Tổng quan luận án

Luận án tiến sĩ kỹ thuật chuyên ngành Kỹ thuật Viễn thông (mã số: 9520208) của nghiên cứu sinh Đặng Văn Tuyên, được thực hiện tại Trường Đại học Bách khoa Hà Nội dưới sự hướng dẫn khoa học của PGS. Trương Thu Hương và PGS. Nguyễn Tài Hưng (năm 2019), mang tiêu đề: "Nghiên cứu giải pháp phát hiện và giảm thiểu tấn công từ chối dịch vụ phân tán sử dụng công nghệ SDN".

Tính cấp thiết và khoảng trống nghiên cứu

Sự phát triển của công nghệ thông tin, truyền thông và mạng kết nối vạn vật (IoTs) dẫn đến sự gia tăng nhanh chóng về lưu lượng và số lượng kết nối mạng. Cấu trúc mạng Internet dựa trên sự liên kết giữa các hệ tự trị (AS) thiếu cơ chế kiểm soát tập trung, làm nảy sinh nguy cơ mất an toàn thông tin, đặc biệt là các cuộc tấn công từ chối dịch vụ (DoS) và từ chối dịch vụ phân tán (DDoS). Kẻ tấn công lợi dụng việc giả mạo địa chỉ IP nguồn và mạng máy tính ma (botnet) để phát động các cuộc tấn công quy mô lớn, làm suy giảm nghiêm trọng tính sẵn sàng của hệ thống dịch vụ.

Trong mạng quy mô nhỏ (mạng văn phòng, gia đình - SOHO), nguy cơ này càng rõ rệt do thiết bị đa dạng, thiếu kiểm soát và chi phí đầu tư cho các thiết bị an ninh mạng chuyên dụng (như Firewall, IPS) còn hạn chế. Các giải pháp phòng chống DDoS trên nền tảng mạng truyền thống bộc lộ nhiều điểm nghẽn do thiết bị mạng bị đóng kín, việc cấu hình chủ yếu thực hiện thủ công hoặc áp dụng ngưỡng cố định, dẫn đến tỷ lệ hủy nhầm lưu lượng lành tính cao.

Công nghệ mạng cấu hình bởi phần mềm (Software Defined Networking - SDN), đặc biệt là giao thức OpenFlow, ra đời với kiến trúc tách biệt mặt phẳng điều khiển (Control plane) và mặt phẳng dữ liệu (Data plane), cho phép quản trị và lập trình xử lý lưu lượng theo luồng (flow) một cách tập trung. Mặc dù SDN/OpenFlow tạo điều kiện thuận lợi cho việc thu thập số liệu thống kê và thực thi chính sách an ninh linh hoạt, các nghiên cứu hiện hành vẫn tồn tại những khoảng trống kỹ thuật:

  1. Nhiều giải pháp mới dừng ở mức đề xuất thuật toán phát hiện ngoại tuyến (offline), chưa có cơ chế phân loại và giảm thiểu lưu lượng tấn công trực tuyến (online) theo thời gian thực.
  2. Việc can thiệp sâu vào xử lý gói tin tại bộ chuyển mạch (OpenFlow Switch - OFS) làm suy giảm hiệu năng và phá vỡ nguyên lý tách biệt của SDN.
  3. Việc truy vấn liên tục các bộ đếm thống kê qua giao diện OpenFlow làm gia tăng lưu lượng điều khiển, gây nguy cơ tắc nghẽn kênh truyền giữa bộ điều khiển và bộ chuyển mạch.
  4. Các giải pháp kết hợp bộ phân tích truyền thống (sFlow, Snort) hoạt động độc lập, chưa tận dụng được khả năng điều khiển luồng động của SDN.

Mục tiêu và nội dung nghiên cứu

  • Mục tiêu nghiên cứu: Nghiên cứu đề xuất các giải pháp phòng chống tấn công DDoS dựa trên kỹ thuật SDN/OpenFlow áp dụng cho mạng SDN quy mô nhỏ trong các bối cảnh khác nhau.
  • Nội dung nghiên cứu (được đánh số theo văn bản):
    1. Nghiên cứu sự khác biệt đặc tính lưu lượng tấn công DDoS so với lưu lượng lành tính để lựa chọn các tham số, đề xuất thuật toán phù hợp với bối cảnh SDN/OpenFlow nhằm nâng cao hiệu năng phát hiện và phân loại tấn công DDoS.
    2. Dựa trên cơ chế xử lý gói tin của kỹ thuật SDN/OpenFlow, đề xuất cơ chế trao đổi dữ liệu, tương tác giữa các thực thể trong mạng SDN/OpenFlow để áp dụng mô hình, thuật toán, phát triển thành giải pháp phòng chống tấn công DDoS trong hai bối cảnh: (1) thuần túy sử dụng dữ liệu thống kê của SDN/OpenFlow và (2) sử dụng dữ liệu thống kê SDN/OpenFlow kết hợp với bộ phân tích và xử lý lưu lượng.
    3. Nghiên cứu những nguy cơ tấn công DDoS tới chính các thành phần của mạng SDN/OpenFlow và đề xuất giải pháp phát hiện, giảm thiểu tấn công.

