Giới thiệu dự án

Sự bùng nổ của kỷ nguyên số và hạ tầng Internet vạn vật (IoT - Internet of Things) đã tạo ra sự gia tăng đột biến về lưu lượng dữ liệu mạng toàn cầu. Theo số liệu thống kê từ Statista, số lượng thiết bị IoT kết nối Internet dự kiến đạt 25,4 tỷ thiết bị vào năm 2030, sản sinh hàng nghìn exabyte (EB) dữ liệu mỗi ngày. Song hành với sự gia tăng về lưu lượng, các cuộc tấn công mạng diễn biến ngày càng phức tạp; trong đó, tấn công từ chối dịch vụ phân tán (DDoS - Distributed Denial-of-Service) chiếm tới 53% tổng số cuộc tấn công toàn cầu, với tốc độ tăng trưởng hơn 115% qua từng năm.

Kiến trúc mạng điều khiển bằng phần mềm (SDN - Software-Defined Networking) ra đời như một bước tiến đột phá, tách biệt hoàn toàn mặt phẳng điều khiển (Control Plane) và mặt phẳng dữ liệu (Data Plane). Tuy nhiên, tính chất tập trung của bộ điều khiển (SDN Controller) cũng biến nó thành mục tiêu hấp dẫn cho các cuộc tấn công khai thác, làm tê liệt toàn bộ hạ tầng nếu không có cơ chế phòng vệ hiệu quả. Các hệ thống phát hiện xâm nhập mạng truyền thống (NIDS - Network Intrusion Detection System) dựa trên chữ ký (signature-based) hoặc chạy trên các máy chủ độc lập hoàn toàn mất khả năng đáp ứng trước các luồng dữ liệu lớn (Big Data) có thông lượng cao và tốc độ sinh luồng liên tục.

Đề tài "Xây dựng một mạng học sâu nhiều lớp cho hệ thống phát hiện xâm nhập dành cho SDN" (Building a Deep Multilayer Perceptron Network for Intrusion Detection in SDN-Based Networks) do sinh viên Nguyễn Văn Tài và Hoàng Văn Chúc thực hiện dưới sự hướng dẫn của TS. Lê Kim Hùng và ThS. Thái Huy Tân tại Trường Đại học Công nghệ Thông tin - ĐHQG-HCM, tập trung giải quyết bài toán phát hiện và ngăn chặn xâm nhập thời gian thực trên mạng SDN bằng việc kết hợp kiến trúc tính toán phân tán và mô hình mạng nơ-ron nhiều lớp (Deep Multilayer Perceptron - MLP).

+-------------------------------------------------------------------------------+
|                                HỆ THỐNG DISIDS                                |
|                                                                               |
|  [SDN Switches] (OVS/IPFIX)                                                   |
|         │                                                                     |
|         ▼                                                                     |
|  [Collector: nProbe] ──► [Buffer: Apache Kafka] ──► [Engine: Apache Spark]    |
|                                                            │                  |
|                                     ┌──────────────────────┴────────────────┐ |
|                                     ▼                                       ▼ |
|                          [Deep MLP Classifier]                    [ONOS Controller]
|                                     │                                (Auto-Block Flow)
|                                     ▼                                         |
|                          [Analytics: ELK Stack] ──► [Alerts: Telegram/Email]  |
+-------------------------------------------------------------------------------+

Mục tiêu của đề tài

  1. Thiết kế và thiết lập hạ tầng mạng mô phỏng SDN doanh nghiệp hoàn chỉnh dựa trên Open vSwitch (OVS) và bộ điều khiển mã nguồn mở ONOS (Open Network Operating System).
  2. Xây dựng đường ống (pipeline) thu thập và đệm luồng dữ liệu NetFlow/IPFIX phân tán theo thời gian thực sử dụng nProbe và Apache Kafka.
  3. Huấn luyện và tối ưu mô hình học sâu Deep Multilayer Perceptron (MLP) trên nền tảng tính toán phân tán Apache Spark MLlib với bộ dữ liệu chuẩn NF-UNSW-NB15-v2.
  4. Tích hợp cơ chế phản ứng tự động (Automated Mitigation) thông qua việc gửi các lệnh OpenFlow Flow-Rule qua REST API tới ONOS Controller để ngắt kết nối của kẻ tấn công ngay khi phát hiện bất thường.
  5. Triển khai hệ thống phân tích, lưu trữ và trực quan hóa dữ liệu tập trung với ELK Stack (Elasticsearch, Logstash, Kibana) kết hợp cảnh báo đa kênh (Telegram Bot, Email).

