Đang tải... (xem toàn văn)
Tài liệu tham khảo công nghệ thông tin Phòng chống tấn công từ chối dịch vụ phân tán vào các website
1ĐẠI HỌC QUỐC GIA HÀ NỘITRƯỜNG ĐẠI HỌC CÔNG NGHỆPhạm Xuân BáchPHÒNG CHỐNG TẤN CÔNG TỪ CHỐI DỊCH VỤ PHÂN TÁN VÀO CÁC WEBSITEKHOÁ LUẬN TỐT NGHIỆP ĐẠI HỌC HỆ CHÍNH QUY Ngành: Công nghệ thông tinHÀ NỘI - 2010 2ĐẠI HỌC QUỐC GIA HÀ NỘITRƯỜNG ĐẠI HỌC CÔNG NGHỆPhạm Xuân BáchPHÒNG CHỐNG TẤN CÔNG TỪ CHỐI DỊCH VỤ PHÂN TÁN VÀO CÁC WEBSITEKHOÁ LUẬN TỐT NGHIỆP ĐẠI HỌC HỆ CHÍNH QUY Ngành: Công nghệ thông tinCán bộ hướng dẫn: TS. Nguyễn Đại ThọHÀ NỘI - 2010 LỜI CẢM ƠNLời đầu tiên em xin bày tỏ lòng biết ơn sâu sắc đến thầy giáo TS. Nguyễn Đại Thọ đã hướng dẫn chỉ bảo em rất tận tình trong suốt năm học vừa qua.Em xin bày tỏ lòng biết ơn đến các thầy cô giáo trong khoa Công nghệ thông tin, trường Đại học Công nghệ, Đại học Quốc gia Hà Nội. Các thầy cô đã dạy bảo, chỉ dẫn em trong suốt bốn năm học tại trường Đại học Công nghệ, tạo điều kiện tốt nhất giúp em hoàn thành khóa luận tốt nghiệp.Tôi xin cảm ơn các bạn sinh viên K51 trường Đại học Công nghệ, đặc biệt là các bạn sinh viên lớp K51CA và K51MMT cùng các thành viên cùng phòng 202B kí túc xá ngoại ngữ đã đoàn kết, giúp đỡ cùng tôi theo học các bộ môn bổ ích và thú vị trong chương trình học đại học tại trường.Cuối cùng, con xin gửi tới bố, chị gái, mẹ nuôi cùng gia đình lòng biết ơn và tình cảm yêu thương.Hà Nội, ngày 19/05/2010Phạm Xuân Báchi TÓM TẮTPhòng chống tấn công từ chối dịch vụ, đặc biệt là các cuộc tấn công từ chối dịch vụ phân tán vào các Website vẫn đang là đề tài nhận được rất nhiều quan tâm của các nhà nghiên cứu. Bên cạnh những khó khăn do cơ sở hạ tầng mạng còn yếu kém, sự phát triển không ngừng của các công cụ và phương pháp tấn công khiến cho việc phòng và chống tấn công từ chối dịch vụ trở thành một vấn đề rất nan giải. Khóa luận này sẽ trình bày về một phương pháp phòng chống tấn công từ chối dịch vụ hiệu quả bằng cách sử dụng một kiến trúc mạng bao phủ để bảo vệ Website. Trong kiến trúc này, một nhóm các SOAP, secure overlay Access Point, sẽ thực hiện chức năng kiểm tra và phân biệt người truy cập với các chương trình độc hại của những kẻ tấn công, để đưa yêu cầu của người dùng hợp lệ đến các node bí mật trong mạng bao phủ bằng kết nối SSL thông qua mạng đó. Sau đó các node bí mật sẽ chuyển tiếp yêu cầu người dùng, qua một vùng lọc, đến với Server đích. Việc dùng các bộ lọc mạnh để lọc các yêu cầu độc hại gửi trực tiếp đến Server đích, chỉ cho phép các node bí mật được truy cập, cùng với việc sử dụng mạng bao phủ để che giấu các node bí mật, và nhóm các SOAP trong mạng bao phủ có thể bị tấn công để sẵn sàng được thay thế bằng các SOAP khác, giúp cho Website được bảo vệ và hạn chế tối đa tác động của các cuộc tấn công. Tuy