Chương 1: TONG QUAN DE TÀI Trinh bay khái quát định hướng nghiên cứu của khóa luận mà chúng tôi muốn hướng tới. Chương 2: CÁC CÔNG TRÌNH NGHIÊN CỨU LIÊN QUAN Sơ lược một sô công trình liên quan có cùng hướng nghiên cứu mà đê tài có tham khảo. Chương 3: CƠ SỞ LY THUYET Trinh bay các định nghĩa, khái niệm cũng như những kiến thức nên tảng dé có thé thực hiện được nghiên cứu Chương 4: PHƯƠNG PHÁP THỰC HIỆN Là phần trọng tâm của khóa luận, trình bày những nôi dung chính về phương pháp thực hiện và mô hình được sử dụng. Chương 5: HIỆN THỰC VÀ ĐÁNH GIÁ Đề cập đến quá trình thực nghiệm cùng với kết quả thu được.
Đưa ra nhận xét cho những công việc đã thực hiện ở Chương 4. Chương 6: KET LUẬN VÀ HƯỚNG PHAT TRIEN Đưa ra kết luận về đê tài, đê xuât một sô hướng phát triên mở rộng cho các nghiên cứu trong tương lại Chuong2. CÁC CÔNG TRÌNH NGHIÊN CỨU LIEN QUAN 2. Cac công trình nghiên cứu liên quan Việc sử dụng GAN dé tăng cường dữ liệu đặc biệt là dữ liệu độc hại nhằm huấn luyện cải thiện khả năng phân loại dữ liệu cho IDS học máy đã được thực hiện ở trong khá nhiều các công trình nghiên cứu khác nhau.
Trong đó, có thé kế đến G-IDS [1] - một IDS hoc máy được huấn luyện cải thiện nhờ vào việc tích hợp với một mô hình GAN cơ ban dé sinh thêm dữ liệu độc hại với điều kiện chỉ giữ lại dữ liệu được sinh ra nếu nó giúp cải thiện khả năng phân loại các tấn công mà IDS còn yếu kém. Tập dữ liệu được thực nghiệm là KDD-99. Kết qua, khả năng phân loại của G-IDS là tốt hơn nhiều so với IDS độc lập (không tích hợp với GAN) ké cả khi được huấn luyện với ít dữ liệu hơn. Tuy nhiên việc tính toán khá là tốn kém cả về tài nguyên và thời gian nên cần được nghiên cứu thêm.
Tương tự, IGAN-IDS [2] cũng là một bộ khung huấn luyện cải thiện cho IDS có sử dung GAN co bản đề sinh dữ liệu tuy nhiên IGAN- IDS hướng tới việc cân băng dữ liệu cho tập dữ liệu nhiều hơn (thay vì sinh dữ liệu có chọn lọc như G-IDS), được thực nghiệm trên ba tập dữ liệu khác nhau và so sánh với 15 mô hình học máy khác nhau. Kết quả, IGAN-IDS cho thấy hiệu quả mạnh mẽ đối với các tập dữ liệu mắt cân băng. Thay vì việc chỉ sử dụng GAN cơ bản, Milad Salem và các cộng sự ở trường dai học Central Florida đã sử dụng CycleGAN [3] — một biến thể của GAN, đề cân bằng tập dữ liệu ADEA-LD qua đó huấn luyện cho một IDS học máy (CycleGAN IDS) và đánh giá hiệu năng của nó. Ngoài ra hai IDS hoc máy khác (một không sử dụng kỹ thuật gi và một sử dụng kỹ thuật SMOTE) được huấn luyện trên tập dit liệu ban đầu để so sánh với CycleGAN IDS.
Kết quả là CycleGAN đã có kết quả vượt trội hơn hai IDS còn lại. Bên cạnh đó, Cyber Deception cũng rất được quan tâm trong thời gian gần đây. Tiêu biểu có thể kế đến việc xây dựng bộ khung Decepti-SCADA [4] dé giúp chủ động hơn trong việc phòng thủ các cuộc tấn công vào các hệ thống công nghệ thông tin. Trong nhiều tình huống, người phòng thủ thường ở thế bị động vì luôn phải tìm kiếm các 16 hồng bảo mật dé vá chúng.
