Bối cảnh và vấn đề nghiên cứu
Trong bối cảnh công nghệ thông tin và chuyển đổi số phát triển mạnh mẽ, hệ thống mạng đóng vai trò chiến lược sống còn đối với hoạt động vận hành của các tổ chức và doanh nghiệp. Việc mở rộng quy mô mạng cùng sự gia tăng của các ứng dụng phân tán không chỉ đòi hỏi sự tối ưu hóa về mặt hiệu năng mà còn làm gia tăng nguy cơ đối mặt với các cuộc tấn công mạng nhằm đánh cắp dữ liệu và phá hủy hệ thống. Để quản trị và bảo vệ hệ thống mạng hiệu quả, kỹ thuật giám sát dựa trên phân tích đặc trưng luồng lưu lượng (traffic flow characterization) trở thành một hướng tiếp cận thiết yếu.
Đồ án tốt nghiệp "Đặc trưng hóa luồng lưu lượng và ứng dụng trong an ninh mạng" của sinh viên Nguyễn Thiện Phúc, dưới sự hướng dẫn của TS. Huỳnh Nguyên Chính tại Trường Đại học Sư phạm Kỹ thuật Thành phố Hồ Chí Minh (năm 2021), tập trung giải quyết các nhiệm vụ nghiên cứu sau:
- Nghiên cứu hệ thống cơ sở lý thuyết về luồng lưu lượng mạng, bao gồm các khái niệm, phân loại, thông số kỹ thuật, mô hình luồng và các đặc trưng ảnh hưởng đến hiệu suất mạng.
- Khảo sát các công nghệ thu thập, giao thức xuất dữ liệu luồng (NetFlow, IPFIX, SCTP) và các công cụ phân tích, trực quan hóa luồng lưu lượng mạng phổ biến.
- Thiết kế mô hình thực nghiệm phân tích luồng lưu lượng trên thiết bị định tuyến Cisco và xây dựng giải pháp giám sát, phát hiện bất thường và ngăn chặn tấn công từ chối dịch vụ (DoS/DDoS) trên hệ thống tường lửa Cisco ASA.
Đối tượng nghiên cứu của đề tài là luồng lưu lượng mạng máy tính (traffic flows), các cơ chế thu thập dữ liệu luồng NetFlow/IPFIX và các dạng bất thường trong lưu lượng tấn công mạng. Phạm vi nghiên cứu được triển khai thực nghiệm trên môi trường giả lập phòng lab với các thiết bị mạng Cisco (Router 2691, Cisco ASAv) trong khoảng thời gian từ ngày 15/03/2021 đến ngày 18/07/2021, sử dụng tài liệu nền tảng ban đầu từ giáo trình CCNA Cyber Ops SECOPS 210-255 của Omar Santos và Joseph Muniz.
Cơ sở lý thuyết và phương pháp
Đồ án xây dựng nền tảng nghiên cứu dựa trên các lý thuyết mạng và chuẩn truyền thông:
- Lý thuyết về luồng lưu lượng: Định nghĩa luồng là tập hợp các gói tin có cùng các thuộc tính (địa chỉ IP nguồn/đích, cổng nguồn/đích, giao thức, loại dịch vụ). Phân loại luồng thành luồng riêng lẻ (Individual Flow), luồng tổng hợp (Composite/Aggregated Flow) và luồng ưu tiên.
- Hệ thống thông số hiệu suất:
- Dung lượng và thông lượng: Tốc độ dữ liệu cao nhất (PDR - Peak Data Rate), tốc độ dữ liệu duy trì (SDR - Sustained Data Rate), tốc độ dữ liệu tối thiểu (MDR - Minimum Data Rate).
- Độ trễ (Delay): Độ trễ đầu cuối (End-to-End Delay), độ trễ khứ hồi (Round-Trip Time - RTT), độ trễ biến thiên (Jitter). Sử dụng các ngưỡng thời gian phản hồi của con người (Human Response Time - HRT $\approx$ 100 ms), độ trễ tương tác (Interaction Delay - INTD $\approx$ 10 – 30 s) và độ trễ lan truyền vật lý.
