Luận văn thạc sĩ vnu uet khai phá dữ liệu logfile của firewall trong hệ thống mạng iptv nhằm phát hiện tấn công từ chối dịch vụ

Luận văn thạc sĩ VNU UET nghiên cứu khai thác dữ liệu logfile firewall trong hệ thống mạng IPTV để phát hiện tấn công từ chối dịch vụ.

• Tác giả: Nguyễn Chí Thanh
• Người hướng dẫn: PGS.TS Hà Quang Thụy
• Trường học: Đại học Quốc gia Hà Nội
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Phát hiện tấn công từ chối dịch vụ trong mạng IPTV qua khai phá dữ liệu logfile firewall
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2013
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CẢM ƠN
• LỜI CAM ĐOAN
• DANH MỤC CÁC CHỮ VIẾT TẮT
• DANH MỤC BẢNG BIỂU
• DANH MỤC HÌNH VẼ
• MỞ ĐẦU
• 1. CHƯƠNG 1: SƠ BỘ VỀ LOGFILE MẠNG IPTV
• 1.1. GIỚI THIỆU VỀ MẠNG IPTV
• 1.1.1. IPTV là gì
• 1.2. Kiến trúc tổng quan mạng IPTV
• 1.3. Các dịch vụ của mạng IPTV
• 1.4. DỮ LIỆU LOGFILE MẠNG IPTV
• 1.5. TẤN CÔNG TỪ CHỐI DỊCH VỤ
• 1.5.1. Giới thiệu về tấn công từ chối dịch vụ
• 1.5.2. Các loại tấn công từ chối dịch vụ
• 2. CHƯƠNG 2: PHƯƠNG PHÁP KHAI PHÁ DỮ LIỆU LOGFILE
• 2.1. TỔNG QUAN VỀ KHAI PHÁ DỮ LIỆU
• 2.1.1. Phát hiện tri thức
• 2.1.2. Khai phá dữ liệu
• 2.1.3. Ứng dụng của khai phá dữ liệu
• 2.2. SƠ BỘ VỀ KHAI PHÁ DỮ LIỆU LOGFILE IPTV
• 2.3. MỘT SỐ PHƯƠNG PHÁP KHAI PHÁ DỮ LIỆU LOGFILE ĐIỂN HÌNH
• 2.3.1. Sơ bộ về phân lớp dữ liệu
• 2.3.2. Khái niệm phân lớp dữ liệu
• 2.3.3. Ứng dụng của phân lớp dữ liệu
• 2.3.4. Các kỹ thuật phân lớp dữ liệu
• 2.3.5. Sơ bộ về phân cụm dữ liệu
• 2.3.6. Khái niệm phân cụm dữ liệu
• 2.3.7. Ứng dụng của phân cụm dữ liệu
• 2.3.8. Các kỹ thuật phân cụm dữ liệu
• 3. CHƯƠNG 3: MÔ HÌNH KHAI PHÁ DỮ LIỆU LOGFILE CỦA FIREWALL TRONG HỆ THỐNG MẠNG IPTV NHẰM PHÁT HIỆN TẤN CÔNG TỪ CHỐI DỊCH VỤ
• 3.1. MÔ TẢ BÀI TOÁN
• 3.1.1. Tên gọi bài toán
• 3.1.2. Phân tích bài toán
• 3.1.3. Xác định dữ liệu cần thiết
• 3.2. MÔ HÌNH GIẢI PHÁP
• 3.2.1. Xây dựng mô hình
• 3.2.2. Phân lớp bản ghi logfile theo địa chỉ và cổng dịch vụ máy đích
• 3.2.3. Phân cụm bản ghi logfile theo địa chỉ máy trạm
• 4. CHƯƠNG 4: THỰC NGHIỆM
• 4.1. QUY TRÌNH THỰC NGHIỆM
• 4.1.1. Môi trường thực nghiệm
• 4.1.2. Mô tả quy trình thực nghiệm
• 4.2. PHÂN TÍCH DỮ LIỆU LOGFILE FIREWALL ISA
• 4.2.1. PHẦN MỀM DoSAlert
• 4.2.2. Chức năng chính của phần mềm
• 4.2.3. Mô tả cơ sở dữ liệu
• 4.2.4. Giao diện phần mềm
• 4.3. KẾT QUẢ THỰC NGHIỆM VÀ ĐÁNH GIÁ
• 4.3.1. Kết quả thực nghiệm
• 4.3.2. Đánh giá kết quả thực nghiệm
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về phát hiện tấn công từ chối dịch vụ trong mạng IPTV

Hệ thống mạng IPTV đang ngày càng trở nên phổ biến, tuy nhiên, nó cũng đối mặt với nhiều thách thức về an ninh, đặc biệt là các tấn công từ chối dịch vụ (DDoS). Việc phát hiện sớm các tấn công này là rất quan trọng để bảo vệ hệ thống và đảm bảo chất lượng dịch vụ. Phân tích dữ liệu từ logfile firewall là một trong những phương pháp hiệu quả để phát hiện các hành vi xâm nhập và tấn công.