Phạm vi và giới hạn nghiên cứu

  • Phạm vi dữ liệu: Dựa trên 43 đặc trưng NetFlow chuẩn trích xuất từ phần đầu gói tin (Packet Header), không can thiệp vào tải trọng (Payload) nhằm tối ưu hiệu năng và bảo toàn quyền riêng tư dữ liệu.
  • Môi trường thử nghiệm: Triển khai trên môi trường ảo hóa phân tán, mô phỏng mạng SDN với 9 trạm làm việc (Host), 3 máy chủ dịch vụ (Web, Database, Application Server) và 10 bộ chuyển mạch Open vSwitch.
  • Giới hạn kỹ thuật: Hệ thống tập trung vào xử lý luồng dữ liệu IP/TCP/UDP/ICMP chuẩn; chưa mở rộng đánh giá đối với lưu lượng đã bị mã hóa phức tạp nhiều lớp (như Tor hoặc TLS fingerprinting chuyên sâu).

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Các giải pháp giám sát an ninh mạng hiện nay thường gặp phải nút thắt cổ chai khi đối mặt với dữ liệu thông lượng lớn và kiến trúc mạng khả lập trình.

Phương pháp Ưu điểm Nhược điểm Mức độ phù hợp với Big Data SDN
Dựa trên Chữ ký (Signature-based) Độ chính xác cao với các cuộc tấn công đã biết, độ trễ thấp khi so khớp mẫu đơn giản. Hoàn toàn bất lực trước tấn công Zero-day; chi phí cập nhật và kích thước cơ sở dữ liệu chữ ký tăng tuyến tính. Rất thấp (Không thể scale khi lưu lượng tăng đột biến).
Dựa trên Hành vi (Behavior-based) Có khả năng phát hiện các hành vi bất thường mới. Tỷ lệ cảnh báo giả (False Positive Rate - FPR) cao; yêu cầu cấu hình ngưỡng phức tạp. Trung bình.
Máy học truyền thống (Stand-alone ML) Khả năng tổng quát hóa tốt, tự động trích xuất mẫu từ dữ liệu. Huấn luyện và dự đoán tuần tự trên máy đơn; nghẽn I/O khi nhận hàng triệu luồng mỗi giây. Kém (Không đáp ứng yêu cầu xử lý luồng phân tán).
Kiến trúc DisIDS (Đề xuất) Tính toán phân tán trên Spark; học sâu MLP chính xác cao; phản ứng trực tiếp qua OpenFlow API. Yêu cầu hạ tầng điều phối cụm (Cluster orchestration). Tối ưu (Đáp ứng thời gian thực và mở rộng linh hoạt).

Ma trận yêu cầu hệ thống (MoSCoW)

  • Must-have: Thu thập NetFlow không mất gói tin; phân loại tấn công nhị phân (Binary) và đa lớp (Multiclass); tự động sinh quy tắc chặn lưu lượng độc hại qua ONOS.
  • Should-have: Trực quan hóa Dashboard phân tích lưu lượng thời gian thực; gửi thông báo tức thời qua Telegram Bot/Email.
  • Could-have: Điều chỉnh tự động ngưỡng kích hoạt cảnh báo dựa trên tải mạng.
  • Won't-have (giai đoạn này): Giải mã và phân tích sâu nội dung tải trọng gói tin (Deep Packet Inspection - DPI).

