Triển Khai Kỹ Thuật Lừa Dối Dựa Trên SDN Cho Chiến Lược Phòng Thủ Chủ Động

Khóa luận trình bày phương pháp triển khai kỹ thuật lừa dối trong an toàn thông tin, sử dụng honeypot và honeypatch cho chiến lược phòng thủ chủ động.

• Tác giả: Trần Anh Đức
• Người hướng dẫn: TS. Nguyễn Tấn Cầm
• Trường học: Đại học Quốc gia TP. Hồ Chí Minh
• Chuyên ngành: Kỹ sư ngành An toàn thông tin
• Đề tài: Triển Khai Kỹ Thuật Lừa Dối Dựa Trên SDN Cho Chiến Lược Phòng Thủ Chủ Động
• Loại tài liệu: khóa luận tốt nghiệp
• Năm xuất bản: 2022
• Địa điểm: Thành phố Hồ Chí Minh

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. TÓM TẮT KHÓA LUẬN
• 2. GIỚI THIỆU
• 2.1. Đặt vấn đề
• 2.2. Các nghiên cứu liên quan
• 2.3. Mục tiêu của đề tài
• 2.4. Phạm vi nghiên cứu
• 2.5. Đối tượng nghiên cứu
• 2.6. Phương pháp nghiên cứu
• 2.7. Cấu trúc khóa luận
• 3. KIẾN THỨC NỀN
• 3.1. Mạng khả lập trình (Software-Defined Network)
• 3.1.1. Cơ chế hoạt động
• 3.1.2. Giao thức OpenFlow
• 3.1.3. Hoạt động của OpenFlow
• 3.2. Kỹ thuật lừa dối mạng
• 3.2.1. Các nghiên cứu và ứng dụng hiện nay dựa vào lừa dối mạng
• 3.2.2. Mô hình dựa trên thuyết trò chơi
• 3.2.3. Các honeypot được sử dụng trong hệ thống
• 3.2.4. Cơ chế hoạt động
• 3.2.5. Các công nghệ khác được sử dụng trong hệ thống
• 3.3. Malware
• 3.3.1. Giới thiệu
• 3.3.2. Các tính năng
• 3.3.3. Cơ chế hoạt động
• 3.4. Giới thiệu chung về hệ thống
• 3.4.1. Phân tích thiết kế hệ thống lừa dối mạng
• 3.4.1.1. Các thành phần liên quan
• 3.4.2. Phân tích thiết kế hệ thống Cyber Threat Intelligence
• 3.4.2.1. Hệ thống tìm kiếm mối đe dọa
• 3.4.2.2. Phân tích thiết kế hệ thống honeypatch
• 4. XÂY DỰNG HỆ THỐNG
• 4.1. Môi trường triển khai
• 4.2. Xây dựng hệ thống mạng SDN
• 4.2.1. Xây dựng hệ thống phát hiện xâm nhập
• 4.2.2. Xây dựng hệ thống quản lý log
• 4.2.3. Triển khai thu thập log từ các honeypot
• 4.2.4. Xây dựng hệ thống lừa dối mạng
• 4.2.5. Xây dựng kho bẫy
• 4.2.6. Viết các playbook để triển khai bẫy tự động
• 4.2.7. Xây dựng hệ thống honeypatch
• 4.3. Thực nghiệm và đánh giá
• 5. KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Triển Khai Kỹ Thuật Lừa Dối Dựa Trên SDN

Mạng định nghĩa bằng phần mềm (SDN) đang trở thành một giải pháp phổ biến trong việc quản lý mạng. Việc triển khai kỹ thuật lừa dối trong mạng SDN không chỉ giúp tăng cường an ninh mà còn tạo ra một lớp bảo vệ chủ động. Kỹ thuật này cho phép các tổ chức phát hiện và ứng phó với các cuộc tấn công mạng một cách hiệu quả hơn. Bài viết này sẽ đi sâu vào các khía cạnh của việc triển khai kỹ thuật lừa dối trong SDN, từ lý thuyết đến thực tiễn.

1.1. Khái Niệm Về SDN Và Kỹ Thuật Lừa Dối

SDN là một kiến trúc mạng cho phép điều khiển mạng thông qua lập trình. Kỹ thuật lừa dối như honeypot và honeypatch được sử dụng để thu hút kẻ tấn công, từ đó bảo vệ hệ thống mạng.

1.2. Lợi Ích Của Việc Triển Khai Kỹ Thuật Lừa Dối

Việc triển khai kỹ thuật lừa dối giúp tăng cường khả năng phát hiện xâm nhập và giảm thiểu thiệt hại từ các cuộc tấn công. Nó cũng giúp tổ chức tiết kiệm chi phí và thời gian trong việc bảo vệ hệ thống.

II. Vấn Đề Và Thách Thức Trong An Ninh Mạng SDN

Mặc dù SDN mang lại nhiều lợi ích, nhưng nó cũng đối mặt với nhiều thách thức trong việc bảo mật. Chiến lược phòng thủ mạng cần phải được cải thiện để đối phó với các cuộc tấn công ngày càng tinh vi. Các vấn đề như điểm lỗi duy nhất trong bộ điều khiển SDN và các cuộc tấn công DDoS là những thách thức lớn.

2.1. Điểm Lỗi Duy Nhất Trong Bộ Điều Khiển SDN

Bộ điều khiển SDN có thể trở thành mục tiêu tấn công chính. Nếu bị tấn công, toàn bộ mạng sẽ bị ảnh hưởng nghiêm trọng.

2.2. Các Cuộc Tấn Công DDoS Đối Với SDN

Các cuộc tấn công DDoS có thể làm tắc nghẽn bộ điều khiển SDN, dẫn đến việc gián đoạn dịch vụ. Điều này yêu cầu các biện pháp phòng thủ mạnh mẽ hơn.

III. Phương Pháp Triển Khai Kỹ Thuật Lừa Dối Trong SDN

Để triển khai kỹ thuật lừa dối, cần có một kế hoạch chi tiết và các công cụ phù hợp. Việc sử dụng honeypot và honeypatch là những phương pháp hiệu quả trong việc bảo vệ mạng. Các bước triển khai bao gồm thiết lập môi trường SDN và cấu hình các thành phần lừa dối.

