Luận văn: Hệ thống phát hiện xâm nhập mạng dựa trên phát hiện bất thường

Luận văn về hệ thống phát hiện xâm nhập mạng dựa trên phát hiện bất thường. Nghiên cứu chuyên sâu về an ninh mạng, các phương pháp phát hiện và phòng chống xâm nhập hiệu quả.

• Tác giả: Hoang Thanh Tung
• Người hướng dẫn: PGS.TS Nguyễn Linh Giang
• Trường học: Trường Đại học Bách Khoa Hà Nội
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Hệ thống phát hiện xâm nhập mạng dựa theo phát hiện bất thường
• Loại tài liệu: Luận văn thạc sỹ
• Năm xuất bản: 2018
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• MỤC LỤC
• DANH MỤC HÌNH VẼ
• DANH MỤC BẢNG BIẾU
• MỞ ĐẦU
• 1. CHƯƠNG 1: TỔNG QUAN PHÁT HIỆN XÂM NHẬP MẠNG DỰA TRÊN BẤT THƯỜNG
• 1.1. Tổng quan về tình hình...
• 3. CHƯƠNG 3: ÁP DỤNG KỸ THUẬT PHÁT HIỆN BẤT THƯỜNG THEO CHUỖI THỜI GIAN TRONG PHÁT HIỆN XÂM NHẬP MẠNG
• 3.1. Yêu cầu hệ thống cần xây dựng
• 3.2. Các công cụ, giải pháp đã có để giải quyết bài toán thực tế
• 3.3. Mô hình triển khai phát hiện xâm nhập mạng sử dụng kỹ thuật phát hiện bất thường theo chuỗi thời gian
• 4. CHƯƠNG 4: CÀI ĐẶT VÀ ĐÁNH GIÁ KẾT QUẢ THỬ NGHIỆM
• 4.1. Cài đặt hệ thống
• 4.2. Các kịch bản phát hiện xâm nhập mạng dựa trên bất thường
• 4.3. Dữ liệu thử nghiệm
• 4.4. Đánh giá kết quả thử nghiệm
• KẾT LUẬN
• DANH MỤC TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Hệ Thống Phát Hiện Xâm Nhập Mạng IDS Mới

Trong bối cảnh an ninh mạng ngày càng trở nên phức tạp, việc bảo vệ hệ thống khỏi các cuộc tấn công là vô cùng quan trọng. Hệ thống phát hiện xâm nhập mạng (IDS) đóng vai trò then chốt trong việc giám sát và phát hiện các hoạt động đáng ngờ. Các hệ thống IDS truyền thống thường dựa trên việc so sánh lưu lượng mạng với các mẫu tấn công đã biết (Signature-based intrusion detection), nhưng phương pháp này gặp khó khăn trong việc phát hiện các tấn công mới, chưa từng được ghi nhận. Do đó, IDS dựa trên phát hiện bất thường nổi lên như một giải pháp hiệu quả, có khả năng phát hiện các hành vi khác lạ so với trạng thái bình thường của hệ thống. Anomaly-based intrusion detection sử dụng các thuật toán thống kê, machine learning trong IDS và deep learning trong IDS để xây dựng mô hình hoạt động bình thường, từ đó xác định các điểm khác biệt đáng chú ý. Cách tiếp cận này giúp IDS có thể nhận diện các tấn công zero-day và các biến thể của các tấn công đã biết. Tuy nhiên, việc triển khai IDS dựa trên phát hiện bất thường cũng đặt ra nhiều thách thức, bao gồm việc thu thập và xử lý lượng lớn dữ liệu mạng, lựa chọn thuật toán phù hợp và giảm thiểu tỷ lệ báo động giả. Cần có sự kết hợp giữa các kỹ thuật phát hiện xâm nhập khác nhau để tạo ra một hệ thống phòng thủ toàn diện.

1.1. Phân tích tầm quan trọng của an ninh mạng hiện nay

Trong kỷ nguyên số, mọi hoạt động đều phụ thuộc vào mạng máy tính, từ giao dịch tài chính đến trao đổi thông tin cá nhân. Điều này biến Cybersecurity trở thành một yếu tố sống còn. Các cuộc tấn công mạng không chỉ gây thiệt hại về tài chính mà còn ảnh hưởng đến uy tín, làm gián đoạn hoạt động và thậm chí đe dọa đến an ninh quốc gia. Theo thống kê, số lượng và mức độ tinh vi của các cuộc tấn công mạng đang gia tăng nhanh chóng, đòi hỏi các tổ chức phải liên tục nâng cao khả năng phòng thủ. Việc phòng chống xâm nhập mạng là một quá trình liên tục, đòi hỏi sự đầu tư về công nghệ, con người và quy trình. Các giải pháp bảo mật cần được cập nhật thường xuyên để đối phó với các mối đe dọa mới nhất.

