Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số và Công nghiệp 4.0, hạ tầng mạng doanh nghiệp đang đối mặt với sự bùng nổ về quy mô lưu lượng cũng như tính chất tinh vi của các cuộc tấn công mạng. Theo các báo cáo an ninh mạng toàn cầu, các cuộc tấn công từ chối dịch vụ phân tán (DDoS - Distributed Denial of Service) và tấn công xâm nhập có chủ đích đã gia tăng hơn 300% về tần suất và quy mô băng thông trong các năm gần đây. Phương pháp giám sát an ninh mạng truyền thống dựa trên bắt trọn gói tin (Full Packet Capture - FPC) bộc lộ nhược điểm nghiêm trọng: tiêu tốn tài nguyên lưu trữ khổng lồ, tạo độ trễ xử lý cao và không khả thi trên các đường truyền tải tốc độ cao (10 Gbps – 100 Gbps). Ngược lại, giám sát thông qua giao thức quản lý mạng đơn giản (SNMP - Simple Network Management Protocol) chỉ cung cấp số liệu băng thông tổng thể ở mức cổng (Interface) mà không cung cấp được ngữ cảnh chi tiết về nguồn gốc, loại dữ liệu hay ứng dụng đang vận hành.

Đồ án tốt nghiệp "Đặc trưng hóa luồng lưu lượng và ứng dụng trong an ninh mạng" được thực hiện bởi sinh viên Nguyễn Thiện Phúc (Khoa Đào tạo Chất lượng cao, Trường Đại học Sư phạm Kỹ thuật TP.HCM) dưới sự hướng dẫn của TS. Huỳnh Nguyên Chính nhằm giải quyết triệt để bài toán then chốt này. Đồ án tập trung nghiên cứu cơ chế đặc trưng hóa luồng dữ liệu (Flow Characterization), xây dựng mô hình phân tích lưu lượng dựa trên siêu dữ liệu luồng (Flow Metadata) và ứng dụng trực tiếp vào việc phát hiện, khoanh vùng và ngăn chặn các cuộc tấn công mạng nguy hiểm như DoS/DDoS.

+------------------+      +-------------------+      +---------------------+
| Network Devices  | ---> |  Metering Process | ---> |  Exporting Process  |
| (Routers/ASAv)   |      |  (Flow Cache)     |      |  (NetFlow v9/IPFIX) |
+------------------+      +-------------------+      +---------------------+
                                                                |
                                                                v
+------------------+      +-------------------+      +---------------------+
| Attack Block /   | <--- | Network Analyzer  | <--- | Collecting Process  |
| ACL Enforcement  |      | & Anomaly Engine  |      | (UDP/SCTP Collector)|
+------------------+      +-------------------+      +---------------------+

Mục tiêu nghiên cứu cụ thể của đề tài bao gồm:

  1. Hệ thống hóa cơ sở lý thuyết và các thông số toán - kỹ thuật của luồng lưu lượng: Dung lượng (Capacity: Peak Data Rate - PDR, Sustained Data Rate - SDR, Minimum Data Rate - MDR), Độ trễ (Latency: Human Response Time - HRT $\approx 100\text{ ms}$, Interaction Delay - INTD $\approx 10 - 30\text{ s}$, Jitter $1 - 2%$), và chỉ số tin cậy RMA (Reliability - Maintainability - Availability).
  2. Thiết kế và phân tích các mô hình luồng mạng phổ biến: Ngang hàng (Peer-to-Peer), Máy khách - Máy chủ (Client-Server), Máy khách - Máy chủ phân cấp (Hierarchical Client-Server), và Điện toán phân tán (Distributed-Computing).
  3. Nghiên cứu sâu cơ chế hoạt động của bộ nhớ đệm NetFlow (NetFlow Cache), Flexible NetFlow (FnF), chuẩn IETF IPFIX (RFC 7011) và giao thức truyền tải SCTP (Stream Control Transmission Protocol).
  4. Xây dựng môi trường thực nghiệm với Router Cisco 2691 và Tường lửa ảo hóa Cisco ASAv để phân tích luồng lưu lượng đơn lẻ và luồng tổng hợp, từ đó phát hiện các luồng tấn công bất thường (DDoS Flooding) và thực thi chính sách Access Control List (ACL) để ngăn chặn thời gian thực.

