Luận văn thạc sĩ đánh giá hiệu quả một số thuật toán trong phát hiện xâm nhập mạng

Luận văn thạc sĩ toán học nghiên cứu đánh giá hiệu quả một số thuật toán trong phát hiện xâm nhập mạng, khảo sát thực trạng, phân tích nguyên nhân, đề xuất giải pháp cải thiện

• Tác giả: Trần Thị Hương
• Người hướng dẫn: PGS.TS Lê Trọng Vĩnh
• Trường học: Đại học Quốc gia Hà Nội
• Chuyên ngành: Cơ sở Toán học cho Tin học
• Đề tài: Đánh Giá Hiệu Quả Một Số Thuật Toán Trong Phát Hiện Xâm Nhập Mạng
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2016
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI MỞ ĐẦU
• 1. CHƯƠNG 1: Tổng quan về phát hiện xâm nhập mạng
• 1.1. Giới thiệu
• 1.2. Khái niệm cơ bản
• 1.3. Một số kiểu xâm nhập phổ biến
• 1.3.1. Tấn công từ chối dịch vụ
• 1.3.2. Tấn công thăm dò
• 1.3.3. Tấn công chiếm quyền root
• 1.3.4. Tấn công điều khiển từ xa
• 1.4. Một số giải pháp ngăn chặn xâm nhập truyền thống
• 1.4.1. Tường lửa
• 1.4.2. Mã hóa dữ liệu
• 1.4.3. Xác thực
• 1.4.4. Quyền truy cập
• 1.5. Hệ thống phát hiện xâm nhập mạng
• 1.5.1. Định nghĩa
• 1.5.2. Phân loại hệ thống phát hiện xâm nhập mạng
• 1.5.2.1. Hệ thống phát hiện xâm nhập ở mức mạng (NIDS)
• 1.5.2.2. Hệ thống phát hiện xâm nhập ở mức máy trạm chủ (HIDS)
• 2. CHƯƠNG 2: Phát hiện xâm nhập mạng dựa vào học máy
• 2.1. Hồi quy logistic
• 2.2. Máy véc-tơ hỗ trợ
• 2.3. SVM tuyến tính
• 2.4. SVM phi tuyến tính
• 2.5. Mạng nơ-ron nhân tạo
• 2.5.1. Mô hình mạng nơ-ron nhân tạo
• 2.5.2. Phát hiện xâm nhập dựa vào mạng nơ-ron
• 2.6. Rút gọn đặc trưng
• 3. CHƯƠNG 3: Đánh giá hiệu quả của một số thuật toán học máy trong việc phát hiện xâm nhập mạng
• 3.1. Bộ dữ liệu KDD CUP 99
• 3.2. Tiền xử lý dữ liệu
• 3.2.1. Chuyển các giá trị phi số sang số
• 3.2.2. Chuẩn hóa giá trị đầu vào
• 3.3. Kết quả thực nghiệm
• KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• CÁC CÔNG BỐ LIÊN QUAN
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về phát hiện xâm nhập mạng và các thách thức

Phát hiện xâm nhập mạng (IDS) là một lĩnh vực quan trọng trong an ninh mạng. Với sự gia tăng của các cuộc tấn công mạng, việc phát hiện và ngăn chặn xâm nhập trở thành một nhiệm vụ cấp bách. Các hệ thống IDS hiện tại thường gặp khó khăn trong việc phát hiện các cuộc tấn công mới và tinh vi. Điều này đặt ra thách thức lớn cho các nhà nghiên cứu và chuyên gia an ninh mạng.

1.1. Khái niệm và vai trò của phát hiện xâm nhập mạng

Phát hiện xâm nhập mạng là quá trình theo dõi và phân tích các sự kiện trong hệ thống để phát hiện các hành vi xâm nhập trái phép. Hệ thống IDS giúp bảo vệ thông tin và tài nguyên của tổ chức khỏi các mối đe dọa từ bên ngoài.

1.2. Các kiểu tấn công phổ biến trong mạng

Các kiểu tấn công phổ biến bao gồm tấn công từ chối dịch vụ (DoS), tấn công thăm dò, tấn công chiếm quyền root (U2R) và tấn công điều khiển từ xa (R2L). Mỗi kiểu tấn công có những đặc điểm và phương thức thực hiện riêng, đòi hỏi các hệ thống IDS phải có khả năng phát hiện đa dạng.

