Luận văn thạc sĩ khoa học máy tính hiện thực hệ thống phát hiện tấn công trong mạng internet dựa vào các bất thường lên fpga

Luận văn thạc sĩ phân tích máy tính hiện thực hệ thống phát hiện tấn công trong mạng internet dựa vào các bất thường lên fpga, đánh giá thực trạng, chỉ ra hạn chế, đề xuất giải

• Tác giả: Nguyễn Phạm Anh Khoa
• Người hướng dẫn: TS. Trần Ngọc Thịnh
• Trường học: Đại học Bách Khoa, Đại học Quốc gia TP. Hồ Chí Minh
• Chuyên ngành: Khoa học máy tính
• Đề tài: Hiện thực hệ thống phát hiện tấn công trong mạng internet dựa vào các bất thường lên FPGA
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2011
• Địa điểm: TP. Hồ Chí Minh

Mục lục chi tiết

• LỜI CAM ĐOAN
• Lời cám ơn
• Tóm tắt luận văn thạc sĩ
• Mục lục hình
• Mục lục bảng
• 1. Phần 1: GIỚI THIỆU ĐỀ TÀI
• 1.1. Tổng quan
• 1.2. Giới thiệu đề tài
• 1.3. Tính cấp thiết của đề tài
• 1.4. Mục tiêu và giới hạn của đề tài
• 1.5. Tính khả thi của đề tài
• 2. Phần 2: NHỮNG CÔNG TRÌNH LIÊN QUAN
• 2.1. Hệ thống phát hiện tấn công bằng phương pháp rút trích những thành phần cơ bản trên FPGA
• 2.2. Kết hợp các phương pháp phân loại trong hệ thống phát hiện tấn công
• 2.3. Hệ thống phát hiện các bất thường trong mạng internet sử dụng giải thuật của lí thuyết thông tin, K-NN và KMC
• 2.4. Một cách tiếp cận mới cho hệ thống phát hiện tấn công bằng cách sử dụng mạng Neural và phương pháp phân cụm mờ
• 3. Phần 3: CƠ SỞ LÍ THUYẾT
• 3.1. Kiến trúc tổng quát của một hệ thống phát hiện tấn công trong mạng internet
• 3.2. Các phương pháp được dùng trong hệ thống phát hiện tấn công dựa trên sự bất thường của mạng máy tính
• 3.3. Rút trích những thông tin đặc trưng trong mạng internet
• 3.4. Công nghệ Field Programmable Gate-Array và board NetFPGA
• 4. Phần 4: HIỆN THỰC HỆ THỐNG
• 4.1. Tập dữ liệu KDD 99 (Knowledge Discovery and Data mining)
• 4.2. Công cụ hỗ trợ xây dựng và kiểm thử các phương pháp trong datamining
• 4.3. Qui trình phát triển và hiện thực hệ thống
• 4.4. Xây dựng mô hình
• 4.5. Hiện thực mô hình lên board NetFPGA
• 4.6. Kết quả thực nghiệm
• 5. Phần 5: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• 5.1. Kết luận
• 5.2. Những đóng góp của đề tài
• 5.3. Hướng phát triển
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Giới thiệu đề tài

Luận văn thạc sĩ này tập trung vào việc hiện thực hệ thống phát hiện tấn công mạng dựa trên bất thường trong mạng và triển khai trên FPGA. Đề tài nhằm giải quyết các vấn đề về an ninh mạng bằng cách sử dụng phần cứng FPGA để tăng tốc độ xử lý và đáp ứng yêu cầu thời gian thực. Hệ thống phát hiện tấn công mạng dựa trên bất thường được thiết kế để phát hiện các loại tấn công mới, đặc biệt là các tấn công Zero-day, mà các hệ thống dựa trên so trùng mẫu không thể phát hiện được.

1.1. Tính cấp thiết của đề tài

Với sự gia tăng của các hình thức tấn công mạng, việc phát hiện các bất thường trong mạng trở nên cấp thiết. Các hệ thống hiện tại thường chậm trong việc phát hiện các tấn công mới do khối lượng tính toán lớn. FPGA được chọn làm nền tảng để tối ưu hóa tốc độ xử lý và giảm thời gian phát hiện tấn công.

1.2. Mục tiêu và giới hạn

Mục tiêu chính của đề tài là xây dựng phần lõi của hệ thống phát hiện tấn công mạng dựa trên bất thường trong mạng và triển khai trên board NetFPGA. Đề tài giới hạn trong việc sử dụng tập dữ liệu KDD99 để huấn luyện và kiểm tra hệ thống.

II. Cơ sở lý thuyết

Phần này trình bày các phương pháp phát hiện tấn công và kiến trúc FPGA. Hệ thống phát hiện tấn công mạng thường được chia thành hai loại: dựa trên so trùng mẫu và dựa trên bất thường trong mạng. FPGA được sử dụng để tối ưu hóa tốc độ xử lý và giảm thời gian phát hiện tấn công.

