Bối cảnh và vấn đề nghiên cứu

Sự bùng nổ của mạng Internet và quá trình chuyển dịch hạ tầng công nghệ thông tin đã khiến các hệ thống mạng doanh nghiệp ngày càng mở rộng quy mô và trở nên phức tạp. Đi cùng với sự phát triển này là nguy cơ thường trực từ các cuộc tấn công mạng có chủ đích (Advanced Persistent Threat - APT), các cuộc tấn công từ chối dịch vụ phân tán (DDoS), việc khai thác các lỗ hổng chưa từng được công bố (zero-day) nhằm đánh cắp dữ liệu và phá hoại hoạt động của tổ chức. Để bảo vệ hệ thống, các giải pháp phát hiện xâm nhập (Intrusion Detection System - IDS) đóng vai trò then chốt trong việc giám sát và phân tích lưu lượng mạng thời gian thực.

Tuy nhiên, các hệ thống IDS truyền thống dựa trên tập luật chữ ký (Signature-based IDS) bộc lộ nhược điểm lớn khi phụ thuộc vào cơ sở dữ liệu đã biết và hoàn toàn bất lực trước các dạng tấn công mới. Mặc dù các kỹ thuật học máy (Machine Learning - ML) và học sâu (Deep Learning - DL) đã được ứng dụng để xây dựng IDS có khả năng phát hiện các bất thường (anomalies) với độ chính xác cao, hiệu năng của mô hình học máy lại bị giới hạn nghiêm trọng bởi hai rào cản chính:

  • Tình trạng thiếu hụt dữ liệu huấn luyện: Việc thu thập dữ liệu tấn công thực tế rất tốn kém về tài chính, thời gian và công sức gán nhãn.
  • Sự mất cân bằng dữ liệu nghiêm trọng: Trong lưu lượng mạng thực tế, số lượng mẫu lưu lượng bình thường (Normal traffic) luôn chiếm đa số áp đảo, trong khi số lượng mẫu lưu lượng độc hại (Anomalous/Attack traffic) chiếm tỷ lệ rất nhỏ, dẫn đến việc mô hình bị thiên lệch và giảm khả năng nhận diện tấn công.

Để giải quyết đồng thời các thách thức trên, khóa luận đặt ra các mục tiêu và nhiệm vụ nghiên cứu cụ thể:

  1. Xây dựng và đánh giá hệ thống IDS học máy phân loại dữ liệu bình thường và độc hại trên tập dữ liệu bị mất cân bằng ban đầu CICIDS2017 (ký hiệu là Imb-IDS).
  2. Nghiên cứu, thiết kế và huấn luyện mô hình mạng sinh đối kháng vòng lặp CycleGAN nhằm chuyển đổi dữ liệu mạng bình thường sang dữ liệu độc hại giả lập, từ đó bổ sung dữ liệu tấn công để cân bằng tập huấn luyện và xây dựng mô hình IDS mới (Cycle-IDS), sau đó tiến hành so sánh hiệu năng giữa Cycle-IDS và Imb-IDS.
  3. Nghiên cứu, triển khai kỹ thuật lừa dối mạng (Cyber Deception) trên nền tảng mạng khả lập trình (Software-Defined Networking - SDN) nhằm thiết lập cơ chế phòng thủ chủ động, điều hướng kẻ tấn công vào hệ thống bẫy (Honeypot), tự động thu thập và trích xuất thuộc tính các luồng lưu lượng độc hại để bổ sung vào tập dữ liệu huấn luyện cho IDS.

Đối tượng nghiên cứu của đề tài bao gồm:

  • Tập dữ liệu lưu lượng mạng CICIDS2017.
  • Hệ thống phát hiện xâm nhập dựa trên học máy (ML-based IDS).
  • Mô hình mạng sinh đối kháng CycleGAN.
  • Kỹ thuật lừa dối mạng (Cyber Deception: Honeypots, Honeytokens, Moving Target Defense).
  • Kiến trúc mạng khả lập trình (SDN).