Phạm vi nghiên cứu tập trung vào việc trích xuất và phân tích siêu dữ liệu 5-tuple (IP nguồn, IP đích, Cổng nguồn, Cổng đích, Giao thức) cùng các trường thống kê byte/packet, không giải mã sâu gói tin (Deep Packet Inspection), đảm bảo bảo toàn tính riêng tư và tối ưu hóa hiệu năng phân tích trong mạng LAN/WAN doanh nghiệp.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Để giải quyết bài toán giám sát an ninh mạng, các giải pháp hiện tại được so sánh chi tiết nhằm xác định khoảng trống công nghệ:

Tiêu chí kỹ thuật SNMP Polling (v2c/v3) Full Packet Capture (PCAP) Flow-based Monitoring (NetFlow/IPFIX)
Độ chi tiết dữ liệu Rất thấp (Chỉ đo byte/lỗi cổng) Cực cao (Toàn bộ Payload & Header) Cao (Siêu dữ liệu 5-tuple, ToS, TCP Flags)
Chi phí phần cứng Thấp ($< 1%$ CPU/RAM) Cực cao (Yêu cầu lưu trữ Terabyte/ngày) Rất thấp (Chỉ tiêu tốn $1 - 3%$ tài nguyên bộ đệm)
Khả năng mở rộng (Scale) Rất cao Thấp (Nghẽn cổ chai tại tốc độ $> 10\text{ Gbps}$) Rất cao (Hỗ trợ mạng trục $100\text{ Gbps}$ qua Flow Sampling)
Phát hiện DDoS/Bất thường Kém (Chỉ thấy tăng băng thông) Chậm (Mất thời gian bóc tách gói) Rất nhanh (Nhận diện luồng tăng đột biến theo giây)
Bảo vệ quyền riêng tư Trung bình Rất kém (Lộ nội dung payload) Tuyệt đối (Chỉ lưu trữ siêu dữ liệu phiên)

Yêu cầu hệ thống theo mô hình phân loại MoSCoW:

  • Must Have: Thu thập luồng lưu lượng chuẩn NetFlow v5/v9/IPFIX; duy trì bảng NetFlow Cache; đo lường chính xác các thông số PDR, SDR, Round-Trip Delay; cấu hình Cisco ASAv phát hiện đột biến lưu lượng (Traffic Spike).
  • Should Have: Áp dụng công thức tính toán RMA ($A = \frac{\text{MTBCF}}{\text{MTBCF} + \text{MTTR}}$) với ngưỡng sẵn sàng tối thiểu $99.99%$; tích hợp cảnh báo giao diện đồ họa NetFlow Analyzer.
  • Could Have: Ứng dụng giao thức truyền tải tin cậy SCTP để chống mất mát gói tin xuất luồng; phân loại dịch vụ theo DSCP/DiffServ.
  • Won't Have: Giải mã nội dung gói tin mã hóa SSL/TLS (DPI); can thiệp tái cấu trúc phần cứng ASIC trên switch vật lý.

Thiết kế hệ thống

Kiến trúc giải pháp được thiết kế theo cấu trúc module 3 lớp tiêu chuẩn quốc tế (RFC 7011):