Thiết kế hệ thống

Kiến trúc tổng thể của giải pháp DisIDS (Distributed Intrusion Detection System) được chia thành 5 khối chức năng liên kết chặt chẽ:

                    KIẾN TRÚC LUỒNG DỮ LIỆU VÀ CÁC THÀNH PHẦN
                    
+-------------------------------------------------------------------------+
| [OVS Switch (S1..S5)] ──(IPFIX/NetFlow)──► [nProbe Collector v10.x]     |
+-------------------------------------------------------------------------+
                                    │ (JSON Stream)
                                    ▼
+-------------------------------------------------------------------------+
|                  [Apache Kafka Cluster 3.2+ (Distributed Buffer)]       |
+-------------------------------------------------------------------------+
           │                                                │
           ▼ (Structured Streaming)                         ▼
+------------------------------------+   +--------------------------------+
| [Apache Spark MLlib Cluster 3.3+]  |   | [Logstash] ──► [Elasticsearch] |
| - VectorAssembler / StandardScaler |   +--------------------------------+
| - Deep MLP Model (Inference)       |                   │
+------------------------------------+                   ▼
           │ (Detection Result)                  [Kibana Dashboard]
     ┌─────┴───────────────────────┐
     ▼                             ▼
[ONOS Controller API]   [Notification Tools]
(POST /onos/v1/flows)   (Telegram / Email)

Ngăn xếp công nghệ (Technology Stack)

  • Bộ điều khiển SDN: ONOS (Open Network Operating System) v2.7 LTS.
  • Chuyển mạch ảo: Open vSwitch (OVS) v2.17 hỗ trợ OpenFlow 1.3 và IPFIX.
  • Bộ thu thập luồng: nProbe v10.2 (High-speed NetFlow/IPFIX Collector).
  • Hệ thống phân tán & Đệm dữ liệu: Apache Kafka v3.2.0 (Topic-based Partitioning).
  • Xử lý luồng & Học máy: Apache Spark v3.3.1 (Spark Structured Streaming, Spark MLlib với PySpark).
  • Hạ tầng phân tích & Giám sát: ELK Stack (Elasticsearch v8.5, Logstash v8.5, Kibana v8.5).
  • Ngôn ngữ phát triển: Python 3.9, Java (REST Client), Shell Script.

Thiết kế tích hợp API ngăn chặn luồng độc hại (ONOS REST API)

Khi phát hiện luồng IP có hành vi tấn công, Spark Streaming kích hoạt một luồng xử lý gửi chỉ thị JSON qua giao diện Northbound API của ONOS Controller để thiết lập luồng Drop:

POST /onos/v1/flows/of:0000000000000001 HTTP/1.1
Host: 192.168.1.100:8181
Authorization: Basic b25vczpyb2Nrcw==
Content-Type: application/json

{
  "priority": 40000,
  "timeout": 300,
  "isPermanent": false,
  "deviceId": "of:0000000000000001",
  "treatment": { "instructions": [] },
  "selector": {
    "criteria": [
      { "type": "ETH_TYPE", "ethType": "0x0800" },
      { "type": "IPV4_SRC", "ip": "10.0.0.11/32" }
    ]
  }
}

Phương pháp nghiên cứu (Methodology)

Nghiên cứu áp dụng quy trình phát triển lặp kết hợp mô hình thực nghiệm định lượng:

[Khảo sát & Thu thập dữ liệu] ──► [Tiền xử lý & Trích xuất đặc trưng]
                 │
                 ▼
[Huấn luyện & Tối ưu MLP trên Spark] ──► [Kiểm thử Offline (Benchmark)]
                 │
                 ▼
[Tích hợp Real-time với Kafka & SDN] ──► [Thực nghiệm Online (DoDoS/Scan)]

Ma trận rủi ro và giải pháp giảm thiểu

  1. Nghẽn cổ chai tại bộ đệm dữ liệu: Phân mảnh Topic Kafka thành nhiều Partition tương ứng với số lượng Worker Cores trên Spark.
  2. Độ trễ suy luận mô hình: Sử dụng định dạng dữ liệu Vector được chuẩn hóa trong bộ nhớ đệm (In-memory DataFrame Caching) của Spark.
  3. Hiện tượng nghẽn mạng điều khiển (Control Plane Overload): Thiết lập cơ chế kiểm soát ngưỡng cảnh báo, chỉ gửi Flow-Rule khi xác suất dự đoán vượt quá 95%.