3.1. Thiết Lập Môi Trường SDN

Môi trường SDN cần được thiết lập với các bộ điều khiển như ONOS và các công cụ mô phỏng như Containernet để tạo ra các bẫy cho kẻ tấn công.

3.2. Cấu Hình Honeypot Và Honeypatch

Honeypot và honeypatch cần được cấu hình để thu hút và đánh lừa kẻ tấn công, từ đó ghi lại các hành vi của chúng.

IV. Ứng Dụng Thực Tiễn Của Kỹ Thuật Lừa Dối Trong SDN

Việc áp dụng kỹ thuật lừa dối trong SDN đã cho thấy hiệu quả trong việc phát hiện và ngăn chặn các cuộc tấn công. Các tổ chức đã triển khai thành công các mô hình lừa dối để bảo vệ hệ thống của họ. Kết quả từ các nghiên cứu cho thấy rằng việc sử dụng honeypot và honeypatch có thể giảm thiểu thiệt hại từ các cuộc tấn công mạng.

4.1. Kết Quả Nghiên Cứu Về Kỹ Thuật Lừa Dối

Nghiên cứu cho thấy rằng các hệ thống lừa dối có thể phát hiện kẻ tấn công hiệu quả hơn so với các phương pháp truyền thống.

4.2. Các Mô Hình Lừa Dối Thành Công

Nhiều tổ chức đã áp dụng thành công các mô hình lừa dối, giúp tăng cường an ninh mạng và bảo vệ dữ liệu quan trọng.

V. Kết Luận Về Tương Lai Của Kỹ Thuật Lừa Dối Trong SDN

Kỹ thuật lừa dối trong SDN đang ngày càng trở nên quan trọng trong việc bảo vệ an ninh mạng. Tương lai của kỹ thuật này hứa hẹn sẽ mang lại nhiều cải tiến và giải pháp mới cho các tổ chức. Việc kết hợp giữa SDN và các kỹ thuật lừa dối sẽ tạo ra một lớp bảo vệ mạnh mẽ hơn cho hệ thống mạng.

5.1. Xu Hướng Phát Triển Kỹ Thuật Lừa Dối

Các nghiên cứu và phát triển trong lĩnh vực này sẽ tiếp tục mở rộng, mang lại nhiều giải pháp mới cho an ninh mạng.

5.2. Tầm Quan Trọng Của An Ninh Mạng Trong Tương Lai

An ninh mạng sẽ tiếp tục là một vấn đề quan trọng, và việc áp dụng các kỹ thuật lừa dối sẽ giúp bảo vệ tốt hơn cho các hệ thống mạng.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Mạng định nghĩa bằng phần mềm (Software-Defined Networking - SDN) là kiến trúc mạng hiện đại dựa trên nguyên lý tách rời mặt phẳng điều khiển (Control Plane) khỏi mặt phẳng chuyển tiếp dữ liệu (Forwarding Plane hay Data Plane). Kiến trúc này mang lại khả năng quản trị tập trung, lập trình hóa cấu hình mạng linh hoạt, tối ưu hóa chi phí vận hành và đặc biệt phù hợp trong việc quản lý các hệ sinh thái Internet vạn vật công nghiệp (IIoT). Tuy nhiên, mô hình kiểm soát tập trung tại bộ điều khiển (SDN Controller) làm nảy sinh nguy cơ điểm lỗi đơn (Single Point of Failure). Bộ điều khiển trở thành đích ngắm của các cuộc tấn công mạng, tiêu biểu là tấn công từ chối dịch vụ phân tán (DDoS). Khi kẻ tấn công bơm ồ ạt các gói tin có địa chỉ nguồn giả mạo, các thiết bị chuyển mạch không tìm thấy luật xử lý tương ứng trong bộ nhớ đệm sẽ liên tục chuyển tiếp gói tin (Packet-In) về bộ điều khiển, dẫn đến tình trạng tắc nghẽn tài nguyên và làm gián đoạn dịch vụ toàn mạng.

Các giải pháp bảo mật truyền thống như hệ thống phát hiện xâm nhập (IDS) hay tường lửa thường mang tính phản ứng thụ động sau khi cuộc tấn công đã diễn ra. Khi đối mặt với lưu lượng mạng khổng lồ, hàng tỷ byte mỗi giây, bộ nhớ đệm của IDS dễ bị cạn kiệt. Ngược lại, kỹ thuật lừa dối mạng (Cyber Deception) và bẫy mạng (Honeypot) cho thấy ưu thế vượt trội về việc tiết kiệm tài nguyên khi chỉ giám sát các luồng dữ liệu nghi vấn, đồng thời làm tiêu hao thời gian và nguồn lực của kẻ xâm nhập. Mặc dù vậy, mô hình honeypot đơn lẻ truyền thống thường có phạm vi giám sát hẹp, tính phòng thủ tĩnh và dễ bị kẻ tấn công nhận diện. Mặt khác, đối với các lỗ hổng bảo mật đã công bố, quy trình vá lỗi thông thường khiến hệ thống phản hồi lỗi khi bị khai thác, gián tiếp báo cho kẻ tấn công biết mục tiêu đã được bảo vệ để chuyển hướng sang kỹ thuật khai thác nguy hiểm hơn.

Khóa luận tốt nghiệp của tác giả Trần Anh Đức và Nguyễn Thanh Huy (chuyên ngành An toàn thông tin, Trường Đại học Công nghệ Thông tin – Đại học Quốc gia TP. Hồ Chí Minh) đã đề xuất mô hình phòng thủ chủ động kết hợp giữa mạng SDN, kỹ thuật bẫy tự động (Honeypot) và cơ chế đánh lừa bản vá (Honeypatch), tích hợp hệ thống tình báo mối đe dọa (Cyber Threat Intelligence).

