Luận Án Tiến Sĩ Nghiên Cứu Kỹ Thuật Phát Hiện DGA Botnet

Luận án tiến sĩ nghiên cứu nghiên cứu các kỹ thuật phát hiện dga botnet, phát triển phương pháp mới, đánh giá hiệu quả ứng dụng trong lĩnh vực kỹ thuật tại Việt Nam.

• Tác giả: Vũ Xuân Hạnh
• Người hướng dẫn: PGS. Hoàng Xuân Dậu
• Trường học: Học Viện Công Nghệ Bưu Chính Viễn Thông
• Chuyên ngành: Hệ Thống Thông Tin
• Đề tài: Nghiên Cứu Các Kỹ Thuật Phát Hiện DGA Botnet
• Loại tài liệu: Luận Án Tiến Sĩ Kỹ Thuật
• Năm xuất bản: 2022
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• MỤC LỤC
• DANH MỤC BẢNG BIỂU
• DANH MỤC HÌNH VẼ
• DANH MỤC CÔNG THỨC
• DANH MỤC CÁC TỪ VIẾT TẮT
• PHẦN MỞ ĐẦU
• 1. CHƯƠNG 1: TỔNG QUAN VỀ BOTNET VÀ PHÁT HIỆN BOTNET
• 1.1. TỔNG QUAN VỀ BOTNET
• 1.2. Khái quát về botnet và phương thức hoạt động
• 1.3. Phân loại botnet
• 1.4. Lịch sử phát triển của botnet
• 1.5. Tác hại và các dạng khai thác botnet
• 1.6. PHÁT HIỆN BOTNET
• 1.7. Khát quát về phát hiện botnet
• 1.8. Các kỹ thuật phát hiện botnet
• 1.9. Một số giải pháp, công cụ phát hiện botnet
• 1.10. KHÁI QUÁT VỀ HỌC MÁY VÀ CÁC THUẬT TOÁN SỬ DỤNG
• 1.11. Giới thiệu về học máy
• 1.12. Một số thuật toán học máy có giám sát
• 1.13. CÁC TẬP DỮ LIỆU CHO PHÁT HIỆN BOTNET SỬ DỤNG
• 1.14. Tập dữ liệu Netlab360
• 1.15. Các tập dữ liệu khác được sử dụng
• 1.16. HƯỚNG NGHIÊN CỨU CỦA LUẬN ÁN
• 1.17. Các vấn đề giải quyết trong luận án
• 1.18. KẾT LUẬN CHƯƠNG
• 2. CHƯƠNG 2: PHÁT HIỆN DGA BOTNET DỰA TRÊN HỌC MÁY SỬ DỤNG CÁC ĐẶC TRƯNG KÝ TỰ VÀ TỪ
• 2.1. DGA BOTNET VÀ CƠ CHẾ KHAI THÁC HỆ THỐNG DNS
• 2.2. Khái quát về DGA botnet. Cơ chế DGA botnet khai thác hệ thống DNS
• 2.3. PHÁT HIỆN DGA BOTNET DỰA TRÊN CÁC ĐẶC TRƯNG KÝ TỰ
• 2.4. Các phương pháp phát hiện DGA botnet
• 2.5. Giới thiệu mô hình phát hiện CDM
• 2.6. Tập dữ liệu huấn luyện và kiểm thử. Tiền xử lý dữ liệu
• 2.7. Thử nghiệm và kết quả
• 2.8. PHÁT HIỆN WORD-BASED DGA BOTNET
• 2.9. Các phương pháp phát hiện word-based DGA botnet
• 2.10. Giới thiệu mô hình WDM
• 2.11. Tập dữ liệu thử nghiệm
• 2.12. Tiền xử lý dữ liệu
• 2.13. Thử nghiệm và kết quả
• 2.14. KẾT LUẬN CHƯƠNG
• 3. CHƯƠNG 3: PHÁT HIỆN DGA BOTNET DỰA TRÊN HỌC KẾT HỢP
• 3.1. KHÁI QUÁT VỀ HỌC KẾT HỢP
• 3.2. Kỹ thuật học kết hợp đơn giản
• 3.3. Kỹ thuật học kết hợp nâng cao
• 3.4. CÁC PHƯƠNG PHÁP PHÁT HIỆN BOTNET DỰA TRÊN HỌC KẾT HỢP
• 3.5. Các phương pháp phát hiện DGA botnet dựa trên học kết hợp
• 3.6. Ưu và nhược điểm của các đề xuất phát hiện botnet dựa trên học kết hợp
• 3.7. MÔ HÌNH PHÁT HIỆN DGA BOTNET DỰA TRÊN HỌC KẾT HỢP
• 3.8. Giới thiệu mô hình
• 3.9. Tập dữ liệu huấn luyện và kiểm thử. Tiền xử lý, huấn luyện và phát hiện
• 3.10. KẾT LUẬN CHƯƠNG
• DANH MỤC CÁC CÔNG TRÌNH CÔNG BỐ
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Kỹ Thuật Phát Hiện DGA Botnet

Kỹ thuật phát hiện DGA botnet đang trở thành một trong những lĩnh vực nghiên cứu quan trọng trong an ninh mạng. DGA (Domain Generation Algorithm) là một phương pháp mà các botnet sử dụng để tạo ra tên miền ngẫu nhiên nhằm tránh bị phát hiện. Việc hiểu rõ về DGA và các phương pháp phát hiện là rất cần thiết để bảo vệ hệ thống thông tin. Nghiên cứu này sẽ cung cấp cái nhìn tổng quan về các kỹ thuật hiện có và tầm quan trọng của chúng trong việc phát hiện botnet.

1.1. Khái Niệm Về DGA và Botnet

DGA là thuật toán sinh tên miền, cho phép botnet tạo ra hàng triệu tên miền khác nhau. Điều này giúp botnet duy trì khả năng hoạt động ngay cả khi một số tên miền bị chặn. Hiểu rõ về DGA là bước đầu tiên trong việc phát hiện và ngăn chặn botnet.

1.2. Tầm Quan Trọng Của Phát Hiện Botnet

Phát hiện botnet là rất quan trọng để bảo vệ hệ thống khỏi các cuộc tấn công. Các botnet có thể gây ra thiệt hại lớn cho tổ chức và cá nhân. Việc phát hiện sớm giúp giảm thiểu rủi ro và bảo vệ thông tin nhạy cảm.

