Luận án tiến sĩ: Giải pháp SDN phát hiện và giảm thiểu tấn công DDoS

Tấn công DDoS làm tê liệt dịch vụ bằng cách làm quá tải hệ thống. Các cuộc tấn công này có nguồn gốc từ nhiều máy tính bị chiếm quyền điều khiển. Tấn công DDoS gây ra tổn thất lớn cho doanh nghiệp và người dùng. Ba loại tấn công chính bao gồm tấn công dựa trên khối lượng (ví dụ: UDP Flood), tấn công dựa trên giao thức (ví dụ: SYN Flood) và tấn công lớp ứng dụng (ví dụ: HTTP Flood). Mỗi loại tấn công nhắm vào các điểm yếu khác nhau của hệ thống. Phòng chống DDoS đòi hỏi hiểu biết sâu sắc về các loại hình tấn công.

SDN là một kiến trúc mạng mới. Nó tách rời chức năng điều khiển khỏi các thiết bị mạng vật lý. Một bộ điều khiển trung tâm quản lý toàn bộ mạng. Điều này mang lại khả năng cấu hình linh hoạt và lập trình mạng động. Giao thức OpenFlow cho phép bộ điều khiển tương tác với các bộ chuyển mạch. SDN cung cấp khả năng hiển thị lưu lượng toàn diện và kiểm soát hạt mịn. Đây là lợi thế lớn trong việc xây dựng các giải pháp an ninh mạng tiên tiến.

Phòng chống DDoS trong SDN đòi hỏi nhiều yếu tố. Cần có khả năng phát hiện tấn công theo thời gian thực. Hệ thống phải có khả năng phản ứng động và giảm thiểu tấn công hiệu quả. SDN cung cấp các công cụ cần thiết cho việc này. Tuy nhiên, thách thức vẫn tồn tại. Cần tối ưu hóa hiệu suất của bộ điều khiển và các bộ chuyển mạch. Các giải pháp phải đảm bảo tính toàn vẹn và khả năng mở rộng của mạng.

Kiến trúc hệ thống bao gồm bộ điều khiển SDN và các bộ chuyển mạch OpenFlow. Bộ điều khiển thu thập thông tin thống kê từ các bộ chuyển mạch. Một module phân tích được tích hợp. Module này xây dựng mô hình dự đoán hành vi lưu lượng bình thường. Mô hình này hoạt động liên tục. Nó so sánh lưu lượng hiện tại với dự đoán. Mọi sai lệch đáng kể sẽ được báo cáo là một cuộc tấn công tiềm tàng.

Các tham số thống kê bao gồm số lượng gói tin trên giây, số byte trên giây, số lượng kết nối mới. Các tham số này phản ánh đặc điểm của lưu lượng mạng. Mô hình dự đoán làm trơn hàm mũ được chọn. Mô hình này phù hợp để dự báo các chuỗi thời gian không cố định. Việc điều chỉnh các tham số của mô hình là cần thiết để tối ưu hóa hiệu suất phát hiện. Thử nghiệm được thực hiện để xác định các tham số tốt nhất.

Cơ chế phát hiện hoạt động bằng cách so sánh ngưỡng. Ngưỡng này được xác định từ mô hình dự đoán. Khi giá trị thống kê vượt quá ngưỡng, cảnh báo được kích hoạt. Hiệu năng của giải pháp được đánh giá bằng các chỉ số như độ chính xác, tỷ lệ phát hiện đúng, và tỷ lệ báo động giả. Các thử nghiệm với các kịch bản tấn công khác nhau cho thấy giải pháp có hiệu quả cao trong việc nhận diện DDoS.

Kiến trúc này đặt bộ điều khiển SDN làm trung tâm phòng thủ. Bộ điều khiển giám sát lưu lượng đi qua mạng. Nó phát hiện các luồng gói tin SYN bất thường. Sau đó, bộ điều khiển sẽ chuyển hướng các gói tin này để xử lý. Máy chủ đích được bảo vệ khỏi việc phải trực tiếp xử lý các yêu cầu SYN giả mạo. Điều này giảm thiểu nguy cơ cạn kiệt tài nguyên của máy chủ.

Hệ thống SSP hoạt động như một proxy bảo vệ. Khi nhận được gói tin SYN, SSP kiểm tra tính hợp lệ. Nếu nghi ngờ, SSP tự thực hiện bắt tay hai chiều với client. Chỉ khi bắt tay thành công, SSP mới tạo một gói tin SYN mới và gửi tới máy chủ đích. Sau đó, SSP duy trì kết nối này và chuyển tiếp dữ liệu. Cơ chế này đảm bảo chỉ các kết nối hợp lệ mới đến được máy chủ.

