Bối cảnh và vấn đề nghiên cứu

Sự bùng nổ của công nghệ thông tin và Internet đã tạo tiền đề cho sự phát triển mạnh mẽ của nhiều lĩnh vực như công nghiệp, nông nghiệp, y tế và giáo dục. Tuy nhiên, cùng với sự gia tăng này là những nguy cơ và hiểm họa an ninh mạng ngày càng phức tạp. Khóa luận dẫn chứng các sự cố bảo mật quy mô lớn trên thế giới trong năm 2020:

  • Vụ tấn công máy chủ của công ty viễn thông T-Mobile (tháng 8/2020) làm lộ thông tin cá nhân của gần 2 triệu khách hàng.
  • Vụ xâm nhập đánh cắp công cụ quét lỗ hổng tại công ty an ninh mạng FireEye (tháng 12/2020), đe dọa an toàn của hơn 8.800 khách hàng là các cơ quan liên bang, chính quyền địa phương và tập đoàn toàn cầu.
  • Cuộc tấn công chuỗi cung ứng phần mềm SolarWinds (cuối năm 2020), khiến ít nhất 18.000 tổ chức phải rà soát và khắc phục hậu quả.

Các giải pháp phòng thủ truyền thống như tường lửa, hệ thống phát hiện và ngăn ngừa xâm nhập (IDPS), router hay switch thường xuyên phải xử lý khối lượng lưu lượng khổng lồ, dẫn đến khó khăn trong phân tích chuyên sâu và khả năng phát hiện thiếu chính xác. Trong bối cảnh đó, Honeypot đóng vai trò như một hệ thống mồi nhử nhằm thu hút kẻ tấn công, bảo vệ tài nguyên thực và ghi nhận toàn bộ hành vi xâm nhập.

Mặc dù vậy, Honeypot truyền thống bộc lộ hai nhược điểm lớn:

  1. Các bẫy thường được triển khai riêng lẻ, thiếu cơ chế quản lý tập trung và khả năng tùy biến linh hoạt.
  2. Hệ thống mang tính bị động cao và dễ bị tin tặc phát hiện thông qua kỹ thuật quét dấu vết (Fingerprinting). Việc ngăn chặn triệt để hành vi quét trong thời gian thực gặp nhiều trở ngại do khó cô lập lưu lượng Fingerprinting với các dạng tấn công khác.

Từ các vấn đề trên, đề tài xác định 4 mục tiêu nghiên cứu cụ thể:

  1. Tìm hiểu tổng quan về công nghệ Honeypot, bộ công cụ ELK Stack (Elasticsearch – Logstash – Kibana), học máy/học sâu và các công cụ hỗ trợ triển khai thực tế.
  2. Xây dựng và phát triển kiến trúc hệ thống kết hợp Honeypot với bộ công cụ ELK Stack nhằm trực quan hóa các bản ghi nhật ký (log) cho người quản trị.
  3. Xây dựng mô hình học sâu nhằm phát hiện các điểm bất thường trong lưu lượng mạng, cụ thể là nhận diện các cuộc tấn công Fingerprinting nhắm vào hệ thống Honeypot.
  4. Kết hợp hệ thống Honeypot với hệ thống phát hiện xâm nhập thông minh (AI-IDS) và mạng khả lập trình (SDN) để tăng cường khả năng cảnh báo và tự động thích ứng trước các cuộc tấn công.

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Hệ thống Honeypot (Honeytrap), hệ thống quản lý log tập trung, kiến trúc mạng khả lập trình SDN, và mô hình mạng nơ-ron sâu (DNN) phát hiện xâm nhập.
  • Phạm vi nghiên cứu: Triển khai ảo hóa hệ thống Honeypot trên nền tảng Docker Container; mô phỏng môi trường mạng SDN bằng Containernet và Floodlight Controller; xây dựng hệ thống quản lý log qua bộ công cụ ELK Stack; ứng dụng mô hình DNN huấn luyện trên tập dữ liệu chuẩn CSE-CIC-IDS2018 (tập trung vào hai nhãn Benign và Infilteration).