II. Thách Thức Trong Việc Phát Hiện DGA Botnet

Việc phát hiện DGA botnet gặp nhiều thách thức do tính chất phức tạp và khả năng ẩn mình của chúng. Các botnet thường sử dụng các kỹ thuật mã hóa và phân tán để tránh bị phát hiện. Điều này làm cho việc phát hiện trở nên khó khăn hơn. Nghiên cứu này sẽ phân tích các thách thức chính trong việc phát hiện botnet và đề xuất các giải pháp khả thi.

2.1. Tính Phức Tạp Của DGA

DGA có thể tạo ra hàng triệu tên miền khác nhau trong một khoảng thời gian ngắn. Điều này làm cho việc theo dõi và phát hiện trở nên khó khăn. Các phương pháp truyền thống không thể theo kịp tốc độ thay đổi của các tên miền này.

2.2. Kỹ Thuật Ẩn Mình Của Botnet

Botnet thường sử dụng các kỹ thuật ẩn mình như mã hóa và phân tán để tránh bị phát hiện. Điều này làm cho việc phát hiện trở nên phức tạp hơn, yêu cầu các phương pháp phát hiện tiên tiến hơn.

III. Phương Pháp Phát Hiện DGA Botnet Hiệu Quả

Nghiên cứu đã chỉ ra rằng việc sử dụng các phương pháp học máy có thể cải thiện đáng kể khả năng phát hiện DGA botnet. Các mô hình học máy có thể học từ dữ liệu và phát hiện các mẫu bất thường trong lưu lượng mạng. Điều này giúp phát hiện botnet một cách hiệu quả hơn. Nghiên cứu này sẽ trình bày các phương pháp chính được sử dụng trong phát hiện DGA botnet.

3.1. Sử Dụng Học Máy Trong Phát Hiện

Học máy cho phép xây dựng các mô hình phát hiện dựa trên dữ liệu lịch sử. Các mô hình này có thể phát hiện các mẫu bất thường trong lưu lượng mạng, từ đó phát hiện botnet một cách hiệu quả.

3.2. Phân Tích Lưu Lượng Mạng

Phân tích lưu lượng mạng là một trong những phương pháp hiệu quả để phát hiện botnet. Bằng cách theo dõi các truy vấn DNS và lưu lượng mạng, có thể phát hiện các hoạt động bất thường liên quan đến botnet.

IV. Ứng Dụng Thực Tiễn Của Kỹ Thuật Phát Hiện DGA Botnet

Các kỹ thuật phát hiện DGA botnet đã được áp dụng trong nhiều lĩnh vực khác nhau, từ bảo mật mạng đến phân tích mã độc. Việc áp dụng các phương pháp này giúp các tổ chức bảo vệ hệ thống của mình khỏi các cuộc tấn công. Nghiên cứu này sẽ trình bày một số ứng dụng thực tiễn của các kỹ thuật phát hiện botnet.

4.1. Bảo Mật Mạng

Các kỹ thuật phát hiện DGA botnet được sử dụng để bảo vệ mạng khỏi các cuộc tấn công. Việc phát hiện sớm giúp ngăn chặn các cuộc tấn công trước khi chúng xảy ra.

4.2. Phân Tích Mã Độc

Phân tích mã độc là một ứng dụng quan trọng của các kỹ thuật phát hiện botnet. Việc phát hiện botnet giúp các nhà nghiên cứu hiểu rõ hơn về cách thức hoạt động của mã độc và tìm ra các biện pháp ngăn chặn hiệu quả.

V. Kết Luận Về Kỹ Thuật Phát Hiện DGA Botnet

Kỹ thuật phát hiện DGA botnet đóng vai trò quan trọng trong việc bảo vệ hệ thống thông tin. Mặc dù còn nhiều thách thức, nhưng với sự phát triển của công nghệ học máy, khả năng phát hiện botnet ngày càng được cải thiện. Nghiên cứu này đã chỉ ra rằng việc áp dụng các phương pháp hiện đại có thể giúp phát hiện botnet một cách hiệu quả hơn. Tương lai của nghiên cứu này hứa hẹn sẽ mang lại nhiều giải pháp mới cho vấn đề an ninh mạng.

5.1. Tương Lai Của Phát Hiện Botnet

Tương lai của phát hiện botnet sẽ phụ thuộc vào sự phát triển của công nghệ học máy và các phương pháp mới. Việc nghiên cứu và phát triển các giải pháp mới là rất cần thiết để đối phó với các mối đe dọa ngày càng tinh vi.

5.2. Đề Xuất Nghiên Cứu Tiếp Theo

Nghiên cứu tiếp theo nên tập trung vào việc cải thiện độ chính xác của các mô hình phát hiện và giảm thiểu tỷ lệ cảnh báo sai. Điều này sẽ giúp nâng cao hiệu quả của các giải pháp phát hiện botnet trong thực tế.

Nội dung chính

Tổng quan luận án

Công trình nghiên cứu "Nghiên cứu các kỹ thuật phát hiện DGA botnet" do nghiên cứu sinh Vũ Xuân Hạnh thực hiện dưới sự hướng dẫn khoa học của PGS. Hoàng Xuân Dậu và TS. Ngô Quốc Dũng, thuộc chuyên ngành Hệ thống thông tin (mã số: 9.04), bảo vệ tại Học viện Công nghệ Bưu chính Viễn thông năm 2022. Luận án giải quyết bài toán phát hiện các mạng máy tính ma (botnet) sử dụng thuật toán sinh tên miền tự động (Domain Generation Algorithms - DGA) nhằm duy trì kênh liên lạc chỉ huy và điều khiển (Command and Control - CnC).

Tính cấp thiết và khoảng trống nghiên cứu

Trong an ninh mạng hiện đại, botnet là một trong những mối đe dọa thường trực đối với hạ tầng thông tin, liên quan trực tiếp đến các cuộc tấn công từ chối dịch vụ phân tán (DDoS), phát tán thư rác, truyền bá mã độc, phần mềm gián điệp, đánh cắp danh tính và tấn công có chủ đích (APT). Xu hướng "Mạng botnet như một dịch vụ" (Botnet as a Service - BaaS) làm tăng quy mô và mức độ phân tán của các mạng máy tính ma. Để tránh bị phát hiện bởi danh sách đen hoặc các cơ chế chặn lọc IP/tên miền cố định, các thế hệ botnet đã chuyển dịch sang sử dụng DGA. Kỹ thuật này tự động sinh ra hàng loạt tên miền ngẫu nhiên theo chu kỳ để bot kết nối về máy chủ CnC.

