Chương 1. MO DAU cicceececcsccsccsssesssssesssssscsssssessesuessessesuessessecsessessessessusssessssuessessesseeseeaes 2 LD. TO ca nẽäả. Mục tiêu của để tài.
Đối tượng và phạm vi nghiên ŒỨu. Đối tượng nghiên cứu. Pham vi nghiÊn CỨU. (11111 nh 6 Chương 2.---5-- 52 SE SE9EE‡EEEEEEE21121121121121171 212121 xe 7 2.
Tổng quan về tấn công lừa đảo. Tổng quan về kỹ thuật phát hiện tan công lừa đảo từ thông tin tĩnh. Tổng quan về kỹ thuật phát hiện tan công lừa dao từ thông tin giao điện. _ Tổng quan về các thư viện sử dụng trong module web.
Các công trình lIiÊn QUa11.- 5 (219911311 11911 911931 1 1 ng nh ng 26 Chương 3. Nội dung và phương pháp,. Các bộ dữ liỆu.-- - L4 k1 1121 HH TH TH TH HH HH TH 31 3. Mô hình phát hiện URL lừa dao từ thông tin tinh va từ thông tin giao dién.
_ Xử lí dữ liệu đầu vào. _ Mô hình phát hiện URL lừa đảo từ thông tin tinh. Mô hình phát hiện URL lừa đảo từ thông tin giao diện. Chỉ số đánh giá mô hình phát hiện và nhận dang URL lừa đảo.
Triển khai ứng dung web PhishDetect.--- 2-22 ©xz22xc£x2zxezxeerxrrreerxeee 49 3. Xử lý dữ liệu đầu vào. Phat hiện URL lừa dao từ thông tin tĩnh. Phát hiện URL lừa dao từ thông tin g1ao điỆn.
11EErkrrrrree 53 Chương 4. Thực nghiệm và đánh giá. Môi trường thực nghiỆm. Môi trường huấn luyện mô hình.
Môi trường triển khai mô hình và ứng dụng web. Kết quả nghiên COU o. Két quả huấn luyện mô hình phát hiện URL lừa đảo từ thông tin tĩnh. Kết quả huấn luyện mô hình phát hiện URL lừa đảo từ giao dién.
Kết quả thực tế thông qua giao diện WeD o.ccccccecsesssessesssesseessesseessesseeeseess 62 Chương 5. Tổng kết và hướng phát triỀn. Y nghĩa khoa hỌC. Hiệu quả về mặt kinh tế - xã hội.-- + 2 2 2 +E+EE+EE+EE+EEEEEeEEEErEerrrrrerrree 66 5.
Hướng phát triển trong tương lai.-----¿ 2 £++++E++E++ExtEkerEerkerkerrerrerrerree 66 Tai 1i@u tham Khao. 67 DANH MỤC HÌNH Hình 1: Tổng quan hệ thong dé XUdt cecceccecscecscsssessesssesssessesssessesssessusssessusssessuessessusssessseeses 29 Hình 2: Tinh quan trọng của các đặc trưng với mô hình Random Foresf. 35 Hình 3: Mô hình phát hiện URL lừa dao từ thông tin fĨnh. 41 Hình 5: Mô hình nhận dạng thương hiỆU.
SG S Sky 44 Hình 6: Biến thể logo của YoufuĐ€.----2+©5++5£+Se+EE+EE+EEEEESEEEEEEEEEEEEEEEEEEEEEEEEErrkerrek 46 Hình 7: Phishing target brand dựa trên khoảng 30.000 trang web lừa đảo được thu thập. Các thương hiệu hàng dau bị lừa đảo bao gồm Microsoft (7962), Paypal (4811), Chase Personal Banking (1085), Facebook (993) và Amazon (7).----«<<+<ss+++ss++ 47 Hình 8: Luong hoạt động của ứng dụng Web .--- -©c- 5s St+E‡EeE+ESEEEEEEEEEerkerkerrrerssrs 50 Hình 9: Quá trình xử lý dữ liệu đầu vào đối VOID URL.-----z©-scse+cs+csc>zsecse+ 51 Hình 10: Triển khai ứng dụng web trên môi trường Clouid.------z©-s+cse+cs+cse+cs2 56 Hình 11: Confusion matrix trên tập đữ liệu 2000 L,. S255 55 S5ss‡s++sse+sseerxeeesxs 57 Hình 12: Độ chính xác của mô hình Siamese (Precision-Recall Curve) .- - -- 60 Hình 13: Kết quả phát hiện URL hợp pháp dựa trên giao điỆN.-- -««<-s«<<s<+++ 61 Hình 14: Kết quả phát hiện URL lừa đảo dựa trên giao điỆN.----~-«<<s<<s<++s++ 61 Hình 16: Trang nhập URL dé kiểm tra lừa đảo.- 2 c©5e c++cteEeEteEkerkerkerrrrrerrres 63 Hình 17: Trang hiển thị kết quả chính .- 2-52 S£+E‡SE£EE+E£EEEEESEEEEEEEEEEEEerEerksrrkerssrs 64 DANH MỤC BANG Bảng 1: Phân loại các đặc trưng và ý nghĩa của CHUNG .--«-s «<< sssseeseess 36 Bang 2: Các chỉ số đánh giá trên tập dữ liệu 2000 URL.--- 2-5552 ©52©csccc+cccss 57 Bảng 3: So sánh các dé XIT. 58 Bảng 4: Độ chính xác trung bình của phát hiện đối tượng.--:--5-©5+©5s55c5csccse2 59 Bang 5: So sánh đầu vào, giải pháp sử dung và tập dit liệu với các hệ thong khác.