Phạm vi nghiên cứu:

  • Nghiên cứu tập trung vào phương pháp xây dựng, huấn luyện và đánh giá mô hình phân loại nhị phân sử dụng kiến trúc Multilayer Perceptron (MLP) trên tập dữ liệu CICIDS2017.
  • Khảo sát khả năng sinh dữ liệu độc hại dạng bảng/vector thuộc tính của CycleGAN phục vụ kỹ thuật tăng cường dữ liệu (Data Augmentation).
  • Thiết kế và triển khai thử nghiệm hệ thống phòng thủ Cyber Deception trên môi trường giả lập mạng SDN sử dụng Containernet kết hợp công nghệ Docker.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết và mô hình sử dụng

Khóa luận xây dựng nền tảng dựa trên các trụ cột công nghệ và lý thuyết học máy sau:

  1. Mạng khả lập trình (SDN): SDN tách biệt hoàn toàn mặt phẳng điều khiển (Control Layer) khỏi mặt phẳng chuyển tiếp dữ liệu (Infrastructure Layer). Bộ điều khiển tập trung (SDN Controller) quản lý toàn bộ thiết bị mạng thông qua giao thức OpenFlow và các giao diện lập trình ứng dụng Nam/Bắc (Southbound/Northbound APIs). Các switch xử lý gói tin dựa trên bảng luồng (Flow Table) gồm các trường so khớp (Match fields) và hành động xử lý (Action).
  2. Kỹ thuật lừa dối mạng (Cyber Deception): Cơ chế phòng thủ chủ động nhằm làm rối loạn bề mặt tấn công của hệ thống, bao gồm:
    • Honeypots: Hệ thống bẫy mô phỏng môi trường thật (chia thành Research Honeypots và Production Honeypots).
    • Honeytokens: Các tài nguyên mồi nhử như tài khoản, mật khẩu, cơ sở dữ liệu hoặc tập tin quan trọng giả lập.
    • Moving Target Defense (MTD): Cơ chế ngẫu nhiên hóa và thay đổi cấu hình mạng liên tục theo 4 khía cạnh: Làm mờ IP (IP Obfuscation), làm mờ hệ điều hành (OS Obfuscation), hệ thống động (Dynamic System), và phần mềm động (Dynamic Software).
  3. Mạng sinh đối kháng vòng lặp (CycleGAN): Khung học không giám sát có khả năng chuyển đổi dữ liệu giữa hai miền $A$ (dữ liệu bình thường) và $B$ (dữ liệu tấn công) mà không cần dữ liệu bắt cặp tương ứng (unpaired data). CycleGAN sử dụng hai bộ sinh ($G: A \rightarrow B$, $F: B \rightarrow A$) với kiến trúc ResNet (gồm các khối tích chập, 9 khối residual block và các khối giải tích chập) cùng hai bộ phân biệt ($D_A, D_B$) sử dụng kiến trúc PatchGAN. Mô hình tối ưu hóa qua ba hàm mất mát:
    • Adversarial Loss: Đảm bảo dữ liệu sinh ra có phân phối tiệm cận dữ liệu miền mục tiêu.
    • Cycle-consistency Loss: Đảm bảo tính bảo toàn cấu trúc khi chuyển đổi khứ hồi ($F(G(a)) \approx a$ và $G(F(b)) \approx b$).
    • Identity Loss: Đảm bảo giữ nguyên các đặc trưng không cần biến đổi của dữ liệu gốc.
  4. Hệ thống phát hiện xâm nhập học máy (IDS): Sử dụng kiến trúc Multilayer Perceptron (MLP) gồm các lớp kết nối đầy đủ (Dense Layers) huấn luyện qua thuật toán lan truyền ngược (Backpropagation) và thuật toán tối ưu hóa Gradient Descent.

Phương pháp nghiên cứu và nguồn dữ liệu

  • Phương pháp thực nghiệm và đánh giá: Dữ liệu được chia thành tập huấn luyện (Training Set), tập thẩm định (Validation Set) và tập kiểm tra (Test Set). Mô hình được đánh giá toàn diện qua các chỉ số: Độ chính xác (Accuracy), Độ chuẩn xác (Precision), Độ thu hồi (Recall), Điểm F1 ($F_1\text{-score}$), Diện tích dưới đường cong ROC (ROC-AUC) và Diện tích dưới đường cong Precision-Recall (AUPRC).
  • Nguồn dữ liệu thực nghiệm:
    • Tập dữ liệu benchmark CICIDS2017: Dữ liệu mạng bao gồm lưu lượng bình thường và các dạng tấn công hiện đại, được trích xuất bởi công cụ CICFlowMeter.
    • Dữ liệu lưu lượng tấn công thu thập thực nghiệm: Thu thập trực tiếp từ các luồng tấn công bằng công cụ hping2/hping3 chuyển hướng vào mạng Honeypot trong môi trường giả lập.

