Tổng quan nghiên cứu

Sự bùng nổ của mạng lưới Internet vạn vật với hơn 15 tỷ thiết bị kết nối toàn cầu trong giai đoạn 2020–2023 đã thúc đẩy mạnh mẽ các ứng dụng thông minh từ đô thị, y tế đến sản xuất công nghiệp. Tuy nhiên, kiến trúc truyền thống dựa hoàn toàn vào điện toán đám mây đang bộc lộ những điểm nghẽn nghiêm trọng khi độ trễ truyền dữ liệu dao động từ 100ms đến 200ms, đồng thời lưu lượng khổng lồ gây quá tải băng thông và làm tăng nguy cơ rò rỉ dữ liệu nhạy cảm. Bên cạnh đó, các thiết bị đầu cuối thường có cấu hình phần cứng giới hạn, mã hóa bảo mật lỏng lẻo và dễ trở thành mục tiêu của các cuộc tấn công từ chối dịch vụ phân tán, phần mềm độc hại botnet hoặc xâm nhập thăm dò.

Vấn đề nghiên cứu trọng tâm là giải quyết mâu thuẫn giữa yêu cầu xử lý dữ liệu an ninh mạng theo thời gian thực và sự hạn chế về tài nguyên tính toán của các nút biên mạng. Mục tiêu cụ thể của đề án là thiết kế, xây dựng và đánh giá mô hình hệ thống phát hiện xâm nhập thông minh tối ưu hóa cho môi trường biên mạng. Nghiên cứu tập trung giải quyết bài toán phát hiện chính xác các hành vi bất thường bằng cách kết hợp thuật toán hồi quy logistic, các thuật toán phỏng sinh học heuristic và mạng nơ-ron sâu.

Phạm vi nghiên cứu được thực hiện trên tập dữ liệu thực nghiệm chuẩn quốc tế IoT-23 thu thập từ năm 2018 đến 2019 và công bố năm 2020, bao gồm 20 kịch bản tấn công độc hại và 3 kịch bản lưu lượng thiết bị lành tính. Ý nghĩa thực tiễn của công trình thể hiện qua việc giảm hơn 40% khối lượng dữ liệu huấn luyện cần thiết tại biên, duy trì độ chính xác phát hiện trên 99.2% và rút ngắn thời gian cảnh báo xuống dưới 15ms, tạo tiền đề vững chắc cho việc bảo vệ hạ tầng viễn thông thế hệ mới.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng dựa trên 3 nền tảng lý thuyết cốt lõi trong kỹ thuật mạng viễn thông và trí tuệ nhân tạo:

Mô hình điện toán biên 3 lớp: Hệ thống phân tầng bao gồm lớp thiết bị đầu cuối cảm biến, lớp nút biên trung gian với máy chủ biên trang bị vi xử lý 8–16 nhân và dung lượng bộ nhớ RAM từ 16GB trở lên, cùng lớp điện toán đám mây trung tâm. Lớp biên chịu trách nhiệm tiền xử lý, lọc nhiễu và phân tích lưu lượng cục bộ nhằm giảm tải cho mạng lõi.

Lý thuyết phát hiện xâm nhập kết hợp: Tích hợp giữa phương pháp phát hiện dựa trên chữ ký với độ chính xác cao đối với các cuộc tấn công đã biết và phương pháp phát hiện dựa trên hành vi bất thường nhằm nhận diện các biến thể mã độc chưa từng xuất hiện trong cơ sở dữ liệu.

Kiến trúc mạng nơ-ron sâu và tối ưu hóa heuristic: Mạng nơ-ron sâu nhiều tầng truyền thẳng kết hợp các thuật toán tối ưu hóa thông minh bao gồm thuật toán di truyền, tối ưu hóa bầy đàn, thuật toán tìm kiếm Cuckoo với bước nhảy Lévy và thuật toán đom đóm. Các thuật toán này đóng vai trò tinh chỉnh không gian đặc trưng và tối ưu hóa trọng số của hàm hồi quy logistic.

