Luận án tiến sĩ khoa học máy tính kỹ thuật học máy phối hợp và tiền xử lý dữ liệu trong việc nâng cao chất lượng phân lớp của các hệ thống phát hiện xâm nhập mạng

Luận án tiến sĩ nghiên cứu kỹ thuật học máy và tiền xử lý dữ liệu nhằm nâng cao chất lượng phân lớp trong hệ thống phát hiện xâm nhập mạng.

Trường đại học

Đại học Lạc Hồng

Chuyên ngành

Khoa học máy tính

Người đăng

Ẩn danh

Thể loại

luận án tiến sĩ

2022

174
6
0

Phí lưu trữ

45 Point

Mục lục chi tiết

LỜI CAM ĐOAN

LỜI CẢM ƠN

TÓM TẮT

1. CHƯƠNG 1: TỔNG QUAN

1.1. Hệ thống phát hiện xâm nhập

1.1.1. Giới thiệu về IDS

1.1.2. Phân loại IDS

1.1.3. IDS sử dụng kỹ thuật học máy

1.2. Tính cấp thiết của đề tài luận án

1.3. Mục tiêu nghiên cứu

1.4. Đối tượng và phạm vi nghiên cứu

1.4.1. Đối tượng nghiên cứu

1.4.2. Phạm vi nghiên cứu

1.5. Phương pháp nghiên cứu

1.6. Ý nghĩa khoa học và thực tiễn

1.6.1. Ý nghĩa khoa học

1.6.2. Ý nghĩa thực tiễn

1.7. Những điểm đóng góp mới

1.8. Kết cấu của luận án

2. CÁC NGHIÊN CỨU LIÊN QUAN

2.1. Lựa chọn thuộc tính

2.2. Lấy mẫu lại tập dữ liệu

2.3. Kỹ thuật học máy

2.4. Tập dữ liệu sử dụng cho các IDS

2.5. Chỉ số đánh giá hiệu năng các IDS

2.6. Các nghiên cứu liên quan về học máy cho IDS

2.6.1. Lựa chọn thuộc tính

2.6.2. Lấy mẫu lại tập dữ liệu

2.6.3. Các mô hình học máy cho các IDS

3. GIẢI PHÁP LỰA CHỌN THUỘC TÍNH

3.1. Giải pháp lựa chọn thuộc tính đề xuất

3.1.1. Các chỉ số đo thông tin

3.1.2. Thuật toán loại bỏ thuộc tính ngược BFE

3.1.3. Thuật toán chọn thuộc tính thuận FFC

3.1.4. Thuật toán lựa chọn thuộc tính đề xuất

3.2. Kết quả thực hiện

3.2.1. Lựa chọn thuộc tính với kiểu tấn công Worms

3.2.2. Lựa chọn thuộc tính với kiểu tấn công Shellcode

3.2.3. Lựa chọn thuộc tính với kiểu tấn công Backdoor

3.2.4. Lựa chọn thuộc tính với kiểu tấn công Analysis

3.2.5. Lựa chọn thuộc tính với kiểu tấn công Recce

3.2.6. Lựa chọn thuộc tính với kiểu tấn công DoS

3.2.7. Lựa chọn thuộc tính với kiểu tấn công Fuzzers

3.2.8. Lựa chọn thuộc tính với kiểu tấn công Exploits

3.2.9. Lựa chọn thuộc tính với kiểu tấn công Generic

3.3. So sánh, nhận xét và đánh giá về giải pháp lựa chọn thuộc tính đề xuất

4. GIẢI PHÁP LẤY MẪU LẠI TẬP DỮ LIỆU

4.1. Giải pháp lấy mẫu lại tập dữ liệu đề xuất

4.1.1. Giải pháp tăng mẫu

4.1.2. Giải pháp giảm mẫu

4.2. Kết quả thực hiện

4.2.1. Tăng mẫu tập dữ liệu

4.2.2. Giảm mẫu tập dữ liệu

4.3. Tổng hợp kết quả và nhận xét về giải pháp lấy mẫu lại tập dữ liệu

5. KỸ THUẬT PHỐI HỢP CHO MÔ HÌNH IDS

5.1. Kỹ thuật phối hợp đề xuất

5.2. Kết quả thực hiện

5.2.1. Sử dụng kỹ thuật phối hợp với kiểu tấn công Worms

5.2.2. Sử dụng kỹ thuật phối hợp với kiểu tấn công Shellcode

