Nghiên Cứu Cải Thiện Hiệu Năng Phát Hiện Tấn Công Từ Chối Dịch Vụ Bằng Máy Học Trong IoT

Luận văn thạc sĩ nghiên cứu cải thiện hiệu năng phát hiện tấn công từ chối dịch vụ bằng máy học trong IoT, nâng cao an toàn thông tin.

• Tác giả: Nguyễn Gia Trung
• Người hướng dẫn: TS. Nguyễn Tấn Cầm
• Trường học: Đại Học Quốc Gia TP HCM
• Chuyên ngành: An Toàn Thông Tin
• Đề tài: Cải Thiện Hiệu Năng Phát Hiện Tấn Công DDoS Bằng Máy Học Trong IoT
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2023
• Địa điểm: TP. Hồ Chí Minh

Mục lục chi tiết

• LỜI CÁM ƠN
• LỜI CAM ĐOAN
• 1. CHƯƠNG 1: TỔNG QUAN
• 1.1. Lý do chọn đề tài
• 1.2. Mục tiêu và phạm vi của luận văn
• 1.2.1. Mục tiêu tổng quát
• 1.2.2. Mục tiêu cụ thể
• 1.2.3. Phạm vi nghiên cứu
• 1.2.4. Nội dung và phương pháp nghiên cứu
• 1.3. Bố cục của luận văn
• 2. CHƯƠNG 2: CƠ SỞ LÝ THUYẾT VÀ CÁC NGHIÊN CỨU LIÊN QUAN
• 2.1. Tổng quan hệ thống IoT
• 2.2. Tổng quan về tấn công DDoS
• 2.3. Các nghiên cứu liên quan
• 2.4. Các thuật toán học máy
• 2.4.1. Extremely Randomized Trees
• 2.4.2. Support Vector Machine
• 2.5. Kỹ thuật phân tích thành phần chính
• 2.6. Đại lượng đánh giá các mô hình học máy
• 2.7. Biên độ biến thiên giá trị
• 2.8. Kết chương
• 3. CHƯƠNG 3: MÔ HÌNH ĐỀ XUẤT
• 3.1. Thu thập dữ liệu thô
• 3.2. Làm sạch dữ liệu
• 3.3. Tiền xử lý dữ liệu
• 3.4. Giảm chiều dữ liệu
• 3.5. Huấn luyện mô hình đề xuất để phát hiện tấn công DDoS
• 3.6. Kết chương
• 4. CHƯƠNG 4: THỰC NGHIỆM VÀ ĐÁNH GIÁ
• 4.1. Môi trường thực nghiệm
• 4.2. Tập dữ liệu
• 4.3. Quy trình thực nghiệm
• 4.4. Kết quả thực nghiệm với các thuật toán học máy không sử dụng PCA
• 4.5. Kết quả thực nghiệm mô hình đề xuất
• 4.5.1. Thuật toán DT
• 4.5.2. Thuật toán RF
• 4.5.3. Thuật toán ET
• 4.5.4. Thuật toán NB
• 4.5.5. Thuật toán SVM
• 4.6. So sánh kết quả mô hình đề xuất
• 4.6.1. Độ biến thiên hiệu suất mô hình
• 4.6.2. Độ biến thiên thời gian huấn luyện mô hình
• 5. CHƯƠNG 5: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• 5.1. Hạn chế của nghiên cứu
• 5.2. Khuyến nghị và định hướng tương lai
• DANH MỤC CÔNG BỐ KHOA HỌC CỦA TÁC GIẢ
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Tấn Công DDoS IoT Thách Thức và Giải Pháp

Hệ thống Internet of Things (IoT) mang lại nhiều lợi ích, nhưng cũng tiềm ẩn nhiều nguy cơ, đặc biệt là tấn công DDoS IoT. Các thiết bị IoT thường có tài nguyên hạn chế và lỗ hổng bảo mật, khiến chúng trở thành mục tiêu dễ dàng cho tin tặc. Việc phát hiện tấn công DDoS kịp thời là vô cùng quan trọng để bảo vệ an ninh mạng IoT. Luận văn này tập trung vào việc cải thiện hiệu năng phát hiện tấn công DDoS bằng cách sử dụng máy học phát hiện DDoS. Nghiên cứu này đề xuất một mô hình kết hợp kỹ thuật phân tích và các thuật toán máy học để đạt được độ chính xác cao và giảm thiểu thời gian huấn luyện. Theo nghiên cứu của Nguyên Gia Trung năm 2023, cần phải chú trọng vào tính sẵn sàng của hệ thống và bảo mật thông tin người dùng.

1.1. An Ninh Mạng IoT Vấn Đề Bức Thiết Trong Kỷ Nguyên Số

Trong kỷ nguyên số, an ninh mạng IoT trở thành mối quan tâm hàng đầu. Các thiết bị IoT tham gia vào nhiều khía cạnh của cuộc sống, từ nhà thông minh đến công nghiệp, và sự gián đoạn do tấn công DDoS có thể gây ra hậu quả nghiêm trọng. Việc đảm bảo IoT security đòi hỏi các giải pháp phòng chống tấn công DDoS IoT hiệu quả và linh hoạt. Các phương pháp truyền thống thường không đủ khả năng đối phó với sự phức tạp và quy mô của các cuộc tấn công hiện đại. Các nghiên cứu gần đây cho thấy sự cần thiết của việc ứng dụng các giải pháp mới như machine learning vào phát hiện và phòng chống tấn công.

