Chương 1. GIỚI THIỆU động mạng với hàng nghìn tỷ byte mỗi giây, nên bộ nhớ đệm của nó sẽ nhanh chóng bị cạn kiệt. Ngược lại, honeypot chỉ nắm bắt và giám sát một phần nhỏ các hoạt động của mạng lưới, không có van dé vẻ cạn kiệt tài nguyên. Bang cách giả vờ là các máy chủ bình thường để thu hút những kẻ tan công, honeypot có thể tiêu tốn tài nguyên và thời gian của những kẻ tấn công.
Chúng cũng có thể gây ảnh hưởng và cản trở sự lựa chọn của những kẻ xâm nhập, đồng thời phát hiện thêm ý định tấn công của những kẻ xâm nhập. Tuy nhiên, chiến lược honeypot đơn truyền thống rat dé bị kẻ tắn công xác định vì hiệu suất mỗi nhử thấp. Nó có một phạm vi giám sát hạn chế và không thể bảo vệ toàn bộ mạng. Hơn nữa, hầu hết các chiến lược honeypot hiện có là phòng thủ tĩnh và không đủ để đối phó với các cuộc tan công động Ii0|.2 Các nghiên cứu liên quan Các kỹ thuật lừa đối đã được coi là một yếu tố thay đổi cuộc chơi trong phòng thủ mạng.
Trong các bài báo (PIL, các nhóm tác giả da xem xét các kỹ thuật đại điện trong honeypot, honeytoken và bảo vệ mục tiêu di chuyển, kéo dai từ cuối những năm 1980 đến năm 2021. Các kỹ thuật từ ba lĩnh vực này bổ sung cho nhau và có thể được tận dụng để xây dựng một biện pháp phòng thủ dựa trên sự lừa dối toàn điện. Điển hình trong nghiên cứu (2). các tác giả đã xây dựng một framework nhằm cung cấp khả năng phòng thủ chủ động cho các hệ thống mạng SCADA [4|.
Kiến trúc được đề xuất bao gồm hai thành phần chính là vùng mạng bẫy (các thiết bị SCADA giả) và vùng mạng giám sát, tất cả các sự kiện xảy ra trong vùng mạng bay đều được thu thập và gửi về vùng giám sát và quản trị viên. Ngoài ra các tác giả còn sử dụng kỹ thuật điều hướng nhằm hướng kẻ tấn công từ vùng mạng thật vào vùng mạng bẫy. GIỚI THIỆU ‘Security Analyst ELKSUR (Network Monitoring) | Decepti-8ox (Decoy Deployment) ae see iner Front end Meter Decoy + ® Hacker HINH 1.1: Kiến trúc Decepti-SCADA Đối với công trình nghiên cứu (i), tác giả có nhắc đến một kỹ thuật gọi là honey- patch. Thay vì vá các lỗ hổng đã được phát hiện một cách bình thường, ta cố gắng duy trì kết nối với kẻ tan công bằng cách dẫn dụ chúng đến một mỗi nhử có lỗ hổng giống hệt, Cách tiếp cận này giữ lại phần quan trọng nhất của bản vá lỗi từ nhà phát hành, nhưng thay thế mã khắc phục bằng mã điều hướng.2 là một ví dụ so sánh giữa mã giả về ban vá bình thường và honeypatch cho lỗ hổng.
tràn bộ đệm.2: Ma giả cho lỗ hổng tràn bộ đệm Ở công trình nghiên cứu tác giả đã trình bày mô hình có thể xử lý các log từ hạ tang đang giám sát để tìm được các mối đe dọa liên quan. Các đữ liệu log từ có thu thập từ các nguồn như: firewall, IDS, server, honeypot. Sau đấy được trích 4 Chương 1. GIỚI THIỆU xuất để tìm các Indicators of compromise (IOCs) tương ứng của threat đã được thu thập từ MISP, đây là hệ thống thu thập, lưu trữ, chia sẽ mối đe dọa từ nhiều nguồn OSINT.
