Chương 1 của luận văn giới thiệu tổng quan về công nghệ Software Defined Network (SDN) bằng cách đưa ra một vài so sánh giữa mạng truyền thống và công nghệ mạng mới SDN. Đồng thời luận văn cũng trình bày tổng quan về kỹ thuật End-hopping, các công trình nghiên cứu liên quan, tính mới, các phương pháp nghiên cứu và những đóng góp chính của luận văn. Tổng quan mạng định nghĩa phần mềm SDN Công nghệ SDN là công nghệ hoàn toàn mới, là một kiến trúc mạng mới có ưu điểm dễ dàng quản lý, cấu hình, quản trị với chi phí thấp, nhằm nâng cao khả năng vận hành và quản trị hệ thống phù hợp với nhu cầu sử dụng internet ngày càng tăng như hiện nay. Trong kiến trúc mạng SDN, ở đó các thiết bị như switch, router sẽ được tách ra thành hai phần riêng biệt: Mặt phẳng điều khiển (Control Plane) chịu trách nhiệm điều khiển việc chuyển tiếp gói tin; Mặt phẳng dữ liệu (Data Plane) thực hiện việc chuyển tiếp các gói tin dựa theo lệnh mà Mặt phẳng điều khiển đưa ra.
Sử dụng giao thức OpenFlow (OF) nên mặt phẳng điều khiển và mặt phẳng dữ liệu giao tiếp với nhau dễ dàng, thuận tiện và chính xác. Với SDN thông qua một giao diện duy nhất việc quản lý mạng được thực hiện tập trung trên một hay nhiều controller khác nhau giúp tăng cường khả năng ảo hóa mạng, dễ dàng triển khai mà không cần yêu cầu cao về phần cứng. Kiến trúc mạng truyền thống Trong mạng truyền thống các thiết bị chuyển mạch, định tuyến như router, switch đóng vai trò logic trong định tuyến, điều khiển quá trình trao đổi thông tin, tính toán xử lý dữ liệu được thực hiện tại mỗi router hay switch riêng biệt. Do đó, đối với một hệ thống mạng lớn người quản trị phải cấu hình từng thiết bị riêng lẻ, do không có sự liên hệ với nhau về mặt quản trị của các thiết bị.
Mô hình mạng truyền thống Có thể thấy trong mạng truyền thống với mô hình mạng Hình 1.1 việc cấu hình, vận hành hệ thống trở lên vô cùng khó khăn, người quản trị phải thay đổi cấu hình trên từng thiết bị riêng lẻ một cách tuần tự, chưa kể đến những khó khăn phát sinh khi mở rộng hay phát triển hệ thống. Khi đó trong mạng SDN người quản trị chỉ cần cấu hình duy nhất trên controller, từ controller các lệnh sẽ được đẩy đến các thiết bị chuyển mạch trong hệ thống Hình 1. Mô hình mạng SDN 3 Hình 1. Kiến trúc mạng truyền thống Kiến trúc trong mạng truyền thống, mặt phẳng dữ liệu và mặt phẳng điều khiển điều nằm cùng trên một thiết bị vật lý, các thiết bị hoàn toàn độc lập với nhau, do đó các chính sách chuyển tiếp dữ liệu cũng hoạt động độc lập trên mỗi thiết bị.
Người quản trị có thể nắm được toàn bộ hệ thống mạng bằng việc hiển thị trên phần mềm quản trị là tương đối khó khăn. Kiến trúc SDN Kiến trúc SDN là kiến trúc mạng linh hoạt, điều khiển tập trung, đặc điểm chính của SDN là trừu tượng hóa hệ thống mạng thành hai mặt phẳng nhằm tối ưu các chức năng nhiệm vụ của mặt phẳng dữ liệu và mặt phẳng điều khiển. Trong đó mặt phẳng điều khiển được tách khỏi thiết bị vật lý và được cài đặt trên bộ điều khiển controller. Từ bộ điều khiển này người quản trị có thể nhìn thấy toàn bộ hệ thống mạng từ đó đưa ra các phương pháp chuyển tiếp tối ưu và việc quản trị được thực hiện trên một giao diện duy nhất Hình 1.