II. Các phương pháp phát hiện xâm nhập mạng hiệu quả

Để phát hiện xâm nhập mạng hiệu quả, nhiều phương pháp đã được phát triển. Các phương pháp này bao gồm cách tiếp cận dựa vào luật, thống kê và học máy. Mỗi phương pháp có ưu điểm và nhược điểm riêng, ảnh hưởng đến khả năng phát hiện và ngăn chặn xâm nhập.

2.1. Cách tiếp cận dựa vào luật

Phương pháp này sử dụng một tập hợp các quy tắc để phát hiện các hành vi xâm nhập. Tuy nhiên, nó có nhược điểm là không thể phát hiện các cuộc tấn công mới mà không có quy tắc tương ứng.

2.2. Cách tiếp cận dựa vào thống kê

Phương pháp này phân tích các mẫu dữ liệu để phát hiện các hành vi bất thường. Nó có khả năng phát hiện các cuộc tấn công mới nhưng có thể dẫn đến tỷ lệ cảnh báo sai cao.

2.3. Cách tiếp cận dựa vào học máy

Học máy trong phát hiện xâm nhập mạng cho phép hệ thống học từ dữ liệu và cải thiện khả năng phát hiện theo thời gian. Các thuật toán như hồi quy logistic, máy véc-tơ hỗ trợ và mạng nơ-ron nhân tạo đang được nghiên cứu và áp dụng rộng rãi.

III. Đánh giá hiệu quả của các thuật toán phát hiện xâm nhập

Đánh giá hiệu quả của các thuật toán phát hiện xâm nhập là một phần quan trọng trong nghiên cứu. Các thuật toán cần được thử nghiệm trên các bộ dữ liệu chuẩn để xác định tỷ lệ phát hiện và thời gian xử lý.

3.1. Bộ dữ liệu KDD CUP 99 và quy trình tiền xử lý

Bộ dữ liệu KDD CUP 99 là một trong những bộ dữ liệu phổ biến nhất trong nghiên cứu phát hiện xâm nhập. Quy trình tiền xử lý bao gồm chuyển đổi các giá trị phi số sang số và chuẩn hóa dữ liệu đầu vào để đảm bảo tính chính xác trong quá trình phân tích.

3.2. Kết quả thực nghiệm và so sánh các thuật toán

Kết quả thực nghiệm cho thấy các thuật toán học máy có khả năng phát hiện xâm nhập tốt hơn so với các phương pháp truyền thống. Tỷ lệ phát hiện cao và thời gian xử lý nhanh là những yếu tố quan trọng trong việc lựa chọn thuật toán.

IV. Ứng dụng thực tiễn của phát hiện xâm nhập mạng

Phát hiện xâm nhập mạng không chỉ là lý thuyết mà còn có nhiều ứng dụng thực tiễn trong các tổ chức và doanh nghiệp. Việc triển khai hệ thống IDS giúp bảo vệ thông tin và tài nguyên, đồng thời nâng cao khả năng phản ứng với các mối đe dọa.

4.1. Hệ thống phát hiện xâm nhập trong doanh nghiệp

Nhiều doanh nghiệp đã triển khai hệ thống IDS để bảo vệ thông tin nhạy cảm và tài sản của mình. Hệ thống này giúp phát hiện và ngăn chặn các cuộc tấn công trước khi chúng gây ra thiệt hại.

4.2. Tương lai của phát hiện xâm nhập mạng

Với sự phát triển của công nghệ, các hệ thống phát hiện xâm nhập sẽ ngày càng trở nên thông minh hơn. Việc áp dụng trí tuệ nhân tạo và học máy sẽ giúp cải thiện khả năng phát hiện và giảm thiểu tỷ lệ cảnh báo sai.

V. Kết luận và hướng phát triển trong nghiên cứu

Nghiên cứu về phát hiện xâm nhập mạng đang ngày càng trở nên quan trọng trong bối cảnh an ninh mạng ngày càng phức tạp. Các thuật toán học máy đang mở ra nhiều cơ hội mới cho việc phát hiện và ngăn chặn xâm nhập hiệu quả hơn.

5.1. Tóm tắt các kết quả nghiên cứu

Các nghiên cứu đã chỉ ra rằng các thuật toán học máy có khả năng phát hiện xâm nhập tốt hơn so với các phương pháp truyền thống. Việc áp dụng các phương pháp này trong thực tiễn sẽ giúp nâng cao an ninh mạng.

