Nghiên cứu hệ thống phát hiện bất thường cho mạng SDN sử dụng machine learning

Luận văn thạc sĩ kỹ thuật phân tích máy tính nghiên cứu xây dựng hệ thống phát hiện bất thường cho mạng sdn sử dụng các kỹ thuật, đánh giá thực trạng, chỉ ra hạn chế, đề xuất giải

• Tác giả: Lê Tấn Long
• Người hướng dẫn: PGS. Trần Ngọc Thịnh
• Trường học: Đại học Bách Khoa - ĐHQG - HCM
• Chuyên ngành: Khoa học Máy tính
• Đề tài: Nghiên Cứu Xây Dựng Hệ Thống Phát Hiện Bất Thường Cho Mạng SDN Sử Dụng Các Kỹ Thuật Machine Learning
• Loại tài liệu: Luận văn thạc sĩ
• Năm xuất bản: 2021
• Địa điểm: Thành phố Hồ Chí Minh

Mục lục chi tiết

• LỜI CÁM ƠN
• TÓM TẮT LUẬN VĂN THẠC SĨ
• LỜI CAM ĐOAN
• DANH SÁCH HÌNH VẼ
• DANH SÁCH BẢNG
• 1. CHƯƠNG 1: GIỚI THIỆU
• 1.1. Mục tiêu đề tài
• 1.2. Nội dung đề tài
• 1.3. Software-Defined Networking
• 1.4. Nền tảng NetFPGA
• 1.4.1. Field-Programmable Gate Array
• 1.4.2. Kiến trúc NetFPGA
• 1.5. Hệ thống phát hiện xâm nhập mạng bất thường
• 1.5.1. Mạng nơ-ron sâu
• 1.5.2. Mạng sinh đối nghịch
• 1.6. Tập dữ liệu
• 3. CHƯƠNG 3: TỔNG QUAN TÀI LIỆU
• 3.1. Công trình liên quan
• 4. CHƯƠNG 4: PHƯƠNG PHÁP NGHIÊN CỨU
• 4.1. Tổng quan vấn đề nghiên cứu
• 4.1.1. Vấn đề bảo mật trong SDN
• 4.1.2. Vấn đề mất cân bằng dữ liệu
• 4.1.3. Vấn đề lựa chọn đặc trưng
• 4.1.4. Vấn đề tốc độ xử lý
• 4.2. Tổng quan hệ thống đề xuất
• 4.3. Thiết kế và hiện thực ANIDS
• 4.3.1. Tiền xử lý dữ liệu (Data Preprocessing)
• 4.3.2. Rút gọn đặc trưng (Dimensionality Reduction)
• 4.3.3. Tạo dữ liệu cân bằng dựa trên Conditional Generative Adversarial Networks
• 4.3.4. Xây dựng mô hình phân loại sử dụng thuật toán hỗn hợp (Ensemble Classification)
• 4.4. Tăng tốc xử lý ANIDS sử dụng nền tảng NetFPGA
• 4.5. Tích hợp bộ phát hiện bất thường với hệ thống SDN
• 5. CHƯƠNG 5: THỰC NGHIỆM VÀ ĐÁNH GIÁ
• 5.1. Các tiêu chí đánh giá
• 5.1.1. Khả năng phân loại
• 5.1.2. Thời gian đáp ứng
• 5.1.3. Khả năng mở rộng
• 5.2. Kết quả thực nghiệm
• 5.2.1. Thông số tập dữ liệu
• 5.2.2. Kết quả tạo mẫu dữ liệu sử dụng mạng CGAN
• 5.2.3. Kết quả đánh giá khả năng phân loại ANIDS
• 6. CHƯƠNG 6: KẾT LUẬN
• CÔNG BỐ KHOA HỌC
• TÀI LIỆU THAM KHẢO
• LÝ LỊCH TRÍCH NGANG

Tóm tắt

I. Giới thiệu

Trong bối cảnh hiện đại, mạng SDN (Software Defined Networking) đã trở thành một mô hình mạng đầy hứa hẹn, giúp cải thiện khả năng quản lý và bảo mật cho các hệ thống mạng. Tuy nhiên, với sự phát triển nhanh chóng của các mối đe dọa an ninh mạng, việc phát hiện và ngăn chặn các hành vi xâm nhập bất thường trở thành một nhiệm vụ cấp thiết. Đề tài này tập trung vào việc xây dựng một hệ thống phát hiện bất thường cho mạng SDN, áp dụng các kỹ thuật machine learning. Nghiên cứu này không chỉ cung cấp một cái nhìn tổng quan về an ninh mạng mà còn đề xuất một mô hình thực tiễn cho việc phát hiện và ngăn chặn các cuộc tấn công. Theo đó, việc sử dụng các phương pháp phân tích dữ liệu và học máy sẽ giúp cải thiện hiệu quả trong việc phát hiện các hành vi bất thường trong lưu lượng mạng.

1.1. Mục tiêu đề tài

Mục tiêu chính của đề tài là tìm hiểu và phát triển một hệ thống phát hiện xâm nhập mạng bất thường cho mạng SDN bằng cách sử dụng các kỹ thuật machine learning. Điều này bao gồm việc phân tích các vấn đề hiện tại trong an ninh mạng, thiết kế và xây dựng mô hình phát hiện xâm nhập, cũng như tích hợp mô hình này vào hệ thống SDN. Qua đó, nghiên cứu sẽ giúp nâng cao khả năng bảo mật cho mạng, đồng thời cung cấp một nền tảng cho các nghiên cứu trong tương lai.

