Xây Dựng Khung Bảo Mật Cho Switch OpenFlow Dựa Trên FPGA

Luận văn thạc sĩ nghiên cứu máy tính building a framework for secured openflow switch based on fpga, khảo sát thực trạng, phân tích nguyên nhân, đề xuất giải pháp cải thiện thực

• Tác giả: Ho Quang Chi Bao
• Người hướng dẫn: Assoc. Tran Ngoc Thinh
• Trường học: Ho Chi Minh City University of Technology
• Chuyên ngành: Computer Science
• Đề tài: Xây Dựng Khung Bảo Mật Cho Switch OpenFlow Dựa Trên FPGA
• Loại tài liệu: master thesis
• Năm xuất bản: 2016
• Địa điểm: Ho Chi Minh City

Mục lục chi tiết

• Acknowledgments
• Abstract
• Statement of Originality
• List of Figures
• List of Tables
• 1. 1 Introduction
• 1.1. Problem overview
• 2. 2 Background and Related work
• 2.1. Software Defined Network: an overview
• 2.2. Security approaches for OpenFlow network
• 2.3. Field Programmable Gate Array
• 2.4. The NetFPGA platforms
• 2.4.1. The Ingress component
• 2.4.2. The Egress component
• 2.4.3. The Engine component
• 2.4.3.1. Incoming Packet Processing
• 2.4.3.2. Outgoing Packet Processing
• 3. 3 Proposed Secured OpenFlow Switch Architecture
• 3.1. Hop-Count filtering
• 3.2. Port Ingress/Egress filtering
• 3.3. SYN Defender core
• 3.4. Hardware resources usage
• 5. 5 The OpenFlow-based Network Framework
• 5.1. The architecture of the framework
• 5.1.1. The graphic user interface layer
• 5.1.2. The software development layer (SDK)
• 5.1.3. The plugin layer
• 7. 7 Conclusions and Future work
• 7.1. Architecture open issues
• 7.2. Prototype switch open issues
• Bibliography
• A Simulation Waveform
• A.1. First packet processing waveform of the first scenario
• A.2. First packet processing waveform of the second scenario
• Publications
• B.1. Secured-OFS: A Novel OpenFlow Switch Architecture with Integrated Security Functions
• B.2. A Secured OpenFlow-based Switch Architecture
• Curriculum Vitæ

Tóm tắt

I. Tổng Quan Về Bảo Mật Switch OpenFlow Dựa Trên FPGA 60 Ký Tự

Trong những năm gần đây, Internet phát triển mạnh mẽ về số lượng người dùng, dịch vụ và tốc độ. Số lượng người dùng Internet tăng tuyến tính, đạt hơn 3 tỷ người. Cùng với đó, số lượng website cũng tăng lên đáng kể, kéo theo lượng dữ liệu truyền tải khổng lồ. Để đáp ứng nhu cầu này, Software Defined Networking (SDN) nổi lên như một giải pháp thay thế mạng truyền thống. SDN mang lại nhiều lợi ích như quản lý tập trung, phần cứng đơn giản và ảo hóa cao. Kiến trúc SDN tách biệt lớp điều khiển và lớp dữ liệu, giúp mạng lưới trở nên linh hoạt và dễ dàng lập trình hơn. Một trong những triển khai SDN phổ biến nhất là OpenFlow, được ứng dụng rộng rãi trong cả nghiên cứu và thương mại. OpenFlow thừa hưởng mọi ưu điểm của SDN, đồng thời tối ưu hóa các thành phần như bộ điều khiển và thiết bị chuyển mạch, có thể triển khai bằng phần mềm hoặc phần cứng.

1.1. Giới Thiệu Về Kiến Trúc Mạng Software Defined Networking

SDN (Software-Defined Networking) là một kiến trúc mạng mới, cho phép điều khiển và quản lý mạng lưới một cách linh hoạt và tập trung thông qua phần mềm. Thay vì cấu hình thủ công từng thiết bị mạng riêng lẻ như trong mạng truyền thống, SDN cho phép quản trị viên mạng lập trình và điều khiển toàn bộ hệ thống mạng thông qua một bộ điều khiển trung tâm. Điều này giúp đơn giản hóa việc quản lý mạng, tăng tính linh hoạt và khả năng mở rộng, đồng thời giảm chi phí vận hành. SDN được coi là một cuộc cách mạng trong lĩnh vực mạng máy tính, mở ra nhiều cơ hội mới cho các ứng dụng và dịch vụ mạng.

1.2. Vai Trò Quan Trọng Của Switch OpenFlow Trong SDN

Switch OpenFlow đóng vai trò then chốt trong kiến trúc SDN. Switch này hoạt động như một thiết bị chuyển mạch dữ liệu, nhận lệnh từ bộ điều khiển SDN và thực hiện các hành động chuyển tiếp gói tin dựa trên các quy tắc (rules) được định nghĩa trong luồng (flow table). Nhờ khả năng lập trình linh hoạt, Switch OpenFlow có thể được cấu hình để thực hiện nhiều chức năng khác nhau, từ định tuyến cơ bản đến các chức năng bảo mật nâng cao. Khả năng tùy biến này giúp SDN thích ứng với nhiều môi trường và ứng dụng khác nhau.