1.2. Tầm Quan Trọng Của Phát Hiện DDoS Thời Gian Thực Trong IoT

Phát hiện DDoS thời gian thực (Real-time DDoS detection) là yếu tố then chốt để giảm thiểu thiệt hại do tấn công DDoS IoT gây ra. Khả năng phát hiện sớm cho phép các hệ thống phòng chống tấn công DDoS IoT phản ứng nhanh chóng và ngăn chặn sự lan rộng của cuộc tấn công. Các phương pháp dựa trên Traffic analysis DDoS và phân tích lưu lượng mạng DDoS đóng vai trò quan trọng trong việc phát hiện bất thường IoT và xác định các dấu hiệu của IoT botnet.

II. Thách Thức Phát Hiện Tấn Công DDoS Bằng Máy Học IoT

Mặc dù máy học phát hiện DDoS hứa hẹn nhiều tiềm năng, nhưng việc triển khai nó trong môi trường IoT đối mặt với nhiều thách thức. Các thiết bị IoT thường có tài nguyên tính toán hạn chế, khiến việc chạy các mô hình máy học DDoS phức tạp trở nên khó khăn. Ngoài ra, dữ liệu IoT thường không đồng nhất và chứa nhiều nhiễu, ảnh hưởng đến hiệu năng phát hiện của các thuật toán máy học DDoS. Vì vậy, cần phải xây dựng các mô hình máy học DDoS hiệu quả và tiết kiệm tài nguyên.

2.1. Hạn Chế Về Tài Nguyên Trên Các Thiết Bị IoT Biên

Việc triển khai các thuật toán máy học trên các thiết bị IoT biên đòi hỏi sự cân nhắc kỹ lưỡng về hiệu năng phát hiện và tiêu thụ tài nguyên. Các thiết bị này thường có bộ nhớ, CPU và băng thông hạn chế. Các thuật toán cần được tối ưu hóa để đảm bảo rằng chúng có thể chạy hiệu quả mà không làm giảm hiệu suất của thiết bị. Các nghiên cứu gần đây đang tập trung vào các kỹ thuật như edge computing DDoS và điện toán biên DDoS để giải quyết vấn đề này.

2.2. Chất Lượng Dữ Liệu Và Đặc Trưng Trong Môi Trường IoT

Dữ liệu từ các thiết bị IoT thường không đồng nhất và có thể chứa nhiều nhiễu, do sự đa dạng của các thiết bị và môi trường hoạt động. Việc feature engineering DDoS và kỹ thuật trích xuất đặc trưng DDoS đóng vai trò quan trọng trong việc cải thiện hiệu năng phát hiện DDoS. Cần phải lựa chọn và tiền xử lý dữ liệu một cách cẩn thận để đảm bảo rằng các mô hình máy học phát hiện DDoS được huấn luyện trên dữ liệu chất lượng cao, giảm thiểu các kết quả sai lệch.

2.3. Khả Năng Mở Rộng Của Giải Pháp Trong Mạng Lưới IoT Lớn

Khi số lượng thiết bị trong mạng IoT tăng lên, khả năng mở rộng của giải pháp phát hiện tấn công DDoS trở thành một vấn đề quan trọng. Các phương pháp tập trung có thể trở nên quá tải khi xử lý lưu lượng dữ liệu lớn từ hàng ngàn hoặc hàng triệu thiết bị. Các kiến trúc phân tán như Fog computing DDoS, điện toán sương mù DDoS và Federated learning DDoS có thể giúp giải quyết vấn đề này bằng cách phân tán việc xử lý dữ liệu và huấn luyện mô hình trên nhiều thiết bị.

III. Giải Pháp Kết Hợp PCA và Máy Học Cải Thiện Phát Hiện DDoS

Để giải quyết các thách thức trên, luận văn này đề xuất một mô hình kết hợp kỹ thuật phân tích thành phần chính (PCA) và các thuật toán máy học như Decision Tree, Random Forest, Extremely Randomized Trees, Naive Bayes và Support Vector Machine. PCA được sử dụng để giảm chiều dữ liệu, giảm tải tính toán và loại bỏ nhiễu, từ đó cải thiện hiệu năng phát hiện DDoS. Các thuật toán máy học được sử dụng để xây dựng mô hình máy học phát hiện DDoS có khả năng phát hiện bất thường IoT và dự đoán các cuộc tấn công DDoS một cách chính xác.

3.1. Ưu Điểm Của Kỹ Thuật Phân Tích Thành Phần Chính PCA

PCA là một kỹ thuật giảm chiều dữ liệu mạnh mẽ, giúp giảm số lượng đặc trưng trong dữ liệu mà vẫn giữ lại thông tin quan trọng. Trong bối cảnh phát hiện tấn công DDoS, PCA có thể giúp giảm tải tính toán cho các mô hình máy học DDoS và loại bỏ các đặc trưng không liên quan hoặc gây nhiễu. Điều này có thể cải thiện hiệu năng phát hiện và giảm thời gian huấn luyện.