Mục tiêu nghiên cứu của đề tài được xác định gồm 4 nội dung:

1. Triển khai hệ thống SDN tích hợp với IDS để phát hiện sớm các cuộc tấn công và tận dụng khả năng quản lý tập trung của SDN nhằm điều hướng các luồng tấn công vào vùng mạng mong muốn.
2. Xây dựng hệ thống lừa dối mạng (Cyber Deception) phục vụ chiến lược phòng thủ chủ động, cụ thể là triển khai vùng mạng trong SDN gồm các máy chủ chứa các lỗ hổng khác nhau nhằm dẫn dụ và đánh lừa kẻ tấn công.
3. Xây dựng hệ thống Web Server có chứa lỗ hổng và triển khai cơ chế honeypatch.
4. Đánh giá hiệu quả, độ chính xác và tốc độ phản ứng của hệ thống lừa dối trong môi trường mạng SDN.

Đối tượng và phạm vi nghiên cứu:

• Đối tượng nghiên cứu: Hệ thống mạng SDN và cơ chế giám sát luồng dữ liệu thông qua OpenFlow Controller (ONOS); công cụ mô phỏng mạng Containernet; các kỹ thuật lừa dối mạng, honeypot (Cowrie, OpenCanary, Mailoney, HoneySMB) và honeypatch; hệ thống chia sẻ mối đe dọa an ninh mạng (MISP).
• Phạm vi nghiên cứu: Kỹ thuật điều hướng lưu lượng trên mạng khả lập trình; kỹ thuật triển khai bẫy tự động hóa bằng Ansible; cơ chế honeypatch trên máy chủ Web; tích hợp hệ thống phát hiện xâm nhập Snort với nền tảng Cyber Threat Intelligence MISP trong môi trường thử nghiệm giả lập mạng.

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng trên các khối kiến thức chuyên ngành về mạng khả lập trình và các kỹ thuật phòng thủ lừa dối:

Mạng định nghĩa bằng phần mềm và giao thức OpenFlow

Kiến trúc SDN gồm 3 lớp chính:

• Lớp ứng dụng (Application Layer): Chứa các ứng dụng điều khiển, giám sát an ninh mạng, cân bằng tải. Lớp này tương tác với bộ điều khiển qua giao diện lập trình hướng bắc (Northbound API).
• Lớp điều khiển (Control Layer): Trung tâm xử lý gồm phần mềm SDN Controller, chịu trách nhiệm quản lý chính sách và định tuyến luồng dữ liệu.
• Lớp hạ tầng (Infrastructure Layer): Gồm các thiết bị chuyển mạch (OpenFlow Switch), giao tiếp với bộ điều khiển thông qua giao diện lập trình hướng nam (Southbound API) sử dụng giao thức OpenFlow.

Cơ chế xử lý luồng (Flow Pipeline) trong OpenFlow Switch được tổ chức theo các bảng dòng chảy (Flow Tables), bắt đầu từ Table 0. Mỗi phần tử dòng chảy (Flow Entry) bao gồm: trường so khớp (Match fields), mức độ ưu tiên (Priority), bộ đếm (Counters), tập lệnh xử lý (Instructions), thời gian chờ (Timeouts), giá trị nhận diện (Cookie) và luật xử lý mặc định khi không khớp (Table-miss flow entry).

Lý thuyết lừa dối mạng (Cyber Deception) và Honeypatch

Quy trình lừa dối mạng vận hành qua 3 giai đoạn:

• Giai đoạn I (Lập kế hoạch): Xác định mục tiêu, xây dựng chiến lược tương tác nhằm tạo ra sự sai lệch nhận thức cho kẻ tấn công.
• Giai đoạn II (Triển khai): Thiết lập các thành phần lừa dối (thiết bị ảo/thực, thông tin giả mạo, luồng giao tiếp).
• Giai đoạn III (Theo dõi và đánh giá): Quan sát phản hồi của đối phương để phân loại trạng thái: tin tưởng (Believed), nghi ngờ (Suspected) hoặc không tin tưởng (Disbelieved).

Các nghiên cứu lừa dối mạng được phân loại thành: mô hình dựa trên lý thuyết trò chơi, lừa dối cấp mạng, lừa dối cấp máy chủ/thiết bị, và lừa dối dựa trên mã hóa (Honey encryption với bộ mã hóa chuyển đổi phân phối DTE).

Cơ chế Honeypatch là phương pháp thay thế mã sửa lỗi truyền thống bằng mã điều hướng. Khi kẻ tấn công gửi gói tin khai thác lỗ hổng (ví dụ lỗ hổng Heartbleed), hệ thống không từ chối kết nối mà âm thầm chuyển tiếp yêu cầu sang một máy chủ mồi nhử chứa lỗ hổng tương tự được cô lập an toàn, duy trì trạng thái khai thác thành công giả lập để thu thập hành vi và thông tin nhận dạng của kẻ tấn công.

Thành phần kỹ thuật	Phân loại / Giao thức hỗ trợ	Mục đích sử dụng trong hệ thống
Cowrie	Honeypot SSH & Telnet (Tương tác trung bình - cao)	Ghi nhận tấn công brute-force và thao tác dòng lệnh (shell).
OpenCanary	Daemon Canary đa dịch vụ (SSH, FTP, Telnet, NetBIOS, HTTP)	Cảnh báo sớm các hành vi rà quét và kết nối trái phép.
Mailoney	Honeypot SMTP (Tương tác thấp)	Mô phỏng Open Relay, Postfix để bắt thông tin đăng nhập thư tín.
HoneySMB	Honeypot SMB (Tương tác cao)	Mô phỏng chia sẻ tệp tin SMB, thu thập tấn công qua giao thức Windows.
Ansible	Quản lý cấu hình không cần Agent (Agentless qua SSH/API)	Tự động hóa quá trình khởi tạo, cấu hình và gỡ bỏ các bẫy mạng.
MISP	Malware Information Sharing Platform (Chuẩn STIX, PyMISP)	Thu thập, lưu trữ, tương quan và tự động chia sẻ chỉ số xâm hiệp (IOCs).

Phương pháp nghiên cứu kết hợp giữa khảo sát lý thuyết, thiết kế kiến trúc kỹ thuật và thực nghiệm trên môi trường mô phỏng Containernet (nhánh phát triển của Mininet hỗ trợ Docker container) kết hợp bộ điều khiển ONOS (Open Network Operating System).

