Xây dựng hệ thống phát hiện xâm nhập mạng sử dụng học sâu

Tài liệu nghiên cứu Xây dựng hệ thống xâm nhập mạng sử dụng học sâu, tổng hợp lý thuyết và thực hành, cung cấp kiến thức chuyên sâu về kỹ thuật.

• Tác giả: Trần Thanh Nam
• Người hướng dẫn: TS. Thái Minh Tuấn
• Trường học: Trường Đại Học Cần Thơ
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Hệ Thống Phát Hiện Xâm Nhập Mạng Bằng Học Sâu
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2021
• Địa điểm: Cần Thơ

Mục lục chi tiết

• LỜI CAM ĐOAN
• 1. CHƯƠNG 1: MỞ ĐẦU
• 1.1. Đặt vấn đề
• 1.2. Mục tiêu đề tài
• 1.3. Nội dung nghiên cứu
• 1.4. Bố cục luận văn
• 2. CHƯƠNG 2: TỔNG QUAN
• 2.1. Tổng quan về xâm nhập mạng
• 2.2. Tổng quan về hệ thống phát hiện xâm nhập mạng IDS
• 2.3. Mạng nơ-ron nhân tạo (Artificial Neural Network - ANN)
• 3. CHƯƠNG 3: PHƯƠNG PHÁP NGHIÊN CỨU
• 3.1. Mô hình phát hiện xâm nhập mạng sử dụng phương pháp học sâu
• 3.2. Thiết kế kiến trúc mô hình
• 4. CHƯƠNG 4: THỰC NGHIỆM VÀ ĐÁNH GIÁ
• 4.1. Môi trường thực nghiệm
• 4.2. Tập dữ liệu UNSW-NB15
• 4.3. Tiến hành thực nghiệm
• 4.4. Kết quả và đánh giá
• 4.5. Phương pháp đánh giá
• 5. CHƯƠNG 5: ÁP DỤNG HỆ THỐNG PHÁT HIỆN XÂM NHẬP MẠNG SỬ DỤNG PHƯƠNG PHÁP HỌC SÂU VÀO THỰC TẾ
• 5.1. Mô tả hệ thống
• 5.2. Cài đặt Python và Mô-đun
• 5.3. Cài đặt hệ thống học sâu IDS
• 5.4. Môi trường thực nghiệm
• 6. CHƯƠNG 6: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• 6.1. Hướng phát triển của đề tài
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về hệ thống phát hiện xâm nhập mạng bằng học sâu

Hệ thống phát hiện xâm nhập mạng (IDS) là một phần quan trọng trong an ninh mạng, giúp giám sát và phát hiện các hành vi xâm nhập trái phép. Trong bối cảnh các cuộc tấn công mạng ngày càng tinh vi, việc áp dụng phương pháp học sâu để cải thiện hiệu quả của IDS trở nên cần thiết. Hệ thống IDS truyền thống gặp nhiều hạn chế trong việc phát hiện các cuộc tấn công mới, do đó, việc tích hợp học sâu vào IDS hứa hẹn sẽ mang lại những cải tiến đáng kể.

1.1. Khái niệm về hệ thống phát hiện xâm nhập mạng

Hệ thống phát hiện xâm nhập mạng (IDS) là công cụ giám sát lưu lượng mạng nhằm phát hiện các hành vi bất thường. IDS có thể phân loại thành hai loại chính: NIDS (Network Intrusion Detection System) và HIDS (Host Intrusion Detection System). NIDS giám sát toàn bộ lưu lượng mạng, trong khi HIDS tập trung vào các thiết bị cụ thể.

1.2. Vai trò của học sâu trong an ninh mạng

Học sâu (deep learning) là một nhánh của học máy, cho phép hệ thống tự động học từ dữ liệu mà không cần lập trình cụ thể. Việc áp dụng học sâu vào IDS giúp cải thiện khả năng phát hiện các cuộc tấn công mới và giảm thiểu tỷ lệ cảnh báo sai, từ đó nâng cao hiệu quả bảo mật mạng.

