2.2.7 Tấn công tràn ngập ở cấp độ dịch vụ 36

2.3 MẠNG BOTNET 37

2.3.1 Khái niệm botnet 37

2.3.2 Hoạt động 37

2.3.3 Tổ chức 38

2.3.4 Xây dựng và khai thác 38

3

2.4 MỘT SỐ CÔNG CỤ TẤN CÔNG 39

2.4.1 LOIC 39

2.4.2 DoS HTTP 40

2.5 BIỆN PHÁP ĐỐI PHÓ 41

2.5.1 Kỹ thuật phát hiện 41

2.5.2 Biện pháp đối phó chiến lược DoS/ DDoS 42

2.5.3 Biện pháp đối phó tấn công DoS/ DDoS 42

2.5.4 Kỹ thuật để phòng thủ chống lại botnet 44

2.5.5 Một số Biện pháp đối phó DoS/ DDoS 45

2.5.6 Bảo vệ DoS/ DDoS 51

2.6 CÁC CÔNG CỤ BẢO VỆ DoS/ DDoS 51

2.6.1 NetFlow Analyzer 51

2.6.2 Một số công cụ khác 52

2.7 KIỂM TRA THÂM NHẬP DoS/ DDoS 54

2.8 KẾT LUẬN CHƯƠNG 2 55

CHƯƠNG 3: DEMO TẤN CÔNG VÀ PHÕNG THÙ DDOS 56

3.1 Kịch bản DeMo tấn công DDoS 56

3.2 Hướng dẫn tạo cuộc tấn công DDoS: 60

3.2.1 Cài đặt Clone máy trạm 60

3.2.2 Khởi động máy chủ Webserver và thiết lập cấu hình 61

3.2.3 Khởi động máy chủ Botnet 65

3.2.4 Khởi động máy chủ C&C Server và thực hiện tấn công 71

3.3 Phần Phòng thủ 76

KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN 85

TÀI LIỆU THAM KHẢO 87

4

LỜI CAMĐOAN

Tôi xin cam đoan đây là công trình nghiên cứu do tôi thực hiện Các số liệu

và kết quả trình bày trong luận án là trung thực, chƣa đƣợc công bố bởi bất kỳ tác giả nào hay ở bất kỳ công trình nàokhác

Tácgiả

PHIMMAVONG Malasith

5

LỜI CẢM ƠN Tôi xin gửi lời cảm ơn trân trọng nhất tới Tiến Sĩ Nguyễn Tài Hưng, người

đã cho tôi những định hướng và những ý kiến rất quý báu để tôi hoàn thành được

khóa luận tốt nghiệp này

Tôi xin tỏ lòng biết ơn sâu sắc tới các thầy cô, bạn bè đã dìu dắt, giúp đỡ tôi tiến bộ trong suốt quá trình làm khóa luận tốt nghiệp Xin cảm ơn gia đình và bè bạn, những người luôn khuyến khích và giúp đỡ tôi trong mọi hoàn cảnh khó khăn

Tôi xin cảm ơn Viện Điện tử viễn thông, Viện Đào tạo Sau đại học – Trường Đại học Bách khoa Hà Nội đã hết sức tạo điều kiện cho tôi trong quá trình học, làm