Thiết kế và triển khai

Hệ thống được thiết kế theo mô hình kết hợp phòng thủ chủ động và tự động tái huấn luyện IDS, tích hợp các mô-đun chức năng như sau:

Thành phần hệ thống Công nghệ / Công cụ triển khai Chức năng chi tiết trong hệ thống
Môi trường giả lập mạng Containernet, Docker Khởi tạo mô hình mạng SDN gồm các OpenFlow switch, chia thành 2 phân vùng: VLAN A (mạng bảo vệ) và VLAN B (mạng bẫy Honeypot).
Bộ điều khiển SDN Ryu / SDN Controller Application Tiếp nhận cảnh báo, quản lý bảng luồng và thực hiện điều hướng luồng dữ liệu tấn công từ VLAN A sang VLAN B.
Phát hiện & Chuyển tiếp cảnh báo Snort IDS, Chương trình pigreplay Snort giám sát lưu lượng; pigreplay lắng nghe các cảnh báo từ Snort để gửi thông báo tức thời về bộ điều khiển Controller.
Trích xuất thuộc tính CICFlowMeter Bắt gói tin lưu lượng tấn công trên mạng bẫy và tự động trích xuất các thuộc tính luồng mạng, xuất ra tệp định dạng CSV.
Giám sát nhật ký tập trung (SOC) ELK Stack (Elasticsearch, Logstash, Kibana, Filebeat) Thu thập, phân tích và trực quan hóa toàn bộ nhật ký hoạt động mạng, cảnh báo Snort và hành vi của kẻ tấn công.
Tăng cường dữ liệu Mô hình CycleGAN (ResNet + PatchGAN) Học phân phối dữ liệu và chuyển đổi dữ liệu bình thường từ tập khuôn mẫu (Template data) sang dữ liệu tấn công giả lập (Generated data).
Mô hình phân loại IDS Multilayer Perceptron (MLP) Phân loại luồng lưu lượng thành hai lớp (Bình thường / Tấn công); so sánh giữa Imb-IDS và Cycle-IDS.

Quy trình hoạt động tổng thể

  1. Phòng thủ và thu thập: Khi kẻ tấn công thâm nhập vào hệ thống mạng VLAN A, Snort IDS phát hiện dấu hiệu bất thường và gửi cảnh báo qua pigreplay đến SDN Controller. Controller lập tức đẩy luật dòng (Flow rule) xuống switch để chuyển hướng toàn bộ lưu lượng của kẻ tấn công sang vùng bẫy Honeypot ở VLAN B. Tại đây, công cụ CICFlowMeter thu thập lưu lượng, tự động trích xuất các thuộc tính và ghi vào tệp CSV (Extracted file).
  2. Cập nhật dữ liệu: Sau chu kỳ thời gian định kỳ $T_1$, dữ liệu từ Extracted file được nạp vào tập dữ liệu biến động (Transformed dataset). CycleGAN được kích hoạt huấn luyện lại trên tập dữ liệu mới này.
  3. Sinh dữ liệu và tái huấn luyện: Theo chu kỳ định thời $T_2$ ($T_2 < T_1$), hệ thống chọn trọng số tối ưu nhất của CycleGAN (nơi có tổng mất mát nhỏ nhất), lấy một phần dữ liệu bình thường làm khuôn mẫu (Template data) để sinh ra tập dữ liệu tấn công giả (Generated data). Tập dữ liệu huấn luyện sau đó được cân bằng lại và dùng để huấn luyện mô hình Cycle-IDS. Nếu Cycle-IDS đạt hiệu năng vượt trội hơn Imb-IDS trên tập kiểm tra, mô hình mới sẽ được cập nhật vào hệ thống.