II. Vấn đề và thách thức trong phát hiện xâm nhập mạng

Mặc dù hệ thống IDS đã được phát triển từ lâu, nhưng vẫn tồn tại nhiều thách thức trong việc phát hiện xâm nhập mạng. Các cuộc tấn công ngày càng tinh vi và đa dạng, khiến cho việc phát hiện trở nên khó khăn hơn. Hệ thống IDS truyền thống thường gặp khó khăn trong việc nhận diện các hành vi bất thường và có tỷ lệ cảnh báo sai cao.

2.1. Các hạn chế của hệ thống IDS truyền thống

Hệ thống IDS truyền thống thường dựa vào các dấu hiệu đã biết để phát hiện tấn công, điều này dẫn đến việc không phát hiện được các cuộc tấn công mới hoặc biến thể. Hơn nữa, việc cập nhật cơ sở dữ liệu về các dấu hiệu tấn công là một thách thức lớn trong bối cảnh lưu lượng mạng ngày càng tăng.

2.2. Tình hình tấn công mạng hiện nay

Theo thống kê từ VNCERT, số lượng cuộc tấn công mạng tại Việt Nam đã tăng lên đáng kể trong những năm gần đây. Các cuộc tấn công không chỉ gia tăng về số lượng mà còn trở nên tinh vi hơn, đòi hỏi các hệ thống bảo mật phải liên tục cải tiến để đáp ứng.

III. Phương pháp học sâu trong phát hiện xâm nhập mạng

Phương pháp học sâu đã được áp dụng để xây dựng các hệ thống IDS mới, giúp cải thiện khả năng phát hiện và phân loại các cuộc tấn công mạng. Các mô hình học sâu như mạng nơ-ron nhân tạo (ANN) đã cho thấy hiệu quả vượt trội so với các phương pháp truyền thống.

3.1. Mạng nơ ron nhân tạo ANN và ứng dụng trong IDS

Mạng nơ-ron nhân tạo (ANN) là một trong những công nghệ học sâu phổ biến nhất. ANN có khả năng học từ dữ liệu lớn và phát hiện các mẫu phức tạp trong lưu lượng mạng, từ đó giúp phát hiện các cuộc tấn công một cách hiệu quả hơn.

3.2. Các kỹ thuật học sâu khác trong phát hiện xâm nhập

Ngoài ANN, còn có nhiều kỹ thuật học sâu khác như mạng nơ-ron tích chập (CNN) và mạng nơ-ron hồi tiếp (RNN) cũng được nghiên cứu và áp dụng trong phát hiện xâm nhập mạng. Những kỹ thuật này giúp cải thiện độ chính xác và tốc độ phát hiện.

IV. Ứng dụng thực tiễn của hệ thống phát hiện xâm nhập mạng bằng học sâu

Việc áp dụng hệ thống IDS sử dụng học sâu đã cho thấy nhiều kết quả khả quan trong thực tiễn. Các nghiên cứu cho thấy rằng hệ thống này có thể phát hiện và phân loại các cuộc tấn công mạng với độ chính xác cao hơn so với các hệ thống truyền thống.

4.1. Kết quả nghiên cứu và thực nghiệm

Nghiên cứu đã chỉ ra rằng hệ thống IDS sử dụng học sâu có thể phát hiện 09 loại tấn công mạng từ tập dữ liệu UNSW-NB15 với độ chính xác cao. Các kết quả thực nghiệm cho thấy sự vượt trội của phương pháp học sâu trong việc phát hiện các hành vi xâm nhập.

4.2. Ứng dụng trong các tổ chức và doanh nghiệp

Nhiều tổ chức và doanh nghiệp đã bắt đầu áp dụng hệ thống IDS sử dụng học sâu để bảo vệ mạng của họ. Việc này không chỉ giúp phát hiện các cuộc tấn công mà còn nâng cao khả năng phản ứng nhanh chóng trước các mối đe dọa.

V. Kết luận và hướng phát triển của hệ thống phát hiện xâm nhập mạng

Hệ thống phát hiện xâm nhập mạng bằng học sâu đang mở ra nhiều cơ hội mới trong việc bảo vệ an ninh mạng. Tuy nhiên, vẫn cần tiếp tục nghiên cứu và phát triển để cải thiện hơn nữa hiệu quả của các hệ thống này.

5.1. Tương lai của hệ thống IDS

Với sự phát triển không ngừng của công nghệ, hệ thống IDS sẽ ngày càng trở nên thông minh hơn. Việc tích hợp trí tuệ nhân tạo và học sâu sẽ giúp nâng cao khả năng phát hiện và phản ứng với các mối đe dọa mới.