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng nền tảng lý thuyết dựa trên bốn trụ cột công nghệ chính:

1. Kiến trúc mạng khả lập trình (SDN) và Giao thức OpenFlow

Mạng SDN tách biệt hoàn toàn phần điều khiển (Control Plane) ra khỏi phần chuyển tiếp dữ liệu (Data Plane). Kiến trúc gồm ba lớp:

  • Lớp ứng dụng (Application Layer): Cung cấp các chức năng an ninh mạng như IDS, cân bằng tải, tường lửa dưới dạng phần mềm thông qua các giao diện lập trình.
  • Lớp điều khiển (Control Layer): Đóng vai trò bộ não tập trung, quản lý chính sách và luồng lưu lượng trên toàn mạng thông qua bộ điều khiển SDN.
  • Lớp hạ tầng (Infrastructure Layer): Gồm các thiết bị chuyển mạch vật lý hoặc ảo, thực hiện chuyển tiếp gói tin theo bảng luồng (flow table).

Giao tiếp giữa lớp điều khiển và lớp hạ tầng được thực hiện qua giao thức chuẩn OpenFlow thông qua Southbound API. Đề tài phân biệt rõ nét giữa mạng truyền thống và mạng SDN:

Tiêu chí Mạng truyền thống Mạng SDN
Cơ chế điều khiển Tích hợp phân tán trong từng thiết bị mạng Tách biệt và tập trung tại bộ điều khiển SDN
Thu thập và xử lý thông tin Thực hiện riêng lẻ tại tất cả phần tử mạng Xử lý tập trung tại bộ điều khiển
Khả năng lập trình Không hỗ trợ; cấu hình thủ công từng thiết bị Có thể lập trình qua ứng dụng và API mở

2. Hệ thống phát hiện xâm nhập (IDS và AI-IDS)

Hệ thống IDS được phân loại theo hai phương thức chính:

  • Theo phạm vi giám sát: HIDS (giám sát trên máy chủ) và NIDS (giám sát lưu lượng trên toàn mạng).
  • Theo kỹ thuật nhận biết: S-IDS (dựa trên dấu hiệu nhận biết tĩnh) và A-IDS (dựa trên hành vi bất thường).

AI-IDS là giải pháp tích hợp các mô hình trí tuệ nhân tạo vào NIDS, cho phép hệ thống tự động học các mẫu dữ liệu mới và phát hiện lưu lượng bất thường mà không phụ thuộc hoàn toàn vào chữ ký có sẵn.

3. Hệ thống Honeypot

Phân loại theo mức độ tương tác:

  • Low-interaction Honeypot: Sử dụng phần mềm mô phỏng các dịch vụ và hệ điều hành; an toàn cho máy chủ, tiêu tốn ít tài nguyên nhưng cung cấp thông tin hạn chế.
  • High-interaction Honeypot: Sử dụng hệ điều hành thật để cung cấp tương tác đầy đủ, phục vụ nghiên cứu các lỗ hổng chưa công bố (zero-day) nhưng đòi hỏi chi phí và rủi ro cao hơn.

4. Hệ thống phân tích log tập trung (ELK Stack)

  • Elasticsearch: Công cụ tìm kiếm và phân tích phân tán dựa trên JSON RESTful API.
  • Logstash: Đường ống xử lý dữ liệu qua 3 giai đoạn: Input (thu thập log từ file, TCP/UDP, syslog), Filter (chuẩn hóa và phân tích cú pháp), Output (chuyển tiếp tới Elasticsearch).
  • Kibana: Giao diện web trực quan hóa dữ liệu log dưới dạng bảng điều khiển (dashboard), biểu đồ cột, biểu đồ nhiệt và biểu đồ tròn.

5. Phương pháp nghiên cứu và nguồn dữ liệu

  • Phương pháp nghiên cứu: Phương pháp thực nghiệm kỹ thuật kết hợp thiết kế hệ thống; ứng dụng giải thuật học sâu DNN trong bài toán phân loại lưu lượng mạng.
  • Nguồn dữ liệu: Bộ dữ liệu chuẩn CSE-CIC-IDS2018 do Viện An ninh mạng Canada (CIC) và Cơ quan Truyền thông An ninh Canada (CSE) xây dựng.
  • Phương pháp tiền xử lý dữ liệu: Sử dụng Feature Selection để lọc đặc trưng; kỹ thuật Resampling phối hợp SMOTE (tổng hợp mẫu thiểu số) và Tomek Links (loại bỏ mẫu biên gây nhiễu) nhằm giải quyết mất cân bằng dữ liệu; chuẩn hóa Dropout và hàm kích hoạt Sigmoid trong kiến trúc DNN.

