Chương 1: Mở dau. * Chương 2: Cơ sở lý thuyết. » Chương 3: Phương pháp thực hiện. ¢ Chương 4: Thực nghiệm, đánh giá va thảo luận.
* Chương 5: Kết luận và hướng phát triển. CƠ SỞ LÝ THUYET Chương này trình bày sơ lược cơ sở lý thuyết của nghiên cứu bao gồm: Lý thuyết Học máy, học sâu, Hệ thống phát hiện xâm nhập (IDS), mô hình học bầy đàn - SL, mô hình học liên kết - Federated Learning (FL) - FlwrBC 2.1 Hệ thong phát hiện xâm nhập - IDS IDS là phần mềm hoặc phần cứng tự động thực hiện quy trình phát hiện xâm nhập.Chủ yếu tập trung vào xác định các sự cô có thể xảy ra, ghi nhận các thông tin liên quan, cố gắng ngăn chặn và báo cáo cho các quản trị viên bảo mật. Mục tiêu: đảm bảo an toàn cho mạng hoặc hệ thống máy tính theo bộ ba CIA (Confidentiality - Integrity - Availability). Có 2 cách phân loại IDPS:Phân loại dựa trên Cac ky thuật phát hiện tan công (Signature-based, Anomaly-based, Specification-based) và Phân loại dựa trên Nguồn dữ liệu (Network-based, Host-based); Mỗi có một chức năng và nhiệm vụ riêng chúng: ¢ Network Intrusion Detection Systems (NIDS): theo dõi lưu lượng mạng cho một phan của mang (network segment) hoặc các thiết bị, phân tích các hoạt động mạng và các giao thức, ứng dụng để xác định các hành vi bất thường.
Thường triển khai ở biên mạng , như gần tường lửa hoặc router biên , server VPN, server remote access và mang không dây. Gồm nhiều sensor đặt ở nhiều điểm khác nhau trong mạng để theo dõi lưu lượng mạng * Host Intrusion Detection Systems (HIDS): theo dõi các đặc điểm của một host riêng lẻ và các sự kiện xảy ra trong host đó để phát hiện hoạt động bất thường. Được triển khai trên host quan trọng (các server có thể truy cập từ bên ngoài, các server chứa thông tin quan trọng). ¢ Signature-Based IDS: (hay còn gọi knowledgebased) là một quá trình so sánh các signature với các sự kiện quan sát được để xác định các sự cố có thể có.
»° Anomaly-Based IDS: (hoặc profile-based) hoạt động dựa trên việc: Tạo ra một profile cơ sở đại diện cho các hành vi bình thường/dự kiến trong mạng. CƠ SỞ LÝ THUYẾT Dựa trên đó, bất kỳ hoạt động mạng đang xem xét nào có sai khác so với profile này đều bị xem là bất thường. Profiles đại diện cho hoạt động mạng bình thường hầu hết được tạo ra thông qua phân tích lịch sử lưu lượng mạng (qua các hàm thống kê, máy hoc, clustering, fuzzy logic, heuristics. ) ¢ Specification-Based IDS: thu thập các hoạt động chính xác của một chương trình hoặc giao thức và theo dõi hoạt động của nó dựa trên các ràng buộc.
Sử dụng mô hình giao thức chủ yếu dựa trên các chuẩn giao thức từ các nhà sản xuất phần mềm và tiêu chuẩn (IEFT, RFC) CN:a - TC. Oo ! ®—<@›<=® ' = ! (ae = 22— Signature-based ". HH4 ¬X@š— Network Intrusion Host Intrusion Anomaly-Based Detection Detection Detection Hình 2. Minh họa phân loại IDS} 2.1 IDS cho IoT A passive IơT-based sensor là một loại cảm biến được cài đặt để giám sát lưu lượng mạng mà không can thiệp vào nó.
