Tổng quan luận án
Tính cấp thiết và khoảng trống nghiên cứu
Trong bối cảnh mạng máy tính phát triển nhanh về quy mô kết nối, dịch vụ và lưu lượng dữ liệu, bảo đảm an ninh mạng trở thành yêu cầu thiết yếu. Tường lửa là thiết bị kiểm soát truy cập đặt tại điểm kết nối giữa mạng cần bảo vệ và mạng bên ngoài, thực hiện kiểm tra lưu lượng theo hai chiều dựa trên chính sách an ninh. Sự hiện diện của tường lửa mang lại hai tác động trái ngược:
- Tác động tích cực: Duy trì an toàn hệ thống bằng cách kiểm soát tính hợp pháp của các gói tin đi qua.
- Tác động tiêu cực: Làm suy giảm tốc độ trao đổi thông tin do độ trễ trong quá trình xử lý kiểm tra.
Quá trình phân loại gói tin trên tường lửa hiện đại thường gồm hai pha: Pha 1 (phân loại với bảng trạng thái kết nối - xử lý nhanh bằng bảng băm) và Pha 2 (phân loại với tập luật - xử lý chậm hơn khi gói tin không khớp các kết nối hiện hành). Khi lưu lượng gói tin chưa có trong bảng trạng thái tăng cao hoặc khi xảy ra tấn công từ chối dịch vụ (DoS) nhắm vào luật mặc định, thời gian phân loại ở Pha 2 trở thành điểm nghẽn làm giảm hiệu năng toàn hệ thống.
Các công trình nghiên cứu trước đây thường tập trung giải quyết đơn lẻ từng khía cạnh: tối ưu phần cứng (FPGA, ASIC, GPU, Network Processor) hoặc cải tiến thuật toán phần mềm cho một cấu trúc dữ liệu cụ thể. Khoảng trống nghiên cứu được xác định là thiếu một giải pháp tổng thể trong lĩnh vực phần mềm kết hợp đồng bộ từ khâu tiền xử lý (tối ưu hóa tập luật, loại sớm gói tin bất hợp pháp) đến cải tiến thuật toán phân loại trong pha xử lý chính nhằm nâng cao thông lượng của tường lửa.
Mục tiêu nghiên cứu
Mục tiêu tổng quát của luận án được xác định gồm:
- Đề xuất thuật toán và cấu trúc dữ liệu mới trong phân loại gói tin trên một trường nhằm tối ưu hóa thời gian tìm kiếm tiền tố khớp dài nhất.
- Đề xuất kỹ thuật loại sớm gói tin dựa trên việc kết hợp nhiều trường để giảm thiểu thời gian xử lý trung bình và ngăn chặn tấn công DoS vào luật mặc định.
- Đề xuất cấu trúc dữ liệu và thuật toán phát hiện, xử lý xung đột trong tập luật tường lửa nhiều chiều nhằm loại bỏ các điểm bất thường và giảm chi phí lưu trữ.
Đối tượng và phạm vi nghiên cứu
- Đối tượng nghiên cứu: Các cấu trúc dữ liệu lưu trữ tập luật phân loại; thuật toán phân loại gói tin dựa trên cấu trúc dữ liệu đó; các kỹ thuật tối thiểu hóa thời gian phân loại trung bình cho mỗi gói tin trên tường lửa.
- Phạm vi nghiên cứu: Luận án tập trung vào các giải pháp phần mềm, cụ thể là phân loại gói tin tại Pha 2 (phân loại với tập luật) và tối ưu hóa chính sách an ninh (phát hiện xung đột luật nhiều chiều, kỹ thuật loại sớm gói tin). Không đi sâu vào thiết kế vi mạch phần cứng chuyên dụng hoặc phân loại nội dung tầng ứng dụng.
Tổng quan tài liệu và vị trí của luận án
Các hướng nghiên cứu trước đây
Tác giả hệ thống hóa các hướng nghiên cứu nâng cao hiệu năng tường lửa theo hai nhóm chính:
1. Hướng nghiên cứu phần cứng
- Công nghệ FPGA: Được nghiên cứu trong các công trình của Braun và cộng sự [6], Taylor và cộng sự [72], Ho và cộng sự [31], Jiang và cộng sự [34]. Ưu điểm là khả năng xử lý song song và tốc độ cao, nhưng gặp giới hạn về tài nguyên khi mở rộng kích thước tập luật.