Thiết kế và triển khai hệ thống

Hệ thống được thiết kế theo mô hình tích hợp 3 mặt phẳng, kết hợp bộ điều khiển SDN, bẫy Honeypot, hệ thống NIDS và ELK Stack:

[Application Plane]  -->  ELK Stack (Kibana / Elasticsearch) | Quản trị MVC
                                    ^
                                    | REST API
[Control Plane]      -->  Floodlight Controller  <-->  NIDS Model (DNN)
                                    ^
                                    | OpenFlow Protocol
[Data Plane]         -->  OpenFlow Switch (S1)

1. Cấu hình môi trường mạng SDN ảo hóa

Hạ tầng mạng được thiết lập thông qua trình giả lập Containernet và bộ điều khiển Floodlight Controller (chạy trên Docker với cổng điều khiển OpenFlow 6653 và cổng web GUI 8080):

Tên Host Hệ điều hành container Địa chỉ IP Vai trò và công cụ cài đặt
Attacker (d1) Ubuntu Xenial 10.0.0.1 Nmap, hping3, tcpdump (thực hiện quét cổng)
Victim (d2) Ubuntu Trusty 10.0.0.2 HKUST-SING TrafficGenerator, tcpdump, file shell mở port 80, 143, 22, 220...
Honeypot (d3) Ubuntu Xenial 10.0.0.3 Cowrie, ModSec (tiếp nhận lưu lượng chuyển hướng)
Normal (d8) Ubuntu Trusty 10.0.0.8 Máy trạm tạo lưu lượng nền thông thường
Controller Ubuntu Focal 127.0.0.1 Floodlight OpenFlow Controller

2. Quy trình trích xuất đặc trưng và phân loại

  1. Tại máy Victim (10.0.0.2), tcpdump thu thập các gói tin mạng hướng đến máy dưới dạng file .pcap.
  2. Công cụ CICFlowmeter chuyển đổi các file bắt gói tin .pcap thành tập dữ liệu dạng bảng với các trường đặc trưng luồng mạng.
  3. Mô hình DNN thực hiện dự đoán phân loại nhãn lưu lượng (Normal/Benign hoặc Infilteration/Fingerprinting).

3. Cơ chế thích ứng qua SDN Controller

Khi mô hình NIDS phát hiện lưu lượng quét Fingerprinting từ máy Attacker:

  • NIDS gửi tín hiệu cảnh báo tới Floodlight Controller thông qua REST API.
  • Controller tự động đẩy luật luồng mới (Flow Rules) xuống OpenFlow Switch S1.
  • Switch lập tức điều hướng toàn bộ gói tin từ máy Attacker sang máy Honeypot (10.0.0.3) thay vì máy Victim (10.0.0.2).

4. Triển khai Honeytrap và Hệ thống hiển thị Log

  • Cowrie: Bẫy Honeypot mô phỏng dịch vụ SSH/Telnet, ghi lại toàn bộ tài khoản đăng nhập và các câu lệnh mà kẻ tấn công thực thi trong phiên giả lập.
  • ModSec (ModSecurity Web Trap): Mô phỏng giao diện form đăng nhập web giả mạo nhằm thu thập hành vi khai thác ứng dụng web.
  • ELK Pipeline & MVC Dashboard: Log từ Cowrie và ModSec được Logstash thu thập, đẩy sang Elasticsearch đánh chỉ mục và hiển thị trực quan theo thời gian thực trên giao diện web Kibana và trang quản trị Dashboard xây dựng theo mô hình MVC.

Nội dung chính theo từng chương

Chương 1: Mở đầu

Trình bày tính cấp thiết của đề tài trong bối cảnh các cuộc tấn công mạng ngày càng gia tăng về quy mô và độ phức tạp. Phân tích nguyên nhân khiến hệ thống phòng thủ truyền thống gặp quá tải và chỉ ra những hạn chế cố hữu của Honeypot tĩnh (thiếu quản lý tập trung, tính bị động, dễ bị lộ qua quét Fingerprinting). Xác định mục tiêu, đối tượng, phạm vi nghiên cứu và phân công nhiệm vụ thực hiện đề tài từ tháng 02/2022 đến tháng 06/2022.

