Tổng quan luận án
Luận án tiến sĩ với đề tài "Mô hình hóa và chống tấn công từ chối dịch vụ tốc độ thấp vào giao thức TCP" được thực hiện bởi nghiên cứu sinh thuộc ngành Mạng máy tính và truyền thông dữ liệu (mã số: 9480102.01) tại Trường Đại học Công nghệ – Đại học Quốc gia Hà Nội, dưới sự hướng dẫn khoa học của GS. Nguyễn Thanh Thủy và TS. Nguyễn Đại Thọ.
Tính cấp thiết và khoảng trống nghiên cứu
Giao thức điều khiển truyền dữ liệu TCP (Transmission Control Protocol) là giao thức vận chuyển cốt lõi trong mạng Internet, hoạt động dựa trên nguyên lý dịch vụ nỗ lực tối đa (best-effort) và cơ chế điều khiển tắc nghẽn đầu cuối (end-to-end congestion control). Tấn công từ chối dịch vụ phân tán tốc độ thấp (Low-rate Distributed Denial of Service - LDDoS) nhắm vào TCP là dạng tấn công tinh vi, khai thác cơ chế chờ phát lại gói tin (Retransmission Time Out - RTO) của giao thức. Khác với tấn công từ chối dịch vụ phân tán (DDoS) truyền thống vốn duy trì lưu lượng lớn liên tục, tấn công LDDoS phát các xung dữ liệu bùng nổ (burst) với tốc độ cao trong thời gian rất ngắn nhưng lặp lại theo chu kỳ gần bằng giá trị thời gian chờ phát lại gói tin nhỏ nhất ($minRTO = 1$ giây). Điều này khiến các kết nối TCP liên tục rơi vào trạng thái timeout và suy giảm nghiêm trọng thông lượng, trong khi tốc độ trung bình của luồng tấn công rất thấp, dễ dàng vượt qua các cơ chế giám sát thống kê truyền thống.
Khoảng trống nghiên cứu được luận án xác định bao gồm:
- Các mô hình phân tích hiện hữu dùng để ước lượng thông lượng TCP khi có tấn công LDDoS (tiêu biểu như mô hình của Luo et al.) chưa bao quát toàn bộ các kịch bản thực tế, đặc biệt là bỏ sót trường hợp kích thước cửa sổ tắc nghẽn ($cwnd$) bị chia đôi một hoặc nhiều lần trước khi xảy ra timeout, cũng như chưa xử lý triệt để trường hợp TCP sử dụng cơ chế báo nhận trễ (delayed ACK).
- Các cơ chế quản lý hàng đợi tích cực (Active Queue Management - AQM) tại bộ định tuyến (router) hỗ trợ chống LDDoS, đặc biệt là tiếp cận dựa trên độ đo tỉ lệ tham gia tắc nghẽn mạng (Congestion Participation Rate - CPR), chưa có cơ chế thích ứng ngưỡng động và còn bộc lộ khiếm khuyết trong việc phân biệt chính xác giữa dòng TCP hợp lệ với dòng tấn công.
Mục tiêu và câu hỏi nghiên cứu
Luận án xác lập hai mục tiêu nghiên cứu cụ thể:
- Đề xuất và xây dựng phương pháp giải tích mới nhằm ước lượng chính xác thông lượng TCP trong điều kiện chịu tấn công LDDoS, khắc phục nhược điểm của các mô hình trước đó đối với cả hai cơ chế báo nhận tức thời (immediate ACK) và báo nhận trễ (delayed ACK).
- Phân tích, hoàn thiện và nâng cao hiệu quả chống tấn công LDDoS của cơ chế hỗ trợ tại router thông qua việc đề xuất phương pháp thích ứng ngưỡng CPR theo thời gian và phát triển độ đo mới mang tên tỉ lệ khoảng thời gian tắc nghẽn (Congestion Interval Rate - CIR).
Đối tượng và phạm vi nghiên cứu
- Đối tượng nghiên cứu:
- Hành vi động học của cửa sổ tắc nghẽn ($cwnd$) và thông lượng của các kết nối TCP dưới tác động của tấn công LDDoS.
- Thuật toán quản lý hàng đợi tích cực tại router, trọng tâm là tiếp cận dựa trên độ đo CPR và độ đo đề xuất mới CIR.
