Nghiên cứu ứng dụng mô hình học sâu trong phát hiện xâm nhập mạng

Luận văn thạc sĩ nghiên cứu nghiên cứu ứng dụng mô hình học sâu trong phát hiện xâm nhập mạng, khảo sát thực trạng, phân tích nguyên nhân, đề xuất giải pháp cải thiện thực tiễn.

• Tác giả: Vũ Mạnh Cường
• Người hướng dẫn: PGS. Nguyễn Ngọc Hóa
• Trường học: Đại học Quốc gia Hà Nội
• Chuyên ngành: Hệ thống thông tin
• Đề tài: Nghiên cứu ứng dụng mô hình học sâu trong phát hiện xâm nhập mạng
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2021
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CẢM ƠN
• LỜI CAM ĐOAN
• TÓM TẮT LUẬN VĂN
• DANH SÁCH HÌNH VẼ
• DANH SÁCH BẢNG
• DANH MỤC THUẬT NGỮ VIẾT TẮT
• 1. CHƯƠNG 1: GIỚI THIỆU CHUNG
• 1.1. Động lực nghiên cứu
• 1.2. Một số nghiên cứu liên quan
• 1.3. Mục tiêu và nội dung nghiên cứu
• 1.3.1. Mục tiêu nghiên cứu
• 1.3.2. Những đóng góp chính
• 1.4. Tổ chức của luận văn
• 2. CHƯƠNG 2: LÝ THUYẾT LIÊN QUAN
• 2.1. Tổng quan về hệ thống phát hiện xâm nhập mạng
• 2.1.1. Giới thiệu về hệ thống phát hiện xâm nhập mạng
• 2.1.2. Kỹ thuật phát hiện xâm nhập mạng dựa trên dấu hiệu (SNIDS)
• 2.1.3. Kỹ thuật phát hiện xâm nhập mạng dựa trên phát hiện bất thường (ANIDS)
• 2.2. Lý thuyết học sâu
• 2.2.1. Khái niệm học sâu
• 2.2.2. Lược sử của học sâu
• 2.2.3. Giới thiệu về mạng nơ-ron
• 2.2.3.1. Mạng nơ-ron sinh học
• 2.2.3.2. Mạng nơ-ron nhân tạo
• 2.3. Kết luận chương
• 3. CHƯƠNG 3: PHÁT HIỆN XÂM NHẬP MẠNG SỬ DỤNG MÔ HÌNH HỌC SÂU
• 3.1. Bài toán đặt ra
• 3.2. Mô hình IDPSDLWD phát hiện và ngăn chặn xâm nhập mạng dựa trên phân tích lưu lượng truy cập HTTP
• 3.3. Lựa chọn khung xây dựng mô hình học sâu
• 3.3.1. Đánh giá và lựa chọn
• 3.4. Kết luận chương
• 4. CHƯƠNG 4: KẾT QUẢ THỰC NGHIỆM
• 4.1. Môi trường thực nghiệm
• 4.2. Dữ liệu thực nghiệm
• 4.2.1. Dữ liệu sinh ra trong đề tài KC
• 4.2.2. Dữ liệu từ nguồn tin cậy
• 4.3. Tối ưu hoá tham số
• 4.4. Phương pháp đánh giá
• 4.5. Mô hình huấn luyện
• 4.6. Kết quả thử nghiệm
• 4.6.1. Kết quả với bộ dữ liệu DS1
• 4.6.2. Kết quả với bộ dữ liệu DS2
• 4.7. Kết luận chương
• 5. CHƯƠNG 5: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• 5.1. Các đóng góp chính
• 5.2. Hướng phát triển tương lai
• CÔNG BỐ CỦA HỌC VIÊN
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Giới thiệu về luận văn thạc sĩ ứng dụng học sâu trong phát hiện xâm nhập mạng

Luận văn thạc sĩ này tập trung vào việc nghiên cứu ứng dụng mô hình học sâu trong phát hiện xâm nhập mạng. Trong bối cảnh an ninh mạng ngày càng trở nên quan trọng, việc phát hiện và ngăn chặn các cuộc tấn công mạng là một thách thức lớn. Mô hình học sâu đã chứng minh được hiệu quả trong nhiều lĩnh vực, và việc áp dụng nó vào phát hiện xâm nhập mạng hứa hẹn sẽ mang lại những kết quả khả quan.

1.1. Động lực nghiên cứu và tầm quan trọng của an ninh mạng

Trong thời đại công nghệ thông tin phát triển mạnh mẽ, an ninh mạng trở thành một vấn đề cấp thiết. Các cuộc tấn công mạng ngày càng tinh vi, đòi hỏi các hệ thống phát hiện xâm nhập phải được cải tiến liên tục. Luận văn này nhằm tìm hiểu và ứng dụng các phương pháp học sâu để nâng cao khả năng phát hiện xâm nhập mạng.