II. Thách Thức Bảo Mật Cho Switch OpenFlow 55 Ký Tự

Mặc dù SDN có nhiều ưu điểm, nhưng vấn đề bảo mật Switch OpenFlow là một thách thức lớn. Việc tập trung điều khiển vào một bộ điều khiển duy nhất tạo ra một điểm yếu tiềm tàng. Nếu bộ điều khiển bị tấn công, toàn bộ mạng có thể bị tê liệt. Bên cạnh đó, các cuộc tấn công từ lớp dữ liệu cũng là một mối đe dọa. Nghiên cứu này đề xuất một kiến trúc bảo mật cho thiết bị chuyển mạch OpenFlow, kết hợp xử lý OpenFlow và xử lý bảo mật, nhằm chống lại các hình thức tấn công mạng từ lớp data plane. Mục tiêu là xây dựng một framework để nghiên cứu các vấn đề bảo mật và phát triển các biện pháp phòng thủ hiệu quả.

2.1. Các Lỗ Hổng Bảo Mật Thường Gặp Ở Switch OpenFlow

Kiến trúc OpenFlow, mặc dù mang lại nhiều lợi ích, nhưng cũng tiềm ẩn nhiều lỗ hổng bảo mật. Một trong những vấn đề chính là việc tập trung quyền điều khiển vào bộ điều khiển trung tâm, khiến nó trở thành mục tiêu hấp dẫn cho các cuộc tấn công. Nếu bộ điều khiển bị xâm nhập, kẻ tấn công có thể kiểm soát toàn bộ mạng. Ngoài ra, các lỗ hổng trong giao thức OpenFlow, như việc thiếu xác thực mạnh mẽ hoặc khả năng tiêm nhiễm các quy tắc giả mạo vào bảng luồng, cũng có thể bị khai thác để thực hiện các cuộc tấn công.

2.2. Nguy Cơ Tấn Công DDoS Vào Hạ Tầng OpenFlow

Các cuộc tấn công DDoS (Từ chối dịch vụ phân tán) là một mối đe dọa lớn đối với hạ tầng OpenFlow. Kẻ tấn công có thể tạo ra một lượng lớn lưu lượng truy cập giả mạo, làm quá tải Switch OpenFlow và bộ điều khiển, dẫn đến gián đoạn dịch vụ. Do tính chất tập trung của SDN, một cuộc tấn công DDoS thành công có thể gây ra hậu quả nghiêm trọng cho toàn bộ mạng lưới. Các biện pháp phòng thủ DDoS truyền thống có thể không hiệu quả trong môi trường OpenFlow, đòi hỏi các giải pháp bảo mật chuyên biệt.

III. Phương Pháp Xây Dựng Khung Bảo Mật Bằng FPGA 58 Ký Tự

Luận văn này đề xuất một kiến trúc Switch OpenFlow FPGA tích hợp chức năng bảo mật. Kiến trúc này kết hợp xử lý OpenFlow để chuyển tiếp gói tin và xử lý bảo mật để chống lại các cuộc tấn công. Việc sử dụng FPGA (Field Programmable Gate Array) mang lại tính linh hoạt và hiệu năng cao. Kiến trúc đa nhân được áp dụng để thực hiện các lõi bảo mật, cho phép Switch hoạt động như một thiết bị chuyển mạch OpenFlow và một hệ thống bảo vệ mạng. Mẫu thử nghiệm được triển khai trên FPGA Virtex 5 của Xilinx, tích hợp các kỹ thuật chống DDoS như Hop-Count Filter, Port Ingress/Egress Filter và SYN Defender.

3.1. Ứng Dụng Phần Cứng FPGA Để Tăng Cường Bảo Mật

Việc sử dụng FPGA (Field-Programmable Gate Array) là một giải pháp hiệu quả để tăng cường bảo mật cho Switch OpenFlow. FPGA là một loại vi mạch có thể lập trình được, cho phép tùy chỉnh các chức năng phần cứng để đáp ứng các yêu cầu bảo mật cụ thể. Với FPGA, có thể triển khai các thuật toán mã hóa, giải mã, phát hiện xâm nhập và lọc gói tin với tốc độ cao, vượt trội so với các giải pháp phần mềm truyền thống. Tính linh hoạt của FPGA cũng cho phép dễ dàng cập nhật và nâng cấp các chức năng bảo mật khi có các mối đe dọa mới xuất hiện.

