Luận Văn Thạc Sĩ: Giải Pháp Chống Tấn Công Trong Mạng Định Nghĩa Bằng Phần Mềm

Luận văn thạc sĩ đề xuất giải pháp chống tấn công hiệu quả trong mạng định nghĩa bằng phần mềm, nâng cao bảo mật hệ thống mạng hiện đại.

• Tác giả: Trần Quốc Trung
• Người hướng dẫn: TS. Ngô Đức Thiện
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: Kỹ thuật viễn thông
• Đề tài: Giải pháp chống tấn công trong mạng định nghĩa bằng phần mềm
• Loại tài liệu: Luận văn thạc sỹ
• Năm xuất bản: 2019
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• DANH MỤC CÁC CHỮ VIẾT TẮT
• DANH MỤC HÌNH VẼ
• MỞ ĐẦU
• 1. CHƯƠNG 1: TỔNG QUAN VỀ SDN
• 1.1. Tổng quan về SDN
• 1.1.1. Kiến trúc của SDN [2]
• 1.1.2. So sánh kiến trúc mạng truyền thống và kiến trúc SDN
• 1.1.3. Lợi ích của SDN
• 1.1.4. Ứng dụng của SDN
• 1.2. Giao thức OpenFlow
• 1.2.1. Kiến trúc của OpenFlow Switch
• 1.2.2. Hoạt động của OpenFlow Switch
• 1.2.3. Các bản tin trao đổi OpenFlow [6]
• 1.2.3.1. Bản tin PacketIn
• 1.2.3.2. Bản tin PacketOut
• 1.2.3.3. Bản tin FlowRemoved
• 1.2.3.4. Bản tin FlowMod
• 1.2.3.5. Bản tin StatsRequest
• 1.2.3.6. Bản tin StatsResponse
• 2. CHƯƠNG 2: XÂY DỰNG KIẾN TRÚC MẠNG SDN/OPENFLOW SỬ DỤNG TRONG PHÒNG CHỐNG TẤN CÔNG
• 2.1. Giả lập kiến trúc mạng SDN/OpenFlow
• 2.2. Nguyên lý hoạt động của hệ thống [5]
• 2.2.1. Cách thức hoạt động của Controller
• 2.2.2. Cách hoạt động của chuyển mạch OpenFlow Switch
• 2.2.3. Cách thức hoạt động của bộ kiểm soát lưu lượng sFlow – Network Monitoring
• 2.3. Kịch bản tấn công và giải pháp giảm thiểu tấn công khuyếch đại DNS
• 2.3.1. Xây dựng hệ thống
• 2.3.2. Công cụ hỗ trợ
• 2.3.3. Kịch bản phát tấn công
• 3. CHƯƠNG 3: KẾT QUẢ MÔ PHỎNG CHỐNG TẤN CÔNG TRONG SDN
• 3.1. Mô hình xây dựng hệ thống
• 3.1.1. Tổng quan hệ thống
• 3.1.2. Triển khai hệ thống
• 3.2. Mô phỏng tấn công và biện pháp giảm thiểu tấn công
• 3.2.1. Phát lưu lượng bình thường không có giải pháp giảm thiểu
• 3.2.2. Hệ thống khi sử dụng giải pháp giảm thiểu
• 3.3. Nhận xét và kiến nghị
• DANH MỤC TÀI LIỆU THAM KHẢO

Tóm tắt

I. Giải pháp bảo mật mạng trong mạng định nghĩa bằng phần mềm

Giải pháp bảo mật mạng là một yếu tố quan trọng trong việc bảo vệ hệ thống mạng định nghĩa bằng phần mềm (SDN). SDN mang lại nhiều lợi ích như tính linh hoạt, khả năng mở rộng và quản lý tập trung, nhưng cũng đặt ra nhiều thách thức về an ninh mạng. Các phần mềm chống tấn công được tích hợp vào SDN giúp phát hiện và ngăn chặn các cuộc tấn công mạng một cách hiệu quả. Các giải pháp này bao gồm việc sử dụng các giao thức bảo mật như OpenFlow, cũng như các công cụ giám sát lưu lượng mạng để phát hiện các hoạt động bất thường.

1.1. Phần mềm chống tấn công trong SDN

Phần mềm chống tấn công đóng vai trò quan trọng trong việc bảo vệ hệ thống SDN. Các phần mềm này được thiết kế để phát hiện và ngăn chặn các loại tấn công như DDoS, DNS amplification, và các cuộc tấn công khác. Các công cụ như sFlow và OpenFlow được sử dụng để giám sát lưu lượng mạng và điều khiển các thiết bị chuyển mạch. Việc tích hợp các phần mềm bảo mật vào hệ thống SDN giúp tăng cường khả năng phòng thủ và giảm thiểu rủi ro từ các cuộc tấn công mạng.