và hoàn thành khóa luận này

Hà Nội, ngày … tháng …năm 2016

Tác giả

PHIMMAVONG Malasith

6

DANH MỤC VIẾT TẮT

DDoS Distribute Denial ofService

HTTP Hyper Text TransferProtocol

ICMP Internet control messageprotocol

SQL Structured Query Language - ngôn ngữ truy vấn mang tính cấutrúc

7

DANH MỤC HÌNH VẼ VÀ ĐỒ THỊ

H ÌNH 1.1: QUÁ TRÌNH ĐÁNH GIÁ NGUY CƠ CỦA HỆ THỐNG 16

H ÌNH 1.2: QUÁ TRÌNH MÃ HOÁ 22

H ÌNH 1.3: MÔ HÌNH GIẢI THUẬT BĂM 23

H ÌNH 1.4 : GIẢI THUẬT MÃ HOÁ ĐỒNG BỘ/ĐỐI XỨNG 24

H ÌNH 1.5 : GIẢI THUẬT MÃ HÓA KHÔNG ĐỒNG BỘ/KHÔNG ĐỐI XỨNG 25

H ÌNH 1.6 : CHỨNG THỰC BẰNG USER VÀ PASSWORD 26

H ÌNH 1.7: HOẠT ĐỘNG CỦA CHAP 26

H ÌNH 1.8 : MÃ HÓA KERBEROS 27

H ÌNH 1.9: BẢO MẬT FTP 28

H ÌNH 1.10: MÔ HÌNH TỔNG QUÁT FIREWALL 29

H ÌNH 1.11: BẢO MẬT BẰNG VPN 30

H ÌNH 1.12: HỆ THỐNG CHỐNG XÂM NHẬP IDS 30

H ÌNH 2.1 SƠ ĐỒ TỔ CHỨC TỘI PHẠM MẠNG 34

H ÌNH 2.2. TẤN CÔNG TRÀN NGẬP SYN 37

H ÌNH 2.3 TẤN CÔNG TRÀN NGẬP ICMP 37

H ÌNH 2.4 HOẠT ĐỘNG BOTNET 40

H ÌNH 2.5CÁCH THỨC MỘT BOTNET ĐƢỢC TẠO VÀ GỬI SPAM 41

H ÌNH 2.6CÔNG CỤ LOIC 42

H ÌNH 2.7 DÙNG LOIC TẤN CÔNG DDOS 42

H ÌNH 2.8 CÔNG CỤ DOSHTTP 43

H ÌNH 2.9 : QUY TRÌNH TRIỂN KHAI GIÁM SÁT ATTT 52

H ÌNH 2.10: CẤU HÌNH KÍCH HOẠT NGẮT TCP TRÊN PHẦN MỀM IOS CISCO 53

H ÌNH 2.11: CÔNG CỤ NETFLOW ANALYZER 54

H ÌNH 2.12: CÔNG CỤ D-GUARD ANTI-DDOS FIREWALL 55

H NH 3.1: MÔ HÌNH DEMO TẤN CÔNG DDOS 59

H NH 3.2: CÀI ĐẶT CLONE MÁY TRẠM 60

H NH 3.3:ĐẶT TÊN CHO CÁC MÁY TRẠM 62

H NH 3.4:CẤU HÌNH MÁY CHỦ WEBSERVER 63

8

H NH 3.5:THIẾT LẬP CÁC CẤU HÌNH CHO WEBSERVER 65

H NH 3.6:CÀI ĐẶT ĐỊA CHỈ IP CHO MÁY CHỦ 65

H NH 3.7:THIẾT LẬP THÔNG SỐ CHO XAMPP 66

H NH 3.8:GIAO DIỆN KHI CHẠY APACHE 66

H NH 3.9:KIỂM TRA DỊCH VỤ WEBSERVER 67

H NH 3.10:GIAO DIỆN BOTNET01 67

H NH 3.11:ĐẠT IP CHO BOTNET01 68

H NH 3.12:GIAO DIỆN THIẾT LẬP FILE BOTNET.BAT 68

H NH 3.13:CÁCH TẠO FILE BOTNET.BAT 69

H NH 3.14:GIAO DIỆN SAU KHI TẠO FILE BOTNET.BAT 69

H NH 3.15:GIAO DIỆN SAU KHI TẠO FILE INVISIBLE.VBS 70

H NH 3.16:GIAO DIỆN SAU KHI TẠO FILE BOTNETSTARTUP.BAT 71

H NH 3.17:TẠO SHORTCUT CHO FILE BOTNETSTARTUP.BAT 72

H NH 3.18:ĐƯỜNG DẪN CHO FILE BOTNETSTARTUP.BAT 72

H NH 3.19:KIỂM TRA CẤU HÌNH FILE HYENAED.EXE TRONG CMD.EXE 73

H NH 3.20:ĐỊA CHỈ MAC CỦA C&C SERVER 73

H NH 3.21: GIAO DIỆN MÁY C&C 74

H NH 3.22: GIAO DIỆN C&C KHI ĐẶT LỆNH TẤN CÔNG 75

H NH 3.23: TRƯỚC KHI TẤN CÔNG DDDOS XẢY RA 75

H NH 3.24: WIRESHARK BẮT GÓI TIN TRONG KHI TẤN CÔNG DDOS XẢY RA 76

H NH 3.25: DU METER BẮT LƯỢNG TIN KHI DDOS XẢY RA 76

H NH 3.26: TRANG WEB BỊ MẤT KẾT NỐI 77

H NH 3.27: DU METER BẮT ĐƯỢC LƯỢNG TIN KHI DDOS 77

H NH 3.28:WIRESHARK BẮT ĐƯỢC 10 GÓI SYN 78

H NH 3.29:WEB ĐÃ BỊ SẬP SAU KHI DDOS 78

H NH 3.30: CẤU HÌNH FIREWALL ASA 79

H NH 3.31: MÔ HÌNH PHÒNG THỦ 80

H NH 3.32:THIẾT LẬP KẾT NỐI CHO MÔ HÌNH PHÒNG THỦ 80

H NH 3.33:THIẾT LẬP CHO ASA 81

9

H NH 3.34:GIAO DIỆN KHI FIREWALL KHỞI ĐỘNG XONG 81

H NH 3.35:XÁC ĐỊNH ĐỊA CHỈ MAC CỦA GATEWAY 83

H NH 3.36:BẮT KẾT NỐI KHI TẤN CÔNG DDOS 83

10

LỜI MỞ ĐẦU 1) Lý do chọn đề tài

Cùng với sự phát triển của công nghệ thông tin, công nghệ mạng máy tính và

sự phát triển của mạng internet ngày càng phát triển đa dạng và phong phú Các dịch vụ trên mạng đã thâm nhập vào hầu hết các lĩnh vực trong đời sống xã hội Các thông tin trên Internet cũng đa dạng về nội dung và hình thức, trong đó có rất nhiều thông tin cần được bảo mật cao hơn bởi tính kinh tế, tính chính xác và tính tin cậy của nó

Sự ra đời của công nghệ An ninh Mạng bảo vệ mạng của bạn trước việc đánh cắp và sử dụng sai mục đích thông tin kinh doanh bí mật và chống lại tấn công bằng

mã độc từ vi rút và sâu máy tính trên mạng Internet Nếu không có An ninh Mạng được triển khai, công ty của bạn sẽ gặp rủi ro trước xâm nhập trái phép, sự ngừng trệ hoạt động của mạng, sự gián đoạn dịch vụ, sự không tuân thủ quy định và thậm chí là các hành động phạm pháp

Bên cạnh đó, các hình thức phá hoại mạng cũng trở nên tinh vi và phức tạp hơn Do đó đối với mỗi hệ thống, nhiệm vụ bảo mật được đặt ra cho người quản trị mạng là hết sức quan trọng và cần thiết Xuất phát từ những thực tế đó, Chính vì

vậy em đã tìm hiểu về đề tài “Nghiên cứu các giải pháp giám sát lưu lượng mạng Internet phục vụ công tác an ninh, an toàn thông tin ”

Đề tài này không những phục vụ cho nhu cầu của bản thân mà còn giúp nâng cao ý thức của người dùng mạng Internet Nhận thấy đây vừa là một đề tài tốt nghiệp, vừa

có vai trò ứng dụng trong thực tế và với sự giúp đỡ tận tình của thầy giáo Tiếnsĩ Nguyễn Tài Hưng, tôi đã cố gắng hết sức để thực hiện tốt bài khóa luậntốt nghiệp

của mình

2)Mục đích nghiên cứu của luận văn, đối tượng, phạm vi nghiên cứu

Mục đích nghiên cứu là bảo vệ tài nguyên, dữ liệu và mạng.Giúp chúng ta giảm bớt những mối đe dọa tấn công bằng việc loại bỏ lưu lượng mạng bất hợp

11

pháp, trong khi vẫn cho phép các hoạt động hợp pháp được tiếp tục.Trong luận văn

này các mục đích sau cần đạt được là :

-Hiểu biết về các hình thức tấn công mạng

-Bản khảo sát đầy đủ các loại hình và phương thức tấn công DDoS

-Thuật toán phát hiện và giảm thiểu tấn công DDoS

3)Tóm tắt cô đọng các nội dung chính :

Ngoài phần mở đầu và phần kết luận, phần nội dung của luận văn gồm có 3

chương như sau:

CHƯƠNG 1: TỔNG QUAN VỀ AN NINH MẠNG

CHƯƠNG 2: CÁC CUỘC TẤN CÔNG DoS và DDoS

CHƯƠNG 3: DEMO TẤN CÔNG VÀ PHÕNG THỦ DDOS

Vậy an toàn mạng có nghĩa là bảo vệ hệ thống mạng, máy tính khỏi sự phá hoại phần cứng hay chỉnh sửa dữ liệu (phần mềm) mà không được sự cho phép từ những người cố ý hay vô tình An toàn mạng cung cấp giải pháp, chính sách, bảo vệ máy tính, hệ thống mạng để làm cho những người dùng trái phép, cũng như các phần mềm chứa mã độc xâm nhập bất hợp pháp vào máy tính, hệ thống mạng của bạn