Giải pháp SSP cho thấy hiệu quả cao trong việc chống lại SYN Flood. Nó giảm tải đáng kể cho máy chủ đích. Tỷ lệ kết nối hợp lệ được chấp nhận vẫn cao. Đồng thời, tỷ lệ các kết nối giả mạo bị loại bỏ cũng cao. Phân tích cho thấy giải pháp cải thiện khả năng phục hồi và tính sẵn sàng của dịch vụ. Nó cung cấp một lá chắn mạnh mẽ chống lại loại tấn công này.

Kỹ thuật đánh dấu gói tin là một phương pháp để truy vết nguồn tấn công. Thông tin định danh được thêm vào các gói tin khi chúng đi qua mạng. Điều này tạo ra một 'dấu vết' cho mỗi gói tin. Khi tấn công xảy ra, dấu vết này được sử dụng để xác định các điểm trung gian. Cuối cùng, nó chỉ ra nguồn gốc ban đầu của gói tin độc hại. Các kỹ thuật truyền thống thường gặp khó khăn với tính phân tán và độ phức tạp của mạng.

PLA DFM (Path-Level Authentication Distributed Flow Marking) là một giải pháp mới. Nó tận dụng khả năng lập trình của SDN. Bộ điều khiển SDN quản lý việc đánh dấu trên tất cả các bộ chuyển mạch OpenFlow. Các bộ chuyển mạch chèn thông tin đánh dấu vào gói tin dựa trên các luật được cung cấp bởi bộ điều khiển. Thông tin này bao gồm ID của bộ chuyển mạch và các thông tin định tuyến. Điều này giúp xây dựng một bản đồ đường đi chính xác của gói tin.

PLA DFM được so sánh với các phương pháp đánh dấu gói tin hiện có. Giải pháp này thể hiện ưu điểm về khả năng mở rộng và độ chính xác. Nó giảm thiểu chi phí xử lý trên các bộ chuyển mạch. Đồng thời, nó cung cấp thông tin truy vết chi tiết hơn. Khả năng truy vết nhanh chóng và chính xác là rất quan trọng. Nó giúp cô lập các nguồn tấn công và giảm thiểu thiệt hại. Điều này làm cho PLA DFM trở thành một công cụ mạnh mẽ trong phòng chống DDoS.

SDN/OpenFlow cơ bản có những hạn chế nhất định. Bộ điều khiển có thể bị quá tải với lượng lớn thông tin trạng thái. Việc ra quyết định trong thời gian thực trở nên khó khăn. Các bộ chuyển mạch OpenFlow thường chỉ thực hiện chuyển tiếp gói tin đơn giản. Chúng thiếu khả năng phân tích gói tin sâu. Điều này hạn chế khả năng phát hiện và giảm thiểu các tấn công DDoS tinh vi. Cần có thêm các thành phần chuyên biệt để tăng cường bảo mật.

Kiến trúc mở rộng giới thiệu một thành phần mới: Bộ phân tích và xử lý lưu lượng (SD). Bộ SD này được kết nối với bộ điều khiển SDN và các bộ chuyển mạch. Nó có khả năng thực hiện phân tích chuyên sâu về lưu lượng. Khi bộ điều khiển phát hiện lưu lượng bất thường, nó sẽ chuyển hướng lưu lượng đó đến bộ SD. Bộ SD sau đó đảm nhiệm việc phân loại và xử lý tấn công. Điều này giải phóng bộ điều khiển khỏi các tác vụ tính toán nặng nề.

Bộ SD sử dụng các thuật toán tiên tiến. Các thuật toán này bao gồm học máy và phân tích hành vi. Nó phân loại chính xác các loại tấn công DDoS. Sau khi phân loại, bộ SD áp dụng các chính sách giảm thiểu tương ứng. Các chính sách này có thể bao gồm lọc lưu lượng, điều chỉnh băng thông hoặc thay đổi định tuyến. Bộ SD gửi các chỉ thị trở lại bộ điều khiển SDN. Bộ điều khiển sau đó cập nhật các luật trên các bộ chuyển mạch OpenFlow. Điều này đảm bảo phản ứng nhanh chóng và hiệu quả với từng loại tấn công.