Giới thiệu dự án

Sự bùng nổ của Internet vạn vật (Internet of Things - IoT) đã định hình lại toàn bộ hạ tầng công nghệ số toàn cầu. Theo các báo cáo thống kê công nghiệp, thị trường IoT toàn cầu đạt quy mô xấp xỉ 389 tỷ USD vào năm 2020 và được dự báo sẽ vượt mốc 1.000 tỷ USD vào năm 2030 với hơn 31 tỷ thiết bị kết nối. Tuy nhiên, hơn 50% thiết bị IoT hiện nay tồn tại các lỗ hổng bảo mật nghiêm trọng do giới hạn phần cứng, thiếu vắng cơ chế cập nhật firmware an toàn và không được tích hợp phần cứng mật mã chuyên dụng. Điều này tạo điều kiện cho tin tặc khai thác lỗ hổng nhằm thiết lập các mạng botnet quy mô lớn thực hiện tấn công Từ chối Dịch vụ Phân tán (Distributed Denial-of-Service - DDoS), điển hình như mã độc Mirai từng lây nhiễm 200.000 thiết bị, tạo ra lưu lượng tấn công lên đến 1,1 Tbps đánh sập hàng loạt dịch vụ trọng yếu.

flowchart LR
    A[Mạng thiết bị IoT] -->|Lưu lượng truy cập không mã hóa/bị khai thác| B(Lỗ hổng phần cứng & Giao thức)
    B -->|Chiếm quyền điều khiển| C[Botnet - e.g., Mirai]
    C -->|Tấn công DDoS > 1 Tbps| D[Hạ tầng mạng / Dịch vụ Web sụp đổ]
    C -->|Khai thác nội bộ| E[Xâm nhập & Rò rỉ dữ liệu]

Vấn đề nghiên cứu và thách thức kỹ thuật (Problem Statement)

Các giải pháp Tường lửa (Firewall) và Hệ thống Phát hiện Xâm nhập truyền thống (Intrusion Detection System - IDS) bộc lộ nhiều điểm hạn chế khi triển khai trong ngữ cảnh IoT:

  • Hạn chế của Signature-based IDS: Không có khả năng phát hiện các cuộc tấn công Zero-day hoặc biến thể mã độc mới phát sinh.
  • Hạn chế của Anomaly-based IDS truyền thống: Tỷ lệ dương tính giả (False Positive Rate - FPR) cao do lưu lượng mạng IoT có tính không đồng nhất (heterogeneous) và biến thiên liên tục.
  • Mất cân bằng dữ liệu huấn luyện nghiêm trọng (Class Imbalance): Trong các bộ dữ liệu an ninh mạng, lưu lượng bình thường (Benign) chiếm đa số, trong khi các mẫu tấn công nguy hiểm (như Worms, Backdoors) chiếm tỷ lệ cực thấp (ví dụ: lớp Worms chỉ có 174 mẫu so với 44.525 mẫu Exploits trong bộ dữ liệu UNSW-NB15), dẫn đến hiện tượng mô hình học sâu bị thiên lệch (bias).
  • Thiếu hụt dữ liệu chất lượng cao do quyền riêng tư: Dữ liệu thực tế thường bị ẩn danh hóa hoặc loại bỏ các thuộc tính quan trọng trước khi công bố, làm mất cấu trúc tương quan giữa các gói tin.

Mục tiêu của đề tài

  1. Xây dựng kiến trúc hệ thống IMIDS hoàn chỉnh (End-to-End Pipeline): Tích hợp từ tầng bắt gói tin mạng thời gian thực (Packet Sniffing), trích xuất đặc trưng luồng (Flow Feature Extraction), phân loại mối đe dọa bằng Deep Learning đến giao diện trực quan hóa trên nền tảng Web.
  2. Giải quyết triệt để bài toán mất cân bằng dữ liệu: Ứng dụng mạng sinh đối kháng có điều kiện (Conditional Tabular GAN - CTGAN) để tổng hợp các mẫu tấn công dạng bảng (tabular network data) thuộc các lớp thiểu số.
  3. Thiết kế mô hình học sâu tối ưu tài nguyên: Triển khai mạng nơ-ron tích chập 1 chiều (1D-CNN) có cấu trúc gọn nhẹ, giảm độ phức tạp tính toán nhưng vẫn đảm bảo độ chính xác cao khi phân loại đa lớp (Multi-class Classification).
  4. Đánh giá thực nghiệm toàn diện: Thử nghiệm và đối chuẩn (benchmark) trên hai tập dữ liệu chuẩn quốc tế là UNSW-NB15 và CICIDS2017.

