Khóa Luận Tốt Nghiệp Về Khung Học Liên Kết Giải Thích Cho Phát Hiện Tấn Công APT Trong Mạng

Khóa luận trình bày bộ khung học liên kết khả diễn giải cho phát hiện tấn công có chủ đích trong mạng khả lập trình, nâng cao an toàn thông tin.

• Tác giả: Huỳnh Thái Thi
• Người hướng dẫn: TS. Phạm Văn Hậu
• Trường học: Trường Đại học Công nghệ Thông tin - Đại học Quốc Gia Thành Phố Hồ Chí Minh
• Chuyên ngành: Cử nhân ngành An toàn thông tin
• Đề tài: Bộ Khung Học Liên Kết Khả Diễn Giải Cho Trình Phát Hiện Tấn Công Có Chủ Đích Trong Mạng
• Loại tài liệu: khóa luận tốt nghiệp
• Năm xuất bản: 2023
• Địa điểm: Thành phố Hồ Chí Minh

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. CHƯƠNG 1: TỔNG QUAN ĐỀ TÀI
• 1.1. Lý do chọn đề tài
• 1.2. Các nghiên cứu liên quan
• 1.2.1. Giải pháp săn tìm mối đe dọa
• 1.2.2. Hệ thống IDS dựa trên AI
• 1.2.3. Học liên kết
• 1.3. Mục tiêu, đối tượng và phạm vi nghiên cứu
• 1.4. Phương pháp nghiên cứu
• 1.5. Cấu trúc khóa luận tốt nghiệp
• 2. CHƯƠNG 2: CƠ SỞ LÝ THUYẾT
• 2.1. Tấn công APT
• 2.1.1. Tổng quan
• 2.1.2. Cách phòng chống
• 2.1.2.1. Tổng quan về săn tìm mối đe dọa
• 2.1.2.2. Quy trình tiến hành
• 2.1.2.3. Các vấn đề liên quan đến săn tìm mối đe dọa
• 2.1.2.4. Hệ thống IDS
• 2.1.2.5. Tính cấp thiết trong việc cải thiện IDS
• 2.1.2.6. Đồ thị nguồn gốc
• 2.1.3. Tiềm năng đối với việc phát hiện tấn công APT
• 2.2. Tổng quan về học liên kết
• 2.2.1. Quá trình huấn luyện
• 2.2.2. Học máy khả giải
• 2.3. Đánh giá khả năng diễn giải
• 2.3.1. Giá trị Shapley
• 2.3.2. Ý nghĩa của học máy khả giải đối với các hệ thống bảo mật
• 2.4. Tiềm năng của mạng SDN trong việc chống lại tấn công APT
• 3. CHƯƠNG 3: PHƯƠNG PHÁP THỰC HIỆN
• 3.1. Mô hình học liên kết cho các hệ thống phát hiện tấn công APT
• 3.2. Mô hình săn tìm tấn công APT
• 3.3. Hệ thống diễn giải dự đoán
• 3.3.1. Phương pháp diễn giải dự đoán của NIDS
• 3.3.2. Phương pháp diễn giải dự đoán của PIDS
• 3.3.3. Phương pháp kiểm tra độ tin cậy của dự đoán từ hệ thống IDS
• 3.4. Luồng hoạt động chính
• 3.5. Tiêu chí chọn thông tin cho quá trình làm giàu
• 4. CHƯƠNG 4: THỰC NGHIỆM, ĐÁNH GIÁ VÀ THẢO LUẬN
• 4.1. Môi trường thực nghiệm
• 4.2. Xây dựng mô hình học liên kết cho các hệ thống phát hiện tấn công APT
• 4.2.1. Tập dữ liệu
• 4.3. Tiêu chí đánh giá dự đoán của các mô hình IDS
• 4.4. Kết quả thực nghiệm và nhận xét
• 4.4.1. Diễn giải dự đoán của các mô hình IDS
• 4.4.1.1. Tiêu chí đánh giá các giải thích cho dự đoán đến từ các mô hình IDS
• 4.4.1.2. Diễn giải dự đoán của mô hình NIDS
• 4.4.1.3. Diễn giải dự đoán của mô hình PIDS
• 4.4.2. Đánh giá phương pháp xác định độ tin cậy của các dự đoán từ các mô hình IDS
• 4.4.3. Hiện thực mô hình săn tìm tấn công APT trên từng zone
• 4.4.4. Đánh giá tính khả thi của mô hình săn tìm APT được hiện thực
• 4.4.4.1. Kiểm tra khả năng phát hiện và đưa ra cảnh báo của mô hình thông qua tấn công DoS
• 4.4.4.2. Đánh giá hiệu năng của mô hình
• 5. CHƯƠNG 5: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• DANH SÁCH HÌNH ẢNH
• DANH SÁCH BẢNG BIỂU
• DANH MỤC TỪ VIẾT TẮT
• DANH MỤC TỪ TẠM DỊCH
• TÓM TẮT KHÓA LUẬN

Tóm tắt

I. Tổng Quan Về Khóa Luận Tốt Nghiệp Về Tấn Công APT

Khóa luận tốt nghiệp này tập trung vào việc phát hiện tấn công APT trong mạng thông qua khung học liên kết. Tấn công APT (Advanced Persistent Threat) là một trong những mối đe dọa lớn nhất hiện nay trong lĩnh vực an ninh mạng. Việc phát hiện và ngăn chặn các cuộc tấn công này là một thách thức lớn đối với các tổ chức. Khóa luận sẽ trình bày các phương pháp và giải pháp hiện có để đối phó với vấn đề này.

1.1. Tầm Quan Trọng Của Việc Phát Hiện Tấn Công APT

Phát hiện tấn công APT là rất quan trọng vì chúng thường gây ra thiệt hại lớn cho tổ chức. Các cuộc tấn công này thường kéo dài và khó phát hiện, do đó, việc có một hệ thống phát hiện hiệu quả là cần thiết.

1.2. Các Khái Niệm Cơ Bản Về Tấn Công APT

Tấn công APT thường được thực hiện bởi các nhóm tội phạm có tổ chức, sử dụng các kỹ thuật tinh vi để xâm nhập vào hệ thống. Hiểu rõ về các khái niệm này sẽ giúp xây dựng các giải pháp hiệu quả hơn.

II. Vấn Đề Và Thách Thức Trong Phát Hiện Tấn Công APT

Phát hiện tấn công APT gặp nhiều thách thức do tính chất phức tạp và tinh vi của chúng. Các kẻ tấn công thường sử dụng nhiều kỹ thuật để lẩn tránh các hệ thống bảo mật hiện có. Điều này đặt ra yêu cầu cao về khả năng phát hiện và phân tích dữ liệu.

