slide.com

Get Your Own! | View Slideshow

''Quái thú DDoS'' và bản ngã của con người

(VietNamNet) - Tại sao DDoS - Một hình thái tấn công từ chối dịch vụ đã được các hacker chân chính không còn thừa nhận nữa - lại đang phổ biến và trở thành thứ vũ khí nguy hiểm đến mức không thể chống đỡ? Trong nhiều nguyên nhân, có một điều đau lòng là DDoS phát sinh từ chính những tham vọng xấu khi làm chủ và điều khiển được thông tin của những cá nhân. VietNamNet xin giới thiệu đến bạn đọc một bài viết mang tính tổng hợp và nghiên cứu khá bao quát của một chuyên gia lâu năm về bảo mật trên website conmaz.com về "DDoS và bản ngã của con người": >> Nguy cơ phá sản vì bị tấn công DDoS >>"Hãy nói KHÔNG với DDos!" >>Đấu tranh với các hành vi xấu trên mạng: Cần luật! >>Tìm hiểu về tấn công từ chối dịch vụ DoS "Human is error" Nhiều năm làm việc trong lĩnh vực infosec với không ít kỷ niệm vui buồn, thứ duy nhất làm tôi cảm thấy không trọn vẹn trong nghề nghiệp chính là "quái thú DDOS". Suy cho cùng tất cả mọi vấn đề phức tạp của Internet đều xuất phát từ con người. Chúng ta đã để cho bản ngã dẫn dắt, chúng ta đã tạo điều kiện và nuôi dưỡng con quái thú này." Rồi một ngày nào đó, chính nó sẽ huỷ diệt một hệ thống giao tiếp lớn nhất và hữu ích nhất hiện tại. Câu nhận định của người xưa - "Human is error" - nghe thật xót xa nhưng cũng thật chí lý! Một Internet đầy khiếm khuyết Cho đến tận bây giờ Internet vẫn mang trong mình nó những khiếm khuyết từ lúc nó được xây dựng – những khiếm khuyết của quá trình thiết kế ra Internet. Một số khiếm khuyết là do giới hạn về tầm nhìn và sự chủ quan, đa số các khiếm khuyết còn lại là do con người vô tình hay cố tình tạo ra: Người Mỹ áp đặt free speak – Internet nặc danh toàn phần Thật khó tin, một hệ thống với hơn 1 tỷ người tham gia sử dụng lại không hề có cơ chế định danh người dùng! Điều này có nghĩa là bản chất thiết kế của Internet không hề đòi hỏi người dùng phải xác thực khi sử dụng. Muốn dùng internet? Bạn chỉ cần ngồi vào bất cứ máy tính nào có kết nối và sử dụng nó. Internet không quan tâm danh tính, dấu vân tay ... , hay bất cứ thứ gì khác ở bạn! Rất ít người dám chạy ra đường và … cướp giật một thứ gì đó của người khác. Nhưng ở trên Internet, họ sẽ rất tự tin khi thực hiện một hành vi xấu, bởi vì họ biết Internet che chở cho họ! Theo tôi nghĩ, nếu muốn người Mỹ đã có thể tạo ra một Internet an toàn hơn bằng cách "ép buộc" mọi người dùng xác thực danh tính trước khi sử dụng. Về kỹ thuật điều này có thể hiện thực rất đơn giản, bạn có thể hình dung trước khi có thể sử dụng internet bạn phải cung cấp dấu vân tay để kích hoạt network interface! Người Mỹ không quan tâm đến vấn đề này, vì họ thích free speak và "áp đặt" đặc tính free speak cho toàn Internet. Loài người sử dụng Internet-nặc danh, họ sẽ rất tự tin để free speak. Tuy nhiên, khi nặc danh loài người lại trở nên rất hoang dã và thể hiện rõ nét đặc tính "con" của mình. Họ tấn công lẫn nhau, đánh cướp, v..v. Về kỹ thuật, giao tiếp trên Internet là trực tiếp thuần tuý. A giao tiếp với B sẽ không cần phải xin phép C, bản chất thiết kế của Internet hỗ trợ điều này và mọi nỗ lực kiểm soát thông tin của C sẽ dễ dàng bị vô hiệu hoá. Bạn có thể nhìn thấy điều này với các website bị firewall bởi ISP sẽ dễ dàng bị vô hiệu bằng vô số proxy trên Internet hoặc các kỹ thuật tunneling. Internet là do người Mỹ thiết kế, quản lý, kiểm soát, khai thác và họ có khả năng áp đặt !!! Loài người hành xử cục bộ - Internet thiếu khả năng phối hợp Có rất nhiều vấn đề của Internet về phương diện kỹ thuật rất dễ giải quyết, nhưng do chúng ta hành xử cục bộ nên đã không giải quyết được. Điển hình là vấn đề giả mạo địa chỉ IP. Nếu triệt tiêu được khả năng giả mạo địa chỉ IP thì gần như giải được 80% bài toán nặc danh và cả những bài toán khác của Internet. Yêu cầu kỹ thuật để loại trừ vấn đề giả mạo địa chỉ IP là mỗi network owner phải thực hiện lọc (filter) kiểm soát các packet đi ra khỏi hệ thống của mạng mình và loại trừ các packet có địa chỉ nguồn không thích hợp. Làm việc này mất năm phút, đơn giản là thêm vào vài dòng trong access list của border router. Hơn hai mươi năm qua, vấn đề giả mạo địa chỉ vẫn không giải quyết được! Đơn giản chỉ vì việc giả mạo địa chỉ IP không ảnh hưởng trực tiếp đến network owner – chủ nghĩa "mặc kệ nó" điển hình. Điều gì sẽ xảy ra nếu các quốc gia không phối hợp với nhau để giải quyết các vấn nạn của Internet. Một số hệ thống của nước X bị hacker nước Z sử dụng để tấn công mạng của nước Y, các quốc gia này sẽ phối hợp với nhau như thế nào? Làm sao để trừng phạt hành vi của hacker nếu không có thoả thuận về luật ??! Hiện tại hầu như chưa có bước tiến nào của các quốc gia trong việc chuẩn bị cho các khả năng này! Bản chất của "quái thú" DDOS Tấn công DDOS không có gì phức tạp về phương diện kỹ thuật. Định nghĩa đơn thuần của tấn công DDOS : "Là một kiểu tấn công đưa một hệ thống cung cấp dịch vụ đến mức hoạt động tới hạn về tài nguyên, hay gây nhầm lẫn logic dẫn đến hệ thống ngừng hoạt động". Tôi không giải thích nhiều bản chất của DDOS, nhưng chỉ muốn so sánh hai dạng thức cổ điển và hình thái mới của DDOS là Flash-DDOS. Hình thái DDOS cổ điển Vấn đề then chốt của hacker tấn công bằng hình thái cổ điển là nắm quyền điều khiển càng nhiều máy tính càng tốt, sau đó anh ta sẽ trực tiếp phát động tấn công hàng loạt từ xa thông qua một kênh điều khiển. Với quy mô mạng lưới tấn công bao gồm vài trăm nghìn máy, hình thái này có thể đánh gục ngay lập tức bất cứ hệ thống nào. Phối hợp với khả năng giả mạo địa chỉ IP, kiểu tấn công này sẽ rất khó lần theo dầu vết. Mô hình Hình thái DDOS cổ điển Mô hình này có một số nhược điểm: - Mạng lưới tấn công là cố định và tấn công xảy ra đồng loạt nên rất dễ điều tra ngược tìm manh mối. - Software cài lên các Infected Agent là giống nhau và có thể dùng làm bằng chứng kết tội hacker. - Phía nạn nhân có thể điều chỉnh hệ thống phòng vệ để ngăn chặn vì mạng lưới tấn công là "khả kiến". - Hacker buộc phải trực tiếp kết nối đến mạng lưới các máy tấn công tại thời điểm tấn công để điều khiển nên rất dễ lần ra thủ phạm. Flash-DDOS Lợi dụng tính phổ biến và khả năng có thể thực hiện vai trò của web client của Flash player (hầu như có trong mọi trình duyệt trên Internet hiện tại) hacker tiến hành "cải tiến" mô hình DDOS cổ điển. Hacker treo một file flash trên một website trung gian có nhiều người truy xuất, người dùng truy xuất website này file flash sẽ được tải về máy và được chương trình Flash thực thi. Từ đây vô số các yêu cầu truy