II. Tổng quan tài liệu

Trong phần này, các công trình nghiên cứu liên quan đến phát hiện bất thường trong mạng SDN sẽ được tổng hợp và phân tích. Nhiều nghiên cứu đã chỉ ra rằng việc ứng dụng machine learning trong phát hiện xâm nhập mạng có thể cải thiện đáng kể khả năng phát hiện và phân loại các cuộc tấn công. Các phương pháp như mạng nơ-ron sâu và các thuật toán phân loại như Random Forest đã được áp dụng thành công trong nhiều nghiên cứu trước đó. Việc sử dụng các kỹ thuật này không chỉ giúp tăng cường khả năng phát hiện mà còn giảm thiểu tỷ lệ false positive và false negative trong các hệ thống phát hiện xâm nhập. Nghiên cứu cũng nhấn mạnh tầm quan trọng của việc sử dụng các tập dữ liệu lớn và đa dạng để huấn luyện mô hình, từ đó cải thiện khả năng tổng quát của hệ thống.

2.1. Các công trình liên quan

Nhiều công trình đã nghiên cứu và phát triển các giải pháp bảo mật cho mạng SDN. Một số nghiên cứu gần đây đã áp dụng các kỹ thuật machine learning để phát hiện các hành vi bất thường trong lưu lượng mạng, cho thấy tính khả thi và hiệu quả của các phương pháp này. Các giải pháp như Conditional Generative Adversarial Networks (CGAN) cũng được sử dụng để giải quyết vấn đề mất cân bằng dữ liệu trong các tập dữ liệu mạng. Đặc biệt, việc kết hợp các kỹ thuật này với nền tảng phần cứng như NetFPGA đã cho thấy sự cải thiện rõ rệt về tốc độ và hiệu quả trong việc phát hiện xâm nhập.

III. Phương pháp nghiên cứu

Phương pháp nghiên cứu được áp dụng trong đề tài này bao gồm việc xây dựng mô hình ANIDS (Anomaly-based Network Intrusion Detection System) dựa trên các kỹ thuật machine learning. Mô hình này sẽ bao gồm các bước như tiền xử lý dữ liệu, rút gọn đặc trưng và xây dựng mô hình phân loại. Việc áp dụng Stacked and Sparse Autoencoder (SSAE) giúp cải thiện khả năng học các đặc trưng từ dữ liệu mạng, trong khi đó Random Forest được sử dụng để phân loại và phát hiện dữ liệu mạng bất thường. Bên cạnh đó, việc tích hợp nền tảng NetFPGA vào hệ thống sẽ giúp tăng tốc quá trình xử lý gói tin, đảm bảo khả năng phát hiện diễn ra trong thời gian thực với độ chính xác cao.

3.1. Tổng quan hệ thống đề xuất

Hệ thống đề xuất sẽ được xây dựng trên nền tảng SDN, tích hợp các mô hình machine learning để phát hiện xâm nhập mạng. Hệ thống sẽ bao gồm các thành phần như bộ tiền xử lý dữ liệu, mô hình rút gọn đặc trưng, và mô hình phân loại. Các bước này sẽ được thực hiện tuần tự, đảm bảo rằng dữ liệu được xử lý một cách hiệu quả và chính xác. Hệ thống cũng sẽ được kiểm thử trên các tập dữ liệu như NSL-KDD và UNSW-NB15 để đánh giá khả năng phát hiện và phân loại của mô hình.

IV. Kết quả thực nghiệm và đánh giá

Kết quả thực nghiệm cho thấy hệ thống ANIDS đạt được độ chính xác cao trong việc phát hiện các hành vi bất thường trong lưu lượng mạng. Các thử nghiệm trên các tập dữ liệu NSL-KDD và UNSW-NB15 cho thấy mô hình có khả năng phân loại tốt với tỷ lệ false positive và false negative thấp. Hệ thống cũng cho thấy khả năng xử lý nhanh chóng và hiệu quả, nhờ vào việc tích hợp với nền tảng NetFPGA. Điều này cho phép hệ thống hoạt động trong thời gian thực, hỗ trợ các bộ điều khiển SDN trong việc phát hiện và ngăn chặn các cuộc tấn công kịp thời.

4.1. Kết quả đánh giá khả năng phân loại

Các chỉ số đánh giá khả năng phân loại cho thấy mô hình ANIDS có thể phát hiện được nhiều phương thức xâm nhập khác nhau với độ chính xác cao. Việc sử dụng các kỹ thuật machine learning như Random Forest đã giúp tăng cường khả năng phân loại, đồng thời giảm thiểu tỷ lệ sai sót trong phát hiện. Kết quả cho thấy rằng việc áp dụng công nghệ mới trong phát hiện bất thường là một hướng đi đúng đắn, đáp ứng nhu cầu bảo mật ngày càng cao trong các hệ thống mạng hiện đại.