1.2. Giới thiệu về các loại hệ thống phát hiện xâm nhập IDS

Có nhiều loại hệ thống phát hiện xâm nhập mạng khác nhau, mỗi loại có ưu và nhược điểm riêng. Signature-based intrusion detection dựa trên việc so sánh lưu lượng mạng với các mẫu tấn công đã biết, có độ chính xác cao nhưng không thể phát hiện các tấn công mới. Anomaly-based intrusion detection xây dựng mô hình hoạt động bình thường và phát hiện các hành vi khác lạ, có khả năng phát hiện các tấn công zero-day. Hybrid intrusion detection system kết hợp cả hai phương pháp để tận dụng ưu điểm của cả hai. Ngoài ra, IDS có thể được phân loại theo vị trí triển khai, bao gồm Network Intrusion Detection System (NIDS) và Host Intrusion Detection System (HIDS). NIDS giám sát lưu lượng mạng, trong khi HIDS giám sát hoạt động trên một máy chủ cụ thể.

II. Vấn Đề Với Phát Hiện Xâm Nhập Mạng Truy Thống IDS

Các hệ thống IDS truyền thống, đặc biệt là các hệ thống dựa trên chữ ký (Signature-based intrusion detection), có nhiều hạn chế trong việc đối phó với các cuộc tấn công hiện đại. Một trong những vấn đề lớn nhất là khả năng phát hiện các tấn công zero-day, tức là các tấn công chưa từng được biết đến trước đây. Các hệ thống này chỉ có thể phát hiện các tấn công mà chúng đã được lập trình để nhận biết, khiến chúng trở nên dễ bị tấn công bởi các mối đe dọa mới nổi. Hơn nữa, việc duy trì và cập nhật các cơ sở dữ liệu chữ ký liên tục là một thách thức lớn, đòi hỏi nhiều nguồn lực và thời gian. Ngay cả khi cơ sở dữ liệu được cập nhật thường xuyên, vẫn có một khoảng thời gian trễ giữa thời điểm một cuộc tấn công mới xuất hiện và thời điểm chữ ký của nó được thêm vào cơ sở dữ liệu. Điều này tạo ra một khoảng trống bảo mật mà kẻ tấn công có thể khai thác. Ngoài ra, các hệ thống IDS truyền thống thường tạo ra nhiều báo động giả, gây lãng phí thời gian và nguồn lực của các chuyên gia an ninh mạng. Việc phân tích và xác định các báo động giả này có thể rất tốn thời gian và công sức, khiến các chuyên gia bỏ lỡ các cuộc tấn công thực sự.

2.1. Khó khăn trong việc phát hiện tấn công zero day

Tấn công zero-day là những cuộc tấn công khai thác các lỗ hổng bảo mật chưa được biết đến. IDS dựa trên hành vi không thể phát hiện loại tấn công này một cách hiệu quả vì chúng không có chữ ký để so sánh. Điều này tạo ra một lỗ hổng lớn trong hệ thống phòng thủ, cho phép kẻ tấn công xâm nhập và gây thiệt hại mà không bị phát hiện. Để đối phó với vấn đề này, các nhà nghiên cứu và phát triển đang tập trung vào việc phát triển các thuật toán phát hiện bất thường có khả năng nhận diện các hành vi đáng ngờ dựa trên phân tích lưu lượng mạng và hoạt động hệ thống, thay vì chỉ dựa vào các mẫu tấn công đã biết. Việc sử dụng machine learning trong IDS và deep learning trong IDS là một hướng đi đầy hứa hẹn.