- Phạm vi nghiên cứu:
- Về không gian và môi trường thử nghiệm: Nghiên cứu tập trung vào mô hình mạng có liên kết nghẽn cổ chai (bottleneck link) với cấu hình băng thông mạng nguồn/đích ($nt_bw = 100$ Mbps hoặc $1000$ Mbps), băng thông liên kết nghẽn ($bn_bw = 5$ Mbps hoặc $20$ Mbps), trễ truyền dẫn một chiều ($nt_dl = 2, 7, 22$ ms).
- Về phương pháp thực nghiệm: Do hạn chế về hạ tầng vật lý diện rộng, các khảo sát thực nghiệm được thực hiện thông qua mô hình hóa toán học và công cụ mô phỏng mạng Network Simulator phiên bản 2 (NS-2).
Tổng quan tài liệu và vị trí của luận án
Các hướng nghiên cứu tiền đề
Luận án điểm lại hệ thống công trình nghiên cứu nền tảng và chuyên sâu về điều khiển tắc nghẽn TCP và phòng thủ LDDoS:
- Cơ chế điều khiển tắc nghẽn TCP: Khởi nguồn từ công trình của Van Jacobson (1988, 1990) về thuật toán kiểm soát tắc nghẽn cho TCP Tahoe và TCP Reno với chính sách tăng theo cấp số cộng và giảm theo cấp số nhân (AIMD - Additive Increase Multiplicative Decrease); tiếp đó là các hoàn thiện trong TCP NewReno của Floyd và Henderson (RFC 3782, RFC 6582) nhằm giải quyết hiện tượng mất nhiều gói tin trong cùng một cửa sổ dữ liệu; tiêu chuẩn tính toán RTO của Paxson và Allman (RFC 2988, RFC 6298).
- Phát hiện và mô hình hóa tấn công LDDoS: Dạng tấn công này được công bố lần đầu bởi Kuzmanovic và Knightly (2003). Về mô hình giải tích ước lượng thông lượng TCP dưới tấn công LDDoS, Luo et al. (2014) đã xây dựng mô hình toán học nhưng giới hạn trong các trường hợp không xảy ra chia đôi $cwnd$ trước timeout. Các biến thể tấn công giảm chất lượng (Reduction of Quality - RoQ) được nghiên cứu bởi Guirguis et al. (2004, 2007).
- Kỹ thuật phòng thủ miền tần số và thời gian:
- Miền tần số: Chen et al. (2007, 2011) sử dụng phổ lưu lượng tích lũy chuẩn hóa (Normalized Cumulative Amplitude Spectrum - NCAS) trong dải tần 0–20 Hz; Wu et al. (2013) sử dụng biến đổi Fourier rời rạc (DFT) để phân tích phổ năng lượng tập trung tại $n/RTT$ và áp dụng bộ lọc lược.
- Miền thời gian và cấu trúc hàng đợi: Wu et al. (2011) sử dụng đặc tính đa phân dạng (multifractal) và chỉ số mũ Hölder để đo tính bùng nổ của lưu lượng; Yue et al. (2014) xây dựng mô hình điều khiển phản hồi hai chiều cho thuật toán RED dựa trên khoảng cách Euclid trung bình ($d_{AED}$).
- Cơ chế quản lý hàng đợi và lọc tại router: Các giải pháp lọc gói dựa trên bộ lọc Bloom (Bloom filter) của Broder và Mitzenmacher (2004); các cơ chế hàng đợi tích cực RED (Random Early Detection) của Floyd và Jacobson (1993), CHOKe (Pan et al., 2000), và tiếp cận dựa trên độ đo CPR của Xiang et al. (2011).
Khoảng trống luận án giải quyết
Từ việc phân tích tổng quan, luận án chỉ ra hai khoảng trống lớn:
- Thiếu một mô hình giải tích toàn diện mô tả chính xác sự tiến triển của cửa sổ tắc nghẽn TCP khi bị tấn công LDDoS trong mọi tình huống giảm cửa sổ trước timeout và trong cơ chế delayed ACK.
- Cơ chế phòng thủ CPR tại router sử dụng ngưỡng cố định $\tau$ dẫn đến đánh đổi: nếu $\tau$ nhỏ sẽ làm suy giảm tính công bằng giữa các luồng TCP bình thường; nếu $\tau$ lớn sẽ làm giảm khả năng bảo vệ thông lượng khi bị tấn công. Hơn nữa, bản thân độ đo CPR chỉ tính số lượng gói tin mà không phản ánh đúng tỉ lệ các khoảng thời gian xảy ra tắc nghẽn.
