Báo cáo đồ án tốt nghiệp đề tài hệ thống phát hiện tấn công ddos trong môi trường cloud native sử dụng phương pháp học sâu tích hợp ebpf

Đồ án nghiên cứu đồ án tốt nghiệp đề tài hệ thống phát hiện tấn công ddos trong môi trường cloud native sử dụng, áp dụng công nghệ tiên tiến, tối ưu giải pháp kỹ thuật cho bài

• Tác giả: Vũ Quang Hưng
• Người hướng dẫn: PGS.TS Nguyễn Tài Hưng
• Trường học: Đại học Bách Khoa Hà Nội
• Chuyên ngành: Điện tử
• Đề tài: Hệ thống phát hiện tấn công DDoS trong môi trường Cloud Native sử dụng eBPF
• Loại tài liệu: báo cáo đồ án tốt nghiệp
• Năm xuất bản: 2024
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI MỞ ĐẦU
• LỜI CAM ĐOAN
• 1. CHƯƠNG 1: TỔNG QUAN
• 1.1. Tổng quan chung
• 1.2. Đặt vấn đề
• 1.3. Các mô hình điện toán đám mây
• 1.3.1. Điện toán đám mây – Cloud Computing
• 1.3.2. Các loại dịch vụ điện toán đám mây
• 1.3.3. Lợi ích của việc tích hợp Cloud trong quá trình phát triển sản phẩm
• 1.4. Công nghệ ảo hóa
• 1.4.1. Lịch sử phát triển của công nghệ ảo hóa
• 1.4.2. Khái niệm về Hypervisor
• 1.4.3. Giới thiệu về máy ảo Container
• 1.5. Hệ thống phát hiện xâm nhập
• 1.5.1. Tấn công mạng
• 1.5.2. Hệ thống phát hiện xâm nhập
• 1.5.3. Kiến trúc cơ bản của một hệ thống phát hiện xâm nhập
• 1.6. Kỹ thuật Deep Learning chống tấn công DDoS
• 1.6.1. Khái niệm về trí tuệ nhân tạo
• 1.6.2. Khái niệm về Deep Learning
• 1.6.3. Ứng dụng Deep Learning trong việc phòng chống tấn công DDoS
• 1.6.4. Tổng quan về LUCID
• 1.6.5. Bộ lọc gói Berkeley (eBPF)
• 1.6.6. Kiểm thử hệ thống sử dụng Grafana K6
• 1.6.7. Kết luận và đặt câu hỏi nghiên cứu
• 2. PHƯƠNG PHÁP THỰC HIỆN
• 2.1. Xây dựng Testbed Deep Learning IDS
• 2.1.1. Testbed Deep Learning IDS
• 2.1.2. Mô hình thực tế
• 2.1.3. Cài đặt và cấu hình cho Testbed
• 2.2. Container hóa Model AI và Web Server, triển khai hệ thống phát hiện xâm nhập
• 2.3. Cài đặt phần mềm kiểm thử Grafana k6
• 2.4. Công cụ thu thập dữ liệu cho testbed
• 3. ĐÁNH GIÁ HIỆU NĂNG
• 3.1. Đánh giá hiệu năng của mô hình học sâu
• 3.1.1. Thông số đánh giá và siêu tham số
• 3.1.2. Tiến hành đo đạc để lựa chọn bộ siêu tham số
• 3.2. Đánh giá lượng tài nguyên tiêu thụ cho hệ thống phát hiện xâm nhập trong môi trường điện toán đám mây
• 3.2.1. CPU của mô hình Deep Learning tiêu thụ
• 3.2.2. RAM của mô hình Deep Learning tiêu thụ
• 3.2.3. CPU của Ứng dụng tiêu thụ
• 3.2.4. RAM của Ứng dụng tiêu thụ
• 4. KẾT LUẬN
• 4.1. Kết luận chung
• 4.2. Định hướng phát triển trong tương lai
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về hệ thống phát hiện tấn công DDoS trong Cloud Native