2.1. Những Khó Khăn Trong Việc Phát Hiện Tấn Công APT

Các cuộc tấn công APT thường diễn ra trong thời gian dài và có thể lẩn tránh các hệ thống phát hiện truyền thống. Điều này làm cho việc phát hiện trở nên khó khăn hơn.

2.2. Tác Động Của Tấn Công APT Đến An Ninh Mạng

Tấn công APT có thể gây ra thiệt hại lớn cho tổ chức, từ mất mát dữ liệu đến thiệt hại tài chính. Việc hiểu rõ tác động này giúp nâng cao nhận thức về an ninh mạng.

III. Phương Pháp Phát Hiện Tấn Công APT Hiệu Quả

Để phát hiện tấn công APT, nhiều phương pháp đã được nghiên cứu và áp dụng. Các phương pháp này bao gồm việc sử dụng trí tuệ nhân tạo và học máy để phân tích dữ liệu và phát hiện các hành vi bất thường.

3.1. Ứng Dụng Trí Tuệ Nhân Tạo Trong Phát Hiện Tấn Công

Trí tuệ nhân tạo có thể giúp phân tích lượng lớn dữ liệu và phát hiện các hành vi bất thường, từ đó nâng cao khả năng phát hiện tấn công APT.

3.2. Hệ Thống IDS Dựa Trên AI

Hệ thống IDS (Intrusion Detection System) dựa trên AI có khả năng phát hiện các cuộc tấn công APT một cách hiệu quả hơn so với các hệ thống truyền thống.

IV. Khung Học Liên Kết Trong Phát Hiện Tấn Công APT

Khung học liên kết cho phép các tổ chức chia sẻ thông tin mà không làm lộ dữ liệu nhạy cảm. Điều này giúp cải thiện khả năng phát hiện tấn công APT mà không vi phạm quyền riêng tư.

4.1. Lợi Ích Của Học Liên Kết Trong An Ninh Mạng

Học liên kết giúp các tổ chức có thể học hỏi từ nhau mà không cần chia sẻ dữ liệu nhạy cảm, từ đó nâng cao khả năng phát hiện tấn công APT.

4.2. Các Mô Hình Học Liên Kết Được Sử Dụng

Nhiều mô hình học liên kết đã được phát triển để hỗ trợ phát hiện tấn công APT, giúp cải thiện hiệu suất của các hệ thống bảo mật.

V. Ứng Dụng Thực Tiễn Của Khung Học Liên Kết

Khung học liên kết đã được áp dụng trong nhiều tổ chức để phát hiện tấn công APT. Các kết quả nghiên cứu cho thấy rằng việc áp dụng khung này có thể nâng cao hiệu quả phát hiện và giảm thiểu thiệt hại.

5.1. Kết Quả Nghiên Cứu Về Học Liên Kết

Nghiên cứu cho thấy rằng khung học liên kết có thể cải thiện đáng kể khả năng phát hiện tấn công APT trong các tổ chức.

5.2. Các Tình Huống Thực Tế Đã Áp Dụng

Nhiều tổ chức đã áp dụng khung học liên kết và đạt được những kết quả tích cực trong việc phát hiện và ngăn chặn tấn công APT.

VI. Kết Luận Và Hướng Phát Triển Tương Lai

Khóa luận này đã trình bày một cái nhìn tổng quan về tấn công APT và các phương pháp phát hiện hiệu quả. Hướng phát triển tương lai sẽ tập trung vào việc cải thiện các mô hình học máy và ứng dụng trí tuệ nhân tạo trong an ninh mạng.

6.1. Tương Lai Của Phát Hiện Tấn Công APT

Tương lai của phát hiện tấn công APT sẽ phụ thuộc vào sự phát triển của công nghệ và các phương pháp mới trong an ninh mạng.

6.2. Các Hướng Nghiên Cứu Tiếp Theo

Các nghiên cứu tiếp theo sẽ tập trung vào việc cải thiện khả năng phát hiện và giảm thiểu thiệt hại từ các cuộc tấn công APT.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Trong an toàn thông tin hiện đại, tấn công có chủ đích (Advanced Persistent Threat - APT) là một trong những mối đe dọa nguy hiểm và phức tạp nhất. Khác với các hình thức tấn công mạng truyền thống mang tính cơ hội và diễn ra trong thời gian ngắn, tấn công APT được tổ chức bài bản, thường do các tổ chức có tiềm lực tài chính, kỹ thuật cao hoặc các tổ chức được nhà nước bảo trợ thực hiện. Kẻ tấn công sử dụng các kỹ thuật tinh vi, khai thác chuỗi lỗ hổng và áp dụng các biện pháp lẩn tránh phòng thủ nhằm duy trì sự hiện diện bí mật trong hệ thống mục tiêu suốt thời gian dài (có thể kéo dài nhiều tháng hoặc nhiều năm) để đánh cắp dữ liệu cơ mật hoặc phá hoại cơ sở hạ tầng trọng yếu.

Trước sự tiến hóa của APT, các giải pháp phòng thủ thụ động truyền thống (như tường lửa, phần mềm diệt virus) không còn đáp ứng được yêu cầu bảo vệ. Hướng tiếp cận chủ động thông qua săn tìm mối đe dọa (threat hunting) kết hợp với các hệ thống phát hiện xâm nhập (Intrusion Detection System - IDS) đang trở thành giải pháp then chốt. Tuy nhiên, việc ứng dụng Trí tuệ nhân tạo (AI) và Học sâu (Deep Learning) vào hệ thống IDS hiện nay đang đối mặt với ba thách thức lớn:

1. Sự thiếu hụt và phân mảnh dữ liệu huấn luyện: Các mô hình học sâu đòi hỏi lượng dữ liệu lớn và liên tục cập nhật, nhưng các tổ chức không thể dễ dàng chia sẻ dữ liệu nội bộ do lo ngại về tính riêng tư và bảo mật thông tin.
2. Bản chất "hộp đen" của mô hình AI: Các mạng nơ-ron phức tạp thiếu khả năng diễn giải quá trình suy luận, khiến các chuyên gia phân tích an ninh mạng gặp khó khăn trong việc xác minh tính đúng đắn của cảnh báo và làm tăng tỷ lệ dương tính giả trong thực tế.
3. Thiếu khả năng bao quát và linh hoạt trong giám sát mạng: Mạng truyền thống hạn chế về khả năng tùy biến và kiểm soát tập trung, trong khi mạng khả lập trình (Software-Defined Networking - SDN) mở ra tiềm năng lớn để quản lý lưu lượng và triển khai các cơ chế giám sát an ninh tập trung nhưng chưa được khai thác toàn diện cho bài toán APT.