Chương 2: Cơ sở lý thuyết

Hệ thống hóa toàn diện các khối kiến thức liên quan:

  • Nguyên lý hoạt động và kiến trúc 3 lớp của mạng SDN; vai trò của giao thức OpenFlow và bộ điều khiển mã nguồn mở Floodlight.
  • Khái niệm và phương pháp phân loại hệ thống phát hiện xâm nhập (HIDS/NIDS, S-IDS/A-IDS), nền tảng tích hợp AI vào IDS.
  • Phân loại Honeypot (Low-interaction và High-interaction), ưu nhược điểm của từng loại trong giám sát an ninh.
  • Kiến trúc xử lý luồng dữ liệu của bộ công cụ ELK Stack (Elasticsearch, Logstash, Kibana) và các công cụ giả lập môi trường mạng (Mininet, Containernet).

Chương 3: Kiến trúc hệ thống

Chi tiết hóa thiết kế hệ thống mạng kết hợp giữa SDN, Honeypot, NIDS và ELK Stack:

  • Quy trình khởi tạo và kiểm tra độ trễ, khả năng kết nối giữa các node mạng trong Containernet (kết quả kiểm tra kết nối giữa 8 host đạt tỷ lệ nhận gói tin 100%, 0% dropped trên 56 gói truyền nhận).
  • Thiết kế các Docker container chuyên biệt cho từng vai trò: máy tấn công (Attacker), máy nạn nhân (Victim) tích hợp công cụ phát sinh lưu lượng HKUST-SING, máy bẫy mồi (Honeypot) tích hợp Cowrie và ModSec.
  • Xây dựng giao diện trang quản trị theo mô hình MVC cho phép quản trị viên tương tác, theo dõi trạng thái các Honeytrap và kết nối với bộ điều khiển SDN.

Chương 4: Áp dụng mô hình học sâu cho IDS

Quy trình xây dựng mô hình AI-IDS nhận diện tấn công Fingerprinting:

  • Khai thác tập dữ liệu CSE-CIC-IDS2018, trích xuất hai nhãn mục tiêu là Benign và Infilteration.
  • Quy trình tiền xử lý dữ liệu: lựa chọn đặc trưng (Feature Selection), áp dụng SMOTE để tăng cường mẫu lớp thiểu số và Tomek Links để làm sạch ranh giới giữa các lớp dữ liệu.
  • Thiết kế kiến trúc mạng nơ-ron sâu (DNN) gồm 2 lớp ẩn (Hidden Layers), tích hợp kỹ thuật Dropout để chống quá khớp (overfitting) và hàm kích hoạt Sigmoid.
  • Đánh giá hiệu năng mô hình trên tập kiểm thử (chiếm 20% dữ liệu) thông qua ma trận nhầm lẫn (Confusion Matrix) và các chỉ số đo lường học máy.

Chương 5: Thực nghiệm và đánh giá

Mô tả kịch bản thực nghiệm từng bước:

  • Máy Attacker sử dụng Nmap quét toàn bộ các cổng dịch vụ đang mở trên máy Victim (các cổng 80, 143, 22, 220...).
  • Lưu lượng được máy Victim ghi lại bằng tcpdump, trích xuất đặc trưng bằng CICFlowmeter và chuyển tới mô hình DNN để dự đoán.
  • Kết quả dự đoán kích hoạt Floodlight Controller thiết lập hai Flow điều hướng lưu lượng quét sang máy Honeypot.
  • Attacker xác thực thành công vào dịch vụ SSH giả lập Cowrie và tương tác với form đăng nhập web ModSec; toàn bộ lệnh khai thác được ghi nhận đầy đủ và hiển thị trực quan trên Kibana.
  • Đánh giá khả năng chuyển đổi trạng thái bị động của Honeypot thành chủ động thích ứng nhờ cơ chế điều khiển luồng động của SDN.

Chương 6: Tổng kết và hướng phát triển

Đánh giá tổng kết các mục tiêu đã hoàn thành của khóa luận về mặt xây dựng hệ thống, khả năng tích hợp mô hình AI và trực quan hóa nhật ký; đồng thời đề xuất các định hướng mở rộng hệ thống trong tương lai.