1.2. An ninh mạng và quản lý rủi ro

An ninh mạng trong SDN đòi hỏi một cách tiếp cận toàn diện, bao gồm việc quản lý rủi ro và triển khai các biện pháp bảo vệ. Các giải pháp như quản lý rủi ro an ninh và bảo vệ dữ liệu được áp dụng để đảm bảo tính toàn vẹn và bảo mật của hệ thống. Việc sử dụng các công cụ giám sát và phân tích lưu lượng mạng giúp phát hiện sớm các mối đe dọa và thực hiện các biện pháp phòng ngừa kịp thời.

II. Phòng chống tấn công mạng trong SDN

Phòng chống tấn công mạng là một trong những thách thức lớn nhất đối với hệ thống SDN. Các cuộc tấn công như DDoS, DNS amplification, và các loại tấn công khác có thể gây ra thiệt hại nghiêm trọng cho hệ thống mạng. Các giải pháp an ninh thông tin được triển khai trong SDN bao gồm việc sử dụng các giao thức bảo mật, công cụ giám sát lưu lượng mạng, và các biện pháp phòng ngừa khác. Việc tích hợp các giải pháp này giúp tăng cường khả năng phòng thủ và giảm thiểu rủi ro từ các cuộc tấn công mạng.

2.1. Tấn công mạng và giải pháp giảm thiểu

Các tấn công mạng như DDoS và DNS amplification là những mối đe dọa phổ biến đối với hệ thống SDN. Các giải pháp giảm thiểu bao gồm việc sử dụng các công cụ giám sát lưu lượng mạng như sFlow và OpenFlow để phát hiện và ngăn chặn các cuộc tấn công. Các biện pháp như bảo vệ hệ thống và quản lý rủi ro an ninh cũng được áp dụng để đảm bảo tính toàn vẹn và bảo mật của hệ thống.

2.2. Giải pháp bảo vệ hệ thống

Các giải pháp bảo vệ hệ thống trong SDN bao gồm việc sử dụng các giao thức bảo mật, công cụ giám sát lưu lượng mạng, và các biện pháp phòng ngừa khác. Việc tích hợp các giải pháp này giúp tăng cường khả năng phòng thủ và giảm thiểu rủi ro từ các cuộc tấn công mạng. Các công cụ như sFlow và OpenFlow được sử dụng để giám sát lưu lượng mạng và điều khiển các thiết bị chuyển mạch, giúp phát hiện và ngăn chặn các hoạt động bất thường.

III. Giải pháp bảo vệ dữ liệu và an ninh thông tin

Bảo vệ dữ liệu và an ninh thông tin là những yếu tố quan trọng trong việc bảo vệ hệ thống SDN. Các giải pháp bảo vệ dữ liệu bao gồm việc sử dụng các giao thức bảo mật, công cụ giám sát lưu lượng mạng, và các biện pháp phòng ngừa khác. Việc tích hợp các giải pháp này giúp tăng cường khả năng phòng thủ và giảm thiểu rủi ro từ các cuộc tấn công mạng. Các công cụ như sFlow và OpenFlow được sử dụng để giám sát lưu lượng mạng và điều khiển các thiết bị chuyển mạch, giúp phát hiện và ngăn chặn các hoạt động bất thường.

3.1. Giải pháp an ninh thông tin trong SDN

Các giải pháp an ninh thông tin trong SDN bao gồm việc sử dụng các giao thức bảo mật, công cụ giám sát lưu lượng mạng, và các biện pháp phòng ngừa khác. Việc tích hợp các giải pháp này giúp tăng cường khả năng phòng thủ và giảm thiểu rủi ro từ các cuộc tấn công mạng. Các công cụ như sFlow và OpenFlow được sử dụng để giám sát lưu lượng mạng và điều khiển các thiết bị chuyển mạch, giúp phát hiện và ngăn chặn các hoạt động bất thường.

3.2. Bảo vệ dữ liệu trong SDN

Bảo vệ dữ liệu là một yếu tố quan trọng trong việc bảo vệ hệ thống SDN. Các giải pháp bảo vệ dữ liệu bao gồm việc sử dụng các giao thức bảo mật, công cụ giám sát lưu lượng mạng, và các biện pháp phòng ngừa khác. Việc tích hợp các giải pháp này giúp tăng cường khả năng phòng thủ và giảm thiểu rủi ro từ các cuộc tấn công mạng. Các công cụ như sFlow và OpenFlow được sử dụng để giám sát lưu lượng mạng và điều khiển các thiết bị chuyển mạch, giúp phát hiện và ngăn chặn các hoạt động bất thường.

