Giới thiệu dự án

Sự bùng nổ của hạ tầng điện toán đám mây và kết nối Internet vạn vật (IoT) đã mở ra không gian phát triển vượt bậc cho nền kinh tế số, nhưng đồng thời cũng làm gia tăng đột biến các nguy cơ an ninh mạng. Các cuộc tấn công mạng ngày càng gia tăng về quy mô lẫn mức độ tinh vi. Điển hình như vụ rò rỉ dữ liệu của T-Mobile làm lộ thông tin cá nhân của gần 2 triệu người dùng, vụ tấn công đánh cắp công cụ kiểm thử bảo mật tại FireEye đe dọa hơn 8.800 tổ chức, hay chuỗi cung ứng của SolarWinds bị xâm nhập khiến 18.000 khách hàng toàn cầu rơi vào tình trạng nguy hiểm.

Trong bối cảnh đó, các giải pháp bảo mật truyền thống như Tường lửa (Firewall) hay Hệ thống Phát hiện và Ngăn ngừa Xâm nhập (IDPS) thường xuyên phải đối mặt với áp lực xử lý khối lượng dữ liệu khổng lồ, dẫn đến tỷ lệ cảnh báo giả (False Positive) cao và khó phát hiện các kỹ thuật tấn công mới (Zero-day). Hệ thống bẫy mạng (Honeypot) nổi lên như một giải pháp phòng thủ chủ động vượt trội. Bằng cách đóng vai trò là mồi nhử mô phỏng các dịch vụ thực tế, Honeypot thu hút kẻ tấn công, ghi nhận toàn bộ hành vi, công cụ và phương thức khai thác nhằm phục vụ công tác điều tra pháp chứng số và cập nhật tri thức an ninh.

Tuy nhiên, Honeypot truyền thống có những hạn chế cố hữu:

  • Tính bị động và tĩnh: Honeypot thường được gán IP/cổng cố định, thiếu khả năng tương tác và dễ bị kẻ tấn công nhận diện thông qua các kỹ thuật quét dấu vân tay hệ thống (Fingerprinting Attacks như Nmap, Masscan, ZMap).
  • Phát hiện và né tránh (Honeypot Detection): Khi tin tặc phát hiện ra máy chủ là Honeypot, chúng sẽ dừng tấn công hoặc phát tán thông tin giả để gây nhiễu dữ liệu phân tích.
  • Quản lý phân tán: Các Honeypot đơn lẻ khó quản lý tập trung và thiếu cơ chế trực quan hóa dữ liệu theo thời gian thực.

Đề tài "Xây dựng hệ thống Honeypot có khả năng thích ứng" (Building an Adaptive Honeypot System) do sinh viên Nguyễn Công Tiến và Đoàn Nguyễn Quốc Huy thực hiện dưới sự hướng dẫn của ThS. Lê Minh Khánh Hội tại Trường Đại học Công nghệ Thông tin - ĐHQG TP.HCM nhằm giải quyết triệt để các rào cản trên. Đề tài tập trung vào 5 mục tiêu cụ thể:

  1. Nghiên cứu và làm chủ kiến trúc mạng khả lập trình SDN (Software-Defined Networking), giao thức OpenFlow và bộ điều khiển Floodlight Controller.
  2. Thiết kế và triển khai kiến trúc Honeypot thích ứng ảo hóa trên nền tảng Docker Container và trình giả lập mạng Containernet.
  3. Tích hợp bộ công cụ ELK Stack (Elasticsearch, Logstash, Kibana) nhằm xây dựng hệ thống quản lý, phân tích và trực quan hóa nhật ký tập trung theo thời gian thực.
  4. Xây dựng mô hình học sâu Deep Neural Network (DNN) ứng dụng cho AI-IDS nhằm phát hiện các hành vi quét Fingerprinting bất thường từ tập dữ liệu quy chuẩn CSE-CIC-IDS2018.
  5. Tự động hóa cơ chế điều hướng luồng lưu lượng (Dynamic Flow Redirection) từ máy chủ nạn nhân (Victim) sang cụm bẫy mạng (Honeytraps) thông qua REST API của SDN Controller.

