TRƯỜNG ĐẠI HỌC BÁCH KHOA HÀ NỘI VIỆN CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG ──────── * ─────── ĐỒ ÁN TỐT NGHIỆP ĐẠI HỌC NGÀNH CÔNG NGHỆ THÔNG TIN NGHIÊN CỨU VÀ PHÁT TRIỂN HỆ THỐNG BOTNET TRACKING THEO DÕI VÀ GIÁM SÁT CÁC MẠNG BOTNET Sinh viên thực : Triệu Minh Tuân Lớp CNPMB – K51 Giáo viên hướng dẫn: TS Nguyễn Khanh Văn HÀ NỘI 5-2011 Sinh viên thực hiện: Triệu Minh Tuân –20063423 Khóa K51 Lớp Công nghệ phần mềm B Tr an g1 Sinh viên thực hiện: Triệu Minh Tn –20063423 Khóa K51 Lớp Cơng nghệ phần mềm B Tr an g2 PHIẾU GIAO NHIỆM VỤ ĐỒ ÁN TỐT NGHIỆP Thông tin sinh viên Họ tên sinh viên: Triệu Minh Tuân Điện thoại liên lạc: 01687719185 Email: trieuminhtuan.cnpmk51@gmail.com Lớp: Công nghệ phần mềm Hệ đào tạo: Đại học quy Đồ án tốt nghiệp thực tại: công ty An ninh mạng Bkav Thời gian làm ĐATN: Từ ngày 27/2/2011 đến 27/5/2011 Mục đích nội dung ĐATN Nghiên cứu tìm hiểu Botnet Tracking xây dựng hệ thống Botnet Tracking Các nhiệm vụ cụ thể ĐATN : - Tìm hiểu Botnet ngày - Tìm hiểu Botnet Tracking phương pháp có - Đưa sở lý thuyết đồ án án dụng: hệ thống Tracking Botnet hệ thống Honeypot có, lý thuyết Bot Milkers - Ứng dụng đưa mơ hệ thống Botnet Tracking đồ án - Thiết kế thử nghiệm phần hệ thống thư viện Botnet Tracking Framework Lời cam đoan sinh viên: Tôi – Triệu Minh Tn - cam kết ĐATN cơng trình nghiên cứu thân hướng dẫn Tiến sỹ Nguyễn Khanh Văn Các kết nêu ĐATN trung thực, khơng phải chép tồn văn cơng trình khác Hà Nội, ngày 25 tháng năm 2011 Tác giả ĐATN Triệu Minh Tuân Xác nhận giáo viên hướng dẫn mức độ hoàn thành ĐATN cho phép bảo vệ: Hà Nội, ngày tháng năm Giáo viên hướng dẫn TS Nguyễn Khanh Văn Sinh viên thực hiện: Triệu Minh Tn –20063423 Khóa K51 Lớp Cơng nghệ phần mềm B Tr an g3 TÓM TẮT NỘI DUNG ĐỒ ÁN TỐT NGHIỆP Trong năm gần đây, xu hướng công tội phạm chuyên sử dụng Botnet dần trở lại ngày trở nên nguy hiểm với nhiều cơng cụ hình thức cơng mới: từ ăn cắp thông tin, đến phát tán thư rác, phát tán mã độc hay công từ chối dịch vụ, v… v… gây khơng thiệt hại nặng nề kinh tế xã hội Chính vậy, có nhiều giải pháp phát Botnet hay làm giảm nhẹ thiệt hại Botnet gây công bố triển khai thực tế Botnet Tracking giải pháp Tư tưởng Botnet Tracking giám sát mạng Botnet nhằm thu thập thông tin cần thiết hỗ trợ đơn vị chun mơn, quan có thẩm quyền giảm nhẹ thiệt hại Botnet gây Nội dung tài liệu đồ án tốt nghiệp đề cập tới việc nghiên cứu, tìm hiểu Botnet Tracking vấn đề có liên quan Sau đó, ứng dụng kiến thức thu xây dựng hệ thống Botnet Tracking phù hợp với môi trường triển khai nước ta, cụ thể công ty An ninh mạng Bkav – cơng ty có bề dày kinh nghiệm giải pháp an ninh mạng Trong phần cuối, đồ án đề xuất giải pháp xây dựng thư viện Botnet Tracking Framework, phần hệ thống, tảng hỗ trợ chuyên gia việc phát triển thành phần theo dõi mạng Botnet hệ thống Từ khóa: Botnet, Botnet Tracking, Honeypot, DDoS, Spam Sinh viên thực hiện: Triệu Minh Tn –20063423 Khóa K51 Lớp Cơng nghệ phần mềm B Tr an g4 MỤC LỤC PHIẾU GIAO NHIỆM VỤ ĐỒ ÁN TỐT