Nó tạo một bản sao của lưu lượng thực tế trong mạng và giám sát nó thông qua một cổng mở rộng chuyển mạch, cổng này cho phép tất cả lưu lượng đi qua chuyển mạch. Cách tiếp cận này cho phép cảm biến phát hiện và phân tích hoạt động mạng mà không làm gián đoạn hoạt động đó ¢ Dựa trên Các kỹ thuật phát hiện tấn công: Signature-based, Anomaly-based, Specification-based, Hybrid (lai) * Dựa trên Nguồn dữ liệu: NIDS, HIDS, Hybrid (lai) Inttps://vietnix.vn/ids-la-gi/ CHƯƠNG 2. CƠ SỞ LÝ THUYET Hạn chê của các mô hình IoT: « Hệ thống IoT bị hạn chế về khả năng tính toán, dung lượng bộ nhớ, độ bền, tuổi thọ pin và băng thông mạng. Do đó, không thể triển khai các dịch vụ hiện có, các giải pháp bảo mật truyền thống thường sử dụng nhiễu tài nguyên.
« Các hệ thống IoT là các hệ thống phân tán và không đồng nhất * Các hệ thống IoT được kết nối với Internet vì mỗi thiết bị có thể được truy cập bằng địa chỉ IP của nó. Do đó, có thêm một loạt các mối đe dọa liên quan đến Internet * Các hệ thống IoT bao gồm một số lượng lớn các giao thức và công nghệ không đồng nhất J l IoT Applications Cpr tT Integrity Problem CE IoT Services te Confidentiality Problem @) a Ls 4 IoT Networks — Authentication Problem and Physical Threats 5 a @ bi Sensors UO Hình 2. The-security-challenges-in-the-different-IoT-layers-The-four-types- ofsecurity-problems Các mối đe dọa đến mô hình IơTs được chia thành 2 loại: dựa trên Kiến trúc hệ thống (based on the layers of the IoT system’s architecture) và dựa trên Thiết kế (based on design challenges) [9] ‘https: //www.net/publication/329394492 9 CHƯƠNG 2. CƠ SỞ LÝ THUYET - Tan công dựa trên kiến trúc hệ thống: Perception Layer Network Layer Application Layer 21 \ ` “mm Alliance} rao I smeeeererlilre Gateway h Alliance —— loT eee ne LoRa N sâu Wired ` Clow = = Architecture Gateway ~~ đề, Data center.
\ Local Network / Wireless Web Application EJ Application 7 bì Layer wise Physical damage Data interchange vulnerability Native application vulnerability loT Attacks Resources constraints Unauthorized access Cloud applications vulnerability Storage vulnerabilities PB Multifarious connectivity vulnerability Cryptographic vulnerability Hình 2. IoT architecture & layer wise attacks}| * Tan công dựa trên Design challenges: Connectivity Heterogeneity L— Spoofing MITM LE Routing attacks Resource & service discovet — Spoofing Dos — User privacy User p'privacy stably scalabilit services User privacy | Routing attacks Replay attack L Repudiation Resource Dos Addressing Trust & Privacy constraints eure & identification Kong Tampering Spoofing Information leaka Repudiation Laake ïi Bk DoS La Elevation of 5 _ s.400603040Ác0 2c) User privacy privilege User privacy Cloning of nodes Hình 2. IoT threats categorization by design challenges") 2.2 Mô hình hoc máy: 2.1 Machine Learning Hoc máy hay máy hoc (Machine Learning) là quá trình sử dung các dữ liệu đã thấy để đưa ra thuật toán dự đoán cho những dữ liệu chưa từng thấy (dit liệu tương lai) Một số ứng dụng phổ biến của học máy bao gồm hệ thống dé xuất (recommend system), hệ thống phát hiện bất thường (anomaly detection), IDS, phần mềm độc hại (malwares), loc thư rác (spam email) .org/CorpusID: 86720272 CHƯƠNG 2. CƠ SỞ LÝ THUYẾT Có bốn cách tiếp cận cơ bản: học có giám sát, học không giám sát, học bán giám sát và học tăng cường.
Loại thuật toán mà các nhà khoa học sử dụng tùy thuộc vào loại dit liệu họ muốn dự đoán. Mục đích của việc học này nhằm tìm mối tương quan của đầu vào và đầu ra để có thể dự đoán được nhãn của một dữ liệu chưa được học. Sử dụng toán học có thể mô tả như sau: chúng ta có một tập hợp biến đầu vào X = %,%2,. ,#n Và tập hợp nhãn tương ứng Y = 1⁄1,a,.
