Giới thiệu dự án

Sự bùng nổ của cuộc Cách mạng Công nghiệp 4.0 đã thúc đẩy số lượng thiết bị kết nối Internet vạn vật (Internet of Things - IoT) tăng trưởng theo cấp số nhân. Theo các thống kê công nghiệp, số lượng thiết bị IoT đã tăng từ 2 tỷ thiết bị vào năm 2006 lên hơn 200 tỷ thiết bị vào năm 2020 và tiếp tục mở rộng quy mô trong các lĩnh vực trọng điểm như đô thị thông minh (Smart City), chăm sóc sức khỏe số (e-Health), nhà máy thông minh (Industrial IoT) và logistics. Tuy nhiên, phần lớn các thiết bị IoT đều bị giới hạn nghiêm ngặt về tài nguyên phần cứng (CPU, bộ nhớ RAM, dung lượng lưu trữ) và năng lượng hoạt động. Điều này khiến các cơ chế bảo mật truyền thống như mã hóa phức tạp hay tường lửa hạng nặng (Next-Generation Firewall) không thể triển khai trực tiếp trên thiết bị cuối, biến hạ tầng IoT thành mục tiêu hàng đầu cho các cuộc tấn công mạng quy mô lớn như từ chối dịch vụ phân tán (DDoS - Distributed Denial of Service), giả mạo định danh (Spoofing), xâm nhập đánh cắp dữ liệu và lây nhiễm mã độc botnet (điển hình như mã độc Mirai).

Hệ thống phát hiện xâm nhập (Intrusion Detection System - IDS) đặt tại các trạm cổng mạng (Network Gateways) là phòng tuyến trọng yếu giúp giám sát, phân tích lưu lượng và đưa ra cảnh báo sớm. Mặc dù các phương pháp phát hiện bất thường dựa trên Trí tuệ nhân tạo (AI-based Anomaly Detection) đã đạt được nhiều bước tiến, các hệ thống IDS hiện tại cho mạng IoT vẫn đối mặt với 4 điểm nghẽn nghiêm trọng:

  1. Kiến trúc xử lý tập trung: Đẩy toàn bộ lưu lượng thô lên máy chủ đám mây gây nghẽn băng thông và lãng phí năng lực tính toán của các thiết bị biên (Edge/Home Gateways).
  2. Thiếu khả năng phân loại thiết bị: Sự đa dạng về chủng loại và giao thức khiến hành vi mạng thông thường của thiết bị này (như video streaming của camera giám sát) có thể bị nhận định nhầm là tấn công bất thường của thiết bị khác (như cảm biến nhiệt độ).
  3. Giới hạn nhận diện đa lớp tấn công: Phần lớn IDS hiện nay chỉ dừng lại ở bài toán phân loại nhị phân (phát hiện có/không có tấn công) thay vì định danh chính xác biến thể tấn công chi tiết.
  4. Lỗ hổng trước tấn công đối kháng (Adversarial Attacks): Kẻ tấn công có thể chèn các nhiễu loạn vi mô (perturbations) vào gói tin để đánh lừa mô hình học máy (Machine Learning) mà không làm thay đổi bản chất phá hoại của cuộc tấn công.

Đề tài MidSiot-NG: Hệ thống phát hiện xâm nhập nhiều giai đoạn có khả năng chống lại các cuộc tấn công đối kháng cho mạng IoT (MidSiot-NG: A Multistage Intrusion Detection System Against Adversarial Attacks for Internet of Things) được nghiên cứu và thực hiện bởi nhóm Kỹ sư Tài năng An toàn Thông tin - Trường Đại học Công nghệ Thông tin, ĐHQG-HCM nhằm giải quyết triệt để các thách thức trên.

Mục tiêu cụ thể của dự án:

  1. Nghiên cứu và lựa chọn thuật toán học máy tối ưu cho dữ liệu mạng dạng bảng (tabular network flow) với chi phí tính toán thấp, phù hợp môi trường IoT.
  2. Xây dựng kiến trúc IDS 3 giai đoạn phân tán kết hợp giữa Home Gateway và ISP Gateway (Internet Service Provider).
  3. Hiện thực hóa quy trình trích xuất và chọn lọc thuộc tính tự động bằng hệ số tương quan Pearson kết hợp công cụ CICFlowMeter tùy biến.
  4. Nghiên cứu cơ chế tấn công đối kháng dạng trốn tránh (Evasion Attacks) trên mô hình cây quyết định (Decision Tree - DT).
  5. Phát triển thuật toán xây dựng cây quyết định kháng tấn công đối kháng (Robust Decision Tree) hỗ trợ phân loại đa lớp (Multiclass Classification).
  6. Đề xuất thuật toán tự động tìm kiếm ngưỡng lệch tối ưu (Automated Offset Selection) nhằm cân bằng giữa độ chính xác và độ bền vững của mô hình.

