Luận án tiến sĩ - Giải pháp phát hiện nhanh hot-IP trong hệ thống mạng và ứng dụng

BỘ THÔNG TIN VÀ TRUYỀN THÔNG HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG ------------------ Huỳnh Nguyên Chính GIẢI PHÁP PHÁT HIỆN NHANH CÁC HOT-IP TRONG HỆ THỐNG MẠNG VÀ ỨNG DỤNG LUẬN ÁN TIẾN SĨ KỸ THUẬT HÀ NỘI – 2017 BỘ THÔNG TIN VÀ TRUYỀN THÔNG HỌC VIỆN CÔNG NGHỆ BƢU CHÍNH VIỄN THÔNG ------------------ Huỳnh Nguyên Chính GIẢI PHÁP PHÁT HIỆN NHANH CÁC HOT-IP TRONG HỆ THỐNG MẠNG VÀ ỨNG DỤNG Chuyên ngành: Hệ thống thông tin Mã số: 62.04 LUẬN ÁN TIẾN SĨ KỸ THUẬT Ngƣời hƣớng dẫn khoa học: 1. NGUYỄN ĐÌNH THÚC 2. TÂN HẠNH HÀ NỘI – 2017 i LỜI CAM ĐOAN Tôi xin cam đoan đây là công trình nghiên cứu do tôi thực hiện. Các số liệu và kết quả trình bày trong luận án là trung thực, chƣa đƣợc công bố bởi bất kỳ tác giả nào khác.

Tất cả những tham khảo từ các nghiên cứu liên quan đều đƣợc nêu nguồn gốc một cách rõ ràng trong danh mục các tài liệu tham khảo. Tác giả luận án Huỳnh Nguyên Chính ii LỜI CẢM ƠN Trong quá trình hoàn thành luận án này, tôi đã đƣợc quý thầy cô nơi cơ sở đào tạo giúp đỡ tận tình, cơ quan nơi công tác tạo mọi điều kiện thuận lợi, bạn bè cùng gia đình thƣờng xuyên động viên khích lệ. Luận án này không thể hoàn thành tốt nếu không có sự tận tình hƣớng dẫn và sự giúp đỡ quý báu của PGS.TS Nguyễn Đình Thúc và TS. Tôi xin đƣợc bày tỏ lòng biết ơn sâu sắc nhất đến hai thầy.

Tôi xin chân thành cảm ơn lãnh đạo Học viện Công nghệ Bƣu chính Viễn thông, Khoa Quốc tế và Đào tạo sau đại học đã tạo điều kiện thuận lợi, hỗ trợ hoàn thành các thủ tục để giúp tôi hoàn thành đƣợc luận án của mình. Cuối cùng, tôi xin cảm ơn tất cả bạn bè và ngƣời thân đã đóng góp nhiều ý kiến thiết thực và có những lời động viên khích lệ quý báu giúp tôi hoàn thành tốt luận án. Hà Nội, tháng 04 năm 2017 iii MỤC LỤC LỜI CAM ĐOAN .ii MỤC LỤC. iii DANH MỤC CÁC TỪ VIẾT TẮT .vii DANH MỤC CÁC BẢNG.

x DANH MỤC CÁC HÌNH VẼ. xi DANH MỤC CÁC KÝ HIỆU. xiv MỞ ĐẦU. LÝ DO CHỌN ĐỀ TÀI.

MỤC TIÊU NGHIÊN CỨU. Mục tiêu tổng quát. Các mục tiêu cụ thể. ĐỐI TƢỢNG, PHẠM VI NGHIÊN CỨU.

PHƢƠNG PHÁP NGHIÊN CỨU. NHỮNG ĐÓNG GÓP CHÍNH CỦA LUẬN ÁN. GIỚI THIỆU TỔNG QUAN VỀ NỘI DUNG LUẬN ÁN. TỔNG QUAN VỀ HOT-IP TRÊN MẠNG.

MỘT SỐ KHÁI NIỆM VÀ ĐỊNH NGHĨA. VỊ TRÍ THU THẬP VÀ XỬ LÝ DỮ LIỆU. CÁC NGHIÊN CỨU LIÊN QUAN. Các nghiên cứu về tấn công DoS/DDoS.

Các nghiên cứu về sâu Internet. Các nghiên cứu về thuật toán phát hiện phần tử tần suất cao. Phƣơng pháp thử nhóm. GIẢI PHÁP PHÁT HIỆN HOT-IP.

KẾT LUẬN CHƢƠNG 1. PHÁT HIỆN CÁC HOT-IP SỬ DỤNG THỬ NHÓM BẤT ỨNG BIẾN. GIỚI THIỆU VỀ THỬ NHÓM. THỬ NHÓM BẤT ỨNG BIẾN.

MA TRẬN D-PHÂN-CÁCH. PHÁT HIỆN HOT-IP DÙNG THỬ NHÓM BẤT ỨNG BIẾN. Phát biểu bài toán. Giải pháp phát hiện các Hot-IP.