3.2. Lựa Chọn Thuật Toán Máy Học Phù Hợp Với IoT DDoS

Việc lựa chọn thuật toán máy học DDoS phù hợp là rất quan trọng để đảm bảo hiệu năng phát hiện cao và tiêu thụ tài nguyên thấp. Các thuật toán như Decision Tree và Naive Bayes có thể phù hợp với các thiết bị IoT có tài nguyên hạn chế, trong khi Random Forest và Support Vector Machine có thể cung cấp hiệu năng phát hiện tốt hơn nhưng đòi hỏi nhiều tài nguyên hơn. Việc đánh giá và so sánh các thuật toán máy học khác nhau là cần thiết để tìm ra lựa chọn tốt nhất cho từng ứng dụng cụ thể.

IV. Đánh Giá Hiệu Năng Thực Nghiệm Với Dữ Liệu Tấn Công DDoS

Để đánh giá hiệu năng phát hiện của mô hình đề xuất, luận văn này sử dụng hai tập dữ liệu tấn công mạng phổ biến: CICIDS 2017 và CSE-CIC-IDS 2018. Các kết quả thực nghiệm cho thấy rằng mô hình kết hợp PCA và các thuật toán máy học có thể đạt được độ chính xác cao và cải thiện thời gian huấn luyện so với các phương pháp truyền thống. Điều này chứng minh tính khả thi của việc triển khai máy học phát hiện DDoS trong môi trường IoT.

4.1. So Sánh Hiệu Năng Giữa Các Thuật Toán Với PCA và Không PCA

Các kết quả thực nghiệm cho thấy rằng việc sử dụng PCA có thể cải thiện đáng kể thời gian huấn luyện của các thuật toán máy học mà không làm giảm đáng kể hiệu năng phát hiện. Trong một số trường hợp, PCA thậm chí có thể cải thiện hiệu năng phát hiện bằng cách loại bỏ nhiễu và các đặc trưng không liên quan. Cần xem xét độ biến thiên hiệu năng mô hình.

4.2. Đánh Giá Độ Biến Thiên Thời Gian Huấn Luyện Mô Hình DDoS

Thời gian huấn luyện là một yếu tố quan trọng cần xem xét khi triển khai máy học phát hiện DDoS trong môi trường IoT. Các kết quả thực nghiệm cho thấy rằng việc sử dụng PCA có thể giảm đáng kể thời gian huấn luyện của các mô hình máy học DDoS, giúp chúng có thể được triển khai trên các thiết bị IoT có tài nguyên hạn chế. Đánh giá độ biến thiên thời gian huấn luyện mô hình.

V. Kết Luận và Hướng Phát Triển Tương Lai Phát Hiện DDoS IoT

Luận văn này đã trình bày một mô hình kết hợp PCA và các thuật toán máy học để cải thiện hiệu năng phát hiện tấn công DDoS trong môi trường IoT. Kết quả thực nghiệm cho thấy rằng mô hình đề xuất có thể đạt được độ chính xác cao và giảm thời gian huấn luyện, chứng minh tính khả thi của việc triển khai máy học phát hiện DDoS trên các thiết bị IoT. Trong tương lai, nghiên cứu có thể tập trung vào việc khám phá các thuật toán máy học mới, sử dụng học liên kết DDoS và tích hợp Blockchain DDoS để tăng cường an ninh mạng IoT.

5.1. Ứng Dụng Blockchain Trong Phòng Chống Tấn Công DDoS

Công nghệ blockchain có tiềm năng lớn trong việc tăng cường an ninh mạng IoT và phòng chống tấn công DDoS. Blockchain có thể được sử dụng để xây dựng một hệ thống quản lý danh tính phân tán, giúp ngăn chặn các cuộc tấn công giả mạo và tăng cường tính tin cậy của dữ liệu. Ngoài ra, blockchain cũng có thể được sử dụng để xây dựng một hệ thống phát hiện bất thường IoT dựa trên sự đồng thuận, giúp phát hiện các cuộc tấn công một cách nhanh chóng và chính xác.

5.2. Tiềm Năng Của AI và Học Sâu Trong Bảo Mật IoT DDoS

Artificial Intelligence DDoS (AI DDoS) và học sâu có tiềm năng lớn trong việc cải thiện hiệu năng phát hiện và phòng chống tấn công DDoS IoT. Các mô hình học sâu có thể tự động học các đặc trưng quan trọng từ dữ liệu và phát hiện các cuộc tấn công một cách chính xác hơn so với các phương pháp truyền thống. Tuy nhiên, việc triển khai các mô hình học sâu trên các thiết bị IoT có tài nguyên hạn chế đòi hỏi sự cân nhắc kỹ lưỡng về hiệu năng phát hiện và tiêu thụ tài nguyên.

Nội dung chính

Tổng quan nghiên cứu

Hệ thống Internet of Things (IoT) ngày càng trở nên phổ biến và đóng vai trò quan trọng trong nhiều lĩnh vực như y tế, công nghiệp, giao thông và nhà thông minh. Theo ước tính, số lượng thiết bị IoT toàn cầu đã vượt qua hàng tỷ thiết bị, tạo ra một mạng lưới kết nối phức tạp và đa dạng. Tuy nhiên, các thiết bị biên trong hệ thống IoT thường có tài nguyên hạn chế và dễ bị tổn thương trước các cuộc tấn công mạng, đặc biệt là tấn công từ chối dịch vụ phân tán (DDoS). Những cuộc tấn công này gây ra hậu quả nghiêm trọng, làm gián đoạn dịch vụ và ảnh hưởng đến tính sẵn sàng của hệ thống.