3.2. Kiến Trúc Đa Nhân Cho Xử Lý Song Song Các Tác Vụ Bảo Mật

Kiến trúc đa nhân cho phép thực hiện song song nhiều tác vụ bảo mật khác nhau trên Switch OpenFlow. Mỗi nhân có thể được giao nhiệm vụ xử lý một loại tấn công cụ thể, ví dụ như một nhân xử lý lọc gói tin dựa trên địa chỉ IP, một nhân khác xử lý kiểm tra tính hợp lệ của gói tin TCP, và một nhân khác nữa thực hiện phát hiện xâm nhập dựa trên các mẫu tấn công đã biết. Bằng cách phân chia công việc cho nhiều nhân, có thể tăng cường hiệu năng và khả năng chống chịu của Switch OpenFlow trước các cuộc tấn công phức tạp.

IV. Thiết Kế Chi Tiết Khung Bảo Mật Switch OpenFlow 57 Ký Tự

Mẫu thử nghiệm tích hợp ba kỹ thuật chống DDoS: Hop-Count Filter, Port Ingress/Egress Filter và SYN Defender. Trong kịch bản đầu tiên, Hop-Count Filter kết hợp với Port Ingress/Egress Filter. Trong kịch bản thứ hai, Port Ingress/Egress Filter kết hợp với SYN Defender. Kết quả thử nghiệm cho thấy kịch bản đầu tiên đạt tốc độ xử lý gói tin lên đến 9.87 Gbps ở chế độ bán song công và 19.74 Gbps ở chế độ song công. Khả năng phát hiện tấn công đạt 100%, với tỷ lệ dương tính giả và âm tính giả đều bằng 0%. Tuy nhiên, tỷ lệ mất gói tin là khoảng 0.001% do giới hạn kích thước FIFO.

4.1. Triển Khai Các Cơ Chế Chống Tấn Công DDoS Hiệu Quả

Việc triển khai các cơ chế chống tấn công DDoS hiệu quả là rất quan trọng để bảo vệ Switch OpenFlow. Các cơ chế này có thể bao gồm lọc gói tin dựa trên địa chỉ IP nguồn, giới hạn tốc độ kết nối, xác thực người dùng, và phát hiện các mẫu tấn công bất thường. Ngoài ra, cũng cần có các biện pháp ứng phó nhanh chóng khi phát hiện tấn công, như chuyển hướng lưu lượng truy cập sang các máy chủ dự phòng hoặc chặn các nguồn tấn công.

4.2. Tối Ưu Hóa Hiệu Năng Khung Bảo Mật Trên FPGA

Việc tối ưu hóa hiệu năng khung bảo mật trên FPGA là rất quan trọng để đảm bảo rằng Switch OpenFlow có thể xử lý lưu lượng truy cập mạng với tốc độ cao mà không làm giảm hiệu suất. Các kỹ thuật tối ưu hóa có thể bao gồm sử dụng các thuật toán hiệu quả, tối ưu hóa việc sử dụng tài nguyên phần cứng, và song song hóa các tác vụ xử lý. Cần thực hiện các thử nghiệm và đánh giá kỹ lưỡng để đảm bảo rằng khung bảo mật đáp ứng các yêu cầu về hiệu năng.

V. Đánh Giá Hiệu Quả Hoạt Động Của Hệ Thống 52 Ký Tự

Trong kịch bản đầu tiên, hệ thống tiêu thụ 39% LUT, 43% Registers và 64% Block RAM của FPGA. Trong kịch bản thứ hai, hệ thống tiêu thụ 41% LUT, 45% Registers và 61% Block RAM. Do hạn chế về thời gian, khả năng chống tấn công SYN Flood chỉ đạt mức ≈4 Gbps. Khi tốc độ tấn công SYN vượt quá ngưỡng này, các gói tin có thể đến được bộ điều khiển hoặc máy chủ được bảo vệ. Tuy nhiên, vấn đề này có thể được tối ưu hóa bằng các phương pháp và kỹ thuật khác nhau để cải thiện khả năng phòng chống tấn công.

5.1. Phân Tích Mức Tiêu Thụ Tài Nguyên Phần Cứng FPGA

Việc phân tích mức tiêu thụ tài nguyên phần cứng FPGA là rất quan trọng để đánh giá tính khả thi và hiệu quả của khung bảo mật. Các tài nguyên cần được xem xét bao gồm LUT (Look-Up Table), Registers, Block RAM và các tài nguyên khác. Mức tiêu thụ tài nguyên quá cao có thể dẫn đến giảm hiệu suất và tăng chi phí. Cần có sự cân bằng giữa hiệu năng và mức tiêu thụ tài nguyên để đạt được hiệu quả tốt nhất.

5.2. Đo Lường Khả Năng Chống Chịu Tấn Công SYN Flood

Tấn công SYN Flood là một loại tấn công DDoS phổ biến, có thể làm quá tải Switch OpenFlow và bộ điều khiển. Việc đo lường khả năng chống chịu tấn công SYN Flood là rất quan trọng để đánh giá hiệu quả của khung bảo mật. Các thử nghiệm cần được thực hiện với nhiều mức độ tấn công khác nhau để xác định ngưỡng chịu tải của hệ thống. Kết quả thử nghiệm sẽ giúp xác định các điểm yếu và đưa ra các biện pháp cải thiện.

