Bối cảnh và vấn đề nghiên cứu

Sự phát triển mạnh mẽ của công nghệ Vạn vật kết nối (Internet of Things - IoT) đã mở ra nhiều ứng dụng thực tiễn trong đô thị thông minh, y tế và công nghiệp. Tuy nhiên, các thiết bị IoT thương mại giá rẻ thường bị giới hạn nghiêm ngặt về tài nguyên phần cứng (năng lực tính toán, bộ nhớ và dung lượng pin), dẫn đến việc thiếu hụt các cơ chế bảo mật tích hợp mạnh mẽ. Theo số liệu thống kê từ báo cáo an ninh mạng của Kaspersky (Quý 3/2021) được tác giả trích dẫn, có tới 76,55% các cuộc tấn công nhắm vào thiết bị IoT được thực hiện thông qua giao thức Telnet, điển hình là các cuộc tấn công phát tán mã độc Backdoor và mạng botnet (như Mirai).

Trong các hạ tầng mạng quy mô lớn như trung tâm dữ liệu (Data Center), mạng lõi, mạng truy cập và điện toán đám mây, các giải pháp phòng thủ truyền thống dựa trên thiết bị phần cứng cố định bộc lộ sự thiếu linh hoạt trong việc giám sát, phân luồng và cô lập nguy cơ. Mạng điều khiển bằng phần mềm (Software-Defined Networking - SDN) và Ảo hóa chức năng mạng (Network Functions Virtualization - NFV) xuất hiện như một kiến trúc quản lý mạng linh hoạt, cho phép lập trình hóa toàn bộ việc điều phối lưu lượng. Đặt trong bối cảnh đó, kỹ thuật lừa dối không gian mạng (Cyber Deception), cụ thể là mô hình mạng bẫy Honeynet kết hợp SDN, cho phép chủ động chuyển hướng lưu lượng độc hại sang các mục tiêu giả lập nhằm thu thập thông tin, giải tỏa áp lực cho hệ thống thật và phân tích hành vi của kẻ tấn công.

Khóa luận xác định các mục tiêu và nhiệm vụ nghiên cứu cụ thể:

  1. Mục tiêu nghiên cứu:

    • Thiết lập nền tảng giăng bẫy phục vụ phòng thủ chủ động dựa trên nguyên lý khả lập trình và khả năng điều khiển linh hoạt của SDN trong môi trường mạng quy mô lớn như IoT.
    • Xây dựng hệ thống bẫy Honeynet trong mạng SDN sử dụng nền tảng Containernet và bộ điều khiển ONOS.
    • Xây dựng mô hình mạng HoneyMix kết hợp giữa Honeynet và SDN.
    • Triển khai giải pháp săn lùng mối đe dọa (Threat Hunting) kết hợp hệ thống học máy Fuchikoma và ELK Stack để phát hiện bất thường và tối ưu hóa vị trí đặt bẫy.

  2. Nhiệm vụ nghiên cứu (Nội dung thực hiện):

    • Nhiệm vụ 1: Nghiên cứu kiến trúc, nguyên lý hoạt động của mạng SDN, bộ điều khiển ONOS và triển khai hệ thống mạng SDN với Containernet.
    • Nhiệm vụ 2: Nghiên cứu framework mô phỏng mạng phân tán MaxiNet (kết hợp Server, Worker và ONOS); sử dụng ngôn ngữ Python xây dựng topo mạng gồm 1 switch chính kết nối 3 switch phụ quản lý các host (Honeypot, Logging, Victim).
    • Nhiệm vụ 3: Nghiên cứu mô hình HoneyMix; tích hợp hệ thống phát hiện/ngăn chặn xâm nhập IDPS Snort, cấu hình chuyển hướng lưu lượng bằng iptables và thiết lập ELK Stack để thu thập, chuẩn hóa nhật ký.
    • Nhiệm vụ 4: Tiến hành thực nghiệm các kịch bản tấn công (Network Scanning, DDoS, SSH, HTTP), đo lường thời gian phản hồi, trích xuất đặc trưng và đánh giá hiệu quả phát hiện bất thường của các thuật toán học máy.

