## Tổng quan nghiên cứu

Trong bối cảnh phát triển nhanh chóng của ngành Công nghệ Thông tin và Internet, các cuộc tấn công mạng ngày càng gia tăng về số lượng và mức độ tinh vi, đặc biệt là các cuộc tấn công từ chối dịch vụ phân tán (DDoS). Theo thống kê, năm 2021 tại Việt Nam đã ghi nhận khoảng 7.900 cuộc tấn công DDoS, năm 2022 con số này tăng lên hơn 41 triệu, đưa Việt Nam vào vị trí thứ 49 thế giới về số vụ tấn công mạng. Tính đến tháng 12/2023, Việt Nam đứng thứ 2 thế giới về số vụ tấn công DDoS với hơn 13.900 vụ, trong đó các cơ quan nhà nước và chính phủ bị tấn công liên tục hơn 48.600 lần. Tình trạng này gây ảnh hưởng nghiêm trọng đến hoạt động kinh doanh và an toàn thông tin của các tổ chức.

Luận văn tập trung nghiên cứu phát hiện và giảm thiểu tấn công từ chối dịch vụ trong mạng khả lập trình (SDN) sử dụng giao thức OpenFlow. Mục tiêu cụ thể là xây dựng một module tích hợp vào Controller của mạng SDN, có khả năng phát hiện nhanh các lưu lượng bất thường dựa trên kỹ thuật thống kê kết hợp học máy, đồng thời tự động giảm thiểu các cuộc tấn công nhằm bảo vệ hạ tầng mạng. Nghiên cứu được thực hiện trong phạm vi mô phỏng mạng SDN với dữ liệu thực nghiệm từ tập dữ liệu CICDDOS2019, nhằm đảm bảo tính khả thi và hiệu quả của giải pháp trong môi trường mạng hiện đại.

Việc phát triển giải pháp này không chỉ giúp nâng cao hiệu quả phòng chống tấn công DDoS mà còn góp phần tối ưu hóa quản lý hạ tầng mạng, giảm thiểu chi phí vận hành và tăng cường an toàn thông tin cho các doanh nghiệp và tổ chức tại Việt Nam.

## Cơ sở lý thuyết và phương pháp nghiên cứu

### Khung lý thuyết áp dụng

Luận văn dựa trên các lý thuyết và mô hình sau:

- **Mạng khả lập trình (Software Defined Networking - SDN):** Kiến trúc mạng phân tách mặt phẳng điều khiển và mặt phẳng dữ liệu, cho phép quản lý tập trung và linh hoạt qua thiết bị Controller. SDN giúp tối ưu hóa quản trị mạng và dễ dàng tích hợp các dịch vụ bảo mật.

- **Giao thức OpenFlow:** Giao thức phổ biến trong SDN, cho phép Controller điều khiển các thiết bị chuyển mạch bằng cách quản lý các bảng luồng (Flow Table) và các mục luồng (Flow Entry). OpenFlow hỗ trợ thu thập thông tin lưu lượng và áp dụng chính sách xử lý gói tin.

- **Kỹ thuật học máy (Machine Learning):** Sử dụng các thuật toán như Cây quyết định (Decision Tree), Rừng ngẫu nhiên (Random Forest), K láng giềng gần nhất (KNN), và Máy vectơ hỗ trợ (SVM) để phân loại và dự đoán lưu lượng mạng bất thường, từ đó phát hiện tấn công DDoS.

- **Phương pháp thống kê:** Áp dụng thống kê lưu lượng mạng dựa trên các tham số như số lượng IP nguồn, số lượng gói tin, dung lượng dữ liệu, và số lượng mục luồng trong khoảng thời gian cố định để phát hiện các dấu hiệu tấn công.

- **Entropy-Based Detection (EBD):** Sử dụng entropy để đo độ ngẫu nhiên của lưu lượng mạng, giúp xác định các luồng dữ liệu bất thường do tấn công DDoS gây ra.

### Phương pháp nghiên cứu

- **Nguồn dữ liệu:** Sử dụng tập dữ liệu CICDDOS2019, một bộ dữ liệu chuẩn trong nghiên cứu phát hiện tấn công DDoS, chứa các mẫu lưu lượng mạng bình thường và bất thường.

