CHƯƠNG 1: TONG QUAN DE TÀI 6 Trình bày khái quát về định hướng, phạm vi nghiên cứu của đề tài khóa luận hướng tới. CHƯƠNG 2: CƠ SỞ LÝ THUYẾT Trinh bày các định nghĩa, khái niệm cũng như những kiến thức nền tang liên quan CHUONG 3: MÔ HINH VÀ PHƯƠNG PHÁP THUC HIEN Phần trọng tâm - trình bày mô hình cộng tác phát hiện mã độc bền vững sử dụng học liên kết và chiến lược học bán giám sát đã nghiên cứu; Xác định các điểm tấn công và chiến lược tấn công lật nhãn của mô hình này; Đề xuất phương pháp phòng thủ cho loại tấn công này. CHƯƠNG 4: THÍ NGHIỆM VÀ DÁNH GIÁ Trinh bày quá trình hiện thực hóa phương pháp đề cập ở Chương 3. Sau đó đưa ra kết quả đánh giá và so sánh.
CHƯƠNG 5: KẾT LUẬN Kết luận về đề tài, đề xuất một số hướng phát triển mở rộng cho các nghiên cứu trong tương lai. CƠ SỞ LÝ THUYET Chương này trình bày cơ sở lý thuyết của nghiên cứu: Bao gồm mã độc, các chiến lược trong học máy, mô hình học liên kết và dữ liệu phan phối không đồng nhất. Giới thiệu chung về mã độc Mã độc hay phan mém độc hại là một thuật ngữ được sử dung để mô tả các ứng dụng hay mã độc hại có thể gây tổn hại lên hệ thống máy tính, làm phá vỡ khả năng hoạt động bình thường của các thiết bị, ảnh hưởng đến tính bí mật, tính toàn vẹn và tính sẵn sàng của dữ liệu người dùng, máy tính hoặc môi trường mạng. Nhìn chung, ta có thể phân loại mã độc thành một vài loại phổ biến sau: e Virus: là loại chương trình độc hại mà cần một tệp dữ liệu hay chương trình khác làm vật chủ để ký sinh, phải được kích hoạt bởi một sự kiện, hoạt động trên hệ thống máy tính để thực thi, và có khả năng nhân bản sau khi thực thi.
e Worm: là đoạn chương trình độc hại độc lập, có khả năng tự thân thực thi, tự nhãn ban, tự động 1é ; lan qua các khai thác lỗ hổng phần mềm hoặc chính sách an ninh được cấu hình ko cẩn thận e Trojan: các đoạn mã của Trojan được “che giấu” trong các phần mềm máy tính thông thường để bí mật xâm nhập vào máy nạn nhân. Khi tới thời điểm thuận lợi, chúng sẽ đánh cắp thông tin cá nhân và chiếm quyền điều khiển máy tính. Bản chất của Trojan là không tự lây lan mà biến hệ 8 thống máy tính bị nhiễm thành thành viên của mang botnet và thực hiện phát tán. e Botnet: là những máy tinh bị nhiễm virus va bị điều khiển thông qua Trojan, Virus,.Tin tặc lợi dụng sức mạnh của những máy tính bị nhiễm virus để thực hiện các hành vi phá hoại và ăn cắp thông tin.
Thiệt hại do Botnet gấy ra thường vô cùng lớn. Trước khi lây nhiễm, mã độc cần được tải xuống hoặc khi đã xâm nhập vào máy nạn nhân, chúng cần phải giao tiếp với máy chủ C&C để nhận lệnh, đặc biệt đối với các botnet thông qua mạng. Do đó, chúng ta có thể phát hiện và ngăn chặn kịp thời bằng các hệ thống tìm kiếm, phát hiện và ngăn chặn xâm nhập (IDPS). Và với sự phát triển của học máy /học sâu, chúng ta đã không phải quá phụ thuộc vào việc phải biết tường tận và phân tích sâu hành vi của mã độc để làm mẫu phát hiện (signature-based).
