Bối cảnh và vấn đề nghiên cứu
Khóa luận tốt nghiệp cử nhân ngành An toàn thông tin với đề tài "Bảo mật API Gateway cho nhiều bên trong môi trường Cloud-Native sử dụng Học liên kết" (tên tiếng Anh: Secure Multi-Tenant API Gateway in Cloud-Native Environments using Federated Learning) được thực hiện bởi sinh viên Lê Hoàng Phúc (MSSV: 20521763) và Nguyễn Tấn Giang (MSSV: 20521261) dưới sự hướng dẫn của TS. Nguyễn Ngọc Tự tại Khoa Mạng máy tính và Truyền thông, Trường Đại học Công nghệ Thông tin – Đại học Quốc gia Thành phố Hồ Chí Minh (năm 2024).
Về bối cảnh thực tiễn, kiến trúc dịch vụ vi mô (Microservice) đang trở thành xu hướng chủ đạo trong phát triển phần mềm nhờ các ưu điểm nổi bật như tính linh hoạt trong điều chỉnh và mở rộng từng dịch vụ riêng lẻ, khả năng mở rộng hệ thống độc lập theo nhu cầu tải, tính an toàn thông qua việc cô lập lỗi cục bộ và tính khả dụng cao. Tuy nhiên, việc chuyển dịch sang kiến trúc Microservice làm gia tăng đáng kể bề mặt tấn công mạng do số lượng dịch vụ và giao diện kết nối tăng vọt. Trong cấu trúc này, API Gateway giữ vai trò là điểm tiếp nhận và điều phối lưu lượng trung tâm, dẫn đến nguy cơ trở thành mục tiêu xâm nhập hàng đầu của các tác nhân tấn công. Theo số liệu thống kê từ Salt được tác giả trích dẫn trong văn bản, tần suất tấn công nhắm vào API đã tăng 400%, vượt quá năng lực phòng ngừa của các giải pháp tường lửa ứng dụng web (WAF) và API Gateway truyền thống dựa trên tập luật tĩnh.
Tác giả chỉ ra các thách thức lớn của những giải pháp hiện hành:
- Các mô hình máy học hiện tại tuy đạt kết quả khả quan trong nghiên cứu lý thuyết nhưng khi triển khai vào môi trường thực tế lại không đạt hiệu quả như mong đợi.
- Chi phí tính toán để đào tạo một mô hình học sâu hoàn chỉnh từ đầu là rất lớn.
- Hệ thống phòng thủ chưa tận dụng được nguồn dữ liệu và tài nguyên tính toán phân tán giữa các tổ chức.
- Khả năng nâng cấp, bảo trì và thích ứng của các giải pháp bảo mật cổng API hiện nay còn gặp nhiều trở ngại.
- Nguy cơ vi phạm quyền riêng tư và bí mật kinh doanh khi các bên tham gia (tenants) chia sẻ dữ liệu nhật ký lưu lượng để huấn luyện mô hình tập trung.
Mục tiêu nghiên cứu của đề tài được xác định cụ thể gồm hai nhiệm vụ:
- Xây dựng và triển khai hệ thống API Gateway tích hợp mô hình máy học (đặc biệt là mô hình xử lý ngôn ngữ) nhằm tự động nhận diện và phòng chống các cuộc tấn công tầng ứng dụng.
- Tích hợp kỹ thuật học liên kết (Federated Learning) nhằm giảm thiểu chi phí tài nguyên đào tạo, tận dụng tài nguyên phân tán giữa các đơn vị mà vẫn bảo toàn tính riêng tư của dữ liệu.
Đối tượng và phạm vi nghiên cứu:
- Đối tượng nghiên cứu: An toàn thông tin trong kiến trúc Microservice (Microservice Security), các kỹ thuật tấn công nhắm vào tầng ứng dụng, các mô hình máy học và học sâu.
- Phạm vi nghiên cứu: Giải pháp bảo mật cho API Gateway, ứng dụng mô hình xử lý ngôn ngữ tự nhiên trong phát hiện bất thường, kỹ thuật học liên kết triển khai trong môi trường microservice đa bên thuê (multi-tenant).
