Với một web server thông thường, người dùng có thể sử dụng máy PC, thiết bị di động, laptop… để truy cập. Sự đa dạng trong cấu trúc của thiết bị và các trình duyệt cho phép các bot dễ dàng giả dạng client để tấn công các web server.
.jpg)
Hình 1. Mô hình Sentinel
Trong Hình 1, Sentinel hoạt động dưới dạng web application proxy. Mọi request từ phía client gửi tới đều phải đi qua Sentinel. Do đó, trong Sentinel có được cài đặt các cơ chế để có thể xác thực được người dùng như HTTP challenge, JavaScript challenge, Captcha challenge nhằm xác nhận người dùng và đồng thời loại bỏ các kết nối từ PC-Bot gửi tới web server.
Kế thừa ưu điểm của mô hình sử dụng Sentinel trong việc hạn chế tấn công DDoS có sử dụng mạng botnet đến web server, hệ thống sẽ được xây dụng theo mô hình Web Application Proxy.
Hệ thống sẽ tập trung vào 04 nội dung thực hiện chính, cụ thể là:
- Giám sát lưu lượng mạng;
- Giám sát tài nguyên hệ thống;
- Nhận diện, phân biệt người dùng và bot;
- Ứng phó của hệ thống đến máy chủ dịch vụ web khi phát hiện tấn công DDoS.
Cơ chế xoay IP của hệ thống kết hợp với DNS Server là một phương pháp được sử dụng để ứng phó với tấn công DDoS. Cơ chế này nhằm mục đích thay đổi địa chỉ IP của máy chủ web khi phát hiện tấn công để giảm tác động của tấn công lên hệ thống. Cơ chế xoay IP kết hợp với DNS Server cho phép máy chủ thay đổi địa chỉ IP và tiếp tục hoạt động sau khi phát hiện tấn công DDoS. Điều này giúp giảm tác động của tấn công lên máy chủ và duy trì sự liên tục của dịch vụ web. Quá trình này đòi hỏi cấu hình và quản lý DNS Server để đảm bảo rằng các thay đổi được cập nhật và lan truyền đúng cách trên hệ thống DNS.
Ngoài ra, phần mềm cũng cung cấp cho đội ngũ quản trị hệ thống về các chức năng quản trị, giám sát, tổng hợp, báo cáo... thông qua giao diện web; tạo điều kiện thuận lợi cho người dùng trong quá trình vận hành, khai thác.
Anti-DDoS Server được đặt trên lớp mạng với web server mục tiêu và được cấu hình DNS, địa chỉ IP sao cho tất cả HTTP request từ phía PC-Bots và người dùng sẽ được gửi tới server này thay vì được gửi tới web server mục tiêu. Trên Anti-DDoS Server sẽ được cài đặt các module để yêu cầu xác thực (challenge) các HTTP request như: HTTP challenge, JavaScript challenge và Captcha challenge.
Nếu các client (bao gồm PC-Bot và người dùng) vượt qua (PASS) được các challenge trên thì HTTP request sẽ được chuyển tới web server mục tiêu, và trong trường hợp ngược lại thì các HTTP request này sẽ được loại bỏ nhằm giảm bớt việc cung ứng tài nguyên.
HTTP Challenge
Đối với giao thức HTTP được quy định tại RFC 2616 thì code 3xx được sử dụng trong việc chuyển hướng truy cập. Khi HTTP request được client gửi tới máy chủ. Anti DDoS sẽ gửi trả về cho client HTTP return code 302.
Nếu client là trình duyệt, khi nhận được HTTP return code 302 sẽ chuyển hướng truy cập đến một URL do Anti-DDoS chỉ định và khi truy cập vào URL này, Anti-DDoS sẽ gửi tiếp cho client một đoạn JavaScript để tạo cookies và mã xác thực hợp lệ.
Ngược lại, nếu client không phải là trình duyệt, http return code 302 sẽ không được xử lý đúng quy trình. Đối với các PC-Bot, các HTTP request được gửi trực tiếp đến web server mà không cần thông qua trình duyệt, các hành vi này được lập trình sẵn và sẽ không đủ thông minh để xử lý các HTTP return code 302 hoặc không tạo ra được các cookies hợp lệ để truy cập vào tài nguyên.
JavaScript Challenge
Trong tình huống bị tấn công DDoS có dấu hiệu tham gia của các mạng botnet thì tính năng HTTP challenge được sử dụng đầu tiên nhằm hạn chế và phân loại các yêu cầu xuất phát từ các bot. Trong một số trường hợp, các C&C servers giải mã được cookies được tạo ra cho HTTP challenge thì Anti-DDoS sẽ bật chế độ Java challenge.