V. Kết luận

Đề tài nghiên cứu đã chỉ ra rằng việc áp dụng machine learning trong phát hiện bất thường cho mạng SDN là một giải pháp khả thi và hiệu quả. Hệ thống ANIDS được xây dựng không chỉ giúp phát hiện sớm các cuộc tấn công mà còn cung cấp một cơ sở cho các nghiên cứu và ứng dụng trong tương lai. Từ những kết quả thực nghiệm, có thể khẳng định rằng việc tích hợp các công nghệ mới vào hệ thống mạng sẽ góp phần nâng cao khả năng bảo mật, đảm bảo an toàn thông tin cho các tổ chức và cá nhân trong môi trường mạng ngày càng phức tạp.

5.1. Ý nghĩa và ứng dụng thực tiễn

Việc phát triển hệ thống phát hiện bất thường cho mạng SDN sử dụng machine learning không chỉ mang lại lợi ích về mặt lý thuyết mà còn có ứng dụng thực tiễn cao. Hệ thống này có thể được áp dụng rộng rãi trong các tổ chức, doanh nghiệp để bảo vệ hệ thống mạng khỏi các mối đe dọa an ninh. Đồng thời, nghiên cứu cũng mở ra hướng đi mới cho việc phát triển các giải pháp bảo mật trong tương lai, đáp ứng nhu cầu ngày càng cao về an toàn thông tin trong thời đại số.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh sự phát triển nhanh chóng của mạng máy tính và Internet, với khoảng 4.66 tỷ người dùng Internet toàn cầu tính đến năm 2021, nhu cầu về các hệ thống mạng linh hoạt, hiệu quả và an toàn ngày càng tăng cao. Kiến trúc mạng truyền thống đang dần bộc lộ nhiều hạn chế như cấu hình phức tạp, thiết bị chuyên dụng khó nâng cấp, và sự đa dạng về nhà cung cấp gây khó khăn trong quản lý. Software-Defined Networking (SDN) được xem là mô hình mạng tương lai với khả năng lập trình linh hoạt, tách biệt lớp điều khiển và lớp chuyển tiếp, giúp đơn giản hóa việc triển khai và quản lý mạng. Tuy nhiên, SDN cũng đặt ra nhiều thách thức về bảo mật do sự xuất hiện của các thành phần và giao diện mới dễ bị khai thác.

Mục tiêu nghiên cứu của luận văn là xây dựng một hệ thống phát hiện xâm nhập bất thường (ANIDS) cho mạng SDN sử dụng các kỹ thuật Machine Learning (ML) nhằm nâng cao khả năng bảo mật và phát hiện sớm các hành vi tấn công mạng. Nghiên cứu tập trung vào việc thiết kế mô hình SSAE-CGAN-RF kết hợp Stacked & Sparse Autoencoder (SSAE) để trích xuất đặc trưng, Conditional Generative Adversarial Network (CGAN) để xử lý mất cân bằng dữ liệu, và Random Forest (RF) để phân loại lưu lượng mạng bất thường. Ngoài ra, việc tích hợp nền tảng NetFPGA giúp tăng tốc xử lý gói tin, giảm độ trễ trong phát hiện.

Phạm vi nghiên cứu được thực hiện trong giai đoạn từ tháng 2 đến tháng 8 năm 2021 tại Trường Đại học Bách Khoa, Đại học Quốc gia TP. Hồ Chí Minh. Hệ thống được đánh giá trên các tập dữ liệu chuẩn NSL-KDD và UNSW-NB15, với kết quả cho thấy độ chính xác phát hiện cao và tỷ lệ lỗi thấp. Ý nghĩa của nghiên cứu thể hiện qua việc cung cấp giải pháp bảo mật hiệu quả cho mạng SDN, góp phần nâng cao an ninh mạng trong bối cảnh các cuộc tấn công mạng ngày càng tinh vi và phổ biến.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên ba nền tảng lý thuyết chính:

1. Software-Defined Networking (SDN): Kiến trúc mạng gồm ba lớp: lớp ứng dụng, lớp điều khiển và lớp chuyển tiếp. SDN tách biệt chức năng điều khiển và chuyển tiếp, cho phép quản lý tập trung và lập trình mạng linh hoạt. Giao thức OpenFlow được sử dụng phổ biến trong giao tiếp giữa lớp điều khiển và lớp chuyển tiếp.

2. Machine Learning (ML): Các kỹ thuật học máy được phân loại theo phương thức học gồm học giám sát, học phi giám sát, học bán giám sát và học tăng cường. Trong đó, các thuật toán hỗn hợp (Ensemble Algorithms) như Random Forest được sử dụng để cải thiện độ chính xác phân loại. Kỹ thuật giảm chiều dữ liệu (Dimensionality Reduction) như Stacked & Sparse Autoencoder (SSAE) giúp trích xuất đặc trưng hiệu quả từ dữ liệu mạng phức tạp.

3. Mạng nơ-ron sâu và mạng sinh đối nghịch: Mạng tự mã hóa (Autoencoder) được dùng để học biểu diễn dữ liệu không giám sát, giảm chiều dữ liệu và loại bỏ nhiễu. Mạng sinh đối nghịch (Generative Adversarial Network - GAN), đặc biệt là biến thể Conditional GAN (CGAN), được áp dụng để tạo dữ liệu giả nhằm giải quyết vấn đề mất cân bằng dữ liệu trong tập huấn luyện.

Ngoài ra, nền tảng phần cứng NetFPGA với chip FPGA Virtex-7 XC7V690T được tích hợp để tăng tốc xử lý gói tin, giảm độ trễ trong phát hiện xâm nhập.

Phương pháp nghiên cứu

Nguồn dữ liệu chính gồm hai tập dữ liệu chuẩn: NSL-KDD với hơn 125 nghìn bản ghi huấn luyện và 22 nghìn bản ghi kiểm thử, và UNSW-NB15 với hơn 175 nghìn bản ghi huấn luyện và 82 nghìn bản ghi kiểm thử. Cả hai tập dữ liệu đều chứa các đặc trưng chi tiết về lưu lượng mạng và các loại tấn công phổ biến như DoS, Probe, R2L, U2R.

Phương pháp nghiên cứu bao gồm các bước:

• Tiền xử lý dữ liệu: Chuẩn hóa, loại bỏ dữ liệu trùng lặp và xử lý các giá trị thiếu.
• Giảm chiều dữ liệu: Sử dụng SSAE để trích xuất các đặc trưng quan trọng, giảm thiểu nhiễu và giảm số chiều dữ liệu từ 42-49 đặc trưng xuống không gian ẩn nhỏ hơn.
• Xử lý mất cân bằng dữ liệu: Áp dụng CGAN để sinh thêm các mẫu dữ liệu thuộc các lớp tấn công ít xuất hiện, cân bằng phân phối dữ liệu huấn luyện.
• Phân loại và phát hiện: Sử dụng thuật toán Random Forest để phân loại lưu lượng mạng thành bình thường hoặc bất thường dựa trên đặc trưng đã trích xuất.
• Tăng tốc xử lý: Tích hợp nền tảng NetFPGA để thực hiện xử lý gói tin nhanh chóng, giảm độ trễ phát hiện.
• Đánh giá: Thực nghiệm trên hai tập dữ liệu NSL-KDD và UNSW-NB15, đánh giá theo các tiêu chí độ chính xác, tỷ lệ dương tính giả, tỷ lệ âm tính giả và thời gian đáp ứng.

Cỡ mẫu nghiên cứu tương ứng với kích thước các tập dữ liệu chuẩn, phương pháp chọn mẫu dựa trên dữ liệu thực tế có sẵn. Phân tích kết quả sử dụng các ma trận nhầm lẫn (Confusion Matrix) và biểu đồ so sánh hiệu năng các mô hình.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Hiệu quả giảm chiều dữ liệu bằng SSAE: Mô hình SSAE giúp giảm số chiều dữ liệu từ 42-49 đặc trưng xuống không gian ẩn với kích thước nhỏ hơn, giữ lại các đặc trưng quan trọng. Kết quả thực nghiệm cho thấy mô hình này cải thiện đáng kể độ chính xác phân loại, tăng khoảng 5-7% so với các phương pháp truyền thống.

2. Giải quyết mất cân bằng dữ liệu bằng CGAN: Việc sử dụng CGAN để sinh dữ liệu giả cho các lớp tấn công ít xuất hiện giúp cân bằng phân phối dữ liệu huấn luyện. Trước khi áp dụng CGAN, tỷ lệ các lớp tấn công R2L và U2R chiếm dưới 5%, sau khi sinh dữ liệu, tỷ lệ này được nâng lên gần bằng các lớp phổ biến hơn, giúp mô hình phân loại đạt độ chính xác cao hơn, giảm tỷ lệ bỏ sót tấn công xuống dưới 3%.

3. Độ chính xác phân loại cao với Random Forest: Mô hình kết hợp SSAE-CGAN-RF đạt độ chính xác phát hiện trên 92% trên tập NSL-KDD và trên 90% trên tập UNSW-NB15. Tỷ lệ dương tính giả và âm tính giả đều duy trì ở mức thấp, lần lượt dưới 5% và 4%, cho thấy khả năng phân biệt lưu lượng bất thường hiệu quả.

4. Tăng tốc xử lý với NetFPGA: Việc tích hợp nền tảng NetFPGA giúp giảm thời gian xử lý gói tin xuống còn khoảng 20ms, giảm hơn 30% so với xử lý phần mềm truyền thống, đảm bảo phát hiện sớm các cuộc tấn công với độ trễ thấp, phù hợp với yêu cầu thời gian thực của mạng SDN.

Thảo luận kết quả

Nguyên nhân chính của hiệu quả cao đến từ việc kết hợp các kỹ thuật học sâu và học máy hiện đại, tận dụng ưu điểm của từng phương pháp: SSAE giúp trích xuất đặc trưng phi tuyến hiệu quả, CGAN giải quyết vấn đề mất cân bằng dữ liệu vốn là thách thức lớn trong phát hiện xâm nhập, và Random Forest cung cấp khả năng phân loại mạnh mẽ với độ chính xác cao. So với các nghiên cứu trước đây chỉ sử dụng một hoặc hai kỹ thuật, mô hình đề xuất cho thấy sự cải thiện rõ rệt về độ chính xác và giảm thiểu lỗi.

Kết quả cũng phù hợp với các báo cáo ngành về xu hướng ứng dụng AI/ML trong an ninh mạng, đồng thời khẳng định vai trò quan trọng của phần cứng tăng tốc như NetFPGA trong việc đáp ứng yêu cầu xử lý lưu lượng lớn và thời gian thực của mạng SDN.