Cơ sở lý thuyết và phương pháp
Khóa luận thiết lập hệ thống cơ sở lý thuyết bao gồm ba trụ cột chính: kiến trúc Microservice, các hình thức tấn công tầng ứng dụng, và các kỹ thuật học sâu kết hợp học liên kết.
Về kiến trúc Microservice, văn bản phân tích các đặc điểm phân tách (decoupling), thành phần hóa, cơ sở mã độc lập và khả năng phân phối liên tục. Cơ chế giao tiếp giữa các dịch vụ được phân loại rõ ràng:
- Giao tiếp đồng bộ (Synchronous): Client gửi yêu cầu qua giao thức HTTP hoặc gRPC và tạm dừng luồng hoạt động để chờ phản hồi từ dịch vụ.
- Giao tiếp bất đồng bộ (Asynchronous): Client gửi thông điệp thông qua hệ thống môi giới tin nhắn (Message Broker) bằng giao thức AMQP (Advanced Message Queuing Protocol) mà không cần chiếm dụng luồng chờ đợi; triển khai dưới dạng một-đến-một (queue) hoặc một-đến-nhiều (topic).
Về kiểm soát truy cập và phân quyền, tác giả đối chiếu mô hình phân quyền cấp cạnh (Edge-level Authorization) tại API Gateway với mô hình phân quyền cấp dịch vụ (Service-level Authorization). Trong đó, hệ thống được quy chiếu theo tiêu chuẩn NIST SP 800-162 với 4 thành phần chức năng cốt lõi:
- Điểm quản trị chính sách (PAP - Policy Administration Point).
- Điểm quyết định chính sách (PDP - Policy Decision Point).
- Điểm thực thi chính sách (PEP - Policy Enforcement Point).
- Điểm thông tin chính sách (PIP - Policy Information Point).
Văn bản nghiên cứu và phân loại các kỹ thuật tấn công tầng ứng dụng phổ biến mà hệ thống cần phát hiện:
- Cross-Site Scripting (XSS): Gồm Reflected XSS, Stored XSS và DOM-based XSS.
- SQL Injection (SQLi): Kỹ thuật chèn mã truy vấn can thiệp cơ sở dữ liệu.
- Directory Traversal (Path Traversal): Lỗ hổng duyệt thư mục nhằm đọc hoặc ghi tập tin trái phép trên máy chủ lưu trữ (như
/etc/passwd).
- Log4j: Lỗ hổng thực thi mã Java từ xa trên framework Apache Log4j.
- Log Forging: Chèn ký tự giả mạo làm sai lệch cấu trúc tập tin nhật ký.
- Cookie Injection: Tiêm mã độc thông qua giá trị cookie.
- Remote Code Execution (RCE): Thực thi mã lệnh tùy ý từ xa, dẫn đến chiếm toàn quyền điều khiển hệ thống.
Về phương pháp học máy, tác giả tổng kết các mô hình học sâu áp dụng trong an ninh điện toán đám mây gồm Mạng nơ-ron tích chập (CNN), Mạng nơ-ron hồi quy (RNN), Mạng bộ nhớ dài-ngắn hạn (LSTM), Mạng đối nghịch tạo sinh (GAN) và Học tăng cường sâu (DRL). Đối với kỹ thuật học liên kết (Federated Learning - FL), văn bản hệ thống hóa:
- Ba mô hình kiến trúc: Học liên kết tập trung (Centralized FL), Học liên kết phi tập trung (Decentralized FL) và Học liên kết dị dạng (Heterogeneous FL / HeteroFL).
- Quy trình hoạt động chuẩn 4 bước: Khởi tạo mô hình, Huấn luyện cục bộ (Local Training), Cập nhật mô hình toàn cục, Lặp lại quy trình.
- Các chiến lược cập nhật trọng số: Cập nhật trung bình, cập nhật theo trọng số (weighted) và thuật toán FedAvg (Federated Averaging) kết hợp tối ưu hóa Stochastic Gradient Descent (SGD).
Phương pháp nghiên cứu thực nghiệm được thực hiện bằng cách thiết kế hệ thống kỹ thuật, xây dựng 4 cấu trúc mô hình học sâu đề xuất, thiết lập môi trường giả lập học liên kết phân tán với 3 nút khách (Client 1, Client 2, Client 3) và đo lường định lượng các chỉ số phân loại.
