Xây Dựng Công Cụ Phát Hiện Xâm Nhập Mạng Máy Tính

Chuyên khảo phân tích Xây dựng công cụ phát hiện xâm nhập mạng máy tính, đánh giá các khía cạnh quan trọng, đề xuất hướng nghiên cứu tiếp theo.

• Tác giả: Bùi Điền Phong
• Trường học: Học Viện Công Nghệ Bưu Chính Viễn Thông
• Chuyên ngành: Kỹ Thuật
• Đề tài: Công Cụ Phát Hiện Xâm Nhập Mạng Máy Tính
• Loại tài liệu: Luận Văn Thạc Sĩ
• Năm xuất bản: 2022
• Địa điểm: TP Hồ Chí Minh

Mục lục chi tiết

• LỜI CAM ĐOAN
• 1. PHẦN MỞ ĐẦU
• 1.1. Lý do chọn đề tài
• 1.2. Tổng quan về vấn đề nghiên cứu
• 1.3. Mục đích nghiên cứu
• 1.4. Đối tượng và phạm vi nghiên cứu
• 1.5. Phương pháp nghiên cứu
• 1.6. Bố cục luận văn
• 2. PHẦN NỘI DUNG
• 2. CHƯƠNG 1: TỔNG QUAN CÁC PHƯƠNG PHÁP PHÁT HIỆN VÀ PHÒNG CHỐNG XÂM NHẬP MẠNG
• 1.1. Tổng quan đề tài
• 1.2. Xâm nhập mạng là gì?
• 1.3. Phát hiện xâm nhập mạng
• 1.4. Các hình thức tấn công mạng
• 1.4.1. Phân loại tấn công mạng
• 1.4.2. Các kỹ thuật tấn công
• 1.4.3. Dấu hiệu nhận diện một cuộc tấn công mạng
• 1.4.3.1. Dựa vào các gói tin (packets)
• 1.4.3.2. Dựa trên các cảnh báo từ hệ thống IDS
• 1.4.3.3. Phát hiện dựa trên dòng dữ liệu bất thường
• 1.4.4. Giải pháp phát hiện và phòng chống xâm nhập
• 1.4.4.1. Phân chia mạng
• 1.4.4.2. Điều chỉnh quyền truy cập Internet qua máy chủ proxy
• 1.4.4.3. Đặt thiết bị bảo mật chính xác
• 1.4.4.4. Sử dụng NAT (Network Address Translation)
• 1.4.4.5. Giám sát lưu lượng mạng
• 1.4.4.6. Sử dụng công nghệ “đánh lừa”
• 1.4.5. Các thuật toán học máy trong hệ thống phát hiện xâm nhập mạng
• 1.4.5.1. Support vector machine
• 1.4.5.2. Artificial neural network
• 3. CHƯƠNG 2: CÁC CÔNG TRÌNH LIÊN QUAN
• 2.1. Một số công trình nghiên cứu tại Việt Nam
• 2.2. Một số công trình nghiên cứu trên thế giới
• 2.3. Kết luận chương
• 4. CHƯƠNG 3: HỆ THỐNG PHÁT HIỆN VÀ PHÒNG CHỐNG XÂM NHẬP MẠNG
• 3.1. Tổng quan về IDS
• 3.2. Vai trò và chức năng của hệ thống phát hiện và phòng chống xâm nhập
• 3.2.1. Vai trò và chức năng của IDS
• 3.2.2. Chức năng IDS
• 3.3. Công cụ giám sát mạng Snort
• 3.3.1. Giới thiệu Snort
• 3.3.2. Bộ luật Snort
• 3.4. Các mô hình sử dụng cho hệ thống IDS
• 3.4.1. Mô hình Decision Tree
• 3.4.2. Mô hình KNN
• 3.4.3. Mô hình máy Vector hỗ trợ (SVM)
• 3.5. Mô hình IDS đề xuất
• 3.5.1. Đọc, lưu dữ liệu Log từ SNORT và xử lý dữ liệu
• 3.5.2. Chuẩn hóa và trích xuất đặc trưng
• 3.5.3. Phân lớp và dự đoán
• 3.6. Kết luận chương
• 5. CHƯƠNG 4: XÂY DỰNG VÀ TRIỂN KHAI HỆ THỐNG PHÁT HIỆN XÂM NHẬP MẠNG DỰA VÀO HỌC MÁY CHO HỆ THỐNG MẠNG TRUNG TÂM Y TẾ HUYỆN GÒ DẦU
• 4.1. Mô tả bộ dữ liệu sử dụng NSL-KDD
• 4.2. Môi trường mô phỏng quá trình thực nghiệm
• 4.3. Kết quả thực nghiệm
• 4.4. Kết luận chương
• 6. Kết quả nghiên cứu của đề tài
• 7. Hạn chế của luận văn
• 8. Hướng phát triển của luận văn
• DANH MỤC TÀI LIỆU THAM KHẢO

Tóm tắt

I. Khám Phá Tổng Quan Về Công Cụ Phát Hiện Xâm Nhập Mạng

Trong kỷ nguyên số, an ninh mạng trở thành yếu tố sống còn đối với mọi tổ chức. Các cuộc tấn công mạng ngày càng tinh vi và khó lường, đòi hỏi các biện pháp phòng thủ chủ động và hiệu quả. Công cụ phát hiện xâm nhập mạng máy tính (IDS) đóng vai trò quan trọng trong việc bảo vệ hệ thống khỏi các mối đe dọa. IDS không chỉ giám sát và phát hiện các hoạt động đáng ngờ, mà còn cung cấp thông tin quan trọng để ứng phó kịp thời với các sự cố an ninh. Việc nghiên cứu và ứng dụng IDS là một lĩnh vực cấp thiết, góp phần xây dựng một không gian mạng an toàn và tin cậy. Theo tài liệu nghiên cứu, "Công cụ phát hiện xâm nhập mạng máy tính là yếu tố then chốt để đảm bảo an ninh cho hạ tầng mạng".

