Bối cảnh và vấn đề nghiên cứu

Mạng khả lập trình (Software-Defined Networking - SDN) là kiến trúc mạng hiện đại cho phép quản lý, điều khiển và tối ưu hóa tài nguyên mạng linh hoạt thông qua việc tách rời tầng điều khiển (Control Plane) khỏi tầng dữ liệu (Data Plane). Tuy nhiên, kiến trúc tập trung của SDN cũng tạo ra các thách thức bảo mật mới, đặc biệt là nguy cơ bị khai thác bởi các cuộc tấn công từ chối dịch vụ phân tán (DDoS) và xâm nhập mạng. Các hệ thống phòng thủ truyền thống dựa trên dấu hiệu tĩnh thường bộc lộ hạn chế trước các mối đe dọa biến thể và chưa có khả năng chủ động làm tiêu hao tài nguyên hoặc đánh lạc hướng kẻ tấn công. Nhằm giải quyết vấn đề này, khóa luận tốt nghiệp kỹ sư ngành An toàn Thông tin của tác giả Nguyễn Tường Đăng và Trịnh Văn Hoàng (Trường Đại học Công nghệ Thông tin – ĐHQG TP.HCM, 2021) đã đề xuất mô hình phòng thủ chủ động kết hợp giữa kỹ thuật lừa dối mạng (Cyber Deception), phòng thủ mục tiêu di động (Moving Target Defense - MTD) và hệ thống phát hiện xâm nhập mạng (NIDS) ứng dụng học sâu.

Theo đề cương và nội dung công trình, các mục tiêu và nhiệm vụ nghiên cứu cụ thể được xác định như sau:

  1. Tận dụng các đặc tính của công nghệ SDN để triển khai kỹ thuật lừa dối mạng (Cyber Deception), dẫn dụ kẻ tấn công xâm nhập vào hệ thống bẫy nhằm cung cấp chiến lược phòng thủ chủ động cho mạng khả lập trình.
  2. Thiết kế kết nối tương tác và kênh trao đổi dữ liệu giữa bộ phận lừa dối mạng và trình phát hiện tấn công, xâm nhập (NIDS).
  3. Xây dựng mô hình phát hiện tấn công trong môi trường SDN dựa trên phương pháp học sâu (Deep Learning), áp dụng kỹ thuật học chuyển tiếp (Transfer Learning) trên các bộ dữ liệu an ninh mạng chuẩn để nhận diện các dạng tấn công bất thường (trọng tâm là tấn công DDoS).
  4. Thiết kế cơ chế phòng thủ mục tiêu di động (MTD) trên bộ điều khiển Ryu để gây nhiễu loạn và làm tăng chi phí trinh sát của đối phương.
  5. Thực nghiệm, đo lường và đánh giá hiệu năng của hệ thống về độ chính xác nhận diện, thời gian đáp ứng, độ trễ và khả năng ngăn chặn hành vi dò quét mạng.
  • Đối tượng nghiên cứu: Kiến trúc mạng SDN và cơ chế giám sát luồng dữ liệu thông qua giao thức OpenFlow; kỹ thuật lừa dối mạng và các hệ thống honeypot; kỹ thuật phòng thủ mục tiêu di động (MTD); phương pháp học sâu áp dụng cho bài toán phát hiện xâm nhập; các công cụ hỗ trợ gồm bộ điều khiển Ryu, phần mềm giả lập Containernet, công cụ tự động hóa Ansible, nền tảng Docker, hệ thống phát hiện xâm nhập Snort, và message broker RabbitMQ.
  • Phạm vi nghiên cứu: Hệ thống được xây dựng dưới dạng khuôn mẫu thực nghiệm (prototype) triển khai trên môi trường giả lập mạng Containernet. Mô hình học sâu nhận diện tấn công được huấn luyện và đánh giá trên tập dữ liệu chuẩn CIC-IDS-2018 (chọn lọc các mẫu tấn công DDoS trong các ngày 15/02, 16/02, 20/02 và 21/02/2018) kết hợp tham chiếu các thuộc tính quan trọng từ CIC-IDS-2017. Thời gian thực hiện đề tài từ ngày 07/09/2020 đến ngày 21/12/2020.