VI. Kết Luận Và Hướng Phát Triển Trong Tương Lai 59 Ký Tự

Luận văn này đã đề xuất một kiến trúc khung bảo mật cho Switch OpenFlow dựa trên FPGA. Kết quả thử nghiệm cho thấy tính khả thi và hiệu quả của phương pháp này trong việc chống lại các cuộc tấn công DDoS. Tuy nhiên, vẫn còn nhiều vấn đề cần được giải quyết trong tương lai, như tối ưu hóa hiệu năng, mở rộng khả năng chống lại các loại tấn công khác, và tích hợp các cơ chế bảo mật nâng cao hơn. Nghiên cứu này là một bước tiến quan trọng trong việc bảo vệ hạ tầng OpenFlow và SDN.

6.1. Các Vấn Đề Mở Cần Nghiên Cứu Thêm Về Kiến Trúc

Kiến trúc bảo mật Switch OpenFlow vẫn còn nhiều vấn đề mở cần được nghiên cứu thêm. Ví dụ, cần có các cơ chế để phát hiện và ngăn chặn các cuộc tấn công phức tạp hơn, như tấn công zero-day hoặc tấn công APT (Advanced Persistent Threat). Ngoài ra, cũng cần nghiên cứu các giải pháp để tăng cường tính linh hoạt và khả năng mở rộng của khung bảo mật, để nó có thể thích ứng với các môi trường mạng khác nhau.

6.2. Các Hướng Phát Triển Prototype Switch Trong Tương Lai

Prototype Switch OpenFlow cần được phát triển thêm để đáp ứng các yêu cầu thực tế. Ví dụ, cần tích hợp thêm các chức năng bảo mật như mã hóa dữ liệu, kiểm soát truy cập, và nhật ký sự kiện. Ngoài ra, cũng cần cải thiện hiệu năng và khả năng mở rộng của Switch, để nó có thể xử lý lưu lượng truy cập mạng với tốc độ cao và hỗ trợ nhiều kết nối đồng thời.

Nội dung chính

Tổng quan nghiên cứu

Sự bùng nổ của mạng Internet và điện toán đám mây trong thập kỷ qua đã tạo ra bước chuyển dịch hạ tầng mạnh mẽ với hơn 3 tỷ người dùng trực tuyến và lưu lượng dữ liệu luân chuyển vượt mốc 3 tỷ gigabyte mỗi ngày. Để đáp ứng nhu cầu quản trị tập trung và ảo hóa mạng, kiến trúc mạng điều khiển bằng phần mềm (Software Defined Networking - SDN) với chuẩn giao thức OpenFlow đã trở thành giải pháp cốt lõi thay thế mạng truyền thống. Tuy nhiên, việc tách rời mặt phẳng điều khiển (Control Plane) khỏi mặt phẳng dữ liệu (Data Plane) vô tình biến bộ điều khiển Controller thành điểm nghẽn đơn lẻ (single point of failure). Khi các cuộc tấn công từ chối dịch vụ phân tán (DDoS) gia tăng quy mô vượt mức 500 Gbps, kẻ tấn công có thể làm tràn ngập bảng luồng và bão hòa kênh liên lạc, khiến toàn bộ hệ thống mạng bị tê liệt.

Nghiên cứu này được thực hiện nhằm giải quyết điểm yếu sống còn trên bằng cách xây dựng một kiến trúc chuyển mạch OpenFlow bảo mật tích hợp mô-đun phần cứng tái cấu hình (Secured OpenFlow Switch based on FPGA). Mục tiêu trọng tâm là phát hiện và loại bỏ các gói tin tấn công ngay tại lớp Data Plane trước khi chúng kịp chuyển tiếp lên Controller, từ đó bảo vệ tối đa năng lực hoạt động của toàn mạng. Đề tài được triển khai trong giai đoạn từ tháng 07/2015 đến tháng 12/2016 tại Khoa Khoa học và Kỹ thuật Máy tính, Trường Đại học Bách Khoa - ĐHQG TP.HCM. Giải pháp đề xuất đạt thông lượng xử lý vượt trội lên đến 19.74 Gbps ở chế độ song công toàn phần trên nền tảng NetFPGA-10G, đạt tỷ lệ phát hiện tấn công chính xác 100%, góp phần nâng cao tính an toàn và độ sẵn sàng cho các hạ tầng mạng SDN thế hệ mới.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng dựa trên nền tảng kiến trúc mạng điều khiển bằng phần mềm (SDN) theo tiêu chuẩn OpenFlow và nguyên lý tính toán tái cấu hình trên vi mạch FPGA. Mô hình nghiên cứu phân tách hệ thống chuyển mạch thành ba khối chính: Khối ngõ vào (Ingress), Khối xử lý trung tâm (Engine) và Khối ngõ ra (Egress). Trong đó, khối Engine tích hợp song song quy trình định tuyến gói tin theo chuẩn OpenFlow và quy trình phân tích an ninh phần cứng.