2.2. Vấn đề báo động giả và ảnh hưởng của nó

Báo động giả là một vấn đề nghiêm trọng trong hệ thống phát hiện xâm nhập mạng. Khi IDS tạo ra quá nhiều báo động giả, các chuyên gia an ninh mạng có thể trở nên mệt mỏi và bỏ qua các cảnh báo, dẫn đến việc bỏ lỡ các cuộc tấn công thực sự. Để giảm thiểu tỷ lệ báo động giả, cần phải tinh chỉnh các quy tắc và thuật toán phát hiện, đồng thời sử dụng các kỹ thuật mô hình hóa bất thường tiên tiến hơn. Việc sử dụng dữ liệu huấn luyện cho IDS chất lượng cao và đa dạng cũng rất quan trọng để cải thiện độ chính xác của hệ thống.

III. Cách Xây Dựng IDS Dựa Trên Phát Hiện Bất Thường Hiệu Quả

Để xây dựng một IDS dựa trên phát hiện bất thường hiệu quả, cần phải xem xét nhiều yếu tố, bao gồm việc lựa chọn thuật toán phát hiện bất thường phù hợp, thu thập và xử lý dữ liệu, và đánh giá hiệu năng của hệ thống. Việc lựa chọn thuật toán phù hợp phụ thuộc vào loại dữ liệu mạng, môi trường triển khai và yêu cầu về hiệu năng. Các thuật toán phổ biến bao gồm các phương pháp thống kê, machine learning trong IDS và deep learning trong IDS. Việc thu thập và xử lý dữ liệu huấn luyện cho IDS là một bước quan trọng để đảm bảo rằng hệ thống có thể học được các mẫu hoạt động bình thường. Phân tích lưu lượng mạng một cách chi tiết là cần thiết để xác định các đặc trưng quan trọng có thể được sử dụng để phân biệt giữa hoạt động bình thường và bất thường. Việc đánh giá hiệu năng của IDS là cần thiết để đảm bảo rằng hệ thống hoạt động hiệu quả và đáp ứng các yêu cầu về bảo mật.

3.1. Lựa chọn thuật toán phát hiện bất thường phù hợp

Việc lựa chọn thuật toán phát hiện bất thường là một quyết định quan trọng, ảnh hưởng trực tiếp đến hiệu năng của hệ thống. Các thuật toán thống kê như độ lệch chuẩn và phân phối Gaussian có thể đơn giản và hiệu quả trong một số trường hợp, nhưng chúng có thể không phù hợp với các dữ liệu phức tạp và phi tuyến tính. Các thuật toán machine learning trong IDS như Support Vector Machines (SVM) và Random Forests có thể xử lý các dữ liệu phức tạp hơn, nhưng chúng đòi hỏi nhiều tài nguyên tính toán hơn. Các thuật toán deep learning trong IDS như mạng nơ-ron tích chập (CNN) và mạng nơ-ron hồi quy (RNN) có khả năng học các biểu diễn phức tạp từ dữ liệu, nhưng chúng đòi hỏi lượng lớn dữ liệu huấn luyện cho IDS và có thể khó giải thích hơn.

3.2. Thu thập và xử lý dữ liệu cho phát hiện bất thường

Việc thu thập và xử lý dữ liệu huấn luyện cho IDS là một bước quan trọng để xây dựng một IDS dựa trên phát hiện bất thường hiệu quả. Dữ liệu cần được thu thập từ nhiều nguồn khác nhau, bao gồm lưu lượng mạng, nhật ký hệ thống và dữ liệu ứng dụng. Dữ liệu cần được làm sạch, chuyển đổi và chuẩn hóa để đảm bảo chất lượng và tính nhất quán. Các kỹ thuật feature extraction intrusion detection có thể được sử dụng để trích xuất các đặc trưng quan trọng từ dữ liệu, giúp giảm thiểu kích thước dữ liệu và cải thiện hiệu năng của thuật toán phát hiện bất thường. Việc sử dụng Big data intrusion detection là cần thiết để xử lý lượng lớn dữ liệu mạng.

3.3. Ứng dụng Machine Learning để cải thiện độ chính xác IDS

Machine learning (ML) đã chứng minh được khả năng cải thiện đáng kể độ chính xác của IDS. Bằng cách học hỏi từ dữ liệu huấn luyện cho IDS, các mô hình ML có thể nhận diện các mẫu tấn công một cách hiệu quả. Các thuật toán như SVM, Random Forest, và mạng nơ-ron được sử dụng rộng rãi. Quá trình huấn luyện mô hình ML bao gồm việc cung cấp dữ liệu đã được gắn nhãn (tấn công hoặc không tấn công), cho phép mô hình học cách phân biệt giữa hai loại. Sau khi huấn luyện, mô hình có thể được sử dụng để phân loại lưu lượng mạng mới, cảnh báo về các hoạt động đáng ngờ. Đánh giá hiệu năng IDS là bước quan trọng để đảm bảo mô hình hoạt động tốt trong môi trường thực tế.