Giải pháp mang lại kết quả vượt trội với độ chính xác phát hiện tấn công đạt 99.68% trên các tập dữ liệu tiêu chuẩn (IoTID20, CIC-IDS-2017, BoT-IoT), đồng thời duy trì hiệu năng nhận diện ổn định dưới các kịch bản tấn công đối kháng hộp trắng (White-box) và hộp đen (Black-box).

Phạm vi nghiên cứu tập trung vào phân tích luồng mạng ở tầng giao vận (Transport Layer - TCP/UDP) và mạng (Network Layer - IP), không can thiệp giải mã nội dung gói tin đã mã hóa (Payload-agnostic), đảm bảo tuân thủ quyền riêng tư người dùng và tối ưu tốc độ xử lý gói tin theo thời gian thực.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Các giải pháp IDS trên thị trường hiện nay được chia thành 3 nhóm tiếp cận chính với những ưu và nhược điểm rõ rệt:

Giải pháp IDS Phương pháp Ưu điểm Nhược điểm Khả năng kháng Adversarial
Snort / Suricata Dựa trên mẫu chữ ký (Signature-based) - Tốc độ xử lý cao
- Tỷ lệ cảnh báo sai (FPR) thấp với các mẫu đã biết		 - Không thể phát hiện tấn công zero-day
- Chi phí cập nhật luật thủ công cao		 Kém (dễ bị vượt qua bằng kỹ thuật làm rối payload/packet)
Monolithic ML-IDS (Tập trung trên Cloud) Học máy đơn tầng (SVM, Random Forest) - Phát hiện được hành vi bất thường mới
- Dễ triển khai thử nghiệm		 - Gây nghẽn băng thông uplink
- Tỷ lệ cảnh báo sai cao do gộp chung mọi loại thiết bị		 Rất kém (độ chính xác giảm sâu khi bị biến đổi thuộc tính)
Deep Learning IDS (CNN / LSTM) Học sâu chuỗi thời gian - Tự động trích xuất đặc trưng sâu
- Độ chính xác cao trên tập huấn luyện		 - Chi phí tính toán cực lớn
- Độ trễ cao, không khả thi trên thiết bị Gateway biên		 Trung bình (dễ bị tấn công FGSM, PGD)
MidSiot-NG (Đề xuất) Học máy phân tán 3 giai đoạn + Robust Tree - Tối ưu hóa tính toán biên - đám mây
- Nhận diện ngữ cảnh thiết bị chuyên biệt
- Phân loại chi tiết hình thức tấn công		 - Yêu cầu cấu hình trạm biên hỗ trợ trích xuất luồng Rất cao (tích hợp thuật toán Robust Split & Auto-offset)

Yêu cầu hệ thống được lượng hóa theo chuẩn MoSCoW:

  • Must have (Bắt buộc có): Module phân loại thiết bị biên nhẹ; Module phát hiện tấn công nhị phân; Module phân loại chi tiết tấn công đa lớp; Cơ chế chống tấn công đối kháng dạng evasion attack; Độ chính xác tổng thể $\ge 98%$.
  • Should have (Nên có): Thuật toán tự động tìm tham số offset $\epsilon$; Công cụ trích xuất luồng PCAP tùy biến; Khả năng xử lý mất cân bằng dữ liệu bằng kỹ thuật kết hợp Random Undersampling và SMOTE (RU-SMOTE).
  • Could have (Có thể có): Giao diện bảng điều khiển giám sát tập trung cho nhà mạng (ISP Dashboard); Cơ chế xuất log tích hợp SIEM (Security Information and Event Management).
  • Won't have (Chưa thực hiện): Khả năng giải mã sâu gói tin TLS/SSL (Deep Packet Inspection có mã hóa); Cơ chế tự động vá lỗi phần mềm thiết bị IoT bị xâm nhập.
       [ IoT Devices (Ezviz, Nugu, Smart Sensor...) ]
                           │ (Raw Packets)
                           ▼
┌─────────────────────────────────────────────────────────────┐
│                    LOCAL HOME GATEWAY                       │
│  ┌───────────────────────┐   ┌───────────────────────────┐  │
│  │ Custom CICFlowMeter   │──▶│ Stage 1: Device Classifier│  │
│  │ (Extract 84 Features) │   │ (Lightweight CART Tree)   │  │
│  └───────────────────────┘   └─────────────┬─────────────┘  │
└────────────────────────────────────────────┼────────────────┘
                                             │ (Extracted Features + Device ID)
                                             ▼
┌─────────────────────────────────────────────────────────────┐
│                    ISP CLOUD GATEWAY                        │
│  ┌───────────────────────────────────────────────────────┐  │
│  │ Stage 2: Anomaly Detection (Malicious vs Benign)      │  │
│  │ - Dedicated Robust Decision Tree per Device Profile   │  │
│  └───────────────────────────┬───────────────────────────┘  │
│                              │ (If Malicious = True)        │
│                              ▼                              │
│  ┌───────────────────────────────────────────────────────┐  │
│  │ Stage 3: Multiclass Attack Identifier                 │  │
│  │ - Classify specific attack (Syn Flood, UDP, Mirai...) │  │
│  └───────────────────────────┬───────────────────────────┘  │
│                              ▼                              │
│  ┌───────────────────────────────────────────────────────┐  │
│  │ Action Manager (Log Alert, Quarantine, Block Traffic) │  │
│  └───────────────────────────────────────────────────────┘  │
└─────────────────────────────────────────────────────────────┘

