Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh hạ tầng mạng phát triển nhanh chóng, các hình thức tấn công mạng cả từ bên trong lẫn bên ngoài ngày càng gia tăng về quy mô và tính chất phức tạp, gây ra thiệt hại tài chính nghiêm trọng cho các tổ chức và doanh nghiệp trên toàn thế giới. Để bảo vệ an toàn cho hệ thống mạng, hệ thống phát hiện xâm nhập (Intrusion Detection System - IDS) giữ vai trò là một thành phần trọng yếu trong kiến trúc bảo mật tổng thể.

Hệ thống IDS truyền thống dựa trên dấu hiệu (Signature-based IDS) vận hành bằng cách đối soát lưu lượng mạng với cơ sở dữ liệu các mẫu tấn công đã biết. Phương thức này bộc lộ hạn chế lớn là không thể phát hiện các dạng tấn công mới, các biến thể chưa có chữ ký cập nhật kịp thời. Do đó, việc ứng dụng học máy (Machine Learning - ML) và học sâu (Deep Learning - DL) vào IDS được xem là hướng tiếp cận cần thiết nhằm học các đặc trưng hành vi và nhận diện lưu lượng bất thường.

Tuy nhiên, quá trình nghiên cứu và triển khai IDS dựa trên trí tuệ nhân tạo (AI) trong thực tế gặp phải hai rào cản kỹ thuật chính được tác giả chỉ ra:

  1. Sự thiếu hụt bộ dữ liệu gán nhãn chất lượng: Việc thu thập và xây dựng tập dữ liệu mạng được gán nhãn chính xác đòi hỏi nhiều thời gian và chi phí. Đa số các bộ dữ liệu có giá trị cao không được công bố rộng rãi vì lý do bảo mật. Ngược lại, một số bộ dữ liệu công cộng phổ biến (như KDD Cup) đã lỗi thời, không phản ánh đúng đặc tính và hành vi của lưu lượng mạng hiện đại.
  2. Chi phí tài nguyên phần cứng lớn: Việc xây dựng một hệ thống đánh giá thuật toán IDS hoặc thiết lập môi trường tạo lập dữ liệu mạng thực tế thường đòi hỏi hạ tầng máy chủ cồng kềnh, tiêu tốn nhiều tài nguyên tính toán và bộ nhớ.

Xuất phát từ công trình nghiên cứu "A Real-Time Evaluation Framework for Machine learning-based IDS" của tác giả được chấp nhận tại hội nghị khoa học RICE 2021 và các kết quả từ Đồ án chuyên ngành, khóa luận tập trung giải quyết các bài toán trên.

Mục tiêu nghiên cứu:

  1. Xây dựng và thử nghiệm một hệ thống đánh giá thuật toán IDS hoạt động trong thời gian thực, có cấu trúc nhỏ gọn và mức tiêu thụ tài nguyên thấp.
  2. Thiết lập cơ chế mô phỏng mạng để thu thập bộ dữ liệu lưu lượng riêng phục vụ kiểm thử và hỗ trợ các nghiên cứu tiếp theo.
  3. Đánh giá và báo cáo hiệu suất (độ chính xác) của các thuật toán học máy và học sâu khi tiếp nhận luồng dữ liệu mạng thời gian thực.

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Hệ thống phát hiện xâm nhập trong mạng (IDS), tập trung vào các mô hình phân loại dựa trên học máy và học sâu.
  • Phạm vi nghiên cứu: Thiết kế và hiện thực hóa một hệ thống đánh giá thời gian thực cho các mô hình IDS; thu thập luồng dữ liệu thông qua mô phỏng botnet đa giao thức trên môi trường ảo hóa; thực nghiệm đánh giá các thuật toán học máy và học sâu với các tập đặc trưng 78 thuộc tính và 26 thuộc tính.

Cơ sở lý thuyết và phương pháp

Khóa luận thiết lập nền tảng nghiên cứu dựa trên các lý thuyết mạng máy tính, giao thức tấn công từ chối dịch vụ, nguyên lý phân loại xâm nhập và các giải thuật học máy, học sâu.