62 Bảng 6: Kết quả phát hiện lừa đảo và hợp pháp trên tập dữ liệu 5000 URLs. 62 DANH MỤC TỪ VIET TAT Số thứtự | Thuật ngữ Mô tả CNN Convolutional Neural Network CPU Central Processing Unit EMD Earth Mover’s Distance FP False Positive FPNs Feature Pyrmaid Network-based FPR False Positive Rate tệ GPU Graphics Processing Unit OG Histogram of Oriented Gradients IDE Integrated Development Environment ki thi ° es) O Remote Control R-CNN Region-based Convolutional Neural Network ¬N „m Random Forest m NN Recurrent Neural Network an A RPN Region Proposal Network œ[¬ị|ỊOltCđ SIFT Scale-Invariant Feature Transform SSD Single Shot MultiBox Detector ¬| — — `© SVM ¬Z2 ¬ Nke) Support Vector Machines True Negative True Negative Rate NO oO ae] True Positive TPR True Positive Rate YOLO You Only Look Once TÓM TÁT KHÓA LUẬN Trong khóa luận này, chúng em đã thiết kế một hệ thống được chia thành hai nhánh chính, với input đầu vào là một đoạn text message. Nhánh đầu tiên, gọi là nhánh phát hiện URL lừa đảo từ thông tin giao diện, sử dụng một hệ thống Hybrid deep learning để giải quyết hai thách thức kỹ thuật quan trọng trong việc phát hiện lừa đảo từ thông tin giao diện. Thách thức đầu tiên là nhận dạng chính xác logo thương hiệu dựa trên ảnh chụp màn hình của trang web, và thách thức thứ hai là xử lý các biến thể của logo.
Đề giải quyết van đề đầu tiên, chúng em đề xuất sử dung mô hình học sâu Object detection, kết hợp với mô hình học sâu Siamese để giải quyết vấn đề thứ hai. Nhờ sự kết hợp này, chúng em đã dat được độ chính xác cao và giảm chi phí thời gian chạy trong nhánh này. Điều quan trong là chúng em không cần huấn luyện với bat kỳ mẫu lừa đảo cụ thé nào, mà đã thực hiện thử nghiệm trực tiếp trên dữ liệu lừa đảo thực tế. Kết quả chúng em đã chứng minh rằng hệ thống Hybrid deep learning của chúng em vượt trội đáng ké so với các phương pháp nhận dang cơ bản như EMD, PhishZoo và LogoSENSE trong việc xác định chính xác các trang web lừa đảo.
Bên cạnh đó, dé tăng độ chính xác trong việc phát hiện lừa đảo, chúng em đã phát trién một nhánh thứ hai sử dụng kỹ thuật học máy có giám sát Random Forest. Chúng em đã chọn ra 47 đặc trưng quan trọng nhất và có ảnh hưởng nhất dé đào tạo mô hình, sau khi kiểm tra tính quan trọng và ý nghĩa của các đặc trưng đôi với việc phát hiện lừa đảo. Kết quả đạt được cho thấy độ chính xác rất cao lên đến 97%. Kết hợp kết quả từ cả hai nhánh phát hiện, chúng em đưa ra kết luận cuối cùng về URL và hién thị các thông tin chỉ tiết lên ứng dụng web mà chúng em xây dựng cho người dùng quan sát.