xuất sẽ gởi đến website mục tiêu. Không thể chặn Flash DDoS ! Flash DDOS có một số đặc tính khiến cho việc ngăn chặn và phát hiện gần như là không thể: - Mạng lưới tấn công phức tạp và tự hình thành: + Không cần thiết phải nắm quyền điều khiển và cài DDOS software vào các infected agent. Thay vào đó mọi user với một trình duyệt có hỗ trợ nội dung Flash (có Flash player) sẽ trở thành công cụ tấn công. + Số lượng attack agent tùy thuộc vào số lượng user truy xuất các 3rd party website đã bị hacker "nhúng" nội dung flash, số lượng này thay đổi theo thời gian và hoàn toàn không thể nhận biết địa chỉ IP nguồn, vì đây là các user thông thường. + Không hề có quá trình gởi lệnh và nhận báo cáo giữa hacker và mạng lưới tấn công, toàn bộ lệnh tấn công được "nhúng" trong nội dung flash và hacker không cần nhận báo cáo do đây là mô hình tấn công bất đồng bộ. + Tấn công bất đồng bộ: việc tấn công diễn ra không cần có mệnh lệnh. User truy xuất 3rd party website, load nội dung flash về trình duyệt và Flash player thực thi nội dung flash thì ngay lập tức máy của họ trở thành một attack agent-liên tục gởi hàng trăm request đến webserver nạn nhân. + Quy mô tấn công phụ thuộc vào số lượng 3rd party website bị lợi dụng và số lượng user thường xuyên truy xuất các website này. Chỉ tính trung bình hacker lợi dung được 10 3rd party website và mỗi website này có số lượng truy xuất khoảng 100 user tại một thời điểm thì tổng số request mà server nạn nhân phải hứng chịu tại một thời điểm lên đến con số vài chục ngàn!!! Đây là một số liệu kinh hoàng với bất kỳ ai làm quản tri hệ thống của bất cứ website nào và kết quả thường là hệ thống tê liệt ngay lập tức! Phòng chống Flash-DDOS là cực kỳ khó khăn, Vì sao vậy? + Không thể phân biệt giữa request tấn công và request thông thường vào hệ thống. Khi số lượng request đến hệ thống rất lớn thì người quản trị sẽ cần "gạt bỏ" bớt các request tấn công, tuy nhiên anh ta sẽ gặp khó khăn trong việc "tìm và diệt" request tấn công. + Tấn công đến từ mọi phía: có mạng lưới tấn công linh hoạt nên hầu như không thể nhận diện request tấn công từ địa chỉ IP nguồn + Tất cả biện pháp kỹ thuật an toàn thông tin đều gặp phải một giới hạn thực tế-đó là tài nguyên của mọi hệ thống đều là hữu hạn. Khi xử lý các request thì các biện pháp này sẽ sử dụng tài nguyên của hệ thống, khi số lượng request là rất lớn thì chính việc xử lý "tìm và diệt" sẽ ngốn hết tài nguyên của hệ thống (CPU, RAM, ...) - Truy lùng thủ phạm tấn công Flash-DDOS gặp nhiều khó khăn: hacker chỉ tiếp xúc các 3rd party website 1 lần duy nhất để upload flash và anh ta có quyền chọn lựa! Quá trình tấn công là tự xảy ra và bất đồng bộ, nên anh ta chỉ cần upload và sau đó mọi việc tự diễn ra. Hệ thống nạn nhân hầu như không thể biết các 3rd party website đang "treo" flash tử thần (trừ khi hacker không đủ trình độ và để lộ referer trong các flash request-trường hợp này ngày càng ít). Chỉ có chính user đang bị lợi dụng tấn công hoặc các ISP mới tiếp xúc trực tiếp các 3rd party website đang "treo" flash tử thần, user thì không thể biết và không cần biết, ISP thì có thể biết và không có trách nhiệm phải làm! Nạn nhân bị thiệt hại nhiều nhất và cảm thấy cô độc nhất – đặc biệt nếu họ là các doanh nghiệp có hoạt động diễn