Tổng quan nghiên cứu

Giao thức Gateway biên (Border Gateway Protocol - BGP) hiện là giao thức định tuyến liên miền tiêu chuẩn vận hành toàn bộ mạng lưới Internet toàn cầu, kết nối hơn 70.000 hệ thống tự trị (Autonomous System - AS). Tuy nhiên, kể từ khi được thiết kế vào năm 1989, BGP vốn không tích hợp các cơ chế bảo mật và xác thực nguồn gốc tiền tố IP (IP prefix) một cách chặt chẽ. Lỗ hổng cấu trúc này dẫn đến nguy cơ thường trực về các vụ chiếm đoạt định tuyến (BGP Hijacking), rò rỉ lộ trình và cấu hình sai, gây gián đoạn lưu lượng nghiêm trọng cho các nhà cung cấp dịch vụ Internet (ISP) cũng như các doanh nghiệp đa quốc gia.

Vấn đề nghiên cứu cốt lõi mà luận văn giải quyết là tình trạng thiếu vắng một cơ chế giám sát BGP phi tập trung, có khả năng phát hiện nhanh chóng các xung đột tiền tố IP và thông báo kịp thời cho các nút mạng bị ảnh hưởng mà không gây bùng nổ lưu lượng truyền thông. Mục tiêu cụ thể của đề tài là xây dựng mô hình chia sẻ thông tin hợp tác CoISM (Cooperative Information Sharing Model), đồng thời phát triển phần mềm giám sát mạng lõi ISPCoware nhằm phân tích dữ liệu định tuyến và nhận diện các cuộc tấn công BGP Hijacking.

Nghiên cứu được triển khai thực nghiệm trên dữ liệu định tuyến thực tế từ các trạm thu thập toàn cầu và môi trường thử nghiệm tại Khoa Khoa học và Kỹ thuật Máy tính thuộc Trường Đại học Bách Khoa - ĐHQG TP.HCM vào tháng 12 năm 2021. Kết quả nghiên cứu có ý nghĩa thực tiễn to lớn khi giúp giảm thiểu khoảng 75% lưu lượng truy vấn xác thực dư thừa, duy trì độ phức tạp tính toán ở mức tuyến tính $O(N)$, đồng thời cung cấp giải pháp giám sát an ninh mạng lõi tin cậy cho quá trình chuyển đổi sang hạ tầng mạng điều khiển bằng phần mềm (SDN).

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn xây dựng trên nền tảng lý thuyết định tuyến véc-tơ lộ trình (Path Vector Routing Protocol) của giao thức BGP chuẩn hóa theo RFC 4271 kết hợp cùng mô hình phân loại trạng thái nút mạng dựa trên tính cục bộ (Locality) và tính tương quan (Correlation). Trong không gian định tuyến liên miền, mỗi hệ thống tự trị quản lý các khối địa chỉ IP liên tục thông qua số hiệu ASN từ 1 đến 65535, phân tách thành dải ASN công cộng từ 1 đến 64511 và dải ASN nội bộ từ 64512 đến 65534.

Khung lý thuyết của nghiên cứu tập trung vào 5 khái niệm chuyên sâu:

  1. Giao thức BGP và các thuộc tính đường đi: Kiểm soát lộ trình qua các thuộc tính AS-PATH (độ dài trung bình trên Internet đạt khoảng 5,83 hop), Local-Preference (ưu tiên nội bộ với giá trị từ 0 đến 4), Weight (thuộc tính độc quyền của Cisco từ 0 đến 65535, mặc định 32768) và Multi-Exit Discriminator (MED với không gian 32-bit).
  2. Chiếm đoạt tiền tố BGP (BGP Hijacking): Hiện tượng một AS phát tán trái phép các thông điệp UPDATE chứa tiền tố IP không thuộc quyền sở hữu, làm sai lệch bảng định tuyến toàn cầu.
  3. Phân loại nút mạng theo tính cục bộ: Phân chia các AS trên Internet thành 3 tập hợp rõ rệt gồm Tập lây nhiễm (Infection - chọn lộ trình giả mạo làm đường đi tối ưu), Tập miễn dịch (Immunity - phát hiện ra lộ trình giả) và Tập cô lập (Isolation - không nhận hoặc loại bỏ lộ trình theo chính sách riêng).
  4. Mô hình chia sẻ thông tin hợp tác CoISM: Hệ thống giám sát phân tán xây dựng mạng lưới quen biết (acquaintance network) dựa trên lịch sử tương tác giữa các bộ giám sát (monitor).
  5. Cơ chế khuếch tán phản xạ (Diffuse Reflection): Thuật toán phân phối cảnh báo dựa trên hàm mật độ xác suất Beta và ước lượng Bayesian, tối ưu hóa việc phân phát thông tin cảnh báo mà không cần trung tâm điều khiển tập trung.

Phương pháp nghiên cứu

Nguồn dữ liệu phục vụ nghiên cứu được trích xuất từ các tập tin định dạng nhị phân MRT (Multi-Threaded Routing Toolkit theo chuẩn RFC 6396), bao gồm các phân loại dữ liệu TABLE_DUMP_V2 và thông điệp BGP4MP (BGP4 Message Protocol) thu nhận trực tiếp qua cổng TCP 179.

Về quy mô mẫu và phương pháp chọn mẫu, nghiên cứu sử dụng tập dữ liệu gồm khoảng 500.000 tiền tố IP từ các hệ thống thu thập định tuyến lớn như Oregon RouteViews và RIPE NCC. Phương pháp lấy mẫu có chủ đích (purposive sampling) được áp dụng để lựa chọn các phiên trao đổi BGP UPDATE có tần suất biến động cao tại các AS cấp 1 (Tier-1) và cấp 2 (Tier-2).

Lý do lựa chọn phương pháp phân tích tĩnh kết hợp thu thập động qua phiên iBGP là nhằm bảo đảm tính toàn vẹn của dữ liệu định tuyến mà không làm gián đoạn hoạt động của các bộ định tuyến đang vận hành trên mạng lõi. Thuật toán phân tích heuristic dựa trên phân phối Beta được ứng dụng để loại bỏ các truy vấn rác, khắc phục nhược điểm truyền thông tốn kém của các mô hình xác thực truyền thống. Toàn bộ quy trình từ thu thập, thiết kế thuật toán đến đánh giá phần mềm được thực hiện liên tục trong khung thời gian 6 tháng, từ tháng 6/2021 đến tháng 12/2021.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Nghiên cứu đã đạt được các kết quả định lượng cụ thể thông qua quá trình thử nghiệm phần mềm ISPCoware:

  • Phát hiện 1 - Hiệu quả nhận diện tấn công chiếm đoạt tiền tố đạt 100%: Trong môi trường thử nghiệm kiểm thử, hệ thống ISPCoware phát hiện chính xác 100% các kịch bản tấn công BGP Hijacking nhờ bộ quy tắc kiểm tra bất thường cục bộ như phát hiện ASN nằm trong dải riêng tư (64512 đến 65534), ASN chưa được cấp phát, vòng lặp AS Loop và các liên kết bất hợp pháp trong thuộc tính AS-PATH.
  • Phát hiện 2 - Giảm thiểu hơn 68% lưu lượng truyền thông xác thực: Nhờ cơ chế khuếch tán phản xạ kết hợp ước lượng Bayesian, số lượng gói tin xác thực gửi đi giảm hơn 68% so với mô hình Inter-domain Routing Validator (IRV). Hệ thống tự động khoanh vùng và chỉ gửi cảnh báo đến các nút thuộc Tập lây nhiễm, loại bỏ hoàn toàn các điểm mù (blind spots) khi một AS trung gian không cài đặt dịch vụ giám sát.
  • Phát hiện 3 - Tối ưu hóa hiệu năng bóc tách dữ liệu MRT: Phần mềm đạt tốc độ xử lý vượt trội khi bóc tách và phân loại 100.000 bản ghi thông điệp BGP UPDATE từ tập tin lưu vết nhị phân MRT chỉ trong khoảng 12,4 giây, đảm bảo khả năng mở rộng tốt với độ phức tạp tính toán duy trì ở mức $O(N)$, trong đó $N$ là tổng số lượng bộ giám sát tham gia mạng lưới.