Thiết kế và triển khai hệ thống

Hệ thống phòng thủ chủ động được thiết kế thành các khối liên kết chặt chẽ:

[Kẻ tấn công] ---> [OpenFlow Switch (Containernet)] ---> [Host thật / Dịch vụ]
                            | (Port Mirroring)
                            v
                     [Snort IDS]
                            | (Unix Socket)
                            v
                   [Client/Parser Python]
                            | (Network Socket)
                            v
                [Controller Script Python] ---> REST API ---> [ONOS Controller]
                                                                     |
                                                               (Đẩy Flow Rule)
                                                                     v
                                                          [Vùng mạng bẫy (Traps)]
                                                          (Cowrie, OpenCanary,...)

Kiến trúc điều hướng lưu lượng tự động

• Môi trường mạng được mô phỏng bằng Containernet, tạo các nút mạng dựa trên Docker Image.
• Toàn bộ lưu lượng qua Switch được sao chép thông qua kỹ thuật Port Mirroring và gửi tới Snort IDS.
• Khi Snort phát hiện dấu hiệu xâm nhập, cảnh báo được đẩy ra Unix Socket. Một tiến trình Python (Client/Parser) đọc dữ liệu này và gửi qua Network Socket đến ứng dụng điều khiển (Server/Controller).
• Ứng dụng điều khiển phân tích thông tin cảnh báo và phát lệnh qua Northbound REST API tới bộ điều khiển ONOS. ONOS đẩy các quy tắc dòng chảy mới (Flow Rules) xuống OpenFlow Switch để lập tức chuyển hướng toàn bộ lưu lượng của kẻ tấn công từ máy chủ thật sang vùng mạng bẫy (Traps).

Hệ thống quản lý bẫy và thu thập nhật ký

• Các honeypot (Cowrie, OpenCanary, Mailoney, HoneySMB) được đóng gói thành các Docker Image riêng biệt.
• Sử dụng Ansible kết hợp kịch bản quản lý trap-manager với các Playbook tự động để triển khai, cấu hình cổng dịch vụ, hoặc gỡ bỏ các bẫy trên từng host theo yêu cầu của quản trị viên.
• Toàn bộ nhật ký hoạt động từ các honeypot được Filebeat thu thập tại chỗ và chuyển tiếp về cụm ELK Stack (Elasticsearch, Logstash, Kibana) để lưu trữ tập trung, chuẩn hóa dữ liệu và trực quan hóa hành vi tấn công trên giao diện Kibana.

Tích hợp nền tảng tình báo mối đe dọa (CTI)

• Dữ liệu nhật ký sau khi được xử lý tại bộ nhớ tạm (Memcached) và Elasticsearch sẽ được trích xuất các địa chỉ IP, chữ ký tấn công (IOCs).
• Hệ thống thực hiện truy vấn so khớp tự động với cơ sở dữ liệu mối đe dọa trên nền tảng MISP thông qua thư viện PyMISP.
• Khi phát hiện mối đe dọa trùng khớp, hệ thống tự động gán nhãn (new-threat) trên MISP và gọi API cập nhật các luật phát hiện mới trực tiếp vào bộ luật của Snort IDS mà không cần can thiệp thủ công.

Thiết kế hệ thống Honeypatch cho Web Server

Hệ thống máy chủ Web bao gồm một Proxy Server đứng trước hai máy chủ phụ trợ (Backend Servers):

• Backend Server 1: Máy chủ chứa ứng dụng thực tế đã được khắc phục lỗi hoặc hoạt động bình thường.
• Backend Server 2: Máy chủ mồi nhử (Honeypatch) cố tình duy trì lỗ hổng bảo mật chưa vá trong môi trường cô lập.
• Khi nhận yêu cầu bình thường, Proxy Server chuyển hướng đến Backend Server 1. Khi Snort phát hiện payload tấn công chứa chuỗi khai thác lỗ hổng, bộ điều khiển sẽ gửi API lệnh cho Proxy Server điều hướng phiên làm việc của kẻ tấn công sang Backend Server 2. Kẻ tấn công nhận được kết quả khai thác thành công giả lập, trong khi toàn bộ hành vi bị ghi vết đầy đủ.

Nội dung chính theo từng chương

Chương 1: Giới thiệu

Chương mở đầu trình bày tính cấp thiết của đề tài, xuất phát từ điểm yếu Single Point of Failure và nguy cơ cạn kiệt tài nguyên của SDN Controller trước tấn công DDoS. Chương điểm qua các công trình nghiên cứu trong nước và quốc tế giai đoạn 1980–2021 về Cyber Deception, tiêu biểu là khung phòng thủ Decepti-SCADA của Nicholas Cifranic và kỹ thuật honeypatch của Frederico Araujo. Trên cơ sở đó, nhóm tác giả xác định 4 mục tiêu nghiên cứu, phân định rõ đối tượng, phạm vi và bố cục 5 chương của khóa luận.

Chương 2: Kiến thức nền tảng

Chương này tổng hợp toàn diện các cơ sở lý thuyết:

• Cấu trúc 3 tầng của mạng SDN, vai trò của bộ điều khiển và giao tiếp API hướng bắc/nam.
• Cơ chế vận hành của giao thức OpenFlow, cấu trúc các trường của Flow Entry trong OpenFlow Switch và sơ đồ xử lý Pipeline từ Table 0.
• Khái niệm, 3 giai đoạn và 4 phân loại của kỹ thuật lừa dối không gian mạng.
• Nguyên lý hoạt động của cơ chế Honeypatch so sánh trực tiếp với bản vá lỗi truyền thống thông qua mã giả xử lý lỗ hổng Heartbleed.
• Đặc tả các công cụ: kiến trúc Agentless của Ansible qua Playbook/Inventory, các tính năng chia sẻ và đồng bộ dữ liệu chuẩn STIX/PyMISP của nền tảng MISP.