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng trên các nền tảng lý thuyết và công nghệ chuyên ngành:

  • Kiến trúc mạng SDN: Hoạt động dựa trên 3 lớp: Lớp ứng dụng (Application Layer), Lớp điều khiển (Control Layer) và Lớp cơ sở hạ tầng (Infrastructure Layer). Giao tiếp giữa bộ điều khiển (Ryu Controller) và thiết bị chuyển mạch (OpenFlow Switch) được thực hiện thông qua giao thức OpenFlow, kiểm soát các bảng luồng (Flow Tables) để định tuyến gói tin mà không cần can thiệp phần cứng cục bộ.
  • Mạng nơ-ron tích chập (CNN) và Học chuyển tiếp (Transfer Learning): Tác giả tiếp cận bài toán phân loại luồng mạng bằng cách chuyển đổi dữ liệu số thành dạng ảnh 2D, từ đó tận dụng kiến trúc CNN gồm các lớp tích chập (Convolutional Layer), lớp giảm mẫu (Pooling Layer) và lớp kết nối đầy đủ (Fully Connected Layer). Kỹ thuật học chuyển tiếp áp dụng trên các mạng ResNet50 và DenseNet161 đã được huấn luyện sẵn trên bộ dữ liệu ImageNet, giữ nguyên trọng số trích xuất đặc trưng và chỉ huấn luyện lại lớp phân loại nhị phân cuối cùng.
  • Kỹ thuật lừa dối mạng (Cyber Deception) và MTD: Ứng dụng định nghĩa của Yuill về lừa dối mạng nhằm dẫn dụ kẻ tấn công vào môi trường bẫy, bảo vệ tài nguyên thật và ghi nhận nhật ký hành vi. Kỹ thuật MTD can thiệp vào tầng điều khiển SDN để liên tục biến đổi địa chỉ IP thực của các nút mạng thành các địa chỉ IP ảo ngẫu nhiên, làm sai lệch kết quả quét mạng của đối phương.
  • Hệ thống Honeypot: Sử dụng 4 loại honeypot chuyên dụng: OpenCanary (bẫy dịch vụ đa dạng và gửi cảnh báo sớm), Cowrie (honeypot tương tác trung bình đến cao cho dịch vụ SSH/Telnet), Dionaea (thu thập mã độc khai thác lỗ hổng giao thức), và HoneyPy (honeypot tương tác thấp đến trung bình viết bằng Python).

Phương pháp nghiên cứu thực tế bao gồm:

  • Phương pháp thực nghiệm - mô phỏng: Dùng Containernet để thiết lập topo mạng SDN gồm các OpenFlow Switch kết nối với các host chạy dưới dạng Docker container.
  • Phương pháp trích xuất và biến đổi dữ liệu: Áp dụng phương pháp chọn lọc 7 thuộc tính tối ưu từ tập dữ liệu CIC-IDS-2018 dựa trên các nghiên cứu tiền đề, thực hiện chuẩn hóa Min-Max, nhị phân hóa chuỗi bit và chuyển đổi ma trận số thành ảnh màu kích thước 224x224x3 để đưa vào mô hình học sâu.
  • Phương pháp tự động hóa quản trị: Sử dụng Ansible với kiến trúc không cần agent (agentless) thông qua giao thức SSH để điều phối việc tải và thực thi tự động các Docker image chứa bẫy từ Docker Hub xuống các host trong mạng.

Nguồn dữ liệu thực nghiệm được trích xuất từ bộ dữ liệu an ninh mạng CIC-IDS-2018 (Communications Security Establishment & Canadian Institute for Cybersecurity), tập trung vào các bản ghi lưu lượng mạng bình thường (Benign) và lưu lượng tấn công từ chối dịch vụ (DDoS).