- Công nghệ ASIC: Nghiên cứu của Dharmapurikar và cộng sự [16], Liu và cộng sự [41], Song và cộng sự [74]. Đạt thông lượng lớn (Gbps đến Tbps) nhưng chi phí phát triển cao và không thể lập trình lại.
- Tận dụng năng lực tính toán GPU: Các công trình của Vasiliadis và cộng sự [77], [78], Kang và cộng sự [36], [37]. Xử lý song song tốt nhưng gặp trở ngại do độ trễ khi gom cụm gói tin và thiếu chuẩn kiến trúc chung giữa các hãng sản xuất.
- Bộ xử lý mạng chuyên dụng (Network Processor - NP): Các nghiên cứu của Begchi và cộng sự [4], Chao và cộng sự [11], Johnson và cộng sự [32].
- Kỹ thuật xử lý song song: Cân bằng tải phân tán nhiều tường lửa [35], [49] hoặc xử lý song song luồng [21], [26].
2. Hướng nghiên cứu phần mềm
- Phân loại gói tin theo từng trường độc lập: BitVector (BV) [38], Aggregated Bit Vector (ABV) [14], Aggregated and Folded Bit Vector (AFBV) [40], Recursive Flow Classification (RFC) [54], Enhanced RFC (ERFC) [23], Distributed Cross producing of Field Labels (DCFL) [17], Hierarchical Space Mapping (HSM) [77].
- Phân loại gói tin theo mối tương quan giữa các trường:
- Cấu trúc cây phân cấp: Hierarchical Tries (H-Tries) [25], Set Pruning Tries (SP-Tries) [25], Grid of Tries (GoT) [62], Extended Grid of Tries (EGT) [15], Hierarchical Set-pruning Binary Search Tree (HSP-BST) [1].
- Kiểm tra theo bit: Modular [75], BitCuts [80].
- Cây quyết định: Hierarchical Intelligent Cuts (HiCuts) [55], HyperCuts [78], EffiCuts [13], Boundary Cutting [42].
- Kỹ thuật loại sớm gói tin: Field Value Set Cover (FVSC) [28] (tính toán bộ phủ là bài toán NP-khó), BDD Based Relaxed Policy [9] (chi phí dựng Binary Decision Diagram lớn), Self-Adjusting Binary Search on Prefix Length (SA-BSPL) [51] và SSF-BSPL [65] (sinh nhiều tiền tố trung gian trong bảng băm).
- Phát hiện và xử lý xung đột tập luật:
- Tập luật hai chiều: Eppstein và Muthukrishnan [19], Baboescu và Varghese [3], Hari và cộng sự [29], Lu và Sahni [44], [45].
- Tập luật nhiều chiều: FIREMAN [79] (chỉ kiểm tra các luật phía trước), FAME [30] (phân mảnh không gian luật nhưng thiếu thuật toán tính biên cụ thể), FAT (Firewall Anomaly Trie) [2] (phân tách element từng byte, phức tạp và tốn bộ nhớ, khó áp dụng cho trường dạng khoảng giá trị).
Khoảng trống luận án lựa chọn giải quyết
Luận án tập trung giải quyết ba điểm nghẽn chính mà các công trình trước chưa xử lý trọn vẹn:
- Giảm số thao tác truy cập bộ nhớ và khắc phục tình trạng quay lui trong tìm kiếm tiền tố dài nhất trên một trường mà không làm bùng nổ kích thước bộ nhớ lưu trữ.
- Thiết lập cơ chế kết hợp trường (phép COM và phép XOR) để giảm số chiều kiểm tra trong kỹ thuật loại sớm gói tin, giảm độ phức tạp tính toán so với các phương pháp dựa trên biểu đồ BDD hoặc phủ tập giá trị FVSC.
- Xây dựng cấu trúc cây phát hiện xung đột tập luật nhiều chiều (CDT) hỗ trợ cả dạng tiền tố lẫn khoảng giá trị, khắc phục nhược điểm chia nhỏ byte của cây FAT.
Cơ sở lý thuyết và phương pháp nghiên cứu
Cơ sở lý thuyết và khung phân tích
- Biểu diễn tập luật phân loại: Mỗi luật $R$ gồm bộ ba $(F, A, \text{priority})$, trong đó $F = (f_1, f_2, \dots, f_d)$ là bộ lọc gồm $d$ trường (IP nguồn, IP đích, cổng nguồn, cổng đích, giao thức), $A$ là hành động ($\text{Accept}$ hoặc $\text{Deny}$), và thứ tự ưu tiên.
