Luận Văn Thạc Sĩ Về Phát Hiện Xâm Nhập Mạng Sử Dụng Học Sâu

Luận văn thạc sĩ nghiên cứu phát hiện xâm nhập mạng với học sâu, khảo sát thực trạng, phân tích nguyên nhân, đề xuất giải pháp cải thiện thực tiễn.

• Tác giả: Lê Đỗ Trà My
• Người hướng dẫn: ThS. Quách Đình Hoàng
• Trường học: Đại học Sư phạm Kỹ thuật Thành phố Hồ Chí Minh
• Chuyên ngành: Kỹ thuật dữ liệu
• Đề tài: Phát hiện xâm nhập mạng với học sâu
• Loại tài liệu: Khóa luận tốt nghiệp
• Năm xuất bản: 2022
• Địa điểm: Thành phố Hồ Chí Minh

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• 1. PHẦN 1: MỞ ĐẦU
• 1.1. GIỚI THIỆU BÀI TOÁN
• 1.2. MỤC TIÊU
• 1.3. BỐ CỤC
• 2. PHẦN 2: NỘI DUNG
• 2. PHẦN 2: NỘI DUNG
• 2. CHƯƠNG 1: TỔNG QUAN VỀ MẠNG
• 1.1. KHÁI NIỆM VỀ XÂM NHẬP MẠNG
• 1.2. MỘT SỐ KIỂU TẤN CÔNG MẠNG
• 1.2.1. Tấn công mạng Malware
• 1.2.2. Tấn công từ chối dịch vụ DoS (Denial of service)
• 1.2.3. Tấn công từ chối dịch vụ phân tán DDoS (Distributed Denial of Service)
• 1.3. MỘT SỐ KỸ THUẬT PHÒNG CHỐNG XÂM NHẬP MẠNG
• 1.3.1. Mạng riêng ảo (Virtual private network – VPN)
• 1.3.2. HỆ THỐNG PHÁT HIỆN XÂM NHẬP MẠNG (INSTRUCTION DETECT SYSTEM - IDS)
• 1.3.2.1. Ưu nhược điểm
• 3. CHƯƠNG 2: TỔNG QUAN VỀ MACHINE LEARNING
• 2.1. KHÁI QUÁT VỀ HỌC MÁY (MACHINE LEARNING)
• 2.2. Phân nhóm thuật toán
• 2.2.1. Thuật toán phân theo phong cách học tập
• 2.2.2. Các thuật toán được nhóm theo sự tương đồng
• 2.3. MỘT SỐ THUẬT TOÁN CỔ ĐIỂN
• 2.3.1. Thuật toán Support Vector Machine (SVM)
• 2.3.2. Thuật toán naïve bayes
• 2.3.3. Thuật toán Logistic Regression
• 2.3.4. Thuật toán Random Forest
• 4. CHƯƠNG 3: TỔNG QUAN VỀ HỌC SÂU (DEEP LEARNING)
• 3.1. KHÁI QUÁT VỀ HỌC SÂU
• 3.1.1. Học sâu là gì?
• 3.2. KHÁI QUÁT VỀ MẠNG NƠ-RON NHÂN TẠO
• 3.2.1. Các thành phần cơ bản
• 3.2.2. Một số kiến trúc mạng nơ-ron nhân tạo
• 3.3. MỘT SỐ THUẬT TOÁN VỀ HỌC SÂU
• 3.3.1. Mạng neural hồi quy – Recurrent Neural Network (RNN)
• 3.3.1.1. Phân loại bài toán RNN
• 3.3.1.2. Nhược điểm
• 3.3.2. Bộ nhớ ngắn dài hạn – Long Short Term Memory (LSTM)
• 3.3.3. Lan truyền xuôi và lan truyền ngược
• 5. CHƯƠNG 4: XÂY DỰNG MÔ HÌNH
• 4.1. MÔI TRƯỜNG CÀI ĐẶT VÀ CÁC THƯ VIỆN LIÊN QUAN
• 4.1.1. Môi trường cài đặt
• 4.1.2. Một số thư viện sử dụng
• 4.2. MÔ TẢ DỮ LIỆU
• 4.2.1. Phân loại không lựa chọn thuộc tính
• 4.2.2. Phân loại có lựa chọn thuộc tính
• 4.3. KẾT QUẢ VÀ ĐÁNH GIÁ
• 6. PHẦN 3: KẾT LUẬN
• 6.1. HƯỚNG PHÁT TRIỂN
• DANH MỤC THAM KHẢO

Tóm tắt

I. Giới thiệu về phát hiện xâm nhập mạng

Trong bối cảnh hiện nay, phát hiện xâm nhập mạng trở thành một trong những vấn đề quan trọng nhất trong lĩnh vực an ninh mạng. Với sự gia tăng của các cuộc tấn công mạng, việc xây dựng các hệ thống có khả năng phát hiện và ngăn chặn các cuộc tấn công này là rất cần thiết. Hệ thống phát hiện xâm nhập (IDS) sử dụng các thuật toán học sâu và học máy để phân tích dữ liệu và phát hiện các hành vi bất thường. Các nghiên cứu gần đây đã chỉ ra rằng việc áp dụng các kỹ thuật machine learning có thể cải thiện đáng kể khả năng phát hiện xâm nhập. Theo một nghiên cứu, “Hệ thống IDS truyền thống không đủ linh hoạt để đối phó với các cuộc tấn công ngày càng tinh vi.” Điều này cho thấy sự cần thiết phải áp dụng các phương pháp mới trong việc phát hiện xâm nhập.