Thiết kế và triển khai hệ thống

Hệ thống được thiết kế thành một thể thống nhất bao gồm các thành phần chức năng tương tác qua lại:

Thành phần Công nghệ / Nền tảng Chức năng chính
SDN Controller Ryu Controller (Python) Quản lý bảng luồng OpenFlow, điều phối lưu lượng mạng và tích hợp thuật toán biến đổi địa chỉ MTD.
Network Emulator Containernet Khởi tạo topo mạng ảo hóa tích hợp các trạm đầu cuối (host) dưới dạng Docker container.
Feature Extractor Python Script, Port Mirroring Thu thập gói tin từ cổng chuyển tiếp của OpenFlow Switch, trích xuất 7 thuộc tính luồng và đóng gói dữ liệu.
Message Broker RabbitMQ Hàng đợi trung gian truyền nhận các gói đặc trưng đã xử lý từ Feature Extractor đến mô-đun NIDS.
Deep Learning NIDS PyTorch / Keras (ResNet50, DenseNet161) Chuyển đổi dữ liệu thuộc tính thành ảnh 2D và thực hiện phân loại nhị phân (Tấn công / Bình thường).
Signature-based IDS Snort Giám sát lưu lượng mạng dựa trên tập luật (rules), phát hiện dấu hiệu tấn công tức thời và cảnh báo truy cập bất thường.
Trap Manager Ansible Playbook, Docker Hub Tự động tải, cấu hình, kích hoạt hoặc gỡ bỏ các bẫy honeypot trên các host được chỉ định.
Bẫy Honeypot OpenCanary, Cowrie, Dionaea, HoneyPy Đóng gói thành các Docker image, giả lập dịch vụ để đánh lừa kẻ tấn công và ghi lại log tương tác.

Quy trình tiền xử lý và chuyển đổi dữ liệu luồng thành ảnh

Để đưa dữ liệu mạng vào mô hình CNN, nhóm tác giả xây dựng quy trình biến đổi tuần tự từ 7 thuộc tính đã chọn lọc:

Thuộc tính trích xuất Ý nghĩa kỹ thuật
Destination port Cổng đích của luồng dữ liệu mạng.
Flow duration Thời gian tồn tại của một luồng gói tin (tính bằng micro giây).
Fwd packet length mean Kích thước gói tin trung bình theo chiều đi (forward).
Flow bytes/s Tốc độ truyền tải byte dữ liệu của luồng trên mỗi giây.
Flow packet/s Tốc độ truyền tải số lượng gói tin của luồng trên mỗi giây.
Flow IAT mean Thời gian đến trung bình giữa các gói tin liên tiếp (Inter-Arrival Time).
Fwd packet/s Số lượng gói tin truyền đi theo chiều thuận trên mỗi giây.

Quy trình xử lý dữ liệu số thành ảnh:

  1. Dữ liệu nhãn được phân loại nhị phân: Gán giá trị 1 cho mẫu tấn công và 0 cho mẫu lưu lượng bình thường.
  2. Áp dụng chuẩn hóa Min-Max để đưa giá trị các thuộc tính số thực về đoạn $[0, 1]$ theo công thức $x_{new} = \frac{x - x_{min}}{x_{max} - x_{min}}$, sau đó làm tròn đến hàng phần mười và chuyển thành số nguyên bằng phép tính $2 \times x_{new} \times 10$.
  3. Chuyển đổi các giá trị số nguyên sang biểu diễn nhị phân. Các chuỗi bit được ghép nối liên tục và gom nhóm mỗi 8 bit thành một phần tử nhị phân 1 byte.
  4. Chuyển đổi mỗi byte nhị phân thành số thập phân trong khoảng $[0, 255]$.
  5. Dùng hàm reshape đưa mảng 1D thành mảng 2D tương ứng với kích thước ma trận ảnh, sau đó chuyển thành ảnh thông qua hàm Image.fromarray của thư viện PIL.
  6. Nhân bản ma trận ảnh xám đơn kênh thành ma trận 3 kênh màu để tương thích với kích thước đầu vào $(None, 224, 224, 3)$ của mô hình ResNet50 và DenseNet161.

