Tổng quan luận án

Tính cấp thiết và khoảng trống nghiên cứu

Sự phát triển nhanh chóng của hệ thống mạng máy tính và các ứng dụng Internet đặt ra yêu cầu nâng cao hiệu quả hoạt động, bảo đảm chất lượng dịch vụ và an toàn thông tin. Lưu lượng mạng và tốc độ truy cập gia tăng kéo theo nguy cơ từ các cuộc tấn công mạng nguy hiểm, tiêu biểu là tấn công từ chối dịch vụ (DoS), tấn công từ chối dịch vụ phân tán (DDoS) và sự phát tán của sâu Internet quét không gian địa chỉ ("scanning worm"). Đặc trưng chung của các dạng tấn công này là sự xuất hiện của số lượng gói tin rất lớn trong khoảng thời gian rất ngắn.

Trong các nghiên cứu về phòng chống tấn công từ chối dịch vụ, quy trình thường được chia thành ba giai đoạn: đề phòng (trước tấn công), phát hiện và phòng chống (trong quá trình tấn công), và truy tìm nguồn gốc (hậu tấn công). Hầu hết các giải pháp hiện tại ở giai đoạn phát hiện chỉ kiểm tra sự tồn tại của luồng lưu lượng tấn công mà không xác định được đối tượng cụ thể gây ra nguy cơ. Ngược lại, kỹ thuật dò tìm đối tượng tấn công ("dò ngược") lại diễn ra ở giai đoạn hậu tấn công, đòi hỏi can thiệp vào các thiết bị định tuyến trên đường truyền, gây khó khăn khi triển khai trên diện rộng.

Xuất phát từ thực tế đó, bài toán đặt ra là cần một giải pháp vừa phát hiện nguy cơ tấn công, vừa xác định trực tiếp các đối tượng gây hại (Hot-IP) trong dòng gói tin IP thời gian thực, đặc biệt tại các hệ thống mạng trung gian của nhà cung cấp dịch vụ (ISP). Luận án lựa chọn phương pháp thử nhóm bất ứng biến (Non-Adaptive Group Testing) kết hợp với các kỹ thuật tính toán song song, kiến trúc phân tán và phương pháp sinh ma trận phân cách tường minh để giải quyết khoảng trống này.

Mục tiêu nghiên cứu

Luận án xác định mục tiêu tổng quát và 6 mục tiêu cụ thể như sau:

  • Mục tiêu tổng quát: Xây dựng giải pháp phát hiện các Hot-IP trên mạng máy tính bằng phương pháp thử nhóm bất ứng biến; sử dụng kết hợp một số kỹ thuật và công cụ toán học nhằm nâng cao hiệu quả phát hiện (thuật toán cải tiến, ma trận phân cách phù hợp, xử lý song song, kiến trúc phân tán); áp dụng giải pháp cho các bài toán an ninh mạng như phát hiện mục tiêu và nguồn phát DoS/DDoS, thiết bị hoạt động bất thường, nguồn phát tán sâu Internet và giám sát Hot-IP.
  • Các mục tiêu cụ thể:
    1. Nghiên cứu lý thuyết thử nhóm bất ứng biến để đề xuất giải pháp phát hiện các Hot-IP trên mạng.
    2. Đề xuất phương pháp xây dựng ma trận phân cách tường minh sao cho giảm chi phí tính toán và bộ nhớ khi sử dụng ma trận phân cách.
    3. Đề xuất cải tiến thuật toán thử nhóm bất ứng biến để giảm thời gian tính toán và phát hiện Hot-IP trên dòng gói tin IP thời gian thực.
    4. Đề xuất giải pháp kết hợp kỹ thuật xử lý song song, kiến trúc phân tán nhằm phát hiện nhanh các Hot-IP trên mạng.
    5. Mô hình hóa các bài toán ứng dụng: phát hiện nạn nhân trong DoS/DDoS, phát hiện nguồn phát DoS/DDoS, phát hiện nguồn phát tán sâu Internet, phát hiện thiết bị hoạt động bất thường về bài toán phát hiện Hot-IP trên mạng.
    6. Giám sát các Hot-IP kết hợp với theo dõi tài nguyên hệ thống để điều phối lưu lượng mạng, giảm thiểu các nguy hại trên hệ thống.