1.1. Giới Thiệu Khái Niệm Cơ Bản Về Xâm Nhập Mạng

Xâm nhập mạng là hành vi truy cập trái phép vào hệ thống hoặc dữ liệu, với mục đích đánh cắp, phá hoại hoặc làm gián đoạn hoạt động. Các cuộc tấn công có thể nhắm vào nhiều mục tiêu khác nhau, từ máy chủ, máy trạm, đến các thiết bị mạng. Hiểu rõ bản chất và các giai đoạn của một cuộc tấn công là nền tảng để xây dựng các biện pháp phòng thủ hiệu quả. Điều này bao gồm việc nhận diện các dấu hiệu xâm nhập sớm và triển khai các công cụ phù hợp. Các phương pháp tấn công mạng ngày càng đa dạng, đòi hỏi các chuyên gia an ninh phải liên tục cập nhật kiến thức và kỹ năng.

1.2. Vai Trò Quan Trọng Của IDS Trong An Ninh Mạng Hiện Đại

Hệ thống phát hiện xâm nhập (IDS) là một hệ thống giám sát lưu lượng mạng để phát hiện các hoạt động đáng ngờ và các vi phạm chính sách. Nó hoạt động như một hệ thống báo động sớm, cảnh báo cho quản trị viên về các mối đe dọa tiềm ẩn. IDS có thể được triển khai ở nhiều vị trí khác nhau trong mạng, tùy thuộc vào kiến trúc và yêu cầu bảo mật. Một IDS hiệu quả giúp giảm thiểu rủi ro và bảo vệ tài sản quan trọng của tổ chức. Việc lựa chọn và triển khai IDS phù hợp là một quyết định chiến lược cần cân nhắc kỹ lưỡng.

II. Thách Thức Nhận Diện Tấn Công Mạng Vấn Đề Nan Giải

Việc phát hiện tấn công mạng không hề dễ dàng, đặc biệt khi các kỹ thuật tấn công ngày càng tinh vi. Các cuộc tấn công có thể được che giấu kỹ lưỡng, sử dụng các phương pháp mã hóa hoặc ngụy trang để tránh bị phát hiện. Sự phức tạp của các hệ thống mạng hiện đại cũng gây khó khăn cho việc giám sát và phân tích lưu lượng. Ngoài ra, số lượng cảnh báo (alerts) lớn từ các công cụ bảo mật có thể gây ra tình trạng quá tải thông tin, khiến các quản trị viên bỏ sót các mối đe dọa thực sự. Theo một báo cáo gần đây, "Thời gian trung bình để phát hiện một cuộc tấn công mạng là hơn 200 ngày".

2.1. Các Hình Thức Tấn Công Mạng Phổ Biến và Cách Thức Hoạt Động

Các hình thức tấn công mạng rất đa dạng, bao gồm tấn công từ chối dịch vụ (DDoS), tấn công ransomware, tấn công phishing và tấn công SQL injection. Mỗi loại tấn công có một phương pháp hoạt động riêng, nhưng đều có chung mục đích là gây tổn hại cho hệ thống hoặc đánh cắp dữ liệu. Hiểu rõ các hình thức tấn công này là bước đầu tiên để xây dựng các biện pháp phòng thủ hiệu quả. Các công cụ bảo mật cần được cấu hình để nhận diện và ngăn chặn các hành vi đáng ngờ liên quan đến các loại tấn công này.

2.2. Khó Khăn Trong Việc Phát Hiện Tấn Công Dựa Trên Dữ Liệu Mạng

Việc phân tích dữ liệu mạng để phát hiện tấn công gặp nhiều khó khăn. Lưu lượng mạng lớn và phức tạp khiến việc tìm kiếm các dấu hiệu bất thường trở nên khó khăn. Các kỹ thuật tấn công hiện đại thường sử dụng mã hóa và ngụy trang để che giấu hoạt động. Ngoài ra, các hệ thống IDS có thể tạo ra nhiều cảnh báo sai (false positives), gây lãng phí thời gian và tài nguyên. Các nhà nghiên cứu đang nỗ lực phát triển các thuật toán học máy và trí tuệ nhân tạo để cải thiện khả năng phát hiện tấn công trong môi trường dữ liệu lớn.

III. Phương Pháp Triển Khai IDS Dựa Trên Phát Hiện Bất Thường

Phát hiện bất thường (anomaly detection) là một phương pháp hiệu quả để phát hiện các tấn công mạng mới và chưa biết đến. Phương pháp này dựa trên việc xây dựng một mô hình về hành vi bình thường của hệ thống, sau đó phát hiện các hành vi khác biệt đáng kể so với mô hình này. IDS sử dụng phát hiện bất thường có thể nhận diện các cuộc tấn công mà các phương pháp phát hiện dựa trên chữ ký (signature-based detection) không thể phát hiện. Tuy nhiên, phát hiện bất thường cũng có thể tạo ra nhiều cảnh báo sai, đòi hỏi các phương pháp lọc và phân tích bổ sung. Theo tài liệu, "Phát hiện bất thường là một hướng đi đầy tiềm năng trong việc bảo vệ hệ thống khỏi các mối đe dọa zero-day".

