Giới thiệu dự án

Sự bùng nổ của kỷ nguyên số và cuộc Cách mạng Công nghiệp 4.0 đã thúc đẩy lưu lượng dữ liệu trao đổi qua mạng Internet tăng trưởng theo cấp số nhân. Theo thống kê an ninh mạng toàn cầu, các cuộc tấn công mạng gây thiệt hại hàng nghìn tỷ USD mỗi năm, nhắm trực tiếp vào các cơ sở hạ tầng trọng yếu như ngân hàng, tài chính, quân sự và chính phủ. Các phương thức tấn công nguy hiểm như phần mềm độc hại (Malware), tấn công từ chối dịch vụ (DoS - Denial of Service) với các biến thể SYN flood, Land attack, Smurf attack, UDP flood, và tấn công từ chối dịch vụ phân tán (DDoS - Distributed Denial of Service) ngày càng trở nên phức tạp và tinh vi.

+-------------------------------------------------------------------------+
|                  CÁC VẤN ĐỀ TRỌNG TÂM CỦA HỆ THỐNG AN NINH              |
+-------------------------------------------------------------------------+
| [1] Khối lượng dữ liệu cực lớn -> Quá tải khả năng kiểm tra thủ công    |
| [2] Tấn công Zero-day và biến thể mới -> Vượt qua cơ sở dữ liệu chữ ký |
| [3] Tỷ lệ cảnh báo sai (False Alarm Rate) cao ở hệ thống truyền thống   |
| [4] Độ trễ phân tích lớn làm giảm khả năng phản ứng thời gian thực      |
+-------------------------------------------------------------------------+

Vấn đề cốt lõi (Problem Statement) nằm ở chỗ các giải pháp bảo mật truyền thống như Tường lửa (Firewall) và Hệ thống phát hiện xâm nhập dựa trên chữ ký (Signature-based IDS) hoàn toàn bị động trước các kỹ thuật tấn công mới chưa từng được định nghĩa chữ ký (Zero-day attacks). Bên cạnh đó, các hệ thống IDS dựa trên dấu hiệu bất thường (Anomaly-based IDS) cổ điển thường có tỷ lệ báo động sai (False Alarm Rate - FAR) cao và không xử lý tốt các phụ thuộc thời gian (temporal dependencies) trong luồng dữ liệu gói tin.

Đồ án tốt nghiệp chuyên ngành Kỹ thuật Dữ liệu tại Trường Đại học Sư phạm Kỹ thuật TP.HCM với đề tài "Phát hiện xâm nhập mạng với học sâu" được thực hiện nhằm giải quyết triệt để các hạn chế trên.

Mục tiêu cụ thể của dự án:

  1. Nghiên cứu toàn diện cơ chế hoạt động của các hình thức tấn công mạng và hệ thống phát hiện xâm nhập (NIDS, HIDS, Anomaly-based IDS).
  2. Xây dựng quy trình tiền xử lý dữ liệu chuẩn hóa bao gồm mã hóa One-Hot Encoding cho thuộc tính phân loại (categorical) và kỹ thuật lựa chọn thuộc tính (Feature Selection).
  3. Đánh giá, đối sánh hiệu năng giữa các thuật toán Machine Learning cổ điển: Support Vector Machine (SVM), Naive Bayes, Logistic Regression, Random Forest.
  4. Nghiên cứu và hiện thực hóa mô hình Học sâu Deep Learning dựa trên mạng nơ-ron hồi quy Long Short-Term Memory (LSTM) với khả năng trích xuất đặc trưng chuỗi thời gian của các gói tin mạng.
  5. Tối ưu hóa siêu tham số mô hình để đạt độ chính xác (Accuracy) trên 98.5% và hạ thấp tỷ lệ cảnh báo sai (FAR) xuống dưới 1.5%.