Hệ thống phát hiện tấn công DDoS trong môi trường Cloud Native đang trở thành một chủ đề nóng trong lĩnh vực an ninh mạng. Với sự gia tăng của các cuộc tấn công từ chối dịch vụ, việc phát triển các giải pháp hiệu quả để phát hiện và ngăn chặn các mối đe dọa này là rất cần thiết. Công nghệ eBPF (Extended Berkeley Packet Filter) đã mở ra những khả năng mới trong việc phân tích lưu lượng mạng và phát hiện các hành vi bất thường. Bài viết này sẽ đi sâu vào các khía cạnh quan trọng của hệ thống phát hiện tấn công DDoS, từ lý thuyết đến ứng dụng thực tiễn.

1.1. Khái niệm về tấn công DDoS và tầm quan trọng của phát hiện

Tấn công DDoS (Distributed Denial of Service) là một trong những hình thức tấn công mạng phổ biến nhất hiện nay. Những cuộc tấn công này nhằm làm gián đoạn dịch vụ của một hệ thống bằng cách làm ngập lưu lượng truy cập. Việc phát hiện sớm các cuộc tấn công này là rất quan trọng để bảo vệ hệ thống và đảm bảo tính liên tục của dịch vụ.

1.2. Công nghệ eBPF và vai trò trong phát hiện tấn công

Công nghệ eBPF cho phép thực thi mã trong nhân Linux mà không cần thay đổi mã nguồn. Điều này giúp tăng tốc độ xử lý gói tin và cải thiện khả năng phát hiện các hành vi bất thường trong lưu lượng mạng. Việc tích hợp eBPF vào hệ thống phát hiện tấn công DDoS mang lại nhiều lợi ích về hiệu suất và độ chính xác.

II. Thách thức trong việc phát hiện tấn công DDoS trong môi trường Cloud Native

Mặc dù có nhiều tiến bộ trong công nghệ phát hiện tấn công, nhưng vẫn tồn tại nhiều thách thức trong việc triển khai các hệ thống này trong môi trường Cloud Native. Các vấn đề như độ phức tạp của lưu lượng mạng, sự thay đổi liên tục của các mô hình tấn công, và yêu cầu về tài nguyên đều ảnh hưởng đến hiệu quả của hệ thống phát hiện.

2.1. Độ phức tạp của lưu lượng mạng trong Cloud Native

Môi trường Cloud Native thường có lưu lượng mạng phức tạp với nhiều loại dịch vụ và ứng dụng khác nhau. Điều này làm cho việc phân tích và phát hiện các cuộc tấn công trở nên khó khăn hơn, đòi hỏi các giải pháp phải có khả năng xử lý và phân tích dữ liệu lớn trong thời gian thực.

2.2. Sự thay đổi liên tục của các mô hình tấn công

Các cuộc tấn công DDoS ngày càng trở nên tinh vi và khó phát hiện hơn. Các hacker thường xuyên thay đổi phương thức tấn công để tránh bị phát hiện, điều này đặt ra thách thức lớn cho các hệ thống phát hiện. Cần có các phương pháp học sâu để nhận diện và ứng phó kịp thời với các mô hình tấn công mới.

III. Phương pháp phát hiện tấn công DDoS sử dụng eBPF và học sâu

Phương pháp phát hiện tấn công DDoS kết hợp giữa eBPF và học sâu đã cho thấy hiệu quả cao trong việc nhận diện các hành vi bất thường. Việc sử dụng eBPF giúp tăng tốc độ xử lý và giảm độ trễ, trong khi học sâu cung cấp khả năng tự động hóa trong việc phân tích dữ liệu.

3.1. Cách thức hoạt động của eBPF trong phát hiện tấn công

eBPF cho phép chạy mã tùy chỉnh trong nhân Linux, giúp theo dõi và phân tích lưu lượng mạng một cách hiệu quả. Điều này cho phép phát hiện các mẫu tấn công DDoS ngay khi chúng xảy ra, từ đó giảm thiểu thiệt hại cho hệ thống.