5.2. Những thách thức cần vượt qua

Mặc dù có nhiều tiềm năng, nhưng việc triển khai hệ thống IDS sử dụng học sâu cũng gặp phải nhiều thách thức như chi phí, yêu cầu về dữ liệu và khả năng xử lý. Cần có các giải pháp để khắc phục những vấn đề này.

Nội dung chính

## Tổng quan nghiên cứu

Trong bối cảnh bùng nổ thông tin và truyền thông hiện nay, mạng Internet đã trở thành một phần không thể thiếu trong mọi lĩnh vực của đời sống xã hội. Theo thống kê của Trung tâm ứng cứu khẩn cấp máy tính Việt Nam (VNCERT), năm 2020 đã ghi nhận khoảng 9.200 cuộc tấn công mạng tại Việt Nam, với quy mô và mức độ tinh vi ngày càng gia tăng. Điều này đặt ra thách thức lớn về an toàn thông tin và đòi hỏi các hệ thống bảo vệ mạng phải phát triển mạnh mẽ hơn để ngăn chặn các cuộc tấn công xâm nhập.

Hệ thống phát hiện xâm nhập mạng (Intrusion Detection System - IDS) truyền thống dựa trên phương pháp phát hiện dấu hiệu (signature-based) và phát hiện bất thường (anomaly-based) còn nhiều hạn chế, đặc biệt trong việc nhận diện các cuộc tấn công mới hoặc đã được biến đổi. Mục tiêu của luận văn là xây dựng một hệ thống IDS sử dụng phương pháp học sâu (deep learning) dựa trên mạng nơ-ron nhân tạo đa lớp (Multi-layers Perceptron - MLP) nhằm nâng cao khả năng phát hiện và phân loại 09 loại tấn công mạng phổ biến, sử dụng tập dữ liệu UNSW-NB15 và công cụ bắt gói tin mạng Argus để áp dụng thực tế.

Phạm vi nghiên cứu tập trung vào việc phát triển và đánh giá hệ thống IDS học sâu trên môi trường thực nghiệm tại Việt Nam, với mục tiêu cải thiện độ chính xác phát hiện và giảm thiểu cảnh báo sai, góp phần nâng cao hiệu quả bảo vệ an ninh mạng trong bối cảnh lưu lượng mạng nội địa đạt khoảng 268 Gbps và lưu lượng trao đổi qua trung chuyển VNIX đạt gần 540 Tbytes năm 2020.

## Cơ sở lý thuyết và phương pháp nghiên cứu

### Khung lý thuyết áp dụng

- **Mạng nơ-ron nhân tạo (Artificial Neural Network - ANN):** Mô phỏng cấu trúc tế bào thần kinh sinh học, gồm các lớp đầu vào, lớp ẩn và lớp đầu ra, với trọng số và hàm kích hoạt như ReLU, sigmoid, tanh để xử lý và học các đặc tính dữ liệu.
- **Phương pháp học sâu (Deep Learning):** Sử dụng mạng nơ-ron đa lớp (MLP) với nhiều lớp ẩn để trừu tượng hóa và học các đặc tính phức tạp từ dữ liệu mạng, giúp phát hiện và phân loại các hành vi xâm nhập mạng hiệu quả hơn.
- **Hệ thống phát hiện xâm nhập mạng (IDS):** Bao gồm hai loại chính là Network IDS (NIDS) và Host IDS (HIDS), sử dụng các kỹ thuật phát hiện dựa trên dấu hiệu và bất thường để giám sát lưu lượng mạng và cảnh báo các hành vi nguy hiểm.
- **Thuật toán phân loại:** Mô hình MLP được huấn luyện có giám sát trên tập dữ liệu UNSW-NB15, sử dụng các hàm mất mát và tối ưu hóa như sparse_categorical_crossentropy và Adam optimizer để đạt hiệu quả cao trong phân loại.

