Phát hiện và phòng chống một số dạng tấn công từ chối dịch vụ phân tán luận án t

BỘ GIÁO DỤC VÀ ĐÀO TẠO TRƯỜNG ĐẠI HỌC BÁCH KHOA HÀ NỘI Trần Mạnh Thắng PHÁT HIỆN VÀ PHÒNG CHỐNG MỘT SỐ DẠNG TẤN CÔNG TỪ CHỐI DỊCH VỤ PHÂN TÁN Ngành: Kỹ thuật phần mềm Mã số: 9480103 LUẬN ÁN TIẾN SĨ KỸ THUẬT PHẦN MỀM NGƯỜI HƯỚNG DẪN KHOA HỌC: 1. Nguyễn Linh Giang Hà Nội - 2019 LỜI CAM ĐOAN Tôi xin cam đoan tất cả các nội dung trong luận án “Phát hiện và phòng chống một số dạng tấn công từ chối dịch vụ phân tán” là công trình nghiên cứu của riêng tôi dưới sự hướng dẫn của tập thể hướng dẫn. Các số liệu, kết quả trong luận án là trung thực và chưa từng được tác giả khác công bố trong bất kỳ công trình nào. Việc tham khảo các nguồn tài liệu đã được thực hiện trích dẫn và ghi nguồn tài liệu tham khảo quy định.

Hà Nội, ngày 11 tháng 3 năm 2019 Tập thể hướng dẫn Nghiên cứu sinh PGS.TS Nguyễn Khanh Văn PGS.TS Nguyễn Linh Giang Trần Mạnh Thắng i LỜI CẢM ƠN Trước hết, tôi xin trân trọng cảm ơn Trường Đại học Bách Khoa Hà Nội, Phòng Đào tạo, Viện Công nghệ thông tin và Truyền thông, các thầy cô cùng các bạn đã tạo điều kiện thuận lợi và đóng góp nhiều ý kiến quý báu giúp tôi hoàn thành bản luận án này. Đặc biệt, tôi xin bày tỏ lòng biết ơn chân thành và sâu sắc đến hai Thầy hướng dẫn khoa học, PGS. Nguyễn Khanh Văn và PGS. Nguyễn Linh Giang đã hết lòng hướng dẫn, giúp đỡ và tạo mọi điều kiện thuận lợi cho tôi trong suốt quá trình thực hiện Luận án.

Tôi xin cảm ơn gia đình và người thân đã luôn bên tôi, ủng hộ và động viên tôi trong suốt quá trình nghiên cứu. Tôi xin chân thành cảm ơn! Hà Nội, ngày 11 tháng 3 năm 2019 Nghiên cứu sinh Trần Mạnh Thắng ii MỤC LỤC LỜI CAM ĐOAN. ii MỞ ĐẦU. Tính cấp thiết của đề tài.

Đối tượng nghiên cứu và phương pháp nghiên cứu. Nội dung nghiên cứu. Ý nghĩa khoa học và ý nghĩa thực tiễn của luận án. Điểm mới của luận án.

Cấu trúc của luận án. TỔNG QUAN VỀ TẤN CÔNG VÀ PHÒNG CHỐNG TẤN CÔNG DDOS. Tổng quan về tấn công từ chối dịch vụ phân tán DDoS. Các dạng tấn công DDoS phổ biến.

Tấn công DDoS ở lớp mạng. Tấn công DDoS vào lớp ứng dụng. Các công cụ tấn công DDoS phổ biến. Những thách thức trong việc phát hiện và phòng chống tấn công DDoS.

Tổng quan về các phương pháp phòng chống tấn công DDoS. Nhóm phương pháp phòng chống tấn công lớp mạng. Nhóm phương pháp áp dụng ở gần nguồn tấn công. Nhóm phương pháp áp dụng ở phía đối tượng được bảo vệ.

Nhóm phương pháp áp dụng ở hạ tầng mạng trung gian. Nhóm phương pháp kết hợp. Nhóm phương pháp phòng chống tấn công lớp ứng dụng. Nhóm phương pháp áp dụng ở phía đối tượng được bảo vệ.

Nhóm phương pháp kết hợp. Nhóm các phương pháp theo giai đoạn phòng chống. Giai đoạn phòng thủ. Giai đoạn phát hiện tấn công.

Giai đoạn xử lý tấn công. Phân tích lựa chọn phương pháp theo vị trí triển khai. Các nghiên cứu liên quan đến phòng chống tấn công TCP Syn Flood. Các nghiên cứu liên quan đến phòng chống tấn công Web App-DDoS.