Đối tượng và phạm vi nghiên cứu

  • Đối tượng nghiên cứu: Công nghệ SDN, kỹ thuật SDN/OpenFlow; các phương thức, kỹ thuật tấn công DDoS phổ biến trong mạng truyền thống và mạng SDN/OpenFlow; các giải pháp phòng chống DDoS đã được đề xuất; các bộ dữ liệu lưu lượng lành tính và tấn công DDoS.
  • Phạm vi nghiên cứu: Tập trung vào đề xuất các giải pháp phòng chống DDoS bảo vệ các máy chủ trong hệ thống mạng quy mô nhỏ và vừa (mạng SOHO), áp dụng thuần túy kỹ thuật SDN/OpenFlow.

Tổng quan tài liệu và vị trí của luận án

Luận án tiến hành tổng hợp, phân loại và đánh giá các công trình nghiên cứu liên quan đến tấn công DDoS và các giải pháp phòng chống trên cả hạ tầng mạng truyền thống lẫn mạng SDN/OpenFlow:

Các hướng nghiên cứu trước đây

  • Nghiên cứu về phân loại và đặc tính tấn công DDoS: Báo cáo an ninh của Arbor Networks (2018) chỉ ra quy mô tấn công DDoS đạt mức 1,35 Tbps (sự kiện tấn công GitHub ngày 27/2/2018), trong đó dạng tấn công làm lụt (flooding) chiếm 75,7%. Các kỹ thuật tấn công chính gồm làm lụt băng thông (UDP flood, ICMP flood, HTTP flood, Slowloris), khuếch đại (DNS, NTP, Smurf, Fraggle) và khai thác lỗ hổng giao thức (TCP SYN Flood).
  • Giải pháp phòng chống trên mạng truyền thống:
    • Tại nguồn phát sinh: Cơ chế lọc gói tin Ingress filtering của Ferguson & Senie (2000), hệ thống D-WARD của Mirkovic và cộng sự (2002) nhằm kiểm soát lưu lượng ra khỏi mạng con.
    • Tại mạng trung gian: Các kỹ thuật đánh dấu gói tin theo xác suất (PPM) của Savage và cộng sự (2000), đánh dấu gói tin xác định (DPM) của Belenky & Ansari (2003), và đánh dấu gói tin theo luồng (DFM) của Xiang và cộng sự (2009).
    • Tại mạng đích: Thuật toán SYN Cookie của D. J. Bernstein (1996), cấu hình điều chỉnh thời gian chờ TIME_WAIT, hoặc sử dụng các hệ thống phát hiện/ngăn chặn xâm nhập chuyên dụng (Snort, IPS).
  • Giải pháp phát hiện và giảm thiểu trên kiến trúc SDN/OpenFlow:
    • Kỹ thuật dựa trên Entropy: Mehdi và cộng sự (2011) ứng dụng phương pháp entropy cực đại để ước lượng phân bố lưu lượng lành tính trong mạng SOHO; Wang và cộng sự áp dụng entropy tại bộ chuyển mạch biên ISP; Giotis và cộng sự (2014) tính toán entropy trên cả IP nguồn và IP đích kết hợp giao thức OpenFlow với công cụ giám sát sFlow.
    • Kỹ thuật dựa trên học máy và thống kê: Braga và cộng sự (2010) đề xuất giải pháp trích xuất 6 tham số thuộc tính từ bộ đếm mục luồng OpenFlow đưa vào mạng nơ-ron tự tổ chức SOM (Self Organizing Map); Dotcenko và cộng sự (2014) kết hợp đặt ngưỡng hạn chế và thuật toán Threshold Random Walk (TRW); Chung và cộng sự (2013) phát triển hệ thống NICE sử dụng đồ thị tấn công; Shin và cộng sự (2013) xây dựng nền tảng FRESCO phân tích mẫu lưu lượng; Jin và Wang (2013) phát hiện bất thường dựa trên phân tích lưu lượng thời gian thực.
    • Kỹ thuật giám sát tỷ lệ kết nối: Mehdi và cộng sự (2011) áp dụng thuật toán TRW-CB (Threshold Random Walk - Credit Based) dựa trên cơ chế bắt tay ba bước (3HS) của TCP để phát hiện các trạm bị nhiễm mã độc.
    • Phòng chống tấn công vào hạ tầng SDN: Kreutz và cộng sự (2013) xác định 7 vectơ tấn công vào SDN (trong đó có 4 vectơ liên quan trực tiếp đến DDoS). Wang và cộng sự (2014) phát triển giải pháp Avant-Guard với cơ chế Di trú kết nối (Connection Migration - CM) kết hợp SYN Proxy và SYN Cookie tại bộ chuyển mạch OFS. Các giải pháp khác gồm DaMask (Wang và cộng sự), SDN-based CDNi, OPERETTA, FlowRanger, SDSNM.
+-----------------------------------------------------------------------------------+
|               Bảng so sánh các giải pháp phòng chống DDoS trên SDN                |
+---------------+------------------------+---------------------+--------------------+
| Giải pháp     | Kỹ thuật phát hiện     | Kỹ thuật giảm thiểu | Lớp chịu tác động  |
+---------------+------------------------+---------------------+--------------------+
| AVANT-GUARD   | Luật định nghĩa trước  | SYN Proxy + Cookie  | Điều khiển,        |
| (2014)        | phát hiện TCP SYN Flood| trên switch OFS     | Ứng dụng           |
+---------------+------------------------+---------------------+--------------------+
| DaMask        | Dấu hiệu tấn công dựa  | Thiết lập action    | Hạ tầng,           |
| (2014)        | trên phân mảnh mạng    | định nghĩa trước    | Điều khiển, Ứng dụng|
+---------------+------------------------+---------------------+--------------------+
| FlowRanger    | Chính sách ưu tiên chỉ | Xóa bỏ luồng        | Điều khiển         |
| (2014)        | định giá trị tin cậy   | (Drop flow)         |                    |
+---------------+------------------------+---------------------+--------------------+
| SDSNM         | Thiết lập chính sách   | Quyết định bởi      | Hạ tầng,           |
| (2015)        | xác thực an toàn       | module chính sách   | Điều khiển, Ứng dụng|
+---------------+------------------------+---------------------+--------------------+

