Các Giải Pháp Kỹ Thuật Mạng Điều Khiển Bằng Phần Mềm Chống Tấn Công DDoS

Tài liệu nghiên cứu Cá giải pháp kỹ thuật mạng điều khiển bằng phần mềm chống tấn công từ chối dịch vụ phân tán, tổng hợp lý thuyết và thực hành, cung cấp kiến thức chuyên sâu về

• Tác giả: Nguyễn Ngọc Thanh
• Người hướng dẫn: PGS. Trương Thu Hương
• Trường học: Trường Đại Học Bách Khoa Hà Nội
• Chuyên ngành: Kỹ Thuật Viễn Thông
• Đề tài: Giải Pháp Kỹ Thuật Mạng Điều Khiển Bằng Phần Mềm Chống Tấn Công DDoS
• Loại tài liệu: Luận Văn Thạc Sĩ
• Năm xuất bản: 2019
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• 1. CHƯƠNG 1: CƠ SỞ LÝ THUYẾT VỀ AN NINH MẠNG VÀ TẤN CÔNG DOS/DDOS
• 1.1. Cơ sở lý thuyết về an ninh mạng hiện nay
• 1.2. Cơ sở lý thuyết về tấn công DDoS
• 1.3. Kết luận chương I
• 2. CHƯƠNG 2: SỬ DỤNG KIẾN TRÚC MẠNG OPENFLOW/SDN TRONG PHÁT HIỆN VÀ GIẢM THIỂU TẤN CÔNG DDOS DẠNG TCP SYN FLOOD
• 2.1. Cơ sở lý thuyết về kiến trúc mạng OpenFlow/SDN
• 2.1.1. Giao thức OpenFlow
• 2.1.2. Lý do và thuận lợi khi sử dụng kiến trúc mạng OpenFlow/SDN
• 2.1.2.1. Lý do sử dụng kiến trúc mạng OpenFlow/SDN
• 2.1.2.2. Thuận lợi khi sử dụng kiến trúc mạng OpenFlow/SDN
• 2.1.3. Một số đặc tính kỹ thuật của OpenFlow Switch
• 2.1.4. Nguyên lý hoạt động của OFS
• 2.2. Đề xuất giải pháp kiến trúc mạng OpenFlow/SDN trong phát hiện và giảm thiểu tấn công DDoS
• 2.2.1. Module thu thập dữ liệu
• 2.2.2. Module phát hiện tấn công
• 2.2.3. Module hành động
• 2.2.4. Cơ chế hoạt động của giải pháp kiến trúc mạng OpenFlow/SDN trong phát hiện và giảm thiểu tấn công DDoS
• 2.3. Kết luận chương II
• 3. CHƯƠNG 3: HỆ THỐNG THỬ NGHIỆM, KẾT QUẢ ĐẠT ĐƯỢC VÀ ĐỊNH HƯỚNG PHÁT TRIỂN
• 3.1. Hệ thống thử nghiệm
• 3.1.1. Bộ điều khiển Floodlight
• 3.1.2. Công cụ tấn công Bonesi
• 3.1.3. Phần mềm Wireshark
• 3.1.4. TCPreplay - Transmission Control Protocol Replay
• 3.2. Kết quả đạt được và đánh giá kết quả
• 3.2.1. Hệ thống thử nghiệm
• 3.2.2. Đánh giá kết quả
• 3.3. Kết luận chương và định hướng phát triển
• KẾT LUẬN VÀ KIẾN NGHỊ
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Tấn Công DDoS Thách Thức và Giải Pháp

Tấn công từ chối dịch vụ phân tán (DDoS) ngày càng trở nên tinh vi và khó lường, gây ra những thách thức lớn cho các nhà quản lý mạng. Các cuộc tấn công DDoS có thể làm tê liệt các máy chủ, mạng lưới, và thậm chí cả các hệ thống lớn. Gần đây, TCP SYN Flood nổi lên như một dạng tấn công DDoS phổ biến, lợi dụng quy trình bắt tay ba bước để làm cạn kiệt tài nguyên của máy chủ. Một cuộc tấn công TCP SYN Flood cường độ cao có thể đạt tốc độ lên đến 60 Gbps và 150 Gbps. Các biện pháp phòng thủ truyền thống thường không đủ hiệu quả để đối phó với sự phức tạp và quy mô của các cuộc tấn công này. Do đó, cần có những giải pháp kỹ thuật tiên tiến hơn để phát hiện và giảm thiểu tấn công DDoS.

1.1. Các loại tấn công DDoS phổ biến hiện nay

Các cuộc tấn công DDoS có thể được phân loại dựa trên nhiều yếu tố, bao gồm giao thức tấn công, mục tiêu tấn công, và phương pháp tấn công. Một số loại tấn công DDoS phổ biến bao gồm TCP SYN Flood, UDP Flood, HTTP Flood, và ICMP Flood. Mỗi loại tấn công có đặc điểm và cách thức hoạt động riêng, đòi hỏi các biện pháp phòng thủ khác nhau. Theo tài liệu gốc, TCP SYN Flood lợi dụng quá trình bắt tay ba bước của TCP để làm cạn kiệt tài nguyên của máy chủ.

1.2. Tác động của tấn công DDoS đối với doanh nghiệp

Tấn công DDoS có thể gây ra những thiệt hại nghiêm trọng cho doanh nghiệp, bao gồm gián đoạn dịch vụ, mất doanh thu, tổn hại uy tín, và chi phí phục hồi. Các cuộc tấn công DDoS có thể làm tê liệt các trang web thương mại điện tử, các dịch vụ ngân hàng trực tuyến, và các ứng dụng quan trọng khác. Ngoài ra, các cuộc tấn công DDoS còn có thể được sử dụng để che giấu các hoạt động tấn công khác, chẳng hạn như xâm nhập hệ thống và đánh cắp dữ liệu.