Cơ sở lý thuyết và phương pháp nghiên cứu
Cơ sở lý thuyết và khung phân tích
- Mô hình động học TCP: Cơ chế tăng giảm $cwnd$ qua các pha Khởi động chậm (Slow Start), Tránh tắc nghẽn (Congestion Avoidance), Phục hồi nhanh (Fast Recovery) và cơ chế lùi thời gian phát lại theo hàm số mũ khi hết hạn $RTO$ với giá trị $minRTO = 1$ giây.
- Mô hình lưu lượng tấn công LDDoS:
- Dòng đơn lẻ được đặc trưng bởi bộ 4 tham số: $(Ta, Tb, Rb, s)$, trong đó $Ta$ là chu kỳ giữa hai đợt bùng nổ, $Tb$ là chiều dài mỗi đợt bùng nổ, $Rb$ là tốc độ xung gói tin, và $s$ là thời điểm bắt đầu.
- Tấn công phân tán nhiều dòng được mô tả bởi bộ tham số: $(n, g, m, \sigma)$, trong đó $n$ là tổng số dòng tấn công, $g$ là số nhóm, $m$ là số dòng trong mỗi nhóm ($n = g \times m$), và $\sigma$ là độ lệch thời gian bắt đầu giữa hai nhóm liên tiếp.
- Khung quản lý hàng đợi RED: Vận hành dựa trên kích thước hàng đợi trung bình $avg$, cập nhật theo công thức trung bình động trọng số lũy thừa (EWMA) với trọng số hàng đợi $w_q$, các ngưỡng $min_{th}$, $max_{th}$, và xác suất đánh dấu/loại bỏ gói tin tối đa $max_p$.
| Tham số / Ký hiệu |
Ý nghĩa trong mô hình |
Đơn vị / Giá trị điển hình |
| $cwnd$ |
Kích thước cửa sổ tắc nghẽn |
Gói tin (packets) |
| $ssthresh$ |
Ngưỡng khởi động chậm |
Gói tin (packets) |
| $RTO$ / $minRTO$ |
Thời gian chờ phát lại gói tin / Giá trị nhỏ nhất |
Giây ($minRTO = 1.0$ s) |
| $RTT$ / $SRTT$ |
Thời gian đi về của gói tin / RTT làm trơn |
Mili giây (ms) / Giây (s) |
| $CT$ |
Dung lượng đường truyền (tích băng thông - trễ) |
Gói tin (packets) |
| $Ta, Tb, Rb$ |
Chu kỳ xung, chiều dài xung, tốc độ xung LDDoS |
$Ta \approx 1$ s, $Tb \approx RTT$, $Rb > bn_bw$ |
| $\theta_i$ / $\zeta_i$ |
Giá trị độ đo CPR / Giá trị độ đo CIR của dòng $F_i$ |
Khoảng giá trị $[0, 1]$ |
| $\tau$ |
Ngưỡng quyết định lọc gói tin tại router |
Khoảng giá trị $(0, 1)$ |
Phương pháp nghiên cứu thực tế
Luận án kết hợp phương pháp phân tích giải tích toán học và phương pháp thực nghiệm mô phỏng số:
- Phương pháp giải tích: Luận án kết hợp phân tích rời rạc (discrete analysis) cho giai đoạn khởi động chậm và phương pháp xấp xỉ liên tục (continuous approximation) cho giai đoạn tránh tắc nghẽn để thiết lập các phương trình vi tích phân mô tả quỹ đạo biến thiên của $cwnd(t)$ và tính toán diện tích dưới đường cong cửa sổ, từ đó suy ra thông lượng trung bình.
- Phương pháp mô phỏng mạng: Sử dụng phần mềm NS-2 để tái lập cấu hình mạng quả tạ (dumbbell topology) với nút nghẽn cổ chai trung tâm kết nối hai router $R_0$ và $R_1$, các máy gửi/nhận hợp lệ và các nút phân tán phát lưu lượng LDDoS.
Nội dung chính theo từng chương
Chương 1: Tổng quan về tấn công từ chối dịch vụ phân tán và tấn công từ chối dịch vụ phân tán tốc độ thấp
Chương 1 hệ thống hóa cơ sở lý luận về tấn công từ chối dịch vụ và từ chối dịch vụ phân tán. Tác giả phân tích nguồn gốc của lỗ hổng từ chối dịch vụ bắt nguồn từ kiến trúc nỗ lực tối đa của Internet và mô hình đầu cuối tới đầu cuối, nơi các router lõi không lưu trữ trạng thái luồng.