Có thể nói hệ thống của chúng em cải thiện hơn rất nhiều so với các giải pháp khác khi phát hiện URL lừa dao sử dụng cả thông tin tĩnh và thông tin giao diện, từ đó cho ra kết quả tối ưu nhất có thê với mỗi URL đầu vào. Tén dé tai Tên tiếng Việt: XÂY DUNG GIẢI PHAP PHAT HIEN PHISHING LINK SỬ DUNG MAY HOC Tén tiéng Anh: BUILDING A MACHINE LEARNING-BASED SOLUTION FOR DETECTING PHISHING LINK 1. Dat van dé Trong những năm gần đây, tấn công lừa đảo đã phát triển một cách nhanh chóng và trở thành một dịch vụ phổ biến, đến mức hiện nay, nó được cung cấp như một dich vụ [1] [2] [3]. Đặc biệt, trong đại dịch COVID-19, số lượng cuộc tan công lừa đảo đã tăng lên gap 4-5 lần [4].
Dé đối phó với tình hình này, các nhà nghiên cứu đang rất quan tâm va đưa ra nhiều giải pháp phát hiện tan công lừa đảo mới và đa dang. Có hai loại giải pháp chính dé phat hiện các trang web lừa đảo. Dau tiên là phát hiện lừa dao dựa trên thông tin tĩnh, nghĩa là dựa trên những dữ liệu có định của trang web như nội dung và đặc điểm kỹ thuật. Loại thứ hai là phát hiện lừa đảo dựa trên thông tin giao diện, nghĩa là dựa trên cách trang web tương tác và hiển thị với người dùng.
Các giải pháp phát hiện lừa đảo dựa trên thông tin tinh thường sử dụng các mô hình máy học được huấn luyện trên các bộ dữ liệu. Một số mô hình phát hiện lừa đảo chỉ sử dụng URL dé huấn luyện và dự đoán [5] [6] [7] [8], trong khi những mô hình khác sử dụng nội dung HTML để trích xuất các đặc trưng [9] [10] [11] [12]. Tuy nhiên, giải pháp này có những hạn chế. Một trong những hạn chế là việc cập nhật mô hình đòi hỏi liên tục cung cấp các bộ dữ liệu lừa đảo đã được gắn nhãn một cách lớn.
Điều này đòi hỏi sự đầu tư và công sức đáng ké dé thu thập và xử lý các dữ liệu này. Ngoài ra, các kẻ tấn công có thé áp dụng các kỹ thuật trốn tránh đề đánh lừa các giải pháp này [13] [14]. Điều nay đặt ra thách thức với việc xác định và phát hiện các hình thức tan công mới và tiên tiến hơn. Trái ngược với giải pháp phát hiện lừa đảo dựa trên thông tin tĩnh, các giải pháp phát 2 hiện lừa đảo từ thông tin giao diện dựa trên việc lưu trữ một tập hợp các thương hiệu hoặc trang web của các thương hiệu, thường là mục tiêu của các cuộc tấn công lừa đảo.
Các mô hình được xây dựng dựa trên dữ liệu đã được lưu trữ. Trong quá trình hoạt động, nếu mô hình dự đoán rằng một trang web nhất định tương tự với trang web của một thương hiệu cụ thể trong cơ sở dữ liệu, nhưng có tên miền khác với thương hiệu được xác định, thì trang web đó được phân loại là trang web lừa đảo [15] [16] [17] [18]. Tuy nhiên, cách tiếp cận như vậy có những hạn chế. Một trong những hạn chế là tính linh động và sự thay đổi thường xuyên của các trang web và nội dung của chúng [19] [20].
Điều này đồng nghĩa với việc cơ sở dữ liệu cần được cập nhật liên tục dé bắt kịp với sự thay đổi này, đồng thời tao ra một danh sách thương hiệu hoàn chỉnh và chính xác. Việc này có thé gây ra độ chính xác thấp hơn trong việc phát hiện tan công lừa đảo, vì các trang web lừa đảo có thé sử dụng tên miền mới hoặc các biện pháp thay đổi khác dé tránh bị phát hiện. Trong năm 2021, một kỹ thuật mới đã được giới thiệu đề giải quyết các vấn đề trên, đó là sử dụng hệ thống hybrid deep learning, tức là kết hợp hai mô hình deep learning với nhau. Cụ thể, kỹ thuật này tách phát hiện lừa đảo từ thông tin giao diện thành hai vấn đề chính: nhận dạng logo và nhận dạng thương hiệu.
Mô hình được dé xuất sử dụng để nhận dạng logo là mô hình Object Detection, trong khi mô hình được sử dụng để nhận dạng thương hiệu là mô hình Siamese. Mô hình Siamese không yêu cau bat kỳ bộ dữ liệu lừa đảo nào dé huấn luyện, giúp giảm thiểu sự sai lệch do đữ liệu đầu vào tạo ra.