IV. Ứng Dụng Thực Tế Đánh Giá Hiệu Năng Hệ Thống IDS

Để đánh giá hiệu năng của một IDS dựa trên phát hiện bất thường, cần phải sử dụng các bộ dữ liệu kiểm thử tiêu chuẩn và các chỉ số đánh giá phù hợp. Các bộ dữ liệu kiểm thử tiêu chuẩn như NSL-KDD và UNSW-NB15 cung cấp dữ liệu mạng có gắn nhãn, cho phép đánh giá độ chính xác của IDS trong việc phát hiện các loại tấn công khác nhau. Các chỉ số đánh giá phổ biến bao gồm độ chính xác, độ thu hồi, độ đo F1 và tỷ lệ báo động giả. Việc đánh giá hiệu năng IDS cần được thực hiện trong một môi trường mô phỏng thực tế để đảm bảo rằng kết quả đánh giá phản ánh chính xác khả năng của hệ thống trong môi trường thực tế. Ngoài ra, cần phải so sánh hiệu năng của hệ thống với các hệ thống IDS khác để xác định điểm mạnh và điểm yếu của hệ thống.

4.1. Sử dụng bộ dữ liệu kiểm thử tiêu chuẩn để đánh giá

Các bộ dữ liệu kiểm thử tiêu chuẩn đóng vai trò quan trọng trong việc đánh giá hiệu năng IDS một cách khách quan và so sánh được. NSL-KDD là một bộ dữ liệu phổ biến, được xây dựng dựa trên bộ dữ liệu KDD Cup 1999, nhưng đã được cải thiện để giải quyết một số vấn đề như loại bỏ các bản ghi trùng lặp. UNSW-NB15 là một bộ dữ liệu mới hơn, chứa dữ liệu mạng thực tế và các loại tấn công hiện đại hơn. Việc sử dụng các bộ dữ liệu này giúp đảm bảo rằng kết quả đánh giá hiệu năng IDS là đáng tin cậy và có thể so sánh được với các nghiên cứu khác.

4.2. Các chỉ số đánh giá hiệu năng IDS quan trọng

Có nhiều chỉ số có thể được sử dụng để đánh giá hiệu năng IDS, nhưng một số chỉ số quan trọng nhất bao gồm độ chính xác (accuracy), độ thu hồi (recall), độ đo F1 (F1-score) và tỷ lệ báo động giả (false positive rate). Độ chính xác đo lường tỷ lệ các dự đoán đúng trên tổng số dự đoán. Độ thu hồi đo lường tỷ lệ các cuộc tấn công thực sự được phát hiện. Độ đo F1 là trung bình điều hòa của độ chính xác và độ thu hồi. Tỷ lệ báo động giả đo lường tỷ lệ các bản ghi bình thường bị gắn nhãn là tấn công. Việc sử dụng kết hợp các chỉ số này giúp cung cấp một cái nhìn toàn diện về hiệu năng của IDS.

V. Luận Văn IDS Xu Hướng Nghiên Cứu Và Hướng Phát Triển Mới

Nghiên cứu về IDS dựa trên phát hiện bất thường vẫn đang tiếp tục phát triển, với nhiều hướng nghiên cứu mới nổi lên. Một trong những hướng nghiên cứu quan trọng nhất là việc sử dụng deep learning trong IDS để xây dựng các mô hình phát hiện bất thường phức tạp hơn. Một hướng nghiên cứu khác là việc phát triển các hệ thống phát hiện xâm nhập thời gian thực, có khả năng phát hiện và phản ứng với các cuộc tấn công trong thời gian thực. Ngoài ra, việc tích hợp IDS với các hệ thống an ninh mạng khác, chẳng hạn như tường lửa và hệ thống ngăn chặn xâm nhập, là một xu hướng quan trọng. Luận văn IDS cũng tập trung vào việc cải thiện khả năng giải thích của các mô hình phát hiện bất thường, giúp các chuyên gia an ninh mạng hiểu rõ hơn về lý do tại sao một hành vi cụ thể bị coi là bất thường.