2.1. Kiến trúc hệ thống phát hiện tấn công

Hệ thống phát hiện tấn công thường bao gồm các khối chức năng như E-box (thu thập dữ liệu), A-box (phân tích dữ liệu), và R-box (phản hồi). FPGA được sử dụng để tăng tốc độ xử lý trong khối A-box.

2.2. Phương pháp phát hiện bất thường

Các phương pháp phát hiện bất thường trong mạng bao gồm phân tích lưu lượng mạng, xử lý tín hiệu số, và thuật toán phát hiện bất thường. FPGA được sử dụng để tối ưu hóa các thuật toán này.

III. Hiện thực hệ thống

Phần này mô tả quá trình hiện thực hệ thống phát hiện tấn công mạng trên FPGA. Hệ thống được thiết kế dựa trên cây quyết định và sử dụng tập dữ liệu KDD99 để huấn luyện và kiểm tra. FPGA được sử dụng để tối ưu hóa tốc độ xử lý và giảm thời gian phát hiện tấn công.

3.1. Thiết kế hệ thống

Hệ thống được thiết kế với 5 cây quyết định, mỗi cây sử dụng 41 thuộc tính của kết nối mạng. FPGA được sử dụng để tối ưu hóa quá trình xử lý và giảm thời gian phát hiện tấn công.

3.2. Kết quả thực nghiệm

Hệ thống đạt được tỷ lệ phát hiện tấn công chính xác trên 90% và tỷ lệ cảnh báo sai dưới 1%. FPGA đã chứng minh hiệu quả trong việc tăng tốc độ xử lý và giảm thời gian phát hiện tấn công.

IV. Đánh giá và ứng dụng

Luận văn thạc sĩ này đã chứng minh hiệu quả của việc sử dụng FPGA trong hệ thống phát hiện tấn công mạng dựa trên bất thường trong mạng. Hệ thống có tiềm năng ứng dụng trong các môi trường mạng yêu cầu tốc độ xử lý cao và khả năng phát hiện tấn công mới.

4.1. Giá trị thực tiễn

Hệ thống có thể được triển khai trong các mạng doanh nghiệp để phát hiện các tấn công mới và giảm thiểu rủi ro an ninh. FPGA cung cấp giải pháp hiệu quả cho việc tối ưu hóa tốc độ xử lý.

4.2. Hướng phát triển

Trong tương lai, hệ thống có thể được mở rộng để hỗ trợ nhiều loại tấn công hơn và tích hợp với các công nghệ bảo mật mạng hiện đại như AI và machine learning.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh không gian mạng phát triển vượt bậc với hàng tỷ kết nối mỗi ngày, các cuộc tấn công mạng ngày càng gia tăng về mức độ tinh vi và tần suất xuất hiện. Theo ước tính từ các chuyên gia an ninh mạng, các lỗ hổng chưa từng được công bố (Zero-day) thường mất khoảng 384 ngày mới có thể được phát hiện và vá lỗi hoàn toàn. Các hệ thống tường lửa hay giải pháp phát hiện xâm nhập truyền thống dựa trên so trùng chữ ký mẫu đã bộc lộ giới hạn lớn khi hoàn toàn bất lực trước những hình thức tấn công mới. Ngược lại, phương pháp phát hiện dựa trên sự bất thường cho phép nhận diện các hành vi xâm nhập mới nhưng lại đòi hỏi khối lượng tính toán khổng lồ, khiến các phần mềm thuần túy trên máy tính mất từ vài giờ đến vài ngày để xử lý, không thể đáp ứng yêu cầu vận hành theo thời gian thực.

Trước thách thức đó, nghiên cứu này được triển khai nhằm mục tiêu xây dựng và hiện thực hóa phần lõi của hệ thống phát hiện tấn công mạng dựa vào các dấu hiệu bất thường trực tiếp trên phần cứng mạch tích hợp khả trình FPGA. Mục tiêu kỹ thuật cụ thể là đạt tỷ lệ phát hiện tấn công chính xác vượt trên 90% và khống chế tỷ lệ cảnh báo sai dưới 1.0%. Đề tài được thực hiện trong khung thời gian từ tháng 2 năm 2011 đến tháng 12 năm 2011 tại Đại học Bách Khoa thuộc Đại học Quốc gia Thành phố Hồ Chí Minh. Phạm vi nghiên cứu tập trung vào việc trích xuất và phân loại tập 41 thuộc tính đặc trưng của các kết nối mạng Internet trên bo mạch NetFPGA của hãng Xilinx. Nghiên cứu mang lại ý nghĩa then chốt khi giải quyết triệt để nút thắt cổ chai về tốc độ xử lý gói tin, nâng cao hiệu năng bảo mật mạng lên mức Gigabit mà vẫn đảm bảo tính mềm dẻo nhờ khả năng tái cấu hình linh hoạt của phần cứng FPGA.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng dựa trên kiến trúc tổng quát của hệ thống phát hiện xâm nhập chuẩn do nhóm IDWG định nghĩa, bao gồm 4 khối chức năng liên kết chặt chẽ: khối thu thập sự kiện (E-box), khối lưu trữ dữ liệu (D-box), khối phân tích dữ liệu (A-box) và khối phản ứng cảnh báo (R-box). Về phương pháp phân tích cốt lõi, đề tài áp dụng lý thuyết học máy có giám sát kết hợp giải thuật cây quyết định J48 cùng kỹ thuật học tăng cường Bagging. Kỹ thuật này phân chia dữ liệu thành nhiều tập con ngẫu nhiên để huấn luyện đồng thời 5 cây quyết định độc lập, sau đó sử dụng cơ chế bỏ phiếu theo trọng số ưu tiên nhằm đưa ra quyết định phân loại tối ưu.

