Bối cảnh và vấn đề nghiên cứu

Điện toán đám mây (Cloud Computing) và hạ tầng điện toán đám mây nguyên bản (Cloud Native) đã trở thành nền tảng cốt lõi cho việc triển khai các dịch vụ công nghệ thông tin hiện đại. Nhờ công nghệ ảo hóa và điều phối bộ chứa (Container Orchestration) như Docker và Kubernetes, các tổ chức có thể linh hoạt mở rộng quy mô, tối ưu hóa chi phí phần cứng và tăng cường tính sẵn sàng của ứng dụng. Tuy nhiên, sự phát triển này cũng đi kèm với nguy cơ an ninh mạng ngày càng gia tăng, đặc biệt là các cuộc tấn công từ chối dịch vụ phân tán (DDoS).

Các cuộc tấn công DDoS diễn ra với tần suất ngày càng lớn và hình thức biến hóa tinh vi, từ tấn công làm ngập băng thông, tấn công giao thức tầng mạng/giao vận (ICMP Flood, UDP Flood, TCP SYN Flood) đến tấn công cạn kiệt tài nguyên tầng ứng dụng (HTTP Flood). Các hệ thống phát hiện xâm nhập truyền thống (IDS) thường dựa trên tập luật/dấu hiệu (Signature-based) hoặc phân tích trạng thái giao thức (Stateful Protocol Analysis). Những phương pháp này bộc lộ nhiều điểm hạn chế:

  • Không có khả năng phát hiện các biến thể tấn công mới hoặc tấn công chưa từng biết (zero-day).
  • Gặp khó khăn trong việc xử lý lưu lượng mạng khổng lồ ở tốc độ cao.
  • Tiêu tốn nhiều tài nguyên xử lý và tạo ra độ trễ lớn khi phải chuyển gói tin giữa không gian nhân (kernel space) và không gian người dùng (user space).

Để khắc phục các nhược điểm trên, xu hướng ứng dụng trí tuệ nhân tạo, cụ thể là học sâu (Deep Learning), vào hệ thống IDS đã thu hút nhiều sự quan tâm nhờ khả năng tự động trích xuất đặc trưng và nhận diện các mẫu hành vi bất thường. Dẫu vậy, phần lớn các mô hình học sâu hiện nay có kích thước trọng số lớn, đòi hỏi cấu hình phần cứng cao và thời gian huấn luyện kéo dài, gây khó khăn lớn khi triển khai trên các môi trường mạng có tài nguyên hạn chế.

Đề tài "Hệ thống phát hiện tấn công DDoS trong môi trường Cloud Native sử dụng phương pháp học sâu tích hợp eBPF" do sinh viên Vũ Quang Hưng thực hiện dưới sự hướng dẫn của PGS.TS Nguyễn Tài Hưng tại Trường Điện – Điện tử, Đại học Bách khoa Hà Nội (hoàn thành tháng 08/2024), tập trung giải quyết các câu hỏi nghiên cứu cốt lõi:

  1. Kỹ thuật học sâu và bộ lọc gói tăng tốc trong nhân (eBPF) tác động như thế nào đến hiệu năng phát hiện và mức tiêu thụ tài nguyên của một hệ thống phát hiện xâm nhập trong môi trường Cloud Native?
  2. Liệu giải pháp tích hợp giữa mô hình học sâu tinh gọn (LUCID) và công nghệ eBPF có thể vận hành hiệu quả trong môi trường mạng giới hạn tài nguyên mà vẫn đảm bảo tốc độ và độ chính xác?

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Cơ chế thu thập và xử lý gói tin tốc độ cao bằng eBPF (Extended Berkeley Packet Filter), mô hình mạng nơ-ron học sâu LUCID chuyên dụng cho phát hiện DDoS, cùng cơ chế điều phối và giám sát container trong cụm Kubernetes.
  • Phạm vi nghiên cứu: Thiết lập môi trường thử nghiệm (Testbed) mạng Cloud Native cục bộ, triển khai mô phỏng các dạng tấn công DDoS (tập trung vào SYN Flood, UDP Flood, ICMP Flood), đo đạc hiệu năng mô hình AI (chỉ số F1-score, độ chính xác qua các siêu tham số) và đo lường mức độ chiếm dụng tài nguyên phần cứng (CPU, RAM, số lượng Pod, thời gian gián đoạn dịch vụ).

