Đặt vấn đề Những năm gan đây đã chứng kiến sự phát triển mạnh mẽ của Internet of Things nhằm dua mọi đối tượng vật lý đến với thé giới kỹ thuật số, dẫn đến hàng tỷ thiết bị IoT được kết nối với Internet. IoT được dự đoán sẽ cung cấp các giải pháp sáng tạo dé tăng lợi nhuận trong một số ngành (ví dụ: chăm sóc sức khỏe, sản xuất, bán lẻ, an ninh và giao thông vận tải). Theo một nghiên cứu gần đây [1], tong thị trường IoT trên toàn thế giới trị giá khoảng 389 tỷ đô la Mỹ vào năm 2020 và dự kiến đạt hơn một nghìn tỷ đô la Mỹ vào năm 2030. Sự bùng nổ của các thiết bi IoT mang đến những thách thức không nhỏ về bảo mật do thiếu các cơ chế an toàn và hỗ trợ bảo mật phần cứng.
Thật vậy, khả năng tính toán hạn chế của các thiết bị IoT khiến chúng không đủ cho các phương pháp bảo vệ truyền thống. Do đó, đơn giản hóa các phương pháp này là một giải pháp phổ biến, nhưng nó có thẻ dẫn đến lỗi bảo mật nghiêm trọng ở nhiều mức độ [2]. Ví dụ: giao diện vật lý không an toàn, Sybil mức thấp va các cuộc tấn công giả mạo ở cấp hệ điều hành; replay attacks, wormholes ở cấp độ mạng. Nghiêm trong hơn, những kẻ tan công có thể khai thác những lỗ hồng này dé tạo ra các mạng botnet và khởi chạy các cuộc tấn công Từ chối Dịch vụ Phân tán (DDoS) [3] để làm gián đoạn các dịch vụ Internet bằng cách áp đảo khả năng xử lý của mục tiêu với một lượng lớn lưu lượng truy cập Internet.
Vi dụ: vi-rút Mirai đã lây nhiễm hơn 65.000 thiết bị IoT trong 20 giờ đầu tiên sau khi bùng phát vào ngày 1 tháng 8 năm 2016 và đạt 200.000 lần lây nhiễm [4] [5]. Vào tháng 9 năm 2016, một trang web tư vấn bảo mật có tên Brian Krebs đã bị tắn công với 620 Gbps lưu lượng truy cập bằng mạng botnet Mirai. Trong khi đó, một cuộc tấn công DDoS quan trọng hơn đã nhắm vào nhà cung cấp dịch vụ đám mây của Pháp là OVH [5], đạt đỉnh điểm là 1,1 Tbps. Chỉ một tháng sau, vào tháng 10 năm 2016, một biến thé của Mirai đã đóng cửa hàng trăm trang web trong vài giờ [6], bao gồm Twitter, Netflix, Reddit, Github.
Sau khi Mirai được phát hành vào thang 8 năm 2016, các cuộc tan công DdoS [7] xảy ra thường xuyên hơn. Các vi dụ trên chỉ ra rằng các thiết bị IoT sở hữu nhiều lỗ héng mà những kẻ tan công có thé khai thác dé xâm nhập và tạo ra các mang botnet cho các mục đích bat hợp pháp. Theo báo cáo từ Security Today và Threat Post, số lượng thiết bị loT vào năm 2020 là khoảng 31 tỷ thiết bị, nhưng một nửa trong số đó dễ bị tan công nghiêm trong [8]. Vì vậy, một cơ chế phòng thủ hiệu quả và mạnh mẽ đối với các cuộc tan công mạng là cần thiết.
