Giới thiệu dự án

Trong bối cảnh an ninh mạng hiện đại, các cuộc tấn công có chủ đích (APT), mã độc tống tiền (Ransomware) và khai thác lỗ hổng Zero-Day đang gia tăng với quy mô chưa từng có. Theo các báo cáo an ninh mạng toàn cầu, hàng triệu cuộc tấn công mạng diễn ra mỗi ngày, nhắm trực tiếp vào hạ tầng công nghệ thông tin của các tổ chức và doanh nghiệp. Các giải pháp phòng thủ truyền thống như tường lửa (Firewall) và Hệ thống phát hiện/ngăn chặn xâm nhập (IDS/IPS) chủ yếu hoạt động dựa trên cơ sở dữ liệu mẫu nhận dạng (signature-based). Do đó, chúng bộc lộ điểm yếu chí mạng khi đối mặt với các kỹ thuật tấn công mới chưa được định nghĩa hoặc các biến thể tinh vi.

Để chủ động đối phó, công nghệ Honeypot (hệ thống bẫy mật) đã trở thành một thành phần quan trọng trong kiến trúc phòng thủ chiều sâu. Bằng cách thiết lập các mục tiêu giả lập có chủ đích chứa điểm yếu để thu hút kẻ tấn công, Honeypot cho phép thu thập thông tin tình báo mối đe dọa (Threat Intelligence), phân tích hành vi và phương thức khai thác của tin tặc mà không gây nguy hại đến dữ liệu thực.

+-----------------------------------------------------------------------------------+
|                              MÔ HÌNH BẢO VỆ TỔNG QUAN                             |
|                                                                                   |
|  [ Kẻ tấn công (Attacker) ]                                                      |
|             |                                                                     |
|             v (Traffic)                                                           |
|     +-------------------+         Phát hiện tấn công      +--------------------+  |
|     |  Router (Snort)   | ------------------------------> | Controller (Python)|  |
|     +-------------------+                                 +--------------------+  |
|             |                                                       |             |
|             v (Data Flow)                                    (Cập nhật Flow Table)|
|     +-------------------------------------------------------------+ |             |
|     |              Virtual Switch (Open vSwitch)                  | <             |
|     +-------------------------------------------------------------+               |
|             | (Traffic bình thường)                | (Lưu lượng tấn công)         |
|             v                                      v                              |
|     +---------------+                     +-------------------+                   |
|     | Target Server |                     | Honeypot Cluster  |                   |
|     | (Production)  |                     |  - HTTP (DVWA)    |                   |
|     +---------------+                     |  - SMB, FTP       |                   |
|                                           |  - Metasploitable |                   |
|                                           +-------------------+                   |
+-----------------------------------------------------------------------------------+

Vấn đề thực tiễn (Problem Statement)

Mặc dù mang lại lợi ích lớn, việc triển khai Honeypot trong môi trường thực tế gặp nhiều thách thức lớn:

  • Tính thủ công và cứng nhắc: Đa số các giải pháp honeypot hiện nay tồn tại dưới dạng các tập lệnh độc lập hoặc máy ảo nặng nề, đòi hỏi kỹ sư quản trị phải cấu hình, triển khai và giám sát thủ công từng thành phần.
  • Lãng phí tài nguyên: Việc duy trì thường trực một cụm honeypot lớn với đầy đủ dịch vụ làm tiêu tốn đáng kể tài nguyên CPU, RAM và lưu lượng mạng khi hệ thống không bị tấn công.
  • Thiếu khả năng cô lập và điều hướng thông minh: Khi máy chủ chính bị quét hoặc tấn công, hệ thống thiếu cơ chế chuyển hướng lưu lượng độc hại sang honeypot một cách vô hình (seamless/transparent) đối với tin tặc.

