Vytvoření a testování bezpečnostního nástroje pro simulaci a analýzu síťových útoků

Abstract

Cílem této bakalářské práce bylo navrhnout a implementovat nástroj, který v izolovaném prostředí umožní plánovat a spouštět více vektorové DDoS útoky a současně měřit odezvu chráněného serveru. Řešení je postaveno v Pythonu nad knihovnou Scapy a využívá architekturu Leader-Bot kdy řídicí proces distribuuje JSON plán útoku jednotlivým botům, kteří pak koordinovaně generují provoz. Funkčnost byla ověřena na air-gapped síti se čtyřmi boty a webovým serverem Apache. Monitorovací skript zaznamenával každých 500 milisekund CPU, RAM, propustnost síťového rozhraní a stav HTTP. Ve dvouminutové simulaci proběhla sekvence ICMP Flood, HTTP Flood a SYN Flood. ICMP část okamžitě zaplnila linku na přibližně 340 Mbps, aniž by ovlivnila dostupnost webu. Sekvence HTTP Flood udržela vysoké zatížení procesoru a způsobil dva HTTP timeouty. Během závěrečného SYN Floodu klesl datový tok, ale využití paměti stouplo na 75 %, protože se zaplnila fronta neúplných TCP spojení. Výsledky potvrzují, že simulátor přesně časuje útoky, je snadno rozšiřitelný o další vektory a poskytuje spolehlivá provozní data. Otevřený kód (licence MIT) jej předurčuje k využití ve výuce, interních auditech i dalším vývoji, například k testování účinnosti WAF či CDN mitigací.

The aim of this bachelor thesis was to design and implement a tool capable of planning and launching multi-vector DDoS attacks in an isolated environment while simultaneously measuring the response of a protected server. The solution is built in Python using the Scapy library and follows a Leader-Bot architecture: a central controller distributes a JSON attack plan to individual bots, which then coordinates traffic generation. Functionality was validated in an air-gapped network with four bots and an Apache web server. The monitor.py script recorded CPU, RAM, network throughput, and HTTP availability every 500 milliseconds. During a two-minute simulation, a sequence of ICMP Flood, HTTP Flood, and SYN Flood were executed. The ICMP phase saturated the link to approximately 340 Mbps without impacting web availability. The HTTP Flood maintained high CPU usage and caused two HTTP timeouts. During the final SYN Flood, bandwidth dropped, but memory usage rose to 75% due to a backlog of incomplete TCP connections. The results confirm that the simulator accurately schedules attacks, is easily extensible with additional vectors, and provides reliable operational data. Its open-source implementation (MIT license) makes it suitable for educational use, internal audits, and further developmentsuch as testing the effectiveness of WAF or CDN mitigation strategies.