Để giảm thiểu các mối đe đọa bảo mật từ các thiết bị IoT, việc triển khai các hệ thống phát hiện xâm nhập vào mạng là một giải pháp tiềm năng. IDS phát hiện bat kỳ đấu hiệu tấn công mạng nào bằng cách liên tục theo dõi lưu lượng mạng vào và ra do các thiết bị IoT tạo ra. Phương pháp phát hiện tan công của nó được phân loại thành dựa trên signature và dựa trên abnormality. Phát hiện tắn công dựa trên signature thông qua các quy tắc được tạo ra từ các mẫu điển hình của các cuộc tấn công đã biết và nó xác định mối đe dọa nếu các sự kiện quan sát phù hợp với các quy tắc này.
Ngược lại, một phương pháp dựa trên sự bất thường (abnormality) đào tạo một mô hình bằng cách sử dụng các hành vi bình thường của hệ thống. Mô hình này sau đó được sử dụng dé phát hiện cuộc tan công bằng cách tính toán sự khác biệt giữa các hành vi được quan sát so với lúc được training. Vấn dé chính của các phương pháp này là chúng chỉ hoạt động hiệu quả trên một số lượng hạn chế các hành vi trong hệ thống, không đủ cho các mạng IoT, nơi bao gồm nhiều loại thiết bị không đồng nhất. Thật vậy, các loại thiết bị khác nhau có thé tạo ra các hành vi mạng khác nhau, dẫn đến độ chính xác của việc phát hiện tan công bị giảm sút.
Được thúc day bởi sự thành công của học sâu trong một số lĩnh vực, người ta dự kiến rằng IDS dựa trên học sâu có thé khắc phục các vấn đề hiện có và nâng cao chất lượng phát hiện tấn công. Thật vậy, mô hình học sâu rất tốt trong việc học các đặc trưng phức tạp trong lưu lượng mạng, làm cho nó hiệu quả hơn các thuật toán học máy khác. Tuy nhiên, việc dao tạo các mô hình này đòi hỏi một lượng lớn dit liệu có nhãn, bao gồm cả lưu lượng mạng bình thường và bất thường. Quá trình đán nhãn tốn nhiều thời gian và công sức; do đó, việc duy trì liên tục các tập dữ liệu được gắn nhãn là không thực tế.
Hơn nữa, khó có được các tập dữ liệu chất lượng cao dé dao tao IDS, mặc dù chúng đóng một vai trò thiết yếu trong việc nâng cao hiệu suất phát hiện IDS. Lý do chính cho sự thiếu hụt này là các lo ngại về quyền riêng tư [9, 10, 11]. việc làm giàu thông tin mạng cho tập dữ liệu IDS đòi hỏi phải bỏ qua các van đề về quyên riêng tư và bảo mật. Do đó, các bộ dit liệu này được tùy chỉnh dé loại bỏ thông tin mạng nhạy cảm trước khi công bố, dẫn đến một số lỗi trong các luồng mạng.
Hơn nữa, hầu hết các bộ đữ liệu IDS hiện có đều đã lỗi thời và thiếu các cuộc tấn công được gắn nhãn [13]. Ví dụ: worms attack trong bộ dữ liệu UNSW-NBI5, chỉ có 174 mẫu so với 44525 mẫu của exploits. Điều này làm suy giảm đáng kể hiệu quả của quá trình đào tạo. Mục tiêu của đê tài Động lực của nghiên cứu này xuất phát từ yêu cầu: nâng cao chất lượng phát hiện cuộc tấn công trong khi vẫn giữ được tính đơn giản của mô hình.
Nhận định này có được khi đọc một số tài liệu nghiên cứu về IDS, trong đó các tác giả có xu hướng giới thiệu các mô hình phát hiện tấn công mới dé tăng độ chính xác phát hiện bất kể độ phức tạp của chúng, nhưng chúng tôi tin rằng dữ liệu đào tạo chất lượng cao cũng đóng một vai trò quan trọng trong việc đạt được mô hình hiệu quả. Do đó, mục tiêu kỹ thuật chính của bài báo này là phát hiện chính xác các cuộc tấn công mạng khác nhau bằng cách cung cấp một IDS hiệu quả cùng với một phương pháp nhân tạo dé tạo ra dữ liệu dao tạo có giá trị. Các mục tiêu của chúng tôi có thê được miêu tả như sau: e Hệ thống hoàn thiện, hoạt động hiệu quả — Sản phẩm được thiết kế phải có day đủ các module từ thu thập các gói tin cho đến giao diện web dé sử dụng hệ thống. Cụ thể hơn, module bắt gói tin sẽ trả đữ liệu về dạng pcap và chuyên sang module 4 tiếp theo là Feature extractor dé xử lí các gói dữ liệu thô và trích xuất các đặc trưng của dit liệu.