1.1. Tầm quan trọng của bảo mật thông tin

Bảo mật thông tin không chỉ là một yêu cầu mà còn là một yếu tố sống còn trong thời đại số. Các tổ chức cần phải bảo vệ dữ liệu của mình khỏi các cuộc tấn công mạng, đặc biệt là trong các lĩnh vực nhạy cảm như ngân hàng và quân sự. Việc phát hiện sớm các cuộc tấn công có thể giúp giảm thiểu thiệt hại và bảo vệ thông tin quan trọng. Theo một báo cáo, “Các tổ chức có hệ thống phát hiện xâm nhập hiệu quả có khả năng giảm thiểu thiệt hại do tấn công mạng lên đến 50%.” Điều này nhấn mạnh tầm quan trọng của việc đầu tư vào các công nghệ phát hiện xâm nhập hiện đại.

II. Các thuật toán học máy trong phát hiện xâm nhập

Các thuật toán học máy đã được áp dụng rộng rãi trong việc phát hiện xâm nhập mạng. Những thuật toán này có khả năng phân tích và xử lý một lượng lớn dữ liệu để phát hiện các mẫu hành vi bất thường. Một số thuật toán phổ biến bao gồm Support Vector Machine (SVM), Random Forest, và Logistic Regression. Mỗi thuật toán có những ưu điểm và nhược điểm riêng, và việc lựa chọn thuật toán phù hợp là rất quan trọng. Theo một nghiên cứu, “SVM cho thấy hiệu suất cao trong việc phân loại các cuộc tấn công mạng.” Điều này cho thấy rằng việc áp dụng các thuật toán học máy có thể cải thiện đáng kể khả năng phát hiện xâm nhập.

2.1. Đánh giá hiệu quả của các thuật toán

Đánh giá hiệu quả của các thuật toán là một phần quan trọng trong nghiên cứu phát hiện xâm nhập. Các chỉ số như độ chính xác, độ nhạy và độ đặc hiệu được sử dụng để đo lường hiệu suất của các thuật toán. Một nghiên cứu cho thấy rằng “Random Forest có độ chính xác cao hơn so với các thuật toán khác trong việc phát hiện các cuộc tấn công mạng.” Điều này cho thấy rằng việc lựa chọn thuật toán phù hợp có thể ảnh hưởng lớn đến kết quả phát hiện xâm nhập.

III. Học sâu và ứng dụng trong phát hiện xâm nhập

Học sâu là một nhánh của machine learning và đã được áp dụng thành công trong nhiều lĩnh vực, bao gồm cả phát hiện xâm nhập mạng. Các mô hình như Mạng nơ-ron hồi quy (RNN) và Long Short Term Memory (LSTM) cho phép phân tích dữ liệu theo chuỗi thời gian, giúp phát hiện các hành vi bất thường trong mạng. Theo một nghiên cứu, “Học sâu có khả năng phát hiện các cuộc tấn công tinh vi mà các phương pháp truyền thống không thể phát hiện.” Điều này cho thấy rằng học sâu có thể là một công cụ mạnh mẽ trong việc bảo vệ an ninh mạng.

3.1. Lợi ích của việc sử dụng học sâu

Việc sử dụng học sâu trong phát hiện xâm nhập mang lại nhiều lợi ích. Các mô hình học sâu có khả năng tự động học từ dữ liệu mà không cần phải lập trình thủ công. Điều này giúp giảm thiểu thời gian và công sức cần thiết để phát triển các hệ thống phát hiện xâm nhập. Một nghiên cứu cho thấy rằng “Các mô hình học sâu có thể cải thiện độ chính xác của việc phát hiện xâm nhập lên đến 90%.” Điều này nhấn mạnh tiềm năng của học sâu trong việc nâng cao khả năng bảo mật thông tin.

IV. Kết luận và hướng phát triển

Phát hiện xâm nhập mạng là một lĩnh vực đang phát triển nhanh chóng với sự hỗ trợ của các công nghệ mới như học sâu và học máy. Việc áp dụng các thuật toán hiện đại có thể cải thiện đáng kể khả năng phát hiện và ngăn chặn các cuộc tấn công mạng. Tuy nhiên, vẫn còn nhiều thách thức cần phải vượt qua, bao gồm việc xử lý dữ liệu lớn và phát hiện các cuộc tấn công tinh vi. Hướng phát triển trong tương lai có thể bao gồm việc kết hợp các phương pháp học máy và học sâu để tạo ra các hệ thống phát hiện xâm nhập mạnh mẽ hơn. Theo một báo cáo, “Sự kết hợp giữa học máy và học sâu có thể tạo ra những bước đột phá trong lĩnh vực an ninh mạng.”