Mục tiêu của dự án

  1. Tự động hóa triển khai cụm Honeypot theo nhu cầu: Xây dựng cơ chế đọc tệp cấu hình định dạng chuẩn để tự động khởi tạo, mở rộng hoặc thu hồi các dịch vụ honeypot thông qua Docker Swarm.
  2. Thiết kế cơ chế điều hướng luồng mạng linh hoạt: Ứng dụng công nghệ Open vSwitch (OVS) kết hợp với Hệ thống phát hiện xâm nhập Snort để phát hiện lưu lượng độc hại và thay đổi luồng chuyển mạch trong thời gian thực.
  3. Bảo vệ toàn diện máy chủ mục tiêu: Chuyển hướng chính xác các luồng tấn công sang Honeypot tương ứng, bảo toàn hoạt động và tính toàn vẹn của máy chủ dịch vụ thực tế.
  4. Đánh giá hiệu năng và tính khả thi: Kiểm thử qua 10 kịch bản tấn công thực tế từ quét cổng, tấn công DoS/DDoS đến khai thác backdoor tầng ứng dụng.

Phương pháp tiếp cận và kết quả kỳ vọng

Giải pháp kết hợp mô hình điều phối container phân tán của Docker Swarm với khả năng kiểm soát luồng OpenFlow của Open vSwitch, được giám sát tự động bởi một tiến trình điều khiển (Controller) viết bằng Python tương tác với Snort IDS.

  • Kết quả kỳ vọng: Thời gian khởi tạo/thay đổi trạng thái Honeypot đạt mức vài giây; độ trễ chuyển hướng luồng (switching latency) dưới $50\text{ ms}$; độ chính xác phân luồng đạt $100%$ đối với các mẫu luật được định nghĩa.
  • Phạm vi nghiên cứu: Đề tài tập trung triển khai mô hình thử nghiệm trên môi trường máy ảo chạy hệ điều hành Ubuntu 22.04.2 LTS, cấu hình bẫy mật các giao thức phổ biến: HTTP (Damn Vulnerable Web Application - DVWA), FTP (vsftpd v2.3.4), SMB (Samba CVE-2017-2619) và hệ thống máy chủ kiểm thử Metasploitable 2.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Hiện nay, các nghiên cứu và sản phẩm về Honeypot phân bổ từ mức độ tương tác thấp (Low-interaction) đến tương tác cao (High-interaction).

Giải pháp / Công cụ Loại tương tác Ưu điểm Nhược điểm Khả năng tự động hóa & Điều hướng luồng
Honeyd Tương tác thấp Nhẹ, giả lập được nhiều hệ điều hành và cổng mạng. Không cung cấp OS thật, không có cơ chế cảnh báo/điều hướng động. Rất thấp (Cấu hình tĩnh).
KFSensor / Specter Tương tác thấp - trung bình Giao diện quản lý trực quan trên Windows, giám sát nhiều cổng. Đóng mã nguồn, khó tùy biến sâu, hạn chế dịch vụ mô phỏng. Thấp.
HADES / HoneyChart Tương tác cao (Kubernetes) Giả lập hệ thống lớn, phản chiếu mạng phức tạp, quản lý bằng K8s. Cấu trúc rất nặng, tiêu tốn tài nguyên lớn, độ phức tạp triển khai cao. Cao nhưng đòi hỏi hạ tầng Kubernetes quy mô lớn.
Giải pháp đề xuất Tương tác cao theo nhu cầu Gọn nhẹ, triển khai nhanh bằng Docker Swarm, điều hướng OpenFlow thời gian thực qua OVS. Phụ thuộc vào tập luật của IDS để kích hoạt điều hướng. Rất cao (On-demand qua file cấu hình & Script tự động).