3.1. Ứng Dụng Học Máy Machine Learning Trong Anomaly Detection

Học máy là một công cụ mạnh mẽ để xây dựng các mô hình phát hiện bất thường. Các thuật toán học máy có thể học từ dữ liệu lịch sử để nhận diện các mẫu hành vi bình thường. Sau đó, chúng có thể sử dụng các mô hình này để phát hiện các hành vi khác biệt. Các thuật toán phổ biến bao gồm Decision Tree (DT), K-Nearest Neighbors (KNN), và Support Vector Machines (SVM). Việc lựa chọn thuật toán phù hợp phụ thuộc vào đặc điểm của dữ liệu và yêu cầu của hệ thống.

3.2. Kết Hợp Phát Hiện Chữ Ký Signature Based và Bất Thường Anomaly

Kết hợp phát hiện chữ ký và phát hiện bất thường là một chiến lược hiệu quả để tăng cường khả năng phát hiện tấn công. Phát hiện chữ ký có thể nhanh chóng nhận diện các tấn công đã biết, trong khi phát hiện bất thường có thể phát hiện các tấn công mới và chưa biết đến. Việc kết hợp hai phương pháp này giúp giảm thiểu cả cảnh báo sai và bỏ sót tấn công. Các hệ thống IDS hiện đại thường tích hợp cả hai phương pháp này để cung cấp khả năng bảo vệ toàn diện.

IV. Giải Pháp Xây Dựng Hệ Thống IDS Với Snort và Quy Tắc Phát Hiện

Xây dựng một hệ thống IDS hiệu quả đòi hỏi sự kết hợp của các công cụ và kỹ thuật khác nhau. Snort là một hệ thống IDS mã nguồn mở phổ biến, cung cấp khả năng phân tích lưu lượng mạng và phát hiện tấn công. Việc xây dựng các quy tắc phát hiện (detection rules) phù hợp là yếu tố then chốt để Snort có thể nhận diện các mối đe dọa cụ thể. Các quy tắc phát hiện có thể dựa trên các dấu hiệu trong gói tin, các mẫu hành vi, hoặc các thông tin khác. Theo tài liệu, "Snort là một công cụ mạnh mẽ để xây dựng các hệ thống IDS tùy chỉnh".

4.1. Tìm Hiểu Chi Tiết Về Công Cụ Giám Sát Mạng Snort

Snort là một hệ thống IDS mã nguồn mở có khả năng phân tích lưu lượng mạng theo thời gian thực. Nó có thể phát hiện nhiều loại tấn công, bao gồm tấn công buffer overflow, tấn công port scanning và tấn công web. Snort sử dụng một hệ thống quy tắc linh hoạt để xác định các hành vi đáng ngờ. Nó có thể được cấu hình để ghi lại lưu lượng mạng, tạo cảnh báo, hoặc ngăn chặn tấn công. Snort là một công cụ phổ biến trong cộng đồng an ninh mạng.

4.2. Tạo và Quản Lý Quy Tắc Phát Hiện Detection Rules Cho Snort

Các quy tắc phát hiện là yếu tố quan trọng nhất của Snort. Các quy tắc này xác định các mẫu lưu lượng mạng mà Snort sẽ tìm kiếm. Việc tạo và quản lý quy tắc đòi hỏi kiến thức về các loại tấn công và các giao thức mạng. Các quy tắc có thể được viết bằng ngôn ngữ quy tắc của Snort, cho phép xác định các điều kiện và hành động cụ thể. Việc cập nhật quy tắc thường xuyên là cần thiết để bảo vệ hệ thống khỏi các mối đe dọa mới.

V. Ứng Dụng Triển Khai IDS Cho Mạng Trung Tâm Y Tế Nghiên Cứu

Việc bảo vệ an ninh mạng cho các mạng trung tâm y tế là vô cùng quan trọng, do tính nhạy cảm của dữ liệu và tầm quan trọng của hệ thống. IDS có thể đóng vai trò quan trọng trong việc phát hiện và ngăn chặn các tấn công mạng nhắm vào các mạng trung tâm y tế. Các nghiên cứu đã chỉ ra rằng việc triển khai IDS có thể giúp giảm thiểu rủi ro và bảo vệ bệnh nhân và dữ liệu của họ. Theo tài liệu, "Việc triển khai IDS trong mạng trung tâm y tế là một biện pháp cần thiết để bảo vệ thông tin cá nhân của bệnh nhân".

5.1. Mô Tả Dữ Liệu NSL KDD Sử Dụng Trong Nghiên Cứu Thực Nghiệm

Dữ liệu NSL-KDD là một bộ dữ liệu phổ biến được sử dụng để đánh giá hiệu quả của các hệ thống IDS. Nó bao gồm các bản ghi lưu lượng mạng với các nhãn chỉ ra liệu có tấn công hay không. Dữ liệu NSL-KDD được sử dụng trong nghiên cứu này để đào tạo và đánh giá các mô hình học máy cho phát hiện bất thường. Việc sử dụng một bộ dữ liệu chuẩn giúp so sánh kết quả với các nghiên cứu khác.

5.2. Kết Quả Thực Nghiệm và Đánh Giá Hiệu Quả Của Hệ Thống IDS

Các kết quả thực nghiệm cho thấy rằng hệ thống IDS dựa trên học máy có thể đạt được độ chính xác cao trong việc phát hiện tấn công mạng. Tuy nhiên, cần lưu ý rằng hiệu quả của hệ thống phụ thuộc vào chất lượng của dữ liệu đào tạo và việc lựa chọn các tham số phù hợp. Các nghiên cứu tiếp theo cần tập trung vào việc cải thiện độ chính xác và giảm thiểu cảnh báo sai.