1.1.2.Các yếu tố cần được bảo vệ trong hệ thống mạng

Yếu tố đầu tiên phải nói đến là dữ liệu, những thông tin lưu trữ trên hệ thống máy tính cần được bảo vệ do các yêu cầu về tính bảo mật, tính toàn vẹn hay tính kịp thời Thông thường yêu cầu về bảo mật được coi là yêu cầu quan trọng đối với thông tin lưu trữ trên mạng Tuy nhiên, ngay cả khi những thông tin không được giữ

bí mật, thì yêu cầu về tính toàn vẹn cũng rất quan trọng Không một cá nhân, một tổ chức nào lãng phí tài nguyên vật chất và thời gian để lưu trữ những thông tin mà không biết về tính đúng đắn của những thông tin đó

Yếu tố thứ hai là về tài nguyên hệ thống, sau khi các Attacker đã làm chủ được hệ thống chúng sẽ sử dụng các máy này để chạy các chương trình như dò tím mật khẩu để tấn công vào hệ thống mạng

Yếu tố thứ ba là danh tiếng một khi dữ liệu bị đánh cắp thì việc nghi ngờ nhau trong công ty là điều không tránh khỏi, vì vậy sẽ ảnh hưởng đến danh tiếng của công ty rất nhiều

13

1.1.3.Các yếu tố đảm bảo an toàn thông tin

An toàn thông tin nghĩa là thông tin được bảo vệ, các hệ thống và những dịch

vụ có khả năng chống lại những tai hoạ, lỗi và sự tác động không mong đợi Mục tiêu của an toàn bảo mật trong công nghệ thông tin là đưa ra một số tiêu chuẩn an toàn và ứng dụng các tiêu chuẩn an toàn này để loại trừ hoặc giảm bớt các nguy hiểm

Hiện nay các biện pháp tấn công càng ngày càng tinh vi, sự đe doạ tới độ an toàn thông tin có thể đến từ nhiều nơi khác nhau theo nhiều cách khác nhau, vì vậy các yêu cầu cần để đảm bảo an toàn thông tin như sau:

Tính bí mật: Thông tin phải đảm bảo tính bí mật và được sử dụng đúng đối tượng

Tính toàn vẹn: Thông tin phải đảm bảo đầy đủ, nguyên vẹn về cấu trúc, không mâu thuẫn

Tính sẵn sàng: Thông tin phải luôn sẵn sàng để tiếp cận, để phục vụ theo đúng mục đích và đúng cách

Tính chính xác: Thông tin phải chính xác, tin cậy

Tính không khước từ (chống chối bỏ): Thông tin có thể kiểm chứng được nguồn gốc hoặc người đưa tin

Nguy cơ hệ thống (Risk) được hình thành bởi sự kết hợp giữa lỗ hổng hệ thống và các mối đe doạ đến hệ thống, nguy cơ hệ thống có thể định nghĩa trong ba cấp độ thấp, trung bình và cao Để xác định nguy cơ đối với hệ thống trước tiên ta phải đánh giá nguy cơ hệ thống theo sơ đồ sau

Các điểm truy cập không dây

Ở mỗi điểm truy cập, ta phải xác định được các thông tin có thể truy cập và mức độ truy cập vào hệ thống

 Xác định các mối đe đoạ

Đây là một công việc khó khăn vì các mối đe dọa thường không xuất hiện rõ ràng (ẩn), thời điểm và quy mô tấn công không biết trước Các hình thức và kỹ thuật tấn công đa dạng như:

15

1.2.Các lỗ hổng bảo mật

Có nhiều các tổ chức đã tiến hành phân loại các dạng lỗ hổng đặc biệt Theo

bộ quốc phòng Mỹ các loại lỗ hổng được phân làm ba loại như sau:

1.2.1.Lỗ hổng loại C

Cho phép thực hiện các hình thức tấn công theo DoS (Denial of Services- Từ chối dịch vụ) Mức độ nguy hiểm thấp chỉ ảnh hưởng tới chất lượng dịch vụ, làm ngưng trệ gián đoạn hệ thống, không làm phá hỏng dữ liệu hoặc đạt được quyền truy cập bất hợp pháp

DoS là hình thức tấn công sử dụng các giao thức ở tầng Internet trong bộ giao thức TCP/IP để làm hệ thống ngưng trệ dẫn đến tình trạng từ chối người sử dụng hợp pháp truy nhập hay sử dụng hệ thống

1.2.2.Lỗ hổng loại B

Cho phép người sử dụng có thêm các quyền trên hệ thống mà không cần kiểm tra tính hợp lệ dẫn đến mất mát thông tin yêu cầu cần bảo mật Lỗ hổng này thường

có trong các ứng dụng trên hệ thống Có mức độ nguy hiểm trung bình

Lỗ hổng loại B này có mức độ nguy hiểm hơn lỗ hổng loại C Cho phép người

sử dụng nội bộ có thể chiếm được quyền cao hơn hoặc truy nhập không hợp pháp.Những lỗ hổng loại này thường xuất hiện trong các dịch vụ trên hệ thống Người sử dụng local được hiểu là người đã có quyền truy nhập vào hệ thống với một số quyền hạn nhất định

Một dạng khác của lỗ hổng loại B xảy ra với các chương trình viết bằng mã nguồn C Những chương trình viết bằng mã nguồn C thường sử dụng một vùng đệm, một vùng trong bộ nhớ sử dụng để lưu trữ dữ liệu trước khi xử lý Người lập trình thường sử dụng vùng đệm trong bộ nhớ trước khi gán một khoảng không gian

bộ nhớ cho từng khối dữ liệu Ví dụ khi viết chương trình nhập trường tên người sử dụng quy định trường này dài 20 ký tự bằng khai báo:

1.2.3.Lỗ hổng loại A

Cho phép người ngoài hệ thống có thể truy cập bất hợp pháp vào hệ thống

Có thể làm phá huỷ toàn bộ hệ thống Loại lỗ hổng này có mức độ rất nguy hiểm đe

16

dọa tính toàn vẹn và bảo mật của hệ thống Các lỗ hổng này thường xuất hiện ở những hệ thống quản trị yếu kém hoặc không kiểm soát được cấu hình mạng Ví dụ với các web server chạy trên hệ điều hành Novell các server này có một scripst là convert.bas chạy scripst này cho phép đọc toàn bộ nội dung các file trên hệ thống

Những lỗ hổng loại này hết sức nguy hiểm vì nó đã tồn tại sẵn có trên phần mềm sử dụng, người quản trị nếu không hiểu sâu về dịch vụ và phần mềm sử dụng

có thể bỏ qua điểm yếu này Vì vậy thường xuyên phải kiểm tra các thông báo của các nhóm tin về bảo mật trên mạng để phát hiện những lỗ hổng loại này Một loạt các chương trình phiên bản cũ thường sử dụng có những lỗ hổng loại A như: FTP, Gopher, Telnet, Sendmail, ARP, finger