Mô hình nghiên cứu phân loại toàn bộ lưu lượng mạng thành 5 nhóm trạng thái chính gồm: trạng thái bình thường (Normal) và 4 nhóm tấn công nguy hiểm là tấn công từ chối dịch vụ (DoS), quét thăm dò mạng (Probe), leo thang đặc quyền người dùng (User to Root - U2R) và truy cập trái phép từ xa (Remote to Local - R2L). Mỗi gói tin và luồng kết nối được mô hình hóa chi tiết thông qua không gian 41 thuộc tính đặc trưng. Trong đó, hệ thống phân chia rõ ràng thành 3 nhóm thuộc tính nền tảng: 9 thuộc tính cơ bản trích xuất từ phần đầu gói tin TCP/IP, 13 thuộc tính nội dung kiểm tra sâu vào hành vi của phiên kết nối, cùng 19 thuộc tính thống kê lưu lượng mạng theo cửa sổ thời gian 2 giây và theo lịch sử 100 kết nối gần nhất của máy đích.

Phương pháp nghiên cứu

Về nguồn dữ liệu thực nghiệm, nghiên cứu sử dụng tập dữ liệu chuẩn KDD99 có nguồn gốc từ dự án DARPA 1998 của Viện Công nghệ Massachusetts Lincoln Lab. Cỡ mẫu nghiên cứu bao gồm khoảng 5 triệu bản ghi kết nối mạng trong tập huấn luyện (chiếm dung lượng khoảng 4GB thu thập qua 7 tuần giả lập) và khoảng 2 triệu bản ghi kết nối trong tập kiểm thử độc lập (thu thập trong 2 tuần tiếp theo) với tổng cộng 38 dạng tấn công chi tiết. Phương pháp chọn mẫu phân tầng ngẫu nhiên được áp dụng để đảm bảo tính bao phủ cho các loại tấn công có tần suất xuất hiện thấp như U2R hay R2L.

Lý do lựa chọn giải thuật cây quyết định J48 kết hợp Bagging xuất phát từ việc đánh giá so sánh toàn diện với các mô hình khác như mạng Neural, k-NN và Support Vector Machine. Cây quyết định thể hiện ưu thế vượt trội về tốc độ phân loại đạt mức tối đa, khả năng xử lý hoàn hảo cả dữ liệu số thực lẫn định danh rời rạc, đồng thời tiêu tốn ít tài nguyên phần tử logic nhất khi ánh xạ xuống phần cứng. Quy trình nghiên cứu tuân thủ 4 giai đoạn nghiêm ngặt: tiền xử lý và kiểm thử mô hình trên phần mềm WEKA Explorer, phát triển mô hình mô phỏng chuẩn bằng ngôn ngữ Java (Java Model) làm dữ liệu mẫu, thiết kế kiến trúc phần cứng bằng ngôn ngữ mô tả phần cứng Verilog HDL trên môi trường Xilinx ISE, và nạp tổng hợp trực tiếp lên chip Xilinx Virtex-II Pro50 trang bị 53.136 ô logic trên bo mạch NetFPGA.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình thực nghiệm và kiểm tra mô phỏng trên 1.000 kết nối đầu tiên cũng như toàn bộ tập kiểm tra KDD99 đã mang lại các kết quả định lượng cụ thể:

Hệ thống kết hợp 5 cây quyết định J48 thông qua giải thuật Bagging đã đạt tỷ lệ phát hiện tấn công chính xác tổng thể lên tới 91,23% (chính xác là 91,2277%). Kết quả này vượt trội hơn đáng kể so với việc chỉ sử dụng một cây quyết định J48 đơn lẻ vốn chỉ đạt mức 90,84%, đồng thời vượt chỉ tiêu ban đầu đề ra là trên 90%.

Tỷ lệ phát ra những cảnh báo sai của hệ thống được khống chế ở mức cực thấp, chỉ 0,50% (chính xác là 0,4984%). Con số này vượt xa kỳ vọng thiết kế ban đầu khi mục tiêu đặt ra là duy trì tỷ lệ báo động giả dưới mức 1.0%, giúp giảm thiểu tối đa tình trạng quá tải thông tin cho các quản trị viên an ninh mạng.