Khóa luận xác định các mục tiêu và nhiệm vụ nghiên cứu cụ thể như sau:

1. Nghiên cứu và xây dựng mô hình săn tìm mối đe dọa dựa trên phương pháp học liên kết (Federated Learning) nhằm phát hiện tấn công APT trong môi trường mạng SDN, cho phép nhiều bên cùng cộng tác huấn luyện mô hình mà không cần chia sẻ dữ liệu thô.
2. Thiết kế và tích hợp các kiến trúc học sâu chuyên biệt: xây dựng hệ thống NIDS (Network-based IDS) kết hợp giữa GRU và CNN để phân tích lưu lượng mạng, cùng hệ thống PIDS (Provenance-based IDS) ứng dụng mạng GNN tích hợp mô hình Transformer (TGraphSAGE) để phân tích đồ thị nguồn gốc (provenance graph).
3. Ứng dụng các phương pháp học máy khả giải (Explainable AI - XAI) gồm bộ khung SHAP và GNNExplainer, kết hợp thiết kế cơ chế xác định độ tin cậy của dự đoán dựa trên vector đặc trưng tại đầu ra của lớp áp chót (penultimate layer) từ các dự đoán trong lịch sử.
4. Triển khai thực nghiệm hệ thống săn tìm tự động XFedHunter trong môi trường mạng SDN mô phỏng, tích hợp hệ thống quản lý thông tin và sự kiện an ninh (SIEM Wazuh) và Cyber Threat Intelligence (CTI).

Đối tượng và phạm vi nghiên cứu:

• Đối tượng nghiên cứu: Tấn công APT; phương pháp săn tìm mối đe dọa chủ động; hệ thống IDS dựa trên AI (NIDS và PIDS); mô hình học liên kết; học máy khả giải (XAI); đồ thị nguồn gốc; mạng khả lập trình SDN.
• Phạm vi nghiên cứu: Hệ thống phát hiện và săn tìm tấn công APT ứng dụng học liên kết và học máy khả giải, triển khai trong môi trường mạng SDN tích hợp SIEM (Wazuh); thực nghiệm và đánh giá trên hai tập dữ liệu chuẩn là NF-ToN-IoT (dữ liệu lưu lượng mạng) và DARPA TC E3 (dữ liệu đồ thị nguồn gốc hệ thống).

---

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng trên các nền tảng lý thuyết và phương pháp luận chuyên ngành:

1. Khung lý thuyết và mô hình nền tảng

• Vòng đời tấn công APT: Tác giả sử dụng mô hình vòng đời 6 giai đoạn gồm: (1) Trinh sát và vũ khí hóa, (2) Vận chuyển, (3) Bước đầu xâm nhập, (4) Ra lệnh và kiểm soát (C2), (5) Mở rộng phạm vi (Lateral Movement), và (6) Trích xuất thông tin.
• Quy trình săn tìm mối đe dọa: Áp dụng quy trình 6 bước của SANS gồm: Xác định mục đích $\rightarrow$ Xác định phạm vi săn tìm $\rightarrow$ Chuẩn bị $\rightarrow$ Xem xét kế hoạch $\rightarrow$ Săn tìm $\rightarrow$ Phản hồi.
• Đồ thị nguồn gốc (Provenance Graph): Cấu trúc dữ liệu đồ thị biểu diễn lịch sử tương tác và quan hệ nhân quả giữa các thực thể hệ thống (tiến trình, tập tin, socket mạng, khóa registry) qua các nút (nodes) và cạnh (edges), phục vụ phát hiện các chuỗi hành vi APT phức tạp.
• Kiến trúc mạng nơ-ron học sâu:
  • Mạng nơ-ron tích chập (CNN): Khai thác đặc trưng cục bộ thông qua các lớp tích chập (convolutional layer), lớp tổng hợp (max/average pooling layer) và lớp kết nối đầy đủ (fully connected layer).
  • Mạng Gated Recurrent Unit (GRU): Biến thể của RNN sử dụng cổng cập nhật (update gate) và cổng quên (reset gate) để giải quyết vấn đề triệt tiêu gradient và phụ thuộc xa trên dữ liệu chuỗi thời gian.
  • Mạng nơ-ron đồ thị (GNN): Cơ chế truyền thông điệp (message passing) trên cấu trúc đồ thị, tổng hợp thông tin láng giềng qua các kiến trúc GCN, GAT, GAE và đặc biệt là biến thể GraphSAGE.
• Học liên kết (Federated Learning): Mô hình huấn luyện phân tán bảo vệ quyền riêng tư dữ liệu nội bộ của các nút tham gia (clients), tổng hợp trọng số mô hình toàn cục (global model) tại máy chủ trung tâm thông qua thuật toán FedAvg (Federated Averaging).
• Học máy khả giải (Explainable AI - XAI):
  • Phân loại kỹ thuật: Nội tại (intrinsic) so với sau huấn luyện (post-hoc); Cục bộ (local) so với toàn cục (global); Đặc thù mô hình (model-specific) so với độc lập mô hình (model-agnostic).
  • Bộ khung SHAP (SHapley Additive exPlanations): Dựa trên lý thuyết giá trị Shapley trong lý thuyết trò chơi hợp tác để lượng hóa mức độ đóng góp của từng thuộc tính vào kết quả dự đoán của NIDS.
  • GNNExplainer: Phương pháp độc lập mô hình giúp trích xuất đồ thị con (subgraph) và tập thuộc tính nút có ảnh hưởng lớn nhất đến quyết định phân loại nút của mô hình GNN.
  • Khung đánh giá giải thích: Đánh giá dựa trên ứng dụng (application-grounded), dựa trên con người (human-grounded) và dựa trên chức năng toán học (functionality-grounded).
• Mạng khả lập trình (SDN): Kiến trúc tách biệt mặt phẳng điều khiển (Control Plane) và mặt phẳng chuyển tiếp dữ liệu (Data Plane), cho phép quản trị viên và hệ thống bảo mật điều khiển luồng mạng tập trung thông qua bộ điều khiển SDN (SDN Controller).

2. Phương pháp nghiên cứu thực nghiệm

• Phương pháp tiền xử lý và làm giàu dữ liệu (DPE - Data Preprocessing and Enrichment): Xây dựng hệ thống chuẩn hóa thuộc tính luồng mạng (NetFlow) và chuyển đổi nhật ký sự kiện hệ điều hành thành các câu/chuỗi từ ngữ cảnh để biểu diễn đồ thị nguồn gốc.
• Phương pháp huấn luyện phân tán: Thực thi quy trình huấn luyện học liên kết qua nhiều vòng (rounds) với thuật toán FedAvg trên các tập dữ liệu phân tán cục bộ.
• Phương pháp phân tích giải thích và xác định độ tin cậy: Kết hợp giải thích cục bộ (SHAP, GNNExplainer) với phương pháp trích xuất vector biểu diễn tại đầu ra của lớp áp chót (penultimate layer) và kỹ thuật giảm chiều dữ liệu t-SNE để đánh giá mức độ tương đồng và tính tin cậy của các cảnh báo.