### Phương pháp nghiên cứu

- **Nguồn dữ liệu:** Tập dữ liệu UNSW-NB15 gồm 2,539,740 bản ghi mạng với 49 đặc tính, trong đó chọn 20 thuộc tính phù hợp để huấn luyện mô hình. Dữ liệu được cân bằng bằng cách giảm 60% bản ghi "Normal" để tránh lệch dữ liệu.
- **Phương pháp phân tích:** Sử dụng phương pháp Hold-out chia dữ liệu thành 80% tập huấn luyện và 20% tập kiểm thử. Mô hình MLP gồm 4 lớp (1 lớp đầu vào 20 nodes, 2 lớp ẩn mỗi lớp 32 nodes, 1 lớp đầu ra 10 nodes) được huấn luyện với hàm kích hoạt ReLU cho lớp ẩn và Softmax cho lớp đầu ra.
- **Timeline nghiên cứu:** Thực nghiệm được tiến hành trên môi trường Google Colab và máy tính cá nhân cấu hình Intel Core i5, RAM 8GB, sử dụng các thư viện TensorFlow, Keras, Scikit-learn, Pandas, NumPy. Huấn luyện mô hình với 100 epochs, batch size 32, learning rate 0.01, đánh giá qua các chỉ số accuracy, precision, recall, F1-score.

## Kết quả nghiên cứu và thảo luận

### Những phát hiện chính

- Mô hình học sâu IDS đạt độ chính xác (accuracy) tối đa khoảng 87,41% sau 70 epochs, với thời gian huấn luyện trung bình 38-42 giây mỗi epoch.
- Tỷ lệ phát hiện chính xác (precision) của mô hình đạt khoảng 87,8% trên tập kiểm thử, thể hiện khả năng phân loại 09 loại tấn công mạng hiệu quả.
- So sánh với công cụ Snort truyền thống, mô hình học sâu có tỷ lệ phát hiện tấn công cao hơn, đặc biệt với các cuộc tấn công đã thay đổi tham số, ví dụ: IDS học sâu phát hiện 90% tấn công DoS/Backdoor trong khi Snort chỉ phát hiện 10%.
- Ma trận hỗn độn chuẩn hóa cho thấy mô hình phân loại tốt các lớp tấn công, với các phần tử trên đường chéo chính có giá trị cao, minh chứng cho khả năng phân biệt rõ ràng giữa các loại tấn công và lưu lượng bình thường.

### Thảo luận kết quả

Hiệu quả của mô hình học sâu được giải thích bởi khả năng tự động học và trừu tượng hóa các đặc tính phức tạp từ dữ liệu mạng, vượt trội hơn các phương pháp dựa trên quy tắc cứng nhắc như Snort. Việc sử dụng mạng MLP với hai lớp ẩn giúp cân bằng giữa độ phức tạp và khả năng học, tránh hiện tượng quá khớp khi huấn luyện quá nhiều epochs.

So với các nghiên cứu trước đây, kết quả này phù hợp với xu hướng ứng dụng học sâu trong an ninh mạng, cho thấy tiềm năng lớn trong việc phát hiện các cuộc tấn công mới và biến thể. Tuy nhiên, mô hình vẫn còn hạn chế khi áp dụng trên dữ liệu thực tế ngoài môi trường máy ảo và cần mở rộng tập dữ liệu huấn luyện để nâng cao độ chính xác.

Dữ liệu có thể được trình bày qua biểu đồ độ lỗi và độ chính xác theo từng epoch, cũng như bảng so sánh tỷ lệ phát hiện tấn công giữa mô hình học sâu và Snort, giúp minh họa rõ ràng hiệu quả vượt trội của phương pháp đề xuất.

## Đề xuất và khuyến nghị

- **Mở rộng tập dữ liệu huấn luyện:** Thu thập và tích hợp thêm các tập dữ liệu tấn công thực tế và đa dạng hơn để cải thiện khả năng tổng quát của mô hình, giảm thiểu sai sót trong dự đoán.
- **Tối ưu hóa mô hình học sâu:** Thử nghiệm các kiến trúc mạng khác như mạng nơ-ron sâu (DNN), mạng hồi quy (RNN) hoặc mạng tích chập (CNN) để nâng cao hiệu quả phát hiện và phân loại.
- **Triển khai thực tế:** Phát triển hệ thống IDS học sâu trên môi trường mạng thực tế, không chỉ trong máy ảo, để đánh giá và điều chỉnh phù hợp với các điều kiện vận hành thực tế.
- **Tích hợp đa lớp bảo vệ:** Kết hợp song song hệ thống IDS học sâu với các công cụ truyền thống như Snort để tận dụng ưu điểm của cả hai, nâng cao khả năng phát hiện và giảm thiểu cảnh báo sai.
- **Đào tạo và nâng cao nhận thức:** Tổ chức các khóa đào tạo cho đội ngũ quản trị mạng về ứng dụng học sâu trong an ninh mạng, giúp vận hành và khai thác hiệu quả hệ thống IDS mới.

