Chương 1: Tổng quan e _ Về mặt kiến thức, chuyên ngành bản thân về hệ thống, chưa tiếp xúc nhiều về lập trình, đặc biệt là Python. Vì vậy, thuật toán mà luận văn đã đề xuất có thể chưa được tối ưu một cách tốt nhất. e Việc hạn chế không có thiết bị thực đề sử dụng, do đó, luận văn chỉ mô phỏng lại hạ tầng và hiện thực xem xét và so sánh các thuật toán máy học trong việc nhận diện các bất thường trong mạng khả lập trình, và thử nghiệm hệ thống trong môi trường ảo hóa dé kiểm chứng. 21 Chương 2: Các nghiên cứu và công nghệ liên quan Chương 2: CÁC NGHIÊN CỨU VÀ CÔNG NGHỆ LIÊN QUAN Trong chương này, sẽ trình bày một số nghiên cứu trong và ngoài nước liên quan.
Luận văn sẽ lựa chọn và trích dẫn các đặc điểm tối ưu dé đưa vào đề tài: “Phát hiện tấn công từ chối dịch vụ trong mạng khả lập trình”. Các nghiên cứu và xu hướng công nghệ liên quan 2. Machine Learning và Deep Learning Cac giai thuat ML phô biến như SVM, Decision Tree, Random Forest, CNN,. được sử dụng dé phân loại và nhận biết các lưu lượng mang bat thường do bi tan công DDoS.
Đây là loại mô hình đơn giản và hiệu quả, được sử dụng rộng rãi trên nhiều hạ tầng mạng. [2] LUCID là một mô hình ở dạng framework với mã nguồn mở, nhẹ và dễ dàng tích hợp được vào hệ thống. LUCID sử dụng mạng neural (CNN) trong môi trường có tài nguyên hạn chế dé phát hiện DDOS như: các hệ thống IoT hoặc các hạ tầng mạng nhỏ, tài nguyên ít,. Với cơ chế tiền xử lý linh hoạt, không phụ thuộc vào tập dữ liệu, tức là LUCID sẽ quan sát, thu thập luồng lưu lượng mạng trong khoảng thời gian, vì vậy hệ thống luôn được tối ưu với tốc độ phát hiện tan công nhanh và thời gian xử lý thấp.
[3] Một mô hình phát hiện tấn công bằng cách dự đoán xu hướng lưu lượng mạng đã được đề xuất bởi Li và các đồng nghiệp. Đề tài đã đưa ra phương pháp này bang cách trích xuất gói tin với mục đích thu thập thông tin gói tin như (IP đích, công đích, IP nguồn, cổng nguồn, lưu lượng, số lượng gói tin, giao thức và một số trường thông tin khác). Sau đó, đề tài đã xác định cuộc tan công bang cách kết hợp mô hình LSTM và mạng niềm tin sâu (Deep Belief Network). Sukhvinder Singh [4] đã đề xuất một framework tích hợp trực tiếp vào Controller, hoạt động với hai giai đoạn: Giai đoạn 1: được tạo thành từ ba giai đoạn nhỏ nhằm phát hiện tấn công, bao gồm: e_ Trích xuất đặc trưng của gói tin.
e Lựa chọn đặc trưng tối ưu: IU-ROA, một phiên bản cải tiễn của thuật toán ROA, được sử dụng nhằm tối ưu chọn lọc các đặc trưng từ tập dữ liệu. 22 Chương 2: Các nghiên cứu và công nghệ liên quan e Phân loại tan công: dé tài đã sử dụng DCNN để phân loại các kiểu tấn công sau khi tìm ra các đặc trưng phù hợp. Giai đoạn thứ hai là giảm thiểu tác động của cuộc tan công: hệ thống đã dùng một cơ chế phát hiện lời mời ở giai đoạn này, tức là, khi có dấu hiệu về hành vi hoặc một sự kiện bất thường ở một thiết bị bất kỳ trong hoặc bên ngoài mạng khả lập trình, các lời mời giả định sẽ được hệ thống đưa ra nhằm tìm kiếm kẻ tấn công. Với dữ liệu KDDCup99 làm đầu vào và mô hình đã ghi nhận kết quả dat tỷ lệ lên đến 90.06% trong việc giảm ảnh hưởng của tấn công và tổng hiệu suất phát hiện DDoS tăng đến 96%.