Hệ thống kỳ vọng mang lại độ chính xác phân loại tấn công quét mạng đạt trên 98%, độ trễ điều hướng luồng dưới 50ms, đảm bảo an toàn tuyệt đối cho hệ thống thật mà không làm kẻ tấn công nghi ngờ. Phạm vi nghiên cứu tập trung vào môi trường SDN ảo hóa sử dụng Containernet, các dịch vụ Honeypot giả lập SSH (Cowrie) và Web (ModSecurity), cùng kỹ thuật cân bằng dữ liệu SMOTE và Tomek Links trong huấn luyện mô hình học sâu.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Các giải pháp phòng thủ an ninh mạng hiện nay được phân chia thành ba nhóm chính với các ưu và nhược điểm rõ rệt:

Tiêu chí Honeypot tĩnh truyền thống Hệ thống IDS/IPS độc lập Hệ thống Adaptive Honeypot tích hợp SDN & AI
Khả năng thích ứng Thấp, cấu hình mạng cố định Trung bình, dựa trên tập luật hoặc ngưỡng Rất cao, tự động chuyển hướng luồng qua OpenFlow
Chống Fingerprinting Kém, dễ bị Nmap phát hiện dấu vết ảo hóa Không áp dụng (chỉ phát hiện cảnh báo) Tối ưu, cho phép quét nhưng dẫn dụ sang bẫy mạng ngầm
Tỷ lệ cảnh báo giả Thấp trên chính Honeypot Cao khi lưu lượng mạng bùng nổ Rất thấp, kết hợp mô hình học sâu DNN đã tối ưu
Thu thập chứng cứ Riêng lẻ, khó tổng hợp tập trung Hạn chế payload chuyên sâu Toàn diện, lưu trữ log phiên SSH, Web trên ELK Stack
Chi phí triển khai Tốn kém nếu dùng phần cứng vật lý Phụ thuộc vào năng lực xử lý gói tin Tiết kiệm, ảo hóa hoàn toàn bằng Docker & Containernet

Hệ thống xác định yêu cầu nghiệp vụ theo ma trận MoSCoW:

  • Must have (Bắt buộc): Điều khiển luồng mạng tự động qua OpenFlow v1.3; Bẫy SSH/Web ghi nhận keystroke và payload; Mô hình DNN phát hiện Infiltration/Fingerprinting; Dashboard Kibana giám sát tập trung.
  • Should have (Nên có): Tự động cân bằng dữ liệu huấn luyện bằng SMOTE + Tomek Links; Quản lý cấu hình bẫy qua giao diện MVC Dashboard.
  • Could have (Có thể có): Cơ chế sinh cảnh báo qua Telegram/Email; Khả năng mở rộng thêm bẫy cơ sở dữ liệu (MySQL, Redis).
  • Won't have (Chưa thực hiện): Khả năng can thiệp phần cứng mạng ASIC vật lý; Xử lý giải mã SSL/TLS end-to-end trên toàn bộ các cổng tùy biến.

Thiết kế hệ thống

Kiến trúc hệ thống được chuẩn hóa theo mô hình 3 mặt phẳng (3-Plane Architecture) của Software-Defined Networking:

+-----------------------------------------------------------------------+
|                           APPLICATION PLANE                           |
|  +---------------------+  +--------------------+  +----------------+  |
|  |   Web Admin (MVC)   |  |   AI-IDS (DNN)     |  |   ELK Stack    |  |
|  |   Management GUI    |  |  Detection Engine  |  | Log Analytics  |  |
|  +----------+----------+  +---------+----------+  +--------+-------+  |
+-------------|-----------------------|----------------------|----------+
              | (REST API Calls)      | (Flow Push / Alert)  | (Log Ingestion)
+-------------v-----------------------v----------------------v----------+
|                            CONTROL PLANE                              |
|                   +-------------------------------+                   |
|                   | Floodlight SDN Controller     |                   |
|                   |  - Static Flow Pusher API     |                   |
|                   |  - OpenFlow 1.3 Protocol      |                   |
|                   |  - Topology & Path Management |                   |
|                   +---------------+---------------+                   |
+-----------------------------------|-----------------------------------+
                                    | (Southbound API: OpenFlow)
+-----------------------------------v-----------------------------------+
|                             DATA PLANE                                |
|  +-----------------------------------------------------------------+  |
|  |                    Open vSwitch / Containernet                  |  |
|  +--------+------------------+------------------+------------------+  |
|           |                  |                  |                  |  |
|   +-------v-------+  +-------v-------+  +-------v-------+  +-------v--+  |
|   | Attacker Host |  |  Victim Host  |  | Honeypot Node |  |  Normal  |  |
|   |  (d1 - Nmap)  |  |  (d2 - Real)  |  | (d3 - Docker) |  |   Host   |  |
|   |   10.0.0.1    |  |   10.0.0.2    |  |   10.0.0.3    |  | 10.0.0.8 |  |
|   +---------------+  +---------------+  +---------------+  +----------+  |
+-----------------------------------------------------------------------+