NGHIỆP TÓM TẮT NỘI DUNG ĐỒ ÁN TỐT NGHIỆP .4 MỤC LỤC DANH MỤC CÁC BẢNG DANH MỤC CÁC HÌNH .8 LỜI CẢM ƠN DANH MỤC THUẬT NGỮ 10 DANH MỤC CÁC TỪ VIẾT TẮT .11 MỞ ĐẦU 12 PHẦN I: ĐẶT VẤN ĐỀ VÀ ĐỊNH HƯỚNG GIẢI PHÁP 14 CHƯƠNG – TỔNG QUAN VỀ BOTNET 14 Định nghĩa Botnet 15 Phân loại Botnet 15 Cài đặt Botnet 16 Các hình thức công sử dụng Botnet .18 Phát tán lây nhiễm Botnet .20 CHƯƠNG – GIỚI THIỆU ĐỀ TÀI & CỞ SỞ LÝ THUYẾT 22 Giới thiệu đề tài 22 1.1 Mục tiêu đề tài 22 1.2 Các vấn đề cần giải .22 1.2.1 Khái niệm Botnet Tracking 22 1.2.2 Các phương pháp Botnet Tracking có .22 Cơ sở lý thuyết 25 2.1 Tóm tắt lý thuyết Tracking Botnet 25 2.2 Tóm tắt lý thuyết Bot Milkers 27 Công cụ sử dụng 28 PHẦN 2: NGHIÊN CỨU VÀ NHỮNG KẾT QUẢ ĐẠT ĐƯỢC 29 CHƯƠNG – PHÂN TÍCH LÝ THUYẾT & MÔI TRƯỜNG TRIỂN KHAI .30 Đánh giá phương pháp Tracking Botnet cũ 30 Phân tích hai lý thuyết Tracking Botnet Bot Milkers 31 2.1 Phân tích lý thuyết Tracking Botnet .31 2.2 Phân tích lý thuyết Bot Milkers 32 Môi trường triển khai Công ty An ninh Mạng Bkav .33 CHƯƠNG 4: XÂY DỰNG HỆ THỐNG BOTNET TRACKING 35 Mơ hình hệ thống Botnet Tracking 35 1.1 Thành phần Collecting 36 1.2 Thành phần Analyzing 37 1.2.1 Phân tích theo hành vi 37 1.2.2 Phân tích theo mã/phân tích nhị phân 39 1.2.3 So sánh hai phương pháp .40 1.3 Thành phần Tracking 41 Mở rộng khái niệm Bot Milkers cho Botnet Tracking Framework 43 Xây dựng Botnet Tracking Framework .46 3.1 Xác định yêu cầu cho Framework 48 3.2 Thiết kế thành phần Botnet Tracking Framework 49 Sinh viên thực hiện: Triệu Minh Tn –20063423 Khóa K51 Lớp Cơng nghệ phần mềm B Tr an g5 3.3 Tài liệu tra cứu Botnet Tracking Framework 52 3.4 Thử nghiệm Framework 52 Đánh giá 55 4.1 Đánh giá Framework 55 4.2 Đánh giá hệ thống Botnet Tracking 56 Tổng kết 56 PHẦN 3: KẾT LUẬN VÀ ĐỊNH HƯỚNG PHÁT TRIỂN 57 Những công việc thực 58 Những công việc chưa thực .58 Khó khăn hạn chế 59 Định hướng phát triển 60 4.1 Botnet Tracking Framework 60 4.2 Hệ thống Botnet Tracking 60 TÀI LIỆU THAM KHẢO .63 PHỤ LỤC BOTNET TRACKING FRAMEWORK API 64 Sinh viên thực hiện: Triệu Minh Tn –20063423 Khóa K51 Lớp Cơng nghệ phần mềm B Tr an g6 DANH MỤC CÁC BẢNG Bảng 1: So sánh giải pháp Tracking Botnet trước 31 Bảng 2: So sánh hai phương pháp phân tích theo hành vi phân tích nhị phân 41 Bảng 3: Các Botnet sử dụng thử nghiệm 53 Bảng 4: Bảng kết thử nghiệm 55 Sinh viên thực hiện: Triệu Minh Tuân –20063423 Khóa K51 Lớp Cơng nghệ phần mềm B Tr an g7 DANH MỤC CÁC HÌNH Hình 1: Mơ hình mạng Botnet thường gặp 15 Hình 2: Mơ hình tập trung 16 Hình 3: Mơ hình phân tán 16 Hình 4: Hackers điều khiển Botnet phát tán thư rác thuê 17 Hình 5: Cơng cụ hỗ trợ xây dựng botnet Spy Eye v1.0 .17 Hình 6: Sử dụng Botnet để công DDoS .18 Hình 7: Sử dụng Botnet để phát tán thư rác .19 Hình 8: Botnet phát tán FakeAV để lừa người dùng mua quyền 19 Hình 9: Mã lệnh điều khiển phá hủy hệ thống Botnet 20 Hình 10: Các thành phần hệ thống Honeypot sử dụng .25 Hình 11: Lược đồ bước thực thi hệ thống Tracking Botnet tài liệu .26 Hình 