Tổng quan luận án

Tính cấp thiết và khoảng trống nghiên cứu

Sự phát triển của công nghệ Internet of Things (IoT) cùng hạ tầng nhúng (embedded system) đã mở rộng mạng lưới thiết bị thông minh trên toàn cầu. Thống kê của Cisco ghi nhận đến năm 2020 có hơn 50 tỷ thiết bị kết nối Internet, phổ biến tại các hộ gia đình và đô thị thông minh như hệ thống cảm biến môi trường, Camera IP, VoIP, IP TV, Router SOHO. Dự báo từ Gartner cho thấy 25% các cuộc tấn công mạng trong năm 2020 có liên quan đến thiết bị IoT. Tại Việt Nam, khảo sát tháng 6/2016 của BKAV trên 21 triệu router chỉ ra 5,6 triệu thiết bị trên thế giới (Việt Nam chiếm 5,9%) tồn tại lỗ hổng PetHole, dẫn đến nguy cơ bị chiếm đoạt quyền điều khiển.

Phần lớn thiết bị IoT dân sự thuộc nhóm hạn chế tài nguyên phần cứng (CPU, RAM, Flash memory), chạy hệ điều hành Linux nhúng. Do giới hạn tài nguyên, các cơ chế an ninh thông tin thường bị bỏ qua, biến chúng thành mục tiêu cho mã độc IoT Botnet khai thác để thực hiện các đợt tấn công từ chối dịch vụ phân tán (DDoS) quy mô lớn (như mã độc Mirai đạt thông lượng 620 Gbps hay Bashlite).

Khoảng trống nghiên cứu thực tế xuất phát từ các rào cản kỹ thuật:

  • Phương pháp phân tích tĩnh gặp khó khăn khi mã độc áp dụng kỹ thuật làm rối mã (obfuscation), đóng gói (packing) hoặc biên dịch chéo (cross-compiler) đa kiến trúc vi xử lý (MIPS, ARM, PowerPC, SPARC).
  • Phương pháp phân tích động đối mặt với sự thiếu hụt của các môi trường hộp cát (Sandbox) hiện hành: không hỗ trợ đầy đủ các thư viện liên kết động (shared libraries) khiến tệp thực thi bị lỗi khởi động, thiếu thành phần giả lập máy chủ điều khiển (C&C server) dẫn đến mã độc không bộc lộ trọn vẹn vòng đời hành vi.
  • Các mô hình phân loại thường chỉ xử lý đơn lẻ một nguồn dữ liệu hoặc tiền xử lý lời gọi hệ thống theo dạng thuộc tính rời rạc, làm mất đi đặc tính tuần tự và cấu trúc hành vi của mã độc.

Mục tiêu nghiên cứu của luận án

Mục tiêu tổng quát của luận án là: "Nghiên cứu, xây dựng hệ thống thu thập dữ liệu hành vi và phát hiện mã độc IoT Botnet dựa trên mô hình học máy nhằm nâng cao độ chính xác và giảm độ phức tạp trong phát hiện mã độc IoT Botnet trên các thiết bị IoT hạn chế tài nguyên theo phương pháp phân tích động".

Các mục tiêu cụ thể được đánh số theo văn bản bao gồm:

  1. Nghiên cứu, xây dựng hệ thống thu thập dữ liệu hành vi tương tác của mã độc IoT Botnet với các thiết bị IoT hạn chế tài nguyên thông qua môi trường Sandbox tự xây dựng.
  2. Nghiên cứu, xây dựng mô hình học máy phát hiện mã độc IoT Botnet đảm bảo độ chính xác, tỉ lệ âm tính giả thấp và yêu cầu tối thiểu lượng dữ liệu cần thu thập.
  3. Nghiên cứu, kết hợp hệ thống thu thập dữ liệu bằng Sandbox tự xây dựng với mô hình học máy đề xuất thành hệ thống phát hiện mã độc IoT Botnet hoàn chỉnh ứng dụng được trong thực tế.

Đối tượng và phạm vi nghiên cứu

  • Đối tượng nghiên cứu: Các tệp thực thi (executable file) định dạng ELF (Executable and Linkable Format) trên hệ điều hành Linux dành cho thiết bị IoT hạn chế tài nguyên, bao gồm tệp mã độc (malware) và tệp lành tính (benign). Nguồn dữ liệu thu thập từ các hệ thống bẫy mạng Honeypot (như IoTPOT), kho dữ liệu nghiên cứu công khai và các tệp trích xuất trực tiếp từ bản ảnh phần sụn (firmware) của thiết bị IoT thực tế.
  • Phạm vi nghiên cứu:
    • Về loại mã độc: Tập trung phân loại, phát hiện dòng mã độc IoT Botnet lây nhiễm trên các thiết bị IoT hạn chế tài nguyên (IP Camera, Wifi Router, Smart Hub theo tiêu chí phân loại của Bencheton và thống kê của Kaspersky).
    • Về phương pháp tiếp cận: Tập trung vào phương pháp phân tích động (Dynamic Analysis) để xử lý các tệp nhị phân đa kiến trúc vi xử lý, vượt qua các rào cản làm rối mã và đóng gói phần mềm của phân tích tĩnh.