Đối tượng và phạm vi nghiên cứu

  • Đối tượng nghiên cứu: Lý thuyết thử nhóm bất ứng biến và bài toán phát hiện Hot-IP trên mạng máy tính; kỹ thuật xử lý song song và kiến trúc phân tán trong giám sát mạng.
  • Phạm vi nghiên cứu:
    • Không gian và môi trường triển khai: Tập trung vào mạng có số lượng người dùng lớn, mạng trung gian tại các nhà cung cấp dịch vụ (ISP), hệ thống mạng đa vùng.
    • Dữ liệu phân tích: Dòng gói tin IP thời gian thực (mức độ thứ tư trong phân tích lưu lượng), trích xuất thông tin địa chỉ IP nguồn và IP đích từ phần IP-header (hỗ trợ cả cấu trúc 32-bit của IPv4 và 128-bit của IPv6).

Tổng quan tài liệu và vị trí của luận án

Các hướng nghiên cứu trước đây

Luận án tiến hành khảo sát và phân loại các công trình nghiên cứu liên quan theo các nhóm chủ đề chính:

Giai đoạn Mục tiêu chính Các công trình và phương pháp được khảo sát
Trước tấn công Đề phòng, thiết lập ngưỡng Thiết lập các ngưỡng tần suất cố định [1].
Trong tấn công Phát hiện sự hiện diện của luồng tấn công Phân tích thống kê [4], [5], [13], [15]; học máy [6]; khai phá dữ liệu [7], [8]; phân tích entropy [11], [17]; mạng nơron nhân tạo [18]; hệ thống IDS/IPS dựa trên dấu hiệu [9], [65].
Sau tấn công Dò tìm nguồn phát (Traceback) Kỹ thuật dò ngược tương tác giữa các router upstream [2], [3]; cơ chế CAPTCHA trong dịch vụ Web [19].

Về các nghiên cứu sâu Internet, tác giả phân tích các dạng sâu "scanning worm", tiêu biểu là "routing worm" khai thác bảng định tuyến BGP [20], [24], [28] và "hit-list worm" [21], [22], [23]. Các mô hình phát tán gồm: self-carried, second channel, embedded [28] và botnet [25], [64]. Hai hướng phát hiện chính là phát hiện dựa vào dấu hiệu (signature-based) và phát hiện dựa vào sự bất thường (anomaly-based) [24], [26].

Về thuật toán tìm phần tử tần suất cao trong dòng dữ liệu:

  • Nhóm Counter-based:
    • Thuật toán Majority của nhóm Boyer-Moore (1982) [30] và Fischer-Salzberg (1982) [35] phát hiện phần tử xuất hiện $> m/2$.
    • Thuật toán Frequent của Misra và Gries (1982) [31] tổng quát hóa cho ngưỡng $m/k$, sử dụng $k-1$ cặp (item, counter) trên cây cân bằng.
    • Thuật toán LossyCounting của Manku và Motwani (2002) [32] sử dụng các bộ giá trị (item, lower bound, delta).
    • Thuật toán SpaceSaving của Metwally và cộng sự (2005) [33] sử dụng cấu trúc duy trì $k$ phần tử với bộ đếm nhỏ nhất.
    • Cormode và Hadjieleftheriou (2008) [10] đã thực nghiệm so sánh các thuật toán này trên 10.000 gói tin HTTP với ngưỡng $\phi$ từ 0,0001 đến 0,01, cho thấy SpaceSaving và Frequent có tốc độ cập nhật nhanh hơn LossyCounting.
  • Nhóm Sketch-based:
    • Thuật toán Count-Sketch của Charikar và cộng sự (2002) [34] sử dụng mảng 2 chiều $C[d, w]$ và 2 hàm băm $h_j$, $g_j$, lấy giá trị trung vị để ước lượng.
    • Thuật toán Count-Min của Cormode và Muthukrishnan (2005) [28] sử dụng $d$ hàm băm và ước lượng tần suất bằng giá trị nhỏ nhất: $f_i^* = \min_{1 \le j \le d} C[j, h_j(i)]$.
  • Phương pháp thử nhóm (Group Testing):
    • Cormode và Muthukrishnan [10], [27], [36] ứng dụng thử nhóm bất ứng biến để tìm phần tử tần suất cao trong cơ sở dữ liệu và dòng dữ liệu, chứng minh độ chính xác cao hơn nhóm Counter-based trên dữ liệu thực tế.
    • Khattab và cộng sự (2008 [38], 2009 [44]) đề xuất phương pháp "Live Baiting" trên phần mềm giả lập NS-2 để phát hiện kẻ tấn công DDoS trong dịch vụ Web.
    • Ying Xuan và Thai (2010) [37] cài đặt thử nhóm trên các máy chủ ảo nội bộ để phát hiện DDoS.
    • Indyk, Ngo và Rudra (2010) [39], [40] đề xuất giải mã danh sách với ma trận $(d, d)$-phân-cách-danh-sách, đạt số nhóm thử $t = O(d^2 \log N)$ và thời gian giải mã $O(t^2)$.