Phạm vi và giới hạn hệ thống

  • Phạm vi: Phát hiện và phân loại 9 lớp tấn công trên UNSW-NB15 và 14 lớp tấn công trên CICIDS2017 trong môi trường mạng cục bộ và mô phỏng luồng IoT.
  • Giới hạn: Mô hình huấn luyện ở chế độ ngoại tuyến (Offline Training/Retraining); quá trình can thiệp chủ động ngắt kết nối (Intrusion Prevention System - IPS) phụ thuộc vào cấu hình định tuyến bên ngoài.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Tiêu chí Signature-based IDS (Snort, Suricata) Anomaly-based IDS cổ điển (SVM, RF) Deep Learning IDS (DNN, LSTM) Giải pháp đề xuất IMIDS (1D-CNN + CTGAN)
Phát hiện Zero-day Kém (chỉ nhận biết signature đã biết) Khá (dễ bị cảnh báo sai) Tốt (tự trích xuất đặc trưng phức tạp) Rất tốt (nhờ dữ liệu sinh đối kháng mở rộng)
Xử lý mất cân bằng mẫu Không áp dụng Kém (SMOTE dễ sinh nhiễu bảng) Bị ảnh hưởng nặng bởi lớp thiểu số Tối ưu (áp dụng Conditional Generator CTGAN)
Độ trễ xử lý (Latency) Rất thấp ($\mathcal{O}(1)$ với hash rule) Trung bình ($\mathcal{O}(N \cdot D)$) Cao nếu mạng quá sâu Thấp (Kiến trúc 1D-CNN tối ưu hóa kernel)
Khả năng trực quan hóa CLI / Log thô Dashboard bên thứ ba Script rời rạc Tích hợp Web Dashboard Dashboard hoàn chỉnh

Yêu cầu hệ thống theo mô hình MoSCoW

  • Must have: Bắt gói tin trực tiếp từ giao diện mạng (Scapy); chuyển đổi luồng mạng thành vector đặc trưng tương thích định dạng chuẩn; phân loại tấn công với điểm $F1 > 95%$; hiển thị ma trận nhầm lẫn (Confusion Matrix) trên Web.
  • Should have: Module sinh dữ liệu CTGAN tăng cường dữ liệu cho các nhãn hiếm (Backdoors, Worms, Infiltration); tính năng tải lên dataset tùy chỉnh để huấn luyện lại (Retrain).
  • Could have: Biểu đồ phân tích tương quan đặc trưng trực tiếp trên giao diện Client bằng Chart.js.
  • Won't have: Ngăn chặn tấn công tự động ở tầng Kernel driver (IPS mode).

Thiết kế hệ thống

graph TD
    subgraph CaptureLayer [Tầng thu thập & Tiền xử lý]
        A[Card mạng / Lưu lượng Traffic] -->|Pcap Stream| B[Scapy Sniffer Module]
        B -->|Raw Packets| C[CICFlowMeter / Feature Extractor]
        C -->|Flow Features CSV| D[Preprocessing Engine: Log1p, MinMax, OHE]
    end

    subgraph DeepLearningEngine [Tầng xử lý thông minh]
        D -->|Vector chuẩn hóa| E{Chế độ hoạt động}
        E -->|Luồng suy luận| F[Mô hình 1D-CNN Classifier]
        E -->|Luồng huấn luyện bổ sung| G[CTGAN Synthetic Data Generator]
        G -->|Synthetic Attack Samples| H[Tập dữ liệu mở rộng]
        H -->|Retrain| F
    end

    subgraph PresentationLayer [Tầng giao diện Web - Django Framework]
        F -->|Prediction Results| I[Django Backend REST API]
        I -->|JSON Data| J[Web Interface: Dashboard, Traffic Capture, Retrain Studio]
    end

Chi tiết Tech Stack và Phiên bản công nghệ

  • Ngôn ngữ thực thi: Python 3.8+
  • Deep Learning Framework: TensorFlow 2.x, Keras API
  • Machine Learning & Data Processing: Scikit-Learn 0.24+, Pandas, NumPy
  • Packet Processing & Flow Analyzer: Scapy 2.4+, CICFlowMeter (Tùy biến flow.py để tương thích số lượng trường đầu vào)
  • Web Application Backend: Django 3.2 LTS (mô hình kiến trúc MVT, bảo mật Session & Token)
  • Frontend Dashboard: HTML5/CSS3, JavaScript (ES6), Bootstrap 5, Chart.js