Sau đó, dữ liệu sẽ được chuyển đến module IDS dé thực hiện huấn luyện hoặc phân loại dit liệu, phân loại các cuộc tấn công. Cuối cùng sẽ là chuyền các thông tin sau khi phân loại đến web interface giúp người dùng theo dõi. Các module phải được thiết kế tường minh, mục đích hỗ trợ cho các nghiên cứu về sau dé dàng kế thừa, phát triển. e _ Khắc phục hạn chế về mặt dữ liệu bằng mô hình mang sinh — các tập dữ liệu được công bồ phan lớn đều gặp phải tình trạng mat cân bằng trong dữ liệu, từ đó chúng tôi muốn áp dụng các mô hình mang sinh dé khắc phục hạn chế về dữ liệu.
Chúng tôi đặt mục tiêu thử nghiệm nhiều mô hình sinh dữ liệu khác nhau dé đề xuất một mô hình tốt nhất. Mô hình sẽ được đánh giá thông qua kết quả đánh giá của IDS sau khi được huấn luyện với dữ liệu tạo bởi mô hình của chúng tôi. e Sử dụng linh hoạt các thư viện máy học dé giúp các nghiên cứu về sau có nhiều lựa chọn hơn cho các kỹ thuật cũng như các công cụ dé tiếp tục phát triển. Từ đó, chúng tôi muốn tận dụng được các công nghệ kỹ thuật hiện có của các nghiên cứu về máy học kết hợp với các công nghệ kỹ thuật mới dé áp dung cho hệ thong của chúng tôi.
Không những thế, mô hình phát hiện và phân loại các cuộc tan công mạng được tích hợp trên mô hình trên sử dụng các kỹ thuật máy học phải tối ưu về khả năng tính toán cũng như vẫn đảm bảo được độ chính xác cao. Cách tiếp cận này được xem như một giải pháp an ninh mạng, giúp quan trị viên dé dang giám sát và phân tích các luồng dữ liệu mang cũng như phản ứng kịp thời với các cuộc tấn công. Do đó, chúng tôi sẽ thiết kế và huấn luyện mô hình này trên nhiều tập dữ liệu uy tín khác nhau với mức kì vọng về độ chính xác cũng như tốc độ xử lý cao đối với cả việc phát hiện và phân loại các cuộc tấn công khác nhau. Đề làm được điều đó, chúng tôi cần nghiên cứu các loại dữ liệu hỗ trợ phân tích và giám sát theo luồng để tối ưu về tốc độ.
Từ đó đề xuất một loại dữ liệu tốt nhất và chọn ra những trường đặc trưng cơ bản thường được sử dụng dé phản ánh tông quan về các cuộc tan công trong hệ thống. Đối tượng và phạm vi nghiên cứu 1. Đối tượng nghiên cứu - MG hình phát hiện va phân loại các cuộc tấn công mạng dựa trên thuật toán học sâu - _ Mô hình sinh dữ liệu tan công dựa trên kĩ thuật mạng sinh. - Hoàn thiện mô hình kiến trúc hệ thống có khả năng phân tích giám sát dữ liệu, bắt đầu từ lắng nghe, giám sát hệ thống, đến trình bày kết quả phân tích thông qua giao diện website.
Phạm vi nghiên cứu Dựa vào các kiến thức đã học, chúng tôi tiếp tục nghiên cứu dé đưa ra đề xuất về một hệ thống phát hiện xâm nhập có độ chính xác cao.