Thực nghiệm so sánh giữa các cấu hình số lượng cây quyết định gồm 5 cây, 10 cây, 20 cây và 50 cây cho thấy mô hình 5 cây là điểm cân bằng hoàn hảo nhất. Mặc dù cấu hình 50 cây có thể tăng nhẹ độ chính xác lên khoảng 91,5%, nhưng lại tiêu tốn tài nguyên phần cứng gấp gần 10 lần, vượt quá giới hạn 53.136 ô logic của chip Xilinx Virtex-II Pro50.

Cơ chế phân loại ưu tiên 5 mức theo thứ tự xuất hiện thực tế gồm DoS, Normal, Probe, R2L và U2R đã giúp hệ thống đạt độ nhạy phân loại cao đối với các cuộc tấn công chiếm băng thông lớn như Smurf hay Neptune, trong khi vẫn nhận diện chính xác các hành vi tấn công thăm dò như Portsweep và IPsweep.

Thảo luận kết quả

Hiệu quả vượt trội của mô hình bắt nguồn từ việc tổ hợp 5 cây quyết định có cấu trúc nhánh khác biệt, cho phép bao phủ không gian thuộc tính rộng hơn và triệt tiêu sai số cục bộ của từng cây đơn lẻ. Khi phân tích sâu vào cấu trúc dữ liệu, kết quả phân loại có thể được biểu diễn trực quan thông qua bảng ma trận nhầm lẫn (Confusion Matrix) và các biểu đồ phân bố lưu lượng theo thời gian thực. Bảng ma trận giúp làm rõ tỷ lệ nhận diện riêng biệt cho từng nhóm: nhóm DoS đạt tỷ lệ nhận diện trên 97%, nhóm Probe đạt trên 89%, trong khi các nhóm tấn công tinh vi tần suất thấp như R2L và U2R đạt kết quả khả quan hơn so với các phương pháp gom cụm truyền thống.

Khi so sánh với các công trình nghiên cứu phần cứng cùng thời kỳ, giải pháp đề xuất thể hiện tính ưu việt rõ rệt. Phương pháp phân tích thành phần chính PCA trên FPGA tuy rút gọn số chiều thuộc tính nhưng lại có tỷ lệ nhận diện biến động và phụ thuộc nặng nề vào việc chọn ngưỡng cố định. Trong khi đó, các mô hình kết hợp mạng Neural và phân cụm mờ (FC-ANN) tuy xử lý tốt nhóm U2R nhưng cấu trúc mạng 3 tầng với hàng trăm liên kết trọng số lại quá phức tạp để hiện thực hóa trên chip bán dẫn thương mại. Việc chuyển đổi thành công mô hình cây quyết định sang mạch luận lý số Verilog và xử lý song song trên 4 cổng mạng Gigabit Ethernet của NetFPGA đã chứng minh tính khả thi tuyệt đối của giải pháp phần cứng chuyên dụng.

Đề xuất và khuyến nghị

Nhằm hoàn thiện và nâng cao hiệu quả ứng dụng của hệ thống trong môi trường mạng thực tế, nghiên cứu đưa ra 4 khuyến nghị then chốt:

Thứ nhất, nâng cấp nền tảng phần cứng từ dòng chip Xilinx Virtex-II Pro sang các dòng FPGA thế hệ mới như Virtex-7, Zynq UltraScale hoặc Kintex để tăng mật độ ô logic lên hơn 200%. Mục tiêu nâng mức xử lý băng thông mạng từ 1 Gbps lên 10 Gbps đến 40 Gbps trong lộ trình 12 tháng tới, do các kỹ sư thiết kế phần cứng mạng phụ trách thực hiện.

Thứ hai, tối ưu hóa không gian thuộc tính đầu vào bằng cách áp dụng các thuật toán trích chọn đặc trưng dựa trên lý thuyết thông tin. Mục tiêu là tinh gọn từ 41 thuộc tính ban đầu xuống còn khoảng 15 đến 18 thuộc tính trọng yếu, giúp giảm thiểu 25% độ trễ xử lý gói tin và tiết kiệm 30% tài nguyên bộ nhớ BlockRAM trong thời gian 6 tháng, do đội ngũ kỹ sư khai phá dữ liệu đảm trách.

Thứ ba, tích hợp toàn diện mô hình phát hiện bất thường trên FPGA với các hệ thống phát hiện xâm nhập dựa trên chữ ký mẫu như Snort. Giải pháp lai này hướng tới nâng tỷ lệ phát hiện tấn công tổng thể lên trên 98,5% và đưa tỷ lệ cảnh báo sai về dưới mức 0,15% trong vòng 9 tháng, do chuyên gia an toàn thông tin tại các trung tâm điều hành an ninh mạng triển khai.

Thứ tư, thiết lập quy trình tự động cập nhật cây quyết định định kỳ 3 tháng một lần thông qua việc tái cấu hình từng phần trên FPGA. Động thái này giúp hệ thống liên tục thích ứng với các biến thể phần mềm độc hại mới mà không cần phải tắt hoặc khởi động lại toàn bộ thiết bị mạng, do quản trị viên hệ thống phối hợp cùng bộ phận an ninh mạng vận hành.