Khoảng trống luận án lựa chọn giải quyết

Các công trình đi trước tồn tại các hạn chế kỹ thuật cụ thể:

  1. Hạn chế trong sinh ma trận: Nghiên cứu của Indyk-Ngo-Rudra [39], Cormode [10], [36], Khattab [38] sử dụng phương pháp xác suất hoặc thuật toán tham lam để sinh ma trận. Cách tiếp cận này có nguy cơ tạo ra ma trận không thỏa mãn tính chất $d$-phân-cách, đồng thời bắt buộc phải lưu trữ toàn bộ ma trận kích thước lớn trong bộ nhớ.
  2. Hạn chế về quy mô nhóm thử: Nghiên cứu của Ying Xuan & Thai [37] bị giới hạn số lượng nhóm thử do phụ thuộc vào số máy chủ ảo, dẫn đến độ chính xác giảm khi không gian địa chỉ $N$ lớn.
  3. Hạn chế về tính thích nghi và tài nguyên: Phương pháp "Live Baiting" của Khattab [38] thiết lập ngưỡng cố định, danh sách nghi ngờ chứa tất cả client dẫn đến tỷ lệ dương tính giả cao khi số lượng người dùng tăng; đồng thời xử lý ở tầng ứng dụng gây tốn kém thời gian hơn xử lý tại tầng mạng.

Luận án lựa chọn giải quyết các vấn đề trên bằng cách: sử dụng phương pháp nối mã của Kautz-Singleton để sinh tường minh từng cột ma trận $d$-phân-cách, cải tiến thuật toán giải mã trực tuyến thông qua danh sách IP nghi ngờ, kết hợp xử lý song song và kiến trúc phân tán.