- Biểu diễn trường: Dạng khoảng $[a, b]$ hoặc dạng cặp địa chỉ/mặt nạ $a/m$ (biểu diễn dạng tiền tố $P$ độ dài $W$ bit).
- Độ đo Entropy: Sử dụng công thức entropy Shanon để xác định độ phân tán của các khối bit:
$$H(X) = - \sum P(x_i) \log_2 P(x_i)$$
- Quan hệ không gian luật: Luận án chuẩn hóa 4 quan hệ không gian giữa hai luật $R_i$ và $R_j$:
- Quan hệ tách biệt ($\Re_D$): Không gian hai luật không giao nhau.
- Quan hệ trùng khớp ($\Re_{EM}$): Không gian hai luật hoàn toàn trùng nhau.
- Quan hệ chứa nhau ($\Re_{IM}$): Không gian luật này nằm trọn trong không gian luật kia.
- Quan hệ giao nhau ($\Re_C$): Không gian hai luật giao nhau một phần.
- Độ chi tiết trường: Ký hiệu $|f_n|$ thể hiện độ dài hoặc kích thước bao phủ của trường $f_n$.
Phương pháp nghiên cứu
Luận án sử dụng phương pháp kết hợp giữa nghiên cứu lý thuyết toán học và mô phỏng thực nghiệm:
- Phương pháp lý thuyết: Sử dụng các công cụ toán học rời rạc, lý thuyết đồ thị và cấu trúc dữ liệu để xây dựng định nghĩa, bổ đề và định lý chứng minh tính đúng đắn của thuật toán phân loại và thuật toán phát hiện xung đột.
- Phương pháp thực nghiệm: Cài đặt mô phỏng các cấu trúc đề xuất và đối chứng trên môi trường phần mềm với các bộ dữ liệu luật chuẩn (synthetic rulesets và tập luật thực tế), đo lường các chỉ số: thời gian phân loại, thời gian xây dựng cấu trúc, dung lượng bộ nhớ sử dụng, số lượng nút và tỷ lệ phát hiện xung đột.
Nguồn tư liệu và dữ liệu
- Bộ tiêu chuẩn đo lường hiệu năng tường lửa RFC-3511 (Methodology for Firewall Performance).
- Dữ liệu tập luật phân loại mẫu được sinh tự động theo phân bố chuẩn của công cụ ClassBench và các bộ dữ liệu ACL thực tế.
- Các cấu trúc dữ liệu đối chuẩn: Priority Trie (PT), JA-trie, Multi-Bit Trie (MT), FAT, FVSC, SA-BSPL, HiCuts.
Nội dung chính theo từng chương
Chương 1. Tổng quan về phân loại gói tin trên tường lửa
Chương này tổng kết lịch sử phát triển của công nghệ tường lửa từ các danh sách kiểm soát truy cập (ACL) cuối những năm 1980, tường lửa thương mại đầu tiên DEC SEAL (1992), kiểm tra trạng thái gói tin của Check Point (1994), đến tường lửa ứng dụng (1999), UTM và NGFW.
Chương 1 làm rõ mối quan hệ giữa thông lượng IP và tốc độ phân loại gói tin theo chuẩn RFC-3511. Để đáp ứng thông lượng đường truyền với kích thước gói tin nhỏ nhất (40 byte của gói TCP), tốc độ phân loại đòi hỏi sự gia tăng tương ứng:
| Thông lượng đường truyền |
Số gói tin cần phân loại mỗi giây |
| 1 Mbps |
3.000 gói/s |
| 10 Mbps |
30.000 gói/s |
| 100 Mbps |
300.000 gói/s |
| 1 Gbps |
3.000.000 gói/s |
| 10 Gbps |
30.000.000 gói/s |
| 100 Gbps (OC-1920) |
300.000.000 gói/s (3,2 ns/gói) |
Tác giả phân tích hai pha phân loại của tường lửa (Pha 1: bảng trạng thái; Pha 2: tập luật) và xác định trọng tâm nghiên cứu vào Pha 2. Đồng thời, chương này chỉ ra nguy cơ tấn công DoS vào luật mặc định khi kẻ tấn công liên tục gửi gói tin không hợp lệ để ép tường lửa duyệt hết toàn bộ danh sách luật. Từ đó, tác giả phân chia mô hình cải tiến thành hai giai đoạn: cải tiến tiền xử lý (tối ưu tập luật, loại sớm gói tin) và cải tiến thuật toán phân loại.
