Tổng quan nghiên cứu

Trong kỷ nguyên chuyển đổi số, an toàn thông tin mạng đã trở thành bài toán sống còn đối với mọi tổ chức và doanh nghiệp. Thống kê của các tổ chức bảo mật quốc tế cho thấy số lượng các cuộc tấn công mạng nguy hiểm gia tăng bình quân trên 40% mỗi năm với phương thức ngày càng tinh vi. Mặc dù các giải pháp bảo vệ truyền thống như tường lửa hay hệ thống phát hiện xâm nhập dựa trên luật (Rule-based IDS) đã được triển khai rộng rãi, nhưng chúng tồn tại lỗ hổng lớn khi chỉ phát hiện được những cuộc tấn công đã biết và hoàn toàn bất lực trước các biến thể tấn công mới lạ. Tỷ lệ cảnh báo sai cao cùng yêu cầu cập nhật tập luật thủ công liên tục đã tạo ra gánh nặng vận hành rất lớn cho quản trị viên mạng.

Để giải quyết triệt để vấn đề này, luận văn thạc sĩ khoa học chuyên ngành Cơ sở Toán học cho Tin học của tác giả Trần Thị Hương, do Phó Giáo sư Tiến sĩ Lê Trọng Vĩnh hướng dẫn tại Trường Đại học Khoa học Tự nhiên – Đại học Quốc gia Hà Nội vào năm 2016, đã tập trung nghiên cứu bài toán phát hiện xâm nhập mạng dựa trên cách tiếp cận phát hiện bất thường thông qua học máy. Mục tiêu trọng tâm của nghiên cứu là xây dựng, khảo sát và đánh giá định lượng hiệu quả của 3 thuật toán học máy có giám sát điển hình gồm Hồi quy Logistic, Máy véc-tơ hỗ trợ (Support Vector Machine - SVM) và Mạng nơ-ron nhân tạo (Artificial Neural Network - ANN). Đồng thời, đề tài ứng dụng độ đo Information Gain nhằm rút gọn tập đặc trưng từ 41 thuộc tính gốc xuống tập dữ liệu tối ưu, giúp nâng cao tỷ lệ phân loại chính xác vượt mức 95% và rút ngắn đáng kể thời gian xử lý gói tin mạng.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng trên nền tảng vững chắc của lý thuyết học máy có giám sát và lý thuyết thông tin. Đầu tiên, mô hình Hồi quy Logistic (Logistic Regression) sử dụng hàm kích hoạt Sigmoid để ước lượng xác suất có điều kiện của biến đầu ra nhị phân (kết nối bình thường hoặc xâm nhập) kết hợp kỹ thuật tối ưu hóa giảm Gradient ngẫu nhiên. Thứ hai, Máy véc-tơ hỗ trợ (SVM) dựa trên lý thuyết học thống kê của Vapnik nhằm xác định siêu phẳng phân tách tối ưu có khoảng cách biên lớn nhất giữa các lớp trong không gian đa chiều, áp dụng kỹ thuật lề mềm và các hàm nhân (Kernel) phi tuyến như Radial Basis Function (RBF), đa thức để xử lý dữ liệu phức tạp. Thứ ba, mô hình Mạng nơ-ron nhân tạo nhiều lớp truyền thẳng (Multilayer Perceptron - MLP) áp dụng giải thuật lan truyền ngược (Back-propagation) để liên tục hiệu chỉnh trọng số liên kết thông qua việc cực tiểu hóa hàm tổn thất.

Bên cạnh đó, nghiên cứu tích hợp lý thuyết thông tin Shannon qua độ đo Information Gain (IG) nhằm định lượng mức độ đóng góp của từng thuộc tính mạng. Các khái niệm cốt lõi được định hình chặt chẽ bao gồm: Hệ thống phát hiện xâm nhập mức mạng (NIDS), Hệ thống phát hiện xâm nhập mức máy trạm (HIDS), cùng 4 nhóm hành vi tấn công chính yếu: tấn công từ chối dịch vụ (DoS), tấn công thăm dò (Probe), tấn công chiếm quyền quản trị (User to Root - U2R) và tấn công điều khiển từ xa (Remote to Local - R2L).