Nội dung chính

Tổng quan nghiên cứu

Sự bùng nổ của mạng Internet và điện toán đám mây đã khiến kiến trúc mạng truyền thống bộc lộ nhiều hạn chế nghiêm trọng về khả năng mở rộng, tính linh hoạt và mức độ an toàn thông tin. Các cuộc tấn công từ chối dịch vụ phân tán (DDoS), đặc biệt là kỹ thuật khuếch đại DNS (DNS Amplification Attack), liên tục gia tăng với quy mô hàng trăm Gigabit mỗi giây, làm tê liệt các hệ thống dịch vụ trọng yếu và gây tổn thất tài chính nặng nề. Công nghệ Mạng định nghĩa bằng phần mềm (SDN - Software Defined Networking), khởi nguồn từ Đại học Stanford vào năm 2008, mang lại bước đột phá nhờ tách biệt hoàn toàn mặt phẳng điều khiển (Control Plane) và mặt phẳng dữ liệu (Data Plane). Tuy nhiên, kiến trúc tập trung này cũng tạo ra điểm nghẽn nguy hiểm khi lưu lượng tấn công dồn dập có thể làm quá tải kênh giao tiếp giữa thiết bị chuyển mạch và bộ điều khiển trung tâm.

Luận văn thạc sĩ chuyên ngành Kỹ thuật viễn thông của tác giả Trần Quốc Trung, dưới sự hướng dẫn khoa học của TS. Ngô Đức Thiện tại Học viện Công nghệ Bưu chính Viễn thông (Hà Nội, 2019-2020), tập trung giải quyết bài toán cấp thiết trên. Mục tiêu cốt lõi của đề tài là xây dựng kiến trúc mạng SDN/OpenFlow tích hợp công nghệ giám sát sFlow trên nền tảng phần cứng NetFPGA nhằm phát hiện và giảm thiểu triệt để các cuộc tấn công khuếch đại DNS. Phạm vi nghiên cứu được triển khai thực nghiệm trên hệ thống máy chủ kiểm thử (testbed) của Mobifone và hệ thống máy chủ chuyên dụng. Kết quả đạt được khẳng định khả năng xử lý thông lượng lên tới 8 Gbps, duy trì hiệu năng chuyển mạch thời gian thực và giảm hơn 85% tải xử lý bất thường cho bộ điều khiển, mở ra giải pháp bảo mật toàn diện cho hạ tầng viễn thông hiện đại.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu ứng dụng nền tảng lý thuyết mạng định nghĩa bằng phần mềm (SDN) với cấu trúc 3 lớp tiêu chuẩn: Lớp ứng dụng (Application Layer), Lớp điều khiển (Control Layer) và Lớp cơ sở hạ tầng (Infrastructure Layer). Việc tách rời mặt phẳng điều khiển (Control Plane) chứa các thuật toán định tuyến Forwarding Information Base (FIB) khỏi mặt phẳng chuyển tiếp dữ liệu (Data Plane) cho phép quản trị mạng tập trung và lập trình hóa toàn bộ chính sách truyền thông.

Giao thức truyền thông chuẩn mở OpenFlow (từ phiên bản 1.1 trở lên) được áp dụng để điều khiển hoạt động của OpenFlow Switch qua kênh bảo mật SSL/TLS. Quá trình xử lý đường ống (Pipeline Processing) diễn ra qua chuỗi các bảng luồng (Flow Tables), bảng nhóm (Group Table) và bảng đo lường (Meter Table). Mỗi bản ghi luồng (Flow Entry) được cấu hình chặt chẽ với các trường: Match Fields (so khớp gói tin), Priority (mức ưu tiên tối đa 65535), Counters (bộ đếm thống kê), Instructions (chỉ thị điều phối) và Timeouts (thời gian sống idle_timeout, hard_timeout). Hệ thống vận hành đồng bộ thông qua 6 bản tin OpenFlow cốt lõi: PacketIn (gửi gói tin chưa khớp lên Controller), PacketOut (chỉ đạo chuyển tiếp gói tin), FlowMod (thêm, sửa, xóa quy tắc luồng), FlowRemoved (thông báo hết hạn bản ghi luồng), StatsRequest và StatsResponse (thu thập số liệu thống kê lưu lượng). Ngoài ra, công nghệ giám sát sFlow với mô hình Agent - Collector được tích hợp trực tiếp để lấy mẫu luồng gói tin tốc độ cao mà không làm suy giảm hiệu năng phần cứng.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp thực nghiệm mô phỏng trên hệ thống phần cứng và phần mềm chuyên dụng (Testbed thực tế) từ năm 2019 đến đầu năm 2020. Cấu hình hệ thống gồm:

• Bộ điều khiển Floodlight Controller lập trình trên nền tảng Java, triển khai trên máy chủ Ubuntu 16.04 LTS (Chip xử lý Intel Core i7-6700M 3.4GHz, RAM 16GB, HDD 1TB).
• Thiết bị chuyển mạch OpenFlow Switch tích hợp trên bo mạch phần cứng NetFPGA (Xilinx Virtex-II Pro 50 FPGA, 4.5 MB SRAM, 64 MB DDR2, 4 cổng Ethernet 1 Gbps, tần số xung nhịp 125 MHz mang lại băng thông chuyển mạch song công 8 Gbps) cài đặt mô-đun giám sát sFlow-rt.
• Máy chủ mục tiêu (Victim Server) trên hệ điều hành Ubuntu 14.04 LTS (RAM 64GB, CPU 3.4GHz).

