Chương 1: TONG QUAN ĐỀ TÀI Trình bày khái quát định hướng nghiên cứu của khóa luận mà chúng tôi muốn hướng tới. e Chương 2: CƠ SỞ LÝ THUYET Trình bày các định nghĩa, khái niệm cũng như những kiến thức nền tảng để có thể thực hiện được nghiên cứu. Đồng thời trình bày sơ lược một số công trình liên quan có cùng hướng nghiên cứu. e Chương 3: PHƯƠNG PHAP THỰC HIỆN Là phần trọng tâm của khoá luận, trình bày những nội dung chính về phương pháp thực hiện và mô hình được sử dụng.
¢ Chương 4: HIỆN THỰC, ĐÁNH GIA VÀ THẢO LUẬN Dé cập đến quá trình hiện thực hóa phương pháp dé cập ở Chương 3. Sau đó trình bày phương pháp thực nghiệm, đánh giá kết quả và thảo luận chung. e Chương 5: KET LUẬN VA HƯỚNG PHÁT TRIỂN Dua ra kết luận về dé tài, dé xuất một số hướng phát triển mở rộng cho các nghiên cứu trong tương lai. Chương 2 CƠ SỞ LÝ THUYÊT Tóm tắt chương Trong chương này, chúng tôi sẽ trình bày cơ sở lý thuyết cần thiết của khóa luận.
Bao gồm các khái niệm về dé thị nguồn gốc, kiến trúc và quy tắc hoạt động của một số công cụ phát hiện xâm nhập dựa trên đồ thị nguồn gốc ưu nhược điểm của chúng. Bên cạnh đó là các cách thường dùng để né tránh, chúng tôi trình bày tóm tắt về những công trình nghiên cứu liên quan đến né tránh công cụ phát hiện xâm nhập dựa trên dé thị nguồn gốc và những điểm khác của khóa luận này với những nghiên cứu trước day.1 Đồ thị nguồn gốc 2.1 Tổng quan Đồ thị nguồn gốc (Provenance Graph) [19] Hình 2.1: là một câu trúc dữ liệu được sử dụng để mô tả lịch sử thực thi của một hệ thống. Đây là một đồ thị tuần hoàn có hướng (DAGs), bao gồm các nút (nodes) và các cạnh (edges), trong đó mỗi nút biểu diễn một hoạt động hoặc sự kiện trong hệ thống, và các cạnh biểu diễn các quan hệ giữa các hoạt động. Đồ thị nguồn gốc ghi lại các thông tin quan trọng như người dùng thực hiện hoạt động gì, các tệp tin nào được truy cập, các quá trình nao được thực thi, và các thông tin về tương tác mạng.
Cụ thể như sau: Nut (Nodes): Chương 2. COSO LY THUYẾT e Tiến trình (Processes): Mỗi tiến trình được dai diện bởi một nut, chứa thông tin về ID tiến trình, người dùng thực hiện, thời gian bắt đầu và kết thúc, cùng các thuộc tính khác liên quan đến tiến trình đó. se Tệp tin (Files): Mỗi tệp tin được biểu diễn dưới dạng nút, chứa các thông tin như đường dẫn tệp, quyền truy cập, và các thao tác thực hiện trên tệp. ° Sự kiện mang (Network Events): Các tương tác mạng được biểu diễn dưới dạng nút, chứa các thông tin như địa chỉ IP, cổng, giao thức và các dữ liệu liên quan khác.
Cạnh (Edges): ® Quan hệ nhân quả (Causal Relationships): Các cạnh thể hiện quan hệ nhân quả giữa các nút, chẳng hạn như tiến trình A tạo ra tiến trình B, hoặc tiến trình C truy cập tệp D. Những quan hệ này giúp xác định trình tự và mối quan hệ giữa các hoạt động trong hệ thống. * Tương tác người dùng (User Interactions): Các cạnh biểu diễn các tương tác của người dùng với hệ thống, chẳng hạn như người dùng X khởi chạy tiền trình Y, hoặc người dùng Z thay đổi quyền truy cập của tệp W. © Thuộc tính cạnh (Edge Attributes): Các cạnh cũng có thể có các thuộc tính mô tả quan hệ giữa các nút, chẳng hạn như thời gian xảy ra sự kiện, loại sự kiện (tạo, đọc, viết, xóa), và các thuộc tính bảo mật khác.2 Đồ thị nguồn gốc đối với hệ thống phát hiện xâm nhập D6 thị nguồn gốc cung cấp một cái nhìn toàn diện vé lịch sử của hệ thống, giúp phát hiện và phân tích các hoạt động không bình thường, đồng thời hỗ trợ trong việc điều tra và phục hồi sau các cuộc tấn công.