Kết quả và đóng góp

1. Kết quả kỹ thuật đạt được

  • Khởi tạo và kết nối mạng SDN ổn định: Triển khai thành công hạ tầng mạng gồm 8 host ảo hóa trên Containernet kết nối với Floodlight Controller, kiểm tra kết nối đạt tỷ lệ truyền nhận dữ liệu 100% (56/56 gói tin nhận thành công, tỷ lệ rớt gói 0%).
  • Xây dựng mô hình AI-IDS: Mô hình DNN 2 lớp ẩn huấn luyện trên tập dữ liệu CSE-CIC-IDS2018 xử lý hiệu quả bài toán phân loại nhị phân (Benign và Infilteration), kết hợp tối ưu dữ liệu bằng SMOTE và Tomek Links.
  • Tự động hóa chuyển hướng luồng tấn công: Khi Nmap thực hiện quét cổng, hệ thống phát hiện chính xác lưu lượng Fingerprinting và Floodlight Controller tự động nạp Flow mới xuống Switch để điều hướng gói tin từ máy Victim sang Honeypot.
  • Thu thập và trực quan hóa log tập trung: Tích hợp thành công bẫy SSH (Cowrie) và bẫy Web (ModSec). Các hành vi dò mật khẩu, thực thi câu lệnh trái phép và nhập form đăng nhập của kẻ tấn công được chuyển qua đường ống Logstash và hiển thị theo thời gian thực trên Kibana Dashboard.

2. Đóng góp của đề tài

  • Khắc phục tính bị động của Honeypot truyền thống: Bằng cách kết hợp mạng SDN và mô hình AI-IDS, hệ thống không cần chờ đợi kẻ tấn công tự tìm đến bẫy mà chủ động dẫn dụ các luồng quét thăm dò vào môi trường Honeypot được chuẩn bị sẵn.
  • Quản lý bẫy tập trung và trực quan: Cung cấp trang quản trị MVC cùng hệ thống ELK Stack, giải quyết triệt để tình trạng các Honeytrap hoạt động phân mảnh, khó theo dõi và khó phân tích nhật ký.
  • Đóng góp quy trình xây dựng bộ dữ liệu: Cung cấp pipeline hoàn chỉnh từ bắt gói tin mạng thô (tcpdump) sang trích xuất luồng đặc trưng (CICFlowmeter), phục vụ cho việc nghiên cứu và tái huấn luyện các mô hình học máy, học sâu trong an toàn thông tin.

Hạn chế và hướng nghiên cứu tiếp

1. Hạn chế

  • Hạn chế phần cứng và môi trường thử nghiệm: Hệ thống mới được triển khai và kiểm thử trên môi trường mạng mô phỏng (Containernet và Floodlight chạy qua Docker) trên máy đơn, chưa được kiểm chứng trên hạ tầng thiết bị mạng phần cứng thực tế với tải lưu lượng lớn.
  • Phạm vi phân loại tấn công: Mô hình học sâu mới chỉ tập trung phân loại phát hiện kỹ thuật quét Fingerprinting (nhãn Infilteration) trong tập dữ liệu CSE-CIC-IDS2018, chưa mở rộng nhận diện nhiều biến thể tấn công phức tạp khác.
  • Độ sâu tương tác của bẫy: Các Honeytrap được tích hợp (Cowrie, ModSec) chủ yếu ở mức tương tác trung bình/thấp (Low/Medium-interaction), chưa khai thác mô hình High-interaction trên hệ điều hành thực hoàn chỉnh.

2. Hướng nghiên cứu tiếp

  • Mở rộng triển khai hệ thống trên hạ tầng thiết bị mạng phần cứng SDN thực tế để đánh giá độ trễ và khả năng chịu tải.
  • Tích hợp thêm các Honeytrap mức tương tác cao (High-interaction Honeypot) nhằm thu thập và phân tích sâu các cuộc tấn công khai thác lỗ hổng zero-day.
  • Mở rộng tập dữ liệu và nâng cấp mô hình AI-IDS để nhận diện đa dạng các hình thức tấn công mạng khác (DDoS, Botnet, Malware...).
  • Xây dựng cơ chế tự động học và tự động cập nhật luật luồng (Flow Rules) thông minh hơn cho bộ điều khiển SDN.