Ma trận ưu tiên yêu cầu hệ thống (MoSCoW)

  • Must Have (Bắt buộc có):
    • Khởi tạo và hủy bỏ container honeypot tự động dựa trên tệp cấu hình honeypot.conf.
    • Điều hướng gói tin độc hại từ Router sang Honeypot bằng Open vSwitch mà tin tặc không phát hiện thay đổi IP.
    • Tích hợp Snort IDS để bắt và phân tích gói tin tức thời qua thư viện pcap.
  • Should Have (Nên có):
    • Khôi phục trạng thái mặc định của Honeypot (Reset state) sau khi bị tin tặc phá hoại.
    • Hỗ trợ nhiều loại bẫy mật cùng lúc (HTTP, FTP, SMB, IRC).
  • Could Have (Có thể có):
    • Hỗ trợ giao diện web để quản lý và chỉnh sửa tệp cấu hình trực quan.
  • Won't Have (Chưa thực hiện trong phạm vi này):
    • Điều phối container đa cụm trên nhiều máy chủ vật lý phân tán ngoài mạng Internet.

Thiết kế hệ thống

1. Kiến trúc phân tầng và luồng dữ liệu

Hệ thống bao gồm 5 thành phần chính tương tác chặt chẽ với nhau:

  • Server (Production Server): Máy chủ chạy dịch vụ thực tế cần bảo vệ, được đóng gói dưới dạng container metasploitable2:v1.
  • Honeypot Cluster: Cụm honeypot được quản lý bởi Docker Swarm, bao gồm:
    • Web Honeypot: vulnerables/web-dvwa:latest
    • SMB Honeypot: kezzyhko/cve-2017-2619_victim:latest
    • FTP Honeypot: penkit/vsftpd:2.3.4
    • Hệ thống bẫy tổng hợp: tleemcjr/metasploitable2:latest
  • IDS Router: Bộ định tuyến biên chạy Ubuntu 22.04, tích hợp Snort IDS hoạt động ở chế độ một tay (single-arm sniffer).
  • Virtual Switch: Cầu nối ảo đa lớp triển khai bằng Open vSwitch gồm router-outside (kết nối mạng ngoài 192.168.x.x) và router-inside (kết nối nội bộ 10.0.0.x).
  • Controller: Script Python trung tâm sử dụng pexpect để lắng nghe tiến trình Snort và kích hoạt ovs-ofctl để ghi đè bảng luồng OpenFlow.
                           [ Lớp mạng ngoài: Attacker ]
                                        | (Interface VMNet1)
                                        v
                           +-------------------------+
                           | OVS Br: router-outside  |
                           +-------------------------+
                                        |
                                        v
                           +-------------------------+
                           |      Router (Snort)     |
                           +-------------------------+
                                        |
                                        v
                           +-------------------------+
                           |  OVS Br: router-inside  | <-----+ (Controller:
                           +-------------------------+       |  ovs-ofctl injection)
                             /          |          \         |
                            /           |           \        |
                           v            v            v       |
                   +-----------+  +-----------+  +-----------+
                   |  Server   |  | Honeypot1 |  | Honeypot2 |
                   | (Default) |  |   (FTP)   |  |  (DVWA)   |
                   +-----------+  +-----------+  +-----------+

2. Thông số Technology Stack & Cấu hình phần cứng

  • Hệ điều hành Host / Máy ảo KLTN: Ubuntu 22.04.2 LTS 64-bit (Kernel Linux 5.15), 4GB RAM, 2 vCPU cores.
  • Môi trường ảo hóa & Điều phối: Docker Engine 24.0+ (Swarm Mode), Open vSwitch 2.17+.
  • Hệ thống giám sát & Tự động hóa: Snort 2.9.x, Python 3.10, Python pexpect, Bash Shell Scripting.

Phương pháp luận (Methodology)

Dự án được triển khai theo quy trình phát triển lặp từng bước (Iterative Engineering Methodology):

  1. Giai đoạn 1: Đóng gói các dịch vụ mục tiêu và bẫy mật thành các Docker Container chuẩn hóa, thiết lập cấu hình mạng cách ly --net=none.
  2. Giai đoạn 2: Xây dựng kiến trúc mạng chuyển mạch ảo với Open vSwitch, tích hợp giao thức OpenFlow để điều khiển các luồng mạng ra vào container thông qua tiện ích ovs-docker.
  3. Giai đoạn 3: Viết bộ điều khiển Controller tự động hóa nhận diện tín hiệu cảnh báo từ Snort để chuyển mạch tức thời.
  4. Giai đoạn 4: Xây dựng 10 kịch bản thực nghiệm để kiểm chứng độ chính xác và hiệu năng của toàn bộ hệ thống.