Tổng quan tài liệu và vị trí của luận án

Các hướng nghiên cứu trước

Luận án đã phân tích và điểm lại các công trình khoa học trong và ngoài nước theo từng nhánh tiếp cận:

Hướng phân tích tĩnh và đồ thị chuỗi

  • Ngô Quốc Dũng và cộng sự (2020) sử dụng đồ thị chuỗi in được (Printable String Information - PSI) kết hợp mạng nơ-ron tích chập (CNN) để phát hiện mã độc IoT Botnet, đạt F1-score 98,6%. Hạn chế là phụ thuộc vào khả năng trích xuất chuỗi, giảm hiệu quả khi chuỗi bị mã hóa.
  • Nguyễn Huy Trung và cộng sự (2020) trích xuất đồ thị con PSI-Rooted từ PSI-graph và áp dụng kỹ thuật Subgraph2Vec giảm chiều vector từ 533.564 xuống 140 chiều, kết hợp thuật toán Random Forest đạt ACC = 97,96%. Hạn chế là phương pháp duyệt vét cạn làm tăng độ phức tạp tính toán và phụ thuộc vào dịch ngược tĩnh.
  • Alhanahnah và cộng sự (2018) trích xuất chuỗi in được qua công cụ IDA Pro, áp dụng n-gram (N=4) và thuật toán phân cụm K-means (K=100) với 400 đặc trưng, đạt độ chính xác ACC = 85,97%.
  • Karanja và cộng sự (2020) chuyển đổi tệp nhị phân sang ảnh đa mức xám 8-bit, trích xuất 5 đặc trưng cấu trúc (Entropy, Contrast, Correlation, ASM, IDM), áp dụng Random Forest đạt ACC = 95,0%.

Hướng phân tích động dựa trên luồng dữ liệu mạng (NIDS)

  • Rohan Doshi và cộng sự (2018) trích xuất đặc trưng luồng mạng (kích thước gói, khoảng cách gói, giao thức, băng thông, IP đích), áp dụng KNN, SVM, Decision Tree, Random Forest đạt ACC = 99,80%.
  • Alrashdi và cộng sự (2019) sử dụng 12 đặc trưng từ bộ dữ liệu UNSW-NB15, dùng Random Forest phát hiện IoT Botnet trong Smart City đạt ACC = 99,34%.
  • Prokofiev và cộng sự (2018) chọn 10 đặc trưng luồng mạng, áp dụng Logistic Regression đạt ACC = 97,30%.
  • Wu và cộng sự (2019) trích xuất chuỗi lệnh C&C thu từ IoTPOT bằng n-gram, đạt ACC = 90,0%.
  • Lê Kim Hùng và cộng sự (2020) xây dựng mô hình IMIDS dùng CNN trên dữ liệu UNSW-NB15 và CICIDS2017, đạt độ chính xác trên 95% nhưng còn nhầm lẫn giữa tấn công Backdoor và DDoS.
  • Meidan và cộng sự (2018) trích xuất 115 đặc trưng từ 9 thiết bị IoT thật qua 5 cửa sổ thời gian (N-BaIoT), dùng Deep Autoencoder nén vector đạt FPR = 1,7%.

Hướng phân tích động dựa trên lời gọi hệ thống (HIDS) và tài nguyên thiết bị

  • Breitenbacher và cộng sự (2019) xây dựng hệ thống Hades-IoT IDS dựa trên tập luật phân tích tên, thanh nhớ và tham số lời gọi hệ thống, đạt ACC xấp xỉ 100%.
  • Massimo Ficco và cộng sự (2018) xây dựng mô hình hành vi chuỗi Markov từ chuỗi lời gọi hệ thống, đạt ACC = 89,0%.
  • Shobana và cộng sự (2020) kết hợp N-gram và TF-IDF (n=10) trích xuất 184 đặc trưng lời gọi hệ thống, huấn luyện mạng hồi quy RNN qua 5 epochs trên 200 mẫu mã độc và 200 mẫu lành tính từ IoTPOT, đạt ACC = 98,31%.
  • Alhaidari và cộng sự (2020) áp dụng phương pháp tỉa đặc trưng (Feature pruning), chọn 31/41 đặc trưng từ IoTPOT huấn luyện mô hình Markov ẩn (HMM), đạt ACC = 94,86% nhưng tỉ lệ phát hiện thực tế TPR dưới 50%.
  • Trần Nghi Phú và cộng sự (2020) sử dụng C500-Sandbox trích xuất đặc trưng n-gram của lời gọi hệ thống trên kiến trúc MIPS, đạt F1-score = 97,6% và ACC = 95,6%.
  • Amin Azmoodeh và cộng sự (2018) giám sát điện năng tiêu thụ, dùng KNN đạt ACC = 95,65%.
  • Woosub Jung và cộng sự (2018) dùng thiết bị Monsoon giám sát điện năng tiêu thụ trên Raspberry Pi, áp dụng CNN đạt ACC = 90,0% (theo thống kê tại Bảng 1.3).
  • Shabtai và cộng sự (2010) giám sát CPU, RAM, tiến trình, năng lượng, thanh ghi và thay đổi tệp, dùng Naïve Bayes đạt ACC = 91,22%.
Tác giả Nguồn dữ liệu động Thuật toán học máy Bộ dữ liệu thử nghiệm Độ chính xác (ACC)
Doshi (2018) Luồng mạng Random Forest Tự thu thập 99,80%
Alrashdi (2019) Luồng mạng Random Forest UNSW-NB15 99,34%
Prokofiev (2018) Luồng mạng Logistic Regression Tự thu thập 97,30%
Wu (2019) Luồng mạng (chuỗi lệnh C&C) N-gram IoTPOT 90,00%
Breitenbacher (2019) Lời gọi hệ thống Dựa trên luật (Rule-based) Tự thu thập ≈ 100%
Ficco (2018) Lời gọi hệ thống Chuỗi Markov Tự thu thập 89,00%
Azmoodeh (2018) Chiếm dụng tài nguyên KNN Tự thu thập 95,65%
Jung (2018) Chiếm dụng tài nguyên CNN Tự thu thập 90,00%
Shabtai (2010) Chiếm dụng tài nguyên Naïve Bayes Tự thu thập 91,22%