5.2. Đề xuất hướng nghiên cứu tiếp theo

Cần tiếp tục nghiên cứu và phát triển các thuật toán mới, cải thiện khả năng phát hiện và giảm thiểu tỷ lệ cảnh báo sai. Hướng nghiên cứu này sẽ đóng góp tích cực vào việc bảo vệ an ninh mạng trong tương lai.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh thế kỷ XXI, sự phát triển bùng nổ của Internet đã tạo ra nhiều cơ hội nhưng cũng đồng thời làm gia tăng các nguy cơ về an ninh mạng. Theo báo cáo của ngành, các cuộc tấn công xâm nhập mạng ngày càng tinh vi và phức tạp, đe dọa nghiêm trọng đến tính toàn vẹn, tính sẵn sàng và bảo mật thông tin của các tổ chức và cá nhân. Mục tiêu của nghiên cứu này là đánh giá hiệu quả của một số thuật toán học máy trong phát hiện xâm nhập mạng, nhằm xây dựng hệ thống phát hiện sớm và chính xác các cuộc tấn công, từ đó đưa ra cảnh báo và biện pháp xử lý kịp thời. Nghiên cứu tập trung trên bộ dữ liệu chuẩn KDD CUP 99, thu thập trong môi trường giả lập các cuộc tấn công mạng, với gần 5 triệu bản ghi kết nối, mỗi bản ghi gồm 41 đặc trưng và nhãn phân loại. Phạm vi nghiên cứu bao gồm ba thuật toán học máy điển hình: hồi quy logistic, máy véc-tơ hỗ trợ (SVM) và mạng nơ-ron nhân tạo (ANN). Ý nghĩa của nghiên cứu được thể hiện qua việc cải thiện tỷ lệ phát hiện tấn công trên 91% trong các nghiên cứu trước đây, đồng thời giảm chi phí tính toán và thời gian phát hiện, góp phần nâng cao hiệu quả bảo mật mạng trong thực tế.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu dựa trên ba lý thuyết và mô hình học máy có giám sát phổ biến trong phát hiện xâm nhập mạng:

• Hồi quy logistic (Logistic Regression): Mô hình phân loại nhị phân dựa trên hàm sigmoid, ước lượng xác suất một mẫu thuộc lớp tấn công hay bình thường. Thuật toán sử dụng phương pháp giảm gradient ngẫu nhiên để tối ưu tham số, phù hợp với dữ liệu dạng số đã được chuẩn hóa.

• Máy véc-tơ hỗ trợ (Support Vector Machine - SVM): Thuật toán phân lớp tối ưu tìm siêu phẳng phân tách hai lớp với khoảng cách biên lớn nhất. SVM có thể xử lý dữ liệu tuyến tính và phi tuyến tính thông qua hàm nhân (kernel) như tuyến tính, đa thức, RBF. Thuật toán lề mềm cho phép xử lý dữ liệu không phân tách hoàn toàn.

• Mạng nơ-ron nhân tạo (Artificial Neural Network - ANN): Mạng MLP nhiều lớp truyền thẳng, mô phỏng hoạt động của hệ thần kinh sinh vật, sử dụng hàm kích hoạt phi tuyến (sigmoid, tanh) và thuật toán lan truyền ngược để huấn luyện. Mạng có khả năng học các mẫu phức tạp và tổng quát hóa tốt.

Ba thuật toán này được lựa chọn do tính hiệu quả trong việc phát hiện các cuộc tấn công mới và đã được chứng minh qua nhiều nghiên cứu gần đây.

Ngoài ra, nghiên cứu áp dụng độ đo Information Gain (IG) để rút gọn đặc trưng, giúp giảm chi phí tính toán và tăng tốc độ phát hiện mà không làm giảm độ chính xác. Việc lựa chọn đặc trưng dựa trên IG được so sánh với kết quả thực nghiệm sử dụng SVM để xác định nhóm đặc trưng quan trọng, thứ nhì và không quan trọng.

Phương pháp nghiên cứu

Nguồn dữ liệu chính là bộ dữ liệu KDD CUP 99, gồm gần 5 triệu bản ghi kết nối mạng với 41 đặc trưng mô tả các thuộc tính kết nối và nhãn phân loại (bình thường hoặc các kiểu tấn công như DoS, Probe, R2L, U2R). Dữ liệu được tiền xử lý bao gồm chuyển đổi các giá trị phi số sang dạng số, chuẩn hóa min-max để phù hợp với các thuật toán học máy.

Phương pháp phân tích gồm:

• Tiền xử lý dữ liệu: Chuẩn hóa, chuyển đổi dữ liệu phi số, rút gọn đặc trưng dựa trên độ đo IG.

• Huấn luyện mô hình: Sử dụng tập huấn luyện để xây dựng mô hình hồi quy logistic, SVM và mạng nơ-ron nhân tạo. Thuật toán giảm gradient và lan truyền ngược được áp dụng để tối ưu tham số.