vậy kiến trúc tỏ ra bất lực khi một hoặc một số các node trong mạng bao phủ bị chiếm dụng trở thành node gây hại và tấn công mạng. Khóa luận đã thực hiện các cải tiến, để có thể phát hiện tình huống node gây hại tấn công, và tự động chuyển hướng truy vấn để tránh khỏi sự tấn công gây hại. Sau khi xây dựng một kịch bản tấn công, kiến trúc cải tiến đã được kiểm tra cho thấy kết quả rất khả quan.Từ khóa: Denial of Service, overlay node, Graphic Turing Testii MỤC LỤCLỜI CẢM ƠN . iTÓM TẮT . iiMỤC LỤC iiiMỞ ĐẦU 1Chương 1: CÁC CÁCH THỨC TẤN CÔNG TỪ CHỐI DỊCH VỤ 31.1 Thiết lập nên mạng Agent 3 1.1.1 Tìm kiếm các máy dễ bị tổn thương . 31.1.2 Đột nhập vào máy dễ bị tổn thương . 31.1.3 Phương pháp lây truyền 41.2 Điều khiển mạng lưới máy Agent . 51.2.1 Gửi lệnh trực tiếp . 51.2.2 Gửi lệnh gián tiếp 51.2.3 Unwitting Agent 61.2.4 Thực hiện tấn công 71.3 Các cách thức tấn công từ chối dịch vụ 81.3.1 Khai thác các điểm yếu của mục tiêu . 81.3.2 Tấn công vào giao thức 81.3.3 Tấn công vào Middleware 101.3.4 Tấn công vào ứng dụng 101.3.5 Tấn công vào tài nguyên 111.3.6 Pure Flooding 111.4 IP Spoofing 121.5 Xu hướng của DoS . 13iii Chương 2: CÁC BIỆN PHÁP PHÒNG CHỐNG TRUYỀN THỐNG 142.1 Biện pháp pushback . 142.2 Biện pháp Traceback 152.3 Biện pháp D-WARD 182.4 Biện pháp NetBouncer . 192.5 Biện pháp “Proof of Work” 202.6 Biện pháp DefCOM . 212.7 Biện pháp COSSACK 222.8 Biện pháp Pi . 232.9 Biện pháp SIFF 242.10 Biện pháp lọc đếm chặng HCF . 25Chương 3: SOS VÀ WEBSOS 273.1 Giao thức Chord . 273.2 Kiến trúc SOS 293.3 Kiến trúc WebSOS . 313.3.1 Giải pháp đề xuất . 313.3.2 Kiến trúc của WebSOS 313.3.3 Cơ chế của WebSOS 32 3.3.3.1 Cơ chế chung 32 3.3.3.2 Cơ chế định tuyến . 343.3.4 Cơ chế bảo vệ 343.3.5 Đánh giá ưu, nhược điểm của kiến trúc WebSOS 36Chương 4: THỰC NGHIỆM, CẢI TIẾN VÀ KẾT QUẢ 374.1 Môi trường thực nghiệm . 374.2 Cài đặt kiến trúc WebSOS 374.3 Kiểm tra độ trễ của các kết nối . 38iv 4.4 Đề xuất cải tiến 394.4.1 Vấn đề về mạng bao phủ của WebSOS . 394.4.2 Đề xuất cải tiến 404.4.3 Thực thi đề xuất . 42 4.4.3.1 Kịch bản thử nghiệm . 42 4.3.3.2 Kết quả thử nghiệm . 43 4.3.3.2.1 Với chương trình gốc . 43 4.3.3.2.2 Với chương trình cải tiến 444.4.4 Đánh giá hiệu năng của chương trình cải tiến . 46Chương 5: KẾT LUẬN . 505.1 Các kết quả đã đạt được . 505.2 Các kết quả hướng tới 50TÀI LIỆU THAM KHẢO . 52v MỞ ĐẦUTấn công từ chối dịch vụ (Dos, Denial of Services) đã ngày càng trở thành một mối đe dọa lớn đối với sự tin cậy của mạng internet. Là các cuộc tấn công sử dụng nhiều cách thức tổ chức và thực hiện khác nhau, từ việc dùng chỉ một máy tới việc thu thập các máy agent dưới quyền với số lượng lên đến hàng chục ngàn máy phục vụ tấn công, mục đích của các cuộc tấn công là làm tê liệt các ứng dụng, máy chủ, toàn bộ mạng