Khoảng trống nghiên cứu được tác giả chỉ ra là:

1. Các giải pháp phát hiện botnet dựa trên phân tích toàn bộ lưu lượng mạng đòi hỏi tài nguyên tính toán và lưu trữ rất lớn, gây khó khăn khi triển khai trên các cổng mạng có lưu lượng cao.
2. Các mô hình học máy phát hiện DGA hiện tại có tỷ lệ cảnh báo sai còn cao (trên 10% ở một số công trình trước đó như nghiên cứu của Hoang và cộng sự).
3. Sự xuất hiện của các biến thể DGA dựa trên từ điển (word-based DGA) và dạng lai (mixed DGA) tạo ra các tên miền có cấu trúc gần giống tên miền hợp lệ do con người tạo ra, làm giảm hiệu quả của các mô hình chỉ dựa vào đặc trưng ký tự ngẫu nhiên.
4. Thiếu vắng một mô hình tổng thể có khả năng nhận dạng đồng thời và chính xác nhiều họ DGA botnet khác nhau.

Mục tiêu nghiên cứu

Luận án xác định 3 mục tiêu cụ thể:

1. Nghiên cứu, đánh giá các phương pháp, kỹ thuật, giải pháp và công cụ phát hiện botnet hiện có trên thế giới.
2. Nghiên cứu, đề xuất các mô hình phát hiện botnet dựa trên học máy có giám sát và học kết hợp (ensemble learning) sử dụng các tập đặc trưng phân loại tên miền mới nhằm nâng cao độ chính xác, giảm tỷ lệ cảnh báo sai và phát hiện được nhiều dạng DGA botnet.
3. Cài đặt, thử nghiệm và đánh giá các mô hình đề xuất trên các tập dữ liệu thực nghiệm thực tế.

Đối tượng và phạm vi nghiên cứu

• Đối tượng nghiên cứu: Mạng máy tính ma (botnet), trọng tâm là các họ botnet sử dụng thuật toán sinh tên miền tự động (DGA botnet).
• Phạm vi nghiên cứu: Giới hạn trong các kỹ thuật và giải pháp phát hiện DGA botnet thông qua việc giám sát, trích xuất và phân loại dữ liệu truy vấn từ hệ thống phân giải tên miền (DNS).

---

Tổng quan tài liệu và vị trí của luận án

Luận án tiến hành tổng hợp, phân loại toàn diện các hướng tiếp cận giám sát và phát hiện botnet đã được công bố trong y văn quốc tế:

Các hướng tiếp cận phát hiện botnet truyền thống

• Phát hiện dựa trên mạng bẫy (Honeynet): Sử dụng Honeywall và Honeypot để thu thập bot và thâm nhập vào mạng botnet (như các nghiên cứu của Li và cộng sự, Schiller & Binkley, Stinson & Mitchell). Hạn chế của hướng tiếp cận này là khả năng mở rộng thấp, phụ thuộc phần cứng chuyên dụng và mang tính bị động khi chỉ quan sát được tương tác trực tiếp.
• Phát hiện dựa trên luật và chữ ký (Signature-based): Sử dụng các mẫu nhận dạng có sẵn. Điển hình là cơ chế danh sách đen DNSBL (Ramachandran và cộng sự), hệ thống danh tiếng động DNS Notos (Antonakakis và cộng sự), hệ thống Mentor (Kheir và cộng sự) lọc tên miền hợp pháp khỏi danh sách đen, hoặc kỹ thuật tìm kiếm mẫu domain fluxes của Yadav và cộng sự. Hạn chế cốt lõi là không thể phát hiện các họ botnet mới chưa có chữ ký hoặc khi tên miền CnC liên tục biến đổi.
• Phát hiện dựa trên bất thường (Anomaly-based):
  • Host-based: Điển hình là BotSwat (Stinson và Mitchell) giám sát mã nhị phân Win32 và hệ thống EFFORT (Shin và cộng sự) áp dụng thuật toán SVM phân loại tên miền từ nhiều máy trạm.
  • Network-based (Giám sát chủ động): Đề xuất của Ma và cộng sự phân tích truy vấn DNS dựa trên bộ đệm DNS hoặc trích xuất tên miền từ thư rác, tuy nhiên phương pháp này tạo thêm lưu lượng trên mạng và dễ bị đối phương phát hiện.
  • Network-based (Giám sát thụ động): Các nghiên cứu của Cranor và cộng sự (dùng đồ thị), Dagon và cộng sự, Villamarín-Salomón và Brustoloni (phân tích tỷ lệ truy vấn bất thường và truy vấn thất bại), RB-Seeker (Hu và cộng sự), Kopis (Antonakakis và cộng sự), BotGAD (Choi và cộng sự), phân tích Fast-Flux bằng cây quyết định C5.0 (Stalmans và Irwin), hệ thống EXPOSURE (Bilge và cộng sự với 15 đặc trưng DNS), hệ thống SSFD dựa trên entropy múi giờ (Huang và cộng sự), cùng mô hình nhận dạng mờ của Wang và cộng sự.

+-------------------------------------------------------------------------+
|                  CÁC HỆ THỐNG PHÁT HIỆN BOTNET ĐIỂN HÌNH                |
+---------------+---------------------+-----------------------------------+
| Hệ thống      | Tác giả / Nguồn     | Cơ chế hoạt động chính            |
+---------------+---------------------+-----------------------------------+
| BotHunter     | Gu và cộng sự       | Phân tích gói tin, SCADE, SLADE   |
| BotSniffer    | Gu và cộng sự       | Tương quan không gian / thời gian |
| BotTrack      | Francois và cộng sự | Phân tích đồ thị luồng mạng NetFlow|
| Notos         | Antonakakis và cs   | Danh tiếng động DNS thụ động      |
| Mentor        | Kheir và cộng sự    | Loại trừ tên miền lành tính       |
| EXPOSURE      | Bilge và cộng sự    | Cây quyết định trên 15 đặc trưng  |
| EFFORT        | Shin và cộng sự     | Máy học SVM đa mô-đun             |
+---------------+---------------------+-----------------------------------+

Vị trí và lựa chọn của luận án

Trên cơ sở phân tích ưu nhược điểm của các nghiên cứu trước, luận án định vị hướng tiếp cận dựa trên việc phân tích thụ động các bản ghi truy vấn DNS kết hợp học máy và học kết hợp. Luận án tập trung giải quyết trực tiếp khoảng trống về độ chính xác phân loại của hai nhóm DGA chính: nhóm sinh tên miền theo chuỗi ký tự ngẫu nhiên (character-based DGA) và nhóm ghép từ ngữ theo từ điển (word-based DGA).