Khung lý thuyết và mô hình sử dụng

  • Giao thức mạng và phương thức tấn công của Botnet: Khóa luận khảo sát các giao thức tầng ứng dụng và giao vận thường bị lợi dụng trong tấn công từ chối dịch vụ phân tán (DDoS) khuếch đại hoặc làm tràn tài nguyên, bao gồm:
    • Portmap (RPC): Quản lý kết nối Remote Procedure Call qua cổng 111, thường bị lợi dụng gửi gói UDP để tạo lưu lượng khuếch đại.
    • DNS: Lợi dụng cổng 53 để thực hiện DNS Flood làm nghẽn dịch vụ phân giải tên miền.
    • NTP (Network Time Protocol): Giao thức đồng bộ thời gian mạng qua cổng 123, bị khai thác trong các cuộc tấn công NTP Flooding UDP.
    • SNMP (Simple Network Management Protocol): Giao thức giám sát mạng cổng 161.
    • SSDP (Simple Service Discovery Protocol): Thành phần của UPnP chạy UDP cổng 1900, sử dụng các bản tin HTTP M-SEARCH/NOTIFY để tấn công phản xạ.
    • LDAP (Lightweight Directory Access Protocol): Dịch vụ thư mục qua cổng 389.
    • Memcached: Dịch vụ bộ nhớ đệm cổng 11211.
    • Tấn công tầng mạng/giao vận: SYN Flood (lợi dụng cơ chế bắt tay ba bước của TCP), Ping Attack (làm tràn bằng ICMP Echo Request), UDP Flood (gửi lượng lớn datagram đến các cổng ngẫu nhiên).
  • Hệ thống phát hiện xâm nhập (IDS):
    • Network IDS (NIDS): Đặt tại các điểm nút mạng chiến lược để phân tích toàn bộ lưu lượng vào/ra.
    • Host IDS (HIDS): Cài đặt trực tiếp trên máy chủ để theo dõi dữ liệu của chính thiết bị đó.
    • Signature-Based IDS: Nhận diện dựa trên tập luật/chữ ký tấn công đã biết.
    • Machine Learning-Based IDS: Xây dựng mô hình hành vi lưu lượng chuẩn để phát hiện sai lệch hoặc phân loại các mẫu tấn công bất thường.
  • Các thuật toán học máy và học sâu:
    • Học máy (ML): Logistic Regression (sử dụng hàm Sigmoid ánh xạ giá trị đầu ra trong khoảng 0 đến 1), K-Nearest Neighbors (KNN - xác định nhãn dựa trên khoảng cách Euclidean với K lân cận), Decision Tree (Cây quyết định nhị phân phân lớp theo các luật rẽ nhánh tại các nút).
    • Học sâu (DL): Artificial Neural Networks (ANN/MLP với các hàm kích hoạt như ReLU, tham số trọng số và bias), Convolutional Neural Network (CNN - gồm các lớp tích chập Convolutional Layer và Pooling Layer), Recurrent Neural Network (RNN - lưu giữ trạng thái qua các bước thời gian), Long Short-Term Memory (LSTM - kiểm soát nhớ và quên thông qua các cổng Input, Output, Forget Gate), Gated Recurrent Unit (GRU - phiên bản tinh gọn của LSTM), mô hình kết hợp CNN LSTM.
    • Phân tích thành phần chính (PCA - Principal Component Analysis): Phương pháp giảm số chiều dữ liệu từ không gian đặc trưng ban đầu sang hệ cơ sở mới nhằm giảm tải tính toán.