Đối tượng nên tham khảo luận văn

Nội dung và kết quả của luận văn mang lại giá trị thực tiễn cao cho 4 nhóm đối tượng chính:

Kỹ sư thiết kế vi mạch và lập trình phần cứng nhúng: Cung cấp tài liệu tham khảo chi tiết về quy trình chuyển đổi giải thuật học máy từ mô hình phần mềm Java sang ngôn ngữ phần cứng Verilog HDL, phục vụ trực tiếp cho việc phát triển các bộ đồng xử lý mạng chuyên dụng trên chip NetFPGA với cấu hình 53.136 ô logic.

Chuyên gia an toàn thông tin và kiến trúc sư hệ thống mạng: Tiếp cận phương pháp luận xây dựng hệ thống giám sát bất thường dựa trên 41 thuộc tính kết nối, giúp thiết kế các giải pháp phòng thủ chuyên sâu có khả năng khống chế tỷ lệ cảnh báo giả dưới 0,5% trong các hệ thống mạng doanh nghiệp quy mô lớn.

Học viên cao học và nhà nghiên cứu ngành Khoa học máy tính: Kế thừa khung phương pháp luận tiền xử lý dữ liệu chuẩn KDD99 với hơn 5 triệu bản ghi kết nối, kết hợp kỹ thuật đóng gói Bagging trên giải thuật J48 để mở rộng phát triển các nghiên cứu về trí tuệ nhân tạo ứng dụng trong bảo mật không gian mạng.

Lãnh đạo công nghệ và giám đốc an ninh thông tin: Nắm bắt bức tranh tổng thể về hiệu quả kinh tế và kỹ thuật của việc đầu tư trang thiết bị bảo mật phần cứng lai, giúp cắt giảm độ trễ phân tích gói tin hơn 80% so với giải pháp phần mềm thông thường, đáp ứng các tiêu chuẩn bảo mật khắt khe của ngành ngân hàng và viễn thông.

Câu hỏi thường gặp

Nghiên cứu mang lại lợi thế kỹ thuật gì khi lựa chọn hiện thực trên phần cứng FPGA thay vì phần mềm máy tính truyền thống?
Việc triển khai trên bo mạch NetFPGA cho phép xử lý dữ liệu hoàn toàn song song ở mức phần cứng với 4 cổng Gigabit Ethernet. Cách tiếp cận này giúp phân tích gói tin trực tiếp theo thời gian thực ở tốc độ đường truyền mà không gây tắc nghẽn, khắc phục triệt để độ trễ kéo dài nhiều ngày của các phần mềm phân tích thống kê truyền thống.

Tại sao việc kết hợp 5 cây quyết định J48 qua giải thuật Bagging lại ưu việt hơn một cây đơn lẻ?
Thực nghiệm khoa học chứng minh mô hình 5 cây quyết định giúp nâng tỷ lệ nhận diện tấn công chính xác từ 90,84% lên 91,23%, đồng thời giảm tỷ lệ cảnh báo sai xuống 0,498%. Kỹ thuật Bagging lấy mẫu ngẫu nhiên tạo ra 5 cấu trúc cây đa dạng, giúp loại bỏ hiện tượng quá khớp và nâng cao tính ổn định tổng thể khi phân loại dữ liệu mạng.

Bộ 41 thuộc tính của kết nối mạng được cấu trúc như thế nào để phục vụ quá trình nhận diện?
Tập thuộc tính được chia làm 3 nhóm khoa học: 9 thuộc tính cơ bản từ phần đầu gói tin (giao thức, độ dài kết nối, số byte), 13 thuộc tính nội dung phát hiện hành vi nguy hiểm (số lần đăng nhập lỗi, quyền truy cập tài khoản quản trị) và 19 thuộc tính lưu lượng thống kê trong 2 giây cùng 100 kết nối gần nhất để bao quát 38 dạng tấn công.

Cơ chế phân loại ưu tiên trong module tổng hợp kết quả của hệ thống hoạt động ra sao?
Khi 5 cây quyết định hoàn tất phân loại độc lập, khối tổng hợp sẽ áp dụng luật bỏ phiếu theo thứ tự ưu tiên xác suất xuất hiện gồm DoS, Normal, Probe, R2L và U2R. Quy tắc này giúp ưu tiên xử lý tức thời các nguy cơ tấn công làm nghẽn băng thông diện rộng trước khi phân tích các hành vi thăm dò thứ cấp.

Hệ thống có khả năng mở rộng để đáp ứng các tiêu chuẩn mạng tốc độ cao hơn trong tương lai không?
Hoàn toàn khả thi nhờ vào đặc tính tái cấu hình linh hoạt của công nghệ bán dẫn FPGA. Bằng việc chuyển giao mã nguồn Verilog sang các thế hệ chip xử lý hiện đại hơn và tối ưu hóa bộ nhớ phân tán, hệ thống có thể nâng cấp băng thông xử lý lên 10 Gbps hoặc 40 Gbps mà không cần thay đổi kiến trúc giải thuật cốt lõi.