  3. Đối tượng và phạm vi nghiên cứu:

    • Đối tượng nghiên cứu: Kiến trúc mạng SDN, bộ điều khiển ONOS, framework MaxiNet; hệ thống Honeypot/Honeynet và tập dữ liệu nhật ký (log); các thuật toán học máy trong hệ thống Threat Hunting Fuchikoma (DBSCAN, LOF, Isolation Forest).
    • Phạm vi nghiên cứu: Khả năng ứng dụng của SDN trong việc hỗ trợ điều phối, quản lý và chuyển hướng lưu lượng đến Honeynet; ứng dụng học máy phát hiện hành vi bất thường trong môi trường mạng giả lập SDN-IoT; thời gian thực hiện từ tháng 02/2022 đến tháng 06/2022 tại Trường Đại học Công nghệ Thông tin - ĐHQG TP.HCM.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết và mô hình tham chiếu

Khóa luận xây dựng dựa trên các nền tảng công nghệ và mô hình lý thuyết chuyên ngành An toàn thông tin và Mạng máy tính:

  • Kiến trúc Mạng điều khiển bằng phần mềm (SDN): Tách biệt mặt phẳng điều khiển (Control Plane) khỏi mặt phẳng dữ liệu (Data Plane). Hệ thống sử dụng bộ điều khiển tập trung ONOS (Open Network Operating System), giao tiếp với lớp ứng dụng thông qua Northbound API và điều khiển các thiết bị chuyển mạch OpenvSwitch (OVS) ở lớp hạ tầng thông qua giao thức OpenFlow (Southbound API).
Tiêu chí so sánh Mạng truyền thống Mạng điều khiển bằng phần mềm (SDN)
Cách tiếp cận Phần cứng mạng tĩnh, cố định Ảo hóa, trừu tượng hóa bằng phần mềm
Mặt phẳng điều khiển & dữ liệu Tích hợp chung trên từng thiết bị phần cứng Tách biệt hoàn toàn (Control Plane tập trung)
Khả năng lập trình Đóng, không thể lập trình lại Giao diện mở, dễ dàng lập trình theo yêu cầu
Cấu hình hệ thống Cấu hình thủ công từng thiết bị Tự động hóa qua bộ điều khiển trung tâm
Khả năng mở rộng Thấp, cấu trúc phức tạp Cao, quản lý tập trung và chi phí bảo trì thấp
  • Mô hình HoneyMix và Kiến trúc bảo mật đa mặt phẳng của Zarca et al. (2020): Khóa luận kế thừa mô hình phân lớp gồm ba mặt phẳng chính:
    1. User/Admin Plane: Cung cấp giao diện Policy Editor cho quản trị viên định nghĩa chính sách bảo mật.
    2. Security Orchestration Plane: Tiếp nhận, thông dịch và tinh chỉnh chính sách (Policy Interpreter, Policy Refinement, Reaction Module), thực thi điều phối bẫy ảo hóa.
    3. Security Enforcement Plane: Bao gồm miền quản lý SDN/IoT Controller và miền VNF (chạy mạng Honeynet ảo hóa trên nền tảng Containernet/Docker).
  • Hệ thống phát hiện và ngăn chặn xâm nhập (IDPS Snort): Hoạt động theo kiến trúc mô-đun (Module giải mã gói tin, Tiền xử lý, Phát hiện dựa trên luật, Log/Cảnh báo và Kết xuất thông tin) với hai chế độ triển khai: Promiscuous Mode (giám sát thụ động) và Inline Mode (chủ động ngăn chặn).
  • Hệ thống Săn lùng mối đe dọa (Threat Hunting System - Fuchikoma): Xây dựng pipeline học máy phân tích dữ liệu bất thường từ nhật ký mạng tập trung được thu thập bởi ELK Stack (Elasticsearch, Logstash, Kibana).