Implementation và kết quả

Quy trình tiền xử lý dữ liệu (Data Preprocessing Pipeline)

Dữ liệu an ninh mạng thô chứa nhiều thuộc tính phi số, khoảng biến thiên cực đại và các giá trị ngoại lai. Quy trình tiền xử lý được chuẩn hóa qua 6 giai đoạn kỹ thuật:

flowchart LR
    A[Raw Data CSV] --> B[Xử lý Missing/NaN & Inf]
    B --> C[Lọc tương quan > 0.95]
    C --> D[Log1p Transform]
    D --> E[MinMax Normalization]
    E --> F[One-Hot Encoding]
    F --> G[Tập Tensor chuẩn hóa]
  1. Làm sạch dữ liệu (Missing Values & Label Cleansing):
    • Loại bỏ các dòng chứa toàn bộ giá trị NaN hoặc chuyển đổi nhãn null thành nhãn normal (ví dụ: chuyển 1.552.862 dòng null trong trường attack_cat của UNSW-NB15 thành normal).
    • Đồng nhất nhãn sai lệch cú pháp (gộp backdoor và backdoors thành một lớp thống nhất).
    • Loại bỏ các trường định danh địa chỉ tĩnh không mang đặc trưng hành vi: srcip, dstip, sport, dsport, Flow ID, Timestamp.
  2. Kỹ thuật trích xuất & Biến đổi thuộc tính (Feature Engineering):
    • Tạo thuộc tính tổng hợp lưu lượng hai chiều: $\text{network_bytes} = \text{sbytes} + \text{dbytes}$.
    • Khử độ lệch phân phối (Skewness) trên các biến số có phương sai lớn bằng phép biến đổi $\log(1 + x)$:
import numpy as np
import pandas as pd

# Biến đổi log1p giảm phương sai các đặc trưng số lượng bytes/packets
numerical_cols = ['sbytes', 'dbytes', 'sjit', 'djit', 'network_bytes']
for col in numerical_cols:
    train[f'{col}_log1p'] = np.log1p(train[col].astype(float))
  1. Loại bỏ đặc trưng dư thừa (Correlation Analysis):
    • Loại bỏ các đặc trưng có hệ số tương quan Pearson vượt ngưỡng 0.95 (như loại bỏ ct_srv_dst tương quan 0.9567 với ct_srv_src) nhằm triệt tiêu hiện tượng đa cộng tuyến.
  2. Mã hóa và Chuẩn hóa (One-Hot Encoding & Min-Max Normalization):
    • Áp dụng One-Hot Encoding cho các thuộc tính phân loại (proto, service, state), nâng tổng số chiều không gian đặc trưng của tập UNSW-NB15 từ 49 lên 197 đặc trưng.
    • Áp dụng Min-Max Normalization đưa toàn bộ không gian biến về đoạn $[0, 1]$: $$x_{\text{norm}} = \frac{x - x_{\min}}{x_{\max} - x_{\min}}$$

Kiến trúc mô hình học sâu 1D-CNN (Intrusion Detection Model)

Mô hình phân loại đe dọa được thiết kế dựa trên mạng nơ-ron tích chập 1 chiều (1D-CNN), trích xuất các mẫu cục bộ (local patterns) giữa các thuộc tính luồng mạng:

import tensorflow as tf
from tensorflow.keras import layers, models

def build_imids_cnn(input_shape=(197, 1), num_classes=10):
    model = models.Sequential([
        # Khối trích xuất đặc trưng cục bộ tầng 1
        layers.Conv1D(filters=64, kernel_size=3, padding='same', activation='relu', input_shape=input_shape),
        layers.Conv1D(filters=64, kernel_size=3, padding='same', activation='relu'),
        layers.MaxPooling1D(pool_size=2),
        
        # Khối trích xuất đặc trưng sâu tầng 2
        layers.Conv1D(filters=128, kernel_size=3, padding='same', activation='relu'),
        layers.Conv1D(filters=128, kernel_size=3, padding='same', activation='relu'),
        layers.MaxPooling1D(pool_size=2),
        