Cơ sở lý thuyết và phương pháp

Khung lý thuyết và công nghệ nền tảng

Đồ án xây dựng dựa trên sự kết hợp liên ngành giữa hạ tầng mạng ảo hóa, an toàn thông tin và kỹ thuật học sâu:

Lĩnh vực Công nghệ / Lý thuyết cốt lõi Đặc điểm kỹ thuật trong đồ án
Điện toán đám mây & Ảo hóa - Mô hình dịch vụ: IaaS, PaaS, SaaS
- Hypervisor (Bare-metal & Hosted)
- Container (Docker & Kubernetes)		 - Phân tách kiến trúc từ khối nguyên khối (Monolithic) sang vi dịch vụ (Microservices).
- Tận dụng Kubernetes để quản lý cụm máy chủ với Master Node (API Server, Scheduler, Controller Manager, Etcd) và Worker Node (Kubelet, Kube-proxy, Container Runtime).
An ninh mạng & Tấn công DDoS - Phân loại tấn công mạng (Malware, Phishing, MitM, SQLi, DoS/DDoS)
- Kỹ thuật tấn công ngập lụt (Flood)		 - Phân tích chi tiết tấn công L3/L4: ICMP Flood, UDP Flood và TCP SYN Flood (khai thác cơ chế bắt tay 3 bước TCP để làm tràn hàng đợi SYN queue).
- Tấn công L7: HTTP Flood tiêu tốn tài nguyên xử lý của máy chủ web.
Hệ thống phát hiện xâm nhập (IDS) - Phương pháp: Dựa trên dấu hiệu (SD), Dựa trên bất thường (AD), Trạng thái giao thức (SPA)
- Vị trí: HIDS, NIDS, WIDS, NBA, MIDS
- Kiến trúc: Tập trung, Phân tán		 - Hệ thống áp dụng phương pháp phát hiện bất thường kết hợp học máy (Machine Learning/Deep Learning AD).
- Hướng tới kiến trúc IDS phân tán (Distributed IDS) để giảm tải và tránh điểm nghẽn đơn lẻ.
Xử lý gói tin tầng nhân - eBPF (Extended Berkeley Packet Filter)
- XDP (eXpress Data Path)
- Hook points (tc - Traffic Control)		 - Cho phép chạy mã byte an toàn trực tiếp trong Linux kernel mà không cần sửa mã nguồn nhân.
- Giảm thiểu chuyển đổi ngữ cảnh (context switch), chuyển dữ liệu nhanh giữa kernel và user space thông qua bộ nhớ chia sẻ (Shared Memory Maps).
Học sâu (Deep Learning) - Mạng nơ-ron tích chập (CNN)
- Mạng nơ-ron hồi tiếp (RNN, LSTM)
- Mô hình LUCID		 - CNN xử lý các ma trận đặc trưng không gian của gói tin lưu lượng.
- RNN/LSTM phân tích chuỗi thời gian của luồng mạng.
- Mô hình LUCID được tối ưu hóa đặc biệt với số lượng tham số nhỏ để phù hợp môi trường tài nguyên hạn chế.

