Chương 1. ẦẶEẶằ-GCl-eeeiie 28 1. Mục tiêu của đề tài. Đối tượng và phạm vi nghiên cứu.
Đối tượng nghiên cứu. _ Phạm vi nghiên CỨU.- ¿+ c5 S 3k eEeEekekrkrkrrkrerere 29 Chương2. CO SO LÝ THUYẾT. Các giao thức và phương pháp tân công của botnet:.
Các giao thức có trong hệ thống.-cc--ccccsscccc--cc-x30) 2. HH2 ere 31 DLS. TCP, UDP, ICMP Flooding Attack (Bonesi tạo ra). Intrusion Detection System (IDS).
__ IDS dựa trên phương pháp học máy. _ Giới thiệu CHUN. cece cece cseeeeeseseeeeneneseseseeseneseseseeeesensseseeeeeee 36 2. Cai đặt Bonesi trên Ubuntu 16.
Thur nghiệm oo. Giới thiệu ChUN oo eee ees eeseereeseaesestessseseststenessseeneeneseee 40 2.- c1 ST HH HH HH4I 2.Q HH HH1 He43 2. Viết lại chương trình. Chạy ở chế độ CMD bắt gói tin và hiền thị trực tiếp ra màn hình 46 2.
Xuất kết quả ra interface. Xuất file thực thic. Giới thiệu về Machine Learning và Deep Learning. AI truyền thống.
Các thuật toán Machine Learning. Các thuật toán Deep Learning (Hoc sau). Artificial neural networks (ANN). Convulutional Neural Network (CNN).
Recurrent Neural Network. Long Short Term Memory. Error! Bookmark not defined. CNN Long Short-Term Memory Networks (CNN LSTM).
| XAY DUNG MO HINH TAN CONG THU THẬP DU LIBU. Kiến trúc hệ thong. Giao diện của hệ thống. Tính năng của Ứng dụng.
Có thể tự thêm mô hình Machine Learning với đuôi .sav hoặc Deep Learning với đuôi .tflite để đánh giá. Cách xây dựng tính năng. Tùy chỉnh số lượng bot và kiểu tấn công cho từng loại bot. Cách xây dựng tinh năng.
Tùy chỉnh thời gian để tạo ra hay ngừng tao traffic cho từng loại bot 78 3. Cách xây dựng. Có thé tự tao traffic như user muốn. Cách xây Ựng.- cành HH ng HH Hy 80 3.
Lưu lịch sử của quá trình đánh giá các model. Hiển thị các log dé theo dõi qua trình đánh gid. Xây dựng mô hình tan công dé thu thập dữ liệu. Các host liên quan trong mô hình.- -- + «+ ++s<+++sex+se+esess 81 3.
Xây dựng mô hình.- -- «+ + kh HH ng nh ngư 32 3. Hệ thong botnet (Network Traffic GenerafOr). Packet Cap(UTG. Feature Extractor và Model EvaluafIng.
THỰC NGHIEM VÀ ĐÁNH GIA o. Tổng Quan coceccccceeccsscsssessessssssessessecsssssessessecsssssessesssssessessessesssessessessesseeseesess 92 4. Thử nghiệm trên các thuật toán Machine Learning. Thử nghiệm trên các thuật toán Machine Learning với 78 feaures.94 422, Thử nghiệm trên các thuật toán Machine Learning với 26 feaures.
Thử nghiệm trên các thuật toán Deep Learning. Tổng quan các thuật toán và kỹ thuật dùng dé đánh giá và thực nghiệm 105 4. __ Thử nghiệm trên các thuật toán Deep Learning với 26 feaures. __ Thử nghiệm trên các thuật toán Deep Learning 78 features áp dụng I@.
TÔNG KET VÀ HƯỚNG PHÁT TRIÉN. Kết quả đạt được. Hướng phát triỂn. 117 TÀI LIEU THAM KHẢO.