Phương pháp nghiên cứu

  • Phương pháp mô phỏng và thực nghiệm hệ thống: Sử dụng framework MaxiNet để mở rộng Mininet trên nhiều máy vật lý (Server và các Worker node), kết nối các phân vùng mạng ảo hóa thông qua đường hầm GRE (Generic Routing Encapsulation) và điều khiển tập trung qua ONOS Controller bằng các hàm gọi thủ tục từ xa (RPC).
  • Phương pháp thu thập và tiền xử lý dữ liệu: Lưu lượng tấn công vào hệ thống được ghi nhận bởi Snort và các Honeypot, sau đó chuyển về Logstash để xử lý cấu trúc, lưu trữ tại Elasticsearch và hiển thị trên Kibana. Dữ liệu sau đó được trích xuất thành hai bộ thuộc tính đặc trưng (tập 145 thuộc tính và tập 264 thuộc tính).
  • Phương pháp phân tích dữ liệu bằng học máy (Unsupervised Learning): Sử dụng các thuật toán không giám sát nhằm phát hiện các mẫu tấn công và hành vi bất thường:
    • Thuật toán phân cụm dựa trên mật độ DBSCAN (Density-Based Spatial Clustering of Applications with Noise), tối ưu hóa tham số $\varepsilon$ (Epsilon) và MinPts.
    • Thuật toán Local Outlier Factor (LOF) và Isolation Forest (IF) để so sánh, đánh giá khả năng nhận diện các điểm dữ liệu dị biệt.

Thiết kế kiến trúc và triển khai hệ thống

Hệ thống phòng thủ chủ động được thiết kế dưới dạng một kiến trúc đa tầng tích hợp giữa mạng SDN, mạng bẫy thích ứng và pipeline săn lùng mối đe dọa:

[Attacker / External Traffic]
  1. Phân hệ điều khiển và mạng giả lập (SDN & MaxiNet):
    • Bộ điều khiển ONOS quản lý cấu trúc topo gồm 1 switch OpenFlow trung tâm kết nối tới 3 switch nhánh.
    • MaxiNet chịu trách nhiệm phân bổ tải mô phỏng trên các máy công nhân (Worker). Mỗi switch nhánh quản lý một nhóm host đảm nhiệm các vai trò: máy nạn nhân (Victim), các bẫy Honeypot giả lập dịch vụ IoT, và máy chủ giám sát nhật ký.
  2. Cơ chế chuyển hướng thích ứng (Adaptive Redirection & MTD):
    • Khi kẻ tấn công thực hiện quét mạng hoặc gửi các gói tin thăm dò, hệ thống sử dụng luật chuyển tiếp OpenFlow và câu lệnh bảng iptables tại gateway để điều hướng trong suốt toàn bộ kết nối của kẻ tấn công vào vùng Honeynet mà không làm gián đoạn hoặc ảnh hưởng đến hệ thống thật.
  3. Phân hệ phân tích và săn lùng mối đe dọa (Threat Hunting):
    • Log ghi nhận từ Honeynet và cảnh báo từ Snort được đồng bộ theo thời gian thực về Elasticsearch.
    • Mô-đun Fuchikoma trích xuất các vector đặc trưng, áp dụng thuật toán phân cụm mật độ DBSCAN để gom nhóm hành vi tấn công, lọc bỏ nhiễu và cung cấp dữ liệu bất thường giúp quản trị viên cập nhật lại bộ luật phát hiện của Snort và cấu hình lại luồng của SDN.

Nội dung chính theo từng chương

Chương 1: Tổng quan đề tài

Trình bày tính cấp thiết của việc bảo vệ an toàn thông tin trong bối cảnh bùng nổ thiết bị IoT và các mối đe dọa từ mạng botnet, tấn công từ chối dịch vụ phân tán (DDoS). Chương 1 làm rõ các hạn chế cố hữu của mạng truyền thống và thiết bị IoT, từ đó xác định việc ứng dụng SDN kết hợp kỹ thuật bẫy Honeynet là hướng đi tất yếu. Nội dung chương phân định rõ mục tiêu, đối tượng, phạm vi nghiên cứu, phương pháp tiếp cận và cấu trúc tổng thể gồm 5 chương của khóa luận.

Chương 2: Cơ sở lý thuyết

Cung cấp tổng quan về các công trình nghiên cứu trong và ngoài nước liên quan đến bảo mật IoT, SDN/NFV và Honeynet (như ThingPot, HoneyIo4, HoneyMix). Trình bày chi tiết kiến trúc mạng SDN (3 lớp, giao thức OpenFlow, OpenvSwitch, bộ điều khiển ONOS), nguyên lý vận hành của framework mô phỏng phân tán MaxiNet. Phân tích nguyên lý hoạt động của hệ thống phát hiện xâm nhập IDS/IPS (phân biệt NIDS/HIDS, Signature-based/Anomaly-based, kiến trúc mô-đun của Snort), các khái niệm về phòng thủ chủ động (Adaptive Cyber Deception, Moving Target Defense - MTD), công nghệ Honeypot/Honeynet, hệ thống Threat Hunting Fuchikoma và bộ công cụ ELK Stack.