Phương pháp nghiên cứu và nguồn dữ liệu

Tác giả kết hợp phương pháp nghiên cứu lý thuyết với thực nghiệm kỹ thuật:

  • Phương pháp thực nghiệm mô phỏng: Ứng dụng các công cụ sinh lưu lượng để tạo môi trường mạng giả lập:
    • BoNeSi: Sinh lưu lượng botnet tấn công TCP (HTTP-GET), UDP, ICMP với năng lực phát lên đến 150.000 gói tin/giây trên chip AMD Opteron 2GHz.
    • HKUST-SING/TrafficGenerator: Thiết lập các luồng kết nối TCP client-server ngẫu nhiên mô phỏng lưu lượng người dùng thông thường.
    • drdos-framework: Công cụ viết bằng Go tạo các luồng tấn công phản xạ dựa trên danh sách các giao thức (DNS, Portmap, NTP, SNMP, LDAP, SSDP, Memcache).
  • Phương pháp trích xuất đặc trưng lưu lượng: Ứng dụng và tái cấu trúc công cụ CICFlowMeter để trích xuất hơn 80 đặc trưng luồng mạng (network flow features). Tác giả viết lại chương trình, thay thế thư viện bắt gói tin mặc định bằng pcap4j, hỗ trợ chế độ giao diện dòng lệnh (CMD) để xuất luồng trực tiếp ra interface và lưu trữ file CSV.
  • Nguồn dữ liệu:
    • Tập dữ liệu chuẩn KDD được sử dụng trong giai đoạn chạy thử nghiệm và khảo sát ban đầu.
    • Tập dữ liệu do chính tác giả thu thập từ hệ thống botnet mô phỏng thông qua CICFlowMeter, bao gồm tập dữ liệu huấn luyện và tập dữ liệu đánh giá độc lập.

Thiết kế và triển khai hệ thống

Khóa luận thuộc dạng đồ án thiết kế và xây dựng hệ thống phần mềm kỹ thuật, bao gồm kiến trúc nhiều tầng kết hợp giữa hạ tầng mạng mô phỏng và khối xử lý AI.

Thành phần hệ thống Công nghệ / Công cụ triển khai Vai trò kỹ thuật trong hệ thống
Mô phỏng mạng & Botnet Docker, Docker-Compose, BoNeSi, drdos-framework Tạo các container máy ảo đóng vai trò botnet, sinh lưu lượng tấn công đa giao thức.
Lưu lượng hợp lệ HKUST-SING/TrafficGenerator Sinh lưu lượng mạng bình thường giữa client và server qua các phiên TCP.
Điều phối lưu lượng Traffic Scheduler (Shell script / Python) Tự động hóa lịch trình khởi chạy, tạm dừng, điều chỉnh số bot và kiểu tấn công.
Trích xuất đặc trưng CICFlowMeter tùy biến (pcap4j, CLI) Bắt gói tin theo thời gian thực từ card mạng, tính toán trích xuất các thuộc tính luồng.
Đánh giá mô hình (Core AI) Python, Scikit-Learn, TensorFlow, TensorFlow Lite Nạp mô hình ML (.sav) hoặc DL (.tflite), thực hiện tiền xử lý (PCA) và dự đoán nhãn.
Giao diện người dùng (GUI) Giao diện ứng dụng tích hợp Quản lý cấu hình bot, upload mô hình, giám sát log hệ thống và xuất kết quả.

Cơ chế hoạt động của hệ thống

Quy trình đánh giá thời gian thực được vận hành theo workflow khép kín:

  1. Thiết lập kịch bản: Người dùng thông qua giao diện cấu hình số lượng bot, lựa chọn kiểu giao thức tấn công (Portmap, DNS, NTP, LDAP, SSDP...) hoặc nạp tập dữ liệu dạng CSV có sẵn; thiết lập lịch biểu hoạt động thông qua Traffic Scheduler.
  2. Kích hoạt lưu lượng: Docker-compose khởi tạo các container botnet; BoNeSi và drdos-framework phát các gói tin tấn công, song song với TrafficGenerator phát luồng dữ liệu thông thường tới máy đích.
  3. Bắt gói và trích xuất luồng: CICFlowMeter chạy ngầm ở chế độ CMD, lắng nghe trên network interface thông qua pcap4j. Công cụ nhóm các gói tin theo luồng (dựa trên 5-tuple: IP nguồn/đích, cổng nguồn/đích, giao thức) và tính toán hơn 80 chỉ số thống kê (thời gian trôi, độ dài gói, cờ TCP, tốc độ gửi...).
  4. Suy luận thời gian thực: Các vector đặc trưng được đưa vào khối Model Evaluating. Hệ thống nạp các mô hình đã được huấn luyện sẵn dưới dạng định dạng nhỏ gọn: file .sav đối với thuật toán Machine Learning hoặc .tflite (TensorFlow Lite) đối với thuật toán Deep Learning. Kỹ thuật PCA được áp dụng tùy biến để giảm số chiều từ 78 features xuống 26 features.
  5. Hiển thị và lưu trữ: Kết quả dự đoán nhãn (tấn công hay bình thường) của từng luồng từ từng loại bot được hiển thị trực tiếp lên bảng điều khiển, đồng thời ghi nhận vào file log và lưu trữ lịch sử độ chính xác.

Nội dung chính theo từng chương

Chương 1: Mở đầu

Chương này giới thiệu tổng quan bối cảnh an ninh mạng, sự cần thiết của hệ thống phát hiện xâm nhập IDS và định hướng tích hợp AI. Tác giả nêu rõ hai nút thắt kỹ thuật về chi phí tài nguyên và sự thiếu hụt dữ liệu gán nhãn thực tế. Từ đó, chương xác định mục tiêu đề tài, giới hạn đối tượng nghiên cứu là hệ thống IDS và phạm vi nghiên cứu là xây dựng một framework đánh giá thời gian thực nhỏ gọn.

Chương 2: Cơ sở lý thuyết

Chương 2 trình bày chi tiết nền tảng lý thuyết và các công cụ thực nghiệm:

  • Phân tích cơ chế các giao thức và dạng tấn công botnet: Portmap (cổng 111), DNS Flood (cổng 53), NTP Flooding (cổng 123), SNMP (cổng 161), SSDP (cổng 1900), LDAP (cổng 389), cũng như các kỹ thuật TCP SYN Flood, Ping Attack, UDP Flood.
  • Trình bày kiến trúc IDS (NIDS, HIDS, Signature-based, Machine Learning-based).
  • Khảo sát các công cụ sinh dữ liệu: Hướng dẫn cài đặt và thử nghiệm BoNeSi trên Ubuntu 16.04 (với các thư viện libnet-dev, libpcap0.8-dev), thử nghiệm TrafficGenerator và drdos-framework.
  • Trình bày giải pháp tái cấu trúc CICFlowMeter: giải quyết các lỗi Gradle, tích hợp jnetpcap và pcap4j để chạy dưới chế độ dòng lệnh CMD, hỗ trợ xuất kết quả trực tiếp ra interface.
  • Tổng quan lý thuyết học máy và học sâu: Giới thiệu AI truyền thống, học có giám sát (Logistic Regression, KNN, Decision Tree); các kiến trúc mạng nơ-ron (ANN/MLP, CNN, RNN, LSTM, GRU, CNN LSTM).

Chương 3: Xây dựng mô hình tấn công thu thập dữ liệu

Chương 3 mô tả kiến trúc thiết kế và các bước hiện thực hóa hệ thống:

  • Trình bày kiến trúc phân rã các module và thiết kế giao diện đồ họa.
  • Mô tả các tính năng chính của ứng dụng: Cho phép người dùng tải lên mô hình ML định dạng .sav hoặc mô hình DL định dạng .tflite; cấu hình số lượng bot và kiểu giao thức tấn công tương ứng; thiết lập lịch biểu chạy/dừng của các bot; nạp dữ liệu từ file CSV tự chọn; ghi log và hiển thị lịch sử độ chính xác.
  • Thiết lập mô hình mạng thực tế: Cấu hình thông tin các máy chủ (Host) thông qua file docker-compose.yml, kết hợp module Packet Capture, Feature Extractor (CICFlowMeter) và khối suy luận Model Evaluating.