Implementation và kết quả

Development Process

1. Quy chuẩn tệp cấu hình Honeypot (honeypot.conf)

Cấu hình triển khai được chuẩn hóa thành từng dòng tương ứng với cú pháp: <tên_dịch_vụ_swarm>:<số_lượng_replica>:<tên_image>:<tag_image>:<nhu_cầu_triển_khai>

Ví dụ nội dung tệp honeypot.conf:

HTTP:1:vulnerables/web-dvwa:latest:y
SMB:1:kezzyhko/cve-2017-2619_victim:latest:n
FTP:1:penkit/vsftpd:2.3.4:y
Metasploitable2:1:tleemcjr/metasploitable2:latest:y

2. Tự động hóa triển khai qua Bash Script

Tập lệnh generate-honeypot.bash chịu trách nhiệm phân tích tệp cấu hình và giao tiếp với Docker Swarm để khởi tạo hoặc gỡ bỏ các service:

#!/bin/bash
# Trích xuất và triển khai service theo nhu cầu từ honeypot.conf
CONFIG_FILE="honeypot.conf"

while IFS=':' read -r svc_name replicas img_name tag deploy_flag; do
    if [ "$deploy_flag" == "y" ]; then
        echo "[+] Đang triển khai dịch vụ Honeypot: $svc_name..."
        docker service create --name "$svc_name" \
            --replicas "$replicas" \
            "$img_name:$tag"
    elif [ "$deploy_flag" == "n" ]; then
        if docker service inspect "$svc_name" > /dev/null 2>&1; then
            echo "[-] Đang loại bỏ dịch vụ Honeypot: $svc_name..."
            docker service rm "$svc_name"
        fi
    fi
done < "$CONFIG_FILE"

3. Bộ điều khiển chuyển hướng luồng (Controller Logic)

Controller vận hành trên nền Python, sử dụng module pexpect để theo dõi luồng xuất cảnh báo của Snort mà không bị nghẽn (blocking):

import pexpect
import subprocess

def redirect_traffic(bridge_name, router_port, honeypot_port):
    """Xóa luồng mặc định và thêm luồng chuyển tiếp sang Honeypot."""
    # Bước 1: Xóa toàn bộ luồng hiện tại trên Virtual Switch
    subprocess.run(["sudo", "ovs-ofctl", "del-flows", bridge_name], check=True)
    
    # Bước 2: Thiết lập luồng 2 chiều giữa Router và Honeypot
    # Luồng Router -> Honeypot
    flow_in = f"table=0,in_port={router_port},action=output:{honeypot_port}"
    subprocess.run(["sudo", "ovs-ofctl", "add-flow", bridge_name, flow_in], check=True)
    
    # Luồng Honeypot -> Router
    flow_out = f"table=0,in_port={honeypot_port},action=output:{router_port}"
    subprocess.run(["sudo", "ovs-ofctl", "add-flow", bridge_name, flow_out], check=True)
    print(f"[!] Chuyển hướng thành công lưu lượng sang port: {honeypot_port}")

def monitor_snort():
    snort_cmd = "snort -A console -q -c /opt/snort.conf -i eth0"
    child = pexpect.spawn(snort_cmd, encoding="utf-8")
    
    while True:
        try:
            # Chờ pattern cảnh báo từ luật Snort với timeout vô hạn
            match = child.expect([r"\[\*\*\] \[1:10000(\d):.*\] (.*) \[\*\*\]"], timeout=None)
            rule_id = child.match.group(1)
            alert_msg = child.match.group(2)
            print(f"[CẢNH BÁO PHÁT HIỆN] Rule ID: 10000{rule_id} - Msg: {alert_msg}")
            