Mục tiêu nghiên cứu của luận văn là cải thiện hiệu năng phát hiện các cuộc tấn công DDoS trên hệ thống IoT bằng cách kết hợp kỹ thuật giảm chiều dữ liệu Principal Component Analysis (PCA) với năm thuật toán máy học: Decision Tree (DT), Random Forest (RF), Extremely Randomized Trees (ET), Naive Bayes (NB) và Support Vector Machine (SVM). Nghiên cứu tập trung vào việc giảm thời gian huấn luyện mô hình mà vẫn đảm bảo độ chính xác dự đoán cao, nhằm phù hợp với các thiết bị biên IoT có cấu hình thấp.

Phạm vi nghiên cứu sử dụng hai bộ dữ liệu tấn công mạng phổ biến là CICIDS 2017 và CSE-CIC-IDS 2018, được thu thập trong môi trường mạng thực tế với hàng trăm nghìn mẫu dữ liệu và nhiều đặc trưng kỹ thuật. Việc áp dụng các đại lượng đánh giá như Accuracy, Precision, Recall, F1-Score và Training Time giúp đánh giá toàn diện hiệu suất mô hình. Nghiên cứu có ý nghĩa quan trọng trong việc xây dựng môi trường IoT an toàn, nâng cao khả năng phòng chống tấn công mạng, đồng thời giảm chi phí tài nguyên cho các thiết bị biên.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên các lý thuyết và mô hình sau:

• Hệ thống IoT và kiến trúc mạng biên: IoT bao gồm các thiết bị biên, gateway, máy chủ đám mây và công cụ phân tích dữ liệu. Kiến trúc mạng biên giúp xử lý dữ liệu tại chỗ, giảm độ trễ và tăng tính bảo mật.
• Tấn công từ chối dịch vụ phân tán (DDoS): Bao gồm các loại tấn công khối lượng, tấn công giao thức và tấn công lớp ứng dụng, gây quá tải tài nguyên và làm gián đoạn dịch vụ.
• Thuật toán máy học: Năm thuật toán được sử dụng gồm Decision Tree (DT), Random Forest (RF), Extremely Randomized Trees (ET), Naive Bayes (NB) và Support Vector Machine (SVM). Các thuật toán này có ưu điểm trong phân loại và dự đoán các mẫu dữ liệu phức tạp.
• Kỹ thuật giảm chiều dữ liệu PCA: Giúp giảm số lượng đặc trưng dữ liệu, loại bỏ nhiễu và tăng tốc độ huấn luyện mô hình mà vẫn giữ lại phần lớn thông tin quan trọng.
• Đại lượng đánh giá mô hình: Accuracy, Precision, Recall, F1-Score và Training Time được sử dụng để đánh giá hiệu quả và hiệu suất của các mô hình học máy.

Phương pháp nghiên cứu

• Nguồn dữ liệu: Sử dụng hai bộ dữ liệu mạng thực tế CICIDS 2017 (221,125 mẫu sau làm sạch, 44 đặc trưng) và CSE-CIC-IDS 2018 (559,651 mẫu sau làm sạch, 21 đặc trưng), bao gồm các mẫu tấn công DDoS và dữ liệu bình thường.
• Làm sạch dữ liệu: Loại bỏ các đặc trưng có phương sai thấp (<1%), các mẫu trùng lặp, thiếu hoặc vô định, đồng thời mã hóa nhãn dữ liệu thành 0 (bình thường) và 1 (tấn công).
• Tiền xử lý dữ liệu: Chia dữ liệu thành 70% huấn luyện và 30% kiểm định, áp dụng phương pháp Min-Max Scaler để chuẩn hóa dữ liệu về khoảng 0-1, sau đó thực hiện giảm chiều dữ liệu bằng PCA với các mức giữ lại phương sai từ 75% đến 95%.
• Huấn luyện mô hình: Thực hiện huấn luyện 5 thuật toán máy học trên dữ liệu đã làm sạch và chuẩn hóa, cả với và không với PCA, tổng cộng 30 lần huấn luyện. Mỗi mô hình được đánh giá dựa trên các đại lượng hiệu suất và thời gian huấn luyện.
• Phân tích kết quả: So sánh hiệu suất giữa mô hình đề xuất (kết hợp PCA) và các thuật toán truyền thống không sử dụng PCA, sử dụng đại lượng biến thiên giá trị để đánh giá mức độ cải thiện.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Giảm chiều dữ liệu hiệu quả: Sau khi áp dụng PCA, số chiều dữ liệu giảm từ 44 xuống còn khoảng 3-6 thành phần chính với mức giữ lại phương sai từ 75% đến 95%, giúp giảm đáng kể kích thước dữ liệu đầu vào.
2. Cải thiện thời gian huấn luyện: Mô hình kết hợp PCA giảm thời gian huấn luyện trung bình từ 30% đến 50% so với mô hình không sử dụng PCA, đặc biệt với thuật toán Extremely Randomized Trees (ET) và Random Forest (RF).
3. Độ chính xác dự đoán duy trì cao: Mô hình đề xuất đạt độ chính xác (Accuracy) trên 98% trên cả hai bộ dữ liệu, tương đương hoặc cao hơn so với các thuật toán không sử dụng PCA. Ví dụ, trên CICIDS 2017, mô hình ET với PCA đạt Accuracy 99.1%, trong khi không dùng PCA là 98.7%.
4. Cân bằng giữa Precision và Recall: F1-Score của các mô hình đề xuất dao động từ 97% đến 99%, cho thấy khả năng phát hiện tấn công DDoS chính xác và giảm thiểu sai sót trong dự đoán.