Hơn nữa, việc này chỉ phát hiện các tấn công đã biết. Việc kết hợp các thành tựu hiện đại trong trí tuệ nhân tạo đã thúc đẩy cho việc phát hiện các mối nguy chưa biết. Mô hình học máy 2. Tổng quan vé mô hành học máu Học mấy (tiếng Anh: Machine Learning - ML) là một mô hình thuật toán mô tả khả năng của các hệ thống học hỏi từ dit liệu đào tạo dành riêng, tự động xây dựng mô hình phân tích thực hiện các tác vụ dựa vào khuôn mẫu và suy luận mà không cần hướng dẫn cụ thể.
Học máy có mối liên hệ mật thiết tới thống kê, nó sử dung mô hình thống kê để "ghi nhớ" sự phân bố của bộ dữ liệu, tổng quát hóa những gì nhìn thấy ở dữ liệu đầu ra, kết hợp dữ liệu đầu vào, đào tạo và đưa ra dự đoán. Tiếp cận phương pháp kỹ thuật Học máy áp dụng vào mô hình mạng lưới loT được đánh giá cải thiện kha năng hoạt động, tăng tính linh hoạt các xử lý của thiết bị khi tối ưu hóa lưu lượng mạng, phân bổ nguồn tài nguyên 9 và tránh gây tắc nghẽn [16]. Mô hình Học máy được phát triển trên tập dữ liệu đào tạo được thu thập trực tiếp từ nhiều thiết bị riêng lẻ, có thể qua nhiều hoạt động xử lý, đưa về máy chủ tổng hợp và đào tạo ra mô hình Học máy chung. Trong Học máy, theo truyền thống, dựa trên vấn đề cần giải quyết, bộ dit liệu tồn tại, phân thành 2 dạng chiến lược chính bao gồm Học máy Giám sát và Không giám sát.
Trong chiến lược học máy giám sát, yêu cầu bộ dữ liệu để huấn luyện phải bao phủ được cả dữ liệu của đầu vào và đầu ra, có nghĩa thuật toán bắt buộc phải biết trước cặp dữ liệu (đầu vào, đầu ra), còn gọi là cặp (đữ liệu, nhãn), để dự đoán được đầu ra của dữ liệu mới. Dây cũng được xem là một nhược điểm của chiến lược đào tạo mô hình Học máy này. Phương pháp Học có giám sát được áp dụng phổ biến cho các bài toán Phân lớp (Classification) và bài toán Hồi quy (Regression). Minh họa cho mô hình sử dụng chiến lược Học có giám sát, ta có mô hình Support Vector Machine (SVM) thuộc bài toán Phân lớp.
Ý tưởng của mô hình SVM là siêu mặt phẳng phân chia có lề đạt lớn nhất trong không gian thuộc tính có ø chiều (Hinh 2. Dối với bài toán Hồi quy, mô hình Linear Regression hướng đến mục đích tìm ra đường thẳng phù hợp nhất mà ngay tai đó Hàm mat mát (Loss Function) đạt thấp nhất, có nghĩa mức độ chênh lệch giữa giá trị mô hình dự đoán và giá trị thực tế phải nhỏ, Hinh 2.1 - phải, thể hiện mô hình có đường thẳng thu nhỏ bình phương chênh lệch giữa giá trị quan sát được (thực tế) và giá trị dự đoán, đường thẳng đi qua trung bình của các đối tượng đặc điểm độc lập và phụ thuộc. Ở chiến lược học máy không giám sát, mô hình được đào tạo dựa trên dữ liệu không gan nhãn (unlabeled data), tức ta không biết được kết quả đầu ra mà chỉ có dit liệu đầu vào. Thuật toán này quét dữ liệu mới, cố gắng thiết lập kết nối có ý nghĩa giữa dữ liệu đầu vào và kết quả định sẵn, tìm ra một thông tin cấu trúc như các nhóm phần tử có chung thuộc tính (gọi là Phân cụm - Clustering) hoặc biểu diễn dit liệu theo hạng mục (Giảm số chiều - Dimension reduction) để lưu trữ và tính toán.