12: Hệ thống Botnet Tracking đề xuất .35 Hình 13: Theo dõi thay đổi môi trường máy ảo Windows Vista Ultimate giả lập phần mềm Virtual PC 38 Hình 14: Các cơng cụ thường sử dụng q trình phân tích theo hành vi 39 Hình 15: Các mã thực thi chuyển thành dạng disassembly .39 Hình 16: Sử dụng kết hợp hai phương pháp phân tích .41 Hình 17:Mơ hình thành phần Tracking 42 Hình 18: Các Bot sử dụng thu thập thông tin để xác thực với Server điều khiển 44 Hình 19: Sử dụng Bot Milkers để lọc kết phân tích, xây dựng kịch Tracker 46 Hình 20: Lọc hành vi Bot dựa vào luật Bot Milkers mở rộng 46 Hình 21: BTF tảng chung cho việc Tracking Botnet 48 Hình 22: Kiến trúc Botnet Tracking Framework .49 Hình 23: Thiết kế class thành phần Core Layer 51 Hình 24: Mơ tả hành vi Bot Spyeye cần xây dựng .51 Hình 25: Tài liệu tra cứu Botnet Tracking Framework 52 Hình 26: Mơ hinh thực thử nghiệm 54 Hình 27: Đối chiếu hệ thống Botnet Tracking cũ 56 Hình 28: Giải pháp tích hợp đầu hệ thống .61 Hình 29: Các Class hỗ trợ CoreLayer .65 Hình 30: Class Diagram mơ Bot thử nghiệm (Bot Layer) 66 Hình 31: Class mơ tả Tracker thử nghiệm theo dõi Bot 67 Hình 32: Tra cứu hàm Botnet Tracking Framework 68 Sinh viên thực hiện: Triệu Minh Tn –20063423 Khóa K51 Lớp Cơng nghệ phần mềm B Tr an g8 LỜI CẢM ƠN Đầu tiên, em xin gửi lời cảm ơn sâu sắc tới thày cô, cán thuộc trường Đại học Bách Khoa Hà Nội nói chung thày Viện Công nghệ thông tin truyền thông, môn Công Nghệ Phần Mềm nói riêng tận tình giúp đỡ, bảo cho chúng em suốt thời gian qua Em xin gửi lời cảm ơn tới thày Tiến Sỹ Nguyễn Khanh Văn, cô Nguyễn Phi Lê, anh Bùi Thế Luân tập thể bạn sinh viên nhóm sinh viên thực tập thày Văn hướng dẫn, tận tình giúp đỡ, bảo góp ý cho em nhiều trình làm đồ án tốt nghiệp Đồng thời, em xin gửi lời cảm ơn tới anh Đỗ Mạnh Dũng, anh Nguyễn Công Cường, anh Nguyễn Ngọc Dũng, bạn nhóm nghiên cứu Malware Research Team tập thể anh em thuộc công ty an ninh Mạng Bkav định hướng, hỗ trợ cho em suốt trình tìm hiểu thực nghiên cứu Cuối cùng, em xin gửi lời cảm ơn chân thành tới gia đình bạn bè em, người động viên, chăm sóc, đóng góp ý kiến giúp đỡ em suốt q trình nghiên cứu hồn tất đề tài Hà Nội, ngày 25 tháng năm 2011 Triệu Minh Tuân Sinh viên lớp Công nghệ phần mềm – K51 Viện Công nghệ Thông tin Truyền thông Sinh viên thực hiện: Triệu Minh Tuân –20063423 Khóa K51 Lớp Công nghệ phần mềm B Tr an g9 Đại học Bách Khoa Hà Nội DANH MỤC THUẬT NGỮ Thuật ngữ Reverse Engineering Disassembly Assembly Honeypot Spam Data Theft Botnet Toolkit, Botnet Kit Virtualization Virtual Machine Ý nghĩa Kỹ thuật đảo mã/dịch ngược Đưa dạng mã thực thi dạng mã lệnh Assembly tương ứng Ngơn ngữ lập trình Assembly Hệ thống thu thập mã độc dựa bẫy lỗi Phát tán thư rác Ăn cắp thông tin Bộ công cụ hỗ trợ cài đặt, tạo biến thể Botnet điều khiển mạng Botnet Cơng nghệ ảo hóa Các máy hệ điều hành ảo cài đặt phần mềm hỗ trợ bên hệ điều hành mà người dùng làm việc Sinh viên thực hiện: Triệu Minh Tn –20063423 Khóa K51 Lớp Cơng nghệ phần mềm B Tr an g 10