Luận án tăng cường phòng chống tấn công mạng SDN - Phan Thế Duy

Mạng SDN tách rời mặt phẳng điều khiển (Control Plane) và mặt phẳng dữ liệu (Data Plane). Sự phân tách này tạo ra những điểm nghẽn an ninh tiềm tàng. Bộ điều khiển trung tâm là mục tiêu hấp dẫn đối với tin tặc. Kẻ tấn công thường nhắm vào tài nguyên xử lý của bộ điều khiển. Tấn công từ chối dịch vụ (DDoS trong SDN) có thể làm tê liệt toàn bộ mạng lưới. Kẻ xấu liên tục gửi các gói tin lạ để buộc thiết bị chuyển mạch hỏi bộ điều khiển. Tình trạng này gây ra hiện tượng tràn bảng luồng (Flow Table Overflow) trên các thiết bị chuyển tiếp. Bộ nhớ của thiết bị chuyển mạch bị cạn kiệt nhanh chóng. Các luồng dữ liệu hợp lệ không thể được thiết lập. Việc giám sát mặt phẳng dữ liệu cần diễn ra liên tục để phát hiện sớm bất thường.

Giao tiếp trong mạng SDN dựa trên các giao thức tiêu chuẩn hóa. Giao thức OpenFlow là kênh trao đổi chính giữa bộ điều khiển và thiết bị chuyển mạch. Kênh giao tiếp này dễ bị giả mạo hoặc nghe lén nếu thiếu chứng thực mạnh. Bảo mật giao tiếp Southbound và Northbound API đóng vai trò then chốt trong vận hành. Giao diện Southbound kết nối bộ điều khiển với thiết bị chuyển tiếp. Giao diện Northbound mở ra các dịch vụ cho ứng dụng mạng của bên thứ ba. Nếu giao diện Northbound bị xâm phạm, kẻ tấn công có thể kiểm soát logic định tuyến. Các cuộc tấn công chèn luồng độc hại gây sai lệch đường truyền dữ liệu. Kiểm soát chặt chẽ các API ngăn chặn mã độc can thiệp vào chính sách mạng. Việc triển khai các biện pháp xác thực mạnh mẽ là tối quan trọng.

Phương pháp phát hiện dựa trên luật truyền thống bộc lộ nhiều hạn chế lớn. Kỹ thuật này khó bắt kịp các biến thể tấn công tinh vi mới nổi. Ứng dụng học máy trong bảo mật SDN (Machine Learning for SDN) cung cấp khả năng tự động nhận diện bất thường. Mô hình học máy phân tích sâu các đặc trưng luồng gói tin theo thời gian thực. Hệ thống phát hiện xâm nhập SDN (SDN IDS/IPS) nhờ đó nâng cao độ chính xác cảnh báo. Tuy nhiên, việc huấn luyện mô hình tập trung đòi hỏi thu thập lượng lớn dữ liệu. Quá trình này tiêu tốn băng thông và tiềm ẩn rủi ro rò rỉ thông tin riêng tư. Phương pháp học phân tán nổi lên như giải pháp thay thế vượt trội. Công nghệ này cho phép huấn luyện mô hình thông minh mà không cần chia sẻ dữ liệu thô.

FedChain-Hunter phân chia hệ thống thành các miền mạng cục bộ và máy chủ tổng hợp. Mỗi miền mạng hoạt động như một máy khách huấn luyện độc lập. Máy khách thu thập lưu lượng luồng và huấn luyện mô hình IDS cục bộ. Sau mỗi vòng lặp, máy khách gửi tham số cập nhật lên máy chủ tổng hợp. Máy chủ thực hiện tổng hợp trọng số để tạo ra mô hình toàn cục tốt hơn. Mô hình cải tiến được gửi ngược lại cho toàn bộ các máy khách. Kiến trúc này loại bỏ sự cần thiết của kho lưu trữ dữ liệu tập trung. Độ trễ phân tích giảm đáng kể do quá trình xử lý diễn ra ngay tại biên mạng. Kiến trúc thích ứng linh hoạt với hạ tầng mạng SDN quy mô rộng lớn.