Kết luận

Luận văn đã giải quyết thành công bài toán phát hiện xâm nhập mạng tốc độ cao thông qua 5 điểm cốt lõi sau:

• Hiện thực hóa thành công phần lõi hệ thống phát hiện tấn công mạng dựa trên các dấu hiệu bất thường trực tiếp trên phần cứng bo mạch NetFPGA của Xilinx.
• Đạt tỷ lệ phát hiện tấn công chính xác 91,23% và khống chế tỷ lệ cảnh báo sai ở mức tối ưu 0,498% trên tập dữ liệu chuẩn KDD99 với hơn 5 triệu mẫu thử nghiệm.
• Ứng dụng xuất sắc giải thuật học máy Bagging với tổ hợp 5 cây quyết định J48, dung hòa hoàn hảo giữa độ chính xác phân loại và giới hạn tài nguyên 53.136 ô logic trên chip bán dẫn.
• Xây dựng hoàn chỉnh quy trình chuyển đổi hệ thống qua 3 cấp độ: từ mô hình khai phá dữ liệu WEKA, mô hình kiểm thử Java Model đến mã phần cứng Verilog HDL trên Xilinx ISE.
• Đặt nền móng vững chắc cho hướng phát triển các thiết bị tường lửa và hệ thống phòng chống xâm nhập lai thế hệ mới kết hợp giữa phần cứng tốc độ cao và trí tuệ nhân tạo.

Về lộ trình tiếp theo, hệ thống dự kiến sẽ được mở rộng kiểm thử trên các dòng chip FPGA hiệu năng cao để nâng băng thông xử lý lên 10 Gbps trong 12 tháng tới. Các chuyên gia an ninh mạng và kỹ sư vi mạch hãy tham khảo toàn văn luận văn để áp dụng kiến trúc phần cứng tối ưu này vào việc nâng cao năng lực tự vệ cho hệ thống mạng thông tin!

Trích đoạn nội dung tài liệu

ĐẠI HỌC QUỐC GIA TP. HỒ CHÍ MINH TRƯỜNG ĐẠI HỌC BÁCH KHOA -------------------------- NGUYỄN PHẠM ANH KHOA Đề tài: HIỆN THỰC HỆ THỐNG PHÁT HIỆN TẤN CÔNG TRONG MẠNG INTERNET DỰA VÀO CÁC BẤT THƯỜNG LÊN FPGA Chuyên ngành: Khoa học máy tính LUẬN VĂN THẠC SĨ TP Hồ Chí Minh, tháng 12 năm 2011 CÔNG TRÌNH ĐƯỢC HOÀN THÀNH TẠI TRƯỜNG ĐẠI HỌC BÁCH KHOA ĐẠI HỌC QUỐC GIA TP. HỒ CHÍ MINH Cán bộ hướng dẫn khoa học: TS. Trần Ngọc Thịnh.

Đinh Đức Anh Vũ. Cán bộ chấm nhận xét 1: TS. Huỳnh Hữu Thuận. Cán bộ chấm nhận xét 2: TS.

Luận văn thạc sĩ được bảo vệ tại trường Đại học Bách Khoa, ĐHQG TP. HCM ngày 06 tháng 01 năm 2012. Thành phần Hội đồng đánh giá luận văn thạc sĩ gồm: 1. Chủ tịch hội đồng: TS.

Thư ký hội đồng: TS. Trần Mạnh Hà 3. Ủy viên phản biện 1: TS. Huỳnh Hữu Thuận 4.

Ủy viên phản biện 2: TS. Ủy viên hội đồng: TS. Trần Ngọc Thịnh Chủ tịch hội đồng đánh giá LV Bộ môn quản lý chuyên ngành TRƯỜNG ĐẠI HỌC BÁCH KHOA CỘNG HOÀ XÃ HỘI CHỦ NGHĨA VIỆT NAM KHOA KH & KT MÁY TÍNH Độc Lập - Tự Do - Hạnh Phúc TP. HCM, ngày 06 tháng 01 năm 2012 NHIỆM VỤ LUẬN VĂN THẠC SĨ Họ tên học viên: Nguyễn Phạm Anh Khoa Phái: Nam Ngày, tháng, năm sinh: 25/11/1983 Nơi sinh: Đồng Nai Chuyên ngành: Khoa học Máy tính MSHV: 09070447 I- TÊN ĐỀ TÀI: HIỆN THỰC HỆ THỐNG PHÁT HIỆN TẤN CÔNG TRONG MẠNG INTERNET DỰA VÀO CÁC BẤT THƯỜNG LÊN FPGA II- NHIỆM VỤ VÀ NỘI DUNG: Đề xuất mô hình và hiện thực phần lõi của việc phát hiện tấn công trong mạng internet dựa trên các bất thường lên FPGA.