3.2. Ứng dụng học sâu trong phát hiện tấn công DDoS

Học sâu giúp tự động hóa quá trình phân tích dữ liệu và nhận diện các mẫu tấn công. Các mô hình học sâu có thể học từ dữ liệu lịch sử để phát hiện các hành vi bất thường, từ đó cải thiện khả năng phát hiện và giảm thiểu số lượng cảnh báo giả.

IV. Ứng dụng thực tiễn của hệ thống phát hiện tấn công DDoS

Hệ thống phát hiện tấn công DDoS sử dụng eBPF và học sâu đã được triển khai thành công trong nhiều tổ chức. Các ứng dụng này không chỉ giúp bảo vệ hệ thống mà còn cải thiện hiệu suất và độ tin cậy của dịch vụ.

4.1. Các trường hợp thành công trong phát hiện tấn công

Nhiều tổ chức đã áp dụng hệ thống phát hiện tấn công DDoS và ghi nhận sự cải thiện rõ rệt trong khả năng phát hiện và ứng phó với các cuộc tấn công. Các trường hợp này cho thấy tính khả thi và hiệu quả của việc sử dụng eBPF và học sâu trong an ninh mạng.

4.2. Lợi ích của việc triển khai hệ thống phát hiện

Việc triển khai hệ thống phát hiện tấn công DDoS không chỉ giúp bảo vệ hệ thống mà còn giảm thiểu chi phí liên quan đến việc khắc phục sự cố. Các tổ chức có thể duy trì dịch vụ liên tục và nâng cao trải nghiệm người dùng.

V. Kết luận và tương lai của hệ thống phát hiện tấn công DDoS

Hệ thống phát hiện tấn công DDoS trong môi trường Cloud Native sử dụng eBPF và học sâu đang mở ra nhiều cơ hội mới trong lĩnh vực an ninh mạng. Tương lai của công nghệ này hứa hẹn sẽ mang lại những giải pháp hiệu quả hơn trong việc bảo vệ hệ thống khỏi các cuộc tấn công.

5.1. Tương lai của công nghệ eBPF trong an ninh mạng

Công nghệ eBPF có tiềm năng lớn trong việc phát triển các giải pháp an ninh mạng. Với khả năng mở rộng và linh hoạt, eBPF có thể được áp dụng trong nhiều lĩnh vực khác nhau, từ phát hiện tấn công đến giám sát hiệu suất hệ thống.

5.2. Định hướng nghiên cứu trong lĩnh vực phát hiện tấn công

Nghiên cứu trong lĩnh vực phát hiện tấn công DDoS cần tiếp tục được đẩy mạnh, đặc biệt là trong việc phát triển các mô hình học sâu mới và cải thiện khả năng phát hiện. Việc kết hợp giữa các công nghệ hiện đại sẽ giúp nâng cao hiệu quả và độ chính xác của hệ thống.

Trích đoạn nội dung tài liệu

Đặt vấn đề Cho đến nay, đã có nhiều nghiên cứu về việc xây dựng các hệ thống phát hiện xâm nhập tích hợp trí tuệ nhân tạo. Tuy nhiên, phần lớn các mô hình trí tuệ nhân tạo này thường có trọng số rất lớn, dẫn đến quá trình huấn luyện tiêu tốn nhiều tài nguyên và thời gian. Bên cạnh đó, việc cải thiện hiệu năng và tốc độ của các hệ thống này đang trở thành một lĩnh vực nghiên cứu quan trọng, đặc biệt khi các phương pháp tấn công mạng, đặc biệt là tấn công từ chối dịch vụ (DDoS), ngày càng tinh vi và phức tạp hơn. Một số kiến trúc mạng nổi bật như Cilium và Calico đã được ứng dụng rộng rãi trong các cơ sở hạ tầng điện toán đám mây nguyên bản.