Chương 3: Phương pháp thực hiện

Trình bày phương pháp luận và mô hình thiết kế của chiến lược giăng bẫy thích ứng. Định nghĩa chi tiết kiến trúc hệ thống gồm 3 phân vùng mạng: vùng mạng SDN - Honeynet, vùng mạng giám sát nhật ký tập trung và vùng xử lý Threat Hunting. Mô tả chi tiết luồng dữ liệu nghiệp vụ: từ lúc tiếp nhận lưu lượng mạng, phân loại gói tin, cơ chế chuyển hướng lưu lượng bằng iptables/OpenFlow, quy trình thu thập và chuẩn hóa log qua Logstash, đến quy trình trích xuất đặc trưng và phân tích dữ liệu bất thường của Fuchikoma.

Chương 4: Hiện thực và thực nghiệm

Tập trung vào quy trình triển khai thực tế topo mạng trên nền tảng MaxiNet kết hợp bộ điều khiển ONOS. Xây dựng các kịch bản thử nghiệm tấn công thực tế bao gồm: tấn công dò quét cổng (Network Scanning), tấn công vét cạn SSH (Brute-force SSH), tấn công từ chối dịch vụ HTTP (DDoS HTTP). Chương 4 thu thập các số liệu thống kê về thời gian chuyển hướng lưu lượng, độ trễ phản hồi dịch vụ, đo lường mức độ chiếm dụng tài nguyên CPU của máy chủ trước và sau khi kích hoạt cơ chế ngăn chặn của Snort, cũng như tiến hành chạy các thuật toán học máy (DBSCAN, LOF, IF) trên tập dữ liệu đặc trưng trích xuất.

Chương 5: Kết luận và hướng phát triển

Tổng kết toàn bộ các kết quả đạt được về mặt lý thuyết và thực nghiệm của khóa luận; thẳng thắn chỉ ra các điểm còn hạn chế của mô hình nghiên cứu và đề xuất các định hướng mở rộng cho các nghiên cứu tiếp theo.

Kết quả và đóng góp học thuật

Kết quả thực nghiệm chính

Khóa luận đã thu thập và kiểm chứng các số liệu đo lường thực tế thông qua các kịch bản tấn công:

  • Khả năng chuyển hướng và độ trễ dịch vụ: Hệ thống thực hiện chuyển hướng thành công lưu lượng tấn công sang các container Honeypot. Bảng thống kê thời gian chuyển hướng và phản hồi đối với hai kịch bản tấn công điển hình cho thấy độ trễ bổ sung do cơ chế lừa dối tạo ra là không đáng kể, đảm bảo tính trong suốt đối với kẻ tấn công:
    • Kịch bản tấn công SSH: Thời gian thiết lập kết nối và chuyển hướng sang Honeypot SSH được duy trì ổn định, ghi nhận đầy đủ phiên tương tác và thông tin đăng nhập thử nghiệm của kẻ tấn công.
    • Kịch bản tấn công HTTP: Thời gian phản hồi gói tin HTTP sau khi được điều hướng qua cơ chế bẫy vẫn đảm bảo ngưỡng tương đương với máy chủ dịch vụ thông thường.
  • Hiệu quả giải phóng tài nguyên hệ thống (CPU Monitoring): Khi xảy ra tấn công từ chối dịch vụ (DDoS), mức sử dụng CPU của máy chủ mục tiêu tăng vọt lên mức tối đa (xấp xỉ 100%). Sau khi hệ thống IDPS Snort nhận diện luồng tấn công và thực thi luật ngăn chặn (Drop/Block), mức tiêu thụ CPU của máy chủ giảm mạnh về trạng thái hoạt động bình thường, chứng minh khả năng bảo vệ tính sẵn sàng của hạ tầng.
  • Đánh giá thuật toán phân tích bất thường Threat Hunting (Fuchikoma):
    • Thực nghiệm thuật toán phân cụm DBSCAN trên hai không gian đặc trưng: tập 145 thuộc tính và tập 264 thuộc tính.
    • Kết quả phân cụm cho thấy việc mở rộng lên 264 thuộc tính giúp mô hình gom nhóm chính xác hơn các hành vi tấn công phức tạp và tách biệt rõ ràng các điểm nhiễu (outliers) đại diện cho các cuộc tấn công bất thường hoặc tấn công zero-day.
    • Kết quả so sánh giữa thuật toán DBSCAN với Local Outlier Factor (LOF) và Isolation Forest (IF) khẳng định tính hiệu quả của phương pháp tiếp cận mật độ trong việc nhận dạng mẫu hành vi tấn công từ nhật ký mạng.