Nội dung chương đi sâu vào phân tích cơ chế điều khiển tắc nghẽn qua các phiên bản TCP Tahoe, TCP Reno và TCP NewReno, chi tiết hóa giải thuật tính toán $RTO$:
$$\begin{aligned}
SRTT &= (1 - \alpha) \times SRTT + \alpha \times R' \
RTTVAR &= (1 - \beta) \times RTTVAR + \beta \times |SRTT - R'| \
RTO &= SRTT + \max(G, 4 \times RTTVAR)
\end{aligned}$$
Khi không đo được biến thiên, giá trị mặc định được áp dụng là $RTO = minRTO = 1$ giây. Tấn công LDDoS khai thác việc đặt lại bộ đếm thời gian này để liên tục ép TCP rơi vào chu kỳ lùi hàm mũ ($1\text{s} \to 2\text{s} \to 4\text{s} \dots$). Chương 1 cũng tổng hợp, đánh giá ưu nhược điểm của các giải pháp phát hiện trong miền tần số (DFT, NCAS) và miền thời gian (chỉ số Hölder, mô hình hàng đợi RED thích nghi $d_{AED}$).
| Mô hình / Cơ chế |
Nguyên lý tiếp cận chính |
Ưu điểm ghi nhận |
Nhược điểm / Hạn chế |
| NCAS (Chen et al.) |
Phổ biên độ tích lũy chuẩn hóa (0–20 Hz) |
Nhận diện dòng tấn công trong luồng tổng |
Tốn tài nguyên tính toán; phụ thuộc tập mẫu |
| DFT (Wu et al.) |
Biến đổi Fourier, bộ lọc lược theo $RTT$ |
Phân tích tập trung năng lượng tại $n/RTT$ |
Nhạy cảm khi $Ta, Tb$ thay đổi; sai số $RTT$ cao |
| Đa phân dạng (Wu et al.) |
Chỉ số mũ Hölder đo tính bùng nổ |
Nhận diện thời điểm bắt đầu/kết thúc |
Yêu cầu bộ nhớ lớn để lưu vết chuỗi thời gian |
| $d_{AED}$ (Yue et al.) |
Khoảng cách Euclid trên phân phối RED |
Phát hiện thời gian thực, độ chính xác 98.6% |
Chỉ phát hiện đợt bùng nổ, chưa lọc được dòng |
Chương 2: Thông lượng TCP trong điều kiện có tấn công từ chối dịch vụ phân tán tốc độ thấp
Chương 2 là phần đóng góp lý thuyết trọng tâm, xây dựng phương pháp ước lượng thông lượng TCP dựa trên khảo sát hình thái biến thiên của $cwnd$ qua từng chu kỳ tấn công $Ta$.
-
Trường hợp một dòng TCP sử dụng báo nhận tức thời (immediate ACK):
Luận án phân loại và giải quyết tường minh hai nhóm trường hợp lớn:
- Nhóm 1 - Cửa sổ $cwnd$ không bị chia đôi trước khi timeout: Xét ba miền giá trị của dung lượng đường ống $CT$ so với ngưỡng khởi động chậm $ssthresh$ và kích thước cửa sổ ngay trước timeout $W$ ($CT < ssthresh$; $ssthresh < CT < W$; $W < CT$).
- Nhóm 2 - Cửa sổ $cwnd$ bị chia đôi trước khi timeout: Xảy ra khi gói tin bị mất được phát hiện qua 3 ACK trùng lắp trước khi hết hạn $RTO$. Luận án chia nhỏ thành 4 trường hợp chi tiết dựa trên quan hệ giữa $CT$, $ssthresh$, $W_{max}$ và $W$ ($CT < ssthresh$; $ssthresh < CT < W_{max}/2$; $W_{max}/2 < CT < W$; $W < CT$).
-
Trường hợp nhiều dòng TCP đồng nhất sử dụng báo nhận tức thời:
Dựa trên hiện tượng đồng bộ toàn cục (global synchronization), tiến trình $cwnd$ của các dòng đồng nhất có dạng giống nhau. Luận án phân tích chi tiết hiện tượng bất đối xứng của tiến trình kích thước cửa sổ tắc nghẽn, phát hiện hiện tượng phục hồi sớm sau timeout do rò rỉ gói tin (packet leaking) tại hàng đợi router.