+-----------------------------------------------------------------------------+
| CÁC HƯỚNG CẢI TIẾN TRONG LUẬN ÁN |
+-----------------------------------------------------------------------------+
| 1. Tiền xử lý tập luật: |
| - Phát hiện và xử lý xung đột luật (Cấu trúc cây CDT - Chương 4) |
| 2. Tiền xử lý gói tin: |
| - Kỹ thuật loại sớm gói tin dựa trên COM và XOR (Chương 3) |
| 3. Quá trình phân loại chính: |
| - Cải tiến thuật toán phân loại trên Cây ưu tiên đa nhánh MWP (Chương 2) |
+-----------------------------------------------------------------------------+
Chương 2. Thuật toán phân loại gói tin trên tường lửa
Chương 2 tập trung vào bài toán phân loại gói tin trên một trường (địa chỉ IP nguồn hoặc IP đích) để tìm tiền tố khớp dài nhất (BMP - Best Matching Prefix). Tác giả phân tích hạn chế của Cây ưu tiên nhị phân (Priority Trie - PT) do mất cân bằng và dư thừa thao tác duyệt, cũng như Cây JA-trie do chỉ hỗ trợ độ dài tiền tố là bội số của bước nhảy $k$.
Tác giả đề xuất cấu trúc Cây ưu tiên đa nhánh (Multi-Way Priority Trie - MWP):
- Nguyên lý tổ chức: Tiền tố có độ dài lớn hơn được lưu ở các nút mức trên; tiền tố tại nút cha có độ dài lớn hơn hoặc bằng tiền tố tại các nút con.
- Quy tắc rẽ nhánh: Mỗi nút gồm nhiều nhánh con. Nhánh con thứ $i$ chứa các tiền tố có $i$ bit đầu tiên trùng khớp với $i$ bit đầu tiên của tiền tố tại nút cha. Cách rẽ nhánh này phân cụm các tiền tố có tiền tố chung, giúp thu hẹp không gian tìm kiếm sau mỗi bước di chuyển mà không cần quay lui.
- Đặc tính tìm kiếm: Quá trình duyệt kết thúc ngay khi tìm thấy tiền tố khớp tại một nút ưu tiên mà không cần duyệt sâu xuống các mức dưới.
| Cấu trúc dữ liệu |
Độ phức tạp thời gian tìm kiếm |
Độ phức tạp không gian bộ nhớ |
Khả năng xử lý tiền tố tùy ý |
| Cây nhị phân ưu tiên (PT) |
$O(W)$ |
$O(N \cdot W)$ |
Có |
| Cây đa bít (JA-trie) |
$O(W/k)$ |
Phụ thuộc phân bố Entropy |
Hạn chế (bội số của $k$) |
| Cây ưu tiên đa nhánh (MWP) |
$O(\log N)$ trung bình |
Tối ưu hóa nhờ gộp nhánh |
Toàn diện (mọi độ dài bit) |
Kết quả thực nghiệm chứng minh cây MWP giảm đáng kể thời gian phân loại so với PT và JA-trie trên các tập dữ liệu có kích thước từ 1.000 đến 10.000 luật, đồng thời duy trì dung lượng bộ nhớ ở mức thấp.
Chương 3. Loại sớm gói tin trên tường lửa
Chương 3 đề xuất cơ chế phòng vệ chống tấn công DoS vào luật mặc định bằng cách đặt một module loại sớm gói tin phía trước module phân loại nguyên thủy. Module này sử dụng các trường kết hợp nhằm giảm số chiều kiểm tra của mỗi gói tin.
Hai kỹ thuật kết hợp trường được đề xuất:
- Phép kết hợp COM trên hai trường ($f_{COM}$): Ghép các bit tương ứng từ hai trường dữ liệu (ví dụ IP nguồn và IP đích) để tạo thành một chuỗi tiền tố kết hợp duy nhất. Tập luật loại sớm được sinh ra từ các luật cho phép ($\text{Accept}$) của tập luật gốc. Gói tin không khớp với bất kỳ tiền tố nào trong tập luật loại sớm sẽ bị loại bỏ ngay lập tức.