Khoảng trống luận án lựa chọn giải quyết

Luận án tập trung giải quyết:

  1. Xây dựng giải pháp phòng chống DDoS hoạt động trực tuyến, nhẹ tải tính toán, sử dụng trực tiếp dữ liệu thống kê sẵn có của OpenFlow mà không đòi hỏi thiết bị phần cứng bổ sung cho mạng SOHO.
  2. Khắc phục nhược điểm của cơ chế Connection Migration trong Avant-Guard (vốn làm phân mảnh kết nối TCP, tiêu tốn bộ nhớ bảng luồng và làm mất các tùy chọn TCP options).
  3. Đề xuất kiến trúc SDN/OpenFlow mở rộng có tích hợp thiết bị phân tích và xử lý lưu lượng (Security Device - SD) chuyên trách, giải tỏa tắc nghẽn trên kênh điều khiển OpenFlow đối với mạng có lưu lượng lớn hơn.

Cơ sở lý thuyết và phương pháp nghiên cứu

Cơ sở lý thuyết và khung phân tích

  • Kiến trúc SDN chuẩn ONF: Mô hình 3 lớp gồm Lớp hạ tầng mạng (Infrastructure Layer / Data plane), Lớp điều khiển (Control Layer với SDN Controller) và Lớp ứng dụng (Application Layer). Giao tiếp giữa mặt phẳng điều khiển và dữ liệu qua chuẩn OpenFlow; giao tiếp giữa mặt phẳng điều khiển và ứng dụng qua REST API.
  • Cơ chế xử lý gói tin trong OpenFlow: Cấu trúc bảng luồng (Flow Table), mục luồng (Flow Entry) gồm các trường khớp (Match fields), bộ đếm (Counters), tập lệnh hành động (Actions), độ ưu tiên (Priority), và các bộ định thời gian chờ (idle_timeout, hard_timeout). Cơ chế trao đổi bản tin OpenFlow: Packet-in, Packet-out, Flow-mod.
  • Mô hình toán học và giải thuật:
    • Làm trơn hàm mũ (Exponential Smoothing): Dự đoán chuỗi thời gian cho các chỉ số thống kê lưu lượng nhằm phát hiện độ lệch bất thường.
    • Lý thuyết suy luận logic mờ (Fuzzy Inference System - FIS): Thuật toán FDDoM sử dụng các hàm thuộc (membership functions) để phân loại mức độ nguy hại của luồng lưu lượng.
    • Cơ chế ủy nhiệm SYN (SYN Proxy) và RST Cookie: Xác thực tính hợp lệ của địa chỉ IP nguồn và hoàn tất bắt tay 3 bước TCP mà không làm đứt đoạn kết nối đầu cuối.
    • Kỹ thuật đánh dấu gói tin thích ứng PLA DFM (Packet Length Adaptive Deterministic Flow Marking): Tận dụng trường định danh tiêu đề IP (Identification field) và tùy biến giá trị Checksum để lưu trữ thông tin nhận dạng luồng mà không gây phân mảnh gói tin khi chiều dài gói vượt quá giới hạn MTU.

Phương pháp nghiên cứu

Luận án kết hợp giữa nghiên cứu lý thuyết, phân tích thống kê, mô hình hóa giải pháp, lập trình thuật toán và đánh giá thực nghiệm định lượng trên hệ thống thử nghiệm (testbed):