• Đánh giá mô hình: Thực nghiệm trên tập kiểm tra độc lập, đo lường tỷ lệ phát hiện tấn công, tỷ lệ cảnh báo sai và thời gian phát hiện.

• Timeline nghiên cứu: Quá trình thực hiện trong năm 2016, sử dụng Matlab R2014 trên máy chủ cấu hình chip Xeon 2.67GHz, RAM 16GB.

Phương pháp chọn mẫu là sử dụng toàn bộ bộ dữ liệu chuẩn KDD CUP 99 để đảm bảo tính đại diện và độ tin cậy của kết quả.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Hiệu quả phát hiện tấn công của các thuật toán: Thuật toán mạng nơ-ron nhân tạo đạt tỷ lệ phát hiện trên 92%, cao hơn so với hồi quy logistic và SVM, lần lượt đạt khoảng 90% và 91%. Điều này cho thấy ANN có khả năng học và phân loại các mẫu phức tạp tốt hơn.

2. Tác động của rút gọn đặc trưng: Việc loại bỏ 7 đặc trưng không quan trọng theo độ đo IG không làm giảm đáng kể độ chính xác phát hiện, mà còn giảm thời gian huấn luyện và kiểm tra trung bình 15-20%, giúp tăng tốc độ phát hiện.

3. So sánh thời gian phát hiện: SVM có thời gian phát hiện nhanh nhất trong ba thuật toán, trung bình giảm 10% so với hồi quy logistic và 5% so với mạng nơ-ron, do cấu trúc mô hình đơn giản và khả năng xử lý hiệu quả các đặc trưng đã rút gọn.

4. Tỷ lệ cảnh báo sai: Cả ba thuật toán đều duy trì tỷ lệ cảnh báo sai dưới 5%, trong đó mạng nơ-ron có tỷ lệ thấp nhất, thể hiện khả năng phân biệt chính xác giữa các mẫu tấn công và bình thường.

Thảo luận kết quả

Nguyên nhân mạng nơ-ron nhân tạo đạt hiệu quả cao hơn là do khả năng mô hình hóa các quan hệ phi tuyến phức tạp giữa các đặc trưng, phù hợp với tính chất đa dạng của các kiểu tấn công mạng. SVM tuy có thời gian phát hiện nhanh nhưng đôi khi bị hạn chế khi dữ liệu có nhiều nhiễu hoặc không tuyến tính hoàn toàn.

Việc rút gọn đặc trưng dựa trên độ đo IG giúp giảm chi phí tính toán mà không ảnh hưởng đến độ chính xác, phù hợp với yêu cầu phát hiện nhanh trong môi trường mạng thực tế. Kết quả này tương đồng với các nghiên cứu trước đây, đồng thời được minh họa qua biểu đồ so sánh tỷ lệ phát hiện và thời gian xử lý giữa các thuật toán.

Tổng thể, nghiên cứu khẳng định rằng áp dụng các thuật toán học máy, đặc biệt là mạng nơ-ron nhân tạo, là hướng đi hiệu quả cho bài toán phát hiện xâm nhập mạng, đồng thời việc lựa chọn đặc trưng phù hợp là yếu tố then chốt để tối ưu hiệu suất hệ thống.

Đề xuất và khuyến nghị

1. Triển khai hệ thống phát hiện xâm nhập dựa trên mạng nơ-ron nhân tạo: Tập trung phát triển mô hình ANN với kiến trúc MLP nhiều lớp, tối ưu tham số qua thuật toán lan truyền ngược, nhằm nâng cao tỷ lệ phát hiện tấn công trên 92% trong vòng 6 tháng tới. Chủ thể thực hiện là các phòng ban an ninh mạng của tổ chức.

2. Áp dụng rút gọn đặc trưng bằng độ đo Information Gain: Loại bỏ các đặc trưng không quan trọng để giảm chi phí tính toán và thời gian phát hiện, đảm bảo thời gian phản hồi dưới 1 giây cho mỗi gói tin. Thời gian thực hiện trong 3 tháng, do nhóm phát triển phần mềm đảm nhiệm.

3. Kết hợp SVM để tăng tốc độ phát hiện: Sử dụng SVM làm bộ lọc sơ bộ để loại bỏ các gói tin bình thường nhanh chóng, giảm tải cho mạng nơ-ron, dự kiến giảm 10% thời gian xử lý tổng thể. Thời gian triển khai 4 tháng, phối hợp giữa nhóm nghiên cứu và kỹ thuật viên mạng.