1.1. Khái niệm về mạng IPTV và tấn công DDoS

Mạng IPTV cung cấp dịch vụ truyền hình qua giao thức IP, nhưng cũng là mục tiêu của các tấn công từ chối dịch vụ. Những tấn công này có thể làm gián đoạn dịch vụ, gây thiệt hại lớn cho nhà cung cấp.

1.2. Tầm quan trọng của việc phát hiện tấn công

Việc phát hiện sớm các tấn công DDoS giúp giảm thiểu thiệt hại và duy trì chất lượng dịch vụ. Các giải pháp an ninh mạng cần được triển khai để bảo vệ hệ thống IPTV.

II. Thách thức trong việc phát hiện tấn công DDoS qua logfile firewall

Phân tích logfile firewall để phát hiện tấn công DDoS gặp nhiều thách thức. Dữ liệu log thường rất lớn và phức tạp, đòi hỏi các phương pháp khai phá dữ liệu hiệu quả. Ngoài ra, việc phân tích dữ liệu trong thời gian thực cũng là một vấn đề cần được giải quyết.

2.1. Đặc điểm của dữ liệu logfile trong mạng IPTV

Logfile trong mạng IPTV chứa nhiều thông tin khác nhau, từ trạng thái kết nối đến các hành động của firewall. Việc phân tích chính xác các thông tin này là rất quan trọng để phát hiện tấn công.

2.2. Khó khăn trong việc xử lý dữ liệu lớn

Dữ liệu log lớn và phức tạp có thể gây khó khăn trong việc phân tích. Cần có các công cụ và phương pháp phù hợp để xử lý và khai thác thông tin từ các logfile này.

III. Phương pháp khai phá dữ liệu logfile để phát hiện tấn công DDoS

Khai phá dữ liệu logfile là một phương pháp hiệu quả để phát hiện tấn công DDoS trong mạng IPTV. Các kỹ thuật như phân lớp và phân cụm dữ liệu có thể được áp dụng để xác định các mẫu hành vi bất thường.

3.1. Kỹ thuật phân lớp dữ liệu trong logfile

Phân lớp dữ liệu giúp xác định các loại kết nối và hành động của firewall. Kỹ thuật này cho phép phát hiện các mẫu hành vi bất thường có thể chỉ ra một cuộc tấn công.

3.2. Kỹ thuật phân cụm dữ liệu để phát hiện tấn công

Phân cụm dữ liệu giúp nhóm các bản ghi log tương tự nhau lại với nhau. Điều này giúp dễ dàng phát hiện các hành vi bất thường và tấn công DDoS.

IV. Ứng dụng thực tiễn của khai phá dữ liệu logfile trong mạng IPTV

Việc áp dụng khai phá dữ liệu logfile trong mạng IPTV đã cho thấy hiệu quả trong việc phát hiện tấn công DDoS. Các nghiên cứu thực nghiệm cho thấy rằng các phương pháp này có thể giúp cải thiện an ninh mạng và bảo vệ hệ thống.

4.1. Kết quả thực nghiệm từ việc phân tích logfile

Các kết quả thực nghiệm cho thấy rằng việc phân tích logfile firewall có thể phát hiện các tấn công DDoS một cách hiệu quả. Điều này chứng tỏ tính khả thi của phương pháp.

4.2. Lợi ích của việc áp dụng phương pháp khai phá dữ liệu

Áp dụng phương pháp khai phá dữ liệu giúp cải thiện khả năng phát hiện tấn công, giảm thiểu thiệt hại và nâng cao chất lượng dịch vụ trong mạng IPTV.

V. Kết luận và tương lai của phát hiện tấn công DDoS trong mạng IPTV

Phát hiện tấn công DDoS trong mạng IPTV thông qua khai phá dữ liệu logfile là một lĩnh vực đang phát triển. Tương lai của phương pháp này hứa hẹn sẽ mang lại nhiều giải pháp an ninh hiệu quả hơn cho các hệ thống mạng.

5.1. Tương lai của công nghệ phát hiện tấn công

Công nghệ phát hiện tấn công sẽ tiếp tục phát triển, với sự hỗ trợ của trí tuệ nhân tạo và học máy, giúp nâng cao khả năng phát hiện và phản ứng nhanh chóng.

