3 Đảm bảo an ninh và tính sẵn sàng của dịch vụ đáp ứng QoS
2.27Tham số về số lượng luồng theo hướng downlink và uplink thực nghiệm
Số luồng Tham số thực thi
Test Downlink(f1, ...,fh) Uplink(fh+1, ...,fn) Downlink(p1, ...,ph) Uplink(ph+1, ...,pn)
#1 {f1} {f2} (2) (2) #2 {f1} {f2} (3) (4) #3 {f1} {f2,f3,f4} (4) (2, 5, 7) #4 {f1,f2} {f3,f4} (3, 8) (3, 8) #5 {f1,f2,f3} {f4} (3, 7, 4) (9) #6 {f1,f2,f3} {f4,f5,f6} (6, 8, 9) (8, 5, 4) #7 {f1,f2} {f3,f4,f5,f6} (10, 15) (8, 10, 12, 13) #8 {f1,f2,f3,f4} {f5,f6,f7,f8} (10, 15, 20, 25) (10, 15, 20, 25) #9 {f1,f2,f3} {f4,f5,f6,f7,f8} (15, 20, 30) (20, 10, 30, 25, 15) #10 {f1,f2,f3,f4,f5} {f6,f7,f8} (20, 25, 30, 35, 45) (40, 35, 50)
Bảng 2.28: So sánh kết quả thực thi giữa các qui tắc cập nhật vết mùi
MMAS-QMOF SMMAS-QMOF MLAS-QMOF 3-LAS-QMOF GLPK
Test Tốt nhất Trung bình Tồi nhất Tốt nhất Trung bình Tồi nhất Tốt nhất Trung bình Tồi nhất Tốt nhất Trung bình Tồi nhất Tối ưu #1 1.752 1.866 1.982 1.752 1.797 1.891 1.752 1.781 1.884 1.752 1.792 1.863 1.752 #2 1.965 2.515 3.065 1.965 2.325 2.458 1.965 2.398 2.578 1.965 2.015 2.393 1.965 #3 2.786 3.386 3.836 2.786 2.826 3.337 2.786 3.219 3.339 2.786 3.136 3.203 2.786 #4 2.980 3.235 3.905 2.980 3.427 3.976 2.980 3.281 3.560 2.980 3.305 3.861 2.980 #5 2.863 3.263 3.188 2.863 2.943 3.423 2.863 3.230 3.630 2.863 3.013 3.080 2.863 #6 4.792 5.342 5.492 4.792 4.912 5.179 4.792 5.092 5.112 4.792 5.042 5.198 4.792 #7 4.937 5.537 6.137 4.937 5.438 6.048 4.937 5.104 5.144 4.937 5.062 5.573 4.937 #8 10.573 11.123 11.498 10.573 11.093 11.337 10.573 11.006 11.466 10.573 10.623 10.645 10.573 #9 11.218 11.268 11.343 11.218 11.738 12.205 11.218 11.351 11.671 11.218 11.393 11.704 11.218 #10 10.983 11.183 11.418 10.983 11.263 11.596 10.983 11.183 11.503 10.983 11.191 11.552 10.983 85
2.4 Kết chương
Trong mục 2.1, luận án đề xuất mô hình thuật toán ACO cho bài toán tối ưu đa mục tiêu mở rộng dung lượng mạng với các thông tin heuristic hiệu quả cho phép từng bước thu hẹp phạm vi tìm kiếm kết hợp học tăng cường mà vẫn không bỏ qua các lời giải tốt. Bằng thực nghiệm, luận án đã lựa chọn được bộ tham số phù hợp và đánh giá được ảnh hưởng của số lượng kiến và số vòng lặp đến thời gian thực thi và hàm mục tiêu của thuật toán. Nếu sử dụng ít kiến sẽ không tìm được lời giải tốt ngay từ những vòng lặp đầu khiến các vết mùi được cập nhật dựa vào lời giải không tốt dẫn đến định hướng tìm kiếm không hiệu quả và phải lặp lại nhiều lần. Ngược lại, nếu dùng nhiều kiến để tăng khả năng tìm được lời giải tốt ở mỗi vòng lặp mà bỏ qua thông tin heuristic thì gây lãng phí và không hiệu quả về thời gian. Các kết quả nghiên cứu này được công bố trong [7*, 8*].
