Bối cảnh và vấn đề nghiên cứu

Trong xu hướng chuyển dịch hạ tầng công nghệ thông tin sang môi trường điện toán đám mây, kiến trúc microservices và mô hình Cloud-Native trở thành giải pháp phổ biến giúp các tổ chức tối ưu hóa khả năng vận hành, mở rộng linh hoạt và đáp ứng nhu cầu xử lý phân tán. Trong cấu trúc này, giao diện lập trình ứng dụng (Application Programming Interface - API) đóng vai trò là cổng giao tiếp huyết mạch, kết nối và điều phối toàn bộ lưu lượng dữ liệu giữa người dùng và các dịch vụ nội bộ (backend services). Tuy nhiên, việc phơi bày các điểm cuối API ra môi trường mạng công cộng cũng tạo ra bề mặt tấn công rộng lớn với nhiều nguy cơ bảo mật nghiêm trọng.

Theo số liệu thống kê từ Cloudflare được trích dẫn trong công trình:

  • Các cuộc tấn công nhắm vào API ở tầng ứng dụng chiếm tỷ trọng lớn, trong đó 60,7% là các bất thường giao thức HTTP (HTTP anomaly), 26,3% liên quan đến chèn mã độc vào gói tin HTTP (như SQL Injection - SQLi, Cross-Site Scripting - XSS), phần còn lại là các vi phạm liên quan đến xác thực và phân quyền.
  • Tấn công từ chối dịch vụ phân tán (DDoS) ở tầng mạng trong quý 4 năm 2023 tăng trưởng 117%, tập trung chủ yếu vào các doanh nghiệp bán lẻ, vận chuyển và trang web quy mô lớn.

Mô hình Multi-API Gateways được áp dụng nhằm phân tách trách nhiệm, tăng tính sẵn sàng và cân bằng tải. Tuy nhiên, việc vận hành nhiều cổng API độc lập trên nền tảng đám mây đòi hỏi giải pháp bảo mật toàn diện từ khâu thiết kế đến giám sát thời gian thực. Đề tài tập trung giải quyết bài toán phát hiện và ngăn chặn các cuộc tấn công mạng trên Multi-API Gateways trong môi trường Cloud-Native bằng việc kết hợp các kỹ thuật Deep Learning cùng hệ thống điều phối cụm Apache Mesos và nền tảng Marathon.

Mục tiêu nghiên cứu:

  1. Xây dựng API Gateway theo mô hình Secure Design với các module bảo mật chuyên biệt nhằm xác thực, cấp quyền và kiểm tra tính hợp lệ của luồng dữ liệu trước khi chuyển tiếp tới API của ứng dụng trong môi trường đám mây.
  2. Nghiên cứu và hiện thực hóa phương pháp Secure Monitor nhằm giám sát liên tục hoạt động của hệ thống API Gateway, tự động phát hiện và ngăn chặn kịp thời các cuộc tấn công mạng vào hạ tầng đám mây.

Phạm vi nghiên cứu:

  • Không gian đối tượng: Hệ thống Multi-API Gateways và các dịch vụ microservices backend vận hành trên môi trường Cloud-Native điều phối bởi cụm Apache Mesos và Marathon Framework.
  • Dữ liệu và thực nghiệm: Đánh giá hiệu suất các mô hình học sâu trên bộ dữ liệu chuẩn (CICDDoS2019) và dữ liệu trích xuất từ kịch bản tấn công mô phỏng thực tế (tấn công từ chối dịch vụ SYN Flood qua công cụ Hping, tấn công ứng dụng web XSS).