lưới, hoặc làm gián đoạn kết nối của người dùng hợp pháp tới Website đích. Một nghiên cứu tại UCSD [23] đã chỉ ra rằng ngay từ đầu thập niên này các cuộc tấn công từ chối dịch vụ đã diễn ra với một tỷ lệ lên tới 4000 cuộc tấn công mỗi tuần. Trong năm 2002, một cuộc tấn công từ chối dịch vụ [22] đã làm sập tới 9 trong số 13 máy chủ DNS root của toàn thế giới. Mức độ ảnh hưởng nghiêm trọng của các cuộc tấn công từ chối dịch vụ, mà đặc biệt được nhắc đến nhiều nhất là tấn công từ chối dịch vụ phân tán DDoS, đã dẫn đến một loạt các nghiên cứu nhằm hiểu rõ hơn về các cơ chế tấn công, để đưa tới các cách thức giúp có thể phòng chống ảnh hưởng tiêu cực của nó. Có nhiều phương pháp đã được đề xuất nhằm chống lại các cuộc tấn công từ chối dịch vụ, từ việc lọc các gói tin để tránh giả mạo địa chỉ nguồn, chuyển hướng tấn công, đẩy ngược luồng giao thông tấn công trở lại mạng, cách ly để phân biệt máy khách và giao thông máy chủ, … Mỗi giải pháp đó đều rất tốt, và cung cấp kĩ thuật giúp chúng ta định vị vấn đề tấn công từ chối dịch vụ. Song các phương pháp chỉ có thể bảo vệ lại từng khía cạnh của tấn công từ chối dịch vụ. Khóa luận của tôi trình bày một phương pháp phòng chống tấn công từ chối dịch vụ phân tán rất hiệu quả và toàn diện hơn thế. Đó là việc áp dụng kiến trúc mạng bao phủ, để bảo vệ mục tiêu khỏi sự tiếp cận của kẻ tấn công. Dựa trên kiến trúc mạng bao phủ, có một số đề xuất được đưa ra đó là kiến trúc SOS và WebSOS. Kiến trúc SOS sử dụng một mạng bao phủ để chỉ cho các truy vấn hợp pháp đã qua xác thực được phép đến server đích. Dựa vào việc sử dụng các node bí mật, và chỉ có giao thông từ các node này mới có thể đến được server đích, kiến trúc tỏ ra khá hiệu quả trong việc bảo vệ Website. Kế thừa kiến trúc SOS, WebSOS triển khai mạng bao phủ với một số cơ chế cải tiến như xác thực người dùng thông qua bài kiểm tra CAPTCHA, kết nối thông qua proxylet cùng với việc xác thiết lập kết nối SSL và xác thực X.509, nhằm tăng mức độ bảo mật hơn cho hệ thống. Để giúp cho WebSOS có thể tránh được cả các trường hợp các node trong mạng bao phủ bị chiếm dụng trở thành nguồn tấn công, chúng tôi đưa ra các đề xuất cải tiến nhằm tự động phát hiện, và thay đổi truy vấn để tránh được cuộc tấn công như vậy. 1 Phần tiếp theo của khóa luận được tổ chức như sau:Chương 1: Các phương thức tấn công từ chối dịch vụ nêu lên một cách tổng quan về các cách thức một kẻ tấn công phải thực hiện nhằm tạo ra một cuộc tấn công từ chối dịch vụ.Chương 2: Các phương pháp phòng chống tấn công từ chối dịch vụ đã được đề xuất trước đây. Nhiều phương pháp hiện nay vẫn là những nghiên cứu đáng quan tâm trong lĩnh vực phòng chống tấn công từ chối dịch vụ. Các phương pháp lọc, với sự phát triển của cơ sở hạ tấng mạng, nếu được thực hiện đồng bộ có thể giảm thiểu nguy cơ tấn công từ chối dịch vụ cho các Website.Chương 3: SOS và WebSOS, giới thiệu về cơ chế của hai kiến trúc bảo vệ Website khỏi tấn công từ chối dịch vụ thông qua việc sử dụng mạng bao phủ và node bí mật. Từ đó nêu lên các đặc điểm cốt lỗi được tôi sử dụng để tham gia vào kiến trúc được cải tiến nhằm phòng chống tấn công từ chối dịch vụ.Chương 4: Thực nghiệm, cải tiến và kết quả nêu lên những kết quả của tôi trong việc thực hiện triển khai mô hình kiến trúc WebSOS và các phân tích nhằm đưa ra cải tiến giúp hệ thống trở lên mạnh mẽ hơn chống lại các cuộc tấn công ngay từ trong các node thuộc mạng bao phủ khi một số node bị chiếm dụng trở thành nguồn tấn công. Chương 4 cũng đưa ra các kết quả đánh giá hiệu năng của kiến trúc nguồn WebSOS và kiến trúc cải tiến thông qua kịch bản tấn công được xây dựng và qua việc đo một số thông số về độ trễ truy vấn thực hiện qua mô hình các kiến trúc này.Chương 5: Kết luận tổng kết lại các kết quả đã đạt được, cùng với các kết quả mà nghiên cứu khóa luận hướng tới nhằm hoàn thiện mô hình để hướng tới mục tiêu có thể triển khai thực hiện.2 [...]... tấn công vào một mục tiêu nào đó Tuy nhiên, hầu hết các cuộc tấn công xảy ra khi kẻ tấn công phát đi một lệnh từ các handler đến các agent Trong vụ tấn công, giao thông điều khiển hầu hết đều giảm Tùy thuộc vào loại công cụ tấn công được sử dụng, những kẻ tấn công có thể hoặc không có khả năng phát lệnh dừng cuộc tấn công Thời hạn của cuộc tấn công thường được quy định tại lệnh của kẻ tấn công hay... tấn công đang thử nghiệm một số loại tấn công, chẳng hạn như tấn công tràn gói tin ICMP, TCP SYN, và UDP, trước khi chính thức tấn công thực sự nhằm vào nhiều mục tiêu 1.3 Các cách thức tấn công từ chối dịch vụ 7 Có một số phương pháp gây ra từ chối dịch vụ Tạo ra một hiệu ứng DoS là tất cả các cách có thể để phá hỏng hoặc làm cho hệ thống ngừng hoạt động Có nhiều cách để làm một hệ thống ngừng hoạt... kiểm soát bởi các thiết lập mặc định biến Một điểm khá tốt cho việc phòng thủ nếu kẻ tấn công rời khỏi mạng tấn công vào thời điểm tấn công tràn ngập đã bắt đầu Tuy nhiên, có khả năng là kẻ tấn công là quan sát các cuộc tấn công liên tục, tìm kiếm ảnh hưởng của nó vào các mục tiêu thử nghiệm Một số công cụ, như Shaft, có khả năng cung cấp phản hồi về thống kê tấn công tràn ngập Những kẻ tấn công đang thử...Chương 1: CÁC CÁCH THỨC TẤN CÔNG TỪ CHỐI DỊCH VỤ Một cuộc tấn công DDoS cần phải được chuẩn bị kỹ lưỡng bởi kẻ tấn công Trước tiên là bước chiếm dụng các máy khác làm lực lượng cho bản thân Việc này được thực hiện bằng cách tìm máy dễ bị tổn thương, sau đó đột nhập vào chúng, và cài đặt mã tấn công Tiếp theo đó, kẻ tấn công thiết lập các kênh giao tiếp giữa các máy, để chúng có thể được... trên máy tính