Phương pháp nghiên cứu và thực nghiệm

Tác giả sử dụng kết hợp các phương pháp nghiên cứu khoa học kỹ thuật:

  1. Phương pháp phân tích - tổng hợp lý thuyết: Hệ thống hóa các kiến trúc mạng Cloud Native, nguyên lý hoạt động của eBPF trong nhân Linux, và cơ chế phát hiện lưu lượng bất thường của các mạng nơ-ron nhân tạo.
  2. Phương pháp thực nghiệm và đo lường:
    • Xây dựng mô hình Testbed cục bộ gồm cụm Kubernetes đa thành phần.
    • Container hóa mô hình Deep Learning LUCID và ứng dụng Web mục tiêu.
    • Sử dụng công cụ Grafana k6 để tạo tải bình thường và phát động các kịch bản tấn công DDoS theo các kịch bản có kiểm soát.
    • Thu thập dữ liệu thực tế thông qua các bộ đếm eBPF, xuất dữ liệu và giám sát trạng thái hệ thống qua bảng điều khiển Grafana Dashboard cùng nhật ký log hệ thống.
  3. Phương pháp đánh giá định lượng:
    • Đánh giá chất lượng mô hình học sâu qua ma trận nhầm lẫn: Dương tính thực (TP), Âm tính thực (TN), Dương tính giả (FP), Âm tính giả (FN), từ đó tính toán Accuracy (ACC), True Positive Rate (TPR/Recall), Positive Predictive Value (PPV/Precision), False Positive Rate (FPR) và điểm F1-Score.
    • Khảo sát sự thay đổi của F1-Score theo sự biến thiên của các siêu tham số: khoảng thời gian cửa sổ trượt ($t$) và số lượng gói tin quan sát ($n$).
    • Đo lường tài nguyên tiêu thụ hệ thống: Tỷ lệ chiếm dụng CPU và bộ nhớ RAM của mô hình AI và ứng dụng web, số lượng Pod được tạo mới để mở rộng quy mô, và thời gian ngưng hoạt động (downtime) của hệ thống khi chịu tải tấn công.

Thiết kế và triển khai hệ thống

Kiến trúc tổng thể Testbed

Hệ thống phát hiện xâm nhập được triển khai trên nền tảng cụm Kubernetes gồm các thành phần máy tính phần cứng và phân vùng mạng:

[ Nguồn phát lưu lượng & Tấn công (Grafana k6) ]
         [ Cụm Kubernetes (Cloud Native) ]
            [ Giám sát & Báo cáo (Grafana Dashboard) ]

Chi tiết các khối chức năng

  1. Khối bắt và tiền xử lý gói tin (eBPF/XDP):

    • Chương trình eBPF được nạp vào nhân Linux tại các điểm móc XDP (eXpress Data Path) và tc (Traffic Control).
    • XDP hoạt động ngay tại tầng điều khiển thiết bị mạng (network driver level), cho phép kiểm tra tiêu đề gói tin và đưa ra quyết định xử lý (chuyển tiếp, sửa đổi hoặc loại bỏ gói tin) trước khi nhân phân bổ cấu trúc bộ nhớ sk_buff.
    • Dữ liệu thống kê về luồng gói tin được đẩy vào bộ nhớ dùng chung (eBPF Maps) để chuyển giao sang không gian người dùng mà không tạo tải trọng sao chép dữ liệu lớn.

  2. Khối phát hiện xâm nhập bằng Deep Learning (LUCID Container):

    • Mô hình LUCID được đóng gói hoàn chỉnh trong container Docker chạy trên Worker Node.
    • Mô hình tiếp nhận mảng đặc trưng luồng gói tin từ bộ nhớ chia sẻ theo các cửa sổ thời gian trượt ($t$) và kích thước gói ($n$).
    • Mạng CNN thực hiện tính toán suy luận để phân loại lưu lượng là luồng truy cập hợp lệ (benign) hay lưu lượng tấn công DDoS (malicious).

  3. Khối ứng dụng dịch vụ và điều phối tự động:

    • Ứng dụng web được container hóa và chạy dưới dạng Pod trong cụm Kubernetes.
    • Khi lưu lượng tấn công tràn vào, hệ thống giám sát ghi nhận mức tăng tải tài nguyên và kích hoạt cơ chế tự động mở rộng quy mô (tăng số lượng Pod) nhằm duy trì độ sẵn sàng.