II. Tại Sao Mạng SDN Là Giải Pháp Chống Tấn Công DDoS

Mạng SDN (Software-Defined Networking) cung cấp một cách tiếp cận mới để quản lý và kiểm soát mạng, tách biệt mặt phẳng điều khiển khỏi mặt phẳng dữ liệu. Điều này cho phép các nhà quản lý mạng có thể lập trình mạng một cách linh hoạt và tập trung, tạo điều kiện cho việc triển khai các giải pháp bảo mật hiệu quả hơn. SDN có khả năng tự động hóa phản ứng DDoS, điều phối chính sách bảo mật tập trung, và cung cấp khả năng elasticity mạng để đối phó với các cuộc tấn công quy mô lớn. Giao thức OpenFlow đóng vai trò quan trọng trong việc cho phép bộ điều khiển SDN tương tác trực tiếp với các thiết bị mạng.

2.1. Ưu điểm của kiến trúc SDN trong bảo mật mạng

Kiến trúc SDN bảo mật mang lại nhiều ưu điểm so với các kiến trúc mạng truyền thống, bao gồm khả năng giám sát lưu lượng mạng tập trung, khả năng triển khai các chính sách bảo mật linh hoạt, và khả năng phản ứng nhanh chóng với các mối đe dọa. SDN cũng cho phép các nhà quản lý mạng có thể sử dụng các công cụ phân tích dữ liệu lớn (Big data analytics) để phát hiện các dấu hiệu bất thường trong lưu lượng mạng và ngăn chặn các cuộc tấn công trước khi chúng gây ra thiệt hại.

2.2. Giao thức OpenFlow và vai trò trong mạng SDN

Giao thức OpenFlow là một giao thức truyền thông cho phép bộ điều khiển SDN tương tác trực tiếp với các thiết bị mạng. OpenFlow cho phép bộ điều khiển có thể thêm, sửa đổi, và xóa các quy tắc định tuyến trên các thiết bị mạng, cho phép các nhà quản lý mạng có thể điều khiển luồng lưu lượng mạng một cách chi tiết. Tài liệu gốc đề cập đến việc giao thức OpenFlow cho phép bộ điều khiển truy cập trực tiếp và điều khiển lớp chuyển tiếp (thiết bị mạng).

2.3. Elasticity mạng và cân bằng tải thông minh trong SDN

Elasticity mạng là khả năng của mạng có thể tự động điều chỉnh tài nguyên để đáp ứng với sự thay đổi của tải. Trong bối cảnh DDoS, elasticity mạng cho phép mạng có thể tự động mở rộng băng thông và tài nguyên để đối phó với lưu lượng tấn công, đảm bảo rằng các dịch vụ hợp pháp vẫn có thể hoạt động. Cân bằng tải thông minh giúp phân phối lưu lượng mạng một cách đồng đều trên các máy chủ, giảm thiểu nguy cơ quá tải và cải thiện hiệu suất tổng thể của hệ thống.

III. Giải Pháp SDN Chống DDoS Phát Hiện và Giảm Thiểu Hiệu Quả

Giải pháp SDN chống DDoS tập trung vào việc phát hiện và giảm thiểu các cuộc tấn công DDoS bằng cách sử dụng các khả năng của mạng SDN. Giải pháp này bao gồm các module thu thập dữ liệu, module phát hiện tấn công, và module hành động. Module thu thập dữ liệu thu thập thông tin về lưu lượng mạng từ các thiết bị OpenFlow. Module phát hiện tấn công sử dụng các thuật toán phân tích lưu lượng để phát hiện các dấu hiệu bất thường, chẳng hạn như lưu lượng tăng đột biến hoặc các mẫu lưu lượng tấn công. Module hành động thực hiện các biện pháp giảm thiểu để ngăn chặn hoặc giảm thiểu tác động của cuộc tấn công, chẳng hạn như chặn lưu lượng tấn công hoặc chuyển hướng lưu lượng hợp pháp.

3.1. Phân tích lưu lượng mạng thời gian thực trong SDN

Phân tích lưu lượng mạng thời gian thực là một thành phần quan trọng của giải pháp SDN chống DDoS. Bằng cách phân tích lưu lượng mạng trong thời gian thực, các nhà quản lý mạng có thể phát hiện các dấu hiệu bất thường và phản ứng nhanh chóng với các cuộc tấn công. Các công cụ phân tích lưu lượng mạng có thể sử dụng nhiều kỹ thuật khác nhau, chẳng hạn như phân tích thống kê, phân tích hành vi, và học máy, để phát hiện các cuộc tấn công.

3.2. Hệ thống phát hiện xâm nhập IDS dựa trên SDN

Một hệ thống phát hiện xâm nhập (IDS) dựa trên SDN có thể được sử dụng để phát hiện các cuộc tấn công DDoS bằng cách giám sát lưu lượng mạng và so sánh nó với các mẫu tấn công đã biết. Khi một cuộc tấn công được phát hiện, IDS có thể gửi thông báo cho bộ điều khiển SDN, bộ điều khiển sau đó có thể thực hiện các biện pháp giảm thiểu để ngăn chặn cuộc tấn công.

3.3. Tường lửa ảo chống DDoS trong môi trường SDN

Tường lửa ảo chống DDoS có thể được triển khai trong môi trường SDN để bảo vệ các ứng dụng web và các dịch vụ khác khỏi các cuộc tấn công DDoS. Tường lửa ảo có thể chặn lưu lượng tấn công dựa trên các quy tắc được xác định trước hoặc bằng cách sử dụng các kỹ thuật phân tích lưu lượng tiên tiến.