Cơ sở lý thuyết và phương pháp nghiên cứu

Cơ sở lý thuyết và các khái niệm nền tảng

  • Địa chỉ IP và Gói tin IP: Địa chỉ IP định danh thiết bị mạng gồm phần Network và Host (IPv4 có 32 bit chia 4 phần; IPv6 có 128 bit chia 8 phần). Dòng gói tin IP là dãy liên tiếp $(a_1, a_2, \dots, a_m)$, trong đó mỗi gói tin $a_i$ chứa thông tin địa chỉ $s_i$ (IP nguồn hoặc IP đích).
  • Khái niệm Hot-IP: Cho dòng gói tin IP có $S = (IP_1, IP_2, \dots, IP_m)$ với $N$ địa chỉ IP phân biệt ($0 \le N \le m$). Gọi tần suất xuất hiện là: $$f_i = |{j \mid IP_i = IP_j; i \le j; IP_i, IP_j \in S}|$$ Hot-IP là các địa chỉ thỏa mãn điều kiện: $$\text{Hot-IP} = {IP_i \in S \mid f_i \ge \theta \cdot m, 0 < \theta \le 1}$$
  • Lý thuyết thử nhóm bất ứng biến (Non-Adaptive Group Testing - NAGT): Bắt nguồn từ nghiên cứu thử máu của Robert Dorfman (1943) [46]. Tất cả $t$ nhóm thử được thiết kế độc lập từ trước và tiến hành kiểm tra đồng thời. Một nhóm thử thứ $i$ có bộ đếm $c_i$, chứa phần tử tần suất cao khi và chỉ khi $c_i \ge \lfloor m / (d + 1) \rfloor$ (với $d$ là số lượng Hot-IP tối đa cho phép).
  • Ma trận $d$-phân-cách ($d$-separable matrix): Ma trận nhị phân $M_{t \times N}$ ($t$ hàng đại diện cho $t$ nhóm thử, $N$ cột đại diện cho $N$ địa chỉ IP phân biệt). Phần tử $m_{ij} = 1$ nếu IP thứ $j$ thuộc nhóm thử thứ $i$, ngược lại $m_{ij} = 0$. Ma trận $M$ là $d$-phân-cách khi và chỉ khi hội (phép cộng logic/OR) của $d$ cột bất kỳ không chứa bất kỳ cột nào khác: với mọi tập cột $C_0, C_1, \dots, C_d$, ta có: $$C_0 \not\subseteq \bigcup_{k=1}^d C_k$$
Ví dụ ma trận 2-phân-cách kích thước 9 x 7 (d = 2, N = 7, t = 9):
[0 0 1 0 0 1 1]
[0 0 1 0 1 0 0]
[0 0 1 1 0 0 0]
[0 1 0 0 0 1 0]
[0 1 0 0 1 0 1]
[0 1 0 1 0 0 0]
[1 0 0 0 0 1 0]
[1 0 0 0 1 0 0]
[1 0 0 1 0 0 1]
  • Phương pháp nối mã (Code Concatenation): Đề xuất bởi Kautz và Singleton (1964) [45], sử dụng các mã phân ly khoảng cách tối đa (MDS - như mã Reed-Solomon) làm mã ngoài để xây dựng tường minh ma trận $d$-phân-cách. Phương pháp này cho phép tính toán phát sinh từng cột của ma trận khi có gói tin đến mà không cần lưu trữ toàn bộ ma trận $M_{t \times N}$ trong bộ nhớ.
Tiêu chí Kautz-Singleton (1964) [45] Indyk-Ngo-Rudra (2010) [39]
Số nhóm thử ($t$) $t = O(d^2 \log^2 N)$ $t = O(d^2 \log N)$
Thời gian giải mã $O(tN)$ (giải mã đơn giản) $\text{poly}(d) \cdot t \log^2 t = O(t^2)$ (giải mã danh sách)
Phương pháp xây dựng ma trận Tường minh, đại số (Nonrandom) Ngẫu nhiên, xác suất (Random)
Khả năng sinh theo cột Có (tiết kiệm bộ nhớ) Không (phải lưu toàn bộ ma trận)
  • Vị trí thu thập dữ liệu: Khảo sát 2 mô hình theo [67]:
    • Inline mode: Thiết bị đặt trực tiếp trên đường truyền; ưu điểm là phát hiện và ngăn chặn tức thời; nhược điểm là nguy cơ nghẽn mạng khi lưu lượng lớn.
    • Promiscuous mode (thụ động): Thiết bị đặt song song với đường truyền; ưu điểm là không gây nghẽn; nhược điểm là chỉ cảnh báo, hệ thống có thể bị ảnh hưởng trước khi kịp xử lý.

Phương pháp nghiên cứu thực tế và dữ liệu

  • Nghiên cứu lý thuyết: Hệ thống hóa các khái niệm giải mã, phân tích toán học các chặn trên về số phép thử $t$, phân tích độ phức tạp thuật toán.
  • Thực nghiệm định lượng: Cài đặt thuật toán so sánh thời gian giải mã giữa phương pháp thử nhóm (Group Testing) và phương pháp đếm trực tiếp (Counter-based).
    • Môi trường thử nghiệm: Máy chủ cấu hình IBM Xeon E 2.5 GHz, RAM 4GB.
    • Dữ liệu thực nghiệm: Tập địa chỉ IP phân biệt ($N$) tăng dần từ 3.000 đến 300.000 địa chỉ, các gói tin IP được phát sinh ngẫu nhiên.

Nội dung chính theo từng chương

Chương 1: Tổng quan về Hot-IP trên mạng

Chương 1 tập trung phân tích bối cảnh an ninh mạng, bản chất của các cuộc tấn công DoS/DDoS (tấn công làm tràn ngập như SYN flood, RST flood, FIN flood, ICMP flood) và cơ chế lây nhiễm của sâu Internet (quét tuần tự, quét ngẫu nhiên, quét kết hợp). Tác giả làm rõ bốn mức độ phân tích lưu lượng mạng: (1) Packet log, (2) Flow log, (3) SNMP log, và (4) Dòng dữ liệu thời gian thực; luận án xác định phạm vi xử lý trực tiếp tại mức độ thứ tư.