1.3.Các kiểu tấn công của hacker

1.3.2.Kỹ thuật đánh lừa : Social Engineering

Đây là thủ thuật được nhiều hacker sử dụng cho các cuộc tấn công và thâm nhập vào hệ thống mạng và máy tính bởi tính đơn giản mà hiệu quả của nó Thường được sử dụng để lấy cấp mật khẩu, thông tin, tấn công vào và phá hủy hệ thống

1.3.3.Kỹ thuật tấn công vào vùng ẩn

Những phần bị dấu đi trong các website thường chứa những thông tin về phiên làm việc của các client Các phiên làm việc này thường được ghi lại ở máy khách chứ không tổ chức cơ sở dữ liệu trên máy chủ Vì vậy, người tấn công có thể

sử dụng chiêu chức View Source của trình duyệt để đọc phần đầu đi này và từ đó có thể tìm ra các sơ hở của trang Web mà họ muốn tấn công Từ đó, có thể tấn công vào hệ thống máy chủ

17

1.3.4.Tấn công vào các lỗ hổng bảo mật

Hiện, nay các lỗ hổng bảo mật được phát hiện càng nhiều trong các hệ điều hành, các web server hay các phần mềm khác, Và các hãng sản xuất luôn cập nhật các lỗ hổng và đưa ra các phiên bản mới sau khi đã vá lại các lỗ hổng của các phiên bản trước Do đó, người sử dụng phải luôn cập nhật thông tin và nâng cấp phiên bản cũ mà mình đang sử dụng nếu không các hacker sẽ lợi dụng điều này để tấn công vào hệ thống

Thông thường, các forum của các hãng nổi tiếng luôn cập nhật các lỗ hổng bảo mật và việc khai thác các lỗ hổng đó như thế nào thì tùy từng người

1.3.5.Khai thác tình trạng tràn bộ đệm

Tràn bộ đệm là một tình trạng xảy ra khi dữ liệu được gởi quá nhiều so với khả năng xử lý của hệ thống hay CPU Nếu hacker khai thác tình trạng tràn bộ đệm này thì họ có thể làm cho hệ thống bị tê liệt hoặc làm cho hệ thống mất khả năng kiểm soát

1.3.6.Nghe trộm

Các hệ thống truyền đạt thông tin qua mạng đôi khi không chắc chắn lắm và lợi dụng điều này, hacker có thể truy cập vào data paths để nghe trộm hoặc đọc trộm luồng dữ liệu truyền qua

Hacker nghe trộm sự truyền đạt thông tin, dữ liệu sẽ chuyển đến sniffing hoặc snooping Nó sẽ thu thập những thông tin quý giá về hệ thống như một packet chứa password và username của một ai đó Các chương trình nghe trộm còn được gọi là các sniffing Các sniffing này có nhiệm vụ lắng nghe các cổng của một hệ thống mà hacker muốn nghe trộm Nó sẽ thu thập dữ liệu trên các cổng này và chuyển về cho hacker

1.3.7.Kỹ thuật giả mạo địa chỉ

Thông thường, các mạng máy tính nối với Internet đều được bảo vệ bằng bức tường lửa(fire wall) Bức tường lửa có thể hiểu là cổng duy nhất mà người đi vào nhà hay đi ra cũng phải qua đó và sẽ bị “điểm mặt” Bức tường lửa hạn chế rất

18

nhiều khả năng tấn công từ bên ngoài và gia tăng sự tin tưởng lẫn nhau trong việc

sử dụng tào nguyên chia sẻ trong mạng nội bộ

Sự giả mạo địa chỉ nghĩa là người bên ngoài sẽ giả mạo địa chỉ máy tính của mình là một trong những máy tính của hệ thống cần tấn công Họ tự đặt địa chỉ IP của máy tính mình trùng với địa chỉ IP của một máy tính trong mạng bị tấn công Nếu như làm được điều này, hacker có thể lấy dữ liệu, phá hủy thông tin hay phá hoại hệ thống

1.3.9.Tấn công vào hệ thống có cấu hình không an toàn

Cấu hình không an toàn cũng là một lỗ hổng bảo mật của hệ thống Các lỗ hổng này được tạo ra do các ứng dụng có các thiết lập không an toàn hoặc người quản trị hệ thống định cấu hình không an toàn Chẳng hạn như cấu hình máy chủ web cho phép ai cũng có quyền duyệt qua hệ thống thư mục Việc thiết lập như trên

có thể làm lộ các thông tin nhạy cảm như mã nguồn, mật khẩu hay các thông tin của khách hàng

1.3.10.Tấn công dùng Cookies

Cookie là những phần tử dữ liệu nhỏ có cấu trúc được chia sẻ giữa website

và trình duyệt của người dùng

Cookies được lưu trữ dưới những file dữ liệu nhỏ dạng text (size dưới 4KB) Chúng được các site tạo ra để lưu trữ, truy tìm, nhận biết các thông tin về người

19

dùng đã ghé thăm site và những vùng mà họ đi qua trong site Những thông tin này

có thể bao gồm tên, định danh người dùng, mật khẩu, sở thích, thói quen,

Cookies được Browser của người dùng chấp nhận lưu trên đĩa cứng của máy tính, không phải Browser nào cũng hổ trợ cookies

1.3.11.Can thiệp vào tham số trên URL

Đây là cách tấn công đưa tham số trực tiếp vào URL Việc tấn công có thể dùng các câu lệnh SQL để khai thác cơ sở dữ liệu trên các máy chủ bị lỗi Điển hình cho kỹ thuật tấn công này là tấn công bằng lỗi “SQL INJECTION”

Kiểu tấn công này gọn nhẹ nhưng hiệu quả bởi người tấn công chỉ cần một công cụ tấn công duy nhất là trình duyệt web và backdoor

1.3.12.Vô hiệu hóa dịch vụ

Kiểu tấn công này thông thường làm tê liệt một số dịch vụ, được gọi là DOS (Denial of Service - Tấn công từ chối dịch vụ)

Các tấn công này lợi dụng một số lỗi trong phần mềm hay các lỗ hổng bảo mật trên

hệ thống, hacker sẽ ra lệnh cho máy tính của chúng đưa những yêu cầu không đâu vào đâu đến các máy tính, thường là các server trên mạng Các yêu cầu này được gởi đến liên tục làm cho hệ thống nghẽn mạch và một số dịch vụ sẽ không đáp ứng được cho khách hàng