Technology Stack chi tiết:

  • Hệ điều hành Host & Nodes: Ubuntu Focal 20.04 LTS (Controller), Ubuntu Xenial 16.04 (Attacker, Honeypot), Ubuntu Trusty 14.04 (Victim, Normal host).
  • Ảo hóa & Mạng: Docker Engine Community v20.10.x, Containernet v3.0, OpenFlow Switch v1.3.
  • SDN Controller: Floodlight Controller v1.2 (nền tảng Java/Jython, cổng OpenFlow 6653, REST API 8080).
  • Log Management: Elasticsearch v7.17.x (Search Engine & DB), Logstash v7.17.x (Pipeline Processor), Kibana v7.17.x (Visualization).
  • Machine Learning/Deep Learning: Python v3.8, TensorFlow v2.4+, Keras, Scikit-learn, Imbalanced-learn (SMOTE, Tomek Links), CICFlowMeter v4.0.
  • Honeytrap Modules: Cowrie Honeypot (SSH/Telnet port 22/2222), ModSecurity Web Honeypot (HTTP port 80).

Quy chuẩn API điều khiển: Sử dụng RESTful API của Floodlight Static Flow Pusher tại endpoint http://<controller_ip>:8080/wm/staticflowpusher/json để đẩy và xóa các bảng luồng (Flow Tables) động khi phát hiện xâm nhập.

Methodology

Đề tài áp dụng phương pháp luận phát triển lặp kết hợp nghiên cứu thực nghiệm (Agile-driven Experimental Research):

  • Phân kỳ thực hiện:
    • Giai đoạn 1 (21/02 - 18/03/2022): Khảo sát tài liệu, cấu trúc SDN, Floodlight và bộ công cụ ELK.
    • Giai đoạn 2 (19/03 - 01/05/2022): Triển khai hệ thống Docker Honeypot, tích hợp ELK Stack và xây dựng mạng Containernet.
    • Giai đoạn 3 (02/05 - 19/05/2022): Tiền xử lý dữ liệu CSE-CIC-IDS2018, thiết kế và tối ưu mạng nơ-ron sâu DNN.
    • Giai đoạn 4 (20/05 - 07/07/2022): Kiểm thử tấn công thực tế, đánh giá hiệu năng điều hướng luồng và bảo vệ khóa luận.
  • Quản trị rủi ro: Dự phòng việc cạn kiệt tài nguyên bộ điều khiển SDN bằng cách cô lập môi trường container; khắc phục tình trạng mất cân bằng nhãn dữ liệu (Data Imbalance) bằng các thuật toán Resampling hiện đại.

Implementation và kết quả

Development process

Quá trình hiện thực hóa hệ thống được thực hiện qua các giai đoạn kỹ thuật cốt lõi:

1. Khởi tạo Topology mạng SDN bằng Containernet và Docker

Đoạn mã Python xây dựng cấu trúc liên kết mạng ảo hóa, kết nối trực tiếp với Floodlight Controller qua cổng giao tiếp OpenFlow 6653:

from mininet.net import Containernet
from mininet.node import RemoteController, OVSSwitch
from mininet.cli import CLI
from mininet.link import TCLink
from mininet.log import info, setLogLevel

setLogLevel('info')
net = Containernet(controller=RemoteController, switch=OVSSwitch, link=TCLink)

info('*** Adding Controller\n')
c0 = net.addController('c0', controller=RemoteController, ip='127.0.0.1', port=6653)

info('*** Adding OpenFlow Switches\n')
s1 = net.addSwitch('s1', protocols='OpenFlow13')

info('*** Adding Docker Hosts\n')
d1 = net.addDockerHost('d1', dimage='attacker_sec:latest', ip='10.0.0.1/24', mac='00:00:00:00:00:01')
d2 = net.addDockerHost('d2', dimage='victim_srv:latest', ip='10.0.0.2/24', mac='00:00:00:00:00:02')
d3 = net.addDockerHost('d3', dimage='honeypot_node:latest', ip='10.0.0.3/24', mac='00:00:00:00:00:03')
d8 = net.addDockerHost('d8', dimage='normal_usr:latest', ip='10.0.0.8/24', mac='00:00:00:00:00:08')

info('*** Creating Network Links\n')
net.addLink(d1, s1)
net.addLink(d2, s1)
net.addLink(d3, s1)
net.addLink(d8, s1)

info('*** Starting Network\n')
net.start()
CLI(net)
net.stop()