3. Nguồn dữ liệu sử dụng

• Tập dữ liệu NF-ToN-IoT: Bộ dữ liệu lưu lượng mạng chuẩn dạng NetFlow chứa các hành vi mạng bình thường và nhiều dạng tấn công mạng hiện đại.
• Tập dữ liệu DARPA TC E3 (Transparent Computing Engagement 3): Bộ dữ liệu đồ thị nguồn gốc quy mô lớn của DARPA, ghi nhận chi tiết các tương tác mức hệ thống của các kịch bản tấn công APT thực tế.

---

Thiết kế và triển khai

Hệ thống săn tìm mối đe dọa XFedHunter được thiết kế theo cấu trúc module hóa, tích hợp chặt chẽ vào môi trường mạng SDN:

+-------------------------------------------------------------------------------+
|                             KIẾN TRÚC XFEDHUNTER                              |
+-------------------------------------------------------------------------------+
|  1. Data Preprocessing & Enrichment (DPE):                                    |
|     - Chuẩn hóa NetFlow (Flow Features) -> Phục vụ mô hình GRU & CNN          |
|     - Trích xuất Audit Logs -> Xây dựng Đồ thị nguồn gốc (Provenance Graph)   |
+-------------------------------------------------------------------------------+
|  2. Khối phát hiện xâm nhập đa tầng (Multi-tier IDS Core):                   |
|     - NIDS (Network-level): Mô hình kết hợp GRU & CNN                         |
|     - PIDS (Host-level): Mô hình TGraphSAGE (GraphSAGE + Transformer)         |
+-------------------------------------------------------------------------------+
|  3. Khối huấn luyện phân tán & Bảo mật (Federated Learning Engine):           |
|     - Thuật toán tổng hợp tham số FedAvg giữa các vùng mạng (zones)          |
+-------------------------------------------------------------------------------+
|  4. Khối giải thích & Xác thực độ tin cậy (XAI & Reliability Engine):         |
|     - SHAP (giải thích NIDS) & GNNExplainer (giải thích PIDS)                 |
|     - Trích xuất Penultimate Layer Output & Trực quan hóa t-SNE               |
+-------------------------------------------------------------------------------+
|  5. Khối tích hợp quản trị & Cảnh báo (SDN & SIEM Integration):               |
|     - Bộ điều khiển SDN Controller điều phối chính sách luồng                 |
|     - SIEM Wazuh nhận diện log, hiển thị cảnh báo tập trung                   |
+-------------------------------------------------------------------------------+

Chi tiết các khối kiến trúc chính:

1. Hệ thống NIDS (GRU & CNN):
   • Dữ liệu luồng mạng sau khi chuẩn hóa được đưa qua các lớp GRU để nắm bắt quan hệ phụ thuộc theo chuỗi thời gian, sau đó kết hợp cùng các lớp CNN (tích chập và pooling) để trích xuất đặc trưng không gian đa chiều của gói tin trước khi đưa vào lớp phân loại.
2. Hệ thống PIDS (TGraphSAGE):
   • Kết hợp thuật toán lấy mẫu và tổng hợp láng giềng GraphSAGE với cơ chế Transformer để xử lý đồ thị nguồn gốc động, biểu diễn các mối quan hệ không đồng nhất giữa tiến trình, tập tin và kết nối mạng.
3. Quy trình tiền xử lý và làm giàu dữ liệu (DPE):
   • Chuyển đổi dữ liệu nhật ký hệ thống thành các mẫu câu có cấu trúc cho từng loại đối tượng (process, file, socket) và gán nhãn thuộc tính ngữ cảnh.
4. Hạ tầng SDN và SIEM Wazuh:
   • Triển khai theo từng phân vùng mạng (zone). Mỗi zone có hạ tầng SDN riêng được quản lý bởi SDN Controller. Dữ liệu sự kiện từ hệ thống DPE được đồng bộ hóa và hiển thị cảnh báo tập trung trên giao diện SIEM Wazuh khi phát hiện tấn công.

---

Nội dung chính theo từng chương

Chương 1: TỔNG QUAN ĐỀ TÀI

Chương 1 thiết lập cơ sở nghiên cứu của khóa luận thông qua việc phân tích bối cảnh an ninh mạng, các mối đe dọa từ tấn công APT và các giải pháp hiện hành.

• Tổng quan các nghiên cứu liên quan: Đánh giá các công trình săn tìm mối đe dọa dựa trên con người (Jadidi và CS kết hợp MITRE ATT&CK và Diamond Model; Ajmal và CS dựa trên mô hình SANS), các hệ thống IDS dựa trên AI (Fuchikoma, GraphSAGE, E-GraphSAGE, DeepHunter), các nghiên cứu học liên kết trong an toàn thông tin (Abdel-Basset và CS, DeepFed của Li và CS) và các nghiên cứu về học máy khả giải (Grad-CAM, SHAP, LIME, GNNExplainer, GraphLIME).
• Xác định các điểm mới của đề tài: (1) Đề xuất bộ khung học liên kết cho NIDS (GRU&CNN) và PIDS (TGraphSAGE) trong mạng SDN; (2) Tích hợp học máy khả giải SHAP và GNNExplainer để làm sáng tỏ quyết định của mô hình; (3) Thiết kế cơ chế phân tích đầu ra của lớp áp chót (penultimate layer) để kiểm tra độ tin cậy của dự đoán.

Chương 2: CƠ SỞ LÝ THUYẾT

Trình bày hệ thống hóa toàn bộ các nền tảng lý thuyết phục vụ việc xây dựng giải pháp:

• Tấn công APT và săn tìm mối đe dọa: Phân tích chi tiết 6 giai đoạn vòng đời APT và quy trình săn tìm 6 bước của SANS. Trích dẫn khảo sát của SANS (2022) chỉ ra rằng thiếu hụt nhân lực có kỹ năng (chiếm tỷ lệ cao nhất) và hạn chế về công cụ/công nghệ (46.9%) là các trở ngại lớn nhất, trong khi SIEM, IDS/IPS (83.4%) và AI/Machine Learning (49.8%) là những công nghệ cốt lõi đang được áp dụng.
• Hệ thống IDS và Đồ thị nguồn gốc: Phân loại Signature-based IDS và Anomaly-based IDS; so sánh phạm vi NIDS và HIDS; định nghĩa đồ thị nguồn gốc (nút, cạnh, thuộc tính) và tiềm năng phát hiện APT nhờ truy vết chuỗi hành vi.
• Học sâu, Học liên kết và Học máy khả giải: Trình bày toán học về hàm kích hoạt (Sigmoid, Softmax, Tanh, ReLU), cấu trúc mạng CNN, mạng GRU, mạng GNN (GCN, GAT, GraphSAGE, GAE); quy trình 5 bước của học liên kết sử dụng thuật toán FedAvg; phân loại XAI, lý thuyết giá trị Shapley và các cấp độ đánh giá khả năng diễn giải; kiến trúc tổng quan mạng SDN.

