Luận Văn Thạc Sĩ: Hệ Thống Phát Hiện Xâm Nhập Dựa Trên Bất Thường Cho Mạng SDN

Luận văn thạc sĩ phân tích máy tính a high performance anomalybased intrusion detection system for sdn networks, đánh giá thực trạng, chỉ ra hạn chế, đề xuất giải pháp khả thi cho

• Đề tài: Hệ thống phát hiện xâm nhập dựa trên bất thường hiệu suất cao cho mạng SDN

Mục lục chi tiết

• Lời cảm ơn
• Tóm tắt luận văn
• Lời cam đoan
• Danh mục hình vẽ
• Danh mục bảng biểu
• 1. Chương 1: Giới thiệu
• 1.1. Tổng quan và bố cục luận văn
• 2. Chương 2: Kiến thức nền tảng và các nghiên cứu liên quan
• 2.1. Mạng định nghĩa bằng phần mềm (Software-Defined Network)
• 2.2. Mảng phần tử logic lập trình được (Field Programmable Gate Array)
• 2.3. Tấn công TCP SYN flood
• 2.4. Mạng nơ-ron nhân tạo (Artificial Neural Network)
• 2.5. Tập dữ liệu phát hiện xâm nhập mạng dựa trên bất thường
• 2.5.1. Tập dữ liệu NSL-KDD
• 2.6. Bảo mật trên mặt phẳng điều khiển
• 2.7. Bảo mật trên mặt phẳng dữ liệu
• 2.8. Phát hiện và phòng chống tấn công DDoS
• 2.9. Phát hiện xâm nhập mạng dựa trên bất thường
• 3. Chương 3: Kiến trúc đề xuất
• 3.1. Thiết bị chuyển tiếp mặt phẳng dữ liệu SDN bảo mật
• 3.2. Kiến trúc độc lập của bộ phòng thủ SYN flood
• 3.3. Phát hiện tấn công SYN flood
• 3.4. Phân tích hiệu năng SYND
• 4. Chương 4: Các khối phát hiện xâm nhập mạng
• 4.1. Các khối học máy
• 4.2. Mạng nơ-ron nhân tạo
• 4.3. Mạng nơ-ron nhân tạo phát hiện bất thường trên phần cứng tăng tốc dị thể
• 4.4. Khối tạo chỉ số IDG giai đoạn 1 và giai đoạn 2
• 4.5. Khối tạo cookie CKG giai đoạn 1 và giai đoạn 2
• 4.6. Kết hợp SYND và bộ chuyển mạch OpenFlow
• 5. Chương 5: Thử nghiệm và đánh giá toàn hệ thống
• 5.1. Thử nghiệm toàn hệ thống
• 6. Chương 6: Kết luận và hướng phát triển
• 6.1. Các hướng tiếp cận học máy thông lượng cao trong phát hiện tấn công mạng
• 6.2. Các hướng tiếp cận học máy thông lượng cao trong phát hiện tấn công mạng trên FPGA
• 6.3. Bộ phòng thủ SYN flood hiệu năng cao và độ trễ thấp cho mạng tốc độ cao
• 6.4. HPOFS: Kiến trúc bộ chuyển mạch OpenFlow hiệu năng cao và bảo mật trên FPGA
• Lý lịch khoa học

Tóm tắt

I. Giới thiệu

Hệ thống phát hiện xâm nhập dựa trên bất thường hiệu suất cao cho mạng SDN là một nghiên cứu quan trọng trong lĩnh vực an ninh mạng. Nghiên cứu này tập trung vào việc phát triển các phương pháp phát hiện xâm nhập hiệu quả hơn trong môi trường mạng SDN, nơi mà việc quản lý và bảo mật trở nên phức tạp hơn do tính linh hoạt và khả năng mở rộng của nó. Hệ thống phát hiện xâm nhập (IDS) được xây dựng dựa trên các thuật toán học máy nhằm phát hiện các hành vi bất thường trong lưu lượng mạng. Các phương pháp này không chỉ giúp phát hiện các cuộc tấn công mà còn cải thiện khả năng phản ứng nhanh chóng trước các mối đe dọa mới. Theo các nghiên cứu trước đây, việc áp dụng công nghệ SDN có thể giúp cải thiện hiệu suất và tính bảo mật của mạng, nhưng vẫn còn nhiều thách thức cần được giải quyết. Việc phát hiện các hành vi bất thường trong lưu lượng mạng là một trong những thách thức lớn nhất mà các nhà nghiên cứu đang đối mặt.

II. Các phương pháp phát hiện xâm nhập dựa trên bất thường

Trong nghiên cứu này, các phương pháp phát hiện xâm nhập dựa trên bất thường được phân tích và đánh giá. Phân tích bất thường cho phép hệ thống phát hiện các hành vi không bình thường trong lưu lượng mạng, từ đó đưa ra cảnh báo về các cuộc tấn công có thể xảy ra. Các kỹ thuật học máy như mạng nơ-ron và cây quyết định được áp dụng để cải thiện độ chính xác của hệ thống. Một trong những ưu điểm của phương pháp này là khả năng tự động hóa quá trình phát hiện, giúp giảm thiểu thời gian phản ứng. Hệ thống được thiết kế để hoạt động hiệu quả trên nền tảng NetFPGA, cho phép xử lý lưu lượng mạng với tốc độ cao. Nghiên cứu này cũng chỉ ra rằng việc tích hợp các công nghệ mới như AI vào hệ thống phát hiện xâm nhập có thể mang lại những cải tiến đáng kể về hiệu suất và độ chính xác.