Những vấn đề nghiên cứu đặt ra. ĐỀ XUẤT THUẬT TOÁN CẢI TIẾN. Thuật toán cải tiến 1 – “Online Hot-IP Detecting”. Thuật toán cải tiến 2 – “Online Hot-IP Preventing”.

KẾT LUẬN CHƢƠNG 2. NÂNG CAO HIỆU QUẢ PHÁT HIỆN HOT-IP BẰNG MỘT SỐ KỸ THUẬT KẾT HỢP. VẤN ĐỀ KÍCH THƢỚC MA TRẬN PHÂN CÁCH. Sự ảnh hƣởng của kích thƣớc ma trận.

Lựa chọn các tham số. KIẾN TRÚC PHÂN TÁN. Kiến trúc phân tán phát hiện Hot-IP. Kịch bản thực nghiệm và kết quả.

GIẢI PHÁP SONG SONG. Xử lý song song trong bài toán thử nhóm. Kịch bản thực nghiệm và kết quả. KẾT LUẬN CHƢƠNG 3.

MỘT SỐ ỨNG DỤNG PHÁT HIỆN CÁC HOT-IP. PHÁT HIỆN CÁC ĐỐI TƢỢNG CÓ KHẢ NĂNG LÀ MỤC TIÊU, NGUỒN PHÁT TRONG TẤN CÔNG TỪ CHỐI DỊCH VỤ. Ý nghĩa thực tiễn. Vấn đề nghiên cứu đặt ra.

Mô hình hóa về bài toán phát hiện Hot-IP. Kịch bản thực nghiệm và kết quả. PHÁT HIỆN CÁC ĐỐI TƢỢNG CÓ KHẢ NĂNG LÀ NGUỒN PHÁT TÁN SÂU INTERNET. Ý nghĩa thực tiễn.

Vấn đề nghiên cứu đặt ra. Mô hình hóa về bài toán phát hiện Hot-IP. Kịch bản thực nghiệm và kết quả. PHÁT HIỆN CÁC THIẾT BỊ CÓ KHẢ NĂNG HOẠT ĐỘNG BẤT THƢỜNG.

Ý nghĩa thực tiễn. Vấn đề nghiên cứu đặt ra. Mô hình hóa về bài toán phát hiện Hot-IP. Kịch bản thực nghiệm và kết quả.

GIÁM SÁT CÁC HOT-IP. Ý nghĩa thực tiễn. Vấn đề nghiên cứu đặt ra. Kịch bản thực nghiệm và kết quả.

KẾT LUẬN CHƢƠNG 4. CÁC KẾT QUẢ ĐẠT ĐƢỢC. HƢỚNG PHÁT TRIỂN .141 CÁC CÔNG TRÌNH NGHIÊN CỨU CỦA TÁC GIẢ. 142 vi TÀI LIỆU THAM KHẢO.

144 vii DANH MỤC CÁC TỪ VIẾT TẮT Thuật ngữ Diễn giải tiếng Anh Diễn giải tiếng Việt AGT Adaptive Group Testing Thử nhóm ứng biến AS Autonomous System Hệ thống tự trị BGP Border Gateway Protocol Giao thức định tuyến BGP Bps Bits per second Số lƣợng bit/giây CGT Combinatorial Group Testing Thử nhóm tổ hợp CMH Count-Min Count-Min CS Count-Sketch Count-Sketch DDoS Distributed Denial of Service Từ chối dịch vụ phân tán DoS Denial of Service Từ chối dịch vụ F Frequent Thuật toán Frequent thuộc loại Counter-based HTTP Hyper Text Transfer Protocol Giao thức truyền siêu văn bản ICMP Internet Control Message Protocol Giao thức bản tin điều khiển Internet IDS Intrusion Detection System Hệ thống phát hiện xâm nhập IP Internet Protocol Địa chỉ của các thiết bị trên mạng IPS Intrusion Prevention System Hệ thống phòng chống xâm nhập viii ISP Internet Service Provider Nhà cung cấp dịch vụ Internet LCD Lossy Counting Thuật toán LossyCounting thuộc loại counter-based MDS Maximun Distance Separable Phân ly khoảng cách tối đa MIMD Multiple Instruction Stream, Kiến trúc song song, nhiều lệnh Multiple data stream khách nhau có thể đồng thời xử lý nhiều dữ liệu khác nhau trong cùng thời điểm MISD Multiple Instruction Stream, Single Kiến trúc song song, nhiều lệnh data stream cùng thao tác trên một dữ liệu NAGT Non-Adaptive Group Testing Thử nhóm bất ứng biến OSI Open Systems Interconnection Mô hình tham chiếu OSI Pps Packets per second Số lƣợng gói tin/giây PVM Parallel Virtual Machine Máy ảo song song RPC Remote Procedure Call Lời gọi thủ tục từ xa RS Reed-Solomon Reed-Solomon SIMD Single Instruction stream, Multiple Kiến trúc song song, một lệnh data stream đƣợc thực hiện đồng thời trên các dữ liệu khác nhau SISD Single Intruction stream, single Kiến trúc song song, tại mỗi thời data stream điểm chỉ một lệnh đƣợc thực hiện ix SNMP Single Network Management Giao thức quản trị mạng đơn giản Protocol SSH Space Saving Heap Thuật toán SpaceSaving sử dụng cấu trúc Heap SSL Space Saving Link Thuật toán SpaceSaving sử dụng danh sách liên kết URL Uniform Resource Locator Thuật ngữ dùng để chỉ tên của trang Web cần truy cập x DANH MỤC CÁC BẢNG Bảng 1. Các giải pháp sử dụng trong các giai đoạn tấn công. Phân nhóm các phƣơng pháp tìm phần tử tần suất cao. Thời gian giải mã của phƣơng pháp thử nhóm và “counter-based”.