Các khái niệm then chốt được áp dụng bao gồm:

• Tách biệt mặt phẳng điều khiển và dữ liệu: Cơ chế cho phép Controller lập trình hóa các luồng dữ liệu thông qua Flow Table mà không cần can thiệp trực tiếp vào phần cứng chuyển tiếp.
• Bộ lọc số bước nhảy (Hop-Count Filtering - HCF): Kỹ thuật kiểm tra tính hợp lệ của gói tin IP dựa trên sự tương quan giữa địa chỉ nguồn và giá trị Time-To-Live (TTL) lưu vết nhằm phát hiện địa chỉ IP bị giả mạo.
• Lọc cổng vào/ra (Port Ingress/Egress Filtering - PIEF): Cơ chế kiểm soát các khối địa chỉ IP bị cấm hoặc không hợp lệ theo chuẩn phân bổ quốc tế RFC 5735/6890.
• Bộ phòng thủ SYN Defender: Ứng dụng thuật toán mã hóa SYN Cookies ở cấp độ phần cứng để bảo vệ máy chủ và switch khỏi các cuộc tấn công tràn ngập TCP SYN Flood.

Thiết kế vi mạch tận dụng tối đa 149.760 Flip-Flops và 324 khối bộ nhớ Block RAM trên chip FPGA Virtex-5 để duy trì các bảng tra cứu trạng thái mạng ở tốc độ cao mà không gây suy giảm hiệu năng chuyển tiếp.

Phương pháp nghiên cứu

Nguồn dữ liệu thực nghiệm được tạo lập từ các luồng lưu lượng mạng thực tế kết hợp với các kịch bản tấn công DoS/DDoS tổng hợp có chủ đích như IP Spoofing và SYN Flood. Tập mẫu kiểm thử bao gồm hơn 100.000 luồng gói tin thử nghiệm được sinh ra liên tục bằng công cụ phát tải phần cứng chuyên dụng với dải tốc độ biến thiên từ 1 Gbps đến 10 Gbps trên 4 cổng giao tiếp SFP+ 10GbE.

Phương pháp chọn mẫu phân tầng theo kịch bản được áp dụng nhằm đánh giá khách quan tỷ lệ phát hiện tấn công, tỷ lệ nhận diện nhầm và độ trễ gói tin trong cả hai trạng thái lưu lượng bình thường và lưu lượng bão hòa. Toàn bộ thiết kế kiến trúc phần cứng được mô tả bằng ngôn ngữ phần cứng Verilog HDL, tổng hợp trên bộ công cụ Xilinx ISE và mô phỏng chính xác mức chu kỳ xung nhịp (cycle-accurate) trên phần cứng NetFPGA-10G kết hợp máy chủ điều khiển x86. Phương pháp phân tích thực nghiệm phần cứng được lựa chọn thay vì mô phỏng thuần phần mềm nhằm đo lường chính xác các thông số vật lý thực tế về tần số hoạt động, độ trễ lan truyền và mức tiêu thụ tài nguyên vi mạch trong suốt 17 tháng triển khai nghiên cứu.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình kiểm thử và đánh giá nguyên mẫu chuyển mạch OpenFlow bảo mật trên phần cứng FPGA Virtex-5 XC5VTX240T đã mang lại các kết quả nổi bật sau:

Thứ nhất, về thông lượng và hiệu năng xử lý, hệ thống theo kịch bản kết hợp bộ lọc Hop-Count và Port Ingress/Egress (Kịch bản 1) đạt tốc độ xử lý gói tin lên tới 9.87 Gbps ở chế độ bán song công (half-duplex) và 19.74 Gbps ở chế độ song công toàn phần (full-duplex). Tần số hoạt động của hệ vi mạch đạt xấp xỉ 79.95 MHz, đáp ứng hoàn hảo tốc độ truyền tải chuẩn đường truyền (wire-speed) của cổng mạng 10GbE.

Thứ hai, về độ chính xác an ninh, hệ thống đạt tỷ lệ phát hiện tấn công 100% đối với các gói tin giả mạo địa chỉ IP. Tỷ lệ nhận diện nhầm gói tin tấn công thành gói tin hợp lệ (False Negative) và tỷ lệ nhận diện nhầm gói tin hợp lệ thành gói tin tấn công (False Positive) đều duy trì ở mức tuyệt đối 0%. Do giới hạn dung lượng bộ đệm FIFO ngõ vào, tỷ lệ mất gói tin ngẫu nhiên của toàn hệ thống trong điều kiện tải bão hòa chỉ chiếm khoảng 0.001%.