Đôi khi, những yêu cầu có trong tấn công từ chối dịch vụ là hợp lệ Ví dụ một thông điệp có hành vi tấn công, nó hoàn toàn hợp lệ về mặt kỹ thuật Những thông điệp hợp lệ này sẽ gởi cùng một lúc Vì trong một thời điểm mà server nhận quá nhiều yêu cầu nên dẫn đến tình trạng là không tiếp nhận thêm các yêu cầu Đó

là biểu hiện của từ chối dịch vụ

1.3.13.Một số kiểu tấn công khác

Lỗ hổng không cần login: Nếu như các ứng dụng không được thiết kế chặt chẽ, không ràng buộc trình tự các bước khi duyệt ứng dụng thì đây là một lỗ hổng bảo mật mà các hacker có thể lợi dụng để truy cập thẳng đến các trang thông tin bên trong mà không cần phải qua bước đăng nhập

20

Thay đổi dữ liệu: Sau khi những người tấn công đọc được dữ liệu của một hệ thống nào đó, họ có thể thay đổi dữ liệu này mà không quan tâm đến người gởi và người nhận nó Những hacker có thể sửa đổi những thông tin trong packet dữ liệu một cách dễ dàng

Password-base Attact: Thông thường, hệ thống khi mới cấu hình có username và password mặc định

Identity Spoofing: Các hệ thống mạng sử dụng IP address để nhận biết sự tồn tại của mình Vì thế địa chỉ IP là sự quan tâm hàng đầu của những người tấn công

và bất hợp pháp nếu cả hai cùng sử dụng một key giống nhau Do đó mã hoá chính

nó sẽ không cung cấp bảo mật, chúng phải được điều khiển bởi key mã hoá và toàn

bộ hệ thống

Hình 1.2: Quá trình mã hóa

Giải thuật

Giải mã

Mã hóa

21

Mã hoá nhằm đảm bảo các yêu cầu sau:

Tính bí mật (confidentiality): dữ liệu không bị xem bởi “bên thứ 3”

Tính toàn vẹn (Integrity): dữ liệu không bị thay đổi trong quá trình truyền

Tính không từ chối (Non-repudiation): là cơ chế người thực hiện hành động không thể chối bỏ những gì mình đã làm, có thể kiểm chứng được nguồn gốc hoặc người đưa tin

 Các giải thuật mã hoá

 Giải thuật băm (Hashing Encryption)

Là cách thức mã hoá một chiều tiến hành biến đổi văn bản nhận dạng (cleartext) trở thành hình thái mã hoá mà không bao giờ có thể giải mã Kết quả của tiến trình hashing còn được gọi là một hash (xử lý băm), giá trị hash (hash value), hay thông điệp đã được mã hoá (message digest) và tất nhiên không thể tái tạo lại dạng ban đầu

Trong xử lý hàm băm dữ liệu đầu vào có thể khác nhau về độ dài, thế nhưng

độ dài của xử lý Hash lại là cố định Hashing được sử dụng trong một số mô hình xác thực password Một giá trị hash có thể được gắn với một thông điệp điện tử (electronic message) nhằm hỗ trợ tính tích hợp của dữ liệu hoặc hỗ trợ xác định trách nhiệm không thể chối từ (non-repudiation)

Hình 1.3: Mô hình giải thuật băm Một số giải thuật băm

22

MD5 (Message Digest 5): giá trị băm 128 bit

SHA-1 (Secure Hash Algorithm): giá trị băm 160 bit

Giải thuật mã hoá đồng bộ/đối xứng (Symmetric)

Mã hoá đối xứng hay mã hoá chia sẻ khoá (shared-key encryption) là mô hình mã hoá hai chiều có nghĩa là tiến trình mã hoá và giải mã đều dùng chung một khoá Khoá này phải được chuyển giao bí mật giữa hai đối tượng tham gia giao tiếp Có thể bẻ khoá bằng tấn công vét cạn (Brute Force)

Hình 1.4: Giải thuật mã hoá đồng bộ/đối xứng Cách thức mã hoá như sau:

Hai bên chia sẻ chung 1 khoá (được giữ bí mật)

Trước khi bắt đầu liên lạc hai bên phải trao đổi khoá bí mật cho nhau

Mỗi phía của thành phần liên lạc yêu cầu một khoá chia sẻ duy nhất, khoá này không chia sẻ với các liên lạc khác

Bảng dưới đây cho thấy chi tiết các phương pháp mã hóa đối xứng thông dụng

Giải thuật mã hóa không đồng bộ/không đối xứng (Asymmetric)

Mã hóa bất đối xứng, hay mã hóa khóa công khai(public-key encryption), là mô hình mã hóa 2 chiều sử dụng một cặp khóa là khóa riêng (private key) và khóa công (public keys) Thông thường, một thông điệp được mã hóa với private key, và chắc chắn rằng key này là của người gửi thông điệp (message sender) Nó sẽ được giải

mã với public key, bất cứ người nhận nào cũng có thể truy cập nếu họ có key này Chú ý, chỉ có public key trong cùng một cặp khóa mới có thể giải mã dữ liệu đã mã hóa với private key tương ứng Và private key thì không bao giờ được chia sẻ với bất kỳ ai và do đó nó giữ được tính bảo mật, với dạng mã hóa này được ứng dụng trong chữ ký điện tử

H nh 1.5:Giải thuật mã hóa không đồng bộ/ không đối xứng

Các giải thuật

RSA (Ron Rivest, Adi Shamir, and Leonard Adleman)

DSA (Digital Signature Standard)

Diffie-Hellman (W.Diffie and Dr.M.E.Hellman)

 Chứng thực người dùng

Là quá trình thiết lập tính hợp lệ của người dùng trước khi truy cập thông tin trong hệ thống Các loại chứng thực như:

Đặt mật khẩu dài tối thiểu là tám kí tự, bao gồm chữ cái, số, biểu tượng

Thay đổi password: 01 tháng/lần

Không nên đặt cùng password ở nhiều nơi

Xem xét việc cung cấp password cho ai

+ CHAP (Challenge Hanshake Authentication Protocol): Dùng để mã hóa mật khẩu khi đăng nhập, dùng phương pháp chứng thực thử thách/hồi đáp Định kỳ kiểm tra lại các định danh của kết nối sử dụng cơ chế bắt tay 3 bước và thông tin bí mật được

mã hóa sử dụng MD5 Hoạt động của CHAP như sau:

Hình 1.7: Hoạt động của CHAP

25

+ Kerberos

Kerberos là một giao thức mật mã dùng để xác thực trong các mạng máy tính hoạt động trên những đường truyền không an toàn Giao thức Kerberos có khả năng chống lại việc nghe lén hay gửi lại các gói tin cũ và đảm bảo tính toàn vẹn của dữ liệu Mục tiêu khi thiết kế giao thức này là nhằm vào mô hình máy chủ-máy khách (client-server) và đảm bảo nhận thực cho cả hai chiều