---

Cơ sở lý thuyết và phương pháp nghiên cứu

Cơ sở lý thuyết

1. Mạng máy tính ma và cơ chế DGA khai thác DNS:

   • Vòng đời botnet: Bao gồm 7 giai đoạn: (1) Khởi tạo, (2) Đăng ký tên miền/IP với hệ thống tên miền động (DDNS), (3) Lây nhiễm sơ bộ qua tệp đính kèm hoặc ổ đĩa di động, (4) Xây dựng mạng bot bằng cách tải mã độc qua HTTP/FTP/P2P, (5) Tập hợp thiết lập kết nối định kỳ đến CnC, (6) Khởi động tấn công (DDoS, spam, trộm cắp dữ liệu), (7) Nâng cấp và bảo trì mã nhị phân.
   • Kiến trúc mạng CnC: Kiến trúc tập trung (Client-Server sử dụng IRC, HTTP), kiến trúc ngang hàng (P2P phân tán), và kiến trúc lai (kết hợp servant bot có IP tĩnh và client bot có IP động).
   • Giao thức truyền thông: IRC, HTTP, DNS và P2P.
   • Cơ chế DGA: Botmaster và bot cài đặt cùng một thuật toán sinh tên miền và giá trị khởi tạo (seed). Hằng ngày, hàng nghìn tên miền DGA được tạo ra; botmaster chỉ cần đăng ký một hoặc một vài tên miền trong số đó. Các bot liên tục truy vấn DNS cục bộ cho danh sách tên miền tự sinh cho đến khi nhận được IP hợp lệ trỏ về máy chủ CnC.

2. Các thuật toán học máy có giám sát và học kết hợp:

   • Thuật toán cơ sở: Cây quyết định (ID3), Rừng ngẫu nhiên (Random Forest - RF), Máy hỗ trợ vector (Support Vector Machine - SVM với hàm nhân tuyến tính và phi tuyến), Hồi quy Logistic (Logistic Regression), K-láng giềng gần nhất (kNN), Naive Bayes và Mạng nơ-ron nhân tạo (ANN/CNN/LSTM).
   • Học kết hợp (Ensemble Learning): Kỹ thuật Bagging (Bootstrap Aggregating), Kỹ thuật Stacking (xếp chồng nhiều bộ phân loại mức cơ sở và huấn luyện bộ siêu phân loại), Kỹ thuật Boosting (tăng cường trọng số các mẫu phân loại sai).

Phương pháp nghiên cứu

Luận án kết hợp phương pháp nghiên cứu lý thuyết và phương pháp thực nghiệm:

• Phương pháp lý thuyết: Khảo sát, phân tích toán học và thống kê cấu trúc tên miền, xây dựng bộ tiêu chí đặc trưng cấp ký tự (n-gram, entropy, tỷ lệ nguyên âm/phụ âm, số, ký tự đặc biệt) và đặc trưng cấp từ vựng (độ dài từ, số lượng từ trích xuất từ từ điển).
• Phương pháp thực nghiệm: Thu thập các tập dữ liệu tên miền chuẩn, tiền xử lý dữ liệu, trích xuất véc-tơ đặc trưng, phân chia tập huấn luyện và kiểm thử, đánh giá hiệu năng mô hình thông qua các chỉ số:
  • Độ chính xác tổng thể (Accuracy - ACC)
  • Tỷ lệ phát hiện (Detection Rate - DR)
  • Tỷ lệ dương tính giả (False Positive Rate - FPR)
  • Tỷ lệ âm tính giả (False Negative Rate - FNR)

Nguồn tư liệu và dữ liệu thực nghiệm

• Dữ liệu tên miền DGA: Bộ dữ liệu từ phòng nghiên cứu Netlab 360, bộ dữ liệu UMUDGA, cùng các họ botnet thực tế thu thập từ mã độc.
• Dữ liệu tên miền lành tính: Danh sách 100.000 tên miền hợp lệ lấy từ các bảng xếp hạng tên miền phổ biến (Alexa/Cisco Umbrella).
• Dữ liệu lưu lượng mạng đối chứng: Bộ dữ liệu CTU-13 của Garcia và cộng sự.
• Tập dữ liệu chuyên biệt: DATASET-01 và DATASET-02 được xây dựng để kiểm thử các biến thể word-based DGA.

---

Nội dung chính theo từng chương

Chương 1: Tổng quan về botnet và phát hiện botnet

Chương này hệ thống hóa các kiến thức nền tảng về botnet, lịch sử phát triển, các kỹ thuật phân loại và các công cụ phát hiện hiện hành:

• Lịch sử phát triển của botnet: Điểm lại quá trình tiến hóa từ botnet đầu tiên Eggdrop (1993, dùng IRC), GTBot (1998), NetBus (1998), Sdbot/Rbbot (1999), Agobot (2002), Spybot, Sinit (2003), Bagle, Marina, Torpig, Storm (2004-2006), Rustock, Cutwail, Srizbi (2007-2008), Conficker (2008, quy mô hơn 10,5 triệu bot), Mariposa (12 triệu bot), Sality, Waledac, Mega-D, BredoLab (30 triệu bot), Zeus (3,6 triệu bot), TDL4 (4,5 triệu bot), đến các botnet thế hệ mới như Mirai (2016, 380.000 bot IoT), Reaper (2017), Cridex, Danabot (2018), Emotet và TrickBot (2019).
• Tác hại và phương thức khai thác: Phân tích chi tiết tác hại của botnet trong tấn công từ chối dịch vụ (DDoS) quy mô lớn (như vụ tấn công mạng xã hội Telegram và hệ thống bầu cử Phần Lan năm 2019), phát tán thư rác (chiếm 95% lượng email toàn cầu năm 2010 theo thống kê của Symantec), đánh cắp dữ liệu tài khoản và lưu trữ nội dung độc hại.
• Phân tích các công cụ phát hiện botnet tiêu biểu:
  • BotHunter: Giám sát thụ động luồng vào/ra mạng thông qua Snort mở rộng với hai động cơ tiền xử lý SCADE (phát hiện quét cổng nội bộ/bên ngoài) và SLADE (phát hiện bất thường tải trọng gói tin), kết hợp tập luật E2 (1046 luật khai thác), E3 (71 luật tải tệp nhị phân), E4 (246 luật kết nối CnC), E5 (20 luật backdoor) và hệ thống tương quan Cyber-TA.
  • BotSniffer: Hoạt động trên nguyên lý các bot cùng mạng có hành vi đồng nhất, gồm bộ giám sát (tiền xử lý lọc danh sách trắng/theo dõi, xác định giao thức IRC/HTTP, phát hiện thông điệp PRIVMSG và hành vi đáng ngờ) và bộ tương quan phân tích sự tương đồng theo không gian và thời gian.
  • BotTrack: Phân tích luồng NetFlow dựa trên mô hình đồ thị phụ thuộc 8 nút nhằm phát hiện cấu trúc giao tiếp botnet mà không cần kiểm tra nội dung gói tin.