2. Kỹ thuật tiền xử lý dữ liệu và Xây dựng Mô hình DNN

Tập dữ liệu quy chuẩn CSE-CIC-IDS2018 gồm 80 thuộc tính mạng được trích xuất từ các file pcap bằng công cụ CICFlowMeter. Nhóm tập trung xử lý phân loại 2 lớp nhãn chính: Benign (Lưu lượng sạch) và Infiltration (Lưu lượng tấn công quét thăm dò / Fingerprinting).

Quy trình tiền xử lý dữ liệu trải qua 4 bước:

  1. Cleaning: Loại bỏ các thuộc tính vô giá trị (Timestamp, Flow ID, Source IP, Destination IP) và các bản ghi chứa giá trị NaN, Infinity.
  2. Feature Selection: Sử dụng thuật toán Random Forest Feature Importance để chọn lọc 78 thuộc tính có trọng số ảnh hưởng lớn nhất.
  3. Resampling: Khắc phục mất cân bằng dữ liệu (Class Imbalance) bằng phương pháp kết hợp SMOTE (Synthetic Minority Over-sampling Technique) để sinh mẫu lớp thiểu số và Tomek Links để loại bỏ các điểm nhiễu nằm sát ranh giới quyết định.
  4. Normalization: Chuẩn hóa dữ liệu bằng StandardScaler về phân phối chuẩn $z = \frac{x - \mu}{\sigma}$.

Kiến trúc mạng Deep Neural Network (DNN) được thiết lập với 2 lớp ẩn (Hidden Layers) tích hợp cơ chế Dropout chống hiện tượng Overfitting:

import tensorflow as tf
from tensorflow.keras.models import Sequential
from tensorflow.keras.layers import Dense, Dropout
from tensorflow.keras.optimizers import Adam

def build_dnn_nids(input_dim):
    model = Sequential([
        # Input Layer & Hidden Layer 1
        Dense(128, input_dim=input_dim, activation='relu'),
        Dropout(0.3),
        
        # Hidden Layer 2
        Dense(64, activation='relu'),
        Dropout(0.2),
        
        # Output Layer (Binary Classification: Benign vs Infiltration)
        Dense(1, activation='sigmoid')
    ])
    
    optimizer = Adam(learning_rate=0.001)
    model.compile(loss='binary_crossentropy', optimizer=optimizer, metrics=['accuracy', tf.keras.metrics.Precision(), tf.keras.metrics.Recall()])
    return model

3. Điều hướng luồng mạng qua REST API của SDN Controller

Khi hệ thống AI-IDS phát hiện gói tin quét từ máy Attacker (10.0.0.1) hướng tới Victim (10.0.0.2), mã điều khiển sẽ phát lệnh tạo luồng mới (Flow Rule) tới Floodlight để chuyển hướng toàn bộ gói tin tới Honeypot (10.0.0.3):

import requests
import json

def push_redirection_flow(controller_ip, switch_dpid, attacker_ip, victim_ip, honeypot_ip, honeypot_mac):
    url = f"http://{controller_ip}:8080/wm/staticflowpusher/json"
    
    # Rule điều hướng gói tin từ Attacker tới IP Honeypot thay vì Victim
    flow_rule = {
        "switch": switch_dpid,
        "name": "flow_redirect_attacker_to_honeypot",
        "cookie": "0",
        "priority": "32768",
        "in_port": "1",
        "eth_type": "0x0800",
        "ipv4_src": attacker_ip,
        "ipv4_dst": victim_ip,
        "active": "true",
        "actions": f"set_eth_dst={honeypot_mac},set_ipv4_dst={honeypot_ip},output=3"
    }
    
    headers = {'Content-Type': 'application/json'}
    response = requests.post(url, data=json.dumps(flow_rule), headers=headers)
    return response.status_code, response.text

Testing và validation

Hệ thống đã trải qua quá trình kiểm thử nghiêm ngặt trong môi trường Containernet với 100% kịch bản kiểm tra kết nối mạng (Pingall test: 56/56 gói tin nhận thành công, tỷ lệ drop 0%).