Thảo luận kết quả

Việc áp dụng kỹ thuật PCA giúp loại bỏ các đặc trưng dư thừa và nhiễu, từ đó giảm độ phức tạp của mô hình và tăng tốc độ huấn luyện mà không làm giảm hiệu quả dự đoán. Kết quả này phù hợp với các nghiên cứu gần đây về ứng dụng PCA trong học máy cho an ninh mạng. So với các nghiên cứu trước đây tập trung chủ yếu vào độ chính xác, luận văn này nhấn mạnh thêm yếu tố thời gian huấn luyện, rất quan trọng đối với các thiết bị biên IoT có tài nguyên hạn chế.

Biểu đồ so sánh thời gian huấn luyện và độ chính xác giữa các thuật toán với và không sử dụng PCA minh họa rõ ràng sự cải thiện về hiệu năng. Bảng tổng hợp các đại lượng Accuracy, Precision, Recall và F1-Score cho thấy mô hình đề xuất không chỉ nhanh hơn mà còn duy trì hoặc nâng cao chất lượng dự đoán.

Kết quả này có ý nghĩa thực tiễn lớn trong việc triển khai các hệ thống phát hiện tấn công DDoS trên các thiết bị IoT biên, giúp tăng cường an toàn mạng và giảm thiểu rủi ro gián đoạn dịch vụ.

Đề xuất và khuyến nghị

1. Triển khai mô hình đề xuất trên thiết bị biên IoT: Áp dụng mô hình kết hợp PCA với thuật toán ET hoặc RF để phát hiện tấn công DDoS trên các thiết bị biên có cấu hình thấp, nhằm giảm thời gian huấn luyện và tiết kiệm tài nguyên. Thời gian thực hiện: 6-12 tháng, chủ thể: các nhà phát triển hệ thống IoT.
2. Phát triển hệ thống cảnh báo sớm dựa trên mô hình học máy: Xây dựng hệ thống cảnh báo tự động khi phát hiện lưu lượng mạng bất thường, giúp tăng cường khả năng phản ứng nhanh với các cuộc tấn công. Thời gian thực hiện: 3-6 tháng, chủ thể: các tổ chức an ninh mạng và doanh nghiệp.
3. Cập nhật và mở rộng bộ dữ liệu huấn luyện: Thu thập thêm dữ liệu tấn công mới và đa dạng hơn để cải thiện tính tổng quát và bền vững của mô hình, đặc biệt là các biến thể tấn công DDoS mới xuất hiện. Thời gian thực hiện: liên tục, chủ thể: các viện nghiên cứu và cộng đồng an ninh mạng.
4. Tích hợp mô hình vào nền tảng quản lý IoT tập trung: Kết hợp mô hình phát hiện tấn công với các giải pháp quản lý và điều khiển tập trung để nâng cao hiệu quả bảo mật toàn hệ thống. Thời gian thực hiện: 12 tháng, chủ thể: các nhà cung cấp giải pháp IoT và doanh nghiệp.
5. Đào tạo và nâng cao nhận thức về an toàn IoT: Tổ chức các khóa đào tạo cho kỹ sư và người dùng cuối về các biện pháp phòng chống tấn công DDoS và sử dụng công nghệ học máy trong bảo mật IoT. Thời gian thực hiện: 6 tháng, chủ thể: các trường đại học, tổ chức đào tạo.

Đối tượng nên tham khảo luận văn

1. Nhà nghiên cứu và sinh viên ngành An toàn thông tin: Luận văn cung cấp kiến thức chuyên sâu về phát hiện tấn công DDoS bằng học máy, kỹ thuật giảm chiều dữ liệu và ứng dụng thực tế trên IoT, hỗ trợ nghiên cứu và phát triển đề tài liên quan.
2. Chuyên gia phát triển hệ thống IoT: Tham khảo để áp dụng các giải pháp bảo mật nâng cao, tối ưu hóa hiệu suất mô hình phát hiện tấn công phù hợp với thiết bị biên có tài nguyên hạn chế.
3. Doanh nghiệp và tổ chức quản lý mạng: Sử dụng kết quả nghiên cứu để xây dựng hệ thống giám sát và phòng chống tấn công mạng hiệu quả, giảm thiểu rủi ro gián đoạn dịch vụ và thiệt hại kinh tế.
4. Cơ quan quản lý và hoạch định chính sách: Tham khảo để xây dựng các tiêu chuẩn, quy định về an toàn mạng IoT, thúc đẩy phát triển công nghệ bảo mật phù hợp với xu hướng công nghiệp 4.0.