Nội dung chính theo từng chương

Chương 1. Tổng quan đề tài

Chương mở đầu phân tích tính cấp thiết của an toàn thông tin trong kỷ nguyên số, chỉ rõ rào cản mất cân bằng dữ liệu của IDS học máy và đưa ra định hướng kết hợp giữa kỹ thuật Cyber Deception (thu thập dữ liệu thật không tốn công gán nhãn) và CycleGAN (tạo dữ liệu giả từ dữ liệu không bắt cặp). Tác giả xác định rõ ràng 3 mục tiêu nghiên cứu, 5 đối tượng nghiên cứu, phạm vi ứng dụng kiến trúc MLP trên tập CICIDS2017 cùng cấu trúc tổng thể gồm 6 chương của khóa luận.

Chương 2. Các công trình nghiên cứu liên quan

Tác giả tổng thuật và so sánh các nghiên cứu tiêu biểu về ứng dụng GAN và Cyber Deception:

  • Nghiên cứu G-IDS sử dụng GAN cơ bản sinh dữ liệu có chọn lọc trên tập KDD-99 nhưng chi phí tính toán cao.
  • Bộ khung IGAN-IDS áp dụng GAN để cân bằng dữ liệu trên 3 tập dữ liệu khác nhau.
  • Nghiên cứu của Milad Salem và cộng sự tại Đại học Central Florida sử dụng CycleGAN để cân bằng tập dữ liệu host-based ADFA-LD và chứng minh hiệu quả vượt trội so với kỹ thuật SMOTE.
  • Các bộ khung Decepti-SCADA và DEEPDIG ứng dụng kỹ thuật lừa dối để phòng thủ chủ động và trích xuất thuộc tính dữ liệu đe dọa (threat data). Từ đó, tác giả chỉ ra điểm mới của đề tài: áp dụng CycleGAN trên bộ dữ liệu network-based mới hơn là CICIDS2017, kết hợp hạ tầng mạng SDN ảo hóa bằng Docker và đề xuất quy trình tự động tái huấn luyện IDS liên tục.

Chương 3. Cơ sở lý thuyết

Chương này cung cấp hệ thống lý thuyết toàn diện:

  • Cấu trúc mạng SDN 3 lớp (Ứng dụng, Điều khiển, Cơ sở hạ tầng), cơ chế bảng luồng OpenFlow và 4 tính năng quản lý cốt lõi của Controller.
  • Nguyên lý kỹ thuật Cyber Deception (Honeypots, Honeytokens) và 4 giải pháp Moving Target Defense (Làm mờ IP, làm mờ OS, hệ thống động, phần mềm động).
  • Cơ sở học máy và học sâu: Quy trình phân chia dữ liệu, tiền xử lý (Vector hóa, chuẩn hóa, xử lý giá trị thiếu, feature engineering), hiện tượng Overfitting/Underfitting, cấu trúc mạng MLP.
  • Nguyên lý GAN và biến thể CycleGAN: Cấu trúc chi tiết các khối mạng ResNet của Generator, PatchGAN của Discriminator, cùng các hàm mất mát Adversarial Loss, Forward/Backward Cycle-consistency Loss và Identity Loss.
  • Lý thuyết IDS học máy: Các chỉ số ma trận nhầm lẫn (TP, FP, TN, FN), Accuracy, Precision, Recall, F1-score, ROC-AUC, AUPRC và các phương pháp giải quyết mất cân bằng dữ liệu (Class weight, Undersampling, Oversampling).

Chương 4. Phương pháp thực hiện

Trọng tâm chương 4 tập trung vào bản vẽ thiết kế quy trình và kiến trúc hệ thống kết hợp:

  • Phân tích chi tiết quy trình luân chuyển dữ liệu: Từ tập huấn luyện ban đầu tạo ra Transformed dataset, định kỳ $T_1$ bổ sung dữ liệu tấn công từ Honeypot, định kỳ $T_2$ nạp trọng số tối ưu của CycleGAN để sinh dữ liệu giả từ Template data và tái huấn luyện mô hình.
  • Phân tích thiết kế mạng SDN phân tách VLAN A (máy chủ thật) và VLAN B (Honeypot bẫy), cơ chế phối hợp giữa Snort IDS, công cụ trích xuất và hệ thống SOC quản lý log tập trung.
  • Thiết kế mô hình CycleGAN xử lý dữ liệu luồng mạng và quy trình tiền xử lý chia nhỏ tập dữ liệu CICIDS2017.