IV. Ứng Dụng Thực Tế Kết Quả Nghiên Cứu Về SDN Chống DDoS

Nhiều nghiên cứu và triển khai thực tế đã chứng minh hiệu quả của các giải pháp SDN chống DDoS. Các nghiên cứu cho thấy rằng SDN có thể giảm đáng kể tác động của các cuộc tấn công DDoS bằng cách phát hiện nhanh chóng các cuộc tấn công và thực hiện các biện pháp giảm thiểu hiệu quả. Các ứng dụng thực tế bao gồm bảo vệ các trang web thương mại điện tử, các dịch vụ ngân hàng trực tuyến, và các mạng cơ sở hạ tầng quan trọng. Kết quả thực nghiệm cho thấy giải pháp có thể giảm đáng kể số lượng kết nối dở dang và FlowEntry trong quá trình diễn ra tấn công.

4.1. Giảm thiểu tấn công DDoS lớp 7 với SDN

Giảm thiểu tấn công DDoS lớp 7 là một thách thức lớn, vì các cuộc tấn công này thường sử dụng các giao thức ứng dụng để che giấu lưu lượng tấn công. SDN có thể được sử dụng để phát hiện và giảm thiểu các cuộc tấn công DDoS lớp 7 bằng cách phân tích lưu lượng ứng dụng và xác định các mẫu tấn công.

4.2. Bảo vệ ứng dụng web bằng SDN

Bảo vệ ứng dụng web khỏi các cuộc tấn công DDoS là một ứng dụng quan trọng của SDN. SDN có thể được sử dụng để chặn lưu lượng tấn công, chuyển hướng lưu lượng hợp pháp, và cung cấp các tính năng bảo mật khác để bảo vệ các ứng dụng web.

4.3. Kết quả thử nghiệm và đánh giá hiệu quả giải pháp SDN

Các kết quả thử nghiệm cho thấy rằng giải pháp SDN có thể giảm đáng kể số lượng kết nối dở dang (HOC) của các luồng tấn công trên máy chủ và số lượng FlowEntry của các luồng tấn công trên OFS. Điều này giúp máy chủ và các OFS vẫn đảm bảo tài nguyên để phục vụ các kết nối hợp lệ khi xảy ra tấn công. Theo tài liệu gốc, giải pháp làm giảm 76% tỷ lệ kết nối dở dang và 57% tỷ lệ Flow Entry.

V. Tương Lai Của Giải Pháp Mạng SDN Trong Chống Tấn Công DDoS

Tương lai của các giải pháp SDN chống DDoS hứa hẹn nhiều tiềm năng, với sự phát triển của các công nghệ mới như học máy, trí tuệ nhân tạo, và điện toán đám mây. Các công nghệ này có thể được sử dụng để phát hiện các cuộc tấn công DDoS một cách nhanh chóng và chính xác hơn, và để thực hiện các biện pháp giảm thiểu hiệu quả hơn. Hơn nữa, các giải pháp Cloud-based DDoS protection, On-premise DDoS protection, và Hybrid DDoS protection ngày càng trở nên phổ biến, cung cấp cho các doanh nghiệp nhiều lựa chọn để bảo vệ mạng của họ.

5.1. Machine learning phát hiện DDoS trong mạng SDN

Machine learning có thể được sử dụng để phát hiện các cuộc tấn công DDoS bằng cách học các mẫu lưu lượng mạng bình thường và xác định các dấu hiệu bất thường. Các thuật toán machine learning có thể được đào tạo trên dữ liệu lưu lượng mạng lịch sử để phát hiện các cuộc tấn công DDoS với độ chính xác cao.

5.2. Threat intelligence và API bảo mật mạng trong SDN

Threat intelligence là thông tin về các mối đe dọa an ninh mạng, bao gồm các cuộc tấn công DDoS. Threat intelligence có thể được sử dụng để cải thiện khả năng phát hiện và ngăn chặn các cuộc tấn công DDoS. API bảo mật mạng cho phép các ứng dụng và dịch vụ khác có thể tương tác với các giải pháp bảo mật SDN.

5.3. Big data analytics cho bảo mật mạng SDN

Big data analytics có thể được sử dụng để phân tích lưu lượng mạng lớn và xác định các mẫu tấn công DDoS. Các công cụ big data analytics có thể giúp các nhà quản lý mạng hiểu rõ hơn về các cuộc tấn công DDoS và thực hiện các biện pháp giảm thiểu hiệu quả hơn.

VI. Kết luận SDN Giải Pháp Mạnh Mẽ Chống Tấn Công DDoS

Trong bối cảnh các cuộc tấn công DDoS ngày càng gia tăng về số lượng và mức độ tinh vi, SDN nổi lên như một giải pháp mạnh mẽ để bảo vệ mạng. Khả năng lập trình linh hoạt, khả năng giám sát tập trung, và khả năng phản ứng nhanh chóng của SDN cho phép các nhà quản lý mạng có thể phát hiện và giảm thiểu các cuộc tấn công DDoS một cách hiệu quả. Việc tiếp tục nghiên cứu và phát triển các giải pháp SDN chống DDoS sẽ đóng vai trò quan trọng trong việc đảm bảo an ninh mạng trong tương lai.