Entropy-Based Detection (EBD): EBD ding entropy dé tính toán lưu lượng mang. Thuật toán entropy được sử dụng để xác định ngưỡng entropy phù hợp nhất cho mạng khả lập trình trong môi trường nghiên cứu, từ đó, cho phép họ xác định các lưu lượng trong mạng SDN là bình thường hoặc không bình thường. Feinstein và các đồng sự [5] đã đề xuất sử dụng entropy dé xác định DDOS. Entropy sử dụng thông tin tại tiêu đề gói tin, chang hạn như nguôn IP, đích IP, TTL và các giá trị khác dé xác định sự ngẫu nhiên của luồng dữ liệu đang đến hạ tầng.
Thông thường, tan công DDOS, sẽ có nhiều gói tin yêu cầu truy cập hệ thống một cách liên tục, người tấn công thường sẽ ân dấu thông tin của họ bằng cách sinh ra các IP nguồn một cách ngẫu nhiên, vì vậy, trong trường tiêu đề của mỗi gói tin đi tới sẽ xuất hiện khác nhau. Entropy sẽ dựa vào các thông tin thay đổi này dé tính sự ngẫu nhiên. Ví dụ, trong một thời điểm cao nhất, hệ thong ghi nhận tới 500 gói tin liên tục, hệ thống sẽ tính toán và thu thập số lần xuất hiện của mỗi IP trong 500 gói tin này. Dựa vào số lần xuất hiện của mỗi IP trong 500 gói tin này thì hệ thống sẽ dự đoán có phải là luồng dữ liệu tấn công hay không? Ở thuật toán này, sẽ có một nhược điểm là, bắt buộc người quản tri cần phải tìm được thông số tính toán sự ngẫu nhiên của entropy phù hợp với hệ thống của mình: e Nếu dé ngưỡng Entropy càng lớn, thì việc tính toán của từng IP nguồn ngẫu nhiên càng cao, và có thể dẫn tới việc ngưỡng tấn công sẽ thấp hơn ngưỡng Entropy.
23 Chương 2: Các nghiên cứu và công nghệ liên quan e Néu đê ngưỡng Entropy càng thâp, thì việc phân phôi ngâu nhiên các IP nguồn nhỏ, có thê sẽ xuât hiện các cảnh báo tân công giả và ngăn chặn nhâm người dùng bình thường. = +> = NO EbISonautsPrecdpy = oOo œ [o>] +> Luéng dir liệu bình thường Luông dữ liệu tan công Luông dit liệu bình thường ————— Ngưỡng Entropy Hình 7: Tính toán độ ngẫu nhiên bang entropy dựa trên tần suất xuất hiện của IP nguôn Tewelde và các đồng sự [6] đã đưa ra một phương pháp ngăn chặn kỹ thuật tan công DDoS sớm trong mang SDN. Dé xác định tan công, giải pháp sử dung entropy và mô hình học sâu LSTM, bằng hai giai đoạn: e Đầu tiên, dùng entropy dé đo độ nhiễu loạn của gói tin dữ liệu trong mạng, việc đo lường này dựa trên IP nguồn - IP dich của server bị tan công. Cách này, có thé xác định và theo dõi được luồng dữ liệu có thé bất thường trong giai đoạn đầu và đưa ra các tín hiệu báo động.
e Sau khi biết được lưu lượng tiềm an bất thường ở giai đoạn entropy, bằng cách so sánh các tương quan về thời gian gian so với tập dữ liệu ban đầu, hệ thống sẽ tính toán entropy bằng học sâu LSTM dé xác định luéng tan công. 24 Chương 2: Các nghiên cứu và công nghệ liên quan 2. Flow-based Detection (FBD): Flow-based là kỹ thuật dựa trên lưu lượng mang dé phan tich nhằm xác định tan công. Muhammad Fahad Umer [7] đã giới thiệu về kỹ thuật: Phát hiện hành vi xâm nhập bất thường dựa trên luồng lưu lượng mạng.