5.2.3. Sử dụng kỹ thuật phối hợp với kiểu tấn công Backdoor

5.2.4. Sử dụng kỹ thuật phối hợp với kiểu tấn công Analysis

5.2.5. Sử dụng kỹ thuật phối hợp với kiểu tấn công Recce

5.2.6. Sử dụng kỹ thuật phối hợp với kiểu tấn công DoS

5.2.7. Sử dụng kỹ thuật phối hợp với kiểu tấn công Fuzzers

5.2.8. Sử dụng kỹ thuật phối hợp với kiểu tấn công Exploits

5.2.9. Sử dụng kỹ thuật phối hợp với kiểu tấn công Generic

5.3. Tổng hợp kết quả và nhận xét về kỹ thuật phối hợp

5.4. Mô hình phân lớp lai đề xuất

6. KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN

6.1. Đánh giá về các kết quả đạt được, hạn chế và hướng phát triển

6.2. Đánh giá ý nghĩa học thuật và thực tiễn của luận án

DANH MỤC CÁC KÝ HIỆU, CHỮ VIẾT TẮT

DANH MỤC CÁC BẢNG, BIỂU

DANH MỤC CÁC HÌNH VẼ, ĐỒ THỊ

Tóm tắt

I. Kỹ thuật học máy

Luận án tập trung vào việc áp dụng kỹ thuật học máy để nâng cao hiệu quả của hệ thống phát hiện xâm nhập mạng (NIDS). Các phương pháp học máy được đề cập bao gồm Bagging, Boosting, Stacking, và Decorate, cùng với các kỹ thuật không đồng nhất như VotingRandom Forest (RF). Những kỹ thuật này giúp cải thiện độ chính xác và giảm tỷ lệ cảnh báo sai trong việc phát hiện các cuộc tấn công mạng. Luận án cũng nhấn mạnh tầm quan trọng của việc kết hợp các thuật toán để tạo ra mô hình phân lớp lai, đa nhãn, và đáp ứng thời gian thực.

1.1. Phương pháp học máy phối hợp

Các phương pháp học máy phối hợp như BaggingBoosting được sử dụng để tăng cường hiệu suất của các bộ phân lớp. Bagging giúp giảm phương sai bằng cách tạo nhiều mẫu bootstrap từ tập dữ liệu gốc, trong khi Boosting tập trung vào việc cải thiện độ chính xác bằng cách điều chỉnh trọng số của các mẫu khó phân loại. Stacking kết hợp các mô hình khác nhau để tạo ra một siêu mô hình, trong khi Decorate thêm các mẫu giả vào tập dữ liệu để tăng tính đa dạng.

1.2. Kỹ thuật không đồng nhất

Các kỹ thuật không đồng nhất như VotingRandom Forest (RF) được sử dụng để tận dụng sức mạnh của nhiều mô hình khác nhau. Voting kết hợp các dự đoán từ nhiều bộ phân lớp để đưa ra quyết định cuối cùng, trong khi RF sử dụng nhiều cây quyết định để giảm thiểu rủi ro quá khớp. Những kỹ thuật này đặc biệt hiệu quả trong việc phát hiện các cuộc tấn công mạng mới và phức tạp.

II. Tiền xử lý dữ liệu

Luận án đề xuất các kỹ thuật tiền xử lý dữ liệu để cải thiện chất lượng phân lớp của NIDS. Các phương pháp bao gồm lựa chọn thuộc tínhtăng/giảm mẫu để giải quyết vấn đề mất cân bằng lớp trong tập dữ liệu huấn luyện. Các thuật toán FFCBFE được cải tiến để lựa chọn các thuộc tính quan trọng, trong khi các kỹ thuật SMOTECluster SMOTE được sử dụng để tăng mẫu và giảm mẫu một cách hiệu quả.