Chương 3: PHƯƠNG PHÁP THỰC HIỆN

Mô tả chi tiết kiến trúc và phương pháp luận của hệ thống XFedHunter:

• Mô hình học liên kết cho hệ thống phát hiện APT: Kiến trúc phân tán giữa các zone mạng và trung tâm tổng hợp mô hình.
• Thiết kế chi tiết mô hình NIDS và PIDS:
  • Mô hình GRU&CNN cho NIDS: Kết hợp các tầng GRU nắm bắt chuỗi thời gian và CNN trích xuất đặc trưng luồng mạng.
  • Mô hình TGraphSAGE cho PIDS: Xây dựng mô hình nhúng nút và đồ thị con dựa trên sự kết hợp giữa GraphSAGE và Transformer.
• Hệ thống diễn giải dự đoán và kiểm tra độ tin cậy: Ứng dụng SHAP cho NIDS, GNNExplainer cho PIDS; phương pháp so khớp vector đặc trưng lớp áp chót của mạng nơ-ron nhằm xác minh mức độ tin cậy của các dự đoán so với dữ liệu lịch sử.
• Hệ thống tiền xử lý và làm giàu dữ liệu (DPE): Luồng hoạt động thu thập, chuẩn hóa thuộc tính luồng và tiêu chí chọn thông tin làm giàu dữ liệu nhật ký hệ thống.

Chương 4: THỰC NGHIỆM, ĐÁNH GIÁ VÀ THẢO LUẬN

Trình bày toàn bộ quá trình thiết lập thực nghiệm, kết quả thu được và phân tích chuyên sâu:

• Môi trường thực nghiệm & Dữ liệu: Thiết lập môi trường huấn luyện học liên kết trên hai tập dữ liệu NF-ToN-IoT và DARPA TC E3; áp dụng các phương pháp chuẩn hóa dữ liệu luồng và mẫu câu đối tượng.
• Đánh giá mô hình học sâu và học liên kết: Đánh giá khả năng hội tụ của mô hình TGraphSAGE qua các vòng học liên kết; đo lường hiệu suất phát hiện bất thường của GRU&CNN và TGraphSAGE.
• Kết quả diễn giải dự đoán (XAI):
  • Trực quan hóa giá trị SHAP trên mô hình GRU&CNN, chỉ ra các thuộc tính lưu lượng mạng đóng vai trò quyết định trong việc phân loại tấn công.
  • Trực quan hóa đồ thị giải thích từ GNNExplainer cho mô hình TGraphSAGE, làm rõ sự khác biệt cấu trúc đồ thị con giữa nút lành tính và nút độc hại.
• Đánh giá phương pháp xác định độ tin cậy: Trực quan hóa không gian biểu diễn vector của lớp áp chót bằng thuật toán t-SNE, chứng minh các mẫu dữ liệu cùng nhãn phân cụm rõ ràng, giúp phát hiện các dự đoán thiếu tin cậy.
• Hiện thực hóa và kiểm thử trên môi trường mạng SDN từng zone: Triển khai mô hình săn tìm tích hợp hệ thống DPE, bộ điều khiển SDN và SIEM Wazuh; kiểm thử thành công khả năng phát hiện, ghi log và kích hoạt cảnh báo theo thời gian thực đối với kịch bản tấn công DoS; đánh giá hiệu năng tiêu thụ tài nguyên của hệ thống.

Chương 5: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN

Tổng hợp các kết quả nghiên cứu đã đạt được và định hướng mở rộng đề tài.

---

Kết quả và đóng góp

1. Kết quả thực nghiệm chính

Thành phần / Tiêu chí	Phương pháp / Mô hình áp dụng	Tập dữ liệu / Môi trường	Kết quả & Phát hiện chính
Phát hiện lưu lượng (NIDS)	Mô hình lai GRU & CNN	NF-ToN-IoT	Nắm bắt đồng thời đặc trưng chuỗi thời gian và không gian luồng mạng; hội tụ ổn định trong học liên kết.
Phát hiện đồ thị (PIDS)	TGraphSAGE (GraphSAGE + Transformer)	DARPA TC E3	Hội tụ tốt qua các vòng huấn luyện FedAvg; phân loại chính xác các nút và chuỗi hành vi APT trên đồ thị nguồn gốc.
Diễn giải NIDS	Bộ khung SHAP	NF-ToN-IoT	Lượng hóa chính xác trọng số đóng góp của từng trường thuộc tính NetFlow vào quyết định cảnh báo.
Diễn giải PIDS	GNNExplainer	DARPA TC E3	Trích xuất đồ thị con cục bộ, phân tách rõ ràng cấu trúc kết nối của nút độc hại so với nút lành tính.
Độ tin cậy dự đoán	Penultimate Layer Output + t-SNE	NF-ToN-IoT & DARPA TC E3	Trực quan hóa phân cụm vector lớp áp chót, cung cấp cơ sở định lượng để đánh giá độ tin cậy của cảnh báo AI.
Triển khai thực tế	Hệ thống DPE + SDN Controller + Wazuh	Mạng SDN đa phân vùng (Zone)	Ghi log tự động qua DPE, kích hoạt cảnh báo thời gian thực trên SIEM Wazuh khi mô phỏng tấn công DoS.

2. Các giải pháp và kiến nghị đề xuất

• Đề xuất kiến trúc hệ thống săn tìm mối đe dọa XFedHunter kết hợp chặt chẽ giữa học máy khả giải, học liên kết và mạng khả lập trình SDN.
• Xây dựng quy trình tiền xử lý và làm giàu dữ liệu DPE chuyên biệt để chuyển đổi dữ liệu nhật ký hệ thống phân tán thành đồ thị nguồn gốc có cấu trúc ngữ cảnh rõ ràng.
• Tích hợp công cụ SIEM mã nguồn mở (Wazuh) cùng bộ điều khiển SDN để tự động hóa khâu tiếp nhận log, phân tích cảnh báo và hỗ trợ điều phối chính sách an ninh mạng tập trung.