Câu hỏi thường gặp

1. Tại sao cần sử dụng kỹ thuật giảm chiều dữ liệu PCA trong phát hiện tấn công DDoS?
   PCA giúp giảm số lượng đặc trưng dữ liệu, loại bỏ nhiễu và giảm độ phức tạp mô hình, từ đó tăng tốc độ huấn luyện mà vẫn giữ lại phần lớn thông tin quan trọng. Điều này rất cần thiết cho các thiết bị IoT biên có tài nguyên hạn chế.

2. Các thuật toán máy học nào phù hợp nhất để phát hiện tấn công DDoS trên IoT?
   Nghiên cứu cho thấy các thuật toán như Extremely Randomized Trees (ET) và Random Forest (RF) có hiệu suất cao về độ chính xác và thời gian huấn luyện, phù hợp để triển khai trên thiết bị biên IoT.

3. Bộ dữ liệu CICIDS 2017 và CSE-CIC-IDS 2018 có đặc điểm gì nổi bật?
   Hai bộ dữ liệu này được thu thập trong môi trường mạng thực tế, có lượng mẫu lớn, đa dạng các loại tấn công DDoS và dữ liệu bình thường, được gán nhãn rõ ràng, phù hợp để huấn luyện và đánh giá mô hình phát hiện tấn công.

4. Làm thế nào để đánh giá hiệu quả của mô hình phát hiện tấn công DDoS?
   Hiệu quả được đánh giá qua các đại lượng Accuracy, Precision, Recall, F1-Score và thời gian huấn luyện (Training Time). Sự cân bằng giữa độ chính xác và thời gian huấn luyện là yếu tố quan trọng trong môi trường IoT.

5. Mô hình đề xuất có thể áp dụng trực tiếp trên các thiết bị IoT hiện nay không?
   Mô hình được thiết kế để phù hợp với các thiết bị biên IoT có cấu hình thấp nhờ giảm chiều dữ liệu và tối ưu thời gian huấn luyện. Tuy nhiên, cần thực hiện thêm các bước kiểm thử và tối ưu hóa phù hợp với từng loại thiết bị cụ thể.

Kết luận

• Luận văn đã xây dựng thành công mô hình phát hiện tấn công DDoS trên hệ thống IoT bằng cách kết hợp kỹ thuật giảm chiều dữ liệu PCA với năm thuật toán máy học phổ biến.
• Mô hình đề xuất cải thiện đáng kể thời gian huấn luyện từ 30% đến 50% trong khi vẫn duy trì độ chính xác dự đoán trên 98%.
• Việc sử dụng bộ dữ liệu thực tế CICIDS 2017 và CSE-CIC-IDS 2018 giúp đánh giá mô hình có tính thực tiễn cao và khả năng ứng dụng rộng rãi.
• Kết quả nghiên cứu góp phần nâng cao an toàn mạng cho hệ thống IoT, đặc biệt là các thiết bị biên có tài nguyên hạn chế.
• Các bước tiếp theo bao gồm triển khai mô hình trên thiết bị thực tế, mở rộng bộ dữ liệu huấn luyện và phát triển hệ thống cảnh báo sớm.

Khuyến khích các nhà nghiên cứu và doanh nghiệp ứng dụng mô hình đề xuất để tăng cường bảo mật IoT, đồng thời tiếp tục nghiên cứu mở rộng và tối ưu hóa giải pháp.

Trích đoạn nội dung tài liệu

Chương 1. Tổng quan: Giới thiệu đề tài, lý do chọn đề tài, mục tiêu, phạm vi và nội dung thực hiện trong đề tài. Cơ sở lý thuyết và các nghiên cứu liên quan: Trình bày kết quả nghiên cứu về hệ thống IoT, các loại tắn công DDoS hiện nay, cơ sở lý thuyết các thuật toán học máy DT, RF, ET, NB, SVM, kỹ thuật giảm chiều dữ liệu PCA. Nêu rõ các công trình nghiên cứu khoa học liên quan.

Và định nghĩa các đại lượng dùng dé đánh giá mô hình dé xuất. Mô hình đề xuất: Giới thiệu mô hình đề xuất kết hợp giữa các thuật toán học máy DT, RF, ET, NB và SVM với kỹ thuật giảm chiều dữ liệu PCA để tìm ra mô hình dự báo các cuộc tấn công DDoS có độ chính xác cao và cải thiện thời gian huấn luyện. Thực nghiệm và đánh giá: Phân tích 2 tập dữ liệu CICIDS 2017 và CSE-CIC-IDS 2018. Tiền hành thực nghiệm, so sánh kết quả các mô hình trong việc dự đoán các cuộc tan công DDoS trên 02 tập dữ liệu này.

Kết luận và hướng phát triển Danh mục công bố khoa học của tác giả Tài liệu tham khảo 14 CHƯƠNG2_ CƠ SỞ LÝ THUYET VÀ CÁC NGHIÊN CỨU LIÊN QUAN 2.1 Tổng quan hệ thống IoT Năm 1935, quân đội Đức ứng dụng nhận diện tần số sóng vô tuyến trên các cảm biến của máy bay nhằm mục đích phân biệt máy bay đồng minh trên trạm quan sát mặt đất. Đây được xem là hệ thống ứng dụng IoT đầu tiên của thế giới. Trong những năm 1970 — 1980, các ứng dụng IoT dựa trên cảm biến sóng vô tuyến được cấp bằng sáng chế như: hệ thống nhận diện mã vạch của Mario W.Cardullo, hệ thống mở cửa tự động của Charles Walton. Đến năm 2000, thuật ngữ “Internet of Things” được Kevin Ashton sử dụng.