Hình 1.8: Mã hóa Kerberos + Chứng chỉ (Certificates)

Một Server (Certificates Authority - CA) tạo ra các certificates

Có thể là vật lý: smartcard

Có thể là logic: chữ ký điện tử

Sử dụng public/private key (bất cứ dữ liệu nào được mã hóa bằng public key chỉ có thể giải mã bằng private key) Sử dụng “công ty thứ 3” để chứng thực Được sử dụng phổ biến trong chứng thực web, smart cards, chữ ký điện tử cho email và mã hóa email

1.4.2.Bảo mật máy trạm

Sự kiểm tra đều đặn mức bảo mật được cung cấp bởi các máy chủ phụ thuộc chủ yếu vào sự quản lý Mọi máy chủ ở trong một công ty nên được kiểm tra từ Internet để phát hiện lỗ hổng bảo mật Thêm nữa, việc kiểm tra từ bên trong và quá trình thẩm định máy chủ về căn bản là cần thiết để giảm thiểu tính rủi ro của hệ thống, như khi firewall bị lỗi hay một máy chủ, hệ thống nào đó bị trục trặc

26

1.4.3.Bảo mật truyền thông

Tiêu biểu như bảo mật trên FTP, SSH

Bảo mật truyền thông FTP

Hình 1.9: Bảo mật FTP FTP là giao thức lớp ứng dụng trong bộ giao thức TCP/IP cho phép truyền

dữ liệu chủ yếu qua port 20 và nhận dữ liệu tại port 21, dữ liệu được truyền dưới dạng clear-text, tuy nhiên nguy cơ bị nghe lén trong quá trình truyền file hay lấy mật khẩu trong quá trình chứng thực là rất cao, thêm vào đó user mặc định Anonymous không an toàn tạo điều kiện cho việc tấn công tràn bộ đệm

Biện pháp đặt ra là sử dụng giao thức S/FTP (S/FTP = FTP + SSL/TSL) có tính bảo mật vì những lí do sau:

Sử dụng chứng thực RSA/DSA

Sử dụng cổng TCP 990 cho điều khiển, cổng TCP 989 cho dữ liệu

Tắt chức năng Anonymous nếu không sử dụng

Sử dụng IDS để phát hiện tấn công tràn bộ đệm

Sử dụng IPSec để mã hóa dữ liệu

Bảo mật truyền thông SSH

SSH là dạng mã hóa an toàn thay thế cho telnet, rlogin hoạt động theo mô hình client/server và sử dụng kỹ thuật mã hóa public key để cung cấp phiên mã hóa, nó chỉ cung cấp khả năng chuyển tiếp port bất kỳ qua một kết nối đã được mã hóa Với telnet hay rlogin quá trình truyền username và password dưới dạng cleartext nên rất

dễ bị nghe lén, bằng cách bắt đầu một phiên mã hóa

27

Khi máy client muốn kết nối phiên an toàn với một host, client phải bắt đầu kết nối bằng cách thiết lập yêu cầu tới một phiên SSH Một khi server nhận dược yêu cầu từ client, hai bên thực hiện cơ chế three-way handshake trong đó bao gồm việc xác minh các giao thức, khóa phiên sẽ được thay đổi giữa client và server, khi khóa phiên đã trao đổi và xác minh đối với bộ nhớ cache của host key, client lúc này có thể bắt đầu một phiên an toàn

1.4.4.Các công nghệ và kỹ thuật bảo mật

Bảo mật bằng firewall

Là một hàng rào giữa hai mạng máy tính, nó bảo vệ mạng này tránh khỏi sự xâm nhập từ mạng kia, đối với những doang nghiệp cỡ vừa là lớn thì việc sử dụng firewall là rất cần thiết, chức năng chính là kiểm soát luồng thông tin giữa mạng cần bảo vệ và Internet thông qua các chính sách truy cập đã được thiết lập

Firewall có thể là phần cứng, phần mềm hoặc cả hai Tất cả đều có chung một thuộc tính là cho phép xử lý dựa trên địa chỉ nguồn, bên cạnh đó nó còn có các tính năng như dự phòng trong trường hợp xảy ra lỗi hệ thống

Hình 1.10: Mô hình tổng quát firewall

28

Do đó việc lựa chọn firewall thích hợp cho một hệ thống không phải là dễ dàng Các firewall đều phụ thuộc trên một môi trường, cấu hình mạng, ứng dụng cụ thể Khi xem xét lựa chọn một firewall cần tập trung tìm hiểu tập các chức năng của firewall như tính năng lọc địa chỉ, gói tin

Bảo mật bằng VPN (Vitual Private Network)

VPN là một mạng riêng ảo được kết nối thông qua mạng công cộng cung cấp

cơ chế bảo mật trong một môi trường mạng không an toàn Đặc điểm của VPN là

dữ liệu trong quá trình truyền được mã hóa, người sử dụng đầu xa được chứng thực, VPN sử dụng đa giao thức như IPSec, SSL nhằm tăng thêm tính bảo mật của hệ thống, bên cạnh đó tiết kiệm được chi phí trong việc triển khai

Hình 1.11: Bảo mật bằng VPN Bảo mật bằng IDS (Phát hiện tấn công)

IDS (Intrusion Detection System) là hệ thống phát hiện xâm nhập, hệ thống bảo mật bổ sung cho firewall với công nghệ cao tương đương với hệ thống chuông báo động được cấu hình để giám sát các điểm truy cập có thể theo dõi, phát hiện sự xâm nhập của các attacker Có khả năng phát hiện ra các đoạn mã độc hại hoạt động trong hệ thống mạng và có khả năng vượt qua được firewall Có hai dạng chính đó

là network based và host based

 Kiểm tra các dấu hiệu hệ thống bị tấn công: hệ thống thường bị treo hoặc bị crash bằng những thông báo lỗi không rõ ràng Khó xác định nguyên nhân do thiếu thông tin liên quan

 Kiểm tra các tài khoản người dùng mới trên hệ thống: một số tài khoản lạ, nhất là uid của tài khoản đó có uid= 0

 Kiểm tra xuất hiện các tập tin lạ(đặc biệt là các tập tin scripts)

 Kiểm tra thời gian thay đổi trên hệ thống, đặc biệt là các chương trình login,

sh hoặc các scripts khởi động trong /etc/init.d, /etc/rc.d …

 Kiểm tra hiệu năng của hệ thống Sử dụng các tiện ích theo dõi tài nguyên và các tiến trình đang hoạt động trên hệ thống như ps hoặc top …