Phương pháp nghiên cứu

Nghiên cứu sử dụng nguồn dữ liệu thứ cấp chuẩn hóa từ tập dữ liệu IoT-23 được ghi nhận tại Phòng thí nghiệm Stratosphere thuộc Đại học Kỹ thuật Séc. Bộ dữ liệu chứa 24 đặc trưng mạng nguyên bản thu thập từ các thiết bị phần cứng thực tế như Raspberry Pi, đèn thông minh Philips Hue và hệ thống khóa cửa kết nối mạng.

Cỡ mẫu và phương pháp chọn mẫu: Từ hàng triệu bản ghi lưu lượng thô dạng tệp bắt gói tin, phương pháp lấy mẫu phân tầng ngẫu nhiên được áp dụng để trích xuất tập mẫu đại diện cân bằng gồm 100.000 dòng dữ liệu, bao gồm cả lưu lượng bình thường và 16 nhóm nhãn tấn công phổ biến như DoS, Mirai, Gagfyt, PortScan. Phương pháp chọn mẫu này đảm bảo tính đại diện thống kê, loại bỏ hiện tượng mất cân bằng lớp dữ liệu nghiêm trọng thường gặp trong các luồng mạng thực tế.

Lý do lựa chọn phương pháp phân tích: Nghiên cứu áp dụng quy trình phân tích gồm 4 giai đoạn logic. Trước hết, thuật toán phân cụm K-means được sử dụng để loại bỏ các điểm dữ liệu dị biệt và giảm chiều dữ liệu. Tiếp theo, mô hình kết hợp giữa hồi quy logistic và 4 biến thể thuật toán heuristic được triển khai để đánh giá độ quan trọng và lựa chọn 10–12 đặc trưng tối ưu nhất. Cuối cùng, mạng nơ-ron sâu 4 lớp với 2 lớp ẩn được cấu hình để thực hiện phân loại đa lớp. Phương pháp kết hợp này được lựa chọn vì nó giảm thiểu độ phức tạp tính toán đa thức của mạng học sâu thuần túy, thích ứng hoàn hảo với năng lực tính toán hạn chế của thiết bị biên. Toàn bộ quá trình thực nghiệm, huấn luyện và kiểm định mô hình được tiến hành liên tục trong 12 tháng tại phòng thí nghiệm chuyên ngành.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình thử nghiệm mô hình phát hiện xâm nhập đề xuất trên tập dữ liệu IoT-23 đã mang lại các kết quả nổi bật:

Mô hình tích hợp thuật toán tìm kiếm Cuckoo kết hợp hồi quy logistic trên mạng nơ-ron sâu đạt hiệu suất phân loại cao nhất với độ chính xác tổng thể đạt 99.42%, vượt trội hơn cấu hình sử dụng thuật toán di truyền đạt 98.65% và thuật toán bầy đàn đạt 98.80%.

Khả năng nhận diện chính xác các cuộc tấn công nguy hiểm đạt mức tối ưu, trong đó tỷ lệ thu hồi đối với tấn công từ chối dịch vụ đạt 99.15%, quét cổng đạt 98.90% và phát hiện botnet đạt 99.30%.

Thời gian huấn luyện mô hình tại thiết bị biên giảm mạnh 68.3% so với việc đào tạo toàn bộ 24 đặc trưng ban đầu, từ 120 phút xuống còn 38 phút trên cấu hình máy chủ biên tiêu chuẩn, trong khi thời gian trễ suy luận cho mỗi gói tin chỉ còn 8.5ms.

Tỷ lệ cảnh báo sai được kiểm soát ở mức cực thấp là 0.58%, giảm hơn 3 lần so với phương pháp phân loại bằng cây quyết định J48 truyền thống thường ghi nhận tỷ lệ báo động nhầm ở mức 2.15%.

Thảo luận kết quả

Hiệu năng vượt trội của mô hình bắt nguồn từ cơ chế tìm kiếm toàn cục của thuật toán Cuckoo và thuật toán đom đóm. Nhờ bước nhảy ngẫu nhiên không cục bộ, các thuật toán này giúp hồi quy logistic nhanh chóng tìm ra tập trọng số hội tụ mà không bị mắc kẹt tại các điểm cực tiểu cục bộ như giải thuật hạ độ dốc ngẫu nhiên thông thường.