Kẻ tấn công có thể suy diễn dữ liệu gốc từ các trọng số mô hình được gửi đi. FedChain-Hunter tích hợp cơ chế riêng tư vi phân (Differential Privacy) để triệt tiêu rủi ro này. Nhiễu toán học có kiểm soát được thêm vào trọng số trước khi truyền tải. Kỹ thuật này ngăn chặn các cuộc tấn công phục hồi mẫu dữ liệu ban đầu. Bên cạnh đó, hệ thống ứng dụng lược đồ mã hóa đồng cấu CKKS tiên tiến. Mã hóa đồng cấu cho phép máy chủ thực hiện phép tính tổng hợp trực tiếp trên bản mã. Dữ liệu tham số không bao giờ bị giải mã trong suốt quá trình xử lý tại máy chủ. So với lược đồ Paillier, CKKS mang lại hiệu năng tính toán cao hơn và tối ưu kích thước bản mã. Sự kết hợp này thiết lập lớp phòng thủ kép vững chắc.

Học liên kết truyền thống phụ thuộc vào máy chủ trung tâm dễ bị tấn công đơn điểm. FedChain-Hunter sử dụng hợp đồng thông minh Blockchain để phi tập trung hóa quá trình quản trị. Mạng Blockchain ghi nhận và xác minh mọi đóng góp cập nhật từ các máy khách. Cơ chế đánh giá độ tin cậy tự động tính toán chất lượng tham số huấn luyện. Những đóng góp kém chất lượng hoặc chứa mã độc sẽ bị loại bỏ ngay lập tức. Hệ thống duy trì tính minh bạch và chống chối bỏ hoàn hảo trong toàn bộ vòng đời huấn luyện. Máy chủ trung tâm độc hại không thể thao túng mô hình chung. Nền tảng Blockchain đảm bảo tính toàn vẹn và độ tin cậy tuyệt đối cho hệ thống phát hiện xâm nhập.

Tấn công đầu độc (Poisoning Attack) trong học liên kết chia thành hai dạng chính. Tấn công đầu độc dữ liệu làm biến dạng nhãn hoặc đặc trưng của tập huấn luyện cục bộ. Tấn công đầu độc mô hình trực tiếp can thiệp vào các giá trị trọng số trước khi gửi. Mục tiêu của kẻ tấn công là tạo ra cửa sau (Backdoor) hoặc làm tê liệt khả năng nhận diện. Hệ thống IDS có thể bỏ sót các gói tin tấn công nguy hiểm đã bị làm mờ nhãn. Các phương pháp phát hiện ngoại lai truyền thống thường hoạt động kém trong không gian trọng số nhiều chiều. Do đó, cần có giải pháp phân tích đặc trưng sâu hơn để vạch trần hành vi phá hoại tinh vi này.

Fed-LSAE áp dụng kỹ thuật trích xuất biểu diễn lớp áp chót (Penultimate Layer Representation - PLR). PLR nắm bắt cấu trúc hình học và đặc trưng bản chất của mô hình mạng nơ-ron. Hệ thống kết hợp thuật toán căn chỉnh nhân trung tâm (Centered Kernel Alignment - CKA). Thuật toán CKA đo lường mức độ tương đồng giữa các ma trận biểu diễn đặc trưng. Một bộ tự mã hóa không gian tiềm ẩn (Latent Space AutoEncoder) được triển khai tại máy chủ tổng hợp. Bộ tự mã hóa tái tạo lại đặc trưng và tính toán sai số tái tạo. Các bản cập nhật độc hại tạo ra sai số tái tạo vượt trội so với mẫu bình thường. Cơ chế này vạch trần chính xác các cập nhật mô hình bị đầu độc.

Quá trình thực nghiệm chứng minh Fed-LSAE đạt tỷ lệ phát hiện nút tấn công rất cao. Hệ thống dễ dàng phân biệt các cập nhật độc hại với cập nhật của máy khách trung thực. Các nút gửi trọng số nhiễm độc bị tước quyền đóng góp vào mô hình toàn cục ngay lập tức. Độ chính xác của mô hình phát hiện xâm nhập toàn cục được bảo toàn nguyên vẹn. Ngay cả khi tỷ lệ nút độc hại tăng cao, mô hình vẫn duy trì hiệu suất ổn định. Quá trình tính toán kiểm tra diễn ra nhanh chóng và không gây nghẽn máy chủ. Fed-LSAE cung cấp tấm khiên vững chắc bảo vệ hệ thống trước các chiến dịch phá hoại có chủ đích.