4.1. Đề xuất nghiên cứu trong tương lai

Nghiên cứu trong tương lai có thể tập trung vào việc phát triển các mô hình học sâu mới và cải thiện khả năng phát hiện xâm nhập. Việc nghiên cứu các thuật toán mới và tối ưu hóa các mô hình hiện có có thể giúp nâng cao hiệu quả của hệ thống phát hiện xâm nhập. Một nghiên cứu đề xuất rằng “Cần có thêm nhiều nghiên cứu về việc áp dụng học sâu trong các lĩnh vực khác nhau của an ninh mạng.” Điều này cho thấy rằng lĩnh vực này vẫn còn nhiều tiềm năng để khám phá.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh cuộc Cách mạng công nghiệp 4.0 cùng sự bùng nổ của mạng Internet, nhu cầu trao đổi và xử lý dữ liệu số ngày càng gia tăng trên toàn cầu. Đi kèm với sự phát triển về tốc độ và dịch vụ, vấn đề an toàn và bảo mật thông tin trở thành yếu tố sống còn đối với các tổ chức, doanh nghiệp và các lĩnh vực đặc thù đòi hỏi mức độ an ninh cao như tài chính, ngân hàng và quân sự. Các nguy cơ tấn công, xâm nhập trái phép vào hệ thống mạng nhằm phá hoại, đánh cắp dữ liệu hoặc chiếm dụng tài nguyên đang diễn ra ngày càng phức tạp và tinh vi. Mặc dù các hệ thống máy tính đều được trang bị những cơ chế tự vệ, nhưng các giải pháp này chưa đủ khả năng phát hiện sớm và đối phó với những mối đe dọa mới. Những hệ thống phát hiện xâm nhập mạng truyền thống còn bộc lộ nhiều hạn chế về tính linh hoạt, khả năng mở rộng và độ chính xác. Trước thực trạng đó, việc nghiên cứu và ứng dụng các kỹ thuật học máy (Machine Learning) cùng học sâu (Deep Learning) mang lại một hướng tiếp cận hiệu quả nhằm nâng cao năng lực phát hiện và cảnh báo kịp thời các hành vi xâm nhập mạng.

Khóa luận xác định rõ ràng mục tiêu và hệ thống nhiệm vụ nghiên cứu:

• Mục tiêu nghiên cứu: Tìm hiểu bài toán phát hiện xâm nhập mạng với học sâu.
• Nhiệm vụ nghiên cứu (gồm 5 nhiệm vụ cụ thể):
  1. Tìm hiểu tổng quan về phát hiện xâm nhập mạng.
  2. Tìm hiểu tổng quan về các thuật toán học máy.
  3. Tìm hiểu tổng quan các thuật toán học sâu.
  4. Tìm hiểu về các tập dữ liệu mạng phổ biến được sử dụng cho bài toán phát hiện xâm nhập mạng.
  5. Đánh giá và so sánh một số thuật toán học máy cho bài toán phát hiện xâm nhập mạng.

Về đối tượng và phạm vi nghiên cứu, đề tài tập trung vào đối tượng là các cuộc tấn công mạng, cơ chế hoạt động của hệ thống phát hiện xâm nhập mạng (IDS), cùng các thuật toán học máy cổ điển và mô hình mạng nơ-ron học sâu. Phạm vi nghiên cứu được thực hiện trong thời gian từ tháng 04/2022 đến tháng 07/2022 tại Khoa Công nghệ Thông tin, Trường Đại học Sư phạm Kỹ thuật Thành phố Hồ Chí Minh, sử dụng các bộ dữ liệu lưu lượng mạng chuẩn để huấn luyện, phân loại và đánh giá hiệu năng mô hình.

Cơ sở lý thuyết và phương pháp

Về cơ sở lý thuyết, khóa luận xây dựng nền tảng dựa trên các khái niệm chuyên sâu về an ninh mạng, các dạng tấn công điển hình (Malware, DoS, DDoS), các kỹ thuật phòng thủ truyền thống (Firewall, Mã hóa dữ liệu, VPN) và kiến trúc hệ thống phát hiện xâm nhập mạng (IDS - Intrusion Detection System). Đồng thời, đề tài tổng hợp hệ thống lý thuyết về học máy và học sâu:

• Lý thuyết học máy: Phân loại theo phong cách học (học có giám sát, học không giám sát, học bán giám sát) và phân nhóm theo sự tương đồng về chức năng (hồi quy, dựa trên cá thể, regularization, cây quyết định, Bayesian, phân cụm, mạng nơ-ron nhân tạo, deep learning, giảm chiều, tổng hợp ensemble). Các thuật toán học máy cổ điển được khảo sát chi tiết gồm Support Vector Machine (SVM), Naive Bayes (Multinomial, Bernoulli, Gaussian), Logistic Regression và Random Forest.
• Lý thuyết học sâu: Cấu trúc mạng nơ-ron nhân tạo (ANN), tế bào Perceptron, mạng nhiều lớp lan truyền thẳng (Multi-layer Feed-forward Network), mạng cơ sở xuyên tâm (RBF Network), mạng nơ-ron hồi quy (RNN) và kiến trúc Bộ nhớ ngắn dài hạn (LSTM - Long Short-Term Memory).