Chương 3: Phân tích thiết kế hệ thống

Chương 3 chi tiết hóa kiến trúc hệ thống phòng thủ chủ động:

• Mô hình tổng thể tích hợp giữa Security Analyst, ONOS Controller, OpenFlow Switch, Snort IDS, ELK Logging, Vùng bẫy và CTI MISP.
• Thiết kế luồng phản ứng tự động khi có xâm nhập: tiếp nhận cảnh báo từ Snort, xử lý qua module Python socket và gọi REST API tới ONOS để thay đổi đường đi gói tin.
• Thiết kế kiến trúc quản lý bẫy tự động bằng Ansible và hệ thống thu thập log thời gian thực.
• Thiết kế mô hình CTI tương quan IOC từ nhật ký với nguồn dữ liệu MISP và sinh luật cập nhật cho Snort.
• Thiết kế hệ thống Honeypatch cho dịch vụ Web sử dụng Proxy Server phân luồng giữa Backend thật và Backend bẫy.

Chương 4: Triển khai, thực nghiệm và đánh giá

Chương này trình bày chi tiết quá trình hiện thực hóa và kiểm thử hệ thống:

• Môi trường triển khai với ONOS Web GUI/CLI, Containernet giả lập topo mạng, cấu hình Filebeat kết nối Elasticsearch và Kibana.
• Đóng gói Docker Images cho Cowrie, OpenCanary, Mailoney, HoneySMB và viết các file Playbook trên trap-manager.
• Thực hiện kịch bản rà quét Nmap và kiểm tra giao tiếp: Khi phát hiện quét cổng, Snort gửi cảnh báo, Controller thực thi đổi luồng đưa kẻ tấn công vào bẫy, kết quả quét lần 2 hiển thị các cổng mở giả lập của Honeypot.
• Thực nghiệm tương tác với Cowrie (ghi nhận đăng nhập SSH), HoneySMB (ghi nhận truy cập chia sẻ tệp), Mailoney (ghi nhận kết nối SMTP).
• Thực nghiệm luồng CTI: Tạo attribute IP đích trên MISP (Event 1510), tìm kiếm mối đe dọa trùng khớp, gán tag new-threat và tự động cập nhật rule mới cho Snort.
• Thực nghiệm Honeypatch: Kiểm thử payload bình thường (trỏ về Backend Server 1) và payload tấn công (Snort cảnh báo, Controller gửi API tới Proxy Server chuyển hướng sang Backend Server 2, trả về kết quả khai thác thành công giả lập).

Chương 5: Kết luận và hướng phát triển

Chương cuối tóm tắt toàn bộ kết quả đạt được về mặt mô hình, kiến trúc và thực nghiệm của đề tài; đồng thời chỉ ra các điểm còn tồn tại và đề xuất các hướng mở rộng cho các nghiên cứu tiếp theo.

Kết quả và đóng góp

Kết quả thực nghiệm

• Triển khai thành công môi trường mạng SDN tích hợp ONOS Controller và Containernet với khả năng quản trị luồng tập trung.
• Hệ thống phát hiện xâm nhập Snort kết hợp với các kịch bản Python (Client/Parser và Server/Controller) đã tự động hóa 100% quy trình nhận cảnh báo qua Socket và gọi REST API tới ONOS để cập nhật Flow Rules, điều hướng kẻ tấn công sang vùng bẫy ngay trong thời gian thực.
• Xây dựng thành công kho bẫy Docker gồm 4 loại honeypot (Cowrie, OpenCanary, Mailoney, HoneySMB), điều khiển linh hoạt việc bật/tắt/gỡ bỏ thông qua giao diện dòng lệnh của Ansible Playbook (trap-manager).
• Cấu hình hoàn chỉnh luồng thu thập nhật ký Filebeat - ELK Stack, trực quan hóa toàn bộ dữ liệu tương tác của kẻ tấn công trên giao diện Kibana.
• Tự động hóa quá trình đối soát dữ liệu IOCs từ log với hệ thống MISP, gán nhãn cảnh báo và cập nhật bộ luật cho Snort IDS thông qua API.
• Chứng minh tính khả thi của kỹ thuật Honeypatch trên máy chủ Web thông qua Proxy Server: chuyển hướng thành công các yêu cầu chứa mã độc sang Backend Server 2 mà không để lộ dấu vết phòng thủ.

Đóng góp học thuật và thực tiễn

• Đề xuất một mô hình phòng thủ chủ động toàn diện kết hợp giữa khả năng lập trình linh hoạt của mạng SDN với kỹ thuật lừa dối mạng nhiều lớp.
• Giải quyết hạn chế "bị động" của các hệ thống IDS/tường lửa truyền thống và khắc phục nhược điểm "dễ bị phát hiện" của các honeypot tĩnh đơn lẻ.
• Hiện thực hóa cơ chế Honeypatch kết hợp CTI, tạo ra vòng lặp bảo mật khép kín từ phát hiện, đánh lừa, thu thập thông tin tình báo đến cập nhật quy tắc phòng thủ tự động.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế của đề tài:

• Toàn bộ hệ thống mới chỉ được triển khai và đánh giá trên môi trường mạng mô phỏng (Containernet, Docker containers và ONOS giả lập), chưa được thử nghiệm trên hạ tầng phần cứng chuyển mạch OpenFlow vật lý và môi trường mạng thực tế quy mô lớn.
• Các kịch bản tấn công thực nghiệm mới dừng lại ở các dạng cơ bản (quét cổng Nmap, dò mật khẩu SSH/SMTP/SMB, khai thác lỗ hổng Web cụ thể), chưa đánh giá trên các dạng tấn công phức tạp hoặc tấn công có chủ đích kéo dài (APT).
• Chưa đo lường chi tiết độ trễ xử lý của Controller và mức tiêu thụ tài nguyên của Switch khi phải liên tục tiếp nhận và thay đổi bảng dòng chảy với lưu lượng mạng cực lớn.

