MỞ ĐẦU Trong chương này trình bày lý do hình thành đề tài, mục đích, đối tượng và phạm vi nghiên cứu, ý nghĩa khoa học và thực tiễn của đề tài nghiên cứu.1 Lý do hình thành đề tài Xâm nhập (Intrusion) trong thuật ngữ máy tính có thể được định nghĩa là hành động làm tổn hại cho hệ thống máy tính bằng cách phá vỡ tính bảo mật của hệ thống đó. Mỗi ngày có hàng triệu máy tính là nạn nhân của cách làm này khiến các doanh nghiệp thua lỗ do để lộ thông tin bí mật của họ trong các cuộc cạnh tranh doanh nghiệp. Vì lí do đó, an ninh mạng ngày càng trở nên quan trọng cho máy tính của người dùng và các tổ chức. Để ngăn chặn truy cập trái phép vào các hệ thống, một số lượng lớn công cụ phát hiện xâm nhập đã được tạo ra cho phép theo dõi, giám sát, nắm bắt và phát hiện những truy cập không mong muốn trong mạng hoặc trong một thiết bị mạng.
Cả 2 hệ thống trên đều kiểm tra các gói tin và chặn các gói đáng ngờ, cũng như là cảnh báo cho quản trị viên về các nỗ lực tấn công. IPS có thể được định nghĩa là hệ thống kiểm soát hoạt động trong mạng nhằm ngăn chặn các mối đe dọa sắp đến và ngăn chặn các cuộc tấn công đang diễn ra trong khi IDS là công cụ phát hiện và giám sát nhằm cảnh báo cho người dùng về những lưu lượng nguy hiểm tiềm ẩn. IDS là một hướng tiếp cận phù hợp trong thời điểm hiện tại nhằm xây dựng một hệ thống phát hiện xâm nhập cho Cổng thông tin của trường đại học Bách Khoa (Portal) nhằm phát hiện bất thường, cung cấp cho quản trị viên thông tin về các cuộc tấn công mạng vào Portal sau đó đưa đến sự phân tích và phát triển thêm IPS cho hệ thống trong tương lai. Hệ thống mạng của trường hiện tại đang sử dụng Snort.
Snort là một hệ thống phát hiện xâm nhập nguồn mở sử dụng một danh sách các quy tắc giúp xác định hoạt động mạng độc hại và sử dụng các quy tắc đó để tìm các gói tin vi phạm cảnh báo cho quản trị viên. Snort trước đây trong hệ thống hoạt động khá hiệu quả khi các bộ qui tắc của Snort có thể can Trang 1 Hướng tiếp cận học sâu cho hệ thống phát hiện xâm nhập thiệp sâu vào nội dung dữ liệu và đưa ra đánh giá gói tin đó. Tuy nhiên, trong thời gian hiện tại, hệ thống Snort này đang ngày càng trở nên không hiệu quả vì nhiều nguyên do. • Thứ nhất, giao thức mạng hiện nay đa số sử dụng HTTPS, đồng nghĩa với việc dữ liệu trong gói tin đã được mã hóa, các bộ qui tắc của Snort liên quan đến dữ liệu gói tin hoàn toàn không có tác dụng trong khi đa số các cuộc tấn công hiện nay chứa các mã độc nằm trong phần dữ liệu và dễ dàng vượt qua được hệ thống Snort này.