3. Đóng góp mới của tác giả

• Đóng góp về kiến trúc: Là một trong những công trình tiên phong xây dựng bộ khung phát hiện APT hoàn chỉnh trong mạng SDN sử dụng học liên kết, giải quyết triệt để rào cản chia sẻ dữ liệu huấn luyện nhạy cảm giữa các tổ chức/phân vùng mạng.
• Đóng góp về mô hình học sâu: Thiết kế thành công hai mô hình chuyên biệt gồm GRU&CNN (cho NIDS) và mô hình TGraphSAGE kết hợp GNN với Transformer (cho PIDS), tối ưu hóa việc phát hiện dấu vết APT trên cả tầng mạng và tầng máy chủ.
• Đóng góp về tính minh bạch của AI: Giải quyết trọn vẹn bài toán "hộp đen" trong hệ thống IDS bằng cách kết hợp XAI đa phương pháp (SHAP cho dữ liệu bảng/luồng và GNNExplainer cho dữ liệu đồ thị) cùng cơ chế kiểm chứng độ tin cậy dựa trên biểu diễn vector lớp áp chót.

---

Hạn chế và hướng nghiên cứu tiếp

1. Hạn chế

• Hệ thống được thực nghiệm và đánh giá trên các bộ dữ liệu chuẩn mô phỏng (NF-ToN-IoT và DARPA TC E3) cùng mô hình mạng SDN trong môi trường phòng thí nghiệm, chưa đánh giá toàn diện trên môi trường mạng doanh nghiệp thực tế với lưu lượng lớn và phức tạp hơn.
• Việc tính toán các giá trị giải thích sau huấn luyện (post-hoc) bằng SHAP và GNNExplainer đòi hỏi chi phí tài nguyên tính toán bổ sung nhất định khi triển khai theo thời gian thực.
• Khóa luận chủ yếu tập trung vào phát hiện và diễn giải cảnh báo, chưa tự động hóa hoàn toàn khâu cô lập và phản ứng ngăn chặn tấn công trên bộ điều khiển SDN.

2. Hướng nghiên cứu tiếp

• Tối ưu hóa thuật toán và thời gian tính toán của các phương pháp XAI nhằm đáp ứng yêu cầu giải thích theo thời gian thực trong môi trường lưu lượng mạng cao.
• Mở rộng cơ chế phản ứng tự động trong mạng SDN: tích hợp thuật toán tự động sinh và nạp flow rule lên SDN Controller để cách ly máy trạm bị xâm nhập ngay khi nhận cảnh báo tin cậy từ PIDS và NIDS.
• Nghiên cứu cơ chế chống lại các dạng tấn công đầu độc mô hình (poisoning attacks) và tấn công suy diễn dữ liệu trong quá trình huấn luyện học liên kết.

---

Giá trị tham khảo

Khóa luận là tài liệu tham khảo giá trị cho các nhóm độc giả và mục đích nghiên cứu sau:

• Sinh viên và học viên cao học ngành An toàn thông tin, Mạng máy tính & Truyền thông: Tham khảo phương pháp xây dựng hệ thống IDS nâng cao, quy trình săn tìm mối đe dọa theo khung chuẩn SANS, và kỹ thuật ứng dụng đồ thị nguồn gốc (provenance graph) trong phân tích mã độc APT.
• Nghiên cứu sinh và kỹ sư Trí tuệ nhân tạo / Khoa học dữ liệu: Tham khảo chi tiết kiến trúc kết hợp mô hình GRU&CNN, mô hình TGraphSAGE (GNN kết hợp Transformer), phương pháp huấn luyện phân tán Federated Learning (FedAvg), và cách tiếp cận toàn diện về Explainable AI (SHAP, GNNExplainer, phân tích penultimate layer).
• Kỹ sư an ninh mạng và quản trị hệ thống: Tham khảo mô hình triển khai thực tế hệ thống giám sát an ninh trên nền tảng mạng khả lập trình SDN, tích hợp hệ sinh thái SIEM Wazuh và bộ tiền xử lý dữ liệu DPE.

---

Câu hỏi thường gặp

1. Hệ thống XFedHunter giải quyết bài toán chia sẻ dữ liệu huấn luyện giữa các tổ chức/phân vùng bằng cách nào?

Hệ thống áp dụng phương pháp Học liên kết (Federated Learning) với thuật toán tổng hợp FedAvg. Thay vì gửi dữ liệu thô về máy chủ trung tâm (gây nguy cơ lộ lọt dữ liệu riêng tư), mỗi tổ chức hoặc phân vùng mạng (zone) tự huấn luyện mô hình cục bộ trên dữ liệu nội tại, sau đó chỉ gửi các tham số trọng số mô hình lên máy chủ trung tâm để tổng hợp thành mô hình chung và cập nhật ngược lại cho các bên.

2. Hai mô hình học sâu chính được sử dụng cho NIDS và PIDS trong đề tài có kiến trúc như thế nào?

Thành phần NIDS sử dụng mô hình lai giữa mạng nơ-ron hồi tiếp GRU (để nắm bắt đặc trưng phụ thuộc thời gian của luồng mạng) và mạng tích chập CNN (để trích xuất đặc trưng không gian của gói tin). Thành phần PIDS sử dụng mô hình TGraphSAGE, tích hợp mạng nơ-ron đồ thị GraphSAGE với cơ chế Transformer để học biểu diễn các quan hệ nhân quả phức tạp giữa các tiến trình, tập tin và socket mạng trên đồ thị nguồn gốc.

3. Tác giả sử dụng những kỹ thuật học máy khả giải (XAI) nào và vai trò của từng kỹ thuật là gì?

Tác giả sử dụng hai kỹ thuật chính:

• SHAP: Dựa trên giá trị Shapley để giải thích dự đoán của mô hình NIDS, xác định mức độ đóng góp của từng thuộc tính NetFlow vào quyết định phân loại.
• GNNExplainer: Trích xuất đồ thị con và các thuộc tính quan trọng nhất ảnh hưởng đến dự đoán của mô hình PIDS (TGraphSAGE), giúp trực quan hóa hành vi tấn công trên đồ thị nguồn gốc cho chuyên gia phân tích.

4. Cơ chế kiểm tra độ tin cậy của dự đoán từ hệ thống IDS được thiết kế như thế nào?

Cơ chế kiểm tra độ tin cậy hoạt động bằng cách trích xuất vector biểu diễn đặc trưng tại đầu ra của lớp áp chót (penultimate layer output) của mạng nơ-ron từ các dự đoán trong lịch sử. Bằng cách áp dụng kỹ thuật giảm chiều dữ liệu t-SNE và phân tích cụm không gian vector, hệ thống xác định mức độ tương đồng giữa dự đoán hiện tại với các mẫu đã biết, từ đó đánh giá tính chính xác và độ tin cậy của cảnh báo.

5. Hệ thống săn tìm thực tế được triển khai và kiểm thử trong môi trường nào?

Hệ thống được triển khai trên môi trường mạng khả lập trình SDN phân chia theo từng zone độc lập, tích hợp hệ thống tiền xử lý DPE, bộ điều khiển SDN Controller và nền tảng giám sát SIEM Wazuh. Tính khả thi của hệ thống được kiểm chứng qua kịch bản tấn công từ chối dịch vụ (DoS), ghi nhận log sự kiện và kích hoạt cảnh báo thành công trên giao diện tập trung của Wazuh.