Khảo sát các hệ thống IoT Sandbox hiện có

  • Cuckoo Sandbox (Oktavianto, 2013): Hoạt động trên VirtualBox/KVM/VMware, phụ thuộc nhiều vào Python, phân tích hạn chế ngoài kiến trúc i386, thiếu thư viện liên kết động và thiếu kết nối C&C.
  • IoTBox (Yin, 2015): Sử dụng QEMU mô phỏng 8 kiến trúc CPU trên OpenWrt, nhưng chỉ chạy thực tế 52 mẫu trên 3 kiến trúc ARM, MIPS, MIPSEL (5 mẫu lỗi do thiếu thư viện), chỉ thu thập lưu lượng mạng.
  • LiSa Sandbox (Daniel Uhricek, 2019): Dựa trên QEMU, dùng SystemTap và thư viện Scacco/dpkt để giám sát MIPS, ARM, i386, x86-64, AArch64 trên 150 mẫu; tuy nhiên thiếu máy chủ giả lập C&C và chưa giải quyết đầy đủ việc thiếu thư viện liên kết động.
  • Limon, REMnux, Detux, Padawan: Hỗ trợ hạn chế về kiến trúc CPU hoặc chỉ thu thập đơn lẻ một loại hành vi.
Sandbox Tự động sinh báo cáo Đa kiến trúc CPU Hỗ trợ thư viện động Kết nối C&C Server Thu thập lời gọi hệ thống Thu thập luồng mạng Thu thập tương tác tệp Thu thập tài nguyên
Cuckoo Có Có Không Không Có Chưa đầy đủ Có Không
IoTBox Có Có Không Không Có Không Không Không
Limon Không Không Không Không Có Có Có Không
REMnux Không Không Không Không Không Có Không Không
Detux Không Có Không Không Có Không Không Không
Padawan Có Có Không Không Không Có Có Không
LiSa Có Có Không Chưa đầy đủ Có Có Có Không

Khoảng trống luận án lựa chọn giải quyết

  1. Xây dựng môi trường Sandbox tự động, đa kiến trúc, bổ sung cơ chế giả lập máy chủ C&C và cơ sở dữ liệu thư viện liên kết động (Shared Object DB) trích xuất từ firmware thật để kích hoạt đầy đủ vòng đời mã độc.
  2. Đề xuất phương pháp cấu trúc hóa lời gọi hệ thống dạng chuỗi thành đồ thị có hướng (DSCG), giữ nguyên tính tuần tự và ngữ cảnh với chi phí tính toán thấp.
  3. Xây dựng mô hình học máy cộng tác kết hợp đa nguồn đặc trưng động (lời gọi hệ thống, mạng, tài nguyên hệ thống) nhằm giải quyết bài toán phát hiện sớm mã độc với lượng dữ liệu thu thập tối thiểu.