Mục tiêu là có khả năng phát hiện đúng các loại tấn công với tỉ lệ >90% và tỉ lệ phát ra những cảnh báo sai < 1. III- NGÀY GIAO NHIỆM VỤ: 14/02/2011 IV- NGÀY HOÀN THÀNH NHIỆM VỤ: 02/12/2011 V- CÁN BỘ HƯỚNG DẪN: TS. Trần Ngọc Thịnh TS. Đinh Đức Anh Vũ CÁN BỘ HƯỚNG DẪN CHỦ NHIỆM BỘ MÔN KHOA QL CHUYÊN NGÀNH (Họ tên và chữ ký) QUẢN LÝ CHUYÊN NGÀNH (Họ tên và chữ ký) (Họ tên và chữ ký) LỜI CAM ĐOAN Tôi cam đoan rằng, ngoại trừ các kết quả tham khảo từ các công trình khác như đã ghi rõ trong luận văn, các công việc trình bày trong luận văn này là do chính tôi thực hiện và chưa có phần nội dung nào của luận văn này được nộp để lấy một bằng cấp ở trường này hoặc trường khác.

Thành phố Hồ Chí Minh, tháng 12 năm 2011 Nguyễn Phạm Anh Khoa Nguyễn Phạm Anh Khoa i Lời cám ơn Đầu tiên, tôi xin gửi lời cảm ơn chân thành đến TS. Trần Ngọc Thịnh và TS. Đinh Đức Anh Vũ đã cung cấp tài liệu cũng như tận tình hướng dẫn, hỗ trợ tôi trong suốt quá trình nghiên cứu để hoàn thành luận văn tốt nghiệp. Các thầy là động lực lớn nhất giúp tôi có thể hoàn thành đề tài này.

Bên cạnh đó, tôi cũng xin cảm ơn sự giúp đỡ nhiệt tình của các bạn đồng nghiệp ở phòng thí nghiệm máy tính tại tòa nhà C5 đã luôn tạo điều kiện tốt nhất để tôi có thể kiểm thử đề tài trên các board mạch thực tế. Cuối cùng, xin cảm ơn đến gia đình và bạn bè, những người đã luôn ủng hộ và giúp đỡ tôi trong cuộc sống để tôi có thể hoàn thành tốt luận văn. Thành phố Hồ Chí Minh, tháng 12 năm 2011 Nguyễn Phạm Anh Khoa ii Tóm tắt luận văn thạc sĩ Luận văn sẽ trình bày các kiến thức về kiến trúc FPGA và hệ thống phát hiện tấn công trong mạng internet nhưng đi sâu vào các phương pháp dựa vào những dấu hiệu bất thường của mạng. Bên cạnh đó thì luận văn cũng đề xuất 1 cách thức để có thể hiện thực hiệu quả việc dò tìm tấn công dựa trên các bất thường của mạng lên board NetFPGA của Xilinx là hình thành 1 nhóm các cây quyết định.

Cụ thể là xây dựng 5 cây quyết định với ngõ nhập là 41 thuộc tính của từng kết nối mạng và dùng phương thức bầu cử để đưa ra quyết định cuối cùng. Tập dữ liệu được sử dụng để test và so sánh kết quả là KDD 99. Nguyễn Phạm Anh Khoa iii Mục lục nội dung
--- ---
LỜI CAM ĐOAN. ii Tóm tắt luận văn thạc sĩ.

iii Mục lục nội dung. iv Mục lục hình. vi Mục lục bảng. GIỚI THIỆU ĐỀ TÀI .2 Giới thiệu đề tài .3 Tính cấp thiết của đề tài .4 Mục tiêu và giới hạn của đề tài .5 Tính khả thi của đề tài.

NHỮNG CÔNG TRÌNH LIÊN QUAN .1 Hệ thống phát hiện tấn công bằng phương pháp rút trích những thành phần cơ bản trên FPGA .2 Kết hợp các phương pháp phân loại trong hệ thống phát hiện tấn công .3 Hệ thống phát hiện các bất thường trong mạng internet sử dụng giải thuật của lí thuyết thông tin, K-NN và KMC .4 Một cách tiếp cận mới cho hệ thống phát hiện tấn công bằng cách sử dụng mạng Neural và phương pháp phân cụm mờ .1 Kiến trúc tổng quát của một hệ thống phát hiện tấn công trong mạng internet .2 Các phương pháp được dùng trong hệ thống phát hiện tấn công dựa trên sự bất thường của mạng máy tính .3 Rút trích những thông tin đặc trưng trong mạng internet .4 Công nghệ Field Programmable Gate-Array và board NetFPGA. HIỆN THỰC HỆ THỐNG .1 Tập dữ liệu KDD 99 (Knowledge Discovery and Data mining). 26 Nguyễn Phạm Anh Khoa iv 4.2 Công cụ hỗ trợ xây dựng và kiểm thử các phương pháp trong datamining 29 4.3 Qui trình phát triển và hiện thực hệ thống .4 Xây dựng mô hình .5 Hiện thực mô hình lên board NetFPGA .6 Kết quả thực nghiệm .2 Những đóng góp của đề tài.3 Hướng phát triển. TÀI LIỆU THAM KHẢO.