---

Kết luận

Khóa luận tốt nghiệp của sinh viên Huỳnh Thái Thi và Ngô Đức Hoàng Sơn đã xây dựng thành công bộ khung XFedHunter, giải quyết hiệu quả bài toán phát hiện tấn công APT trong môi trường mạng SDN bằng cách kết hợp học liên kết và học máy khả giải. Đề tài đã thiết kế và thực nghiệm các kiến trúc học sâu chuyên biệt gồm GRU&CNN cho NIDS và TGraphSAGE cho PIDS trên hai tập dữ liệu chuẩn NF-ToN-IoT và DARPA TC E3, đồng thời làm sáng tỏ các quyết định của mô hình AI qua SHAP, GNNExplainer và phân tích lớp áp chót. Kết quả triển khai tích hợp cùng SIEM Wazuh và bộ điều khiển SDN khẳng định tính đúng đắn, khoa học và tiềm năng ứng dụng thực tiễn cao của giải pháp trong việc nâng cao năng lực săn tìm mối đe dọa chủ động.

Trích đoạn nội dung tài liệu

Chương 1: TONG QUAN ĐỀ TÀI Trin! h bày khái quát các vấn dé nghiên cứu, các công trình liên quan và định hướng nghiên cứu của khóa luận. + Chương 2: CƠ SỞ LÝ THUYẾT Trin! bày chỉ tiết các khái niệm, cơ sở lý thuyết nền tảng cần thiết để thực hiện khóa luận. + Chương 3: PHƯƠNG PHÁP THỰC HIỆN Trin! h bày chỉ tiết giải pháp được nghiên cứu. + Chương 4: THỰC NGHIEM, ĐÁNH GIÁ VÀ THẢO LUẬN Trin! h bay phương pháp thực nghiệm, đánh giá kết quả của mô hình dé xuất.

Đồng thời, hiện thực hoá hệ thống săn tìm mối de dọa được dé cập ở Chương 3. + Chương 5: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN Đưa ra kết luận về dé tài, dé xuất một số hướng phát triển mở rộng cho các nghiên cứu trong tương lai. 11 Chương 2 CƠ SỞ LÝ THUYẾT Tóm tắt chương Cơ sở lý thuyết cho khóa luận sẽ được chúng tôi trình bày trong chương này. Cụ thể như sau: tấn công APT và những mối đe dọa mà tấn công APT gây ra, và các giải pháp phát hiện APT hiệu quả như săn tìm mối de dọa chủ động, IDS và đồ thị nguồn gốc.

Cùng với đó là kiến thức về học sâu, học liên kết trong huấn luyện mô hình AI và việc cung cấp thông tin về dự đoán của hệ thống AI sử dụng học máy khả giải. Cuối cùng là kiến thức về mạng SDN cũng sẽ được chúng tôi trình bày.1 Tấn công APT 2.1 Tổng quan Với sự phát triển của công nghệ thông tin, ngày càng nhiều hệ thống được số hoá và mang lại nhiều lợi ích rõ rệt cho kinh tế, hành chính, giáo dục, y tế,. Tuy nhiên, việc số hoá dữ liệu cũng đưa ra những thách thức liên quan đến việc bảo đảm an toàn thông tin của người dùng và các tổ chức trước các cuộc tấn công mạng đang xảy ra ngày một thường xuyên hơn. Trong đó, tấn công APT được xem là mối đe dọa nguy hiểm và phức tạp nhất mà chúng ta phải đối mặt.

Các cuộc tấn công APT thường được tài trợ bởi các tổ chức có tiém lực tài nguyên đổi đào như các tập đoán, tổ chức tội phạm lớn và các tổ chức do nhà nước bảo trợ. Chúng được lên kế hoạch một cách chỉ tiết và được đầu tư rất nhiều tài nguyên về con người, tài chính, kỹ thuật và công nghệ. Với mức độ đầu tư lớn như thế, tấn công APT 12 Chương 2. CƠ SỞ LÝ THUYẾT thường sẽ nhắm vào các tổ chức có giá trị lớn như chính phủ, các tập đoàn, công ty và nhiều tổ chức khác chủ yếu với mục đích chính trị, tình báo và kinh tế.

Khác với tấn công truyền thống, thường mang tính cơ hội và xảy ra chỉ trong một khoảng thời gian ngắn, tấn công APT thường nhắm vào một mục tiêu cụ thể, diễn ra trong thời gian rất dài có thể lên tới nhiều năm và chia ra thành nhiều giai đoạn. Bên cạnh đó, các kẻ tấn công còn sử dụng nhiều kỹ thuật hiện đại và tỉnh vi nhằm che dấu sự hiện điện của mình đối với hệ thống bảo mật để thu thập nhiều thông tin nhất có thể [5], [51]. Hậu quả để lại của các cuộc tấn công này là rất nặng nề như thông tin cơ mật, sở hữu trí tuệ bị đánh cắp và cơ sở hạ tầng bị phá huỷ.12 Vòng đời Lateral Movement HÌNH 2.1: Vòng đời của tấn công APT [12] Đã có các nghiên cứu nhằm đưa ra được một vòng đời hoạt động của tấn công APT một cách chính xác nhất. Trong khóa luận này, chúng tôi sử dụng vòng đời APT được đề xuất trong [12] như trong Hình 2.

Cụ thể, vòng đời của một cuộc tấn công APT 13 Chương 2. CƠ SỞ LÝ THUYẾT được đề xuất bao gồm sáu giai đoạn theo thứ tự như sau: trinh sát và vũ khí hoá, vận chuyển, bước đầu xâm nhập, ra lệnh và kiểm soát, lan rộng, trích xuất thông tin. + Trinh sát và vũ khí hoá: Trong giai đoạn này, kẻ tấn công sẽ xác định và tìm hiểu về mục tiêu, từ đó thu thập càng nhiều thông tin về mục tiêu càng tốt, bao gồm thông tin hệ thống, công nghệ, những người nắm giữ vai trò quan trọng. Tiếp theo đó, kế hoạch tấn công sẽ được xây dựng cùng với những tài nguyên cần thiết cho việc tấn công như là các mã độc chuyên dụng, máy chủ và nhân lực.