VI. Kết Luận Tương Lai Của Phát Hiện Xâm Nhập Mạng Máy Tính

Công cụ phát hiện xâm nhập mạng máy tính tiếp tục đóng vai trò quan trọng trong việc bảo vệ an ninh mạng. Các nghiên cứu và phát triển trong lĩnh vực này đang tập trung vào việc cải thiện khả năng phát hiện tấn công dựa trên học máy và trí tuệ nhân tạo. Trong tương lai, IDS sẽ ngày càng trở nên thông minh và tự động, có khả năng thích ứng với các mối đe dọa mới và phức tạp. Theo dự đoán, "IDS thế hệ tiếp theo sẽ tích hợp trí tuệ nhân tạo để tự động phát hiện và ứng phó với tấn công".

6.1. Hướng Phát Triển Của Công Nghệ IDS Trong Tương Lai

Hướng phát triển của công nghệ IDS trong tương lai bao gồm việc sử dụng các thuật toán học sâu (deep learning) để cải thiện khả năng phát hiện bất thường, tích hợp với các hệ thống threat intelligence để dự đoán và ngăn chặn tấn công, và tự động hóa các quy trình ứng phó sự cố. Các IDS trong tương lai sẽ có khả năng học hỏi và thích ứng liên tục với các mối đe dọa mới, giúp bảo vệ hệ thống một cách chủ động.

6.2. Tầm Quan Trọng Của Nghiên Cứu và Ứng Dụng IDS Trong An Ninh Mạng

Việc nghiên cứu và ứng dụng IDS có tầm quan trọng sống còn đối với an ninh mạng. Các nghiên cứu giúp chúng ta hiểu rõ hơn về các mối đe dọa và phát triển các công cụ hiệu quả để đối phó với chúng. Việc ứng dụng IDS giúp bảo vệ các hệ thống và dữ liệu quan trọng khỏi bị tấn công. Đầu tư vào nghiên cứu và ứng dụng IDS là một quyết định chiến lược để đảm bảo an ninh cho tổ chức và xã hội.

Nội dung chính

Tổng quan nghiên cứu

An ninh mạng ngày càng trở thành vấn đề cấp thiết trong bối cảnh Internet phát triển mạnh mẽ và được ứng dụng rộng rãi trong nhiều lĩnh vực như giáo dục, y tế, kinh tế và quốc phòng. Theo ước tính, các cuộc tấn công mạng có thể gây thiệt hại hàng triệu đô la cho doanh nghiệp và đe dọa an ninh quốc gia khi thông tin bí mật bị lộ lọt. Đặc biệt, các doanh nghiệp và tổ chức nhà nước là mục tiêu phổ biến của các cuộc tấn công nhằm trục lợi phi pháp hoặc cạnh tranh không lành mạnh.

Luận văn tập trung nghiên cứu xây dựng công cụ phát hiện xâm nhập mạng máy tính, nhằm phát hiện và phòng chống các cuộc tấn công mạng, đặc biệt áp dụng thực tiễn tại Trung tâm Y tế huyện Gò Dầu. Mục tiêu cụ thể là phát triển hệ thống phát hiện xâm nhập theo thời gian thực, có khả năng nhận dạng, phân tích các dấu hiệu xâm nhập trái phép và tổng hợp báo cáo chi tiết. Phạm vi nghiên cứu bao gồm các loại xâm nhập mạng phổ biến, các thuật toán học máy như Support Vector Machine (SVM), Decision Tree (DT), K-Nearest Neighbor (KNN) và ứng dụng bộ dữ liệu NSL-KDD làm chuẩn đánh giá.

Ý nghĩa nghiên cứu thể hiện qua việc cung cấp giải pháp phát hiện xâm nhập mạng hiệu quả, chi phí hợp lý, hỗ trợ quản trị mạng chủ động, góp phần nâng cao an toàn thông tin cho các tổ chức, đặc biệt trong lĩnh vực y tế. Các chỉ số đánh giá hiệu quả mô hình như độ chính xác (accuracy), độ thu hồi (recall), độ chính xác dự đoán (precision) và F-measure được sử dụng để đảm bảo tính khách quan và khoa học của nghiên cứu.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên các lý thuyết và mô hình sau:

• Hệ thống phát hiện xâm nhập (Intrusion Detection System - IDS): IDS là hệ thống phần mềm hoặc phần cứng giám sát lưu lượng mạng, phân tích các sự kiện để phát hiện các hành vi xâm nhập trái phép. IDS gồm hai loại chính: Network-based IDS (NIDS) và Host-based IDS (HIDS), với các chức năng thu thập dữ liệu, phát hiện và phản hồi.

• Phương pháp phát hiện xâm nhập: Bao gồm phát hiện dựa trên chữ ký (signature-based) và phát hiện dựa trên bất thường (anomaly-based). Phương pháp dựa trên bất thường sử dụng các mô hình học máy để phát hiện các hành vi chưa biết trước.

• Thuật toán học máy: Luận văn sử dụng ba thuật toán chính:

  • Decision Tree (DT): Mô hình cây quyết định giúp phân loại dữ liệu dựa trên các đặc trưng, dễ hiểu và hiệu quả với dữ liệu đa dạng.
  • K-Nearest Neighbor (KNN): Thuật toán phân loại dựa trên khoảng cách Euclide giữa các điểm dữ liệu, đơn giản và hiệu quả với dữ liệu lớn.
  • Support Vector Machine (SVM): Thuật toán phân loại dựa trên siêu mặt phẳng tối ưu, phù hợp với dữ liệu có nhiều chiều và có khả năng xử lý phi tuyến.

• Kỹ thuật xử lý dữ liệu: Sử dụng Label Encoding và One-hot Encoding để chuyển đổi dữ liệu phân loại thành dạng số, chuẩn hóa dữ liệu bằng Standardization để đảm bảo các đặc trưng có phân phối chuẩn với trung bình 0 và phương sai 1.