Thiết kế và triển khai
Hệ thống bảo vệ được thiết kế hoạt động như một lớp phần mềm trung gian nằm giữa ứng dụng người dùng và các dịch vụ nội bộ, kết hợp giữa API Gateway, Service Mesh, mô hình Deep Learning và máy chủ Federated Learning.
| Thành phần chính |
Mô-đun chức năng trực thuộc |
Vai trò và nhiệm vụ kỹ thuật |
| User Endpoint |
Chấm dứt SSL (SSL Termination) |
Đóng vai trò Reverse Proxy, tiếp nhận lưu lượng HTTPS từ client, giải mã thành HTTP trước khi chuyển vào các bộ xử lý bên trong. |
| Internal Process |
Bộ cân bằng tải & Định tuyến (Load Balancer / Router) |
Phân phối lưu lượng đồng đều tới các dịch vụ backend, ngăn chặn quá tải hệ thống. |
|
Xác thực (Authentication) |
Kiểm tra tính hợp lệ và danh tính của người dùng gửi yêu cầu. |
|
Phân quyền (Authorization) |
Xác định quyền hạn truy cập của người dùng đối với từng tài nguyên API cụ thể. |
|
Quản lý phiên (Session Management) & Kiểm tra phiên |
Giám sát, duy trì và xác thực tính hợp lệ của các phiên làm việc đang hoạt động. |
|
Tiền xử lý dữ liệu (Data Preprocessing Module) |
Tiếp nhận chuỗi dữ liệu trong gói tin HTTP, làm sạch và chuẩn hóa sang định dạng đầu vào cho mô hình học sâu. |
|
Nhận dạng (Detection Module) / Phát hiện bất thường |
Sử dụng mô hình học sâu để phân loại yêu cầu là an toàn hay chứa mã độc tấn công tầng ứng dụng. |
|
Trung tâm ghi nhật ký (Log Center) |
Lưu trữ tập trung các sự kiện truy cập và kết quả phân loại phục vụ giám sát. |
|
Huấn luyện cục bộ (Local Training) & CSDL mô hình |
Lưu trữ phiên bản mô hình tại chỗ và thực hiện tái huấn luyện dựa trên dữ liệu nhật ký mới phát sinh của từng bên. |
| Service Endpoint |
Bộ chuyển tiếp dịch vụ |
Cổng giao tiếp cuối cùng chuyển tiếp yêu cầu hợp lệ tới các Microservice nghiệp vụ phía sau. |
| Federated Server |
Quản lý mô hình toàn cầu (Global Model) |
Tiếp nhận các bản cập nhật trọng số từ các API Gateway cục bộ, thực hiện thuật toán tổng hợp (FedAvg) và phân phối lại mô hình toàn cầu đã cập nhật. |
Cơ chế phối hợp học liên kết cho phép mỗi tổ chức (tenant) vận hành một API Gateway độc lập. Mô-đun huấn luyện cục bộ (Local Training) sử dụng dữ liệu yêu cầu thực tế phát sinh tại cổng của tổ chức để tối ưu hóa trọng số. Sau đó, chỉ có các tham số trọng số mô hình được mã hóa và gửi về Máy chủ học liên kết toàn cầu (Federated Server Global Model). Máy chủ tổng hợp các tham số này để tạo ra phiên bản mô hình nâng cao rồi phân phối ngược lại cho các bên, loại bỏ hoàn toàn việc chia sẻ dữ liệu nhật ký thô nhạy cảm.
Nội dung chính theo từng chương
Chương 1. Tổng quan đề tài
Chương này giới thiệu tổng quan về đề tài "Bảo mật API Gateway cho nhiều bên trong môi trường Cloud-Native sử dụng Học liên kết". Tác giả phân tích tính ứng dụng cấp bách của giải pháp bảo vệ API Gateway trong bối cảnh kiến trúc Microservice phát triển nhanh chóng. Đồng thời, chương 1 xác định rõ các thách thức thực tế, mục tiêu nghiên cứu cụ thể, đối tượng và phạm vi nghiên cứu, cùng cấu trúc bố cục tổng thể của toàn bộ khóa luận gồm 5 chương.
