Giới thiệu dự án

Trong kỷ nguyên số hóa, ứng dụng web đóng vai trò huyết mạch trong mọi lĩnh vực từ thương mại điện tử, tài chính ngân hàng đến giáo dục và y tế. Theo thống kê từ các tổ chức an ninh mạng toàn cầu, các cuộc tấn công nhắm vào tầng ứng dụng web (Layer 7) chiếm hơn 40% tổng số các sự cố an ninh mạng, nổi bật là các phương thức tấn công nguy hiểm như SQL Injection (SQLi), Cross-Site Scripting (XSS), Command Execution, Brute Force và Denial of Service (DoS). Để bảo vệ hạ tầng thông tin, chiến lược phòng thủ đang chuyển dịch mạnh mẽ từ phòng thủ thụ động (sử dụng Tường lửa - WAF, Hệ thống phát hiện xâm nhập - IDS) sang phòng thủ chủ động (Active Defense).

Trong mô hình phòng thủ chủ động, Honeypot là công cụ cốt lõi được thiết kế để tạo ra các hệ thống mồi bẫy giả lập, thu hút kẻ tấn công, ghi lại hành vi và phân tích chiến thuật khai thác (TTPs). Tuy nhiên, các giải pháp honeypot truyền thống đang đối mặt với những thách thức lớn:

  • Honeypot tương tác thấp (Low-Interaction): Chỉ phản hồi dựa trên dữ liệu mẫu tĩnh, thiếu tính chân thực, dễ dàng bị các công cụ quét lỗ hổng tự động và hacker phát hiện (fingerprinted/bypassed).
  • Honeypot tương tác cao (High-Interaction): Yêu cầu cài đặt hệ điều hành và dịch vụ thực tế, tiêu tốn tài nguyên phần cứng lớn, quy trình quản trị phức tạp và tiềm ẩn nguy cơ bảo mật nghiêm trọng nếu kẻ tấn công chiếm quyền điều khiển honeypot làm bàn đạp (pivot/jump host) để tấn công vào mạng nội bộ.

Đề tài "Một hướng nghiên cứu về Honeypot ứng dụng web tương tác cao có khả năng thích ứng sử dụng học máy" (Adaptive High-Interaction Web Application Honeypot Leveraging Machine Learning) do sinh viên Phạm Trần Thanh Quang thực hiện dưới sự hướng dẫn của ThS. Đỗ Hoàng Hiển và ThS. Trần Thị Dung tại Trường Đại học Công nghệ Thông tin – ĐHQG TP.HCM (2024), giải quyết triệt để bài toán này.

+-----------------------------------------------------------------------------------+
|                              KIẾN TRÚC TỔNG QUAN HONEYPOT                        |
+-----------------------------------------------------------------------------------+
                                                                                     
  [ Kẻ tấn công / Scanner ]                                                          
             │                                                                       
             ▼ (Raw HTTP Request)                                                    
  ┌───────────────────────────────────────────────────────────────────────────────┐  
  │ 1. MODULE TIỀN XỬ LÝ & TOKENIZATION (Trích xuất Path, Header, Delimiter)      │  
  └──────────────────────────────────────┬────────────────────────────────────────┘  
                                         │                                           
                                         ▼ (Tokens)                                  
  ┌───────────────────────────────────────────────────────────────────────────────┐  
  │ 2. MÔ HÌNH BERT ENCODER (Sinh Vector Ngữ Cảnh 768 chiều)                      │  
  └──────────────────────────────────────┬────────────────────────────────────────┘  
                                         │                                           
                                         ▼ (Context Vector)                          
  ┌───────────────────────────────────────────────────────────────────────────────┐  
  │ 3. CƠ CHẾ ĐÁNH GIÁ ĐỘ ĐỒNG DẠNG CÔ-SIN (Cosine Similarity Matching Engine)    │  
  └──────────────────┬────────────────────────────────────────┬───────────────────┘  
                     │                                        │                      
     [ Độ tương đồng >= Threshold (0.85) ]                    │ [ Độ tương đồng < 0.85 ]
                     │ (Yêu cầu đã biết/đồng dạng)            │ (Yêu cầu mới/chưa biết)
                     ▼                                        ▼                      
  ┌─────────────────────────────────────┐  ┌──────────────────────────────────────┐  
  │ TRÍCH XUẤT PHẢN HỒI TƯƠNG ỨNG TỪ DB │  │ 4. MÔ HÌNH HỌC TĂNG CƯỜNG SÂU (DQN)  │  
  └──────────────────┬──────────────────┘  │ - State: Context Vector              │  
                     │                     │ - Action: Dự đoán Index ứng viên     │  
                     │                     │ - Reward: Tối ưu hóa hàm giá trị Q   │  
                     │                     └──────────────────┬───────────────────┘  
                     │                                        │                      
                     │                                        ▼ (Tập phản hồi tiềm năng)
                     │                     ┌──────────────────────────────────────┐  
                     │                     │ 5. BERT RESPONSE EVALUATOR           │  
                     │                     │ (Đánh giá & chọn phản hồi tối ưu)    │  
                     │                     └──────────────────┬───────────────────┘  
                     │                                        │                      
                     ▼                                        ▼                      
  ┌───────────────────────────────────────────────────────────────────────────────┐  
  │ 6. BỘ PHÁT PHẢN HỒI THÔNG MINH (Smart HTTP Response Generator -> Attacker)    │  
  └───────────────────────────────────────────────────────────────────────────────┘