Mục2.2, luận án tập trung nghiên cứu và đề xuất mô hình thuật toán MMAS tối ưu cấp phát tài nguyên cho các lớp dịch vụ có xét đến yêu cầu về QoS có thể áp dụng mềm dẻo khi số lớp dịch vụ lớn. Khắc phục được hạn chế của các phương pháp tất định sử dụng tính chất giải tích của hàm mục tiêu và ràng buộc không hiệu quả khi số lượng lớp dịch vụ tăng. Luận án đã lựa chọn được bộ tham số phù hợp và đánh giá được sự ảnh hưởng của các tham số trong lớp dịch vụ đến hàm mục tiêu. Kết quả nghiên cứu trong mục này được công bố ở [3*, 4*].
Bài toán toán tối ưu tài nguyên cho các luồng đa phương tiện đảm bảo yêu cầu về QoS được nghiên cứu trong Mục2.3. Mục tiêu hướng đến là xây dựng cấu hình cấp phát tài nguyên mạng cho người dùng thỏa mãn các ràng buộc đã cam kết theo trọng số có thể dùng để biểu diễn tương đối mức độ đáp ứng dịch vụ cho một luồng dữ liệu với mục tiêu cực đại hàm chi phí thu được. Đây là một bài toán khó và phức tạp hiện chưa có thuật toán tất định đề giải quyết. Bởi vì việc đưa ra một hàm phản ánh mức độ QoS là một điều khó, do tính phức tạp và liên quan giữa các tham số. Mô hình thuật toán MMAS đề xuất cho phép tối ưu tài nguyên cho các luồng đa phương tiện đảm bảo yêu cầu về QoS của các ứng dụng đa phương tiện có thể áp dụng trên nhiều luồng dịch vụ đa phương tiện với số lượng ràng buộc lớn được công bố trong [1*, 2*].
Chương 3
Đảm bảo an ninh và tính sẵn sàng của dịch vụ đáp ứng QoS
Bảo mật là một tham số mới nhưng rất quan trọng của QoS để đảm bảo tính sẵn sàng của dịch vụ được cung cấp cho người dùng trước những hành động xâm nhập và tấn công mạng. Một trong những nguy cơ tác động đến việc đảm bảo an toàn thông tin trong nhiều năm qua chưa được giải quyết đó chính là tấn công từ chối dịch vụ (DoS) [27]. Các cuộc tấn công DoS hiện nay thường rất phức tạp và gây những ảnh hưởng nghiêm trọng về thông tin, làm gián đoạn dịch vụ quan trọng, tổn thất lớn về kinh tế,...đặc biệt là tấn công từ chối dịch vụ phân tán (DDoS) và phản xạ nhiều vùng (DRDoS) [14, 20, 63]. Mục tiêu của DoS là ngăn cản người dùng hợp pháp truy cập và sử dụng vào một dịch vụ nào đó. Về bản chất, kẻ tấn công sẽ chiếm dụng một lượng lớn tài nguyên mạng như băng thông, bộ nhớ...và làm mất khả năng xử lý các yêu cầu dịch vụ từ các khách hàng khác. Tấn công DoS nói chung không nguy hiểm như các kiểu tấn công khác, vì kẻ tấn công ít có khả năng thâm nhập hay chiếm được thông tin dữ liệu của hệ thống. Tuy nhiên, nếu máy chủ tồn tại mà không thể cung cấp thông tin, dịch vụ cho người dùng thì sự tồn tại này là không có ý nghĩa, đặc biệt là các hệ thống phục vụ các giao dịch điện tử thì thiệt hại sẽ vô cùng lớn. Tất cả các hệ thống máy chủ dịch vụ đều có một giới hạn nên chỉ đáp ứng một lượng yêu cầu nhất định. Khi đó hầu hết các máy chủ dịch vụ đều có thể trở thành mục tiêu tấn công.