        # Tầng làm phẳng và phân loại
        layers.Flatten(), # Kích thước đầu ra: 48 * 128 = 6272 chiều
        layers.Dense(256, activation='relu'),
        layers.Dropout(0.5), # Khử hiện tượng Overfitting
        layers.Dense(num_classes, activation='softmax')
    ])
    
    model.compile(
        optimizer=tf.keras.optimizers.Adam(learning_rate=0.001),
        loss='categorical_crossentropy',
        metrics=['accuracy']
    )
    return model

Hàm mất mát Categorical Cross-Entropy phục vụ bài toán phân loại đa lớp: $$\mathcal{L} = -\frac{1}{N}\sum_{i=1}^{N}\sum_{c=1}^{C} y_{i, c} \log(\hat{y}{i, c})$$ Trong đó $y{i, c}$ là nhãn One-hot thực tế và $\hat{y}_{i, c}$ là xác suất dự đoán từ hàm kích hoạt Softmax.

Cơ chế sinh dữ liệu dạng bảng với CTGAN

Mô hình Conditional Tabular GAN (CTGAN) khắc phục hiện tượng Mode Collapse và giải quyết các cột phân phối rời rạc bằng cách xây dựng Vector điều kiện (Condition Vector) $Ct_{\text{vector}}$ và cơ chế lấy mẫu theo điều kiện (Training by Sampling):

$$Ct_{\text{vector}} = m_1 \oplus m_2 \oplus \dots \oplus m_{|D|}$$ với mask vector $m_j$ đại diện cho việc lựa chọn thuộc tính rời rạc $D_i = K$: $$m_j^{(k)} = \begin{cases} 1 & \text{nếu } i = j \text{ và } k = K \ 0 & \text{trường hợp khác} \end{cases}$$

Generator $G$ được tối ưu hóa thông qua việc tái tạo chính xác phân phối có điều kiện $P_G(\text{row} \mid D_i = K)$, giúp sinh ra các mẫu tấn công dạng bảng nhân tạo có tính chân thực cao đối với các lớp cực hiếm như Worms, Shellcode, Backdoor.

flowchart TD
    subgraph CTGAN_Framework [Kiến trúc sinh dữ liệu có điều kiện]
        Cond[Vector điều kiện Ct_vector] --> Gen[Generator G]
        Noise[Random Noise Vector z] --> Gen
        Gen --> Synth[Synthetic Tabular Record]
        Real[Real Imbalanced Dataset] --> Sampler[Conditional Sampler]
        Sampler --> RealSample[Real Attack Sample]
        Synth --> Critic[Critic / Discriminator C]
        RealSample --> Critic
        Critic -->|Wasserstein Loss With Gradient Penalty| Loss[Bộ tối ưu tham số]
        Loss -->|Cập nhật trọng số| Gen
    end

Kết quả thực nghiệm và Đánh giá hiệu năng

Hệ thống được kiểm thử độc lập trên hai bộ dữ liệu quy mô lớn với các chỉ số đo lường chuẩn: Accuracy (ACC), Precision, Recall và F1-Score:

$$\text{Precision} = \frac{\text{TP}}{\text{TP} + \text{FP}}, \quad \text{Recall} = \frac{\text{TP}}{\text{TP} + \text{FN}}, \quad \text{F1-Score} = 2 \times \frac{\text{Precision} \times \text{Recall}}{\text{Precision} + \text{Recall}}$$

Hiệu năng trên các tập dữ liệu chuẩn

Tập dữ liệu Số lượng bản ghi (Records) Số chiều đặc trưng (Input Features) Số lớp phân loại (Classes) Accuracy (%) Precision (%) Recall (%) F1-Score (%)
UNSW-NB15 2.540.044 197 10 (9 tấn công + Normal) 97.45 97.31 97.14 97.22
CICIDS2017 2.830.743 71 15 (14 tấn công + Benign) 96.80 96.55 96.10 96.32

Tác động của dữ liệu tổng hợp CTGAN đối với lớp tấn công hiếm (Backdoors)

Sau khi đưa các mẫu sinh đối kháng từ CTGAN vào tập huấn luyện của UNSW-NB15, khả năng nhận diện các cuộc tấn công diện hẹp được cải thiện rõ rệt:

  • Tỷ lệ nhận diện đúng (True Positive Rate) của lớp Backdoor: Tăng từ 64.2% lên 89.6% (+25.4%).
  • F1-score tổng thể của các lớp thiểu số: Tăng trung bình 8.7%, triệt tiêu tình trạng mô hình bỏ sót các cuộc xâm nhập nguy hiểm (giảm mạnh False Negative Rate).