  4. Khối kiểm thử và giám sát:

    • Công cụ Grafana k6 được cấu hình để mô phỏng cả lưu lượng người dùng hợp pháp lẫn các đợt phát động tấn công DDoS ngập lụt.
    • Bảng điều khiển Grafana trích xuất số liệu thời gian thực hiển thị mức tiêu thụ CPU, RAM của từng tiến trình, nhật ký log cảnh báo và thời gian phục hồi hệ thống.

Nội dung chính theo từng chương

Chương 1: Cơ sở lý thuyết về điện toán đám mây, ảo hóa, hệ thống phát hiện xâm nhập và kỹ thuật Deep Learning chống DDoS

Chương 1 hệ thống hóa toàn diện các kiến thức nền tảng:

  • Điện toán đám mây và ảo hóa: Khái quát lịch sử phát triển từ VM/370, phân loại Bare-metal Hypervisor (loại 1, chạy trực tiếp trên phần cứng như VMware ESX) và Hosted Hypervisor (loại 2, chạy trên hệ điều hành chủ). Phân tích sự chuyển dịch sang công nghệ Container (Docker) chia sẻ chung kernel nhưng cô lập tài nguyên, và cơ chế điều phối cụm microservices thông qua Kubernetes (Master Node và Worker Node).
  • Tấn công mạng và phân loại DDoS: Trình bày chi tiết các cơ chế tấn công mạng phổ biến (Malware, Phishing, MitM, SQL Injection). Tập trung phân tích chuyên sâu các dạng tấn công DoS/DDoS gồm: ICMP Flood, UDP Flood và đặc biệt là TCP SYN Flood thông qua việc thao túng quá trình bắt tay 3 bước và làm tràn hàng đợi SYN queue của hệ điều hành.
  • Hệ thống phát hiện xâm nhập (IDS): Phân loại theo phương pháp phát hiện (dựa trên dấu hiệu SD, dựa trên bất thường AD, phân tích trạng thái giao thức SPA) và theo phạm vi triển khai (HIDS, NIDS, WIDS, NBA, MIDS). Giới thiệu kiến trúc IDS phân tán kết hợp Open Virtual Switch (OVS) để phân tách nhiệm vụ phát hiện bất thường và kiểm tra gói sâu.
  • Học sâu và mô hình LUCID: Giới thiệu cấu trúc mạng nơ-ron nhân tạo với lớp đầu vào, các lớp ẩn và lớp đầu ra. Phân tích khả năng ứng dụng của CNN (trích xuất đặc trưng không gian) và RNN/LSTM (trích xuất đặc trưng chuỗi thời gian) trong an ninh mạng. Giới thiệu mô hình LUCID được thiết kế để giải quyết bài toán phát hiện DDoS trong môi trường mạng hạn chế tài nguyên phần cứng.
  • Công nghệ eBPF và công cụ kiểm thử: Trình bày cơ chế thực thi mã byte trong nhân Linux thông qua eBPF, các điểm móc XDP/tc, và giải pháp kiểm thử hiệu năng tải hệ thống bằng Grafana k6.

Chương 2: Đặt vấn đề, lý do chọn đề tài và câu hỏi nghiên cứu

Chương 2 trình bày tính cấp thiết của việc bảo vệ hạ tầng Cloud Native trước các cuộc tấn công mạng quy mô lớn. Tác giả phân tích khoảng trống nghiên cứu: các mô hình học sâu hiện có thường cồng kềnh, tiêu tốn bộ nhớ và tính toán, trong khi các cơ chế lọc gói truyền thống gây ra độ trễ cao. Từ đó, tác giả xác định mục tiêu nghiên cứu và đặt ra các câu hỏi khoa học về việc kết hợp mô hình học sâu nhẹ LUCID với công nghệ eBPF nhằm tối ưu hóa hiệu năng và tài nguyên.