1.2. Mục tiêu và nội dung nghiên cứu của luận văn

Mục tiêu chính của luận văn là nghiên cứu và phát triển mô hình học sâu để phát hiện xâm nhập mạng. Nội dung nghiên cứu bao gồm việc phân tích các phương pháp học máy, xây dựng mô hình và thử nghiệm trên các tập dữ liệu thực tế.

II. Thách thức trong phát hiện xâm nhập mạng hiện nay

Phát hiện xâm nhập mạng đang đối mặt với nhiều thách thức lớn. Các cuộc tấn công ngày càng tinh vi và khó phát hiện, trong khi khối lượng dữ liệu mạng ngày càng tăng. Điều này đặt ra yêu cầu cao về độ chính xác và tốc độ của các hệ thống phát hiện xâm nhập.

2.1. Các loại tấn công mạng phổ biến hiện nay

Các loại tấn công mạng như tấn công lừa đảo, tấn công từ chối dịch vụ (DDoS) và tấn công mã độc đang gia tăng. Những tấn công này không chỉ gây thiệt hại về tài chính mà còn ảnh hưởng đến uy tín của tổ chức.

2.2. Hạn chế của các phương pháp phát hiện truyền thống

Các phương pháp phát hiện truyền thống như SNIDS thường chỉ hiệu quả với các tấn công đã biết. Chúng gặp khó khăn trong việc phát hiện các tấn công mới hoặc chưa được nhận diện, dẫn đến tỷ lệ phát hiện thấp.

III. Phương pháp học sâu trong phát hiện xâm nhập mạng

Mô hình học sâu đã được áp dụng rộng rãi trong nhiều lĩnh vực, bao gồm cả phát hiện xâm nhập mạng. Các phương pháp này cho phép hệ thống tự động học từ dữ liệu và cải thiện khả năng phát hiện theo thời gian.

3.1. Khái niệm và nguyên lý hoạt động của học sâu

Học sâu là một nhánh của trí tuệ nhân tạo, sử dụng các mạng nơ-ron để học từ dữ liệu. Nguyên lý hoạt động của nó dựa trên việc xây dựng các mô hình phức tạp có khả năng nhận diện các mẫu trong dữ liệu.

3.2. Các mô hình học sâu phổ biến trong phát hiện xâm nhập

Một số mô hình học sâu như mạng nơ-ron tích chập (CNN) và mạng nơ-ron hồi tiếp (RNN) đã được áp dụng để phát hiện xâm nhập mạng. Những mô hình này cho phép phân tích dữ liệu theo nhiều chiều khác nhau, từ đó nâng cao độ chính xác.

IV. Kết quả nghiên cứu và ứng dụng thực tiễn

Luận văn đã tiến hành thử nghiệm mô hình học sâu trên các tập dữ liệu thực tế như CIC-IDS-2018. Kết quả cho thấy mô hình có khả năng phát hiện xâm nhập với độ chính xác cao, góp phần nâng cao an ninh mạng.

4.1. Kết quả thử nghiệm trên tập dữ liệu CIC IDS 2018

Kết quả thử nghiệm cho thấy mô hình đạt được độ chính xác lên đến 99,96%. Điều này chứng tỏ khả năng phát hiện xâm nhập mạng của mô hình học sâu là rất hiệu quả.

4.2. Ứng dụng mô hình trong thực tiễn

Mô hình học sâu có thể được ứng dụng trong các hệ thống phát hiện xâm nhập mạng thực tế, giúp các tổ chức nâng cao khả năng bảo vệ trước các cuộc tấn công mạng.

V. Kết luận và hướng phát triển tương lai

Luận văn đã chỉ ra rằng mô hình học sâu có tiềm năng lớn trong việc phát hiện xâm nhập mạng. Tuy nhiên, vẫn cần tiếp tục nghiên cứu để cải thiện độ chính xác và khả năng phát hiện các tấn công mới.

5.1. Những đóng góp chính của luận văn

Luận văn đã đóng góp vào việc phát triển mô hình IDPSDLWD, kết hợp giữa học sâu và các phương pháp phát hiện truyền thống, giúp nâng cao hiệu quả phát hiện xâm nhập mạng.

5.2. Hướng phát triển trong tương lai

Trong tương lai, cần nghiên cứu thêm về việc tối ưu hóa mô hình học sâu và áp dụng các công nghệ mới như học tăng cường để cải thiện khả năng phát hiện xâm nhập mạng.

Nội dung chính

Tổng quan nghiên cứu

Sự bùng nổ của kỷ nguyên số và lưu lượng mạng Internet toàn cầu đã làm gia tăng đáng kể các nguy cơ đe dọa an toàn thông tin của các tổ chức, doanh nghiệp. Theo số liệu thống kê từ Trung tâm Ứng cứu khẩn cấp không gian mạng Việt Nam (VNCERT), chỉ trong 8 tháng đầu năm 2019, hệ thống đã ghi nhận 7.015 sự cố tấn công mạng nhằm vào các trang web tại Việt Nam, bao gồm 2.570 sự cố tấn công lừa đảo (phishing), 4.203 trường hợp thay đổi giao diện (deface) và 242 website bị nhiễm mã độc (malware). Trên phạm vi học thuật quốc tế, thư viện IEEE Xplore ghi nhận 768 công trình nghiên cứu về hệ thống phát hiện và ngăn chặn xâm nhập (IDPS) tính đến cuối năm 2018, cùng hơn 17.400 kết quả liên quan trên cơ sở dữ liệu Google Scholar từ năm 2014.