III. Kiến trúc hệ thống

Kiến trúc của hệ thống phát hiện xâm nhập dựa trên bất thường được thiết kế để tối ưu hóa hiệu suất và khả năng bảo mật. Hệ thống bao gồm các thành phần chính như bộ điều khiển, thiết bị chuyển mạch và các mô-đun phát hiện xâm nhập. Bảo mật hệ thống là yếu tố quan trọng trong việc thiết kế kiến trúc này. Các thiết bị chuyển mạch sử dụng giao thức OpenFlow để quản lý lưu lượng mạng, trong khi đó các mô-đun phát hiện xâm nhập được tích hợp để phân tích và phát hiện các hành vi bất thường. Hệ thống cũng cho phép quản lý và giám sát mạng một cách tự động, giúp giảm thiểu rủi ro từ các cuộc tấn công. Kết quả thử nghiệm cho thấy hệ thống có khả năng phát hiện các cuộc tấn công SYN Flood với tốc độ lên đến 28 triệu gói mỗi giây, cho thấy tính hiệu quả cao của giải pháp này.

IV. Đánh giá hiệu suất và ứng dụng thực tiễn

Đánh giá hiệu suất của hệ thống phát hiện xâm nhập cho thấy khả năng hoạt động vượt trội so với các phương pháp truyền thống. Hệ thống không chỉ đạt được độ chính xác cao trong việc phát hiện các cuộc tấn công mà còn có khả năng xử lý lưu lượng lớn mà không làm giảm hiệu suất. Giá trị thực tiễn của nghiên cứu này rất lớn, đặc biệt trong bối cảnh các mối đe dọa mạng ngày càng gia tăng. Hệ thống phát hiện xâm nhập dựa trên bất thường có thể được áp dụng rộng rãi trong các tổ chức, doanh nghiệp để bảo vệ hệ thống mạng khỏi các cuộc tấn công. Việc tích hợp công nghệ mới và cải tiến quy trình phát hiện sẽ giúp nâng cao an ninh mạng và đảm bảo an toàn thông tin cho các tổ chức trong thời đại số.

Nội dung chính

Tổng quan nghiên cứu

Sự bùng nổ của kỷ nguyên số và các thiết bị Internet vạn vật (IoT) đang tạo ra áp lực chưa từng có lên hạ tầng mạng viễn thông toàn cầu. Theo các báo cáo thống kê ngành, lưu lượng thông tin truyền tải mỗi ngày đã vượt mốc 269 tỷ thư điện tử và hơn 3,5 tỷ lượt tìm kiếm trực tuyến mỗi ngày, với dự báo đạt khoảng 20 đến 100 tỷ thực thể kết nối mạng. Trước nhu cầu quản trị luồng dữ liệu khổng lồ, mô hình mạng truyền thống với các thiết bị định tuyến và chuyển mạch cấu hình thủ công bộc lộ nhiều hạn chế về khả năng mở rộng cũng như tính linh hoạt.

Mạng định nghĩa bằng phần mềm (Software-Defined Networking - SDN) nổi lên như một kiến trúc đột phá nhờ cơ chế tách biệt hoàn toàn mặt phẳng điều khiển (Control plane) và mặt phẳng dữ liệu (Data plane). Tuy nhiên, nguyên lý chuyển tiếp gói tin đầu tiên của mỗi luồng dữ liệu mới (new flow) lên bộ điều khiển trung tâm OpenFlow Controller vô tình biến bộ điều khiển thành mục tiêu hàng đầu của các cuộc tấn công từ chối dịch vụ phân tán (DDoS) và tấn công bão gói tin SYN Flood.

Trước thách thức nghiêm trọng này, luận văn thạc sĩ chuyên ngành Khoa học máy tính của học viên Ngô Đức Minh, dưới sự hướng dẫn khoa học của PGS. Trần Ngọc Thịnh tại Trường Đại học Bách Khoa - Đại học Quốc gia TP.HCM, đã tập trung giải quyết bài toán cốt lõi: Tăng cường an ninh cho mạng SDN bằng cách tiền xử lý, phân loại và ngăn chặn tấn công sớm ngay tại mặt phẳng dữ liệu ở tốc độ cao. Nghiên cứu được triển khai toàn diện trong khoảng thời gian từ ngày 13/08/2018 đến ngày 30/12/2019.