+-------------------------------------------------------------------------+
|                  MỘT SỐ HỌ BOTNET ĐIỂN HÌNH TRONG LỊCH SỬ               |
+------+---------------+-------------------+---------------+--------------+
| Năm  | Tên Botnet    | Số bot ước tính   | Khả năng spam | Giao thức    |
+------+---------------+-------------------+---------------+--------------+
| 1993 | Eggdrop       | -                 | -             | IRC          |
| 2004 | Bagle         | 230.000           | 5,7 tỷ/ngày   | SMTP         |
| 2006 | Rustock       | 150.000           | 30 tỷ/ngày    | IRC          |
| 2007 | Cutwail       | 1.500.000         | 74 tỷ/ngày    | SMTP         |
| 2008 | Conficker     | > 10.500.000      | 10 tỷ/ngày    | HTTP/P2P     |
| 2008 | Mariposa      | 12.000.000        | -             | IRC/HTTP     |
| 2009 | BredoLab      | 30.000.000        | 3,6 tỷ/ngày   | HTTP/SMTP    |
| 2009 | Zeus          | 3.600.000         | -             | -            |
| 2010 | TDL4          | 4.500.000         | -             | IRC          |
| 2016 | Mirai         | 380.000           | -             | TCP, FTP     |
| 2019 | Emotet        | 250.000           | -             | SMTP         |
| 2019 | TrickBot      | 125.000           | -             | Windows      |
+------+---------------+-------------------+---------------+--------------+

Chương 2: Phát hiện DGA botnet dựa trên học máy sử dụng các đặc trưng ký tự và từ

Chương 2 trình bày chi tiết về hai mô hình phát hiện chuyên biệt: mô hình CDM (Character-based Detection Model) và mô hình WDM (Word-based Detection Model).

1. Phát hiện Character-based DGA Botnet (Mô hình CDM):

   • Cơ sở trích xuất đặc trưng: Phân tích sự khác biệt về phân bố thống kê giữa tên miền lành tính và tên miền do máy sinh ngẫu nhiên.
   • Tập đặc trưng sử dụng: Thống kê tần suất 100 bi-gram và 100 tri-gram xuất hiện nhiều nhất; tỷ lệ và phân bố tần suất của nguyên âm, phụ âm, ký tự số, dấu gạch ngang ("-") và dấu chấm ("."); xác suất xuất hiện của 38 ký tự chuẩn trong tập 100.000 tên miền lành tính.
   • Kết quả thực nghiệm: Huấn luyện và kiểm thử trên tập dữ liệu Netlab 360 và bộ kiểm thử UMUDGA. Kết quả chứng minh mô hình CDM vượt trội hơn so với mô hình của Hoang và cộng sự [24] cũng như các nghiên cứu trước đó. Tỷ lệ phát hiện (DR) đạt trên 90% đối với phần lớn các họ botnet sinh ký tự ngẫu nhiên (chẳng hạn các họ sử dụng dải ký tự a-z, 0-9 hoặc mã Hexa).

2. Phát hiện Word-based DGA Botnet (Mô hình WDM):

   • Cơ sở trích xuất đặc trưng: Các họ botnet word-based ghép các từ có nghĩa từ một hoặc nhiều từ điển cố định để tạo tên miền cấp 2 (SLD), khiến các đặc trưng n-gram hay entropy ký tự bị vô hiệu hóa.
   • Tập đặc trưng và xử lý: Trích xuất số lượng từ trong tên miền, độ dài trung bình của các từ, độ dài tổng thể của tên miền, tỷ lệ ký tự cấu thành từ hợp lệ, và đối soát từ điển DGA.
   • Thực nghiệm và đánh giá: Kiểm thử trên hai tập dữ liệu chuẩn DATASET-01 và DATASET-02 chứa 4 họ word-based DGA botnet điển hình. Mô hình WDM cho thấy hiệu suất phân loại vượt trội so với các đề xuất của Satoh [78] và kiến trúc Billo [39], cải thiện rõ rệt tỷ lệ phát hiện (DR) đối với các tên miền dạng từ vựng so với khi áp dụng mô hình CDM thuần túy.

Chương 3: Phát hiện DGA botnet dựa trên học kết hợp

Chương 3 giải quyết bài toán phát hiện đồng thời cả hai dạng tên miền DGA (ký tự và từ) trong môi trường mạng thực tế:

• Khảo sát kỹ thuật học kết hợp (Ensemble Learning): Nghiên cứu các phương pháp kết hợp đơn giản (Voting, Averaging) và nâng cao (Bagging, Stacking, Boosting), cùng các mô hình phát hiện botnet dựa trên học kết hợp đã công bố của Zahraa và Charan.
• Đề xuất mô hình học kết hợp: Xây dựng kiến trúc phân loại đa tầng tích hợp các bộ phân loại cơ sở chuyên trách cho từng nhóm đặc trưng ký tự và đặc trưng từ vựng. Quy trình bao gồm: thu thập dữ liệu DNS thụ động, tiền xử lý và chuẩn hóa tên miền, trích xuất song song tập đặc trưng hỗn hợp, đưa qua các bộ phân loại thành phần và tổng hợp kết quả bằng thuật toán học kết hợp.
• Đánh giá hiệu năng: Thử nghiệm toàn diện trên tập dữ liệu hỗn hợp và tập dữ liệu chuẩn UMUDGA. Kết quả phân loại chia thành các nhóm rõ rệt:
  • Nhóm các họ DGA botnet đạt tỷ lệ phát hiện cao ($DR \ge 90%$).
  • Nhóm các họ DGA botnet có tỷ lệ phát hiện trung bình ($50% \le DR < 90%$).
  • Nhóm các họ botnet có tỷ lệ phát hiện thấp ($DR < 50%$). Mô hình học kết hợp duy trì được độ chính xác tổng thể cao trên cả tập kiểm thử chuẩn UMUDGA và giảm tỷ lệ cảnh báo sai đối với các tên miền hợp lệ.