Trong chế độ Java challenge khi request được gửi tới Anti-DDoS và được trả về 1 đoạn mã JavaScript (khác với JavaScript trong HTTP challenge) đã được xáo trộn để tăng độ phức tạp. Trong đó đoạn mã này có chứa 1 khóa mã hóa. Nếu client là trình duyệt có bật chức năng thực thi JavaScript thì nó sẽ thực thi đoạn mã JavaScript này để tạo cookies và mã xác thực hợp lệ. Sau đó, trình duyệt sẽ dùng thông tin này để gửi lại Anti-DDoS. Trong trường hợp ngược lại, bot sẽ không xử lý challenge này và không thể tạo cookies hợp lệ.
Captcha challenge
Khi HTTP request được gửi tới Anti-DDoS thì hệ thống Anti-DDoS trả về 1 trang web có chứa form Captcha và câu trả lời. Hai thông tin này kết hợp với secret key (một đoạn mã được cấu hình sẵn trong Anti-DDoS) để tạo thành mã kiểm tra.
Khi client nhập câu trả lời và đưa ra kết quả, hệ thống Anti-DDoS dùng kết quả này kết hợp với khóa mật để tạo ra mã trả lời. Nếu mã trả lời và mã kiểm tra giống nhau, Anti-DDoS sẽ trả về cho client 1 trang web có chứa JavaScript và yêu cầu client tạo cookies và mã xác thực hợp lệ cho người dùng.
Trong các phương thức chống DDoS thì đây được xem là biện pháp tương đối hữu hiệu để ngăn chặn tấn công từ các botnet. Tuy nhiên, việc bật chế độ Captcha sẽ làm ảnh hưởng đến người sử dụng hợp pháp thì hình thành thao tác xác thực mỗi khi kết nối đến web server.
Phương án sử dụng Captcha được sử dụng là biện pháp cuối cùng, khi tất cả các challenges khác đều không có hiệu quả hoặc năng lực của Proxy Server là Anti-DDoS không đủ để xử lý các request từ mạng botnet quá lớn.
.jpg)
Hình 2. Luồng xử lý của cơ chế xác thực người dùng và bot
Các thông số kỹ thuật
- Hệ điều hành: Ubuntu 22.04;
- Nền tảng proxy: Nginx;
- Ngôn ngữ lập trình: Perl, PHP, Python, Bash scripting.
Mô hình triển khai
Hình 3. Mô hình triển khai hệ thống
Chức năng giám sát
Dựa trên cấu hình giao diện mạng giám sát của hệ thống, tiến hành giám sát lưu lượng truy cập thông qua giao diện giám sát của hệ thống nhằm kịp thời phát hiện các lưu lượng tăng đột biến bất thường trên hệ thống (Hình 4).
Hình 4. Giao diện chức năng giám sát
Chức năng kiểm tra, phân biệt người dùng và PC Bot
Giao diện quản trị của hệ thống cho phép người quản trị cấu hình chế độ phân biệt người dùng và bot, các tham số cho HTTP challenge, Javascript challenge và Captcha challenge.
Chức năng phát hiện và phòng chống tấn công DDoS
Để đảm bảo cho chức năng hoạt động, người quản trị hệ thống đầu tiên cần thực hiện thiết lập danh sách các địa chỉ IP được sử dụng để xoay IP của máy chủ web.
- IP đang hoạt động: là địa chỉ IP hiện tại.
- Trạng thái sử dụng: trạng thái sử dụng của IP được lưu.
- Trạng thái sẵn sàng: hiển thị trạng thái sẵn sàng của IP nhằm tránh trường hợp IP bị chiếm bởi dịch vụ khác.
Khi phát hiện bản ghi cảnh báo tấn công DDoS được ghi mới vào tệp tin fast.log, máy chủ web sẽ tự động chọn ngẫu nhiên 1 IP trong danh sách các IP chưa được sử dụng và đang ở trạng sẵn sàng để chuyển sang địa chỉ IP mới.
Để không làm gián đoạn kết nối của người dùng đến trang web, máy chủ web sẽ tự động ra bản ghi cập nhật địa chỉ IP mới cho tên miền của máy chủ web đến máy chủ DNS của đơn vị bằng thư viện nsupdate. Sau khi đổi địa chỉ IP, các luồng tấn công DDoS đều sẽ bị ngắt kết nối do vẫn còn đang truy vấn đến địa chỉ IP cũ.