- Bộ chỉ số RMA (Reliability - Maintainability - Availability): Độ tin cậy đo bằng MTBF (Mean Time Between Failures) và MTBCF (Mean Time Between Critical Failures); Khả năng bảo trì đo bằng MTTR (Mean Time To Repair); Tính khả dụng tính theo công thức:
$$A = \frac{\text{MTBF}}{\text{MTBF} + \text{MTTR}} \quad \text{hoặc} \quad A = \frac{\text{MTBCF}}{\text{MTBCF} + \text{MTTR}}$$
- Cơ chế QoS và quản lý chính sách: So sánh kiến trúc dịch vụ tích hợp (IntServ với giao thức RSVP) và kiến trúc dịch vụ phân biệt (DiffServ với DSCP/ToS; các lớp EF, AF, BE; các thuật toán hàng đợi CBQ, WFQ, RED, WRED), kết hợp đường bao hiệu suất (Performance Envelope 2D/3D), thỏa thuận mức dịch vụ (SLA) và chính sách mạng (Policy).
- Công nghệ thu thập và phân tích dữ liệu luồng: Kiến trúc bộ nhớ đệm NetFlow (NetFlow Cache) dựa trên bộ 5 giá trị (5-tuple: IP nguồn, IP đích, Cổng nguồn, Cổng đích, Giao thức), Flexible NetFlow (FNF), chuẩn xuất dữ liệu luồng IPFIX (IETF RFC) và giao thức điều khiển truyền luồng SCTP (Stream Control Transmission Protocol).
Phương pháp nghiên cứu được áp dụng gồm:
- Phương pháp phân tích, tổng hợp tài liệu chuyên ngành về kỹ thuật mạng và an ninh thông tin.
- Phương pháp mô hình hóa luồng dữ liệu theo các kiến trúc: Peer-to-Peer, Client-Server, Hierarchical Client-Server, Distributed-Computing.
- Phương pháp thực nghiệm mô phỏng hệ thống mạng: Thiết lập cấu hình thiết bị định tuyến Cisco và tường lửa ảo hóa Cisco ASAv, tạo lưu lượng thử nghiệm và phát động tấn công DoS/DDoS để đo đạc dữ liệu luồng qua phần mềm phân tích.
Nguồn dữ liệu trong nghiên cứu bao gồm các thông số gói tin mạng, bản ghi lưu lượng trong NetFlow Cache và dữ liệu thống kê lưu lượng thu nhận được qua giao thức SNMP/NetFlow trên phần mềm giám sát chuyên dụng.
Thiết kế và triển khai thực nghiệm
Nội dung thực nghiệm kỹ thuật của đồ án được chia thành hai phần chính:
| Hạng mục thực nghiệm |
Môi trường và công nghệ triển khai |
Mục tiêu và quy trình thực hiện |
| Thực nghiệm 1: Phân tích luồng riêng lẻ bằng NetFlow |
Router Cisco 2691, các máy trạm kết nối qua switch ảo, hệ điều hành Cisco IOS. |
Cấu hình NetFlow Monitor theo chiều Ingress trên giao diện FastEthernet 0/1; kiểm tra kết nối giữa các máy trạm; truyền gói tin TCP; đọc và phân tích bảng NetFlow Cache để theo dõi trạng thái tạo, duy trì và xóa luồng. |
| Thực nghiệm 2: Giám sát an ninh mạng và ngăn chặn DoS/DDoS |
Tường lửa ảo hóa Cisco ASAv, Cisco ASDM, phần mềm ManageEngine NetFlow Analyzer, máy tính đóng vai trò nguồn tấn công (Attacker) và máy chủ dịch vụ (Victim Server). |
Định tuyến, cấu hình NAT, cấu hình xuất bản ghi NetFlow và SNMP trên Cisco ASAv đưa về bộ thu thập ManageEngine NetFlow Analyzer; tạo tải tấn công DoS; phân tích lưu lượng bất thường (lưu lượng đỉnh, địa chỉ IP nguồn/đích, cổng, giao thức); cấu hình Access List (ACL) và chính sách Policy trên ASAv để loại bỏ luồng tấn công. |
Hệ thống ghi nhận lưu lượng mạng ở trạng thái bình thường duy trì ở mức thấp, ổn định. Khi lưu lượng tấn công DoS/DDoS xảy ra, bảng điều khiển giám sát NetFlow Analyzer và Cisco ASDM ghi nhận lưu lượng tăng vọt đột biến, đồng thời bóc tách chi tiết địa chỉ IP và loại giao thức của luồng độc hại. Sau khi áp dụng chính sách lọc trên giao diện tường lửa Cisco ASA, toàn bộ các gói tin thuộc luồng tấn công bị loại bỏ, đưa lưu lượng hệ thống trở về trạng thái an toàn.