Ý nghĩa thực tiễn của công trình thể hiện qua việc phát triển kiến trúc phần cứng dị thể kết hợp bo mạch NetFPGA-10G và GPU chuyên dụng, giúp thiết bị chuyển mạch xử lý trơn tru băng thông đạt tới 39.48 Gbps, chặn đứng các đợt tấn công SYN Flood ở tốc độ hơn 28 triệu gói tin mỗi giây, đồng thời nhận diện chính xác các hành vi bất thường với độ chính xác đạt 99.01%.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn xây dựng hệ thống phòng thủ dựa trên việc tích hợp các nền tảng lý thuyết mạng tiên tiến và kỹ thuật tính toán thông minh:

• Kiến trúc mạng định nghĩa bằng phần mềm và giao thức OpenFlow: SDN phân tách hệ thống mạng thành ba lớp rõ rệt gồm lớp ứng dụng, lớp điều khiển và lớp hạ tầng dữ liệu. Giao thức OpenFlow chuẩn hóa giao tiếp tại giao diện Nam-Bắc (Southbound Interface), cho phép điều khiển linh hoạt luồng dữ liệu thông qua bảng chuyển tiếp Flow Table.
• Cơ chế xác thực ba bước TCP và kỹ thuật SYN Cookies: Tấn công TCP SYN Flood khai thác quy trình bắt tay ba bước (3-way handshake) nhằm chiếm dụng bộ nhớ máy chủ. Giải pháp phòng vệ áp dụng thuật toán SYN Cookies sinh mã xác thực bằng hàm băm CRC kết hợp cơ chế gửi gói tin thiết lập lại kết nối (RST packet) để kiểm tra tính hợp lệ của máy trạm mà không cần duy trì bảng trạng thái kết nối tạm thời.
• Mạng nơ-ron nhân tạo (Artificial Neural Network - ANN) trong phát hiện bất thường: Mô hình học máy sử dụng thuật toán lan truyền ngược (Backpropagation) để tối ưu hóa trọng số. Nhằm phù hợp với khả năng tính toán trên phần cứng, nghiên cứu áp dụng hàm kích hoạt phi tuyến tối ưu tài nguyên do Nordstrom và Svensson đề xuất $f(y) = \frac{2}{1 + |y|}$, hỗ trợ định dạng số thực dấu phẩy động 32-bit (32-bit floating-point).
• Điện toán gia tốc phần cứng dị thể (Heterogeneous Computing): Kết hợp sức mạnh xử lý song song hàng nghìn nhân của khối xử lý đồ họa (GPU) cho pha huấn luyện và cấu trúc mạch logic linh hoạt của mảng cổng lập trình được (FPGA) cho pha suy luận kiểm thử trực tiếp ở tốc độ đường truyền.

Phương pháp nghiên cứu

Phương pháp nghiên cứu thực nghiệm được tiến hành một cách chặt chẽ từ khâu chuẩn bị dữ liệu đến đo kiểm trên phần cứng thực tế:

• Nguồn dữ liệu và kỹ thuật chọn mẫu:
  • Bộ dữ liệu chuẩn quốc tế NSL-KDD: Nhóm tác giả áp dụng phương pháp chọn lọc đặc trưng dựa trên độ quan trọng tương đối, rút gọn từ 41 thuộc tính ban đầu xuống còn 6 đặc trưng then chốt gồm: thời gian kết nối (duration), loại giao thức (protocol_type), số byte gửi (src_bytes), số byte nhận (dst_bytes), số kết nối cùng máy chủ trong 2 giây (count), và số kết nối cùng dịch vụ trong 2 giây (srv_count). Việc giảm chiều dữ liệu này giúp mô hình vừa vặn với dung lượng tài nguyên logic trên chip phần cứng mà vẫn đảm bảo độ bao quát.
  • Bộ dữ liệu thực nghiệm phòng lab: Thu thập dữ liệu thực tế tại Phòng thí nghiệm Kỹ thuật Máy tính (Trường Đại học Bách Khoa TP.HCM). Cỡ mẫu huấn luyện bao gồm 1.445.135 gói tin bình thường và 8.328.298 gói tin tấn công (tổng cộng 9.773.433 gói tin). Cỡ mẫu kiểm thử bao gồm 428.021 gói tin bình thường và 7.895.321 gói tin tấn công được sinh tự động thông qua công cụ chuyên dụng hping3.
• Phương pháp phân tích và hiện thực hệ thống: Sử dụng ngôn ngữ mô tả phần cứng HDL (Verilog/VHDL) để thiết kế kiến trúc đường ống 5 giai đoạn (5-stage pipeline) trên chip Xilinx Virtex-5 XC5VTX240T thuộc bo mạch NetFPGA-10G. Tác vụ huấn luyện mạng nơ-ron được thực hiện trên GPU NVIDIA GeForce GTX 1080 G1. Quá trình đo kiểm thông lượng, độ trễ và tỷ lệ lỗi được thực hiện đồng thời bằng công cụ kiểm thử mạng mã nguồn mở OSNT (Open Source Network Tester) và mạng vật lý thực nghiệm trong suốt 16 tháng nghiên cứu.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình đo đạc và kiểm thử thực nghiệm trên hệ thống phần cứng dị thể đã mang lại những kết quả định lượng vượt bậc:

• Khả năng triệt tiêu tấn công SYN Flood tốc độ cao: Khối SYN Flood Defender với kiến trúc đường ống 5 tầng đạt thông lượng xử lý tối đa lên tới hơn 28 triệu gói tin mỗi giây (28+ Mpps) đối với các gói tin SYN kích thước 62 bytes. Mô hình toán học ước lượng hiệu năng xây dựng trong luận văn có độ tương thích gần như tuyệt đối với số liệu đo đạc thực nghiệm.
• Băng thông chuyển mạch OpenFlow vượt trội: Khi kết hợp đồng thời chức năng chuyển mạch chuẩn OpenFlow (kiến trúc mở rộng HPOFS) cùng ba module lọc phòng thủ DDoS gọn nhẹ (Pre-scanner gồm Ingress/Egress Filtering, Hop-Count Filtering), hệ thống đạt tốc độ xử lý kỷ lục 39.48 Gbps trên bo mạch NetFPGA-10G, tiệm cận giới hạn vật lý của 4 cổng quang 10GbE SFP+.
• Tốc độ gia tốc huấn luyện của GPU: Quá trình huấn luyện mô hình mạng nơ-ron trên card đồ họa rời GeForce GTX 1080 G1 cho tốc độ xử lý nhanh gấp 14 lần so với vi xử lý máy tính tiêu chuẩn Intel Core i7-4770 (tốc độ xung nhịp 3.4 GHz, bộ nhớ trong 16GB RAM vận hành trên nền tảng hệ điều hành Ubuntu 14).
• Độ chính xác xuất sắc của module học máy F-ANIDS: Khối phát hiện bất thường dựa trên mạng nơ-ron triển khai trên FPGA đạt độ chính xác phân loại (Precision) lên đến 99.01%, trong khi tỷ lệ cảnh báo dương tính giả (False-Positive Rate) được kiểm soát ở mức cực thấp là 0.02% trên tập dữ liệu kiểm nghiệm thực tế.

Thảo luận kết quả

Hiệu năng ấn tượng của hệ thống bắt nguồn từ cách tiếp cận phần cứng dị thể thông minh. Trong khi CPU truyền thống thường gặp hiện tượng nghẽn cổ chai khi phải xử lý ngắt và tính toán song song ma trận lớn, việc phân bổ tác vụ huấn luyện nặng cho GPU và tác vụ phân loại thời gian thực cho FPGA đã khai thác triệt để thế mạnh của từng nền tảng.

Khi thể hiện dữ liệu qua biểu đồ phân bố sai số toàn phương trung bình (Mean Squared Error - MSE) theo các cấu trúc mạng $10 \times N \times 1$ (với số nơ-ron ẩn $N$ từ 1 đến 10) và bảng ma trận nhầm lẫn (Confusion Matrix), kết quả cho thấy mô hình không chỉ đạt độ hội tụ nhanh mà còn duy trì tính ổn định vượt trội khi đối mặt với các dạng tấn công giả mạo địa chỉ nguồn phức tạp.

So với các giải pháp bảo mật SDN nổi tiếng trong y văn quốc tế như AVANT-GUARD hay LineSwitch, kiến trúc đề xuất sở hữu ưu thế vượt trội:

• Không làm quá tải bộ nhớ bảng chuyển tiếp do không cần duy trì trạng thái phiên kéo dài.
• Loại bỏ hoàn toàn độ trễ đồng bộ số thứ tự chuỗi gói tin (Sequence Number synchronization).
• Bảo vệ tuyệt đối cho kênh truyền giao diện Nam-Bắc, ngăn chặn tình trạng tê liệt bộ điều khiển trung tâm ngay cả trong kịch bản lưu lượng tấn công tăng đột biến.

Đề xuất và khuyến nghị

Dựa trên các kết quả thực nghiệm xuất sắc, luận văn đưa ra 4 khuyến nghị và lộ trình triển khai cụ thể nhằm đưa giải pháp ứng dụng vào thực tế hạ tầng mạng:

• Tích hợp module tiền xử lý bảo mật tại các thiết bị chuyển mạch biên SDN: Các doanh nghiệp và nhà cung cấp dịch vụ trung tâm dữ liệu cần chủ động triển khai khối Pre-scanner và SYN Flood Defender trên các thiết bị chuyển mạch biên trong vòng 6 đến 12 tháng tới, nhằm mục tiêu giảm thiểu ít nhất 85% tải lưu lượng bất thường trước khi các luồng dữ liệu chạm tới bộ điều khiển trung tâm.
• Tối ưu hóa và chuẩn hóa tập đặc trưng 6 thuộc tính cho hệ thống giám sát an ninh: Nhóm kỹ sư vận hành hệ thống cần áp dụng quy trình trích xuất 6 trường thông tin gói tin định dạng số thực 32-bit theo chuẩn của luận văn, nhằm duy trì độ chính xác phát hiện trên 99.0% và khống chế độ trễ xử lý dưới 5 micro-giây trong quý vận hành tiếp theo.
• Nâng cấp nền tảng phần cứng lên thế hệ NetFPGA SUME và chip FPGA cao cấp: Các đơn vị nghiên cứu và phát triển sản phẩm mạng nên mở rộng thử nghiệm từ dòng chip Virtex-5 sang Virtex-7 hoặc UltraScale trong giai đoạn 2025-2027, qua đó mở rộng băng thông xử lý từ 40 Gbps lên các chuẩn mạng thế hệ mới 100 Gbps và 400 Gbps.
• Ứng dụng công nghệ tái cấu trúc động một phần (Dynamic Partial Reconfiguration - DPR): Đội ngũ phát triển phần cứng cần ứng dụng cơ chế nạp lại một phần cấu hình FPGA trong thời gian dưới 30 giây để cập nhật tức thời các trọng số học máy mới hoặc tập luật Snort mà không cần tắt nguồn hay ngắt quãng luồng truyền thông của thiết bị.