4. Đào tạo và nâng cao nhận thức cho nhân viên an ninh mạng: Tổ chức các khóa đào tạo về các thuật toán học máy và cách vận hành hệ thống phát hiện xâm nhập trong vòng 6 tháng, nhằm nâng cao năng lực vận hành và xử lý sự cố kịp thời.

5. Cập nhật và mở rộng bộ dữ liệu huấn luyện: Thu thập dữ liệu thực tế tại các địa phương và tổ chức để cập nhật mô hình, đảm bảo khả năng phát hiện các kiểu tấn công mới, thực hiện liên tục hàng năm.

Đối tượng nên tham khảo luận văn

1. Chuyên gia và nhà nghiên cứu an ninh mạng: Nghiên cứu cung cấp cơ sở lý thuyết và thực nghiệm về các thuật toán học máy trong phát hiện xâm nhập, hỗ trợ phát triển các giải pháp bảo mật tiên tiến.

2. Nhà phát triển phần mềm bảo mật: Tham khảo để thiết kế và tối ưu các hệ thống IDS dựa trên học máy, đặc biệt trong việc lựa chọn thuật toán và rút gọn đặc trưng nhằm nâng cao hiệu suất.

3. Quản trị viên mạng và an ninh CNTT: Áp dụng các kiến thức và đề xuất trong luận văn để triển khai hệ thống phát hiện xâm nhập hiệu quả, giảm thiểu rủi ro từ các cuộc tấn công mạng.

4. Sinh viên và học viên cao học chuyên ngành Tin học và An toàn thông tin: Tài liệu tham khảo quý giá cho việc học tập, nghiên cứu và phát triển đề tài liên quan đến phát hiện xâm nhập mạng và ứng dụng học máy.

Câu hỏi thường gặp

1. Tại sao chọn bộ dữ liệu KDD CUP 99 để đánh giá?
   Bộ dữ liệu KDD CUP 99 là chuẩn quốc tế, chứa gần 5 triệu bản ghi với đa dạng kiểu tấn công và đặc trưng chi tiết, giúp đánh giá chính xác hiệu quả các thuật toán phát hiện xâm nhập.

2. Làm thế nào để rút gọn đặc trưng mà không làm giảm độ chính xác?
   Sử dụng độ đo Information Gain để đánh giá mức độ ảnh hưởng của từng đặc trưng đến quá trình phân loại, loại bỏ các đặc trưng có giá trị IG thấp, qua đó giảm chi phí tính toán mà vẫn giữ được hiệu quả phát hiện.

3. Ưu điểm của mạng nơ-ron nhân tạo so với SVM và hồi quy logistic là gì?
   Mạng nơ-ron có khả năng mô hình hóa các quan hệ phi tuyến phức tạp và tổng quát hóa tốt hơn, giúp phát hiện chính xác các kiểu tấn công đa dạng và mới, trong khi SVM và hồi quy logistic có thể bị hạn chế với dữ liệu phức tạp.

4. Thời gian phát hiện tấn công có ảnh hưởng như thế nào đến hệ thống?
   Thời gian phát hiện nhanh giúp hệ thống phản ứng kịp thời, giảm thiểu thiệt hại do tấn công gây ra. Việc rút gọn đặc trưng và sử dụng thuật toán hiệu quả giúp giảm thời gian này đáng kể.

5. Có thể áp dụng kết quả nghiên cứu này vào môi trường mạng thực tế không?
   Có, nghiên cứu đã sử dụng bộ dữ liệu chuẩn và các thuật toán phổ biến, đồng thời đề xuất các giải pháp tối ưu phù hợp với yêu cầu thực tế, giúp nâng cao hiệu quả phát hiện xâm nhập trong các tổ chức và doanh nghiệp.

Kết luận

• Luận văn đã đánh giá hiệu quả ba thuật toán học máy: hồi quy logistic, máy véc-tơ hỗ trợ và mạng nơ-ron nhân tạo trong phát hiện xâm nhập mạng trên bộ dữ liệu KDD CUP 99.
• Mạng nơ-ron nhân tạo thể hiện hiệu suất phát hiện cao nhất với tỷ lệ trên 92%, đồng thời duy trì tỷ lệ cảnh báo sai thấp.
• Rút gọn đặc trưng dựa trên độ đo Information Gain giúp giảm chi phí tính toán và thời gian phát hiện mà không ảnh hưởng đến độ chính xác.
• Kết quả thực nghiệm cho thấy SVM có thời gian phát hiện nhanh nhất, phù hợp làm bộ lọc sơ bộ trong hệ thống phát hiện xâm nhập.
• Đề xuất triển khai hệ thống IDS kết hợp các thuật toán học máy và rút gọn đặc trưng nhằm nâng cao hiệu quả phát hiện và giảm thiểu rủi ro an ninh mạng trong thực tế.