Về phương pháp nghiên cứu, tác giả sử dụng phương pháp nghiên cứu thực nghiệm định lượng kết hợp phân tích đối sánh. Quy trình nghiên cứu bao gồm:

1. Tiền xử lý dữ liệu: Khảo sát phân bố nhãn kết nối trên tập huấn luyện và tập kiểm thử; áp dụng kỹ thuật mã hóa One-Hot Encoding đối với các biến phân loại/danh mục để chuyển đổi dữ liệu mạng thành vector số học phù hợp cho mô hình.
2. Thiết kế kịch bản thực nghiệm: Chia thành hai hướng tiếp cận chính:
   • Phân loại không lựa chọn thuộc tính (giữ nguyên toàn bộ không gian thuộc tính ban đầu).
   • Phân loại có lựa chọn thuộc tính (lọc và chọn lọc các đặc trưng quan trọng nhằm tối ưu quá trình phân loại).
3. Xây dựng và tinh chỉnh mô hình: Thiết lập các cấu trúc mạng LSTM (từ cấu trúc cơ bản đến các biến thể LSTM 1, LSTM 2, LSTM 3, LSTM 4, LSTM 5) và huấn luyện trên các tập dữ liệu.
4. Đánh giá và so sánh: Sử dụng các chỉ số đo lường hiệu năng để so sánh giữa các thuật toán học máy truyền thống và các biến thể học sâu LSTM.

Về môi trường và công cụ nghiên cứu, đề tài sử dụng môi trường điện toán đám mây Google Colab (với phần cứng hỗ trợ GPU/TPU), công cụ khai phá dữ liệu WEKA, nền tảng học sâu TensorFlow cùng các thư viện xử lý dữ liệu chuyên dụng trong hệ sinh thái Python. Nguồn dữ liệu sử dụng là bộ dữ liệu lưu lượng kết nối mạng chuẩn phục vụ cho bài toán phát hiện xâm nhập.

Nội dung chính theo từng chương

Chương 1: Tổng quan về mạng

Chương 1 cung cấp cái nhìn toàn diện về vấn đề an toàn mạng và các giải pháp phòng thủ hiện có:

• Khái niệm và mục đích tấn công mạng: Phân biệt hai khía cạnh của tấn công mạng gồm nghĩa tích cực (penetration testing của hacker mũ trắng nhằm tìm lỗ hổng bảo vệ tổ chức) và nghĩa tiêu cực (network attack của hacker mũ đen nhằm phá hoại, đánh cắp dữ liệu, tống tiền hoặc gây tổn hại an ninh kinh tế).
• Các kiểu tấn công mạng phổ biến:
  • Malware (Phần mềm độc hại): Gồm virus, trojan, rootkit, worm, spyware nhằm vô hiệu hóa hệ thống, theo dõi thiết bị, gây hiện tượng màn hình xanh, suy giảm dung lượng và lỗi tập tin dữ liệu.
  • Tấn công từ chối dịch vụ (DoS): Phân tích các dạng tấn công cụ thể như SYN flood (half-open attack lợi dụng bắt tay ba bước TCP), Land attack (sử dụng IP nạn nhân làm nguồn tạo vòng lặp vô tận), UDP flood (gửi lượng lớn gói UDP dung lượng lớn làm nghẽn băng thông), và Smurf attack (khuếch đại gói tin ICMP echo broadcast).
  • Tấn công từ chối dịch vụ phân tán (DDoS): Sử dụng mạng máy tính ma (botnet) ngập tràn gói tin TCP SYN, UDP SYN hoặc ICMP làm tê liệt hệ thống máy chủ mục tiêu.
• Kỹ thuật phòng chống xâm nhập mạng: Đánh giá ưu nhược điểm của Tường lửa (Firewall - kiểm soát luồng dữ liệu vào/ra nhưng không chống được tấn công bằng dữ liệu hoặc tấn công nội bộ), Mã hóa dữ liệu (chuyển đổi plaintext thành ciphertext) và Mạng riêng ảo (VPN - tạo đường truyền bảo mật từ xa).
• Hệ thống phát hiện xâm nhập mạng (IDS): Phân loại theo phạm vi (NIDS, HIDS), theo phương pháp phát hiện (Signature-Based, Misuse-Based, Anomaly-Based với hai pha huấn luyện - phát hiện), và theo cơ chế hành động (Passive IDS, Reactive IDS). Đồng thời chỉ rõ ưu điểm trong việc giám sát toàn diện hệ thống và hạn chế về nguy cơ cảnh báo sai hoặc bị tấn công DoS nhắm vào chính IDS.