5.2. Định hướng nghiên cứu trong lĩnh vực an ninh mạng

Nghiên cứu trong lĩnh vực an ninh mạng sẽ tiếp tục tập trung vào việc cải thiện các phương pháp phát hiện tấn công, nhằm bảo vệ tốt hơn cho các hệ thống mạng IPTV.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh phát triển mạnh mẽ của công nghệ viễn thông và mạng Internet, hệ thống mạng IPTV (Internet Protocol Television) ngày càng trở nên phổ biến với khả năng cung cấp dịch vụ truyền hình số đa dạng, tương tác cao và chất lượng vượt trội. Theo tổ chức Liên Hiệp Viễn Thông Quốc Tế (ITU), IPTV là dịch vụ đa phương tiện truyền tải qua mạng IP, đòi hỏi đảm bảo các yếu tố về chất lượng dịch vụ (QoS), trải nghiệm người dùng (QoE), bảo mật và độ tin cậy. Tuy nhiên, sự phức tạp của hệ thống IPTV cùng với lượng lớn dữ liệu log được tạo ra từ các thiết bị mạng và ứng dụng đặt ra thách thức lớn trong việc quản lý, phân tích và phát hiện các sự cố, đặc biệt là các cuộc tấn công từ chối dịch vụ (DoS).

Tấn công từ chối dịch vụ là một trong những mối đe dọa nghiêm trọng đối với hệ thống mạng, gây ra thiệt hại về tài chính và uy tín cho các nhà cung cấp dịch vụ. Việc phát hiện sớm và chính xác các cuộc tấn công này là rất cần thiết để đảm bảo tính liên tục và an toàn của dịch vụ IPTV. Luận văn này tập trung nghiên cứu khai phá dữ liệu logfile của Firewall trong hệ thống mạng IPTV nhằm phát hiện tấn công từ chối dịch vụ. Mục tiêu cụ thể là xây dựng mô hình khai phá dữ liệu dựa trên phân lớp và phân cụm các bản ghi log, từ đó phát hiện các đợt bùng nổ kết nối bất thường từ các máy trạm đến máy đích.

Phạm vi nghiên cứu tập trung vào dữ liệu logfile của Firewall ISA Server 2006 trong môi trường mạng IPTV tại Việt Nam, với tham số cảnh báo tấn công được thiết lập dựa trên ngưỡng kết nối và khoảng thời gian cụ thể. Ý nghĩa của nghiên cứu thể hiện qua việc nâng cao hiệu quả phát hiện tấn công DoS, hỗ trợ quản trị viên mạng trong việc giám sát và bảo vệ hệ thống, đồng thời góp phần phát triển các giải pháp bảo mật phù hợp với môi trường CNTT tại Việt Nam.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên các lý thuyết và mô hình sau:

• Khai phá dữ liệu (Data Mining): Quá trình tự động trích xuất tri thức mới, hữu ích từ các cơ sở dữ liệu lớn. Quá trình này bao gồm các bước chọn lựa dữ liệu, tiền xử lý, biến đổi, khai phá và đánh giá tri thức. Khai phá dữ liệu giúp phát hiện các mẫu, quy luật tiềm ẩn trong dữ liệu log phức tạp của hệ thống IPTV.

• Phân lớp dữ liệu (Classification): Kỹ thuật học có giám sát, sử dụng tập dữ liệu đã gán nhãn để xây dựng mô hình phân loại các bản ghi log theo các lớp máy đích dựa trên địa chỉ IP và cổng dịch vụ. Mô hình phân lớp giúp phân nhóm các bản ghi log theo các dịch vụ cần giám sát.

• Phân cụm dữ liệu (Clustering): Kỹ thuật học không giám sát, nhóm các bản ghi log có địa chỉ máy trạm giống nhau thành các cụm nhằm xác định số lượng kết nối từ từng máy trạm đến máy đích. Phương pháp phân cụm phân cấp Bottom-up được áp dụng để gom nhóm các bản ghi log tương tự.

• Tấn công từ chối dịch vụ (DoS): Hình thức tấn công mạng làm tiêu hao tài nguyên hệ thống bằng cách tạo ra lượng lớn các kết nối giả mạo, gây quá tải và làm gián đoạn dịch vụ. Việc phát hiện các đợt bùng nổ kết nối bất thường là cơ sở để cảnh báo tấn công DoS.

Phương pháp nghiên cứu

• Nguồn dữ liệu: Dữ liệu logfile của Firewall ISA Server 2006 trong hệ thống mạng IPTV, bao gồm các bản ghi kết nối được Firewall cho phép với giao thức HTTP, chứa thông tin về địa chỉ IP và cổng của máy trạm và máy đích.