Kiến trúc phân hệ lừa dối mạng và MTD

Phân hệ lừa dối mạng được tổ chức theo 2 mô hình vận hành:

  • Fixed Trap (Bẫy cố định): Triển khai các bẫy honeypot trên một máy chủ xác định trong mạng. Người quản trị có thể chủ động chọn loại bẫy hoặc kích hoạt cơ chế chọn ngẫu nhiên các loại honeypot định sẵn.
  • Moving Trap (Bẫy di động): Sử dụng các kịch bản Ansible Playbook tự động hóa. Sau một chu kỳ thời gian cấu hình trước, Ansible sẽ tự động kết nối qua SSH (cổng 22), gỡ bỏ container bẫy hiện tại và triển khai một loại bẫy ngẫu nhiên khác lên một host ngẫu nhiên trong topo mạng.
  • Cơ chế MTD (Moving Target Defense): Tích hợp trực tiếp tại Ryu Controller, thực hiện ánh xạ địa chỉ IP thật của các host sang các địa chỉ IP ảo và thay đổi liên tục theo chu kỳ thời gian. Khi kẻ tấn công gửi gói tin thăm dò (ví dụ dùng Nmap), gói tin sẽ bị định tuyến sai lệch hoặc chuyển hướng về các bẫy honeypot, ngăn chặn việc lập bản đồ mạng chính xác.

Nội dung chính theo từng chương

Chương 1. Mục tiêu của đề tài

Chương này trình bày bối cảnh ra đời của mạng SDN cùng sự cần thiết của việc xây dựng hệ thống phòng thủ chủ động trong an toàn thông tin. Tác giả xác định rõ 2 mục tiêu cốt lõi: triển khai kỹ thuật Cyber Deception kết hợp MTD trên nền tảng SDN và xây dựng mô-đun phát hiện xâm nhập bằng học sâu dựa trên ảnh hóa dữ liệu luồng mạng. Chương 1 cũng xác định đối tượng, phạm vi nghiên cứu, phương pháp thực hiện và cấu trúc tổng thể của khóa luận gồm 5 chương.

Chương 2. Kiến thức nền tảng

Chương 2 cung cấp cơ sở lý thuyết chi tiết cho toàn bộ các công nghệ được sử dụng:

  • Tổng quan kiến trúc 3 lớp của mạng SDN và nguyên lý xử lý gói tin qua bảng luồng OpenFlow.
  • Cấu trúc mạng nơ-ron tích chập (CNN) gồm các lớp Convolution, Pooling, Fully Connected và kỹ thuật học chuyển tiếp.
  • Khái niệm và phân loại hệ thống phát hiện xâm nhập mạng (NIDS) dựa trên dấu hiệu (signature-based) và dựa trên hành vi (anomaly/behavior-based).
  • Khái niệm Cyber Deception và phân tích so sánh kỹ thuật lừa dối mạng với kỹ thuật phòng thủ mục tiêu di động MTD.
  • Phân tích chi tiết 4 loại honeypot: OpenCanary, Cowrie, Dionaea và HoneyPy.
  • Các công nghệ nền tảng hỗ trợ: Docker (Engine, Images, Container, Docker Hub), công cụ tự động hóa cấu hình Ansible (Architecture, Playbooks, so sánh với SaltStack, Chef, Puppet), hệ thống IDS Snort (các chế độ Sniffer, Packet Logger, NIDS và quy trình Decode -> Pre-process -> Detection -> Log), cùng message broker RabbitMQ theo chuẩn AMQP.

Chương 3. Phân tích thiết kế hệ thống

Tác giả trình bày thiết kế kiến trúc hệ thống tích hợp đa thành phần:

  • Thiết kế luồng xử lý dữ liệu phát hiện xâm nhập: Từ OpenFlow Switch -> Feature Extractor -> RabbitMQ -> NIDS Module.
  • Phương pháp chuyển đổi dữ liệu thuộc tính luồng mạng của tập CIC-IDS-2018 thành định dạng ảnh 2D và tinh chỉnh kiến trúc ResNet50, DenseNet161 (thay đổi lớp ngõ ra từ 1000 lớp thành 2 lớp, đóng băng trọng số trích xuất đặc trưng của ImageNet).
  • Thiết kế hệ thống Cyber Deception đáp ứng 4 tính chất: Tự động, Linh hoạt, Giám sát và Tương tác.
  • Thiết kế chi tiết hai cơ chế bẫy: Fixed Trap và Moving Trap vận hành qua Ansible.
  • Thiết kế kiến trúc MTD trên Controller nhằm ảo hóa và luân chuyển không gian địa chỉ IP trong mạng SDN.