Phương pháp nghiên cứu

• Nguồn dữ liệu: Sử dụng bộ dữ liệu NSL-KDD, phiên bản tối ưu của KDD99, gồm 43 thuộc tính với 4 lớp tấn công chính: DoS, Probe, U2R, R2L. Bộ dữ liệu này được chia thành tập huấn luyện (KDDTrain+) và tập kiểm tra (KDDTest+).

• Phương pháp chọn mẫu: Dữ liệu được lấy từ bộ NSL-KDD với các bản ghi lưu lượng mạng được chuẩn hóa, không trùng lặp giữa tập huấn luyện và kiểm tra, đảm bảo tính khách quan trong đánh giá mô hình.

• Phương pháp phân tích: Áp dụng ba thuật toán học máy (DT, KNN, SVM) trên bộ dữ liệu đã xử lý. Mỗi thuật toán được đánh giá qua các chỉ số: accuracy, precision, recall, F-measure, thời gian huấn luyện và kiểm tra. Dựa trên tỷ lệ các giao thức TCP, UDP, ICMP trong dữ liệu, lựa chọn mô hình phù hợp nhất để tối ưu hiệu quả phát hiện.

• Timeline nghiên cứu: Quá trình nghiên cứu bao gồm thu thập và xử lý dữ liệu, xây dựng mô hình, thực nghiệm trên môi trường Google Colab, phân tích kết quả và đề xuất mô hình ứng dụng thực tế tại Trung tâm Y tế huyện Gò Dầu.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Hiệu suất thuật toán Decision Tree vượt trội: Trên bộ dữ liệu NSL-KDD, thuật toán Decision Tree đạt độ chính xác (accuracy) 98.09%, cao hơn đáng kể so với KNN (khoảng 95%) và SVM (khoảng 92% với kernel rbf). Thời gian kiểm tra của Decision Tree chỉ khoảng 40 ms, nhanh hơn nhiều so với SVM (hơn 11 giây).

2. Ảnh hưởng của tỷ lệ giao thức đến lựa chọn mô hình: Dữ liệu có tỷ lệ giao thức TCP chiếm ưu thế (18,880 bản ghi so với 2,621 UDP và 1,043 ICMP) thì Decision Tree là mô hình phù hợp nhất. Khi UDP chiếm ưu thế, KNN được ưu tiên, còn với ICMP chiếm đa số, SVM là lựa chọn tối ưu.

3. Kỹ thuật xử lý dữ liệu hiệu quả: Việc sử dụng Label Encoding và One-hot Encoding kết hợp chuẩn hóa Standardization giúp cải thiện đáng kể hiệu quả phân loại của các mô hình học máy, giảm thiểu sai số và tăng độ chính xác.

4. Mô hình đề xuất có khả năng ứng dụng thực tiễn: Hệ thống phát hiện xâm nhập mạng dựa trên mô hình học máy được xây dựng có thể triển khai hiệu quả tại Trung tâm Y tế huyện Gò Dầu, giúp phát hiện kịp thời các cuộc tấn công mạng, nâng cao an toàn thông tin.

Thảo luận kết quả

Kết quả thực nghiệm cho thấy Decision Tree là thuật toán có hiệu suất tốt nhất trên bộ dữ liệu NSL-KDD với độ chính xác gần 98%, phù hợp với các ứng dụng cần phản hồi nhanh và chính xác. KNN và SVM tuy có độ chính xác thấp hơn nhưng vẫn có vai trò trong các trường hợp dữ liệu có đặc điểm khác biệt về giao thức truyền dẫn.

So sánh với các nghiên cứu khác, kết quả này phù hợp với xu hướng sử dụng các thuật toán cây quyết định và SVM trong phát hiện xâm nhập mạng, đồng thời nhấn mạnh tầm quan trọng của việc lựa chọn mô hình dựa trên đặc điểm dữ liệu thực tế. Việc áp dụng kỹ thuật xử lý dữ liệu chuẩn hóa và mã hóa giúp giảm thiểu ảnh hưởng của dữ liệu phân loại không đồng nhất, nâng cao hiệu quả mô hình.

Dữ liệu có thể được trình bày qua các biểu đồ so sánh độ chính xác, thời gian huấn luyện và kiểm tra của từng thuật toán, cũng như bảng tổng hợp các chỉ số đánh giá để minh họa rõ ràng sự khác biệt hiệu suất giữa các mô hình.

Đề xuất và khuyến nghị

1. Triển khai hệ thống phát hiện xâm nhập dựa trên Decision Tree tại các tổ chức có lưu lượng TCP lớn: Động tác này nhằm tối ưu hóa độ chính xác phát hiện và giảm thời gian phản hồi, đề xuất thực hiện trong vòng 6 tháng, do bộ phận an ninh mạng của tổ chức chịu trách nhiệm.

2. Áp dụng KNN và SVM cho các môi trường mạng có đặc điểm lưu lượng UDP hoặc ICMP chiếm ưu thế: Giải pháp này giúp tăng khả năng phát hiện các loại tấn công đặc thù, thời gian triển khai dự kiến 3-4 tháng, do nhóm nghiên cứu và kỹ thuật viên phối hợp thực hiện.

3. Cập nhật và duy trì bộ quy tắc Snort thường xuyên: Để đảm bảo hệ thống phát hiện kịp thời các dấu hiệu tấn công mới, cần có quy trình cập nhật định kỳ hàng tháng, do đội ngũ quản trị mạng đảm nhiệm.

4. Phát triển giao diện giám sát trực quan và hệ thống cảnh báo đa kênh: Bao gồm email, SMS và giao diện web để hỗ trợ quản trị viên phản ứng nhanh chóng với các cảnh báo, đề xuất hoàn thành trong 9 tháng, phối hợp giữa phòng CNTT và nhà phát triển phần mềm.