Tuy nhiên, phần lớn các giải pháp phòng thủ truyền thống như tường lửa hay hệ thống phát hiện xâm nhập dựa trên chữ ký (SNIDS) chỉ phản ứng hiệu quả trước các mẫu tấn công đã biết, đồng thời tạo ra độ trễ lớn khi lưu lượng mạng tăng cao. Vấn đề nghiên cứu trọng tâm của luận văn là giải quyết bài toán phát hiện các hành vi tấn công tinh vi, đặc biệt là các cuộc tấn công khai thác mã độc Webshell trên giao thức HTTP, vốn dễ dàng vượt qua các tập luật tĩnh.

Mục tiêu cụ thể của đề tài là xây dựng mô hình phát hiện và phòng chống xâm nhập mạng kết hợp giữa tập luật và kiến trúc học sâu mang tên IDPSDLWD. Nghiên cứu thực nghiệm được tiến hành trên hai bộ dữ liệu quy mô lớn gồm bộ dữ liệu thực nghiệm đề tài cấp Nhà nước mã số KC.28/16-20 và bộ dữ liệu chuẩn quốc tế CSE-CIC-IDS2018. Kết quả nghiên cứu mang lại giá trị thực tiễn to lớn khi mô hình đạt độ chính xác lên tới 99,96% và điểm F1 đạt 99,98%, giúp giảm thiểu tối đa tỷ lệ cảnh báo sai và tối ưu hóa thời gian phản ứng trong môi trường mạng thời gian thực.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn thiết lập cơ sở khoa học dựa trên sự tích hợp giữa lý thuyết an toàn thông tin mạng và các tiến bộ của học máy hiện đại. Nghiên cứu kết hợp hai trường phái phòng thủ chính gồm hệ thống phát hiện xâm nhập dựa trên chữ ký (SNIDS) và hệ thống phát hiện xâm nhập dựa trên bất thường (ANIDS). Trong đó, ANIDS sử dụng phương pháp tiếp cận học máy thống kê để tự động học các mẫu hành vi và thiết lập ranh giới phân biệt giữa lưu lượng bình thường và lưu lượng độc hại.

Khung kiến trúc học sâu trung tâm được áp dụng là Mạng nơ-ron sâu (Deep Neural Network - DNN) dựa trên mô hình Perceptron nhiều lớp (Multi-layer Perceptron - MLP) kết hợp thuật toán lan truyền ngược (Backpropagation). Mô hình tích hợp ba khái niệm cốt lõi:

• Kỹ thuật Chuẩn hóa hàng loạt (Batch Normalization): Giúp ổn định phân bố dữ liệu đầu vào tại các lớp ẩn, gia tốc tốc độ hội tụ và giảm thiểu hiện tượng quá khớp (overfitting) mà không làm mất mát thông tin thuộc tính mạng.
• Hàm kích hoạt ReLU (Rectified Linear Unit): Được áp dụng tại các lớp ẩn nhằm xử lý triệt để hiện tượng triệt tiêu đạo hàm (vanishing gradient) và tăng tốc độ tính toán ma trận so với các hàm kích hoạt cổ điển như Sigmoid hay Tanh.
• Kỹ thuật nhúng biến phân loại và liên tục (Categorical and Continuous Embeddings): Cho phép mô hình DNN xử lý trực tiếp dữ liệu dạng bảng (Tabular Data) bao gồm các biến địa chỉ IP, cổng dịch vụ và các chỉ số thống kê gói tin.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp định lượng thực nghiệm với quy trình xử lý dữ liệu nghiêm ngặt trên hai nguồn dữ liệu lớn:

• Bộ dữ liệu DS1: Được sinh ra từ hệ thống thử nghiệm (testbed) của đề tài khoa học cấp Nhà nước KC.28/16-20, bao gồm 187.389 mẫu lưu lượng HTTP (180.079 mẫu sạch và 7.310 mẫu chứa hơn 400 loại Webshell khác nhau như PHP, ASP, ASPX, JS).
• Bộ dữ liệu DS2: Trích xuất từ tập dữ liệu quốc tế CSE-CIC-IDS2018 thu thập ngày 23/02/2018 với 1.048.575 mẫu lưu lượng mạng, bao gồm 1.048.009 mẫu sạch và 566 mẫu tấn công độc hại (BruteForce-Web, BruteForce-XSS, SQL-Injection).