Chương 4. Hiện thực và đánh giá

Chương này mô tả chi tiết quá trình hiện thực hóa mô hình và thực nghiệm đánh giá:

  • Cài đặt môi trường mạng SDN với Containernet, viết mô-đun trích xuất 7 thuộc tính lưu lượng mạng.
  • Xây dựng Dockerfile cho các bẫy OpenCanary, Cowrie, Dionaea, HoneyPy và phát hành lên Docker Hub. Viết các kịch bản Ansible Playbook điều phối bẫy.
  • Huấn luyện mô hình ResNet50 và DenseNet161 trên tập dữ liệu ảnh được tạo ra từ CIC-IDS-2018.
  • Cài đặt Snort để ghi nhận cảnh báo khi xảy ra tấn công DDoS hoặc quét cổng SSH.
  • Thực nghiệm đánh giá: Đo lường độ trễ và độ chính xác nhận diện của mô hình học sâu; thống kê thời gian triển khai bẫy của Ansible theo số lượng host (2, 3, 4 host) và số lần chạy (15, 30 lần); thực nghiệm quét mạng bằng Nmap trên topo 8, 12 và 16 host để so sánh thời gian và kết quả dò quét khi có và không có cơ chế MTD.

Chương 5. Kết luận và hướng phát triển

Tổng kết các kết quả đạt được của khóa luận trong việc xây dựng hệ thống phòng thủ chủ động kết hợp NIDS học sâu, Cyber Deception và MTD trong SDN. Tác giả đồng thời nêu rõ các hạn chế hiện tại và vạch ra các hướng nghiên cứu mở rộng trong tương lai.

Kết quả và đóng góp

Kết quả thực nghiệm

  1. Hiệu năng mô hình học sâu nhận diện tấn công:

    • Hệ thống chuyển đổi thành công các mẫu dữ liệu luồng mạng CIC-IDS-2018 thành định dạng ảnh kích thước $224 \times 224 \times 3$.
    • Cả hai mô hình ResNet50 và DenseNet161 thông qua kỹ thuật Transfer Learning đều đạt khả năng phân loại nhị phân chính xác giữa luồng bình thường và luồng tấn công DDoS với độ trễ xử lý đáp ứng yêu cầu giám sát mạng.

  2. Khả năng triển khai bẫy tự động bằng Ansible:

    • Ansible Playbook kết nối thành công qua SSH để kéo các image từ Docker Hub và khởi tạo container honeypot ngẫu nhiên trên các trạm Containernet.
    • Thời gian triển khai bẫy được đo lường chi tiết dựa trên số lượng host và tần suất chuyển đổi bẫy, chứng minh tính khả thi của mô hình Moving Trap trong việc thay đổi bề mặt tấn công tự động.

  3. Hiệu quả phòng thủ của cơ chế MTD:

    • Khi kích hoạt MTD trên bộ điều khiển Ryu, địa chỉ IP của các host được thay đổi liên tục.
    • Thử nghiệm quét mạng bằng Nmap trên các quy mô 8, 12 và 16 host cho thấy: Cơ chế MTD làm tăng đáng kể thời gian quét của công cụ tấn công, đồng thời trả về thông tin sai lệch về trạng thái các cổng và dịch vụ, ngăn chặn kẻ tấn công định danh chính xác mục tiêu thực tế.
Yếu tố so sánh Mạng SDN thông thường (Không có MTD) Mạng SDN kích hoạt MTD
Độ chính xác dò quét Nmap Xác định chính xác toàn bộ IP thực và các cổng dịch vụ mở. Thông tin IP bị xáo trộn, liên tục nhận IP ảo hoặc chuyển hướng bẫy.
Thời gian trinh sát mạng Thời gian quét nhanh, ổn định theo số lượng host. Thời gian quét kéo dài đáng kể do phải phân tích thông tin sai lệch.
Mức độ rủi ro hệ thống Kẻ tấn công dễ dàng xác định mục tiêu để leo thang đặc quyền. Kẻ tấn công bị dẫn dụ vào Honeypot, để lộ chữ ký hành vi cho Snort ghi nhận.

