Tổng quan nghiên cứu

Trong bối cảnh không gian mạng toàn cầu phát triển vượt bậc với lưu lượng dữ liệu tăng trưởng hơn 35% mỗi năm, nguy cơ bị tấn công và xâm nhập trái phép vào hệ thống mạng nội bộ ngày càng trở nên phức tạp và nguy hiểm. Vấn đề cốt lõi mà các hệ thống an ninh mạng hiện đại phải đối mặt là sự quá tải trong quá trình phân tích gói tin theo thời gian thực khi số lượng mẫu nhận dạng tấn công (signatures) vượt ngưỡng 10.000 quy tắc. Hệ thống phát hiện xâm nhập mạng đóng vai trò huyết mạch trong việc giám sát, cảnh báo và bảo vệ tính toàn vẹn, tính bảo mật cũng như tính sẵn sàng của hạ tầng thông tin.

Mục tiêu cụ thể của công trình nghiên cứu là khảo sát, phân tích chuyên sâu các thuật toán so khớp chuỗi đơn mẫu và đa mẫu, từ đó thiết kế, cài đặt và tích hợp giải thuật so khớp đa mẫu tối ưu vào hệ thống phát hiện xâm nhập mã nguồn mở Snort. Nghiên cứu được thực nghiệm trực tiếp trên mô hình mạng cục bộ tại Trung tâm Giáo dục thường xuyên Định Hóa trong giai đoạn năm 2015 đến năm 2016. Kết quả nghiên cứu mang lại ý nghĩa thực tiễn to lớn trong việc nâng cao hiệu năng xử lý của hệ thống giám sát an ninh mạng, giúp giảm thiểu thời gian trễ trong việc kiểm tra gói tin từ 40% đến 60%, duy trì thông lượng kiểm soát ổn định ở mức 100 Mbps đến 1 Gbps mà không gây ra tình trạng nghẽn cổ chai hay làm gián đoạn các phiên truyền dữ liệu của người dùng.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng dựa trên nền tảng lý thuyết phát hiện xâm nhập mạng và lý thuyết về ngôn ngữ hình thức, otomat hữu hạn kết hợp thuật toán xử lý chuỗi. Hệ thống phát hiện xâm nhập được tiếp cận theo mô hình phát hiện sự lạm dụng, dựa vào các dấu hiệu đặc trưng đã biết để đối chiếu với phần thân và phần tiêu đề của các gói tin mạng. Cơ chế này đòi hỏi thuật toán tìm kiếm chuỗi văn bản nhị phân có khả năng phát hiện mẫu nhanh chóng với độ chính xác tuyệt đối.

Khung lý thuyết vận dụng bao gồm các nhóm thuật toán so khớp kinh điển:

  • Nhóm thuật toán đơn mẫu: Thuật toán Knuth-Morris-Pratt sử dụng bảng đối sánh thành phần để dịch chuyển vị trí kiểm tra với độ phức tạp thời gian đạt mức tuyến tính trong điều kiện lý tưởng; thuật toán Boyer-Moore Horspool dựa trên bảng dịch chuyển ký tự ngoài cùng bên phải nhằm tối ưu hóa bước nhảy; thuật toán Karp-Rabin ứng dụng hàm băm cuộn rolling hash để so sánh giá trị đại diện thay vì kiểm tra từng ký tự.
  • Nhóm thuật toán đa mẫu: Thuật toán Aho-Corasick vận dụng mô hình otomat hữu hạn kết hợp 3 hàm cơ bản gồm hàm chuyển đổi trạng thái Goto, hàm chuyển tiếp khi thất bại Failure và hàm xuất kết quả Output, cho phép duyệt chuỗi đầu vào chỉ trong một lượt quét duy nhất với độ phức tạp cố định. Ngoài ra, thuật toán Commentz-Walter kết hợp tư tưởng của Boyer-Moore và cây tiền tố trie cũng được nghiên cứu để đánh giá khả năng trượt mẫu từ phải sang trái.
  • Mô hình mạng nơ-ron nhận dạng xâm nhập NNID: Khung kiến trúc 3 tầng gồm 100 nơ-ron đầu vào, 30 nơ-ron ẩn và 10 nơ-ron đầu ra đại diện cho vector hành vi người dùng, phục vụ so sánh đối chứng giữa phát hiện bất thường và phát hiện dựa trên chữ ký.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp thực nghiệm kết hợp phương pháp phân tích, mô phỏng toán học trên nền tảng hệ điều hành mã nguồn mở.