Khi so sánh với các nghiên cứu trước đây sử dụng máy vectơ hỗ trợ đạt độ chính xác 94.20% hay mô hình mạng nơ-ron tích chập đạt 97.80% trên bộ dữ liệu NSL-KDD, mô hình đề xuất trong luận văn cho thấy tính thích ứng vượt bậc đối với các luồng dữ liệu IoT hiện đại.

Dữ liệu thực nghiệm được trực quan hóa rõ nét qua các đồ thị huấn luyện thể hiện quá trình suy giảm hàm mất mát và sự hội tụ của độ chính xác qua 50 chu kỳ huấn luyện. Đường cong suy giảm mất mát của phương pháp tối ưu hóa Cuckoo giảm đều đặn từ giá trị 0.45 xuống 0.02, chứng minh tính ổn định cao. Đồng thời, bảng ma trận nhầm lẫn đa lớp cho thấy sự phân tách ranh giới rõ ràng giữa 16 nhóm hành vi độc hại và lưu lượng người dùng thông thường, xác nhận rằng mô hình không xảy ra hiện tượng quá khớp dữ liệu.

Đề xuất và khuyến nghị

Nhằm chuyển giao kết quả nghiên cứu vào thực tế vận hành mạng viễn thông và hệ thống IoT, 4 nhóm giải pháp chiến lược được đề xuất:

Triển khai cài đặt trực tiếp mô hình phát hiện xâm nhập thông minh lên các bộ định tuyến biên và thiết bị cổng kết nối trong quý 2 năm 2024, nhằm mục tiêu giảm thiểu 90% các cuộc tấn công thăm dò ngay tại cửa ngõ phân đoạn mạng, do đội ngũ kỹ sư hạ tầng an ninh mạng chủ trì thực hiện.

Áp dụng kỹ thuật nén mô hình và lượng tử hóa trọng số 8-bit cho mạng nơ-ron sâu trong vòng 6 tháng tới, giúp giảm 50% dung lượng bộ nhớ tiêu thụ trên vi điều khiển nhúng, do bộ phận nghiên cứu và phát triển phần mềm đảm trách.

Xây dựng cơ chế cập nhật mẫu tấn công trực tuyến định kỳ 14 ngày một lần từ máy chủ trung tâm về các nút biên, đảm bảo hệ thống liên tục nhận biết các biến thể mã độc mới với mục tiêu duy trì độ chính xác luôn trên 99.0%, do nhóm quản trị an toàn thông tin vận hành.

Tổ chức các khóa đào tạo chuyên sâu về kỹ thuật an toàn thông tin biên cho 100% cán bộ kỹ thuật vận hành mạng IoT doanh nghiệp trong năm 2024, nâng cao năng lực ứng phó sự cố an ninh mạng theo tiêu chuẩn quốc tế.

Đối tượng nên tham khảo luận văn

Công trình nghiên cứu mang lại giá trị thực tiễn và học thuật cho 4 nhóm đối tượng:

Kỹ sư an ninh mạng và kiến trúc sư hệ thống IoT: Ứng dụng trực tiếp cấu trúc phân tầng và giải thuật trích chọn đặc trưng heuristic để thiết kế hệ thống tường lửa, chống xâm nhập cho các tòa nhà thông minh và nhà máy tự động hóa.

Học viên cao học và nghiên cứu sinh ngành Kỹ thuật Viễn thông, Công nghệ Thông tin: Sử dụng luận văn như tài liệu tham khảo chuẩn mực về phương pháp kết hợp thuật toán tối ưu hóa bầy đàn với mạng học sâu và quy trình xử lý dữ liệu lớn từ tệp bắt gói tin PCAP.

Doanh nghiệp phát triển giải pháp thành phố thông minh và viễn thông: Khai thác giải pháp điện toán biên để tối ưu hóa chi phí truyền dẫn dữ liệu lên đám mây, cắt giảm chi phí thuê băng thông đường truyền từ 30% đến 40%.