Cơ sở lý thuyết và phương pháp

Khung lý thuyết và mô hình công nghệ

Tác giả hệ thống hóa cơ sở lý thuyết bao gồm các khái niệm, công nghệ và mô hình mạng nơ-ron:

  • Kiến trúc phân tán & Cloud-Native: Tổng quan về API, API Gateway, kiến trúc Multi-API Gateways, Microservices, Cloud-Native, Computer Cluster, máy chủ Reverse Proxy và cơ chế SSL Termination.
  • Lỗ hổng bảo mật API: Phân tích 10 nhóm nguy cơ bảo mật API thường gặp gồm: Broken Object Level Authorization, Broken Authentication, Broken Object Property Level Authorization, Unrestricted Resource Consumption, Broken Function Level Authorization, Unrestricted Access to Sensitive Business Flows, Server-Side Request Forgery (SSRF), Security Misconfiguration, Improper Inventory Management và Unsafe Consumption of APIs.
  • Mô hình học sâu (Deep Learning):
    • ALBERT (A Lite BERT): Biến thể tối ưu hóa của mô hình BERT sử dụng cơ chế Transformer Encoder hai chiều (gồm Embedding, Positional Encoding, Multi-Head Attention, Add & Layer Normalization, Positionwise Feed-forward Network), giúp giảm đáng kể tham số huấn luyện (12 Encoders đối với bản ALBERT-base, 24 Encoders đối với bản ALBERT-xxlarge) để xử lý ngữ nghĩa các gói tin HTTP/API.
    • Recurrent Neural Network (RNN), Long Short-Term Memory (LSTM) và Gated Recurrent Unit (GRU): Các mạng nơ-ron xử lý chuỗi thời gian; trong đó GRU sử dụng hai cổng (Reset Gate và Update Gate) để giải quyết vấn đề triệt tiêu đạo hàm (vanishing gradient) với chi phí tính toán thấp hơn LSTM.
    • Convolutional Neural Network (CNN) và Deep Neural Network (DNN): Phân tích cấu trúc phân tầng phục vụ trích xuất đặc trưng và phân loại lưu lượng mạng.

Phương pháp nghiên cứu

  • Phương pháp phân tích - tổng hợp: Nghiên cứu các giải pháp bảo mật API gateway hiện hành (mTLS, API Gateway tập trung, xác thực Token JWT/OAuth) và các công trình ứng dụng học sâu (như mô hình BERT + Multi-layer Perceptron của nhóm tác giả trước đó đạt F1 > 97%, Accuracy 99%; mô hình DNN 3 lớp trên tập dữ liệu CICDDoS2019 đạt độ chính xác phát hiện DDoS 99,99%).
  • Phương pháp thiết kế hệ thống kỹ thuật: Xây dựng kiến trúc phân lớp kết hợp giữa quy trình kiểm soát luồng dữ liệu an toàn (Secure Design) và quy trình giám sát thông minh (Secure Monitor).
  • Phương pháp thực nghiệm: Triển khai cụm máy chủ Mesos Master, Marathon Framework và Mesos Slaves; huấn luyện các mô hình học sâu và đo lường độ chính xác (Accuracy), F1-score trên dữ liệu kiểm thử cùng các kịch bản tấn công thực địa.

Thiết kế và triển khai hệ thống

Hệ thống được thiết kế thành hai trục chính: Secure Design (Thiết kế an toàn) và Secure Monitor (Giám sát an toàn), điều phối trên nền tảng Apache Mesos kết hợp Marathon.