Với những thách thức này, câu hỏi em đặt ra là: Kỹ thuật học sâu và bộ lọc gói tăng tốc sẽ tác động như thế nào đến hiệu năng và tài nguyên tiêu thụ của một hệ thống phát hiện xâm nhập? Liệu chúng có thể được triển khai hiệu quả trong các môi trường mạng hạn chế về tài nguyên nhưng vẫn đảm bảo hiệu năng và tốc độ tốt hay không? Mặc dù các nghiên cứu ứng dụng chúng vào hệ thống phát hiện xâm nhập (IDS) là hoàn toàn khả thi, hiện tại vẫn thiếu vắng những nghiên cứu tổng thể mang lại kết quả rõ ràng và trực quan nhất. Vì vậy, em đã chọn đề tài “Hệ thống phát hiện tấn công DDoS trong môi trường Cloud Native sử dụng phương pháp học sâu”. Mục tiêu là đánh giá những ưu, nhược điểm của hệ thống này và đề xuất các tiềm năng phát triển cho lĩnh vực an ninh mạng trong tương lai.1 Các mô hình điện toán đám mây 2.1 Điện toán đám mây – Cloud Computing Khái niệm điện toán đám mây lần đầu tiên xuất hiện trong một tài liệu nội bộ của Compaq vào năm 1996. Đến năm 1997, Giáo sư Ramnath Chellappa từ Đại học Emory đã nhắc đến “đám mây” trong các nghiên cứu của mình.

Điện toán đám mây là một công nghệ cung cấp các dịch vụ tính toán thông qua Internet, bao gồm các dịch vụ như máy chủ, lưu trữ, cơ sở dữ liệu, mạng, phần mềm, phân tích, trí tuệ nhân tạo, và nhiều hơn nữa. Công nghệ này mang lại một giải pháp thay thế cho các trung tâm dữ liệu truyền thống tại chỗ. Có ba loại điện toán đám mây chính: đám mây công cộng, đám mây riêng, và đám mây kết hợp. Đám mây công cộng bao gồm các tài nguyên đám mây do các nhà cung cấp dịch vụ đám mây bên thứ ba sở hữu và vận hành.

Đám mây riêng là các tài nguyên điện toán đám mây được sử dụng độc quyền trong một doanh nghiệp hoặc tổ chức cụ thể. Đám mây kết hợp, hay còn gọi là đám mây hỗn hợp, là sự kết hợp của đám mây công cộng và đám mây riêng, được liên kết với nhau bằng công nghệ cho phép chia sẻ dữ liệu và ứng dụng giữa chúng. Điện toán đám mây cung cấp nhiều lợi ích.  Giảm chi phí lớn cho việc mua phần cứng và phần mềm.

 Cung cấp tốc độ truy cập nhanh chóng vào các tài nguyên, thường chỉ với vài cú nhấp chuột.  Cho phép mở rộng hoặc thu hẹp yêu cầu về tài nguyên theo yêu cầu kinh doanh. Nó giúp tăng năng suất bằng cách giảm nỗ lực vận hành.  Cung cấp độ tin cậy cao với chi phí sao lưu và khôi phục dữ liệu thấp và rất nhanh cho việc tiếp tục kinh doanh.

 Cung cấp an ninh với nhiều chính sách, công nghệ và điều khiển mạnh mẽ để tăng cường bảo mật dữ liệu.2 Các loại dịch vụ điện toán đám mây Trong thế giới điện toán đám mây, có nhiều loại dịch vụ được cung cấp để đáp ứng các nhu cầu cụ thể của người dùng. Mỗi loại dịch vụ mang đến cho bạn một mức độ kiểm soát, linh hoạt, và khả năng quản lý khác nhau. Hình 1 dưới đây cung cấp cái nhìn tổng quan về các loại dịch vụ điện toán đám mây chính.1: Các loại dịch vụ trên điện toán đám mây a) Dịch vụ cơ sở hạ tầng (IaaS) IaaS (Infrastructure-as-a-Service) cung cấp cho người dùng cơ sở hạ tầng dưới dạng dịch vụ, thường dưới hình thức các máy ảo. Người dùng có thể triển khai và chạy phần mềm trên các máy ảo như thể họ đang sử dụng một máy chủ thực, hoặc lưu trữ dữ liệu cá nhân trên “đám mây”.