  • Công cụ và môi trường: Môi trường thử nghiệm SDN xây dựng trên nền tảng bộ chuyển mạch Open vSwitch (OVS), các bộ điều khiển mã nguồn mở (như Floodlight, POX), kết hợp các máy trạm phát lưu lượng và máy chủ dịch vụ.
  • Nguồn dữ liệu thực nghiệm:
    • Bộ dữ liệu lưu lượng Internet thực tế từ tổ chức CAIDA (bộ dữ liệu CAIDA 2013).
    • Bộ dữ liệu lưu lượng thu thập từ nhà cung cấp dịch vụ mạng Netnam.
  • Tiêu chí và công thức đánh giá hiệu năng:
    • Độ nhạy (Detection Rate - $DR$), phân định thành độ nhạy phân loại ($DR_C$) và độ nhạy lọc bỏ ($DR_F$): $$DR = \frac{TP}{TP + FN}$$
    • Tỷ lệ báo động nhầm (False Positive Rate - $FPR$), phân định thành tỷ lệ phân loại nhầm ($FPR_C$) và tỷ lệ lọc bỏ nhầm ($FPR_F$): $$FPR = \frac{FP}{TN + FP}$$
    • Trong đó: $TP$ (True Positive - Tấn công nhận diện đúng là Tấn công), $TN$ (True Negative - Lành tính nhận diện đúng là Lành tính), $FP$ (False Positive - Lành tính nhận diện nhầm là Tấn công), $FN$ (False Negative - Tấn công nhận diện nhầm là Lành tính).
    • Các chỉ số bổ trợ: Tỷ lệ kết nối thành công ($SCR$), Thời gian kết nối trung bình ($ART$), Mức độ chiếm dụng CPU/RAM của bộ điều khiển và bộ chuyển mạch, Tỷ lệ đánh dấu thành công ($SMR$), Tỷ lệ gói tin bị đánh dấu ($MPR$), Tỷ lệ dung lượng gói tin bị đánh dấu ($MSR$).

Nội dung chính theo từng chương

Chương 1: Tấn công DDoS và các giải pháp phòng chống trong mạng SDN/Openflow

Chương 1 hệ thống hóa cơ sở lý luận về tấn công DoS/DDoS, kiến trúc SDN/OpenFlow và khảo sát các công trình liên quan:

  • Phân loại tấn công DDoS: Phân tích bản chất của tấn công làm lụt (UDP flood, ICMP flood, HTTP flood, Slowloris), tấn công khuếch đại (DNS, NTP reflection), và tấn công khai thác cơ chế bắt tay 3 bước TCP SYN Flood (tiêu tốn khối điều khiển truyền TCB dung lượng 128 KB tại máy chủ). Phân loại theo phương thức huy động: giả mạo địa chỉ IP nguồn, sử dụng botnet, hoặc kết hợp cả hai.
  • Đặc tính mạng SOHO: Chỉ ra các lỗ hổng mất an toàn trong mạng quy mô nhỏ do thiết bị không đồng nhất, thiếu chuyên gia quản trị và hạn chế về tài chính.
  • Nguyên lý kiến trúc SDN/OpenFlow: Trình bày chi tiết cơ chế hoạt động của bộ chuyển mạch OFS, cơ chế đường ống nhiều bảng luồng (pipeline), và vòng điều khiển khép kín giữa bộ điều khiển và ứng dụng an ninh qua REST API.
  • Nguy cơ an ninh nội tại của SDN: Đánh giá 4 vectơ tấn công DDoS vào các thành phần SDN: tạo luồng giả mạo làm tràn bảng luồng (Flow Table Overflow) và nghẽn kênh điều khiển, tấn công chiếm quyền bộ chuyển mạch, tấn công bộ điều khiển, và tấn công lớp ứng dụng.
  • Đánh giá cơ chế Connection Migration (CM) trong Avant-Guard: Phân tích 4 pha hoạt động của CM (Phân loại, Báo cáo, Di trú, Chuyển tiếp). Luận án chỉ ra 3 nhược điểm cốt lõi của CM: (1) Chia cắt phiên TCP thành hai nửa độc lập khiến OFS phải lưu trạng thái và liên tục tính toán lại số hiệu SEQ_Num/ACK_Num cùng mã kiểm tra Checksum; (2) Vô hiệu hóa các tham số tùy chọn TCP mở rộng (MSS, Selective ACK, Window Scaling); (3) Vi phạm nguyên lý SDN do đưa xử lý trạng thái phức tạp vào bộ chuyển mạch.

Chương 2: Đề xuất giải pháp phòng chống tấn công DDoS dựa trên dữ liệu thống kê và cơ chế xử lý gói tin của kỹ thuật SDN/Openflow

Chương 2 trình bày ba giải pháp được thiết kế thuần túy trên cơ sở dữ liệu thống kê và cơ chế luồng OpenFlow, hướng tới triển khai trực tiếp dưới dạng phần mềm tại lớp ứng dụng mà không cần thay đổi phần cứng hay bổ sung thiết bị ngoài:

+-----------------------------------------------------------------------------------+
| Các tham số thống kê trích xuất từ OpenFlow trong mô hình làm trơn hàm mũ         |
+----------+------------------------------------------+-----------------------------+
| Ký hiệu  | Tên tiếng Anh                            | Ý nghĩa kỹ thuật            |
+----------+------------------------------------------+-----------------------------+
| $SPA$    | Source-port number Per Address           | Số cổng nguồn trên một      |
|          |                                          | địa chỉ IP nguồn            |
+----------+------------------------------------------+-----------------------------+
| $DSPA$   | Deviation SPA                            | Độ lệch chuẩn hóa của chỉ   |
|          |                                          | số $SPA$                    |
+----------+------------------------------------------+-----------------------------+
| $PpF$    | Packet number per Flow                   | Số lượng gói tin trung bình |
|          |                                          | trong một luồng             |
+----------+------------------------------------------+-----------------------------+
| $DPpF$   | Deviation PpF                            | Độ lệch chuẩn hóa của chỉ   |
|          |                                          | số $PpF$                    |
+----------+------------------------------------------+-----------------------------+