Tại Việt Nam, theo thống kê của Bkav, VNCERT cho thấy số lượng cuộc tấn công DoS tập trung vào các website thương mại điện tử, website công nghệ, báo điện tử có nhiều người truy cập như Vietnamnet, Tuoitre, Dantri, Kênh14. . . dẫn đến tắc nghẽn đường truyền, việc truy cập của người dùng hợp pháp bị gián đoạn hàng năm là rất lớn. Các mạng botnet vẫn hoạt động rất mạnh mẽ ở Việt Nam và ngày càng nguy hiểm và khó kiểm soát hơn. Như vậy, DoS đã trở thành một trong các tội phạm nghiêm trọng bậc nhất được xem là nguy cơ số một về an ninh mạng của các website vì khả năng chống đỡ lại nó rất ít đặc biệt là đối với hạ tầng mạng NGN với sự đa dạng của các dịch vụ như hiện nay. Trong chương này, luận án sẽ phân tích những nguy cơ, thách thức khi đảm bảo an ninh dịch vụ trong mạng NGN. Từ đó đề xuất giải pháp phòng chống tấn công DoS dựa trên chính sách an ninh riêng được thiết lập trên các Router cho phép phát hiện và kiểm soát hiệu quả các gói tin tấn công nhưng không loại bỏ các gói tin hợp lệ của người dùng.
3.1 Mô hình đảm bảo ninh dịch vụ trong mạng NGN
3.1.1 Khuyến nghị ITU-T X.805
Khuyến nghị X.805 [90] được ITU-T đưa ra nhằm cung cấp giải pháp an ninh đầu cuối áp dụng cho từng thiết bị. Các thiết bị được đảm bảo an ninh qua các phân lớp trừu tượng dưới dạng lớp hạ tầng, lớp dịch vụ. Điều này tạo ra sự phân cấp trong việc bảo vệ các thiết bị hay thực thể chức năng theo vòng. Việc phân lớp an ninh trong từng thiết bị hay thực thể chức năng tạo điều kiện thuận lợi cho việc xác định cách thức bảo vệ các phần tử mạng lớp cao dựa trên sự bảo vệ ở lớp dưới. X.805 định nghĩa 3 lớp an ninh là lớp an ninh cơ sở hạ tầng, lớp an ninh các dịch vụ và lớp an ninh các ứng dụng. Các lớp an ninh này được xây dựng hỗ trợ nhau tạo thành giải pháp an ninh tổng thể cho mạng NGN. Cách thức xử lý theo mô hình phân lớp sẽ thực hiện theo 3 bước. Ban đầu các lỗ hổng an ninh được xử lý tại lớp an ninh cơ sở hạ tầng, sau đó xử lý tại lớp dịch vụ, cuối cùng các lỗ hổng an ninh được xử lý tại mức ứng dụng.
Mô hình bảo mật áp dụng các biện pháp an ninh với 3 lớp an ninh và 8 biện pháp phòng chống [90] được thể hiện trong Hình 3.1.
Hình 3.1: Kiến trúc bảo mật và biện pháp an ninh của ITU-T X.805
Ba lớp an ninh gồm có:
Lớp an ninh cơ sở hạ tầng (Infrastructure Security Layer) gồm các thành phần cơ bản xây dựng nên mạng (như router, switch, server), các kết nối truyền thông giữa các thiết bị, các dịch vụ mạng và ứng dụng trên đó được bảo vệ bằng các biện pháp an ninh.
Lớp an ninh dịch vụ (Services Security Layer) đảm bảo cho các dịch vụ mà các nhà cung cấp đưa tới khách hàng gồm dịch vụ truyền tải cơ bản và dịch vụ hỗ trợ như dịch vụ hỗ trợ người dùng truy cập Internet (DHCP, DNS,...), dịch vụ hỗ trợ giá trị gia tăng (GPS, chat,. . . ). Lớp này dùng để bảo vệ nhà cung cấp dịch vụ và khách hàng trước các nguy cơ tấn công.