Đối tượng nên tham khảo luận văn

Công trình nghiên cứu mang giá trị học thuật và ứng dụng thực tiễn cao, là tài liệu tham khảo thiết thực cho 4 nhóm đối tượng chính:

• Học viên cao học, nghiên cứu sinh và giảng viên ngành Mạng máy tính & An toàn thông tin: Nắm bắt phương pháp luận nghiên cứu bài bản, cách thức xây dựng mô hình toán học đánh giá độ trễ và quy trình thiết kế hệ thống bảo mật cho kiến trúc SDN thế hệ mới.
• Kỹ sư thiết kế phần cứng và lập trình vi mạch (FPGA/ASIC Engineer): Tham khảo kiến trúc đường ống 5 tầng xử lý gói tin tốc độ cao, giải pháp thiết kế bộ trích xuất tiêu đề (Header Extraction), mạch băm CRC và kỹ thuật tính toán hàm kích hoạt mạng nơ-ron dấu phẩy động 32-bit tối ưu hóa tài nguyên logic trên chip Xilinx.
• Kiến trúc sư hệ thống mạng doanh nghiệp và nhà mạng viễn thông (Network Architect): Tìm kiếm giải pháp thực tiễn để phòng chống triệt để các cuộc tấn công bão gói tin DDoS/SYN Flood ở quy mô băng thông lớn 40 Gbps mà không làm suy giảm hiệu năng chuyển mạch OpenFlow.
• Chuyên gia an ninh mạng tại các trung tâm điều hành an toàn thông tin (SOC/NOC): Vận dụng mô hình phòng thủ đa tầng kết hợp phân tích chữ ký luật Snort (F-NIDS) và phát hiện bất thường bằng học máy (F-ANIDS) để gia tăng tỷ lệ phát hiện tấn công đạt mức 99.01%.

Câu hỏi thường gặp

• Tại sao việc phát hiện tấn công ở mặt phẳng dữ liệu (Data plane) lại ưu việt hơn ở mặt phẳng điều khiển (Control plane)?
  Việc bố trí các cơ chế bảo mật tại mặt phẳng dữ liệu cho phép phân tích và loại bỏ gói tin rác ngay tại cổng vào ở tốc độ phần cứng, ngăn ngừa tắc nghẽn giao diện Nam-Bắc. Bằng chứng thực nghiệm cho thấy hệ thống lọc sạch hơn 28 triệu gói tin tấn công mỗi giây mà không tiêu tốn tài nguyên tính toán của bộ điều khiển SDN.

• Bo mạch NetFPGA-10G đóng vai trò như thế nào trong kiến trúc đề xuất?
  NetFPGA-10G tích hợp chip Xilinx Virtex-5 và 4 cổng quang 10GbE SFP+, đóng vai trò là switch OpenFlow hiệu năng cao kiêm bộ tăng tốc phần cứng. Nền tảng này thực thi song song các khối trích xuất đặc trưng, chuyển mạch gói và chạy mô hình nơ-ron ở băng thông đạt 39.48 Gbps.

• Làm thế nào mô hình nơ-ron F-ANIDS hoạt động hiệu quả trên FPGA mà không làm cạn kiệt tài nguyên logic?
  Luận văn áp dụng chiến lược rút gọn từ 41 đặc trưng của NSL-KDD xuống còn 6 thuộc tính quan trọng nhất, kết hợp hàm kích hoạt xấp xỉ không đòi hỏi phép tính mũ phức tạp. Nhờ đó, mô hình tiết kiệm tối đa số lát cắt logic (Slices) nhưng vẫn đạt độ chính xác 99.01%.

• Sự phối hợp giữa GPU và FPGA trong hệ thống dị thể diễn ra theo cơ chế nào?
  GPU NVIDIA GTX 1080 G1 đảm nhiệm tác vụ huấn luyện trọng số nơ-ron nhanh gấp 14 lần CPU nhờ khả năng tính toán ma trận song song. Sau khi tối ưu hóa, bộ thông số trọng số được nạp vào FPGA để tiến hành phân loại gói tin trực tiếp theo thời gian thực.