  1. Giải pháp phát hiện và giảm thiểu DDoS dựa trên mô hình dự đoán làm trơn hàm mũ:

    • Hệ thống chuyển đổi giữa 3 trạng thái: Không bị tấn công, Nghi ngờ bị tấn công, và Đang bị tấn công.
    • Khai thác 4 tham số thống kê luồng: $SPA$, $DSPA$, $PpF$, và $DPpF$. Mô hình làm trơn hàm mũ liên tục cập nhật giá trị kỳ vọng của các tham số. Khi xảy ra tấn công làm lụt với IP giả mạo, các giá trị độ lệch $DSPA$ và $DPpF$ biến động vượt ngưỡng cho phép, kích hoạt quy trình phát hiện.
    • Thuật toán phân loại và lọc bỏ trực tuyến thực thi bằng cách điều chỉnh trường hành động (Action) của các mục luồng hoặc xóa bỏ thuộc tính OUTPUT, ngăn chặn gói tin rác đến máy chủ.

  2. Giải pháp giảm thiểu tấn công SYN Flood dựa trên cơ chế ủy nhiệm gói tin SYN tại Bộ điều khiển (SSP - SDN-based SYN Proxy):

    • Kiến trúc SSP sử dụng mô-đun SPM (SYN Proxy Module) tích hợp tại bộ điều khiển. Bộ chuyển mạch duy trì bảng giám sát luồng FMT (Flow Monitoring Table).
    • Khi gói tin SYN đến, OFS tạm thời chuyển thông tin về SPM để tạo gói SYN-ACK phản hồi với số tuần tự kiểm tra. Chỉ khi máy khách phản hồi gói CliACK hợp lệ, bộ điều khiển mới thiết lập mục luồng chuyển tiếp chính thức tới máy chủ đích.
    • Luận án phân tích hàm phân phối tích lũy (CDF) khoảng thời gian giữa gói SYN và CliACK từ dữ liệu thực tế để thiết lập tham số thời gian chờ tối ưu, tránh treo kết nối dang dở (HOC).
    • Đánh giá testbed cho thấy SSP duy trì tỷ lệ kết nối thành công $SCR$ cao, kiểm soát thời gian kết nối $ART$ và giới hạn mức tiêu thụ CPU của bộ điều khiển dưới 700 pps tấn công.

  3. Giải pháp đánh dấu gói tin PLA DFM (Packet Length Adaptive Deterministic Flow Marking) phục vụ truy vết:

    • Đề xuất cơ chế đánh dấu gói tin xác định thích ứng theo chiều dài gói tin tại bộ chuyển mạch biên SDN.
    • Luận án xác định giá trị ngưỡng đánh dấu $MT$ dựa trên giới hạn kích thước đơn vị truyền cực đại ($MTU$) của đường truyền (ví dụ: $MT = 288$).
    • Kết quả phân tích trên bộ dữ liệu CAIDA chứng minh PLA DFM đạt tỷ lệ đánh dấu thành công ($SMR$) cao hơn giải pháp DFM truyền thống mà không làm tăng tải dung lượng ($MSR$) hay gây phân mảnh gói tin tiêu đề.
+-----------------------------------------------------------------------------------+
| So sánh đặc tính đánh dấu gói tin giữa PLA DFM và DFM truyền thống (với MT = 288) |
+-------------+-----------------------------+---------------------------------------+
| Tiêu chí    | Kỹ thuật DFM truyền thống   | Kỹ thuật PLA DFM đề xuất              |
+-------------+-----------------------------+---------------------------------------+
| Xử lý MTU   | Cố định, dễ gây phân mảnh   | Thích ứng linh hoạt theo chiều dài    |
|             | khi kích thước gói lớn      | gói tin thứ nhất                      |
+-------------+-----------------------------+---------------------------------------+
| Tỷ lệ SMR   | Bị giới hạn ở gói tin dài   | Đạt tối đa trên các dải kích thước    |
+-------------+-----------------------------+---------------------------------------+
| Checksum    | Phải tính toán lại toàn bộ  | Tùy biến giá trị, giảm tải tính toán  |
+-------------+-----------------------------+---------------------------------------+

Chương 3: Đề xuất giải pháp phòng chống tấn công DDoS dựa trên kỹ thuật SDN/Openflow sử dụng thêm bộ phân tích và xử lý lưu lượng

Chương 3 giải quyết bài toán nâng cao hiệu năng phòng chống DDoS trong môi trường mạng có băng thông lớn hơn bằng cách đề xuất kiến trúc SDN mở rộng tích hợp thêm thiết bị phân tích và xử lý lưu lượng (Security Device - SD):