Next steps: Triển khai thử nghiệm hệ thống trên môi trường thực tế, mở rộng bộ dữ liệu huấn luyện và cập nhật mô hình liên tục để phát hiện các kiểu tấn công mới.

Các tổ chức và chuyên gia an ninh mạng nên áp dụng các thuật toán học máy được đánh giá trong nghiên cứu để nâng cao khả năng phát hiện và phòng chống xâm nhập mạng hiệu quả.

Trích đoạn nội dung tài liệu

LỜI MỞ ĐẦU Thế kỷ XXI, chứng kiến sự phát triển nhanh chóng của Internet và những ảnh hƣởng sâu rộng tới mọi lĩnh vực đời sống của con ngƣời. Song song với những lợi ích mà mạng máy tính đem lại thì nó cũng trở thành mục tiêu lợi dụng của những kẻ tấn công, xâm nhập trái phép nhằm thực hiện những mƣu đồ xấu, đe dọa tới tính an toàn về bảo mật thông tin của các tổ chức hay những ngƣời dùng kết nối mạng. Mặc dù, mỗi hệ thống máy tính đều có những cơ chế tự bảo vệ riêng nhƣng có thể chƣa đủ để phát hiện hay ngăn chặn những cuộc tấn công ngày một tinh vi hơn. Vấn đề đặt ra là làm sao xây dựng đƣợc một hệ thống có thể phát hiện sớm và có hiệu quả các cuộc tấn công hay xâm nhập trái phép từ đó đƣa ra những cảnh báo và biện pháp xử lý kịp thời.

Một số các hệ thống phát hiện xâm nhập mạng truyền thống đƣợc áp dụng khá phổ biến và rộng rãi trên thế giới nhƣ hệ thống phát hiện xâm nhập dựa trên tập luật, phân tích thống kê,…Các hệ thống trên đã phát hiện tốt những cuộc tấn công đã biết với tỷ lệ cảnh báo sai thấp. Tuy nhiên, chúng tại tỏ ra kém hiệu quả đối với những cuộc tấn công mới, đồng thời phải luôn cập nhật luật mới. Một vài nghiên cứu gần đây [1][5] đƣa ra một hƣớng tiếp cận mới dựa vào học máy cho bài toán phát hiện xâm nhập mạng. Từ những nghiên cứu và thực nghiệm trên những bộ dữ liệu chuẩn, các tác giả chỉ ra rằng các thuật toán dựa vào học máy có khả năng học và tiếp thu những tri thức mới từ những tri thức đã biết từ đó giúp phân loại những mẫu đã đƣợc học, dự đoán tốt những mẫu mới (các kiểu tấn công mới).

Điều này hứa hẹn sẽ đem lại một cách tiếp cận hiệu quả cho bài toán phát hiện xâm nhập.Vì vậy, luận văn sẽ tập trung đi theo hƣớng tiếp cận này và lựa chọn ba thuật toán điển hình đang nhận đƣợc sự quan tâm nghiên cứu gần đây là hồi quy logistic, máy véc-tơ hỗ trợ, mạng nơ-ron nhân tạo. Đồng thời tiến hành xây dựng các hệ thống phát hiện xâm nhập dựa vào các thuật toán học máy từ đó phân tích và đánh giá hiệu quả của từng thuật toán trong việc phát hiện xâm nhập. 1 TIEU LUAN MOI download : [e-mail] Luận văn “Đánh giá hiệu quả một số thuật toán trong phát hiện xâm nhập mạng” đƣợc chia làm ba chƣơng với nội dung nhƣ sau: Chƣơng 1: Tổng quan: Hệ thống hóa các vấn đề liên quan tới phát hiện xâm nhập mạng và hệ thống phát hiện xâm nhập mạng. Ngoài ra, chƣơng một cũng trình bày một số cách tiếp cận chính để giải quyết vấn đề phát hiện xâm nhập mạng.