Kiến trúc mạng SDN 4 Trong Hình 1.5 có thể thấy rằng kiến trúc SDN được chia làm 3 lớp: lớp hạ tầng (Infrastructure layer), lớp điều khiển (Control layer), lớp ứng dụng (Application layer). Ba lớp này liên kết với nhau thông qua giao thức OF hoặc API. Các lớp trong kiến trúc mạng SDN - Lớp cơ sở hạ tầng mạng (Infrastructure layer): lớp vật lý của hệ thống mạng, bao gồm các thiết bị phần cứng mạng được gọi là các bộ chuyển mạch. Những bộ chuyển mạch này cung cấp các chức năng chuyển mạch và chuyển tiếp dữ liệu các gói tin.
Dữ liệu sẽ được chuyển tiếp dựa trên những chỉ thị từ mặt phẳng điều khiển thông qua giao thức OF. Mỗi thiết bị mạng có thể chịu sự điều khiển của nhiều controller khác nhau giúp tăng cường khả năng ảo hóa mạng. - Lớp điều khiển (Control layer): là lớp thứ hai nằm phía trên lớp cơ sở hạ tầng mạng, là nơi tập trung các controller có vai trò cung cấp chức năng quản lý tập trung, thực thi các chính sách xử lý gói tin từ các phần mềm ứng dụng từ lớp ứng dụng xuống lớp cơ sở hạ tầng, đồng thời cung cấp tài nguyên hệ thống mạng từ lớp hạ tầng cho lớp ứng dụng phía trên. Lớp điều khiển có vai trò hoạt động như bộ não của hệ thống mạng 5 do tất cả các thông tin liên lạc giữa các ứng dụng và các thiết bị mạng đều phải đi qua bộ điều khiển SDN Controller thông qua giao thức OF.
- Lớp ứng dụng (Application layer): gồm các ứng dụng được triển khai trên mạng sử dụng các dịch vụ truyền thông qua SDN. Quá trình giao tiếp giữa lớp ứng dụng và lớp điều khiển được thực hiện thông qua các API, cho phép lớp ứng dụng có khả năng lập trình lại thông qua lớp điều khiển giúp cho hệ thống mạng hoạt động tối ưu. Thách thức công nghệ SDN SDN công nghệ mạng mới ra đời đã giúp giải quyết nhiều hạn chế của mạng truyền thống. Bên cạnh những ưu điểm thì cũng như mạng truyền thống, SDN cũng phải đối mặt với vấn đề bảo mật, khả năng bị tấn công là thách thức không hề nhỏ cho các nhà phát triển cũng như người quản trị hệ thống.
Với sự phát triển nhanh chóng của các loại kỹ thuật tấn công mới như khai thác lỗ hổng zero-day, Application level attacks và các mối đe dọa thường trực thì an ninh mạng phải đối mặt với thách thức rất nghiêm trọng đó là dễ bị tấn công và rất khó phòng thủ. Bên cạnh đó, kẻ tấn công có rất nhiều lợi thế về thời gian bởi vì họ có đủ thời gian để quét và thu thập thông tin của hệ thống mục tiêu trước khi triển khai tấn công. Với lợi thế thu thập thông tin một chiều nghĩa là end-point bị tấn công không hề hay biết về việc bị do thám, kẻ tấn công có thể cài lén các mã độc backdoors để chiếm quyền điều khiển và đe dọa hệ thống mạng một khi lỗ hổng được phát hiện. Hơn nữa với các phương pháp phòng thủ sẵn có như Firewall và Intrusion Prevention Systems (IPS) khi vận hành sẽ xuất hiện độ trễ nhất định do việc phát hiện tấn công và vá lỗ hổng thường bị tụt hậu, chậm trễ so với sự khai thác của kẻ tấn công.