Phạm vi nghiên cứu tập trung vào phân loại nhị phân (kết nối bình thường vs tấn công) và phân loại đa lớp trên bộ dữ liệu chuẩn mạng (NSL-KDD/KDD Cup 99), thực nghiệm trên môi trường Google Colab GPU và nền tảng WEKA.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Các giải pháp an ninh mạng hiện hữu trên thị trường có những ưu và nhược điểm rõ rệt khi đối mặt với các đợt tấn công quy mô lớn:

Giải pháp Cơ chế hoạt động Ưu điểm Nhược điểm
Firewall (Tường lửa) Lọc gói tin tại cổng vào/ra theo tập luật tĩnh (IP, Port, Protocol) Tốc độ xử lý nhanh, bảo vệ biên giới mạng hiệu quả Không kiểm tra sâu nội dung gói tin, vô hiệu trước tấn công tầng ứng dụng
Signature-based IDS (Snort, Suricata) So khớp mẫu dữ liệu gói tin với CSDL chữ ký tấn công đã biết Độ chính xác cao với các cuộc tấn công đã biết, ít báo động sai Không thể phát hiện tấn công Zero-day hoặc các biến thể malware bị làm mờ
Traditional ML IDS (SVM, Naive Bayes) Phân loại luồng dữ liệu dựa trên các đặc trưng thống kê tĩnh Phát hiện được tấn công bất thường Hiệu năng phụ thuộc lớn vào việc trích xuất đặc trưng thủ công, bỏ qua liên kết thời gian
Proposed Deep Learning IDS Mạng LSTM học biểu diễn chuỗi tuần tự và quy luật phi tuyến phức tạp Tự động học biểu diễn đặc trưng, phát hiện biến thể tinh vi với độ trễ thấp Đòi hỏi tài nguyên tính toán huấn luyện ban đầu cao

Phân tích yêu cầu hệ thống theo MoSCoW:

  • Must have (Bắt buộc có): Module tiền xử lý dữ liệu tự động (xử lý missing data, One-hot encoding, MinMaxScaler); Module phân loại luồng gói tin nhị phân và đa lớp; Thuật toán phân lớp Random Forest, SVM và mạng LSTM hoàn chỉnh.
  • Should have (Nên có): Cơ chế lựa chọn thuộc tính (Feature Selection) bằng cây quyết định và hệ số tương quan để giảm kích thước vector đặc trưng; So sánh trực quan hiệu năng giữa 5 cấu hình LSTM (LSTM 1 đến LSTM 5).
  • Could have (Có thể có): Tích hợp cảnh báo thời gian thực qua giao diện Dashboard quản trị mạng; Hỗ trợ xuất mô hình sang định dạng ONNX/TensorFlow Lite.
  • Won't have (Chưa thực hiện đợt này): Tự động thực thi chính sách ngăn chặn (IPS - Intrusion Prevention System) chủ động ngắt kết nối router phần cứng.

Thiết kế hệ thống

Kiến trúc giải pháp được thiết kế theo mô hình luồng dữ liệu khép kín (End-to-End Deep Learning Pipeline):

graph TD
    A[Raw Network Traffic / PCAP] --> B[Data Extraction & Feature Mapping]
    B --> C[Data Preprocessing]
    C --> C1[One-Hot Encoding: Protocol, Service, Flag]
    C --> C2[Min-Max Normalization]
    C1 --> D[Feature Selection Engine]
    C2 --> D
    D --> E{Model Training & Inference}
    E --> F[Machine Learning Baseline: SVM, RF, Naive Bayes]
    E --> G[Deep Learning Engine: Multi-layer LSTM Networks]
    F --> H[Performance Evaluator]
    G --> H
    H --> I[Threat Classification Output: Normal, DoS, Probe, R2L, U2R]

Chi tiết công nghệ và phiên bản sử dụng (Technology Stack):

  • Ngôn ngữ lập trình: Python 3.8.10
  • Khung học sâu & tính toán: TensorFlow 2.8.0, Keras 2.8.0, NumPy 1.22.4, Pandas 1.4.2
  • Thư viện học máy & Trực quan hóa: Scikit-learn 1.0.2, Matplotlib 3.5.1, Seaborn 0.11.2
  • Công cụ phân tích dữ liệu chuyên dụng: WEKA (Waikato Environment for Knowledge Analysis) 3.8.6
  • Môi trường tính toán: Google Colab với GPU NVIDIA Tesla T4 16GB VRAM, Intel Xeon CPU @ 2.20GHz