Chương này tổng hợp, phân loại và đánh giá hai trường phái thuật toán tìm phần tử tần suất cao trong dòng dữ liệu:

Trường phái Cơ chế hoạt động Thuật toán tiêu biểu Đánh giá ưu / nhược điểm
Counter-based Giám sát một tập phần tử cùng các biến đếm, áp dụng luật cập nhật và loại bỏ. Majority [30], [35], Frequent [31], LossyCounting [32], SpaceSaving [33]. Dễ cài đặt nhưng đòi hỏi lưu trữ bộ đếm cho từng đối tượng; tốn bộ nhớ khi $N$ lớn, không phù hợp thiết bị mạng tài nguyên hạn chế.
Sketch-based Ánh xạ dòng dữ liệu vào mảng biến đếm thông qua các hàm băm, ước lượng tần suất. Count-Sketch [34], Count-Min [28]. Không cần lưu từng bộ đếm riêng; tiết kiệm không gian lưu trữ nhưng Count-Sketch cập nhật chậm, Count-Min có sai số ước lượng.

Tác giả trình bày kết quả thực nghiệm đo đạc thời gian giải mã giữa phương pháp Thử nhóm (Group Testing) và Counter-based trên hệ thống máy chủ IBM Xeon E 2.5 GHz, RAM 4GB:

Số lượng IP phân biệt ($N$) Thời gian giải mã Group Testing (giây) Thời gian giải mã Counter-based (giây)
3.000 Lớn hơn Counter-based Nhỏ hơn Group Testing
5.000 – 25.000 Tăng chậm, duy trì mức $< 1,4$ giây Tăng nhanh theo hàm tuyến tính
50.000 – 300.000 Duy trì mức thời gian thấp, ổn định Tăng vọt từ vài chục giây lên gần 200 giây

Kết quả thực nghiệm khẳng định: Khi số lượng phần tử $N$ nhỏ, phương pháp Counter-based thực hiện nhanh hơn; tuy nhiên khi $N$ tăng lên quy mô lớn (từ hàng chục nghìn đến 300.000 phần tử), phương pháp thử nhóm bất ứng biến vượt trội rõ rệt về thời gian giải mã.

Chương 2: Phát hiện các Hot-IP sử dụng thử nhóm bất ứng biến

Chương 2 trình bày chi tiết cơ sở toán học của ma trận $d$-phân-cách, phương pháp xây dựng ma trận tường minh dựa trên phép nối mã Kautz-Singleton và ứng dụng vào bài toán trích xuất Hot-IP từ dòng gói tin.

Điểm cốt lõi của chương là việc đề xuất hai thuật toán cải tiến:

  1. Thuật toán "Online Hot-IP Detecting": Cải tiến quy trình giải mã truyền thống bằng cách sử dụng danh sách các địa chỉ IP nghi ngờ. Khi một nhóm thử đạt đến giá trị ngưỡng $\lfloor m / (d + 1) \rfloor$, hệ thống không cần tiếp tục cập nhật vào nhóm đó. Các IP nằm trong các nhóm vượt ngưỡng được đưa vào danh sách nghi ngờ và khởi tạo bộ đếm riêng. Những lần xuất hiện tiếp theo của các IP này chỉ cần cập nhật trực tiếp trên danh sách nghi ngờ thay vì phải cập nhật trên toàn bộ các bộ đếm nhóm thử thông qua ma trận phân cách.
  2. Thuật toán "Online Hot-IP Preventing": Mở rộng từ thuật toán phát hiện, tích hợp cơ chế ngăn chặn trực tiếp các Hot-IP được xác định nhằm đảm bảo hệ thống duy trì hoạt động thông suốt.

Thuật toán cải tiến khắc phục được tình trạng quá tải tính toán và cho kết quả chính xác ngay cả khi số lượng Hot-IP thực tế trong dòng dữ liệu vượt quá tham số $d$ tối đa được thiết kế ban đầu của ma trận. Ngoài ra, chương 2 hướng dẫn phương pháp thiết lập ngưỡng thích nghi dựa trên năng lực xử lý phần cứng và băng thông tại vị trí triển khai.