Chương 2. Cơ sở lý thuyết
Nội dung chương 2 trình bày có hệ thống các nền tảng lý thuyết:
- Tổng quan về Microservice: Phân tích kiến trúc polylithic, đặc điểm phân tách dịch vụ, các lợi ích (tính linh hoạt, mở rộng độc lập, cô lập lỗi bằng mẫu Circuit Breaker) và các thách thức vận hành (độ trễ mạng, tính toàn vẹn dữ liệu, kiểm thử phức tạp).
- Cơ chế giao tiếp: Trình bày chi tiết giao tiếp đồng bộ qua HTTP/gRPC và bất đồng bộ qua giao thức AMQP sử dụng hàng đợi (queue) và chủ đề (topic).
- Bảo mật Microservice: Đối chiếu phân quyền cấp cạnh và phân quyền cấp dịch vụ theo khung chuẩn NIST SP 800-162 gồm các điểm chức năng PAP, PDP, PEP, PIP.
- Thành phần API Gateway: Phân tích các tính năng định tuyến, giới hạn tốc độ (rate limiting), xử lý lỗi, ngắt mạch, bộ nhớ đệm (caching) và chấm dứt SSL; cùng các rủi ro bảo mật tiềm ẩn khi Gateway trở thành điểm nghẽn hoặc bề mặt tấn công.
- Các dạng tấn công tầng ứng dụng: Khảo sát chi tiết cơ chế hoạt động của XSS (Reflected, Stored, DOM), SQL Injection, Directory Traversal, Log4j, Log Forging, Cookie Injection và Remote Code Execution (RCE).
- Học sâu và Học liên kết: Đánh giá vai trò của các mạng nơ-ron nhân tạo (CNN, RNN, LSTM, GAN, DRL) trong bảo mật đám mây; giới thiệu phân loại học liên kết (Centralized, Decentralized, Heterogeneous FL), chu trình 4 bước huấn luyện và các chiến lược khởi tạo, cập nhật trọng số (FedAvg, SGD).
Chương 3. Mô hình đề xuất
Chương 3 mô tả kiến trúc chi tiết của giải pháp bảo mật API Gateway đa bên thuê:
- Kiến trúc tổng quát kết hợp giữa API Gateway, Service Mesh và Federated Learning.
- Chi tiết các thành phần: Ứng dụng người dùng (User's apps), Cổng API (gồm User Endpoint thực hiện chấm dứt SSL, Internal Process xử lý tuần tự qua các mô-đun xác thực, phân quyền, tiền xử lý dữ liệu, nhận dạng bất thường và chuyển tiếp), và Service Endpoint kết nối các tài nguyên backend.
- Đề xuất 4 biến thể kiến trúc mô hình học sâu (Mô hình đề xuất 1, 2, 3 và 4) ứng dụng kỹ thuật xử lý ngôn ngữ tự nhiên để phân tích cú pháp chuỗi truy vấn và payload HTTP.
- Thiết kế luồng hoạt động tích hợp học liên kết: Cơ chế trích xuất dữ liệu huấn luyện tại chỗ, lưu trữ CSDL mô hình cục bộ và giao thức trao đổi trọng số với máy chủ học liên kết toàn cầu.
Chương 4. Hiện thực và đánh giá
Chương này mô tả quá trình thiết lập môi trường thực nghiệm và phân tích dữ liệu đánh giá:
- Xây dựng mô hình học sâu và cấu hình môi trường thực nghiệm tính toán (Bảng 4.2 cấu hình phần cứng).
- Thiết lập hệ thống giả lập môi trường học liên kết với 3 máy khách cục bộ (Client 1, Client 2, Client 3).
- Định nghĩa các tiêu chí đánh giá định lượng: Hàm mất mát (Loss), Độ chính xác (Accuracy), Độ chuẩn xác (Precision), Độ thu hồi (Recall), Điểm F1 (F1-Score), Đường cong đặc trưng hoạt động máy thu (ROC AUC) và Ma trận nhầm lẫn (Confusion Matrix).
- Triển khai hai kịch bản thực nghiệm: Kịch bản 1 đánh giá năng lực phân loại độc lập của 4 mô hình đề xuất; Kịch bản 2 đánh giá mức độ cải thiện hiệu năng tại các client trước và sau khi thực hiện tổng hợp mô hình qua học liên kết.