Thiết kế hệ thống

Kiến trúc MidSiot-NG được phân bổ thành 3 giai đoạn phân cấp:

  1. Giai đoạn 1 (Stage 1 - Phân loại thiết bị tại Home Gateway): Thu thập gói tin thô qua interface mạng, sử dụng bộ công cụ CICFlowMeter tùy biến để gom nhóm thành các luồng mạng (network flow) hai chiều (Forward và Backward). Trích xuất 84 thuộc tính thống kê, sau đó lọc còn 40 thuộc tính qua ma trận Pearson. Mô hình cây quyết định siêu nhẹ (CART) nhận diện nhãn thiết bị (ví dụ: Ezviz Camera, Nugu Smart Speaker, Ubuntu Server,...).
  2. Giai đoạn 2 (Stage 2 - Phát hiện bất thường tại ISP Gateway): Dữ liệu đặc trưng kèm định danh thiết bị được chuyển tiếp đến máy chủ ISP. Tại đây, hệ thống gọi đúng mô hình Robust Decision Tree chuyên biệt cho loại thiết bị đó để phân loại luồng là An toàn (Benign) hay Độc hại (Malicious).
  3. Giai đoạn 3 (Stage 3 - Phân loại chi tiết dạng tấn công tại ISP Gateway): Nếu phát hiện độc hại, luồng tiếp tục được đưa qua bộ phân loại đa lớp để xác định chính xác hình thức tấn công: DoS/DDoS (Syn Flooding, UDP Flooding, HTTP Flooding), Brute Force, Reconnaissance Scan hoặc Botnet Mirai. Kết quả được chuyển về Action Manager để thực hiện cách ly mạng.

Công nghệ và phiên bản sử dụng:

  • Ngôn ngữ phát triển: Python v3.9.16, Java OpenJDK 11 (cho CICFlowMeter core engine).
  • Thư viện Máy học & Tính toán số học: scikit-learn v1.2.2, numpy v1.24.3, pandas v2.0.1, scipy v1.10.1.
  • Thư viện Học sâu & Đối kháng: torch v2.0.1+cu118, adversarial-robustness-toolbox (ART) v1.14.1.
  • Công cụ trích xuất luồng: CICFlowMeter-V4.0 (Customized fork bổ sung cơ chế gán nhãn thiết bị theo dải MAC/IP).

Methodology

Dự án áp dụng phương pháp nghiên cứu thực nghiệm theo chuẩn CRISP-DM (Cross-Industry Standard Process for Data Mining) gồm 5 bước lặp:

  1. Thu thập dữ liệu đa nguồn: Khai thác 3 tập dữ liệu chuẩn mực gồm IoTID20 (2 thiết bị IoT thực tế, 4 nhóm tấn công lớn, 7 phân lớp chi tiết), CIC-IDS-2017 (12 cấu hình máy và hệ điều hành, 6 loại tấn công) và BoT-IoT (5 loại thiết bị, 3 nhóm tấn công).
  2. Tiền xử lý & Cân bằng mẫu: Loại bỏ các thuộc tính định danh dễ gây học vẹt (IP, MAC, Timestamp). Sử dụng kỹ thuật RU-SMOTE (kết hợp Random Undersampling lớp đa số và tạo mẫu nhân tạo SMOTE cho lớp thiểu số) để loại trừ hiện tượng lệch nhãn.
  3. Lựa chọn thuộc tính: Tính toán hệ số tương quan tuyến tính Pearson ($r$), loại bỏ các thuộc tính có hệ số tương quan thấp hoặc dư thừa ($r \le 0$).
  4. Tối ưu hóa cây quyết định kháng đối kháng: Phát triển giải thuật phân nhánh trong trường hợp xấu nhất (Worst-case split point optimization).
  5. Đánh giá đa chiều: Kiểm thử chéo (K-Fold Cross-Validation, $k=10$), đo lường ma trận nhầm lẫn (Confusion Matrix), Precision, Recall, Macro-F1 Score và Robustness Ratio khi bị tấn công perturbation với các dải offset $\epsilon \in [0.01, 0.5]$.

Implementation và kết quả

Development process

Quá trình phát triển tập trung vào việc hiện thực hóa mô hình toán học và giải thuật cây quyết định chống tấn công đối kháng.

1. Lọc thuộc tính bằng Hệ số tương quan Pearson

Công thức hệ số tương quan Pearson giữa thuộc tính $X$ và nhãn mục tiêu $Y$: $$r_{XY} = \frac{\sum_{i=1}^{n} (x_i - \bar{x})(y_i - \bar{y})}{\sqrt{\sum_{i=1}^{n} (x_i - \bar{x})^2} \sqrt{\sum_{i=1}^{n} (y_i - \bar{y})^2}}$$ Các thuộc tính có $|r_{XY}| \le 0$ bị loại bỏ, giúp giảm số lượng thuộc tính từ 84 xuống 40 thuộc tính chất lượng cao, tối ưu 52.38% không gian bộ nhớ.

2. Hàm suy giảm độ vẩn đục (Impurity Reduction) và Phân nhánh đối kháng

Trong cây quyết định tiêu chuẩn, vị trí phân nhánh $\theta = (j, t_m)$ tại node $m$ trên thuộc tính $j$ với ngưỡng $t_m$ được xác định nhằm cực tiểu hóa hàm mất mát: $$G(Q_m, \theta) = \frac{N_m^{\text{left}}}{N_m} H(Q_m^{\text{left}}(\theta)) + \frac{N_m^{\text{right}}}{N_m} H(Q_m^{\text{right}}(\theta))$$ Với $H(Q_m)$ là chỉ số Gini Impurity: $$H(Q_m) = 1 - \sum_{k=0}^{K-1} p_{mk}^2$$

Khi xảy ra tấn công đối kháng với độ lệch cực đại $\epsilon$ (offset), giá trị thực tế của thuộc tính $x_{ij}$ có thể bị dịch chuyển thành $x_{ij} + \delta$ với $\delta \in [-\epsilon, +\epsilon]$. Giải thuật đề xuất tìm kiếm điểm phân nhánh tối ưu trong kịch bản xấu nhất (Worst-case Scenario):

import numpy as np

def find_adversarial_best_split(X, y, epsilon, n_classes=2):
    """
    Thuat toan tim diem phan nhanh cay quyet dinh khang tan cong doi khang
    X: Tap du lieu dac trung (N samples, D features)
    y: Nhan du lieu
    epsilon: Do lech offset toi da cua ke tan cong
    """
    n_samples, n_features = X.shape
    best_gain = -1.0
    best_split = None

    def gini_impurity(y_subset):
        if len(y_subset) == 0:
            return 0.0
        counts = np.bincount(y_subset, minlength=n_classes)
        probs = counts / len(y_subset)
        return 1.0 - np.sum(probs ** 2)

    current_impurity = gini_impurity(y)

    for feature_idx in range(n_features):
        sorted_indices = np.argsort(X[:, feature_idx])
        X_sorted = X[sorted_indices, feature_idx]
        y_sorted = y[sorted_indices]

        # Xet cac nguong phan chia tiem nang
        thresholds = (X_sorted[:-1] + X_sorted[1:]) / 2.0

        for t in thresholds:
            # Xac dinh vung bat dinh do bi anh huong boi perturbation epsilon
            # Vung ma mau du lieu co the bi dich chuyen qua lai giua 2 nhanh
            left_mask_worst = X[:, feature_idx] <= (t - epsilon)
            right_mask_worst = X[:, feature_idx] > (t + epsilon)
            uncertain_mask = (~left_mask_worst) & (~right_mask_worst)