Implementation và kết quả

Development process

Quá trình tiền xử lý và xây dựng pipeline học máy trên Spark được chuẩn hóa thông qua pyspark.ml. Dữ liệu luồng được chuyển đổi từ 43 trường đặc trưng số học thành vector đầu vào duy nhất thông qua VectorAssembler, sau đó được chuẩn hóa theo phân phối chuẩn $Z = \frac{X - \mu}{\sigma}$ bằng StandardScaler.

from pyspark.ml import Pipeline
from pyspark.ml.classification import MultilayerPerceptronClassifier
from pyspark.ml.evaluation import MulticlassClassificationEvaluator
from pyspark.ml.feature import StandardScaler, VectorAssembler

# 1. Định nghĩa danh sách 43 đặc trưng NetFlow (loại trừ các trường định danh IP/Port nhiễu)
feature_cols = [
    "IN_BYTES",
    "OUT_BYTES",
    "IN_PKTS",
    "OUT_PKTS",
    "FLOW_DURATION_MILLISECONDS",
    "TCP_FLAGS",
    "CLIENT_TCP_FLAGS",
    "SERVER_TCP_FLAGS",
    "MIN_TTL",
    "MAX_TTL",
    "LONGEST_FLOW_PKT",
    "SHORTEST_FLOW_PKT",
    "MIN_IP_PKT_LEN",
    "MAX_IP_PKT_LEN",
    "SRC_TO_DST_SECOND_BYTES",
    "DST_TO_SRC_SECOND_BYTES",
    "RETRANSMITTED_IN_BYTES",
    "RETRANSMITTED_OUT_BYTES",
    "SRC_TO_DST_AVG_THROUGHPUT",
    "DST_TO_SRC_AVG_THROUGHPUT",
    "NUM_PKTS_UP_TO_128_BYTES",
    "NUM_PKTS_128_TO_256_BYTES",
    "NUM_PKTS_256_TO_512_BYTES",
    "NUM_PKTS_512_TO_1024_BYTES",
    "NUM_PKTS_1024_TO_1514_BYTES",
    "TCP_WIN_MAX_IN",
    "TCP_WIN_MAX_OUT",
]

# 2. Xây dựng pipeline tiền xử lý dữ liệu
assembler = VectorAssembler(inputCols=feature_cols, outputCol="raw_features")
scaler = StandardScaler(
    inputCol="raw_features",
    outputCol="features",
    withStd=True,
    withMean=True,
)

# 3. Cấu hình kiến trúc mạng Deep Multilayer Perceptron (MLP)
# Lớp đầu vào: len(feature_cols) -> 2 lớp ẩn (Hidden Layers): 64, 32 -> Lớp đầu ra: 2 (Binary) hoặc 10 (Multiclass)
layers = [len(feature_cols), 64, 32, 2]

mlp = MultilayerPerceptronClassifier(
    layers=layers,
    blockSize=128,
    seed=1234,
    maxIter=100,
    featuresCol="features",
    labelCol="label",
)

# 4. Đóng gói quy trình huấn luyện vào Pipeline
pipeline = Pipeline(stages=[assembler, scaler, mlp])
model = pipeline.fit(training_data)

Testing và validation

Hệ thống được đánh giá trên tập dữ liệu chuẩn NF-UNSW-NB15-v2 với tổng cộng 2.390.275 luồng (trong đó 2.295.222 luồng bình thường và 95.053 luồng tấn công thuộc 9 loại: Fuzzers, Analysis, Backdoor, DoS, Exploits, Generic, Reconnaissance, Shellcode, Worms). Tập dữ liệu được phân chia thành 1.912.458 mẫu cho tập huấn luyện (Train) và 477.817 mẫu cho tập kiểm định (Test).