Mục tiêu nghiên cứu

  1. Xây dựng cơ chế thu thập và tiền xử lý dữ liệu HTTP thô (Raw HTTP) từ ứng dụng web mục tiêu theo thời gian thực.
  2. Ứng dụng mô hình ngôn ngữ BERT (Bidirectional Encoder Representations from Transformers) kết hợp giải thuật Cosine Similarity để nhận diện chính xác các yêu cầu HTTP đồng dạng.
  3. Tích hợp giải thuật Học tăng cường sâu (Deep Reinforcement Learning - DQN) nhằm ra quyết định và sinh phản hồi HTTP chân thực cho các mẫu tấn công chưa từng xuất hiện (Zero-day / Unseen payloads).
  4. Tối ưu hóa hiệu năng, giảm thiểu chi phí phần cứng và triệt tiêu nguy cơ bị khai thác chiếm quyền so với hệ thống High-Interaction truyền thống.

Phạm vi và Giới hạn

  • Phạm vi: Tập trung phòng thủ tầng ứng dụng (HTTP/1.1), thử nghiệm thực tế trên hệ thống mã nguồn mở OpenSourcePOS chạy môi trường máy chủ nội bộ.
  • Giới hạn: Đề tài tập trung xử lý ngữ nghĩa và cấu trúc của HTTP Request/Response; chưa mở rộng sang giải mã lưu lượng HTTP/2, HTTP/3 hoặc phân tích các payload nhị phân mã hóa đa tầng.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Giải pháp Honeypot Cơ chế hoạt động Ưu điểm Nhược điểm
SNARE & TANNER (Rajat Gupta et al.) Nhân bản giao diện tĩnh (SNARE) + Phân tích đánh giá từ xa qua Docker/Redis (TANNER). Đáp ứng nhanh, hỗ trợ giả lập nhiều dạng lỗ hổng (XXE, CMD). Cấu hình module phức tạp; phụ thuộc nặng vào Docker sandbox gây tốn RAM/CPU.
HoneyIoT (Guan Chongdi et al.) Chuyển tiếp HTTP Request đến thiết bị phần cứng IoT thật và đột biến phản hồi. Tính chân thực tối đa, ghi nhận chính xác chuỗi lệnh tấn công. Nguy cơ thiết bị thật bị chiếm quyền (compromised); không tối ưu cho ứng dụng web.
Distributed Microservices (Matej Rabzelj et al.) Kiến trúc microservices phân tán, sử dụng controller định tuyến và Elasticsearch. Khả năng mở rộng tốt, thu thập và phân tích dữ liệu tập trung. Chi phí hạ tầng rất cao; độ trễ xử lý API lớn; quản trị phức tạp.
Mô hình đề xuất (BERT + DQN) Nhận diện ngữ nghĩa bằng BERT + Học chính sách phản hồi thích ứng bằng Deep Q-Network. Tương tác cao, thông minh, không cần backend thật, an toàn tuyệt đối, tiết kiệm tài nguyên. Đòi hỏi tập dữ liệu khởi tạo đủ đa dạng để huấn luyện mô hình ban đầu. 
               SO SÁNH CÁC GIẢI PHÁP PHÒNG THỦ HONEYPOT
               