Chƣơng 2: Phát hiện xâm nhập mạng dựa vào học máy: Trình bày một số thuật toán học máy có giám sát điển hình nhƣ hồi quy logistic, máy véc-tơ hỗ trợ, mạng nơ-ron nhân tạo cho bài toán phát hiện xâm nhập, cũng nhƣ việc áp dụng các thuật toán giải quyết bài toán này. Bên cạnh đó, trong chƣơng này cũng trình bày vấn đề rút gọn các đặc trƣng sử dụng độ đo information gain để giảm thiểu chi phí tính toán và thời gian phát hiện. Chƣơng 3: Đánh giá hiệu quả của một số thuật toán trong việc phát hiện xâm nhập mạng: Tiến hành thực nghiệm các thuật toán học máy đã nêu trong chƣơng hai trên nhiều bộ dữ liệu chuẩn (KDD CUP 99), từ đó có những đánh giá, nhận xét và so sánh về tỷ lệ phát hiện xâm nhập cùng thời gian phát hiện của mỗi mô hình. 2 TIEU LUAN MOI download : [e-mail] Chƣơng 1: Tổng quan về phát hiện xâm nhập mạng 1.

Giới thiệu Trong những năm gần đây, sự phát triển nhƣ vũ bão của mạng Internet đem lại những lợi ích không nhỏ cho con ngƣời bao gồm cả đời sống, công nghệ, kinh tế, xã hội,. Bên cạnh đó thì Interner cũng trở thành môi trƣờng lý tƣởng cho những kẻ xấu lợi dụng để thực hiện hành vi xâm nhập trái phép, tấn công vào những hệ thống máy tính của các cá nhân hay tổ chức gây ra những thiệt hại nghiêm trọng. Vì vậy, vấn đề an ninh và bảo mật ngày càng đƣợc quan tâm. Khi triển khai một hệ thống thông tin thì cũng đồng nghĩa với việc xây dựng cơ chế bảo vệ chặt chẽ, an toàn cho hệ thống thông tin của doanh nghiệp, tổ chức là góp phần quan trọng vào việc duy trì tính bền vững của hệ thống.

Để làm đƣợc điều đó, thì tất cả những hệ thống này cần trang bị những công cụ đủ mạnh, am hiểu cách xử lý để đối phó với những phƣơng thức tấn công vào hệ thống mạng. Một bức tƣờng lửa không thể đủ mạnh để có thể chống đỡ mọi ý đồ xâm nhập vào hệ thống. Vì vậy, ngoài việc am hiểu sâu sắc các vấn đề bảo mật của những ngƣời quản trị an ninh mạng thì cũng rất cần những hệ thống, hay công cụ có thể trợ giúp đặc lực cho việc đảm bảo an toàn của các hệ thống. Nhiệm vụ bảo mật thông tin và bảo vệ môi trƣờng mạng vì vậy mà rất nặng nề và khó đoán định trƣớc.

Nhƣng tựu chung lại, các nhiệm vụ trên gồm bốn hƣớng chính là: bảo đảm an toàn cho phía máy chủ, bảo đảm an toàn cho phía khách, bảo mật thông tin trên đƣờng truyền và phát hiện xâm nhập mạng. Trong đó, phát hiện xâm nhập mạng (intrusion detection) hiện đang là một trong những vấn đề đƣợc quan tâm hàng đầu hiện nay bởi sự gia tăng nhanh chóng của các cuộc xâm nhập trái phép. Những kẻ xâm nhập ngày càng nguy hiểm, tinh vi và phức tạp hơn. Vì thế, trong nghiên cứu này, luận văn tập trung vào việc nghiên cứu bài toán phát hiện xâm nhập mạng, xây dựng và đánh giá các mô hình phát hiện xâm nhập mạng.

3 TIEU LUAN MOI download : skknchat@gmail. Khái niệm Hiện nay vẫn chƣa có định nghĩa chính xác về thuật ngữ xâm nhập. Mỗi chuyên gia trong lĩnh vực an toàn thông tin luận giải thuật ngữ này theo ý hiểu của mình. Tuy nhiên, định nghĩa của Kendall năm 1999 đƣợc biết đến rộng rãi nhất.

Tác giả đã đƣa ra khái niệm về xâm nhập nhƣ sau: “Tấn công hay còn gọi là xâm nhập mạng là những hoạt động có chủ đích, lợi dụng các tổn thương của hệ thống thông tin nhằm phá vỡ tính sẵn sàng, tính toàn vẹn và tính bảo mật của hệ thống” [8]. Một số kiểu xâm nhập phổ biến Có rất nhiều kiểu xâm nhập mạng khác nhau và thƣờng đƣợc phân thành các loại chính: tấn công từ chối dịch vụ, kiểu thăm dò, tấn công chiếm quyền “root”, tấn công điều khiển từ xa. Phần dƣới đây sẽ trình bày chi tiết về các kiểu tấn công này. a) Tấn công từ chối dịch vụ Tấn công từ chối dịch vụ (Denial of Service) hay viết tắt DoS là kiểu tấn công làm cho một hệ thống nào đó bị quá tải không thể cung cấp dịch vụ, làm gián đoạn hoạt động của hệ thống hoặc hệ thống phải ngƣng hoạt động [8].