So sánh hiệu năng giữa các thuật toán trên Spark MLlib

Thuật toán Accuracy (%) Precision (%) Recall (%) F1-Score (%) Thời gian xử lý kiểm thử (s)
Decision Tree (DT) 98.15 97.80 98.15 97.97 14.2
Random Forest (RF) 98.92 98.71 98.92 98.81 18.6
Gradient Boosting Tree (GBT) 99.10 99.02 99.10 99.06 25.4
Support Vector Machine (SVM) 96.40 95.80 96.40 96.09 45.1
Deep MLP (Đề xuất) 99.72 99.68 99.72 99.70 8.3 
                       BIỂU ĐỒ SO SÁNH ACCURACY (%)
  100 +-------------------------------------------------------+ 99.72%
   99 |                                            +----------+ (Deep MLP)
   98 |                        +----------+        |          |
   97 |            +---------+ |          |        |          |
   96 |            |         | |          |        |          |
   95 | +--------+ |         | |          |        |          |
      +---+------+----+------+----+-------+--------+----------+
         SVM          DT          RF      GBT       Deep MLP

Kết quả đạt được

+-----------------------------------------------------------------------------+
|                          KẾT QUẢ TRIỂN KHAI THỰC TẾ                         |
|                                                                             |
|  [Độ chính xác Phân loại nhị phân]   : 99.72%                               |
|  [Độ chính xác Phân loại đa lớp]     : 95.32% (9 nhóm tấn công)             |
|  [Thời gian phát hiện & cách ly]     : < 1.2 giây (End-to-End)              |
|  [Băng thông thu thập nProbe]        : Duy trì ổn định > 100.000 flows/s    |
|  [Tỷ lệ cảnh báo giả (FPR)]          : Giảm xuống dưới 0.28%                |
+-----------------------------------------------------------------------------+
  1. Khả năng nhận diện tấn công mạng: Mô hình Deep MLP đạt độ chính xác 99.72% trong bài toán phân loại nhị phân (Binary) và 95.32% trong bài toán phân loại chi tiết 9 dạng tấn công mạng phức tạp (Multiclass).
  2. Hiệu năng xử lý thời gian thực: Kết hợp Spark Structured Streaming và Kafka giúp hệ thống xử lý lượng lớn bản ghi với độ trễ suy luận dưới 250ms cho mỗi batch luồng dữ liệu.
  3. Khả năng tự động hóa phòng thủ: Khi thực nghiệm giả lập các cuộc tấn công thực tế (TCP SYN Flood, Port Scanning Nmap, Directory Brute-force Gobuster), hệ thống tự động nhận diện và gửi lệnh tới ONOS Controller để hủy luồng độc hại trong thời gian trung bình dưới 1.2 giây kể từ khi gói tin đầu tiên xuất hiện.

Đổi mới và đóng góp

  1. Kiến trúc giải pháp phân tán kết hợp trọn vẹn giữa Big Data và SDN: Khác với các nghiên cứu trước đây chỉ thử nghiệm mô hình học máy trên các tập dữ liệu tĩnh hoặc môi trường máy đơn lập, đề tài này đã xây dựng hoàn chỉnh một chuỗi xử lý luồng khép kín từ khâu thu thập (nProbe) -> Đệm phân tán (Kafka) -> Suy luận phân tán (Spark) -> Phản ứng chủ động (ONOS REST API).
  2. Khai thác đặc trưng NetFlow/IPFIX tối ưu: Tận dụng 43 thuộc tính thống kê luồng không chứa payload, giúp giảm tải hơn 80% dung lượng lưu trữ và xử lý so với phương pháp lưu trữ tệp PCAP truyền thống, đồng thời giải quyết triệt để bài toán bảo mật thông tin người dùng.
  3. Tối ưu hóa thuật toán học sâu trên cụm: Mô hình Deep MLP được tối ưu hóa siêu tham số (Hyperparameters) chạy trực tiếp trên Spark MLlib, tận dụng tính toán bộ nhớ (In-Memory Computing) giúp tăng tốc độ xử lý gấp 3 lần so với SVM và 2 lần so với Gradient Boosting Tree trên các tập dữ liệu có quy mô hàng triệu bản ghi.