Chương 5. Hiện thực và đánh giá

Chương 5 trình bày toàn bộ quá trình hiện thực hóa thiết kế trên môi trường thử nghiệm:

  • Triển khai mô hình mạng ảo hóa bằng Containernet với các Docker image, cấu hình kịch bản tấn công bằng hping2/hping3, kiểm tra hoạt động của module pigreplay, Snort IDS và hệ thống ELK Stack (trạng thái hoạt động của Elasticsearch, Logstash, Kibana, Filebeat).
  • Tiền xử lý dữ liệu CICIDS2017 và tiến hành huấn luyện mô hình CycleGAN qua 80 epoch, trực quan hóa và ghi nhận sự biến thiên của các hàm mất mát ($G$, $F$, $D_X$, $D_Y$, Total Loss).
  • Sinh dữ liệu độc hại giả để cân bằng tập dữ liệu huấn luyện, tiến hành tái huấn luyện mô hình IDS cấu trúc MLP và đánh giá hiệu năng so sánh với mô hình IDS cơ sở trên nhiều kích thước tập dữ liệu khác nhau.

Chương 6. Kết luận và hướng phát triển

Tóm lược các kết quả đạt được về mặt xây dựng hệ thống phòng thủ trên SDN và cải thiện độ chính xác của IDS học máy thông qua CycleGAN, đồng thời chỉ ra các hạn chế và đề xuất hướng mở rộng nghiên cứu.

Kết quả và đóng góp

Kết quả thực nghiệm chính

Khóa luận đã chứng minh tính khả thi và hiệu quả của giải pháp thông qua các kết quả cụ thể:

  1. Hiệu quả hệ thống Cyber Deception trên SDN:

    • Hệ thống tự động phát hiện và chuyển hướng thành công lưu lượng tấn công mạng từ VLAN bảo vệ sang VLAN bẫy Honeypot mà kẻ tấn công không nhận biết được.
    • Trích xuất thành công các thuộc tính luồng mạng của kẻ tấn công bằng CICFlowMeter thành tệp CSV phục vụ tăng cường dữ liệu.
    • Hệ thống SOC với ELK Stack ghi nhận, hiển thị trực quan và quản lý tập trung toàn bộ log tấn công thời gian thực.

  2. Hiệu quả tăng cường dữ liệu của CycleGAN:

    • Mô hình CycleGAN sau quá trình huấn luyện 80 epoch đã học được cách chuyển đổi dữ liệu bình thường sang dữ liệu tấn công giả lập có phân phối sát với dữ liệu thật.
    • Mô hình Cycle-IDS (được huấn luyện trên tập dữ liệu cân bằng có bổ sung dữ liệu sinh từ CycleGAN) đạt hiệu năng phân loại vượt trội so với Imb-IDS (huấn luyện trên tập mất cân bằng ban đầu), đặc biệt ở các chỉ số đánh giá dữ liệu mất cân bằng như AUPRC, Điểm F1 ($F_1\text{-score}$) và Độ thu hồi (Recall).
Mô hình đánh giá Tập dữ liệu huấn luyện Mục tiêu đánh giá chính Kết quả thể hiện qua các metrics
Imb-IDS Tập dữ liệu gốc CICIDS2017 (Bị mất cân bằng) Mô hình cơ sở so sánh Độ thu hồi (Recall) và AUPRC ở mức thấp do thiếu mẫu độc hại; dễ bỏ sót tấn công (False Negatives cao).
Cycle-IDS Tập dữ liệu cân bằng (Bổ sung dữ liệu từ CycleGAN) Đánh giá hiệu quả tăng cường dữ liệu Cải thiện rõ rệt AUPRC, F1-score và Recall; giảm tỷ lệ False Negatives, duy trì độ chính xác cao.