Kẻ tấn công có thể chèn các nhiễu nhỏ vào lưu lượng mạng độc hại. Lưu lượng sau khi biến đổi đánh lừa được bộ phân loại học máy nhưng vẫn giữ nguyên mục đích tấn công. Nghiên cứu triển khai hai kỹ thuật sinh mẫu đối kháng mạnh mẽ là Wasserstein GAN và AdvGAN. Các mô hình sinh này tạo ra các biến thể gói tin có phân phối gần như trùng khớp với luồng mạng hợp lệ. Hệ thống phát hiện xâm nhập dạng hộp đen (Black-box IDS) bị suy giảm tỷ lệ phát hiện nghiêm trọng. Nhiều luồng tấn công nguy hiểm lọt qua tầng kiểm soát mà không kích hoạt cảnh báo. Thử nghiệm này chỉ ra giới hạn nhận thức của các mô hình học máy thông thường khi chưa được gia cố.

Để vô hiệu hóa các cuộc tấn công né tránh, giải pháp huấn luyện đối kháng được triển khai. Các mẫu luồng mạng đối kháng sinh ra từ GAN được dán nhãn lại và đưa vào tập dữ liệu huấn luyện. Quá trình tái huấn luyện giúp mô hình IDS học được ranh giới quyết định chính xác hơn. Khả năng phát hiện các biến thể tấn công chưa từng thấy được nâng cao rõ rệt. Tỷ lệ bỏ sót cảnh báo giảm mạnh khi hệ thống đối đầu với các luồng dữ liệu trốn tránh tinh vi. Độ bền vững của hệ thống phát hiện xâm nhập SDN được củng cố toàn diện. Biện pháp này đảm bảo mạng SDN duy trì khả năng tự vệ chủ động trước các mối đe dọa thế hệ mới.

Bộ điều khiển SDN cấp quyền cho các ứng dụng thông qua giao diện Northbound API. Nhiều bộ điều khiển hiện nay thiếu cơ chế phân quyền hạt mịn giữa các ứng dụng khác nhau. Ứng dụng độc hại có thể lạm quyền để sửa đổi bảng luồng trên thiết bị chuyển mạch. Tình trạng xung đột chính sách định tuyến dễ dàng xảy ra và gây gián đoạn dịch vụ mạng. Hơn nữa, việc quản lý quyền tập trung tại bộ điều khiển tạo ra nguy cơ bị tấn công chiếm quyền điều khiển. Nếu bộ điều khiển bị xâm phạm, kẻ tấn công sẽ kiểm soát toàn bộ hạ tầng mạng. Do đó, việc xây dựng cơ chế xác thực phân tán độc lập với bộ điều khiển là vô cùng cấp thiết.

Mô hình B-DAC sử dụng mạng Blockchain để lưu trữ và thực thi các chính sách phân quyền. Mỗi ứng dụng mạng phải đăng ký danh tính số định danh duy nhất trên sổ cái. Các quyền truy cập và thao tác được định nghĩa chi tiết dưới dạng hợp đồng thông minh. Khi một ứng dụng gửi yêu cầu cấu hình, hợp đồng thông minh tự động kiểm tra tính hợp lệ. Mọi giao dịch ủy quyền được lưu trữ bất biến và minh bạch trên chuỗi khối. Bộ điều khiển chỉ thực thi các lệnh đã được Blockchain xác thực thành công. Cơ chế này loại bỏ hoàn toàn khả năng can thiệp trái phép từ các ứng dụng giả mạo hoặc ứng dụng bị xâm nhập.

Thực nghiệm trên môi trường mạng SDN thực tế chứng minh tính khả thi cao của B-DAC. Thời gian xác thực yêu cầu và xử lý hợp đồng thông minh duy trì ở mức rất thấp. Độ trễ bổ sung không gây ảnh hưởng tiêu cực đến hiệu năng định tuyến của bộ điều khiển. Hệ thống ngăn chặn thành công 100% các hành vi lạm quyền và xung đột chính sách luồng mạng. B-DAC thể hiện khả năng mở rộng tốt khi số lượng ứng dụng mạng tăng cao. Giải pháp hoàn thiện bức tranh an ninh mạng SDN từ tầng ứng dụng đến tầng chuyển tiếp dữ liệu. Đây là nền tảng vững chắc để xây dựng các trung tâm dữ liệu an toàn và tin cậy.