## Đối tượng nên tham khảo luận văn

- **Chuyên gia an ninh mạng:** Nâng cao kiến thức về ứng dụng học sâu trong phát hiện xâm nhập mạng, áp dụng vào thiết kế và vận hành hệ thống bảo vệ hiện đại.
- **Nhà nghiên cứu và sinh viên công nghệ thông tin:** Tham khảo phương pháp nghiên cứu, mô hình học sâu và quy trình thực nghiệm để phát triển các đề tài liên quan.
- **Doanh nghiệp và tổ chức sử dụng mạng lớn:** Áp dụng hệ thống IDS học sâu để tăng cường bảo mật, giảm thiểu rủi ro từ các cuộc tấn công mạng tinh vi.
- **Nhà phát triển phần mềm bảo mật:** Tích hợp các thuật toán học sâu vào sản phẩm bảo mật, nâng cao khả năng phát hiện và phản ứng nhanh với các mối đe dọa.

## Câu hỏi thường gặp

1. **Học sâu có ưu điểm gì so với các phương pháp IDS truyền thống?**  
Học sâu tự động học các đặc tính phức tạp từ dữ liệu, phát hiện các cuộc tấn công mới và biến thể hiệu quả hơn, giảm tỷ lệ cảnh báo sai so với phương pháp dựa trên quy tắc cứng nhắc.

2. **Tập dữ liệu UNSW-NB15 có đặc điểm gì nổi bật?**  
Tập dữ liệu gồm hơn 2,5 triệu bản ghi với 49 đặc tính, bao gồm 09 loại tấn công mạng phổ biến, được tạo ra trong môi trường phòng thí nghiệm an ninh mạng, phù hợp cho huấn luyện và đánh giá mô hình IDS.

3. **Mô hình MLP được thiết kế như thế nào trong nghiên cứu?**  
Mô hình gồm 4 lớp: 1 lớp đầu vào với 20 nodes, 2 lớp ẩn mỗi lớp 32 nodes sử dụng hàm kích hoạt ReLU, và 1 lớp đầu ra 10 nodes sử dụng hàm Softmax, phù hợp cho bài toán phân loại đa lớp.

4. **Hiệu quả của mô hình được đánh giá bằng những chỉ số nào?**  
Sử dụng accuracy, precision, recall và F1-score để đánh giá khả năng phân loại chính xác các loại tấn công và lưu lượng bình thường, với precision đạt gần 88% cho mô hình học sâu.

5. **Làm thế nào để triển khai hệ thống IDS học sâu vào thực tế?**  
Cần cài đặt công cụ bắt gói tin mạng Argus để thu thập dữ liệu, sử dụng mô-đun đọc dữ liệu và mô hình học sâu đã huấn luyện để phân loại và cảnh báo, đồng thời kết hợp với các công cụ IDS truyền thống để tăng hiệu quả.

## Kết luận

- Đã xây dựng thành công hệ thống phát hiện xâm nhập mạng sử dụng phương pháp học sâu dựa trên mạng nơ-ron đa lớp, nâng cao độ chính xác phát hiện các cuộc tấn công mạng.
- Mô hình đạt độ chính xác tối đa khoảng 87,41% và tỷ lệ phát hiện tấn công chính xác gần 88% trên tập dữ liệu UNSW-NB15.
- So sánh với công cụ Snort truyền thống, hệ thống học sâu cho thấy hiệu quả vượt trội, đặc biệt với các cuộc tấn công đã thay đổi tham số.
- Hệ thống được triển khai thử nghiệm trên môi trường máy ảo với công cụ Argus để thu thập dữ liệu và mô-đun phân tích, sẵn sàng áp dụng trong thực tế.
- Hướng phát triển tiếp theo là mở rộng tập dữ liệu, tối ưu mô hình, triển khai thực tế và tích hợp đa lớp bảo vệ để nâng cao hiệu quả bảo mật mạng.