Thứ ba, về mức độ tối ưu hóa tài nguyên phần cứng, Kịch bản 1 chỉ tiêu thụ 39% bảng tra LUTs (59.149/149.760), 43% thanh ghi Registers (65.679/149.760) và 65% khối Block RAM (213/324). Trong Kịch bản 2 (kết hợp Port Ingress/Egress và SYN Defender), hệ thống tiêu thụ 41% LUTs, 45% Registers, 61% Block RAM và đạt khả năng phòng thủ cuộc tấn công SYN Flood ở mức lưu lượng xấp xỉ 4.01 Gbps.

Thảo luận kết quả

Nguyên nhân chính giúp kiến trúc đề xuất đạt được hiệu năng vượt trội là việc thiết kế đường ống xử lý (pipeline) độc lập và song song giữa khối OpenFlow Processing và khối Security Processing. Dữ liệu gói tin thô được lưu tạm tại Packet FIFO trong khi các đặc trưng tiêu đề được giải mã và đẩy song song vào các lõi bảo mật (Secured Cores). Việc sử dụng các bảng tra cứu trên bộ nhớ Block RAM tốc độ cao giúp các phép so sánh địa chỉ IP và giá trị băm TCP Cookie hoàn tất chỉ trong một vài chu kỳ xung nhịp.

So với các giải pháp phần mềm hiện hữu như AVANT-GUARD hay OFX vốn xử lý bảo mật trên vi xử lý đa năng (GPP) và dễ bị suy giảm băng thông khi bị tấn công dồn dập, giải pháp phần cứng FPGA thể hiện ưu thế vượt trội về tốc độ xử lý và khả năng triệt tiêu tấn công ngay từ ngõ vào. Dữ liệu thực nghiệm có thể được biểu diễn trực quan qua biểu đồ cột thể hiện mức độ chiếm dụng tài nguyên FPGA, cho thấy việc bổ sung các lõi bảo mật chỉ làm tăng khoảng 2% đến 4% số lượng LUTs/Registers nhưng giúp giải phóng từ 14% đến 18% dung lượng Block RAM so với thiết kế OpenFlow switch ban đầu nhờ tối ưu hóa cấu trúc bảng luồng. Đồng thời, bảng thống kê dạng sóng mô phỏng chu kỳ xử lý gói tin đầu tiên chứng minh hệ thống chỉ mất vài chục nano giây để đưa ra quyết định chuyển tiếp hoặc hủy bỏ gói tin độc hại.

Đề xuất và khuyến nghị

Nhằm hoàn thiện và nâng cao khả năng ứng dụng thực tiễn của khung bảo mật OpenFlow trên phần cứng FPGA, các đề xuất cụ thể được định hướng như sau:

• Tối ưu hóa thuật toán sắp xếp và đi dây (Place-and-Route): Nhóm nghiên cứu thiết kế vi mạch cần tái cấu trúc các đường truyền tín hiệu nội bộ trong vòng 6 tháng tới, nhằm giải quyết triệt để bài toán điểm trễ timing score của lõi SYN Defender, nâng ngưỡng chịu tải chống tấn công SYN Flood từ mức 4.01 Gbps lên trên 10.0 Gbps.
• Ứng dụng công nghệ Tái cấu hình Động Từng phần (Dynamic Partial Reconfiguration - DPR): Các kỹ sư phần cứng và quản trị mạng cần triển khai tích hợp DPR trong thời gian từ 3 đến 9 tháng, cho phép cập nhật, thay thế các thuật toán phòng thủ DDoS mới theo thời gian thực mà không cần tạm dừng hoạt động của switch, bảo đảm chỉ số sẵn sàng dịch vụ đạt trên 99.999%.
• Mở rộng dung lượng bộ đệm và bộ nhớ ngoài: Đơn vị quản trị hạ tầng mạng cần nâng cấp kiến trúc bộ đệm FIFO kết hợp bộ nhớ ngoài DDR3/DDR4 trong quý tiếp theo để triệt tiêu hoàn toàn tỷ lệ mất gói 0.001%, đảm bảo truyền tải thông suốt trong các trung tâm dữ liệu quy mô lớn.
• Thương mại hóa và chuẩn hóa Framework quản lý 3 lớp: Các doanh nghiệp sản xuất thiết bị mạng viễn thông nên tích hợp bộ công cụ phát triển phần mềm (SDK) và giao diện điều khiển Qt 5.7 trong vòng 12 tháng để chuẩn hóa quy trình cấu hình tập trung và cảnh báo an ninh trực quan cho các mạng SDN công nghiệp.