Nội dung chính theo từng chương
Chương 1. Khái niệm, các thông số, cách xác định và thiết lập luồng lưu lượng
Chương này cung cấp định nghĩa về luồng lưu lượng và các thuộc tính áp dụng xuyên suốt mạng từ điểm đầu đến điểm cuối. Tác giả phân loại luồng thành luồng riêng lẻ (phục vụ một phiên ứng dụng đơn lẻ) và luồng tổng hợp (kết hợp lưu lượng từ nhiều ứng dụng trên cùng một đường truyền), đồng thời làm rõ khái niệm luồng ưu tiên.
Nội dung chương đi sâu vào ba nhóm thông số hiệu suất cốt lõi:
- Lưu lượng: Cơ chế truyền tải và phương pháp ước tính tốc độ dữ liệu (PDR, SDR, MDR) dựa trên kích thước dữ liệu và thời gian hoàn thành ứng dụng.
- Độ trễ: Phân tích các thành phần gây trễ (lan truyền, xếp hàng, truyền tải, xử lý) và thiết lập các ngưỡng chuẩn: HRT ($\approx 100\text{ ms}$) phân tách ranh giới nhận thức trễ của người dùng, INTD ($10 - 30\text{ s}$) cho các ứng dụng tương tác giao dịch. Tỷ lệ mất gói tin ở mức 2% được xác định là ngưỡng có thể làm đứt gãy phiên làm việc của ứng dụng.
- Bộ chỉ số RMA: Trình bày chi tiết công thức toán học và sự khác biệt giữa MTBF, MTBCF, MTTR và tính khả dụng $A$. Ngưỡng chung cho thời gian hoạt động hiệu suất cao được xác lập là $99,99%$.
Bảng thống kê thời gian hoàn thành và kích thước dữ liệu tiêu biểu cho các ứng dụng:
| Ứng dụng |
Thời gian hoàn thành trung bình (Giây) |
Kích thước dữ liệu trung bình (Byte) |
| Tính toán phân phối (chế độ hàng loạt) |
$10^3$ |
$10^7$ |
| Giao dịch trên Web |
$10$ |
$10^4$ |
| Truy vấn cơ sở dữ liệu |
$2 - 5$ |
$10^3$ |
| Nhập bảng lương |
$10$ |
$10^2$ |
| Hội nghị từ xa |
$10^3$ |
$10^5$ |
Bảng quy đổi tính khả dụng và mức thời gian ngừng hoạt động cho phép:
| % Thời gian hoạt động |
Năm |
Tháng |
Tuần |
Ngày |
| 99% |
87,6 giờ |
7,3 giờ |
1,68 giờ |
14,4 phút |
| 99,9% |
8,76 giờ |
44 phút |
10 phút |
1,4 phút |
| 99,99% |
53 phút |
4,4 phút |
1 phút |
8,6 giây |
| 99,999% |
5,3 phút |
26,3 giây |
6 giây |
0,86 giây |
Chương 1 cũng trình bày quy trình xác định và thiết lập luồng thông qua ba phương pháp: tập trung vào ứng dụng cụ thể, xây dựng cấu hình (profile) và chọn Top N ứng dụng hàng đầu.
Chương 2. Định hướng luồng và các mô hình luồng phổ biến
Chương 2 mô tả hướng dịch chuyển của luồng dữ liệu (Upstream hướng về phía nguồn/lõi mạng và Downstream hướng về phía đích/rìa mạng). Tác giả phân tích chi tiết bốn mô hình luồng lưu lượng chính:
- Mô hình Peer-to-Peer (Ngang hàng): Luồng dữ liệu luân chuyển trực tiếp giữa các nút mạng tương đương nhau mà không thông qua máy chủ trung tâm.