---

Kết quả và những đóng góp mới

Luận án đã đạt được các kết quả nghiên cứu cụ thể với hai đóng góp học thuật và thực tiễn chính:

1. Đề xuất bộ đặc trưng phân loại mới và hai mô hình học máy chuyên biệt (CDM và WDM):
   • Mô hình CDM: Khai thác sâu các đặc trưng n-gram (bi-gram, tri-gram) kết hợp phân bố thống kê nguyên âm, phụ âm, chữ số và ký tự phân cách, giải quyết hiệu quả bài toán phát hiện các họ botnet sinh tên miền ngẫu nhiên (character-based DGA).
   • Mô hình WDM: Khai thác các đặc trưng cấu trúc từ, đối soát từ điển và độ dài chuỗi từ, khắc phục hạn chế của các phương pháp truyền thống trước các biến thể botnet sinh tên miền dựa trên từ điển (word-based DGA).
2. Đề xuất mô hình phát hiện DGA botnet dựa trên học kết hợp (Ensemble Learning):
   • Xây dựng thành công mô hình tích hợp có khả năng phân loại đồng thời cả character-based và word-based DGA botnet trên cùng một luồng dữ liệu truy vấn DNS.
   • Giảm thiểu tỷ lệ cảnh báo sai (FPR/FNR) so với các mô hình đơn lẻ trước đây, nâng cao tính khả thi khi triển khai trên các hệ thống giám sát an toàn thông tin thực tế.

---

Hạn chế và hướng nghiên cứu tiếp

Căn cứ theo nội dung và phạm vi nghiên cứu được công bố trong văn bản:

• Hạn chế:
  • Mô hình chỉ tập trung xử lý dữ liệu ở tầng truy vấn tên miền DNS, chưa kết hợp phân tích sâu tải trọng mạng (payload) hoặc tương quan đa nguồn từ nhật ký máy trạm (host log).
  • Vẫn còn một số họ botnet DGA đặc thù trong tập dữ liệu thử nghiệm có tỷ lệ phát hiện chưa đạt mức kỳ vọng ($DR < 90%$, một số ít dưới $50%$).
• Hướng nghiên cứu tiếp:
  • Tiếp tục tinh chỉnh và tối ưu hóa tập đặc trưng phân loại nhằm nâng cao tỷ lệ phát hiện đối với các họ DGA có cấu trúc phức tạp.
  • Nghiên cứu mở rộng khả năng thích ứng của mô hình trước các kỹ thuật lẩn tránh mới của botmaster và kiểm thử trên các luồng lưu lượng DNS thực tế quy mô lớn hơn tại các nhà cung cấp dịch vụ Internet (ISP).

---

Giá trị tham khảo

Luận án là tài liệu chuyên khảo có giá trị chuyên môn cao đối với:

• Nghiên cứu sinh, học viên cao học và sinh viên ngành Hệ thống thông tin, An toàn thông tin, Khoa học máy tính: Cung cấp tài liệu tổng quan toàn diện về lịch sử, vòng đời, kiến trúc mạng botnet và các thuật toán phân loại dữ liệu DNS bằng học máy.
• Kỹ sư an ninh mạng và chuyên gia vận hành Trung tâm điều hành an ninh mạng (SOC): Cung cấp giải pháp kỹ thuật cụ thể về bộ đặc trưng phân loại tên miền, quy trình trích xuất đặc trưng từ vựng/ký tự và mô hình học kết hợp để tích hợp vào các hệ thống phát hiện xâm nhập (IDS/IPS).
• Các nhà phát triển hệ thống bảo mật DNS: Tham khảo cấu trúc phân tích thống kê n-gram và cơ chế nhận dạng word-based DGA để xây dựng các giải pháp ngăn chặn máy chủ CnC tại cổng mạng ISP.

---

Câu hỏi thường gặp

1. Thuật toán sinh tên miền tự động (DGA) được botnet sử dụng nhằm mục đích gì?

DGA được botmaster sử dụng để tự động sinh ra hàng loạt tên miền mới cho máy chủ chỉ huy và điều khiển (CnC) theo thời gian hoặc thuật toán ngẫu nhiên. Kỹ thuật này thay thế cho việc sử dụng IP hoặc tên miền cố định, giúp botnet lẩn tránh các cơ chế bảo mật truyền thống như danh sách đen (DNSBL) và kỹ thuật chặn lọc tĩnh.

2. Sự khác biệt căn bản giữa mô hình CDM và WDM trong luận án là gì?

Mô hình CDM (Character-based Detection Model) sử dụng các đặc trưng cấp ký tự (tần suất bi-gram, tri-gram, tỷ lệ nguyên âm/phụ âm, số, ký tự đặc biệt) để phát hiện các tên miền ghép ký tự ngẫu nhiên. Ngược lại, mô hình WDM (Word-based Detection Model) sử dụng các đặc trưng cấp từ (số lượng từ, độ dài từ, tỷ lệ ký tự trong từ, đối soát từ điển DGA) để phát hiện các tên miền được tạo ra bằng cách ghép các từ có nghĩa trong từ điển.

3. Tại sao phát hiện botnet dựa trên giám sát truy vấn DNS lại có ưu thế hơn so với giám sát toàn bộ lưu lượng mạng?

Giám sát toàn bộ lưu lượng mạng (như bắt gói tin NetFlow hay kiểm tra sâu gói tin DPI) đòi hỏi năng lực tính toán và dung lượng lưu trữ rất lớn, dễ gây nghẽn cổ chai tại các cổng mạng tốc độ cao. Giám sát truy vấn DNS chỉ tập trung vào các bản ghi phân giải tên miền nhẹ hơn nhiều về dung lượng dữ liệu nhưng vẫn nắm bắt được hành vi kết nối CnC cốt lõi của các botnet.

4. Những thuật toán học máy nào được tác giả nghiên cứu và áp dụng trong luận án?

Luận án nghiên cứu và thử nghiệm các thuật toán học máy có giám sát bao gồm: Cây quyết định (ID3), Rừng ngẫu nhiên (Random Forest), Máy hỗ trợ vector (SVM tuyến tính và phi tuyến), Hồi quy Logistic, k-Láng giềng gần nhất (kNN), Naive Bayes, Mạng nơ-ron nhân tạo; cùng các kỹ thuật học kết hợp (Ensemble Learning) như Bagging, Stacking và Boosting.

5. Các bộ dữ liệu thực nghiệm chính được sử dụng để đánh giá mô hình trong luận án gồm những gì?

Tác giả đã sử dụng tập dữ liệu DGA từ phòng nghiên cứu Netlab 360, bộ dữ liệu chuẩn UMUDGA, bộ dữ liệu lưu lượng mạng CTU-13, danh sách 100.000 tên miền lành tính chuẩn, cùng hai bộ dữ liệu chuyên biệt tự xây dựng là DATASET-01 và DATASET-02 dành cho kiểm thử word-based DGA.