Giải pháp và kiến nghị đề xuất

  • Đề xuất mô hình tích hợp đồng thời hai cơ chế tăng cường dữ liệu: Thu thập lưu lượng tấn công thực tế thông qua bẫy Cyber Deception và tạo dữ liệu tấn công nhân tạo thông qua mạng CycleGAN.
  • Thiết lập quy trình tái huấn luyện định kỳ ($T_1, T_2$) giúp IDS liên tục thích ứng và cập nhật các mẫu dữ liệu mới.

Đóng góp so với các nghiên cứu trước

  • Bộ dữ liệu hiện đại: Khác với nghiên cứu của Milad Salem và cộng sự (sử dụng tập ADFA-LD dành cho Host-based IDS) hay G-IDS (dùng tập KDD-99 đã cũ), khóa luận ứng dụng thành công CycleGAN trên bộ dữ liệu Network-based hiện đại CICIDS2017.
  • Tính tự động và tiết kiệm tài nguyên: Giải quyết bài toán sinh dữ liệu không cần cặp tương ứng (unpaired data), đồng thời tự động hóa hoàn toàn khâu thu thập và gán nhãn lưu lượng tấn công thông qua mạng Honeypot trên nền tảng SDN.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế được ghi nhận

  • Thử nghiệm hệ thống Cyber Deception mới chỉ dừng lại ở quy mô môi trường giả lập (Containernet/Docker) với các kịch bản tấn công cơ bản (như sử dụng hping2/hping3), chưa được đánh giá trên hạ tầng mạng vật lý quy mô lớn của doanh nghiệp.
  • Quá trình huấn luyện CycleGAN đòi hỏi tài nguyên tính toán và thời gian đáng kể để đạt được trạng thái hội tụ tối ưu.

Hướng phát triển trong tương lai

  • Mở rộng triển khai và thử nghiệm mô hình trên hệ thống mạng vật lý thực tế với nhiều phân vùng mạng phức tạp hơn.
  • Thử nghiệm và đánh giá mô hình với đa dạng các hình thức tấn công mạng tinh vi khác nhau (tấn công APT nhiều giai đoạn, các biến thể mã độc mới).
  • Cải tiến và tối ưu hóa kiến trúc bộ sinh (Generator) và bộ phân biệt (Discriminator) của CycleGAN để tăng tốc độ huấn luyện và độ chân thực của dữ liệu luồng mạng sinh ra.
  • Hoàn thiện hệ thống tự động hóa khép kín toàn diện cho quy trình kiểm thử và tái huấn luyện liên tục (Continuous Re-training Pipeline).

Giá trị tham khảo

Tài liệu khóa luận mang lại giá trị học thuật và thực tiễn cao cho các đối tượng sau:

  • Sinh viên và học viên chuyên ngành An toàn thông tin, Mạng máy tính: Là tài liệu tham khảo chi tiết về cách thức triển khai mạng SDN (OpenFlow, Controller) kết hợp kỹ thuật bẫy Cyber Deception (Honeypots, MTD) và xây dựng hệ thống SOC với ELK Stack.
  • Người nghiên cứu ứng dụng Trí tuệ nhân tạo trong An ninh mạng: Cung cấp phương pháp luận hoàn chỉnh về tiền xử lý dữ liệu mạng (CICIDS2017), kỹ thuật sử dụng CycleGAN để sinh dữ liệu bảng/vector thuộc tính không bắt cặp, cùng phương pháp đánh giá mô hình phân loại trên dữ liệu mất cân bằng thông qua các chỉ số chuyên biệt (AUPRC, F1-score).
  • Kỹ sư vận hành hệ thống: Tham khảo kiến trúc điều hướng lưu lượng tự động bằng SDN Controller khi có cảnh báo từ IDS, giúp giảm thiểu rủi ro cho các máy chủ dịch vụ thực tế.