• Thứ hai, Snort là một hệ thống phát hiện xâm nhập tầng mạng (NIDS) nên độ tổng quát khi đánh giá một gói tin rất là rộng. Điều này dẫn đến trong một số khía cạnh nào đó, sẽ gặp khó khăn khi đánh giá một hệ thống IDS hoạt động có thật sự hiệu quả hay là không. Qua thực tế cho thấy, các cảnh báo mà Snort phát hiện hiện nay chủ yếu là cảnh báo về tấn công về "Challenge-Response Buffer Overflow" trong giao thức điều khiển từ xa SSH, bỏ qua nhiều mối nguy hại cho các tầng phía trên (Tầng phiên - Session, Tầng trình bày - Presentation, Tầng ứng dụng - Application), ví dụ điển hình là SQL injection, cross site scripting (XSS). Vì thế, việc xây dựng một hệ thống phát hiện xâm nhập ở các tầng phía trên (cụ thể trong luận văn này là tầng ứng dụng) để bảo vệ nguồn dữ liệu cho Portal là thực sự cần thiết.2 Mục đích, đối tượng và phạm vi nghiên cứu Đề tài này hướng tới việc xây dựng một hệ thống phát hiện xâm nhập ở tầng máy chủ (HIDS), cụ thể ở đây là xây dựng hệ thống phát hiện xâm nhập cho Cổng thông tin trường Đại học Bách Khoa, Đại học Quốc gia TP.
Từ những vấn đề đã được trình bày ở mục Lý do hình thành đề tài, đề tài tập trung cho việc phát hiện xâm nhập cho một dịch vụ - cụ thể ở đây là trang Portal, hướng tới việc phát hiện xâm nhập ở tầng máy chủ (HIDS). Các hệ thống IDS thông thường không hoạt động tốt như mong đợi vì một số lí do: • Hạn chế về phân loại: Nhiều hệ thống IDS hoạt động trên các chiến lược dựa trên các quy tắc hoặc các giải thuật học máy có giám sát để Trang 2 Hướng tiếp cận học sâu cho hệ thống phát hiện xâm nhập phân biệt các request bình thường và các request tấn công, với yêu cầu đòi hỏi một lượng lớn dữ liệu huấn luyện gắn nhãn để huấn luyện các giải thuật học. Tuy nhiên, thật khó và tốn kém để có được dữ liệu huấn luyện này cho các ứng dụng tùy chỉnh tùy ý. Ngoài ra, dữ liệu được gắn nhẵn thường rất mất cân bằng nhiều vì các request tấn công cho các hệ thống tự điều chỉnh khó nhận biết hơn các request bình thường, điều này đặt ra một thách thức lớn cho các nhà phân loại.
Hơn nữa, mặc dù các phương pháp học có giám sát có thể phân biệt các cuộc tấn công đã biết hiện có, nhưng các kiểu tấn công và lỗ hổng mới xuất hiện liên tục, vì vậy chúng có thể phân loại sai. • Hạn chế về dương tính (báo động) giả: Mặc dù các công việc trước đây đã áp dụng các giải thuật học không giám sát (ví dụ như PCA, SVM) để phát hiện các cuộc tấn công, các hướng tiếp cận này yêu cầu lựa chọn thủ công các tính năng cụ thể của cuộc tấn công. Hơn nữa, trong khi các phương pháp này đạt được hiệu suất có thể chấp nhận được, nhưng chúng cũng phải chịu tỉ lệ dương tính giả (fasle positive rate) quá cao. Ví dụ, số dương tính giả tăng 1% có thể khiến hệ thống IDS gắn cờ không chính xác cho nhiều người dùng hợp pháp.
Do đó điều cần thiết là phải giảm tỉ lệ dương tính giả này. Để khắc phục những hạn chế trên, đề tài áp dụng mô hình học sâu đầu cuối (deep learning end-to-end) để phát hiện các cuộc tấn công mạng một cách tự động trong thời gian thực và thích ứng một cách hiệu quả, có quy mô và an toàn để ngăn chặn chúng. [5] Dữ liệu được dùng để nghiên cứu là xoay quanh việc thu thập các yêu cầu (request) của người dùng khi người dùng thực hiện lệnh gọi (System call) đến trang Portal - ở đây là thông qua API (Application Program Interface), các request này đến từ tất cả người dùng truy cập đến trang Portal, bao gồm cả cán bộ, sinh viên, học viên, nghiên cứu sinh,. thuộc trường ĐHBK-ĐHQG-HCM và người dùng khách khi truy cập đến trang Portal.