6.1. Tổng kết ưu điểm của SDN trong phòng chống DDoS

Các ưu điểm chính của SDN trong phòng chống DDoS bao gồm khả năng giám sát lưu lượng mạng tập trung, khả năng triển khai các chính sách bảo mật linh hoạt, khả năng phản ứng nhanh chóng với các mối đe dọa, và khả năng sử dụng các công cụ phân tích dữ liệu lớn để phát hiện các cuộc tấn công.

6.2. Hướng phát triển tiếp theo cho nghiên cứu SDN chống DDoS

Các hướng phát triển tiếp theo cho nghiên cứu SDN chống DDoS bao gồm việc sử dụng các công nghệ mới như học máy, trí tuệ nhân tạo, và điện toán đám mây để cải thiện khả năng phát hiện và ngăn chặn các cuộc tấn công. Ngoài ra, cần tiếp tục nghiên cứu và phát triển các giải pháp bảo mật SDN có thể được triển khai một cách dễ dàng và hiệu quả trong các môi trường mạng khác nhau.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh an ninh mạng ngày càng trở nên phức tạp, các cuộc tấn công từ chối dịch vụ (DoS) và đặc biệt là tấn công từ chối dịch vụ phân tán (DDoS) đã gây ra thiệt hại nghiêm trọng cho các tổ chức và doanh nghiệp. Theo báo cáo của Kaspersky Lab quý 2 năm 2018, Trung Quốc chiếm tới 59,03% tổng số các cuộc tấn công DDoS trên thế giới, trong khi Việt Nam đứng thứ 9 về số lượng các cuộc tấn công DDoS. Một dạng tấn công phổ biến và nguy hiểm nhất hiện nay là TCP SYN Flood, với tốc độ tấn công lên đến 60 Gbps và 150 Gbps theo Verisign năm 2016. Tấn công này lợi dụng quá trình bắt tay ba bước trong thiết lập kết nối TCP để chiếm dụng tài nguyên máy chủ, gây ra tình trạng kết nối dở dang (Half-Open Connection - HOC) và làm cạn kiệt tài nguyên hệ thống.

Mục tiêu nghiên cứu của luận văn là phát triển các giải pháp kỹ thuật mạng điều khiển bằng phần mềm (Software Defined Networking - SDN) sử dụng giao thức OpenFlow nhằm phát hiện và giảm thiểu tấn công DDoS dạng TCP SYN Flood. Phạm vi nghiên cứu tập trung vào các máy chủ dịch vụ của các doanh nghiệp, tổ chức tại Việt Nam trong giai đoạn từ năm 2017 đến 2019. Việc ứng dụng SDN trong phát hiện và giảm thiểu tấn công DDoS không chỉ giúp nâng cao hiệu quả bảo vệ hệ thống mà còn giảm thiểu chi phí vận hành và tăng tính linh hoạt trong quản lý mạng.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên hai lý thuyết chính: an ninh mạng và kiến trúc mạng điều khiển bằng phần mềm (SDN).

1. An ninh mạng và tấn công DoS/DDoS: Tấn công DoS nhằm làm gián đoạn dịch vụ hợp pháp bằng cách chiếm dụng tài nguyên mạng. DDoS là sự phát triển của DoS với phạm vi tấn công rộng hơn, sử dụng nhiều máy tính phân tán để gửi lưu lượng tấn công đồng thời. TCP SYN Flood là một dạng DDoS lợi dụng quá trình bắt tay ba bước của TCP để tạo ra các kết nối dở dang, làm cạn kiệt tài nguyên máy chủ.

2. Kiến trúc mạng SDN và giao thức OpenFlow: SDN tách biệt mặt phẳng điều khiển và mặt phẳng dữ liệu, cho phép điều khiển mạng linh hoạt thông qua phần mềm điều khiển tập trung (Controller). Giao thức OpenFlow là tiêu chuẩn cho phép Controller truy cập và điều khiển các thiết bị chuyển mạch (OpenFlow Switch - OFS). Các khái niệm chính bao gồm Flow Table, Flow Entry, Match Fields, Instructions Set và Counters, giúp quản lý luồng dữ liệu mạng một cách chi tiết và hiệu quả.

Phương pháp nghiên cứu

Luận văn sử dụng phương pháp nghiên cứu kết hợp:

• Phương pháp lý luận: Tổng hợp, phân tích tài liệu, sách báo và các công trình nghiên cứu liên quan đến tấn công DDoS, SDN và OpenFlow.
• Phương pháp thực nghiệm: Xây dựng hệ thống thử nghiệm trên nền tảng OpenFlow/SDN với bộ điều khiển Floodlight, sử dụng công cụ tấn công Bonesi, phần mềm phân tích Wireshark và TCPreplay để mô phỏng và đánh giá hiệu quả giải pháp.
• Phương pháp phân tích dữ liệu: Thu thập dữ liệu lưu lượng mạng thực tế từ bộ dữ liệu CAIDA 2007, phân tích các thông số như số lượng gói tin trên từng luồng, khoảng thời gian đến giữa các luồng để phát hiện dấu hiệu tấn công.
• Phương pháp lấy ý kiến chuyên gia: Tham khảo và nhận góp ý từ PGS. Trương Thu Hương trong quá trình nghiên cứu và phát triển giải pháp.

Cỡ mẫu nghiên cứu bao gồm các luồng dữ liệu mạng trong các khoảng thời gian 6 giây, được phân tích để xác định các đặc trưng của lưu lượng bình thường và lưu lượng tấn công. Phương pháp phân tích chính là thuật toán logic mờ (Fuzzy Logic) để đánh giá mức độ tấn công dựa trên hai thông số chính.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Phân biệt lưu lượng tấn công và bình thường qua số lượng gói tin trên từng luồng: Trong lưu lượng bình thường, số lượng gói tin trên một luồng tập trung chủ yếu từ 4 đến 5 gói, chiếm hơn 50%. Trong khi đó, lưu lượng tấn công có tới 88,5% luồng chỉ có một gói tin duy nhất, cho thấy sự khác biệt rõ rệt trong đặc tính lưu lượng.