5.1. Tích hợp dữ liệu lớn và IDS Thách thức và cơ hội

Việc tích hợp Big data intrusion detection với IDS mang lại nhiều cơ hội để cải thiện khả năng phát hiện và ứng phó với các cuộc tấn công mạng. Tuy nhiên, nó cũng đặt ra nhiều thách thức về hiệu năng, khả năng mở rộng và bảo mật. Việc xử lý lượng lớn dữ liệu mạng đòi hỏi các kỹ thuật data mining intrusion detection và phân tích lưu lượng mạng tiên tiến, cũng như các hạ tầng tính toán phân tán. Hơn nữa, việc bảo vệ dữ liệu mạng khỏi các cuộc tấn công và đảm bảo tuân thủ các quy định về quyền riêng tư là rất quan trọng.

5.2. Phát triển các hệ thống phát hiện xâm nhập thời gian thực

Các hệ thống phát hiện xâm nhập thời gian thực có khả năng phát hiện và phản ứng với các cuộc tấn công trong thời gian thực, giúp giảm thiểu thiệt hại do các cuộc tấn công gây ra. Việc xây dựng các hệ thống này đòi hỏi các thuật toán phát hiện bất thường hiệu quả và khả năng xử lý lưu lượng mạng lớn với độ trễ thấp. Hơn nữa, cần phải có các cơ chế phản ứng tự động để ngăn chặn các cuộc tấn công và khôi phục hệ thống về trạng thái bình thường.

VI. Hướng Dẫn Triển Khai Hệ Thống Phát Hiện Xâm Nhập Mạng Tối Ưu

Để triển khai hệ thống phát hiện xâm nhập mạng hiệu quả, cần có kế hoạch chi tiết và kiến thức chuyên môn. Bước đầu tiên là xác định rõ mục tiêu và phạm vi bảo vệ. Tiếp theo, cần lựa chọn các công cụ và kỹ thuật phù hợp, dựa trên phân tích lưu lượng mạng và các yêu cầu cụ thể của tổ chức. Sau khi triển khai, cần liên tục giám sát và đánh giá hiệu năng IDS, điều chỉnh các tham số và quy tắc để tối ưu hóa khả năng phát hiện và giảm thiểu báo động giả. Việc đào tạo nhân viên và xây dựng quy trình ứng phó sự cố cũng là rất quan trọng để đảm bảo an ninh mạng toàn diện.

6.1. Lựa chọn công cụ và phần mềm IDS phù hợp

Thị trường cung cấp nhiều công cụ phát hiện xâm nhập mạng khác nhau, từ mã nguồn mở đến thương mại. Việc lựa chọn công cụ phù hợp đòi hỏi sự cân nhắc kỹ lưỡng về tính năng, hiệu năng, chi phí và khả năng tích hợp. Các công cụ mã nguồn mở như Snort và Suricata cung cấp sự linh hoạt và tùy biến cao, nhưng đòi hỏi kiến thức chuyên môn để cấu hình và quản lý. Các công cụ thương mại như IBM QRadar và McAfee Network Security Platform cung cấp giao diện thân thiện và các tính năng nâng cao, nhưng có chi phí cao hơn. Quan trọng nhất, công cụ phải phù hợp với nhu cầu và ngân sách của tổ chức.

6.2. Tối ưu hóa cấu hình và quy tắc phát hiện xâm nhập

Sau khi triển khai hệ thống phát hiện xâm nhập mạng, cần tối ưu hóa cấu hình và quy tắc để đạt được hiệu quả cao nhất. Điều này bao gồm việc tinh chỉnh các ngưỡng báo động, loại bỏ các quy tắc không cần thiết và thêm các quy tắc tùy chỉnh để phát hiện các cuộc tấn công cụ thể. Việc phân tích lưu lượng mạng và nhật ký hệ thống thường xuyên giúp xác định các điểm yếu và điều chỉnh quy tắc cho phù hợp. Các quy tắc nên được cập nhật thường xuyên để đối phó với các mối đe dọa mới nhất.