Đóng góp của đề tài

  • Đề xuất giải pháp phòng thủ chủ động toàn diện trong SDN, kết hợp đồng thời ba cơ chế: phát hiện xâm nhập bằng học sâu (NIDS), bẫy lừa đối phương (Cyber Deception với Fixed/Moving Trap) và thay đổi bề mặt tấn công (MTD).
  • Hiện thực hóa quy trình chuyển đổi dữ liệu luồng mạng dạng bảng thành biểu diễn ảnh 2D để ứng dụng sức mạnh trích xuất đặc trưng của các mạng CNN hiện đại (ResNet50, DenseNet161) qua Transfer Learning.
  • Đóng gói và chuẩn hóa quy trình triển khai honeypot dạng Docker container điều phối qua Ansible Playbook, giúp hệ thống vận hành tự động và giảm thiểu can thiệp thủ công của người quản trị.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế

  • Hệ thống mới được triển khai dưới dạng nguyên mẫu (prototype) trên môi trường giả lập Containernet và Mininet, chưa được kiểm thử trên phần cứng chuyển mạch SDN chuyên dụng ở quy mô mạng doanh nghiệp lớn.
  • Mô hình học sâu tập trung giải quyết bài toán phân loại nhị phân trên 7 thuộc tính tối ưu cho dạng tấn công DDoS từ tập dữ liệu CIC-IDS-2018, chưa mở rộng nhận diện đa lớp cho tất cả các họ tấn công mạng khác (như Brute-force, Web attacks, Infiltration).
  • Chu trình tái huấn luyện mô hình (resuming training) tự động từ dữ liệu nhật ký thu thập được ở các honeypot mới chỉ dừng lại ở mặt ý tưởng thiết kế, chưa khép kín hoàn toàn thành luồng pipeline tự động trong thực nghiệm.

Hướng nghiên cứu tiếp

  • Mở rộng tập dữ liệu huấn luyện và phát triển mô hình học sâu có khả năng phân loại đa nhãn nhiều dạng tấn công mạng phức tạp trong thời gian thực.
  • Hoàn thiện module trích xuất dữ liệu tự động từ nhật ký honeypot (OpenCanary, Cowrie, Dionaea, HoneyPy) để đưa vào quy trình tái huấn luyện (resuming training), nâng cao độ chính xác của mô hình NIDS theo đặc thù môi trường nội bộ.
  • Tối ưu hóa thuật toán MTD nhằm cân bằng giữa hiệu quả làm rối loạn kẻ tấn công và chi phí băng thông điều khiển trên Controller khi mở rộng quy mô mạng.
  • Triển khai thử nghiệm hệ thống trên các thiết bị mạng SDN vật lý thực tế.

Giá trị tham khảo

Khóa luận là tài liệu tham khảo chuyên ngành hữu ích cho sinh viên, học viên cao học và kỹ sư thuộc các ngành An toàn Thông tin, Mạng máy tính và Truyền thông dữ liệu, hoặc Kỹ thuật Phần mềm.

Các nội dung có giá trị ứng dụng và tham khảo cao trong tài liệu bao gồm:

  • Phương pháp luận tiền xử lý dữ liệu: Quy trình cụ thể về toán học và lập trình để chuyển đổi các bản ghi số liệu mạng (CIC-IDS-2018) thành định dạng ảnh tương thích với các mạng nơ-ron CNN.
  • Kịch bản tự động hóa an ninh: Các tệp cấu hình Dockerfile và Ansible Playbook mẫu dùng để tự động hóa triển khai và luân chuyển honeypot trên hạ tầng phân tán.
  • Mã nguồn và kiến trúc tích hợp SDN: Cách thức lập trình mở rộng trên bộ điều khiển Ryu để cài đặt cơ chế MTD và port mirroring phục vụ giám sát luồng OpenFlow.