- Mô hình Client-Server (Máy khách – Máy chủ): Lưu lượng tập trung hướng từ nhiều máy khách về một hoặc một nhóm máy chủ.
- Mô hình Hierarchical Client–Server (Máy khách – Máy chủ phân cấp): Lưu lượng được tổ chức theo nhiều tầng, tiêu biểu trong các hệ thống dịch vụ Web nhiều lớp hoặc xử lý dữ liệu khoa học.
- Mô hình Distributed-Computing (Tính toán phân tán): Phục vụ các cụm máy tính tính toán song song, trao đổi dữ liệu thường xuyên giữa các nút tính toán.
Chương 3. Đặc điểm kỹ thuật, các đặc trưng ảnh hưởng đến hiệu suất luồng lưu lượng
Chương này nghiên cứu đặc điểm kỹ thuật của luồng (một phần, hai phần và nhiều phần) và các cơ chế quản trị chất lượng dịch vụ (QoS). Tác giả so sánh chi tiết hai kiến trúc QoS chính:
- Integrated Services (IntServ): Sử dụng giao thức Resource Reservation Protocol (RSVP) để đặt trước tài nguyên cho từng luồng riêng lẻ, đảm bảo hiệu suất tuyệt đối nhưng khả năng mở rộng kém trên mạng quy mô lớn.
- Differentiated Services (DiffServ): Phân loại gói tin vào các lớp dịch vụ (Expedited Forwarding - EF, Assured Forwarding - AF, Best-Effort - BE) thông qua trường DSCP/ToS tại biên mạng, cho phép mở rộng linh hoạt trên các tầng mạng Core, Distribution và Access.
Nội dung chương cũng phân tích vai trò của các thuật toán xếp hàng và điều tiết lưu lượng (CBQ, WFQ, RED, WRED), đường bao hiệu suất 2D/3D, thỏa thuận mức dịch vụ (SLA) và chính sách quản lý (Policy) trong việc đảm bảo băng thông và độ trễ cam kết.
Chương 4. Các công nghệ và công cụ thu thập, phân tích, trực quan luồng lưu lượng mạng
Chương 4 khảo sát các công nghệ thu thập dữ liệu luồng:
- Cơ chế NetFlow của Cisco: Nguyên lý hoạt động của NetFlow Cache dựa trên bộ 5 giá trị (5-tuple), kiến trúc Flexible NetFlow (FNF) cho phép người quản trị tùy biến trường khóa (match keys) và trường thu thập (collect fields).
- Chuẩn IPFIX: Kiến trúc mở của IETF, phân định rõ các tiến trình đo lường (Metering Process), xuất dữ liệu (Exporting Process) và thu thập dữ liệu (Collecting Process), hỗ trợ truyền tải qua giao thức SCTP có độ tin cậy cao.
- Khảo sát các công cụ phân tích thương mại và mã nguồn mở: SolarWinds NetFlow Traffic Analyzer, ManageEngine NetFlow Analyzer, Nagios Network Analyzer và Paessler PRTG Network Monitor; đánh giá khả năng giám sát băng thông, phân tích ứng dụng và phát hiện lưu lượng bất thường.
Chương 5. Thực nghiệm phân tích luồng lưu lượng trong an ninh mạng
Chương 5 hiện thực hóa các nội dung lý thuyết qua hai kịch bản thực nghiệm:
- Cấu hình NetFlow trên Router Cisco 2691: Triển khai ghi nhận luồng IP trên cổng mạng, kiểm tra các bản ghi trong Cache Flow khi phát sinh lưu lượng TCP/ICMP giữa hai máy trạm và theo dõi quá trình hết hạn luồng (flow timeout).
- Phát hiện và ngăn chặn tấn công từ chối dịch vụ (DoS/DDoS): Thiết lập topo an ninh mạng với tường lửa ảo hóa Cisco ASAv đóng vai trò trung tâm phân tích và bảo vệ. Khi xảy ra tấn công làm lưu lượng tăng vọt, phần mềm ManageEngine NetFlow Analyzer kết hợp giao diện quản trị Cisco ASDM giúp định danh chính xác địa chỉ IP của kẻ tấn công, cổng đích và giao thức bị lợi dụng. Từ đó, người quản trị thiết lập bộ quy tắc Access List (ACL) và chính sách bảo mật (Policy) trên Cisco ASA để cô lập và triệt tiêu hoàn toàn luồng tấn công.