Hình 5. Trước khi bị tấn công
Hình 6. Sau khi bị tấn công
Xây dựng hệ thống phát hiện, phòng chống tấn công DDoS cho máy chủ ứng dụng web bằng kỹ thuật xoay IP và Captcha với các tính năng cơ bản đáp ứng nhu cầu phát hiện, ngăn chặn các cuộc tấn công có sử dụng botnet nhắm vào hệ thống. Giải pháp đã hỗ trợ để không gây tắc nghẽn băng thông hoặc cạn kiệt tài nguyên, tạo điều kiện để người sử dụng bình thường có thể truy cập website. Đây là một hướng tiếp cận tương đối thiết thực, phù hợp với thực trạng, năng lực trang thiết bị tại các đơn vị cơ sở cho nhiệm vụ phòng thủ mạng.
Lê Huỳnh, Võ Huy Hoàng (Trung tâm 286, Bộ Tư lệnh 86)
10:00 | 12/12/2024
13:00 | 09/10/2024
15:00 | 25/07/2023
12:00 | 23/12/2024
Thời gian gần đây, các kỹ thuật nhận diện ký tự quang học đã có bước tiến lớn với sự xuất hiện của các phương pháp mới như Transformer dành cho các ngôn ngữ Latinh. Tuy nhiên, do bản chất phức tạp của chữ viết tiếng Việt nên việc nghiên cứu về các ngôn ngữ riêng biệt này vẫn còn khá hạn chế. Điều này gây ra những thách thức đặc thù đối với OCR. Trong khi đó, OCR tiếng Việt rất quan trọng trong nhiều ứng dụng như quản lý tài liệu, lưu trữ số và nhập liệu tự động.
07:00 | 07/11/2024
Song song cùng sự phát triển của công nghệ, Deepfake cũng có lịch sử phát triển với nhiều loại hình khác nhau. Phần hai của bài báo sẽ tập trung phân loại các loại hình Deepfake và trình bày về các tập dữ liệu có giá trị trong việc phát hiện công nghệ tinh vi này.
09:00 | 11/10/2024
Microsoft vừa công bố phát hành Windows 11 với phiên bản 24H2, đây là bản cập nhật tính năng tiếp theo cho hệ điều hành này (còn được gọi là Windows 11 2024 Update).
14:00 | 05/08/2024
Mỗi quốc gia sẽ có các quy định và chính sách riêng để bảo vệ dữ liệu cá nhân, nhưng có một số nguyên tắc và biện pháp chung mà hầu hết các quốc gia áp dụng để đảm bảo an toàn và quyền riêng tư cho dữ liệu cá nhân của công dân. Dưới đây là một số cách mà các nước trên thế giới áp dụng bảo vệ dữ liệu cá nhân cho công dân của mình.
22:00 | 30/01/2025|Giải pháp khác
08:00 | 29/01/2025|Công nghệ thông tin
Trong bối cảnh chuyển đổi số và ứng dụng rộng rãi của công nghệ thông tin (CNTT) thì xu hướng kết nối liên mạng để chia sẻ cơ sở dữ liệu (CSDL) trở nên tất yếu. Các hệ thống công nghệ vận hành (Operational Technology - OT) cũng không nằm ngoài xu hướng này, quá trình đó được gọi là Hội tụ IT/OT. Do vậy, nhu cầu truyền dữ liệu một chiều giữa các mạng độc lập ngày càng tăng để phục vụ cho mục đích khai thác dữ liệu. Bài viết này giới thiệu một giải pháp mới dựa trên công nghệ vi mạch tích hợp khả trình (Field-Programmable Gate Array - FPGA), sử dụng cơ chế xử lý đa luồng tốc độ cao, giúp duy trì băng thông hệ thống mà không gây ra tình trạng treo hoặc nghẽn mạng, cho phép các kết nối yêu cầu thời gian thực. Đồng thời, bài viết cũng sẽ trình bày giải pháp giả lập giao thức TCP/IP hỗ trợ cho các giao thức truyền thông trong các hệ thống mạng điều khiển IT/OT.
09:00 | 06/01/2025
Báo cáo của Lineaje AI Labs đã đặt ra một câu hỏi quan trọng về tính minh bạch trong chuỗi cung ứng phần mềm quan trọng trên toàn cầu, đặc biệt trong bối cảnh phần mềm nguồn mở đang ngày càng được ứng dụng rộng rãi dẫn đến những nguy cơ tiềm ẩn về bảo mật, nhất là khi các đóng góp vào các dự án mã nguồn mở từ những nguồn không xác định.
08:00 | 27/02/2025