---

Kết luận

Luận án "Nghiên cứu các kỹ thuật phát hiện DGA botnet" của tác giả Vũ Xuân Hạnh đã giải quyết thành công bài toán phát hiện các mạng máy tính ma sử dụng thuật toán sinh tên miền tự động thông qua dữ liệu truy vấn DNS. Bằng việc đề xuất hai mô hình chuyên biệt CDM (cho character-based DGA), WDM (cho word-based DGA) và mô hình tích hợp dựa trên học kết hợp, công trình đã nâng cao tỷ lệ phát hiện và giảm thiểu tỷ lệ cảnh báo sai so với các công trình công bố trước đó. Các kết quả thực nghiệm trên các bộ dữ liệu chuẩn Netlab 360 và UMUDGA khẳng định tính đúng đắn và giá trị ứng dụng thực tiễn của các mô hình đề xuất trong công tác đảm bảo an toàn thông tin mạng.

Trích đoạn nội dung tài liệu

CHƯƠNG 1: TỔNG QUAN VỀ BOTNET VÀ PHÁT HIỆN BOTNET 1. TỔNG QUAN VỀ BOTNET 1. Khái quát về botnet và phương thức hoạt động 1. Giới thiệu về bot, botnet Bot là một loại phần mềm độc hại cho phép kẻ tấn công giành quyền kiểm soát máy tính, hoặc thiết bị tính toán bị lây nhiễm.

Máy tính bị nhiễm bot thường được gọi là zombie hay là máy tính ma. Trên thực tế có hàng ngàn, hàng trăm ngàn máy tính và thiết bị tính toán có kết nối Internet bị nhiễm một số loại bot mà người dùng không biết và không nhận ra chúng. Kẻ tấn công có thể truy cập các zombie và kích hoạt chúng thực thi các cuộc tấn công từ chối dịch vụ, hoặc gửi hàng loạt thư rác. Khi thực hiện truy vết ngược lại nguồn khởi phát các cuộc tấn công, người ta thường tìm thấy các zombie - cũng là nạn nhân chứ không phải là kẻ tấn công thực sự.

Các bot do một hoặc một nhóm kẻ tấn công thông qua một hoặc một số máy tính (gọi là botmaster) kiểm soát và chúng được liên kết tạo thành một mạng lưới các máy bị kiểm soát được gọi là botnet. Botmaster thường điều khiển các bot trong botnet do mình kiểm soát thông qua hệ thống các máy chủ chỉ huy và kiểm soát (Command and Control, hoặc C&C, hoặc CnC), như minh họa trên Hình 1. Kênh giao tiếp giữa các bot và các máy chủ CnC trong một botnet có thể là IRC, HTTP hoặc giao thức truyền thông khác.1: Mô hình botmaster kiểm soát các bot thông qua các máy chủ CnC LUAN VAN CHAT LUONG download : add [e-mail] 11 Botnet là mối đe dọa an ninh hàng đầu đối với mạng Internet toàn cầu, một phần là do các bot có thể lây nhiễm vào mọi hệ thống có kết nối Internet ở bất cứ nơi nào. Hơn nữa, so với các dạng phần mềm độc hại khác, các bot có phần vượt trội vì chúng có khả năng tương tác, phối hợp hành động với các bot khác trong botnet.

Ngoài ra, sự phát triển của Internet và sự gia tăng của băng thông, đường truyền mạng đã làm tăng thêm đáng kể sức mạnh của các botnet. Mỗi botnet có thể có hàng ngàn, hàng chục ngàn, thậm chí hàng trăm ngàn thành viên là các máy tính, hoặc các thiết bị tính toán bị lây nhiễm bot. Botnet rất khó bị phát hiện bởi chúng có khả năng thích ứng nhanh để lẩn tránh các hệ thống an ninh phổ biến hiện nay. Botnet đã trở thành một mối đe dọa thường trực trên mạng Internet do chúng thường trực tiếp hoặc gián tiếp liên quan đến các hành vi độc hại khác nhau bao gồm: gửi thư rác, tấn công từ chối dịch vụ phân tán và tham gia thực thi nhiều hành vi nguy hiểm và độc hại khác, như lan truyền, lây nhiễm các phần mềm gián điệp và mã độc đến hàng triệu máy tính, thực hiện đánh cắp dữ liệu nhận dạng và tham gia vào các hành vi gian lận, hăm dọa và tống tiền khác [66].

Nghiên cứu về botnet và phát hiện, ngăn chặn botnet thu hút được sự quan tâm lớn của cộng đồng mạng bởi sự nguy hiểm của botnet và sự cấp thiết tìm ra các phương pháp hiệu quả cho phát hiện và ngăn chặn botnet. Phương thức hoạt động, vòng đời Hình 1.2 biểu diễn vòng đời của một mạng botnet [59] [62] [105]. Theo đó, các bước trong vòng đời botnet bao gồm Khởi tạo, Đăng ký, Lây nhiễm sơ bộ, Xây dựng mạng bot, Tập hợp, Khởi động tấn công, và Nâng cấp và Bảo trì. “Khởi tạo” là bước cơ bản trong vòng đời của botnet, ở đó botmaster thiết lập các thông số của các bot để bắt đầu truyền thông.

Sau giai đoạn đầu, botmaster thực hiện “Đăng ký” tên miền và địa chỉ IP tĩnh cho các máy chủ CnC với hệ thống tên miền động (DDNS). Ở giai đoạn “Lây nhiễm sơ bộ”, thủ thuật lây nhiễm mã bot thường được tiến hành dưới nhiều hình thức khác nhau, như thông qua việc tải nội dung không mong muốn và chạy các tệp đính kèm độc hại từ thư điện tử, hoặc thông qua ổ đĩa di động bị nhiễm mã độc [3] [59] [74] [105]. Trong bước “Xây dựng mạng bot”, các bot tiếp tục quá trình lây nhiễm và cài đặt mã độc sang các hệ thống mới. Máy bị nhiễm bot tìm kiếm LUAN VAN CHAT LUONG download : add [e-mail] 12 các nạn nhân mới và thực hiện cài đặt mã độc tải từ các máy chủ CnC.

Sau khi được tải và cài đặt vào hệ thống, máy bị nhiễm mã độc hoạt động như một bot thực thụ. Quá trình tải mã độc về hệ thống thường được thực hiện thông qua các giao thức HTTP, FTP, hay P2P.2: Vòng đời của botnet Trong bước “Tập hợp” tiếp theo, các kết nối được thiết lập giữa các bot và máy chủ CnC của chúng. Một số nhà nghiên cứu đặt tên cho bước này là "giai đoạn kết nối" [59]. Trong thực tế, bước này luôn xảy ra bất cứ khi nào các bot khởi động lại và duy trì trạng thái kết nối với máy chủ CnC để có thể nhận được các lệnh thực thi các hành động từ botmaster.