Chương 2: Tổng quan về Machine Learning

Chương 2 hệ thống hóa kiến thức nền tảng và các giải thuật học máy kinh điển:

• Phân nhóm thuật toán học máy:
  • Theo phong cách học tập: Học có giám sát (Supervised learning - bài toán phân loại và hồi quy với dữ liệu có nhãn), Học không giám sát (Unsupervised learning - tìm cấu trúc tiềm ẩn như phân cụm, giảm chiều bằng k-Means, Apriori), và Học bán giám sát (Semi-supervised learning - kết hợp dữ liệu có nhãn và không nhãn để tối ưu chi phí gán nhãn).
  • Theo sự tương đồng về chức năng: Hồi quy (OLSR, Linear, Logistic...), Instance-based (kNN, LVQ, SOM...), Regularization (Ridge, LASSO, Elastic Net...), Cây quyết định (CART, ID3, C4.0...), Bayesian (Naive Bayes, Gaussian Naive Bayes, BBN...), Gom cụm (k-Means, Hierarchical...), Mạng nơ-ron (Perceptron, RBFN...), Deep Learning (CNN, DBM...), Giảm chiều (PCA, LDA, MDS...) và Tổng hợp Ensemble (Boosting, Bagging, Random Forest).
• Nguyên lý các thuật toán cổ điển được chọn lọc:
  • Support Vector Machine (SVM): Xây dựng siêu phẳng phân chia $w^T x + b = 0$ nhằm cực đại hóa khoảng cách lề (margin) giữa các lớp dữ liệu thông qua việc giải bài toán tối ưu có ràng buộc:

$$\min_{w, b} \frac{1}{2} ||w||_2^2 \quad \text{thỏa mãn} \quad y_n(w^T x_n + b) \ge 1, ; \forall n$$

• Naive Bayes: Ứng dụng định lý xác suất Bayes với giả định các thuộc tính độc lập có điều kiện, triển khai các dạng phân phối gồm Multinomial Naive Bayes (dựa trên tần suất xuất hiện), Bernoulli Naive Bayes (biến nhị phân 0/1) và Gaussian Naive Bayes (cho các biến liên tục tuân theo phân phối chuẩn với kỳ vọng $\mu_{ci}$ và phương sai $\sigma_{ci}^2$).
• Logistic Regression: Sử dụng hàm kích hoạt phi tuyến Sigmoid $\sigma(x) = \frac{1}{1 + e^{-x}}$ để ánh xạ giá trị dự báo tuyến tính $w^T x$ về khoảng xác suất $[0, 1]$.
• Random Forest: Mô hình học kết hợp xây dựng tập hợp nhiều cây quyết định độc lập thông qua kỹ thuật lấy mẫu ngẫu nhiên có hoàn lại (bootstrap sampling) và chọn ngẫu nhiên tập thuộc tính phân nhánh.

Chương 3: Tổng quan về học sâu (Deep Learning)

Chương 3 tập trung vào kiến trúc mạng nơ-ron nhân tạo và các mô hình xử lý chuỗi:

• Khái niệm và ứng dụng học sâu: Vị trí của học sâu trong cấu trúc Trí tuệ nhân tạo (AI $\supset$ Machine Learning $\supset$ Deep Learning), khả năng tự động trích xuất đặc trưng mức cao từ dữ liệu phi cấu trúc khối lượng lớn.
• Mạng nơ-ron nhân tạo (ANN): Cấu trúc nơ-ron sinh học và mô hình Perceptron gồm tín hiệu đầu vào vector $N$ chiều, tập trọng số liên kết $w_{kj}$, bộ tổng (summing function), hàm truyền (transfer function) và đầu ra; kiến trúc phân tầng gồm tầng vào (input layer), các tầng ẩn (hidden layers) và tầng ra (output layer); khảo sát mạng lan truyền thẳng nhiều lớp và mạng hàm cơ sở xuyên tâm (RBF).
• Mạng nơ-ron hồi quy (RNN):
  • Cấu trúc đồ thị có hướng theo chuỗi thời gian, xử lý các chuỗi có độ dài thay đổi.
  • Phân loại các dạng bài toán RNN: Một - Một (One-to-one), Một - Nhiều (One-to-many), Nhiều - Một (Many-to-one, phù hợp cho bài toán phân loại chuỗi dữ liệu mạng), Nhiều - Nhiều ($T_x = T_y$ và $T_x \ne T_y$).
  • Mô hình RNN Vanilla với công thức cập nhật trạng thái ẩn tại thời điểm $t$:

$$h_t = \tanh(W_{hh} h_{t-1} + W_{xh} x_t)$$

• Hạn chế: Vấn đề triệt tiêu hoặc bùng nổ đạo hàm (vanishing/exploding gradient) khi xử lý các chuỗi thời gian dài.
• Mạng Bộ nhớ ngắn dài hạn (LSTM): Giới thiệu kiến trúc tế bào LSTM với các cổng kiểm soát luồng thông tin (cổng quên, cổng vào, cổng ra) nhằm lưu giữ phụ thuộc xa trong chuỗi dữ liệu kết nối mạng; giải thích cơ chế lan truyền xuôi và lan truyền ngược qua thời gian.