Phương pháp nghiên cứu

Nghiên cứu sử dụng bộ dữ liệu chuẩn quốc tế KDD Cup 99, được phát triển bởi Cơ quan Quản lý Nghiên cứu Dự án phòng thủ tiên tiến Hoa Kỳ (DARPA) phối hợp cùng MIT Lincoln Lab. Bộ dữ liệu thô bao gồm gần 5 triệu bản ghi kết nối mạng TCP/IP, mỗi bản ghi được mô tả bởi 41 đặc trưng số và định tính cùng 1 nhãn trạng thái kết nối. Nhóm nghiên cứu tiến hành chọn mẫu phân tầng với tập dữ liệu rút gọn chuẩn 10% KDD chứa 494.021 bản ghi, đồng thời trích xuất các tập con ngẫu nhiên từ 7.000 đến 14.000 bản ghi để huấn luyện và kiểm thử độc lập.

Lý do lựa chọn phương pháp học máy có giám sát là khả năng tự động trích xuất các quy luật ẩn sâu trong không gian dữ liệu nhiều chiều, khắc phục hoàn toàn nhược điểm phụ thuộc vào tri thức chuyên gia của phương pháp so khớp mẫu. Quy trình nghiên cứu được thực hiện qua các giai đoạn nghiêm ngặt: tiền xử lý chuyển đổi các biến phi số (giao thức, dịch vụ mạng, cờ trạng thái) sang giá trị số nguyên, chuẩn hóa miền giá trị toàn bộ thuộc tính về đoạn từ 0 đến 1 bằng phương pháp Min-Max, áp dụng độ đo Information Gain để xếp hạng và rút gọn đặc trưng, cuối cùng là huấn luyện và đánh giá mô hình bằng kỹ thuật kiểm định chéo 10 phần (10-fold cross validation) trên nền tảng phần mềm Matlab R2014 và máy chủ chuyên dụng cấu hình vi xử lý Intel Xeon 2.67GHz, bộ nhớ RAM 16GB.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình thực nghiệm đã đem lại nhiều phát hiện có ý nghĩa khoa học và thực tiễn sâu sắc:

Thứ nhất, việc áp dụng độ đo Information Gain đã định lượng chính xác tầm quan trọng của 41 thuộc tính, cho phép loại bỏ 7 đặc trưng không quan trọng (gồm land, wrong_fragment, urgent, su_attempted, num_shells, num_outbound_cmds, is_host_login) để thu hẹp tập dữ liệu xuống còn 34 hoặc 31 đặc trưng cốt lõi. Kết quả này tương đồng và chuẩn hóa chặt chẽ hơn về mặt toán học so với phương pháp thử nghiệm loại bỏ từng biến của các công trình trước đây.

Thứ hai, việc giảm số chiều dữ liệu không những không làm suy giảm độ chính xác mà còn cải thiện tốc độ tính toán vượt bậc. Khi sử dụng tập 31 đặc trưng tối ưu, thời gian huấn luyện của các thuật toán giảm từ 20% đến hơn 30%, trong khi tỷ lệ phát hiện tấn công tổng thể vẫn duy trì ở mức cao vượt trội trên 95,5%.

Thứ ba, khi so sánh đối đầu giữa 3 mô hình, Mạng nơ-ron nhân tạo (ANN) và Máy véc-tơ hỗ trợ (SVM nhân RBF) thể hiện hiệu năng phân loại vượt trội nhất, đạt tỷ lệ phát hiện chính xác lên đến 97,8% đối với các kiểu tấn công DoS và Probe. Thuật toán Hồi quy Logistic cho tốc độ xử lý nhanh nhất nhưng độ chính xác thấp hơn, đạt khoảng 91,2%.

Thảo luận kết quả

Hiệu năng ấn tượng của SVM và ANN bắt nguồn từ khả năng ánh xạ phi tuyến mạnh mẽ, giúp phân tách hiệu quả các ranh giới dữ liệu phức tạp của lưu lượng mạng bất thường. Dữ liệu tấn công DoS và Probe thường gây ra sự biến thiên đột biến về lưu lượng byte và tần suất kết nối, do đó các vector hỗ trợ của SVM và các trọng số ẩn của mạng nơ-ron dễ dàng nhận diện chính xác. Tuy nhiên, đối với hai dạng tấn công nguy hiểm là U2R và R2L, tỷ lệ phát hiện ở cả 3 thuật toán đều thấp hơn do số lượng mẫu của hai lớp này trong tập dữ liệu chiếm tỷ trọng quá nhỏ (dưới 1% tổng số mẫu), dẫn đến hiện tượng mất cân bằng dữ liệu nghiêm trọng.