Ý tưởng của bài toán Phân cụm là chia dữ liệu thành các clusters (hoặc nhóm/cụm) bằng cách đặt các dữ liệu giống nhau nhiều vào 10 Hành 2.1: Lược dé biểu diễn điểm của mô hành SVM (bên trái) va mô hành Hồi quy tuyến tính (bên phải). chung cluster, sẽ có K số trung tam của nhóm có trong bộ dữ liệu, thường tinh toán khoảng cách để có thể gan dit liệu vào 1 nhóm, đưa đến mục đích chính là giảm tổng khoảng cách giữa các dữ liệu và trung tâm đại diện của cụm, tạo nên tập hợp các iểm ở gần nhau trong một không gian nào đó (Hinh 2.2: Lược dé biểu diễn phân cụm Bên cạnh hai hướng tiếp cận phổ biến trên, Học máy tăng cường thay vì cung cấp cặp dữ liệu (đầu vào, đầu ra) thì sẽ mô tả trạng thái hiện tại của mô hình và chỉ định ra một mục tiêu, mục đích của mô hình là cố gáng đạt được nhiều 11 điểm thưởng tối đa ở các bước mà thuật toán trải qua để đạt đến mục tiêu cuối cùng dưới sự ràng buộc hoàn cảnh cho kết quả đầu ra. Hiện tại, thuật toán Tăng cường chủ yếu được 4p dụng vào Lý Thuyết Trò Chơi, các thuật toán cần xác định nước đi tiếp theo để đạt được điểm số cao nhất. Chiến lược học ban giám sát trong học máy Học bán giám sát trong học máy cũng là một chiến lược dựa trên việc mở rộng của phương pháp học truyền thống là Có giám sát và Không giám sát khi mà dữ liệu dùng để huấn luyện mô hình bao gồm cả dit liệu có nhãn (labeled ata) và không nhãn (unlabeled data).
Day là một phương pháp dao tạo hiệu quả mang ngữ cảnh thực tế khi mà chỉ tồn tại số ít dữ liệu có nhãn và lượng lớn dữ liệu không gán nhãn. Phương pháp học bán giám sát có khả năng xây ung bộ phân loại tốt hơn để bù đắp cho việc thiếu dữ liệu có nhãn nếu như mô hình đã có đủ dữ liệu chưa có nhãn và dựa theo một số giả định nhất định về phân phối dit liệu [2]; đạt được hiệu suất tốt cho giải quyết bài toán phân loại. Fhực tế thì việc xây dựng mô hình huấn luyện tốt từ quá trình khai thác bộ dit liệu không gán nhãn có thể nói là không dễ dàng, do dữ liệu không gan nhãn chỉ có ích khi mà nó là thông tin di liệu mang tính hữu dụng cho việc dự đoán nhãn nếu như thông tin đó không tồn tại trong dữ liệu đào tạo có nhãn một cách đơn độc hoặc là thông tin đó không dễ dàng phân tích, trích xuất. Vì vậy, để ứng dụng chiến lược học bán giám sát vào ngữ cảnh thực tế, yêu cầu thuật toán phải có khả năng trích xuất thông tin.
Mô hành Mang noron tích chập - CNN Mô hình Mạng noron tích chập (tiếng Anh: Convolutional Neural Network - CNN) là một kiến trúc phân tích, trích xuất dữ liệu có chiều sâu và khái quát hóa đặc điểm dữ liệu dựa vào việc tập hợp các lớp Tích chập (Convolution) chồng lên nhau. Mạng tích chập có thể học các đặc điểm trừu tượng cao và có thể xác định các đối tượng một cách hiệu quả, áp dụng vào các lĩnh vực khác 12 nhau như phân loại hình ảnh, nhận diện đối tượng, nhận diện giọng nói, phương tiện hay phát hiện các lưu lượng mạng đáng ngờ,. Không giống như mô hình Mạng noron nhân tạo truyền thống (ANN), các noron trong bất kì lớp cụ thể nào của mô hình này sẽ chỉ kết nối với một vùng nhỏ của lớp trước nó.