            # Trong kich ban xau nhat (worst-case), gan cac mau uncertain vao nhanh gay impurity cao nhat
            y_left = y[left_mask_worst]
            y_right = y[right_mask_worst]
            y_uncertain = y[uncertain_mask]

            # Tinh toan Impurity xau nhat
            n_l = len(y_left) + len(y_uncertain)
            n_r = len(y_right) + len(y_uncertain)
            
            if n_l == 0 or n_r == 0:
                continue

            worst_gini_left = gini_impurity(np.concatenate([y_left, y_uncertain]))
            worst_gini_right = gini_impurity(np.concatenate([y_right, y_uncertain]))
            
            worst_weighted_impurity = (n_l / (n_samples + len(y_uncertain))) * worst_gini_left + \
                                     (n_r / (n_samples + len(y_uncertain))) * worst_gini_right

            gain = current_impurity - worst_weighted_impurity
            if gain > best_gain:
                best_gain = gain
                best_split = {
                    "feature_index": feature_idx,
                    "threshold": t,
                    "gain": gain,
                    "offset_applied": epsilon
                }

    return best_split

Độ phức tạp thuật toán: $\mathcal{O}(D \cdot N \log N)$ cho mỗi node phân nhánh, bảo toàn khả năng huấn luyện nhanh chóng và phù hợp xử lý luồng dữ liệu lớn.

Testing và validation

Hiệu năng của mô hình cây quyết định (Decision Tree - CART) trong MidSiot được so sánh với các mô hình máy học phổ biến trên tập dữ liệu chuẩn IoTID20 trước khi tối ưu hóa đối kháng:

Mô hình thuật toán Cấu hình tham số Thời gian huấn luyện (s) Độ chính xác Nhị phân (%) Macro F1-Score (%)
Linear SVM kernel='linear', C=1.0 328.4 88.54 86.20
Quadratic SVM kernel='poly', degree=2 > 7200 (Timeout) N/A N/A
K-Nearest Neighbors n_neighbors=5, metric='minkowski' 45.2 92.10 90.85
Multilayer Perceptron (MLP) layers=(50, 50), act='relu' 542.1 94.30 93.12
LSTM hidden_dim=50, epochs=20 1420.0 95.80 94.75
Linear Discriminant Analysis solver='svd' 12.4 84.15 82.30
Decision Tree (MidSiot) criterion='entropy', max_depth=15 3.8 99.49 99.35

Thực nghiệm Tấn công Đối kháng (Adversarial Evasion Attack Test)

Nhóm nghiên cứu sử dụng thư viện Adversarial Robustness Toolbox (ART) để tạo ra các mẫu tấn công biến đổi gradient trên các mô hình cây chuẩn và mô hình MidSiot-NG:

Bộ dữ liệu Mô hình Độ chính xác (Clean Sample) Độ chính xác khi bị tấn công (Adversarial Sample) Tỷ lệ suy giảm (%)
IoTID20 DT Tiêu chuẩn 99.49% 42.15% $\downarrow 57.34%$
IoTID20 MidSiot-NG (Robust DT) 99.68% 96.82% $\downarrow \mathbf{2.86%}$
CIC-IDS-2017 DT Tiêu chuẩn 98.92% 38.60% $\downarrow 60.32%$
CIC-IDS-2017 MidSiot-NG (Robust DT) 99.12% 95.40% $\downarrow \mathbf{3.72%}$
BoT-IoT DT Tiêu chuẩn 99.85% 45.20% $\downarrow 54.65%$
BoT-IoT MidSiot-NG (Robust DT) 99.91% 98.15% $\downarrow \mathbf{1.76%}$

Kết quả đạt được

Hệ thống MidSiot-NG hoàn thiện toàn bộ các tính năng đặt ra với các chỉ số đo lường vượt trội:

  • Độ chính xác tổng thể (Overall Accuracy): Đạt 99.68% trên IoTID20, 99.12% trên CIC-IDS-2017 và 99.91% trên BoT-IoT.
  • Tốc độ suy luận (Inference Latency): Trung bình $\le 1.2\text{ ms}$ cho mỗi network flow tại Home Gateway và $\le 3.5\text{ ms}$ tại ISP Gateway.
  • Khả năng duy trì độ chính xác dưới tấn công đối kháng: Duy trì tỷ lệ nhận diện $> 95%$ ngay cả khi kẻ tấn công thực hiện biến đổi đặc trưng với độ lệch offset $\epsilon = 0.15$.