Dữ liệu có thể được trình bày qua các biểu đồ so sánh độ chính xác, tỷ lệ lỗi giữa các mô hình trên hai tập dữ liệu NSL-KDD và UNSW-NB15, cùng bảng ma trận nhầm lẫn thể hiện chi tiết hiệu năng phân loại.

Đề xuất và khuyến nghị

1. Triển khai hệ thống ANIDS tích hợp SDN: Khuyến nghị các tổ chức, doanh nghiệp áp dụng mô hình SSAE-CGAN-RF tích hợp với nền tảng NetFPGA để phát hiện sớm các hành vi bất thường trong mạng SDN, nhằm nâng cao an ninh mạng. Thời gian triển khai dự kiến trong vòng 6-12 tháng.

2. Đào tạo và nâng cao năng lực nhân sự: Tổ chức các khóa đào tạo chuyên sâu về Machine Learning và SDN cho đội ngũ quản trị mạng và an ninh mạng, giúp họ hiểu và vận hành hiệu quả hệ thống phát hiện xâm nhập. Thời gian đào tạo nên kéo dài 3-6 tháng.

3. Cập nhật và mở rộng dữ liệu huấn luyện: Liên tục thu thập và cập nhật dữ liệu mạng thực tế, đặc biệt các mẫu tấn công mới, để huấn luyện lại mô hình ML, đảm bảo khả năng phát hiện các mối đe dọa mới. Nên thực hiện định kỳ hàng quý.

4. Phát triển thêm các mô hình học sâu nâng cao: Nghiên cứu áp dụng các mạng nơ-ron sâu khác như CNN, RNN kết hợp với GAN để cải thiện khả năng phát hiện các tấn công tinh vi, đặc biệt là các cuộc tấn công Zero-Day. Thời gian nghiên cứu và thử nghiệm dự kiến 12-18 tháng.

5. Tăng cường hợp tác nghiên cứu và phát triển: Khuyến khích các trường đại học, viện nghiên cứu và doanh nghiệp công nghệ hợp tác phát triển các giải pháp bảo mật dựa trên AI/ML cho SDN, nhằm thúc đẩy ứng dụng thực tiễn và nâng cao hiệu quả bảo vệ mạng.

Đối tượng nên tham khảo luận văn

1. Nhà nghiên cứu và sinh viên ngành Khoa học Máy tính, An ninh mạng: Luận văn cung cấp kiến thức chuyên sâu về SDN, Machine Learning và các kỹ thuật phát hiện xâm nhập, hỗ trợ nghiên cứu và phát triển các giải pháp bảo mật mạng hiện đại.

2. Chuyên gia và kỹ sư an ninh mạng: Tài liệu giúp hiểu rõ các phương pháp phát hiện bất thường trong mạng SDN, từ đó áp dụng hoặc cải tiến các hệ thống IDS/IPS trong doanh nghiệp, nâng cao khả năng phòng chống tấn công mạng.

3. Nhà quản lý CNTT và vận hành mạng: Cung cấp cái nhìn tổng quan về các thách thức bảo mật trong SDN và giải pháp ứng dụng Machine Learning, giúp đưa ra quyết định đầu tư và triển khai công nghệ phù hợp.

4. Doanh nghiệp phát triển phần mềm và thiết bị mạng: Tham khảo để phát triển các sản phẩm bảo mật tích hợp SDN, tận dụng nền tảng NetFPGA và các thuật toán ML nhằm nâng cao hiệu năng và độ tin cậy của sản phẩm.

Câu hỏi thường gặp

1. Hệ thống ANIDS sử dụng Machine Learning có thể phát hiện được những loại tấn công nào?
   Hệ thống có khả năng phát hiện các loại tấn công phổ biến như DoS, Probe, R2L, U2R và cả các tấn công mới chưa được ghi nhận nhờ mô hình phát hiện dựa trên sự bất thường lưu lượng mạng. Ví dụ, trên tập dữ liệu UNSW-NB15, hệ thống đạt độ chính xác trên 90% trong việc phân loại các tấn công đa dạng.

2. Tại sao cần sử dụng CGAN trong xử lý dữ liệu cho ANIDS?
   CGAN giúp sinh thêm dữ liệu giả cho các lớp tấn công ít xuất hiện, giải quyết vấn đề mất cân bằng dữ liệu trong tập huấn luyện. Điều này giúp mô hình không bị thiên lệch và cải thiện khả năng phát hiện các tấn công hiếm gặp như R2L và U2R.

3. NetFPGA đóng vai trò gì trong hệ thống phát hiện xâm nhập?
   NetFPGA là nền tảng phần cứng FPGA giúp tăng tốc xử lý gói tin mạng, giảm độ trễ phát hiện xâm nhập. Thực nghiệm cho thấy thời gian xử lý gói tin giảm hơn 30% so với xử lý phần mềm, đảm bảo phát hiện kịp thời các cuộc tấn công trong môi trường mạng SDN.