- **Phương pháp phân tích:** Kết hợp kỹ thuật thống kê lưu lượng mạng với các thuật toán học máy để xây dựng module phát hiện tấn công. Các đặc trưng của gói tin như IP nguồn, IP đích, cổng nguồn, cổng đích, số lượng gói tin và dung lượng được trích xuất từ các Flow Entry của thiết bị OpenFlow Switch.

- **Mô phỏng và triển khai:** Mô phỏng mạng SDN sử dụng phần mềm Mininet và Ryu Controller trên môi trường ảo hóa VMware Workstation. Module phát hiện và giảm thiểu tấn công được tích hợp trực tiếp vào Controller.

- **Timeline nghiên cứu:** Quá trình nghiên cứu kéo dài trong năm 2023, bao gồm giai đoạn thu thập và phân tích dữ liệu, thiết kế và triển khai hệ thống, thực nghiệm và đánh giá hiệu quả giải pháp.

## Kết quả nghiên cứu và thảo luận

### Những phát hiện chính

1. **Hiệu quả phát hiện tấn công:** Module phát hiện kết hợp thống kê và học máy đạt độ chính xác lên đến 99,82% trong việc phân loại lưu lượng tấn công và lưu lượng bình thường, vượt trội so với các phương pháp truyền thống.

2. **Tốc độ phản ứng:** Hệ thống có khả năng phát hiện và giảm thiểu tấn công trong khoảng thời gian từ 20 đến 30 giây, giúp giảm thiểu thiệt hại do tấn công gây ra.

3. **Tối ưu tài nguyên:** Việc tích hợp module trực tiếp vào Controller không làm tăng đáng kể tải tài nguyên hệ thống, với cấu hình 4vCPU và 4GB RAM, hệ thống có thể hoạt động ổn định trong suốt thời gian chịu tải tấn công lên đến 3600 giây.

4. **Khả năng phát hiện tấn công giả mạo IP:** Hệ thống có thể xác định chính xác thiết bị phát tấn công ngay cả khi kẻ tấn công sử dụng kỹ thuật giả mạo IP nguồn, nhờ vào việc phân tích các bảng luồng và mục luồng trong OpenFlow.

### Thảo luận kết quả

Kết quả thực nghiệm cho thấy sự kết hợp giữa kỹ thuật thống kê và học máy trong môi trường mạng khả lập trình là giải pháp hiệu quả để phát hiện và giảm thiểu tấn công DDoS. So với các nghiên cứu trước đây, giải pháp này không chỉ đạt độ chính xác cao mà còn có khả năng phản ứng nhanh, phù hợp với yêu cầu thực tế của các hệ thống mạng hiện đại.

Việc sử dụng giao thức OpenFlow giúp tận dụng tối đa tài nguyên mạng hiện có mà không cần bổ sung thiết bị phần cứng mới, giảm chi phí triển khai. Các thuật toán học máy như Random Forest và SVM cho thấy sự cân bằng tốt giữa độ chính xác và tốc độ xử lý, trong khi các thuật toán đơn giản hơn như Decision Tree và KNN cũng đạt hiệu quả đáng kể.

Dữ liệu có thể được trình bày qua biểu đồ thể hiện lưu lượng mạng theo thời gian, biểu đồ so sánh độ chính xác và thời gian xử lý của các thuật toán, cũng như bảng tổng hợp các chỉ số tài nguyên sử dụng trong quá trình thực nghiệm.

## Đề xuất và khuyến nghị

1. **Triển khai module phát hiện và giảm thiểu tấn công tích hợp trực tiếp vào Controller:** Giúp tự động hóa quá trình giám sát và phản ứng với các cuộc tấn công, giảm thiểu thời gian phát hiện và xử lý.

2. **Áp dụng kỹ thuật học máy kết hợp thống kê lưu lượng:** Nâng cao độ chính xác trong việc phân loại lưu lượng bất thường, giảm tỷ lệ cảnh báo giả, đảm bảo hoạt động ổn định của hệ thống.

3. **Tăng cường đào tạo và nâng cao nhận thức cho đội ngũ quản trị mạng:** Giúp họ hiểu rõ các dấu hiệu tấn công và cách sử dụng công cụ phát hiện hiệu quả, đồng thời cập nhật kiến thức về các kỹ thuật tấn công mới.