Đổi mới và đóng góp

  1. Kiến trúc phân tán 3 giai đoạn kết hợp Edge-ISP: Đột phá trong việc tách biệt bài toán nhận diện thiết bị đưa về thiết bị biên (Home Gateway) và xử lý phân loại độc hại đa lớp trên đám mây ISP. Kiến trúc này giúp giảm $64.8%$ khối lượng truyền tải dữ liệu thô lên máy chủ trung tâm.
  2. Thuật toán cây quyết định Robust đa lớp với cơ chế Auto-offset: Đã giải quyết được 2 giới hạn cố hữu của các nghiên cứu trước đây (vốn chỉ hỗ trợ phân loại nhị phân và yêu cầu gán tham số offset thủ công). Thuật toán tự động quét không gian đặc trưng để tìm điểm cân bằng Pareto giữa độ chính xác trên dữ liệu sạch và khả năng kháng nhiễu đối kháng.
  3. So sánh chuyên sâu với các mô hình học sâu dữ liệu bảng mới nhất: Tiến hành benchmark chi tiết với TabNet (Google Cloud AI) và SAINT (Self-Attention and Intersample Attention). Kết quả chứng minh MidSiot-NG đạt độ chính xác tương đương ($99.68%$ so với $99.72%$ của TabNet) nhưng tốc độ huấn luyện nhanh gấp 140 lần và tốc độ suy luận nhanh gấp 45 lần, tiêu thụ ít hơn $92%$ bộ nhớ RAM.

Ứng dụng thực tế và triển khai

Kịch bản ứng dụng thực tế

                       ┌───────────────────────────────┐
                       │  Smart City / ISP Data Center │
                       │    (MidSiot-NG Stage 2 & 3)   │
                       └───────────────┬───────────────┘
                                       │ Backbone Fiber (Lightweight Metadata)
             ┌─────────────────────────┴─────────────────────────┐
             ▼                                                   ▼
┌─────────────────────────┐                         ┌─────────────────────────┐
│ Smart Factory Gateway   │                         │  Smart Hospital Gateway │
│ - CNC Machines          │                         │  - Patient Monitors     │
│ - SCADA Sensors         │                         │  - Infusion Pumps       │
│ (MidSiot Stage 1 Edge)  │                         │  (MidSiot Stage 1 Edge) │
└─────────────────────────┘                         └─────────────────────────┘
  • Nhà mạng viễn thông & ISP (Internet Service Providers): Tích hợp trực tiếp module Stage 2 và Stage 3 vào hạ tầng Broadband Remote Access Server (BRAS) hoặc trạm Gateway để cung cấp gói dịch vụ an ninh mạng giá trị gia tăng (Clean-Pipe Security Service) cho khách hàng hộ gia đình và doanh nghiệp.
  • Hệ thống Nhà máy Thông minh (Industrial IoT/SCADA): Giám sát toàn diện các PLC, cảm biến nhiệt độ, cánh tay robot. Phân loại luồng dữ liệu chuyên biệt giúp tránh tình trạng báo động giả làm gián đoạn dây chuyền sản xuất trị giá hàng triệu USD.
  • Hạ tầng Y tế Thông minh (IoMT - Internet of Medical Things): Bảo vệ hệ thống máy thở, máy theo dõi nhịp tim khỏi các cuộc tấn công DDoS tống tiền (Ransomware) mà không làm suy giảm hiệu năng thiết bị y tế.

Hướng dẫn triển khai & Yêu cầu hệ thống

Yêu cầu phần cứng

  • Local Home / Edge Gateway: CPU ARMv8 hoặc x86 lõi kép $\ge 1.2\text{ GHz}$, RAM tối thiểu $\ge 512\text{ MB}$, Storage trống $\ge 2\text{ GB}$, hệ điều hành OpenWrt / Ubuntu Core / Debian Linux.
  • ISP Central Gateway: CPU Intel Xeon / AMD EPYC $\ge 8$ cores, RAM $\ge 32\text{ GB}$, SSD NVMe $\ge 100\text{ GB}$, hệ điều hành Ubuntu Server 22.04 LTS.