4. Mô hình SSAE có ưu điểm gì so với các phương pháp giảm chiều dữ liệu khác?
   SSAE kết hợp tính năng chồng chất và thưa thớt giúp học được biểu diễn đặc trưng phi tuyến hiệu quả, loại bỏ nhiễu và giữ lại thông tin quan trọng. Điều này giúp cải thiện độ chính xác phân loại so với các phương pháp truyền thống như PCA.

5. Làm thế nào để cập nhật mô hình ANIDS khi xuất hiện các loại tấn công mới?
   Cần thu thập dữ liệu mạng thực tế liên tục, đặc biệt các mẫu tấn công mới, sau đó huấn luyện lại mô hình ML định kỳ. Việc này giúp mô hình thích nghi với các mối đe dọa mới và duy trì hiệu quả phát hiện cao.

Kết luận

• Đề tài đã xây dựng thành công hệ thống phát hiện xâm nhập bất thường cho mạng SDN sử dụng kỹ thuật Machine Learning kết hợp SSAE, CGAN và Random Forest, đạt độ chính xác phát hiện trên 90%.
• Việc tích hợp nền tảng NetFPGA giúp tăng tốc xử lý gói tin, giảm độ trễ phát hiện, phù hợp với yêu cầu thời gian thực của mạng SDN.
• Giải pháp xử lý mất cân bằng dữ liệu bằng CGAN nâng cao khả năng phát hiện các tấn công hiếm gặp, giảm tỷ lệ lỗi phân loại.
• Nghiên cứu góp phần nâng cao an ninh mạng cho kiến trúc SDN, mở ra hướng phát triển ứng dụng AI/ML trong bảo mật mạng tại Việt Nam.
• Các bước tiếp theo bao gồm mở rộng thử nghiệm trên môi trường mạng thực tế, phát triển các mô hình học sâu nâng cao và triển khai thực tế trong doanh nghiệp, tổ chức.

Để tiếp cận và ứng dụng giải pháp này, các nhà nghiên cứu, chuyên gia an ninh mạng và doanh nghiệp có thể liên hệ hợp tác nghiên cứu, đào tạo và phát triển sản phẩm bảo mật dựa trên nền tảng công nghệ hiện đại.

Trích đoạn nội dung tài liệu

Chương 1 - GIỚI THIỆU: Giới thiệu sơ lược về các lĩnh vực, các vấn đề liên quan đến đề tài; nêu lên mục đích ý nghĩa, sự cần thiết, ảnh hưởng của đề tài đối với tình hình kinh tế xã hội hiện nay. Chương 2 - CƠ SỞ LÝ THUYẾT: Trình bày các kiến thức nền tảng liên quan đến nội dung đề tài như SDN, OpenFlow, Machine Learning và các vấn đề về bảo mật an ninh mạng. NỘI DUNG ĐỀ TÀI 6 3. Chương 3 - CÔNG TRÌNH LIÊN QUAN: Trình bày các tài liệu liên quan đến nội dung đề tài.

Chương 4 - PHƯƠNG PHÁP NGHIÊN CỨU: Phân tích các vấn đề cần được giải quyết trong phạm vi đề tài; đề xuất phương án giải quyết nhắm đạt được các mục tiêu đề ra. Chương 5 - THỰC NGHIỆM VÀ ĐÁNH GIÁ: Trình bày phương án kiểm thử, thu thập kết quả thử nghiệm; đánh giá hệ thống dựa trên các tiêu chí liên quan. Chương 6 - KẾT LUẬN: Trình bày kết luận về công tác triển khai thực hiện đề tài, các ưu nhược điểm cũng như các vấn đề còn tồn tại trong quá trình thực hiện đề tài, định hướng phát triển đề tài trong thời gian tiếp theo. Ngoài ra, một nội dung khác như Tài liệu tham khảo, Mục lục, v.

được tác giả sử dụng để ghi chú các tiêu đề, hình ảnh, bảng biểu cũng như các trích dẫn, tham khảo trong suốt quá trình thực hiện đề tài. SOFTWARE-DEFINED NETWORKING Kiến trúc của SDN gồm 3 lớp riêng biệt: lớp ứng dụng, lớp điều khiển và lớp chuyển tiếp [8], được mô tả như hình 2.1: Kiến trúc mạng Software-Defined Networking 7 2. SOFTWARE-DEFINED NETWORKING 8 • Lớp ứng dụng (Application Layer): bao gồm các ứng dụng mạng; cung cấp các chức năng quản lý vận hành mạng, các mô hình định tuyến, chuyển tiếp; hỗ trợ lớp điều khiển trong việc cấu hình mạng; cung cấp khả năng lập trình lại mạng thông qua việc điều chỉnh các tham số như băng thông, độ trễ, giải thuật định tuyến,v. Ngoài ra, lớp này còn có khả năng quan sát, theo dõi tình trạng mạng một cách tổng quát.

Từ đó người quản trị có thể đưa ra các chỉ thị để thay đổi mạng phù hợp với tình hình hiện tại, hay nói cách khác mạng sẽ được trừu tượng hóa. Giao tiếp giữa lớp ứng dụng và lớp điều khiển được gọi chung là giao tiếp Northbound. • Lớp điều khiển (Control and Virtualization Layer): là nơi tập trung các bộ điều khiển hay còn được gọi là các Controller; chịu trách nhiệm trong việc ra quyết định và quản lý hoạt động của lớp chuyển tiếp bằng cách tận dụng các thông tin nhận được từ lớp chuyển tiếp để định nghĩa các hoạt động mạng; cung cấp thông tin cho lớp ứng dụng. Các Controller này có thể là các phần mềm được lập trình, giao tiếp với lớp chuyển tiếp thông qua một số chuẩn giao tiếp được gọi chung là giao tiếp Southbound.