Kết quả và đóng góp
Đồ án đã đạt được các kết quả cụ thể:
- Hệ thống hóa toàn diện cơ sở lý thuyết về luồng lưu lượng, thiết lập bảng chỉ số định lượng về độ trễ, lưu lượng và tính khả dụng RMA (trong đó xác định các ngưỡng chuẩn như HRT $\approx 100\text{ ms}$, INTD $10-30\text{ s}$, độ khả dụng chuẩn $99,99%$, ngưỡng mất gói $2%$).
- Phân tích và làm rõ nguyên lý hoạt động của công nghệ trích xuất luồng NetFlow/IPFIX, Flexible NetFlow và cơ chế bảng nhớ đệm NetFlow Cache.
- Triển khai thành công mô hình thực nghiệm giám sát luồng lưu lượng trên thiết bị định tuyến Cisco và tường lửa Cisco ASAv.
- Chứng minh tính hiệu quả của phương pháp phân tích luồng trong an ninh mạng: Phát hiện kịp thời các cuộc tấn công DoS/DDoS thông qua hiện tượng lưu lượng tăng vọt bất thường trên ManageEngine NetFlow Analyzer, định danh chính xác nguồn tấn công và cấu hình chính sách ACL trên tường lửa Cisco ASA để ngăn chặn luồng độc hại.
Đóng góp của đồ án thể hiện ở việc kết hợp chặt chẽ giữa lý thuyết đặc trưng hóa luồng mạng với quy trình thực hành quản trị an ninh mạng thực tế, cung cấp giải pháp phát hiện sự cố dựa trên hành vi lưu lượng thay vì chỉ phụ thuộc vào kiểm tra gói tin sâu truyền thống.
Hạn chế và hướng nghiên cứu tiếp
Hạn chế của đồ án:
- Môi trường thực nghiệm được triển khai trên nền tảng ảo hóa và thiết bị mô phỏng trong phòng thí nghiệm, chưa được kiểm thử trên hạ tầng mạng vật lý doanh nghiệp với quy mô lưu lượng lớn và phức tạp.
- Các kịch bản tấn công thực nghiệm mới chỉ dừng lại ở các dạng tấn công từ chối dịch vụ (DoS/DDoS) cơ bản; việc phân tích và kích hoạt chính sách ngăn chặn trên tường lửa vẫn đòi hỏi thao tác cấu hình thủ công của người quản trị mạng.
Hướng nghiên cứu tiếp theo được tác giả đề xuất:
- Mở rộng phạm vi nghiên cứu sang các hình thức tấn công mạng tinh vi hơn (như quét cổng, rò rỉ dữ liệu, mã độc giao tiếp C&C).
- Ứng dụng các thuật toán trí tuệ nhân tạo và học máy (Machine Learning/Deep Learning) để tự động hóa quá trình nhận diện bất thường từ dữ liệu luồng lưu lượng NetFlow/IPFIX.
- Nghiên cứu tích hợp hệ thống phân tích luồng với các nền tảng tự động hóa phản ứng an ninh mạng (SOAR) nhằm cách ly các luồng lưu lượng độc hại theo thời gian thực mà không cần can thiệp thủ công.
Giá trị tham khảo
Đồ án là tài liệu tham khảo hữu ích cho sinh viên, học viên chuyên ngành Công nghệ thông tin, Kỹ thuật mạng máy tính và An toàn thông tin. Nội dung tài liệu cung cấp nguồn kiến thức giá trị ở các phần:
- Khung lý thuyết và phương pháp tính toán các thông số hiệu suất luồng mạng (độ trễ, RMA, QoS, DiffServ/IntServ).
- Cẩm nang thông số và quy trình hoạt động của giao thức NetFlow/IPFIX và Flexible NetFlow.