Nguồn dữ liệu kiểm thử được thu thập thông qua tập dữ liệu gói tin chuẩn định dạng PCAP với quy mô hơn 50.000 gói tin mô phỏng lưu lượng thực tế, đồng thời trích xuất trực tiếp từ lưu lượng truyền dẫn của mạng máy tính tại Trung tâm Giáo dục thường xuyên Định Hóa. Cỡ mẫu tập luật bao gồm 2.500 luật chuẩn của Snort đại diện cho nhiều hình thức tấn công khác nhau như quét cổng, tấn công từ chối dịch vụ DoS, khai thác tràn bộ đệm và chèn mã độc web.

Phương pháp chọn mẫu là phương pháp chọn mẫu có chủ đích kết hợp phân tầng ngẫu nhiên, tập trung vào 3 giao thức mạng cốt lõi là TCP, UDP và ICMP nhằm đảm bảo tính bao quát của các luồng dữ liệu truyền dẫn. Lý do lựa chọn phương pháp phân tích thực nghiệm đo kiểm thời gian chạy và tỷ lệ tổn thất gói tin là vì đây là thước đo khách quan nhất để chứng minh độ phức tạp tính toán lý thuyết khi chuyển giao sang môi trường phần cứng thực tế. Toàn bộ quá trình thu thập dữ liệu, cài đặt module Aho-Corasick bằng ngôn ngữ C và chạy thử nghiệm đo đạc hiệu năng được thực hiện xuyên suốt trong khung thời gian 12 tháng.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình kiểm thử và đối sánh thực nghiệm đã chỉ ra những phát hiện cốt lõi về hiệu năng của các giải thuật so khớp trong phát hiện xâm nhập mạng:

Thứ nhất, các thuật toán so khớp đơn mẫu như Brute Force, Knuth-Morris-Pratt và Boyer-Moore Horspool bộc lộ sự suy giảm hiệu năng nghiêm trọng khi số lượng luật tăng lên. Khi kích thước tập mẫu vượt qua 100 quy tắc, thời gian xử lý của các giải thuật đơn mẫu tăng tỷ lệ thuận với số lượng mẫu, dẫn đến việc tiêu tốn tài nguyên xử lý của CPU tăng hơn 300%.

Thứ hai, thuật toán so khớp đa mẫu Aho-Corasick thể hiện ưu thế vượt trội với độ phức tạp thời gian giữ nguyên mức tuyến tính, hoàn toàn độc lập với số lượng mẫu cần tìm kiếm trong cơ sở dữ liệu luật. Tốc độ quét nội dung gói tin của Aho-Corasick nhanh gấp khoảng 3,5 lần so với việc thực thi tuần tự các thuật toán đơn mẫu trên cùng một bộ dữ liệu thử nghiệm.

Thứ ba, việc tích hợp chương trình Aho-Corasick vào hệ thống Snort giúp giảm mạnh tỷ lệ rớt gói tin từ mức 18,5% xuống dưới 1,2% trong điều kiện đường truyền mạng hoạt động ở mức tải cao với băng thông 100 Mbps.

Thứ tư, cấu trúc cây trie của Aho-Corasick chỉ tiêu tốn dung lượng bộ nhớ RAM bổ sung trong khoảng từ 15 MB đến 25 MB cho tập luật hơn 2.000 mẫu, hoàn toàn tương thích và vận hành mượt mà trên các thiết bị định tuyến hoặc máy chủ cấu hình phổ thông.

Thảo luận kết quả

Nguyên nhân chính dẫn đến sự vượt trội của thuật toán Aho-Corasick nằm ở cơ chế tiền xử lý hiệu quả. Bằng cách xây dựng đồ thị chuyển đổi trạng thái và liên kết các nút thông qua hàm thất bại Failure, hệ thống không bao giờ phải quay lui con trỏ văn bản trên luồng dữ liệu của gói tin, đảm bảo mỗi byte dữ liệu chỉ được kiểm tra đúng một lần duy nhất.

Khi so sánh với thuật toán Commentz-Walter, thuật toán Aho-Corasick đạt tính ổn định cao hơn khi xử lý các tập mẫu có độ dài ngắn và chứa nhiều ký tự trùng lặp phổ biến trong các giao thức mạng. Dữ liệu thực nghiệm có thể được trực quan hóa thông qua biểu đồ đường biểu diễn mối tương quan giữa thời gian thực thi (tính bằng mili-giây) và số lượng quy tắc kiểm tra (từ 100 đến 2.500 luật). Trong khi đồ thị của Knuth-Morris-Pratt dốc đứng theo cấp số nhân, đồ thị của Aho-Corasick duy trì một đường tiệm cận ngang ổn định. Bảng thống kê hiệu năng cũng minh chứng thời gian phân tích trung bình giảm từ 18 microgiây xuống còn 5 microgiây cho mỗi gói tin tiêu chuẩn. Điều này mang ý nghĩa quyết định trong việc ngăn chặn các cuộc tấn công mạng thời gian thực mà không làm suy giảm chất lượng dịch vụ mạng của tổ chức.