2. Khoảng thời gian đến giữa các luồng: Dữ liệu bình thường phân bố đều trong các khoảng thời gian đến, với chỉ 4,8% luồng đến trong khoảng 0-0,2 ms. Ngược lại, trong lưu lượng tấn công, có tới 94% luồng đến trong khoảng thời gian rất ngắn này, cho thấy sự tập trung cao độ của các gói tin tấn công.

3. Hiệu quả giải pháp phát hiện và giảm thiểu tấn công: Giải pháp dựa trên SDN và thuật toán Fuzzy Logic đã giảm 76% số lượng kết nối dở dang (HOC) trên máy chủ và giảm 57% số lượng Flow Entry trên OpenFlow Switch trong thời gian tấn công. Điều này giúp máy chủ và thiết bị mạng duy trì tài nguyên phục vụ các kết nối hợp lệ.

4. Tính linh hoạt và khả năng mở rộng của giải pháp: Việc sử dụng kiến trúc mạng điều khiển bằng phần mềm cho phép triển khai các chính sách bảo mật nhanh chóng, dễ dàng điều chỉnh và mở rộng mà không cần thay đổi phần cứng mạng.

Thảo luận kết quả

Kết quả phân tích lưu lượng mạng cho thấy hai thông số số lượng gói tin trên từng luồng và khoảng thời gian đến giữa các luồng là những chỉ số quan trọng để phân biệt lưu lượng tấn công và bình thường. Việc áp dụng thuật toán Fuzzy Logic giúp xử lý các dữ liệu không chắc chắn và đưa ra quyết định linh hoạt về mức độ tấn công, thay vì chỉ có hai trạng thái có hoặc không tấn công.

So với các giải pháp truyền thống như SYN Cookies hay SYN Proxy, giải pháp SDN/OpenFlow không chỉ giảm tải cho máy chủ mà còn giảm áp lực xử lý trên các thiết bị mạng. Ngoài ra, việc tập trung điều khiển qua Controller giúp quản lý mạng hiệu quả hơn, giảm thiểu chi phí vận hành và tăng khả năng phản ứng nhanh với các cuộc tấn công mới.

Dữ liệu có thể được trình bày qua biểu đồ phân bố số lượng gói tin trên từng luồng và biểu đồ tần suất khoảng thời gian đến giữa các luồng, giúp trực quan hóa sự khác biệt giữa lưu lượng bình thường và tấn công. Bảng so sánh tỷ lệ giảm kết nối dở dang và Flow Entry trước và sau khi áp dụng giải pháp cũng minh chứng hiệu quả của nghiên cứu.

Đề xuất và khuyến nghị

1. Triển khai hệ thống giám sát lưu lượng mạng dựa trên SDN: Các tổ chức nên áp dụng kiến trúc mạng điều khiển bằng phần mềm để thu thập và phân tích lưu lượng theo thời gian thực, giúp phát hiện sớm các dấu hiệu tấn công DDoS. Thời gian triển khai dự kiến trong vòng 6 tháng, do bộ phận an ninh mạng thực hiện.

2. Áp dụng thuật toán Fuzzy Logic trong phân tích lưu lượng: Sử dụng thuật toán logic mờ để đánh giá mức độ tấn công dựa trên các thông số lưu lượng, giúp giảm thiểu sai sót trong phát hiện và tăng tính linh hoạt trong xử lý. Cần đào tạo nhân sự kỹ thuật trong vòng 3 tháng để vận hành hiệu quả.

3. Tích hợp cơ chế tự động loại bỏ các luồng tấn công: Controller SDN cần được lập trình để tự động gửi lệnh xóa các Flow Entry và giải phóng kết nối dở dang trên máy chủ khi phát hiện tấn công, giảm thiểu tác động đến hệ thống. Khuyến nghị thực hiện trong vòng 4 tháng với sự phối hợp của đội ngũ phát triển phần mềm.

4. Phát triển dịch vụ bảo mật mạng chuyên biệt cho khách hàng thuê: Nhà cung cấp dịch vụ mạng có thể xây dựng Controller bảo mật riêng biệt để cung cấp dịch vụ phát hiện và giảm thiểu tấn công DDoS cho các doanh nghiệp, tổ chức có nhu cầu. Thời gian triển khai dự kiến 1 năm, bao gồm nghiên cứu, thử nghiệm và vận hành thực tế.

Đối tượng nên tham khảo luận văn

1. Nhà quản trị mạng và chuyên gia an ninh mạng: Luận văn cung cấp kiến thức chuyên sâu về tấn công DDoS và giải pháp SDN, giúp họ nâng cao khả năng phát hiện và ứng phó với các cuộc tấn công mạng phức tạp.

2. Các nhà cung cấp dịch vụ Internet (ISP) và trung tâm dữ liệu: Thông tin về kiến trúc mạng SDN và giải pháp giảm thiểu tấn công giúp họ thiết kế hệ thống mạng linh hoạt, bảo vệ hạ tầng khỏi các cuộc tấn công TCP SYN Flood.

3. Các doanh nghiệp thương mại điện tử và tổ chức tài chính: Những đơn vị này là mục tiêu thường xuyên của tấn công DDoS, có thể áp dụng giải pháp để bảo vệ hệ thống máy chủ, đảm bảo dịch vụ liên tục và an toàn.