Hướng dẫn cài đặt nhanh qua Docker

# 1. Clone repository va khoi tao moi truong
git clone https://github.com/midsiot-project/midsiot-ng.git
cd midsiot-ng

# 2. Trien khai Agent trich xuat luong tai Local Gateway
docker run -d --name midsiot-edge \
  --net=host \
  --restart=always \
  -v /var/log/midsiot:/app/logs \
  -e GATEWAY_MODE=EDGE \
  -e ISP_FORWARD_URL=https://ids.isp-center.vn/api/v1/flow \
  midsiot/edge-agent:v2.1

# 3. Trien khai Core Engine tai ISP Gateway Server
docker-compose -f docker-compose.isp.yml up -d --scale worker=4

Xử lý sự cố thường gặp (Troubleshooting)

  • Lỗi tràn hàng đợi bắt gói (Packet Buffer Overflow): Kiểm tra thông số pcap_buffer_size trong file cấu hình. Tăng giá trị từ 32MB lên 128MB nếu lưu lượng đường truyền vượt quá $500\text{ Mbps}$.
  • Tỷ lệ cảnh báo sai tăng cục bộ trên thiết bị mới: Khi mạng xuất hiện thiết bị IoT chưa từng có trong tập mẫu (Unseen device), module Stage 1 sẽ gán nhãn Generic_IoT. Cần kích hoạt chế độ Shadow Retraining trong 24 giờ để cập nhật bộ trọng số cho profile thiết bị mới.

Hạn chế và hướng phát triển

Mặc dù đạt được những kết quả xuất sắc, đề tài ghi nhận một số hạn chế kỹ thuật:

  • Xử lý lưu lượng mã hóa sâu: Mô hình hiện dựa hoàn toàn vào các đặc trưng thống kê luồng (Flow statistical metadata). Nếu kẻ tấn công thay đổi hình thái luồng (Traffic morphing) hoặc sử dụng kênh truyền bí mật (Covert channel over DNS/ICMP), hiệu năng nhận diện có thể bị ảnh hưởng.
  • Hiện tượng trôi dữ liệu (Concept Drift): Hành vi mạng của các thiết bị có thể thay đổi sau mỗi đợt nhà sản xuất cập nhật firmware OTA (Over-The-Air).

Hướng phát triển tiếp theo:

  1. Tích hợp công nghệ Học liên kết (Federated Learning) cho phép hàng ngàn Home Gateways cùng tham gia huấn luyện cập nhật mô hình phát hiện mà không cần chia sẻ dữ liệu luồng mạng riêng tư về ISP.
  2. Mở rộng khả năng phát hiện zero-day thông qua mạng sinh đối kháng GANs (Generative Adversarial Networks) để tự động sinh các biến thể tấn công mới phục vụ phòng thủ chủ động.

Đối tượng hưởng lợi

┌────────────────────────────────────────────────────────────────────────────┐
│                             GIÁ TRỊ MANG LẠI                               │
├───────────────────┬───────────────────┬───────────────────┬────────────────┤
│    Sinh viên      │   Lập trình viên  │    Doanh nghiệp   │  Nhà nghiên cứu│
│                   │      & Kỹ sư      │       & ISP       │                │
├───────────────────┼───────────────────┼───────────────────┼────────────────┤
│ - Tài liệu mẫu về │ - Pipeline học    │ - Tiết kiệm 40%   │ - Khung đánh   │
│   khóa luận ATTT  │   máy tabular     │   chi phí hạ tầng │   giá chuẩn cho│
│ - Codebase chuẩn  │   tối ưu          │ - Tăng doanh thu  │   Robust ML    │
│   về xử lý mạng   │ - Mẫu giải thuật  │   từ dịch vụ bảo  │ - Nền tảng     │
│ - Phương pháp     │   Robust Tree     │   mật mạng        │   nghiên cứu   │
│   nghiên cứu thực │   sẵn sàng tích   │ - Giảm 65% lưu    │   Adversarial  │
│   nghiệm          │   hợp             │   lượng nghẽn     │   cho IoT      │
└───────────────────┴───────────────────┴───────────────────┴────────────────┘
  • Sinh viên & Học viên cao học: Nguồn tư liệu tham khảo toàn diện về phương pháp luận nghiên cứu an toàn thông tin, quy trình xử lý dữ liệu mạng thực tế và kỹ thuật tối ưu hóa mô hình học máy.
  • Kỹ sư Hệ thống & Lập trình viên: Cung cấp mã nguồn tham khảo, cấu trúc thuật toán cây quyết định có khả năng chống nhiễu đối kháng có thể nhúng trực tiếp vào các thiết bị mạng nhúng (Embedded Linux/OpenWrt).
  • Doanh nghiệp Viễn thông & ISP: Mô hình khả thi giúp tiết kiệm hơn $40%$ chi phí đầu tư máy chủ xử lý phân tích tập trung, đồng thời mở ra cơ hội kinh doanh các gói dịch vụ an ninh mạng tự động cho khách hàng băng rộng.
  • Cộng đồng Nghiên cứu An toàn Thông tin: Cung cấp phương pháp tiếp cận mới trong việc giải quyết bài toán tấn công đối kháng trên dữ liệu dạng bảng (Tabular data), một lĩnh vực vốn ít được chú trọng hơn so với thị giác máy tính hay xử lý ngôn ngữ tự nhiên.