Tùy theo phƣơng thức thực hiện mà nó đƣợc biết dƣới nhiều tên gọi khác nhau. Bắt đầu là lợi dụng sự yếu kém của giao thức TCP để thực hiện tấn công từ chối dịch vụ DoS. Ngoài ra còn có kiểu tấn công từ chối dịch vụ phân tán DDoS (Distributed Denial of Service) và mới nhất là tấn công từ chối dịch vụ theo phƣơng pháp phản xạ DRDoS (Distributed Reflection of Service). Tấn công từ chối dịch vụ cổ điển DoS sử dụng các hình thức: bom thƣ, đăng nhập liên tiếp, làm ngập SYN, tấn công Smurf, trong đó thủ phạm sinh ra nhiều giao 4 TIEU LUAN MOI download : [e-mail] tiếp ICMP tới địa chỉ Broadcast của các mạng với địa chỉ nguồn là mục tiêu cần tấn công, tấn công “gây lụt” UDP… Tấn công dịch vụ phân tán DDoS xuất hiện vào năm 1999, so với tấn công DoS cổ điển, sức mạnh của DDoS cao hơn gấp nhiều lần.

Hầu hết các cuộc tấn công DDoS nhằm vào việc chiếm dụng băng thông gây nghẽn mạch hệ thống dẫn đến hệ thống ngƣng hoạt động. Để thực hiện thì kẻ tấn công tìm cách chiếm dụng và điều khiển nhiều máy tính/mạng máy tính trung gian, từ nhiều nơi để đồng loạt gửi ào ạt các gói tin với số lƣợng rất lớn nhằm chiếm dụng tài nguyên và làm nghẽn đƣờng truyền của một mục tiêu xác định nào đó. b) Tấn công thăm dò Đối với kiểu tấn công thăm dò (Probe), tin tặc quét mạng hoặc máy tính để tìm ra điểm yếu dễ tấn công mà thông qua đó tin tặc có thể thu thập thông tin trái phép về tài nguyên, các lỗ hổng hoặc dịch vụ của hệ thống. Các kiểu tấn công thăm dò nhƣ: Sniffing, Ping Sweep, Ports Scanning,… [8] Ví dụ: Sniffer là một hình thức nghe lén trên hệ thống mạng dựa trên những đặc điểm của cơ chế TCP/IP.

Sniffer ban đầu là một kỹ thuật bảo mật, đƣợc phát triển nhằm giúp các nhà quản trị mạng khai thác mạng hiệu quả hơn và có thể kiểm tra các dữ liệu ra vào mạng cũng nhƣ các dữ liệu trong mạng. Sau này, kẻ tấn công dùng phƣơng pháp này để lấy cắp mật khẩu hay các thông tin nhạy cảm khác. Biến thể của sniffer là các chƣơng trình nghe lén bất hợp pháp nhƣ: công cụ nghe lén yahoo, ăn cắp mật khẩu của thƣ điện tử,… c) Tấn công chiếm quyền root Kiểu tấn công chiếm quyền root (User to Root) viết tắt là U2R, tin tặc với quyền của một ngƣời dùng bình thƣờng cố gắng để đạt đƣợc quyền truy nhập cao nhất (đặc quyền của ngƣời quản trị) vào hệ thống một cách bất hợp pháp [8]. Cách thức phổ biến của kiểu tấn công này là gây tràn bộ đệm.

5 TIEU LUAN MOI download : [e-mail] Kiểu tấn công này ít gặp hơn so với hai kiểu tấn công DoS và probe. Tuy nhiên, đây cũng là loại tấn công rất nguy hiểm do kẻ tấn công chiếm đƣợc quyền cao nhất và chúng có thể kiểm soát toàn bộ hệ thống. d) Tấn công điều khiển từ xa Đây là kiểu tấn công điều khiển từ một máy tính từ xa có tên tiếng anh là “remote to local” hay R2L. Ban đầu, kẻ tấn công không có tài khoản trong hệ thống nhƣng chúng lại cố gắng gửi các gói tin đến một máy tính trong một hệ thống thông qua mạng.

Sau đó, chúng khai thác các lỗ hổng bảo mật để truy cập trái phép nhƣng với tƣ cách của một ngƣời dùng cục bộ [8]. Cách tấn công phổ biến của loại này là đoán mật khẩu thông qua phƣơng pháp từ điển brute-force, FTP Write,.