Chương 3: Quy trình xây dựng Testbed hệ thống phát hiện xâm nhập

Chương 3 mô tả chi tiết quá trình thiết lập và triển khai môi trường thực nghiệm:

  • Thiết lập thông số cấu hình phần cứng cho các máy tính tham gia Testbed (Master Node, Worker Node).
  • Cấu hình mạng bên ngoài và bên trong cụm Kubernetes, xây dựng các tập tin YAML định nghĩa tài nguyên Pod, Service.
  • Xây dựng Docker images cho mô hình AI LUCID và máy chủ Web.
  • Nạp và cấu hình các chương trình eBPF để chặn bắt và trích xuất thông tin gói tin tại tầng nhân.
  • Cài đặt và cấu hình phần mềm kiểm thử tải Grafana k6 cùng các công cụ thu thập số liệu và bảng điều khiển Grafana Dashboard.

Chương 4: Kết quả thực nghiệm và đánh giá

Chương 4 trình bày các số liệu đo lường thực tế từ Testbed:

  • Đánh giá hiệu năng mô hình học sâu: Khảo sát các thông số đánh giá gồm Accuracy, TPR, FPR, Precision và F1-Score. Tiến hành đo đạc thực nghiệm để tìm bộ siêu tham số tối ưu thông qua việc khảo sát giá trị F1-Score khi thay đổi kích thước cửa sổ thời gian $t$ và số lượng gói tin quan sát $n$.
  • Đánh giá mức tiêu thụ tài nguyên hệ thống:
    • Đo lường dung lượng CPU và RAM tiêu thụ của container chứa mô hình Deep Learning LUCID trong suốt quá trình hoạt động bình thường và khi có tấn công.
    • Đo lường dung lượng CPU và RAM tiêu thụ của Ứng dụng Web mục tiêu.
    • Đánh giá khả năng co giãn của hệ thống thông qua biểu đồ số lượng Pod được tự động tạo thêm vào cụm khi xảy ra tấn công DDoS.
    • Ghi nhận nhật ký log hệ thống và đo lường thời gian ngưng hoạt động (downtime) của dịch vụ khi chịu tải tấn công ngập lụt.

Chương 5: Tổng hợp, kết luận và định hướng phát triển

Chương 5 tổng kết toàn bộ các phát hiện nghiên cứu, đánh giá mức độ đạt được so với mục tiêu ban đầu, chỉ ra những ưu thế vượt trội về mặt giảm độ trễ và tiết kiệm tài nguyên của giải pháp đề xuất, đồng thời vạch ra các định hướng mở rộng kiến trúc IDS phân tán trong tương lai.

Kết quả và đóng góp

Kết quả thực nghiệm chính

Qua quá trình đo lường trên mô hình Testbed thực tế, đồ án đã thu được các kết quả kỹ thuật cụ thể:

  1. Hiệu năng nhận diện của mô hình học sâu:

    • Việc khảo sát hai siêu tham số quan trọng là khoảng thời gian cửa sổ trượt $t$ và số lượng gói tin $n$ cho thấy sự tương quan trực tiếp đến điểm F1-Score của mô hình LUCID.
    • Mô hình duy trì được độ chính xác phân loại cao đối với các dạng tấn công ngập lụt (SYN Flood, UDP Flood, ICMP Flood) trong khi giảm thiểu đáng kể số lượng tham số huấn luyện so với các mô hình học sâu kết hợp CNN-RNN cồng kềnh trước đây.

  2. Mức độ tiêu thụ tài nguyên phần cứng:

    • Container chạy mô hình Deep Learning LUCID sử dụng mức tài nguyên CPU và RAM ở ngưỡng thấp và ổn định, chứng minh khả năng tương thích tốt với môi trường bị giới hạn phần cứng.
    • Nhờ tích hợp bộ lọc eBPF chạy tại tầng nhân (XDP), việc trích xuất dữ liệu không gây nghẽn cổ chai CPU ở không gian người dùng, giảm thiểu độ trễ luân chuyển dữ liệu.
    • Biểu đồ theo dõi phản ứng của cụm Kubernetes cho thấy hệ thống có khả năng tự động mở rộng số lượng Pod để duy trì tính sẵn sàng của ứng dụng Web khi lưu lượng gia tăng đột biến, giúp giảm thiểu đáng kể thời gian ngưng trệ dịch vụ (downtime) khi xảy ra tấn công DDoS.