Đối tượng nên tham khảo luận văn

Công trình nghiên cứu mang lại giá trị học thuật và ứng dụng thực tiễn sâu rộng cho 4 nhóm đối tượng chính:

• Kỹ sư thiết kế vi mạch và phần cứng nhúng (FPGA/ASIC): Nắm bắt phương pháp thiết kế bộ xử lý mạng tốc độ cao, kỹ thuật lập trình Verilog tối ưu tài nguyên (dưới 45% LUTs/Registers) và mô hình đường ống xử lý gói tin chuẩn wire-speed 10GbE.
• Chuyên gia an ninh mạng và kiến trúc sư hạ tầng SDN: Tìm thấy giải pháp công nghệ toàn diện để giải quyết bài toán nghẽn cổ chai và bão hòa Controller, từ đó xây dựng các lớp phòng thủ chủ động cho mạng đám mây và trung tâm dữ liệu.
• Học viên cao học, nghiên cứu sinh ngành Khoa học Máy tính: Sử dụng luận văn làm tài liệu nghiên cứu chuẩn mực về phương pháp kết hợp giữa lý thuyết mạng thế hệ mới, hiện thực hóa phần cứng thực nghiệm và kinh nghiệm công bố bài báo khoa học quốc tế.
• Nhà phát triển phần mềm hệ thống mạng: Khai thác kiến trúc khung phần mềm 3 tầng (Giao diện người dùng GUI, Bộ phát triển SDK và Lớp tiện ích Plugins) để tùy biến các công cụ giám sát và điều khiển switch từ xa.

Câu hỏi thường gặp

Tại sao cần tích hợp tính năng bảo mật trực tiếp trên phần cứng Data Plane thay vì xử lý trên Controller? Xử lý bảo mật tại Data Plane giúp phân loại và tiêu hủy các gói tin tấn công ngay tại cổng vào của switch với tốc độ dây 19.74 Gbps, ngăn ngừa hoàn toàn nguy cơ làm tràn ngập bảng luồng và tắc nghẽn kênh điều khiển kết nối lên Controller.

Kiến trúc đề xuất ngăn chặn tấn công giả mạo địa chỉ IP (IP Spoofing) bằng cách nào? Hệ thống tích hợp lõi lọc Hop-Count kết hợp Port Ingress/Egress để đối chiếu giá trị Time-To-Live (TTL) và dải IP nguồn với cơ sở dữ liệu bảng định tuyến, đạt tỷ lệ phát hiện tấn công chính xác 100% mà không gây nghẽn mạng.

Cơ chế SYN Defender hoạt động như thế nào để đối phó với bão gói tin SYN Flood? Khi nhận gói tin SYN, hệ thống tính toán giá trị băm và phản hồi gói SYN/ACK chứa mã SYN Cookie đặc biệt mà không lưu trạng thái kết nối. Chỉ khi máy khách phản hồi gói ACK hợp lệ, kết nối mới được thiết lập, giúp bảo vệ máy chủ an toàn trước lưu lượng tấn công lên tới 4.01 Gbps.

Việc tích hợp thêm các khối an ninh có làm suy giảm hiệu năng chuyển tiếp gói tin của OpenFlow Switch không? Nhờ kiến trúc đa nhân song song và lưu trữ đệm qua Packet FIFO, quá trình kiểm tra bảo mật diễn ra đồng thời với quá trình tra cứu bảng Flow Table, đảm bảo độ trễ chuyển tiếp cực thấp và giữ vững thông lượng đỉnh 19.74 Gbps.

Khung Framework quản lý đi kèm hỗ trợ việc điều khiển switch như thế nào? Framework được xây dựng theo mô hình 3 lớp gồm GUI, SDK và Plugins trên nền tảng Qt 5.7, cho phép người quản trị dễ dàng cấu hình luật luồng, giám sát số liệu thống kê tấn công và nâng cấp các mô-đun an ninh từ xa trên nhiều hệ điều hành.

Kết luận

• Luận văn đã thiết kế thành công kiến trúc chuyển mạch OpenFlow bảo mật đột phá trên phần cứng FPGA, tách biệt độc lập và xử lý song song giữa khối OpenFlow và khối an ninh.
• Hiện thực hóa trọn vẹn 3 cơ chế phòng chống DDoS tiên tiến gồm Hop-Count Filtering, Port Ingress/Egress Filtering và SYN Defender trên nền tảng NetFPGA-10G.
• Đạt thông lượng xử lý xuất sắc 19.74 Gbps song công, tỷ lệ phát hiện tấn công chính xác 100%, tỷ lệ nhận diện nhầm 0% với mức tiêu thụ tài nguyên tối ưu dưới 45% diện tích vi mạch.
• Xây dựng hoàn chỉnh khung phần mềm quản trị 3 lớp (GUI, SDK, Plugins) đa nền tảng, tạo công cụ trực quan hỗ trợ nghiên cứu và vận hành mạng SDN an toàn.
• Đóng góp 02 công trình khoa học được công bố và báo cáo tại các hội thảo quốc tế uy tín gồm ICTA 2016 và ACOMP 2016.

Trong giai đoạn tiếp theo, nhóm nghiên cứu sẽ mở rộng băng thông bảo vệ lên mức 40 Gbps và hoàn thiện kỹ thuật tái cấu hình động DPR. Kính mời các chuyên gia, nhà nghiên cứu và doanh nghiệp công nghệ tải về toàn văn luận văn để cùng hợp tác, ứng dụng và phát triển giải pháp bảo mật mạng SDN thế hệ mới.