Đổi mới và đóng góp

  1. Khắc phục triệt để bài toán mất cân bằng dữ liệu IoT: Áp dụng thành công CTGAN với generator có điều kiện trên tập dữ liệu bảng an ninh mạng, loại bỏ phụ thuộc vào các phương pháp nội suy truyền thống (như SMOTE) vốn tạo ra các mẫu phi thực tế trên luồng mạng.
  2. Kiến trúc 1D-CNN gọn nhẹ cho luồng dữ liệu: Tối ưu hóa số lượng tham số huấn luyện (chỉ 4 lớp tích chập kết hợp Dropout 0.5), giảm 42% thời gian suy luận so với các kiến trúc 2D-CNN chuyển đổi ảnh hoặc mạng nơ-ron hồi quy LSTM sâu.
  3. Quy trình End-to-End khép kín từ thực tế đến giao diện: Tích hợp mô-đun bắt gói tin thực tế bằng Scapy kết hợp bộ giải mã CICFlowMeter tùy chỉnh, cho phép người quản trị mạng thực hiện phân tích luồng trực tiếp (Live Packet Capture & Detection) trên Dashboard Web.
graph LR
    A[Dữ liệu mạng mất cân bằng] --> B[CTGAN Conditional Sampling]
    B --> C[Tăng cường 25.4% TPR lớp hiếm]
    D[Mạng 1D-CNN tối ưu hóa] --> E[Giảm 42% thời gian suy luận]
    F[Module Scapy + CICFlowMeter] --> G[Phát hiện trực tiếp qua Web UI]

So sánh với các nghiên cứu công bố gần đây

Mô hình & Tác giả Tập dữ liệu Kiến trúc phương pháp Độ chính xác Multi-class (ACC)
Nguyen et al. [41] UNSW-NB15 Multi-layer ANN 83.40%
REP Tree + JRip [37] UNSW-NB15 Two-tier Classifier 86.40%
Stacking ML [65] UNSW-NB15 RF + LR + KNN + SVM 82.22%
Dendron IDS [67] UNSW-NB15 Genetic Algorithm + Decision Tree 84.33%
LeNet-5 CNN [62] KDD Cup 99 2D-CNN (Image conversion) 97.53% (Dataset cũ)
Spark DNN [17] UNSW-NB15 / CICIDS2017 Deep Neural Network phân tán 97.01% / 99.56%
IMIDS (Đề tài đề xuất) UNSW-NB15 / CICIDS2017 1D-CNN + CTGAN Data Augmentation 97.45% / 96.80% (F1: 97.22%)

Ứng dụng thực tế và triển khai

Kịch bản ứng dụng thực tế (Use-Case Scenarios)

  • Bảo vệ Gateway Smart Home: Triển khai IMIDS trực tiếp trên router/gateway trung tâm để giám sát lưu lượng giao tiếp giữa các camera IP, cảm biến thông minh và máy chủ đám mây, ngăn chặn hành vi biến thiết bị thành botnet.
  • Giám sát an ninh mạng công nghiệp (IIoT): Bảo vệ các thiết bị PLC và cảm biến SCADA trong nhà máy sản xuất tự động hóa, phát hiện sớm các hành vi quét cổng (PortScan) hoặc tấn công từ chối dịch vụ (DoS/DDoS).
flowchart TD
    subgraph IoT_Environment [Hạ tầng IoT Thực tế]
        Dev1[IP Cameras] --> Router[Edge Gateway Router]
        Dev2[Smart Sensors] --> Router
        Dev3[Smart Actuators] --> Router
    end

    Router -->|Mirror Port / TAP| Sniff[IMIDS Sniffer Node]
    
    subgraph IMIDS_Server [Máy chủ Giám sát IMIDS]
        Sniff --> Extractor[Flow Extractor]
        Extractor --> Engine[1D-CNN Classifier Engine]
        Engine --> Web[Django Security Operations Center]
    end

    Web -->|Cảnh báo Real-time| Admin[Quản trị viên An ninh mạng]

Yêu cầu cấu hình triển khai hệ thống (System Requirements)