+-----------------------------------------------------------------------------------+
|               Kiến trúc SDN/OpenFlow mở rộng đề xuất trong Chương 3               |
|                                                                                   |
|   +---------------------------------------------------------------------------+   |
|   |                       LỚP ỨNG DỤNG (Application Layer)                    |   |
|   |            Ứng dụng FDDoM / Module quản trị chính sách an ninh            |   |
|   +---------------------------------------------------------------------------+   |
|                                      | REST API                                   |
|   +---------------------------------------------------------------------------+   |
|   |                       LỚP ĐIỀU KHIỂN (Control Layer)                      |   |
|   |                             SDN Controller                                |   |
|   +---------------------------------------------------------------------------+   |
|                         / OpenFlow                     \ Điều khiển               |
|   +------------------------------------+   +----------------------------------+   |
|   | LỚP HẠ TẦNG (Infrastructure Layer) |   | THIẾT BỊ BẢO MẬT CHUYÊN DỤNG     |   |
|   |      OpenFlow Switches (OFS)       |<--| Security Device (SD)             |   |
|   |  (FT1, FT3, chuyển tiếp luồng)     |   | (Phân tích IAT, PpF, RST Cookie) |   |
|   +------------------------------------+   +----------------------------------+   |
+-----------------------------------------------------------------------------------+

  1. Kiến trúc mạng SDN/OpenFlow mở rộng:

    • Bộ phân tích và xử lý lưu lượng (SD) đóng vai trò một thực thể xử lý phụ trợ kết nối trực tiếp với bộ chuyển mạch biên và chịu sự điều khiển của SDN Controller. Lưu lượng nghi ngờ được điều hướng (redirect) qua SD để phân tích chuyên sâu mà không tạo tải bản tin Packet-in lên kênh điều khiển OpenFlow.

  2. Giải pháp phân loại và giảm thiểu tấn công dựa trên thuật toán suy luận logic mờ (FDDoM):

    • Thuật toán FDDoM (Fuzzy Logic-based DDoS Mitigation) sử dụng 2 tham số lưu lượng đầu vào được trích xuất từ SD: Khoảng thời gian liên gói tin ($IAT$ - Inter Arrival Time) và Số gói tin trên một luồng ($PpF$).
    • Quá trình mờ hóa (fuzzification) sử dụng hai hàm thuộc tính Low và High. Hệ suy luận mờ tính toán chỉ thị đầu ra $Z$. Dựa trên giá trị $Z$, hệ thống phân loại chính xác các luồng tấn công, đạt độ nhạy lọc bỏ $DR_F$ cao và duy trì tỷ lệ báo động nhầm $FPR_F$ ở mức thấp.
    • Thử nghiệm trên hai bộ dữ liệu thực tế CAIDA và Netnam cho thấy giải pháp FDDoM làm giảm đáng kể số lượng mục luồng rác phải duy trì trên bảng luồng của bộ chuyển mạch biên OFS so với các mô hình mạng tương đương.
+-----------------------------------------------------------------------------------+
|  So sánh thông số lưu lượng thử nghiệm giải pháp FDDoM trên hai bộ dữ liệu thực   |
+---------------------+-------------------------------+-----------------------------+
| Thông số            | Bộ dữ liệu CAIDA 2013         | Bộ dữ liệu Netnam           |
+---------------------+-------------------------------+-----------------------------+
| Số lượng luồng      | Phân tích theo chu kỳ giám sát| Đo đạc thực tế theo phiên   |
| Phân bố IAT         | Đa phần tập trung mức thấp    | Phân tán theo lưu lượng web |
| Tỷ lệ nhận diện DR_F| Duy trì mức tiệm cận tối ưu   | Phân loại chính xác luồng rác|
| Tỷ lệ báo nhầm FPR_F| Mức thấp (< 2%)               | Mức thấp                    |
+---------------------+-------------------------------+-----------------------------+
  1. Giải pháp SSG (SDN-based SYN Flood Guard) sử dụng cơ chế ủy nhiệm tại SD:
    • Khắc phục triệt để hạn chế của cơ chế CM (Avant-Guard) bằng cách chuyển toàn bộ chức năng ủy nhiệm gói tin SYN và xác thực địa chỉ IP nguồn ra thiết bị SD, kết hợp thuật toán phản hồi RST Cookie.
    • Tổ chức các bảng luồng chuyên biệt trên OFS: Bảng FT1 và Bảng FT3 kết hợp với danh sách các kết nối dang dở (Half Open Connections - HOCs).
    • Cơ chế hoạt động: Khi máy chủ ở trạng thái bị tấn công, gói SYN được chuyển tiếp tới SD. SD gửi gói phản hồi mang giá trị RST Cookie. Nếu máy khách gửi lại yêu cầu kết nối với giá trị hợp lệ chứng minh IP nguồn là thật, mục luồng thông suốt mới được thiết lập trực tiếp giữa máy khách và máy chủ.
    • Kết quả thử nghiệm trên testbed: SSG không làm phân mảnh kết nối TCP, giữ nguyên vẹn các tham số TCP options, giảm thời gian thiết lập kết nối $ART$, giảm tải tiêu thụ CPU/RAM trên OFS, và triệt tiêu nguy cơ nghẽn giao diện OpenFlow do tấn công SYN Flood tạo ra.