Cơ sở lý thuyết và phương pháp nghiên cứu

Cơ sở lý thuyết và khái niệm

  • Khái niệm thiết bị IoT: Định nghĩa theo Kevin Ashton (1999), Madakam (2015), Liên minh Viễn thông Quốc tế ITU (2012) và Khái niệm 1.1 của luận án: "Thiết bị IoT là các thiết bị có khả năng kết nối, chia sẻ dữ liệu, tài nguyên dựa trên các công nghệ thông tin truyền thông tương thích hiện có và đang phát triển, tự phản ứng với thay đổi của môi trường để đạt được một mục tiêu nhất định".
  • Phân loại thiết bị IoT:
    • Theo chức năng (ITU): Thiết bị mang dữ liệu, thiết bị thu thập dữ liệu, thiết bị cảm biến và chấp hành (truyền động), thiết bị đa chức năng.
    • Theo phân tầng (Gartner, Rahman): 5 lớp kiến trúc (thiết bị người dùng cuối, hạ tầng mạng, tiền xử lý/lưu trữ, triển khai ứng dụng/dịch vụ, phân tích dữ liệu).
    • Theo năng lực phần cứng (Bencheton): Thiết bị hạn chế tài nguyên (Constrained resource - CPU, RAM, bộ nhớ Flash thấp, năng lượng giới hạn) và thiết bị hiệu năng cao (High-capacity resource).
  • Khái niệm mã độc IoT Botnet: Khái niệm 1.3 của luận án xác định: "Mã độc IoT Botnet là mã độc có khả năng xâm nhập và lây nhiễm trên các thiết bị IoT hạn chế tài nguyên phục vụ mục đích xây dựng Botnet".
  • Vòng đời IoT Botnet: Luận án chuẩn hóa thành quy trình 5 bước: (1) Khởi tạo mã nguồn; (2) Lây nhiễm (leo thang đặc quyền, tải shellcode/nhị phân); (3) Kết nối C&C server; (4) Thực thi hành vi độc hại (tấn công từ chối dịch vụ); (5) Cập nhật và bảo trì.
Đặc điểm Mã độc Botnet truyền thống Mã độc IoT Botnet
Kiến trúc vi xử lý và Hệ điều hành Tập trung kiến trúc x86, x64 của Intel, AMD; hệ điều hành phổ biến là Windows, Linux, macOS. Đa dạng kiến trúc nhỏ gọn như MIPS, ARM, PowerPC, SPARC; hệ điều hành chủ yếu là Linux nhúng nhân 2.2.
Kỹ thuật gây rối Dùng kỹ thuật gây rối phức tạp để hạn chế phát hiện và phân tích mã nguồn. Ít dùng gây rối phức tạp do hạn chế bộ nhớ; chủ yếu dùng kỹ thuật đơn giản như UPX, XOR.
Mục đích sử dụng Đa mục đích: thu thập dữ liệu cá nhân, tống tiền, đào tiền ảo, từ chối dịch vụ. Tập trung tấn công từ chối dịch vụ phân tán (DDoS) và các biến thể do tính phân tán lớn.
Khả năng phát hiện Dễ phát hiện hơn do có nhiều phần mềm chuyên dụng và người dùng trực tiếp tương tác. Khó phát hiện do thiết bị chạy độc lập, thiếu giao diện đồ họa người dùng (GUI).
Vị trí lưu trữ Lưu trữ trên bộ nhớ bền vững (HDD, SSD) và nhân bản nhiều vị trí. Tải và thực thi trực tiếp trên bộ nhớ không bền vững (RAM) do giới hạn lưu trữ.
Ngăn chặn mã độc khác Thường không tồn tại chức năng này trừ khi có tranh chấp tài nguyên. Thường tích hợp chức năng vô hiệu hóa tiến trình/cổng (như Telnet, SSH) để chặn mã độc khác.
  • Lý thuyết biểu diễn nhúng vector: Kỹ thuật nhúng từ Word2vec (kiến trúc Continuous Bag of Words - CBOW và Skip-gram, hàm kích hoạt Softmax, hàm mất mát Cross Entropy Loss), kỹ thuật nhúng văn bản Doc2vec và nhúng đồ thị Graph2vec.
  • Mô hình hợp nhất dữ liệu: Khung lý thuyết về hợp nhất sớm (Early fusion), hợp nhất muộn (Late fusion) và hợp nhất trung gian (Intermediate fusion).
  • Thuật toán phân lớp học máy: K-Nearest Neighbors (KNN), Support Vector Machines (SVM), Decision Tree (DT), Random Forest (RF).

Phương pháp nghiên cứu

  • Phương pháp phân tích động: Thực thi các mẫu nhị phân ELF bên trong môi trường ảo hóa QEMU có kiểm soát để giám sát và ghi nhận toàn diện các hành vi thời gian chạy.
Phương pháp Phân tích tĩnh Phân tích động
Ưu điểm - Chi tiết hóa toàn bộ luồng điều khiển (CFG) và luồng dữ liệu (DFG).
- Xác định đầy đủ các khả năng kích hoạt của mã thực thi.		 - Xác định dễ dàng tương tác của mã thực thi với môi trường.
- Loại bỏ được kỹ thuật gây rối, đóng gói mã nguồn.
- Dễ dàng phân tích mã độc đa kiến trúc vi xử lý.
Nhược điểm - Khó áp dụng với mã độc sử dụng kỹ thuật gây rối (Obfuscation).
- Phụ thuộc nhiều vào khả năng dịch ngược mã nguồn.
- Độ phức tạp lớn, dễ sai sót với tệp nhị phân đa kiến trúc.		 - Khó xác định đầy đủ các khả năng kích hoạt nếu không đủ điều kiện môi trường.
- Phụ thuộc vào khả năng mô phỏng và giám sát của Sandbox.
- Tiềm ẩn nguy cơ lây nhiễm ra ngoài nếu cách ly không tốt.
  • Giám sát đa tác tử: Sử dụng hệ thống tác tử chuyên biệt để thu thập đồng thời 4 luồng dữ liệu: SystemCall agent (lời gọi hệ thống), File agent (tương tác tệp), Host performance agent (tài nguyên CPU/RAM), Network agent (lưu lượng mạng).
  • Mô hình hóa đồ thị có hướng: Biểu diễn chuỗi lời gọi hệ thống tuần tự thành đồ thị có hướng DSCG, chuyển đổi sang định dạng .gexf và áp dụng Graph2vec để trích xuất vector đặc trưng.
  • Học máy cộng tác: Tích hợp đa bộ phân lớp thành phần huấn luyện trên các nhóm đặc trưng riêng biệt qua hàm hợp nhất (Fusion Component) nhằm tối ưu hóa độ chính xác và rút ngắn thời gian phát hiện.