, yn, trong đó xt, yi là các vector, và các cặp đữ liệu (2;,y;) € X x YVi = 1,2,. , N là các dữ liệu huấn luyện. Mô hình cần tạo ra được ánh xạ ƒ : sao cho #j; © ;, và yj; càng gan y; thì mô hình càng chính xác và khi có một dữ liệu mới 29, chúng ta có thể tim được nhãn tương ứng của nó yo = ƒ(zo) Một bài toán học có giám sát mà có số lượng hữu hạn rời rạc các nhãn đầu ra còn gọi là bài toán phân loại (classification), còn các nhãn là rời rac vô han là bài toán hồi quy (regression) ¢ Học không giám sat (Unsupervised Learning): Trong phương pháp học nay, dữ liệu đưa vào đào tạo không được gắn nhãn, chúng ta không biết câu trả lời chính xác cho mỗi dữ liệu đầu vào. Thuật toán học qua các dữ liệu trong tập dé tìm kiếm bắt kỳ kết nối có ý nghĩa nhằm để thực hiện một công việc nào đó, ví dụ như phân nhóm (clustering) hoặc giảm số chiều của dữ liệu (dimension reduction) để thuận tiện trong việc lưu trữ và tính toán.
* Học bán giám sát (Semi-Supervised Learning): Phương pháp này kết hợp đặt tính của cả hai phương pháp học có và không có giám sát, lượng lớn dữ liệu huấn luyện đưa vào mô hình nhưng chỉ một phần trong chúng được gán nhãn. II CHƯƠNG 2. CƠ SỞ LÝ THUYẾT Dữ liệu huấn luyện có nhan có thể cung cấp một góc nhìn cho mô hình học máy, nhưng mô hình có thể tự do khám phá dữ liệu và phát triển sự hiểu biết của riêng mình về tập dữ liệu. Một ví dụ điển hình của nhóm này là chỉ có một phần ảnh (trong bài toán nhận dạng và phân loại khuôn mặt trong ảnh) và phần lớn các bức ảnh được thu thập bởi một nền tảng mạng xã hội, sau đó đưa vào huấn luyện mô hình để tự động nhận dạng và gán nhãn 1 người trong bức ảnh mới.
Vì việc thu thập dữ liệu có nhãn tốn rất nhiều thời gian và có chi phí cao, nên phương pháp học có thể ứng dụng nhiều tuy nhiên có thể đánh đổi bởi độ chính xác, hiệu năng phân loại. Rất nhiều loại dữ liệu thậm chí cần phải có chuyên gia mới gán nhãn được (ảnh y học chẳng hạn). Ngược lại, dữ liệu chưa có nhãn có thể được thu thập với chi phí thấp từ internet. s Hoc tăng cường (Reinforcement Learning): Phương pháp hoc dùng để day mô hình hoàn thành một quy trình gồm nhiều bước trong đó có các quy tắc được xác định rõ ràng, có một thuật toán để hoàn thành một nhiệm vụ và cung cấp cho nó những dấu hiệu tích cực hoặc tiêu cực khi nó tìm ra cách hoàn thành một nhiệm vụ, giúp cho một hệ thống tự động xác định hành vi dựa trên hoàn cảnh để đạt được lợi ích cao nhất khi hoàn thành nhiệm vu.
Reinforcement learning chủ yếu được áp dụng vào Lý Thuyết Trò Chơi, các thuật toán cần xác định nước đi tiếp theo để đạt được điểm số cao nhất.1 Giới thiệu Deep Learning là một phần của ML, về cơ bản là một mạng neural có 3 lớp trở lên. Nó cố gắng mô phỏng hành vi của bộ não con người. Deep Learning thúc đẩy sự phát triển của nhiều ứng dụng và dịch vụ AI như cải thiện khả năng tự động hóa, 12 CHƯƠNG 2. CƠ SỞ LÝ THUYẾT Hình 2.
Mối liên hệ AI, ML, DLỆT 2.2 Tổng quan Về cơ bản, ML sử dụng đữ liệu có cấu trúc, được gắn nhãn đề đưa ra dự đoán — các tính năng cụ thể được xác định từ dữ liệu đầu vào cho mô hình và được sắp xếp thành bảng. Tuy nhiên trong một số trường hợp ML vẫn có sử dụng dữ liệu phi cấu trúc, nhưng các dữ liệu đó thường sẽ trải qua một số quá trình tiền xử lý để định dạng thành dữ liệu có cấu trúc.