Đề xuất và khuyến nghị

Dựa trên kết quả nghiên cứu, 4 giải pháp chiến lược được đề xuất nhằm nâng cao năng lực an toàn thông tin:

Thứ nhất, tiến hành triển khai nâng cấp toàn diện module so khớp đa mẫu Aho-Corasick cho toàn bộ hệ thống Snort NIDS đang vận hành tại các cơ quan, đơn vị giáo dục trong vòng 6 tháng tới. Mục tiêu cụ thể là đưa độ trễ phân tích gói tin xuống dưới 5 microgiây/gói. Trách nhiệm thực thi thuộc về đội ngũ kỹ sư quản trị mạng và an toàn thông tin nội bộ.

Thứ hai, tối ưu hóa cấu trúc dữ liệu lưu trữ cây trạng thái trong bộ nhớ cache L3 của bộ vi xử lý nhằm nâng thông lượng kiểm tra gói tin đạt ngưỡng 1 Gbps ổn định. Thời gian thực hiện dự kiến trong 12 tháng, do các nhóm nghiên cứu phát triển phần mềm an ninh mạng và trung tâm dữ liệu phụ trách.

Thứ ba, thiết lập quy trình chuẩn hóa và phân loại cơ sở dữ liệu luật định kỳ theo tuần. Đội ngũ an ninh thông tin cần loại bỏ các mẫu chữ ký tấn công lỗi thời, đồng thời nhóm hơn 3.000 mẫu luật theo giao thức và cổng dịch vụ để tối ưu không gian trạng thái của otomat, thực hiện định kỳ hàng quý bởi quản trị viên hệ thống.

Thứ tư, nghiên cứu xây dựng mô hình an ninh mạng lai ghép, kết hợp cơ chế so khớp mẫu chính xác của Aho-Corasick với mạng nơ-ron nhân tạo 3 tầng để phát hiện đồng thời cả các cuộc tấn công đã biết lẫn các cuộc tấn công bất thường zero-day. Lộ trình triển khai kéo dài 18 tháng, chủ trì bởi các viện nghiên cứu chuyên ngành và các doanh nghiệp phát triển giải pháp bảo mật.

Đối tượng nên tham khảo luận văn

Nội dung và kết quả thực nghiệm của luận văn là tài liệu giá trị cho 4 nhóm đối tượng cụ thể:

Nhóm 1: Quản trị viên hệ thống mạng tại các trường học, cơ quan hành chính và doanh nghiệp vừa và nhỏ. Luận văn cung cấp hướng dẫn chi tiết về cấu hình, tối ưu hóa Snort NIDS trên nền phần cứng tiết kiệm chi phí, giúp cải thiện tỷ lệ bắt gói tin cho mạng 100 Mbps.

Nhóm 2: Kỹ sư phát triển phần mềm an toàn thông tin và chuyên gia an ninh mạng. Đây là tài liệu tham khảo thực tế về việc chuyển đổi giải thuật lý thuyết Aho-Corasick thành mã nguồn C tối ưu cho các hệ thống giám sát lưu lượng thời gian thực.

Nhóm 3: Giảng viên, học viên cao học và sinh viên chuyên ngành Khoa học máy tính, Kỹ thuật mạng truyền thông. Công trình cung cấp cơ sở lý thuyết chặt chẽ, các ví dụ minh họa từng bước xây dựng hàm Goto, Failure, Output và phương pháp đánh giá độ phức tạp tính toán.

Nhóm 4: Lãnh đạo phụ trách công nghệ thông tin và chuyên viên tư vấn giải pháp bảo mật. Luận văn là cơ sở thực tế để đánh giá hiệu quả kinh tế - kỹ thuật khi triển khai các hệ thống phát hiện xâm nhập mã nguồn mở thay thế các giải pháp thương mại đắt tiền.