Đối với các hình thức phát hiện thông thường, bắt buộc hệ thống phải phân tích thông tin luồng lưu lương hoặc từng gói tin, do đó, sẽ làm tăng tải cho hệ thông hoạt động dé phân tích, nhưng điều này cũng sẽ gặp khó khăn, vì nếu gói tin có sử dụng SSL (gói tin đã bị mã hóa), vì vậy việc phân tích sẽ không được chính xác. Đề xác định xâm nhập trong luỗng lưu lượng, hệ thống không can quá nhiều tài nguyên xử lý, kiểm tra và phân tích, vì hệ thống chỉ cần thực hiện đếm số lượng gói tin hoặc dung lượng một luồng lưu lượng trong một điểm thời gian quy định. Giải thuật chia ra làm ba bước: e Tổng hợp luồng lưu lượng trong một khoảng thời gian xác định. e Sử dụng entropy dé đo lường sự ngẫu nhiên, nếu một luồng dữ liệu là bình thường thì entropy sẽ hoạt động giao động ồn định, không đôi, ngược lại, khi phát hiện một luồng tan công, thi entropy tăng ngưỡng một cách bat thường.
Connections Source IP Address Destination IP Address Protocol Flow Count Cc 192.64 ICMP 204 Hình 8: Thực hiện thống kê lay mau e Sử dụng các thuật toán xác định ngưỡng thích hop dé tối ưu về việc xác định khoảng thời gian. Như vậy, cũng giống như EBD, Flow-base cũng dựa vào ngưỡng đề xác định tấn công, giá tri ngưỡng cần phải xét theo điều kiện của từng loại hạ tầng, dịch vụ mà hệ thống đang hoạt động. 25 Chương 2: Các nghiên cứu và công nghệ liên quan Kun Jia và các đồng sự [8] đã đề xuất FORT (Flow-based Online Real-time), Bằng cách tích hợp với Controller SDN, FORT có thể phát hiện tan công DDOS với hai giai đoạn: e Dau tiên, hệ thống sẽ trích xuất trường tiêu đề của gói tin (Header fields extraction) bao gồm các thuộc tính như: IP, cổng, giao thức và các thông số khác của gói tin. e Giai đoạn tiếp theo có tên là: tính toán giá tri tin cậy (Trust value calculation).
Sau khi có đủ thông tin trường tiêu đề từ các switch, FORT sử dụng thuật toán ARIMA (AutoRegressive Integrated Moving Average) dé thong kê về các IP, port và lưu lượng mang. Từ các kết quả thống kê trên một khoảng thời gian, FORT sẽ có giá tri tin cậy cho từng người dùng trong mang. Sau hai giai đoạn trên, FORT chia người dùng thành hai loại chính bằng giải thuật SVM: người dùng có tiềm ân tấn công và người dùng bình thường. Thực nghiệm FORT cho thây phương pháp này không ảnh hưởng nhiều đến tài nguyên của Controller và hoạt động hiệu quả.
Tỷ lệ báo động sai của FORT rất thấp, chỉ 0,039%, và tỉ lệ phát hiện chính xác tới 99. Hoạt động như một IDS va IPS: Một số nghiên cứu về hệ thống có thê hoạt động độc lập như IDS/IPS, những nghiên cứu này có thê sẽ là một trong những xu hướng về mặt ATTT ở tương lai. JESÚS ARTURO và các đồng sự [9] đã đưa ra một kiến trúc linh hoạt bao gồm các module nhằm nhận diện và giảm tác hại của các cuộc tan công DDoS tốc độ thấp (LR-DDoS). Đề tài sử dụng mô hình ML như: J48, RF va SVM và tập dữ liệu DoS từ CIC.
Tác giả đã sử dụng Onos Controller và Mininet dé tạo ra môi trường thực nghiệm. Ngoài ra, họ đã sử dụng và tích hợp các module được đề xuất trong đề tài vào hệ thống, hoạt động như một hệ thống phát hiện tan công (IDS). Việc thực nghiệm mô hình đã đề xuất cho thấy kết quả: các cuộc tan công LR-DDoS có tỷ lệ phát hiện 95%, đây là một sự tiễn bộ lớn trong kỹ thuật chống tấn công khó nhận biết nhất.