Sau khi các mối đe doa liên quan đã tim được thì di liệu có thể được chuyển đến SIEM, IDS, để quan sát, đánh giá và xử lý tiếp tục. Qua những khảo sát và công trình nghiên cứu trên, có thể thấy được sự kết hợp của SDN và cơ ché lừa dối có thể cung cấp một giải pháp phòng thủ chủ động tối ưu cho một hệ thống mạng 6Ì. Từ đó, nhóm nghiên cứu dé xuất triển khai một mô hình mang SDN kết hợp với cơ ché lừa đồi mạng nhằm tạo ra một hệ thống phòng thủ hiệu quả dưới các cuộc tan công mạng. Với sự linh hoạt của SDN, việc triển khai các cơ chế lừa dối có thể được tối ưu và giảm bớt sự phức tạp khi cài đặt.
Ngoài ra cơ chế lừa đối mang còn cung cấp cho mạng SDN một lớp phòng thủ chủ động, tốt hơn so với các phương pháp phòng thủ truyền thống.3 Mục tiêu của đề tài * Triển khai hệ thống SDN tích hợp với IDS dé phát hiện sớm các cuộc tấn công và tận dụng khả năng quản lý tập trung của SDN để điều hướng các cuộc tấn công đó vào vùng mạng mong muốn. ® Xây dựng hệ thống lừa dối mang (Cyber Deception) phục vụ việc phòng thủ chủ động. Cụ thể là triển khai một vùng mạng trong SDN gồm các máy có lỗ hổng khác nhau nhằm dẫn dụ và đánh lừa kẻ tan công. s Xây dựng hệ thống Web Server có chứa lỗ hổng và triển khai cơ chế honey- patch ® Đánh giá hiệu quả, độ chính xác và tốc độ phản ứng của hệ thống lừa dối trong mạng SDN.4 Phạm vi nghiên cứu * Kỹ thuật điều hướng trên môi trường mạng khả lập trình.
* Kỹ thuật triển khai bay tự động dựa trên Ansible 5 Chương 1. GIỚI THIỆU ¢ Kỹ thuật honeypatch » Hệ thống Cyber Threat Intelligence kết hợp với hệ thống phát hiện xâm nhập 15 Đối tượng nghiên cứu »_ Hệ thống mang SDN với Controller ONOS. ¢ Công cụ mô phỏng mang Containernet © Kỹ thuật lừa dối mang và honeypatch s Hé thống Cyber Threat Intelligence 1.6 Phương pháp nghiên cứu ¢ Nghiên cứu tài liệu hướng dẫn và thực hiện triển khai mạng SDN. ¢ Tham khảo các video mô tả, tài liệu giải thích và các phương pháp triển khai hệ thống lừa dối mạng, cơ chế honeypatch và hệ thống Cyber Threat Intelligence.
¢ Thực hiện các thử nghiệm khác nhau để đánh giá hiệu năng và độ chính xác.7 Cấu trúc khóa luận Khoá luận được trình bày với cấu trúc như sau: s Chương 1: Giới thiệu tổng quan về dé tài nghiên cứu, mục tiêu, đối tượng, phạm vi nghiên cứu ° Chương] Trình bày các kiến thức nền tảng về SDN, kỹ thuật lừa dối mạng, honeypatch. ° Chương] Phân tích thiết kế hệ thống phòng thủ chủ động trong SDN. GIỚI THIỆU * Chương|4| Triển khai, thực nghiệm và đánh giá các hệ thống đã triển khai. ° Chương] Kết luận và hướng phát triển.
Chương 2 KIÊN THỨC NEN TANG 2.1 Mạng kha lập trình (Software-Defined Network) 2.1 Tổng quan Mang định nghĩa được bằng phan mềm hay Software-Defined Network (SDN) là một kiểu kiến trúc mang mới, năng động, dé quản ly, chi phí hiệu quả, dé thích nghỉ và rất phù hợp với nhu cầu mạng ngày càng tăng hiện nay. Kiến trúc này phân tách phần điều khiển mạng (Control Plane) và chức năng vận chuyển dữ liệu (Forwarding Plane hay Data Plane), điều này cho phép việc điều khiển mạng trở nên có thể lập trình được dé dàng và cơ sở hạ tầng mạng độc lập với các ứng dụng và dịch vụ mạng. Trong SDN, kỹ sư hoặc quản trị viên mạng có thể định hình lưu lượng truy cập từ bộ điều khiển tập trung mà không phải thiết lập trên từng thiết bị riêng lẻ trong mạng. Bộ điều khiển SDN tập trung quản lý các thiết bị cung cấp các dịch vụ mạng bắt cứ khi nào chúng cần, bắt kể các loại kết nối nào giữa server và thiết bị 2.2 Kiến trúc SDN Về cơ bản kiến trúc của SDN bao gồm ba lớp: lớp ứng dụng (Application Layer), lớp điều khiển (Control Layer) và lớp hạ tầng (Infrastructure Layer).
