I. Tổng quan về hệ thống phát hiện xâm nhập IDS trên FPGA
Đề tài nghiên cứu tại Đại học Sư phạm Kỹ thuật TP.HCM tập trung vào thiết kế hệ thống phát hiện xâm nhập IDS trên nền tảng vi mạch FPGA. Xu hướng IoT bùng nổ kéo theo nhiều nguy cơ an ninh mạng nghiêm trọng. Các giải pháp IDS chạy trên máy chủ truyền thống thường tiêu thụ nhiều năng lượng. Hệ thống máy chủ cũng gặp khó khăn trong việc đáp ứng yêu cầu xử lý thời gian thực đối với các gói tin tốc độ cao. Do đó, việc chuyển dịch thuật toán máy học xuống phần cứng nhúng là hướng đi cấp thiết. Nhóm nghiên cứu thuộc Khoa Điện – Điện tử đã ứng dụng nền tảng Xilinx Zynq-7000 SoC. Nền tảng này tích hợp bộ xử lý ARM cùng mảng logic khả trình trên cùng một chip. Thuật toán Random Forest được lựa chọn nhờ cấu trúc phân nhánh rõ ràng và khả năng xử lý song song vượt trội. Mô hình cho phép phát hiện sớm các cuộc tấn công DoS, DDoS hay quét cổng mạng. Toàn bộ thiết kế hướng tới sự cân bằng giữa hiệu năng phân loại và tài nguyên phần cứng. Công trình tạo tiền đề vững chắc cho các thiết bị giám sát mạng biên thế hệ mới.
1.1. Mục tiêu và bối cảnh nghiên cứu đề tài IDS
Bối cảnh kết nối Internet vạn vật đặt ra áp lực bảo mật rất lớn cho hạ tầng mạng. Các thiết bị IoT thường có năng lực tính toán yếu. Thực trạng này khiến các thiết bị mạng trở thành mục tiêu lý tưởng cho các cuộc tấn công mã độc. Đề tài tại ĐH SPKT TP.HCM đặt mục tiêu chế tạo hệ thống IDS nhúng hoạt động độc lập và tin cậy. Thiết bị phải đảm bảo phát hiện xâm nhập nhanh chóng với lượng tài nguyên tiêu thụ tối thiểu. Hệ thống giám sát luồng lưu lượng liên tục để nhận diện hành vi bất thường. Mục tiêu nghiên cứu không chỉ dừng lại ở mô phỏng lý thuyết. Đề tài hướng tới việc kiểm thử trực tiếp trên phần cứng thật nhằm xác thực tốc độ xử lý và tính ứng dụng thực tế.
1.2. Vai trò của kiến trúc Zynq 7000 trong hệ thống IDS
Kiến trúc Zynq-7000 SoC đóng vai trò trái tim của toàn bộ thiết kế IDS. Dòng chip này tích hợp hai phân hệ chính gồm hệ thống xử lý PS và mảng logic lập trình PL. Phân hệ PS vận hành hệ điều hành Petalinux để quản lý giao tiếp mạng, nạp dữ liệu và điều khiển trung tâm. Ngược lại, phân hệ PL chịu trách nhiệm tăng tốc phần cứng cho các thuật toán phân loại gói tin phức tạp. Sự kết hợp này tận dụng triệt để tính linh hoạt của phần mềm cùng tốc độ tính toán song song của phần cứng. Cơ chế bus AXI nội bộ đảm bảo truyền nhận dữ liệu giữa hai miền với độ trễ cực thấp. Nhờ đó, giải pháp đạt hiệu năng vượt trội so với các hệ thống nhúng CPU thuần túy.
II. Phân tích thách thức hệ thống phát hiện xâm nhập IDS trên FPGA
Việc triển khai các mô hình học máy lên phần cứng FPGA đối mặt với nhiều rào cản kỹ thuật khắt khe. Phần cứng khả trình sở hữu tài nguyên logic Look-Up Table, Flip-Flop và khối nhớ BRAM giới hạn. Trong khi đó, các mô hình học máy hiện đại thường đòi hỏi khối lượng phép tính số thực dấu phẩy động khổng lồ. Nếu chuyển đổi trực tiếp các phép tính số thực sang phần cứng, diện tích vi mạch sẽ tiêu hao rất nhanh. Điều này cũng làm tăng công suất tiêu thụ và giảm tần số hoạt động tối đa của hệ thống. Bên cạnh rào cản tài nguyên, bài toán độ trễ xử lý gói tin mạng đòi hỏi sự tối ưu hóa triệt để. Kiến trúc máy trạng thái hữu hạn truyền thống thường gây nghẽn cổ chai khi dữ liệu đi qua nhiều chu kỳ xung nhịp. Việc thiết kế mô hình phân loại phải đảm bảo tính toán song song mà không làm tràn tài nguyên chip. Ngoài ra, việc lựa chọn tập dữ liệu huấn luyện đặc trưng cho môi trường mạng IoT cũng quyết định trực tiếp đến độ tin cậy của hệ thống IDS.