Giá trị tham khảo

Tài liệu khóa luận mang lại giá trị tham khảo chuyên môn rõ nét cho:

  1. Sinh viên và học viên ngành An toàn Thông tin, Mạng máy tính & Truyền thông: Tài liệu cung cấp hướng dẫn từng bước về việc cài đặt, cấu hình và lập trình bộ điều khiển Floodlight, Containernet, giao thức OpenFlow và các container Docker mạng.
  2. Kỹ sư và nhà nghiên cứu an ninh mạng: Cung cấp giải pháp kiến trúc kết hợp giữa mạng khả lập trình (SDN) và bẫy mồi nhử (Honeypot) để chuyển đổi từ phòng thủ thụ động sang phòng thủ chủ động.
  3. Các đề tài nghiên cứu về AI trong An ninh mạng (AI-IDS): Phần phương pháp luận ở Chương 4 và Chương 5 cung cấp quy trình mẫu chuẩn xác: từ xử lý mất cân bằng dữ liệu (SMOTE, Tomek Links) đến trích xuất gói tin .pcap bằng CICFlowmeter để đưa vào mạng nơ-ron sâu DNN.

Câu hỏi thường gặp

1. Hệ thống giải quyết nhược điểm "bị động" của Honeypot truyền thống bằng cơ chế nào?

Hệ thống sử dụng mô hình AI-IDS (DNN) liên tục giám sát lưu lượng mạng đi vào máy chủ dịch vụ (Victim). Khi phát hiện hành vi quét thăm dò (Fingerprinting), mô hình kích hoạt bộ điều khiển Floodlight Controller qua REST API để nạp luật luồng (Flow Rules) mới xuống Switch OpenFlow, tự động bẻ hướng toàn bộ gói tin của kẻ tấn công sang máy chủ Honeypot mà kẻ tấn công không hề hay biết.

2. Những công nghệ chính nào được sử dụng để xây dựng hạ tầng mạng mô phỏng?

Hạ tầng mạng sử dụng trình giả lập Containernet (nhánh phát triển của Mininet hỗ trợ Docker container) kết hợp bộ điều khiển Floodlight Controller mã nguồn mở (viết bằng Java, cấp phép Apache) giao tiếp qua chuẩn giao thức OpenFlow.

3. Tập dữ liệu nào được sử dụng để huấn luyện mô hình NIDS và tập trung vào những nhãn nào?

Khóa luận sử dụng tập dữ liệu chuẩn CSE-CIC-IDS2018. Quá trình huấn luyện tập trung vào bài toán phân loại giữa hai nhãn dữ liệu chính là Benign (lưu lượng mạng bình thường) và Infilteration (lưu lượng tấn công xâm nhập/quét Fingerprinting).

4. Hệ thống đã tích hợp cụ thể những Honeytrap nào và vai trò của từng loại là gì?

Hệ thống tích hợp hai bẫy mồi nhử chính:

  • Cowrie: Mô phỏng dịch vụ SSH và Telnet, cho phép kẻ tấn công đăng nhập giả lập và ghi lại toàn bộ nhật ký câu lệnh khai thác.
  • ModSec (ModSecurity Web Trap): Cung cấp giao diện form đăng nhập web giả mạo để thu thập các hành vi tấn công ứng dụng web.

5. Pipeline xử lý và hiển thị log tấn công từ Honeypot về cho quản trị viên diễn ra như thế nào?

Log phát sinh từ các Honeytrap (Cowrie, ModSec) được Logstash thu thập qua các input plug-in, chuẩn hóa và lọc dữ liệu qua filter plug-in, sau đó đẩy về lưu trữ và đánh chỉ mục tại Elasticsearch. Cuối cùng, dữ liệu được hiển thị trực quan theo thời gian thực trên giao diện web của Kibana và bảng điều khiển Dashboard (mô hình MVC).

Kết luận

Khóa luận tốt nghiệp của sinh viên Nguyễn Công Tiến và Đoàn Nguyễn Quốc Huy đã thiết kế và triển khai thành công một hệ thống Honeypot có khả năng thích ứng dựa trên kiến trúc mạng khả lập trình SDN và mô hình học sâu DNN. Bằng việc kết hợp Floodlight Controller, bộ công cụ ELK Stack và các bẫy mồi nhử Cowrie, ModSec trên nền tảng Docker/Containernet, hệ thống đã giải quyết hiệu quả tính bị động của các Honeypot truyền thống và hỗ trợ nhận diện, điều hướng tấn công Fingerprinting trong thời gian thực. Công trình là tài liệu tham khảo hoàn chỉnh về mặt kỹ thuật cho các nghiên cứu ứng dụng AI-IDS và SDN trong lĩnh vực an toàn thông tin mạng.