Một trong số những giao thức được dùng phổ biến trong giao tiếp Southbound là giao thức OpenFlow. • Lớp chuyển tiếp (Data Layer): là nơi tập trung các thiết bị mạng vật lý hoặc thiết bị ảo, thực hiện việc chuyển tiếp gói tin dựa trên sự điều khiển của các Controller ở lớp điều khiển. Lớp này chịu trách nhiệm thực hiện chuyển tiếp các luồng dữ liệu cũng như giám sát các thông tin cục bộ, thu thập, thống kê các thông số về dữ liệu. Một thiết bị mạng có thể được kết nối với nhiều Controller khác nhau, giúp tăng cường tính sẵn sàng và khả năng ảo hóa của mạng.

Với kiến trúc như trên, SDN có thể mang lại sự linh hoạt, khả mở, tiết kiệm chi phí và đơn giản hóa chức năng quản lý. Cụ thể, lớp điều khiển có thể được lập trình trực tiếp; mạng được điều chỉnh thay đổi một cách nhanh chóng thông qua việc tùy chỉnh trên lớp điều khiển; mạng được quản lý tập trung; các cấu hình ở lớp chuyển tiếp có thể được lập trình trên lớp ứng dụng và đưa xuống các lớp dưới thông qua các giao tiếp Northbound và Southbound. Sự linh hoạt, phân cấp rõ ràng giúp SDN 2. NỀN TẢNG NETFPGA 9 mang lại nhiều lợi ích không chỉ cho các doanh nghiệp mà còn cho các nhà cung cấp dịch vụ, cơ sở hạ tầng mạng.

NỀN TẢNG NETFPGA 2. FIELD-PROGRAMMABLE GATE ARRAY Field-programmable Gate Array (FPGA)1 là một loại mạch tích hợp cỡ lớn dùng cấu trúc mảng phần tử logic mà người dùng có thể lập trình được. Vi mạch FPGA được cấu thành từ các bộ phận như các khối logic cơ bản lập trình được (programmable logic block); hệ thống mạch liên kết lập trình được; khối vào/ra (IO Pads); phần tử thiết kế sẵn khác như DSP slice, RAM, ROM, nhân vi xử lý, v. Ưu điểm lớn nhất của FPGA là có thể tái cấu hình khi đang sử dụng, công đoạn thiết kế đơn giản, nhờ vậy rút ngắn thời gian và chi phí sản xuất sản phẩm.

Tính linh hoạt trong thiết kế cho phép FPGA giải quyết những lớp bài toán phức tạp mà không một phần cứng chuyên dụng nào có thể giải quyết được trước đây. Ngoài ra, việc tích hợp mật độ phần tử logic lớn giúp FPGA có thể giải quyết những công việc có khối lượng tính toán lớn. FPGA được sử dụng trong rất nhiều ứng dụng, bao gồm: xử lý tín hiệu số; tiền thiết kế mẫu ASIC; các hệ thống điều khiển trực quan; ứng dụng thị giác máy tính; kiến trúc máy tính; xử lý dữ liệu lớn; mạng máy tính; các hệ thống làm việc theo thời gian thực hay các hệ thống hàng không vũ trụ, quốc phòng. Trong mạng máy tính, FPGA có thể sử dụng để chế tạo ra các thiết bị như Router, Switch, Firewall,v.

Đặc biệt là thiết bị hỗ trợ cho việc thử nghiệm SDN là IDS, OpenFlow Switch. KIẾN TRÚC NETFPGA NetFPGA [9] là nền tảng lý thưởng cho việc thiết kế và hiện thực các thiết bị mạng máy tính có mật độ, tốc độ và hiệu suất cao. Sản phẩm này ra đời nhờ một nỗ lực hợp tác giữa nhiều phía đặc biệt là hai trường đại học hàng đầu thế giới Cambridge và Standford. NetFPGA có mọi thứ cần thiết để nghiên cứu và phát triển chuyên sâu các hệ thống kết nối mạng tân tiến nhất.

Hiện nay, các nhà phát triển đã cho ra đời nhiều nền tảng NetFPGA như NetFPGA-10G [9], NetFPGA-SUME [10],v.org/wiki/Field-programmable_gate_array 2. NỀN TẢNG NETFPGA 10 NETFPGA-10G [11] Các thông số phần cứng của nền tảng NetFPGA-10G: • Hỗ trợ chip Xilinx Virtex-5 TX240T (Hệ thống hiệu năng cao, các phần tử logic kết nối trực tiếp với công nghệ tiên tiến, mật độ lớn) • Hỗ trợ 4 cổng SFP+ (Cổng giao tiếp mạng với tốc độ xử lý lên đến 10Gbps) • Hỗ trợ cổng PCI Express thế hệ 2 với 8 kênh, mỗi kênh có thể giao tiếp với tốc độ 5Gbps. • Hỗ trợ 20 bộ thu phát nối tiếp có thể cấu hình GTX thông qua hai cổng kết nối tốc độ cao SAMTEC. • Hỗ trợ 3 bộ nhớ SRAM 72-Mbit QDR II với xung nhịp 333 MHz, tổng dung lượng 27 MB • Hỗ trợ 4 bộ nhớ DRAM 576-Mbit RLDRAM II với xung nhịp lên đến 533MHz, tổng dung lượng 288 MB • Kích thước board 9.25” • Hỗ trợ các phần tử LED và nút bấm cho người dùng.3 mô tả sản phẩm NetFPGA-10G và kiến trúc của nó.2: Nền tảng NetFPGA-10G 2.