+-------------------------------------------------------------------------+
|                              DATA PLANE                                 |
|  [Ingress Interface FastEthernet0/1] ---> [Packet Forwarding Engine]    |
|                                                      |                  |
|                                           (Extract 5-tuple Keys)        |
|                                                      v                  |
|                                            [ Metering Process ]         |
|                                           - Update Flow Cache           |
|                                           - Timers: Active / Inactive   |
+-------------------------------------------------------------------------+
                                                       |
                                           (Export Packet via UDP/SCTP)
                                                       v
+-------------------------------------------------------------------------+
|                             CONTROL PLANE                               |
|                                            [ Exporting Process ]        |
|                                           - Encapsulate NetFlow v9/IPFIX|
|                                           - Flow Records Formulation    |
+-------------------------------------------------------------------------+
                                                       |
                                            (Network Socket :2055)
                                                       v
+-------------------------------------------------------------------------+
|                           MANAGEMENT PLANE                              |
|  [ Collecting Process ] ----> [ Anomaly Detection ] ----> [ Cisco ASDM ]|
|  (NetFlow Analyzer Engine)    (Spike / Flood Identification)(ACL Policy)|
+-------------------------------------------------------------------------+
  1. Metering Process (MP): Đo lường và ánh xạ các gói tin đi qua giao diện mạng vào các bản ghi luồng trong bộ nhớ đệm NetFlow Cache. Bộ 5 giá trị khóa bao gồm: Source IP, Destination IP, Source Port, Destination Port, IP Protocol (kết hợp Ingress Interface và IP ToS).
  2. Exporting Process (EP): Khi luồng kết thúc (nhận cờ TCP FIN/RST) hoặc hết thời gian chờ (Active Timeout = 60s, Inactive Timeout = 15s), bản ghi được đóng gói vào các gói tin NetFlow v9/IPFIX và gửi đến trạm thu thập qua giao thức UDP hoặc SCTP (Port 2055/9996).
  3. Collecting Process (CP) & Analysis: Trạm quản lý (ManageEngine NetFlow Analyzer, SolarWinds, PRTG) tiếp nhận bản ghi luồng, phân tích tương quan, hiển thị trực quan hóa và kích hoạt cảnh báo an ninh khi có dấu hiệu tấn công DoS/DDoS.

Các tham số hiệu năng cốt lõi được mô hình hóa theo công thức bao hiệu suất (Performance Envelope):

  • Tính sẵn sàng hệ thống (Availability): $$A = \frac{\text{MTBCF}}{\text{MTBCF} + \text{MTTR}} = \frac{\text{MTBF}}{\text{MTBF} + \text{MTTR}}$$
  • Ngưỡng khả dụng tiêu chuẩn đạt $99.99%$ (thời gian gián đoạn tối đa không quá 53 phút/năm hoặc 1 phút/tuần; tỷ lệ mất gói cho phép $< 2%$).
  • Ngưỡng trễ tương tác người dùng: HRT $\le 100\text{ ms}$, INTD $\le 10 - 30\text{ s}$.

Methodology

Phương pháp triển khai tuân thủ quy trình kỹ thuật mạng và an ninh nghiêm ngặt qua 4 giai đoạn:

  1. Khảo sát và Lập hồ sơ luồng (Flow Profiling): Phân tích các mô hình luồng Client-Server và P2P; đo đạc băng thông nền (Baseline SDR/PDR).
  2. Thiết lập và Chuẩn hóa cấu hình (Implementation): Triển khai Flexible NetFlow trên Cisco IOS Router và Network Secure Event Logging (NSEL) trên Firewall Cisco ASAv.
  3. Mô phỏng kịch bản tấn công (Attack Simulation): Tạo lập lưu lượng tấn công TCP SYN Flood, UDP Flood và ICMP Flood để đánh giá năng lực nhận diện của hệ thống.
  4. Đánh giá và Tối ưu hóa (Evaluation & Hardening): Đo lường thời gian đáp ứng cảnh báo, xác định địa chỉ IP nguồn/đích của luồng tấn công và cấu hình chính sách lọc gói trên tường lửa.

Implementation và kết quả

Development process

Quá trình cấu hình được thực hiện trên hệ thống thiết bị mạng Cisco với các câu lệnh chuẩn công nghiệp:

1. Cấu hình Flexible NetFlow trên Router Cisco 2691:

! Bước 1: Định nghĩa Flow Record chuyên dụng cho an ninh mạng
flow record FLOW-REC-SECURITY
 match ipv4 source address
 match ipv4 destination address
 match ipv4 protocol
 match transport source-port
 match transport destination-port
 match interface input
 collect routing source as
 collect routing destination as
 collect transport tcp flags
 collect counter bytes long
 collect counter packets long
 collect timestamp sys-uptime first
 collect timestamp sys-uptime last

! Bước 2: Định nghĩa Flow Exporter gửi về Server phân tích
flow exporter FLOW-EXP-ANALYZER
 destination 192.168.1.100
 source FastEthernet0/0
 transport udp 2055
 export-protocol netflow-v9
 template data timeout 60

! Bước 3: Định nghĩa Flow Monitor liên kết Record và Exporter
flow monitor FLOW-MON-SECURITY
 record FLOW-REC-SECURITY
 exporter FLOW-EXP-ANALYZER
 cache timeout active 60
 cache timeout inactive 15