ra trên mạng – doanh nghiệp thương mại điện tử. Quái thú và bản ngã của "netizen" Các kiếm khuyết của Internet sẽ càng làm các bản ngã của con người bộc lộ rõ nét. Flash-DDOS là vô cùng nguy hiểm, dễ thực hiện, hầu như không thể chống đỡ hay truy lùng thủ phạm! Bản ngã thứ nhất – muốn có quyền lực Nắm quyền điều khiển hệ thống thông tin của người khác là một quyền lực! Để có quyền lực này, giới hacker chính quy sẽ phải nghiên cứu và làm việc thật nghiêm túc trong một thời gian rất dài (5-10 năm). Đối với họ, mục tiêu sau cùng của quá trình hacking là nắm quyền điều khiển toàn bộ hệ thống – có thể coi đó là một thú vui, họ không phá hoại hay tước đoạt công sức của người khác. Đó là một trò chơi trí tuệ và mang lại sự phát triển cho các hệ thống thông tin. Nhiều người muốn có quyền lực này, nhưng họ lại không muốn làm việc và không muốn chờ đợi lâu! Họ sử dụng "quái thú DDOS", họ muốn có một quyền lực đơn giản là làm cho một hệ thống bị ngưng hoạt động và từ đó họ cho rằng mình đã đạt đến quyền lực tối thượng – quyền sinh sát! Thật ra, họ đã đặt dấu chấm hết cho con đường trở thành một hacker chính quy và bước vào bóng tối với những kiến thức và mục tiếu hết sức nông cạn. Điểm thú vị của trò chơi là ở quá trình chơi, kết quả thì có gì là quan trọng? Sao lại chơi một trò chơi mà bạn có quá nhiều lợi thế, buộc người khác phải tham gia và luôn gây thiệt hại nặng nề cho xã hội? Bản ngã thứ hai – tham lam và bất tài Gần đây có rất nhiều vụ DDOS vì các nguyên nhân kinh tế, các doanh nghiệp TMĐT vừa chớm hình thành trong quá trình cạnh tranh đã "huy động" DDOS như một phương cách cạnh tranh và đoạt tiên cơ trên thị trường hết sức nóng bỏng này! Một đồng xu bạn bỏ ra để thuê DDOS chính là một nhát cuốc đào mồ chôn TMĐT của Việt Nam - trong đó có bạn. Hãy suy nghĩ và hành động thật chín chắn! Hãy tạo ra các sản phẩm tốt, giá rẻ, dịch vụ chu đáo, thị trường sẽ có chọn lựa của nó. Bản ngã thứ ba – ích kỷ cục bộ và dối trá Để giải quyết bài toán DDOS rất cần sự phối hợp của nhiều đối tượng: người dùng cuối, ISP, các nhà làm luật, các chuyên gia, … Nhận thấy nguy cơ từ DDOS, chúng ta vẫn còn chậm chân trong việc đưa những cánh tay ra cùng nhau giải quyết vấn nạn này. Chúng ta đang cố thủ trong cái vỏ ốc cá nhân và chờ đợi một phép màu xảy ra để DDOS không còn tồn tại. Điều này là không thể, ít nhất là trong 05 năm tới, đã đến lúc phải hành động! Là những chuyên gia, chúng ta phải trung thực và thật sự có những nhận định đúng đắn về thảm hoạ này. Dối trá vì bất cứ lý do gì đều là không thể chấp nhận được. Chúng ta không thể có bất kỳ dấu vết hay thông tin gì từ log trên các hệ thống, hãy nói sự thật về khả năng điều tra DDOS cho cộng đồng biết và cùng nhau nhìn nhận bản chất của vấn đề, từ đó đề ra các biện pháp phối hợp giải quyết! Không che dấu thông tin về một "nạn dịch" – điều mà mọi bác sĩ đều biết! Kết luận DDOS và các hình thái tấn công khác trên Internet là có thể khắc phục với sự quyết tâm cao và sự mạnh mẽ gạt bỏ các bản ngã của chúng ta, với sự cộng tác nhiệt tình và có trách nhiệm của các ISP.Trung tâm VNCERT ra đời là một sự đáp ứng cho các kỳ vọng lớn lao của cộng đồng TMĐT Việt Nam. Tôi vẫn có niềm tin lớn vào sự ổn định của Internet Việt Nam trong thời gian sắp đến. Kiet D.Anh (The Connections Magazine) 504-02107 Suite Dept. of Computer Science and Artificial Intelligence Laboratory Massachusetts Institute of Technology 77 Massachusetts Ave. Cambridge, MA 02139-4307 USA / Email: editor@conmaz.com)