5. Thu thập và sử dụng dữ liệu thực tế từ hệ thống IDS đang hoạt động để huấn luyện và đánh giá mô hình: Giúp nâng cao độ chính xác và tính thực tiễn của hệ thống, khuyến nghị thực hiện liên tục trong quá trình vận hành.

Đối tượng nên tham khảo luận văn

1. Chuyên viên an ninh mạng và quản trị hệ thống: Luận văn cung cấp kiến thức về các thuật toán học máy ứng dụng trong phát hiện xâm nhập, giúp họ lựa chọn và triển khai giải pháp phù hợp với đặc điểm mạng của tổ chức.

2. Nhà nghiên cứu và sinh viên ngành công nghệ thông tin, an toàn thông tin: Tài liệu là nguồn tham khảo quý giá về lý thuyết, phương pháp và thực nghiệm trong lĩnh vực phát hiện xâm nhập mạng, hỗ trợ nghiên cứu và học tập chuyên sâu.

3. Doanh nghiệp và tổ chức có hệ thống mạng lớn: Các giải pháp và mô hình đề xuất giúp nâng cao hiệu quả bảo mật, giảm thiểu rủi ro từ các cuộc tấn công mạng, đồng thời tối ưu chi phí đầu tư.

4. Nhà phát triển phần mềm bảo mật: Tham khảo các kỹ thuật xử lý dữ liệu, mô hình học máy và cách tích hợp hệ thống IDS để phát triển các sản phẩm bảo mật mới, đáp ứng nhu cầu thị trường.

Câu hỏi thường gặp

1. Tại sao chọn bộ dữ liệu NSL-KDD để thực nghiệm?
   Bộ dữ liệu NSL-KDD là phiên bản tối ưu của KDD99, loại bỏ dữ liệu trùng lặp và cân bằng hơn, được sử dụng rộng rãi trong nghiên cứu phát hiện xâm nhập mạng để đánh giá hiệu quả các mô hình học máy.

2. Làm thế nào để lựa chọn thuật toán phù hợp cho hệ thống IDS?
   Việc lựa chọn dựa trên đặc điểm dữ liệu, ví dụ tỷ lệ giao thức TCP, UDP, ICMP trong lưu lượng mạng. Decision Tree phù hợp với TCP chiếm ưu thế, KNN với UDP, và SVM với ICMP, nhằm tối ưu hiệu suất phát hiện.

3. Các thuật toán học máy có thể phát hiện các cuộc tấn công mới chưa biết không?
   Thuật toán dựa trên bất thường như SVM và Decision Tree có khả năng phát hiện các mẫu tấn công chưa biết thông qua học hành vi bất thường, tuy nhiên cần cập nhật dữ liệu huấn luyện thường xuyên để nâng cao hiệu quả.

4. Hệ thống IDS có thể gửi cảnh báo như thế nào?
   Hệ thống có thể gửi cảnh báo qua nhiều kênh như email, SMS hoặc giao diện web, giúp quản trị viên nhận thông tin kịp thời và phản ứng nhanh chóng với các sự cố an ninh mạng.

5. Làm sao để giảm thiểu cảnh báo sai trong hệ thống IDS?
   Sử dụng kỹ thuật học máy kết hợp với xử lý dữ liệu chuẩn hóa, lựa chọn đặc trưng phù hợp và cập nhật bộ quy tắc thường xuyên giúp giảm tỷ lệ dương tính giả, nâng cao độ tin cậy của hệ thống.

Kết luận

• Luận văn đã xây dựng thành công công cụ phát hiện xâm nhập mạng dựa trên học máy, áp dụng ba thuật toán chính: Decision Tree, KNN và SVM, với hiệu quả cao trên bộ dữ liệu NSL-KDD.
• Kết quả thực nghiệm cho thấy Decision Tree đạt độ chính xác 98.09%, thời gian kiểm tra nhanh, phù hợp với lưu lượng TCP chiếm ưu thế.
• Phương pháp xử lý dữ liệu bao gồm Label Encoding, One-hot Encoding và chuẩn hóa Standardization giúp nâng cao hiệu quả phân loại.
• Hệ thống đề xuất có thể triển khai thực tế tại Trung tâm Y tế huyện Gò Dầu, góp phần nâng cao an toàn thông tin và bảo mật mạng.
• Hướng phát triển tiếp theo là áp dụng dữ liệu thực tế từ hệ thống IDS đang hoạt động và nghiên cứu các thuật toán học sâu để cải thiện tốc độ xử lý và khả năng phát hiện các cuộc tấn công phức tạp hơn.

Khuyến nghị: Các tổ chức và doanh nghiệp nên cân nhắc áp dụng mô hình học máy phù hợp với đặc điểm lưu lượng mạng của mình để tối ưu hóa hiệu quả phát hiện xâm nhập, đồng thời duy trì cập nhật và giám sát liên tục nhằm đảm bảo an ninh mạng bền vững.

Trích đoạn nội dung tài liệu

CHƯƠNG 1. TỔNG QUAN CÁC PHƯƠNG PHÁP PHÁT HIỆN VÀ PHÒNG CHỐNG XÂM NHẬP MẠNG 1.1 Tổng quan đề tài 1.1 Xâm nhập mạng là gì? Xâm nhập mạng [1] đề cập đến bất kỳ hoạt động trái phép nào trên mạng. Xâm nhập mạng có hai loại, một là xâm nhập mạng để kiểm thử hay còn gọi là pentest, hai là tấn công mạng. Kiểm thử xâm nhập là hành động xâm nhập nhằm tìm ra lỗ hổng bảo mật trong hệ thống để khắc phục.