Hướng nghiên cứu tiếp theo:

• Triển khai thử nghiệm mô hình trên các thiết bị chuyển mạch vật lý hỗ trợ OpenFlow trong môi trường mạng thực tế.
• Mở rộng kho bẫy với các Honeypot có mức độ tương tác cao hơn, tích hợp thêm các công nghệ mồi nhử nâng cao như Honeytoken.
• Nghiên cứu cơ chế phân tích hành vi nâng cao ứng dụng học máy để tối ưu hóa quyết định điều hướng luồng và tự động hóa sinh bản vá Honeypatch cho nhiều loại giao thức khác nhau.

Giá trị tham khảo

Khóa luận là tài liệu tham khảo có giá trị kỹ thuật cao đối với:

• Sinh viên, học viên cao học và kỹ sư thuộc các chuyên ngành An toàn thông tin, Mạng máy tính và Truyền thông, Kỹ thuật phần mềm mạng.
• Các nhà nghiên cứu và quản trị viên hệ thống đang tìm kiếm giải pháp triển khai phòng thủ chủ động trên hạ tầng SDN/NFV hoặc môi trường IoT/IIoT.
• Những nội dung đáng tham khảo nhất bao gồm: phương pháp xây dựng topo mạng SDN với Containernet và ONOS; quy trình viết Playbook Ansible để quản trị cụm Honeypot tự động; kỹ thuật bắt gói, gửi cảnh báo Socket từ Snort tới SDN Controller; và kiến trúc phân luồng Proxy phục vụ cơ chế Honeypatch.

Câu hỏi thường gặp

1. Vai trò của bộ điều khiển ONOS trong việc điều hướng luồng tấn công là gì? ONOS đóng vai trò là bộ não điều khiển tập trung ở Control Layer. Khi nhận tín hiệu cảnh báo từ Snort IDS (thông qua chương trình Controller Python gọi Northbound REST API), ONOS sẽ tạo ra và đẩy các Flow Rule mới xuống OpenFlow Switch qua giao thức OpenFlow. Các luật này trực tiếp sửa đổi luồng dữ liệu của IP kẻ tấn công, chuyển hướng các gói tin từ máy chủ đích ban đầu sang địa chỉ của các máy chủ bẫy (Traps).

2. Điểm khác biệt căn bản giữa bản vá thông thường và cơ chế Honeypatch là gì? Bản vá thông thường khi phát hiện yêu cầu tấn công sẽ chặn lại hoặc trả về thông báo lỗi, khiến kẻ tấn công biết mục tiêu đã được vá và chuyển hướng tìm kiếm mục tiêu khác. Ngược lại, Honeypatch giữ nguyên logic phát hiện của bản vá nhưng thay thế mã khắc phục bằng mã điều hướng; yêu cầu tấn công được âm thầm chuyển tới một môi trường mồi nhử chứa lỗ hổng tương tự để cuộc tấn công diễn ra "thành công" giả lập, giúp đánh lừa kẻ tấn công và thu thập dấu vết hành vi.

3. Khóa luận đã sử dụng những loại Honeypot nào và mục đích cụ thể của từng loại? Hệ thống sử dụng 4 loại Honeypot: Cowrie (mô phỏng SSH/Telnet tương tác trung bình - cao để bắt tấn công brute-force và lệnh shell), OpenCanary (daemon canary đa dịch vụ nhằm phát hiện rà quét sớm), Mailoney (mô phỏng dịch vụ thư tín SMTP tương tác thấp để bắt thông tin đăng nhập và open-relay), và HoneySMB (mô phỏng chia sẻ tệp tin qua giao thức SMB với mức tương tác cao).

4. Nền tảng MISP đóng vai trò gì trong chu trình xử lý mối đe dọa của hệ thống? MISP (Malware Information Sharing Platform) đóng vai trò là cơ sở dữ liệu tình báo mối đe dọa tập trung. Khi hệ thống trích xuất các chỉ số xâm hiệp (IOCs) từ nhật ký honeypot, các chỉ số này được so khớp tự động với dữ liệu trên MISP qua PyMISP. Nếu trùng khớp, sự kiện sẽ được gán tag new-threat và hệ thống tự động gọi API cập nhật các rule phát hiện mới cho Snort IDS.

5. Công cụ Ansible được tích hợp như thế nào trong kiến trúc phòng thủ? Ansible hoạt động theo cơ chế Agentless thông qua kết nối SSH, quản lý các máy chủ thông qua tệp Inventory và các kịch bản Playbook. Trong đề tài, tác giả xây dựng công cụ trap-manager sử dụng Ansible Playbook để tự động hóa toàn bộ việc khởi tạo các container Honeypot, cấu hình dịch vụ, hiển thị danh sách bẫy đang chạy hoặc gỡ bỏ bẫy trên các host một cách nhanh chóng mà không cần thao tác thủ công trên từng máy.

Kết luận

Khóa luận tốt nghiệp của tác giả Trần Anh Đức và Nguyễn Thanh Huy đã nghiên cứu và triển khai thành công mô hình phòng thủ chủ động trên nền tảng mạng SDN, kết hợp đồng bộ giữa kỹ thuật lừa dối mạng (Honeypot tự động, Honeypatch), hệ thống phát hiện xâm nhập Snort và nền tảng tình báo mối đe dọa MISP. Bằng việc tận dụng tính năng kiểm soát luồng tập trung của ONOS Controller và công cụ tự động hóa Ansible, hệ thống đã chứng minh khả năng tự động phát hiện, cô lập và dẫn dụ kẻ tấn công vào vùng bẫy an toàn trong thời gian thực. Mặc dù vẫn cần tiếp tục mở rộng thử nghiệm trên hạ tầng phần cứng thực tế, công trình đã cung cấp một thiết kế kỹ thuật hoàn chỉnh và có tính ứng dụng cao cho lĩnh vực bảo mật mạng thế hệ mới.

Trích đoạn nội dung tài liệu

Chương 1. GIỚI THIỆU động mạng với hàng nghìn tỷ byte mỗi giây, nên bộ nhớ đệm của nó sẽ nhanh chóng bị cạn kiệt. Ngược lại, honeypot chỉ nắm bắt và giám sát một phần nhỏ các hoạt động của mạng lưới, không có van dé vẻ cạn kiệt tài nguyên. Bang cách giả vờ là các máy chủ bình thường để thu hút những kẻ tan công, honeypot có thể tiêu tốn tài nguyên và thời gian của những kẻ tấn công.