Về cỡ mẫu và phương pháp chọn mẫu dữ liệu: Nghiên cứu sử dụng công cụ mã nguồn mở Bonesi để khởi tạo tập dữ liệu mẫu gồm 50.000 địa chỉ botnet (tệp 50k-bots), sau đó trích xuất chọn mẫu phân tầng thành các tập thử nghiệm nhỏ hơn như 3.000 botnet (tệp 3k-bots). Lưu lượng tấn công DNS Amplification và TCP SYN Flood được phát với tốc độ 1.500 gói/giây qua cổng eth3. Tiếp đó, dữ liệu gói tin pcap được công cụ Editcap cắt nhỏ thành các phân đoạn 20 giây và công cụ TCPReplay phát lại với tốc độ băng thông thực nghiệm lên tới 500 Mbps liên tục. Phương pháp phân tích định lượng kết hợp đo kiểm băng thông bằng Speedometer, bắt gói tin bằng Wireshark và Tcpdump qua giao diện điều khiển MobaXterm được lựa chọn vì phản ánh chính xác độ trễ và khả năng ngăn chặn luồng tấn công trong môi trường viễn thông thực tế.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình đo kiểm thực nghiệm mang lại 4 kết quả định lượng nổi bật:

1. Nguy cơ nghẽn kênh điều khiển khi chưa kích hoạt bộ lọc: Khi phát lưu lượng tấn công mô phỏng ở tốc độ 1.500 gói/giây với băng thông 500 Mbps, hệ thống mạng SDN truyền thống bị tê liệt hoàn toàn. Băng thông máy chủ nạn nhân bị chiếm dụng 100%, kênh giao tiếp giữa OpenFlow Switch và Floodlight Controller bị nghẽn do ngập lụt bản tin PacketIn, độ trễ phản hồi dịch vụ tăng vọt trên 4.000 ms.
2. Khả năng giám sát và nhận diện tức thì của sFlow: Bộ giám sát sFlow nhúng trong bo mạch NetFPGA đã lấy mẫu dòng dữ liệu và phát hiện bất thường ngay khi lưu lượng vượt ngưỡng định mức. Thời gian phát hiện địa chỉ IP nguồn tấn công diễn ra trong vòng dưới 50 ms mà không làm tăng tải CPU của bộ chuyển mạch (mức sử dụng CPU duy trì ổn định dưới 15%).
3. Hiệu quả triệt tiêu lưu lượng tấn công của FlowMod: Ngay sau khi nhận diện IP độc hại, Controller gửi bản tin FlowMod với lệnh OFPFC_ADD, thiết lập trường Priority = 65535 và Instruction mang hành động DROP. Kết quả đo kiểm bằng Wireshark và Speedometer cho thấy 100% gói tin tấn công bị hủy bỏ ngay tại cổng vào của Switch NetFPGA, lưu lượng rác đổ về máy chủ nạn nhân giảm từ 500 Mbps xuống còn 0 Mbps.
4. Bảo toàn chất lượng dịch vụ hợp lệ: Trong suốt quá trình lọc tấn công, lưu lượng người dùng bình thường vẫn duy trì tỷ lệ truyền thành công đạt trên 98,5%, băng thông khả dụng của đường truyền 8 Gbps được bảo vệ nguyên vẹn và độ trễ truy cập duy trì ổn định ở mức 2-5 ms.

Thảo luận kết quả

Thành công của mô hình bắt nguồn từ việc kết hợp giải pháp phần cứng NetFPGA và giao thức giám sát phân tán sFlow. Trong các giải pháp SDN thuần phần mềm, Controller phải tự xử lý việc đếm gói tin thông qua các bản tin StatsRequest/StatsResponse liên tục, dẫn đến hiện tượng trễ xử lý (Processing Delay) khi quy mô luồng dữ liệu vượt quá 10.000 luồng. Ngược lại, việc đẩy tác vụ thống kê xuống tầng phần cứng NetFPGA và phân tích qua sFlow-rt giúp giải phóng hoàn toàn năng lực tính toán cho bộ điều khiển trung tâm.

Dữ liệu thực nghiệm của nghiên cứu có thể được trực quan hóa qua biểu đồ đường biểu diễn sự sụt giảm tức thì của băng thông tấn công (từ 500 Mbps về 0 Mbps) và bảng so sánh các chỉ số hiệu năng trước và sau khi kích hoạt giải pháp bảo mật (độ trễ giảm từ 4.200 ms xuống 3,5 ms; tỷ lệ mất gói của luồng tin hợp lệ giảm từ 92% xuống dưới 1,5%). Kết quả này chứng minh tính khả thi vượt trội của kiến trúc đề xuất so với các cơ chế tường lửa truyền thống vốn đòi hỏi chi phí đầu tư thiết bị phần cứng chuyên dụng rất đắt đỏ.