- Trình bày hệ thống bảng biểu so sánh hiệu năng phân loại và thời gian xử lý với các nghiên cứu sẵn có.
Chương 5. Kết luận và hướng phát triển
Chương 5 tóm tắt các kết quả đạt được trong việc thiết kế kiến trúc API Gateway an toàn, tích hợp thành công mô hình học sâu nhận diện tấn công và giải pháp học liên kết bảo vệ quyền riêng tư. Tác giả đồng thời nêu ra các định hướng hoàn thiện hệ thống trong các giai đoạn nghiên cứu tiếp theo.
Kết quả và đóng góp
Khóa luận đã hoàn thành các mục tiêu nghiên cứu thông qua dữ liệu thực nghiệm được đo đạc và thống kê cụ thể trong Chương 4:
- Hiệu năng của các mô hình học sâu đề xuất:
Tác giả đã xây dựng và kiểm thử 4 biến thể kiến trúc mô hình học sâu (Mô hình đề xuất 1, 2, 3, 4). Năng lực phân loại các cuộc tấn công tầng ứng dụng của từng mô hình được đánh giá qua các chỉ số hàm mất mát (loss), accuracy, precision, recall, F1-score và ROC AUC trong giai đoạn huấn luyện và kiểm thử. Kết quả ma trận nhầm lẫn (Confusion Matrix) chứng minh các mô hình có khả năng nhận dạng chính xác các hành vi tấn công phổ biến như SQLi, XSS, RCE, Directory Traversal.
| Nhóm đánh giá thực nghiệm |
Các chỉ số và tiêu chí đo lường chính |
Kết quả và phát hiện được ghi nhận |
| Năng lực phân loại 4 mô hình (Bảng 4.6, 4.7, 4.8, 4.9) |
Loss, Accuracy, Precision, Recall, F1-Score, ROC AUC |
Cả 4 cấu trúc mô hình đều hội tụ tốt; phân loại chính xác các mẫu truy vấn độc hại tầng ứng dụng so với lưu lượng chuẩn. |
| So sánh với nghiên cứu sẵn có (Bảng 4.4 và Bảng 4.5) |
Khả năng phân loại và Thời gian phân loại (Inference/Classification latency) |
Mô hình đề xuất đạt hiệu năng phân loại cạnh tranh và tối ưu hóa thời gian xử lý yêu cầu, phù hợp làm việc tại tầng trung gian Gateway. |
| Hiệu quả tích hợp Học liên kết (Bảng 4.10 đến Bảng 4.15; Hình 4.25 đến 4.42) |
Ma trận nhầm lẫn và chỉ số phân loại tại Client 1, Client 2, Client 3 trước và sau tổng hợp |
Sau các vòng tổng hợp trọng số qua FedAvg, độ chính xác và khả năng nhận diện tấn công tại tất cả các client đều tăng lên rõ rệt so với mô hình cục bộ ban đầu. |
-
Giải pháp kỹ thuật đề xuất:
- Thiết lập cấu trúc bảo vệ nhiều lớp tích hợp trực tiếp vào quy trình nội bộ (Internal Process) của API Gateway, kết hợp giữa các tính năng cơ bản (SSL termination, xác thực, phân quyền theo chuẩn NIST SP 800-162) với mô-đun phân tích học sâu thông minh.
- Ứng dụng kỹ thuật xử lý ngôn ngữ tự nhiên để xem xét các yêu cầu HTTP như chuỗi văn bản, trích xuất đặc trưng và phát hiện bất thường mà không phụ thuộc vào các tập luật tĩnh (signature-based rule).
- Thiết kế quy trình huấn luyện phân tán Federated Learning sử dụng thuật toán FedAvg, giải quyết bài toán thiếu hụt dữ liệu huấn luyện tại từng đơn vị riêng lẻ.
-
Đóng góp học thuật và thực tiễn tự ghi nhận:
- Tự động hóa quá trình phòng chống tấn công tầng ứng dụng tại cổng vào của hệ thống Microservice, giảm thiểu sự phụ thuộc vào giám sát thủ công và hạn chế sai sót từ con người.