• Phương pháp phân tích:

  • Thu thập và tiền xử lý dữ liệu log, lọc các bản ghi phù hợp theo điều kiện giao thức và hành động.
  • Phân lớp bản ghi log theo địa chỉ IP và cổng dịch vụ của máy đích sử dụng luật phân lớp đơn giản.
  • Phân cụm các bản ghi trong mỗi lớp máy đích theo địa chỉ IP máy trạm bằng phương pháp phân cụm phân cấp Bottom-up với hàm tính độ tương tự dựa trên sự giống nhau của địa chỉ IP.
  • Đếm số lượng kết nối từ mỗi máy trạm đến máy đích trong khoảng thời gian định trước (Interval).
  • So sánh số lượng kết nối với ngưỡng cảnh báo (Threshold) để phát hiện và cảnh báo tấn công DoS.

• Timeline nghiên cứu:

  • Giai đoạn chuẩn bị và thu thập dữ liệu: 2 tháng.
  • Xây dựng mô hình và phát triển phần mềm DoSAlert: 3 tháng.
  • Thực nghiệm và đánh giá kết quả: 2 tháng.
  • Tổng kết và hoàn thiện luận văn: 1 tháng.

• Cỡ mẫu và chọn mẫu: Sử dụng toàn bộ dữ liệu logfile thu thập trong các phiên làm việc thực nghiệm, đảm bảo tính đại diện cho các tình huống vận hành và tấn công DoS giả lập.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Phân lớp bản ghi logfile theo máy đích hiệu quả: Qua thực nghiệm với tập dữ liệu kiểm thử, mô hình phân lớp dựa trên luật đơn giản đã phân loại chính xác các bản ghi log thành các lớp máy đích dựa trên địa chỉ IP và cổng dịch vụ. Ví dụ, hai lớp máy đích được xác định rõ ràng là 1921680218_8080 và 1921680219_80, tương ứng với các dịch vụ web trên các cổng khác nhau.

2. Phân cụm bản ghi logfile theo máy trạm chính xác: Phương pháp phân cụm phân cấp Bottom-up đã nhóm chính xác các bản ghi log có cùng địa chỉ IP máy trạm trong mỗi lớp máy đích. Kết quả phân cụm cho thấy khả năng xác định số lượng kết nối từ từng máy trạm đến máy đích trong khoảng thời gian định trước, hỗ trợ việc phát hiện các đợt bùng nổ kết nối.

3. Phát hiện tấn công DoS dựa trên ngưỡng kết nối và thời gian: Thực nghiệm với tham số Threshold=500 kết nối và Interval=10 giây cho thấy phần mềm DoSAlert có khả năng phát hiện kịp thời các cuộc tấn công DoS giả lập khi số lượng kết nối từ một máy trạm đến máy đích vượt ngưỡng trong khoảng thời gian quy định.

4. Hiệu quả xử lý dữ liệu lớn và thời gian thực: Việc sử dụng cơ sở dữ liệu quan hệ Microsoft Access để lưu trữ và truy vấn dữ liệu log giúp tối ưu hóa thời gian xử lý, cho phép phân tích và cảnh báo theo thời gian thực với khối lượng dữ liệu logfile lớn.

Thảo luận kết quả

Kết quả nghiên cứu cho thấy mô hình khai phá dữ liệu logfile của Firewall trong hệ thống IPTV là phương pháp hiệu quả để phát hiện tấn công từ chối dịch vụ. Việc phân lớp bản ghi log theo máy đích giúp tập trung giám sát các dịch vụ quan trọng, trong khi phân cụm theo máy trạm cho phép xác định các nguồn tấn công tiềm năng. So với các nghiên cứu trước đây tập trung vào khai phá dữ liệu để hỗ trợ vận hành và đánh giá hiệu năng, nghiên cứu này mở rộng ứng dụng vào lĩnh vực an toàn thông tin, đặc biệt là phát hiện tấn công DoS.

Phân tích dữ liệu qua biểu đồ số lượng kết nối theo thời gian và bảng thống kê các máy trạm có kết nối vượt ngưỡng sẽ giúp quản trị viên dễ dàng nhận diện các cuộc tấn công. So với các giải pháp SIEM đắt đỏ và phức tạp, mô hình đề xuất có ưu điểm chi phí thấp, dễ triển khai và phù hợp với môi trường CNTT tại Việt Nam, nơi các doanh nghiệp chưa đầu tư đầy đủ các giải pháp bảo mật cao cấp.

Tuy nhiên, mô hình hiện tại tập trung vào phát hiện tấn công DoS dạng bùng nổ kết nối, chưa bao gồm các dạng tấn công tinh vi hơn như tấn công khai thác lỗ hổng giao thức. Do đó, nghiên cứu tiếp theo có thể mở rộng mô hình để phát hiện đa dạng các loại tấn công mạng khác.