Sau khi tìm ra các lỗ hổng nghiêm trọng hoặc nguy hiểm, người kiểm thử sẽ đưa ra giải pháp để vá lỗ hổng nhằm bảo vệ tài nguyên của các tổ chức được bảo mật. Ngược lại, tấn công mạng là hành động lợi dụng mạng Internet để xâm nhập trái phép vào hệ thống website của cá nhân, tổ chức hay máy tính hoặc nguy hiểm hơn là cơ sở dữ liệu, … Mục đích chính của việc này là để đánh cắp thông tin, mã hóa dữ liệu hoặc làm gián đoạn các hoạt động vận hành của tổ chức cũng như doanh nghiệp. Những đối tượng của các cuộc tấn công này có thể là cá nhân, tổ chức, doanh nghiệp lớn nhỏ hoặc các cơ quan nhà nước. Đặc biệt, đối tượng phổ biến nhất bị nhắm đến là các doanh nghiệp bởi vì mục tiêu chính của những kẻ tấn công này là lợi nhuận.

Những tin tặc tấn công chủ yếu nhằm trục lợi phi pháp, tống tiền các doanh nghiệp. Ngoài ra, cũng tồn tại một số doanh nghiệp cạnh tranh không lành mạnh tấn công mạng đối thủ của mình bằng cách đánh sập website của họ. Điều này gây ảnh hưởng ít nhiều đến hình ảnh và uy tín của công ty, thương hiệu.2 Phát hiện xâm nhập mạng Phát hiện xâm nhập mạng [1] là tập hợp các phương pháp và kỹ thuật dùng để dò tìm những hoạt động có dấu hiệu bất thường, đáng nghi ngờ trên mạng. Một tập hợp các phương thức, công cụ, và tài nguyên giúp cho người quản trị xác định, đánh giá, và báo cáo các hoạt động không được cho phép trên mạng được định nghĩa là hệ thống phát hiện xâm nhập (IDS).

Phát hiện xâm nhập được hiểu là một tiến trình mà nó được quyết định khi một người dùng chưa được xác thực cố gắng xâm nhập trái phép vào hệ thống mạng. IDS với hàng triệu tình huống được trang bị để nhận dạng 5 tấn công cũng như cập nhật thường xuyên sẽ kiểm tra tất cả các gói tin đi qua nó và quyết định liệu gói tin này có vấn đề gì khả nghi hay không. Vì thế, hệ thống này đã trở nên thực sự quan trọng, đồng thời là lựa chọn hàng đầu trong việc phát hiện và phòng chống xâm nhập mạng. Công cuộc nghiên cứu và xây dựng hệ thống ngăn chặn và phát hiện xâm nhập (IDS/IPS) đang được nhiều người quan tâm cũng như phát triển và sẽ không ngừng phát triển mạnh mẽ trong thời gian tới.

Những sản phẩm thương mại hiện tại trên thị trường đều có chi phí cao, vượt ngoài khả năng đầu tư của nhiều doanh nghiệp lớn nhỏ dẫn đến hệ quả là những nghiên cứu mã nguồn mở về IDS/IPS được đầu tư nghiên cứu và triển khai. Nhìn chung, những nghiên cứu trong nước liên quan đến IDS/IPS bằng mã nguồn mở tuy nhiều nhưng lại tập trung vào Snort. Ngoài ra, các nghiên cứu này vẫn chưa được áp dụng rộng rãi, tồn đọng nhiều hạn chế như: không có giao diện thân thiện; chưa được tích hợp sẵn thành phần báo động, hoặc có thì cũng chỉ giới hạn qua giao diện console hay qua giao diện Web, chính vì thế nó chưa tạo được sự linh động và tiện dụng cho người dùng; do chỉ tập trung nghiên cứu về Snort làm cho các phần mềm mang tính chất đơn lẻ mặc dù nhu cầu tích hợp các tính năng giám sát khác nhằm đạt được hiệu quả sử dụng cao hơn chưa thật sự được chú trọng và phát triển. Mặt khác, IDS/IPS phải luôn trong tình trạng cập nhật những dấu hiệu tấn công mới vì các kiểu tấn công mạng đang ngày một tinh vi và phức tạp kéo theo những dấu hiệu của chúng liên tục thay đổi.

Chuyên viên quản trị mạng có thể dựa vào các phân tích khác chẳng hạn như dấu hiệu bất thường của lưu lượng vào hoặc ra khỏi hệ thống, hoạt động của RAM, CPU,. để phản ứng kịp thời. Thêm vào đó, hệ thống báo động cần triển khai phải mang tính chất đa dạng với nhiều hình thức, tiện dụng và linh động sẽ mang lại sự hỗ trợ thiết thực cho nhân viên quản trị mạng. Hầu hết các hệ thống có hai đặc điểm chung là tính đa dạng và thay đổi, điều này đã được các nhà nghiên cứu tìm hiểu và chứng minh.

Công việc nghiên cứu và triển khai hệ thống giám sát, phát hiện và phòng chống xâm nhập mạng tồn tại các yếu tố: nhanh chóng, chính xác, trực quan, tiện lợi và linh động là một vấn đề cấp thiết trong thực tế. Phát triển một hệ thống giám sát trực quan để theo dõi các diễn biến trên mạng như: lưu lượng ra/vào một Server, Switch hoặc hoạt động của CPU, bộ nhớ,… sẽ giúp 6 người quản trị mạng có những phân tích rõ ràng, nhanh chóng để đưa ra quyết định ứng phó kịp thời khi bị hệ thống bị xâm nhập. IDS căn cứ vào các dấu hiệu tấn công được triển khai có thể giúp phát hiện một cách nhanh chóng các cuộc tấn công mạng. Khi kết hợp hệ thống với tường lửa sẽ có thể chống lại các cuộc tấn công xâm nhập.