Kết quả và những đóng góp mới

Đóng góp về mặt lý luận và khoa học

  1. Phát triển các mô hình và thuật toán phát hiện, phân loại DDoS tối ưu cho SDN:

    • Xây dựng mô hình phát hiện trực tuyến dựa trên thuật toán làm trơn hàm mũ kết hợp 4 chỉ số thống kê đặc trưng ($SPA$, $DSPA$, $PpF$, $DPpF$) thích ứng với dữ liệu luồng OpenFlow.
    • Xây dựng hệ suy luận logic mờ FDDoM dựa trên 2 tham số $IAT$ và $PpF$, cho phép lượng hóa mức độ bất thường của luồng lưu lượng với độ phức tạp tính toán thấp.
    • Đề xuất kỹ thuật đánh dấu gói tin PLA DFM có khả năng tự thích ứng với kích thước gói tin đầu tiên của luồng và tương thích ngưỡng $MTU$, giải quyết bài toán truy vết nguồn phát tấn công trên hạ tầng mạng SDN.

  2. Đề xuất các kiến trúc phòng chống tấn công mới trên nền tảng SDN/OpenFlow:

    • Thiết kế cơ chế ủy nhiệm SYN phân tán (SSP) tại bộ điều khiển kết hợp hiệu chỉnh thời gian chờ theo phân phối tích lũy CDF thực tế của lưu lượng.
    • Đề xuất kiến trúc SDN/OpenFlow mở rộng tích hợp thiết bị phân tích và xử lý lưu lượng (SD), giải quyết mâu thuẫn giữa nhu cầu phân tích sâu gói tin và nguy cơ gây quá tải kênh điều khiển OpenFlow.
    • Phát triển giải pháp SSG kết hợp RST Cookie tại SD, khắc phục toàn diện các hạn chế kỹ thuật của cơ chế Connection Migration trong Avant-Guard, bảo toàn tính nguyên vẹn của giao thức TCP và nguyên lý thiết kế SDN.

Đóng góp về mặt thực tiễn và giải pháp đề xuất

  • Cung cấp gói giải pháp an ninh mềm dẻo, có khả năng triển khai trực tiếp trên các mạng quy mô nhỏ (SOHO) dưới dạng module phần mềm mà không cần đầu tư trang thiết bị phần cứng đắt tiền.
  • Cung cấp mô hình kiến trúc mở rộng và các thuật toán đã được kiểm nghiệm thực nghiệm trên các bộ dữ liệu chuẩn (CAIDA 2013, Netnam), làm tài liệu thiết kế hệ thống bảo mật mạng thế hệ mới cho các doanh nghiệp và nhà cung cấp dịch vụ mạng.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế của nghiên cứu

  • Phạm vi nghiên cứu của luận án chủ yếu tập trung vào hệ thống mạng quy mô nhỏ và vừa (mạng SOHO) với cấu hình đơn bộ điều khiển (single controller).
  • Các kịch bản thử nghiệm tập trung chủ yếu vào các dạng tấn công làm lụt phổ biến (TCP SYN Flood, UDP/ICMP flood, giả mạo IP nguồn), chưa bao quát toàn bộ các hình thức tấn công phức tạp ở tầng ứng dụng hoặc các cuộc tấn công tốc độ thấp tinh vi kéo dài (Low-rate DDoS / Slowloris ở mức độ cao).
  • Việc đánh giá kiến trúc mở rộng với thiết bị SD mới được kiểm nghiệm trên quy mô mô hình thử nghiệm (testbed), chưa triển khai thực tế trên diện rộng ở các mạng đường trục viễn thông.

Hướng nghiên cứu tiếp theo

  • Mở rộng nghiên cứu và thử nghiệm các giải pháp trên môi trường mạng diện rộng, mạng trung tâm dữ liệu quy mô lớn với kiến trúc đa bộ điều khiển phân tán (Multi-controller SDN).
  • Nghiên cứu tối ưu hóa hiệu năng và tài nguyên phần cứng cho thiết bị phân tích lưu lượng chuyên dụng SD khi xử lý lưu lượng đạt mức 10 Gbps - 100 Gbps.
  • Tích hợp thêm các kỹ thuật học máy nâng cao để tăng cường khả năng phát hiện các mẫu tấn công DoS/DDoS tốc độ chậm (low-rate) và các cuộc tấn công phân tán tinh vi nhắm vào tầng ứng dụng.

Giá trị tham khảo

Luận án mang lại giá trị tham khảo khoa học và ứng dụng thực tiễn cho nhiều đối tượng:

  • Nghiên cứu sinh, học viên cao học và sinh viên ngành Kỹ thuật Viễn thông, Công nghệ Thông tin, An toàn Thông tin: Tài liệu cung cấp cơ sở lý thuyết chuẩn xác về kiến trúc SDN, giao thức OpenFlow, cấu trúc bảng luồng, cơ chế xử lý gói tin và phương pháp đánh giá định lượng các cuộc tấn công DDoS.
  • Kỹ sư thiết kế và quản trị mạng: Tham khảo trực tiếp kiến trúc hệ thống SSP, SSG và thuật toán logic mờ FDDoM để cấu hình, tối ưu hóa chính sách an ninh cho hệ thống mạng nội bộ và mạng doanh nghiệp nhỏ mà không làm phát sinh chi phí phần cứng chuyên dụng.
  • Các nhà phát triển hệ thống bảo mật mạng: Ứng dụng nguyên lý đánh dấu gói tin PLA DFM để phục vụ bài toán truy vết nguồn phát lưu lượng độc hại, cũng như khai thác mô hình kết hợp SDN với thiết bị phân tích phụ trợ SD để giảm tải cho bộ điều khiển trung tâm.