4. Nhà nghiên cứu và sinh viên ngành kỹ thuật viễn thông, an toàn thông tin: Luận văn là tài liệu tham khảo quý giá về ứng dụng SDN trong an ninh mạng, cung cấp cơ sở lý thuyết và thực nghiệm để phát triển các nghiên cứu tiếp theo.

Câu hỏi thường gặp

1. Tấn công TCP SYN Flood là gì và tại sao nó nguy hiểm?
   TCP SYN Flood là dạng tấn công DDoS lợi dụng quá trình bắt tay ba bước của TCP để tạo ra nhiều kết nối dở dang, chiếm dụng tài nguyên máy chủ. Nó nguy hiểm vì làm cạn kiệt bộ nhớ và CPU của máy chủ, khiến dịch vụ không thể phục vụ người dùng hợp pháp.

2. SDN và OpenFlow giúp phát hiện tấn công DDoS như thế nào?
   SDN tách biệt mặt phẳng điều khiển và dữ liệu, cho phép Controller tập trung thu thập và phân tích lưu lượng mạng theo thời gian thực. OpenFlow giúp điều khiển các thiết bị mạng để giám sát và xử lý các luồng dữ liệu, từ đó phát hiện và giảm thiểu tấn công hiệu quả.

3. Thuật toán Fuzzy Logic được sử dụng ra sao trong giải pháp?
   Thuật toán Fuzzy Logic xử lý các thông số lưu lượng như tỷ lệ luồng có một gói tin và khoảng thời gian đến giữa các luồng để đánh giá mức độ tấn công một cách linh hoạt, không chỉ đơn thuần là có hoặc không có tấn công, giúp đưa ra các hành động phù hợp.

4. Giải pháp này có thể áp dụng cho các hệ thống mạng hiện tại không?
   Có, giải pháp dựa trên SDN/OpenFlow có thể tích hợp vào các hệ thống mạng hiện đại hỗ trợ giao thức OpenFlow, giúp nâng cao khả năng bảo vệ mà không cần thay đổi phần cứng mạng hiện có.

5. Làm thế nào để giảm thiểu tác động của tấn công TCP SYN Flood trên máy chủ?
   Ngoài việc sử dụng giải pháp SDN để phát hiện và loại bỏ luồng tấn công, các kỹ thuật như SYN Cookies, tăng backlog TCP, và giới hạn số lượng kết nối dở dang cũng được áp dụng để giảm tải cho máy chủ.

Kết luận

• Luận văn đã nghiên cứu và phát triển giải pháp kỹ thuật mạng điều khiển bằng phần mềm SDN sử dụng giao thức OpenFlow để phát hiện và giảm thiểu tấn công DDoS dạng TCP SYN Flood.
• Hai thông số chính được sử dụng để phát hiện tấn công là tỷ lệ luồng có một gói tin và khoảng thời gian đến giữa các luồng, được xử lý bằng thuật toán Fuzzy Logic.
• Giải pháp đã chứng minh hiệu quả với việc giảm 76% kết nối dở dang trên máy chủ và 57% Flow Entry trên OpenFlow Switch trong thử nghiệm thực tế.
• Kiến trúc SDN giúp tăng tính linh hoạt, giảm chi phí vận hành và nâng cao khả năng bảo vệ mạng trước các cuộc tấn công phức tạp.
• Đề xuất các bước tiếp theo bao gồm triển khai thực tế tại các doanh nghiệp, mở rộng nghiên cứu với nhiều thông số hơn và phát triển dịch vụ bảo mật mạng chuyên biệt.

Các tổ chức và nhà quản trị mạng nên cân nhắc áp dụng giải pháp SDN/OpenFlow để nâng cao khả năng phòng chống tấn công DDoS. Để biết thêm chi tiết và hỗ trợ triển khai, liên hệ với nhóm nghiên cứu hoặc các chuyên gia an ninh mạng có kinh nghiệm trong lĩnh vực này.

Trích đoạn nội dung tài liệu

phần mở đầu, mục lục, kết luận, tài liệu tham khảo luận văn bao gồm ba chƣơng: Chƣơng 1: Cơ sở lý thuyết về an ninh mạng và tấn công DoS/DDoS; Chƣơng 2: Sử dụng kiến trúc mạng OpenFlow/SDN trong phát hiện và giảm thiểu tấn công DDoS dạng TCP SYN Flood; Chƣơng 3: Hệ thống thử nghiệm, kết quả đạt đƣợc và định hƣớng phát triển. Những nội dung trong các chƣơng sẽ đƣợc trình bày chi tiết, cụ thể trong các phần tiếp theo của luận văn. 12 CHƢƠNG 1 - CƠ SỞ LÝ THUYẾT VỀ AN NINH MẠNG VÀ TẤN CÔNG DOS/DDOS 1.1 Cơ sở lý thuyết về an ninh mạng hiện nay Theo Báo cáo an ninh website của CyStack trong quý 3 năm 2018 [2] đã có 129.722 website trên thế giới bị tin tặc tấn công và chiếm quyền điều khiển. Nhƣ vậy, cứ mỗi phút trôi qua lại có 1 website bị tin tặc kiểm soát.

Con số này ở tháng 7 là 43.405 ở tháng 8 và tăng mạnh lên 45.207 vào tháng 9. Vào thời điểm cuối tháng 9/2018, có đến 21,48% website bị tấn công ở tháng 7 vẫn chƣa đƣợc khôi phục nguyên trạng; số liệu ở tháng 8 và tháng 9 lần lƣợt là 33,87% và 44,08%. Cho đến thời điểm tháng 10/2018, trong tổng số 41.405 website bị tấn công vào tháng 8/2018, vẫn còn tới 12.102 website chƣa đƣợc khắc phục. Điều này cho thấy rất nhiều chủ sở hữu đã không thực sự quan tâm đến bảo mật cho website của mình, không biết mình đã bị tấn công hoặc không biết cách xử lý sự cố.