Đóng góp của đề tài

  1. Về mặt học thuật: Đề xuất một quy trình kết hợp hoàn chỉnh giữa kiến trúc mạng khả lập trình (SDN), mạng bẫy thích ứng (Honeynet) và pipeline săn lùng mối đe dọa (Threat Hunting) dựa trên học máy không giám sát trong môi trường SDN-IoT.
  2. Về mặt kỹ thuật và thực tiễn:
    • Hiện thực hóa thành công mô hình mạng ảo hóa quy mô lớn trên nền tảng phân tán MaxiNet kết hợp bộ điều khiển ONOS và Containernet với chi phí đầu tư thấp.
    • Xây dựng giải pháp giám sát nhật ký tập trung và tự động hóa trích xuất đặc trưng phục vụ phát hiện xâm nhập, tạo tiền đề cho việc tự động cập nhật chính sách an ninh mạng linh hoạt theo thời gian thực.

Hạn chế và hướng nghiên cứu tiếp

Khóa luận đã thẳng thắn ghi nhận các hạn chế kỹ thuật hiện tại dựa trên phạm vi nghiên cứu:

  • Hạn chế về môi trường triển khai: Hệ thống mới chỉ được thử nghiệm và đánh giá trên môi trường mạng mô phỏng (MaxiNet, Mininet, Containernet) trên một cụm máy chủ cục bộ, chưa được kiểm thử trên hạ tầng phần cứng mạng thực tế với lưu lượng truy cập thực tế đa dạng của người dùng doanh nghiệp.
  • Hạn chế về cân bằng tải của MaxiNet: Cơ chế phân bổ tải hiện tại của MaxiNet phân chia tác vụ đồng đều giữa các Worker mà chưa tính toán đến sự khác biệt về năng lực phần cứng thực tế và độ trễ đường truyền vật lý giữa các nút máy chủ.
  • Hạn chế về tính tự động hóa khép kín: Quy trình cập nhật lại luật (rules) cho IDPS Snort và cập nhật Flow Table cho bộ điều khiển ONOS sau khi Fuchikoma phát hiện bất thường vẫn cần sự tham gia đánh giá, kiểm tra của quản trị viên, chưa đạt mức tự động hóa phản ứng 100% trong thời gian thực.

Hướng nghiên cứu tiếp theo:

  • Tối ưu hóa framework MaxiNet để nhận biết cấu hình phần cứng và độ trễ vật lý giữa các Worker trong môi trường phân tán dị thể.
  • Triển khai thử nghiệm mô hình giăng bẫy thích ứng trên các thiết bị mạng phần cứng hỗ trợ OpenFlow thực tế.
  • Tự động hóa hoàn toàn vòng lặp phản hồi: từ kết quả phân cụm của Fuchikoma tự động sinh luật bảo mật mới và đẩy trực tiếp xuống bộ điều khiển ONOS và IDPS Snort theo thời gian thực.

Giá trị tham khảo

Báo cáo khóa luận là tài liệu tham khảo chuyên sâu đối với:

  • Sinh viên và học viên chuyên ngành An toàn thông tin, Mạng máy tính và Kỹ thuật truyền thông: Cung cấp tài liệu toàn diện về cách thức hoạt động của mạng điều khiển bằng phần mềm SDN, bộ điều khiển ONOS, chuyển mạch OpenvSwitch và giao thức OpenFlow.
  • Các nhóm nghiên cứu về phòng thủ chủ động và Honeynet: Cung cấp phương pháp luận và mô hình kỹ thuật chi tiết trong việc thiết kế mạng bẫy ảo hóa sử dụng Containernet và cơ chế chuyển hướng lưu lượng bằng iptables/OpenFlow.
  • Kỹ sư vận hành Trung tâm điều hành an ninh mạng (SOC) và Threat Hunter: Tham khảo quy trình xây dựng hệ thống quản lý nhật ký tập trung với ELK Stack và pipeline trích xuất 145/264 đặc trưng phục vụ phân tích bất thường bằng các thuật toán học máy không giám sát.