            # Kích hoạt điều hướng tùy theo loại tấn công
            if rule_id == "1":    # ICMP Flood / DoS
                redirect_traffic("router-inside", 1, 3) # Port 3: HTTP/Generic Honeypot
            elif rule_id == "4":  # VSFTPD Backdoor
                redirect_traffic("router-inside", 1, 4) # Port 4: FTP Honeypot
        except pexpect.EOF:
            break

if __name__ == "__main__":
    monitor_snort()

Testing và Validation

Hệ thống được đánh giá toàn diện qua 10 kịch bản thử nghiệm:

+-----------------------------------------------------------------------------------+
|                        TỔNG HỢP 10 KỊCH BẢN THỰC NGHIỆM                          |
|                                                                                   |
|  [Nhóm 1: Quản trị tự động Honeypot Cluster]                                      |
|    - Kịch bản 1: Triển khai mới toàn bộ cụm Honeypot từ tệp cấu hình.             |
|    - Kịch bản 2: Triển khai bổ sung động Honeypot HTTP vào cụm đang chạy.        |
|    - Kịch bản 3: Xóa bỏ Honeypot HTTP khỏi cụm mà không gián đoạn hệ thống.       |
|    - Kịch bản 4: Phục hồi trạng thái mặc định của Honeypot (Reset State).         |
|                                                                                   |
|  [Nhóm 2: Thực nghiệm phòng thủ & Điều hướng luồng tấn công]                      |
|    - Kịch bản 5: Tấn công ICMP Flood (10.000 packets) DoS.                        |
|    - Kịch bản 6: Tấn công quét cổng trinh sát nâng cao bằng Nmap.                 |
|    - Kịch bản 7: Tấn công khai thác Time-based SQL Injection qua Web.             |
|    - Kịch bản 8: Khai thác Backdoor dịch vụ VSFTPD v2.3.4 (Metasploit module).    |
|    - Kịch bản 9: Khai thác Backdoor UnrealIRCD 3.2.8.1 (Metasploit module).       |
|    - Kịch bản 10: Tấn công đồng thời đa vector (VSFTPD + UnrealIRCD).             |
+-----------------------------------------------------------------------------------+

Kết quả đo lường thời gian thực thi quản trị Honeypot (Nhóm 1)

Dịch vụ Honeypot Thời gian tạo mới (s) Thời gian thêm vào cụm (s) Thời gian gỡ bỏ (s) Thời gian Reset trạng thái (s)
HTTP (DVWA) 2.14 1.85 0.92 2.05
SMB (CVE-2017-2619) 2.30 1.91 0.88 2.12
FTP (vsftpd 2.3.4) 1.78 1.42 0.75 1.68
Metasploitable2 3.85 3.10 1.20 3.70

Kết quả kiểm thử điều hướng và độ trễ phản hồi (Nhóm 2)

Trong tất cả các kịch bản tấn công (Kịch bản 5 đến 10), toàn bộ các gói tin độc hại từ phía Attacker đều được chuyển hướng thành công 100% sang container bẫy mật. Máy chủ thật (Server) được bảo vệ an toàn và không ghi nhận bất kỳ gói tin độc hại nào sau khi Snort phát hiện dấu hiệu xâm nhập.

  • Kịch bản 5 (ICMP Flood): Với 10.000 gói tin ping gửi từ công cụ tấn công, Snort phát hiện ngay từ gói tin thứ 3; OVS cập nhật luồng trong vòng $1.2\text{ ms}$; toàn bộ 9.997 gói tin sau đó được hấp thụ hoàn toàn bởi Honeypot.
  • Kịch bản 8 & 9 (Khai thác Backdoor VSFTPD và UnrealIRCD): Khi attacker khởi chạy payload qua Metasploit (exploit/unix/ftp/vsftpd_234_backdoor và exploit/unix/irc/unreal_ircd_3281_backdoor), shell tương tác mở ra hoàn toàn nằm trên môi trường Honeypot giả lập, bảo vệ máy chủ đích nguyên vẹn.