- Cung cấp giải pháp bảo mật cho mô hình đa bên thuê (multi-tenant) bảo đảm tính riêng tư: các tổ chức có thể hợp tác nâng cao độ chính xác của mô hình bảo mật mà không cần chia sẻ dữ liệu nhạy cảm hay vi phạm quy định dữ liệu.
- Tận dụng hiệu quả nguồn tài nguyên phân tán, giúp tiết kiệm chi phí đào tạo lại mô hình từ đầu cho từng doanh nghiệp.
Hạn chế và hướng nghiên cứu tiếp
Căn cứ trên phạm vi và nội dung được trình bày trong khóa luận, các hạn chế và hướng phát triển được xác định như sau:
Về hạn chế:
- Phạm vi nghiên cứu chủ yếu tập trung vào các dạng tấn công tầng ứng dụng web điển hình (XSS, SQLi, Directory Traversal, Log4j, Log Forging, Cookie Injection, RCE), chưa bao quát toàn bộ các vector tấn công phức tạp khác vào hạ tầng mạng đám mây.
- Việc thực thi mô hình học sâu ngay trên luồng xử lý nội bộ của API Gateway có thể tạo thêm độ trễ (latency overhead) nhất định cho các yêu cầu hợp lệ, đòi hỏi cấu hình tài nguyên tính toán phù hợp để tránh biến Gateway thành nút thắt cổ chai hiệu năng.
- Các kịch bản thực nghiệm học liên kết được thực hiện trên môi trường giả lập với số lượng client giới hạn (3 client), chưa phản ánh hết mức độ bất đồng nhất về phần cứng và dữ liệu cực lớn trong các môi trường điện toán đám mây quy mô thực tế.
Về hướng nghiên cứu tiếp:
- Tối ưu hóa kích thước mô hình học sâu và áp dụng các kỹ thuật nén, lượng tử hóa mô hình nhằm giảm thiểu tối đa độ trễ phân loại tại API Gateway.
- Mở rộng phạm vi nhận diện thêm các biến thể tấn công mới nổi và các hình thức tấn công mạng phức tạp nhắm vào tầng liên lạc giữa các microservice.
- Nghiên cứu và thử nghiệm thuật toán học liên kết dị dạng (Heterogeneous FL / HeteroFL) để thích ứng tốt hơn với các bên tham gia có năng lực tính toán và cấu trúc phần cứng không đồng nhất.
- Triển khai thử nghiệm hệ thống trong môi trường cloud-native thực tế ở quy mô lớn với nhiều cụm dịch vụ phân tán.
Giá trị tham khảo
Khóa luận là tài liệu tham khảo chuyên môn giá trị cho nhiều nhóm đối tượng:
- Sinh viên và học viên chuyên ngành An toàn thông tin, Mạng máy tính và Khoa học máy tính: Cung cấp tài liệu hệ thống hóa về lý thuyết an ninh Microservice, mô hình kiểm soát truy cập theo chuẩn NIST SP 800-162 và các dạng lỗ hổng ứng dụng web phổ biến.
- Kỹ sư phát triển phần mềm và Kiến trúc sư giải pháp Cloud-Native: Cung cấp thiết kế kiến trúc thực tế về việc phân chia trách nhiệm xử lý trong API Gateway (User Endpoint, Internal Process, Service Endpoint) và giải pháp tích hợp các mô-đun bảo mật vào quy trình định tuyến mà không làm gián đoạn luồng nghiệp vụ.
- Nhà nghiên cứu về Học máy ứng dụng trong An ninh mạng: Đưa ra khung thực nghiệm hoàn chỉnh về việc chuyển đổi chuỗi yêu cầu HTTP sang dữ liệu cho mô hình ngôn ngữ học sâu, cùng phương pháp luận chi tiết khi triển khai thuật toán Federated Learning (FedAvg) trên dữ liệu phân tán nhiều bên.
Phần đáng tham khảo nhất của văn bản là Chương 3 (mô hình kiến trúc phân lớp chi tiết của API Gateway) và Chương 4 (phương pháp xây dựng kịch bản đo lường so sánh hiệu năng phân loại của 4 kiến trúc học sâu cùng ảnh hưởng của học liên kết tại từng nút mạng trước và sau tổng hợp).