Cấu trúc vector dữ liệu và mã hóa thuộc tính:

Tập dữ liệu đầu vào chứa 41 đặc trưng thuộc 3 nhóm chính:

  1. Đặc trưng cơ bản của kết nối TCP: duration, protocol_type (tcp, udp, icmp), service (http, ftp, smtp,...), flag (SF, S0, REJ,...), src_bytes, dst_bytes.
  2. Đặc trưng nội dung: num_failed_logins, logged_in, root_shell, is_guest_login.
  3. Đặc trưng lưu lượng theo thời gian: count, serror_rate, rerror_rate, same_srv_rate, diff_srv_rate.

Kỹ thuật mã hóa One-Hot biến đổi 3 thuộc tính phân loại (protocol_type [3 giá trị], service [70 giá trị], flag [11 giá trị]) thành 84 cột nhị phân, mở rộng không gian vector lên 122 chiều đặc trưng trước khi đưa vào bộ chuẩn hóa $X_{norm} = \frac{X - X_{min}}{X_{max} - X_{min}}$.

Methodology

Phương pháp luận nghiên cứu tuân theo quy trình tiêu chuẩn CRISP-DM (Cross-Industry Standard Process for Data Mining):

[Hiểu bài toán mạng] -> [Hiểu dữ liệu NSL-KDD] -> [Tiền xử lý & Encoding]
         ^                                                    |
         |                                                    v
 [Triển khai thực tế] <-- [Đánh giá kiểm thử] <-- [Mô hình hóa ML/LSTM]
  • Milestone 1 (Tuần 1 - 4): Khảo sát các hình thức tấn công mạng; Phân tích các bộ dữ liệu IDS; Thiết lập môi trường Google Colab, WEKA.
  • Milestone 2 (Tuần 5 - 8): Xây dựng module tiền xử lý dữ liệu; Triển khai thực nghiệm các thuật toán cơ sở (SVM, Naive Bayes, Logistic Regression, Random Forest).
  • Milestone 3 (Tuần 9 - 12): Thiết kế kiến trúc nơ-ron hồi quy RNN và bộ nhớ dài-ngắn hạn LSTM; Xây dựng 5 biến thể mạng LSTM (tinh chỉnh units, learning rate, dropout, batch size).
  • Milestone 4 (Tuần 13 - 16): Đánh giá chéo k-fold, đo lường metrics (Accuracy, Precision, Recall, F1-Score, ROC-AUC); Tối ưu hóa và viết báo cáo khóa luận.

Implementation và kết quả

Development process

1. Tiền xử lý dữ liệu và Mã hóa One-Hot

Quy trình tiền xử lý được chuẩn hóa bằng mã nguồn Python:

import numpy as np
import pandas as pd
from sklearn.preprocessing import MinMaxScaler, OneHotEncoder
from sklearn.compose import ColumnTransformer

def preprocess_ids_data(train_df, test_df, categorical_cols, numerical_cols):
    # Khởi tạo bộ tiền xử lý kết hợp One-Hot và MinMaxScaler
    preprocessor = ColumnTransformer(
        transformers=[
            ('num', MinMaxScaler(), numerical_cols),
            ('cat', OneHotEncoder(handle_unknown='ignore', sparse=False), categorical_cols)
        ]
    )
    
    # Fit trên tập Train và Transform trên cả Train và Test
    X_train_processed = preprocessor.fit_transform(train_df[numerical_cols + categorical_cols])
    X_test_processed = preprocessor.transform(test_df[numerical_cols + categorical_cols])
    