• Cơ chế chống SYN Flood trong luận văn có điểm gì khác biệt so với giải pháp AVANT-GUARD?
  Thay vì lưu trữ bảng chênh lệch mã Sequence Number gây tiêu tốn bộ nhớ như AVANT-GUARD, hệ thống sinh mã SYN Cookie bằng thuật toán băm CRC và gửi gói RST để máy trạm tự xác thực lại. Giải pháp này loại bỏ 100% rủi ro tràn bảng trạng thái khi bị tấn công ồ ạt.

Kết luận

• Luận văn đã thiết kế và hiện thực thành công hệ thống phát hiện xâm nhập dựa trên bất thường hiệu năng cao cho mạng SDN trên nền tảng phần cứng dị thể kết hợp FPGA và GPU.
• Khối phòng thủ SYN Flood Defender đạt thông lượng ấn tượng trên 28 triệu gói tin mỗi giây với độ trễ cực thấp nhờ kiến trúc đường ống 5 giai đoạn tối ưu.
• Thiết bị chuyển mạch bảo mật tích hợp HPOFS duy trì băng thông xử lý lên đến 39.48 Gbps, đảm bảo chuyển tiếp dữ liệu chuẩn OpenFlow trơn tru.
• Mô hình mạng nơ-ron F-ANIDS tối ưu hóa 6 đặc trưng đạt độ chính xác phân loại 99.01% cùng tỷ lệ cảnh báo sai chỉ 0.02% trên tập dữ liệu thực tế.
• Khẳng định tính khả thi của mô hình huấn luyện gia tốc trên GPU (nhanh gấp 14 lần) kết hợp suy luận tốc độ dây trên FPGA, mở ra hướng đi bền vững cho bảo mật mạng tương lai.

Trong giai đoạn tiếp theo, nhóm nghiên cứu dự kiến tiếp tục nâng cấp hệ thống lên các nền tảng phần cứng 100 Gbps và tích hợp cơ chế tự động cập nhật mô hình học sâu thông qua tái cấu trúc động. Các tổ chức, viện nghiên cứu và doanh nghiệp quan tâm có thể khai thác trực tiếp kiến trúc này để nâng cao năng lực tự vệ cho hạ tầng mạng số thế hệ mới.

Trích đoạn nội dung tài liệu

VIET NAM NATIONAL UNIVERSITY - HO CHI MINH CITY HO CHI MINH CITY UNIVERSITY OF TECHNOLOGY NGO DUC MINH A HIGH PERFORMANCE ANOMALY-BASED INTRUSION DETECTION SYSTEM FOR SDN NETWORKS MAJOR: COMPUTER SCIENCE MAJOR ID: 60.01 MASTER THESIS HO CHI MINH City, December 2019 VIET NAM NATIONAL UNIVERSITY - HO CHI MINH CITY HO CHI MINH CITY UNIVERSITY OF TECHNOLOGY NGO DUC MINH A HIGH PERFORMANCE ANOMALY-BASED INTRUSION DETECTION SYSTEM FOR SDN NETWORKS MAJOR: COMPUTER SCIENCE MAJOR ID: 60.01 MASTER THESIS HO CHI MINH City, December 2019 CÔNG TRÌNH ĐƯỢC HOÀN THÀNH TẠI TRƯỜNG ĐẠI HỌC BÁCH KHOA - ĐHQG - HCM Cán bộ hướng dẫn khoa học : (Ghi rõ họ, tên, học hàm, học vị và chữ ký) Cán bộ chấm nhận xét 1 : (Ghi rõ họ, tên, học hàm, học vị và chữ ký) Cán bộ chấm nhận xét 2 : (Ghi rõ họ, tên, học hàm, học vị và chữ ký) Luận văn thạc sĩ được bảo vệ tại Trường Đại học Bách Khoa, ĐHQG Tp. Thành phần Hội đồng đánh giá luận văn thạc sĩ gồm: (Ghi rõ họ, tên, học hàm, học vị của Hội đồng chấm bảo vệ luận văn thạc sĩ) 1. Xác nhận của Chủ tịch Hội đồng đánh giá LV và Trưởng Khoa quản lý chuyên ngành sau khi luận văn đã được sửa chữa (nếu có). CHỦ TỊCH HỘI ĐỒNG TRƯỞNG KHOA KH&KTMT ĐẠI HỌC QUỐC GIA TP.HCM CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM TRƯỜNG ĐẠI HỌC BÁCH KHOA Độc lập - Tự do - Hạnh phúc NHIỆM VỤ LUẬN VĂN THẠC SĨ Họ tên học viên: NGÔ ĐỨC MINH MSHV: 1770024 Ngày, tháng, năm sinh: 05/06/1994 Nơi sinh: Đồng Nai Ngành: Khoa học máy tính Mã số: 60.

TÊN ĐỀ TÀI: HỆ THỐNG PHÁT HIỆN XÂM NHẬP MẠNG DỰA TRÊN SỰ BẤT THƯỜNG HIỆU NĂNG CAO CHO MẠNG SDN. NHIỆM VỤ VÀ NỘI DUNG: • Nghiên cứu và hiện thực các giải thuật phát hiện/phòng chống tấn công mạng. Trong đó, có nghiên cứu các kĩ thuật phát hiện dựa trên bất thường sử dụng kĩ thuật học máy trên phần cứng NetFPGA. • Xây dựng kiến trúc hệ thống bộ chuyển mạch OpenFlow trên nền tảng NetFPGA với khả năng tích hợp khối bảo mật.