Hơn nữa, bản chất của các phương pháp phòng thủ hiện tại là dựa trên kiến thức sẵn có, không thể xác định được tất cả các loại tấn công mạng để bảo vệ hệ thống một cách chủ động. Rất khó có thể thiết kế một hệ thống mạng mà không có một lỗ hổng nào gần như là không thể. Tính chắc chắn và cấu trúc tĩnh của các hệ thống mạng hiện có cung cấp cho kẻ tấn công đủ thời gian để quét 6 và phát hiện các lỗ hổng. Do đó, các cuộc tấn công mạng ngày càng có khuynh hướng tự động hóa, tinh vi hơn khi có sự kết hợp giữa phần cứng và phần mềm.
Các biện pháp bảo vệ thụ động truyền thống để khắc phục các lỗ hổng phần cứng, phần mềm chưa xác định và ngăn chặn các cuộc tấn công backdoor tiềm ẩn ngày càng khó khăn, phức tạp. Từ đó làm trầm trọng thêm sự dễ bị tấn công và rất khó phòng thủ của hệ thống mạng. Để nâng cao tính hiệu quả phòng thủ kỹ thuật End-hopping được xây dựng nhằm tạo ra một môi trường động, không xác định và không bền. End-hopping sẽ làm giảm đáng kể lợi thế của các cuộc tấn công bằng cách phá vỡ sự xác định và tính nhất quán của môi trường vận hành mạng bằng nhiều thay đổi không theo chu kỳ.
End- hopping liên tục “di chuyển” các lỗ hổng của hệ thống mạng thông qua việc thay đổi ngẫu nhiên, liên tục, được kiểm soát và quản lý bởi quản trị viên. Bằng cách này, các lỗ hổng tài nguyên mạng có thể tránh khỏi các cuộc tấn công tiềm ẩn và làm gia tăng rất nhiều thời gian công sức để tấn công thành công vào hệ thống mạng. End-hopping thay đổi tự động một hoặc nhiều thuộc tính và có thể được áp dụng cho các thuộc tính khác nhau của hệ thống chẳng hạn như địa chỉ IP, Port Number, Route Paths, giao thức, thời gian. Các công trình nghiên cứu liên quan Mạng SDN phát triển ngày càng lớn với sự quan tâm của các tập đoàn công nghệ hàng đầu như Google, Facebook, HP.
Các hãng công nghệ này đều đã tham gia nghiên cứu và xây dựng những trung tâm dữ liệu sử dụng SDN. Với các hệ thống mạng lớn, mạng Campus, Data center, SDN là công nghệ rất phù hợp với các đặc tính mềm dẻo. SDN dựa trên các tiêu chuẩn mở giúp dễ dàng mở rộng cơ sở hạ tầng, Controller và các lớp ứng dụng với mặt phẳng điều khiển duy nhất cho phép các doanh nghiệp, các nhà cung cấp dịch vụ, người quản trị tối đa hóa tính linh hoạt của hệ thống. Hiện nay, việc ứng dụng công nghệ thông tin trong các công ty, doanh nghiệp cũng như các tổ chức, chính phủ ngày càng được chú trọng, bên cạnh đó vấn đề bảo mật cũng được ưu tiên hàng đầu.
Các thiết bị chuyển mạch trong hệ thống mạng truyền 7 thống có tích hợp khả năng bảo mật thường có giá thành cao, bên cạnh đó việc tích hợp các tính năng bảo mật một cách mềm dẻo là rất khó trong kiến trúc mạng hiện tại. Trong rất nhiều phương pháp phòng thủ như tường lửa, Vlan, Proxy, Tunneling, NAT, Port hopping là một trong những phương pháp chống tấn công được nhiều các công ty cũng như sự quan tâm của các nhà nghiên cứu. Port hopping là kỹ thuật phòng thủ mạng chủ động, ẩn dấu, thay đổi port dịch vụ gây nhầm lẫn cho kẻ tấn công bằng cách liên tục thay đổi các cổng dịch vụ một cách linh động. Những công trình nghiên cứu Port-hopping tiêu biểu đã được nghiên cứu như: Yue-Bin Luo và các cộng sự [1] nghiên cứu phương pháp “Random Port and Address Hopping for Thwarting Internal and External Adversaries” của hệ thống mạng, tác giả đã phát triển một cổng mới và cơ chế nhảy địa chỉ gọi là Random Port và Address Hopping.