Giới thiệu dự án

Trong bối cảnh chuyển đổi số và sự bùng nổ của mạng vạn vật công nghiệp (IIoT), kiến trúc mạng định nghĩa bằng phần mềm (Software-Defined Networking - SDN) đã trở thành hạ tầng then chốt nhờ khả năng tách biệt hoàn toàn mặt phẳng điều khiển (Control Plane) và mặt phẳng chuyển tiếp dữ liệu (Forwarding/Data Plane). Tuy nhiên, theo các thống kê an ninh mạng công nghiệp, mô hình quản lý tập trung của SDN vô tình biến bộ điều khiển (SDN Controller) thành điểm lỗi đơn (Single Point of Failure - SPoF). Kẻ tấn công có thể khai thác các lỗ hổng kiệt quệ tài nguyên (như DDoS flooding vào luồng Packet-In) làm tê liệt toàn bộ hạ tầng mạng phân tán chỉ trong vài giây.

Các giải pháp phòng thủ thụ động truyền thống như hệ thống phát hiện xâm nhập (Intrusion Detection System - IDS) hay tường lửa (Firewall) bộc lộ hạn chế lớn khi lưu lượng mạng đạt mức hàng chục Gbps: bộ nhớ đệm (buffer cache) nhanh chóng bị cạn kiệt, tỷ lệ cảnh báo giả cao và không thể chủ động ngăn chặn các chiến dịch tấn công có chủ đích (APT). Hơn nữa, các mô hình bẫy truyền thống (Static Honeypot) thường tĩnh, dễ bị phát hiện qua kỹ thuật quét dấu vân tay (fingerprinting) và phạm vi giám sát hạn chế.

Đề tài "Phương pháp triển khai kĩ thuật lừa dối dựa trên SDN phục vụ chiến lược phòng thủ chủ động sử dụng Honeypot và Honeypatch" do sinh viên Trần Anh Đức và Nguyễn Thanh Huy (Trường Đại học Công nghệ Thông tin - ĐHQG-HCM) thực hiện dưới sự hướng dẫn của TS. Nguyễn Tấn Cầm và ThS. Đỗ Thị Thu Hiền, tập trung giải quyết triệt để các thách thức trên thông qua mô hình phòng thủ chủ động thế hệ mới.

+-----------------------------------------------------------------------------------+
|                              KIẾN TRÚC TỔNG QUAN HỆ THỐNG                          |
+-----------------------------------------------------------------------------------+
|                                                                                   |
|  [ Kẻ tấn công (Attacker) ]                                                      |
|             |                                                                     |
|             v                                                                     |
|  [ OpenFlow Switch (Data Plane) ] <---(Port Mirroring)---> [ Snort IDS ]          |
|             |                                                    | (Alert Socket) |
|             | (OpenFlow v1.3 Rules)                              v                |
|             +<====================================== [ SDN ONOS Controller ]      |
|             |                                         (Active Redirection App)    |
|             +----------------------------+                       |                |
|             |                            |                       | (PyMISP API)   |
|             v                            v                       v                |
|   [ Production Host ]          [ Vùng Mạng Bẫy (Decoy) ] <---> [ Hệ thống CTI ]   |
|   (Hệ thống thật)              - Cowrie (SSH/Telnet)           (MISP + ELK Stack) |
|                                - Mailoney (SMTP)                                  |
|                                - OpenCanary / HoneySMB                            |
|                                - Honeypatch Web Server                            |
+-----------------------------------------------------------------------------------+

Mục tiêu cụ thể của đề tài

  1. Triển khai kiến trúc SDN tích hợp IDS giám sát tập trung: Tận dụng khả năng lập trình luồng gói tin của SDN kết hợp Snort IDS để phát hiện xâm nhập thời gian thực qua cơ chế Port Mirroring.
  2. Xây dựng hệ thống lừa dối mạng (Cyber Deception): Triển khai vùng mạng bẫy đa tầng gồm các Honeypot tương tác trung bình đến cao (Cowrie, Mailoney, OpenCanary, HoneySMB) được tự động hóa triển khai bằng Ansible.
  3. Phát triển cơ chế Honeypatch trên Web Server: Thiết kế kiến trúc chuyển hướng trong suốt (transparent redirection) đối với các request khai thác lỗ hổng (như Heartbleed), cho phép duy trì kết nối và thu thập payload độc hại mà không làm gián đoạn hệ thống thật.
  4. Tích hợp nền tảng Cyber Threat Intelligence (CTI) & Logging: Tự động thu thập, phân tích log tập trung qua Elastic Stack (ELK), đối soát Indicators of Compromise (IOC) trên nền tảng MISP và cập nhật rule phòng thủ tự động.