Câu hỏi thường gặp

1. Khóa luận sử dụng những thuộc tính nào từ bộ dữ liệu CIC-IDS-2018 để huấn luyện mô hình học sâu?
Tác giả đã chọn lọc 7 thuộc tính lưu lượng mạng tối ưu gồm: Destination port (cổng đích), Flow duration (thời gian luồng), Fwd packet length mean (độ dài gói tin trung bình chiều đi), Flow bytes/s (byte/giây), Flow packet/s (gói tin/giây), Flow IAT mean (thời gian đến trung bình giữa các gói tin) và Fwd packet/s (số gói tin đi/giây).

2. Dữ liệu số từ các luồng mạng được chuyển đổi thành định dạng ảnh đầu vào cho mạng CNN như thế nào?
Dữ liệu số thực của 7 thuộc tính được chuẩn hóa Min-Max về đoạn $[0, 1]$, nhân tỉ lệ để làm tròn thành số nguyên, sau đó chuyển sang chuỗi bit nhị phân. Cứ mỗi 8 bit được gom thành 1 byte thập phân $[0, 255]$. Chuỗi số này được định hình (reshape) thành ma trận 2D thông qua thư viện PIL, sau đó nhân bản thành 3 kênh màu để tạo ra ảnh kích thước $(224, 224, 3)$ tương thích với đầu vào của ResNet50 và DenseNet161.

3. Sự khác nhau giữa cơ chế Fixed Trap và Moving Trap trong hệ thống lừa dối mạng là gì?
Fixed Trap là cơ chế triển khai honeypot cố định trên một máy chủ xác định, cho phép người quản trị chọn loại bẫy cụ thể hoặc chạy ngẫu nhiên một bẫy cố định. Moving Trap là cơ chế bẫy di động tự động hoàn toàn: thông qua Ansible Playbook kết nối SSH, hệ thống định kỳ gỡ bỏ bẫy cũ và khởi tạo một loại honeypot ngẫu nhiên mới trên một host ngẫu nhiên trong mạng, liên tục thay đổi bề mặt tấn công.

4. Vai trò của công cụ Ansible và RabbitMQ trong kiến trúc hệ thống là gì?
Ansible đóng vai trò là công cụ tự động hóa không cần agent, sử dụng giao thức SSH để điều phối việc tải Docker image từ Docker Hub và khởi chạy/tháo gỡ các honeypot trên các host. RabbitMQ đóng vai trò là message broker trung gian, nhận dữ liệu đặc trưng đã trích xuất từ Feature Extractor để xếp hàng và truyền tải an toàn, tuần tự sang cho mô-đun NIDS thực hiện phân loại.

5. Cơ chế MTD (Moving Target Defense) được tích hợp ở đâu và mang lại hiệu quả gì khi đối mặt với công cụ Nmap?
Cơ chế MTD được tích hợp trực tiếp trong Ryu Controller tại tầng điều khiển của mạng SDN. Khi kẻ tấn công dùng Nmap để quét mạng, MTD liên tục thay đổi ánh xạ giữa IP thật và IP ảo ngẫu nhiên, khiến Nmap mất nhiều thời gian dò quét hơn và chỉ thu được các kết quả sai lệch về trạng thái dịch vụ, đồng thời hướng lưu lượng thăm dò vào các bẫy honeypot.

Kết luận

Khóa luận tốt nghiệp của tác giả Nguyễn Tường Đăng và Trịnh Văn Hoàng đã nghiên cứu và hiện thực hóa thành công mô hình phòng thủ chủ động tích hợp trên mạng khả lập trình SDN. Bằng cách kết hợp phương pháp học sâu chuyển tiếp (ResNet50, DenseNet161) trên dữ liệu luồng mạng dạng ảnh cùng hệ thống lừa dối mạng (Cyber Deception) tự động hóa qua Docker/Ansible và cơ chế phòng thủ mục tiêu di động (MTD) trên Ryu Controller, hệ thống vừa đảm bảo khả năng phát hiện tấn công bất thường với độ chính xác cao, vừa làm tiêu hao tài nguyên và đánh lạc hướng kẻ tấn công. Mặc dù còn hạn chế ở phạm vi thử nghiệm mô phỏng và phân loại nhị phân cho tấn công DDoS, công trình đã chứng minh tính khả thi và cung cấp nền tảng kiến trúc rõ ràng cho các giải pháp an ninh mạng chủ động thế hệ mới.