Cũng theo một giả thuyết khác của giáo sư Daniel Engels, thuật ngữ này đã được Hạ tầng mạng (Network and Cloud) Tram kết nối Fa (Gateway) Tram kết nối (Gateway) TH OS SES Cac thiét bi (Things) Hình 2.1 Kiến trúc hệ thống IoT hoàn chỉnh [21] 15 Một số mô tả và định nghĩa hệ thống IoT được các tổ chức tiêu chuẩn quốc tế nêu ra như sau: e _ Viện kỹ sư điện và điện tử của Mỹ (Institute of Electrical and Electronics Engineers - IEEE) mô tả IoT là một mang gồm nhiều thành phần — mỗi thành phan trong đó gồm những thiết bị cảm biến — và các thành phần này được kết nối với nhau thông qua Internet. Trong tiêu chuẩn IEEE P2413, IEEE định nghĩa kiến trúc hệ thống loơT gồm 3 tang: tang cảm biến (Sensing Tier), tang mang và truyền dữ liệu (Networking and Data Communications Tier), tầng ứng dụng (Application Tier). IEEE cũng nêu bật các lĩnh vực liên quan đến IoT như mô tả ở hình 2. Hospitals & Doctors Consumer equipment providers Insurance companies Consumers Appliances Home & providers ICT infrastructure Building providers Facility Regulators management Logistics Gee vane Retail stores companies Application Public transport developers companies Utilities City authorities Manufacturing industries Automation equipment providers Hình 2.2 Lĩnh vực liên quan IoT e Tổ chức phát triển các tiêu chuẩn và giao thức mạng cho Internet (Internet Engineering Task Force - IETF) mô tả IoT dựa trên 2 khái niệm Internet va vật (things).

Trong đó: o_ Khái niệm Internet dựa trên các tiêu chuẩn TCP/IP bao gồm: mạng Internet cơ bản, mạng riêng (private network) và mạng viễn thông (telecommunication network). 16 o Khái niệm vat (things): là các vật như máy tính, cảm biến, con người, tivi, xe cộ, điện thoại, sách, áo quân.Có thé chia thành 3 nhóm things là: con người, máy moc và thông tin. Các things này được định danh duy nhất và xem chúng là đối tượng (objects) [1]. Tổng quát, hệ thống IoT là mạng lưới các thiết bị và hệ thống kết nối với nhau qua môi trường Internet dé thu thập, truyền, xử lý và phân tích dữ liệu từ môi trường vật lý.

Các thành phan chính của một hệ thống IoT bao gồm các thiết bị biên, gateway, máy chủ đám mây, công cụ phân tích dữ liệu và giao diện người dùng. e _ Các thiết bị biên là các thiết bị vật lý như cảm biến, bộ điều khiển và bộ xử lý đề thu thập và tiền xử lý đữ liệu, và có thể thực hiện chức năng phân tích ban đầu trước khi gửi dữ liệu lên máy chủ đám mây. Ví dụ như cảm biến nhiệt độ, đèn chiếu sáng thông minh, bộ đo độ ẩm. Các thiết bị biên được kết nối với nhau thông qua các công nghệ như Wi-Fi, Bluetooth, ZigBee, Z-Wave, hay LoRaWAN.

© Gateway cung cấp kết nối và xử lý, hoạt động như trung gian giữa các thiết bị biên và máy chủ đám mây nhằm giảm lưu lượng và độ trễ mạng, tạo ra các giao thức truyền dữ liệu từ các thiết bị biên lên máy chủ đám mây như giao thức truyền thông điệp Message Queuing Telemetry Transport (MQTT), giao thức truyền tải tài liệu Constrained Application Protocol (CoAP), giao thức truyền tải siêu văn bản The Hypertext Transfer Protocol (HTTP), hay Websocket, đảm bảo tính liên tục và độ tin cậy của dữ liệu. e Máy chu đám mây lưu trữ và xử lý dữ liệu được gửi lên từ các thiết bị biên và gateway, cung cấp tài nguyên tính toán và dung lượng lưu trữ có khả năng mở rộng để xử lý khối lượng dữ liệu lớn. e_ Công cụ phân tích dữ liệu được sử dụng dé phân tích thông tin chỉ tiết từ đữ liệu. Các công cụ phân tích dữ liệu thường sử dụng các thuật toán học máy, phân tích thống kê và kỹ thuật trực quan dé xác định tính chất hoặc bat thường trong dữ liệu.

¢ Giao diện người dùng, chẳng hạn như ứng dụng web hoặc di động, cho phép người dùng tương tác với hệ thống IoT, truy cập và phân tích dữ liệu từ thiết bị của họ, nhận cảnh báo và thông báo dựa trên dữ liệu được thu thập. 17 Các thành phần của hệ thống IoT được kết nối với nhau dựa trên những kiến trúc phổ biến như sau: ¢ _ Kiến trúc hệ thống IoT tập trung: Trong kiến trúc này, các thiết bị biên IoT thu thập và gửi dữ liệu trực tiếp đến máy chủ trung tâm hoặc nút trung tâm để xử lý và phân tích. Ưu điểm của kiến trúc này là giúp tập trung dữ liệu và đơn giản hóa việc quản ly. Khuyết điểm của nó là gây ra van dé về độ trễ và khả năng mở rộng hệ thống.