Toàn bộ các luồng dữ liệu thô dạng pcap được trích xuất thông qua công cụ CICFlowMeter để thu được 82 thuộc tính đặc trưng (80 biến liên tục và 2 biến phân loại là Cổng đích và Giao thức). Cỡ mẫu được phân chia theo tỷ lệ 70% dành cho huấn luyện (trong đó tỷ lệ huấn luyện/xác thực là 9:1) và 30% dành cho kiểm tra độc lập. Phương pháp kiểm chứng chéo K-fold với k = 5 được áp dụng để đảm bảo tính khách quan và loại trừ sai số ngẫu nhiên. Về công nghệ, nghiên cứu lựa chọn framework FastAI phiên bản 2 trên nền tảng PyTorch và Python 3.6, kết hợp công cụ tối ưu hóa siêu tham số thích ứng Ax nhằm tự động xác định tốc độ học tối ưu trong dải từ 0,0001 đến 0,1.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình thực nghiệm đã chứng minh hiệu năng vượt trội của mô hình IDPSDLWD qua các chỉ số đo lường học máy cụ thể:

• Phát hiện thứ nhất: Trên bộ dữ liệu thực nghiệm DS1, mô hình IDPSDLWD đạt hiệu suất tuyệt đối sau 15 chu kỳ huấn luyện (epochs) với Độ chính xác (Accuracy) đạt 100%, Độ chuẩn xác (Precision) đạt 100%, Độ thu hồi (Recall) đạt 100% và Điểm F1 đạt 100%. Mô hình phân loại chính xác 54.022 luồng sạch và 2.191 luồng chứa Webshell mà không ghi nhận bất kỳ trường hợp dương tính giả (FPR = 0%) hay âm tính giả (FNR = 0%) nào.
• Phát hiện thứ hai: Trên bộ dữ liệu chuẩn quốc tế DS2, mô hình đạt Độ chính xác 99,96% và Điểm F1 đạt 99,98%. Trong tập kiểm thử gồm 312.727 mẫu, mô hình chỉ nhận diện nhầm 2 trong số 170 cuộc tấn công độc hại thực tế (tỷ lệ bỏ sót chỉ 1,18%) và phân loại sai 134 luồng lành tính thành mã độc (tỷ lệ báo động giả cực thấp ở mức 0,04%).
• Phát hiện thứ ba: Khi so sánh đối chuẩn trên cùng tập dữ liệu CSE-CIC-IDS2018, IDPSDLWD đạt độ chính xác 99,96%, cao hơn toàn bộ các nghiên cứu công bố trước đó sử dụng FastAI cơ bản (99,92%), Keras-TensorFlow (99,94%) và Keras-Theano (99,95%).
• Phát hiện thứ tư: Kết quả kiểm chứng chéo 5-fold trên DS2 cho thấy sự ổn định tuyệt đối của thuật toán với độ chính xác trên cả 5 fold đều duy trì từ 99,95% đến 99,97%, thời gian dự đoán trung bình chỉ khoảng 2,3 giây cho mỗi phân vùng dữ liệu lớn.

Thảo luận kết quả

Nguyên nhân cốt lõi giúp mô hình đạt hiệu năng cao vượt trội nằm ở kiến trúc lai thông minh: tầng IDPS dựa trên tập luật đóng vai trò sàng lọc sớm các gói tin bất thường rõ ràng và chuyển giao toàn bộ lưu lượng HTTP dạng bảng (82 đặc trưng) cho tầng mạng nơ-ron sâu DNN xử lý. Nhờ cơ chế Chuẩn hóa hàng loạt (Batch Normalization) kết hợp hàm kích hoạt ReLU, mô hình nắm bắt được các mối quan hệ phi tuyến tính phức tạp giữa các trường dữ liệu gói tin mà các thuật toán học máy truyền thống như SVM hay Random Forest thường bỏ sót.

Trong các báo cáo học thuật, sự hội tụ nhanh chóng và tính ổn định của mô hình được trực quan hóa rõ nét thông qua biểu đồ suy giảm hàm mất mát (loss curve) và biểu đồ tăng trưởng độ chính xác qua 15 epochs. Đồng thời, cấu trúc phân loại được thể hiện minh bạch qua Ma trận nhầm lẫn (Confusion Matrix), chỉ ra sự phân tách ranh giới rõ ràng giữa lớp dữ liệu lành tính và lớp mã độc Webshell. So với các giải pháp SNIDS đơn thuần vốn có độ trễ lớn khi tra cứu bảng luật khổng lồ, IDPSDLWD không chỉ phát hiện chính xác các cuộc tấn công chưa từng biết mà còn hỗ trợ tự động gửi địa chỉ IP độc hại về bộ lọc luật để kích hoạt cơ chế ngăn chặn thời gian thực.