Phạm vi và giới hạn

  • Phạm vi: Nghiên cứu và thực nghiệm trên môi trường mạng mô phỏng Containernet (mở rộng từ Mininet hỗ trợ Docker), điều khiển tập trung bởi ONOS Controller thông qua giao thức OpenFlow v1.3.
  • Giới hạn: Tập trung vào các kịch bản quét cổng mạng (Reconnaissance), tấn công Brute-Force (SSH/SMTP), khai thác dịch vụ SMB và khai thác lỗ hổng Web Server (Heartbleed OpenSSL).

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Tiêu chí Phòng thủ truyền thống (Firewall / IDS đơn lẻ) Framework Decepti-SCADA (2020) Giải pháp đề xuất (SDN Active Deception)
Tính chủ động Thấp (Phản ứng sau khi xâm nhập thành công) Trung bình (Tập trung bẫy thiết bị SCADA) Rất cao (Chủ động dẫn dụ, cô lập và đánh lừa)
Khả năng cấu hình luồng Tĩnh, cấu hình thủ công trên từng thiết bị Tĩnh trên các router ảo Động, lập trình qua OpenFlow v1.3 API
Xử lý lỗ hổng Chặn request hoặc vá trực tiếp (lộ bản vá) Không hỗ trợ cơ chế patch lừa dối Honeypatch (Dẫn dụ request khai thác sang Decoy)
Tài nguyên tiêu hao Tăng tuyến tính theo băng thông giám sát Trung bình (Container hóa hạn chế) Tối ưu (Chỉ phân tích sâu khi có cảnh báo)
Liên thông CTI Rời rạc, cập nhật thủ công Ghi nhận log cục bộ Tự động trích xuất IOC và đẩy rule qua MISP API

Ma trận ưu tiên yêu cầu hệ thống (MoSCoW)

  • Must-have:
    • Điều khiển chuyển hướng luồng gói tin động dựa trên OpenFlow entry.
    • Phân tích cảnh báo từ Snort IDS qua Socket IPC để gửi lệnh REST API sang ONOS.
    • Vùng bẫy Honeypot đa dịch vụ chạy độc lập trên Docker container.
    • Cơ chế Honeypatch chuyển hướng payload khai thác Heartbleed sang Backend Decoy.
  • Should-have:
    • Tự động hóa triển khai/gỡ bỏ bẫy thông qua Ansible Playbooks.
    • Đồng bộ hóa dữ liệu log về Elasticsearch và trực quan hóa trên Kibana Dashboard.
  • Could-have:
    • Tự động gán nhãn (tag: new-threat) trên MISP và tự sinh rule Snort tương ứng.
  • Won't-have (lần này):
    • Tích hợp mô hình học máy (Machine Learning) để dự đoán hành vi tấn công nâng cao.

Thiết kế hệ thống

Kiến trúc hệ thống gồm 4 phân hệ chính hoạt động hiệp đồng:

+--------------------------------------------------------------------+
|                         KIẾN TRÚC PHÂN TẦNG                         |
+--------------------------------------------------------------------+
| [TẦNG ỨNG DỤNG]   - Ansible Trap-Manager Engine                     |
|                   - SDN Flow Controller App (Python REST Client)    |
|                   - Threat Intelligence Parser (PyMISP Engine)      |
+--------------------------------------------------------------------+
| [TẦNG ĐIỀU KHIỂN] - ONOS SDN Controller (v2.7 LTS)                  |
|                   - Southbound: OpenFlow 1.3 Provider               |
|                   - Northbound: REST API Flow Objectives            |
+--------------------------------------------------------------------+
| [TẦNG HẠ TẦNG]    - Open vSwitch (OVS) Kernel Datapath              |
|                   - Docker Containernet Virtual Topology            |
|                   - Production Hosts & Decoy Hosts                  |
+--------------------------------------------------------------------+
| [PHÂN HỆ BỔ TRỢ]  - IDS: Snort 2.9 (Unix Socket Alert Mode)         |
|                   - CTI: MISP Platform 2.4 + Elasticsearch 7.17     |
|                   - Proxy: Nginx Reverse Proxy (Honeypatch Engine)  |
+--------------------------------------------------------------------+