Chương 4: Xây dựng mô hình

Chương 4 trình bày toàn bộ quá trình thiết lập thực nghiệm, xử lý dữ liệu và đánh giá các mô hình học máy:

• Thiết lập môi trường và công cụ: Khởi tạo môi trường tính toán trên Google Colab, cấu hình luồng xử lý đồ thị (graph) trong TensorFlow và tích hợp công cụ WEKA.
• Tiền xử lý và biến đổi thuộc tính:
  • Áp dụng kỹ thuật mã hóa One-Hot Encoding để chuyển đổi các thuộc tính dạng chuỗi/ký tự (giao thức, dịch vụ, cờ trạng thái) thành các cột nhị phân.
  • Chuẩn hóa và phân tích phân bố nhãn kết nối trên tập dữ liệu huấn luyện và kiểm thử.
• Thiết kế các kịch bản phân loại:
  • Thực nghiệm phân loại không lựa chọn thuộc tính: Sử dụng toàn bộ tập thuộc tính sau khi mã hóa.
  • Thực nghiệm phân loại có lựa chọn thuộc tính: Áp dụng phương pháp đánh giá để trích xuất các thuộc tính mang tính phân loại cao nhất.
• Cấu hình các biến thể mạng LSTM: Xây dựng và theo dõi quá trình huấn luyện của 5 mô hình LSTM (từ LSTM 1 đến LSTM 5) với sự thay đổi về số lượng lớp ẩn, số lượng nơ-ron và các siêu tham số huấn luyện.
• Kết quả và đánh giá: Tiến hành tổng hợp và so sánh hiệu năng phân loại giữa các thuật toán học máy cổ điển (SVM, Naive Bayes, Logistic Regression, Random Forest) và các cấu hình mạng học sâu LSTM.

Kết quả và đóng góp

Khóa luận đã thực hiện một loạt các thực nghiệm có hệ thống trên dữ liệu phát hiện xâm nhập mạng, thu được các kết quả cụ thể:

Nhóm phương pháp	Thuật toán / Mô hình triển khai	Đặc điểm kỹ thuật trong thực nghiệm	Kịch bản đánh giá
Học máy cổ điển	Support Vector Machine (SVM)	Phân chia siêu phẳng tối ưu margin	Không chọn thuộc tính & Có chọn thuộc tính
	Naive Bayes (Multinomial, Gaussian)	Phân loại dựa trên xác suất có điều kiện	Phân loại trên tập dữ liệu chuẩn hóa
	Logistic Regression	Hàm kích hoạt Sigmoid đưa về xác suất	Đánh giá phân loại kết nối mạng
	Random Forest	Tập hợp nhiều cây quyết định qua Bootstrap	Đánh giá tổng hợp dự đoán cây
Học sâu (Deep Learning)	RNN Vanilla	Mạng hồi quy trạng thái ẩn $h_t$	Đánh giá phụ thuộc chuỗi
	LSTM (Biến thể 1 đến 5)	Kiến trúc cổng kiểm soát nhớ dài-ngắn hạn	Huấn luyện và kiểm thử đa cấu hình

Các kết quả và đóng góp chính của đề tài bao gồm:

• Hệ thống hóa cơ sở lý luận: Xây dựng bức tranh tổng thể, có cấu trúc chặt chẽ về các kỹ thuật tấn công mạng, các cơ chế phòng thủ và phân loại chi tiết hệ thống phát hiện xâm nhập mạng (IDS).
• Khảo sát toàn diện các thuật toán: Trình bày chi tiết khung toán học và thuật toán của 4 mô hình học máy truyền thống và các mạng nơ-ron học sâu (ANN, RNN, LSTM), làm rõ ưu nhược điểm của từng phương pháp khi áp dụng vào dữ liệu an ninh mạng.
• Xây dựng quy trình xử lý và thực nghiệm: Ứng dụng thành công kỹ thuật mã hóa One-Hot Encoding để số hóa các thuộc tính mạng; thiết lập quy trình đối sánh hiệu quả giữa hướng tiếp cận giữ nguyên thuộc tính và hướng tiếp cận có chọn lọc thuộc tính.
• Đóng góp so với nghiên cứu trước: Tác giả đã triển khai thực nghiệm so sánh đa dạng giữa các thuật toán học máy cổ điển và nhiều biến thể kiến trúc LSTM khác nhau trên cùng một nền tảng thực nghiệm (Google Colab, TensorFlow, WEKA), chứng minh tính khả thi và tiềm năng của việc ứng dụng mạng hồi quy LSTM trong việc nhận dạng các mẫu hình xâm nhập mạng phức tạp.

Hạn chế và hướng nghiên cứu tiếp

Dựa trên nội dung được tác giả trình bày và phạm vi thực hiện của khóa luận:

• Hạn chế của đề tài:
  • Quá trình thực nghiệm chủ yếu thực hiện trên môi trường điện toán đám mây và công cụ mô phỏng với các tập dữ liệu mạng mẫu có sẵn, chưa được kiểm thử trên luồng lưu lượng mạng thực tế theo thời gian thực (real-time).
  • Khóa luận mới tập trung vào việc áp dụng và so sánh các mô hình học máy, học sâu đơn lẻ (từ SVM, Random Forest đến các biến thể LSTM), chưa kết hợp các mô hình lai (hybrid models) phức tạp hơn.
• Hướng phát triển:
  • Nghiên cứu và áp dụng các kỹ thuật học sâu tiên tiến hơn hoặc kết hợp nhiều kiến trúc (như CNN kết hợp LSTM, cơ chế Attention) để nâng cao độ chính xác và giảm thiểu tỷ lệ cảnh báo sai.
  • Tối ưu hóa các giải thuật chọn lọc thuộc tính tự động để giảm chiều dữ liệu và rút ngắn thời gian huấn luyện.
  • Nghiên cứu giải pháp tích hợp mô hình học sâu vào một hệ thống NIDS hoàn chỉnh có khả năng phân tích gói tin trực tiếp và phản ứng tự động trước các cuộc tấn công mới.