Đề xuất và khuyến nghị

1. Triển khai hệ thống giám sát dựa trên mô hình khai phá dữ liệu: Các doanh nghiệp và nhà cung cấp dịch vụ IPTV nên áp dụng mô hình khai phá dữ liệu logfile để giám sát và phát hiện sớm các cuộc tấn công DoS, nhằm giảm thiểu thiệt hại và duy trì chất lượng dịch vụ. Thời gian triển khai dự kiến trong 6 tháng.

2. Tăng cường đào tạo và nâng cao nhận thức về an toàn thông tin: Đào tạo đội ngũ quản trị mạng về kỹ thuật khai phá dữ liệu và phân tích logfile để nâng cao năng lực phát hiện và xử lý sự cố bảo mật. Chủ thể thực hiện là các tổ chức đào tạo CNTT và phòng CNTT doanh nghiệp, trong vòng 3 tháng.

3. Phát triển phần mềm cảnh báo tự động tích hợp với hệ thống quản lý mạng: Nâng cấp phần mềm DoSAlert hoặc phát triển các công cụ tương tự có khả năng tích hợp với hệ thống quản lý mạng hiện có, hỗ trợ cảnh báo tự động và phản ứng nhanh với các sự cố. Thời gian phát triển khoảng 4-6 tháng.

4. Mở rộng nghiên cứu và ứng dụng khai phá dữ liệu cho các loại tấn công khác: Nghiên cứu áp dụng các kỹ thuật khai phá dữ liệu nâng cao để phát hiện các loại tấn công mạng phức tạp hơn như tấn công khai thác lỗ hổng giao thức, tấn công DDoS đa dạng. Chủ thể thực hiện là các viện nghiên cứu và trung tâm an ninh mạng trong 12 tháng.

Đối tượng nên tham khảo luận văn

1. Quản trị viên mạng và chuyên gia an ninh mạng: Nắm bắt phương pháp khai phá dữ liệu logfile để nâng cao khả năng phát hiện và xử lý các cuộc tấn công DoS trong hệ thống mạng IPTV và các hệ thống CNTT khác.

2. Các nhà cung cấp dịch vụ IPTV và viễn thông: Áp dụng mô hình để giám sát an toàn hệ thống, đảm bảo chất lượng dịch vụ và giảm thiểu rủi ro từ các cuộc tấn công mạng.

3. Nhà nghiên cứu và sinh viên chuyên ngành Công nghệ Thông tin, Hệ thống Thông tin: Tham khảo các kỹ thuật khai phá dữ liệu, phân lớp và phân cụm dữ liệu trong lĩnh vực an toàn thông tin và quản trị mạng.

4. Các tổ chức, doanh nghiệp nhỏ và vừa tại Việt Nam: Tìm hiểu giải pháp bảo mật chi phí thấp, dễ triển khai phù hợp với môi trường CNTT hiện tại nhằm nâng cao an toàn thông tin.

Câu hỏi thường gặp

1. Khai phá dữ liệu logfile là gì và tại sao quan trọng trong phát hiện tấn công DoS?
   Khai phá dữ liệu logfile là quá trình trích xuất thông tin hữu ích từ các bản ghi log hệ thống để phát hiện các mẫu bất thường. Trong phát hiện tấn công DoS, nó giúp nhận diện các đợt bùng nổ kết nối bất thường từ các máy trạm đến máy đích, từ đó cảnh báo kịp thời.

2. Phân lớp và phân cụm dữ liệu khác nhau như thế nào trong nghiên cứu này?
   Phân lớp dữ liệu sử dụng tập dữ liệu đã gán nhãn để nhóm các bản ghi log theo máy đích dựa trên địa chỉ IP và cổng dịch vụ. Phân cụm dữ liệu là kỹ thuật không giám sát, nhóm các bản ghi có địa chỉ máy trạm giống nhau trong mỗi lớp máy đích nhằm xác định số lượng kết nối từ từng nguồn.

3. Ngưỡng kết nối (Threshold) và khoảng thời gian (Interval) được xác định như thế nào?
   Ngưỡng kết nối là số lượng kết nối tối thiểu từ một máy trạm đến máy đích trong khoảng thời gian Interval để được coi là bất thường. Trong thực nghiệm, Threshold được đặt là 500 kết nối và Interval là 10 giây, dựa trên đặc điểm vận hành và yêu cầu bảo mật của hệ thống.

4. Phần mềm DoSAlert hoạt động như thế nào trong việc phát hiện tấn công?
   DoSAlert thu thập dữ liệu logfile của Firewall theo thời gian thực, phân lớp và phân cụm các bản ghi log, đếm số lượng kết nối từ từng máy trạm đến máy đích trong khoảng thời gian định trước. Khi số lượng kết nối vượt ngưỡng, phần mềm sẽ cảnh báo tấn công DoS trên giao diện người dùng.