Đóng góp khoa học và thực tiễn

  • Về mặt phương pháp: Chứng minh tính khả thi và hiệu quả của việc tích hợp công nghệ lọc gói tầng nhân (eBPF) với mô hình học sâu tinh gọn (LUCID) trong việc giám sát và phát hiện xâm nhập mạng Cloud Native.
  • Về mặt kỹ thuật: Xây dựng thành công quy trình thiết lập Testbed thực nghiệm hoàn chỉnh trên nền Kubernetes, kết hợp các công cụ kiểm thử tải hiện đại (Grafana k6) và hệ thống giám sát trực quan (Grafana Dashboard).
  • Cơ sở cho nhà phát triển: Cung cấp tài liệu tham khảo thực nghiệm chi tiết về hành vi tiêu thụ tài nguyên (CPU, RAM, số Pod) của các ứng dụng AI trong môi trường microservices khi đối mặt với tấn công mạng thời gian thực.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế của đề tài

  • Quy mô thử nghiệm của Testbed vẫn nằm trong phạm vi mô hình mạng phòng thí nghiệm (ANSA LAB), chưa được triển khai đánh giá trên các cụm Cloud Native quy mô lớn với lưu lượng mạng Internet đa dạng và phức tạp trong môi trường sản xuất thực tế.
  • Đồ án chủ yếu tập trung vào bài toán phát hiện xâm nhập (IDS) và đánh giá tài nguyên, chưa đi sâu vào việc xây dựng cơ chế ngăn chặn xâm nhập tự động (IPS) trực tiếp từ tầng nhân eBPF để hủy bỏ hoàn toàn lưu lượng độc hại theo thời gian thực.

Hướng phát triển trong tương lai

  • Triển khai kiến trúc IDS phân tán hoàn chỉnh: Kết hợp các bộ giám sát lưu lượng phân tán (thực hiện phát hiện bất thường ban đầu) và các bộ tương quan trung tâm hỗ trợ bởi Open Virtual Switches (OVS) để thực hiện kiểm tra gói sâu (DPI) và đối soát chữ ký tấn công.
  • Mở rộng chức năng ngăn chặn (IPS): Phát triển cơ chế phản hồi động, cho phép chương trình eBPF/XDP tự động chặn (drop) các luồng gói tin độc hại ngay tại card mạng khi mô hình AI phát hiện bất thường.
  • Tối ưu hóa và đa dạng hóa mô hình AI: Thử nghiệm mô hình với nhiều tập dữ liệu tấn công mới, bao gồm các biến thể tấn công DDoS phức hợp và tấn công tầng ứng dụng mức độ tinh vi cao.

Giá trị tham khảo

Báo cáo đồ án tốt nghiệp cung cấp nguồn tài liệu kỹ thuật có giá trị tham khảo thiết thực cho nhiều đối tượng:

  • Sinh viên và học viên ngành Điện tử - Viễn thông, Công nghệ Thông tin, Kỹ thuật Máy tính và An toàn Thông tin: Tham khảo cách thức xây dựng hệ thống phát hiện xâm nhập hiện đại, hiểu rõ nguyên lý vận hành của bộ lọc eBPF, cơ chế mạng trong Kubernetes và cách áp dụng học sâu vào an ninh mạng.
  • Kỹ sư hệ thống Cloud / DevOps / DevSecOps: Nắm bắt phương pháp đo lường tài nguyên (CPU, RAM, Pod scaling) khi triển khai các ứng dụng vi dịch vụ kèm công cụ giám sát AI; học hỏi quy trình tạo tải và kiểm thử tấn công DDoS bằng Grafana k6.
  • Các nhóm nghiên cứu về an toàn mạng: Tham khảo phương pháp đánh giá tối ưu hóa siêu tham số ($t, n$) cho mô hình phát hiện DDoS trong môi trường hạn chế tài nguyên phần cứng.