2.1. Lựa chọn thuộc tính

Các thuật toán FFCBFE được cải tiến để lựa chọn các thuộc tính quan trọng trong tập dữ liệu. FFC xây dựng tập thuộc tính từ rỗng bằng cách thêm các thuộc tính có độ lợi thông tin cao, trong khi BFE loại bỏ các thuộc tính không liên quan từ tập đầy đủ. Những cải tiến này giúp giảm thời gian tính toán và tăng độ chính xác của mô hình.

2.2. Tăng giảm mẫu

Các kỹ thuật SMOTECluster SMOTE được sử dụng để tăng mẫu các lớp thiểu số, trong khi các phương pháp giảm mẫu như Tomek Links được áp dụng để loại bỏ các mẫu nhiễu. Những kỹ thuật này giúp cân bằng tập dữ liệu và cải thiện hiệu suất của các bộ phân lớp.

III. Hệ thống phát hiện xâm nhập mạng

Luận án tập trung vào việc nâng cao chất lượng của hệ thống phát hiện xâm nhập mạng (NIDS) thông qua việc kết hợp kỹ thuật học máytiền xử lý dữ liệu. Các kết quả thử nghiệm trên tập dữ liệu UNSW-NB15 cho thấy sự cải thiện đáng kể trong độ chính xác và giảm tỷ lệ cảnh báo sai. Luận án cũng đề xuất các hướng phát triển trong tương lai, bao gồm việc tối ưu hóa thời gian huấn luyện và khai thác các thuật toán học máy hiệu quả hơn.

3.1. Kết quả thử nghiệm

Các kết quả thử nghiệm trên tập dữ liệu UNSW-NB15 cho thấy sự cải thiện đáng kể trong độ chính xác và giảm tỷ lệ cảnh báo sai. Các giải pháp đề xuất đã chứng minh hiệu quả trong việc phát hiện các cuộc tấn công mạng, đặc biệt là các cuộc tấn công mới và phức tạp.

3.2. Hướng phát triển

Luận án đề xuất các hướng phát triển trong tương lai, bao gồm việc tối ưu hóa thời gian huấn luyện và khai thác các thuật toán học máy hiệu quả hơn. Việc áp dụng các kỹ thuật xử lý song song và tối ưu hóa tham số cũng được đề cập như một hướng nghiên cứu tiềm năng.

01/03/2025

Trích đoạn nội dung tài liệu

Chương 1: Giới thiệu Trình bày những nội dung tổng quan nhất về luận án gồm: tính cấp thiết, đối tượng và phạm vi nghiên cứu; mục tiêu và nhiệm vụ; phương pháp nghiên cứu, những điểm đóng góp mới cũng như ý nghĩa khoa học và thực tiễn của luận án. - Chương 2: Các nghiên cứu liên quan Trình bày các nghiên cứu, vấn đề lý thuyết liên quan đến bài toán, so sánh một số phương pháp tiếp cận phát hiện xâm nhập mạng, cũng như nêu ra các hạn chế, tồn tại. - Chương 3: Giải pháp lựa chọn thuộc tính Trình bày các giải pháp lựa chọn thuộc tính đề xuất, kết quả thực hiện và một số nhận xét, kết luận khi sử dụng giải pháp để tăng cường chất lượng phân lớp của các IDS. - Chương 4: Giải pháp lấy mẫu lại tập dữ liệu Trình bày các giải pháp lấy mẫu lại tập dữ liệu huấn luyện, kết quả thực hiện và một số nhận xét, kết luận khi sử dụng giải pháp để tăng cường chất lượng phân lớp của các IDS.