Chương 4: Thực nghiệm và đánh giá

Chương 4 cung cấp số liệu thực nghiệm chi tiết về các bộ dữ liệu và hiệu suất của các thuật toán:

  • Cơ cấu dữ liệu: Bảng 4-1 và Bảng 4-2 mô tả số lượng các mẫu lưu lượng trong tập huấn luyện và tập đánh giá. Bảng 4-4 thống kê số lượng các loại tấn công phục vụ kiểm thử trên hệ thống thực.
  • Thử nghiệm Machine Learning: Đánh giá các thuật toán (Decision Tree, KNN, Logistic Regression) trên tập 78 đặc trưng (Bảng 4-3) và tập 26 đặc trưng (Bảng 4-6). Bảng 4-5 trình bày kết quả chi tiết của thuật toán Decision Tree trên hệ thống thực tế.
  • Thử nghiệm Deep Learning: Đánh giá hiệu suất của các mô hình RNN, LSTM, GRU, CNN LSTM qua 400 epochs huấn luyện (Bảng 4-7, Hình 4.10, Hình 4.11). Đánh giá hiệu suất khi tích hợp kỹ thuật giảm chiều dữ liệu PCA (Bảng 4-9).
  • Triển khai thời gian thực: Bảng 4-8 và Bảng 4-10 thể hiện kết quả kiểm thử độ chính xác khi đưa dữ liệu luồng thực tế từ botnet (các giao thức Portmap, LDAP...) vào các mô hình RNN, CNN LSTM, LSTM nguyên bản và khi áp dụng PCA.

Chương 5: Tổng kết và hướng phát triển

Chương tổng kết các hạng mục đã hoàn thành: Xây dựng thành công framework đánh giá IDS thời gian thực, module trích xuất đặc trưng tự động, bộ dữ liệu thực nghiệm riêng và báo cáo so sánh các thuật toán AI. Tác giả đồng thời xác định các hạn chế nội tại và đề xuất các định hướng mở rộng nghiên cứu.

Kết quả và đóng góp

Số liệu thực nghiệm trong văn bản

Hệ thống ghi nhận hiệu năng sinh gói tin cao của công cụ BoNeSi trong quá trình thử nghiệm trên môi trường cục bộ (loopback), đạt các mốc thông lượng trên 260.000 gói tin/giây:

Thời điểm ghi nhận (Mẫu thử nghiệm BoNeSi) Số lượng gói tin phát sinh (packets/s)
Mẫu 1 266.413
Mẫu 2 261.892
Mẫu 3 262.129
Mẫu 4 232.314
Mẫu 5 263.992
Mẫu 6 260.697
Mẫu 7 221.609

Trong nội dung kiểm thử mô hình, khóa luận thực hiện khảo sát trên hai nhóm thuật toán:

  • Nhóm Machine Learning: Thực nghiệm so sánh giữa tập 78 đặc trưng nguyên bản trích xuất từ CICFlowMeter và tập 26 đặc trưng đã tinh chọn, kiểm chứng khả năng phân loại của Decision Tree trên các luồng tấn công thực tế.
  • Nhóm Deep Learning: Huấn luyện 4 kiến trúc (RNN, LSTM, GRU, CNN LSTM) qua 400 epochs. Kết quả cho thấy các mô hình đạt độ hội tụ ổn định. Việc kết hợp kỹ thuật PCA giảm chiều dữ liệu xuống 26 đặc trưng giúp giảm nhẹ khối lượng tính toán trên mô hình TensorFlow Lite trong khi vẫn duy trì độ chính xác cao khi kiểm thử luồng tấn công thời gian thực.