Thảo luận kết quả

Hiệu quả vượt bậc của mô hình CoISM bắt nguồn từ việc tận dụng thành công hai thuộc tính nền tảng của hệ thống định tuyến Internet: tính cục bộ (Locality) và tính tương quan định tuyến (Correlation). Khi một kẻ tấn công nhắm vào một dải IP cụ thể, các dải IP lân cận thuộc cùng một tổ chức sở hữu cũng có xác suất bị xâm phạm tương tự. Việc nhóm các AS có chung mối quan tâm định tuyến vào một mạng lưới quen biết giúp các bộ giám sát tự động học hỏi hành vi của nhau, từ đó cắt giảm các yêu cầu xác thực vô ích.

Dữ liệu thực nghiệm của luận văn có thể được trực quan hóa thông qua biểu đồ đường (Line Chart) mô tả mối tương quan giữa dung lượng tập tin lưu vết MRT (từ 10MB đến 100MB) và thời gian xử lý của công cụ, chứng minh tính tuyến tính tuyệt đối của thuật toán. Đồng thời, bảng đối chuẩn hiệu năng (Benchmark Table) giữa 4 giải pháp tiêu biểu gồm CoISM, IRV, Internet Routing Registry (IRR) và BGPMon làm nổi bật sự vượt trội của CoISM ở 3 chỉ số then chốt: triệt tiêu điểm mù, bảo toàn tính riêng tư của chính sách định tuyến và độ phức tạp truyền thông thấp.

So với cơ chế tập trung của IRR vốn có độ trễ cơ sở dữ liệu lớn và dễ tồn tại điểm lỗi đơn lẻ (single-point of failure), hoặc mô hình publish/subscribe của BGPMon phụ thuộc vào dịch vụ bên thứ ba, ISPCoware mang lại quyền tự chủ hoàn toàn cho các ISP. Dù công cụ hiện tại chưa xử lý trực tiếp luồng dữ liệu thời gian thực từng phút (real-time stream) đối với các sự cố rung lắc định tuyến (Route Flapping) hay tấn công từ chối dịch vụ (DDoS), việc giải quyết triệt để bài toán chiếm đoạt tiền tố IP đã khẳng định đóng góp đột phá của đề tài cho an ninh mạng liên miền.

Đề xuất và khuyến nghị

Dựa trên kết quả nghiên cứu thực nghiệm, luận văn đưa ra 4 khuyến nghị hành động chiến lược dành cho các đơn vị vận hành mạng và cơ quan quản lý viễn thông:

  1. Triển khai phần mềm ISPCoware tại các nút mạng biên của ISP: Các kỹ sư mạng lõi tại các ISP viễn thông cần thiết lập công cụ ISPCoware dưới dạng phiên iBGP thụ động kết nối trực tiếp với các bộ định tuyến biên, hướng tới mục tiêu giám sát 100% các luồng thông điệp UPDATE với độ trễ phát hiện sự cố dưới 1 phút. Thời gian hoàn thành đề xuất trong vòng 6 tháng đầu năm.
  2. Nâng cấp mô-đun thu thập luồng dữ liệu thời gian thực (Real-time Stream Collector): Đội ngũ kỹ thuật phần mềm cần phát triển mở rộng mô-đun đọc dữ liệu luồng trực tiếp thay vì chỉ phân tích tập tin MRT tĩnh, đặt mục tiêu rút ngắn thời gian cảnh báo sự cố BGP Hijacking xuống dưới 5 giây. Lộ trình triển khai trong khoảng từ 3 đến 9 tháng tới.
  3. Tích hợp cơ chế xác thực nguồn gốc tiền tố định tuyến RPKI: Bộ phận an toàn thông tin và quản trị hạ tầng mạng cần phối hợp áp dụng giải pháp hạ tầng khóa công khai tài nguyên (Resource Public Key Infrastructure - RPKI) song song với mô hình CoISM, nhằm triệt tiêu trên 90% các lỗi cấu hình định tuyến sai lệch (Route Misconfiguration). Thời hạn hoàn thiện trong vòng 12 tháng.
  4. Xây dựng liên minh chia sẻ thông tin an ninh định tuyến quốc gia: Cơ quan điều phối viễn thông và các nhà mạng lớn cần thúc đẩy thành lập liên minh hợp tác giám sát định tuyến diện rộng, hướng tới mục tiêu đạt tỷ lệ tối thiểu 80% các AS trong nước kết nối vào mạng lưới chia sẻ cảnh báo tự động CoISM. Thời gian triển khai thí điểm trong chu kỳ 18 tháng.

Đối tượng nên tham khảo luận văn

Luận văn cung cấp hàm lượng học thuật và giá trị thực tiễn cao cho 4 nhóm đối tượng chuyên môn:

  • Kỹ sư vận hành mạng lõi và chuyên viên quản trị hệ thống tại các ISP: Nắm bắt phương pháp thiết lập phiên giám sát iBGP qua cổng TCP 179, hiểu rõ cơ chế bóc tách thông điệp BGP4MP và bảng định tuyến nhị phân để cấu hình bộ lọc đường đi tối ưu, ngăn chặn rò rỉ lưu lượng mạng.
  • Chuyên gia an toàn thông tin và kỹ sư phân tích tại các trung tâm SOC: Ứng dụng các quy tắc kiểm tra dấu hiệu bất thường trên thuộc tính AS-PATH (như phát hiện dải Private AS từ 64512 đến 65534, AS Loop, ASN chưa cấp phát) để xây dựng hệ thống phát hiện sớm các chiến dịch tấn công chiếm đoạt định tuyến IP.
  • Học viên sau đại học và nhà nghiên cứu chuyên ngành Kỹ thuật Máy tính: Sử dụng mô hình CoISM, thuật toán phân phối xác suất Beta và quy trình phân loại 3 tập hợp nút mạng làm tài liệu tham khảo nền tảng để phát triển các giải pháp bảo mật nâng cao trên nền tảng mạng điều khiển bằng phần mềm (SDN).
  • Cơ quan quản lý hạ tầng Internet và các tổ chức điều phối mạng quốc gia: Tham khảo cơ chế kinh tế và mô hình thúc đẩy hợp tác phi tập trung để xây dựng các quy chuẩn kỹ thuật an toàn thông tin định tuyến liên miền cấp quốc gia.

Câu hỏi thường gặp

Giao thức BGP là gì và tại sao việc giám sát BGP lại mang ý nghĩa sống còn đối với mạng Internet?

Giao thức Gateway biên (BGP) điều phối lưu lượng dữ liệu giữa hơn 70.000 hệ thống tự trị (AS) trên toàn cầu. Do thiếu cơ chế mã hóa xác thực mặc định, các sự cố chiếm đoạt tiền tố (BGP Hijacking) có thể điều hướng lưu lượng truy cập của hàng triệu người dùng đến các máy chủ độc hại, gây tê liệt dịch vụ tài chính và viễn thông nghiêm trọng.

Mô hình chia sẻ thông tin CoISM vượt trội hơn cơ chế IRV truyền thống ở những điểm nào?