Ứng dụng thực tế và triển khai

Kịch bản ứng dụng thực tế

  • Trung tâm điều hành an ninh mạng (SOC) cho Doanh nghiệp & Telco: Giám sát lưu lượng mạng nội bộ tập trung, tự động cô lập các máy tính nhân viên bị nhiễm mã độc (Botnet, Backdoor) nhằm ngăn chặn lây lan ngang (Lateral Movement).
  • Hạ tầng đám mây và Trung tâm dữ liệu (Cloud & Data Centers): Phát hiện và giảm thiểu tức thì các đợt tấn công từ chối dịch vụ phân tán (DDoS) nhắm vào máy chủ dịch vụ Web/Database mà không làm gián đoạn các luồng lưu lượng hợp lệ khác.
                   MÔ HÌNH TRIỂN KHAI DOANH NGHIỆP THỰC TẾ
                   
     [Internet Traffic]
             │
             ▼
+──────────────────────────+
|  SDN Edge Gateway (OVS)  | ◄─── (ONOS Controller Flow Rules)
+──────────────────────────+
             │
     ┌───────┴─────────────────────────────────────────┐
     ▼                                                 ▼
[Internal VPC Services]                   [nProbe Traffic Mirror]
 (Web / DB / App Nodes)                                │
                                                       ▼
                                          [Kafka-Spark DisIDS Cluster]
                                                       │
                                                       ▼
                                          [SOC Dashboard & Automation]

Yêu cầu cấu hình hệ thống triển khai

+--------------------------------------------------------------------------+
| YÊU CẦU HẠ TẦNG PHẦN CỨNG VÀ MÔI TRƯỜNG                                   |
+--------------------------------------------------------------------------+
| Thành phần          | Cấu hình tối thiểu       | Cấu hình khuyến nghị    |
+---------------------+--------------------------+-------------------------+
| Master Node         | 4 vCPU, 8 GB RAM, 50 GB  | 8 vCPU, 16 GB RAM, SSD  |
| Worker Nodes (x3)   | 4 vCPU, 8 GB RAM         | 8 vCPU, 16 GB RAM (mỗi) |
| SDN Controller      | 2 vCPU, 4 GB RAM         | 4 vCPU, 8 GB RAM        |
| Hệ điều hành        | Ubuntu Server 20.04 LTS  | Ubuntu Server 22.04 LTS |
| Network Bandwidth   | 1 Gbps NIC               | 10 Gbps SFP+            |
+--------------------------------------------------------------------------+

Hạn chế và hướng phát triển

  • Hạn chế:
    1. Mô hình Deep MLP phụ thuộc vào dữ liệu gán nhãn có sẵn; độ chính xác có thể suy giảm khi đối mặt với các dạng tấn công hoàn toàn mới chưa từng xuất hiện trong tập huấn luyện (Advanced Zero-day).
    2. Việc triển khai cụm phân tán Apache Spark và Kafka đòi hỏi chi phí tài nguyên phần cứng lớn hơn so với các giải pháp máy đơn ở quy mô mạng vừa và nhỏ.
  • Hướng phát triển:
    1. Tích hợp các thuật toán học bán giám sát (Semi-supervised Learning) hoặc mạng đối nghịch tạo sinh (GAN - Generative Adversarial Networks) để chủ động phát hiện dị biệt chưa biết.
    2. Mở rộng cơ chế kiểm soát động qua P4 Language nhằm tăng cường khả năng can thiệp gói tin trực tiếp ở mức phần cứng mặt phẳng dữ liệu (Data Plane Programmability).