Nghiên cứu tiêu chí đánh giá hiệu quả phương pháp. Nghiên cứu, khảo sát về đánh giá thực nghiệm. Khảo sát các tập dữ liệu đánh giá thực nghiệm. Đánh giá thực nghiệm với tấn công TCP Syn Flood và Web App-DDoS.

Kết luận chương 1. PHÁT HIỆN VÀ PHÒNG CHỐNG TẤN CÔNG TCP SYN FLOOD. Giới thiệu bài toán. Tổng quan về nội dung nghiên cứu trong chương 2.

Về hạn chế và phạm vi ứng dụng của phương pháp giải quyết. Tổng quan về dạng tấn công TCP Syn Flood. Mô hình triển khai phương pháp phát hiện và phòng chống tấn công TCP Syn Flood. Mô hình tổng thể và các thành phần cơ bản.

Nguyên lý hoạt động cơ bản. Phát hiện tấn công TCP Syn Flood. Phát hiện và loại bỏ các gói tin giả mạo trong tấn công DDoS TCP Syn Flood. Đặc trưng của các gói tin IP được gửi đi từ cùng một máy nguồn.

Kiểm chứng giả thuyết về tính chất tăng dần của giá trị PID. Kiểm chứng giả thuyết PID dựa trên quan sát ngẫu nhiên.2 Kiểm chứng giả thuyết PID trên toàn bộ tập dữ liệu thu được. Giải pháp phát hiện và loại bỏ các gói tin giả mạo PIDAD1. Thuật toán DBSCAN.

Giải pháp PIDAD1. Giải pháp phát hiện và loại bỏ các gói tin giả mạo PIDAD2. Cơ chế thuật toán lọc bỏ nhanh gói tin giả mạo. Phân tích đánh giá về giải pháp PIDAD2 trên góc độ lý thuyết.

Tăng tốc độ xử lý của giải pháp PIDAD2 với thuật toán Bloom Filter. Phương pháp xác thực địa chỉ IP nguồn. Đánh giá thực nghiệm. Xây dựng mô hình và dữ liệu đánh giá thực nghiệm.

Đánh giá thực nghiệm cho giải pháp PIDAD1 và PIDAD2. Giải pháp PIDAD1. Giải pháp PIDAD2. So sánh hiệu quả của giải pháp PIDAD1 và PIDAD2.

So sánh hiệu quả của giải pháp PIDAD2 với các giải pháp khác. Kết luận chương 2. PHÁT HIỆN VÀ PHÒNG CHỐNG TẤN CÔNG WEB APP-DDOS. Giới thiệu bài toán.

Tổng quan về tấn công Web App-DDoS. Ứng dụng Web. Nguyên lý hoạt động. Giao thức HTTP.

Đặc trưng và thách thức trong phòng chống tấn công Web App-DDoS. Một số đặc trưng của tấn công Web App-DDoS. Vấn đề khó khăn trong phòng, chống tấn công Web App-DDoS. Mô hình, phương pháp phòng chống tấn công Web App-DDoS.

Mô hình tổng thể và các thành phần cơ bản. Nguyên lý hoạt động cơ bản. Phát hiện tấn công Web App-DDoS. Tiêu chí phát hiện tấn công dựa trên tần suất truy nhập.

Tiêu chí phát hiện tấn công dựa vào thời gian truy cập ngẫu nhiên. Phòng chống tấn công Web App-DDoS sử dụng phương pháp FDDA. Ý tưởng cơ bản của phương pháp FDDA. Các khái niệm sử dụng trong phương pháp FDDA.

Thiết lập tham số đầu vào cho phương pháp FDDA. Tiêu chí về tần suất truy cập. Thiết kế bảng dữ liệu lưu vết truy cập TraTab. Thiết lập tham số đầu vào và cơ chế đồng bộ.

Thuật toán chi tiết tính tần suất f thời gian thực. Cài đặt thuật toán. Tìm và loại bỏ nhanh các nguồn gửi yêu cầu tấn công tần suất cao. Xây dựng tiêu chí tương quan trong phương pháp FDDA .1 Xây dựng tập dữ liệu tương quan.

Thiết kế cấu trúc dữ liệu cho thuật toán. Phát hiện nguồn gửi tấn công sử dụng tập dữ liệu tương quan. Thuật toán xử lý tấn công của phương pháp FDDA. Đánh giá thực nghiệm.

Tạo dữ liệu thử nghiệm. Đánh giá thử nghiệm phương pháp FDDA. Kết quả xác định nguồn gửi yêu cầu tấn công theo tiêu chí tần suất. Kết quả xây dựng tập yêu cầu tương quan.