49 Nguyễn Phạm Anh Khoa v Mục lục hình ---o0o--- Hình 1 - Nhiệm vụ của đề tài. 4 Hình 2 - Hệ thống phát hiện tấn công bằng phương pháp PCA. 1 Hình 3 - Hệ thống phát hiện tấn công bằng cách kết hợp nhiều giải thuật. 3 Hình 4 - Mô hình của hệ thống FC-ANN.

5 Hình 5 - Kiến trúc tổng quát của một hệ thống phát hiện tấn công. 8 Hình 6 - Các bước chính trong một hệ thống phát hiện tấn công dựa vào sự bất thường trong mạng internet. 9 Hình 7 - Cấu trúc tổng quát của một chip FPGA[13]. 24 Hình 8 - Board NetFPGA [16].

24 Hình 9 - Kiến trúc bên trong của board NetFPGA [16]. 25 Hình 10 - Giao diện của phần mềm WEKA với tính năng Explorer. 29 Hình 11 - Qui trình phát triển và hiện thực hệ thống lên board NetFPGA. 30 Hình 12 - Mô hình hệ thống phát hiện tấn công.

37 Hình 13 - Hiện thực hệ thống lên board NetFPGA. 39 Hình 14 - Phần giao tiếp của module J48_Classifier_Top. 40 Hình 15 - Cấu trúc chi tiết của module J48_Classifier_Top. 41 Hình 16 - Bộ tổng hợp kết quả từ các cây phân loại.

42 Hình 17 - Kết quả mô phỏng trên ISE với 1000 kết nối đầu tiên. 44 Hình 18 - Kết quả phân loại và tỉ lệ phát ra cảnh báo sai của phương pháp PCA. 45 Nguyễn Phạm Anh Khoa vi Mục lục bảng ---o0o--- Bảng 1 - Những thuộc tính cơ bản của 1 kết nối. 17 Bảng 2 - Những thuộc tính nội dung của 1 kết nối.

18 Bảng 3 - Những thuộc tính lưu lượng theo thời gian. 20 Bảng 4 - Những thuộc tính lưu lượng theo máy. 22 Bảng 5 - Các loại tấn công trong tập dữ liệu KDD99. 28 Bảng 6 - So sánh giữa các giải thuật trong phương pháp học máy [17].

34 Bảng 7- So sánh tỉ lệ phát hiện tấn công của các giải thuật học máy. 35 Bảng 8 - So sánh độ chính xác giữa nhóm các cây quyết định. 36 Bảng 9 - Cấu trúc các cây quyết định của mô hình được sinh ra. 37 Bảng 10 - So sánh kết quả phân loại giữa hệ thống và người chiến thắng KDD99[19].

45 Nguyễn Phạm Anh Khoa vii Phần 1. Giới Thiệu Đề Tài Phần 1. GIỚI THIỆU ĐỀ TÀI 1.1 Tổng quan - Cùng với sự lớn mạnh của mạng internet và các dịch vụ đi kèm với nó trong thời gian gần đây thì những vấn đề về an toàn trong mạng internet cũng ngày càng được quan tâm nhiều hơn. Firewall với tính năng như một bộ lọc các gói dữ liệu ở mức cơ bản thì không đủ đáp ứng yêu cầu ngày càng cao của mạng internet.

Vấn đề này đã làm phát sinh ra các thiết bị hay ứng dụng có tính năng dò tìm và phát hiện các tấn công trong một mạng internet. Những hệ thống này hoạt động dựa trên 2 cơ chế cơ bản đó là : phân tích những gói dữ liệu trong mạng và dựa vào so trùng các mẫu dữ liệu để tìm kiếm các loại tấn công đã được biết trước đó hay phát hiện các bất thường để phát ra cảnh báo cho người quản trị mạng. Mỗi cách tiếp cận đều có những ưu điểm và nhược điểm riêng của nó. Như cách so trùng mẫu dữ liệu ( hay gọi là signature- based ) thì có khả năng phát hiện được các tấn công đã được lưu trong cơ sở dữ liệu ở mức cao và ít có những cảnh báo giả nhưng nó lại không có khả năng phát hiện được những loại tấn công mới nên đòi hỏi phải cập nhật cơ sở dữ liệu liên tục và thường xuyên.

Trong khi phương pháp dựa vào những bất thường trong mạng internet thì có thể phát hiện ra các loại tấn công mới nhưng bù lại thì khả năng phát hiện chính xác các loại tấn công thì không cao và thường phát ra những tín hiệu cảnh báo giả. - Dù dùng phương pháp nào thì để phát hiện các loại tấn công luôn đòi hỏi một khối lượng tính toán rất lớn và với sự phát triển về tốc độ của mạng internet ngày nay thì các phần mềm gần như không thể đáp ứng được với yêu cầu về thời gian thực. Do Nguyễn Phạm Anh Khoa 1 Phần 1. Giới Thiệu Đề Tài đó người ta có khuynh hướng dùng các mạch phần cứng để xử lí và FPGA như một giải pháp hiệu quả cho vấn đề này.

Ngoài ra với khả năng tái cấu hình thì FPGA còn có thuận lợi hơn trong việc bảo trì, cập nhật hay nâng cấp hệ thống.