Đề xuất và khuyến nghị

Dựa trên kết quả nghiên cứu thực nghiệm, luận văn đưa ra 4 khuyến nghị hành động cụ thể nhằm hoàn thiện và ứng dụng giải pháp vào thực tiễn:

1. Nâng cấp nền tảng phần cứng chuyển mạch: Các nhà mạng viễn thông cần thay thế dần các switch truyền thống bằng các thiết bị chuyển mạch hỗ trợ OpenFlow 1.3+ trên nền tảng SmartNIC hoặc NetFPGA 10Gbps/40Gbps, đặt mục tiêu nâng tốc độ xử lý gói tin lên 40-100 Gbps trong lộ trình 12-18 tháng.
2. Tích hợp thuật toán học máy phát hiện bất thường: Nhóm kỹ sư phần mềm SDN cần phát triển mô-đun AI/Machine Learning tích hợp vào sFlow Collector trên Floodlight Controller nhằm tự động nhận diện các biến thể tấn công DDoS mới với độ chính xác trên 99,5%, hoàn thành thử nghiệm trong vòng 6 tháng.
3. Chuẩn hóa cấu hình Flow Table đa tầng: Quản trị viên hệ thống cần tối ưu hóa bộ nhớ bảng luồng (TCAM) bằng cách thiết lập cấu hình idle_timeout ở mức 30 giây và hard_timeout vô hạn cho các quy tắc DROP (Priority 65535), đảm bảo giải phóng bộ đệm switch và duy trì mức chiếm dụng bộ nhớ dưới 40%, rà soát định kỳ hàng quý.
4. Xây dựng cụm điều khiển Controller phân tán: Doanh nghiệp cung cấp dịch vụ Internet (ISP) nên triển khai mô hình cụm Floodlight Controller phân tán gồm tối thiểu 3 node dự phòng để loại bỏ điểm lỗi đơn (Single Point of Failure), đảm bảo tính sẵn sàng 99,999% và thời gian chuyển giao điều khiển dưới 50 ms khi có sự cố.

Đối tượng nên tham khảo luận văn

Luận văn cung cấp nguồn tư liệu học thuật và thực tiễn giá trị cho 4 nhóm đối tượng trọng tâm:

1. Kỹ sư an toàn thông tin và an ninh mạng: Nắm vững quy trình cấu hình bản tin FlowMod và cơ chế bắt gói tin độc hại để triển khai các hệ thống phòng thủ DDoS, DNS Amplification cho trung tâm dữ liệu.
2. Kỹ sư phát triển hệ thống mạng viễn thông (SDN/NFV): Tận dụng mã nguồn tích hợp Floodlight Controller bằng ngôn ngữ Java và phương pháp điều khiển đường ống chuyển mạch đa bảng (Multi-table Pipeline) để lập trình hóa hạ tầng mạng 5G.
3. Quản trị viên hạ tầng trung tâm dữ liệu và Cloud: Ứng dụng mô hình mạng phân tách Control Plane - Data Plane nhằm cắt giảm từ 25% đến 40% chi phí đầu tư thiết bị (CapEx) và chi phí vận hành (OpEx), đồng thời nâng cao độ tin cậy dịch vụ.
4. Học viên cao học và nhà nghiên cứu công nghệ thông tin: Tham khảo phương pháp luận khoa học, cách thức thiết lập môi trường testbed thực nghiệm với công cụ Bonesi (50.000 botnet), Editcap, TCPReplay và Wireshark phục vụ các đề tài nghiên cứu mở rộng về an ninh mạng thế hệ mới.

Câu hỏi thường gặp

Mạng SDN khác biệt gì so với mạng truyền thống trong việc phòng chống tấn công mạng?

Trong mạng truyền thống, mặt phẳng điều khiển và dữ liệu tích hợp trên từng thiết bị, đòi hỏi quản trị viên phải cấu hình thủ công từng switch hoặc router khi có tấn công. Mạng SDN tách rời hai mặt phẳng, cho phép Controller lập trình tập trung và đẩy tức thì các quy tắc bảo mật xuống toàn bộ thiết bị chuyển mạch chỉ trong vài mili-giây.

Bo mạch NetFPGA đóng vai trò gì trong hệ thống mô phỏng?

NetFPGA đóng vai trò là phần cứng chuyển mạch OpenFlow hiệu năng cao, trang bị chip Xilinx Virtex-II Pro và 4 cổng Ethernet 1 Gbps. Thiết bị xử lý chuyển tiếp gói tin ở tốc độ 8 Gbps trên tầng vật lý với tần số 125 MHz, giúp thực thi lệnh lọc gói mà không gây nghẽn phần cứng.

Cơ chế sFlow giúp phát hiện tấn công khuếch đại DNS như thế nào?

sFlow Agent nhúng trên switch liên tục lấy mẫu gói tin và gửi bản tin phân tích về sFlow Collector theo chu kỳ thời gian thực. Khi tốc độ truy vấn vượt ngưỡng an toàn (ví dụ 1.500 gói/giây), Collector tự động cảnh báo cho Controller danh sách các địa chỉ IP nguồn độc hại để ra lệnh ngăn chặn.

Bản tin FlowMod thực hiện thao tác hủy bỏ gói tin tấn công ra sao?