-
Trường hợp sử dụng cơ chế báo nhận trễ (delayed ACK):
Khi sử dụng delayed ACK, các dòng TCP không còn đồng bộ hoàn toàn. Luận án chứng minh không thể tính chính xác giá trị đơn lẻ mà thiết lập một khoảng chặn gồm cận trên (upper bound) và cận dưới (lower bound) cho thông lượng, sau đó đề xuất thuật toán chọn giá trị ước lượng chính thức.
| Kịch bản kiểm thử mô phỏng |
Cấu hình mạng ($nt_bw, bn_bw, nt_dl$) |
Phương pháp đề xuất (Sai số tương đối) |
Phương pháp Luo et al. (Sai số tương đối) |
| Tập mô phỏng 1 (Báo nhận tức thời) |
$1000\text{ Mbps}, 20\text{ Mbps}, 22\text{ ms}$ |
Thấp, bám sát đường thực nghiệm |
Lệch lớn khi xảy ra giảm $cwnd$ |
| Tập mô phỏng 2 (Báo nhận tức thời) |
$1000\text{ Mbps}, 20\text{ Mbps}, 2\text{ ms}$ |
Tương thích cao với dữ liệu NS-2 |
Không bao quát được pha phục hồi nhanh |
| Tập mô phỏng 3 (Báo nhận trễ) |
$100\text{ Mbps}, 5\text{ Mbps}, 7\text{ ms}$ |
Rơi chính xác vào khoảng [Cận dưới, Cận trên] |
Sai số vượt trội do giả định tức thời |
Chương 3: Chống tấn công từ chối dịch vụ phân tán tốc độ thấp
Chương 3 tập trung nghiên cứu cơ chế phòng thủ dựa trên độ đo tỉ lệ tham gia tắc nghẽn mạng CPR ($\theta_i$) của dòng gói tin $F_i$. Độ đo CPR được định nghĩa theo công thức:
$$\theta_i = \frac{\sum_{t \in T^} S_{i,t}}{\sum_{t \in T} S_{i,t}}$$
Trong đó $T$ là tập tất cả các khoảng thời gian lấy mẫu độ dài $d$, $T^$ là tập các khoảng thời gian lấy mẫu mà liên kết đầu ra của router bị tắc nghẽn, và $S_{i,t}$ là số lượng gói tin của dòng $F_i$ đến router trong khoảng $[t, t+d]$.
Luận án chỉ ra các hạn chế của cơ chế CPR nguyên bản khi sử dụng ngưỡng cố định $\tau$:
- Phân tích cho thấy giá trị CPR của các dòng LDDoS hội tụ về giá trị cao ($\approx 1.0$) do chúng chỉ gửi gói trong các đợt bùng nổ gây tắc nghẽn, trong khi các dòng TCP thông thường có CPR thấp hơn.
- Tuy nhiên, nếu cố định ngưỡng $\tau$, khi mạng bình thường không có tấn công, các dòng TCP có tốc độ cao hoặc truyền dữ liệu lớn vẫn có thể có CPR vượt ngưỡng $\tau$, dẫn đến bị router loại bỏ nhầm gói tin và gây mất công bằng băng thông (thể hiện qua độ lệch chuẩn $SD$ của thông lượng các dòng TCP tăng cao).
Để giải quyết vấn đề này, luận án đề xuất Phương pháp thích ứng ngưỡng $\tau$ theo thời gian:
- Tính toán tỉ lệ lấy mẫu tắc nghẽn của liên kết (Congestion Sample Rate - CSR): $CSR = |T^*| / |T|$.
- Thuật toán tự động điều chỉnh ngưỡng $\tau(t)$: khi liên kết không bị nghẽn ($CSR$ thấp), $\tau$ tự động tăng lên tiệm cận 1.0 theo hệ số $\beta$ để bảo vệ tính công bằng cho các dòng TCP; khi phát hiện tắc nghẽn kéo dài do tấn công ($CSR$ tăng), $\tau$ giảm dần theo bước $\alpha$ để kích hoạt bộ lọc loại bỏ các dòng có CPR cao. Kết quả mô phỏng trên NS-2 khẳng định cơ chế thích ứng ngưỡng giúp bảo tồn thông lượng TCP chuẩn hóa ở mức cao khi có tấn công và duy trì độ lệch chuẩn công bằng thấp khi hoạt động bình thường.