Nguồn tư liệu và dữ liệu

  • Mẫu tệp ELF thu thập từ hệ thống bẫy mạng Honeypot IoTPOT, các kho chia sẻ mã độc quốc tế và tệp nhị phân trích xuất từ firmware thiết bị mạng thực tế (Router Netgear WNAP320, thiết bị trích xuất C500-Extractor).
  • Các bộ dữ liệu luồng mạng chuẩn: UNSW-NB15, KDD99, NSL-KDD, N-BaIoT, CSE-CIC-IDS2018 (sử dụng công cụ CICFlowMeter-V3 trích xuất 80 đặc trưng).

Nội dung chính theo từng chương

Chương 1: Tổng quan về thiết bị IoT và mã độc IoT Botnet

Chương 1 hệ thống hóa cơ sở lý luận về thiết bị IoT và mã độc IoT Botnet. Tác giả phân tích dữ liệu thống kê từ IoT Analytics cho thấy giai đoạn 2018–2025 số lượng thiết bị truyền thống chỉ tăng 18% (từ 10,8 tỷ lên 12,7 tỷ), trong khi thiết bị IoT tăng hơn 200% (từ 7 tỷ lên 21,5 tỷ). Chương này trình bày chi tiết các điểm yếu an ninh trên thiết bị IoT hạn chế tài nguyên thông qua khảo sát Shodan (phát hiện 150 hệ thống Niagara SCADA, 154 camera giao thông dùng mật khẩu mặc định, 19.583 máy in HP lỗi firmware) và nghiên cứu của Andrei Costin trên 32.256 firmware (phát hiện hơn 38 lỗ hổng mới, trích xuất 35.000 khóa bí mật RSA).

Tác giả phân tích chu trình 7 bước của Kolias đối với Mirai (quét brute-force với 62 cặp tài khoản mặc định, gửi dữ liệu về Report server qua Tor, điều phối Loader server nạp mã qua wget/FTP, tắt dịch vụ Telnet/SSH để độc chiếm thiết bị, kích hoạt tấn công DDoS). Trên cơ sở đó, chương 1 so sánh phương pháp phân tích tĩnh và phân tích động, khảo sát các nghiên cứu liên quan sử dụng 3 nhóm dữ liệu động (mạng, lời gọi hệ thống, tài nguyên phần cứng) cùng 7 hệ thống Sandbox hiện có, làm rõ căn cứ khoa học cho các đề xuất ở các chương tiếp theo.

Chương 2: Xây dựng môi trường Sandbox thu thập hiệu quả dữ liệu hành vi của mã độc IoT Botnet

Chương 2 trình bày kiến trúc và quy trình triển khai môi trường V-Sandbox nhằm khắc phục các giới hạn của các hệ thống Sandbox trước đó. V-Sandbox được thiết kế dưới dạng mã nguồn mở, vận hành tự động, hỗ trợ đa kiến trúc vi xử lý (MIPS, ARM, PowerPC...).

Kiến trúc V-Sandbox bao gồm 8 khối chức năng chính:

  • EME (ELF Metadata Extraction): Sử dụng các công cụ readelf và ldd để trích xuất header ELF, kiến trúc CPU mục tiêu và danh sách thư viện liên kết động yêu cầu.
  • SCG (Sandbox Configuration Generation): Tự động sinh tệp cấu hình tham số khởi tạo môi trường thực thi phù hợp cho từng mẫu nhị phân.
  • SE (Sandbox Environment): Môi trường thực thi cách ly dựa trên QEMU, tích hợp hệ thống 4 tác tử giám sát hành vi: SystemCall agent, File agent, Host performance agent và Network agent.
  • RDP (Raw Data Preprocessing): Tiền xử lý dữ liệu thô thu thập được từ các tác tử và cập nhật tệp cấu hình.
  • SR (Sandbox Rerun): Khối tính toán khả năng thực thi lại nhằm phân tích nguyên nhân lỗi (như thiếu thư viện) để tái khởi chạy mẫu trong điều kiện môi trường tối ưu.
  • C&C Simulator: Giả lập máy chủ ra lệnh và điều khiển, cung cấp các phản hồi phù hợp để kích hoạt các hành vi độc hại tiềm ẩn của Botnet.
  • Shared Object DB: Cơ sở dữ liệu lưu trữ các thư viện liên kết động được trích xuất từ các firmware thực tế (như Router Netgear WNAP320 thông qua thiết bị C500-Extractor).
  • Report: Tự động tổng hợp dữ liệu từ 4 tác tử và xuất báo cáo hành vi tổng thể.