Câu hỏi thường gặp

Thuật toán Aho-Corasick có ưu điểm gì vượt trội so với các thuật toán đơn mẫu trong hệ thống Snort? Thuật toán Aho-Corasick sử dụng cấu trúc cây tiền tố kết hợp mô hình otomat hữu hạn, cho phép tìm kiếm đồng thời hàng nghìn mẫu tấn công chỉ trong một lần duyệt chuỗi với độ phức tạp thời gian tuyến tính. Trong khi đó, các thuật toán đơn mẫu như Knuth-Morris-Pratt phải duyệt lại dữ liệu cho từng mẫu riêng biệt, làm tăng thời gian xử lý lên gấp nhiều lần khi tập luật mở rộng.

Hệ thống phát hiện xâm nhập dựa trên so khớp mẫu có nhận diện được tấn công mới chưa từng ghi nhận không? Phương pháp so khớp mẫu hoạt động dựa trên các chữ ký đã biết nên không thể phát hiện các hình thức tấn công mới hoặc biến thể chưa có trong cơ sở dữ liệu luật. Để khắc phục điểm yếu này, hệ thống cần được kết hợp với phương pháp phát hiện bất thường dựa trên học máy hoặc mạng nơ-ron để giám sát sự sai lệch hành vi người dùng.

Việc lưu trữ cây trạng thái của Aho-Corasick có gây tràn bộ nhớ của máy chủ giám sát không? Cấu trúc cây trie của Aho-Corasick chỉ tiêu tốn khoảng 15 MB đến 25 MB bộ nhớ RAM cho tập luật 2.000 quy tắc. Mức chiếm dụng này là rất nhỏ so với dung lượng RAM hàng gigabyte của các hệ thống máy chủ hiện nay, đảm bảo hệ thống vận hành an toàn mà không có nguy cơ bị cạn kiệt tài nguyên bộ nhớ.

Tại sao thuật toán Karp-Rabin ít được ưu tiên triển khai cho các hệ thống NIDS đa mẫu quy mô lớn? Thuật toán Karp-Rabin sử dụng hàm băm cuộn rất hiệu quả cho việc so khớp đơn mẫu dài, nhưng khi áp dụng cho hàng nghìn mẫu cùng lúc, chi phí tính toán bảng băm và xử lý xung đột băm tăng cao. Điều này khiến tốc độ xử lý không thể đạt mức ổn định và tối ưu như thuật toán Aho-Corasick.

Mô hình triển khai thử nghiệm tại Trung tâm Giáo dục thường xuyên Định Hóa có tính khả thi nhân rộng không? Mô hình thực nghiệm hoàn toàn có tính khả thi cao để nhân rộng cho các cơ quan, đơn vị giáo dục có quy mô mạng từ 50 đến 200 máy trạm. Giải pháp giúp giảm tỷ lệ rớt gói tin từ 18,5% xuống dưới 1,2% mà không yêu cầu đầu tư thiết bị phần cứng đắt tiền, tối ưu hóa ngân sách công nghệ thông tin.

Kết luận

Công trình nghiên cứu đã hoàn thành toàn diện các mục tiêu học thuật và ứng dụng thực tiễn với 5 đóng góp nổi bật:

  • Hệ thống hóa đầy đủ cơ sở lý luận về hệ thống phát hiện xâm nhập mạng, phân tích chi tiết sự khác biệt giữa phát hiện lạm dụng và phát hiện bất thường.
  • Đánh giá định lượng chuyên sâu các thuật toán so khớp chuỗi kinh điển gồm Brute Force, Knuth-Morris-Pratt, Boyer-Moore Horspool, Karp-Rabin, Commentz-Walter và Aho-Corasick.
  • Cài đặt thành công module giải thuật so khớp đa mẫu Aho-Corasick và tích hợp hoàn chỉnh vào mã nguồn hệ thống Snort.
  • Minh chứng bằng thực nghiệm khả năng cải thiện hiệu năng vượt bậc của Snort, giảm tỷ lệ rớt gói tin từ 18,5% xuống dưới 1,2% trên đường truyền mạng thực tế.
  • Đề xuất kiến trúc giải pháp an ninh mạng hiệu quả cao, chi phí thấp, phù hợp với điều kiện cơ sở hạ tầng công nghệ thông tin tại Việt Nam.

Lộ trình tiếp theo trong 6 đến 12 tháng tới tập trung vào việc nghiên cứu tăng tốc thuật toán so khớp mẫu trên nền tảng phần cứng chuyên dụng như card mạng thông minh, FPGA và vi xử lý đồ họa GPU. Các tổ chức, viện nghiên cứu và doanh nghiệp an toàn thông tin cần đẩy mạnh hợp tác thử nghiệm, ứng dụng rộng rãi các giải pháp tối ưu hóa giải thuật này vào thực tiễn bảo vệ hạ tầng số quốc gia.