- Chương 5: Kỹ thuật phối hợp cho mô hình IDS Trình bày giải pháp sử dụng kỹ thuật phối hợp để xây dựng các IDS, kết quả thực hiện và một số nhận xét, kết luận khi sử dụng giải pháp cũng đã được trình bày. - Chương 6: Kết luận và hướng phát triển Trình bày một số kết luận; Các hạn chế, tồn tại và hướng phát triển của luận án. - Danh mục các công trình đã công bố của luận án Liệt kê các công trình đã công bố có liên quan đến đề tài luận án. CÁC NGHIÊN CỨU LIÊN QUAN Chương 2 trình bày các công trình nghiên cứu liên quan, các khái niệm cơ bản, nghiên cứu có liên quan trực tiếp đến các công trình cũng như đóng góp chính của luận án, gồm: (1) Việc lựa chọn thuộc tính sử dụng cho các IDS; (2) Lấy mẫu lại tập dữ liệu được sử dụng để huấn luyện các IDS; (3) Các kỹ thuật học máy để xây dựng các IDS, đặc biệt là kỹ thuật học máy phối hợp.

Qua đó so sánh, làm rõ những tồn tại, thách thức cần được tiếp tục nghiên cứu, hoàn thiện và đó cũng là các mục tiêu nghiên cứu của luận án này.1 Lựa chọn thuộc tính 2.1 Phương pháp lựa chọn thuộc tính Khi dữ liệu tăng theo cấp số nhân, chất lượng dữ liệu để xử lý bằng khai phá dữ liệu, nhận dạng mẫu, xử lý hình ảnh và các thuật toán học máy, … giảm dần. Dữ liệu kích thước lớn hơn dẫn đến sự phổ biến của dữ liệu nhiễu, không liên quan và dư thừa. Điều đó làm tăng tỷ lệ lỗi, giảm độ chính xác dự báo của các thuật toán học máy. Vấn đề chính là làm thế nào để cải thiện được hiệu quả phân lớp dựa trên những tri thức học được từ dữ liệu.

Một trong những phương pháp cải thiện hiệu quả phân lớp như vậy là lựa chọn thuộc tính. Nếu ta chọn được các thuộc tính có liên quan đến nhãn lớp và loại bỏ các thuộc tính nhiễu, dư thừa, thì ta sẽ có được tập dữ liệu tốt hơn cho việc phân lớp. Điều đó giúp nâng cao hiệu quả phân lớp mà cụ thể là độ chính xác phân lớp, đồng thời giảm thời gian huấn luyện và kiểm tra [4], [5], [6]. Có thể định nghĩa lựa chọn thuộc tính là một quá trình tìm ra một tập con các thuộc tính từ M tập thuộc tính của tập dữ liệu ban đầu, như vậy phải xác định tiêu chuẩn lựa chọn thuộc tính.

Theo cách này, kích cỡ của không gian thuộc tính được rút ngắn tối đa theo một tiêu chuẩn định lượng nhất định. Khi kích cỡ của một lĩnh vực được mở rộng, số phần tử của tập dữ liệu sẽ tăng lên, vì vậy việc tìm kiếm một tập đại diện tốt nhất thường gặp khó khăn và có nhiều vấn đề liên quan đến tập được chọn. Nhìn chung, một thuật toán lựa chọn gồm 4 bước cơ bản: sinh tập con, lượng giá tập con, điều kiện dừng và xác nhận kết quả. Quá trình sinh tập con là một thủ tục tìm kiếm, về cơ bản nó sinh ra những tập con dùng cho việc lượng giá.

Gọi N là số các thuộc tính của tập dữ liệu gốc ban đầu, thì tổng số các tập con có thể được sinh ra sẽ là 2N, 2N tập này sẽ liệt kê toàn bộ các tập con của không gian. Mỗi tập con được sinh ra bằng thuật toán cần được lượng giá trị bằng một tiêu chuẩn lượng giá trị nhất định và được so sánh với tập con tốt nhất đã tìm được trước nó. Lựa chọn các thuộc tính có thể tiến hành theo hai cách: cách thứ nhất là xếp loại các thuộc tính theo một tiêu chuẩn nào đó và lấy ra k thuộc tính đầu tiên, do đó cách này là dựa vào ngưỡng để chọn thuộc tính. Cách thứ hai là chọn ra tập con nhỏ nhất mà không làm giảm đi quá trình học, do đó với cách này tự động xác định số lượng thuộc tính.