s Lớp ứng dụng, đúng như tên gọi của nó, chứa các ứng dụng hoặc các chức năng mạng điển hình mà các tổ chức sử dụng như các hệ thống phát hiện xâm nhập, cân bằng tải hoặc tường lửa. Điều này khác với một mạng truyền thống, với kiến trúc mạng truyền thống, trong mạng truyền thống, để thực Chương 2. KIÊN THÚC NEN TANG hiện các chức năng này, mạng sẽ cần sử dụng một thiết bị chuyên dụng, như tường lửa hoặc thiết bị cân bằng tải riêng biệt. Trong khi với SDN các thiết bị này sẽ được thay thế bằng một ứng dụng phần mềm sử dụng bộ điều khiển để quản lý hành vi của mặt phẳng dữ liệu.
® Lớp điều khiển đại diện cho phần mềm điều khiển SDN tập trung hoạt động như bộ não của mạng. Bộ điều khiển này nằm trên một máy chủ và quan lý các chính sách và luéng lưu lượng trên toàn mạng. ¢ Lớp hạ tầng bao gồm các thiết bị chuyển mach vat lý trong mạng. Ba lớp này giao tiếp bằng cách sử dụng các giao điện lập trình ứng dụng (API) cầu bắc (northbound API) và cầu nam (southbound API) tương ứng.
Các phan mềm phía tầng ứng dụng giao tiếp với lớp điều khiển thông qua northbound API, trong khi lớp điều khiển va các bộ chuyển mạch trong lớp ha tang giao tiếp với nhau thông qua các southbound API, như OpenFlow. Khi nghe đến SDN chúng ta hay nghe đến OpenFlow, thực chất thì OpenFlow chính là một giao thức southbound API cho phép giao tiếp giữa lớp hạ tầng và lớp điều khiển. Trên thực tế có rất nhiều các giao thức khác tồn tại, nhưng OpenFlow vẫn tương đối phổ biến vì lí do lịch sử và là tiêu chuẩn đầu tiên cho các southbound API. Đối với các northbound API hiện nay chưa có tiêu chuẩn chung như OpenFlow cho southbound API.
Tuy nhiên, OpenDaylight đang nổi lên như một tiêu chuẩn thực tế được sử dụng và được hỗ trợ rộng rãi bởi các nhà cung cấp. KIÊN THUC NEN TANG Lớp ứng dụng Load balancer Lớp điều khiển SDN controller Các thiết bị chuyển mạch HINH 2.1: Kiến trúc của SDN 2.3 Cơ chế hoạt động Ý tưởng của SDN dựa trên sự kết hợp của việc tách biệt các chức năng điều khiển và chuyển tiếp dữ liệu, ảo hóa mạng và tu động hóa thông qua kha năng lập trình. Ban đầu, công nghệ SDN chỉ tập trung vào việc tách mặt phẳng điều khiển mạng khỏi mặt phẳng dữ liệu. Mặt phẳng điều khiển đưa ra quyết định về cách các gói dữ liệu sẽ truyền qua mạng, mặt phẳng dữ liệu thực hiện việc di chuyển các gói từ nơi này sang nơi khác.
Một gói tin khi đến bộ chuyển mạch của mạng sẽ được các quy tắc được tích hợp trong phần sụn độc quyền của bộ chuyển mạch định hướng đến nơi chuyển tiếp gói. Các quy tắc xử lý gói này được gửi đến bộ chuyển mạch từ bộ điều khiển tập trung. Các thiết bị chuyển mạch - còn được gọi là thiết bị mặt phẳng dw liệu - truy van 10 Chương 2. KIÊN THÚC NEN TANG bộ điều khiển để nhận các chỉ thị và quy tắc định hướng khi cần thiết và cung cấp cho bộ điều khiển thông tin về lưu lượng mà nó xử lý.