Việc sử dụng dé thị nguồn gốc Chương 2. COSO LY THUYẾT mang lai loi ich la cung cap cái nhìn toàn diện về lich sử hoạt động trong hệ thống, giúp phát hiện và phản ứng nhanh chóng đối với các mối đe dọa và hành vi không mong muốn.Các thành phan chính của dé thị nguồn gốc hỗ trợ quá trình phát hiện xâm nhập bao gồm: Phân tích hành vi (Behavior Analysis): ¢ Phat hiện hành vi bat thường (Anomaly Detection): Bang cách phân tích các mẫu đồ thị nguồn gốc, hệ thống IDS có thể xác định các hành vi bat thường so với các hành vi bình thường đã được ghi lại. Các hành vi bắt thường này có thể là dau hiệu của một cuộc tan công hoặc xâm nhập. se Phân loại hành vi (Behavior Classification): Đồ thị nguồn gốc giúp phân loại các hành vi thành các nhóm khác nhau, chẳng hạn như hành vi của người dùng, hành vi của tiến trình hệ thống, và hành vi mạng.
Việc phân loại này giúp xác định chính xác nguồn gốc và bản chất của các sự kiện xâm nhập. Truy vét và điều tra (Tracing and Investigation): e Truy vết nguồn gốc sự kiện (Event Provenance Tracing): Đồ thị nguồn gốc cho phép truy vét lại nguồn gốc của các sự kiện xâm nhập, giúp xác định các bước đi của kẻ tan công trong hệ thống và các phương thức ma họ sử dụng để xâm nhập. © Điều tra sâu (In-Depth Investigation): Với thông tin chỉ tiết từ đồ thị nguồn gốc, các nhà điều tra có thể thực hiện các cuộc điều tra sâu về các sự kiện xâm nhập, bao gồm việc xác định các tiến trình, tệp tin, và sự kiện mạng liên quan đến cuộc tấn công. Phản ứng và phục hồi (Response and Recovery): © Phan ứng nhanh chóng (Rapid Response): Đồ thị nguồn gốc cung cấp thông tin chỉ tiết về các sự kiện xâm nhập, giúp các nhóm bảo mật có thể phản ứng nhanh chóng và hiệu quả đối với các mối đe dọa.
© Phục hỏi hệ thống (System Recovery): Bằng cách xác định chính xác các thay đổi và hành vi bat thường, các đội ngũ kỹ thuật có thể thực hiện các biện pháp phục hồi hệ thống, đảm bảo rằng các cuộc tan công không gây ra thiệt hại nghiêm trọng và hệ thống được khôi phục về trạng thái an toàn. COSO LY THUYẾT originatesFrom isReceivedBy RootUser ` "subclasor sends subClassOf asUse| ~ subClassOf —_ subClassOf subClassO† mmap Executable HINH 2.1: Đồ thị nguồn gốc Hỗ trợ cho hoc máy (Machine Learning Support): - Dữ liệu huấn luyện (Training Data): Đồ thị nguồn gốc cung cấp một nguồn dữ liệu phong phú cho các mô hình học máy, giúp cải thiện khả năng dự đoán và phát hiện các cuộc tấn công. - Phân tích nhân quả (Causal Analysis): Việc sử dụng đồ thị nguồn gốc giúp các mô hình học máy phân tích các mối quan hệ nhân quả giữa các sự kiện, tăng cường khả năng phát hiện và phân loại các cuộc tân công một cách chính xác.2 Hệ thống phát hiện xâm nhập dựa trên do thị nguồn gôc 2.1 Tổng quan Prov-HIDS (Provenance-based Host Intrusion Detection Systems) là những hệ thống phát hiện xâm nhập dựa trên đồ thị nguồn gốc, được thiết kế để giám sát và phát hiện các hành vi xâm nhập trên hệ thống máy tính bằng cách sử dụng dữ liệu về nguồn gốc và lịch sử của các hoạt động hệ thống. Các Prov-HIDS thường 9 Chương 2.