Chúng cũng có thể gây ảnh hưởng và cản trở sự lựa chọn của những kẻ xâm nhập, đồng thời phát hiện thêm ý định tấn công của những kẻ xâm nhập. Tuy nhiên, chiến lược honeypot đơn truyền thống rat dé bị kẻ tắn công xác định vì hiệu suất mỗi nhử thấp. Nó có một phạm vi giám sát hạn chế và không thể bảo vệ toàn bộ mạng. Hơn nữa, hầu hết các chiến lược honeypot hiện có là phòng thủ tĩnh và không đủ để đối phó với các cuộc tan công động Ii0|.2 Các nghiên cứu liên quan Các kỹ thuật lừa đối đã được coi là một yếu tố thay đổi cuộc chơi trong phòng thủ mạng.

Trong các bài báo (PIL, các nhóm tác giả da xem xét các kỹ thuật đại điện trong honeypot, honeytoken và bảo vệ mục tiêu di chuyển, kéo dai từ cuối những năm 1980 đến năm 2021. Các kỹ thuật từ ba lĩnh vực này bổ sung cho nhau và có thể được tận dụng để xây dựng một biện pháp phòng thủ dựa trên sự lừa dối toàn điện. Điển hình trong nghiên cứu (2). các tác giả đã xây dựng một framework nhằm cung cấp khả năng phòng thủ chủ động cho các hệ thống mạng SCADA [4|.

Kiến trúc được đề xuất bao gồm hai thành phần chính là vùng mạng bẫy (các thiết bị SCADA giả) và vùng mạng giám sát, tất cả các sự kiện xảy ra trong vùng mạng bay đều được thu thập và gửi về vùng giám sát và quản trị viên. Ngoài ra các tác giả còn sử dụng kỹ thuật điều hướng nhằm hướng kẻ tấn công từ vùng mạng thật vào vùng mạng bẫy. GIỚI THIỆU ‘Security Analyst ELKSUR (Network Monitoring) | Decepti-8ox (Decoy Deployment) ae see iner Front end Meter Decoy + ® Hacker HINH 1.1: Kiến trúc Decepti-SCADA Đối với công trình nghiên cứu (i), tác giả có nhắc đến một kỹ thuật gọi là honey- patch. Thay vì vá các lỗ hổng đã được phát hiện một cách bình thường, ta cố gắng duy trì kết nối với kẻ tan công bằng cách dẫn dụ chúng đến một mỗi nhử có lỗ hổng giống hệt, Cách tiếp cận này giữ lại phần quan trọng nhất của bản vá lỗi từ nhà phát hành, nhưng thay thế mã khắc phục bằng mã điều hướng.2 là một ví dụ so sánh giữa mã giả về ban vá bình thường và honeypatch cho lỗ hổng.

tràn bộ đệm.2: Ma giả cho lỗ hổng tràn bộ đệm Ở công trình nghiên cứu tác giả đã trình bày mô hình có thể xử lý các log từ hạ tang đang giám sát để tìm được các mối đe dọa liên quan. Các đữ liệu log từ có thu thập từ các nguồn như: firewall, IDS, server, honeypot. Sau đấy được trích 4 Chương 1. GIỚI THIỆU xuất để tìm các Indicators of compromise (IOCs) tương ứng của threat đã được thu thập từ MISP, đây là hệ thống thu thập, lưu trữ, chia sẽ mối đe dọa từ nhiều nguồn OSINT.

Sau khi các mối đe doa liên quan đã tim được thì di liệu có thể được chuyển đến SIEM, IDS, để quan sát, đánh giá và xử lý tiếp tục. Qua những khảo sát và công trình nghiên cứu trên, có thể thấy được sự kết hợp của SDN và cơ ché lừa dối có thể cung cấp một giải pháp phòng thủ chủ động tối ưu cho một hệ thống mạng 6Ì. Từ đó, nhóm nghiên cứu dé xuất triển khai một mô hình mang SDN kết hợp với cơ ché lừa đồi mạng nhằm tạo ra một hệ thống phòng thủ hiệu quả dưới các cuộc tan công mạng. Với sự linh hoạt của SDN, việc triển khai các cơ chế lừa dối có thể được tối ưu và giảm bớt sự phức tạp khi cài đặt.

Ngoài ra cơ chế lừa đối mang còn cung cấp cho mạng SDN một lớp phòng thủ chủ động, tốt hơn so với các phương pháp phòng thủ truyền thống.3 Mục tiêu của đề tài * Triển khai hệ thống SDN tích hợp với IDS dé phát hiện sớm các cuộc tấn công và tận dụng khả năng quản lý tập trung của SDN để điều hướng các cuộc tấn công đó vào vùng mạng mong muốn. ® Xây dựng hệ thống lừa dối mang (Cyber Deception) phục vụ việc phòng thủ chủ động. Cụ thể là triển khai một vùng mạng trong SDN gồm các máy có lỗ hổng khác nhau nhằm dẫn dụ và đánh lừa kẻ tan công. s Xây dựng hệ thống Web Server có chứa lỗ hổng và triển khai cơ chế honey- patch ® Đánh giá hiệu quả, độ chính xác và tốc độ phản ứng của hệ thống lừa dối trong mạng SDN.4 Phạm vi nghiên cứu * Kỹ thuật điều hướng trên môi trường mạng khả lập trình.

* Kỹ thuật triển khai bay tự động dựa trên Ansible 5 Chương 1. GIỚI THIỆU ¢ Kỹ thuật honeypatch » Hệ thống Cyber Threat Intelligence kết hợp với hệ thống phát hiện xâm nhập 15 Đối tượng nghiên cứu »_ Hệ thống mang SDN với Controller ONOS. ¢ Công cụ mô phỏng mang Containernet © Kỹ thuật lừa dối mang và honeypatch s Hé thống Cyber Threat Intelligence 1.6 Phương pháp nghiên cứu ¢ Nghiên cứu tài liệu hướng dẫn và thực hiện triển khai mạng SDN. ¢ Tham khảo các video mô tả, tài liệu giải thích và các phương pháp triển khai hệ thống lừa dối mạng, cơ chế honeypatch và hệ thống Cyber Threat Intelligence.