Chương 3: Một số kỹ thuật kết hợp nhằm nâng cao hiệu quả của giải pháp phát hiện các Hot-IP trên mạng

Chương 3 đề xuất các giải pháp kỹ thuật bổ trợ nhằm tối ưu hóa hiệu năng tính toán:

  • Kỹ thuật xử lý song song: Dựa trên đặc tính độc lập hoàn toàn của các nhóm thử trong thử nhóm bất ứng biến (các nhóm thử được thiết kế trước và kiểm tra đồng thời), luận án áp dụng tính toán song song đa luồng cho bước tính toán vector kết quả $r \in {0, 1}^t$. Việc phân chia các phép thử trên nhiều lõi xử lý giúp giảm thiểu thời gian xử lý gói tin trên luồng dữ liệu tốc độ cao.
  • Kiến trúc phân tán cho hệ thống mạng đa vùng: Đối với các hệ thống mạng quy mô lớn của nhà cung cấp dịch vụ (ISP) được chia thành nhiều khu vực/vùng quản lý, luận án đề xuất mô hình phân tán các bộ phát hiện Hot-IP. Khi một vùng phát hiện Hot-IP, thông tin cảnh báo sớm được đồng bộ sang các vùng khác để kịp thời thiết lập chính sách điều phối luồng.
  • Căn cứ lựa chọn tham số: Cung cấp phương pháp luận lựa chọn kích thước ma trận $t \times N$, tham số $d$ và chu kỳ thực thi thuật toán phù hợp với cấu hình thiết bị và lưu lượng mạng thực tế tại từng điểm nút.

Chương 4: Mô hình hóa một số ứng dụng trong lĩnh vực an ninh mạng

Chương 4 thực hiện mô hình hóa 4 bài toán an ninh mạng thực tế về bài toán phát hiện Hot-IP:

  1. Phát hiện đối tượng là mục tiêu (nạn nhân) trong tấn công DoS/DDoS: Phân tích dòng gói tin dựa trên địa chỉ IP đích ($IP_{\text{dest}}$). Tần suất xuất hiện cao bất thường của một IP đích chỉ ra máy chủ đó đang phải chịu lưu lượng tràn ngập từ cuộc tấn công.
  2. Phát hiện đối tượng là nguồn phát động tấn công DoS/DDoS: Phân tích dòng gói tin dựa trên địa chỉ IP nguồn ($IP_{\text{src}}$). Tần suất xuất hiện cao từ một hoặc một nhóm IP nguồn xác định các máy trạm trong mạng botnet đang phát động tấn công.
  3. Phát hiện nguồn phát tán sâu Internet ("scanning worm"): Phân tích các gói tin khởi tạo kết nối hoặc các kết nối thất bại liên tiếp xuất phát từ cùng một IP nguồn gửi đến không gian địa chỉ rộng, xác định các máy bị nhiễm đang quét tìm lỗ hổng.
  4. Phát hiện các thiết bị hoạt động bất thường trong hệ thống mạng: Theo dõi sự thay đổi đột biến về tần suất gửi/nhận gói tin của các thiết bị nội bộ so với hoạt động thông thường.

Ngoài ra, chương 4 xây dựng cơ chế giám sát hoạt động của các Hot-IP qua một số chu kỳ thuật toán liên tiếp, kết hợp với công cụ theo dõi tài nguyên hệ thống (băng thông, CPU, bộ nhớ) để thực hiện điều phối hoặc hạn chế tốc độ các luồng dữ liệu chứa Hot-IP độc hại.

Kết quả và những đóng góp mới

Các đóng góp mới về lý luận và thực tiễn

Luận án tự xác định 3 đóng góp chính:

  • (i) Giải pháp phát hiện Hot-IP tổng thể dựa trên thử nhóm bất ứng biến kết hợp tối ưu hóa: Ứng dụng lý thuyết thử nhóm bất ứng biến vào bài toán phát hiện Hot-IP trên dòng dữ liệu thời gian thực; kết hợp kỹ thuật tính toán song song khi tính vector kết quả, kiến trúc phân tán cho hệ thống mạng đa vùng và lựa chọn kích thước ma trận phù hợp. Luận án sử dụng phương pháp nối mã (Kautz-Singleton) để xây dựng tường minh ma trận $d$-phân-cách theo từng cột, giải quyết triệt để bài toán chiếm dụng bộ nhớ (không cần lưu trữ ma trận lớn trên trường hữu hạn) và mở ra khả năng cứng hóa giải thuật trên thiết bị mạng.
  • (ii) Đề xuất hai thuật toán cải tiến "Online Hot-IP Detecting" và "Online Hot-IP Preventing": Giảm thời gian tính toán giải mã trực tuyến thông qua cơ chế dừng cập nhật các nhóm thử đã chạm ngưỡng và duy trì danh sách địa chỉ IP nghi ngờ. Thuật toán cải tiến vẫn duy trì độ chính xác khi số lượng Hot-IP thực tế vượt quá tham số $d$ thiết kế.
  • (iii) Mô hình hóa 4 bài toán an ninh mạng và cơ chế điều phối lưu lượng: Mô hình hóa thành công các bài toán: (1) phát hiện nguồn phát tán sâu Internet, (2) phát hiện thiết bị hoạt động bất thường, (3) phát hiện mục tiêu hoặc nguồn phát DoS/DDoS về bài toán phát hiện Hot-IP; (4) xây dựng giải pháp giám sát Hot-IP kết hợp theo dõi tài nguyên mạng để điều phối lưu lượng.