+ Vận chuyển: Sau khi chuẩn bị, kẻ tấn công sẽ thực hiện xâm nhập vào hệ thống trực tiếp hoặc gián tiếp. Với các trực tiếp, những công cụ khai thác sẽ được gửi đến những người trong hệ thống bằng cách sử dụng các kỹ thuật như lừa đảo qua mạng hoặc là sử dụng các kỹ thuật xã hội. Đối với cách gián tiếp, kẻ tấn công sẽ âm thầm khai thác những bên thứ ba được mục tiêu tin cậy và từ đó xâm nhập vào hệ thống. + Bước đầu xâm nhập: Những công cụ đã được gửi vào hệ thống từ bước trước đó sẽ được kích hoạt và thực hiện tấn công lần đầu, thiết lập chỗ đứng của bản thân trong hệ thống và sau đó tạo các cổng giao tiếp bí mật ra bên ngoài.

+ Ra lệnh và kiểm soát: Sau khi có thể kết nối đến với máy nạn nhân, kẻ tấn công thực hiện nhiều cuộc khai thác có chủ đích vào trong hệ thống của nạn nhân. Kẻ tấn công thường lợi dụng những công cụ, dịch vụ có sẵn trong hệ thống hoặc các công cụ chính thống phổ biến nhằm đảm bảo không bị phát hiện và qua mặt các công cụ bảo mật cùng với các chuyên gia bảo mật. + Mỏrộng phạm vi: Kẻ tấn công thực hiện di chuyển trong mang để tăng khả năng kiểm soát của mình ra toàn mạng, từ đó thu thập được các thông tin có giá trị nhất. Đây là giai đoạn kéo dài khá lâu vì kẻ tấn công muốn tối ưu lượng thông tin mình có thể thu thập được, cùng với đó là phải giữ cho không bị phát hiện.

+ Trích xuất thông tin: Day là một bước quan trọng, các thông tin thu thập được sẽ được nén lại và mã hoá. Sau đó, các thông tin này sẽ được truyền dẫn qua các kênh bí mật đến máy chủ được xây dựng và kiểm soát bởi kẻ tấn công. Cách phòng chống Thật không may, các phương pháp phòng thủ truyền thống chẳng hạn như tường lửa, các phần mềm diệt virus trên các thiết bị là không đủ sức ngăn chặn tấn công APT. Chính vì vậy, các nhà nghiên cứu đang tích cực phát triển các giải pháp bảo mật hiện đại, trong số có việc sử dụng phương pháp săn tìm mối đe dọa.

Nội dung chỉ tiết sẽ được chúng tôi trình bày tại Mục 2.2 Săn tìm mối de dọa 2.1 Tổng quan về săn tìm mối đe doa Có rất nhiều phương pháp đã được nghiên cứu và sử dụng nhằm tăng khả năng bảo mật của hệ thống trước các mối đe dọa. Tuy nhiên, hầu hết chúng đều là các phương pháp giám sát, phát hiện các cuộc tấn công một cách bị động hoặc chờ đợi phản ứng lại. Đối với các cuộc tấn công kiểu mới, đặc biệt là tấn công APT, việc giám sát các dau vết để lại là rất khó khăn vì khả năng che dấu hành vi của chúng. Chính vì thế, một phương pháp chủ động hơn như là săn tìm mối đe doạ cần được sử dụng.

Săn tìm mối đe dọa là quá trình phân tích chủ động do các nhà săn tìm tiến hành để tìm kiếm các chiến thuật, kỹ thuật và thủ tục (TTP) của các mối đe dọa trong hệ thống nhằm đảm bảo ngăn chặn được các cuộc tấn công trước khi nó xảy ra, hoặc ít nhất sẽ phát hiện sớm các cuộc tấn công đang tồn tại trong hệ thống nhưng chưa bị phát hiện. Quy trình tiến hành Hình 2.2 biểu diễn quy trình tiến hành săn tim mối đe doa bao gồm sáu giai đoạn như sau: xác định mục đích, xác định phạm vi săn tìm, chuẩn bị, xem xét kế hoạch, săn tìm, phản hồi. Xác định mục đích Giai đoạn đầu tiên là xác định mục tiêu của cuộc săn tìm, và được chọn dựa trên mục đích của tổ chức tiến hành săn tìm. Trong giai đoạn này, ba vấn đề sẽ được giải quyết nhằm tìm ra hướng đi, cụ thể như sau: 15 Chương 2.

CƠ SỞ LÝ THUYẾT PURPOSE Wh ou threat FEEDBACK ent Well SCOPE Where are you wi ›uld be d what do you HÌNH 2.2: Quy trình tiến hành săn tim mối de dọa [24] + Mục đích của cuộc săn tim?: Lý do tại sao cần phải tiến hành săn tìm. * Cuộc săn tìm sẽ được diễn ra trong phạm vi nào?: Việc xác định mục tiêu cũng bao gồm phạm vi, môi trường tiến hành nhằm xác định các định và hạn chế của cuộc săn tìm. + Kết quả mong muốn đạt được khi tiến hành cuộc săn tìm?: Kết quả mong muốn phải phù hợp với các mục tiêu của tổ chức và cách tiến hành săn tìm mối đe dọa hỗ trợ giảm thiểu rủi ro ra sao. Một ví dụ cho việc tại sao cuộc săn tìm diễn ra như là khi một chức thực hiện triển khai một hệ thống mạng mới, việc tiến hành săn tìm giúp đảm bảo an toàn và tăng sự tự tin đối với hệ thống mạng mới.

Việc xác định có thể tiến hành toàn bộ hoặc một phần mạng mới tuỳ vào chiến lược của tổ chức. Cuối cùng, mục tiêu mong muốn có 16 Chương 2. CƠ SỞ LÝ THUYẾT thể là tìm ra được các lỗ hổng hay có những cuộc tấn công đã tồn tại trong hệ thống mạng mới. Xác định phạm vi săn tìm Ở giai đoạn này, từ phạm vi đã được xác định ở giai đoạn xác định mục đích, phạm vi sẽ được cụ thể hoá, như là việc xác định rõ một hệ thống hay một khu vực mạng tiến hành săn tìm.

Bên cạnh đó, các giả thuyết phù hợp với lại mục tiêu của cuộc săn tìm sẽ được được đặt ra trong giai đoạn này. Trong giai đoạn xác định mục đích săn tìm, có hai bước cần được hoàn thành tuần tự như sau: chọn ra các hệ thống được tiến hành săn tìm và phát triển giả thuyết. Tại bước chọn ra các hệ thống được tiến hành săn tìm, ta có thể bắt đầu từ việc xác định các cơ sở cụ thể, hay có thể là các mạng hay mạng con. Tiếp theo đó, phạm vi được thu hẹp bằng cách lựa chọn các hệ thống quan trọng, đảm bảo hỗ trợ mục đích tổng thể của cuộc săn lùng.

Các lỗi phổ biến bước này bao gồm việc đặt phạm vi của cuộc săn lùng quá hẹp dẫn đến bỏ qua sự hiện diện của kẻ tấn công trong môi trường.