CoISM khắc phục triệt để nhược điểm điểm mù (blind spots) của IRV bằng cách phân tán truy vấn qua mạng lưới quen biết thay vì phụ thuộc vào từng nút dọc theo chuỗi AS-PATH. Giải pháp này giúp cắt giảm hơn 68% chi phí truyền thông vô ích và duy trì độ phức tạp tính toán ở mức $O(N)$, tối ưu hóa tài nguyên phần cứng thiết bị.

Định dạng tập tin MRT (Multi-Threaded Routing Toolkit) đóng vai trò gì trong công cụ giám sát ISPCoware?

Định dạng MRT (theo chuẩn RFC 6396) là cấu trúc nhị phân tiêu chuẩn để ghi lại các trạng thái bảng định tuyến (TABLE_DUMP_V2) và thông điệp giao tiếp BGP4MP. Phần mềm ISPCoware bóc tách các tập tin MRT này để phân tích chuỗi thuộc tính AS-PATH, xử lý thành công 100.000 bản ghi chỉ trong khoảng 12,4 giây nhằm truy vết các hành vi chiếm đoạt tiền tố IP.

Cơ chế khuếch tán phản xạ (diffuse reflection) giải quyết bài toán ích kỷ giữa các AS như thế nào?

Cơ chế ứng dụng mô hình xác suất Beta để gắn kết hành vi chia sẻ dữ liệu với quyền lợi nhận thông tin. Một AS chỉ nhận được các cảnh báo an ninh giá trị khi chính nó tích cực phản hồi các xác thực hợp lệ cho mạng lưới, qua đó tạo động lực kinh tế thúc đẩy các nhà mạng tự nguyện hợp tác phòng thủ liên miền.

Hạn chế kỹ thuật chính của công cụ ISPCoware trong nghiên cứu này là gì và hướng cải tiến ra sao?

Hạn chế của phần mềm là xử lý dữ liệu dựa trên tập tin lưu vết MRT định kỳ nên chưa đạt độ trễ cập nhật thời gian thực dưới 1 phút, đồng thời chưa hỗ trợ phân tích hiện tượng rung lắc lộ trình (Route Flapping) và tấn công DDoS. Hướng khắc phục là nâng cấp bộ thu thập luồng dữ liệu trực tiếp và tích hợp thêm hạ tầng khóa công khai RPKI.

Kết luận

  • Làm sáng tỏ cấu trúc vận hành và chỉ ra các lỗ hổng bảo mật cốt lõi của giao thức định tuyến liên miền BGP trên không gian mạng Internet.
  • Đề xuất thành công mô hình hợp tác chia sẻ thông tin CoISM, giúp giải quyết triệt để bài toán điểm mù xác thực và tối ưu hóa độ phức tạp truyền thông ở mức $O(N)$.
  • Xây dựng hoàn chỉnh công cụ giám sát ISPCoware trên nền tảng Linux, đạt hiệu suất phát hiện 100% các cuộc tấn công BGP Hijacking trong môi trường thử nghiệm.
  • Ứng dụng hiệu quả mô hình phân phối xác suất Beta trong thuật toán khuếch tán phản xạ nhằm kích hoạt cơ chế chia sẻ cảnh báo tự nguyện giữa các hệ thống tự trị.
  • Khẳng định tính khả thi vượt bậc của giải pháp trong việc hỗ trợ bảo mật mạng lõi viễn thông và tiến trình chuyển đổi sang kiến trúc mạng SDN hiện đại.

Đóng góp chính của luận văn là đã thiết lập một khung giám sát định tuyến BGP phân tán, hiệu năng cao và có khả năng ứng dụng thực tế ngay trên hạ tầng mạng hiện hữu. Trong giai đoạn 6 đến 12 tháng tới, các tổ chức vận hành mạng và các nhóm nghiên cứu an toàn thông tin được khuyến khích tiếp tục phát triển mô-đun phân tích luồng dữ liệu thời gian thực từ nền tảng ISPCoware để nâng cao năng lực bảo vệ toàn diện hạ tầng Internet quốc gia.