Đóng góp chính của đề tài

  1. Về mặt hệ thống: Hiện thực hóa thành công một framework đánh giá thuật toán IDS hoạt động theo thời gian thực với cấu trúc nhẹ, tiêu hao ít tài nguyên phần cứng, cho phép nạp linh hoạt các mô hình học máy (.sav) và học sâu (.tflite).
  2. Về mặt công cụ: Cải tiến công cụ CICFlowMeter bằng cách viết lại lõi bắt gói với pcap4j, đưa chương trình về dạng CLI chạy nền ổn định, tự động trích xuất luồng mạng trực tiếp phục vụ bộ suy luận AI.
  3. Về mặt dữ liệu: Xây dựng quy trình tự động sinh dữ liệu mạng dán nhãn thông qua việc kết hợp Docker, BoNeSi, drdos-framework và TrafficGenerator, tạo lập nguồn dữ liệu đa giao thức phục vụ đào tạo và kiểm thử mô hình.
  4. Về mặt học thuật: Công bố kết quả nghiên cứu bước đầu tại hội nghị khoa học RICE 2021 qua bài báo "A Real-Time Evaluation Framework for Machine learning-based IDS".

Hạn chế và hướng nghiên cứu tiếp

Hạn chế

  • Phạm vi mô phỏng botnet chủ yếu được triển khai trên nền tảng ảo hóa Docker trong mạng nội bộ, chưa phản ánh toàn diện các yếu tố trễ mạng phức tạp, mất gói hoặc cấu trúc định tuyến đa tầng trên mạng diện rộng Internet.
  • Các kịch bản tấn công phụ thuộc vào tập giao thức được hỗ trợ bởi các công cụ BoNeSi và drdos-framework, chưa bao quát được các kỹ thuật trốn thoát (evasion techniques) nâng cao của mã độc hiện đại.
  • Tốc độ xử lý và trích xuất đặc trưng của CICFlowMeter khi lưu lượng tăng đột biến ở mức rất cao vẫn tiềm ẩn nguy cơ gây trễ trong chuỗi suy luận thời gian thực.

Hướng nghiên cứu tiếp

  • Mở rộng môi trường kiểm thử lên các hạ tầng mạng phân tán quy mô lớn hơn hoặc môi trường điện toán đám mây.
  • Bổ sung các kịch bản tấn công mới, bao gồm các dạng tấn công ứng dụng web và kỹ thuật né tránh phát hiện của tin tặc.
  • Tối ưu hóa sâu hơn mã nguồn của bộ trích xuất đặc trưng để giảm thiểu độ trễ xử lý gói tin.
  • Phát triển hệ thống từ mức độ phát hiện (IDS) lên mức độ ngăn ngừa xâm nhập (Intrusion Prevention System - IPS), tích hợp cơ chế tự động chặn luồng độc hại tại tường lửa hoặc phần mềm định tuyến.

Giá trị tham khảo

Khóa luận là tài liệu tham khảo phù hợp cho sinh viên, học viên cao học và các nhà nghiên cứu thuộc các chuyên ngành An toàn thông tin, Mạng máy tính và Truyền thông, Khoa học máy tính hoặc Kỹ thuật phần mềm đang thực hiện các đề tài liên quan đến bảo mật mạng và ứng dụng trí tuệ nhân tạo.

Các nội dung có giá trị tham khảo kỹ thuật cao bao gồm:

  • Quy trình triển khai môi trường testbed botnet bằng Docker kết hợp các công cụ sinh lưu lượng mã nguồn mở (BoNeSi, TrafficGenerator, drdos-framework).
  • Giải pháp can thiệp mã nguồn mở để chuyển đổi CICFlowMeter từ ứng dụng giao diện sang công cụ chạy dòng lệnh (CMD) với thư viện pcap4j.
  • Phương pháp đóng gói và tối ưu mô hình học sâu sang định dạng TensorFlow Lite (.tflite) phục vụ bài toán suy luận thời gian thực với tài nguyên giới hạn.
  • Kinh nghiệm thực nghiệm so sánh các giải thuật phân loại mạng (ML/DL) và kỹ thuật giảm chiều dữ liệu PCA trên tập đặc trưng luồng mạng.

