sơ lược về các phương pháp

Predicting Application Layer DDoS Attacks Using Machine Learning Algorithms
Dự đoán tấn công DDoS tầng ứng dụng sử dụng thuật toán máy tự học
- Cơ chế hoạt động
+ dựa trên nhưng dữ liệu đã có và những dấu vết thì ma trận truy cập được tạo ra biễu
diễn không gian và thời gian. và 2 phân loại Naive Bayes
and KNN được sử dụng để tìm kiếm cuộc tấn công.
+ Khi đã nhận biết được các luồng dữ liệu có thể làm tràn ngập server cũng như đường
truyền thì tạo ra 1 chính sách ngăn chặn các gói tin ấy. Có thể thêm vào tường lửa hoặc
thêm ngay vào router
- phân loại
+ Học không giám sát: thường sử dụng các thuật toán như: K-means, K-modes,
Gaussian Mixture Model (GMM), Self-Organizing Map(SOM), Density-Based Spatial
Clustering of Applications with Noise (DBSCAN), Fuzzy Cmeans(FCM),.
+ Học bán giám sát: thuật toán cực đại kỳ vọng(Expectation Maximization - EM), máy
vectơhỗ trợ truyền dẫn (Transductive Support VectorMachine - TSVM),Self-training,
Co-training và các phương pháp dựa trên đồ thị
+ Học giám sát: SVM; K láng giềnggần nhất (K Nearest Neighbours - KNN); tiếp cận
xác suất thống kê Naïve Bayes (NB); câyquyết định (Decision Tree - DT); mạng nơ
ron nhân tạo (Artificial Neural Network - ANN),bản đồ tự tổ chức (SOM),…
Phương pháp thích ứng để Giảm thiểu các cuộc tấn công Ddos
- Cơ chế hoạt động
+ Tính toán dựa trên băng thông của mạng. Từ đó đưa ra các giá trị ngưỡng cho phép
(thresh hold) dựa trên thuật toán (SEM) Structured Equation Modeling
+ Dựa trên các dữ liệu trực tiếp, sự lên xuống của băng thông vào ra để có những điều
chỉnh phù hợp


SIP: Session initiation Protocol. Trước đây là H.323
+ SIP được chuẩn hóa bởi IETF
+ SIP là giao thức hoạt động ở lớp application trong mô hình OSI
- Cơ chế hoạt động

+ UA 1 gửi bản tin yêu cầu kết nối với UA 2 thông qua SIP server(có thể là Proxy
Server,..)
+ SIP server check xem UA 1 có chính xác muốn kết nối với UA 2 hay k bằng những
dữ liệu đã đăng ký trước đấy
+ Nếu check ok thì bắt đầu kết nối từ server sang UA 2 xem UA 2 có thế nhận bản tin
k?
+ UA 2 có thể nhận bản tin thì gửi phản hồi lại cho server và từ đó thiết lập kết nối
- Cơ chế ngăn chặn DDoS
Basically, the proposed system is able to drop malformed SIP messages and deter
Invite/Cancel/Bye flooding. Any incoming SIP message must first pass the
Malformed Message Detection module. Once a message is determined to be
malformed, the proposed system will update the black-list in the SIP server to block
further connections from that user.
Về cơ bản, đề xuất hệ thống có khả năng ngắt bản tin SIP bị thay đổi và ngăn chặn các
gói tin ngập lụt Invite/Cancel/Bye flooding. Bất kỳ tin nhắn SIP đến trước tiên đều phải
vượt qua mô-đun Ngăn chặn tin nhắn sai. Sau khi tin nhắn được xác định không đúng
định dạng, hệ thống sẽ cập nhật danh sách đen trong máy chủ SIP để chặn các kết nối
tiếp từ người dùng đó.
Có 2 cách tiếp cận là: IPtables và Fail2ban