Danh mục công nghệ và phiên bản sử dụng

  • SDN Controller: ONOS Controller 2.7 LTS (chạy trên môi trường Java OpenJDK 11).
  • Giao thức mạng: OpenFlow Switch Protocol v1.3.
  • Môi trường giả lập mạng: Containernet 3.0 (nhánh mở rộng của Mininet 2.3.0), Docker Engine 20.10.x.
  • Intrusion Detection System: Snort IDS 2.9.18 (cấu hình port_mirroring và alert_unix_socket).
  • Hệ thống Honeypot: Cowrie v2.1 (SSH/Telnet), Mailoney (SMTP), OpenCanary 0.6.0, HoneySMB.
  • Tự động hóa & Cấu hình: Ansible 2.9+ (kiến trúc Agentless qua giao thức SSH).
  • CTI & Quản lý Log: MISP 2.4.150, Elastic Stack (Filebeat 7.17, Elasticsearch 7.17, Kibana 7.17).

Thiết kế Flow Table và API Endpoint

  • Cơ chế Pipeline OpenFlow Switch:
    • Table 0: Khớp các gói tin cơ bản (ARP, LLDP, Default L2/L3 Routing). Khớp địa chỉ IP nguồn (ip_src) của kẻ tấn công được đẩy từ Controller.
    • Instruction: Khi ip_src == $ATTACKER_IP, ghi đè ip_dst thành IP_DECOY_TRAP, sửa trường MAC tương ứng và chuyển tiếp qua cổng vật lý chứa vùng mạng bẫy (OFPP_OUTPUT:port_trap).
  • API Endpoints tiêu biểu:
    • POST /onos/v1/flows/{deviceId}: Đẩy quy tắc Flow Rules động xuống OVS.
    • POST /events/restSearch: Truy vấn IOCs trên nền tảng MISP.
    • POST /rules/snort/update: Tự động nạp signature mới vào Snort Engine.

Phương pháp nghiên cứu (Methodology)

Quy trình phát triển hệ thống áp dụng mô hình lặp (Iterative Agile Engineering) kéo dài từ tháng 02/2022 đến tháng 07/2022 qua 5 giai đoạn:

Tháng 02/2022     Tháng 03/2022     Tháng 04/2022     Tháng 05/2022     Tháng 06-07/2022
     |                 |                 |                 |                 |
     v                 v                 v                 v                 v
[ Milestone 1 ]  [ Milestone 2 ]  [ Milestone 3 ]  [ Milestone 4 ]  [ Milestone 5 ]
Khảo sát lý     Xây dựng mạng     Triển khai cụm    Tích hợp CTI,     Đánh giá thực
thuyết SDN &    SDN ảo hóa với    Honeypot tự       Honeypatch &      nghiệm, tối ưu
Cyber Deception ONOS Controller   động hóa Ansible  ELK Logging       và nghiệm thu

Ma trận đánh giá và kiểm soát rủi ro

Rủi ro kỹ thuật Mức độ Biện pháp giảm thiểu
Tràn bảng Flow Table trên OVS Switch Cao Thiết lập cơ chế idle_timeout=60s và hard_timeout=300s cho mọi flow rule lừa dối
Kẻ tấn công thoát khỏi môi trường bẫy (Honeypot escape) Nghiêm trọng Cô lập Docker container bằng bridge network riêng biệt, giới hạn cgroups CPU (0.5 core) và RAM (256MB)
Nghẽn socket giữa Snort IDS và SDN Controller Trung bình Sử dụng bộ đệm Unix Domain Socket đa luồng với non-blocking I/O trong Python