Trong các dạng tấn công DDoS, hiện nay các tội phạm mạng tiếp tục xu hƣớng tìm kiếm các lỗ hổng an toàn thông tin mới trên các giao thức truyền tải, trong thời gian tới sẽ có thêm nhiều các phƣơng pháp tấn công tinh vi khác giúp phát triển tấn công DDoS. Vị trí hàng đầu về số lƣợng các cuộc tấn công DDoS trong quý 2 năm 2018 [23] thuộc về Trung Quốc chiếm tới 59,03% trong tổng số các cuộc tấn công, Hồng Kông (17,13%) ở vị trí thứ 2, đồng thời cũng nằm trong top 3 có số lƣợng mục tiêu tấn công riêng biệt nhiều nhất với 12,88%, chỉ sau Trung Quốc (52,36%) và Mỹ (17,75%). Một số trƣờng hợp đáng chú ý trong quý 2 năm 2018 là một botnet đã đƣợc hình thành từ 50.000 camera giám sát ở Nhật Bản. Công ty đƣờng sắt của Đan Mạch cũng đã bị tấn công DDoS và phải mất vài ngày khắc phục mới có thể phục vụ trở lại.

Các cuộc tấn công này đƣợc cho rằng có động cơ chính trị. Tình hình an ninh mạng tại Việt Nam; Việt Nam lọt vào top 20 quốc gia có số lƣợng website bị tấn công lớn nhất thế giới trong quý 3 năm 2018, theo Báo cáo an ninh website quý 3 năm 2018 bởi CyStack [2]. Ở vị trí thứ 19, Việt Nam có 1.183 13 website bị tấn công, trong đó website doanh nghiệp là đối tƣợng của đại đa số các tin tặc. Cụ thể: 71,51% số cuộc tấn công nhằm vào các website doanh nghiệp, theo sau bởi website thƣơng mại điện tử với 13,86%.

Trong bảng xếp hạng các quốc gia có lƣợng tấn công DDoS lớn nhất trên thế giới của quý 2 năm 2018 [23] do Kaspersky Lab thống kê thì Việt Nam đang đứng ở vị trí thứ 9. Qua đó cho thấy Việt Nam đang chịu rất nhiều cuộc tấn công và gây ảnh hƣởng rất nhiều tới hoạt động của các công ty và làm thiệt hại rất lớn về kinh tế. 1 Bảng xếp hạng các quốc gia có lƣợng tấn công DDoS lớn nhất trên thế giới của quý 2 năm 2018 do Kaspersky Lab thống kê 14 1.2 Cơ sở lý thuyết về tấn công DDoS Trong phần này, tôi tìm hiểu lý thuyết tấn công DoS/DDoS và tập trung vào dạng tấn công TCP SYN Flood từ đó thấy đƣợc mối nguy hại nặng nề mà dạng tấn công này gây ra.1 Tổng quan Tấn công từ chối dịch vụ (Denial of Service - DoS) là dạng tấn công nhằm ngăn chặn ngƣời dùng hợp pháp truy nhập tài nguyên mạng. DoS có thể làm ngƣng hoạt động của một máy tính, một máy chủ, một mạng nội bộ thậm chí cả một hệ thống mạng rất lớn.

Về bản chất thực sự của DoS, kẻ tấn công sẽ chiếm dụng một lƣợng lớn tài nguyên mạng nhƣ băng thông, bộ nhớ, cơ sở dữ liệu. và làm mất khả năng xử lý các yêu cầu dịch vụ từ các máy khách hàng khác. Tấn công từ chối dịch vụ phân tán (Distributed Denial of Service - DDoS) là dạng phát triển ở mức độ cao của tấn công DoS với phạm vi tấn công rất lớn, đƣợc phát sinh cùng một lúc từ rất nhiều máy tính nằm rải rác trên mạng Internet. Kể từ cuộc tấn công DDoS đầu tiên đƣợc xác nhận vào năm 1999 [5], nhiều cuộc tấn công DDoS gây ngập lụt đã đƣợc thực hiện vào hệ thống mạng của các công ty và các tổ chức.

Hầu hết các cuộc tấn công DDoS gây ngập lụt cho đến hiện nay đều tập trung vào làm ngắt quãng hoặc ngừng dịch vụ chạy trên hệ thống nạn nhân. Hậu quả là làm giảm doanh thu, tăng chi phí phòng chống và phục hồi dịch vụ. Ví dụ, vào tháng 12 năm 2010, một nhóm tin tặc có tên là “Anonymous” đã đạo diễn một loạt các cuộc tấn công DDoS gây ngừng hoạt động các trang web của các tổ chức tài chính nhƣ Mastercard, Visa International, Paypal và PostFinance. Tháng 9 năm 2012, một đợt tấn công DDoS rất lớn do nhóm tin tặc “Izz ad-Din al-Qassam Cyber Fighters” thực hiện gây ngắt quãng hoặc ngừng hoạt động các trang web ngân hàng trực tuyến của 9 ngân hàng lớn của Mỹ [20].