Kết quả thử nghiệm thực tế đối chiếu giữa V-Sandbox, LiSa Sandbox và Cuckoo Sandbox chứng minh V-Sandbox có khả năng thực thi thành công các mẫu ELF bị lỗi trên các nền tảng khác nhờ cơ chế nạp thư viện động từ Shared Object DB và thu thập đầy đủ 4 luồng dữ liệu động.

Chương 3: Đặc trưng đồ thị lời gọi hệ thống có hướng trong phát hiện mã độc IoT Botnet

Chương 3 đề xuất giải pháp trích xuất đặc trưng mới dựa trên đồ thị lời gọi hệ thống có hướng DSCG (Directed System Call Graph). Chuỗi lời gọi hệ thống thu được từ SystemCall agent của V-Sandbox được mô hình hóa thành cấu trúc đồ thị có hướng $G = (V, E)$, trong đó tập đỉnh $V$ biểu diễn các lời gọi hệ thống duy nhất và tập cạnh có hướng $E$ biểu diễn quan hệ gọi tuần tự trực tiếp giữa chúng.

Quy trình xử lý dữ liệu bao gồm:

  1. Trích xuất vết thực thi chuỗi lời gọi hệ thống từ môi trường V-Sandbox.
  2. Xây dựng đồ thị DSCG và lưu trữ dưới định dạng chuẩn .gexf.
  3. Áp dụng kỹ thuật nhúng đồ thị Graph2vec (so sánh đối chứng với kỹ thuật Doc2vec) để chuyển đổi cấu trúc đồ thị thành các vector đặc trưng số học có số chiều cố định, bảo toàn cấu trúc không gian và tính tuần tự của hành vi.
  4. Đưa vector đặc trưng vào huấn luyện các thuật toán học máy phân loại: KNN, SVM, Decision Tree (DT) và Random Forest (RF).

Thực nghiệm đánh giá mô hình được triển khai trên tập dữ liệu thử nghiệm theo các kịch bản phân chia tập huấn luyện/kiểm thử khác nhau, tối ưu hóa các siêu tham số và phân tích hiệu năng thông qua đường cong ROC, chỉ số độ chính xác (ACC), F1-score, tỉ lệ dương tính thật (TPR) và âm tính giả (FPR). Kết quả cho thấy phương pháp DSCG kết hợp Graph2vec đạt hiệu năng phân lớp cao và giảm thiểu độ phức tạp so với các kỹ thuật phân tích đồ thị tĩnh trước đây.

Chương 4: Mô hình học máy cộng tác phát hiện sớm mã độc IoT Botnet

Chương 4 giải quyết bài toán phát hiện sớm mã độc IoT Botnet với lượng dữ liệu thu thập tối thiểu và thời gian thực thi ngắn nhất. Tác giả khảo sát các kỹ thuật hợp nhất dữ liệu (hợp nhất sớm, hợp nhất muộn, hợp nhất trung gian) và đề xuất mô hình học máy cộng tác đa thành phần.

Kiến trúc mô hình gồm 6 khối chức năng:

  • SC (Sandbox Component): Môi trường V-Sandbox phục vụ kích hoạt và thu thập hành vi.
  • PPDC (Pre-Processing Data Component): Tiền xử lý song song 3 luồng dữ liệu động: chuỗi lời gọi hệ thống, lưu lượng gói tin mạng và thông số chiếm dụng tài nguyên hệ thống (CPU, RAM).
  • DNC (Data Normalization Component): Chuẩn hóa dữ liệu sau tiền xử lý để đồng nhất không gian biểu diễn.
  • Feature Selection: Trích chọn tập đặc trưng tối ưu có độ lợi thông tin cao từ từng nhóm dữ liệu.
  • MLC (Machine Learning Classifier): Các bộ phân lớp học máy đơn lẻ được huấn luyện độc lập trên từng không gian đặc trưng chuyên biệt.
  • FC (Fusion Component): Hàm hợp nhất kết quả đầu ra từ các bộ phân lớp MLC để đưa ra quyết định phân loại cuối cùng.

Thực nghiệm đánh giá mô hình phân tích thống kê phân bố đặc trưng giữa mẫu mã độc và mẫu lành tính. Tác giả triển khai kiểm nghiệm qua 2 kịch bản: phân tích 1 pha (Single-phase) và phân tích 2 pha (Two-phase) nhằm tối ưu thời gian phát hiện sớm. Kết quả thử nghiệm trên Dataset và kiểm chứng độc lập trên các mẫu nằm ngoài Dataset khẳng định mô hình cộng tác có khả năng đưa ra dự báo chính xác trong giai đoạn đầu thực thi của mã độc, tiết kiệm đáng kể tài nguyên giám sát.