Trích đoạn nội dung tài liệu

BO GIAO DUC VA DAO TAO TRUONG DAI HOC BACH KHOA HA NOL TIOẢNG TIIANH TÙNG HỆ THÔNG PHÁT HIỆN XÂM NHẬP MẠNG DỰA THEO PHÁT HIỆN BÁT THƯỜNG LUẬN VĂN THẠC SỸ KỸ THUẬT CHUYEN NGANH CONG NGHE THONG TIN i, 10/2018 0 GIAO DUC VA ĐÀO TẠO TRUONG DAL OC BACH KHOA LIA NOL HOANG THANH TUNG HE THONG PHAT HIEN XAM NHAP MANG DUA THEO PHAT HIEN BAT THUONG. LUẬN VĂN THẠC SỸ KỸ THUẬT CHUYEN NGANH CONG NGHE THONG TIN Người hướng dẫn khoa học: PGS.TS Nguyễn Linh Giang TIà Nội, 10 — 2018 LỜI CAM ĐOAN Tôi xin cam đoan Luận văn “Hệ thông phát hiện xâm nhập mạng đựa theo hat thường” là công trình nghiên cứu của riêng tôi. Các số liệu được công bé trong Luận văn là hoản toàn trưng thực vả chưa từng được công bồ irong công trình khoa học nào khác. Tôi đã trích dẫn đây đủ các tải liệu tham khảo, công trinh nghiên cứu có liên quan trong nước và quốo tế.

Tôi cam doan không sao chép, sở dụng lại bất cứ số liệu, kết quả nghiên cứu khác mà không ghỉ rõ tải liệu tham khảo. Ngoài các tài liệu tham khảo có liên quan thủ luận văn này là kết quả nghiên cửu của cá nhâm tôi Hà Nội, thang 11/2018 Hoang Thanh Tùng DANH MỤC BÁNG BIẾU Bang 1: Chudi con tạo thành khi địch chuyền cửa số với từng giá trị bước nhảy Tảng 2: Cầu trúc lưa trữ dữ liệu của Whisper. Bang 3: Danh sách các gỏi phần mẻm cần cài đất. TỜI CẮM ƠN Trước tiên, tôi xin gửi lời cảm ơn sâu sắc tới PGS.TS Nguyễn Linh Giang, người dã tận tình chỉ bảo tôi từ những bước nghiên cứu dầu tiên cho dến khi hoàn.

thành luệ văn nảy, Tôi xin chân thành căm ơn các thấy cô trong bộ môn Truyền thông mạng - Đại học Bách khoa Hà Nội đã hễ trợ tôi rất nhiêu về kiên thức chuyên môn trong quá trình thực hiện, hoàn thành để tải Cuối cứng, xin gửi lời cảm ơn tới giá đình và bạn bề, nguồn động viên tĩnh thân to lớn với tôi, kiên cỗ vũ và tin tưởng tôi. Hà Nội, tháng 11/2018 Hoang Thanh Tùng Ww MO PAU Tý do chọn để tài 'Trong thời đại Internet phát triển nhnz hiện nay thì việc đắm bảo an toàn thông, tín là một việc làm vô củng cân tưết cửa bất cử mội cá nhân, lỗ chức, quốc gia nào. Hiên nay nhờ có sự phát triển bùng nỗ của công nghệ đữ liệu lớn (big data) thì việc thu thập các dữ liệu mạng, đữ liệu hoạt động của các ứng dụng, người dùng, thiết bị mạng. trở nên đễ đảng hơn.

Cáo đữ liệu này được lưu trữ và sắp xếp theo thời gian vận hanh thực tế. Do đỏ việc phát hiện tấn công dụa trên bắt thường bằng cach khai thác các dữ liệu hoạt động của hệ thống theo chuỗi thời gian là vỏ cùng can thiết và khả thi với điều kiện hiện nay. Đây là hướng nghiên cứu khả quan và ửng, dụng cao trong thực tiễn. Phát hiện xâm nhập mạng (Nelwork inlrnsion đectcction) là một nhánh nghiên cứu quan trọng của an toàn thông tỉn mạng (network security).

Có hai phương pháp chính được sử dụng để phát hiện xâm nhập mạng đỏ là: phát hiện dựa trên lành vĩ không hợp pháp (misuse detection) va phat hién đựa trên bất thường (anomaly detection). Phát hiện dựa trên hành không hợp pháp được thực hiện bằng cách định nghĩa các các mẫu/đâu hiệu tấn công đã biết. Trong khi đó phát hiện lấn công dựa theo bất thường, có khả năng, phát hiện các tấn công chưa biết. Có nhiều kĩ thuật được sử dụng để phát hiện bắt thường: sử đụng học máy, tuân thủ chính sách, thống kê.