Chương 4: Tăng cường hiệu năng của tiếp cận dựa trên độ đo tỉ lệ tham gia tắc nghẽn mạng
Chương 4 chỉ ra lỗ hổng bản chất của độ đo CPR: CPR phụ thuộc vào số lượng gói tin $S_{i,t}$. Trong các cuộc tấn công LDDoS phức tạp với chu kỳ $Ta$ ngắn hoặc tốc độ bùng nổ $Rb$ thay đổi, số lượng gói tin của dòng TCP đến trong khoảng thời gian tắc nghẽn có thể bị nhiễu, làm cho giá trị $\theta_i$ của dòng TCP tiệm cận với giá trị của dòng tấn công, dẫn đến lọc nhầm.
Luận án đề xuất Độ đo mới: Tỉ lệ khoảng thời gian tắc nghẽn (Congestion Interval Rate - CIR), ký hiệu $\zeta_i$:
$$\zeta_i = \frac{|T_i^|}{|T_i|}$$
Trong đó $T_i$ là tập các khoảng thời gian lấy mẫu mà dòng $F_i$ có gói tin gửi đến router, và $T_i^$ là tập các khoảng thời gian mà dòng $F_i$ có gói tin đến đúng lúc liên kết bị tắc nghẽn.
| Tiêu chí so sánh |
Tiếp cận dựa trên CPR ($\theta_i$) |
Tiếp cận đề xuất dựa trên CIR ($\zeta_i$) |
| Bản chất đại lượng đo lường |
Tỉ lệ số lượng gói tin trong pha tắc nghẽn |
Tỉ lệ số khoảng thời gian xuất hiện tắc nghẽn |
| Độ nhạy với kích thước gói |
Phụ thuộc vào số gói đến trong khoảng $d$ |
Độc lập với số lượng gói trong mỗi khoảng $d$ |
| Khả năng tách biệt phân bố |
Phân bố xác suất của TCP và LDDoS bị giao thoa khi $Ta, Rb$ biến thiên |
Tạo khoảng cách phân tách rõ rệt giữa TCP thông thường và LDDoS |
| Bảo toàn thông lượng TCP |
Bị suy giảm khi thay đổi chu kỳ $Ta$ hoặc tăng tốc độ xung $Rb$ |
Duy trì thông lượng chuẩn hóa cao ổn định trên toàn bộ dải biến thiên của $Ta, Tb, Rb$ |
Các kết quả mô phỏng đối sánh giữa hai tiếp cận với 30 dòng TCP đi qua liên kết nghẽn chứng minh: giá trị CIR của các dòng TCP luôn duy trì ở mức thấp và ổn định, trong khi CIR của các dòng tấn công đạt xấp xỉ $1.0$. Khi thay đổi các tham số tấn công $Ta$, $Tb$, $Rb$, tiếp cận dựa trên CIR duy trì thông lượng chuẩn hóa của TCP cao hơn rõ rệt so với tiếp cận dựa trên CPR.
Kết quả và những đóng góp mới
Đóng góp mới về mặt lý luận và khoa học
- Phương pháp mô hình hóa và ước lượng thông lượng TCP: Xây dựng thành công phương pháp giải tích hoàn chỉnh kết hợp phân tích rời rạc và xấp xỉ liên tục, giải quyết triệt để bài toán ước lượng thông lượng khi $cwnd$ bị chia đôi một hoặc nhiều lần trước timeout. Đưa ra giải pháp xác định khoảng chặn trên - chặn dưới cho trường hợp TCP sử dụng cơ chế delayed ACK, nâng cao độ chính xác so với mô hình giải tích của Luo et al.
- Cơ chế thích ứng ngưỡng động cho AQM: Phát triển thuật toán tự động điều chỉnh ngưỡng $\tau$ dựa trên tỉ lệ lấy mẫu tắc nghẽn $CSR$, giải quyết mâu thuẫn giữa yêu cầu lọc lưu lượng tấn công LDDoS và yêu cầu đảm bảo tính công bằng chia sẻ băng thông của TCP trong trạng thái mạng bình thường.
- Đề xuất độ đo phân loại dòng mới CIR: Thiết lập công thức toán học cho độ đo CIR ($\zeta_i$), chứng minh tính ưu việt về mặt lý thuyết và thực nghiệm trong việc phân tách đặc trưng giữa dòng dữ liệu hợp lệ và dòng tấn công bùng nổ chu kỳ.
Đóng góp thực tiễn và kiến nghị giải pháp
- Khả năng ứng dụng tại thiết bị mạng: Các giải pháp thích ứng ngưỡng CPR và lọc gói dựa trên CIR được thiết kế hướng tới tích hợp trực tiếp vào module quản lý hàng đợi tích cực (AQM) tại các router biên và router lõi.