¢ Thực hiện các thử nghiệm khác nhau để đánh giá hiệu năng và độ chính xác.7 Cấu trúc khóa luận Khoá luận được trình bày với cấu trúc như sau: s Chương 1: Giới thiệu tổng quan về dé tài nghiên cứu, mục tiêu, đối tượng, phạm vi nghiên cứu ° Chương] Trình bày các kiến thức nền tảng về SDN, kỹ thuật lừa dối mạng, honeypatch. ° Chương] Phân tích thiết kế hệ thống phòng thủ chủ động trong SDN. GIỚI THIỆU * Chương|4| Triển khai, thực nghiệm và đánh giá các hệ thống đã triển khai. ° Chương] Kết luận và hướng phát triển.

Chương 2 KIÊN THỨC NEN TANG 2.1 Mạng kha lập trình (Software-Defined Network) 2.1 Tổng quan Mang định nghĩa được bằng phan mềm hay Software-Defined Network (SDN) là một kiểu kiến trúc mang mới, năng động, dé quản ly, chi phí hiệu quả, dé thích nghỉ và rất phù hợp với nhu cầu mạng ngày càng tăng hiện nay. Kiến trúc này phân tách phần điều khiển mạng (Control Plane) và chức năng vận chuyển dữ liệu (Forwarding Plane hay Data Plane), điều này cho phép việc điều khiển mạng trở nên có thể lập trình được dé dàng và cơ sở hạ tầng mạng độc lập với các ứng dụng và dịch vụ mạng. Trong SDN, kỹ sư hoặc quản trị viên mạng có thể định hình lưu lượng truy cập từ bộ điều khiển tập trung mà không phải thiết lập trên từng thiết bị riêng lẻ trong mạng. Bộ điều khiển SDN tập trung quản lý các thiết bị cung cấp các dịch vụ mạng bắt cứ khi nào chúng cần, bắt kể các loại kết nối nào giữa server và thiết bị 2.2 Kiến trúc SDN Về cơ bản kiến trúc của SDN bao gồm ba lớp: lớp ứng dụng (Application Layer), lớp điều khiển (Control Layer) và lớp hạ tầng (Infrastructure Layer).

s Lớp ứng dụng, đúng như tên gọi của nó, chứa các ứng dụng hoặc các chức năng mạng điển hình mà các tổ chức sử dụng như các hệ thống phát hiện xâm nhập, cân bằng tải hoặc tường lửa. Điều này khác với một mạng truyền thống, với kiến trúc mạng truyền thống, trong mạng truyền thống, để thực Chương 2. KIÊN THÚC NEN TANG hiện các chức năng này, mạng sẽ cần sử dụng một thiết bị chuyên dụng, như tường lửa hoặc thiết bị cân bằng tải riêng biệt. Trong khi với SDN các thiết bị này sẽ được thay thế bằng một ứng dụng phần mềm sử dụng bộ điều khiển để quản lý hành vi của mặt phẳng dữ liệu.

® Lớp điều khiển đại diện cho phần mềm điều khiển SDN tập trung hoạt động như bộ não của mạng. Bộ điều khiển này nằm trên một máy chủ và quan lý các chính sách và luéng lưu lượng trên toàn mạng. ¢ Lớp hạ tầng bao gồm các thiết bị chuyển mach vat lý trong mạng. Ba lớp này giao tiếp bằng cách sử dụng các giao điện lập trình ứng dụng (API) cầu bắc (northbound API) và cầu nam (southbound API) tương ứng.

Các phan mềm phía tầng ứng dụng giao tiếp với lớp điều khiển thông qua northbound API, trong khi lớp điều khiển va các bộ chuyển mạch trong lớp ha tang giao tiếp với nhau thông qua các southbound API, như OpenFlow. Khi nghe đến SDN chúng ta hay nghe đến OpenFlow, thực chất thì OpenFlow chính là một giao thức southbound API cho phép giao tiếp giữa lớp hạ tầng và lớp điều khiển. Trên thực tế có rất nhiều các giao thức khác tồn tại, nhưng OpenFlow vẫn tương đối phổ biến vì lí do lịch sử và là tiêu chuẩn đầu tiên cho các southbound API. Đối với các northbound API hiện nay chưa có tiêu chuẩn chung như OpenFlow cho southbound API.

Tuy nhiên, OpenDaylight đang nổi lên như một tiêu chuẩn thực tế được sử dụng và được hỗ trợ rộng rãi bởi các nhà cung cấp. KIÊN THUC NEN TANG Lớp ứng dụng Load balancer Lớp điều khiển SDN controller Các thiết bị chuyển mạch HINH 2.1: Kiến trúc của SDN 2.3 Cơ chế hoạt động Ý tưởng của SDN dựa trên sự kết hợp của việc tách biệt các chức năng điều khiển và chuyển tiếp dữ liệu, ảo hóa mạng và tu động hóa thông qua kha năng lập trình. Ban đầu, công nghệ SDN chỉ tập trung vào việc tách mặt phẳng điều khiển mạng khỏi mặt phẳng dữ liệu. Mặt phẳng điều khiển đưa ra quyết định về cách các gói dữ liệu sẽ truyền qua mạng, mặt phẳng dữ liệu thực hiện việc di chuyển các gói từ nơi này sang nơi khác.

Một gói tin khi đến bộ chuyển mạch của mạng sẽ được các quy tắc được tích hợp trong phần sụn độc quyền của bộ chuyển mạch định hướng đến nơi chuyển tiếp gói. Các quy tắc xử lý gói này được gửi đến bộ chuyển mạch từ bộ điều khiển tập trung. Các thiết bị chuyển mạch - còn được gọi là thiết bị mặt phẳng dw liệu - truy van 10 Chương 2. KIÊN THÚC NEN TANG bộ điều khiển để nhận các chỉ thị và quy tắc định hướng khi cần thiết và cung cấp cho bộ điều khiển thông tin về lưu lượng mà nó xử lý.