Câu hỏi thường gặp

1. Cơ chế ủy nhiệm gói tin SYN trong giải pháp SSP tại Bộ điều khiển hoạt động như thế nào?

Trong giải pháp SSP (Chương 2), khi gói tin SYN từ máy khách chuyển đến, bộ chuyển mạch OFS không gửi trực tiếp tới máy chủ nội bộ mà tạo sự kiện chuyển thông tin tới mô-đun SPM trên Bộ điều khiển. SPM đại diện cho máy chủ gửi lại gói SYN-ACK xác thực. Khi nhận được gói CliACK hợp lệ từ máy khách, SPM mới khẳng định kết nối là lành tính và ra lệnh cài đặt mục luồng trên OFS để cho phép phiên truyền dữ liệu thông suốt tới máy chủ. Điều này ngăn chặn triệt để các gói tin SYN giả mạo chiếm dụng bộ nhớ TCB của máy chủ.

2. Kỹ thuật đánh dấu gói tin PLA DFM khắc phục nhược điểm gì của kỹ thuật DFM truyền thống?

Kỹ thuật DFM truyền thống có tỷ lệ đánh dấu cố định và dễ gây hiện tượng phân mảnh gói tin khi chiều dài gói tin vượt quá giới hạn $MTU$ của đường truyền. Giải pháp PLA DFM (Chương 2) khắc phục điều này bằng cách đưa ra cơ chế thích ứng theo chiều dài gói tin thực tế và thiết lập giá trị ngưỡng đánh dấu $MT$ phù hợp với từng môi trường mạng truyền dẫn, kết hợp tùy biến trường Checksum, giúp đạt tỷ lệ đánh dấu thành công $SMR$ cao mà không làm gia tăng dung lượng hay gây phân mảnh gói tin.

3. Thuật toán logic mờ FDDoM trong Chương 3 sử dụng các biến đầu vào nào và hoạt động ra sao?

Thuật toán FDDoM sử dụng 2 tham số đầu vào được đo đạc bởi thiết bị phân tích SD: Khoảng thời gian liên gói tin ($IAT$) và Số lượng gói tin trên một luồng ($PpF$). Hai thông số này được mờ hóa thành các tập mờ Low và High. Hệ suy luận mờ sau đó tính toán chỉ thị đầu ra $Z$. Nếu giá trị $Z$ rơi vào vùng nguy hại vượt ngưỡng cho phép, hệ thống xác định luồng đó là lưu lượng tấn công DDoS và gửi lệnh cấu hình xuống OFS để lọc bỏ luồng một cách tự động.

4. Giải pháp SSG (SDN-based SYN Flood Guard) vượt trội hơn cơ chế Connection Migration (CM) của Avant-Guard ở những điểm nào?

Cơ chế CM của Avant-Guard tích hợp xử lý SYN Cookie trực tiếp tại bộ chuyển mạch OFS, dẫn đến việc phân chia kết nối TCP thành 2 nửa riêng biệt, tiêu tốn tài nguyên switch để sửa đổi số hiệu tuần tự và vô hiệu hóa các tùy chọn TCP mở rộng. Giải pháp SSG (Chương 3) chuyển toàn bộ tác vụ xử lý ủy nhiệm và xác thực IP nguồn (bằng RST Cookie) sang thiết bị phụ trợ SD. Nhờ đó, SSG giữ nguyên bản chất chuyển tiếp luồng đơn giản của OFS, bảo toàn các tham số tùy chọn TCP, giảm độ trễ thiết lập kết nối $ART$ và loại bỏ nguy cơ quá tải bảng luồng trên bộ chuyển mạch.

Kết luận

Luận án của nghiên cứu sinh Đặng Văn Tuyên đã giải quyết thành công bài toán phát hiện và giảm thiểu tấn công DDoS trên nền tảng công nghệ SDN/OpenFlow cho mạng quy mô nhỏ và vừa. Tác giả đã đề xuất một hệ thống giải pháp toàn diện bao gồm: mô hình làm trơn hàm mũ các tham số thống kê lu học, kỹ thuật ủy nhiệm SYN Proxy (SSP), kỹ thuật đánh dấu gói tin thích ứng PLA DFM, cùng kiến trúc SDN mở rộng kết hợp thuật toán logic mờ FDDoM và giải pháp SSG. Các kết quả nghiên cứu lý thuyết và kiểm nghiệm thực nghiệm trên các bộ dữ liệu chuẩn (CAIDA, Netnam) đã chứng minh tính hiệu quả của các giải pháp trong việc nâng cao độ nhạy phát hiện, giảm thiểu lưu lượng tấn công, bảo toàn hiệu năng mạng và khắc phục các điểm nghẽn cố hữu của kiến trúc mạng SDN/OpenFlow.