Luận án tiến sĩ: Thuật toán phân loại gói tin và phát hiện xung đột phát triển tường lửa hiệu năng cao - Vũ Duy Nhất (Viện KHCN Quân sự)

BỘ GIÁO DỤC VÀ ĐÀO TẠO BỘ QUỐC PHÒNG VIỆN KHOA HỌC VÀ CÔNG NGHỆ QUÂN SỰ -------------------------------- Vũ Duy Nhất NGHIÊN CỨU ĐỀ XUẤT MỘT SỐ THUẬT TOÁN PHÂN LOẠI GÓI TIN VÀ PHÁT HIỆN XUNG ĐỘT NHẰM PHÁT TRIỂN TƯỜNG LỬA HIỆU NĂNG CAO LUẬN ÁN TIẾN SĨ TOÁN HỌC Hà Nội - 2019 luan an BỘ GIÁO DỤC ĐÀO TẠO BỘ QUỐC PHÒNG VIỆN KHOA HỌC VÀ CÔNG NGHỆ QUÂN SỰ -------------------------------- Vũ Duy Nhất NGHIÊN CỨU ĐỀ XUẤT MỘT SỐ THUẬT TOÁN PHÂN LOẠI GÓI TIN VÀ PHÁT HIỆN XUNG ĐỘT NHẰM PHÁT TRIỂN TƯỜNG LỬA HIỆU NĂNG CAO Chuyên ngành: Cơ sở Toán học cho Tin học Mã số: 9460110 LUẬN ÁN TIẾN SĨ TOÁN HỌC NGƯỜI HƯỚNG DẪN KHOA HỌC: 1.TS Nguyễn Mạnh Hùng 2.TS Thái Trung Kiên Hà Nội - 2019 luan an i LỜI CAM ĐOAN Tôi xin cam đoan đây là công trình nghiên cứu của tôi. Những nội dung, số liệu và kết quả trình bày trong luận án là hoàn toàn trung thực và chưa có tác giả nào công bố trong bất kỳ một công trình nào khác, các dữ liệu tham khảo được trích dẫn đầy đủ. Tác giả luận án Vũ Duy Nhất luan an ii LỜI CẢM ƠN Luận án được thực hiện tại Viện Công nghệ thông tin – Viện Khoa học và Công nghệ quân sự. Lời đầu tiên, NCS xin bày tỏ lòng biết ơn sâu sắc tới các thầy giáo TS.

Nguyễn Mạnh Hùng và TS. Thái Trung Kiên, những người đã tận tình định hướng nghiên cứu, đào tạo và hướng dẫn NCS trong suốt quá trình học tập và nghiên cứu để hoàn thành luận án này. NCS xin được cảm ơn Viện Công nghệ Thông tin – Viện Khoa học và Công nghệ Quân sự đã nhiệt tình đóng góp ý kiến vào luận án và giúp đỡ NCS trong quá trình nghiên cứu. NCS xin được cảm ơn thủ trưởng và các đồng nghiệp thuộc Cục Cơ yếu – Bộ tổng tham mưu đã tạo mọi điều kiện thuận lợi cho NCS trong suốt thời gian nghiên cứu đề tài.

NCS xin được bày tỏ lòng biết ơn chân thành tới các Thầy, Cô, các nhà khoa học đã chân thành góp ý và giúp đỡ cho NCS hoàn thành luận án này. Cuối cùng, NCS cảm ơn gia đình, bạn bè, đồng nghiệp đã luôn hỗ trợ, động viên, chia sẻ và giúp NCS có thêm quyết tâm và động lực vượt qua những khó khăn để quyết tâm hoàn thành luận án này. Xin trân trọng cảm ơn! luan an iii MỤC LỤC DANH MỤC CÁC KÝ HIỆU VÀ CHỮ VIẾT TẮT .v DANH MỤC CÁC BẢNG. vii DANH MỤC CÁC HÌNH VẼ.