Implementation và kết quả

Quá trình phát triển và chi tiết giải thuật

1. Cơ chế Honeypatch xử lý lỗ hổng Heartbleed (OpenSSL CVE-2014-0160)

So sánh giữa mã nguồn bản vá thông thường (loại bỏ và ngắt kết nối ngay) và Honeypatch (tách tiến trình, chuyển hướng luồng thực thi sang môi trường Decoy):

/* ========================================================================= */
/* TRƯỜNG HỢP 1: Bản vá truyền thống (Traditional Patch)                       */
/* ========================================================================= */
if (1 + 2 + payload + 16 > s->s3->rrec.length) {
    /* Phát hiện payload bất thường -> Hủy kết nối âm thầm */
    return 0; 
}

/* ========================================================================= */
/* TRƯỜNG HỢP 2: Kỹ thuật Honeypatch đề xuất (Active Deception Honeypatch)   */
/* ========================================================================= */
if (1 + 2 + payload + 16 > s->s3->rrec.length) {
    /* 1. Phân nhánh tiến trình để cô lập phiên làm việc */
    hp_fork();
    
    /* 2. Bỏ qua lệnh return 0, chuyển tiếp payload sang Decoy Backend */
    hp_skip(return 0);
    
    /* 3. Phục hồi cấu trúc bộ nhớ giả mạo để trả về thông tin nghi binh */
    hp_redirect_to_decoy_backend(s, s->s3->rrec);
}

2. Giải thuật điều khiển luồng động trên SDN Controller (Python Engine)

Ứng dụng Controller đóng vai trò lắng nghe cảnh báo từ Snort qua TCP Socket, sau đó tạo Flow Objective gửi tới ONOS Controller:

import socket
import json
import requests

def handle_snort_alert(sock_port=9999, onos_url="http://172.17.0.2:8181/onos/v1/flows/"):
    server = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    server.bind(("0.0.0.0", sock_port))
    server.listen(5)
    
    while True:
        conn, addr = server.accept()
        raw_data = conn.recv(1024).decode('utf-8')
        if not raw_data:
            continue
        
        alert = json.loads(raw_data)
        src_ip = alert.get("src_ip")
        signature = alert.get("sig_name")
        
        # Định nghĩa Flow Entry chuyển hướng sang Honeypot Host (10.0.0.100)
        flow_rule = {
            "priority": 40000,
            "timeout": 300,
            "isPermanent": False,
            "deviceId": "of:0000000000000001",
            "treatment": {
                "instructions": [
                    {"type": "L3MODIFICATION", "subtype": "IPV4_DST", "ip": "10.0.0.100"},
                    {"type": "OUTPUT", "port": "3"}
                ]
            },
            "selector": {
                "criteria": [
                    {"type": "ETH_TYPE", "ethType": "0x0800"},
                    {"type": "IPV4_SRC", "ip": f"{src_ip}/32"}
                ]
            }
        }
        
        headers = {"Content-Type": "application/json", "Accept": "application/json"}
        auth = ("onos", "rocks")
        response = requests.post(
            f"{onos_url}of:0000000000000001", 
            data=json.dumps(flow_rule), 
            headers=headers, 
            auth=auth
        )
        if response.status_code == 201:
            print(f"[+] Successfully redirected attacker {src_ip} triggering {signature} to Decoy Trap!")

3. Tự động hóa triển khai Honeypot bằng Ansible Playbook

Hệ thống quản lý bẫy (trap-manager) sử dụng các playbook cấu hình linh hoạt cho phép khởi tạo hoặc thu hồi bẫy chỉ với một dòng lệnh:

---
- name: Deploy Dynamic Cowrie SSH Honeypot Decoy
  hosts: sdn_hosts
  become: yes
  tasks:
    - name: Ensure Cowrie Docker Container is Running
      docker_container:
        name: cowrie_trap_01
        image: cowrie/cowrie:latest
        state: started
        restart_policy: always
        ports:
          - "2222:2222"
        volumes:
          - /var/log/cowrie:/cowrie/var/log/cowrie
        env:
          COWRIE_TELNET_ENABLED: "yes"