Các dạng tấn công DDoS đƣợc thực hiện ngày một nhiều với quy mô ngày một lớn và tinh vi hơn nhờ sự phát triển của các kỹ thuật tấn công và sự lan tràn của các công cụ tấn công. Động cơ của tin tặc tấn công DDoS khá đa dạng. Tuy nhi ên, có thể chia các dạng tấn công DDoS dựa trên động cơ của tin tặc thành một số loại chính [20]: 15 - Nhằm giành đƣợc các lợi ích tài chính, kinh tế: Tin tặc tấn công DDoS thuộc loại này thƣờng có kỹ thuật tinh vi và nhiều kinh nghiệm tấn công, chúng luôn là mối đe dọa thƣờng trực đối với các công ty, tập đoàn lớn. Các tấn công DDoS nhằm giành các lợi ích tài chính là những tấn công nguy hiểm và khó phòng chống nhất.

- Để trả thù: Tin tặc tấn công DDoS thuộc loại này thƣờng là những cá nhân bất mãn và họ thực hiện tấn công để trả đũa những sự việc mà họ cho là bất công. - Gây chiến tranh trên không gian mạng: Tin tặc tấn công DDoS thuộc loại này thƣờng thuộc về các tổ chức quân sự hoặc khủng bố của một nƣớc thực hiện tấn công vào các hệ thống trọng yếu của một nƣớc khác vì mục đích chính trị. Các đích tấn công thƣờng gặp là các hệ thống mạng của các cơ quan chính phủ, các tổ chức tài chính ngân hàng, hệ thống cung cấp điện nƣớc và các nhà cung cấp dịch vụ viễn thông. Tin tặc loại này thƣờng đƣợc đào tạo tốt và đƣợc sử dụng nguồn lực mạnh phục vụ tấn công trong thời gian dài.

Hậu quả của dạng tấn công này thƣờng rất lớn, gây ngƣng trệ nhiều dịch vụ và có thể gây thiệt hại lớn về kinh tế cho một quốc gia.2 Phân loại Hình 1. 2 Phân loại tấn công DDoS Nhìn chung, có nhiều phƣơng pháp phân loại tấn công DDoS, tuy nhiên nếu nhìn vào mục đích tấn công, có thể chia tấn công DDoS thành hai loại: (1) Tấn công 16 vào băng thông kết nối là loại tấn công dùng những cách thức khác nhau chiếm hết tài nguyên băng thông mạng gây tắc nghẽn cho ngƣời dùng hợp pháp; (2) Tấn công vào tài nguyên lƣu trữ, xử lý (RAM, CPU) của hệ thống là loại tấn công làm quá tải các tài nguyên của hệ thống, thƣờng gặp nhất là tràn bộ đệm, đầy ổ đĩa hoặc chiếm hết khả năng xử lý của máy chủ [6]. Trong phạm vi luận văn này tôi tập trung tìm hiểu và nghiên cứu dạng tấn công TCP SYN Flood. Các kẻ tấn công gửi hàng loạt các gói tin TCP có cờ SYN yêu cầu kết nối tới máy chủ.

Máy chủ sau đó gửi lại gói tin TCP có cờ SYN-ACK chấp nhận kết nối và đồng thời trên máy chủ cần dành một lƣợng tài nguyên (RAM, CPU) để phục vụ cho kết nối này. Tuy nhiên, các máy gửi gói tin SYN sẽ không gửi lại gói tin ACK, dẫn đến máy chủ phải mất một khoảng thời gian dành bộ nhớ sau đó mới thực hiện xóa kết nối này đi. Nhƣ vậy khi có nhiều kết nối giả mạo đến cùng lúc thì máy chủ phải cần rất nhiều tài nguyên để phục vụ và khi lƣợng tài nguyên này cạn kiệt thì máy chủ không còn khả năng đáp ứng lại - kết nối không đƣợc thực hiện [6]. Quá trình tấn công đƣợc thực hiện lợi dụng kẽ hở thiết lập kết nối truyền dẫn TCP, đó là quá trình bắt tay ba bƣớc nhƣ sau: Host A Host B Time In the Network Send SYN seq = x Receive SYN Send SYN seq = y, ACK x+1 Receive SYN + ACK Send ACK y +1 Receive ACK Hình 1.

3 Quá trình bắt tay ba bƣớc 17 - Bƣớc 1: Các máy Client (máy khách) sẽ gửi gói tin (packet có SYN = 1) tới máy chủ để yêu cầu kết nối với số thứ tự seq = x; - Bƣớc 2: Server (máy chủ) đáp ứng bằng cách gửi một thông báo nhận (SYN - ACK) với số thứ tự của SYN seq = y và số nhận ACK seq = x + 1. Server sẽ giành một phần tài nguyên hệ thống bộ nhớ đệm để nhận và truyền dữ liệu. Bƣớc 3: Client hoàn tất việc bắt tay ba bƣớc bằng cách gửi gói tin thông báo nhận (ACK) với số nhận y + 1. Các máy khách gửi gói tin có chứa cờ SYN yêu cầu kết nối.

Máy chủ nhận đƣợc gói tin, gửi gói tin thông báo SYN-ACK và chuyển sang trạng thái báo nhận SYN-RECEIVED. Sau đó, máy chủ chờ đợi để nhận gói tin TCP tiếp theo với trƣờng cờ ACK đƣợc bật. Khi đó, kết nối ở chế độ HOC (kết nối dở dang). Kết thúc quá trình bắt tay ba bƣớc, trên máy chủ chuyển sang trại thái thiết lập ESTABLISHED.

TCP SYN Flood là một dạng tấn công DDoS. Ở đây, kẻ tấn công gửi hàng loạt các yêu cầu SYN để ăn cắp tài nguyên máy chủ hay chính là lấp đầy trạng thái ở chế độ HOC nhiều nhất có thể [27]. Địa chỉ IP gửi yêu cầu có thể là địa chỉ IP giả.