Câu hỏi thường gặp

1. Yêu cầu kỹ thuật tối thiểu để triển khai MidSiot-NG trên Router gia đình là gì?

Hệ thống yêu cầu Router/Gateway hỗ trợ nền tảng Linux (ví dụ OpenWrt, DD-WRT), RAM tối thiểu $512\text{ MB}$ và CPU lõi kép $1.0\text{ GHz}$. Module trích xuất CICFlowMeter và mô hình Stage 1 tiêu thụ trung bình dưới $120\text{ MB}$ RAM và $< 8%$ công suất CPU ở lưu lượng thông thường ($100\text{ Mbps}$).

2. Hệ thống xử lý thế nào khi lưu lượng mạng tại trạm ISP lên đến hàng triệu luồng mỗi giây?

Tại ISP Gateway, hệ thống sử dụng kiến trúc phân tán theo cụm (Clustered Worker Nodes) thông qua Apache Kafka để làm hàng đợi tiếp nhận đặc trưng và triển khai các Worker chạy mô hình cây quyết định C-accelerated. Nhờ thuật toán cây quyết định có độ phức tạp suy luận $\mathcal{O}(\text{depth})$ cực nhỏ (với độ sâu $\le 15$), mỗi luồng chỉ mất vài micro giây để phân loại.

3. MidSiot-NG có thể tích hợp với các hệ thống SIEM hoặc IDS truyền thống như Snort/Suricata không?

Hoàn toàn tương thích. MidSiot-NG hỗ trợ chuẩn đầu ra Syslog, JSON và CEF (Common Event Format). Doanh nghiệp có thể sử dụng MidSiot-NG làm lớp lọc thông minh ban đầu, sau đó chuyển tiếp các luồng có độ rủi ro cao về SIEM (Splunk, Elastic SIEM) hoặc Snort để kiểm tra chuyên sâu payload.

4. Tần suất cập nhật và huấn luyện lại mô hình là bao lâu?

Nhóm tác giả khuyến nghị chu kỳ cập nhật mô hình định kỳ mỗi tháng một lần hoặc kích hoạt tự động khi tỷ lệ luồng không xác định được danh tính thiết bị vượt quá ngưỡng $5%$ trong 3 ngày liên tiếp.

5. Chi phí ước tính và thời gian thu hồi vốn (ROI) khi ISP triển khai hệ thống?

Đối với một ISP quy mô trung bình phục vụ 500.000 thuê bao, chi phí triển khai phần mềm và nâng cấp cụm máy chủ phân tích ước tính khoảng 30.000 - 50.000 USD. Bằng cách cung cấp gói dịch vụ "IoT Home Shield" với mức phí 1 USD/tháng cho 10% lượng khách hàng, ISP có thể đạt điểm hòa vốn và thu hồi toàn bộ chi phí đầu tư chỉ sau 4 - 6 tháng.

Kết luận

Đề tài MidSiot-NG: Hệ thống phát hiện xâm nhập nhiều giai đoạn có khả năng chống lại các cuộc tấn công đối kháng cho mạng IoT đã giải quyết trọn vẹn những bất cập cốt lõi của các hệ thống an ninh mạng IoT đương đại. Bằng việc kết hợp kiến trúc xử lý biên - đám mây 3 giai đoạn, thuật toán lọc đặc trưng Pearson tối ưu và mô hình cây quyết định kháng đối kháng đa lớp độc chế, công trình đã thiết lập một tiêu chuẩn mới về sự cân bằng giữa độ chính xác phát hiện (99.68%), tốc độ suy luận thời gian thực và tính vững chắc trước các cuộc tấn công trốn tránh tinh vi.

Công trình không chỉ mang giá trị học thuật xuất sắc tại Khoa Mạng máy tính và Truyền thông - Trường Đại học Công nghệ Thông tin, ĐHQG-HCM, mà còn mang tính ứng dụng thực tiễn to lớn, sẵn sàng chuyển giao công nghệ cho các nhà mạng và doanh nghiệp an toàn thông tin. Bạn đọc và các nhà phát triển quan tâm có thể khám phá mã nguồn, đóng góp ý kiến hoặc áp dụng mô hình vào các dự án bảo mật thực tế để cùng chung tay xây dựng một không gian mạng IoT an toàn và bền vững.