Mặc dù người dùng không có quyền kiểm soát hạ tầng vật lý bên trong “đám mây”, họ vẫn có toàn quyền quản lý và sử dụng tài nguyên được cung cấp, đồng thời có thể yêu cầu mở rộng lượng tài nguyên theo nhu cầu sử dụng.2: Dịch vụ hạ tầng (IaaS) b) Dịch vụ nền tảng (PaaS) PaaS (Platform as a Service) cung cấp một nền tảng trừu tượng cho phép phát triển ứng dụng một cách dễ dàng. Nó hỗ trợ việc triển khai ứng dụng mà không cần lo lắng về chi phí hay sự phức tạp trong việc trang bị và quản lý các lớp phần cứng và phần mềm cơ bản. PaaS cung cấp tất cả các tính năng cần thiết để xây dựng và cung cấp ứng dụng hoặc dịch vụ web sẵn sàng trên Internet mà không cần tải xuống hoặc cài đặt phần mềm cho nhà phát triển, quản trị viên hệ thống, hay người dùng cuối. Điều này giúp các nhà phát triển ứng dụng có thể nhanh chóng tạo ra sản phẩm của mình, bởi các vấn đề như thiết lập máy chủ hay cơ sở dữ liệu đã được nhà cung cấp PaaS giải quyết sẵn.3: Dịch vụ nền tảng (PaaS) 5 c) Dịch vụ phần mềm (SaaS) SaaS (Software as a Service) là mô hình cung cấp ứng dụng theo dạng dịch vụ, cho phép người dùng truy cập và sử dụng ứng dụng theo yêu cầu.

Các nhà cung cấp SaaS có thể lưu trữ ứng dụng trên máy chủ của mình hoặc cho phép người dùng tải xuống và cài đặt ứng dụng trên thiết bị của họ, đồng thời vô hiệu hóa ứng dụng khi không còn cần thiết. Các chức năng theo yêu cầu có thể được quản lý nội bộ hoặc chia sẻ bản quyền với các nhà cung cấp ứng dụng bên thứ ba.4: Dịch vụ phần mềm (SaaS) 2.3 Lợi ích của việc tích hợp Cloud trong quá trình phát triển sản phẩm Điện toán đám mây mang lại nhiều lợi ích đáng kể, và có thể tổng kết thành sáu giá trị cốt lõi chính: Tiết kiệm chi phí: Điện toán đám mây giúp giảm bớt gánh nặng tài chính cho doanh nghiệp, vì họ chỉ trả tiền cho tài nguyên và dịch vụ thực sự sử dụng. Doanh nghiệp không cần đầu tư lớn vào cơ sở hạ tầng và phần mềm, từ đó có thể linh hoạt điều chỉnh ngân sách và tập trung vào phát triển kinh doanh. Khả năng mở rộng linh hoạt: Điện toán đám mây cung cấp khả năng mở rộng tự động theo nhu cầu.

Doanh nghiệp có thể dễ dàng điều chỉnh tài nguyên theo sự biến động của công việc mà không cần phải mua thêm phần cứng hoặc quản lý việc mở rộng. 6 Truy cập từ mọi nơi: Với điện toán đám mây, người dùng có thể truy cập dữ liệu và ứng dụng từ bất kỳ thiết bị nào kết nối internet. Điều này tạo ra sự linh hoạt trong công việc, giúp nhân viên làm việc hiệu quả ở bất kỳ đâu. Bảo mật và sao lưu tự động: Các nhà cung cấp dịch vụ điện toán đám mây thường cung cấp các biện pháp bảo mật và sao lưu tự động, giảm rủi ro mất dữ liệu quan trọng.