COSO LY THUYẾT áp dung các kỹ thuật máy học va phân tích đồ thị dé xác định các hành vi không bình thường và các cuộc tấn công mạng. Phương pháp tiếp cận này cho phép chúng nhận diện các mẫu hành vi bất thường dựa trên các quan hệ và mẫu hành vi trong dit liệu nguồn gốc. Các công cụ phát hiện xâm nhập dựa trên đồ thị nguồn gốc hoạt động bằng cách phân tích và theo đõi nguồn gốc của các sự kiện trong hệ thống. Điều này giúp chúng phát hiện các hoạt động không bình thường hoặc độc hại.
Tuy nhiên, chúng cũng đối mặt với một số thách thức nhất định như khả năng đánh lừa bởi các kỹ thuật tan công đối kháng phức tạp như tạo ra đường dẫn giả mạo, làm mờ thông tin, hoặc tấn công vào quá trình xây dựng đồ thị. Điều này có thể làm giảm hiệu quả của hệ thống và đặt ra thách thức lớn trong việc duy trì tinh tin cậy của chúng. Ưu điểm của Prov-HIDS bao gồm khả năng phát hiện các mô hình hành vi bat thường, sử dung kỹ thuật đỏ thị để biểu diễn va xử lý dữ liệu nguồn gốc, tích hợp các phương pháp máy học để nâng cao độ chính xác và hiệu suất, cũng như phan ứng nhanh với các mối de dọa mới và tiên đoán các hành vi xâm nhập tiém ẩn. Tuy nhiên, các hệ thống này đòi hỏi tài nguyên và độ phức tạp cao trong triển khai và duy trì, cũng như có thể gặp khó khăn trong việc duy trì hiệu suất trong môi trường thực tế với các biên động lớn trong mạng lưới và lưu lượng di liệu.
Một số công cụ phát hiện xâm nhập nguồn gốc mới được phát triển hiện nay bao gồm: Magic[5], Flash[11],Kairos[2], Prographer [17], Threatrace[8].2 Magic Tổng quát Tổng quan về kiến trúc của MAGIC hình 2.2 gồm 4 bước chính: Xây dựng đồ thị: Quá trình này bao gồm 3 bước: ® Bước 1: Phân tích nhật ky (Log Parsing), phân tích từng mục nhập nhật ký (log entry), trích xuất các thực thể hệ thống (system entities) và các tương tác (system interactions) giữa chúng. Sau đó, một dé thị nguồn gốc mẫu (prototype provenance graph ) được xây dựng với các thực thể hệ thống làm đỉnh và các tương tác làm cạnh. Tiếp theo, MAGIC rút trích thông tin phân loại về các đỉnh và cạnh. Đối với định dạng nhật ký đơn giản cung cấp 10 Chương 2.
COSO LY THUYẾT Graph Construction — ““ \Ỗ Reduction (<- ) == G *>*@ @<“ \Š LAI it Logs Raw Graphs Provenance Gra i ì Batched Log Level K) Detection COO Ị Ẹ ` : x Nodes with | TEST) @ ©@ | KH = Ị || io & 2 » 9©Ol ` || | | “. ore Edges with 1 ' em ổ/ Ô lieị ị ' Pooling : Latent Space Outlier Detection Oudlier Detection Latent Space || Embeddings | TT~TT~TT~TT~T~T~T~~T~~<~T~<~<~TTTT~~TTTTT~~<~—T~TT~T~~~ TT C|~~ TT TT TTT=T~~—~~~~<~~<~~~~<~~~~~—>~>~—>~—<~—<~—<~—>~—>~—>~—~~—~~—~~——Z/ 2 a HINH 2.2: Kiến trúc MAGIC nhãn thực thể và tương tác, MAGIC sử dụng trực tiếp những nhãn này. Đối với một số định dạng cung cấp các thuộc tính phức tạp cho các thực thể và tương tác đó, MAGIC áp dung kỹ thuật bam đa nhãn như xxhash để chuyển đổi các thuộc tính này thành các nhãn. Tại giai đoạn này, đỏ thị nguồn gốc có dang dé thị da dé thị có hướng.