Cơ quan quản lý nhà nước về an toàn thông tin: Tham khảo cơ sở thực nghiệm để xây dựng các quy chuẩn kỹ thuật quốc gia về bảo đảm an toàn dữ liệu cho thiết bị IoT đầu cuối tại Việt Nam.

Câu hỏi thường gặp

Tại sao nên triển khai hệ thống phát hiện xâm nhập tại biên mạng thay vì đám mây? Triển khai tại biên mạng giúp xử lý lưu lượng cục bộ ngay gần nguồn phát sinh dữ liệu, giảm độ trễ phản hồi từ hàng trăm mili-giây xuống dưới 15ms. Phương thức này còn bảo vệ tính riêng tư người dùng và tiết kiệm hơn 40% băng thông đường truyền lên máy chủ trung tâm.

Bộ dữ liệu IoT-23 có điểm gì khác biệt so với các bộ dữ liệu an ninh mạng truyền thống? Bộ dữ liệu IoT-23 được thu thập từ các thiết bị IoT thực tế trong giai đoạn 2018–2019 với 23 kịch bản đo kiểm, phản ánh chính xác các giao thức mạng không dây hiện đại và các họ mã độc mới như Mirai, thay vì dữ liệu mô phỏng từ mạng máy tính cũ.

Thuật toán Heuristic đóng vai trò cụ thể nào trong mô hình nghiên cứu? Thuật toán Heuristic giúp tìm kiếm không gian đặc trưng tối ưu toàn cục và tinh chỉnh tham số của hàm hồi quy logistic. Quá trình này giúp loại bỏ các thuộc tính dư thừa, giảm 50% số chiều dữ liệu mà không làm giảm độ chính xác của mạng nơ-ron sâu.

Hệ thống có khả năng phát hiện các cuộc tấn công chưa từng biết đến hay không? Hệ thống kết hợp cơ chế phát hiện hành vi bất thường thông qua mạng nơ-ron sâu 4 lớp, cho phép nhận diện các sai lệch so với hồ sơ hoạt động chuẩn của mạng, đạt tỷ lệ phát hiện các biến thể tấn công mới lên tới 98.75%.

Yêu cầu cấu hình phần cứng tối thiểu để vận hành giải pháp tại biên là gì? Giải pháp có thể hoạt động mượt mà trên các máy chủ biên công nghiệp trang bị bộ xử lý trung tâm từ 8 nhân, bộ nhớ RAM tối thiểu 16GB và dung lượng lưu trữ cục bộ 100GB, đáp ứng tốt yêu cầu xử lý hàng chục nghìn luồng gói tin mỗi giây.

Kết luận

Đề án tốt nghiệp thạc sĩ đã hoàn thành xuất sắc các mục tiêu nghiên cứu với các đóng góp nổi bật:

Xây dựng thành công mô hình phát hiện xâm nhập thông minh cho mạng IoT triển khai tại lớp biên, kết hợp hiệu quả giữa kỹ thuật phân cụm K-means, giải thuật hồi quy logistic tối ưu hóa bằng heuristic và mạng nơ-ron sâu.

Đạt độ chính xác tổng thể ấn tượng 99.42% trên tập dữ liệu chuẩn IoT-23, đồng thời giảm thời gian huấn luyện và độ trễ suy luận phù hợp với ràng buộc phần cứng tại biên.

Minh chứng khoa học về hiệu quả vượt trội của thuật toán tìm kiếm Cuckoo và đom đóm trong việc tối ưu hóa không gian đặc trưng mạng viễn thông so với các giải thuật di truyền truyền thống.

Công bố 01 bài báo khoa học trên tạp chí chuyên ngành quốc tế uy tín, khẳng định giá trị học thuật và tính mới của công trình nghiên cứu.

Định hình lộ trình nghiên cứu tiếp theo trong 12 tháng tới nhằm mở rộng mô hình sang các giao thức mạng di động 5G/6G và triển khai thử nghiệm diện rộng trên hạ tầng đô thị thông minh.

Các đơn vị nghiên cứu và doanh nghiệp quan tâm có thể ứng dụng trực tiếp khung kiến trúc này để nâng cao năng lực tự vệ cho hệ thống mạng IoT ngay hôm nay.