Xây dựng ma trận d-phân-cách. Các phƣơng pháp xây dựng ma trận d-phân-cách. Số lƣợng địa chỉ IP qua router của một ISP ở New Zealand. Số lƣợng gói tin và địa chỉ IP đi qua mạng lõi chuyển tiếp WIDE.

Phân bố tần suất xuất hiện của các IP phân biệt từ dữ liệu nhóm WAND. Thời gian giải mã của thuật toán thử nhóm và thuật toán cải tiến. So sánh độ chính xác của thử nhóm bất ứng biến truyền thống và cải tiến. Thời gian giải mã với kích thƣớc ma trận khác nhau.

Thời gian giải mã với ma trận con xây dựng từ RS-[31,5]32. Thời gian giải mã với ma trận xây dựng từ RS-[15,5]16. Thời gian giải mã theo N, t và d=31. Xác định địa chỉ đại diện cho các địa chỉ mạng.

Kết quả thực nghiệm xử lý tuần tự và song song. Kết quả thực nghiệm thuật toán cải tiến 1. Kết quả thực nghiệm thuật toán cải tiến 2. Kết quả dò tìm các Hot-IP trên mạng.

Thời gian giải mã phát hiện các Hot-IP và Low-IP. 133 xi DANH MỤC CÁC HÌNH VẼ Hình 1. Cấu trúc của IPv4-header trong gói tin IPv4. Cấu trúc của IPv6-header trong gói tin IPv6.

Vị trí thu thập dữ liệu dạng Inline. Vị trí thu thập dữ liệu dạng Promiscuous. Tấn công DoS và DDoS. Quá trình bắt tay 3 bƣớc và tấn công TCP SYN.

Quá trình đóng gói dữ liệu bên máy gửi. Quá trình vận chuyển dữ liệu qua mạng. Các giai đoạn phát tán và giải pháp phòng chống sâu mạng. So sánh các thuật toán loại “counter-based”.

Cấu trúc dữ liệu sketch. So sánh các thuật toán loại “sketch”. Đồ thị so sánh độ chính xác các thuật toán. Đồ thị so sánh độ chính xác các thuật toán trên dữ liệu thật.

Biểu đồ thời gian giải mã của “Group Testing” và “counter-based”. Biểu đồ thời gian giải mã của “Group Testing” và “counter-based” với số lƣợng đối tƣợng lớn. Ma trận nhị phân d-phân-cách .Ví dụ về giải mã phát hiện các Hot-IP. Loại các cột tại m1j=1 tƣơng ứng với r1=0.

Loại các cột tại m3j=1 tƣơng ứng với r3=0. Loại các cột tại m4j=1 tƣơng ứng với r4=0. Số lƣợng gói tin qua router và phân loại theo nguồn. Tiến trình thực hiện giải pháp.

Lƣu đồ giải pháp hạn chế ảnh hƣởng của các Hot-IP. Các tham số hệ thống của máy chủ khi bị tấn công DDoS. Các thông số máy chủ khi cài giải pháp ngăn chặn Hot-IP. Các Hot-IP bị khóa trong một chu kỳ thuật toán.

Sự tƣơng quan giữa bps và pps. Lựa chọn tham số N cho các bộ dò Hot-IP. Vị trí đặt các bộ dò ở gateway hệ thống mạng. Kiến trúc phân tán các ngõ vào của hệ thống.

Kiến trúc phân tán với các detector đƣợc quản lý tập trung. Kiến trúc phân tán và giao tiếp ngang hàng giữa các bộ dò Hot-IP. Sơ đồ thực nghiệm kiến trúc phân tán phát hiện các Hot-IP. Thu thập dữ liệu đầu vào dạng phân tán.

Mô hình tính toán song song kết nối giữa router biên và các server. Song song các bƣớc tính toán kết quả các nhóm thử. Mô hình thực nghiệm xử lý song song. Biểu đồ thời gian giải mã xác định các Hot-IP.

Mô hình tấn công từ chối dịch vụ. Mô hình mạng thực nghiệm phát hiện tấn công DDoS. Sơ đồ thực nghiệm phòng chống tấn công DDoS. Mô hình tấn công của Trinoo.

Các cổng giao tiếp giữa các thành phần của Trinoo. Máy chủ nạn nhân bị tấn công .