 Kiểm tra hoạt động của các dịch vụ mà hệ thống cung cấp Sử dụng các lệnh như ps, pstat, các tiện ích về mạng để phát hiện nguyên nhân trên hệ thống

 Kiểm tra truy nhập hệ thống bằng các account thông thường, đề phòng trường hợp các account này bị truy nhập trái phép và thay đổi quyền hạn mà người sử dụng hợp pháp không kiểm sóat được

 Kiểm tra các file liên quan đến cấu hình mạng và dịch vụ như /etc/inetd.conf

30

 Kiểm tra các phiên bản của sendmail, /bin/mail, ftp; tham gia các nhóm tin

về bảo mật để có thông tin về lỗ hổng của dịch vụ sử dụng

1.6.Kết luận chương 1:

Chương 1 tác giả đã nghiên cứu, tìm hiểu tổng quan về an ninh mạng, các lỗ hổng bảo mật, các kiểu tấn công của hacker và các biện pháp bảo mật mạng Đồng thời tác giả đã tìm hiểu các cách phát hiện hệ thống khi bị tấn công Qua đó cho chúng ta có cái nhìn toàn diện hơn về an ning mạng

31

CHƯƠNG 2: CÁC TỪ CHỐI DỊCH VỤ DoS VÀ DDoS

2.1 KHÁI NIỆM DoS VÀ DDoS

2.1.1 Tấn công từ chối dịch vụ (DoS)

Tấn công từ chối dịch vụ là kiểu tấn công vào máy tính hoặc một mạng để ngăn chặn sự truy cập hợppháp

Trên kiểu tấn công DoS, attackers làm tràn ngập hệ thống của victim với luồng yêu cầu dịch vụ không hợp pháp làm quá tải nguồn(Server), ngăn chặn server thực hiện nhiệm vụ hợplệ

2.1.2 Tấn công từ chối dịch vụ phân tán(DDoS)

Tấn công từ chối dịch vụ phân tán hay DDoS bao gồm các thỏa hiệp của hệ thống để tấn công mục tiêu duy nhất, là nguyên nhân người sử dụng bị từ chối dịch

vụ của hệ thống

Để khởi động một cuộc tấn công DDoS, một kẻ tấn công sử dụng botnet và tấn công một hệ thống duynhất

2.1.3 Dấu hiệu khi bị tấn công DoS

-Thông thường thì hiệu suất mạng sẽ rất chậm

-Không thể sử dụng website

-Không truy cập được bất kỳ website nào

-Tăng lượng thư rác nhanh chóng

2.1.4 Các mục đích của tấn công DoS

- Cố gắng chiếm băng thông mạng và làm hệ thống mạng bị ngập (flood), khi

đó hệ thống mạng sẽ không có khả năng đáp ứng những dịch vụ khác cho người dùng bìnhthường

- Cố gắng làm ngắt kết nối giữa hai máy, và ngăn chặn quá trình truy cập vào dịchvụ

- Cố gắng ngăn chặn những người dùng cụ thể vào một dịch vụ nào đó

- Cố gắng ngăn chặn các dịch vụ không cho người khác có thể truy cập vào Khi tấn công DoS xảy ra người dùng có cảm giác khi truy cập vào dịch vụ đó như bị:

Nhóm tổ chức tạo ra và thuê botnet để cung cấp các dịch vụ khác nhau, từ việc viết phần mềm độc hại, tấn công các tài khoản ngân hàng, để tạo ra tấn công DoS lớn đối với bất kỳ mục tiêu với một mức giá

2.1.6 Sơ đồ tổ chức của tổ chức tội phạm mạng

Hình 2.1: Sơ đồ tổ chức tội phạm mạng

2.1.7 Internet Chat Query

ICQ là chat client được dùng để chat với mọi người

Hoạt động:

Tại máy chủ Mirabilis, ICQ tìm kiếm yêu cầu số UIN bên trong cơ sở dữ liệu của nó(một loại điện thoại của thư mục), và cập nhật thông tin

Bây giờ người dùng có thể liên hệ với người bạn của mình bởi vì ICQ biết địa chỉ IP

2.1.8 Internet Relay Chat

IRC là hệ thống để trò chuyện bao gồm thiết lập nguyên tắc, quy ước và phần mềm client/server Nó cho phép chuyển hướng kết nối máy tính tới máy tính với mục đích dễ dàng chia sẽ giữa clients

Một vài website (như là Talk City) hoặc mạng IRC(như là Undernet) cung cấp server và hỗ trợ người sử dụng tải IRC clients tới PC của họ Sau khi người sử dụng tải ứng dụng client, họ bắt đầu chat nhóm(gọi là kênh) hoặc gia nhập một nhóm có trước

Kênh IRC đang được ưu chuộng là#hottub và #riskybus Giao thức IRC dùng giao thức điều khiển truyền vận(có thể dùng IRC qua telnet client),thông thường dùng port 6667

2.2 CÁC KỸ THUẬT TẤN CÔNG DoS

2.2.1 Tấn công băng thông

Tấn công băng thông nhằm làm tràn ngập mạng mục tiêu với những traffic không cần thiết

Với mục đích làm giảm tối thiểu khả năng của các traffic hợp lệ đến được hệ thống cung cấp dịch vụ của mục tiêu

Có hai loại BandWith DepletionAttack:

+ Flood attack: Điều khiển các Agent gởi một lượng lớn traffic đến hệ thống dịch vụ của mục tiêu, làm dịch vụ này bị hết khả năng về băng thông

2.2.2 Tấn công tràn ngập yêu cầu dịch vụ

Một kẻ tấn công hoặc nhóm zombie cố gắng làm cạn kiệt tài nguyên máy chủ bằng cách thiết lập và phá hủy các kết nối TCP Nó bắt đầu gửi yêu cầu trên tất

cả kết nối và nguồn gốc từ server kết nối tốc độcao

2.2.3 Tấn công tràn ngập SYN

Transfer Control Protocol hỗ trợ truyền nhận với độ tin cậy cao nên sử dụng phương thức bắt tay giữa bên gởi và bên nhận trước khi truyền dữ liệu Bước đầu tiên, bên gửi gởi một SYN REQUEST packe(Synchronize) Bên nhận nếu nhận được SYN REQUEST sẽ trả lời bằng SYN/ACK REPLY packet Bước cuối cùng, bên gửi sẽ truyền packet cuối cùng ACK và bắt đầu truyền dữ liệu

Nếu bên server đã trả lời một yêu cầu SYN bằng một SYN/ACK REPLY nhưng không nhận được ACK packet cuối cùng sau một khoảng thời gian quy định thì nó sẽ resend lại SYN/ACK REPLY cho đến hết thời gian timeout Toàn bộ tài nguyên hệ thống “dự trữ” để xử lý phiên giao tiếp nếu nhận được ACK packet cuối cùng sẽ bị“phong tỏa” cho đến hết thời gian timeout