Lớp an ninh ứng dụng (Application Security Layer) tập trung vào đảm bảo an ninh cho các ứng dụng chạy trên mạng được truy nhập bởi khách hàng
được thực thi nhờ sự hỗ trợ của các dịch vụ mạng như: ứng dụng truyền file (ftp), duyệt Web (http/https). Một số ứng dụng cơ bản như tra số điện thoại, ứng dụng thư điện tử và thư thoại, thương mại điện tử,. . . được cung cấp bởi nhà cung cấp dịch vụ ASP.
Khuyến nghị X.805 phân các hoạt động ra thành 3 kiểu hoạt động cần được bảo vệ ứng với 3 mặt phẳng an ninh.
Mặt phẳng an ninh quản lý (Management Plane) bảo vệ các chức năng OAM&P của các phần tử mạng, các phương tiện truyền dẫn, các hệ thống hỗ trợ (các hệ thống hỗ trợ vận hành, hệ thống hỗ trợ kinh doanh, hệ thống hỗ trợ khách hàng,. . . ) và các trung tâm dữ liệu. Mặt phẳng an ninh quản lý hỗ trợ các chức năng liên quan đến lỗi hệ thống, dung lượng hệ thống, quản trị hệ thống, độ khả dụng và an ninh hệ thống.
Mặt phẳng an ninh điều khiển (Control Plane) bảo vệ các hoạt động nhằm cho phép phân bố thông tin, các dịch vụ và ứng dụng một cách hiệu quả trên mạng. Hoạt động trong mặt phẳng này thường bao gồm các dòng thông tin giữa các thiết bị trong mạng để xác định đường đi tốt nhất trong mạng. Kiểu thông tin này thường được gọi là thông tin điều khiển hay báo hiệu. Thành phần mạng dùng để vận chuyển những kiểu gói tin này có thể dùng chung hay tách rời khỏi lưu lượng người sử dụng của nhà cung cấp dịch vụ.
Mặt phẳng an ninh người sử dụng (End User Plane) quản lý an ninh truy nhập và sử dụng mạng của nhà cung cấp dịch vụ từ phía khách hàng. Mặt phẳng này liên quan đến dòng lưu lượng của người sử dụng.
Những mặt phẳng an ninh này đề cập đến các nhu cầu về an ninh kết hợp với các hoạt động quản lý mạng, hoạt động báo hiệu và điều khiển mạng và hoạt động liên quan đến người sử dụng tương ứng. Các mạng nên được thiết kế theo cách để làm sao các sự kiện xảy ra đối với mặt phẳng an ninh này được cách ly hoàn toàn với các mặt phẳng an ninh khác. Tuy nhiên mô hình trên vẫn tồn tại những nguy cơ sau:
Phá huỷ thông tin và tài nguyên (Destruction of Information & Resource)
Sửa đổi thông tin (Information Corruption and Modification) (adsbygoogle = window.adsbygoogle || []).push({});
Đánh cắp thông tin hay các tài nguyên khác (Theft of Information)
Làm lộ thông tin (Disclosure of Information)
Làm gián đoạn các dịch vụ (Interruption of Service)
Đứng trước các nguy cơ an ninh trên, mô hình đã bổ sung thêm các biện pháp (Dimension) được thực hiện bởi các cơ chế khác nhau gồm:
Điều khiển truy nhập (Access Control) nhằm hạn chế và điều khiển việc truy nhập vào các phần tử mạng, dịch vụ và ứng dụng thông qua mật khẩu, danh sách điều khiển truy nhập, Firewall.
Xác thực người dùng (Authentication) nhận dạng và kiểm tra tính đúng đắn của người dùng dựa trên khoá chia sẻ, hạ tầng khoá công khai, chữ ký số, chứng chỉ số.
Chống chối bỏ trách nhiệm (Non-reputation) nhằm ngăn chặn khả năng người dùng từ chối hành động đã thực hiện dựa trên file log ghi lại sự kiện hệ thống và chữ ký số.
Sự tin cậy của dữ liệu (Data Confidentiality) đảm bảo tính bí mật cho dữ liệu của người sử dụng tránh không được biết bởi người không mong muốn bằng mã hóa.
An toàn truyền thông (Communication Security) đảm bảo dòng thông tin chỉ đi từ nguồn đến đích mong muốn, các điểm trung gian không muốn được biết thông tin không thể truy nhập vào dòng thông tin sử dụng mạng riêng ảo thông qua MPLS.