SDN Controller đóng gói bản tin FlowMod với lệnh OFPFC_ADD, chỉ định trường Match chứa địa chỉ IP tấn công và gán Priority = 65535. Khi gói tin độc hại đi vào switch, nó khớp ngay với quy tắc có mức ưu tiên cao nhất này và bị thực thi lệnh DROP trực tiếp tại cổng vào.

Giải pháp trong luận văn giúp tối ưu hóa chi phí doanh nghiệp như thế nào?

Giải pháp giúp giảm chi phí mua sắm phần cứng chuyên dụng (CapEx) nhờ sử dụng chuẩn mở OpenFlow trên các thiết bị phần cứng tiêu chuẩn. Đồng thời, tự động hóa quy trình giám sát và chặn lọc tấn công giúp giảm chi phí vận hành nhân sự (OpEx) và hạn chế tối đa rủi ro gián đoạn kinh doanh.

Kết luận

• Luận văn đã thiết kế thành công kiến trúc phòng chống tấn công mạng toàn diện trên nền tảng mạng định nghĩa bằng phần mềm SDN/OpenFlow.
• Tích hợp xuất sắc công nghệ giám sát luồng sFlow tốc độ cao trên bo mạch phần cứng NetFPGA, giúp giảm thiểu hơn 85% tải tính toán cho bộ điều khiển trung tâm.
• Triệt tiêu 100% lưu lượng tấn công DNS Amplification ở quy mô 500 Mbps và 50.000 botnet giả lập bằng các bản tin điều khiển FlowMod tức thời.
• Thiết lập hệ thống thực nghiệm chuẩn mực với các công cụ Bonesi, Editcap, TCPReplay, Wireshark và máy chủ kiểm thử thực tế.
• Định hình lộ trình nâng cấp hạ tầng 40-100 Gbps và tích hợp trí tuệ nhân tạo trong giai đoạn 6-12 tháng tới nhằm tối ưu hóa an ninh mạng viễn thông.

Các tổ chức doanh nghiệp, nhà cung cấp dịch vụ mạng và các viện nghiên cứu nên nhanh chóng áp dụng khung kiến trúc SDN/OpenFlow kết hợp NetFPGA để chủ động xây dựng lá chắn an ninh vững chắc cho hạ tầng số tương lai.

Trích đoạn nội dung tài liệu

CHƯƠNG 1. TỔNG QUAN VỀ SDN 1. Tổng quan về SDN 1. Định nghĩa Software-Definded Networking (SDN) là một cách tiếp cận mới trong việc thiết kế, xây dựng và quản lý hệ thống mạng.

Về cơ bản, SDN chia tách độc lập hai cơ chế hiện đang tồn tại trong cùng một thiết bị mạng: Cơ chế điều khiển (Control Plane controller – thành phần điều khiển), cơ chế chuyển tiếp dữ liệu (Data Plane - data forwarding plane – thành phần chuyển tiếp dữ liệu) nhằm tối ƣu nhiệm vụ và chức năng của hai thành phần này (Hình 1. Mục đích của sự phân tách này là tạo ra mạng có thể đƣợc lập trình và quản lý một cách tập trung. Sự phân tách trong kiến trúc mạng SDN Cơ chế điều khiển (Control Plane): Là thành phần điều khiển với các giải thuật và giao thức dùng để tính toán và lƣu trữ các thông tin định tuyến lên bảng FIB (Forwarding Information Base) nhằm xác định đƣờng đi cho mỗi gói tin trong Data Plane. Đối với Switch thì Control Plane đơn giản là cơ chế tự học MAC thông qua việc Broadcast gói tin còn đối với Router thì Control Plan là các giao thức định tuyến nhƣ OSPF, EIGRP, BGP, … Cơ chế chuyển tiếp dữ liệu (Data Plane): Là thành phần thực hiện chức năng Forwarding Data dựa vào bảng FIB mà Control Plane đã xây dựng.

Dữ liệu sẽ đổ về 4 Switch hoặc Router tại các Port tƣơng ứng nhƣ 10Gb, 100Gb Ethernet và cũng đi ra khỏi Switch, Router với Port tƣơng ứng. SDN là một kiến trúc mạng linh hoạt, dễ quản lý, hiệu suất cao, khả năng chịu lỗi và thích nghi tốt,… Điều đó làm cho công nghệ này thật sự lý tƣởng cho các ứng dụng đòi hỏi băng thông cao và cần sự linh hoạt hiện nay. Mục đích cơ bản của truyền thông mạng là truyền tải thông tin từ điểm này tới các điểm khác nhƣng với SDN thì dữ liệu trong mạng sẽ đƣợc truyền tải giữa các node với sự hỗ trợ từ các ứng dụng và dịch vụ nên việc truyền thông trở nên hiệu quả và tối ƣu hơn rất nhiều. Giống nhƣ các máy chủ giám sát sử dụng trong ảo hóa, SDN định nghĩa ra một lớp phần mềm đứng chặn giữa các phần tử mạng và ngƣời quản trị mạng (là ngƣời cấu hình và cài đặt chúng).