Tuy nhiên, các lỗ héng mới xuất hiện ngày càng đa dang và phức tap cho nên việc tìm kiếm và vá tat cả các lỗ hồng một cách nhanh chóng là hoàn toàn bat khả thi. Trong khi đó, kẻ tắn công chỉ cần tập trung vào khai thác một số lỗ hông nhát định thì đã gây thiệt hại đến hệ thong. Vì vậy bộ khung Decepti-SCADA cho phép chúng ta dé dàng triển khai các bay đặt trong hệ thống mạng thật, từ đó gây ra nhằm lẫn, và khó khăn hon trong việc tan công vào hệ thống, từ đây cũng có thê theo dõi, quan sát các chiến thuật, kỹ thuật mà kẻ tan công thực hiện. Ngoài ra, một giải pháp phát hiện và hạn chế tan công DDoS trong mạng kha lập trình được đề xuất bằng cách sử dụng một IDS tự động phát hiện một số kiểu tan công DDoS và sé thông báo cho bộ điều khiển mạng (controller).
Từ đó, controller sẽ đưa ra các quyết định xử lý cho các thiết bị mạng. Ngoài việc chỉ đánh lừa kẻ tan công, bộ khung DEEPDIG [5] được đề xuất dé nâng cao web IDS học máy với dữ liệu tan công (threat data) bắt nguồn từ các bay lừa dối (deceptive, application-later, software traps). Các bẫy lừa dối này có khả năng thu thập các lưu lượng tấn công, tự động trích xuất thuộc tính (feature extraction) va gn nhãn dé làm nguồn bồ sung dữ liệu huấn luyện cho IDS học máy. Ý nghĩa khoa học và thực tiễn của đề tài 2.
Ý nghĩa khoa học So với nghiên cứu của Milad Salem và các cộng sự ở trường đại học Central Florida [3], chúng tôi sử dụng bộ dữ liệu mới hơn dành cho network IDS là CICIDS2017 thay thé cho tập dữ liệu ADFA-LD dành cho host-based IDS. Chúng tôi đánh giá độ hiệu quả trong việc sử dụng CycleGAN dé tăng cường dữ liệu cho huấn luyện IDS và xây dựng hệ thống mạng sử dụng kỹ thuật Cyber Deception dé đánh lừa kẻ tan công và thu thập lưu lượng tan công sau đó trích xuất các thuộc tính quan trọng lưu lại thành tệp dưới định dạng CSV. Hệ thong mang su dung kỹ thuật Cyber Deception được triển khai trên mang SDN kết hợp với công nghệ docker giúp cho việc triển khai nhanh chóng tiện lợi. Chúng tôi đưa ra phương pháp tái huấn luyện IDS liên tục từ chính những lưu lượng độc hại mà hệ thống mang honeypot thu thập được và CycleGAN chuyền đồi sang dé cung cấp giải pháp trong việc tự động kiểm thử, cập nhật cũng như giúp IDS tăng cường khả năng phát hiện tắn công.
Ý nghĩa thực tiễn Mặc dù giải pháp của nhóm chi dang trong giai đoạn thử nghiệm trên môi trường giả lập nhưng có thê cho thấy được rất tiềm năng trong việc ứng dụng vào thực tiễn. Nghiên cứu có thể triển khai thành một hệ thống phòng thủ tối ưu với khả năng vừa phát hiện, hạn chế các cuộc tan công ảnh hưởng đến hệ thống công nghệ thông tin của tổ chức, vừa thu thập được lưu lượng tan công phục vụ cho quá trình tái huấn luyện IDS học máy. Mang khả lập trình (SDN) 3. Tổng quan Sự bùng né của cuộc cách mạng công nghiệp lần thứ 4, trong đó công nghệ đóng vai trò then chốt, các hoạt động chuyên dịch lên hạ tầng công nghệ thông tin ngày càng lớn.