- Phép kết hợp XOR trên nhiều trường ($f_{XOR}$): Áp dụng phép toán XOR bit giữa các trường phân loại để thu gọn nhiều chiều thành một trường đại diện $f_{XOR}$. Kỹ thuật này cho phép chuyển đổi tập luật đa chiều thành tập khoảng giá trị một chiều.
Quy trình xử lý của module loại sớm:
[Gói tin đến]
(Khớp tập Accept)
Kết quả thử nghiệm so sánh với kỹ thuật FVSC và SA-BSPL:
- Kỹ thuật $f_{COM}$ và $f_{XOR}$ loại bỏ chính xác các gói tin không hợp lệ trước khi vào bộ phân loại chính.
- Thời gian khởi tạo tập luật loại sớm nhanh hơn đáng kể so với phương pháp xấp xỉ tập phủ FVSC (vốn là bài toán NP-khó).
- Không làm phát sinh các tiền tố trung gian dư thừa trong bộ nhớ như cấu trúc bảng băm của SA-BSPL.
Chương 4. Phát hiện và xử lý xung đột trong tập luật tường lửa
Chương 4 nghiên cứu các quan hệ bất thường trong tập luật tường lửa nhiều chiều. Khi tập luật có kích thước lớn, các xung đột như dư thừa (redundancy), che khuất (shadowing), khái quát hóa (generalization) và tương quan (correlation) xuất hiện, dẫn đến lỗ hổng an ninh hoặc lãng phí tài nguyên xử lý.
Tác giả chỉ ra hạn chế của cây FAT (Firewall Anomaly Trie) khi phân tách mỗi trường thành các element 1-byte, dẫn đến số lượng nút bùng nổ và không xử lý tốt các trường dạng khoảng giá trị (như Port).
Luận án đề xuất cấu trúc Cây phát hiện xung đột (Conflict Detect Trie - CDT):
- Cấu trúc nút: Mỗi nút trên cây CDT biểu diễn một trường hoàn chỉnh của luật, lưu trữ trực tiếp giá trị tiền tố hoặc khoảng giá trị cùng với độ chi tiết $|f_n|$.
- Thuật toán phát hiện xung đột: Khi chèn một luật mới $R_{new}$ vào cây CDT, thuật toán so sánh không gian của $R_{new}$ với các đường dẫn luật hiện có trên cây theo 4 mối quan hệ không gian ($\Re_D, \Re_{EM}, \Re_{IM}, \Re_C$). Quá trình so sánh thực hiện phân cấp từ trường $f_1$ đến $f_d$.
| Tiêu chí đánh giá |
Cấu trúc cây FAT |
Cấu trúc cây CDT (Đề xuất) |
| Biểu diễn nút |
Tách theo từng byte đơn lẻ |
Lưu trữ trực tiếp toàn bộ trường |
| Hỗ trợ trường dạng khoảng |
Khó khăn, phải chuyển đổi phức tạp |
Hỗ trợ trực tiếp khoảng $[a, b]$ |
| Số lượng nút trên cây |
Lớn (do phân mảnh byte) |
Giảm từ 40% đến 60% so với FAT |
| Thời gian xây dựng cây |
Cao |
Giảm đáng kể nhờ giảm số nút duyệt |
| Thời gian phát hiện xung đột |
Chậm khi số luật tăng |
Nhanh hơn, độ phức tạp thao tác thấp |
| Dung lượng bộ nhớ |
Lớn |
Tiết kiệm bộ nhớ hơn FAT |
Kết quả và những đóng góp mới
Đóng góp về mặt lý luận và học thuật
- Xây dựng cấu trúc dữ liệu Cây ưu tiên đa nhánh MWP cho bài toán tìm kiếm tiền tố khớp dài nhất trên một trường. Đưa ra các định nghĩa, quy tắc rẽ nhánh theo số bit trùng nhau và chứng minh toán học về tính đúng đắn của việc dừng tìm kiếm tại nút ưu tiên.
- Đề xuất phương pháp luận giảm chiều dữ liệu trong phân loại gói tin thông qua hai phép kết hợp trường $f_{COM}$ và $f_{XOR}$, cung cấp cơ sở toán học để xây dựng tập luật loại sớm gói tin từ tập luật cho phép ($\text{Accept}$).
- Xây dựng cấu trúc Cây phát hiện xung đột CDT và hệ thống thuật toán xác định 4 mối quan hệ không gian luật ($\Re_D, \Re_{EM}, \Re_{IM}, \Re_C$) trên tập luật nhiều chiều, giải quyết hạn chế biểu diễn trường dạng khoảng mà các cấu trúc dạng trie trước đây gặp phải.