Đo đạc và đánh giá tốc độ chuyển mạch của hệ thống mới. • Tích hợp khối phát hiện tấn công dựa trên bất thường vào bộ chuyển mạch OpenFlow trên nền tảng NetFPGA. • Module hóa và cải tiến tài nguyên hệ thống trên phần cứng NetFPGA. Thử nghiệm, đánh giá kết quả so với các công trình liên quan III.

NGÀY GIAO NHIỆM VỤ: 13/08/2018 IV. NGÀY HOÀN THÀNH NHIỆM VỤ: 30/12/2019 V. CÁN BỘ HƯỚNG DẪN: PGS. TRẦN NGỌC THỊNH.

CÁN BỘ HƯỚNG DẪN TRƯỞNG KHOA KH&KTMT (Họ tên và chữ ký) (Họ tên và chữ ký) ACKNOWLEDGMENTS Firstly, I would like to express my sincere gratitude to my advisor, Associate Professor Tran Ngoc Thinh for his warmly supports, taking the time from the beginning of my work to orient the research, and during step by step of the dissertation process. Besides my advisor, I would like to thank to my teachers at Faculty of Computer Science & Engineering, Ho Chi Minh City University of Technology in providing a lot of knowledge for me during my master course. Especially, my sincere thanks also goes to Doctor Cuong Pham-Quoc who has guided me and improved my skill a lot while writing papers and reports To Computer Engineering labmates, I would like to thank Mr. Ho Quang Chi Bao, Mr.

Tran Nguyen Vo, Mrs. Tran Thi Thuy Chau, Mr. Le Tan Long, Tran Minh Anh Tuan, Dang Ngo Nhat Truong, Nguyen Gia Phuc and the many other individuals for the sleepless nights we were working together before deadlines, and for all the fun we have had in the last three years. Last but importantly, I am grateful to the God for the good health and well being that were necessary to complete this dissertation.

I would like to say thank you so much to my family. I could not go far on my way without their supports and encouragements. Ho Chi Minh City, December 01st , 2019 Ngo Duc Minh i ABSTRACT Internet has become a global information system that can be accessed publicly by linked computers from all over the world. Along with the development of Internet of Things (IoTs) the number of entities in Internet can reach 20-100 billion in 2020 [1].

Thus, an alternative approach for traditional network architecture to adapt comprehensive demands is necessary, urgency. Software-Defined Networking (SDN) [2] has been investigated by many organizations because of its advantages compared to the traditional approaches. Computer networks are configured and operated manually in traditional networks, while SDN provides centralization control, simple hardware devices, and high virtualization. SDN decouples network control from forwarding functions, so that network control becomes programmable.

In SDN, network control contains controllers configured by network administrators through software interfaces. Besides, the developing of Artificial Intelligence (AI), which can train a machine to imitate intelligent human behaviors has become a prominent topic. AI has achieved several successes in practical applications such as decision making, speech recognition, and also object classification. Besides, real-time applications usually require heavy computational tasks; thus, processing on general-purpose processors is not efficiency in performance.

Meanwhile, hardware accelerators such as Graphics Processing Units (GPUs) and Field-Programmable Gate Arrays (FPGAs) have been employed to improve the throughput of AI algorithms in these applications. This work aims to enhance security for SDN by pre-processing and protecting network packets at the data plane using multiple approaches. This work introduces an efficient high-throughput and low-latency SYN flood defender architecture, carefully designed with a pipeline model. A mathematical model is also added with the architecture for estimating SYN flood protection throughput and latency.

Our ii ABSTRACT iii experiments with NetFPGA-10G platforms show that the core can protect servers against SYN flood attacks by up to 28+ millions of packets per second. In addition, the thesis proposes an architecture for SDN-based secured forwarding devices (switches) by extending our previous architecture - HPOFS with multiple security functions, including lightweight DDoS mechanisms, signature-based, and anomaly-based IDS. We implement our architecture on a heterogeneous system, including host processors, GPU, and FPGA boards. To the best of our knowledge, this is the first forwarding device for SDN implemented on a heterogeneous system in the literature.

Our system not only is enhanced security but also provides a high-speed switching capacity based on the OpenFlow standard. The implemented design on GTX Geforce 1080 G1 for training phase is 14× faster when compared to CPU Intel Core i7 – 4770, 3,4GHz, 16GB of RAM on Ubuntu version 14. The switching function along with three lightweight DDoS detection/prevention mechanisms have processing speed at 39.48 Gbps on NetFPGA-10G board (Xilinx xc5vtx240t FPGA device). Especially, our neural network models on NetFPGA-10G board outperform CPU in processing performance by reaching throughputs at 4.