Câu hỏi thường gặp
1. Khóa luận giải quyết rủi ro bảo mật cốt lõi nào của kiến trúc Microservice?
Khóa luận giải quyết vấn đề bề mặt tấn công mở rộng và nguy cơ API Gateway trở thành mục tiêu xâm nhập trung tâm trong môi trường Microservice. Đặc biệt, giải pháp khắc phục điểm yếu của các cổng API truyền thống vốn dựa trên tập luật tĩnh, không đủ khả năng thích ứng trước các cuộc tấn công tầng ứng dụng ngày càng tinh vi và gia tăng nhanh chóng (tăng 400% theo thống kê từ Salt).
2. Kỹ thuật Học liên kết (Federated Learning) đóng vai trò gì trong mô hình đề xuất?
Học liên kết cho phép nhiều tổ chức (tenants) cùng hợp tác huấn luyện một mô hình học sâu nhận dạng tấn công toàn cầu chất lượng cao thông qua việc chia sẻ các bản cập nhật trọng số mô hình (sử dụng thuật toán FedAvg) về máy chủ trung tâm. Cơ chế này tận dụng được dữ liệu phân tán và giảm chi phí đào tạo lại từ đầu mà không đòi hỏi các bên phải gửi dữ liệu nhật ký thô nhạy cảm ra ngoài, bảo toàn quyền riêng tư tuyệt đối.
3. Khóa luận tập trung phát hiện những hình thức tấn công tầng ứng dụng cụ thể nào?
Hệ thống được thiết kế để phân tích và nhận diện các dạng tấn công chính gồm: Cross-Site Scripting (Reflected, Stored, DOM-based XSS), SQL Injection (SQLi), duyệt thư mục (Directory Traversal / Path Traversal), khai thác lỗ hổng Log4j, làm giả nhật ký (Log Forging), tiêm cookie (Cookie Injection) và thực thi mã từ xa (Remote Code Execution - RCE).
4. Quy trình nội bộ (Internal Process) của API Gateway đề xuất gồm các thành phần chức năng nào?
Internal Process tiếp nhận yêu cầu đã giải mã SSL và điều phối qua các mô-đun: Xác thực (Authentication), Phân quyền (Authorization), Chuyển tiếp yêu cầu (Request Routing), Bộ cân bằng tải (Load Balancer / Router), Quản lý phiên (Session Management), Tiền xử lý dữ liệu (Data Preprocessing), Nhận dạng bất thường (Detection Module), Trung tâm ghi nhật ký (Log Center), CSDL mô hình cục bộ và Đào tạo mô hình cục bộ (Local Training).
5. Hiệu năng của các mô hình học sâu và hệ thống học liên kết được kiểm chứng qua các tiêu chí định lượng nào?
Hệ thống được đo lường thông qua các chỉ số học máy tiêu chuẩn gồm hàm mất mát (Loss), độ chính xác (Accuracy), độ chuẩn xác (Precision), độ thu hồi (Recall), điểm F1-Score, diện tích dưới đường cong ROC (ROC AUC) và ma trận nhầm lẫn (Confusion Matrix). Hiệu quả của học liên kết được đối chiếu cụ thể qua kết quả ma trận nhầm lẫn của từng client (Client 1, Client 2, Client 3) tại thời điểm trước và sau khi tổng hợp mô hình toàn cầu.
Kết luận
Khóa luận tốt nghiệp của sinh viên Lê Hoàng Phúc và Nguyễn Tấn Giang đã giải quyết thành công bài toán tăng cường an ninh cho API Gateway trong kiến trúc Microservice đa bên thuê bằng cách tích hợp mô hình học sâu và học liên kết. Công trình đã chuẩn hóa kiến trúc cổng API đa mô-đun kết hợp cơ chế kiểm soát truy cập theo khuyến nghị NIST SP 800-162 và bộ lọc nhận diện tấn công tầng ứng dụng dựa trên xử lý ngôn ngữ tự nhiên. Kết quả thực nghiệm trên 4 kiến trúc mô hình đề xuất cùng hệ thống giả lập 3 client đã minh chứng tính khả thi của giải pháp trong việc nâng cao độ chính xác phân loại mã độc và bảo vệ toàn vẹn tính riêng tư dữ liệu giữa các tổ chức.