Trong thực tế nghiên cứu, toàn bộ kết quả phân loại được trực quan hóa thông qua Ma trận nhầm lẫn (Confusion Matrix), Bảng so sánh chỉ số độ chính xác (Accuracy), độ nhạy (Recall), tỷ lệ cảnh báo sai (False Positive Rate) và Biểu đồ đường biểu diễn sự hội tụ của hàm mất mát qua từng chu kỳ huấn luyện (Epoch). So với các nghiên cứu trước đây vốn chỉ đạt độ chính xác xấp xỉ 91% với chi phí tính toán lớn, việc kết hợp chuẩn hóa dữ liệu và trích chọn đặc trưng bằng Information Gain trong luận văn đã nâng tỷ lệ phân loại trung bình lên 96,5% - 98,2%, tạo ra bước tiến quan trọng về tính khả thi khi triển khai thời gian thực.

Đề xuất và khuyến nghị

Dựa trên các phát hiện thực nghiệm, luận văn đưa ra 4 nhóm giải pháp mang tính hành động cao:

  1. Tích hợp giải thuật lọc đặc trưng Information Gain vào module tiền xử lý của các hệ thống NIDS: Cần loại bỏ ngay các trường dữ liệu dư thừa để giảm tải 25% tài nguyên tính toán của phần cứng, hướng tới mục tiêu xử lý gói tin theo thời gian thực với độ trễ dưới 5 mili giây trên mỗi gói tin. Giải pháp này nên được các kỹ sư an ninh mạng triển khai trong vòng 3 tháng đầu tiên.
  2. Xây dựng mô hình kiến trúc lai (Hybrid Architecture) kết hợp Mạng nơ-ron và Cây quyết định: Ứng dụng mạng nơ-ron để lọc các cuộc tấn công diện rộng (DoS, Probe) và sử dụng cây quyết định hoặc kỹ thuật tái lấy mẫu (SMOTE) để phân loại các cuộc tấn công hiếm gặp như U2R, R2L, nhằm nâng tỷ lệ phát hiện nhóm này từ 70% lên trên 88% trong lộ trình 6 tháng do bộ phận nghiên cứu và phát triển đảm nhận.
  3. Triển khai cơ chế học trực tuyến (Online Learning) cho mạng nơ-ron: Cho phép mô hình tự động cập nhật trọng số liên tục khi tiếp nhận các mẫu lưu lượng mới, rút ngắn thời gian tái huấn luyện định kỳ xuống dưới 60 phút khi có cảnh báo về biến thể mã độc mới, thực hiện trong vòng 9 tháng tại các trung tâm dữ liệu.
  4. Chuẩn hóa quy trình tiền xử lý và số hóa dữ liệu lưu lượng mạng tự động: Thiết lập các bộ chuyển đổi giao thức và chuẩn hóa Min-Max tự động tại các cổng switch trung tâm nhằm duy trì độ chính xác phát hiện xâm nhập trên 96% liên tục 24/7, do đội ngũ quản trị hệ thống mạng thực hiện ngay lập tức.

Đối tượng nên tham khảo luận văn

Công trình nghiên cứu này mang lại giá trị học thuật và ứng dụng thực tiễn to lớn cho 4 nhóm đối tượng chính:

  1. Học viên cao học và nghiên cứu sinh ngành Khoa học Máy tính, An toàn Thông tin: Tài liệu cung cấp cơ sở toán học chi tiết về bài toán tối ưu hóa trong SVM, mạng MLP và ứng dụng lý thuyết thông tin trong xử lý dữ liệu lớn.
  2. Kỹ sư an ninh mạng và kiến trúc sư hệ thống bảo mật: Nắm bắt phương pháp thiết kế pipeline phát hiện xâm nhập thực tế, từ bóc tách gói tin, số hóa đặc trưng đến tích hợp các thuật toán học máy vào hệ thống giám sát mạng.
  3. Chuyên viên vận hành Trung tâm giám sát điều hành an toàn thông tin (SOC): Có thêm cơ sở thực nghiệm để tối ưu hóa bộ lọc sự kiện, giảm tỷ lệ cảnh báo giả xuống dưới 5%, nâng cao năng suất xử lý sự cố an ninh mạng.
  4. Giảng viên và nhà nghiên cứu tại các trường đại học: Sử dụng luận văn như một tài liệu tham khảo chuẩn mực trong giảng dạy các học phần chuyên đề về Học máy ứng dụng và An toàn mạng nâng cao.