Câu hỏi thường gặp

1. Tại sao đồ án lại lựa chọn mô hình LUCID thay vì các mạng học sâu phức tạp khác?

Phần lớn các mô hình học sâu kết hợp (như CNN kết hợp RNN/LSTM truyền thống) có số lượng trọng số rất lớn, đòi hỏi tài nguyên tính toán cao và thời gian huấn luyện kéo dài, gây khó khăn khi triển khai trên các thiết bị mạng hạn chế phần cứng. Mô hình LUCID được thiết kế tinh giản, tối ưu hóa cấu trúc để vừa đảm bảo khả năng nhận diện chính xác các đặc trưng tấn công DDoS vừa hoạt động ổn định trong môi trường tài nguyên giới hạn.

2. Công nghệ eBPF đóng vai trò gì trong việc cải thiện hiệu năng hệ thống IDS?

eBPF cho phép thực thi mã chương trình trực tiếp trong nhân Linux thông qua các điểm móc như XDP (eXpress Data Path) và tc (Traffic Control). Nhờ đó, hệ thống có thể xử lý, trích xuất thông tin gói tin ngay tại tầng điều khiển mạng mà không cần sao chép toàn bộ gói tin lên không gian người dùng, giúp giảm đáng kể độ trễ luân chuyển dữ liệu và tối ưu hóa hiệu suất CPU của máy chủ.

3. Hai siêu tham số $t$ và $n$ trong đồ án có ý nghĩa gì đối với mô hình phát hiện?

Siêu tham số $t$ đại diện cho độ dài cửa sổ thời gian quan sát luồng lưu lượng mạng, còn $n$ đại diện cho số lượng gói tin tối đa được trích xuất trong cửa sổ đó để đưa vào mô hình học sâu. Việc tinh chỉnh đồng thời $t$ và $n$ giúp xác định cấu hình đầu vào tối ưu nhằm đạt được chỉ số F1-Score cao nhất.

4. Cụm Kubernetes trong mô hình Testbed gồm những thành phần chính nào?

Cụm Kubernetes gồm:

  • Master Node: Chịu trách nhiệm quản lý và điều phối toàn bộ trạng thái cụm, bao gồm Kube-apiserver, Kube-scheduler, Kube-controller-manager và cơ sở dữ liệu phân tán Etcd.
  • Worker Node: Nơi trực tiếp chạy các ứng dụng được container hóa, gồm Kubelet (giao tiếp với API server), Kube-proxy (điều hướng lưu lượng mạng) và Container Runtime (quản lý vòng đời container như Docker).

5. Công cụ nào được sử dụng để tạo tải và kích hoạt các kịch bản tấn công thử nghiệm?

Đồ án sử dụng công cụ Grafana k6 để thiết lập các kịch bản kiểm thử tải, tạo lưu lượng mạng bình thường và kích hoạt các cuộc tấn công DoS/DDoS (như SYN Flood, UDP Flood, ICMP Flood) nhằm đo lường phản ứng của hệ thống và đánh giá độ chính xác của mô hình phát hiện.

Kết luận

Đồ án tốt nghiệp của sinh viên Vũ Quang Hưng đã nghiên cứu và triển khai thành công mô hình hệ thống phát hiện tấn công DDoS trong môi trường điện toán đám mây nguyên bản (Cloud Native). Bằng việc kết hợp công nghệ lọc gói tốc độ cao eBPF trong nhân Linux với mô hình học sâu tinh gọn LUCID trên nền tảng Kubernetes, đề tài đã giải quyết hiệu quả bài toán cân bằng giữa độ chính xác phát hiện và mức tiêu hao tài nguyên tính toán. Các kết quả đo lường thực nghiệm từ Testbed cung cấp cơ sở kỹ thuật rõ ràng, mở ra tiềm năng ứng dụng thực tiễn cho việc xây dựng các kiến trúc IDS phân tán hiệu năng cao trong tương lai.