Điều này đảm bảo tính an toàn và liên tục của thông tin quan trọng. Chạy ứng dụng mạnh mẽ: Doanh nghiệp có thể triển khai và chạy các ứng dụng mạnh mẽ mà không cần lo lắng về cấu hình phức tạp. Điều này giúp tăng cường khả năng tiếp cận và sử dụng các công nghệ mới một cách nhanh chóng. Tối ưu hóa tài nguyên: Điện toán đám mây giúp tối ưu hóa việc sử dụng tài nguyên, giảm lãng phí và nâng cao hiệu suất.

Các công cụ theo dõi và quản lý tài nguyên giúp doanh nghiệp hiểu rõ hơn về việc sử dụng nguồn lực và tối ưu hóa chúng một cách hiệu quả.2 Công nghệ ảo hóa 2.1 Virtualization là gì? Ảo hóa là công nghệ cho phép tạo ra các phiên bản ảo của máy chủ, kho lưu trữ, mạng, và nhiều thiết bị vật lý khác. Phần mềm ảo hóa mô phỏng các chức năng của phần cứng vật lý, cho phép chạy nhiều máy ảo trên một máy chủ vật lý duy nhất. Doanh nghiệp sử dụng công nghệ ảo hóa để tối ưu hóa việc sử dụng tài nguyên phần cứng và tối đa hóa lợi nhuận từ các khoản đầu tư lớn. Công nghệ này cũng hỗ trợ nhiều dịch vụ điện toán đám mây, giúp các tổ chức quản lý cơ sở hạ tầng hiệu quả hơn.

Như thể hiện trong Hình 1.5, công nghệ ảo hóa cho phép quản trị viên triển khai và quản lý nhiều máy ảo trên cùng một máy chủ vật lý. Điều này không chỉ giảm thiểu sự lãng phí tài nguyên mà còn tối ưu hóa việc sử dụng tài nguyên. Kết quả là, doanh nghiệp tiết kiệm chi phí phần cứng, đồng thời có khả năng mở rộng dễ dàng, phản hồi nhanh chóng với hệ thống, và sao lưu dữ liệu linh hoạt.5: Kiến trúc truyền thống và kiến trúc ảo hóa Công nghệ ảo hóa không chỉ áp dụng cho phần cứng mà còn mở rộng cơ hội trong việc triển khai các môi trường phần mềm, mạng và lưu trữ ảo. Công nghệ này có ứng dụng rộng rãi, từ quản lý trung tâm dữ liệu và phát triển ứng dụng, đến nghiên cứu và giáo dục.

Với khả năng tối ưu hóa tài nguyên, tăng cường tính linh hoạt và bảo mật, công nghệ ảo hóa đã trở thành yếu tố quan trọng trong việc triển khai và quản lý hạ tầng máy tính hiện đại. Hơn nữa, nó còn là nền tảng thiết yếu cho nhiều xu hướng công nghệ tiên tiến khác, như điện toán đám mây và containerization.2 Lịch sử phát triển của công nghệ ảo hóa Công nghệ ảo hóa, ra đời từ những năm 1960 cùng với các hệ thống chia sẻ thời gian, đã trải qua nhiều giai đoạn phát triển quan trọng. Một trong những cột mốc nổi bật là sự xuất hiện của VM/370 - hệ điều hành máy ảo đầu tiên, cùng với sự phát triển của ảo hóa phần cứng, giúp chia sẻ tài nguyên hiệu quả. Vào những năm 1990, ảo hóa đã trở nên phổ biến trong các doanh nghiệp và đặt nền tảng cho sự phát triển của điện toán đám mây.

Ngày nay, công nghệ ảo hóa tiếp tục phát triển mạnh mẽ với nhiều tính năng mới và được ứng dụng rộng rãi trong các lĩnh vực như điện toán đám mây, trí tuệ nhân tạo và Internet of Things (IoT).