Tìm hiểu về tấn công từ chối dịch vụ DoS

Tấn công bằng từ chối dịch vụ DoS (Denial of Service) có thể mô tả như hành động ngăn cản những người dùng hợp pháp khả năng truy cập và sử dụng vào một dịch vụ nào đó. Nó bao gồm làm tràn ngập mạng, mất kết nối với dịch vụ… mà mục đích cuối cùng là máy chủ (Server) không thể đáp ứng được các yêu cầu sử dụng dịch vụ từ các máy trạm (Client). DoS có thể làm ngưng hoạt động của một máy tính, một mạng nội bộ, thậm chí cả một hệ thống mạng rất lớn. Về bản chất thực sự của DoS, kẻ tấn công sẽ chiếm dụng một lượng lớn tài nguyên mạng như băng thông, bộ nhớ… và làm mất khả năng xử lý các yêu cầu dịch vụ từ các client khác. Các cách thức tấn công DoS Phá hoại dựa trên tính giới hạn hoặc không thể phục hồi của tài nguyên mạng 1. Thông qua kết nối Tấn công kiểu SYN flood Lợi dụng cách thức hoạt động của kết nối TCP/IP, hacker bắt đầu quá trình thiết lập một kết nối TPC/IP tới mục tiêu muốn tấn công mà không gửi trả gói tin ACK, khiến cho mục tiêu luôn rơi vào trạng thái chờ (đợi gói tin ACK từ phía yêu cầu thiết lập kết nối) và liên tục gửi gói tin SYN ACK để thiết lập kết nối. Một cách khác là giả mạo địa chỉ IP nguồn của gói tin yêu cầu thiết lập kết nối SYN và cũng như trường hợp trên, máy tính đích cũng rơi vào trạng thái chờ vì các gói tin SYN ACK không thể đi đến đích do địa chỉ IP nguồn là không có thật. Kiểu tấn công SYN flood được các hacker áp dụng để tấn công một hệ thống mạng có băng thông lớn hơn hệ thống của hacker. Kiểu tấn công SYN flood 2. Lợi dụng nguồn tài nguyên của chính nạn nhân để tấn công Kiểu tấn công Land Attack Kiểu tấn công Land Attack cũng tương tự như SYN flood, nhưng hacker sử dụng chính IP của mục tiêu cần tấn công để dùng làm địa chỉ IP nguồn trong gói tin, đẩy mục tiêu vào một vòng lặp vô tận khi cố gắng thiết lập kết nối với chính nó. Kiểu tấn công UDP flood Hacker gửi gói tin UDP echo với địa chỉ IP nguồn là cổng loopback của chính mục tiêu cần tấn công hoặc của một máy tính trong cùng mạng. Với mục tiêu sử dụng cổng UDP echo ( port 7) để thiết lập việc gửi và nhận các gói tin echo trên 2 máy tính (hoặc giữa mục tiêu với chính nó nếu mục tiêu có cấu hình cổng loopback), khiến cho 2 máy tính này dần dần sử dụng hết băng thông của chúng, và cản trở hoạt động chia sẻ tài nguyên mạng của các máy tính khác trong mạng. 3.Sử dụng băng thông Tấn công kiểu DDoS (Distributed Denial of Service) Đây là cách thức tấn công rất nguy hiểm. Hacker xâm nhập vào các hệ thống máy tính, cài đặt các chương trình điều khiển từ xa, và sẽ kích hoạt đồng thời các chương trình này vào cùng một thời điểm để đồng loạt tấn công vào một mục tiêu. Với DDoS, các hacker có thể huy động tới hàng trăm thậm chí hàng ngàn máy tính cùng tham gia tấn công cùng một thời điểm (tùy vào sự chuẩn bị trước đó của hacker) và có thể "ngốn" hết băng thông của mục tiêu trong nháy mắt. Kiểu tấn công DDoS 4.Sử dụng các nguồn tài nguyên khác Kẻ tấn công lợi dụng các nguồn tài nguyên mà nạn nhân cần sử dụng để tấn công. Những kẻ tấn công