Câu hỏi thường gặp

1. Tại sao nhóm tác giả lựa chọn CycleGAN thay vì mô hình GAN cơ bản để tăng cường dữ liệu cho IDS?

GAN cơ bản đòi hỏi vector nhiễu ngẫu nhiên hoặc các cặp dữ liệu tương ứng chính xác giữa hai miền. Trong lưu lượng mạng, dữ liệu bình thường và dữ liệu tấn công không tồn tại dưới dạng các cặp bắt đôi tương ứng từng mẫu một. CycleGAN là mô hình học không giám sát có khả năng học ánh xạ chuyển đổi phân phối giữa hai tập dữ liệu độc lập (unpaired data), cho phép lấy trực tiếp các mẫu dữ liệu bình thường làm khuôn mẫu để biến đổi thành dữ liệu tấn công độc hại giả lập.

2. Hai chu kỳ thời gian $T_1$ và $T_2$ trong quy trình hoạt động của hệ thống đóng vai trò gì?

Chu kỳ $T_1$ là khoảng thời gian định kỳ để hệ thống lấy dữ liệu tấn công mới thu thập được từ tệp trích xuất (Extracted file) của Honeypot nạp vào tập dữ liệu biến động (Transformed dataset) và huấn luyện lại CycleGAN. Chu kỳ $T_2$ ($T_2 < T_1$) là khoảng thời gian định thời để hệ thống tải các trọng số tối ưu nhất của CycleGAN, sinh ra dữ liệu tấn công giả lập từ tập dữ liệu khuôn mẫu (Template data) và tiến hành tái huấn luyện, đánh giá mô hình IDS.

3. Hệ thống chuyển hướng lưu lượng của kẻ tấn công sang Honeypot bằng cơ chế nào?

Hệ thống sử dụng Snort IDS để giám sát lưu lượng mạng. Khi phát hiện hành vi tấn công vào máy chủ thuộc VLAN A, Snort ghi nhận cảnh báo; chương trình pigreplay sẽ đọc cảnh báo này và gửi thông tin về bộ điều khiển SDN Controller. Controller sau đó thực thi chính sách quản lý luồng, đẩy luật dòng mới xuống OpenFlow Switch để chuyển hướng toàn bộ các gói tin tiếp theo của kẻ tấn công sang hệ thống máy chủ bẫy (Honeypot) nằm ở VLAN B.

4. Các chỉ số nào được ưu tiên sử dụng để so sánh hiệu năng giữa Imb-IDS và Cycle-IDS, và vì sao?

Khóa luận tập trung vào hai chỉ số chính là AUPRC (Area Under Precision-Recall Curve) và Điểm F1 ($F_1\text{-score}$) bên cạnh Recall và ma trận nhầm lẫn (TP, FP, TN, FN). Do tập dữ liệu huấn luyện mạng bị mất cân bằng nghiêm trọng (lưu lượng bình thường chiếm đa số), chỉ số Accuracy thông thường không phản ánh chính xác năng lực phát hiện tấn công. AUPRC và F1-score đánh giá chính xác sự cân bằng giữa Precision (độ chuẩn xác) và Recall (khả năng không bỏ sót tấn công), giúp đo lường mức độ cải thiện thực chất của mô hình khi được bổ sung dữ liệu từ CycleGAN.

Kết luận

Khóa luận tốt nghiệp của tác giả Cao Bá Kiệt và Phạm Lâm Khê đã giải quyết thành công bài toán thiếu hụt và mất cân bằng dữ liệu trong huấn luyện hệ thống phát hiện xâm nhập học máy bằng giải pháp kết hợp giữa kỹ thuật phòng thủ chủ động Cyber Deception trên mạng SDN và mô hình tăng cường dữ liệu CycleGAN. Hệ thống thực nghiệm đã chứng minh khả năng tự động chuyển hướng lưu lượng độc hại sang mạng bẫy Honeypot để trích xuất thuộc tính thời gian thực, đồng thời CycleGAN giúp sinh thêm dữ liệu tấn công giả lập chất lượng cao, nâng cao rõ rệt các chỉ số AUPRC, F1-score và Recall của mô hình phân loại IDS cấu trúc MLP. Toàn bộ quy trình từ thiết kế kiến trúc mạng, xây dựng pipeline dữ liệu đến phương pháp tái huấn luyện định kỳ đã cung cấp một mô hình tham khảo hoàn chỉnh, giàu giá trị khoa học và thực tiễn cho lĩnh vực an toàn thông tin mạng.