    # Biến đổi nhãn tấn công thành dạng nhị phân (0: Normal, 1: Attack)
    y_train = np.where(train_df['label'] == 'normal', 0, 1)
    y_test = np.where(test_df['label'] == 'normal', 0, 1)
    
    return X_train_processed, X_test_processed, y_train, y_test

2. Xây dựng Kiến trúc Mạng Nơ-ron Hồi quy LSTM

Mô hình LSTM được thiết kế để nắm bắt các đặc trưng chuỗi gói tin liên tiếp. Cơ chế toán học của từng cổng (gate) bên trong tế bào LSTM:

$$\mathbf{f}_t = \sigma(\mathbf{W}f \cdot [\mathbf{h}{t-1}, \mathbf{x}_t] + \mathbf{b}_f) \quad \text{(Forget Gate)}$$ $$\mathbf{i}_t = \sigma(\mathbf{W}i \cdot [\mathbf{h}{t-1}, \mathbf{x}_t] + \mathbf{b}_i) \quad \text{(Input Gate)}$$ $$\mathbf{\tilde{C}}_t = \tanh(\mathbf{W}c \cdot [\mathbf{h}{t-1}, \mathbf{x}_t] + \mathbf{b}_c) \quad \text{(Candidate State)}$$ $$\mathbf{C}_t = \mathbf{f}t \odot \mathbf{C}{t-1} + \mathbf{i}_t \odot \mathbf{\tilde{C}}_t \quad \text{(Cell State Update)}$$ $$\mathbf{o}_t = \sigma(\mathbf{W}o \cdot [\mathbf{h}{t-1}, \mathbf{x}_t] + \mathbf{b}_o) \quad \text{(Output Gate)}$$ $$\mathbf{h}_t = \mathbf{o}_t \odot \tanh(\mathbf{C}_t) \quad \text{(Hidden Output State)}$$

Đoạn mã hiện thực mô hình kiến trúc LSTM tối ưu (LSTM 5) với Keras:

import tensorflow as tf
from tensorflow.keras.models import Sequential
from tensorflow.keras.layers import Dense, Dropout, LSTM, BatchNormalization

def build_lstm_ids_model(input_shape):
    model = Sequential([
        # Lớp LSTM 1 trích xuất đặc trưng chuỗi cấp thấp
        LSTM(units=128, return_sequences=True, input_shape=input_shape),
        BatchNormalization(),
        Dropout(0.3),
        
        # Lớp LSTM 2 trích xuất biểu diễn cấp cao
        LSTM(units=64, return_sequences=False),
        BatchNormalization(),
        Dropout(0.3),
        
        # Fully Connected Layers
        Dense(units=32, activation='relu'),
        Dropout(0.2),
        Dense(units=1, activation='sigmoid') # Phân loại nhị phân
    ])
    
    optimizer = tf.keras.optimizers.Adam(learning_rate=0.001)
    model.compile(
        optimizer=optimizer,
        loss='binary_crossentropy',
        metrics=['accuracy', tf.keras.metrics.Precision(), tf.keras.metrics.Recall()]
    )
    return model

Testing và validation

Quá trình kiểm thử được thực hiện trên 2 phương án: Phân loại không lựa chọn thuộc tính (122 features) và Phân loại có lựa chọn thuộc tính (chọn lọc 40 features tối ưu nhất bằng Random Forest Feature Importance).

+--------------------------------------------------------------------+
|                TIÊU CHÍ ĐÁNH GIÁ HIỆU NĂNG THỰC NGHIỆM             |
+--------------------------------------------------------------------+
| Accuracy  = (TP + TN) / (TP + TN + FP + FN)                        |
| Precision = TP / (TP + FP)                                         |
| Recall    = TP / (TP + FN)  [Tỷ lệ bắt chính xác cuộc tấn công]     |
| FAR       = FP / (FP + TN)  [Tỷ lệ báo động nhầm gói tin sạch]     |
| F1-Score  = 2 * (Precision * Recall) / (Precision + Recall)        |
+--------------------------------------------------------------------+

Kết quả đạt được

Bảng tổng hợp kết quả thực nghiệm chi tiết giữa các thuật toán Machine Learning cổ điển và các mô hình Học sâu LSTM:

STT Thuật toán / Mô hình Số thuộc tính Độ chính xác (Accuracy %) Tỷ lệ phát hiện (Recall %) Cảnh báo sai (FAR %) F1-Score (%) Thời gian suy luận / 1000 mẫu (ms)
1 Gaussian Naive Bayes 41 79.24% 81.10% 15.60% 78.45% 4.2 ms
2 Logistic Regression 122 (Full) 88.50% 87.30% 6.20% 87.89% 5.8 ms
3 Support Vector Machine (RBF) 122 (Full) 93.65% 92.40% 3.80% 93.02% 45.1 ms
4 Random Forest 40 (Selected) 97.42% 96.80% 1.95% 97.10% 12.4 ms
5 LSTM 1 (1 Layer, 64 units) 122 (Full) 96.12% 95.80% 2.40% 95.96% 18.2 ms
6 LSTM 2 (2 Layers, 64-32) 122 (Full) 97.35% 97.10% 1.80% 97.22% 22.6 ms
7 LSTM 3 (2 Layers + Dropout 0.2) 40 (Selected) 98.15% 97.90% 1.45% 98.02% 15.3 ms
8 LSTM 4 (3 Layers, 128-64-32) 122 (Full) 98.40% 98.20% 1.30% 98.30% 28.7 ms
9 LSTM 5 (2 Layers + BN + Opt) 40 (Selected) 99.12% 98.95% 0.88% 99.03% 14.8 ms 
BIỂU ĐỒ SO SÁNH ĐỘ CHÍNH XÁC (ACCURACY %)
Naive Bayes        : [||||||||||||||||                ] 79.24%
Logistic Regression: [||||||||||||||||||              ] 88.50%
SVM (RBF Kernel)   : [|||||||||||||||||||             ] 93.65%
Random Forest      : [||||||||||||||||||||            ] 97.42%
LSTM 5 (Optimized) : [|||||||||||||||||||||           ] 99.12%

Kết quả chứng minh mô hình LSTM 5 kết hợp Feature Selection đem lại hiệu năng vượt trội nhất với Accuracy đạt 99.12%, Recall đạt 98.95%, và kiểm soát tỷ lệ báo động sai (FAR) ở mức cực thấp 0.88%, giảm hơn 76% số cảnh báo giả so với SVM.

Đổi mới và đóng góp

  1. Ứng dụng thành công cơ chế Gated Recurrent Network cho dữ liệu chuỗi mạng: Đồ án không chỉ nhìn nhận các bản ghi mạng như các điểm dữ liệu rời rạc mà xử lý chúng dưới dạng chuỗi quan hệ phụ thuộc thời gian (sequential context), giúp phát hiện các cuộc tấn công quét cổng (Probe) và DoS diễn ra qua nhiều giai đoạn.
  2. Quy trình tối ưu hóa số chiều tự động (Dimensionality Optimization): Thông qua việc kết hợp One-Hot Encoding và lọc đặc trưng đa biến, đồ án đã tinh giản từ 122 đặc trưng mã hóa xuống còn 40 đặc trưng trọng yếu, giúp giảm 48.4% thời gian huấn luyện và tăng tốc độ xử lý gói tin lên 1.93 lần.
  3. Bộ cấu hình thực nghiệm chuẩn hóa (Benchmark Suite): Xây dựng chi tiết bảng so sánh giữa 4 giải thuật Machine Learning truyền thống và 5 cấu hình mạng nơ-ron sâu LSTM, tạo tiền đề tài liệu tham khảo chất lượng cao cho sinh viên và kỹ sư an toàn thông tin.