Trục kiến trúc Module thành phần Công nghệ / Thuật toán áp dụng Chức năng kỹ thuật chính
Secure Design Module Data Input Nginx (Reverse Proxy, SSL Termination) Tiếp nhận lưu lượng HTTPS từ client, thực hiện bắt tay TLS với khóa đối xứng, giải mã HTTPS sang HTTP và định tuyến qua Load Balancer.
Module Authentication Django, MySQL, SHA3-256, AES-CBC-256, TOTP Tiếp nhận đăng ký/đăng nhập, băm mật khẩu bằng SHA3-256, mã hóa khóa TOTP bằng AES-256-CBC, xác thực 2 yếu tố dựa trên thời gian thực (chu kỳ 30 giây).
Module Authorization Django, MySQL, ABAC Kiểm soát truy cập dựa trên thuộc tính (Attribute-Based Access Control), khởi tạo phiên chứa UUID người dùng, fingerprint trình duyệt (chuỗi hex) và thời gian epoch.
Module Session Management Thuật toán Click-based token Kiểm tra tính toàn vẹn phiên; gia hạn phiên làm việc thêm 2 phút mỗi khi người dùng tương tác, tự động hủy phiên nếu không hoạt động quá 2 phút.
Module Service Discovery Cơ chế phân giải DNS nội bộ Mesos Ánh xạ tên miền logic của các module sang địa chỉ IP và Port vật lý trên cụm Mesos nhằm hỗ trợ co giãn linh hoạt (scaling).
Module Feature Extraction Queue buffer, trích xuất thuộc tính Đưa gói tin vào hàng đợi, trích xuất vector đặc trưng từ phần Header/URL/Body và đẩy sang hệ thống phát hiện.
Module Application Endpoint API Proxy điều phối Tiếp nhận yêu cầu đã hợp lệ sau cùng để chuyển tiếp đến các microservices backend tương ứng (Epoch service, Quote service).
Secure Monitor Central Load and Monitor Hệ thống lưu trữ tập trung Thu thập và lưu trữ toàn bộ gói tin, nhật ký truyền thông nội bộ giữa các module để chuyển tiếp cho pipeline Deep Learning.
Deep Learning Detection Multi Model Detection (ALBERT & GRU) Áp dụng mô hình ALBERT phân tích payload/URL bắt thường để bắt tấn công API (SQLi, XSS) và mô hình GRU phân tích mẫu lưu lượng mạng để bắt DDoS.
Deep Learning Classification ALBERT classifier Phân loại chi tiết chủng loại tấn công. Trường hợp phát hiện mẫu bất thường chưa xác định, luồng dữ liệu được điều hướng sang Honeynet.
Module Honeynet Cụm Honeypot giả lập Đánh lạc hướng kẻ tấn công khỏi dịch vụ thật, thu thập dấu hiệu tấn công mới để gán nhãn, bổ sung vào tập dữ liệu và tái huấn luyện mô hình.

Nội dung chính theo từng chương

Chương 1. Tổng quan đề tài

Chương này nêu rõ tính cấp thiết của việc bảo vệ môi trường đám mây và kiến trúc microservices trước các nguy cơ tấn công gia tăng vào API. Tác giả xác định mục tiêu thiết kế cổng Multi-API Gateway tích hợp các module xác thực, phân quyền chặt chẽ kết hợp cơ chế giám sát tự động bằng Deep Learning và điều phối container trên nền tảng Apache Mesos/Marathon.

Chương 2. Các nghiên cứu liên quan

Tác giả tổng hợp tình hình nghiên cứu thực tế dựa trên dữ liệu báo cáo an ninh mạng của Cloudflare (2023) và phân tích các công trình nghiên cứu tiền nhiệm:

  • Đánh giá kiến trúc API Gateway truyền thống: định tuyến, phân phối tải, xác thực, phân quyền, biến đổi yêu cầu và tổng hợp phản hồi.
  • So sánh các cơ chế kiểm soát truy cập trong microservices gồm mTLS, xác thực token tập trung và API Gateway; chỉ ra các điểm yếu về độ trễ, gánh nặng tính toán và rủi ro điểm lỗi duy nhất (single point of failure).
  • Phân tích các mô hình Deep Learning trong bảo mật: mô hình BERT kết hợp MLP phân loại tấn công web SQLi/XSS (đạt F1 > 97%, Accuracy 99%) và mô hình DNN 3 lớp sử dụng thuật toán tối ưu AdaMax trên tập dữ liệu CICDDoS2019 (đạt độ chính xác phát hiện 99,99%, phân loại đạt xấp xỉ 95%).