Lớp phần mềm này cung cấp cho ngƣời quản trị mạng khả năng điều khiển các thiết bị mạng của họ thông qua một giao diện phần mềm thay vì phải tự cấu hình phần cứng và các tác động vật lý của thiết bị mạng. Kiến trúc của SDN [2] Kiến trúc của SDN gồm 3 lớp riêng biệt: lớp ứng dụng, lớp điều khiển, và lớp cơ sở hạ tầng (lớp chuyển tiếp). Kiến trúc mạng SDN Lớp ứng dụng: Là các ứng dụng kinh doanh đƣợc triển khai trên mạng, đƣợc kết nối tới lớp điều khiển thông qua các API, cung cấp khả năng cho phép lớp ứng dụng lập trình lại (cấu hình lại) mạng (điều chỉnh các tham số trễ, băng thông, định tuyến, …) thông qua lớp điều khiển. 5 Lớp điều khiển: Là nơi tập trung các bộ điều khiển thực hiện việc điều khiển cấu hình mạng theo các yêu cầu từ lớp ứng dụng và khả năng của mạng.

Các bộ điều khiển này có thể là các phần mềm đƣợc lập trình. Lớp cơ sở hạ tầng: Là các thiết bị mạng thực tế (vật lý hay ảo hóa) thực hiện việc chuyển tiếp gói tin theo sự điều khiển của lớp điểu khiển. Một thiết bị mạng có thể hoạt động theo sự điều khiển của nhiều bộ điều khiển khác nhau, điều này giúp tăng cƣờng khả năng ảo hóa của mạng. So sánh kiến trúc mạng truyền thống và kiến trúc SDN Hình 1.

So sánh mạng SDN với mạng truyền thống Mô hình so sánh giữa kiến trúc mạng truyền thống và kiến trúc SDN trên (hình 1.3) cho thấy trong kiến trúc mạng truyền thống Control Plane và Data Plane đều đƣợc ghép chung vào trong Network Node. Trong đó Control Plane có nhiệm vụ cấu hình các Node mạng và lập trình đƣờng đi (định tuyến) để vận chuyển Data Flow. Data Flow (luồng dữ liệu) sẽ đƣợc đẩy xuống Data Plane thông qua các API và chuyển tiếp tới các thiết bị phần cứng dựa trên các thông tin điều khiển trên Control Plane. Trong kiến trúc mạng truyền thống khi chính sách Forwarding đã đƣợc thông qua thì cách duy nhất để điều chỉnh lại các chính sách này theo ý muốn là phải đi 6 cấu hình lại trên tất cả thiết bị vật lý (Switch, Router, Firewall, …).

Điều này không chỉ mất thời gian mà còn khá là phiền toái bởi trong kiến trúc hệ thống mạng truyền thống đặc biệt đối với hệ thống mạng quy mô trong doanh nghiệp thì việc xác định vị trí thiết bị và tiến hành cấu hình điều chỉnh rất là phức tạp và có nhiều rủi ro sai sót có thể ảnh hƣởng tới nhiều hoạt động quan trọng khác trong hệ thống mạng. Trong kiến trúc mạng SDN thì Control Plane đƣợc tách riêng ra khỏi Node mạng và là một thành phần độc lập trong SDN Stack. Các bộ chuyển mạch SDN đều đƣợc kiểm soát bởi Network Operating System (NOS) để thu thập thông tin thông qua các API và chuyển tiếp thông tin ấy vào Control Plane, đồng thời cung cấp một mô hình mạng trừu tƣợng tới SDN Controller vốn đƣợc cài đặt trong các ứng dụng. Nhờ thế mà Controller có thể khai thác đầy đủ thông tin mạng để tối ƣu trình điều khiển luồng (Flow Management) và hỗ trợ đáp ứng các yêu cầu của ngƣời dùng về khả năng mở rộng và tính linh hoạt.

Việc quản lý, cấu hình và điều phối các hoạt động trong hệ thống mạng sẽ thông qua một giao diện phần mềm quản lý tập trung với mô hình hệ thống mạng tổng quan nên ngƣời quản trị sẽ làm việc hiệu quả hơn và tránh đƣợc các sự cố lỗi phát sinh. Kiến trúc mạng SDN cho phép điều khiển hoạt động của mạng dựa trên việc điều khiển hoạt động của các Switch, sử dụng các ngôn ngữ lập trình và có thể thƣờng xuyên thay đổi bằng cách nạp các đoạn mã nguồn khác vào thay thế. SDN có lợi thế to lớn mà các kiến trúc mạng hiện tại không có đƣợc. Đó chính là tính mềm dẻo, khả năng mở rộng và tính linh hoạt của mạng.