Đề xuất và khuyến nghị

Dựa trên các phát hiện thực nghiệm, luận văn đưa ra bốn nhóm giải pháp mang tính ứng dụng cao:

• Triển khai kiến trúc phòng thủ lai IDPS-DNN trong hạ tầng mạng doanh nghiệp: Các tổ chức tài chính, viễn thông và cơ quan quản lý nhà nước cần tích hợp module học sâu vào các hệ thống IDPS sẵn có nhằm giảm tỷ lệ báo động giả xuống dưới 0,05%, hoàn thành lộ trình tích hợp trong vòng 3 đến 6 tháng.
• Chuẩn hóa quy trình tự động trích xuất đặc trưng lưu lượng mạng: Đội ngũ kỹ sư an toàn thông tin (SOC) cần thiết lập hệ thống trích xuất tự động 82 thuộc tính dòng dữ liệu HTTP theo thời gian thực với độ trễ xử lý dưới 50 mili-giây, áp dụng ngay trong quý đầu tiên của năm tài chính.
• Tự động hóa cơ chế cô lập và chặn IP độc hại: Bộ phận quản trị mạng cần lập trình quy trình phản ứng tự động kết nối giữa đầu ra mô hình DNN với cấu hình tường lửa, đảm bảo thời gian chặn địa chỉ IP của kẻ tấn công diễn ra dưới 1 giây sau khi phát hiện luồng Webshell.
• Mở rộng phạm vi phân tích sang các giao thức mã hóa: Các viện nghiên cứu an ninh mạng và nhóm phát triển cần tiếp tục thu thập và dán nhãn thêm khoảng 5.000.000 mẫu dữ liệu trên các giao thức như HTTPS, DNS và SSH trong vòng 12 tháng tới để mở rộng năng lực bảo vệ toàn diện.

Đối tượng nên tham khảo luận văn

Nội dung và kết quả nghiên cứu của luận văn mang lại giá trị thực tiễn cho bốn nhóm đối tượng chuyên môn:

• Kỹ sư an toàn thông tin và chuyên viên phân tích SOC: Nắm bắt phương pháp luận kết hợp AI với các hệ thống Snort/Suricata, giúp giảm tải khối lượng công việc kiểm tra cảnh báo sai trong giám sát an ninh mạng hàng ngày.
• Kỹ sư phát triển Trí tuệ nhân tạo và Học máy: Khảo sát ca điển hình (use-case) về xử lý dữ liệu dạng bảng (Tabular Data) với framework FastAI và PyTorch, ứng dụng kỹ thuật tối ưu hóa siêu tham số với công cụ Ax để đạt độ chính xác trên 99,9%.
• Giám đốc công nghệ (CTO) và Quản trị viên hạ tầng mạng: Tiếp cận mô hình kiến trúc bảo mật chiều sâu chi phí thấp, tận dụng phần cứng GPU hiện có để bảo vệ các cụm máy chủ dịch vụ Web trước các nguy cơ tấn công Web-based tinh vi.
• Giảng viên, học viên cao học và nghiên cứu sinh chuyên ngành Công nghệ thông tin: Sử dụng luận văn như tài liệu tham khảo chuẩn mực về quy trình xây dựng hệ thống testbed tạo dữ liệu, phương pháp đánh giá mô hình phân lớp mất cân bằng dữ liệu và kỹ thuật kiểm chứng K-fold.

Câu hỏi thường gặp

• Điểm khác biệt mấu chốt giữa mô hình IDPSDLWD và hệ thống phát hiện xâm nhập truyền thống là gì? Hệ thống truyền thống chủ yếu dựa trên chữ ký tĩnh (SNIDS) nên không thể phát hiện các biến thể Webshell bị mã hóa hoặc kỹ thuật tấn công mới. IDPSDLWD kết hợp quy tắc lọc gói tin ban đầu với mô hình học sâu DNN trên 82 đặc trưng lưu lượng mạng, cho phép tự động nhận diện các hành vi bất thường mới với độ chính xác đạt 99,96%.

• Tại sao nghiên cứu lại ưu tiên sử dụng framework FastAI thay vì Keras hay TensorFlow thuần túy? FastAI cung cấp tầng API cấp cao tối ưu hóa mạnh mẽ cho dữ liệu dạng bảng, tích hợp sẵn các kỹ thuật huấn luyện hiện đại như tỷ lệ học tùy biến (learning rate finder) và bộ tối ưu GPU. Kết quả thử nghiệm trên bộ dữ liệu DS2 cho thấy FastAI giúp mô hình đạt độ chính xác 99,96%, vượt trội hơn cấu hình Keras-TensorFlow (99,94%) và Keras-Theano (99,95%).

• Mô hình có làm suy giảm thông lượng mạng khi phân tích 82 đặc trưng trong thời gian thực không? Kiến trúc IDPSDLWD đã tối ưu hóa hiệu năng tính toán thông qua cấu trúc phân tầng: tầng lọc luật xử lý cực nhanh các gói tin thông thường và chỉ chuyển các luồng HTTP nghi vấn vào mạng DNN. Thời gian dự đoán trung bình trên tập kiểm thử lớn chỉ mất khoảng 2,3 giây cho hàng trăm nghìn mẫu, đảm bảo duy trì thông lượng mạng liên tục.