Đóng góp về mặt thực tiễn và ứng dụng
- Cung cấp giải pháp kỹ thuật nâng cao thông lượng cho tường lửa tại Pha 2 mà không đòi hỏi thay đổi phần cứng đắt tiền.
- Cung cấp cơ chế ngăn chặn hiệu quả các cuộc tấn công DoS nhắm vào luật mặc định của tường lửa bằng cách loại bỏ sớm lưu lượng độc hại ở khâu tiền xử lý.
- Cung cấp công cụ tự động phát hiện và xử lý xung đột trong chính sách an ninh mạng, giúp người quản trị tối ưu hóa tập luật, loại bỏ các luật dư thừa và khắc phục lỗ hổng an ninh do cấu hình sai.
Kiến nghị và giải pháp đề xuất
- Ứng dụng tích hợp cấu trúc MWP, module loại sớm gói tin và công cụ CDT vào các hệ điều hành mạng mã nguồn mở và hệ thống tường lửa chuyên dụng trong các cơ quan, đơn vị, đặc biệt là hệ thống mạng quân sự và cơ yếu.
- Sử dụng công cụ CDT định kỳ để rà quét, làm sạch tập luật an ninh trước khi nạp vào bộ nhớ hoạt động của thiết bị định tuyến và tường lửa.
Hạn chế và hướng nghiên cứu tiếp
Hạn chế của nghiên cứu
- Các thuật toán đề xuất chủ yếu tập trung vào phần mềm và kiểm nghiệm trên môi trường mô phỏng, chưa được thử nghiệm toàn diện trên các vi mạch phần cứng chuyên dụng (ASIC/FPGA) ở tốc độ hàng trăm Gbps thực tế.
- Kỹ thuật loại sớm gói tin phụ thuộc vào tỷ lệ phân bố của tập luật $\text{Accept}$; nếu tập luật $\text{Accept}$ quá lớn và bao phủ phần lớn không gian địa chỉ, hiệu quả lọc sớm của $f_{COM}$ và $f_{XOR}$ sẽ giảm.
- Thuật toán phân loại trên cây MWP hiện tại tối ưu cho phân loại đơn trường (IP nguồn hoặc IP đích), việc mở rộng trực tiếp cấu trúc MWP cho bài toán đa trường đồng thời vẫn cần các bước kết hợp kết quả.
Hướng nghiên cứu tiếp theo
- Nghiên cứu mở rộng cấu trúc cây MWP để phân loại gói tin trực tiếp trên nhiều trường dữ liệu cùng lúc.
- Tích hợp và thử nghiệm các cấu trúc MWP, CDT và kỹ thuật $f_{COM}/f_{XOR}$ trên các nền tảng phần cứng chuyên dụng (FPGA, SoC) và bộ xử lý mạng (NP) để đánh giá thông lượng thực tế ở tốc độ dây (wire-speed).
- Nghiên cứu cơ chế tự động cập nhật động tập luật trên cây CDT và cây MWP với thời gian trễ tối thiểu khi chính sách an ninh thay đổi trong thời gian thực.
Giá trị tham khảo
Đối tượng thụ hưởng
- Nghiên cứu sinh, học viên cao học ngành Công nghệ Thông tin, Toán Tin: Tài liệu tham khảo về cấu trúc dữ liệu dạng cây (Trie), thuật toán so khớp tiền tố, lý thuyết tập mờ/không gian luật và phân loại lưu lượng mạng.
- Kỹ sư mạng và chuyên gia an toàn thông tin: Tham khảo phương pháp tối ưu hóa bảng luật an ninh, phân tích bất thường trong danh sách kiểm soát truy cập (ACL) và kỹ thuật chống tấn công DoS vào thiết bị biên.
- Nhà phát triển thiết bị mạng: Cơ sở để thiết kế các module phần mềm tường lửa, bộ định tuyến có hiệu năng cao phục vụ an ninh quốc phòng và các mạng doanh nghiệp lớn.
Các phần nội dung đáng tham khảo
- Chương 2 (Mục 2.3): Cấu trúc cây MWP và thuật toán tìm kiếm tiền tố khớp dài nhất.
- Chương 3 (Mục 3.2 - 3.3): Phương pháp tạo trường kết hợp $f_{COM}$ và $f_{XOR}$ cho kỹ thuật loại sớm gói tin.