5. Mô hình này có thể áp dụng cho các hệ thống mạng khác ngoài IPTV không?
   Có, mô hình khai phá dữ liệu logfile dựa trên phân lớp và phân cụm có thể áp dụng cho nhiều hệ thống mạng khác có sử dụng Firewall và tạo ra dữ liệu log tương tự, giúp phát hiện các cuộc tấn công DoS trong môi trường mạng đa dạng.

Kết luận

• Đã xây dựng thành công mô hình khai phá dữ liệu logfile của Firewall trong hệ thống mạng IPTV nhằm phát hiện tấn công từ chối dịch vụ dựa trên phân lớp và phân cụm dữ liệu.
• Mô hình cho phép phát hiện kịp thời các đợt bùng nổ kết nối bất thường từ máy trạm đến máy đích, hỗ trợ cảnh báo tấn công DoS hiệu quả.
• Phần mềm DoSAlert được phát triển và thử nghiệm trong môi trường thực tế, cho kết quả phù hợp với tiêu chí cảnh báo đề ra.
• Giải pháp có ưu điểm chi phí thấp, dễ triển khai, phù hợp với môi trường CNTT tại Việt Nam và có thể mở rộng ứng dụng cho các hệ thống mạng khác.
• Đề xuất các bước tiếp theo bao gồm mở rộng nghiên cứu phát hiện các loại tấn công mạng khác và phát triển phần mềm tích hợp cảnh báo tự động.

Call-to-action: Các tổ chức và doanh nghiệp hoạt động trong lĩnh vực IPTV và CNTT nên cân nhắc áp dụng mô hình khai phá dữ liệu logfile để nâng cao khả năng bảo vệ hệ thống trước các cuộc tấn công mạng, đồng thời tiếp tục nghiên cứu và phát triển các giải pháp bảo mật phù hợp với xu hướng công nghệ hiện đại.

Trích đoạn nội dung tài liệu

CHƯƠNG 1: SƠ BỘ VỀ LOGFILE MẠNG IPTV 1. GIỚI THIỆU VỀ MẠNG IPTV 1. IPTV là gì Cuối thập kỷ trước, cùng sự phát triển của các dịch vụ truyền hình vệ tinh, sự tăng trưởng của dịch vụ truyền hình cáp số, và đặc biệt là sự ra đời của HDTV (High Definition Television) đã để lại dấu ấn đối với lĩnh vực truyền hình. Tuy nhiên, hiện nay trên thế giới đã xuất hiện một phương thức cung cấp dịch vụ mới mạnh hơn, đó là IPTV (Internet Protocol Television).

IPTV ra đời dựa trên sự hậu thuẫn của ngành viễn thông, đặc biệt là mạng băng rộng; IPTV dễ dàng cung cấp nhiều hoạt động tương tác hơn, tạo nên sự cạnh tranh mạnh mẽ hơn cho các doanh nghiệp kinh doanh dịch vụ truyền hình. Sự phát triển nhanh chóng của mạng Internet băng rộng làm thay đổi cả về nội dung và kĩ thuật truyền hình. IPTV là một hệ thống cung cấp các dịch vụ truyền hình số tới các thuê bao sử dụng giao thức IP trên kết nối băng rộng. IPTV thường được cung cấp cùng với dịch vụ VoD và cũng có thể cung cấp cùng với các dịch vụ Internet khác như truy cập Web và VoIP, do đó còn được gọi là “Triple Play” và được cung cấp bởi nhà khai thác dịch vụ băng rộng sử dụng chung một hạ tầng mạng.

Hiện nay IPTV đang là cấp độ cao nhất và là công nghệ truyền hình của tương lai. Sự vượt trội trong kĩ thuật truyền hình của IPTV là tính năng tương tác giữa hệ thống với người xem, cho phép người xem chủ động về thời gian và khả năng triển khai nhiều dịch vụ giá trị gia tăng tiện ích khác trên hệ thống nhằm đáp ứng nhu cầu của người sử dụng. Đây cũng là xu hướng hội tụ của mạng viễn thông thế giới. Trên thế giới đã có một số quốc gia triển khai thành công IPTV.

Tại Việt Nam một số nhà cung cấp IPTV như VNPT, FPT, VTC,… Hệ thống IPTV truyền tải các kênh truyền hình quảng bá và nội dung video, audio theo yêu cầu chất lượng cao qua một mạng băng thông rộng. Theo tổ chức Liên Hiệp Viễn Thông Quốc Tế ITU thì: IPTV là dịch vụ đa phương tiện bao gồm truyền hình, video, audio, văn bản, đồ họa và dữ liệu truyền trên một mạng IP và được quản lý để đáp ứng yêu cầu về chất lượng dịch vụ (Quality of Serice – QoS), sự trải nghiệm (Quality of Experience – QoE), tính bảo mật, tính tương tác và độ tin cậy [13]. Kiến trúc tổng quan mạng IPTV Hệ thống IPTV bao gồm 04 thành phần quan trọng, đó là: nội dung (Content), nền tảng (Platform), hệ thống mạng (Network), và thiết bị đầu cuối (Terminal). Trong mô hình kinh doanh, 04 thành phần trên tương ứng với 04 vai trò sau: nhà cung cấp nội dung (Content Provider), nhà cung cấp dịch vụ LUAN VAN CHAT LUONG download : add luanvanchat@agmail.