Việc phát hiện bắt thường dựa trên chuỗi thời gian (Iirne series) hiện lá một nhánh nghiên cửu mới đang được áp dụng trong nhiều ngảnh dựa trên đữ liệu thu thập lớn và lưu trữ theo thời gian thực. Vì vậy, tôi đã chọn nghiền cứu để tài “lệ thống phát hiện xâm nhận mạng dựa trên bất thường”, với mục đích đưa ra được một công cụ có thể phát hiện công trong hệ thông mạng máy tỉnh. TMục đích nghiên cún - _ Nghiên cửu các vấn đề lý thuyết liên quan tới để tài (các phương pháp phát hiện bắt thường phổ biển, các kỹ thuật lấn công hệ thống mang, các kỹ thuật. lưu trữ và xử lý dữ liệu lớn, các giải đuuật sử dựng đề cài dit); - _ Mô bình hóa bài toàn “Phát hiện xâm nhập mạng dựa theo phát hiện bắt thường” và để xuất mô hình giải quyết đựa trên phát hiện bắt thường theo chuối thời gian.

-_ Đánh giá kết quả của hệ thông đã xây dựng thông qua các kịch bản thử nghiệm. Nội dung cư bản Nội dụng cơ bản của luận văn tập trung vào việc lý giải tại sao cân xây dựng hệ thẳng phát hiện tan công mạng dựa trên phát hiện bất thường theo chuối thời gian. Thông qua các kỳ thuật phát hiện bất thường, luận văn sẽ đưa ra các thành 'phân cần có của hệ thống phát hiện xâm nhập mạng bát thường và mê tả quá trình. cải đặt hệ thông trưng thực tế.

Cuỗi cũng là p ây dựng các kịch bản thử nghiệm để đánh giá hệ thông đã xây dung. Điỗi tượng và phạm vi nghiên cứu. Đôi tượng nghiên cứu chính của luận văn là nghiên cứu phương pháp phát hiện bắt thường trên đữ liệu chuỗi thời gian. Để đạt dược kết quả nghiên cứu, chúng, †ôi tiến hành thực hiện các nội dung nghiên cứu sau: - Cáo phương pháp thu thập, xứ lý dữ liệu chuỗi thời gian.

~ Cáo kỹ thuật phát hiện chuối bất thường trên dữ liện chuỗi thời gian - Cáo kỹ thuật tấn công mạng vả khá năng phát hiện bằng phát hiện bất thường, theo chuối thời gian - Các công cụ thu thập, lưu trữ vả phân tích đữ liệu chuối thời gian. Dữ liệu chuối thời gian có thể có bai hay nhiều chiêu. Phạm vị nghiên cửu của hiận văn này là đữ liện chuỗi thời gian có hai chiều, trong đỏ có một chiến là thời giam DANH MỤC HÌNH VẼ Tình 1: Thống kê tấn sông DdoS vào các quốc gia - - 11 Hình 2: Phân loại các phương pháp phát hiện bất thường. settee dS Tlinh 3: Doi ligu dién tam 46 ota bénb aban ees nesses Tình 4: Chuỗi thời gian tuần hoàn và lặp lại.

7 Hình 5: Chuỗi thời gian có chủ kỷ và lặp lại. 18 Tinh 6:Chuỗi thời gian có tính chu kỳ nhưng không lặp lại - - 18 Tình 7: Chuỗi thời gian không có tính chủ kỳ và không lắp lại. 19 linh 8: Chuỗi thời gian nhiệt độ các tháng trong, năm. 20 Hình 9: Ví đụ rời rạc hóa và gán nhãn giá trị.

22 Tình 10: Kgưỡng bất thường sử dụng giá trị 3 sigma - - 26 Tĩnh 11: Dữ liệu thu thập trong tấn công DDos 29 Hinh 12: Các thời điểm đăng nhập sai cao bắt thường, - - 29 Hình 13: Kiểu trúc giải pháp SIEM câu TBM Qradar - 33 Hình 14: Các thành phan wong hé théng Elastic stack. 34 Tình 15: Kiến trúc của công cụ phát tiện bắt thường thời gián thực skyÌine 35 Hình 16: Giao diện quan sát kết quả phân tích của skyline. linh 17: Kiến trúc của giải pháp lưu trữ đố liệu chuối thời gian Grapbite. dT Tình 18: Mô hình của hệ thống phái tiện xâm nhập mạng dựa trên bắt thường theo clmôi thời gian.