- Hướng dẫn thực hành cấu hình thiết bị mạng Cisco (Router IOS, Firewall ASAv, ASDM) và tích hợp các công cụ thu thập luồng mạng chuyên dụng để giám sát, phân tích và xử lý sự cố an ninh mạng.
Câu hỏi thường gặp
1. Một luồng lưu lượng (traffic flow) được định nghĩa và định danh cơ bản bằng các thông số nào trong NetFlow?
Luồng lưu lượng là tập hợp các gói tin có chung thuộc tính truyền dẫn trong một phiên duy nhất. Trong công nghệ NetFlow, một luồng cơ bản được định danh bởi bộ 5 giá trị (5-tuple) gồm: Địa chỉ IP nguồn (Source IP), Địa chỉ IP đích (Destination IP), Cổng nguồn (Source Port), Cổng đích (Destination Port) và Giao thức lớp mạng/giao vận (Protocol).
2. Các ngưỡng độ trễ HRT và INTD trong đồ án có giá trị bao nhiêu và mang ý nghĩa gì?
Ngưỡng thời gian phản hồi của con người (Human Response Time - HRT) có giá trị khoảng $100\text{ ms}$, là mốc mà người dùng bắt đầu nhận thấy sự trễ của hệ thống; nếu độ trễ thấp hơn HRT, hệ thống được cảm nhận là tức thì. Ngưỡng độ trễ tương tác (Interaction Delay - INTD) có phạm vi hữu dụng từ $10$ đến $30\text{ giây}$ (có thể từ $100\text{ ms}$ đến một phút hoặc hơn), đại diện cho khoảng thời gian tối đa mà người dùng sẵn sàng chờ đợi phản hồi trong một phiên làm việc tương tác trước khi giảm hiệu suất công việc.
3. Mức tính khả dụng 99,99% quy định thời gian ngừng hoạt động tối đa cho phép là bao nhiêu?
Theo bảng đối chiếu RMA trong đồ án, mức thời gian hoạt động $99,99%$ (ngưỡng chung cho hệ thống hiệu suất cao) cho phép thời gian ngừng hoạt động tối đa là $53\text{ phút/năm}$, tương đương $4,4\text{ phút/tháng}$, $1\text{ phút/tuần}$ hoặc $8,6\text{ giây/ngày}$.
4. Trong mô hình an ninh mạng của đồ án, tác giả sử dụng các thiết bị và công cụ nào để giám sát và xử lý tấn công DoS/DDoS?
Tác giả sử dụng thiết bị tường lửa ảo hóa Cisco ASAv làm cổng kiểm soát an ninh, phần mềm ManageEngine NetFlow Analyzer làm bộ thu thập và trực quan hóa luồng dữ liệu, giao diện quản trị đồ họa Cisco ASDM để quản lý cấu hình và công cụ tạo tải để mô phỏng nguồn tấn công.
5. Giải pháp ngăn chặn luồng tấn công DoS được thực hiện như thế nào trên thiết bị tường lửa Cisco ASA?
Sau khi hệ thống giám sát NetFlow Analyzer phát hiện lưu lượng tăng vọt và trích xuất được thông tin về địa chỉ IP nguồn/đích cùng giao thức của luồng tấn công, người quản trị thiết lập danh sách điều khiển truy cập (Access Control List - ACL) và áp dụng chính sách Policy trên giao diện mạng của Cisco ASAv để lọc và loại bỏ (drop) toàn bộ các gói tin độc hại này.
Kết luận
Đồ án "Đặc trưng hóa luồng lưu lượng và ứng dụng trong an ninh mạng" của tác giả Nguyễn Thiện Phúc đã trình bày hệ thống lý thuyết về phân tích luồng lưu lượng, các thông số hiệu suất và mô hình mạng. Đề tài khảo sát các công nghệ thu thập luồng NetFlow/IPFIX cùng các phần mềm phân tích giám sát chuyên dụng. Thông qua các kịch bản thực nghiệm trên thiết bị định tuyến Cisco và tường lửa Cisco ASAv, đồ án đã chứng minh phương pháp ứng dụng phân tích luồng trong việc phát hiện bất thường và ngăn chặn hiệu quả các cuộc tấn công từ chối dịch vụ.