-- 2-52 5E2E£2EE£EE£EEEEEEEEEEEEEEEEEEEEEEEEErkrrkkrrrrrkee 119 17 DANH MỤC HÌNH VE Hình 2.1 Sử dụng wireshark bắt gói tin giao thức portmap.2 Tan công DNS Flooding.----- + ¿+ £+2+EE+EE£EE2EESEEeEEerEkrrkrrkerkrrex 31 Hình 2.3 SYN Flood DDos Attack .- c6 5 SH HH HH HH rưệt 34 Hình 2.4 Kiến trúc của IDS dựa trên AI.--cc¿+c2+csccxerrrrrtrrrrrtrrrrrrrrrre 36 Hình 2.5 Clone repo của bonesi VỀ .----- 2 ¿5£ +E+EE£EE+EEEEEEEEEEEEEEEerkerkrrkrree 37 Hinh 2.7 Chạy lệnh COnẨTE UT€.-- 6 11 3 931 1191199111 vn ngàng Hưng nh rệt 37 Hình 2.8 Chạy 2 lệnh và cài xong bOn€Si .-- - --- 5 +22 tk Estseerreeerrrerrre 38 Hình 2.9 Các option của ÐOII€SI. 31911 1 191191111111 11 11H ng ngưng 38 Hinh 2.10 Chay lénh Donesi ooo.11 Sử dung tcpdump .-- -- <6 5 31 2511113111931 911 91191 2v gu ky 39 Hình 2.12 Kết qua sau khi sử dung tepdump bắt bonesi.13 Nội dung file client_ config.txt sử dụng trong thử nghiệm .14 Chay thử Traffic G€TI€TAfOT.- --- c5 + 1H ng ng gưệp 41 Hình 2.15 Các giao thức mà drdos-framework hỗ tO .16 Script dé yêu cầu botnet tạo giao thức n{p.----- ¿2s x+cx+zs+zszse2 42 Hình 2.17 Clone Repository của CICFlowMeter VỀ.-- 2-2 s2sz+zs+zx+zxzsz 44 Hình 2.18 Cài đặt JnefpCap.-- vn TT HH HH Hà HH ngư 44 Hình 2.19 Giao diện của CICFlowÌMeI€r.20 Lỗi khi cài CICFlowMeter.-- - 2 52 Sx+S£+x+E£EeEzEerxrrerxererrrrs 45 Hình 2.21 Liệt kê danh sách interface.----- 2+ 2+ +22 1 s21 +2 vs eeezree46 Hình 2.22 Bắt gói tin từ inf€TFaCe.23 Sự khác nhau giữa Linear Regression va Logistic Regression [15].25 K-Nearest Neighbors với K=3 và K7.26 Bản đồ của INN [17] .- -2¿225<+2E+2E2EE2EEEEEEEEEEEEEEEEEErkrrkerkerkrrex 50 Hình 2.27 Thuật toán Decision “TTr€€.--- - -- c5 2 3332111129211 19911 221 ng ng 51 Hình 2.28 Mã giả của quá trình huấn luyện Decision Tree [19].29 Kiến trúc mạng ANN [20].----- ¿2© E+EE+EE2EE2E£EEEEEEEEEEerkrrkrrerree 54 Hình 2.30 Cấu trúc của một neuron [23] .----¿- - + s+x+s+Eetk+E+EeEt+E+EeEtzxzxerezxsxee 55 Hình 2.31 Minh họa về độ lệch khi áp dung Biases [24].32 Biểu đồ giá trị của hàm ReLu [25].-- 2-5 2 2 2+££E+zEe£xerxerxzse2 56 Hình 2.33 Kiến trúc mạng MLP [29] |.-- -- 5 E1 113119119 v9 vn vn rưy 58 Hình 2.34 Kiến trúc của CNN [30] .35 Ví dụ về convolutional E0 1P.36 Chi tiết về pooling layer [33] .37 Kiến trúc mạng RNN [35].---¿- ¿- ¿5£ +E+EE£EE+EE£EE+EEZEEEerkerkerkrrkrree 62 Hình 2.38 Các trạng thái của RNN [3Š].39 Kiến trúc LSTM [36] .---- ¿2 25 2E2E£2EE£EEEEEEEEEEEEEEEEEErrkrrkrrkcrex 64 Hình 2.40 Chi tiết các thành phan bên trong 1 cell [36].41 Các kí hiệu trong cell [36|]. c5 +23 * +21 £*2EE*EEeEseerseerreeeersrerrre 65 Hình 2.42 Kiến trúc 3 phần của LSTM [37].43 VỊ trí của Long Term Memory và Short Term Memory.44 Hai trường hợp xảy ra khi áp dung Forget Gate .45 Sự khác nhau giữa LSTM va GRU [38].46 Kiến trúc CNN LSTM [39].- 2-2: £252+EE+EE£EE££EE+EEEEEtEEerEeerkerkerex 70 Hình 3.1 Kiến trúc của hệ thống.---2-- 2 5¿+2+¿2EE+EEE+EE+EEEtEEEEEEESEkerrkrrrerree 71 Hinh 3.3 Giao diện của hệ thống ¬—— 73 Hình 3.4 Giao diện khi nhắn nút config.----- 2 25x x+2E++E£+EE+zxezxezreerxerxeres 74 Hình 3.5 Giao diện của ứng dụng khi an nút “Config”.-----s-©¿©csz+zx+zsesrsz 75 Hình 3.6 Tải model simple_rnn_final lên hệ thống .7 Sau khi tải xong ta có thé chọn model trong 6 '“Model”.8 Chon từng loại giao thức mà người dùng muốn từng bot tạo.9 Thực hiện lên lịch khởi chạy và dừng cho các bot.10 Loại bot có tên ““niyDOV”.- - --c s11 11 111 111911191111 H1 HH ng 78 Hình 3.11 Giao diện dé chon dit liệu mà người dùng muốn chọn.csv dé tạo dit liệu.13 Upload thành công. -- - --- c +1 3211191111911 1191119 1 1 ng ng ng 79 Hình 3.14 Lịch sử mới nhất về đồ chính xác của từng model .15 Log của hệ thống.