Ứng dụng thực tế và triển khai

Kịch bản triển khai thực tế (Real-World Deployment)

Hệ thống có thể được tích hợp trực tiếp vào cổng mạng nội bộ (Network Gateway) của các tổ chức tài chính hoặc trung tâm dữ liệu thông qua kiến trúc NIDS phân tán:

[Internet Traffic] 
       │
       ▼
[Tap / Mirror Port (Switch)]
       │
       ▼
[Packet Capture Engine (Suricata / Zeek)] ──> [Feature Extractor (Argus / CICFlowMeter)]
                                                          │
                                                          ▼
                                            [LSTM AI Inference Microservice]
                                                          │
                                         ┌────────────────┴────────────────┐
                                         ▼                                 ▼
                                 [Normal Traffic]                 [Attack Alert -> SIEM]

Yêu cầu hệ thống và Phân tích chi phí (ROI):

  • Hạ tầng đề xuất: Server Dell PowerEdge R650, 1x NVIDIA RTX A4000 (16GB VRAM), 64GB DDR4 RAM, 1TB NVMe SSD.
  • Khả năng mở rộng (Scalability): Hệ thống đạt tốc độ xử lý trung bình ~67,500 gói tin/giây (packets per second) trên một máy chủ đơn lẻ, hoàn toàn đáp ứng được đường truyền băng thông doanh nghiệp 1Gbps.
  • Hiệu quả đầu tư (ROI): Việc cắt giảm tỷ lệ cảnh báo sai xuống dưới 1% giúp tiết kiệm tới 65% thời gian làm việc của đội ngũ kỹ sư SOC (Security Operations Center), đồng thời ngăn ngừa nguy cơ thiệt hại tài chính do gián đoạn dịch vụ từ các đòn tấn công DDoS.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật hiện tại:

  • Bộ dữ liệu nghiên cứu (NSL-KDD) mặc dù mang tính chuẩn hóa cao trong giới học thuật nhưng chưa phản ánh đầy đủ 100% các biến thể tấn công zero-day mới phát sinh trong giai đoạn 2023 - 2026 (như tấn công qua giao thức HTTP/3, TLS 1.3 mã hóa đầu cuối).
  • Mô hình mạng học sâu đòi hỏi chi phí tính toán huấn luyện lại (retraining) cao khi mở rộng không gian đặc trưng mạng.

Hướng phát triển trong tương lai:

  1. Mở rộng tập dữ liệu thực nghiệm trên các bộ dữ liệu thế hệ mới như CIC-IDS2017, UNSW-NB15 và CSE-CIC-IDS2018.
  2. Tích hợp kiến trúc mạng lai CNN-LSTM (Convolutional Neural Network kết hợp LSTM) hoặc Transformer Self-Attention để xử lý đồng thời đặc trưng không gian của gói tin và chuỗi thời gian của luồng kết nối.
  3. Nghiên cứu phương pháp Học bán giám sát (Semi-supervised Learning) và Autoencoder nhằm nâng cao khả năng phát hiện mẫu hình tấn công hoàn toàn mới (Zero-day Detection) mà không cần gán nhãn trước.

Đối tượng hưởng lợi

  • Sinh viên & Học viên chuyên ngành: Cung cấp tài liệu tham khảo bài bản về quy trình ứng dụng Deep Learning trong bảo mật thông tin, kèm công thức toán học và mã nguồn mẫu.
  • Kỹ sư An ninh mạng (Security Engineers / SOC Analysts): Tiếp cận mô hình NIDS có tỷ lệ cảnh báo sai cực thấp (0.88%), giúp tối ưu hóa hệ thống cảnh báo SIEM.
  • Doanh nghiệp & Đơn vị cung cấp dịch vụ Internet: Sở hữu thiết kế kiến trúc phát hiện xâm nhập khả thi, chi phí triển khai hợp lý và hiệu quả ngăn ngừa rủi ro cao.
  • Các nhà nghiên cứu (Researchers): Tài liệu cung cấp số liệu thực nghiệm đối sánh chi tiết giữa Machine Learning cổ điển và kiến trúc nơ-ron hồi quy nhiều lớp.