4. **Mở rộng nghiên cứu và thử nghiệm trên môi trường thực tế:** Để đánh giá hiệu quả giải pháp trong các hệ thống mạng quy mô lớn và đa dạng, từ đó điều chỉnh và tối ưu thuật toán phù hợp.

5. **Đầu tư nâng cấp hạ tầng mạng khả lập trình:** Tăng cường khả năng mở rộng và tích hợp các dịch vụ bảo mật, đồng thời đảm bảo tính tương thích và hiệu suất cao trong quá trình vận hành.

## Đối tượng nên tham khảo luận văn

1. **Chuyên gia và kỹ sư an toàn thông tin:** Có thể áp dụng các phương pháp và giải pháp đề xuất để nâng cao khả năng phòng chống tấn công DDoS trong hệ thống mạng doanh nghiệp.

2. **Nhà quản lý CNTT và vận hành mạng:** Hiểu rõ về kiến trúc mạng khả lập trình và các công nghệ phát hiện tấn công hiện đại, từ đó đưa ra các quyết định đầu tư và triển khai phù hợp.

3. **Nhà nghiên cứu và sinh viên ngành Công nghệ Thông tin:** Tham khảo các phương pháp học máy kết hợp thống kê trong phát hiện tấn công mạng, cũng như mô hình triển khai mạng SDN thực tế.

4. **Doanh nghiệp cung cấp dịch vụ mạng và trung tâm dữ liệu:** Áp dụng giải pháp để bảo vệ hạ tầng mạng, đảm bảo tính sẵn sàng và an toàn dịch vụ cho khách hàng.

## Câu hỏi thường gặp

1. **Giải pháp phát hiện tấn công DDoS trong luận văn có phù hợp với mạng truyền thống không?**  
Giải pháp được thiết kế dành riêng cho mạng khả lập trình (SDN) sử dụng giao thức OpenFlow, do đó không thể áp dụng trực tiếp cho mạng truyền thống mà không có kiến trúc SDN.

2. **Thời gian phát hiện và phản ứng tấn công là bao lâu?**  
Hệ thống có thể phát hiện và giảm thiểu tấn công trong khoảng 20-30 giây, giúp giảm thiểu thiệt hại và duy trì hoạt động mạng ổn định.

3. **Các thuật toán học máy nào được sử dụng và ưu nhược điểm của chúng?**  
Các thuật toán như Random Forest và SVM cho độ chính xác cao và tốc độ xử lý nhanh, trong khi Decision Tree và KNN đơn giản hơn nhưng có thể phù hợp với các hệ thống có tài nguyên hạn chế.

4. **Giải pháp có thể phát hiện tấn công giả mạo IP không?**  
Có, nhờ vào việc phân tích các bảng luồng và mục luồng trong OpenFlow, hệ thống có thể xác định chính xác thiết bị phát tấn công ngay cả khi IP nguồn bị giả mạo.

5. **Có thể áp dụng giải pháp này cho các hệ thống IoT hay không?**  
Giải pháp có thể được điều chỉnh để phù hợp với các hệ thống IoT nhỏ sử dụng SDN, tuy nhiên cần cân nhắc về tài nguyên và khả năng xử lý của thiết bị.

## Kết luận

- Đã xây dựng thành công module phát hiện và giảm thiểu tấn công DDoS tích hợp trực tiếp vào Controller mạng khả lập trình với độ chính xác 99,82%.  
- Giải pháp kết hợp hiệu quả kỹ thuật thống kê và học máy, phản ứng nhanh trong vòng 20-30 giây.  
- Mô hình triển khai trên môi trường ảo hóa Mininet và Ryu Controller cho thấy khả năng vận hành ổn định với tài nguyên hợp lý.  
- Hệ thống có khả năng phát hiện tấn công giả mạo IP và tự động ngăn chặn lưu lượng nguy hiểm.  
- Đề xuất mở rộng nghiên cứu và triển khai thực tế để nâng cao hiệu quả và ứng dụng rộng rãi trong các hệ thống mạng hiện đại.

**Hành động tiếp theo:** Đăng ký tư vấn và triển khai giải pháp phòng chống tấn công DDoS dựa trên mạng khả lập trình để bảo vệ hạ tầng mạng doanh nghiệp một cách chủ động và hiệu quả.