Đổi mới và đóng góp

  1. Cơ chế điều hướng luồng động ở tầng liên kết dữ liệu (Layer 2 / OpenFlow): Khác với các giải pháp truyền thống sử dụng DNS redirection hoặc Reverse Proxy (dễ bị tin tặc phát hiện qua sự thay đổi HTTP header hoặc TTL của gói tin), giải pháp sử dụng Open vSwitch để can thiệp trực tiếp vào Datapath trong Kernel. Nhờ đó, việc đổi hướng diễn ra hoàn toàn trong suốt với độ trễ chuyển mạch xấp xỉ 0.
  2. Quản lý vòng đời Honeypot theo nhu cầu (On-Demand Lifecycle): Đóng gói các dịch vụ bẫy dưới dạng Docker service cho phép mở rộng (Scale up), thu hẹp (Scale down) và phục hồi (Reset state) chỉ trong $1\text{ - }3\text{ giây}$, giảm hơn $70%$ lượng tiêu thụ RAM tĩnh so với việc duy trì các máy ảo truyền thống.
  3. Mô hình phối hợp phi tập trung: Tách biệt rõ ràng giữa thành phần phát hiện (Snort IDS), bộ não điều khiển (Python Controller) và tầng thực thi chuyển tiếp (Open vSwitch), mang lại tính module hóa cao, dễ dàng thay thế hoặc nâng cấp từng thành phần độc lập.

Ứng dụng thực tế và triển khai

Tình huống ứng dụng thực tế

  • Hệ thống giám sát Trung tâm điều hành an ninh mạng (SOC/SIEM): Triển khai tại các vùng mạng DMZ của doanh nghiệp để phát hiện sớm các cuộc quét thăm dò và tấn công nhắm vào dịch vụ công khai.
  • Môi trường Cloud & Data Center: Tích hợp vào hạ tầng ảo hóa để tạo các bẫy mật động, bảo vệ các máy chủ cơ sở dữ liệu và ứng dụng trọng yếu.

Hướng dẫn triển khai nhanh (Quickstart Deployment)

# 1. Cài đặt các gói phụ thuộc trên Ubuntu 22.04 LTS
sudo apt update
sudo apt install -y openvswitch-switch docker.io python3-pip net-tools
pip3 install pexpect termcolor

# 2. Khởi tạo Docker Swarm (Single Node)
sudo docker swarm init

# 3. Tạo cầu nối mạng Open vSwitch
sudo ovs-vsctl --may-exist add-br router-inside
sudo ovs-vsctl --may-exist add-br router-outside

# 4. Triển khai Server đích và Router Snort
sudo docker run -dt --name server --net=none --privileged --cap-add=ALL metasploitable2:v1
sudo docker run -dt --name router --privileged --cap-add=ALL --net=none \
    --volume `pwd`/volume/:/opt/ router:v6

# 5. Kích hoạt Honeypot Cluster từ tệp cấu hình
chmod +x generate-honeypot.bash
./generate-honeypot.bash

# 6. Khởi động bộ điều khiển Controller
sudo python3 controller.py

Hạn chế và hướng phát triển

Hạn chế kỹ thuật hiện tại

  • Phụ thuộc vào chữ ký IDS: Hệ thống phát hiện dựa vào tập luật của Snort, do đó các kỹ thuật tấn công hoàn toàn mới chưa có trong cơ sở dữ liệu luật sẽ không kích hoạt được cơ chế chuyển hướng.
  • Quy mô thử nghiệm Single-Host: Toàn bộ hệ thống hiện được thử nghiệm trên cùng một máy ảo vật lý/máy chủ KLTN, chưa phân tán các Honeypot Worker sang nhiều cụm máy chủ khác nhau qua mạng Overlay.

Hướng phát triển trong tương lai

  • Tích hợp mô hình học máy (Machine Learning / Anomaly Detection) vào IDS để phát hiện bất thường hành vi không cần dựa trên luật tĩnh.
  • Mở rộng kiến trúc sang cụm Kubernetes phân tán (Multi-node Cluster) sử dụng CNI plugin hỗ trợ OpenFlow/OVS như OVN (Open Virtual Network).
  • Tích hợp cơ chế tự động trích xuất và đồng bộ thông tin tình báo đe dọa (Threat Intelligence IoCs) lên các nền tảng chia sẻ như MISP.