Chương 3. Cơ sở lý thuyết

Trình bày hệ thống khái niệm nền tảng:

  • Cấu trúc API, API Gateway và mô hình Multi-API Gateways hoạt động song song giúp tăng tính khả dụng và chịu tải.
  • Đặc điểm của môi trường Cloud-Native, cụm máy tính (Computer Cluster) và kiến trúc Microservices.
  • Tổng quan 10 nhóm lỗ hổng bảo mật API Gateway theo OWASP.
  • Cơ sở toán học và kiến trúc các mô hình Deep Learning: cơ chế Encoder của ALBERT (tối ưu hóa tham số từ BERT), cơ chế nhớ của RNN, cổng nhớ của LSTM, các lớp tích chập của CNN và công thức hàm toán học của hai cổng Reset/Update trong mạng GRU.

Chương 4. Kiến trúc giải pháp

Trình bày chi tiết giải pháp tổng thể phân chia thành hai phân hệ:

  • Secure Design: Phân tách luồng xử lý dữ liệu qua chuỗi module chuyên trách gồm Data Input (SSL Termination & Load Balancing), Authentication, Authorization, Session Management, Service Discovery, Feature Extraction và Application Endpoint.
  • Secure Monitor: Thiết lập hệ thống giám sát trung tâm gồm Central Load and Monitor, khối phát hiện đa mô hình Multi Model Detection (kết hợp ALBERT và GRU), khối phân loại nâng cao Deep Learning-based Classification và mạng bẫy Honeynet thu thập dữ liệu mới phục vụ tái huấn luyện.

Chương 5. Triển khai và đánh giá

Mô tả chi tiết quá trình hiện thực hóa các module kỹ thuật:

  • Cấu hình hạ tầng Apache Mesos và Marathon Framework để quản lý vòng đời và điều phối các container chứa module.
  • Triển khai Module Data Input trên Nginx kết hợp OpenSSL; hiện thực hóa Module Authentication và Authorization bằng framework Django với cơ sở dữ liệu MySQL, thuật toán băm SHA3-256, mã hóa AES-CBC-256 và xác thực hai yếu tố TOTP.
  • Triển khai cơ chế quản lý phiên tương tác dựa trên Click-based token (hạn 2 phút).
  • Thiết lập kịch bản thực nghiệm và đánh giá:
    • Kịch bản 1: Đo lường, so sánh hiệu năng giữa mô hình ALBERT rebuild so với ALBERT pre-train; so sánh hiệu quả giữa GRU và LSTM.
    • Kịch bản 2: Đánh giá khả năng phát hiện tấn công DDoS (SYN Flood sử dụng công cụ Hping) trên tập dữ liệu chuẩn CICDDoS2019 và kiểm tra tải CPU, lưu lượng mạng trên các node thực thi.
    • Kịch bản 3: Đánh giá khả năng phát hiện tấn công chèn mã Cross-Site Scripting (XSS) trên luồng dữ liệu ứng dụng web.

Chương 6. Kết luận và hướng phát triển của khóa luận

Tổng kết các kết quả đạt được về mặt thiết kế kiến trúc, khả năng tích hợp giải pháp học sâu vào hệ thống cổng đa API trên nền tảng đám mây và định hướng mở rộng nghiên cứu trong tương lai.