Nắm được điểm yếu này, attacker gởi một SYN packet đến nạn nhân với địa chỉ bên gởi là giả mạo, kết quả là nạn nhân gởi SYN/ACK REPLY đến một địa chỉ khác và sẽ không bao giờ nhận được ACK packet cuối cùng, cho đến hết thời gian timeout nạn nhân mới nhận ra được điều này và giải phóng các tài nguyên hệ thống Tuy nhiên, nếu lượng SYN packet giả mạo đến với số lượng nhiều và dồn dập, hệ thống của nạn nhân có thể bị hết tàinguyên

36

Hình 2.3: Tấn công tràn ngập ICM

2.2.5 Tấn công điểm nối điểm

Dùng điểm nối điểm để tấn công, kẻ tấn công chỉ đạo clients của mô hình điểm nối điểm chia sẽ file trung tâm gây ngắt kết nối từ mạng của họ và kết nối tới website giả mạo củavictim

Kẻ tấn công khai thác lỗ hổng tìm thấy trên mạng dùng giao thức DC++(kết nối trực tiếp), cho phép hoán đổi file giữa các tin nhắn clients ngay lập tức

Dùng phương pháp này, kẻ tấn công chạy tấn công DoS rất lớn và làm hại website

2.2.6 Tấn công cố định DoS

Tấn công cố định DoS hay PDoS còn được gọi như phlashing, là một cuộc tấn công gây tổn thương một hệ thống nhiều đến nổi nó đòi hỏi phải thay thế hoặc cài đặt lại phần cứng, Không giống như các cuộc tấn công DDoS, PDoS một cuộc tấn công khai thác lỗ hổng bảo mật cho phép quản trị từ xa trên các giao diện quản

lý phần cứng của nạn nhân, chẳng hạn như router, máy in, hoặc phần cứng mạng khác

Tấn công thực hiện dùng phương pháp như"xây dựng hệ thống” Dùng phương pháp này, tấn công gửi cập nhập phần cứng lừa đảo tới victim

2.2.7 Tấn công tràn ngập ở cấp độ dịch vụ

Tấn công làm tràn ở cấp độ ứng dụng là kết quả mất dịch vụ của mạng đặc biệt như là: email, tài nguyên mạng, tạm thời ngừng ứng dụng và dịch vụ, Dùng kiểu tấn công này, kẻ tấn công phá hủy mã nguồn chương trình và file làm ảnh hưởng tới hệ thống máytính

Tấn công làm tràn ngập ở cấp độ ứng dụng, kẻ tấn công cố gắng: Tràn ngập ứng dụng web tới lưu lượng người sử dụng hợp lệ

Ngắt dịch vụ cụ thể của hệ thống hoặc con người

Làm tắt nghẽn cơ sở dữ liệu của ứng dụng kết nối bằng truy vấn thủ công nguy hiểm SQL

37

2.3 MẠNG BOTNET

2.3.1 Khái niệm botnet

Botnet là từ chỉ một tập hợp các rô bôt phần mềm hoặc các con bot hoạt động một cách tự chủ Từ này còn được dùng để chỉ một mạng các máy tính sử dụng phần mềm tính toán phântán

2.3.2 Hoạt động

Tuy từ "botnet" có thể dùng để chỉ một nhóm bot bất kỳ, chẳng hạn IRC bot,

từ này thường được dùng để chỉ một tập hợp các máy tính đã bị tấn công và thỏa hiệp và đang chạy các chương trình độc hại, thường là sâu máy tính, trojan horse hay backdoor, dưới cùng một hạ tầng cơ sở lệnh và điều khiển Một chương trình chỉ huy botnet có thể điều khiển cả nhóm bot từ xa, thường là qua một phương tiện chẳng hạn như IRC, và thường là nhằm các mục đích bất chính Mỗi con bot thường chạy ẩn và tuân theo chuẩn RFC1459 (IRC) Thông thường, kẻ tạo botnet trước đó

đã thỏa hiệp một loạt hệ thống bằng nhiều công cụ đa dạng (tràn bộ nhớ đệm, ) Các bot mới hơn có thể tự động quét môi trường của chúng và tự lan truyền bản thân bằng cách sử dụng các lỗ hổng an ninh và mật khẩu yếu Nếu một con bot có thể quét và tự lan truyền qua càng nhiều lỗ hổng an ninh, thì nó càng trở nên giá trị đối với một cộng đồng điều khiểnbotnet

38

H nh 2.4: Hoạt động botnet

Các botnet đã trở nên một phần quan trọng của Internet, tuy chúng ngày càng

ẩn kĩ Do đa số các mạng IRC truyền thống thực hiện các biện pháp cấm truy nhập đối với các botnet đã từng ngụ tại đó, những người điều khiển botnet phải tự tìm các server cho mình Một botnet thường bao gồm nhiều kết nối, chẳng hạn quay số, ADSL và cáp, và nhiều loại mạng máy tính, chẳng hạn mạng giáo dục, công ty, chính phủ và thậm chí quân sự Đôi khi, một người điều khiển giấu một cài đặt IRC server trên một site công ty hoặc giáo dục, nơi các đường kết nối tốc độ cao có thể

hỗ trợ một số lớn cácbotkhác Chỉđếngầnđây, phươngphápsửdụngbot để chỉhuycácbotkhácmới phát triển mạnh, do đa số hacker không chuyên không đủ kiến thức để sử dụng phương phápnày

2.3.3 Tổ chức

Các server botnet thường liên kết với nhau, sao cho một nhóm có thể chứa từ

20 máy riêng biệt tốc độ cao đã bị phá hoại, các máy này nối với nhau với vai trò các server nhằm mục tiêu tạo môi trường dư thừa lớn hơn Các cộng đồng botnet thực tế thường bao gồm một hoặc nhiều người điều khiển những người tự coi là có quyền truy nhập hợp lệ tới một nhóm bot Những điều khiển viên này hiếm khi có các hệ thống chỉ huy phân cấp phức tạp trong họ; họ dựa vào các quan hệ thân hữu

cá nhân Mâu thuẫn thường xảy ra giữa những điều khiển viên về chuyện ai có quyền đối với máy nào, và những loại hành động nào là được phép hay không được phép làm

2) Tại máy tính bị nhiễm, con bot đăng nhập vào một server IRC nào đó(hay

là một web server) Server đó được coi là command-and-control server (C&C)

39

3) Một người phát tán spam mua quyền truy nhập botnet từ điều phối viên 4) Người phát tán spam gửi các lệnh qua IRC server tới các máy tính bị nhiễm, làm cho các máy tính này gửi các thông điệp rác tới các máy chủ thư điện