Giá trị tham khảo

Khóa luận tốt nghiệp này là tài liệu tham khảo hữu ích cho:

• Sinh viên và học viên: Thuộc các chuyên ngành Kỹ thuật dữ liệu, Khoa học dữ liệu, An toàn thông tin và Công nghệ thông tin đang tìm kiếm tài liệu tổng quan có hệ thống về bài toán phát hiện xâm nhập mạng (IDS) và ứng dụng học máy/học sâu.
• Người nghiên cứu về Machine Learning & Deep Learning: Cung cấp tài liệu tổng hợp súc tích về khung lý thuyết, công thức toán học của các thuật toán phổ biến (SVM, Naive Bayes, Logistic Regression, Random Forest, RNN, LSTM).
• Phần có giá trị tham khảo cao nhất:
  • Chương 1: Cung cấp bức tranh phân loại chi tiết, mạch lạc về các dạng tấn công mạng (SYN flood, Land attack, UDP flood, Smurf attack) và các loại hình IDS.
  • Chương 2 và 3: Bảng phân loại chi tiết các nhóm thuật toán học máy và các bài toán RNN.
  • Chương 4: Quy trình tiền xử lý dữ liệu với mã hóa One-Hot Encoding và phương pháp thiết kế thực nghiệm so sánh hai hướng (có/không chọn thuộc tính) trên mô hình LSTM.

Câu hỏi thường gặp

1. Khóa luận phân tích những dạng tấn công từ chối dịch vụ (DoS) cụ thể nào trong Chương 1?
Trong mục 1.2 của Chương 1, tác giả phân tích chi tiết 4 dạng tấn công DoS gồm: tấn công SYN flood (half-open attack lợi dụng cơ chế kết nối TCP/IP), tấn công Land attack (sử dụng chính địa chỉ IP của mục tiêu làm nguồn), tấn công UDP flood (gửi lượng lớn gói UDP dung lượng lớn làm quá tải băng thông qua cổng UDP echo), và tấn công Smurf attack (khuếch đại gói tin ICMP echo gửi đến địa chỉ broadcast của toàn mạng).

2. Khóa luận phân loại hệ thống phát hiện xâm nhập mạng (IDS) theo những tiêu chí nào?
Hệ thống IDS được phân loại dựa trên ba tiêu chí chính: theo phạm vi hoạt động gồm NIDS (phát hiện xâm nhập mạng) và HIDS (phát hiện xâm nhập host); theo phương pháp phát hiện gồm Signature-Based IDS (dựa trên chữ ký), Misuse-based IDS (dựa trên dấu hiệu tấn công đã biết) và Anomaly-Based IDS (dựa trên hành vi bất thường với hai pha: huấn luyện hồ sơ chuẩn và phát hiện sai lệch); theo phương thức phản ứng gồm Passive IDS (chỉ cảnh báo) và Reactive IDS (tự động phản ứng).

3. Vì sao tác giả nghiên cứu mạng LSTM để thay thế cho mạng nơ-ron hồi quy RNN truyền thống?
Mặc dù mạng RNN có khả năng xử lý dữ liệu dạng chuỗi nhờ trạng thái ẩn $h_t$, nhưng mạng RNN truyền thống gặp nhược điểm nghiêm trọng là hiện tượng triệt tiêu hoặc bùng nổ đạo hàm (vanishing/exploding gradient) khi huấn luyện trên các chuỗi thời gian dài. Mạng LSTM với cấu trúc các cổng điều khiển (gated memory) cho phép kiểm soát việc lưu giữ hoặc loại bỏ thông tin qua thời gian dài, giúp mô hình học được các phụ thuộc xa trong dữ liệu lưu lượng mạng hiệu quả hơn.

4. Kỹ thuật tiền xử lý dữ liệu nào được tác giả áp dụng trước khi đưa vào mô hình học sâu?
Tác giả áp dụng kỹ thuật mã hóa One-Hot Encoding để chuyển đổi các thuộc tính phi số (dữ liệu danh mục/chuỗi ký tự như giao thức mạng, loại dịch vụ) thành các vector nhị phân $(0, 1)$, đồng thời thực hiện chuẩn hóa và khảo sát phân bố nhãn kết nối trên cả tập dữ liệu huấn luyện và tập dữ liệu thử nghiệm.

5. Hai hướng tiếp cận thực nghiệm chính được tác giả triển khai trong Chương 4 là gì?
Tác giả triển khai thực nghiệm theo hai hướng phân loại rõ rệt: (1) Phân loại không lựa chọn thuộc tính (sử dụng toàn bộ không gian đặc trưng sau khi mã hóa One-Hot) và (2) Phân loại có lựa chọn thuộc tính (chọn lọc các đặc trưng quan trọng nhất để giảm chiều dữ liệu và đánh giá ảnh hưởng của việc giảm chiều đến độ chính xác của các mô hình học máy và LSTM).