- Kiến nghị: Khuyến nghị các nhà phát triển giao thức và nhà sản xuất thiết bị định tuyến áp dụng cơ chế đánh giá dòng theo thời gian tắc nghẽn (CIR) kết hợp với bộ lọc Bloom để tối ưu hóa việc sử dụng bộ nhớ đệm tại router khi xử lý lưu lượng quy mô lớn.
Hạn chế và hướng nghiên cứu tiếp
Hạn chế của luận án
- Các kết quả đánh giá, kiểm chứng của luận án được thực hiện hoàn toàn trên môi trường mô phỏng phần mềm NS-2 với mô hình mạng chuẩn hóa (topology quả tạ), chưa triển khai thử nghiệm trên hệ thống thiết bị định tuyến phần cứng thực tế trong mạng Internet diện rộng do hạn chế về kinh phí và cơ sở hạ tầng.
- Mô hình giải tích ước lượng thông lượng giả định các dòng TCP là đồng nhất (có cùng thời gian trễ truyền dẫn $RTT$ và cùng đi qua một liên kết nghẽn cổ chai đơn lẻ).
Hướng nghiên cứu tiếp theo
- Mở rộng mô hình toán học giải tích để ước lượng thông lượng cho các mạng phức hợp gồm nhiều dòng TCP không đồng nhất (nhiều giá trị $RTT$ khác nhau) và mạng có nhiều điểm nghẽn cổ chai liên tiếp.
- Triển khai cài đặt và kiểm thử thực nghiệm thuật toán thích ứng ngưỡng CPR và cơ chế lọc dựa trên CIR trên các nền tảng mạng định nghĩa bằng phần mềm (Software-Defined Networking - SDN) hoặc trên hệ điều hành router mã nguồn mở.
Giá trị tham khảo
Luận án là tài liệu tham khảo chuyên sâu trong các lĩnh vực Mạng máy tính, Truyền thông dữ liệu và An toàn an ninh thông tin:
- Đối với nghiên cứu sinh, học viên cao học và giảng viên: Cung cấp phương pháp luận chặt chẽ trong việc mô hình hóa toán học các giao thức mạng tầng giao vận; kỹ thuật phân tích vi tích phân kết hợp rời rạc - liên tục trên tiến trình cửa sổ tắc nghẽn TCP; phương pháp thiết kế kịch bản mô phỏng kiểm thử trên NS-2.
- Đối với kỹ sư an toàn thông tin và chuyên gia thiết kế thiết bị mạng: Cung cấp thuật toán quản lý hàng đợi và bộ lọc nhận dạng dòng độc hại tốc độ thấp, làm tài liệu tham khảo để phát triển các tính năng phòng thủ DDoS/LDDoS trên các dòng thiết bị định tuyến thế hệ mới.
Câu hỏi thường gặp
1. Tấn công LDDoS khác biệt như thế nào so với tấn công DDoS truyền thống và tấn công RoQ?
Tấn công DDoS truyền thống phát lưu lượng liên tục với cường độ cực lớn nhằm làm cạn kiệt băng thông hoặc năng lực xử lý của mục tiêu. Tấn công LDDoS chỉ gửi các đợt bùng nổ gói tin ngắn ($Tb \approx RTT$) với chu kỳ $Ta$ xấp xỉ thời gian chờ phát lại gói tin nhỏ nhất ($minRTO = 1$ giây) để liên tục đưa TCP vào trạng thái timeout, làm giảm thông lượng về gần bằng 0 nhưng lưu lượng trung bình rất thấp nên khó bị phát hiện bởi các công cụ đo lường thống kê. Trong khi đó, tấn công RoQ không nhắm vào cơ chế timeout mà gửi các xung ngẫu nhiên nhằm kích hoạt chính sách giảm cửa sổ AIMD của TCP, gây suy giảm chất lượng dịch vụ mà không cần chu kỳ $Ta$ cố định.
2. Hạn chế cốt lõi trong mô hình ước lượng thông lượng của Luo et al. là gì và luận án khắc phục ra sao?
Mô hình của Luo et al. chỉ xem xét trường hợp kết nối TCP rơi trực tiếp vào trạng thái timeout từ giai đoạn tăng cửa sổ mà không tính đến các trường hợp kích thước cửa sổ tắc nghẽn ($cwnd$) bị chia đôi một hoặc nhiều lần do nhận được 3 ACK trùng lắp trước khi xảy ra timeout. Luận án đã phân loại toàn diện các miền giá trị giữa dung lượng đường ống $CT$, ngưỡng $ssthresh$ và cửa sổ cực đại $W_{max}$, kết hợp phân tích rời rạc cho pha khởi động chậm và xấp xỉ liên tục cho pha tránh tắc nghẽn để tính toán chính xác thông lượng trong mọi trường hợp.