Kiến nghị và giải pháp đề xuất

  • Tích hợp giải thuật phát hiện Hot-IP trực tiếp vào các thiết bị mạng trung gian, bộ định tuyến (router) tại các nhà cung cấp dịch vụ Internet (ISP) do giải thuật chỉ yêu cầu trích xuất thông tin IP-header ở tầng mạng (Layer 3) và không chiếm dụng nhiều bộ nhớ.
  • Áp dụng mô hình cảnh báo sớm đa vùng để phối hợp ngăn chặn các cuộc tấn công DDoS quy mô lớn trước khi lưu lượng độc hại tiếp cận máy chủ dịch vụ của khách hàng.

Hạn chế và hướng nghiên cứu tiếp

  • Hạn chế: Số lượng nhóm thử trong phương pháp nối mã tường minh đạt mức $t = O(d^2 \log^2 N)$, vẫn lớn hơn so với chặn lý thuyết của phương pháp ngẫu nhiên $O(d^2 \log N)$. Khi tham số $d$ tăng cao, số phép thử tăng theo bình phương của $d$, đòi hỏi cân đối cấu hình phần cứng tương ứng.
  • Hướng nghiên cứu tiếp: Tiếp tục nghiên cứu tối ưu hóa số hàng của ma trận phân cách tiệm cận mức $O(d^2 \log N)$ nhưng vẫn đảm bảo tính chất xây dựng tường minh và giải mã nhanh; hoàn thiện các bài toán mở khi triển khai giải pháp thực nghiệm trên các môi trường mạng thực tế quy mô lớn hơn với cấu trúc lưu lượng biến đổi phức tạp.

Giá trị tham khảo

  • Đối tượng hưởng lợi:
    • Kỹ sư an ninh mạng và quản trị hệ thống tại các ISP: Tham khảo mô hình thu thập, cấu trúc phân tán và thuật toán Online Hot-IP Detecting/Preventing để tích hợp vào các thiết bị định tuyến hoặc trạm giám sát biên.
    • Nghiên cứu sinh, học viên ngành Mạng máy tính và An toàn thông tin: Tham khảo phương pháp ứng dụng toán rời rạc (lý thuyết thử nhóm, mã MDS, ma trận phân cách) vào xử lý dòng dữ liệu lớn thời gian thực.
  • Nội dung đáng tham khảo nhất:
    • Quy trình xây dựng tường minh ma trận $d$-phân-cách bằng phép nối mã theo từng cột giúp tiết kiệm không gian lưu trữ (Chương 2).
    • Kỹ thuật sử dụng danh sách IP nghi ngờ để giảm thiểu chi phí tính toán cập nhật trên dòng dữ liệu (Chương 2).
    • Phương pháp mô hình hóa các hiện tượng tấn công mạng (SYN flood, scanning worm) về bài toán phân tích tần suất địa chỉ IP (Chương 4).

Câu hỏi thường gặp

1. Hot-IP trong dòng gói tin mạng được định nghĩa toán học như thế nào?

Theo định nghĩa trong luận án, cho dòng gói tin $S = (IP_1, IP_2, \dots, IP_m)$ gồm $N$ địa chỉ IP phân biệt ($0 \le N \le m$). Tần suất xuất hiện của $IP_i$ là $f_i = |{j \mid IP_i = IP_j; i \le j; IP_i, IP_j \in S}|$. Một địa chỉ được xác định là Hot-IP khi và chỉ khi tần suất xuất hiện của nó thỏa mãn: $$f_i \ge \theta \cdot m \quad (0 < \theta \le 1)$$ với $\theta$ là giá trị ngưỡng tần suất cao được xác định trước.