Do đó, giai đoạn tập hợp là một quá trình có tính chu kỳ trong toàn bộ vòng đời của botnet [48]. Sau khi thiết lập thành công kết nối đến máy chủ CnC, trong giai đoạn “Khởi động tấn công”, các bot nhận lệnh từ máy chủ CnC và bắt đầu thực hiện các hoạt động độc hại. Mục đích cuối cùng của các mạng botnet là thực hiện các hoạt động độc hại, bao gồm tấn công DDoS, phân tích lưu lượng mạng, trộm cắp tài nguyên máy tính hoặc mạng, lây lan các loại mã độc khác, tìm kiếm lỗ hổng trong hệ thống máy tính, đánh cắp dữ liệu danh tính, khai thác các tài LUAN VAN CHAT LUONG download : add [e-mail] 13 liệu cá nhân và thao túng các trò chơi trực tuyến [27] [71] [105]. Giai đoạn cuối cùng của vòng đời botnet là “Nâng cấp và bảo trì”.

Bảo trì là một việc cần thiết để giữ mối liên hệ giữa botmaster với các bot cho các cuộc tấn công tiếp theo. Hơn nữa, có nhiều lý do cho việc cập nhật mã nhị phân cho các bot, như lẩn tránh các kỹ thuật rà quét, phát hiện và bổ sung thêm các tính năng mới cho các bot [3] [59] [105]. Đây được xem là bước botnet dễ bị tổn thương do nó có thể bị phát hiện trong giai đoạn này bằng cách quan sát, phân tích các hành vi mạng. Phân loại botnet Các loại botnet có thể được phân loại theo 2 tiêu chí: (i) theo kiến trúc mạng và (ii) theo giao thức truyền thông.

Botnet có thể được tổ chức theo nhiều mô hình mạng, chủ yếu theo mô hình tổ chức hệ thống các máy chủ CnC là trung gian giữa botmaster và các bot. Các giao thức truyền thông là các giao thức hỗ trợ giao tiếp giữa các máy chủ CnC và các bot trong botnet. Phân loại botnet theo kiến trúc mạng Sức mạnh của các botnet nằm ở khả năng hình thành và điều khiển một mạng lưới linh hoạt các máy bị điều khiển có kết nối Internet. Do đó, các cách tiếp cận khác nhau được sử dụng để giải quyết các vấn đề truyền thông giữa các thực thể trong mạng botnet.3 biểu diễn các kiến trúc mạng botnet [99] [21] [47] [48] [62], bao gồm kiến trúc tập trung, kiến trúc ngang hàng và kiến trúc lai.3: Phân loại botnet theo kiến trúc mạng LUAN VAN CHAT LUONG download : add [e-mail] 14 Kiến trúc tập trung: Botnet với kiến trúc hệ thống CnC tập trung tương tự như mô hình khách- chủ (client-server) truyền thống, như biểu diễn trên Hình 1.

Giao thức IRC là một giao thức điển hình được sử dụng trong kiến trúc CnC hệ thống tập trung [62], trong đó các bot thiết lập kênh truyền thông với một hoặc nhiều điểm kết nối. Các máy chủ CnC được triển khai trên các điểm kết nối có trách nhiệm gửi các lệnh và mã cập nhật đến các bot. IRC và HTTP thường được sử dụng là các giao thức chính trong kiến trúc tập trung.4: Kiến trúc CnC tập trung Các ưu điểm của kiến trúc tập trung bao gồm: (i) triển khai dễ dàng, không đòi hỏi các phần cứng chuyên dụng; (ii) phản ứng nhanh do các máy chủ CnC trực tiếp điều phối các bot trong mạng mà không bị can thiệp bởi bên thứ ba; (iii) khả năng tiếp cận tốt do có sự phối hợp trực tiếp giữa botmaster và các bot; (iv) cập nhật kịp thời thông tin từ botmaster; và (v) khả năng mở rộng tốt. Hạn chế của kiến trúc tập trung là máy chủ CnC được xem như là điểm yếu duy nhất trong hệ thống botnet [99] [62] và dễ dàng bị vô hiệu hóa.

Kiến trúc ngang hàng: Với kiến trúc ngang hàng hoặc phi tập trung, các botnet có tính linh hoạt cao hơn [47], hỗ trợ một số lượng lớn các bot và đạt được hiệu quả tối đa, như biểu diễn trên Hình 1. Nhìn chung, khó đối phó với các botnet phi tập trung vì những lý do sau: (i) Việc vô hiệu hóa botnet phụ thuộc vào việc phát hiện từng nhóm bot hoạt động như botnet đơn lẻ, do đó rất khó để thống kê được tổng số LUAN VAN CHAT LUONG download : add [e-mail] 15 lượng bot trong botnet sử dụng kiến trúc ngang hàng để cuối cùng có thể vô hiệu hóa toàn bộ botnet; (ii) Botnet theo kiến trúc ngang hàng không có một mạng lưới máy chủ CnC tập trung do đó rất khó để chuẩn đoán phạm vi bị ảnh hưởng bởi botnet; và (iii) Rất khó để tạm dừng một botnet vì sự liên kết lỏng lẻo giữa các bot. Ưu điểm của kiến trúc ngang hàng là khó bị vô hiệu hóa do botnet có thể duy trì hoạt động mà không cần sử dụng các máy chủ CnC tập trung. Tuy nhiên, các mạng botnet ngang hàng chậm hội tụ và phản ứng, khó quản lý và khả năng mở rộng kém.5: Kiến trúc botnet ngang hàng Kiến trúc lai: Kiến trúc lai kế thừa các thuộc tính của kiến trúc tập trung và kiến trúc ngang hàng, như mô tả trên Hình 1.

Trong botnet với kiến trúc lai, có 2 loại bot hoạt động [99]: bot phục vụ (servant bot) và bot khách (client bot). Bot phục vụ hoạt động đồng thời như một máy khách và một máy chủ, được cấu hình với các địa chỉ IP định tuyến (IP tĩnh); Ngược lại, bot khách chỉ hoạt động như một máy khách và được cấu hình với các địa chỉ IP không định tuyến (IP động). Bot phục vụ gửi thông tin địa chỉ IP của mình đến danh sách bot và ở chế độ lắng nghe chờ các kết nối đến từ các bot khách.