Câu hỏi thường gặp

1. Khóa luận giải quyết vấn đề cốt lõi nào trong an ninh mạng cho thiết bị IoT?
Khóa luận giải quyết điểm yếu hạn chế về tài nguyên tính toán, bộ nhớ và pin của các thiết bị IoT khiến chúng không thể tự chạy các giải pháp bảo mật nặng. Bằng cách tận dụng khả năng lập trình của mạng SDN, hệ thống chủ động phát hiện và chuyển hướng lưu lượng tấn công sang một mạng bẫy ảo hóa (Honeynet) độc lập, giúp bảo vệ an toàn cho thiết bị thật và thu thập dấu vết tấn công.

2. Bộ điều khiển SDN và công cụ mô phỏng mạng nào được sử dụng trong đề tài?
Đề tài sử dụng bộ điều khiển mã nguồn mở ONOS (Open Network Operating System) kết hợp với framework mô phỏng phân tán MaxiNet (chạy trên nền Mininet và Containernet) để thiết lập và điều khiển topo mạng trên nhiều máy vật lý (Server và Worker) kết nối qua đường hầm GRE.

3. Hệ thống Fuchikoma đóng vai trò gì và sử dụng thuật toán học máy nào?
Fuchikoma đóng vai trò là hệ thống săn lùng mối đe dọa (Threat Hunting). Hệ thống tiếp nhận dữ liệu log tập trung từ Elasticsearch, trích xuất thành 145 hoặc 264 thuộc tính đặc trưng và áp dụng các thuật toán học máy không giám sát gồm DBSCAN, Local Outlier Factor (LOF) và Isolation Forest (IF) để phân cụm hành vi và phát hiện các tấn công bất thường (bao gồm cả tấn công zero-day).

4. Cơ chế chuyển hướng lưu lượng từ mạng thật sang mạng bẫy được thực hiện bằng cách nào?
Cơ chế chuyển hướng được thực hiện phối hợp giữa các luật của bảng luồng (Flow Table) trên bộ chuyển mạch OpenvSwitch do ONOS điều khiển và các quy tắc chuyển tiếp địa chỉ trong bảng iptables tại nút mạng trung gian, đảm bảo gói tin của kẻ tấn công được bẻ hướng sang Honeypot một cách trong suốt.

5. Kết quả thực nghiệm đã chứng minh hiệu quả giảm tải hệ thống của giải pháp như thế nào?
Trong kịch bản tấn công DDoS, mức sử dụng CPU của máy chủ nạn nhân bị đẩy lên mức tối đa (~100%). Sau khi hệ thống phát hiện và kích hoạt cơ chế ngăn chặn của IDPS Snort, lưu lượng độc hại bị chặn đứng và mức tiêu thụ CPU của máy chủ giảm mạnh về trạng thái bình thường, bảo vệ an toàn cho dịch vụ.

Kết luận

Khóa luận tốt nghiệp của sinh viên Văn Đoàn Bảo Khôi và Phạm Nguyễn Thảo Nhi đã nghiên cứu và hiện thực hóa thành công chiến lược giăng bẫy thích ứng phục vụ phòng thủ chủ động trên nền tảng mạng khả lập trình SDN. Đề tài đã tích hợp hiệu quả các công nghệ tiên tiến gồm bộ điều khiển ONOS, hệ thống bẫy ảo hóa Containernet, hệ thống phát hiện xâm nhập Snort, ngăn xếp quản lý nhật ký ELK Stack và pipeline Threat Hunting Fuchikoma sử dụng học máy phân tích bất thường. Kết quả thực nghiệm trên môi trường phân tán MaxiNet đã chứng minh tính khả thi, khả năng chuyển hướng lưu lượng tấn công trong suốt và giảm thiểu tải tài nguyên cho hệ thống mạng IoT.