Kiến trúc tổng quan mạng IPTV như sau [14]: Hình 1.1: Mô hình tổng quan hệ thống IPTV Thành phần nội dung (Content) [14]: bao gồm âm thanh, hình ảnh, dữ liệu, dữ liệu văn bản, và các ứng dụng. Những nội dung này được phân phối thông qua các kênh khác nhau như vệ tinh, truyền hình mặt đất, cơ sở dữ liệu của nhà cung cấp nội dung, v.v… Thành phần nền tảng (Platform) [14]: bao gồm việc nhận dữ liệu nội dung, xử lý, truyền tải, bảo mật và quản lý tùy theo quy định của nhà cung cấp dịch vụ. Thành phần này bao gồm các hệ thống chính sau: - Hệ thống nhận nội dung: nhận các tín hiệu nguồn từ nhà cung cấp nội dung, nhà cung cấp chương trình, thông qua truyền hình mặt đất, vệ tinh, cáp, mạng IP, v.v… Đồng thời, hệ thống này kiểm soát việc phân phối tín hiệu thông qua các bộ chuyển mạch và giám sát việc phát nội dung thông qua phòng điểu khiển chính. - Hệ thống xử lý và truyền tải: hệ thống này thực hiện việc nén các tín hiệu nhận được theo một định dạng nhất định (ví dụ: H.264, MPEG2, VC1), sau đó đóng gói thành theo định dạng IP và chuyển sang hệ thống mạng.

- Hệ thống xử lý giá trị gia tăng: sử dụng các middleware và các nền tảng ứng dụng để cung cấp các dịch vụ dữ liệu bổ sung như thông tin, thương mại, truyền thông, giải trí, giáo dục. - Hệ thống bảo mật: bao gồm các hệ thống quản lý bản quyền số, các hệ thống mã hóa và giải mã nội dung, hệ thống kiểm soát truy nhập nhằm ngăn chặn việc khai thác nội dung bất hợp pháp. Trong đó, hệ thống quản lý bản quyền số (DRM) giúp nhà khai thác bảo vệ nội LUAN VAN CHAT LUONG download : add [e-mail] 13 dung của mình, như trộn các tín hiệu truyền hình hay mã hóa nội dung VoD, khi truyền đi trên mạng Internet và tích hợp với tính năng an ninh tại STB ở phía thuê bao. Hệ thống DRM dựa trên các khái niệm của hệ thống cơ sở hạ tầng khoá công khai (Public Key Infrastructure – PKI.

Ngoài ra, hệ thống bảo mật cũng bao gồm các thiết bị chuyên dụng khác như: tường lửa (firewall), thiết bị phát hiện và ngăn chặn xâm nhập (ips), thiết bị quản lý log tập trung, v.v… - Hệ thống quản lý: thực hiện phối hợp và kiểm soát các hoạt động nội bộ giữa các hệ thống phụ và trong toàn bộ hệ thống. Ngoài ra, hệ thống này còn quản lý và lên lịch cho cách chương trình, nội dung và các thiết bị, đồng thời quản lý các thông tin về trạng thái thuê bao và tính cước. Thành phần hệ thống mạng (Network) [14]: thành phần này bao gồm hạ tầng mạng IP băng rộng để truyền dịch vụ từ nhà cung cấp dịch vụ IPTV đến khách hàng. Mạng truy nhập sẽ tận dụng phần hạ tầng mạng xDSL có sẵn.

Để cung cấp dịch vụ với chất lượng tốt và tiêu thụ ít băng thông khi có đồng thời nhiều truy nhập đến hệ thống, mạng truy nhập băng rộng cần phải được hỗ trợ multicast. Thành phần đầu cuối (Terminal) [14]: thành phần này nằm ở phía khách hàng, bao gồm các thiết bị cho phép thu nhận, giải mã và hiển thị nội dung trên tivi như Set-Top-Box (STB). STB cần hỗ trợ các chuẩn MPEG-4/H. Ngoài ra, STB cũng có thể hỗ trợ HDTV, có khả năng kết nối với các thiết bị lưu trữ bên ngoài, video phone, truy nhập web, v.