viii MỞ ĐẦU. TỔNG QUAN VỀ PHÂN LOẠI GÓI TIN TRÊN TƯỜNG LỬA .1 Một số khái niệm về tường lửa .1 Lịch sử hình thành tường lửa .2 Định nghĩa về tường lửa.3 Chức năng của tường lửa .4 Các kiểu tường lửa .2 Hiệu năng và mối quan hệ với quá trình phân loại gói tin của tường lửa .1 Mối quan hệ giữa hiệu năng và tốc độ phân loại gói tin .2 Quá trình phân loại gói tin trên tường lửa.3 Các hướng nâng cao tốc độ phân loại gói tin trên tường lửa.1 Các nghiên cứu trong lĩnh vực phần cứng .2 Các nghiên cứu trong lĩnh vực phần mềm .3 Một số nghiên cứu trong nước .4 Xác định hướng nghiên cứu trong luận án .4 Kết luận chương 1. THUẬT TOÁN PHÂN LOẠI GÓI TIN TRÊN TƯỜNG LỬA .1 Giới thiệu chương .2 Một số khái niệm .1 Tập luật phân loại gói tin .2 Cách biểu diễn các trường của bộ lọc.3 Tiêu chí lựa chọn luật .4 Các tham số đánh giá một thuật toán phân loại gói tin .3 Đề xuất phân loại gói tin trên cấu trúc cây Ưu tiên đa nhánh – MWP.2 Các cấu trúc có liên quan.3 Ý tưởng chính của đề xuất và các định nghĩa .4 Cấu trúc cây MWP .4 Kết luận chương 2. LOẠI SỚM GÓI TIN TRÊN TƯỜNG LỬA .1 Giới thiệu chương .2 Đề xuất kỹ thuật loại sớm gói tin dựa trên việc kết hợp các trường .1 Ý tưởng của việc loại sớm gói tin bằng việc kết hợp các trường .2 Loại sớm gói tin sử dụng phép kết hợp COM trên hai trường .3 Loại sớm gói tin sử dụng phép XOR kết hợp nhiều trường .69 luan an iv 3.4 Hiệu quả của việc sử dụng trường kết hợp trong loại sớm gói tin .3 Kết luận chương 3.

PHÁT HIỆN VÀ XỬ LÝ XUNG ĐỘT TRONG TẬP LUẬT TƯỜNG LỬA .1 Giới thiệu chương .2 Một số khái niệm chung .1 Biểu diễn luật trong tường lửa .2 Không gian luật và các mối quan hệ không gian luật .3 Các loại xung đột trong tập luật tường lửa .3 Đề xuất cấu trúc cây phát hiện xung đột trên tập luật – CDT .1 Các định nghĩa mới .2 Ý tưởng của thuật toán .3 Cấu trúc cây CDT.4 Phát hiện xung đột trên cây CDT .5 Cài đặt thử nghiệm và đánh giá .4 Kết luận chương 4 .111 TÀI LIỆU THAM KHẢO .114 luan an v DANH MỤC CÁC KÝ HIỆU VÀ CHỮ VIẾT TẮT ACL Danh sách kiểm soát truy nhập (Access Control List) ABV Thuật toán bít véc tơ hỗn hợp (Aggregated Bit Vector) Thuật toán bít véc tơ hỗn hợp và phân nhóm (Aggregated and Folded Bit AFBV Vector) ASIC Vi mạch tích hợp chuyên dụng (Application-specific integrated circuit) BDD Sơ đồ quyết định nhị phân (Binary Decision Diagram) BV Thuật toán bít véc tơ (BitVector) CAM Bộ nhớ có thể đánh địa chỉ nội dung (Content Addressable Memory) CDT Cây phát hiện xung đột (Conflict Detect Trie) Thuật toán phân loại kết hợp chéo các trường riêng biệt theo nhãn DCFL (Distributed Cross producing of Field Labels) DoS Tấn công từ chối dịch vụ (Denial-of-Service) EGT Cây dạng lưới mở rộng (Extended Grid of Tries) Thuật toán phân loại đệ quy theo luồng mở rộng (Enhanced Recursive Flow ERFC Classiflcation) FPGA Mảng cổng lập trình được dạng trường (Field Programmable Gate Array) FVSC Tập giá trị bao phủ trường (Field Value Set Cover) GoT Cây dạng lưới (Grid of Tries) GPU Khối xử lý đồ họa (Graphics Processing Unit) HiCuts Thuật toán các lát cắt theo tầng thông minh (Hierarchical intelligent Cuts) HSM Cây ánh xạ không gian phân cấp (Hierarchical Space Mapping) H-Tries Cây phân cấp (Hierarchical Tries) LAN Mạng nội bộ (Local Area Network) MWP Cây ưu tiên đa nhánh (Multi-Way Priority) NP Bộ xử lý mạng (Network Processor) RFC Thuật toán phân loại đệ quy theo luồng (Recursive Flow Classification) Tìm kiếm trên cây nhị phân tự hiệu chỉnh với độ dài tiền tố (Self Adjusting SA-BSPL Binary Search on Prefix Length) SP-Tries Cây cắt tỉa (Set Pruning tries) Bộ nhớ có thể đánh địa chỉ nội dung theo 3 trạng thái (Ternary Content- TCAM Addressable Memory) Thuật toán phát hiện xung đột dựa trên bộ tham số về độ dài (Tuple-base TCDA Conflict Detection Algorithm) TCP Giao thức truyền tải (Transmission Control Protocol) UDP Giao thức dữ liệu người dùng (User Datagram ProtocolV Ln(P) Bậc n của tiền tố P Sn(P) Tập các tiền tố bậc n của tiền tố P Max(G) Tiền tố có độ dài lớn nhất trong tập tiền tố G <|, >| Ký hiệu mối quan hệ giao nhau giữa hai khoảng giá trị [a,b] và [c,d] ℜD Mối quan hệ tách biệt của không gian giữa hai luật ℜEM Mối quan hệ trùng khớp của không gian giữa hai luật luan an vi ℜIM Mối quan hệ chứa nhau của không gian giữa hai luật ℜC Mối quan hệ giao nhau của không gian giữa hai luật |fn| Độ chi tiết của trường fn của luật phân loại gói tin Mối quan hệ trùng nhau giữa hai giá trị trường >< Mối quan hệ tách rời nhau giữa hai giá trị trường cho dưới dạng khoảng ⊆ Mối quan hệ thuộc giữa hai giá trị trường luan an vii DANH MỤC CÁC BẢNG Trang Bảng 1. Thông lượng tính theo bps và tốc độ phân loại gói tin cần đạt. Ví dụ tập luật gồm 4 luật. Quá trình cắt và tính toán entropy cho các luật bảng 2.