Kết quả và những đóng góp mới

Các đóng góp mới của luận án

Theo công bố của tác giả, luận án mang lại 3 đóng góp khoa học chính:

  1. Xây dựng hệ thống V-Sandbox tự động và mã nguồn mở: Tạo lập thành công môi trường Sandbox chuyên dụng cho mã độc IoT Botnet, giải quyết triệt để hạn chế của các hệ thống trước đây nhờ tích hợp máy chủ giả lập C&C (C&C Simulator) và cơ sở dữ liệu thư viện liên kết động (Shared Object DB) trích xuất từ firmware thực tế. Hệ thống cho phép mã độc thực thi trọn vẹn vòng đời và thu thập đồng thời 4 luồng dữ liệu động (lời gọi hệ thống, tệp tin, mạng, hiệu năng tài nguyên).
  2. Đề xuất đặc trưng đồ thị lời gọi hệ thống có hướng (DSCG): Xây dựng phương pháp biểu diễn tuần tự chuỗi lời gọi hệ thống dưới dạng đồ thị có hướng DSCG kết hợp kỹ thuật nhúng Graph2vec. Giải pháp bảo toàn tính tuần tự và cấu trúc ngữ cảnh của hành vi với độ phức tạp tính toán thấp, tương thích tốt với các thuật toán học máy phân lớp cơ bản.
  3. Đề xuất mô hình học máy cộng tác phát hiện sớm mã độc: Xây dựng mô hình phân loại đa luồng kết hợp linh hoạt các đặc trưng từ lời gọi hệ thống, lưu lượng mạng và chiếm dụng tài nguyên thông qua hàm hợp nhất dữ liệu. Mô hình đạt độ chính xác cao với yêu cầu dữ liệu động tối thiểu, rút ngắn thời gian phát hiện mã độc IoT Botnet trên các thiết bị hạn chế tài nguyên.

Kiến nghị và giải pháp đề xuất

  • Ứng dụng V-Sandbox làm công cụ kiểm định tự động các tệp thực thi và bản nạp firmware trước khi triển khai thực tế trên các thiết bị IoT dân sự và công nghiệp.
  • Tích hợp mô hình học máy cộng tác vào các thiết bị cổng an ninh (IoT Security Gateway) và các hệ thống phát hiện xâm nhập (NIDS/HIDS) tại biên mạng để nhận diện sớm các cuộc tấn công Botnet.
  • Mở rộng cơ sở dữ liệu Shared Object DB bằng cách tiếp tục trích xuất và cập nhật thư viện từ các dòng thiết bị IoT mới trên thị trường.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế của luận án

  • Đối tượng thử nghiệm tập trung chủ yếu vào các tệp thực thi định dạng ELF chạy trên nhân Linux của các thiết bị IoT hạn chế tài nguyên; chưa bao quát các hệ điều hành thời gian thực (RTOS) hoặc các nền tảng nhúng chuyên biệt khác.
  • Môi trường V-Sandbox vận hành trên nền tảng mô phỏng ảo hóa QEMU, do đó chưa giải quyết triệt để các kỹ thuật né tránh môi trường ảo hóa tinh vi (anti-emulation / anti-sandbox) nếu mã độc kiểm tra trực tiếp phần cứng vật lý đặc thù.
  • Việc thu thập đầy đủ 4 luồng dữ liệu đòi hỏi hạ tầng máy chủ phân tích có cấu hình phù hợp để vận hành nhiều máy ảo song song.

Hướng nghiên cứu tiếp

  • Mở rộng phạm vi trích xuất và làm giàu cơ sở dữ liệu thư viện liên kết động (Shared Object DB) cho nhiều chủng loại thiết bị và hãng sản xuất phần sụn khác nhau.
  • Nghiên cứu hoàn thiện cơ chế phát hiện sớm với số lượng pha phân tích động linh hoạt hơn, tối ưu hóa độ trễ phân loại về mức mili-giây.
  • Thử nghiệm đóng gói mô hình học máy cộng tác để cài đặt thử nghiệm trực tiếp trên các phần cứng nhúng biên (Edge AI) có giới hạn năng lượng.

Giá trị tham khảo

Đối tượng thụ hưởng và nội dung tham khảo

  • Nghiên cứu sinh, học viên cao học và giảng viên ngành Hệ thống thông tin, An toàn thông tin, Khoa học máy tính:
    • Tham khảo phương pháp luận phân tích động mã độc IoT đa kiến trúc vi xử lý tại Chương 1 và Chương 2.
    • Sử dụng phương pháp mô hình hóa đồ thị lời gọi hệ thống có hướng (DSCG) và kỹ thuật nhúng Graph2vec tại Chương 3 làm tài liệu nghiên cứu về biểu diễn đặc trưng hành vi.
    • Kế thừa khung lý thuyết và giải thuật của mô hình học máy cộng tác (Chương 4) để phát triển các mô hình phát hiện sớm các dòng mã độc mới.
  • Kỹ sư an toàn thông tin và chuyên gia phân tích mã độc:
    • Tham khảo kiến trúc V-Sandbox để tự xây dựng hệ thống Sandbox mã nguồn mở phục vụ phân tích động tự động các tệp ELF trên kiến trúc MIPS, ARM.
    • Vận dụng kỹ thuật trích xuất thư viện liên kết động từ firmware thực tế (khối Shared Object DB và công cụ trích xuất C500-Extractor) để nâng cao tỉ lệ thực thi thành công của mẫu mã độc trong phòng thí nghiệm.
  • Nhà quản trị hệ thống và người làm chính sách an ninh mạng:
    • Tham khảo các phân tích về vòng đời mã độc IoT Botnet và các nguy cơ từ lỗ hổng phần sụn để xây dựng quy chuẩn an toàn thông tin cho việc mua sắm, triển khai thiết bị IoT trong cơ quan, doanh nghiệp.