    - name: Configure Filebeat Shipper for Cowrie Logs
      template:
        src: filebeat_cowrie.yml.j2
        dest: /etc/filebeat/inputs.d/cowrie.yml
      notify: Restart Filebeat

Kiểm thử và đánh giá hiệu năng (Testing & Validation)

Hệ thống được thử nghiệm qua 3 kịch bản tấn công thực tế từ máy tính kẻ tấn công (Attacker Machine - Kali Linux 2022.2):

  • Kịch bản 1: Do thám quét cổng dịch vụ bằng Nmap (nmap -sS -A 10.0.0.1).
  • Kịch bản 2: Tấn công từ điển Brute-Force mật khẩu dịch vụ SSH bằng Hydra.
  • Kịch bản 3: Khai thác lỗ hổng rò rỉ bộ nhớ Heartbleed qua script Python chuyên dụng.
+----------------------------------------------------------------------------------+
|               KẾT QUẢ PHẢN ỨNG VÀ ĐIỀU HƯỚNG TRONG THỰC NGHIỆM                    |
+----------------------------------------------------------------------------------+
|                                                                                  |
| Lần 1 (Quét Nmap ban đầu):                                                       |
| Attacker ----[SYN Scan]--> Target 10.0.0.1 (Chỉ thấy Port 80 Open)              |
|                                                                                  |
| Snort phát hiện Portscan ---> Đẩy Alert về ONOS ---> Nạp Rule Redirect (8.6ms)   |
|                                                                                  |
| Lần 2 (Quét lại sau khi bị Redirect sang Decoy Host):                            |
| Attacker ----[SYN Scan]--> Target 10.0.0.1                                       |
|                  |                                                               |
|                  +---> (OpenFlow Table 0 tự động đổi hướng sang 10.0.0.100)      |
|                        Kết quả trả về cho Attacker: Open Ports: 22 (Cowrie),     |
|                        25 (Mailoney), 139/445 (HoneySMB), 80 (OpenCanary)        |
|                                                                                  |
+----------------------------------------------------------------------------------+

Bảng số liệu kiểm thử thực nghiệm (Trung bình qua 10 lần thực thi mỗi kịch bản)

Chỉ số đo lường (Metrics) Kịch bản 1 (Portscan) Kịch bản 2 (SSH Hydra) Kịch bản 3 (Heartbleed)
Thời gian Snort phát hiện (ms) $12.4 \pm 1.2$ $15.8 \pm 0.8$ $8.2 \pm 0.5$
Độ trễ cài đặt Flow Rule qua ONOS (ms) $8.6 \pm 0.4$ $8.7 \pm 0.3$ $8.5 \pm 0.2$
Tổng thời gian phản ứng hệ thống (ms) $21.0 \pm 1.6$ $24.5 \pm 1.1$ $16.7 \pm 0.7$
Tỷ lệ chuyển hướng thành công $100%$ $100%$ $100%$
Tỷ lệ tiêu hao CPU Controller khi tấn công $3.2%$ $4.1%$ $2.8%$
Thời gian triển khai Decoy mới qua Ansible $18.4\text{ s}$ $22.1\text{ s}$ $15.6\text{ s}$

Đổi mới và đóng góp

  1. Cơ chế điều hướng động không xâm lấn (Non-intrusive SDN Redirection): Khác với các giải pháp lừa dối truyền thống đòi hỏi thay đổi kiến trúc vật lý, hệ thống tận dụng sự linh hoạt của OpenFlow v1.3 để tái định tuyến mức gói tin (L2-L4 packet rewrite) với độ trễ chưa tới $25\text{ ms}$.
  2. Kỹ thuật Honeypatch chống rò rỉ thông tin trạng thái phòng thủ: Thay vì trả về mã lỗi HTTP 403/500 làm lộ việc hệ thống đã vá lỗi, Honeypatch duy trì kết nối và trả về dữ liệu giả mạo từ môi trường Decoy, giúp giữ chân kẻ tấn công lâu hơn $340%$ thời gian nhằm thu thập trọn vẹn chuỗi payload tấn công (Cyber Kill Chain).
  3. Quản lý vòng đời bẫy tự động hóa (Automated Decoy Orchestration): Ứng dụng Ansible Playbook giúp giảm thiểu thời gian triển khai một Honeypot hoàn chỉnh từ $15-20$ phút cấu hình thủ công xuống chỉ còn dưới $30\text{ giây}$, cho phép tạo ra các kiến trúc mạng bẫy biến hóa liên tục (Moving Target Defense).
  4. Vòng lặp chia sẻ tri thức mối đe dọa khép kín (Closed-loop CTI Integration): Tích hợp MISP API và ELK Stack cho phép chuyển hóa trực tiếp hành vi thu thập được từ bẫy thành các bộ quy tắc bảo vệ Snort mới trong thời gian thực mà không cần can thiệp thủ công.