Cùng với sự phát triển vượt bậc của Internet đã làm cho các hệ thong mang ngay cang đồ sộ, dẫn đến hệ quả là việc vận hành hệ thong trở nên khó khăn. Mang truyền thống phụ thuộc vào các giao thức định tuyến động chạy bên trong bộ định tuyến của thiết bị hạ tang mang (router, switch) hay các dịch vụ ha tang mạng như VLAN, bảo mật được xây dựng riêng biệt và độc quyền bởi các hãng sản xuất phần cứng khác nhau. SampleWetwork Securify Destgn (17229.xxx ` ` \ Remotei (Stal) aeal lên ch 09040 10. DB Server WPA 2 ENT ee Pree hao @ss Hình 3.1 Mô hình mạng truyền thống Mạng truyền thống hoạt động dựa trên việc triển khai các thiết bị mạng với nhau, và mỗi hãng sản xuất lại cung cấp một giao diện quản trị riêng gây khó khăn cho việc quan trị và tích hợp.
Ngoài ra, các công nghệ mạng độc quyên làm cho việc thay thé, bổ sung các tinh năng mới cho thiết bị gặp nhiều khó khăn. Tất cả những điều đó dẫn đến nhu cầu tập trung hóa việc quản trị, tách biệt phần điều khiển và phan xử lý dit liệu. Từ đó làm cho phần điều khién trở nên dé dàng hơn, có thé lập trình được dé tự động hóa và đơn giản trong việc quản trị. Cùng với sự phát triển của các công nghệ ảo hóa, ảo hóa thiết bị mạng đang là xu hướng nhận được nhiều quan tâm và triển khai rộng rãi với sự ra đời của kiến trúc mạng khả lập trình (Software-defined network — SDN).
SDN là một kiểu kiến trúc mạng mang lại hy vọng thay đôi những hạn chế của cơ sở hạ tang mạng truyền thống, làm cho hệ thống mạng trở nên linh hoạt hon, dé dang quản lý. Nó phân tách các quá trình điều khiển lưu lượng mang ra khỏi ha tang phan cứng, cho phép người quan trị thông qua các API dé quan trị toàn bộ hệ thống mang trên bộ điều khiến tập trung mà không cần phải vào từng thiết bị. Kiến trúc mạng khả lập trình Kiến trúc mang SDN gồm3 lớp riêng biệt: lớp ứng dụng (application layer), lớp điều khiển (control layer), lớp cơ sở hạ tang (infrastructure layer). e Application layer: là các ứng dụng hoặc các chức năng mạng như hệ thống phát hiện xâm nhập (IPS/IDS), hệ thống cân bằng tai (load-balancing), tường lửa (firewall).
Các chức năng mạng này trong kiến trúc mạng truyền thống cần sử dụng các thiết bị chuyên dụng. Trong khi với SDN là các ứng dụng phần mềm với các chức năng tương đương được triển khai kết hợp các API đo bộ điều khiển cung cấp dé quản lý việc điều khiển lưu lượng mang thay thé cho các thiết bị phần cứng truyền thống. ¢ Control Layer: Là phần mềm điều khiến toàn bộ mạng SDN tập trung. Các bộ điều khiển này là các phần mềm được lập trình.
Có khả năng tiếp nhận va phản hồi các yêu cầu từ lớp ứng dụng, cấu hình các thiết bị mạng tại lớp ứng dụng. Bộ điều khiển nằm trên máy chủ và quản lý các luồng lưu lượng mạng, và cung cấp các API dé xây dựng các ứng dụng mạng cho hệ thống. 10 e_ Infrastructure layer: bao gồm các thiết bị mạng, thực hiện chuyên tiếp, xử lý các gói tin theo sự điều khiển của control layer thông qua các giao thức như OpenFlow. APPLICATION LAYER wa CONTROL LAYER INFRASTRUCTUR LAYER Hình 3.2 Kiến trúc mang SDN Bộ điều khiển SDN quản lý tập trung các thiết bị vật lý cũng như các dịch vụ mạng, khi phần điều khiến và xử ly logic được tách rời và quản lý tập trung ở bộ điều khiến trung tâm.
Cơ chế hoạt động của mạng khả lập trình To controller OpenFlow Abstraction Layer 11 Thiết bị trong SDN sử dung Application Programming Interface (API) dé giao tiếp voi bộ điều khiến (controller), lớp trừu tượng (Abstraction layer), chức năng xử lý gói tin (Packet processing). Chuan API sử dung dé giao tiếp với controller là Openflow, hoặc các giao thức thay thế khác trong mạng SDN. Abstraction layer là một hoặc nhiều bảng chứa các luồng (flow).