2. Tại sao phương pháp sinh ma trận phân cách tường minh bằng phép nối mã lại ưu việt hơn phương pháp ngẫu nhiên khi triển khai thực tế?

Phương pháp sinh ngẫu nhiên mang tính xác suất, có thể tạo ra ma trận không thỏa mãn tính chất $d$-phân-cách (dẫn đến sai sót khi giải mã) và bắt buộc phải lưu toàn bộ ma trận kích thước $t \times N$ trong bộ nhớ. Ngược lại, phương pháp nối mã (Kautz-Singleton) cho phép tính toán phát sinh từng cột của ma trận tại thời điểm gói tin đến dựa trên đại số mã MDS (như Reed-Solomon). Nhờ đó, hệ thống không cần lưu trữ ma trận trong bộ nhớ, tiết kiệm tài nguyên và có thể tích hợp trực tiếp lên các thiết bị mạng.

3. Cơ chế cốt lõi giúp hai thuật toán "Online Hot-IP Detecting" và "Online Hot-IP Preventing" giảm thời gian tính toán là gì?

Khi một nhóm thử đạt đến ngưỡng xác định $\lfloor m / (d + 1) \rfloor$, thuật toán dừng cập nhật vào nhóm đó. Các địa chỉ IP thuộc nhóm này được đưa vào danh sách nghi ngờ và cấp bộ đếm riêng. Khi các gói tin tiếp theo đến, nếu địa chỉ IP đã có trong danh sách nghi ngờ, hệ thống chỉ cập nhật trực tiếp vào bộ đếm của danh sách này thay vì phải tra cứu và cập nhật trên toàn bộ các bộ đếm nhóm thử thông qua ma trận phân cách.

4. Kết quả thực nghiệm trên máy chủ IBM Xeon E 2.5 GHz so sánh phương pháp Thử nhóm và Counter-based chỉ ra điều gì?

Thực nghiệm cho thấy với số lượng địa chỉ IP phân biệt $N$ nhỏ ($< 3.000$), phương pháp Counter-based giải mã nhanh hơn. Tuy nhiên, khi $N$ tăng lên quy mô lớn (từ 50.000 đến 300.000 IP), thời gian giải mã của Counter-based tăng vọt lên gần 200 giây do phải duy trì quá nhiều bộ đếm riêng lẻ, trong khi phương pháp thử nhóm bất ứng biến vẫn duy trì thời gian giải mã rất thấp và ổn định.

5. Luận án mô hình hóa những bài toán an ninh mạng cụ thể nào về bài toán phát hiện Hot-IP?

Luận án mô hình hóa 4 bài toán:

  1. Phát hiện đối tượng là mục tiêu (nạn nhân) trong tấn công DoS/DDoS thông qua phân tích IP đích.
  2. Phát hiện đối tượng là nguồn phát động tấn công DoS/DDoS thông qua phân tích IP nguồn.
  3. Phát hiện đối tượng là nguồn phát tán sâu Internet ("scanning worm") thông qua phân tích IP nguồn thực hiện quét mạng.
  4. Phát hiện các thiết bị hoạt động bất thường trong hệ thống mạng nội bộ.

Kết luận

Luận án đã giải quyết bài toán phát hiện sớm các đối tượng nguy hại trên mạng máy tính bằng cách mô hình hóa các dạng tấn công DoS/DDoS, sâu mạng và thiết bị bất thường về bài toán xác định Hot-IP trên dòng dữ liệu thời gian thực. Bằng việc ứng dụng lý thuyết thử nhóm bất ứng biến kết hợp với phương pháp nối mã Kautz-Singleton, luận án đã đề xuất giải pháp sinh ma trận tường minh theo từng cột, loại bỏ yêu cầu lưu trữ ma trận kích thước lớn trong bộ nhớ thiết bị. Hai thuật toán cải tiến "Online Hot-IP Detecting" và "Online Hot-IP Preventing" cùng các kỹ thuật xử lý song song và kiến trúc phân tán đa vùng đã tối ưu hóa tốc độ giải mã trực tuyến, cung cấp một giải pháp khả thi để triển khai tại các hệ thống mạng trung gian của nhà cung cấp dịch vụ Internet.