Câu hỏi thường gặp

1. Hệ thống của khóa luận giải quyết hạn chế gì của các bộ dữ liệu IDS công cộng như KDD?

Các bộ dữ liệu công cộng phổ biến như KDD Cup không còn phản ánh đúng cấu trúc gói tin và hành vi mạng hiện đại, đồng thời các bộ dữ liệu mới thường không được chia sẻ công khai. Hệ thống giải quyết vấn đề này bằng cách tự động sinh lưu lượng thực tế thông qua các công cụ botnet (BoNeSi, drdos-framework) và lưu lượng bình thường (TrafficGenerator), trích xuất hơn 80 đặc trưng luồng theo thời gian thực để tạo ra dữ liệu gán nhãn cập nhật.

2. Tác giả đã thực hiện cải tiến gì đối với công cụ CICFlowMeter?

Tác giả đã thay thế thư viện bắt gói tin mặc định của CICFlowMeter bằng thư viện pcap4j, khắc phục các lỗi tương thích của Gradle wrapper, đồng thời viết lại chương trình để có thể chạy ở chế độ dòng lệnh (CMD). Cải tiến này cho phép công cụ bắt gói tin trực tiếp từ card mạng (interface), xuất kết quả ra màn hình hoặc file CSV một cách tự động mà không cần thao tác thủ công qua giao diện đồ họa.

3. Tại sao hệ thống lại sử dụng định dạng .tflite cho các mô hình Deep Learning?

Định dạng TensorFlow Lite (.tflite) được thiết kế để tối ưu hóa kích thước mô hình và tốc độ tính toán, phù hợp cho các thiết bị có tài nguyên phần cứng hạn chế. Việc chuyển đổi mô hình học sâu sang .tflite giúp hệ thống giảm thiểu mức tiêu thụ RAM và CPU, từ đó đáp ứng yêu cầu xử lý và phân loại luồng mạng trong thời gian thực.

4. Kỹ thuật PCA được áp dụng như thế nào trong các thực nghiệm của đề tài?

Phương pháp phân tích thành phần chính (PCA) được tác giả áp dụng nhằm giảm chiều không gian đặc trưng từ 78 thuộc tính ban đầu của luồng mạng xuống còn 26 thuộc tính mới. Kỹ thuật này giúp loại bỏ sự dư thừa thông tin, tăng tốc độ huấn luyện và suy luận của các mô hình Deep Learning (như LSTM, CNN LSTM) mà vẫn bảo toàn độ chính xác cần thiết.

5. Hệ thống hỗ trợ giả lập những giao thức và dạng tấn công botnet nào?

Hệ thống hỗ trợ giả lập lưu lượng tấn công đa dạng thông qua drdos-framework và BoNeSi, bao gồm các giao thức Portmap (cổng 111), DNS (cổng 53), NTP (cổng 123), SNMP (cổng 161), LDAP (cổng 389), SSDP (cổng 1900), Memcache (cổng 11211), cùng các hình thức tấn công tầng giao vận và mạng như TCP SYN Flood, UDP Flood và Ping ICMP Flood.

Kết luận

Khóa luận tốt nghiệp của tác giả Nguyễn Khắc Minh Quân đã thiết kế và hiện thực hóa thành công một hệ thống đánh giá thời gian thực dành cho các thuật toán phát hiện xâm nhập IDS dựa trên trí tuệ nhân tạo. Đề tài giải quyết hiệu quả hai bài toán thực tiễn về tiết kiệm tài nguyên tính toán và chủ động tạo lập bộ dữ liệu mạng dán nhãn thông qua việc kết hợp Docker, các công cụ sinh lưu lượng botnet và CICFlowMeter cải tiến. Kết quả thực nghiệm trên các mô hình Machine Learning và Deep Learning (tối ưu hóa bằng định dạng .sav, .tflite và kỹ thuật PCA) đã khẳng định tính khả thi của hệ thống trong môi trường mạng thời gian thực. Đây là công trình kỹ thuật hoàn chỉnh, cung cấp tài liệu tham khảo có giá trị ứng dụng cao cho nghiên cứu an toàn thông tin mạng.