- Chương 4 (Mục 4.2 - 4.3): Định nghĩa toán học về các quan hệ không gian luật và thuật toán phát hiện xung đột trên cây CDT.
Câu hỏi thường gặp
1. Tại sao nâng cao tốc độ phân loại gói tin lại đồng nghĩa với việc nâng cao hiệu năng của tường lửa?
Theo chuẩn RFC-3511, thông lượng IP (IP Throughput) là tiêu chí cốt lõi đánh giá hiệu năng tường lửa. Tường lửa phải kiểm tra từng gói tin qua hai chiều. Quá trình kiểm tra thực chất là việc so khớp các trường của gói tin với tập luật để đưa ra quyết định cho phép hoặc loại bỏ. Khi tốc độ đường truyền tăng lên hàng Gbps, nếu tốc độ phân loại gói tin không kịp đáp ứng số lượng gói tin đến trong một giây, hiện tượng nghẽn cổ chai và mất gói sẽ xảy ra, làm suy giảm toàn bộ hiệu năng mạng.
2. Sự khác biệt cốt lõi giữa cây MWP và cây JA-trie là gì?
Cây JA-trie dựa trên cây đa bít với bước nhảy cố định $k$ (thường $k=8$) và chỉ xử lý được các tiền tố có độ dài là bội số của $k$. Ngược lại, cây MWP rẽ nhánh linh hoạt dựa trên số lượng bit đầu tiên trùng nhau giữa các tiền tố, hỗ trợ xử lý tiền tố với độ dài bất kỳ (không phụ thuộc vào bước nhảy cố định). Đồng thời, MWP duy trì quy tắc nút cha luôn chứa tiền tố có độ dài lớn hơn nút con, cho phép dừng tìm kiếm ngay khi khớp tại nút ưu tiên.
3. Kỹ thuật loại sớm gói tin bằng phép COM và phép XOR hoạt động như thế nào để chống tấn công DoS?
Khi bị tấn công DoS vào luật mặc định, kẻ tấn công gửi liên tục các gói tin không hợp lệ để ép tường lửa duyệt qua toàn bộ tập luật trước khi bị từ chối ở luật cuối cùng. Kỹ thuật $f_{COM}$ và $f_{XOR}$ gom các trường phân loại thành một trường kết hợp đại diện và sinh ra một tập luật rút gọn chỉ chứa các luật $\text{Accept}$. Module loại sớm đặt phía trước sẽ kiểm tra gói tin trên trường đại diện này; nếu gói tin không khớp tập $\text{Accept}$, nó sẽ bị hủy ngay lập tức với chi phí xử lý rất nhỏ, giúp giải phóng tài nguyên cho hệ thống.
4. Cấu trúc cây CDT khắc phục được những nhược điểm nào của cấu trúc cây FAT trong phát hiện xung đột tập luật?
Cây FAT phân tách mỗi trường của luật thành từng element 1-byte, làm số lượng nút trên cây tăng cao, tốn bộ nhớ và rất khó xử lý các trường cho dưới dạng khoảng giá trị (như Port). Cây CDT khắc phục điều này bằng cách lưu trữ trực tiếp toàn bộ giá trị của trường (cả dạng tiền tố và khoảng giá trị) cùng độ chi tiết $|f_n|$ tại mỗi nút. Nhờ đó, CDT giảm từ 40% đến 60% số lượng nút, tiết kiệm bộ nhớ, giảm thời gian xây dựng cây và phát hiện xung đột nhanh hơn FAT.
Kết luận
Luận án của tác giả Vũ Duy Nhất đã giải quyết bài toán nâng cao hiệu năng tường lửa thông qua việc nghiên cứu, đề xuất ba đóng góp chính trong lĩnh vực phần mềm: cấu trúc cây ưu tiên đa nhánh MWP cho phân loại đơn trường, kỹ thuật loại sớm gói tin dựa trên phép kết hợp trường $f_{COM}$ và $f_{XOR}$ nhằm chống tấn công DoS vào luật mặc định, cùng cấu trúc cây CDT hỗ trợ phát hiện xung đột tập luật đa chiều hiệu quả. Các đề xuất đều được chứng minh tính đúng đắn bằng toán học và kiểm nghiệm thực nghiệm trên các bộ dữ liệu chuẩn, mở ra hướng ứng dụng thực tế cho việc phát triển các dòng tường lửa hiệu năng cao phục vụ an ninh mạng.