Đề tài hướng tới việc xây dựng một hệ thống phát hiện xâm nhập nhằm giúp giảm thiểu tối đa rủi ro cho trang Portal khỏi các tác nhân gây hại. Hệ thống này gồm có 2 thành phần chính: • Phần phát hiện xâm nhập và cảnh báo cho quản trị viên qua một hệ thống giám sát, cung cấp cho quản trị viên thông tin cụ thể của một request bất thường. Trang 3 Hướng tiếp cận học sâu cho hệ thống phát hiện xâm nhập • Phần học thuật sẽ thực hiện việc huấn luyện với bộ dữ liệu liên tục được thu thập theo thời gian dựa vào các kỹ thuật học sâu không giám sát và bán giám sát. Dựa vào các tập luật phân tích thông tin để liên tục cập nhật bộ phân loại, có thể phát hiện được thêm được các kiểu tấn công mới, cải thiện hiệu suất phát hiện cho hệ thống phát hiện xâm nhập này.3 Ý nghĩa khoa học và thực tiễn của đề tài nghiên cứu Về mặt khoa học, đề tài đóng góp vào việc nghiên cứu xây dựng, phát triển một hệ thống phát hiện xâm nhập tầng máy chủ, chú tâm vào việc phân tích trực tiếp nguồn dữ liệu mà người dùng truy cập đến hệ thống.
Đề tài này còn đưa ra giải pháp về mô hình mạng autoencoder mới để tiếp tục phát triển sau này. Về mặt thực tiễn, kết quả của nghiên cứu mang lại cho các doanh nghiệp, các cơ sở đào tạo có thể áp dụng, đưa ra giải pháp và tích hợp vào hệ thống bảo mật để bảo vệ nguồn tài nguyên của mình. Sau cùng, bài nghiên cứu này sẽ là tài liệu tham khảo cho các nhà nghiên cứu về sau, cho các cá nhân, tổ chức quan tâm đến vấn đề phát hiện xâm nhập ở tầng máy chủ, vấn đề bảo mật hệ thống thông tin. Trang 4 Hướng tiếp cận học sâu cho hệ thống phát hiện xâm nhập 2 TÌNH HÌNH NGHIÊN CỨU VÀ THÁCH THỨC Trong chương này sẽ phân tích, đánh giá các công trình nghiên cứu đã có của các tác giả trong và ngoài nước liên quan mật thiết đến đề tài; những vấn đề còn tồn tại; những vấn đề mà đề tài cần tập trung nghiên cứu, giải quyết 2.1 Các nghiên cứu liên quan đến đề tài Survey of intrusion detection systems: techniques, datasets and challenges, năm 2019 Bài báo này [2] trình bày về tổng quan của IDS, bao gồm về phần kỹ thuật, bộ dữ liệu và các thử thách của hệ thống này.
Một số kỹ thuật về IDS bài báo này có đề cập đến bao gồm Signature-based (SIDS), Anomaly- based (AIDS), Network-based (NIDS), Host-based (HIDS). SIDS Hệ thống phát hiện xâm nhập dựa trên chữ ký (SIDS) dựa trên các kỹ thuật đối sánh mẫu để tìm ra một cuộc tấn công đã biết, chúng còn được gọi là sự phát hiện dựa trên sự hiểu biết hoặc sự phát hiện lạm dụng. Trong SIDS, phương pháp so khớp đã được sử dụng để tìm một lần xâm nhập trước đó, nghĩa là khi một chữ ký xâm nhập khớp với chữ ký của một lần xâm nhập trước đó đã được lưu trong cơ sở dữ liệu, hệ thống sẽ phát báo động. [2] Với cơ chế này SIDS thường sẽ có độ chính xác phát hiện cao cho các cuộc tấn công đã biết trước đây, nhưng sẽ gặp khó khăn trong việc phát hiện các cuộc tấn công dạng zero-day 1 vì lý do không có chữ ký nào phù hợp tồn tại trong cơ sở dữ liệu cho đến khi nó được cập nhật và lưu trữ.
[2] Tỷ lệ ngày càng tăng của các cuộc tấn công zero-day đã làm cho SIDS ngày càng kém hiệu quả hơn vì không tồn tại chữ ký trước cho bất kỳ cuộc tấn công nào như vậy.