--¿- 2 2 2 SEE£+E£SE£EEEEEEEEEEEEEEEEEEEEEEEEEErEerkrrkrree 81 Hình 3.16 Thông tin về máy d0.17 Nội dung ví du trong file Docker-compOse .-- --- «+ +<<<x+se+se+ 83 Hinh 3.18 Hé thống botnet được tạo ra khi nhấn nút ““StaFE”.19 Command line báo hiệu đã tạo bot thành công.20 Giao diện dé người dùng có thé cấu hình thời gian biểu cho hệ thống bot —.21 Vai trò Traffic Scheduler trong hệ thống.22 Nội dung của script chạy Đboï€SI.-- - «5 + £se£seeeseeseeseesee 86 Hình 3.23 Vai trò của Packet Capture trong hệ thống .24 CICFlowMeter dang bắt các flOW .csv chứa traffic flOW .c- 0 0 112019 HH ng tr, 88 luyện mO(e].- óc 6E E23 9911 2301 910 11c TH HH HH Hư 89 Hình 3.27 Giao diện đề người dùng có thé áp dụng PCA.28 Phía bên phải là kết quả đối mà hệ thong đánh giá đối với từng bot.29 Workflow day đủ của hệ thống .2 Kết quả khi đánh giá 4 thuật toán với 78 features sử dụng các thư viện AI Hình 4.5 Biéu đồ cột độ chính xác của 4 thuật toán với số lượng features là 26 .6 Các layer có trong thuật toán CNN LSTM.7 Các layer có trong thuật toán LS”TÏM.8 Các layer có trong thuật toán GR.9 Các layer có trong thuật toán RNN. Sc St ssnrrrrey 107 Hình 4.10 Biểu đồ độ chính xác của các thuật toán sau 400 epochs.11 Độ chính xác của các thuật toán Deep Learning sau 400 epochs.12 Độ chính xác của RNN khi triển khai trên hệ thống.13 Độ chính xác của CNN LSTM khi triển khai trên hệ thống.14 File logs khi tạo ra 2 bot là portmap và Idap dé đánh giá thuật toán RNN ——.15 Biểu đồ độ chính xác của các thuật toán Deep Learning sau 400 epochs ——.16 Độ chính xác của các thuật toán Deep Learning sau 400 epochs.17 Độ chính xác của LSTM PCA khi triển khai trên hệ thống.18 Độ chính xác của CNN LSTM PCA khi triển khai trên hệ thống .19 Logs khi tạo traffic có giao thức portmap kiểm thử thuật toán LSTM áp dụng PCA. ĐI F Bie oS BỘ. ÔÚ S55 1 ng ren 116 21 DANH MỤC BANG Bang 3-1 Bảng thông tin các Host trong mô hình của chúng tôi.
---- 81 Bang 3-2 Giao thức và kiểu tấn công mà các botnet hỗ trợ.------- ¿s2 82 Bang 4-1 Số lượng của các loại traffic trong dữ liệu huấn luyện .---- 92 Bang 4-2 Số lượng của các loại traffic trong dữ liệu đánh giá .--- 93 Bảng 4-3 78 feature dùng trong các thuật toán.-- ------ + Scs + xsseeeserereers 94 Bang 4-4 Số lượng các loại tan công dùng dé kiểm thử trên hệ thống thực. 100 Bảng 4-5 Kết quả chỉ tiết khi sử dụng hệ thống dé đánh giá thuật toán DecisionTree "D.ỐốỐỔỐỔỐỔỐ 101 Bảng 4-6 26 features dùng trong thuật tOán.-- ----- St se eriệg 102 Bảng 4-7 Độ chính xác của các thuật toán Deep Learning sau 400 epochs. 109 Bang 4-8 Kết qua chỉ tiết khi áp dụng hệ thống dé đánh giá 2 thuật toán RNN va 90)0)85. 111 Bang 4-9 Độ chính xác cua các thuật toán Deep Learning áp dung PCA sau 400 ©pOCHs.
0050000 Nic, TE LH Ấk HH HH." gu ko 113 Bảng 4-10 Kết quả chỉ tiết khi triển khai hệ thống vào hai thuật toán LSTM va CNN LSTM khi áp dung ki thuật PCA.- -- 12c S232 31 3111E1EErrrrrrxee 115 22 DANH MỤC TU VIET TAT TU NOI DUNG DIEN GIAI pos _| Penial Of Service Tắn công từ chối dich vy phân tán dịch vụ TCP Transmission Control Protocol Giao thức điều khién truyén nhân UDP User Datagram Protocol Giao thức dữ liệu người dùng HTTP HyperText Transfer Protocol Giao thức truyền tải siêu văn bản DNs — | Domain Name System Hệ thống phân giải tên miền NTP Network Time Protocol Giao thức đồng bộ thời gian mạng Portmap Portmap Dich vụ quan lý kết nối RPC SNMP Simple Protocol NG/Jƒ€ JWÿPpcment Giao thức Ẩ tầng 3 1 ứngaks dụng 1 được sử dụng đê quản lý thiệt bị mạng LDAP Lightweigh@Pirec Protocol as.