Ứng dụng thực tế và triển khai

Kịch bản ứng dụng trong doanh nghiệp

  • Bảo vệ Trung tâm Dữ liệu Doanh nghiệp (Enterprise Data Center): Triển khai lớp phòng thủ lừa dối trước các cụm Web Application Server quan trọng để phân loại và cô lập các cuộc tấn công Zero-day.
  • Hệ thống Điều khiển Công nghiệp & SCADA (ICS/SCADA Networks): Sử dụng các container Docker để giả lập PLC, cảm biến Modbus/SMB, thu hút mã độc công nghiệp tránh xa thiết bị vận hành thật.
+--------------------------------------------------------------------+
|                YÊU CẦU PHẦN CỨNG & HẠ TẦNG TRIỂN KHAI              |
+--------------------------------------------------------------------+
| - CPU: Tối thiểu 4 Cores (Khuyến nghị 8 Cores x86_64)              |
| - RAM: Tối thiểu 16GB (Dành cho ONOS, Elastic Stack & Docker Decoys)|
| - Storage: 100GB SSD (Lưu trữ Elasticsearch Index & Docker Images)  |
| - NIC: 2 Cổng mạng Gigabit Ethernet (Hỗ trợ Open vSwitch Datapath)  |
| - OS: Ubuntu Server 20.04 LTS / 22.04 LTS Kernel 5.4+              |
+--------------------------------------------------------------------+

Lộ trình triển khai khuyến nghị (Deployment Roadmap)

Tuần 1-2: Chuẩn bị hạ tầng & Cài đặt ONOS Controller Cluster
Tuần 3-4: Cấu hình Open vSwitch và Port Mirroring cho Snort IDS
Tuần 5-6: Xây dựng Image Docker Honeypot (Cowrie, Mailoney) & Ansible Controller
Tuần 7-8: Triển khai CTI MISP, liên kết Filebeat - Elasticsearch và thử nghiệm nghiệm thu

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Giới hạn không gian bộ nhớ Flow Table: Trên các Switch phần cứng thực tế (TCAM Memory), số lượng Flow Rule có giới hạn. Việc chèn quá nhiều rule chuyển hướng có thể làm suy giảm hiệu năng xử lý gói tin.
  • Rủi ro Honeypot Breakout: Dù các Honeypot được cô lập trong container, các kỹ thuật khai thác lỗ hổng hạt nhân Linux (Kernel Exploits) vẫn tiềm ẩn nguy cơ thoát bẫy nếu không có các chính sách AppArmor/SELinux nghiêm ngặt.

Hướng phát triển tiếp theo

  • Nghiên cứu ứng dụng Lý thuyết trò chơi (Game Theory) và Học tăng cường (Reinforcement Learning) để bộ điều khiển tự động tính toán xác suất triển khai loại bẫy tối ưu dựa trên hồ sơ kẻ tấn công.
  • Nâng cấp mặt phẳng dữ liệu lên ngôn ngữ lập trình P4 (Programming Protocol-Independent Packet Processors) nhằm tăng tốc độ xử lý gói tin ở mức phần cứng với độ trễ nanogiây.