! Bước 4: Áp dụng Flow Monitor trên Interface Ingress
interface FastEthernet0/1
 ip address 10.0.0.1 255.255.255.0
 ip flow monitor FLOW-MON-SECURITY input

2. Cấu hình thu thập luồng NSEL trên Tường lửa Cisco ASAv:

! Cấu hình xuất NetFlow sự kiện an ninh trên Cisco ASAv
flow-export destination inside 192.168.1.100 2055
flow-export delay flow-create 15
flow-export template timeout-rate 1

! Thiết lập Policy định tuyến luồng NSEL
access-list NETFLOW-ACL extended permit ip any any
class-map NETFLOW-CM
 match access-list NETFLOW-ACL

policy-map global_policy
 class NETFLOW-CM
  flow-export event-type all destination 192.168.1.100
service-policy global_policy global

Testing và validation

Hệ thống được kiểm thử qua 3 kịch bản thực nghiệm độc lập:

  1. Kịch bản 1: Phân tích luồng đơn lẻ (Single Flow Validation):
    • Truyền tải 5 gói tin TCP chuẩn giữa Host 1 (10.0.0.2) và Host 2 (172.16.0.2).
    • Kiểm tra bộ nhớ đệm router thông qua lệnh show ip cache flow và show flow monitor FLOW-MON-SECURITY cache.
    • Kết quả: Bộ đệm ghi nhận chính xác 5-tuple, số lượng 5 packets, tổng dung lượng 320 bytes, trạng thái cờ TCP SYN/ACK/FIN.
Router# show ip cache flow
SrcIf          SrcIPaddress    DstIf          DstIPaddress    Pr  SrcP  DstP  Pkts
Fa0/1          10.0.0.2        Fa0/0          172.16.0.2      06  0457  0050     5

  1. Kịch bản 2: Mô phỏng tấn công DoS/DDoS:

    • Sử dụng công cụ phát sinh luồng tấn công SYN Flood với tốc độ 50,000 packets/giây nhắm vào Web Server nội bộ (Port 80) thông qua Cisco ASAv.
    • NetFlow Analyzer phát hiện lưu lượng tăng vọt bất thường (Traffic Spike) vượt ngưỡng PDR thiết lập ban đầu (từ 2 Mbps lên 95 Mbps trong 3 giây).
    • Giao diện đồ họa phân tích bóc tách tức thì IP nguồn tấn công (192.168.50.10 đến 192.168.50.50) và giao thức TCP chiếm $98.4%$ băng thông.

  2. Kịch bản 3: Thực thi chính sách ngăn chặn (Mitigation Validation):

    • Áp dụng chính sách loại bỏ lưu lượng độc hại trực tiếp trên Cisco ASAv:
! Áp dụng ACL chặn luồng DDoS dựa trên phân tích NetFlow
access-list BLOCK-DDOS-ATTACK extended deny tcp any host 172.16.0.2 eq 80
access-list BLOCK-DDOS-ATTACK extended permit ip any any
access-group BLOCK-DDOS-ATTACK in interface outside

Kết quả đạt được

Hệ thống thực nghiệm đã đáp ứng toàn bộ các chỉ tiêu kỹ thuật đề ra:

Mục tiêu / Chỉ số Cam kết thiết kế Kết quả thực nghiệm đạt được Đánh giá
Thời gian nhận diện tấn công $< 10\text{ giây}$ $3.2\text{ giây}$ (khi luồng vượt ngưỡng PDR) Vượt chỉ tiêu
Độ chính xác bóc tách 5-tuple $100%$ $100%$ (IP, Port, Protocol, TCP Flags) Đạt tuyệt đối
Mức độ tiêu tốn CPU Router $< 5%$ $1.8%$ (với Active Timeout = 60s) Tối ưu cao
Tính khả dụng hệ thống (RMA) $\ge 99.99%$ Uptime Đạt $99.995%$ (Downtime $< 2.6\text{ s/tuần}$) Hoàn thành
Tỷ lệ suy giảm sau ngăn chặn Loại bỏ $> 95%$ Loại bỏ $100%$ luồng độc hại tại ASAv Bảo vệ hoàn toàn Server

Đổi mới và đóng góp

Đề tài mang lại nhiều đóng góp khoa học và ứng dụng thực tiễn nổi bật:

  • Chuẩn hóa quy trình đặc trưng hóa luồng: Đề xuất phương pháp phân tầng luồng lưu lượng theo không gian 3 chiều (Capacity - Delay - RMA), cho phép người quản trị thiết lập bao hiệu suất (Performance Envelope) riêng biệt cho từng loại ứng dụng (Web Transaction, Database Query, Real-time VoIP, Backup).
  • Tối ưu hóa khả năng nhận diện an ninh mạng không cần DPI: Chứng minh tính khả thi của việc sử dụng siêu dữ liệu NetFlow v9/IPFIX để phát hiện tấn công DDoS với chi phí tài nguyên mạng giảm hơn $85%$ so với kỹ thuật giải mã gói truyền thống.
  • Tích hợp liên hoàn giữa phân tích luồng và tường lửa thế hệ mới: Xây dựng quy trình khép kín từ trích xuất luồng qua NetFlow Cache $\to$ phân tích tương quan trên NetFlow Analyzer $\to$ phản ứng ngăn chặn tự động qua Cisco ASAv ACL.
+-------------------------------------------------------------------------------+
|                       SO SÁNH CÔNG NGHỆ BẢO MẬT                               |
|                                                                               |
|  1. Full Packet Inspection (DPI/Snort):                                       |
|     [Packet Payload Inspection] ---> High CPU (80-90%) ---> High Latency      |
|                                                                               |
|  2. Đề tài: NetFlow-based Anomaly Analysis:                                   |
|     [5-tuple Metadata Extraction] -> Low CPU (1-3%) -> Real-time Detection    |
+-------------------------------------------------------------------------------+

Ứng dụng thực tế và triển khai

Giải pháp trong đồ án có khả năng ứng dụng thực tế cao trong nhiều mô hình mạng doanh nghiệp:

  • Trung tâm điều hành an ninh mạng (SOC): Đóng vai trò là nguồn cấp dữ liệu cảm biến luồng (Flow Telemetry Sensor) cho các hệ thống SIEM (Security Information and Event Management) nhằm phát hiện sớm các hành vi quét cổng (Port Scanning), tấn công leo thang đặc quyền và phát tán mã độc nội bộ (Lateral Movement).
  • Nhà cung cấp dịch vụ mạng (ISP / Data Center): Quản lý băng thông, phân bổ chất lượng dịch vụ QoS (DiffServ/IntServ) và phát hiện các cuộc tấn công DDoS quy mô lớn nhằm bảo vệ hạ tầng mạng lõi.
  • Hệ sinh thái công cụ hỗ trợ: Tương thích hoàn toàn với các phần mềm giám sát hàng đầu hiện nay như ManageEngine NetFlow Analyzer, SolarWinds NTA, Nagios Network Analyzer và Paessler PRTG Network Monitor.

Hạn chế và hướng phát triển

Mặc dù đạt được các kết quả thực nghiệm xuất sắc, đề tài vẫn còn một số hạn chế mang tính kỹ thuật:

  • Giới hạn kiểm tra Payload: Do chỉ tập trung vào thông tin tiêu đề (Header 5-tuple), hệ thống không thể phát hiện các cuộc tấn công tầng ứng dụng phức tạp ẩn giấu trong nội dung mã hóa (ví dụ: SQL Injection hoặc XSS qua HTTPS) nếu lưu lượng không tạo ra đột biến về thể tích luồng.
  • Hạn chế phần cứng mô phỏng: Thực nghiệm được tiến hành trên môi trường mạng ảo hóa GNS3/Cisco ASAv; chưa thử nghiệm trên các dòng phần cứng chuyên dụng tốc độ 40/100 Gbps vật lý.

Hướng phát triển tiếp theo:

  1. Ứng dụng thuật toán Trí tuệ nhân tạo (Machine Learning/Deep Learning như Random Forest, LSTM) trực tiếp trên chuỗi dữ liệu NetFlow/IPFIX để tự động nhận diện các biến thể tấn công DDoS zero-day mà không cần đặt ngưỡng tĩnh.
  2. Mở rộng cơ chế thu thập luồng bảo mật trên nền tảng mạng điều khiển bằng phần mềm (SDN - Software Defined Networking) sử dụng giao thức OpenFlow và sFlow.