Kết quả và đóng góp

Kết quả thực nghiệm chính

  • Xây dựng thành công hạ tầng Multi-API Gateways: Vận hành ổn định trên cụm Apache Mesos và Marathon Framework, cho phép mở rộng linh hoạt các module dịch vụ độc lập thông qua cơ chế phân giải Service Discovery.
  • Hiện thực hóa quy trình bảo mật đa tầng:
    • Giảm tải tính toán cho các dịch vụ nội bộ nhờ cơ chế SSL Termination tập trung tại Nginx Data Input.
    • Bảo vệ thông tin định danh bằng thuật toán băm SHA3-256, khóa xác thực TOTP được mã hóa bằng AES-CBC-256 và bảo vệ phiên làm việc qua chính sách Click-based token (timeout 2 phút không tương tác).
    • Phân quyền động qua ABAC kết hợp mã định danh UUID và fingerprint phần cứng/trình duyệt của người dùng.
  • Hiệu quả phát hiện tấn công bằng Deep Learning:
    • Mô hình ALBERT phát hiện và phân loại chính xác các hành vi chèn mã độc (XSS, SQLi) từ gói tin HTTP.
    • Mô hình GRU và bộ phân loại DNN phát hiện hiệu quả các cuộc tấn công từ chối dịch vụ DDoS (đạt độ chính xác cao trên bộ dữ liệu CICDDoS2019 và kịch bản thực tế với công cụ Hping SYN Flood).
    • Cơ chế Honeynet cho phép tự động điều hướng các luồng tấn công lạ để thu thập dữ liệu huấn luyện bổ sung.

Đóng góp của đề tài

  1. Đề xuất kiến trúc bảo mật kết hợp hai thành phần Secure Design (phòng thủ chủ động theo thiết kế) và Secure Monitor (giám sát phát hiện thông minh) dành riêng cho mô hình Multi-API Gateways trong môi trường Cloud-Native.
  2. Ứng dụng giải pháp phát hiện đa mô hình (Multi Model Detection): tận dụng thế mạnh xử lý ngôn ngữ tự nhiên của ALBERT để phân tích payload API và ưu thế xử lý chuỗi thời gian của GRU để phân tích lưu lượng mạng bất thường.
  3. Ứng dụng thành công hệ thống điều phối Apache Mesos và Marathon trong việc triển khai, quản lý co giãn và tự phục hồi cho các thành phần bảo mật API Gateway.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế

  • Hệ thống tập trung đánh giá trên các kịch bản tấn công điển hình (SYN Flood DDoS, XSS, kiểm soát truy cập trái phép) và bộ dữ liệu CICDDoS2019; chưa bao quát toàn bộ các biến thể tấn công zero-day phức tạp trên nhiều giao thức khác ngoài HTTP/HTTPS.
  • Việc xử lý giải mã SSL tập trung kết hợp trích xuất đặc trưng và đưa qua các mô hình học sâu có thể tạo thêm độ trễ nhất định cho các hệ thống yêu cầu thời gian phản hồi siêu thấp ở quy mô tải cực lớn.

Hướng nghiên cứu tiếp

  • Mở rộng tập dữ liệu huấn luyện từ Honeynet để tối ưu hóa khả năng nhận diện các biến thể tấn công mới vào API.
  • Cải tiến, tối ưu hóa kích thước và kiến trúc mô hình học sâu (ALBERT rebuild) nhằm rút ngắn thời gian suy luận (inference time), giảm thiểu độ trễ xử lý gói tin.
  • Nghiên cứu tích hợp các chính sách ngăn chặn tự động thời gian thực (như tự động cập nhật tường lửa hoặc cấu hình Nginx động) khi Secure Monitor phát hiện tấn công.

Giá trị tham khảo

Báo cáo khóa luận là tài liệu tham khảo giá trị đối với:

  • Sinh viên và học viên ngành An toàn thông tin, Mạng máy tính, Kỹ thuật phần mềm: Cung cấp tài liệu tham khảo chi tiết về cách xây dựng kiến trúc API Gateway bảo mật, tích hợp các thuật toán mã hóa (AES-CBC-256, SHA3-256, TOTP) và mô hình kiểm soát truy cập ABAC.
  • Kỹ sư Cloud / DevOps / DevSecOps: Tham khảo phương pháp triển khai, điều phối các module ứng dụng và microservices phân tán bằng công cụ quản lý cụm Apache Mesos và Marathon Framework.
  • Nhà nghiên cứu ứng dụng AI trong an ninh mạng: Tham khảo pipeline tiền xử lý, trích xuất đặc trưng dữ liệu gói tin mạng và ứng dụng các mô hình ALBERT, GRU, DNN trong việc phát hiện tấn công web và DDoS.