Đối tượng hưởng lợi

  • Sinh viên & Học viên ngành An toàn thông tin / Mạng máy tính: Cung cấp tài liệu tham khảo thực nghiệm chi tiết về việc kết hợp Big Data Pipeline và Software-Defined Networking trong an ninh mạng.
  • Kỹ sư Mạng & Quản trị viên hệ thống (DevOps / SecOps): Nắm vững kiến trúc triển khai thực tế của hệ thống IDS phân tán dựa trên OpenFlow và công cụ nguồn mở (Kafka, Spark, ELK).
  • Doanh nghiệp & Đơn vị vận hành Cloud: Sở hữu giải pháp mẫu có khả năng mở rộng linh hoạt theo chiều dọc và chiều ngang, giúp tiết kiệm hàng ngàn USD chi phí bản quyền giải pháp IDS thương mại.
  • Nhà nghiên cứu khoa học: Cung cấp dữ liệu đo kiểm benchmark chuẩn xác giữa các mô hình học máy trên tập dữ liệu luồng NF-UNSW-NB15-v2.

Câu hỏi thường gặp

1. Yêu cầu kỹ thuật cốt lõi để triển khai hệ thống DisIDS là gì?

Hệ thống yêu cầu các bộ chuyển mạch phải hỗ trợ giao thức OpenFlow (như Open vSwitch) cùng tính năng xuất bản ghi luồng IPFIX/NetFlow. Về phần mềm, cần thiết lập môi trường Java 11+, cụm Apache Kafka 3.x, Apache Spark 3.x và bộ điều khiển ONOS 2.x.

2. Hệ thống xử lý thế nào khi dung lượng luồng mạng tăng đột biến?

Nhờ cơ chế phân tán của Kafka và Spark Structured Streaming, quản trị viên chỉ cần mở rộng theo chiều ngang (Scale-out) bằng cách bổ sung thêm Worker Nodes vào cụm Spark và tăng số lượng Partitions trong Kafka Topic mà không cần dừng hệ thống.

3. Giải pháp này có gây nghẽn hoặc ảnh hưởng tới tốc độ truyền gói tin không?

Không. nProbe thu thập luồng dữ liệu thông qua cơ chế sao chép cổng (Port Mirroring/SPAN) hoặc trích xuất bản ghi NetFlow bất đồng bộ từ OVS, hoàn toàn không nằm trên đường truyền trực tiếp (In-line) của gói tin, do đó không tạo ra độ trễ mạng phụ.

4. Hệ thống cần bảo trì định kỳ những hạng mục nào?

Định kỳ tối ưu chỉ mục (Index Lifecycle Management) trên Elasticsearch để giải phóng dung lượng đĩa cứng, cập nhật các batch dữ liệu mới để tái huấn luyện mô hình (Retrain Pipeline) trên Spark nhằm cập nhật các mẫu tấn công mới.

5. Chi phí đầu tư và thời gian hoàn vốn (ROI) ước tính ra sao?

Do sử dụng hoàn toàn các nền tảng mã nguồn mở (ONOS, Kafka, Spark, ELK, Open vSwitch), doanh nghiệp chỉ cần đầu tư vào hạ tầng phần cứng máy chủ hoặc chi phí thuê Cloud VM. Thời gian thu hồi vốn đạt được ngay khi hệ thống tự động ngăn chặn thành công các cuộc tấn công gây gián đoạn dịch vụ doanh nghiệp.

Kết luận

Đề tài "Xây dựng một mạng học sâu nhiều lớp cho hệ thống phát hiện xâm nhập dành cho SDN" đã giải quyết triệt để bài toán giám sát an toàn thông tin thời gian thực trong môi trường mạng thế hệ mới. Bằng việc kết hợp kiến trúc mạng khả lập trình SDN, hạ tầng dữ liệu lớn phân tán (Apache Kafka, Apache Spark) và mô hình học sâu Deep Multilayer Perceptron (MLP), nghiên cứu đã đạt được độ chính xác ấn tượng 99.72%, thời gian phát hiện và tự động cô lập nguồn tấn công dưới 1.2 giây. Đây là giải pháp an ninh mạng toàn diện, có tính thực tiễn cao, sẵn sàng ứng dụng cho các trung tâm dữ liệu và doanh nghiệp trong kỷ nguyên số.