Hãy bắt đầu áp dụng các kỹ thuật học sâu trong hệ thống phát hiện xâm nhập mạng để bảo vệ hạ tầng công nghệ thông tin của bạn một cách hiệu quả và tiên tiến nhất.

Trích đoạn nội dung tài liệu

Mở đầu Mô tả khái quát vấn đề, đề xuất cách tiếp cận để giải quyết vấn đề, mục tiêu đề tài cần đạt được và phương pháp nghiên cứu đề tài. Cơ sở lý thuyết Mô tả lý thuyết về xâm nhập mạng, các loại hệ thống phát hiện tấn công xâm nhập mạng, các khái niệm bảo mật an ninh mạng, giới thiệu mạng nơ-ron nhân tạo, mạng nơ-ron đa lớp, khái niệm học sâu. Bên cạnh đó, đề cập đến một số nghiên cứu liên quan làm tiền đề cho luận văn này. Phương pháp nghiên cứu Trình bày xây dựng mô hình học sâu để phát hiện xâm nhập mạng, phương pháp tiền xử lý dữ liệu, huấn luyện mô hình, kiểm thử mô hình, đánh giá mô hình và triển khai mô hình vào thực tế.

Thực nghiệm và đánh giá Mô tả môi trường thực nghiệm, trình bày các quy trình huấn luyện, các bước huấn luyện và kiểm thử mô hình, kết quả mô hình và các phương pháp đánh giá hiệu quả mô hình. Áp dụng hệ thống phát hiện xâm nhập mạng sử dụng phương pháp học sâu vào thực tế Mô tả môi trường thực nghiệm trên máy ảo, trình bày quy trình và kết quả của hệ thống phát hiện xâm nhập mạng trên thực tế, so sánh với một công cụ khác để đánh giá hiệu quả của hệ thống. Kết luận và hướng phát triển Trình bày những kết quả thu được từ quá trình nghiên cứu, những thuận lợi, khó khăn, hướng phát triển nhằm phát huy điểm mạnh và cải thiện điểm yếu của hệ thống.1 Tổng quan về xâm nhập mạng 2.1 Khái niệm xâm nhập mạng Xâm nhập mạng, tấn công mạng là các tác động hoặc là trình tự liên kết giữa các tác động với nhau để hiện thực hóa các nguy cơ gây hại bằng cách lợi dụng lỗ hổng của các hệ thống thông tin. Theo một cách khác xâm nhập mạng có thể được định nghĩa là hành động cố gắng phá hủy sự toàn vẹn, bí mật của một tài nguyên hoặc đi ngược lại mục tiêu bảo mật của một tài nguyên nào đó.2 Các kiểu tấn công xâm nhập mạng phổ biến hiện nay Cài đặt Spyware, Keylogger, Backdoor: Hay còn gọi là tấn công thành lập “cửa sau”, là cách tấn công cài đặt các ứng dụng cho phép truy cập từ xa vào máy tính nạn nhân.

Trong loại vi phạm này, hacker sử dụng các loại phần mềm gián điệp được thiết kế, lập trình tinh vi, hoạt động ở chế độ ẩn có các chức năng như: điều khiển từ xa, ghi thông tin gõ bàn phím, duyệt và lấy cắp dữ liệu, chụp ảnh màn hình, mở micro ghi tín hiệu thoại,… mã hóa dữ liệu và gửi vào email được lưu trên một máy chủ trung gian để giấu nguồn gốc của hacker. Tấn công từ chối dịch vụ DoS- Botnet: Một cuộc tấn công từ chối dịch vụ (DoS) ngăn cản người dùng hợp pháp truy cập vào các dịch vụ hoặc thông tin. Nó thành công khi một kẻ tấn công làm quá tải một máy chủ với yêu cầu nhiều hơn các máy chủ có thể xử lý. DoS là chỉ một kẻ nào đó tấn công kiểm soát máy tính và sử dụng chúng để làm tràn một email đặc biệt với các tin nhắn hoặc một trang web có khối dữ liệu khổng lồ.