này, nhưng, thay vào đó cho phép kẻ tấn công kiểm soát các máy chủ để làm cho chúng tạo ra các giao thông tấn công Kẻ tấn 6 công tập hợp một danh sách các hệ thống dễ bị tổn thương và, tại thời điểm vụ tấn công, có các agent thông qua danh sách này gửi các lệnh để bắt đầu khai thác các luồng giao thông Các lưu lượng truy cập tạo ra là hợp pháp Ví dụ, kẻ tấn công có thể lợi dụng một lỗ hổng... kiểm soát và tham gia cuộc tấn công một cách có phối hợp Việc này được thực hiện bằng cách sử dụng một kiến trúc handler/agent hoặc một điều khiển và kênh điều khiển thông qua mạng IRC Một khi các mạng DDoS được xây dựng, nó có thể được sử dụng để tấn công nhiều lần, chống lại các mục tiêu khác nhau 1.1 Thiết lập nên mạng Agent Tùy vào mỗi kiểu tấn công từ chối dịch vụ, kẻ tấn công cần tìm kiếm và thiết... kẻ tấn công khỏi việc phát động một cuộc tấn công bằng các nguồn thực và mang giá trị TTL chính xác, và do đó các cuộc tấn công bằng cách sử dụng các mạng bot lớn hoặc sâu với DDoS, mà không cần phải mạo địa chỉ nguồn để thành công, vẫn sẽ là một vấn đề Vì các loại tấn công trở nên dễ dàng ngày hôm nay, những kẻ tấn công chỉ cần áp dụng phương pháp này trên giả mạo địa chỉ nguồn để có thể vượt qua phòng. .. phương pháp này để làm việc Cách phòng chống này này không xử lý được vấn đề như các cuộc tấn công phân tán trong đó kẻ tấn công tạo ra các yêu cầu đủ để vắt kiệt các tài nguyên máy chủ hoặc tấn công vắt kiệt tài nguyên cho việc tạo puzzle hay tiêu thụ băng thông của đường mạng dẫn đến máy chủ 2.6 Biện pháp DefCOM DefCOM, đề xuất của Mirkovic [16] Nó là một hệ thống phân tán kết hợp bảo vệ nguồn cấp,... gây khó khăn cho kẻ tấn công trong việc phá hoại hoạt động dịch vụ của họ Loại bỏ tắc nghẽn và nâng cao năng lực có thể giải quyết các cuộc tấn công tài nguyên, tuy nhiên kẻ tấn công có thể đáp lại bằng các cuộc tấn công mạnh mẽ hơn nữa Và đối với các công ty có nguồn tài nguyên ít hơn so với Microsoft, vượt quá khả năng cung cấp và dịch vụ phân tán về mặt địa lý có thể không phải là một lựa chọn khả... tấn công cần phải tạo ra một dòng đều đặn các gói SYN đối với nạn nhân (để giành lấy những tài nguyên đã được giải phóng bởi thời gian tạm ngưng hoặc hoàn thành các phiên TCP) Đây là một cuộc tấn công đặc biệt nguy hiểm, khi mà máy chủ nhận được một số lượng lớn các gói SYN hợp pháp và không thể dễ dàng phân biệt các gói từ khách hàng hợp pháp với các gói từ giao thông tấn công Để thực hiện thành công . 19/05/2010Phạm Xuân Báchi TÓM TẮTPhòng chống tấn công từ chối dịch vụ, đặc biệt là các cuộc tấn công từ chối dịch vụ phân tán vào các Website vẫn đang là đề tài. về các cách thức một kẻ tấn công phải thực hiện nhằm tạo ra một cuộc tấn công từ chối dịch vụ. Chương 2: Các phương pháp phòng chống tấn công từ chối dịch