Trích đoạn nội dung tài liệu

VIET NAM NATIONAL UNIVERSITY - HO CHI MINH CITY HO CHI MINH CITY UNIVERSITY OF TECHNOLOGY HO QUANG CHI BAO BUILDING A FRAMEWORK FOR SECURED OPENFLOW SWITCH BASED ON FPGA XÂY DỰNG FRAMEWORK CHO SECURED OPENFLOW SWITCH TRÊN PHẦN CỨNG FPGA MAJOR: COMPUTER SCIENCE MAJOR ID: 60.01 MASTER THESIS HO CHI MINH CITY - DEC 2016 VIET NAM NATIONAL UNIVERSITY - HO CHI MINH CITY HO CHI MINH CITY UNIVERSITY OF TECHNOLOGY HO QUANG CHI BAO BUILDING A FRAMEWORK FOR SECURED OPENFLOW SWITCH BASED ON FPGA XÂY DỰNG FRAMEWORK CHO SECURED OPENFLOW SWITCH TRÊN PHẦN CỨNG FPGA MAJOR: COMPUTER SCIENCE MAJOR ID: 60.01 MASTER THESIS SCIENTIFIC ADVISOR Assoc. TRAN NGOC THINH HO CHI MINH CITY - DEC 2016 THE THESIS IS COMPLETED AT HO CHI MINH CITY UNIVERSITY OF TECHNOLOGY - VNU HCM Signature Scientific advisor: Assoc. Tran Ngoc Thinh. The first reviewer: Dr.

Pham Hoang Anh. The second reviewer: Assoc. Tran Manh Ha. The master thesis is defended at Ho Chi Minh City University of Technol- ogy (HCMUT), Viet Nam National University Ho Chi Minh City (VNU HCM) on.

The scientific council has been formed with members below: 1. Pham Tran Vu 2. Pham Quoc Cuong 3. Pham Hoang Anh 4.

Nguyen Manh Ha 5. Bui Trong Tu The master thesis has been approved by the chair of the scientific council and the dean of the Faculty of Computer Science and Engineering after corrected (if any). CHAIR DEAN Scientific Council Faculty of Computer Science and Engineering. VIET NAM NATIONAL UNIVERSITY - HCM SOCIALIST REPUBLIC OF VIET NAM HCMC UNIVERSITY OF TECHNOLOGY Independence - Liberty - Happiness —————- —————- THE MASTER THESIS RESPONSIBILITY Student: Ho Quang Chi Bao Student ID: 7140219 Day of Birth: Aug 25, 1980 Place of Birth: Tien Giang Major: Computer Science Major ID: 60.

THESIS NAME: Building a Framework for Secured OpenFlow Switch Based on FPGA II. RESPONSIBILITY AND CONTENT: The thesis responsibility aims to research and build a framework for detecting and preventing several kinds of network attack mechanism base on OpenFlow network. The research proposes a novel multi- core architecture associated with a high speed OpenFlow switch to make the such switch able to defend network attacking from the data plane of OpenFlow network architecture. THESIS IS DELIVERED ON: July 06th , 2015.

THESIS IS COMPLETED ON: Dec 4th , 2016. SCIENTIFIC ADVISOR: Assoc. Tran Ngoc Thinh. Ho Chi Minh City, December 04th , 2016 ADVISOR HEAD OF DEPARTMENT (Name and signature) (Name and signature).

DEAN Faculty of Computer Science and Engineering (Name and signature). A CKNOWLEDGMENTS First and foremost, I respectfully express my gratefulness to my advisor, Associate Professor Tran Ngoc Thinh for his warmly supports, taking the time from the be- ginning of my work to orient the research, and during step by step of the thesis process. My sincerely thanks also come to my teachers at Faculty of Computer Science & Engineering, Ho Chi Minh City University of Technology Ho who provided a lot of knowledge for me during my master course. To Computer Engineering Laboratory, I would also like to thank Nguyen Bao Quoc, Tran Thi Thuy Chau, Ngo Duc Minh and the many other individuals who take their efforts to help me in the prototype system implementation.

Moreover, I owe thanks to Doctor Cuong Pham-Quoc who has guided me and improved my skill a lot while writing papers and the thesis. Last but importantly, I would like to say thank you so much to my family, especially my Dad and my deceased Mum. I could not go far on my way without your encouragement. Again, I give my gratefulness to you, regarding the many sacrifices you made.

I am proud to be your son. Ho Chi Minh City, December 4t h , 2016 Ho Quang Chi Bao i A BSTRACT In recent years, Virtualization technology in the field of computer science and engineering has grown powerfully to meet the complexity increasing of customer’s demand while offering services for them. Especially, the advent of cloud com- puting has made the Information Technology industry be changing significantly.