  • Phần cứng tối thiểu (Edge Gateway Node):
    • CPU: Intel Core i5 / AMD Ryzen 5 thế hệ 8 hoặc ARMv8 64-bit (4 cores)
    • RAM: 8 GB DDR4
    • Ổ cứng: 20 GB SSD trống
    • Network Interface Card (NIC) hỗ trợ chế độ Promiscuous Mode
  • Phần cứng đề xuất cho Huấn luyện lại (Training Server):
    • GPU: NVIDIA GTX 1660 / RTX 2060 trở lên (VRAM $\ge 6$ GB, hỗ trợ CUDA)
    • RAM: 16 GB DDR4
  • Môi trường phần mềm:
    • Hệ điều hành: Ubuntu Linux 20.04 LTS / Debian 11
    • Python 3.8, CUDA Toolkit 11.2, cuDNN 8.1
    • Quyền hạn: sudo/root (bắt buộc đối với tiến trình Scapy bắt gói tin ở tầng raw socket)

Hạn chế và hướng phát triển

Hạn chế kỹ thuật hiện tại

  • Cơ chế huấn luyện Offline: Khi phát sinh các kiểu tấn công hoàn toàn mới, hệ thống cần người quản trị kích hoạt quá trình gắn nhãn và huấn luyện lại ngoại tuyến trên giao diện Web.
  • Phụ thuộc vào pha kết thúc luồng gói tin (Flow Timeout): Thư viện trích xuất luồng mạng CICFlowMeter cần một khoảng thời gian chờ (Flow Timeout khoảng 120s hoặc chờ cờ TCP FIN) để tính toán đầy đủ các thông số thống kê, tạo ra một độ trễ nhất định trước khi đưa vector vào mô hình phân loại.

Hướng phát triển trong tương lai

  • Triển khai Online Continuous Learning: Ứng dụng phương pháp học tăng cường và streaming learning để cập nhật trọng số mô hình theo thời gian thực mà không cần gián đoạn hệ thống.
  • Tích hợp giao thức SDN (Software-Defined Networking): Kết nối IMIDS với SDN Controller (như OpenDaylight, ONOS) qua giao thức OpenFlow để tự động đẩy rule khóa cổng IP kẻ tấn công tại switch OpenFlow khi phát hiện nguy cơ.
  • Tối ưu hóa mô hình cho vi điều khiển (TinyML): Nén mô hình thông qua lượng tử hóa 8-bit (TensorFlow Lite Quantization) để nhúng trực tiếp lên các vi xử lý giới hạn tài nguyên như ESP32, Raspberry Pi Zero.

Đối tượng hưởng lợi

mindmap
  root((Hệ thống IMIDS))
    Sinh viên & Kỹ sư
      Mẫu kiến trúc Deep Learning 1D-CNN hoàn chỉnh
      Kỹ thuật xử lý bảng imbalanced với CTGAN
      Kinh nghiệm xử lý Scapy & CICFlowMeter
    Doanh nghiệp & Đơn vị vận hành IoT
      Giải pháp IDS mã nguồn mở chi phí thấp
      Phát hiện sớm DDoS & Botnet
      Bảo vệ thiết bị phần cứng yếu
    Nhà nghiên cứu An ninh mạng
      Bộ số liệu Benchmark chuẩn hóa trên UNSW-NB15 & CICIDS2017
      Nền tảng mở rộng nghiên cứu Generative AI trong Cyber Security
  • Sinh viên & Kỹ sư An toàn thông tin: Nắm vững mã nguồn thực tế về quy trình xử lý dữ liệu mạng (Data Pipeline), kỹ thuật biến đổi dữ liệu số lớn bằng log1p, MinMax và phương pháp tích hợp mô hình Deep Learning vào Web Framework.
  • Doanh nghiệp & Nhà máy triển khai IoT: Sở hữu giải pháp giám sát an ninh mạng chi phí thấp, tận dụng hạ tầng phần cứng thông dụng để bảo vệ toàn diện hệ thống IoT nội bộ trước các đợt tấn công DDoS diện rộng.
  • Nhà nghiên cứu khoa học: Cung cấp cơ sở lý thuyết và bằng chứng thực nghiệm về tính khả thi của việc ứng dụng mạng sinh đối kháng CTGAN trong việc tổng hợp dữ liệu an ninh mạng dạng bảng.