© Kiến trúc hệ thống IoT phân tán: Kiến trúc nay cho phép các thiết bị biên IoT kết nối trực tiếp với nhau. Dữ liệu sẽ được phân tán để xử lý và gửi về nút trung tâm. Ưu điểm giảm thiểu độ trễ và tăng khả năng mở rộng. Tuy nhiên, việc quản lý và bảo trì phức tạp hơn.

e« Kiến trúc điện toán biên IoT: Trong kiến trúc này, các thiết bị IoT thực hiện xử lý dữ liệu tại chỗ và chỉ gửi dir liệu đã xử lý đến máy chủ hoặc đám mây. Điều này giúp giảm độ trễ và tăng tính bao mật, nhưng đòi hỏi các thiết bị IoT cần được trang bị đầy đủ các tài nguyên đề thực hiện xử lý tại chỗ. e Kiến trúc IoT lai kết hợp: Kiến trúc này kết hợp các mô hình phía trên dé tận dụng ưu điểm của từng mô hình. Ví dụ, các thiết bị IoT có thé xử lý dữ liệu tại chỗ và gửi dữ liệu đến một nút trung tâm để xử lý và phân tích.2 Tổng quan về tắn công DDoS Hình thức tấn công từ chối dịch vụ được biết đến đầu tiên trên thế giới xảy ra vào năm 1974 khi David Bennis dùng lệnh “ext” kết nối đến các thiết bị gắn thêm trên các thiết bị đầu cuối khác trong hệ thống dạy học trực tuyến PLATO của tô chức CERL.

Với trường hợp thiết bị đầu cuối khác không có thiết bị gắn thêm thì nó sẽ bị treo và yêu cầu khởi động lai. Dennis đã viết 1 đoạn mã dé làm tê liệt 31 thiết bị đầu cuối PLATO. Đến năm 1999, một tin tặc đã sử dụng công cụ Trinoo để vô hiệu hóa hệ thống mạng của trường đại học Minnessota — Mỹ trong 2 ngày. Công cụ này là một mạng bao gồm máy chủ Master và các máy chủ Deamon.

Tin tặc đã gửi lệnh tắn công UDP đến máy chủ Master, sau đó máy chủ này điều hướng đến hàng trăm máy chủ Deamon dé tan công UDP vào các máy chủ của trường. Day được xem là cuộc tan công từ chối dịch vụ phan tán lớn đầu tiên trên thế giới. 18 Có 03 kiểu tắn công DDoS chính là: tấn công khối lượng, tấn công giao thức và tan công lớp ứng dụng. « Tan công khối lượng (Volumetric Attack) _— UDP Fragmentation Flood UDP Flood —s.

~ Specific UDP Amplification Attacks Misused Application Attack i ICMP Flood CharGEN Flood Hinh 2.3 Volumetric Attack Volumetric Attack là kiểu tan công làm quá tải tài nguyên của máy đích từ đó làm gián đoạn các hoạt động của các dịch vụ trên đó. Ví dụ như quá tải khả năng tính toán của máy chủ, quá tải băng thông mạng, quá tải khả năng truy vấn của đatabase. Đại lượng đặc trưng quan trọng đề xác định kiểu tấn công này là dung lượng trên giây (bits per second). Các kiểu tan công phổ biến thuộc loại này bao gồm: o UDP Flood: kẻ tan công có gắng gửi càng nhiều gói tin UDP đến các công của máy đích, khiến máy đích có gắng xác định các ứng dụng tương ứng và làm quá tải tài nguyên xử lý của hệ thống.

o_ CharGEN Flood: kẻ tan công khai thác vào giao thức CharGEN trên cổng 19. Bằng cách giả mao IP máy chủ, kẻ tắn công gửi gói tin TCP hoặc UDP đến các thiết bị chạy giao thức CharGEN và khiến các thiết bị này gửi gói tin phản hồi ngược lại cho máy chủ và khiến máy chủ bị quá tải trong việc xử lý gói tin. o_ ICMP Flood: kẻ tấn công lợi dụng gói tin echo reply trong giao thức ICMP đề khiến máy đích quá tải trong việc phản hồi. o Misused Application Attack: kẻ tấn công lợi dụng các phần mềm chiếm đoạt dé tạo một lượng lớn kết nói đến máy đích nhằm làm quá tải khả năng xử lý của nó.

Với loại tắn công này rất khó phát hiện do các lưu lượng mạng kết nối đến đều hợp lệ. 19 e _ Tắn công giao thức (Protocol Attack) ~SYN Flood SYN-ACK Flood a ~ACK Flood Slowlois —— TCP Flood Attack | 4 Retmw Flood Multiple ACK Spoofed Session Flood ( Ping of Death —- \\—Multiple SYN-ACK Spoofed Session Flood Synonymous IP Attack Smurf Attack — - IP Null Attack Low Orbitlon _ : Cannon (LOIC) Session Attack aaa ———— ———_ High Orbit Ion Cannon (HOIC) Hinh 2.