Câu hỏi thường gặp

1. Khóa luận giải quyết vấn đề bảo mật gì trên hệ thống Multi-API Gateways?
Khóa luận giải quyết bài toán bảo vệ toàn diện hệ thống cổng đa API trên nền tảng Cloud-Native trước các cuộc tấn công tầng ứng dụng (như HTTP anomaly, XSS, SQLi, lỗi phân quyền/xác thực) và tầng mạng (tấn công từ chối dịch vụ DDoS), thông qua sự kết hợp giữa thiết kế luồng xử lý an toàn (Secure Design) và giám sát phát hiện thông minh bằng học sâu (Secure Monitor).

2. Module Authentication và Authorization sử dụng các công nghệ, thuật toán bảo mật nào?
Module Authentication sử dụng framework Django, cơ sở dữ liệu MySQL, hàm băm SHA3-256 để bảo vệ mật khẩu, thuật toán mã hóa đối xứng AES-CBC-256 để lưu trữ khóa bí mật TOTP, và xác thực hai yếu tố TOTP theo chu kỳ 30 giây. Module Authorization áp dụng mô hình kiểm soát truy cập theo thuộc tính (ABAC), tạo phiên làm việc dựa trên UUID người dùng, fingerprint trình duyệt (chuỗi hex) và mốc thời gian epoch.

3. Cơ chế Click-based token trong Module Session Management hoạt động như thế nào?
Click-based token duy trì trạng thái đăng nhập dựa trên hoạt động thực tế của người dùng: mỗi lần người dùng gửi yêu cầu sử dụng service hợp lệ, phiên làm việc sẽ được tự động gia hạn thêm 2 phút. Nếu người dùng không có tương tác nào trong vòng 2 phút, phiên làm việc sẽ tự động hết hạn và yêu cầu đăng nhập lại.

4. Khóa luận sử dụng các mô hình Deep Learning nào cho nhiệm vụ phát hiện tấn công?
Khóa luận đề xuất phương pháp Multi Model Detection gồm hai mô hình chính: mô hình ALBERT (A Lite BERT) được sử dụng để phân tích ngữ nghĩa, cấu trúc gói tin HTTP/URL/Header nhằm phát hiện các cuộc tấn công API (XSS, SQLi, payload độc hại); mô hình GRU (Gated Recurrent Unit) được sử dụng để phân tích mẫu lưu lượng mạng chuỗi thời gian nhằm phát hiện tấn công từ chối dịch vụ phân tán (DDoS).

5. Nền tảng điều phối hạ tầng nào được sử dụng để triển khai hệ thống?
Toàn bộ các module trong hệ thống (Data Input, Authentication, Authorization, Session Management, Application Endpoint và các microservices) được đóng gói và vận hành trên nền tảng điều phối cụm Apache Mesos kết hợp với Marathon Framework, cùng với Module Service Discovery đóng vai trò DNS nội bộ để phân giải địa chỉ IP và Port của các module.

Kết luận

Khóa luận tốt nghiệp của tác giả Trần Lê Khôi và Nguyễn Đức Toàn đã xây dựng thành công giải pháp bảo vệ toàn diện cho kiến trúc Multi-API Gateways trong môi trường Cloud-Native. Bằng việc kết hợp chặt chẽ giữa thiết kế an toàn (Secure Design với SSL Termination, SHA3-256, AES-CBC-256, TOTP, ABAC) và giám sát thông minh (Secure Monitor với các mô hình học sâu ALBERT và GRU trên nền tảng Apache Mesos/Marathon), đề tài đã chứng minh tính khả thi và hiệu quả cao trong việc phát hiện các cuộc tấn công ứng dụng web và tấn công DDoS. Công trình cung cấp một tài liệu kỹ thuật hoàn chỉnh, có giá trị ứng dụng thực tiễn cao cho việc bảo đảm an toàn thông tin trên các hạ tầng microservices đám mây hiện đại.