NỀN TẢNG NETFPGA 11 Hình 2.3: Kiến trúc nền tảng NetFPGA-10G Hình 2.4: Nền tảng NetFPGA-SUME Hình 2.5: Kiến trúc nền tảng NetFPGA-SUME 2. HỆ THỐNG PHÁT HIỆN XÂM NHẬP MẠNG BẤT THƯỜNG 12 NETFPGA-SUME [10] NetFPGA-SUME là bản nâng cấp so với NetFPGA-10G. Một số thông số của nền tảng NetFPGA-SUME: • Chip FPGA Virtex-7 XC7V690T, một nền tảng lý tưởng cho thiết kế mạng với mật độ và tốc độ cao. • Hỗ trợ 32 bộ truyền nối tiếp GTH cung cấp khả năng truy xuất đến 8 cổng PCI-E(Gen3) với xung nhịp lên đến 13.

Nhờ đó có thể duy trì một lượng lớn luồng dữ liệu tốc độ cao đến các linh kiện bộ nhớ và cơ cấu FPGA. • Hỗ trợ 4 cổng SFP+ (10Gbps), 2 cổng SATA-III(6Gbps) • Hỗ trợ 5 bộ nhớ độc lập tốc độ cao được xây dựng từ ba linh kiện 500MHz 72 MBit QDRII+ SRAM với đường truyền dữ liệu có độ rộng 36 bit và 2 bộ nhớ 1866MT/s 4Gb DDR3 SoDIMM với đường truyền dữ liệu có độ rộng 64 bit. • Hỗ trợ 20 bộ thu phát tính tổng trên các đầu nối mở rộng FMC và QTH, và các cổng SATA.5 mô tả sản phẩm NetFPGA-SUME và kiến trúc của nó. HỆ THỐNG PHÁT HIỆN XÂM NHẬP MẠNG BẤT THƯỜNG Hệ thống phát hiện xâm nhập (Intrusion Detection System - IDS) là một thiết bị hoặc phần mềm thực thi nhiệm vụ theo dõi, giám sát quá trình trao đổi thông tin trong các mạng máy tính để kịp thời phát hiện và ngăn chăn sự xâm nhập, phá hoại bảo mật hệ thống [12].

Cơ chế hoạt động của IDS là thu thập thông tin từ nhiều nguồn trong hệ thống, sau đó tiến hành phân tích những thông tin đó theo các cách khác nhau để phát hiện những xâm nhập trái phép. Hay nói cách khác, IDS có khả năng phát hiện những hành vi khai thác trái phép tài nguyên của hệ thống hoặc những hành vi mang dấu hiệu của các cuộc tấn công vào hệ thống như dò tìm, nghe lén, tấn công từ chối dịch vụ, v. qua đó đảm bảo tính bảo mật, tính toàn vẹn và tính sẵn sàng của hệ thống. Hiện nay, IDS được chia thành nhiều loại dựa trên các kỹ thuật hoặc các cách tiếp cận lưu lượng xâm nhập khác nhau, .6 mô tả một số phương pháp phân loại IDS phổ biến.

HỆ THỐNG PHÁT HIỆN XÂM NHẬP MẠNG BẤT THƯỜNG 13 Hình 2.6: Phân loại hệ thống phát hiện xâm nhập PHÂN LOẠI IDS THEO VỊ TRÍ XÂM NHẬP Dựa vào vị trí xâm nhập (types of intruders), IDS có thể được triển khai để bảo vệ hệ thống từ các hành vi xâm nhập nội bộ (Internal Intruders) điển hình như các cuộc tấn công từ chính nhân viên hoặc khách hàng trong hệ thống hay các hành vi xâm nhập từ bên ngoài (External Intruders) như các cuộc tấn công bởi hacker. PHÂN LOẠI IDS THEO KIỂU XÂM NHẬP IDS có thể được thiết kế để phát hiện và ngặn chặn các kiểu xâm nhập an ninh mạng phổ biến như tấn công thăm dò (Probe Attack), tấn công Remote to Local (R2L Attack), tấn công User to Root (U2R Attack), tấn công từ chối dịch vụ (Denial-of-Services - DoS), tấn công Web (Web Attacks) và tấn công Zero-Day (Zero-Day Attack). Trong đó: Probe Attack [13]: Đặc điểm chung của các loại tấn công thuộc nhóm này là tin tặc khai thác điểm yếu của mạng hoặc các máy tính bằng cách quét thăm dò thông tin từ các cổng đang mở, các dịch vụ đang chạy hoặc các thông tin nhạy cảm khác như địa chỉ IP, địa chỉ MAC, các luật tường lửa,v.