có thể thay đổi dữ liệu và tự sao chép dữ liệu mà nạn nhân cần lên nhiều lần, làm CPU bị quá tải và các quá trình xử lý dữ liệu bị đình trệ. Tấn công kiểu Smurf Attack Kiểu tấn công này cần một hệ thống rất quan trọng, đó là mạng khuyếch đại. Hacker dùng địa chỉ của máy tính cần tấn công bằng cách gửi gói tin ICMP echo cho toàn bộ mạng (broadcast). Các máy tính trong mạng sẽ đồng loạt gửi gói tin ICMP reply cho máy tính mà hacker muốn tấn công. Kết quả là máy tính này sẽ không thể xử lý kịp thời một lượng lớn thông tin và dẫn tới bị treo máy. Kiểu tấn công Smurf Attack Tấn công kiểu Tear Drop Trong mạng chuyển mạch gói, dữ liệu được chia thành nhiều gói tin nhỏ, mỗi gói tin có một giá trị offset riêng và có thể truyền đi theo nhiều con đường khác nhau để tới đích. Tại đích, nhờ vào giá trị offset của từng gói tin mà dữ liệu lại được kết hợp lại như ban đầu. Lợi dụng điều này, hacker có thể tạo ra nhiều gói tin có giá trị offset trùng lặp nhau gửi đến mục tiêu muốn tấn công. Kết quả là máy tính đích không thể sắp xếp được những gói tin này và dẫn tới bị treo máy vì bị "vắt kiệt"  khả năng xử lý. Phá hoại hoặc chỉnh sửa thông tin cấu hình Lợi dụng việc cấu hình thiếu an toàn như việc không xác thực thông tin trong việc gửi/nhận bản tin cập nhật (update) của router... mà kẻ tấn công sẽ thay đổi trực tiếp hoặc từ xa các thông tin quan trọng này, khiến cho những người dùng hợp pháp không thể sử dụng dịch vụ. Ví dụ: hacker có thể xâm nhập vào DNS để thay đổi thông tin, dẫn đến quá trình biên dịch tên miền (domain) sang địa chỉ IP của DNS bị sai lệch. Hậu quả là các yêu cầu của máy trạm (Client) sẽ tới một tên miền khác (đã bị thay đổi) thay vì tên miền mong muốn. Phá hoại hoặc chỉnh sửa phần cứng Lợi dụng quyền hạn của chính bản thân kẻ tấn công đối với các thiết bị trong hệ thống mạng để tiếp cận phá hoại các thiết bị phần cứng như router, switch… Các cách phòng chống Hậu quả mà DoS gây ra không chỉ tiêu tốn nhiều tiền bạc, và công sức mà còn mất rất nhiều thời gian để khắc phục. Vì vậy, hãy sử dụng các biện pháp sau để phòng chống DoS: Mô hình hệ thống cần phải được xây dựng hợp lý, tránh phụ thuộc lẫn nhau quá mức. Bởi khi một bộ phận gặp sự cố sẽ làm ảnh hưởng tới toàn bộ hệ thống. Thiết lập mật khẩu mạnh (strong password) để bảo vệ các thiết bị mạng và các nguồn tài nguyên quan trọng khác. Thiết lập các mức xác thực đối với người sử dụng cũng như các nguồn tin trên mạng. Đặc biệt, nên thiết lập chế độ xác thực khi cập nhật các thông tin định tuyến giữa các router. Xây dựng hệ thống lọc thông tin trên router, firewall… và hệ thống bảo vệ chống lại SYN flood. Chỉ kích hoạt các dịch vụ cần thiết, tạm thời vô hiệu hoá và dừng các dịch vụ chưa có yêu cầu hoặc không sử dụng. Xây dựng hệ thống định mức, giới hạn cho người sử dụng, nhằm mục đích ngăn ngừa trường hợp người sử dụng ác ý muốn lợi dụng các tài nguyên trên server để tấn công chính server hoặc mạng và server khác. Liên tục cập nhật, nghiên cứu, kiểm tra để phát hiện các lỗ hổng bảo mật và có biện pháp khắc phục kịp thời. Sử dụng các biện pháp kiểm tra hoạt động của hệ thống một cách liên tục để phát hiện ngay những hành động bất bình thường. Xây dựng và triển khai hệ thống dự phòng.   Bachkhoa Networking Academy  Tư vấn