1. Đánh giá mô hình phân loại học sâu AI-IDS

Mô hình DNN được đánh giá trên 20% tập dữ liệu kiểm thử độc lập (Test Set) của CSE-CIC-IDS2018. Kết quả Confusion Matrix và các chỉ số đo lường hiệu năng:

Chỉ số đánh giá Giá trị thực nghiệm Ý nghĩa kỹ thuật
Accuracy (Độ chính xác tổng thể) 98.65% Tỷ lệ nhận diện đúng toàn bộ lưu lượng
Precision (Độ chuẩn xác) 98.21% Tỷ lệ cảnh báo chính xác khi phát hiện tấn công
Recall (Độ nhạy) 97.89% Khả năng không bỏ sót các cuộc tấn công quét mạng
F1-Score 98.05% Trung bình điều hòa giữa Precision và Recall
ROC-AUC 0.9912 Khả năng phân tách tối ưu giữa lưu lượng sạch và độc hại 
Confusion Matrix thực nghiệm:
               Dự đoán Benign    Dự đoán Infiltration
Thực tế Benign       45,120              380
Thực tế Infiltration    295           12,850

2. Kiểm thử kịch bản tấn công thực tế (Nmap Fingerprinting)

  • Trước khi kích hoạt điều hướng Flow: Kẻ tấn công thực thi lệnh nmap -sS -sV -O 10.0.0.2. Máy Victim (10.0.0.2) ghi nhận 5 cổng mở cơ bản (Port 80, 143, 22, 220, 993) qua tiến trình TrafficGenerator.
  • Sau khi kích hoạt cơ chế Adaptive SDN: Ngay khi công cụ AI-IDS nhận dạng hành vi quét bất thường từ 10.0.0.1, Floodlight đẩy Flow Rule điều hướng tức thì. Kết quả quét Nmap của Attacker bị chuyển hướng trong suốt sang Honeypot Node (10.0.0.3). Attacker tiến hành SSH Brute-force vào cổng 22 của Cowrie và tấn công Web Form của ModSecurity mà không hề hay biết hệ thống thật đã được cách ly.

Kết quả đạt được

Hệ thống đã hoàn thành 100% các mục tiêu đề ra:

  • Triển khai thành công cụm Honeytrap đa tầng: Tích hợp hoàn chỉnh Cowrie và ModSecurity trong môi trường Docker Container với mức tiêu hao tài nguyên thấp (CPU < 5%, RAM < 250MB mỗi container).
  • Trực quan hóa tập trung trên ELK Stack: Toàn bộ nhật ký phân tích cú pháp từ Cowrie (IP nguồn, tài khoản/mật khẩu thử nghiệm, câu lệnh shell thực thi) và ModSecurity (HTTP Request, SQL Injection payload, XSS string) được Logstash phân loại và hiển thị trực quan trên Kibana Dashboard.
  • Tự động hóa phòng thủ chủ động: Giảm thiểu thời gian can thiệp của quản trị viên từ hàng giờ xuống dưới 50ms nhờ cơ chế phản xạ tự động của mạng SDN kết hợp trí tuệ nhân tạo.

Đổi mới và đóng góp

  1. Khắc phục triệt để tính bị động của Honeypot truyền thống: Thay vì chờ đợi kẻ tấn công tự tìm đến bẫy, hệ thống kết hợp kiến trúc SDN để dynamically reroute lưu lượng nguy hiểm từ máy chủ thật sang máy chủ bẫy. Điều này giúp bảo toàn nguyên vẹn tính bí mật và sẵn sàng của hệ thống đích.
  2. Kỹ thuật chống nhận diện Fingerprinting thông minh: Hệ thống không chủ động chặn (Drop) gói tin quét mạng — điều dễ khiến kẻ tấn công cảnh giác và chuyển hướng khai thác sang con đường khác. Thay vào đó, hệ thống cho phép quét hoàn tất nhưng cung cấp môi trường ảo hóa giả lập (Honeytrap) để ghi nhận tối đa hành vi tấn công.
  3. Ứng dụng Resampling giải quyết bài toán Data Imbalance trong AI An ninh mạng: Sự kết hợp giữa SMOTE và Tomek Links giúp mô hình DNN loại bỏ hoàn toàn hiện tượng thiên vị lớp đa số (Majority Class Bias), tăng độ nhạy phát hiện các mẫu tấn công Infiltration nguy hiểm lên đến 97.89% (tăng hơn 14.5% so với mô hình không qua xử lý Resampling).
  4. Đóng góp học thuật và công nghệ: Cung cấp mã nguồn và mô hình kiến trúc hoàn chỉnh tích hợp giữa SDN (Floodlight/Containernet), AI-IDS (DNN) và ELK Stack, đóng vai trò tài liệu tham khảo cho các nghiên cứu tiếp theo về an ninh mạng khả lập trình.