TH 240, Tĩnh 19: Sơ đồ triển khai mức logic của hệ thống. —-ˆ Hình 20: Kết quả thử nghiệm phát hiện tấn công tài khoân. - 4 Hình 21: Kết quá thử nghiệm tấn công 12dos máy chú web.47 Tinh 22: Kết quả thử nghiệm tân công Ping Of Death may cht 48 DANH MỤC HÌNH VẼ Tình 1: Thống kê tấn sông DdoS vào các quốc gia - - 11 Hình 2: Phân loại các phương pháp phát hiện bất thường. settee dS Tlinh 3: Doi ligu dién tam 46 ota bénb aban ees nesses Tình 4: Chuỗi thời gian tuần hoàn và lặp lại.

7 Hình 5: Chuỗi thời gian có chủ kỷ và lặp lại. 18 Tinh 6:Chuỗi thời gian có tính chu kỳ nhưng không lặp lại - - 18 Tình 7: Chuỗi thời gian không có tính chủ kỳ và không lắp lại. 19 linh 8: Chuỗi thời gian nhiệt độ các tháng trong, năm. 20 Hình 9: Ví đụ rời rạc hóa và gán nhãn giá trị.

22 Tình 10: Kgưỡng bất thường sử dụng giá trị 3 sigma - - 26 Tĩnh 11: Dữ liệu thu thập trong tấn công DDos 29 Hinh 12: Các thời điểm đăng nhập sai cao bắt thường, - - 29 Hình 13: Kiểu trúc giải pháp SIEM câu TBM Qradar - 33 Hình 14: Các thành phan wong hé théng Elastic stack. 34 Tình 15: Kiến trúc của công cụ phát tiện bắt thường thời gián thực skyÌine 35 Hình 16: Giao diện quan sát kết quả phân tích của skyline. linh 17: Kiến trúc của giải pháp lưu trữ đố liệu chuối thời gian Grapbite. dT Tình 18: Mô hình của hệ thống phái tiện xâm nhập mạng dựa trên bắt thường theo clmôi thời gian.

TH 240, Tĩnh 19: Sơ đồ triển khai mức logic của hệ thống. —-ˆ Hình 20: Kết quả thử nghiệm phát hiện tấn công tài khoân. - 4 Hình 21: Kết quá thử nghiệm tấn công 12dos máy chú web.47 Tinh 22: Kết quả thử nghiệm tân công Ping Of Death may cht 48 DANH MỤC HÌNH VẼ Tình 1: Thống kê tấn sông DdoS vào các quốc gia - - 11 Hình 2: Phân loại các phương pháp phát hiện bất thường. settee dS Tlinh 3: Doi ligu dién tam 46 ota bénb aban ees nesses Tình 4: Chuỗi thời gian tuần hoàn và lặp lại.

7 Hình 5: Chuỗi thời gian có chủ kỷ và lặp lại. 18 Tinh 6:Chuỗi thời gian có tính chu kỳ nhưng không lặp lại - - 18 Tình 7: Chuỗi thời gian không có tính chủ kỳ và không lắp lại. 19 linh 8: Chuỗi thời gian nhiệt độ các tháng trong, năm. 20 Hình 9: Ví đụ rời rạc hóa và gán nhãn giá trị.

22 Tình 10: Kgưỡng bất thường sử dụng giá trị 3 sigma - - 26 Tĩnh 11: Dữ liệu thu thập trong tấn công DDos 29 Hinh 12: Các thời điểm đăng nhập sai cao bắt thường, - - 29 Hình 13: Kiểu trúc giải pháp SIEM câu TBM Qradar - 33 Hình 14: Các thành phan wong hé théng Elastic stack. 34 Tình 15: Kiến trúc của công cụ phát tiện bắt thường thời gián thực skyÌine 35 Hình 16: Giao diện quan sát kết quả phân tích của skyline. linh 17: Kiến trúc của giải pháp lưu trữ đố liệu chuối thời gian Grapbite. dT Tình 18: Mô hình của hệ thống phái tiện xâm nhập mạng dựa trên bắt thường theo clmôi thời gian.

TH 240, Tĩnh 19: Sơ đồ triển khai mức logic của hệ thống. —-ˆ Hình 20: Kết quả thử nghiệm phát hiện tấn công tài khoân.