Câu hỏi thường gặp

1. Yêu cầu phần cứng tối thiểu để triển khai mô hình LSTM IDS vào môi trường thực tế là gì?

Để chạy suy luận (Inference) thời gian thực trên luồng mạng doanh nghiệp, hệ thống yêu cầu CPU tối thiểu 8 nhân (Intel Xeon hoặc AMD EPYC), 16GB RAM và 1 GPU phân khúc phổ thông (như NVIDIA T4 hoặc RTX 3060). Với quy mô nghiên cứu thử nghiệm, có thể chạy trực tiếp trên Google Colab miễn phí hoặc CPU máy trạm thông thường.

2. Tại sao mạng LSTM lại vượt trội hơn các mô hình Machine Learning cổ điển (SVM, Random Forest) trong bài toán này?

Dữ liệu lưu lượng mạng bản chất là chuỗi các gói tin liên tiếp theo thời gian. Mạng LSTM sở hữu các cổng nhớ (Forget, Input, Output Gates) cho phép lưu giữ thông tin ngữ cảnh từ các gói tin trước đó trong chuỗi, từ đó dễ dàng phát hiện các hành vi tấn công chậm, kéo dài nhiều giai đoạn (như Slowloris DoS hoặc Port Scanning) mà các mô hình tĩnh không phát hiện được.

3. Mô hình xử lý các luồng dữ liệu mạng đã bị mã hóa (HTTPS/SSL/TLS) như thế nào?

Mô hình IDS học sâu không phụ thuộc vào việc giải mã nội dung gói tin (Payload). Thay vào đó, mô hình trích xuất các đặc trưng thống kê siêu dữ liệu (Metadata) như kích thước gói tin, khoảng thời gian giữa các gói (Inter-arrival Time), cổng dịch vụ, cờ TCP và số lượng kết nối đồng thời. Do đó, hệ thống vẫn duy trì độ chính xác cao ngay cả với lưu lượng mạng đã được mã hóa.

4. Chi phí bảo trì và huấn luyện lại mô hình (Model Retraining) được thực hiện ra sao?

Nên thiết lập lịch trình học định kỳ (ví dụ: hàng tuần hoặc hàng tháng) bằng kỹ thuật Transfer Learning hoặc Incremental Training với dữ liệu luồng mạng mới thu thập được. Quá trình fine-tune chỉ mất từ 15-30 phút trên GPU tiêu chuẩn mà không cần huấn luyện lại từ đầu.

5. Khả năng tích hợp của giải pháp với các hệ thống Firewall và SIEM hiện hữu như thế nào?

Mô hình được đóng gói dưới dạng RESTful API microservice hoặc gRPC service. Kết quả dự đoán có thể được đẩy trực tiếp vào các hệ thống SIEM như Splunk, Elastic Security, hoặc tự động gửi tín hiệu kích hoạt luật tường lửa mềm thông qua iptables / nftables trong Linux.

Kết luận

Đồ án tốt nghiệp "Phát hiện xâm nhập mạng với học sâu" của nhóm tác giả Lê Đỗ Trà My và Trần Thị Lệ Xuân, dưới sự hướng dẫn của ThS. Quách Đình Hoàng (Trường ĐH Sư phạm Kỹ thuật TP.HCM), đã giải quyết thành công bài toán bảo vệ an toàn thông tin mạng bằng công nghệ Trí tuệ Nhân tạo hiện đại.

Bằng việc kết hợp kỹ thuật tiền xử lý dữ liệu chuẩn hóa, kỹ thuật chọn lọc đặc trưng tối ưu và mạng nơ-ron hồi quy LSTM, đề tài đã xuất sắc đạt độ chính xác 99.12%, độ nhạy phát hiện 98.95% và hạ thấp tỷ lệ cảnh báo sai xuống 0.88%, vượt trội hơn hẳn các thuật toán học máy cổ điển như SVM, Naive Bayes hay Random Forest. Nghiên cứu mở ra hướng ứng dụng thực tế đầy tiềm năng cho các Trung tâm Điều hành An ninh mạng (SOC), đóng góp thiết thực vào công cuộc đảm bảo an toàn không gian mạng trong kỷ nguyên số.