Câu hỏi thường gặp

1. Yêu cầu kỹ thuật tối thiểu để triển khai hệ thống IMIDS trong mạng nội bộ là gì?

Hệ thống yêu cầu máy chủ chạy hệ điều hành Linux (ưu tiên Ubuntu 20.04 LTS), có tối thiểu 8 GB RAM và card mạng hỗ trợ Promiscuous Mode để lắng nghe toàn bộ lưu lượng mạng. Đối với tác vụ suy luận (Inference), hệ thống chỉ cần CPU thông thường; GPU chỉ bắt buộc khi thực hiện huấn luyện lại mô hình 1D-CNN hoặc chạy mạng sinh CTGAN.

2. Làm thế nào CTGAN giải quyết được bài toán mất cân bằng dữ liệu tốt hơn SMOTE?

Kỹ thuật SMOTE tạo dữ liệu nhân tạo bằng phép nội suy tuyến tính giữa các điểm lân cận gần nhất trong không gian vector. Trong dữ liệu luồng mạng với nhiều trường rời rạc và phân phối đa phương thức (multimodal distribution), SMOTE thường sinh ra các bản ghi vi phạm tính logic của giao thức mạng. Ngược lại, Generator của CTGAN được huấn luyện có điều kiện để học chính xác hàm mật độ xác suất thực tế của các cột dữ liệu rời rạc, tạo ra các mẫu tấn công nhân tạo mang đầy đủ tính chất đặc thù của giao thức.

3. Hệ thống có khả năng tích hợp với các giải pháp SIEM hoặc Tường lửa có sẵn không?

Có. IMIDS được xây dựng trên nền tảng Django REST Framework, cho phép xuất dữ liệu cảnh báo dưới dạng JSON API chuẩn hoặc ghi log tương thích định dạng Syslog (RFC 5424). Các hệ thống SIEM như Splunk, Elastic Security (ELK) hoặc tường lửa phần mềm (iptables, pfSense) có thể dễ dàng tiêu thụ API này để kích hoạt các kịch bản ngăn chặn chủ động.

4. Độ trễ phát hiện cuộc tấn công của hệ thống là bao lâu?

Thời gian suy luận của mô hình 1D-CNN đối với một vector đặc trưng luồng chỉ mất dưới 1,2 mili-giây trên CPU Intel thông thường. Tổng độ trễ từ khi gói tin xuất hiện đến khi hiển thị cảnh báo phụ thuộc chủ yếu vào cấu hình cửa sổ thời gian gom luồng (Flow Timeout window) của module trích xuất đặc trưng (thường thiết lập từ 5 đến 30 giây tùy theo kịch bản mạng).

5. Chi phí ước tính và thời gian hoàn vốn (ROI) khi triển khai giải pháp?

Do IMIDS sử dụng hoàn toàn các công nghệ mã nguồn mở (Python, TensorFlow, Django, Scapy) và kiến trúc mạng 1D-CNN tối ưu không đòi hỏi cụm máy chủ chuyên dụng đắt tiền, chi phí triển khai ban đầu gần như bằng 0 đối với chi phí bản quyền phần mềm. Doanh nghiệp chỉ đầu tư phần cứng thu thập luồng tiêu chuẩn. Thời gian hoàn vốn thể hiện trực tiếp qua việc giảm thiểu rủi ro gián đoạn dịch vụ (downtime) do các đợt tấn công DDoS botnet gây thiệt hại hàng chục nghìn USD mỗi giờ.

Kết luận

Đề tài tốt nghiệp "IMIDS: Xây dựng hệ thống phát hiện xâm nhập thông minh trong ngữ cảnh IoT" đã giải quyết thành công bài toán bảo mật cốt lõi trong hạ tầng mạng IoT thông qua sự kết hợp giữa mô hình học sâu 1D-CNN và mạng sinh đối kháng có điều kiện CTGAN. Với độ chính xác phân loại vượt trội đạt điểm F1 97,22% trên tập dữ liệu UNSW-NB15 và 96,32% trên CICIDS2017, hệ thống chứng minh tính khả thi cao trong môi trường thực tiễn. Việc hoàn thiện đầy đủ các mô-đun từ thu thập dữ liệu thô, tiền xử lý, phân loại đến giao diện điều khiển trực quan trên nền tảng Web mang lại một giải pháp an ninh mạng toàn diện, hiệu quả và có khả năng mở rộng cao cho các hạ tầng thông minh trong tương lai.