2.1. Hạn chế tài nguyên phần cứng và bài toán lượng tử hóa
Phần cứng FPGA không tối ưu cho các phép tính số thực dấu phẩy động 32-bit hoặc 64-bit. Khi cố gắng tổng hợp các phép so sánh số thực, số lượng LUT và DSP tăng vọt. Vấn đề này đe dọa trực tiếp đến khả năng chứa mô hình trên dòng chip Zynq tầm trung. Quá trình lượng tử hóa dữ liệu trở thành bước can thiệp bắt buộc để giải quyết xung đột. Các giá trị đặc trưng và ngưỡng phân nhánh tại mỗi node được ánh xạ thành số nguyên có độ dài bit cố định. Thao tác này giúp mạch logic chỉ cần thực hiện phép so sánh số nguyên đơn giản. Lượng tài nguyên phần cứng tiết kiệm được cho phép tích hợp nhiều cây quyết định hơn trên một đế vi mạch.
2.2. Nhược điểm về độ trễ của máy trạng thái hữu hạn FSM
Cách tiếp cận truyền thống khi triển khai cây quyết định trên phần cứng thường áp dụng máy trạng thái hữu hạn FSM. Mỗi bước duyệt qua một node phân nhánh tương ứng với một trạng thái riêng biệt. Cơ chế này buộc dữ liệu đầu vào phải trải qua nhiều chu kỳ xung nhịp mới đi tới node lá. Trong các đợt bùng phát tấn công mạng với hàng triệu gói tin mỗi giây, phương pháp dùng FSM tạo ra độ trễ tích lũy nghiêm trọng. Hàng đợi gói tin dễ rơi vào tình trạng tràn bộ đệm gây mất gói. Vì vậy, việc loại bỏ hoàn toàn máy trạng thái và chuyển sang cấu trúc mạch tổ hợp thuần túy là yêu cầu sống còn nhằm đáp ứng tốc độ đường truyền.
III. Phương pháp thiết kế hệ thống phát hiện xâm nhập IDS trên FPGA
Quy trình thực hiện tại ĐH SPKT TP.HCM khởi đầu bằng việc phân tích tập dữ liệu BoT-IoT. Dữ liệu thô trải qua các bước tiền xử lý, chuẩn hóa và lượng tử hóa sang số nguyên không dấu. Thuật toán Random Forest được huấn luyện lại trên môi trường Python nhằm xác định cấu trúc phân nhánh tối ưu. Nhóm nghiên cứu áp dụng các chỉ số Gini Impurity và Gini Importance để đo lường độ thuần khiết và lọc bỏ các đặc trưng dư thừa. Sau khi trích xuất tham số, từng cây quyết định được mô tả trực tiếp bằng ngôn ngữ phần cứng Verilog dưới dạng logic tổ hợp song song. Thiết kế loại bỏ hoàn toàn FSM giúp kết quả dự đoán xuất hiện ngay sau độ trễ lan truyền tín hiệu. Khối tổng hợp kết quả áp dụng cơ chế bỏ phiếu số đông majority voting để đưa ra nhãn cuối cùng. Toàn bộ mô-đun được đóng gói thành một IP core chuẩn AXI và tích hợp vào Vivado Block Design. Hệ điều hành Petalinux kết nối phần cứng thông qua trình điều khiển phần mềm, hoàn thiện quy trình phát hiện xâm nhập toàn diện.
3.1. Kỹ thuật chuyển đổi Verilog và cơ chế bỏ phiếu song song
Mỗi cây quyết định trong mô hình Random Forest được biên dịch trực tiếp sang các khối lệnh rẽ nhánh if-else trong Verilog. Việc biểu diễn này tạo ra các cây logic tổ hợp hoạt động hoàn toàn đồng thời. Khi đặc trưng đầu vào xuất hiện trên bus tín hiệu, tất cả các cây tiến hành đánh giá song song độc lập. Các tín hiệu ngõ ra từ từng cây được đưa ngay vào bộ cộng số đông majority voting. Cơ chế bỏ phiếu tính tổng số phiếu bầu giữa lớp bình thường và lớp tấn công, sau đó quyết định nhãn cuối cùng. Nhờ loại bỏ việc duyệt tuần tự, thời gian xử lý mỗi mẫu dữ liệu chỉ tiêu tốn một vài chu kỳ xung nhịp mà không làm suy giảm độ chính xác tổng thể.