Đối tượng hưởng lợi

  • Sinh viên & Học viên An toàn Thông tin: Tài liệu tham khảo toàn diện về kiến trúc mạng SDN, cách tích hợp OpenFlow với hệ thống IDS và xây dựng Honeypot thực tế.
  • Kỹ sư An ninh Mạng & SOC Analysts: Mẫu kiến trúc và các đoạn mã tự động hóa (Python, Ansible Playbook) để áp dụng ngay vào việc xây dựng hệ thống phòng thủ chủ động cho hạ tầng doanh nghiệp.
  • Doanh nghiệp & Tổ chức: Cắt giảm tới $65%$ chi phí đầu tư thiết bị phần cứng chuyên dụng nhờ việc ảo hóa mạng bẫy trên nền tảng mã nguồn mở.
  • Nhà nghiên cứu học thuật: Cung cấp dữ liệu thực nghiệm về thời gian phản ứng, tính khả thi của Honeypatch trong việc đánh lừa kẻ tấn công trên mạng SDN.

Câu hỏi thường gặp

1. Yêu cầu kỹ thuật cốt lõi để triển khai hệ thống này vào thực tế là gì?

Hạ tầng mạng cần hỗ trợ các thiết bị chuyển mạch tương thích giao thức OpenFlow (v1.3 trở lên) hoặc chuyển mạch ảo Open vSwitch (OVS). Máy chủ quản trị cần cài đặt Docker Engine, Python 3.8+ và Ansible 2.9 để vận hành các kịch bản bẫy tự động.

2. Giới hạn mở rộng (Scalability) của hệ thống là bao nhiêu và cách khắc phục?

Khi số lượng tấn công tăng đột biến, ONOS Controller có thể gặp quá tải xử lý REST API. Giải pháp là triển khai mô hình cụm phân tán (ONOS Distributed Cluster với 3-5 node) và đặt timeout ngắn cho các Flow Rule lừa dối để giải phóng bộ nhớ switch kịp thời.

3. Hệ thống có thể tích hợp với các giải pháp SIEM hiện có như Splunk hay QRadar không?

Hoàn toàn khả thi. Filebeat đã được cấu hình chuẩn định dạng JSON/ECS, có thể cấu hình output trực tiếp đến Logstash, Splunk Universal Forwarder hoặc Syslog Server của bất kỳ hệ thống SIEM nào của doanh nghiệp.

4. Chi phí vận hành và bảo trì hệ thống như thế nào?

Do sử dụng hoàn toàn các giải pháp nguồn mở (ONOS, Snort, MISP, Docker, Ansible, ELK OSS), chi phí bản quyền bằng $0$. Doanh nghiệp chỉ chi trả chi phí hạ tầng máy chủ và nguồn lực vận hành tối ưu hơn rất nhiều so với giải pháp Deception thương mại.

5. Cơ chế Honeypatch có làm ảnh hưởng đến hiệu năng của người dùng hợp lệ không?

Không. Hệ thống Proxy chỉ kiểm tra và kích hoạt nhánh hp_fork() đối với các gói tin vi phạm khuôn dạng giao thức chuẩn (Malformed Packets chứa exploit signature). Toàn bộ các truy cập hợp lệ vẫn được xử lý trực tiếp bởi Web Server chính mà không chịu thêm độ trễ đáng kể ($<1\text{ ms}$).

Kết luận

Khóa luận tốt nghiệp của sinh viên Trần Anh Đức và Nguyễn Thanh Huy đã chứng minh tính hiệu quả vượt trội của việc kết hợp giữa mạng khả lập trình SDN và kỹ thuật lừa dối mạng trong chiến lược phòng thủ chủ động. Bằng cách tích hợp nhuần nhuyễn giữa ONOS Controller, Snort IDS, hệ thống bẫy tự động hóa Ansible, cơ chế Honeypatch và nền tảng CTI MISP, hệ thống không chỉ phát hiện và cô lập các cuộc tấn công với độ trễ chỉ khoảng $20\text{ ms}$, mà còn đánh lừa và giữ chân kẻ tấn công để thu thập tri thức an ninh mạng quý giá.

Đây là công trình nghiên cứu ứng dụng có hàm lượng kỹ thuật cao, bám sát xu hướng an toàn thông tin hiện đại, mở ra hướng đi mới trong việc bảo vệ các hạ tầng mạng trọng yếu trước những hiểm họa an ninh mạng ngày càng phức tạp.