Đối tượng hưởng lợi

  • Sinh viên & Học viên chuyên ngành An ninh mạng/Mạng máy tính: Nắm vững cấu trúc vận hành của NetFlow, IPFIX, SCTP và kỹ năng cấu hình thiết bị mạng Cisco chuyên nghiệp.
  • Kỹ sư vận hành mạng & Quản trị hệ thống (Network/System Admin): Sở hữu giải pháp giám sát băng thông trực quan, định lượng chính xác các chỉ số SLA, RMA và tối ưu hóa chi phí đầu tư hạ tầng.
  • Doanh nghiệp vừa và nhỏ (SMEs): Tiếp cận giải pháp bảo vệ hệ thống trước tấn công DoS/DDoS hiệu quả cao với chi phí bản quyền và phần cứng tối thiểu.
  • Nhà nghiên cứu khoa học: Cung cấp tài liệu tham khảo chi tiết về phương pháp mô hình hóa bao hiệu suất mạng và tính toán độ tin cậy hệ thống.

Câu hỏi thường gặp

1. Yêu cầu kỹ thuật tối thiểu để triển khai giải pháp NetFlow là gì?
Hệ thống yêu cầu các thiết bị chuyển mạch/định tuyến hỗ trợ chuẩn Cisco IOS 12.4+ (khuyến nghị 15.x với Flexible NetFlow), Firewall hỗ trợ NSEL (Cisco ASA 8.2+ hoặc ASAv), cùng một máy chủ cài đặt NetFlow Collector (CPU 4 Core, 8GB RAM, hỗ trợ nhận gói UDP port 2055).

2. Làm thế nào để giải quyết tình trạng cạn kiệt bộ nhớ đệm NetFlow Cache khi bị tấn công DDoS nặng?
Có thể tối ưu hóa bằng cách giảm cache timeout active xuống 30 giây, kích hoạt chế độ sampled netflow (ví dụ: lấy mẫu 1/1000 gói) và tăng kích thước bảng nhớ đệm cache entries trên thiết bị mạng.

3. Giao thức IPFIX khác biệt như thế nào so với NetFlow v9?
IPFIX là chuẩn mở quốc tế do IETF ban hành dựa trên NetFlow v9 của Cisco, bổ sung khả năng tùy biến trường thông tin không giới hạn (Enterprise Bit), hỗ trợ định dạng trường đa dạng hơn và truyền tải tin cậy qua giao thức SCTP.

4. Cơ chế bảo trì nào giúp đảm bảo chỉ số sẵn sàng hệ thống đạt 99.99%?
Cần thiết lập cơ chế giám sát thời gian thực với MTTR $< 1\text{ giờ}$, duy trì thiết bị dự phòng nóng (Hot Standby Router Protocol - HSRP / Active-Standby Firewall) và lên lịch bảo trì định kỳ ngoài giờ cao điểm để không tính vào thời gian chết bất khả kháng.

5. Chi phí đầu tư giải pháp phân tích luồng so với hệ thống DPI truyền thống chênh lệch ra sao?
Giải pháp dựa trên luồng lưu lượng giúp doanh nghiệp tiết kiệm từ $60 - 80%$ chi phí đầu tư ban đầu do tận dụng trực tiếp năng lực xử lý sẵn có của router/firewall và không yêu cầu hạ tầng lưu trữ SAN/NAS dung lượng lớn.

Kết luận

Đồ án tốt nghiệp "Đặc trưng hóa luồng lưu lượng và ứng dụng trong an ninh mạng" đã giải quyết xuất sắc bài toán tối ưu hóa giám sát và phòng thủ mạng thời gian thực. Bằng việc kết hợp chặt chẽ giữa nền tảng lý thuyết vững chắc về thông số luồng (Capacity, Latency, RMA), các mô hình luồng tiên tiến và quy trình thực nghiệm chuẩn xác trên thiết bị Cisco ASAv/Router, đồ án đã chứng minh phương pháp phân tích luồng là giải pháp toàn diện, hiệu quả và khả thi nhất cho công tác bảo vệ an toàn thông tin trong môi trường doanh nghiệp hiện đại. Đây là nền tảng giá trị cao cho các nghiên cứu chuyên sâu về giám sát an ninh mạng tự động trong tương lai.