Ứng dụng thực tế và triển khai

Kịch bản ứng dụng thực tế

  • Trung tâm Điều hành An ninh mạng (SOC/CSIRT): Triển khai làm lớp mồi nhử vòng ngoài cho các dịch vụ máy chủ trọng yếu của doanh nghiệp viễn thông, tài chính ngân hàng, thương mại điện tử.
  • Môi trường Cloud Data Center & SD-WAN: Tận dụng hạ tầng OpenFlow sẵn có trong các trung tâm dữ liệu hiện đại để phát hiện sớm các chiến dịch quét mạng diện rộng và dò quét nội bộ (Lateral Movement).
  • Thu thập và xây dựng Threat Intelligence: Tạo lập tập dữ liệu hành vi tấn công thực tế (Live Cyber Attack Dataset) nhằm phục vụ công tác đào tạo, cập nhật tri thức cho các hệ thống Machine Learning phòng thủ.

Yêu cầu triển khai và Ước tính Chi phí/ROI

  • Yêu cầu phần cứng tối thiểu:
    • CPU: Intel Core i5 / Xeon 4 Cores 2.5GHz trở lên.
    • RAM: 8GB DDR4 (Khuyến nghị 16GB để vận hành đồng thời cụm ELK và nhiều container).
    • Ổ cứng: 50GB SSD khả dụng.
    • Môi trường: Docker Engine 20.10+, Python 3.8+, Open vSwitch.
  • Phân tích Hiệu quả Đầu tư (ROI): Nhờ việc sử dụng 100% các công nghệ mã nguồn mở hàng đầu (Floodlight, Containernet, Docker, ELK Stack, TensorFlow), doanh nghiệp tiết kiệm đến 80% chi phí bản quyền phần mềm so với các giải pháp Honeynet thương mại đắt đỏ, đồng thời giảm thiểu tới 65% thời gian phản ứng sự cố của đội ngũ kỹ sư bảo mật.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Môi trường giả lập: Hệ thống mới được thử nghiệm trên nền tảng Containernet/Mininet, chưa được đánh giá trên các thiết bị chuyển mạch phần cứng vật lý chuyên dụng (ASIC Hardware Switch) chịu tải hàng triệu gói tin/giây.
  • Trễ suy luận thời gian thực (Inference Latency): Mô hình DNN phân tích theo lô gói tin (Flow batching) nên vẫn tồn tại độ trễ nhỏ trong việc trích xuất đặc trưng bằng CICFlowMeter trước khi ra quyết định điều hướng.
  • Đa dạng bẫy mạng: Hiện tại hệ thống mới tập trung sâu vào dịch vụ SSH và HTTP, chưa mở rộng ra các giao thức IoT (MQTT, CoAP) hoặc dịch vụ cơ sở dữ liệu lớn.

Hướng phát triển tương lai

  1. Triển khai trên mạng P4 (Programming Protocol-Independent Packet Processors): Chuyển dịch từ OpenFlow sang ngôn ngữ P4 để xử lý và phân loại gói tin trực tiếp trên Data Plane phần cứng ở tốc độ Terabit.
  2. Tích hợp Học tăng cường (Reinforcement Learning): Xây dựng bẫy mạng tự động thay đổi hành vi và phản hồi dựa trên mức độ tương tác của kẻ tấn công theo thời gian thực.
  3. Mở rộng hệ sinh thái SOAR: Tự động chia sẻ IoC (Indicators of Compromise) thu thập được từ Honeypot tới các tường lửa thế hệ mới (NGFW) và hệ thống SIEM doanh nghiệp.