Các tấn công DoS bao gồm TCP-SYN Flood, ICMP/UDP Flood, Smurf, Ping of Death, Teardrop, Mailbomb, Apache2… Tấn công thăm dò (Reconnassance): Là hình thức tấn công nhằm thu thập các thông tin về hệ thống mục tiêu, từ đó phát hiện ra các điểm yếu. Tấn công do thám thường để làm bàn đạp cho cuộc tấn công truy cập hoặc tấn công từ chối dịch vụ về sau. Để tấn công thăm dò, hacker thường dùng các công cụ: Truy vấn thông tin Internet, Ping sweep, Port Scan, Packet sniffer… Tấn công khai thác mối quan hệ tin cậy: Khi hệ thống A và hệ thống B có mối quan hệ tin cậy nhau, các điểm yếu của hệ thống B có thể bị hacker lợi dụng, để tấn công vào hệ thống A, vì các truy cập từ hệ thống B vào hệ thống A được xem là hợp lệ. Để ngăn chặn tấn công lợi dụng mối quan hệ tin cậy, người quản trị hệ thống phải hạn chế các mối quan hệ tin cậy từ hệ thống mạng bên trong với hệ thống mạng bên ngoài.2 Tổng quan về hệ thống phát hiện xâm nhập mạng IDS Hệ thống phát hiện xâm nhập (Intrusion Detection System - IDS) là một hệ thống giám sát lưu lượng mạng nhằm phát hiện các hiện tượng bất thường, các hoạt động xâm nhập trái phép vào hệ thống được giới thiệu lần đầu năm 1997 [2].

Các tính năng quan trọng nhất của một hệ thống IDS bao gồm: Giám sát lưu lượng mạng và các hoạt động khả nghi. Cảnh báo về tình trạng mạng cho hệ thống và nhà quản trị. Đánh giá sự toàn vẹn các hệ thống IDS và các file dữ liệu quan trọng. Nhận rõ mẫu hành động phản ánh các cuộc tấn công đã biết.

Phân tích thống kê các mẫu hành động bất thường. Các tính năng của một hệ thống IDS Hệ thống IDS kết hợp với các hệ thống giám sát, tường lửa, chương trình diệt virus… tạo thành một hệ thống bảo mật hoàn chỉnh. Hệ thống IDS có hai loại chính:  Network Intrusion Detection System (NIDS): Là một hệ thống độc lập được thiết lập tại một điểm quy hoạch trong hệ thống để kiểm tra lưu lượng từ tất cả các thiết bị trên mạng. Nó quan sát theo dõi lưu lượng truyền trên toàn bộ mạng con và so sánh với tập hợp các cuộc tấn công đã biết.

Khi xác định được một cuộc tấn công hoặc nhận thấy thấy hành vi bất thường, nó sẽ gửi cảnh báo đến quản trị viên (Hình 2. Hệ thống NIDS  Host Intrusion Detection System (HIDS): Hệ thống phát hiện xâm nhập máy chủ được cài đặt cục bộ trên các máy chủ, máy trạm, máy tính xách tay hoặc các thiết bị độc lập trên mạng làm cho nó trở thành một hệ thống linh hoạt hơn so với NIDS. HIDS giám sát lưu lượng đến và đi từ thiết bị và sẽ cảnh báo cho quản trị viên nếu phát hiện hoạt động đáng ngờ hoặc độc hại (Hình 2. Hệ thống HIDS Cũng có thể phân loại IDS theo hai cách khác là dựa theo kỹ thuật để phát hiện xâm nhập: IDS phát hiện dựa trên dấu hiệu (Signature-based IDS) và phát hiện dựa trên bất thường (Anomaly-based IDS)  Signature-based IDS: Phát hiện xâm nhập dựa trên dấu hiệu của hành vi xâm nhập, thông qua phân tích lưu lượng mạng và nhật ký hệ thống.

Kỹ thuật này đòi hỏi phải duy trì một cơ sở dữ liệu về các dấu hiệu xâm nhập (signature database), và cơ sở dữ liệu này phải được cập nhật thường xuyên mỗi khi có một hình thức hoặc kỹ thuật xâm nhập mới.  Anomaly-based IDS: Phát hiện xâm nhập bằng cách so sánh (mang tính thống kê) các hành vi hiện tại với hoạt động bình thường của hệ thống để phát hiện các bất thường (anomaly) có thể là dấu hiệu của xâm nhập.3 Mạng nơ-ron nhân tạo (Artificial Neural Network - ANN) Mạng nơ-ron nhân tạo [15] mô phỏng một tập hợp các tế bào thần kinh kết nối với nhau, đầu ra của nơ-ron này có thể là đầu vào của nơ-ron khác. Mạng nơ-ron nhân tạo ANN được tạo từ các node (nơ-ron) xếp chồng các lớp lên nhau giữa vector đặc trưng và vector đích. Mạng nơ-ron nhân tạo đơn giản nhất tạo từ một node được gọi là “perceptron”.