Lựa chọn thuộc 9 tính có thể dựa vào các mô hình, các chiến lược tìm kiếm, thước đo chất lượng thuộc tính và ước lượng. a) Chiến lược tìm kiếm Lựa chọn thuộc tính có thể được xem như là một vấn đề tìm kiếm, trong đó mỗi bước trong không gian tìm kiếm xác định ra một tập con thuộc tính liên quan. Giả sử ta có một tập dữ liệu với 3 thuộc tính (A1, A2, A3). Một mảng nhị phân mà mỗi thành phần của mảng được thiết lập là 1 nếu thuộc tính có chỉ số tương ứng trong mảng nhị phân được chọn.

Nếu mảng có giá trị (1, 1, 1) có nghĩa là cả 3 thuộc tính được chọn và (1, 0, 0) có nghĩa là chỉ thuộc tính A1 được chọn. Do đó, sẽ có tất cả 2N tập con có thể có, trong đó N là số lượng thuộc tính của tập dữ liệu. Một tập con tối ưu thường nằm đâu đó giữa điểm đầu và điểm cuối. Câu hỏi đặt ra ở đây là: Ta nên bắt đầu tìm kiếm từ đâu.

Vấn đề sẽ rất đơn giản nếu không gian tìm kiếm nhỏ. Tuy nhiên, trên thực tế không gian tìm kiếm thường rất lớn (2N), bắt đầu từ câu hỏi “Đâu là điểm tìm kiếm phù hợp” sẽ xuất hiện các câu hỏi khác: Chiến lược tìm kiếm phù hợp là gì? Trên thực tế chiến lược tìm kiếm lại bị ảnh hưởng bởi hướng tìm kiếm. Giả sử ban đầu ta chưa có một khái niệm cụ thể nào về tập thuộc tính tối ưu trong không gian tìm kiếm, thì sẽ không có sự khác biệt trong việc xác định điểm xuất phát nên bắt đầu từ đâu (một tập rỗng hay một tập đầy đủ các thuộc tính). Do đó, đối với phần lớn các vấn đề trong tìm kiếm thì thời gian trung bình để tìm ra tập con tối ưu giữa các hướng tìm kiếm khác nhau không có sự khác biệt.

Tuy nhiên, hướng tìm kiếm lại có mối liên hệ chặt chẽ trong việc tạo ra tập con thuộc tính. Một phương pháp tìm kiếm là tìm ra tập con tối ưu bắt đầu từ một tập rỗng các thuộc tính (như Forward Feature Construction: FFC), phương pháp còn lại là tìm ra tập con tối ưu bằng cách lần lượt loại bỏ các thuộc tính ít quan trọng từ một tập đầy đủ các thuộc tính ban đầu (như Backward Feature Elimination: BFE). b) Tiêu chuẩn lựa chọn Tất cả các chiến lược tìm kiếm đều có nhu cầu đánh giá một thuộc tính hoặc một tập con thuộc tính để xác định thuộc tính/tập con đó là tốt hay không tốt. Việc đánh giá này thường là phức tạp và có nhiều chiều đánh giá.

Ví dụ, đánh giá có thể được đo lường theo những khía cạnh: các thuộc tính được lựa chọn có làm tăng độ chính xác của bộ phân lớp hay không và các thuộc tính được lựa chọn có giúp làm đơn giản các kết quả học, do đó có thể dễ dàng để hiểu hay không, … Sau đây là một số đo lường thường được sử dụng. (1) Đo lường thông tin Một khái niệm cơ bản của lý thuyết thông tin là số lượng của thông tin trong thông báo, gọi là nội dung thông tin, nó có thể xác định và đo được bằng đại lượng toán học. Thuật ngữ “nội dung” ở đây không liên quan gì đến nội dung của thông báo được truyền đi, mà là xác suất nhận được thông báo đã cho từ một tập hợp các thông báo có thể. Giá trị cao nhất đối với nội dung thông tin được gán cho thông báo có ít khả năng nhất, tức là có độ không xác định lớn nhất.