• Độ chính xác đạt 100% trên bộ dữ liệu DS1 có dấu hiệu của hiện tượng học vẹt (overfitting) không? Kết quả 100% trên DS1 đạt được nhờ sự hỗ trợ của kỹ thuật Chuẩn hóa hàng loạt (Batch Normalization) và phương pháp kiểm chứng chéo 5-fold nghiêm ngặt. Hơn nữa, khi kiểm thử chéo trên bộ dữ liệu độc lập quốc tế DS2 với hơn 1.000.000 mẫu, mô hình vẫn duy trì độ chính xác 99,96%, khẳng định khả năng tổng quát hóa xuất sắc của mạng nơ-ron.

• Hệ thống xử lý như thế nào sau khi phát hiện ra một luồng truy cập chứa mã độc Webshell? Khi mô hình DNN xác định một luồng dữ liệu là tấn công với độ tin cậy vượt ngưỡng, IDPSDLWD sẽ lập tức phát cảnh báo tới trung tâm điều hành an ninh mạng, đồng thời tự động truyền thông tin địa chỉ IP nguồn của kẻ tấn công về bộ điều khiển IDPS để cấu hình chặn kết nối ngay tức thì.

Kết luận

• Đề tài đã giải quyết thành công bài toán phát hiện tấn công Webshell trên giao thức HTTP bằng cách xây dựng thành công kiến trúc lai IDPSDLWD tích hợp giữa lọc luật và mạng nơ-ron học sâu DNN.
• Nghiên cứu đã chuẩn hóa quy trình xử lý dữ liệu dạng bảng với 82 thuộc tính dòng dữ liệu, huấn luyện và đánh giá trên 187.389 mẫu thực nghiệm và 1.048.575 mẫu chuẩn quốc tế.
• Mô hình chứng minh hiệu năng ấn tượng với Điểm F1 đạt 99,98%, Độ chính xác đạt 99,96% và tỷ lệ dương tính giả chỉ 0,04%, vượt qua các mô hình học sâu hiện hành.
• Trong giai đoạn tiếp theo kéo dài từ 6 đến 12 tháng, nhóm nghiên cứu định hướng mở rộng mô hình phân loại đa lớp và xử lý các luồng dữ liệu mã hóa HTTPS quy mô lớn.
• Các tổ chức, doanh nghiệp và nhà nghiên cứu quan tâm có thể trực tiếp tham khảo tài liệu luận văn và mã nguồn thực nghiệm để ứng dụng nâng cao năng lực an ninh mạng cho hệ thống thông tin của đơn vị.

Trích đoạn nội dung tài liệu

Chương 1 giới thiệu chung về động lực nghiên cứu, các đóng góp chính mục tiêu và các nội dung chính của luận văn. Ngoài ra, các nghiên cứu liên quan cũng như các đóng góp chính của luận văn cũng được trình bày trong chương này. • Chương 2 có nhiệm vụ trình bày tổng quan về hệ thống phát hiện xâm nhập mạng. Trong chương này, em xin trình bày về lý thuyết liên quan đến hệ thống phát hiện xâm nhập mạng, các phương pháp nhận dạng xâm nhập.

• Chương 3 của luận văn có nhiệm vụ trình bày về ứng dụng trong bài toán phát hiện xâm nhập mạng. Trong chương này, em xin trình bày về bài toán, mô hình học sâu trong việc phát hiện xâm nhập mạng. • Chương 4 của luận văn sẽ trình bày về kết quả thực nghiệm. Trong chương này em xin trình bày về môi trường cài đặt, tập dữ liệu và kết quả thu được.

• Chương 5 tóm lược lại các đóng góp chính của luận văn và một số hướng phát triển trong tương lai. 4 Chương 2 LÝ THUYẾT LIÊN QUAN 2.1 Tổng quan về hệ thống phát hiện xâm nhập mạng 2.1 Giới thiệu về hệ thống phát hiện xâm nhập mạng Hệ thống phát hiện xâm nhập mạng (NIDS) là hệ thống phát hiện xâm nhập (IDS) dựa trên mạng. Các hành vi mạng được thu thập bởi các thiết bị mạng thông qua phản chiếu bởi các thiết bị mạng chẳng hạn như: thiết bị chuyển mạch, bộ định tuyến và vòi mạng và được phân tích để xác định các cuộc tấn công, các mối đe dọa có thể được che dấu trong lưu lượng mạng.1: Ví dụ về kiến trúc NIDS 5 CHƯƠNG 2. LÝ THUYẾT LIÊN QUAN Hệ thống phát hiện xâm nhập mạng đem lại những hiệu quả như sau: • Quản lý lưu lượng vào/ra của mạng và đưa ra cảnh báo nếu một luồng bị phát hiện xâm nhập mạng.

• Đưa ra phân tích và thống kê được các luồng hoạt động bất thường. • Kết hợp với tường lửa để trở thành hệ thống an toàn thông tin bảo mật. Có 2 loại NIDS khác nhau dựa trên phương pháp thực hiện được sử dụng: • Phương pháp phát hiện xâm nhập mạng dựa trên chữ ký (SNIDS). • Phương pháp phát hiện xâm nhập mạng dựa trên phát hiện những bất thường (ANIDS).2 Kỹ thuật phát hiện xâm nhập mạng dựa trên dấu hiệu (SNIDS) SNIDS là kỹ thuật dễ sử dụng nhất.