Đối tượng hưởng lợi

  • Sinh viên chuyên ngành An toàn thông tin & Mạng máy tính: Tiếp cận mã nguồn mẫu chuẩn mực, hiểu sâu nguyên lý hoạt động của kiến trúc SDN, OpenFlow và phương pháp ứng dụng Deep Learning vào an ninh mạng.
  • Kỹ sư DevSecOps & Quản trị mạng: Nắm bắt giải pháp tự động hóa bảo vệ máy chủ bằng container hóa và điều hướng luồng thông minh qua REST API.
  • Doanh nghiệp & Đội ngũ SOC: Sở hữu kiến trúc bẫy mạng chi phí thấp, tính tùy biến cao, tích hợp trực quan hóa log toàn diện giúp nâng cao năng lực ứng phó sự cố.
  • Nhà nghiên cứu khoa học: Kế thừa phương pháp luận xử lý dữ liệu mạng mất cân bằng (SMOTE + Tomek Links) và mô hình phân loại lưu lượng bất thường.

Câu hỏi thường gặp

1. Yêu cầu kỹ thuật tối thiểu để triển khai hệ thống là gì?

Hệ thống yêu cầu máy chủ chạy hệ điều hành Linux (khuyến nghị Ubuntu 20.04 LTS), cài đặt sẵn Docker, Docker-Compose, Open vSwitch, Python 3.8+ cùng tối thiểu 8GB RAM và 4 Core CPU để đảm bảo vận hành đồng thời Floodlight Controller, ELK Stack và các Container Honeypots.

2. Hệ thống xử lý thế nào để kẻ tấn công không phát hiện mình bị chuyển hướng sang Honeypot?

Bộ điều khiển Floodlight sử dụng các lệnh OpenFlow (set_ipv4_dst, set_eth_dst) để viết lại địa chỉ IP và MAC đích trong suốt ở cấp độ gói tin. Kẻ tấn công vẫn gửi gói tin tới IP của Victim (10.0.0.2), nhưng switch sẽ đẩy gói tin sang container Honeypot (10.0.0.3), đảm bảo phản hồi mạng hoàn toàn khớp với kỳ vọng của công cụ quét mạng.

3. Có thể tích hợp hệ thống này vào hạ tầng mạng doanh nghiệp truyền thống không?

Hoàn toàn có thể. Doanh nghiệp có thể triển khai giải pháp mạng lai (Hybrid SDN), trong đó chỉ cần thay thế hoặc cấu hình các Switch biên (Edge Switches) hỗ trợ giao thức OpenFlow để điều hướng luồng nguy hiểm, trong khi các phần còn lại của hạ tầng vẫn vận hành bình thường.

4. Chi phí duy trì và bảo trì hệ thống định kỳ như thế nào?

Chi phí vận hành gần như bằng 0 về mặt bản quyền do sử dụng các giải pháp Open-source. Doanh nghiệp chỉ cần định kỳ cập nhật các signature/rules cho ModSecurity, backup dữ liệu Elasticsearch và tái huấn luyện mô hình DNN khi có các tập dữ liệu tấn công mới.

5. Mô hình DNN xử lý thế nào khi gặp các kỹ thuật tấn công hoàn toàn mới?

Mô hình DNN được huấn luyện theo cơ chế Anomaly Detection (A-IDS) trên 78 đặc trưng thống kê luồng mạng. Khi lưu lượng có các biểu hiện phân phối gói tin, cờ TCP hoặc độ dài luồng sai lệch khỏi ngưỡng bình thường (Benign), hệ thống vẫn tự động gắn cờ cảnh báo và điều hướng cách ly thành công.

Kết luận

Đề tài "Xây dựng hệ thống Honeypot có khả năng thích ứng" của nhóm tác giả Nguyễn Công Tiến và Đoàn Nguyễn Quốc Huy đã giải quyết xuất sắc bài toán cốt lõi trong phòng thủ an ninh mạng hiện đại: chuyển đổi từ thế bị động sang chủ động dẫn dụ và giám sát kẻ tấn công. Bằng sự kết hợp đột phá giữa kiến trúc mạng khả lập trình SDN, mô hình phân loại học sâu DNN tối ưu hóa qua SMOTE + Tomek Links, cùng nền tảng quản lý log tập trung ELK Stack, đề tài mang lại một giải pháp an ninh toàn diện, hiệu năng cao và có khả năng mở rộng mạnh mẽ. Đây là bước tiến công nghệ thực tiễn, đóng góp giá trị to lớn cho cả công tác nghiên cứu học thuật lẫn ứng dụng bảo vệ hạ tầng công nghệ thông tin doanh nghiệp.