3.2. Tích hợp IP core và điều khiển trên nền tảng Petalinux
Khối Random Forest sau khi hoàn thiện được đóng gói thành IP tùy biến trong Vivado Design Suite. Nhóm nghiên cứu kết nối IP này với hệ thống vi xử lý PS qua giao diện bus AXI4-Lite. Sơ đồ Block Design tổng thể bao gồm các khối điều khiển bộ nhớ và quản lý ngắt hệ thống. Tiếp đó, hệ điều hành Petalinux được biên dịch để tạo môi trường nhúng Linux hoàn chỉnh trên vi xử lý ARM. Trình điều khiển bộ nhớ UIO được kích hoạt nhằm cho phép tầng ứng dụng truy xuất trực tiếp các thanh ghi phần cứng. Một đoạn mã Python trên Petalinux đảm nhận việc nạp dữ liệu kiểm thử, kích hoạt xung nhịp và thu nhận nhãn phân loại từ phân hệ PL.
IV. Kết luận ứng dụng hệ thống phát hiện xâm nhập IDS trên FPGA
Đề tài tốt nghiệp tại Trường Đại học Sư phạm Kỹ thuật TP.HCM đã chứng minh tính khả thi của giải pháp IDS trên FPGA. Kết quả thực nghiệm khẳng định mô hình Random Forest trên nền tảng Zynq-7000 đạt tốc độ phản hồi vượt bậc. Phần cứng xử lý chính xác các mẫu tấn công từ bộ dữ liệu BoT-IoT mà không gây quá tải hệ thống. Việc kết hợp nhịp nhàng giữa PS chạy Petalinux và PL tăng tốc phần cứng tạo nên một kiến trúc cân đối. Giải pháp này mở ra tiềm năng ứng dụng to lớn trong bảo vệ các trạm gateway IoT công nghiệp. Thiết bị có thể triển khai trực tiếp tại các nút biên mạng nhằm ngăn chặn xâm nhập trước khi lưu lượng độc hại lan sâu vào hệ thống lõi. Trong tương lai, nghiên cứu có thể mở rộng để phân loại đa lớp tấn công chi tiết hơn như DoS, DDoS hay trinh sát mạng. Khả năng tự động cập nhật trọng số mô hình từ xa qua mạng cũng là hướng phát triển đầy hứa hẹn cho hệ thống.
4.1. Hiệu năng vận hành và mức tiêu thụ tài nguyên
Các thử nghiệm thực tế trên bo mạch Zynq cho thấy mô hình phần cứng vận hành với độ ổn định rất cao. Tốc độ dự đoán của mảng logic PL chỉ mất vài nano giây cho mỗi gói tin. Mức tiêu thụ tài nguyên LUT và Flip-Flop duy trì ở ngưỡng an toàn, không gây cạn kiệt dung lượng chip. Điều này cho phép hệ thống dễ dàng tích hợp thêm các mô-đun mạng khác trên cùng một nền tảng phần cứng. Mức tiêu hao năng lượng tổng thể thấp hơn đáng kể so với việc chạy mô hình trên máy tính nhúng chuyên dụng. Đây là ưu thế then chốt giúp giải pháp phù hợp với các hệ thống nhúng hoạt động liên tục.
4.2. Hướng phát triển cho các hệ thống an ninh mạng biên
Nghiên cứu mở ra triển vọng ứng dụng rộng rãi tại các hệ thống phòng thủ mạng biên IoT. Trong tương lai, việc tích hợp bộ thu thập gói tin trực tiếp từ cổng mạng Ethernet vào PL sẽ giúp loại bỏ hoàn toàn sự can thiệp của CPU. Hệ thống có thể tự động cô lập địa chỉ IP tấn công ngay tại tầng vật lý. Đồng thời, việc nâng cấp thuật toán sang các mô hình học sâu rút gọn như MLP hoặc CNN nhúng sẽ gia tăng khả năng phát hiện các biến thể tấn công zero-day tinh vi. Kết quả từ ĐH SPKT TP.HCM đóng góp cơ sở thực tiễn giá trị cho việc phát triển các thiết bị tường lửa nhúng nội địa.