Các dịch vụ của mạng IPTV Cung cấp các dịch vụ quảng bá: Quảng bá ti vi (Broadcast TV); kênh âm thanh (Audio Channel); truyền hình trực tuyến (Time-Shift TV); VOD băng hẹp [8]. Cung cấp các dịch vụ theo yêu cầu: Video theo yêu cầu (Video on Demand - VoD); âm nhạc theo yêu cầu (Music on Demand - MoD); TV theo yêu cầu (TV on Demand - TVoD) [8]. Cung cấp các dịch vụ tương tác: thông tin tương tác (Interactive Information); truyền hình tương tác (Interactive TV); công ích, từ thiện,. DỮ LIỆU LOGFILE MẠNG IPTV Trong một hệ thống mạng lớn như IPTV, các nhà cung cấp dịch vụ thường thu thập một lượng lớn dữ liệu như log thiết bị, log hệ thống, các thông LUAN VAN CHAT LUONG download : add [e-mail] 14 tin cảnh báo, thông điệp điều khiển được tạo ra trên mạng lưới bởi các ứng dụng hoặc thiết bị.

Những dữ liệu này thường đa dạng và phức tạp bởi có rất nhiều thiết bị khác nhau tham gia vào hệ thống. Các máy chủ với các hệ điều hành khác nhau cũng tạo ra một lượng lớn dữ liệu log. Ngoài ra còn có log của những ứng dụng hoạt động trên hệ thống. Trong mạng IPTV, thường gặp một số loại logfile hệ thống sau: - Firewall logs: là các bản ghi log ghi lại trạng thái hoạt động của Firewall, các kết nối vào ra hệ thống, các hành động mà Firewall đã thực thi đối với từng kết nối (cho phép hoặc chặn), thông tin về nguồn kết nối, đích kết nối, v.v… - Router syslogs [11]: đó là các log được tạo ra bởi các router trong đó mô tả một loạt các sự kiện được router ghi lại.

- STB logs [11]: là các bản ghi mô tả lại những hoạt động của người dùng cuối, chẳng hạn tắt, bật STB, yêu cầu nội dung, v. - Các log ứng dụng, đặc biệt là log ứng dụng web, cho phép khai thác các dữ liệu được thu thập khi người dùng truy cập máy chủ web nhằm thực hiện một số tác vụ như xem và yêu cầu dịch vụ truyền hình, đăng ký và sử dụng các dịch vụ giá trị gia tăng,v.v… Các log ứng dụng khác có thể được sử dụng cho những yêu cầu phân tích cụ thể. Logfile Firewall Trong hệ thống IPTV, vấn đề đảm bảo an toàn an ninh trong quá trình cung cấp dịch vụ luôn được quan tâm. Đây cũng là một trong những yêu cầu hàng đầu trong quá trình thiết kế, xây dựng của hệ thống IPTV nói riêng và các hệ thống CNTT nói chung.

Hiện nay có rất nhiều giải pháp an toàn thông tin được áp dụng trong các hệ thống CNTT. Trong đó, Firewall là giải pháp bảo mật phổ biến nhất, và là một trong những trang bị tiêu chuẩn cần có đối với một hệ thống IPTV. Firewall cho phép người quản trị kiểm soát các truy nhập ra vào hệ thống, ngăn chặn những truy nhập bất hợp pháp. Các Firewall thế hệ mới ngoài chức năng kiểm soát kết nối cơ bản còn được tích hợp thêm các module bảo mật khác như: module phát hiện và ngăn chặn xâm nhập, module thiết lập kết nối mạng riêng ảo, module dò quét virus,… Trong quá trình vận hành, việc phân tích dữ liệu log của Firewall đóng vai trò quan trọng trong việc đánh giá hiệu quả hoạt động, điều tra truy vết khi xảy ra sự cố trên hệ thống, thống kê đánh giá lưu lượng kết nối và hiệu năng của hệ thống, v.

Đặc biệt, do lưu lại những thông tin liên quan đến các kết nối từ bên ngoài vào hệ thống nên dữ liệu log của Firewall rất hữu ích trong việc phát hiện và cảnh báo các cuộc tấn công từ chối dịch vụ. LUAN VAN CHAT LUONG download : add [e-mail] 15 Log của các loại Firewall khác nhau sẽ có cấu trúc khác nhau, được lưu dưới những định dạng khác nhau. Hai định dạng phổ biến của log Firewall là cơ sở dữ liệu và logfile. Luận văn này sẽ tập trung vào việc phân tích dữ liệu log được lưu trữ dưới dạng file nhằm mục đích phát hiện ra các cuộc tấn công Từ chối dịch vụ.

Ví dụ về cấu trúc logfile của Firewall ISA Server 2006: Hình 1.2: Dữ liệu logfile của Firewall ISA Server 2006 1.