Kết luận

Đồ án tốt nghiệp "Phát hiện xâm nhập mạng với học sâu" của sinh viên Lê Đỗ Trà My và Trần Thị Lệ Xuân (ngành Kỹ thuật Dữ liệu, Trường Đại học Sư phạm Kỹ thuật TP.HCM) đã trình bày một cách có hệ thống từ nền tảng lý thuyết an ninh mạng đến các kỹ thuật học máy và học sâu hiện đại. Công trình đã xây dựng quy trình thực nghiệm rõ ràng, áp dụng kỹ thuật mã hóa One-Hot và triển khai so sánh hiệu năng của nhiều mô hình học máy cổ điển cùng các biến thể mạng chuỗi thời gian LSTM theo hai kịch bản có và không lựa chọn thuộc tính. Báo cáo là tài liệu học thuật hoàn chỉnh, cung cấp cơ sở tham khảo có giá trị cho các nghiên cứu tiếp theo về việc xây dựng hệ thống phát hiện xâm nhập mạng thông minh.

Trích đoạn nội dung tài liệu

CHƯƠNG 1: TỔNG QUAN VỀ MẠNG trộm và chỉnh sửa dữ liệu trên đường truyền. Bên thứ ba có thể lấy được các gói tin đã mã hóa, nhưng không thể đọc được nội dung thông điệp từ các gói tin này. Trong mã hóa dữ liệu, dữ liệu ban đầu được gọi là plaintext, dữ liệu đã được mã hóa là ciphertext. Quá trình mã hóa từ plaintext sang ciphertext sẽ biến nội dung sang một dạng mới, vì thế sẽ tăng thêm một lớp bảo mật cho dữ liệu.

Ứng với mỗi cách mã hóa là một cách giải mã nhất định, bao gồm thuật toán và khóa là bí mật. Giả sử dữ liệu bị đánh cắp thì phải mất một khoảng thời gian khá lâu và một khoảng tài nguyên nhất định đủ để tên trộm có thể giải mã dữ liệu. Thực tế, việc mã hóa dữ liệu không thể hoàn toàn ngăn việc dữ liệu có thể bị đánh cắp nhưng lại là việc vô cùng cần thiết để tăng tính bảo mật cho dữ liệu.3 Mạng riêng ảo (Virtual private network – VPN) Mạng riêng ảo là một kĩ thuật giúp tạo kết nối an toàn khi tham gia vào mạng công cộng bằng cách tạo một mạng ảo. Nó ngăn chặn những người không được phép nghe lén và cho phép người dùng thực hiện công việc từ xa.

Vì vậy, các tập đoàn lớn, các cơ sở giáo dục và cơ quan chính phủ sử dụng công nghệ này để cho phép người dùng từ xa kết nối an toàn đến mạng riêng của cơ quan mình. Khi kết nối máy tính với VPN, máy tính sẽ hoạt động như thể đang kết nối với mạng cục bộ. Điều này cho phép người dùng truy cập nguồn tài nguyên mạng cục bộ ngay cả khi họ đang ở đầu bên kia của thế giới. Ngoài ra, người dùng cũng có thể sử dụng Internet giống như thể họ đang hiện diện tại vị trí của VPN.

Ví dụ, nếu VPN đặt tại Nhật Bản thì khi người dùng kết nối đến một ứng dụng như Netflix, nó sẽ ghi nhận địa chỉ của họ ở Nhật Bản. VPN là một giải pháp tiện lợi với chi phí thấp để xây dựng một hệ thống mạng riêng mà vẫn cung cấp được nhiều chức năng đến người dùng như truy cập từ xa, duyệt web ẩn danh, truy cập những web bị chặn giới hạn địa lí, … Tuy nhiên, VPN vẫn tồn tại những nhược điểm như gói dữ liệu có nguy cơ bị thất lạc, những người dùng có nguy cơ bị tấn công, … 8 CHƯƠNG 1: TỔNG QUAN VỀ MẠNG 1.4 HỆ THỐNG PHÁT HIỆN XÂM NHẬP MẠNG (INSTRUCTION DETECT SYSTEM - IDS) 1.1 Khái niệm Hệ thống phát hiện xâm nhập là một hệ thống phát hiện các xâm nhập trái phép, các cuộc tấn công vào hệ thống mạng và đưa ra cảnh báo. IDS có thể là thiết bị phần cứng hay phần mềm. Mục đích của nó là ngăn ngừa và phát hiện những hành động mang tính phá hoại sự bảo mật của hệ thống hoặc những hành vi như dò tìm, quét các cổng.

Ngoài ra, IDS có khả năng phân biệt hành vi tấn công đến từ bên ngoài hay trong nội bộ. Ngày nay có rất nhiều sản phẩm công nghệ ra đời với mục đích bảo vệ hệ thống mạng của người dùng. Tuy nhiên, chúng ta không nên nhầm lẫn một trong số chúng là một hệ thống phát hiện xâm nhập. Chẳng hạn, tường lửa hay một phần mềm chống vi- rút nào đó không phải là IDS [8].

IDS là một trong những giải pháp hiệu quả và quan trọng trong bảo vệ hệ thống.