Đảm bảo toàn vẹn dữ liệu (Data Integrity) đảm bảo rằng dữ liệu nhận được và được phục hồi là giống với dữ liệu đã gửi đi sử dụng hàm băm, chữ ký số, phần mềm chống Virus.
Đảm bảo tính khả dụng (Availability) đảm bảo cho người dùng hợp lệ luôn có thể sử dụng các phần tử mạng, các dịch vụ và ứng dụng sử dụng hệ thống phát hiện, ngăn ngừa truy nhập trái phép, sử dụng cơ chế dự phòng.
Đảm bảo tính riêng tư (Privacy) đảm bảo tính riêng tư cho nhận dạng người dùng riêng biệt.
3.1.2 Phân tích ưu nhược điểm
Khuyến nghị X.805 là một Framework rất rõ ràng và bài bản với đầy đủ định nghĩa vễ các nguy cơ và giải pháp tổng quát tương ứng rất thuận lợi cho việc xây dựng các giải pháp an ninh đầu cuối cho một đối tượng. Nhưng X.805 chưa chỉ rõ loại nguy cơ xuất phát từ bên trong hay từ các tương tác bên ngoài, chỉ áp dụng đảm bảo an ninh theo kiến trúc đầu cuối nên có thể bỏ sót các đối tượng an ninh trong nội bộ đối tượng. Như vậy X.805 chỉ có hiệu quả khi đối tượng đầu vào được phân tích kỹ càng thành các đối tượng nhỏ hơn đảm bảo không bỏ sót các giao diện tiềm ẩn nguy cơ.
Việc áp dụng X.805 có thể thực hiện cho từng phần tử mạng một cách riêng biệt tuy nhiên điều này làm nảy sinh 2 vấn đề. Một là mức độ bảo vệ sẽ không cao thể hiện ở việc các phần tử chức năng ngoài việc thực hiện chức năng an ninh còn phải thực hiện thêm các chức năng chính khác của nó trong mạng nên việc đảm bảo chức năng an ninh của các phần tử sẽ không cao. Hai là có sự lặp trong việc phải xử lý cùng chức năng an ninh đối với các phần tử. Giải pháp giải quyết vấn đề này là phân miền an ninh, nhờ việc gom các phần tử lại thành một miền. Miền an ninh là một khái niệm không được nêu ra trong khuyến nghị X.805, mà chỉ được đề cập gần đây trong các kiến trúc an ninh của 3GPP hay TISPAN [38, 49].
3.2 Tấn công từ chối dịch vụ
Tấn công từ chối dịch vụ (DoS) [27] hướng đến việc từ chối sự sẵn sàng của dịch vụ đến người dùng hợp pháp bằng cách chiếm những tài nguyên quan trọng làm cho ứng dụng không sẵn sàng với người dùng. Tấn công DoS thường xảy ra ở mức cơ sở hạ tầng bởi các tấn công đến những nguồn tài nguyên trực tiếp hoặc xảy ra ở tại mức ứng dụng bởi các cuộc tấn công qua giao diện ứng dụng. Đầu tiên kẻ tấn công gây tổn hại, chiếm quyền điều khiển một số máy chủ qua Internet, sau đó điều khiển tấn công ứng dụng bằng cách gửi lưu lượng tấn công đến các ứng dụng theo mức cơ sở hạ tầng hoặc mức ứng dụng. Trong trường hợp của các cuộc tấn công DDoS thì máy chủ gửi gói tin điều khiển tới các máy bị nhiễm trước đó, hướng dẫn chúng tấn công một mục tiêu cụ thể (máy nạn nhân). Những máy nhiễm tạo ra và sử dụng địa chỉ nguồn giả mạo hoặc ngẫu nhiên gửi lượng lớn thông báo tới máy nạn nhân, để nạn nhân không thể xác định được kẻ tấn công.
Các bước cơ bản để chuẩn bị và tiến hành một cuộc tấn công DoS gồm 4 bước sau:
1. Lựa chọn máy trung gian: Kẻ tấn công chọn các máy tính trung gian để