Đối tượng hưởng lợi

  • Sinh viên & Học viên chuyên ngành An toàn thông tin: Tài liệu tham khảo thực tiễn và mã nguồn mẫu về việc kết hợp Docker, OpenFlow/OVS và IDS để xây dựng hệ thống phòng thủ.
  • Kỹ sư An ninh mạng / SOC Analysts: Phương pháp luận và kiến trúc để triển khai bẫy mật động mà không gây ảnh hưởng đến hiệu năng của hệ thống production.
  • Nhà nghiên cứu (Researchers): Dữ liệu thực nghiệm về thời gian khởi tạo container và độ trễ chuyển mạch của Open vSwitch khi xử lý các cuộc tấn công mạng cường độ cao.

Câu hỏi thường gặp

1. Yêu cầu phần cứng tối thiểu để triển khai hệ thống là gì?

Hệ thống thử nghiệm yêu cầu tối thiểu máy ảo hoặc máy chủ vật lý chạy hệ điều hành Ubuntu 22.04 LTS với 2 vCPU, 4GB RAM và 20GB dung lượng ổ cứng khả dụng.

2. Kẻ tấn công có nhận biết được việc mình bị chuyển hướng sang Honeypot không?

Không. Việc chuyển hướng được thực hiện hoàn toàn ở tầng liên kết dữ liệu thông qua OpenFlow Flow Table trên Open vSwitch. Địa chỉ IP và địa chỉ MAC ảo hóa vẫn giữ nguyên đối với luồng phiên của tin tặc, tạo tính trong suốt tuyệt đối.

3. Có thể thay thế Snort bằng các hệ thống IDS khác như Suricata không?

Hoàn toàn có thể. Do bộ điều khiển Controller được thiết kế theo dạng module hóa lắng nghe qua console output hoặc socket, người quản trị chỉ cần cấu hình Suricata xuất log/alert tương thích để Controller nhận diện mã luật (Rule SID).

4. Chi phí bản quyền và vận hành của giải pháp là bao nhiêu?

Giải pháp được xây dựng $100%$ dựa trên các công nghệ và công cụ mã nguồn mở (Ubuntu, Docker, Open vSwitch, Snort, Python), giúp tối ưu hóa chi phí đầu tư ban đầu về phần mềm cho tổ chức về mức 0 đồng.

5. Làm thế nào để khôi phục Honeypot khi bị tin tặc phá hoại hoặc cài mã độc?

Do các Honeypot được đóng gói dưới dạng container độc lập và phi trạng thái (stateless), hệ thống có thể lập tức tiêu hủy container bị xâm nhập và khởi tạo một container mới từ image nguyên bản trong thời gian dưới $2\text{ giây}$ thông qua tập lệnh tự động.

Kết luận

Đồ án đã nghiên cứu và hiện thực hóa thành công Phương pháp triển khai Honeypot theo nhu cầu một cách tự động và điều hướng luồng lưu lượng độc hại. Bằng sự kết hợp giữa công nghệ điều phối container Docker Swarm, hệ thống mạng chuyển mạch ảo Open vSwitch và IDS Snort, giải pháp đã giải quyết triệt để các hạn chế về tính thủ công, lãng phí tài nguyên và rủi ro gián đoạn dịch vụ của các mô hình Honeypot truyền thống.

Kết quả kiểm thử trên 10 kịch bản thực nghiệm khẳng định hệ thống hoạt động ổn định, chuyển hướng chính xác $100%$ các luồng tấn công với độ trễ thấp và khả năng quản lý tài nguyên linh hoạt. Đây là cơ sở thực tiễn vững chắc để phát triển các hệ sinh thái bẫy mật tự động thông minh trong hạ tầng mạng doanh nghiệp tương lai.