Kỹ thuật này tìm kiếm các mẫu trong lưu lượng mạng và so sánh với các mẫu tấn công đã biết đã được cài đặt sẵn được gọi là tập luật. SNIDS rất tốt trong việc phát hiện những tấn công đã biết trước, nhưng phương pháp này lại không hiệu quả trong việc phát hiện những tấn công mới hoặc tấn công trước đó không nhận dạng được [14].2: Ảnh kiến trúc sử dụng phương pháp SNIDS [12]. LÝ THUYẾT LIÊN QUAN Ưu điểm: • Với những hoạt động xâm nhập đã biết, phương pháp nhanh chóng phát hiện được hoạt động xâm nhập và đưa ra cảnh báo [14]. • Hệ thống phát hiện xâm nhập mạng bắt đầu bảo vệ mạng sau khi cài đặt ngay tức thời [13].

• Khi cảnh báo xảy ra, người dùng có thể liên kết ngay đến hoạt động xảy ra trên mạng [13]. Nhược điểm: [13] • Một trong những vấn đề lớn nhất của phương pháp này là việc so sánh các gói tin với mọi mẫu trong tập dữ liệu vì vậy xử lý toàn bộ lưu lượng truy cập rất tốn thời gian dẫn tới làm chậm thông lượng của hệ thống. • Phải luôn luôn cập nhật cơ sở dữ liệu dấu hiệu thường xuyên. • Đưa ra cảnh báo về cuộc tấn công bất kể kết quả như thế nào.

Việc này dẫn đến việc gửi rất nhiều cảnh báo về các cuộc tấn công không thành công và rất khó quản lý. • Người tạo ra tập luật hoặc biết về tập luật có thể tạo ra các cuộc tấn công mà hệ thống không phát hiện ra được. • Những hiểu biết về các cuộc tấn công phụ thuộc vào hệ điều hành, phiên bản và ứng dụng do đó nó gắn liền với môi trường cụ thể.3 Kỹ thuật phát hiện xâm nhập mạng dựa trên phát hiện bất thường (ANIDS) ANIDS là phương pháp phát hiện xâm nhập mạng dựa trên những hoạt động bất thường. Phương pháp dựa trên các mô hình học máy thống kê khác nhau để tự động học các mẫu và tạo các quy tắc phân biệt lưu lượng truy cập bình thường với các cuộc tấn công độc hại.

Kiến trúc cơ bản của ANIDS bao gồm các thành phần sau: • Tham số hóa: trong giai đoạn này, các thể hiện quan sát được của hệ thống đích được biểu diễn dưới dạng thiết lập trước. • Giai đoạn huấn luyện: Hành vi bình thường hoặc bất thường của hệ thống được đặc trưng hóa và một mô hình tương ứng được xây dựng. Điều này có thể được thực hiện theo các cách khách nhau, tùy thuộc vào loại ANIDS. LÝ THUYẾT LIÊN QUAN • Giai đoạn phát hiện: Sau khi mô hình cho hệ thống có sẵn, nó được so sánh với lưu lượng quan sát (đã được tham số hóa).

Nếu độ lệch tìm thấy vượt quá ngưỡng nhất định, một cảnh báo sẽ được kích hoạt.3: Ảnh kiến trúc của ANIDS [4]. Dựa trên loại xử lý liên quan tới hành vi, ANIDS được phân thành 3 loại chính đó là: • Dựa trên thống kê - hành vi của hệ thống được thể hiện từ một cách nhìn ngẫu nhiên. Sự bất thường xác định bằng cách đo điểm mức độ sai lệch từ một hành vi cụ thể sử dụng độ lệch chuẩn, trung bình, ngưỡng, xác suất. Các phương pháp tiếp cận sớm nhất sử dụng các mô hình đơn biến.

Phương pháp tiếp cận sau đó sử dụng mô hình đa biến mà mô hình theo chuỗi thời gian. Trong kỹ thuật này, hoạt động lưu lượng mạng được ghi lại và một hồ sơ đại diện cho hồ sơ ngẫu nhiên của nó được tạo ra. Hồ sơ này dựa trên số liệu như tốc độ lưu lượng, số lượng gói cho mỗi giao thức, tốc độ kết nối, số lượng địa chỉ IP khác nhau. Hai tập dữ liệu được xem xét trong quá trình phát hiện bất thường: một tương ứng với hồ sơ được quan sát theo thời gian, hồ sơ còn lại dành cho hồ sơ đã được thống kê trước đó.

Khi một sự kiện mạng xảy ra, hồ sơ hiện tại được xác định và ước tính điểm bất thường bằng cách so sánh hành vi. Hệ thống xâm nhập mạng sẽ gắn cờ điểm bất thường nếu điểm số vượt qua ngưỡng nhất định. • Dựa trên tri thức - cố gắng nắm bắt được các hành vi dựa trên dữ liệu trước đó về các thông số hoạt động bình thường hoặc bất thường như: thông số kỹ thuật giao thức, lưu lượng mạng. Phương pháp này phân loại dữ liệu theo bộ quy tắc bao gồm 3 bước.