Dù vậy, dấu hiệu của từng kiểu tấn công mỗi ngày một tinh vi phức tạp hơn thì hệ thống càng phải được cập nhật thường xuyên những dấu hiệu mới để có thể phát hiện nhanh chóng các bất thường trên mạng, người quản trị mạng có thể dựa vào những đồ thị trực quan về lưu lượng ra vào hệ thống để có những phản ứng kịp thời. Hệ thống báo động cũng cần thiết phải triển khai để gửi thông báo cho người quản trị trong một số trường hợp đặc biệt nghiêm trọng như: Server bỗng nhiên ngưng hoạt động, một dịch vụ mạng nào đó ngưng hoạt động hay có tấn công. Hệ thống có thể được triển khai qua nhiều hình thức khác nhau để phát thông báo như: qua Web, E-mail, tin nhắn SMS đến người quản trị mạng.2 Các hình thức tấn công mạng 1.1 Phân loại tấn công mạng Có nhiều loại tấn công mạng khác nhau theo đó mức độ nguy hiểm cũng khác nhau với từng loại, tuy nhiên có bốn loại tấn công nguy hiểm nhất mang sức mạnh phá hủy hạ tầng mạng một doanh nghiệp như [2]: 1. Tấn công từ chối dịch vụ (DDoS) Đây là loại tấn công rất phổ biến và cũng là một trong những tấn công mạng có khả năng phá hoại website doanh nghiệp lớn nhất.

Những cuộc tấn công bằng DDoS đe dọa trực tiếp và ngay lập tức đến sự hoạt động của các trung tâm dữ liệu của các doanh nghiệp. Những kẻ tấn công mạng sẽ có nhiều cơ hội để xây dựng các mạng botnet rộng lớn và sau đó kích hoạt các tấn công DDoS toàn cầu bởi sự gia tăng không ngừng của các thiết bị có kết nối IoT với bảo mật kém. Một chứng minh rõ ràng của điều này là sự cố "tắc nghẽn mạng" vào tháng 6, 2019 đã làm cho Google Cloud phải ngừng hoạt động và nó cũng làm ít nhất 16 sản phẩm vệ tinh của Google phải ngừng hoạt động theo, các sản phẩm này chính là: Gmail, G-Suite, Google Cloud, Google Drive, Google Docs và YouTube… 7 2. Mã hóa dữ liệu tống tiền (tấn công Ransomeware) Cơ sở hạ tầng doanh nghiệp là mục tiêu được những tội phạm mạng nhắm vào bằng ransomware vì thiệt hại của nó có thể ảnh hưởng lâu dài trên diện rộng.

Dẫn chứng cho sự tấn công này là công ty lưu trữ Nayana (Hàn Quốc) bị tấn công bằng ransomware làm cho hàng nghìn website của khách hàng lưu trữ trên máy chủ của công ty bị đình trệ hoạt động suốt nhiều tuần liền. Mặc dù đã chi trả một triệu đô la Mỹ tiền chuộc, song vẫn còn nhiều dịch vụ chưa thật sự được phục hồi. Ngoài việc đe dọa dữ liệu của khách hàng trên máy chủ nhà cung cấp dịch vụ, loại tấn công này còn làm giảm sút lòng tin của khách hàng vào doanh nghiệp kinh doanh. Không chỉ có nguy cơ bị phát tán dữ liệu một cách công khai ở khắp mọi nơi, dữ liệu còn bị thay đổi, làm đe dọa đến tính toàn vẹn vốn có của dữ liệu.

Tấn công từ bên thứ ba Vì có thêm một bên thứ ba khác mà các nhà cung cấp dịch vụ bảo mật thường hay gặp phải sự cố khi quản lý bảo mật cho trung tâm dữ liệu của khách hàng. Với mục đích gây hại cho các doanh nghiệp, những kẻ tấn công thường nhắm đến mục tiêu là những nhà cung cấp dịch vụ bảo mật. Cụ thể là vào năm 2019, tổ chức của NordVPN (công ty cung cấp dịch vụ mạng riêng ảo có tính năng bảo mật hàng đầu được đông đảo các doanh nghiệp sử dụng để bảo vệ những dữ liệu nhạy cảm) đã thừa nhận việc một trong số những trung tâm dữ liệu của họ bị tấn công vào năm 2018. Sự việc xảy ra khi họ cài đặt hệ thống truy cập từ xa bởi một bên thứ ba mà chưa thông báo nó cho khách hàng làm dẫn đến tình trạng máy chủ thiếu an toàn.

Tấn công vào ứng dụng web do mật khẩu yếu Tuy không gây ảnh hưởng trực tiếp đến những dịch vụ của trung tâm dữ liệu nhưng bù lại những tấn công vào các ứng dụng web hoặc máy chủ, cụ thể như các form đăng nhập vào ứng dụng web vẫn có thể gây ra gián đoạn các dịch vụ web. Việc đặt mật khẩu yếu, kém hoặc mật khẩu dễ đoán của người dùng là nguyên nhân cho những loại tấn công này. Chúng có thể được thực hiện thông qua các cuộc tấn công đến từ ứng dụng web. Với những mục được nhắm từ trước việc tấn công tốn ít băng thông hơn nhưng nó vẫn có thể khiến các dịch vụ web ngừng hoạt động một cách dễ dàng.

8 Ngoài ra vẫn còn một số loại tấn công khác được sử dụng đến thời điểm hiện nay như: • Tấn công điểm cuối (Endpoint attacks): Các cuộc tấn công điểm cuối đã đạt được quyền truy cập trái phép vào các thiết bị người dùng, máy chủ hoặc các điểm cuối khác. Loại hình tấn công này gây ảnh hưởng đến các thiết bị khác bằng cách lây nhiễm bằng phần mềm độc hại.