Câu hỏi thường gặp

1. Tại sao luận án lựa chọn phương pháp phân tích động thay vì phân tích tĩnh?

Phương pháp phân tích tĩnh gặp trở ngại lớn trước các kỹ thuật gây rối mã nguồn (obfuscation), nén đóng gói (packing) và sự phức tạp khi phải dịch ngược mã nhị phân đa kiến trúc vi xử lý (MIPS, ARM, PowerPC...). Phân tích động cho phép quan sát trực tiếp hành vi thực tế của tệp ELF khi tương tác với hệ điều hành và mạng, giúp nhận diện chính xác bản chất độc hại mà không phụ thuộc vào mã nguồn có bị làm rối hay không.

2. Hệ thống V-Sandbox giải quyết các nhược điểm nào của Cuckoo Sandbox và LiSa Sandbox?

Các hệ thống như Cuckoo hay LiSa thường gặp lỗi khi chạy mẫu mã độc IoT do thiếu các thư viện liên kết động tương thích và không thu thập được hành vi mạng khi thiếu máy chủ điều khiển. V-Sandbox khắc phục triệt để nhờ tích hợp C&C Simulator (giả lập máy chủ ra lệnh) và khối Shared Object DB (cơ sở dữ liệu thư viện động trích xuất từ firmware thật), đồng thời tự động thu thập đồng thời 4 luồng dữ liệu: lời gọi hệ thống, tệp, mạng và tài nguyên.

3. Ưu điểm của việc biểu diễn lời gọi hệ thống dưới dạng đồ thị DSCG là gì?

Khác với cách tiếp cận coi lời gọi hệ thống là các biến rời rạc độc lập (làm mất thứ tự thực thi) hoặc chuỗi văn bản thuần túy (kém linh hoạt), đồ thị lời gọi hệ thống có hướng (DSCG) mô hình hóa chính xác quan hệ tuần tự và ngữ cảnh tương tác giữa các hàm hệ thống. Khi kết hợp với kỹ thuật nhúng Graph2vec, DSCG chuyển đổi hành vi thành vector có số chiều cố định với chi phí tính toán thấp, giúp các thuật toán học máy đơn giản đạt độ chính xác phân loại cao.

4. Mô hình học máy cộng tác trong Chương 4 kết hợp những nhóm đặc trưng nào?

Mô hình kết hợp 3 nhóm đặc trưng động được trích xuất từ V-Sandbox gồm: đặc trưng chuỗi lời gọi hệ thống (system calls), đặc trưng lưu lượng gói tin mạng (network traffic) và đặc trưng chiếm dụng tài nguyên thiết bị (CPU, RAM). Các luồng đặc trưng này được huấn luyện song song qua các bộ phân lớp thành phần và tổng hợp kết quả thông qua hàm hợp nhất (Fusion Component) nhằm tối ưu hóa thời gian phát hiện sớm.

5. Mã độc IoT Botnet lây nhiễm và thực thi theo chu trình gồm những bước nào?

Theo tổng kết của luận án, vòng đời của IoT Botnet gồm 5 bước cơ bản:

  1. Khởi tạo mã nguồn và dò quét lỗ hổng/mật khẩu mặc định của thiết bị mục tiêu;
  2. Lây nhiễm và leo thang đặc quyền để tải tệp nhị phân thực thi ELF phù hợp với kiến trúc CPU;
  3. Kết nối với máy chủ C&C server để gia nhập mạng Botnet;
  4. Thực thi hành vi độc hại (chủ yếu là tấn công từ chối dịch vụ DDoS) theo lệnh nhận được;
  5. Cập nhật mã nguồn và vô hiệu hóa các dịch vụ điều khiển từ xa để ngăn chặn các dòng mã độc khác xâm nhập.

Kết luận

Luận án tiến sĩ của tác giả Lê Hải Việt (2022) đã giải quyết toàn diện bài toán phân tích và phát hiện mã độc IoT Botnet trên các thiết bị hạn chế tài nguyên bằng phương pháp phân tích động. Công trình đã xây dựng thành công hệ thống V-Sandbox tự động đa kiến trúc tích hợp C&C Simulator và Shared Object DB, đề xuất phương pháp biểu diễn đặc trưng đồ thị lời gọi hệ thống có hướng DSCG nhúng qua Graph2vec, đồng thời thiết lập mô hình học máy cộng tác đa luồng cho phép phát hiện sớm mã độc với lượng dữ liệu tối thiểu. Các kết quả nghiên cứu cung cấp cơ sở lý thuyết và công cụ thực nghiệm có giá trị ứng dụng cao cho công tác đảm bảo an toàn thông tin trên hạ tầng mạng IoT.