LÝ THUYẾT LIÊN QUAN Đầu tiên các thuộc tính và các lớp khác nhau được xác định từ dữ liệu huấn luyện. Thứ hai, một tập các quy tắc phân lớp, tham số, thủ tục được suy ra. thứ ba, dữ liệu kiểm tra được phân loại phù hợp. • Dựa trên học máy - thiết lập một mô hình rõ ràng hoặc ngầm định để phân loại các mẫu được phân tích.

Phương pháp này sử dụng dữ liệu gán nhãn để huấn luyện ra các mô hình. Phương pháp dựa trên thống kê xây dựng mô hình, cải thiện hiệu suất dựa trên kết quả trước đó. Phương pháp sử dụng học máy có khả năng thay đổi chiến lược thực thi khi nó học được dữ liệu mới. Nhược điểm của phương pháp này là tốn kém tài nguyên.

Kỹ thuật cơ bản Ưu điểm Nhược điểm Các loại phụ Dựa trên thống Không cần có Dễ được huấn Mô hình đơn biến kê: hành vi ngẫu tri thức về luồng luyện bởi những (biến ngẫu nhiên nhiên bình thường, kẻ tấn công, khó Gaussian độc lập), mô thông báo chính thiết lập cấc hình đa biến (tương xác về luồng độc thông số và chỉ quan giữa một số chỉ hại số, giả định quy số), chuỗi thời gian trình bán tĩnh không thực tế. Dựa trên tri Mạnh mẽ, linh Tốn thời gian Máy trạng thái hữu thức: dữ liệu có hoạt và khả và khó có được hạn (trạng thái và quá trước năng mở rộng dữ liệu có chất trình chuyển đổi), mô lượng cao tả ngôn ngữ (N-gram, UML,.), hệ thống chuyên gia (phân loại dựa trên quy tắc). Dựa trên máy Tính linh hoạt Phụ thuộc cao Mô hình Markov, học: phân loại và khả năng vào giả định về mạng lưới thần kinh, các mẫu thích ứng. Nắm hành vi được logic mờ, thuật toán bắt sự phụ thuộc chấp nhận đối di truyền, phân cụm lẫn nhau với hệ thống.

và phát hiện ngoại lệ. Tiêu tốn nhiều tài nguyên.1: Các nguyên tắc cơ bản của ANIDS [4]. LÝ THUYẾT LIÊN QUAN 2.2 Lý thuyết học sâu Trí tuệ nhân tạo đang len lỏi vào cuộc sống và ảnh hưởng sâu rộng tới mỗi chúng ta. Các cụm từ như: trí tuệ nhân tạo, học máy, học sâu được nhắc đến nhiều trong những năm gần đây.

Học sâu là một trong những nhánh nghiên cứu chuyên sâu của trí tuệ nhân tạo đang dành được sự quan tâm rất lớn trong cộng đồng [15].1 Khái niệm học sâu Trí tuệ nhân tạo là những chương trình dùng để giải quyết một vấn đề dễ dàng với con người nhưng khó khăn với máy tính. Ví dụ: việc phân biệt ảnh của cá và chim. Máy học là những giải thuật giải quyết bài toán mà không ghi cụ thể giải thuật đó là gì, thay vào đó tạo ra giải thuật bằng phương pháp thống kê. Học sâu: chỉ một nhóm thuật toán nhỏ của học máy lấy ý tưởng dựa trên mạng nơ-ron của con người.

Học sâu thường yêu cầu lượng dữ liệu lớn và nguồn tài nguyên nhiều hơn so với các phương pháp thông thường, tuy vậy cho được độ chính xác cao hơn.2 Lược sử của học sâu Hình 2.4: Ảnh lịch sử học sâu (nguồn: Deep learning - history and background) Perceptron (60s): một trong những nền móng đầu tiên của mạng nơ-ron và học sâu là Perceptron. Perceptron là thuật toán học có giám sát, giúp giải quyết các bài toán phân lớp nhị phân, được khởi nguồn bởi Frank Rosenblatt năm 1957 trong một nguyên cứu được tài trợ bởi Văn phòng nguyên cứu hải quân Hoa Kỳ. Thuật toán Perceptron được chứng minh là hội tụ nếu hai lớp dữ liệu phân lớp tuyến tính. Đến năm 1958, trong một hội thảo nó được 10 CHƯƠNG 2.

LÝ THUYẾT LIÊN QUAN Frank Rosenblatt công bố. Nhưng sau đó, nó nhanh chóng được chứng minh không thể giải quyết các bài toán cơ bản. Vào năm 1969, Marvin Minsky và Seymour Papert trong một cuốn sách nổi tiếng Perceptrons đã chứng minh rằng không thể học hàm XOR khi sử dụng Perceptron.