Câu hỏi thường gặp

  1. Tại sao luận văn lại lựa chọn tập dữ liệu KDD Cup 99 để đánh giá thuật toán? Bộ dữ liệu KDD Cup 99 chứa gần 5 triệu bản ghi chuẩn hóa với đầy đủ 4 nhóm tấn công cơ bản và lưu lượng bình thường. Đây là bộ dữ liệu tiêu chuẩn quốc tế giúp kết quả thực nghiệm có tính khách quan và dễ dàng so sánh đối sánh với các công trình nghiên cứu trên toàn thế giới.

  2. Thuật toán học máy nào cho hiệu quả phát hiện xâm nhập mạng cao nhất? Mạng nơ-ron nhân tạo (MLP) và Máy véc-tơ hỗ trợ (SVM nhân RBF) đạt hiệu quả cao nhất với độ chính xác trên 97,8% đối với các cuộc tấn công DoS và Probe, vượt trội hơn so với mô hình Hồi quy Logistic vốn đạt khoảng 91,2%.

  3. Phương pháp rút gọn đặc trưng bằng Information Gain mang lại lợi ích gì? Độ đo Information Gain giúp lượng hóa mức độ quan trọng của từng biến, cho phép loại bỏ 7 thuộc tính dư thừa. Điều này giúp giảm hơn 25% thời gian huấn luyện và tăng tốc độ xử lý gói tin mà không làm suy giảm độ chính xác của hệ thống.

  4. Tại sao tỷ lệ phát hiện các cuộc tấn công U2R và R2L thường thấp hơn DoS? Nguyên nhân do sự mất cân bằng dữ liệu nghiêm trọng trong tập huấn luyện, khi các mẫu U2R và R2L chiếm tỷ lệ dưới 1%. Mô hình học máy không có đủ dữ liệu đại diện để tối ưu hóa ranh giới phân lớp cho các nhóm tấn công hiếm này.

  5. Hệ thống học máy trong luận văn có thể triển khai trên môi trường mạng thực tế không? Hoàn toàn khả thi nếu được tích hợp vào các thiết bị phần cứng chuyên dụng hoặc phần mềm NIDS mã nguồn mở. Tuy nhiên, hệ thống cần được bổ sung module trích xuất đặc trưng gói tin theo thời gian thực và cơ chế cập nhật mô hình định kỳ.

Kết luận

  • Luận văn đã hệ thống hóa toàn diện các phương pháp tiếp cận trong phát hiện xâm nhập mạng và thiết lập thành công mô hình phát hiện bất thường dựa trên học máy có giám sát.
  • Áp dụng thành công độ đo Information Gain để tối ưu hóa bộ dữ liệu KDD Cup 99 từ 41 đặc trưng xuống còn 31-34 đặc trưng cốt lõi, loại bỏ 7 biến không quan trọng.
  • Chứng minh bằng thực nghiệm rằng Mạng nơ-ron nhân tạo và SVM nhân RBF đạt độ chính xác vượt trội trên 97%, cải thiện đáng kể so với mức trung bình 91% của các nghiên cứu trước đó.
  • Giảm thiểu hơn 25% chi phí tính toán và thời gian huấn luyện mô hình thông qua quy trình tiền xử lý và chuẩn hóa dữ liệu khoa học.
  • Đặt nền móng vững chắc cho lộ trình 12 tháng tiếp theo nhằm phát triển các mô hình học sâu kết hợp cơ chế xử lý dữ liệu mất cân bằng trong môi trường mạng thế hệ mới.

Để khai thác tối đa tiềm năng của giải pháp, các tổ chức và chuyên gia bảo mật nên ứng dụng ngay quy trình chọn lọc đặc trưng và cấu trúc mạng nơ-ron được đề xuất vào hệ thống giám sát an ninh mạng thực tế.