Kết quả đánh giá thử nghiệm phương pháp FDDA. So sánh hiệu quả của phương pháp FDDA với các phương pháp khác. Kết luận chương 3. 102 KẾT LUẬN VÀ ĐỀ XUẤT.

Kiến nghị, đề xuất. 104 DANH MỤC CÁC CÔNG TRÌNH ĐÃ CÔNG BỐ CỦA LUẬN ÁN. 105 TÀI LIỆU THAM KHẢO. 106 vi BẢN DANH MỤC CÁC KÝ HIỆU VÀ CHỮ VIẾT TẮT Các chữ viết tắt STT Chữ viết tắt Tiếng Anh Tiếng Việt 1 CSDL Database Cơ sở dữ liệu Tập hợp các mạng có cùng chính sách 2 AS Autonomous System định tuyến và thường thuộc quyền quản lý, khai thác của một chủ thể.

Open Systems Mô hình tham chiếu kết nối các hệ 3 OSI Interconnection thống mở Distributed Denial of 4 DDoS Tấn công từ chối dịch vụ phân tán Service Density-based spatial Thuật toán gom nhóm các phần tử dựa 5 DBSCAN clustering of applications trên mật độ with noise 6 IP Internet Protocol Giao thức Internet 7 ISP Internet service provider Nhà cung cấp dịch vụ Internet Transmission Control 8 TCP Giao thức điều khiển truyền vận Protocol 9 TTL Time to Live Thời gian sống của gói tin 10 RTT Round Trip Time Thời gian trễ trọn vòng 11 MSS Maximum Segment Size Chiều dài tối đa kích thước thông tin 12 DF Do not Fragment Gói tin không phân mảnh 13 TL Total length Chiều dài gói tin Framework for Fast Phương pháp phát hiện nhanh nguồn Detecting Source Attack In 14 FDDA gửi yêu cầu tấn công DDoS vào ứng Web Application DDoS dụng Web. Attack 15 TL Internet Relay Chat Giao thức gửi nhận tin nhắn 16 IoT Internet of Things Internet kết nối vạn vật vii BẢN DANH MỤC CÁC BẢNG Bảng 1.1 So sánh hiệu quả của phương pháp phòng chống tấn công lớp mạng .2 So sánh hiệu quả của phương pháp phòng chống tấn công lớp ứng dụng .3 Bảng tiêu chí đánh giá hiệu quả phòng thủ .4 Bảng thông tin về tập các dữ liệu kiểm thử .1 Kiểm chứng giá trị PID trên tập dữ liệu DARPA .2 Kiểm chứng giá trị PID trên tập dữ liệu ĐHBK .3 Kiểm chứng tỷ lệ gói tin có giá trị PID tăng dần .4 Quy mô tấn công giả định và xác suất lỗi .5 Bảng tham số điểu khiển tấn công .6 Kết quả thực nghiệm của phương pháp PIDAD1 .7 Kết quả thực nghiệm phương pháp PIDAD2 .1 CSLD của thành phần Web App-DDoS Defence .2 Bảng cấu trúc lệnh tấn công DDoS lớp ứng dụng.3 Bảng thực nghiệm xác định tần suất truy cập .4 Kết quả thực nghiệm của phương pháp FDDA .5 Bảng so sánh kết quả thực nghiệm giữa FDDA và KNN,NB. 101 viii BẢN DANH MỤC CÁC HÌNH VẼ, ĐỒ THỊ Hình 1.1 Thành phần cơ bản của mạng Botnet .2 Phân loại phương pháp phòng chống tấn công DDoS .2 Thành phần TCP Syn Flood Defence .3 Mô hình hệ thống phát hiện và xử lý tấn công DDoS Syn Flood.4 Cơ chế giả mạo IP của tin tặc .5 Phương pháp xác định tần số xuất hiện gói tin TCP Reset .7 Thuật toán DBSCAN .8 Thuật toán PIDAD1 trong Training phase .9 Thuật toán của prương pháp PIDAD1 .10 Sơ đồ giải pháp PIDAD2 .11 Thuật toán giải pháp PIDAD2 .12 Hình minh họa thuật toán Bloom filter.13 Mô hình xác thực địa chỉ IP nguồn.14 Phương pháp xác thực địa chỉ IP nguồn sử dụng Bloom Filter .15 Mô hình hệ thống đánh giá thực nghiệm .16 Thành phần hệ thống thực nghiệm trên máy chủ vật lý 01 .17 Thành phần hệ thống thực nghiệm trên máy chủ vật lý 02 .18 Thành phần hệ thống thực nghiệm trên máy chủ vật lý 03 .19 Tỷ lệ phát hiện đúng gói tin giả mạo của giải pháp PIDAD và PIDAD2 .