3. Tại sao cơ chế CPR nguyên bản cần phải bổ sung phương pháp thích ứng ngưỡng $\tau$?
Cơ chế CPR nguyên bản sử dụng một ngưỡng $\tau$ cố định. Trong điều kiện mạng bình thường không có tấn công, các dòng TCP có dung lượng truyền tải lớn hoặc tốc độ cao có thể có tỉ lệ tham gia tắc nghẽn vượt ngưỡng $\tau$, dẫn đến việc router đánh dấu hoặc loại bỏ nhầm gói tin hợp lệ, làm tăng độ lệch chuẩn thông lượng giữa các dòng TCP và phá vỡ tính công bằng chia sẻ băng thông. Thuật toán thích ứng ngưỡng của luận án điều chỉnh $\tau(t)$ dựa trên tỉ lệ lấy mẫu tắc nghẽn của liên kết ($CSR$), tự động nâng cao ngưỡng khi mạng bình thường và hạ thấp ngưỡng khi có tấn công.
4. Độ đo CIR (Congestion Interval Rate) có ưu thế gì vượt trội so với độ đo CPR?
Độ đo CPR tính toán dựa trên số lượng gói tin gửi đến trong các khoảng thời gian tắc nghẽn, do đó dễ bị sai lệch khi lưu lượng mạng biến động hoặc kẻ tấn công thay đổi tốc độ bùng nổ $Rb$. Độ đo CIR ($\zeta_i$) khắc phục nhược điểm này bằng cách đo tỉ lệ giữa số khoảng thời gian có gói tin đến gặp tắc nghẽn trên tổng số khoảng thời gian dòng đó hoạt động ($|T_i^*| / |T_i|$). CIR không phụ thuộc vào số lượng gói tin trong mỗi khoảng lấy mẫu, tạo ra ranh giới phân tách xác suất rõ rệt giữa dòng TCP hợp lệ (CIR thấp) và dòng LDDoS (CIR tiệm cận 1.0).
5. Luận án giải quyết bài toán ước lượng thông lượng khi TCP sử dụng cơ chế báo nhận trễ (delayed ACK) như thế nào?
Khi các dòng TCP sử dụng cơ chế báo nhận trễ, tiến trình phát triển cửa sổ $cwnd$ giữa các dòng không còn đồng bộ hoàn toàn (mất tính đồng bộ toàn cục), khiến việc tính toán giá trị thông lượng chính xác tuyệt đối cho từng dòng trở nên bất khả thi. Luận án giải quyết vấn đề này bằng cách thiết lập một cận trên và một cận dưới giải tích cho thông lượng TCP, chứng minh qua mô phỏng NS-2 rằng thông lượng thực tế luôn nằm trong hoặc tiệm cận chặt chẽ với khoảng chặn này, từ đó đưa ra quy tắc chọn giá trị ước lượng chính thức đạt độ chính xác cao.
Kết luận
Luận án "Mô hình hóa và chống tấn công từ chối dịch vụ tốc độ thấp vào giao thức TCP" đã giải quyết một cách có hệ thống cả hai bài toán lý thuyết và ứng dụng trong phòng chống tấn công LDDoS trên mạng Internet. Bằng việc kết hợp chặt chẽ giữa phân tích giải tích vi tích phân và mô phỏng mạng trên NS-2, tác giả đã xây dựng mô hình ước lượng thông lượng TCP với độ chính xác cao cho cả hai cơ chế báo nhận tức thời và báo nhận trễ, đồng thời phát triển thành công thuật toán thích ứng ngưỡng CPR và độ đo phân loại mới CIR nhằm bảo vệ tối đa thông lượng TCP và duy trì tính công bằng tài nguyên mạng. Các kết quả nghiên cứu đã được công bố trên các kỷ yếu hội thảo quốc tế (RIVF, SoICT) và tạp chí khoa học chuyên ngành, khẳng định giá trị học thuật và đóng góp thiết thực cho lĩnh vực an toàn mạng máy tính và truyền thông dữ liệu.