Moreover, the neural network model achieves 99.01% precision with only 0.02% false-positive rate using the created dataset. ABSTRACT iv Tóm Tắt Luận Văn Thạc Sĩ Internet đã trở thành hệ thống thông tin toàn cầu và có thể truy cập mọi lúc mọi nơi bởi các máy tính trên toàn thế giới. Cùng với đó là sự phát triển của internet vạn vật (Internet of things), số lượng kết nối có thể đạt 20-100 tỉ vào năm 2020 [1]. Vì thế, một giải pháp thay thế cho kiến trúc mạng truyền thống là rất cần thiết.

Software-defined Networking (SDN) [2] được xem là một giải pháp thay thế cho mạng truyền thống và đã được nghiên cứu bởi nhiều tổ chức trên thế giới với nhiều ưu thế so với mạng truyền thống. Mạng máy tính truyền thống thông thường được cấu hình và vận hành bằng tay, người quản trị phải đến từng thiết bị phần cứng để cấu hình chúng trong khi mạng SDN cung cấp khả năng quản lý tập trung. Trong mạng SDN, những bộ điều khiển được vận hành bởi người quản trị mạng thông qua những phần mềm. Thêm vào đó, sự phát triển của trí tuệ nhân tạo (Artificial Intelligence - AI) có thể huấn luyện máy tính để bắt chước hành vi con người đã trở thành một chủ đề hứa hẹn.

AI đã đạt được nhiều thành công trong các bài toán thực tế như là đưa ra quyết định, nhận dạng giọng nói, và cả phân loại thực thể. Bên cạnh đó, các ứng dụng yêu cầu đáp ứng thời gian thực thường yêu cầu tính toán phức tạp, dẫn đến việc sử dụng các bộ xử lý chung không còn hiệu quả về mặt hiệu suất. Trong khi đó, phần cứng tăng tốc như GPU và FPGA đã và đang được nghiên cứu sử dụng để cải tiến hiệu suất cho những ứng dụng sử dụng các giải thuật trí tuệ nhân tạo.Luận văn thạc sỹ này với mục tiêu là giảm thiểu tính toán cho đường điều khiển bằng cách tiền xử lý và bảo vệ mạng sớm hơn ở đường dữ liệu sử dụng các hướng tiếp cận khác nhau, đặc biệt là hướng phát hiện tấn công dựa trên bất thường. Công trình này giới thiệu một kiến trúc hiệu năng cao cho phòng chống tấn công SYN Flood, được thiết kế kỹ càng theo cơ chế xử lý đường ống.

Một mô hình toán học cũng được đề xuất để đo đạc và đánh giá khả năng chống chịu của khối SYN Flood về khía cạnh hiệu suất và độ trễ. Kết quả thực nghiệm trên nền tảng NetFPGA-10G cho thấy khối bảo mật này có thể bảo vệ các máy chủ khỏi tấn công SYN Flood ở tốc độ lên đến 28+ triệu gói tin trên một giây. Thêm vào đó, luận văn đề xuất bảo mật cho các thiết bị chuyển tiếp dữ liệu theo kiến trúc mạng SDN bằng việc mở rộng công trình trước đó - có tên là HPOFS bằng cách xây dựng các bộ máy bảo mật bao gồm các khối ABSTRACT v chống tấn công DDoS, phát hiện tấn công dựa trên chữ ký, và phát hiện tấn công dựa trên dấu hiệu bất thường. Tác giả hiện thực kiến trúc đề xuất trên các nền tảng phần cứng hỗn hợp bao gồm các bộ xử lý chủ, board mạch GPU và FPGA.

Đây có thể xem là hệ thống đầu tiên có tích hợp các khối bảo mật khác nhau trên phần cứng chuyển mạch theo kiến trúc mạng SDN. Hệ thống này không những được bảo mật chặt chẽ mà còn có thể chuyển mạch gói tin, quản lý tập trung theo giao thức OpenFlow. Hệ thống huấn luyện các mô hình mạng neural sử dụng GPU GTX Geforce 1080 G1 cho tốc độ nhanh hơn 14 lần so với CPU Intel Core i7 – 4770, 3,4GHz, 16GB RAM trên hệ điều hành Ubuntu phiên bản 14. Chức năng chuyển mạch cùng với các khối chống tấn công DDoS có thể xử lý ở tốc độ tối đa 39.48 Gbps trên board mạch NetFPGA-10G (Xilinx xc5vtx240t FPGA device).

Đặc biệt, các mô hình học máy trên board mạch này hiệu suất hơn hẳn CPU khi tốc độ xử lý đạt 4. Hơn nữa, mô hình học máy tốt nhất cho 99.01% độ chính xác với 0.02% tỉ lệ cảnh báo sai khi sử dụng tập dữ liệu được thu thập trong môi trường phòng thí nghiệm Kỹ thuật máy tính Đại Học Bách Khoa Tp. vi Statement of Originality I certify that the results of this work is the product of my own work and colleagues at the Faculty of Computer Science and Engineering (CSE), Ho Chi Minh City University of Technology (HCMUT), Vietnam National University - Ho Chi Minh City (VNU HCM).