Tập luật gồm 12 luật một chiều cho dưới dạng tiền tố. Các tập tiền tố theo bậc của R1. So sánh độ phức tạp giữa cấu trúc MWP với JA-trie và PT. Tốc độ phân loại gói tin trên các cấu trúc với các tập dữ liệu khác nhau .Qui tắc kết hợp COM.

Tập luật gồm 5 luật Accept. Các quy tắc chèn đoạn [x,y] vào nút N. Kiểm tra tính chính xác và hiệu quả của kỹ thuật loại sớm với fCOM. Tập luật gồm 8 luật 3 chiều của tường lửa.

Ví dụ bảng tiền tố và khoảng giá trị trường fXOR. Các bước xây dựng tập D của các luật trong Bảng 3. Loại sớm gói tin trên trường fXOR với các tập luật khác nhau. Sử dụng trường fXOR trong thuật toán tìm kiếm tuần tự.

Danh sách các unit của luật R. Tập luật gồm 5 luật 4 chiều. Tiền tố và độ chi tiết của các giá trị trường của các luật thuộc Bảng 4. Phát hiện xung đột trên các tập luật khác nhau với cấu trúc CDT.

106 luan an viii DANH MỤC CÁC HÌNH VẼ Trang Hình 1-1. Quá trình phân loại gói tin trên tường lửa. Quá trình phân loại gói tin với tập luật của tường lửa. Quan hệ giữa hiệu năng với các thành phần cấu tạo của tường lửa.

Các hướng nghiên cứu về phần cứng. Các hướng nghiên cứu về phần mềm. Các thuật toán phân loại gói tin trên nhiều trường. Tấn công DoS vào luật mặc định của tường lửa.

Mô hình loại sớm gói tin bằng module loại sớm gói tin. Cải tiến nâng cao tốc độ phân loại gói tin trên tường lửa. 27 Hình 1-10 Các hướng cải tiến trong quá trình phân loại gói tin của luận án. Ví dụ cây nhị phân ưu tiên.

JA-trie gắn với các luật Bảng 2. Cấu trúc một nút N của cây MWP. Sơ đồ thuật toán xây dựng nút trên cây MWP. Cây MWP xây dựng từ tập luật trong Bảng 2.

Thuật toán phân loại gói tin trên cây MWP. Thuật toán xác định nhanh số bít bên trái trùng nhau giữa hai tiền tố. So sánh thời gian phân loại giữa cấu trúc MWP và các cấu trúc khác. So sánh nhu cầu sử dụng bộ nhớ giữa cấu trúc MWP với các cấu trúc khác.

Cách tạo tiền tố COM. Ví dụ tạo tiền tố COM. Cách xây dựng tập luật loại sớm dựa trên trường fCOM. Ví dụ xây dựng tập luật loại sớm từ trường fCOM.

Thuật toán loại sớm gói tin với trường fCOM. 63 Hình 3-6 Mô hình thử nghiệm kỹ thuật loại sớm. Các mô hình triển khai module phân loại gói tin. Phân loại gói tin trên các cấu trúc cây khác nhau với trường fCOM.

Thời gian xây dựng tập luật loại sớm với các cấu trúc cây khác nhau. Mô hình cài đặt kỹ thuật FVSC. So sánh kỹ thuật loại sớm fCOM với kỹ thuật FVSC .