Giống như các tế bào thần kinh sinh học có các nhánh và sợi trục, mạng nơ-ron nhân tạo đơn là một cấu trúc cây đơn giản có các node đầu vào và node đầu ra, được kết nối với mỗi node đầu vào. Bias b Weights x1 w1 Activation Function Ʃ Output Inputs x2. xn wn Hình 2. Cấu trúc mạng nơ-ron nhân tạo Trong đó: - x1, x2,… xn: Là các tín hiệu vào của neural, được biểu diễn dưới dạng vector N chiều.

- w1, w2,… wn: Là các trọng số tương ứng với các tín hiệu vào. Đây là thành phần quan trọng của một mạng neural, nó thể hiện mức độ quan trọng (độ mạnh) của dữ liệu đầu vào đối với quá trình xử lý thông tin. Quá trình học (learning processing) của mạng neural thực ra là quá trình điều chỉnh trọng số (weight) của các input data để có được kết quả mong muốn. - Hàm tổng (Summation Function): Tính tổng trọng số của tất cả các input được đưa vào mỗi nơ-ron.

Hàm tổng của một nơ-ron đối với n input được tính theo công thức sau: (2. Tất cả các nơ-ron đều cho sẵn một độ lệch (b). Độ lệch (bias) là một tham số điều chỉnh vô hướng của nơ-ron, nó không phải là một đầu vào, song hằng số phải được xem như đầu vào và nó cần được coi như vậy khi xem xét độ phụ thuộc tuyến tính của các vector đầu vào. - y: Đầu ra của nơ-ron.

7 - f: Hàm kích hoạt (activation function). Được dùng để giới hạn phạm vi đầu ra của mỗi nơ-ron. Một số hàm kích hoạt thường được sử dụng là: Hàm sigmoid (Sigmoid function) (2. Hàm sigmoid Hàm này đặc biệt thuận lợi khi sử dụng cho các mạng được huấn luyện (trained) bởi thuật toán Lan truyền ngược (back-propagation), bởi vì nó dễ lấy đạo hàm, do đó có thể giảm đáng kể tính toán trong quá trình huấn luyện.

Hàm này được ứng dụng cho các chương trình ứng dụng mà các đầu ra mong muốn rơi vào khoảng [0,1]. Hàm tanh Hàm tanh (x) là một phiên bản thay đổi kích thước của hàm sigmoid, và phạm vi đầu ra của nó là [-1, 1] thay vì [0, 1]. Hàm ReLU Hàm ReLU (Rectified Linear Unit) được sử dụng rộng rãi gần đây vì tính đơn giản của nó. Ưu điểm chính của hàm này là giúp cho việc training các Deep Networks nhanh hơn rất nhiều.

Sự tăng tốc này được cho là vì ReLU được tính toán gần như tức thời và gradient của nó cũng được tính cực nhanh với gradient bằng 1 nếu đầu vào lớn hơn 0, bằng 0 nếu đầu vào nhỏ hơn 0. Kiến trúc chung của mạng nơ-ron nhân tạo bao gồm 3 thành phần: Lớp đầu vào (Input Layer), Lớp ẩn (Hidden Layer) và Lớp đầu ra (Output Layer). Cụ thể: - Input Layer: Mỗi input tương ứng với một thuộc tính của dữ liệu đầu vào. - Output Layer: Lớp này sẽ cung cấp các kết quả đầu ra mà chúng ta mong muốn mô hình tính được.

- Hidden Layer: Gồm các nơ-ron nhận dữ liệu input từ các nơ-ron ở lớp trước đó và chuyển đổi các input này cho các lớp xử lý tiếp theo. Trong một ANN có thể có nhiều Hidden Layer. Kiến trúc mạng nơ-ron nhân tạo 9 2.