Bởi vì độ không xác định của một phép thử càng lớn thì sự xác định kết quả của nó sẽ cho một thông tin càng lớn. Nếu thông báo được mong đợi với 100% chắc chắn thì nội dung của nó bằng 0, và khi đó độ không xác định của nó cũng bằng 0. 10 (2) Đo lường khoảng cách Kiểu đo lường này cũng được biết đến như là đo lường khác biệt hoặc đo lường phân biệt. Đo lường này được thực hiện thông qua việc đo khoảng cách giữa các hàm xác suất điều kiện lớp.

Ví dụ đối với trường hợp có 2 lớp c1 và c2, D(X) là khoảng cách giữa P(X|c1) và P(X|c2), luật đánh giá thuộc tính xây dựng dựa trên khoảng cách D(X) nói rằng, trong hai thuộc tính X và Y, thuộc tính X được chọn nếu D(X) > D(Y). Mục đích của việc lựa chọn này là ta cố gắng tìm ra các thuộc tính sao cho khoảng cách giữa 2 lớp là xa nhất có thể. (3) Đo lường phụ thuộc Đo lường này cũng được biết đến như là đo lường mối quan hệ, đo lường mối liên hệ. Đo lường này được thiết kế để lượng hóa mối quan hệ giữa hai biến bằng việc nếu biết được giá trị một biến ta có thể dự đoán được giá trị của biến còn lại.

Trong đánh giá thuộc tính, thay bằng việc kiểm tra một thuộc tính thay đổi thông tin thu thập được hoặc thay đổi kỳ vọng xác suất lớp như thế nào, thì ta sẽ xem xét một thuộc tính liên hệ với một lớp như thế nào (mạnh hay yếu). Nói một cách khác, ta chọn thuộc tính có mối liên hệ chặt chẽ với lớp C hơn. Nếu X và C là độc lập thống kê thì giữa X và Y sẽ không có mối liên hệ và việc loại bỏ thuộc tính X sẽ không làm ảnh hưởng đến việc phân lớp các thuộc tính còn lại. Nếu mỗi giá trị của thuộc tính X có mối liên hệ với một giá trị của lớp C, ta kỳ vọng rằng R(X) sẽ có giá trị cực đại và thuộc tính X được chọn thuộc về lớp C.

Nội dung được bảo vệ bản quyền — Tải xuống đầy đủ

Luận án tiến sĩ "Kỹ thuật học máy phối hợp và tiền xử lý dữ liệu nâng cao chất lượng phân lớp hệ thống phát hiện xâm nhập mạng" tập trung vào việc cải thiện hiệu quả của các hệ thống phát hiện xâm nhập mạng thông qua việc kết hợp các kỹ thuật học máy tiên tiến và quy trình tiền xử lý dữ liệu. Nghiên cứu này không chỉ đề xuất các phương pháp mới để tăng độ chính xác trong phân loại dữ liệu mà còn mang lại những giải pháp thực tiễn giúp tối ưu hóa hiệu suất của hệ thống an ninh mạng. Đây là tài liệu hữu ích cho các chuyên gia và nhà nghiên cứu trong lĩnh vực bảo mật và trí tuệ nhân tạo.

Để mở rộng kiến thức về các ứng dụng của học máy trong lĩnh vực an ninh mạng, bạn có thể tham khảo Luận văn thạc sĩ khoa học máy tính giải pháp cảnh báo kiểu tấn công an ninh mạng deface và hiện thực, nghiên cứu về các giải pháp cảnh báo tấn công mạng. Ngoài ra, Luận văn thạc sĩ khoa học máy tính phân loại dữ liệu một lớp và ứng dụng trong bài toán phát hiện bất thường cung cấp góc nhìn sâu hơn về phân loại dữ liệu trong phát hiện bất thường. Cuối cùng, Luận văn thạc sĩ khoa học máy tính tìm kiếm tương tự trên dữ liệu chuỗi thời gian dạng luồng là tài liệu tham khảo tuyệt vời để hiểu rõ hơn về xử lý dữ liệu thời gian thực.