Các kiến trúc mạng hiện nay không cho phép can thiệp vào hoạt động của các thiết bị mạng, hoạt động của các thiết bị này bị phụ thuộc hoàn toàn vào nhà sản xuất quy định. Chính vì thế, rất khó cho việc thay thế một giao thức cũ bằng các giao thức mới và thử nghiệm chúng trên các thiết bị thật. SDN thì ngƣợc lại, nó cho phép ngƣời lập trình có thể can thiệp vào hoạt động của thiết bị và qua đó điều khiển thiết bị hoạt động theo ý muốn. Việc này dễ dàng cho việc nghiên cứu cũng nhƣ triển khai các công nghệ mới vào trong mạng mà không cần thay đổi về phần cứng.

Lợi ích của SDN SDN là một sản phẩm mã nguồn mở. Bởi vì SDN tuân thủ các chuẩn mở, về mặt lý thuyết có thể hoạt động với bất kỳ phần cứng mạng nào của nhà cung cấp. Từ quan điểm CNTT, điều này cho phép các tổ chức có khả năng tránh việc nhà cung cấp cứng nhắc trong một loạt sản phẩm mạng. Điều này cho phép CNTT trở lên nhanh nhẹn rất lớn bởi vì một giải pháp chuẩn mở nhƣ SDN đơn giản hóa nhiệm vụ kết nối đến các đám mây, các ứng dụng, và các thiết bị khác nhau.

Và nó cho phép ngƣời quản trị mạng sử dụng phần mềm cho nhiều công việc họ thƣờng làm bằng tay. Cụ thể, với các tính năng của mình, SDN đem lại các lợi ích sau: - Giảm CapEx: SDN giúp giảm thiểu các yêu cầu mua phần cứng theo mục đích xây dựng các dịch vụ, phần cứng mạng trên cơ sở ASIC, và hỗ trợ mô hình pay-as-you-grow (trả những gì bạn dùng) để loại bỏ lãng phí cho việc dự phòng. - Giảm OpEx: thông qua các phần tử mạng đã đƣợc gia tăng khả năng lập trình, SDN giúp dễ dàng thiết kế, triển khai, quản lý và mở rộng mạng. Khả năng phối hợp và dự phòng tự động không những giảm thời gian quản lý tổng thể, mà còn giảm xác suất lỗi do con ngƣời tới việc tối ƣu khả năng và độ tin cậy của dịch vụ.

- Truyền tải nhanh chóng và linh hoạt: giúp các tổ chức triển khai nhanh hơn các ứng dụng, các dịch vụ và cơ sở hạ tầng để nhanh chóng đạt đƣợc các mục tiêu kinh doanh. - Cho phép thay đổi: cho phép các tổ chức tạo mới các kiểu ứng dụng, dịch vụ và mô hình kinh doanh, để có thể tạo ra các luồng doanh thu mới và nhiều giá trị hơn từ mạng. SDN hứa hẹn khả năng ảo hóa hạ tầng CNTT. Cho đến nay, phần lớn nhất của cơ sở hạ tầng vẫn còn chƣa đƣợc ảo hóa là mạng.

Từ một quan điểm nhanh gọn, các doanh nghiệp sẽ muốn liên hiệp lại và di chuyển vào và ra khỏi đám mây riêng nội 8 bộ (private cloud) và công cộng (public cloud). Đây là nơi mà một công nghệ linh hoạt nhƣ SDN đặt dấu chấm hết. Chắc chắn, tất cả các hoạt động này nối với mạng và các sự cố có thể đƣợc thực hiện “bằng tay” nhƣ bây giờ. Nhƣng trong tƣơng lai, khung thời gian hạn hẹp của dự án sẽ thúc đẩy CNTT tìm cách hiệu quả hơn để cấu hình và quản lý mạng.

- Bên cạnh đó, SDN cũng tồn tại một số nhƣợc điểm so với mạng truyền thống nhƣ: - Vấn đề đầu tiên là bảo mật, các hacker có thể lợi dụng lỗ hổng phần mềm để tấn công. Nếu hacker có thể tấn công vào hệ thống, chúng có thể truy cập các thiết lập và thay đổi chúng bất cứ ở nơi đâu, tại thời điểm nào, và chúng có thể truy cập bất kỳ tập tin đƣợc mã hóa nào miễn là nó ở trong mạng. Đối với mạng truyền thống thì điều này không thẻ xảy ra bởi để có thể truy cập vào mạng ta phải có quyền truy cập vào phần cứng của nó. Hầu hết các doanh nghiệp chỉ cho phép một số cá nhân đƣợc quyền đó bởi vậy hệ thống sẽ an toàn và ít có khả năng bị truy cập bởi các hacker.

- Thứ hai đó là quá trình triển khai SDN không thể hoàn thiện trong chốc lát mà nó phải theo từng bƣớc một. Chúng ta không thể một lúc thay thế toàn bộ các thiết bị hiện có thành OpenFlow switch đƣợc bởi vì điều đó rất tốn kém. - Thứ ba, SDN là một kiến trúc mạng kiểu mới, các giao thức tƣơng tác giữa các controller với nhau còn chƣa đƣợc phát triển toàn diện nên việc phát triển SDN trên phạm vi toàn cầu vẫn còn nhiều hạn chế.