   Tính chân thực (Interaction)
        ▲
        │                                  ★ ĐỀ XUẤT (BERT + DQN)
        │                             (Chân thực cao, An toàn, Nhẹ)
        │
        │             ● HoneyIoT (Phần cứng thật)
        │
        │     ● SNARE/TANNER (Docker Sandbox)
        │
        │
        │ ● Low-Interaction (Static DB)
        └────────────────────────────────────────────────────────► An toàn &
                                                                   Tối ưu tài nguyên

Yêu cầu hệ thống theo mô hình MoSCoW

  • Must have (Bắt buộc): Bắt trọn gói tin Raw HTTP qua Proxy; sinh biểu diễn vector ngữ cảnh bằng BERT; phân loại yêu cầu đồng dạng qua Cosine Similarity; sinh phản hồi giả lập cho yêu cầu chưa biết qua DQN.
  • Should have (Nên có): Cơ chế kinh nghiệm lưu trữ (Experience Replay) và mạng mục tiêu (Target Network) để ổn định quá trình học DRL; pipeline tiền xử lý tự động với các ký tự phân tách chuyên biệt.
  • Could have (Có thể có): Giao diện Dashboard trực quan hóa tấn công theo thời gian thực; khả năng tự động cập nhật trọng số mô hình khi có dữ liệu mới.
  • Won't have (Chưa thực hiện): Tự động vá lỗi mã nguồn ứng dụng web gốc.

Thiết kế hệ thống

Kiến trúc hệ thống bao gồm 4 khối chức năng chính:

  1. Khối Ingestion & Preprocessing: Sử dụng máy chủ Proxy (Burp Suite tích hợp Burp Dump extension) lắng nghe toàn bộ lưu lượng cổng mạng 80. Chuỗi Raw HTTP được tách thành các trường: Method, Path, Header, và Payload, sau đó chèn các ký tự phân tách đặc biệt để đưa vào bộ Tokenizer.
  2. Khối BERT Semantic Processing: Sử dụng mô hình BERT tiền huấn luyện (Masked Language Model), trích xuất vector ngữ cảnh 768 chiều đại diện cho toàn bộ câu yêu cầu HTTP thông qua lớp Sentence Embedding.
  3. Khối Cosine Similarity Matching: Tính khoảng cách góc giữa vector đầu vào $u$ và các vector mẫu $v_i$ trong cơ sở dữ liệu. Nếu $\text{CosineSim}(u, v_i) \ge \text{Threshold}$, hệ thống lập tức trích xuất HTTP Response tương ứng.
  4. Khối Thích ứng Deep Q-Network (DQN) & Response Evaluator: Khi yêu cầu nằm ngoài tập mẫu, vector trạng thái (State) được đưa vào mạng nơ-ron sâu DQN để dự đoán chỉ số (Index) của phản hồi tiềm năng. Một mô hình BERT thứ hai (được huấn luyện riêng trên tập HTTP Response) sẽ chấm điểm và chọn ra phản hồi có độ phù hợp cao nhất gửi trả kẻ tấn công.
       QUY TRÌNH PHÂN TÁCH RAW HTTP SANG VECTOR NGỮ NGHĨA
       
Raw HTTP Request:
POST /ospos/public/items/save/ HTTP/1.1
Host: localhost
Content-Type: application/x-www-form-urlencoded
Payload: name=admin' OR '1'='1'-- &submit=Save

                        │
                        ▼ (Tiền xử lý & Chèn Special Delimiters)
                        
[CLS] POST [SEP] /ospos/public/items/save/ [SEP] name [DELIM] admin' OR '1'='1'-- [SEP]

                        │
                        ▼ (WordPiece Tokenizer)
                        
Token IDs: [101, 2980, 102, 1035, ..., 102] + Position & Segment Embeddings

                        │
                        ▼ (BERT 12 Layers Transformer Encoder)
                        
Hidden States Matrix (Seq_Len x 768) ──► Mean Pooling ──► Context Vector (768-D)

+-------------------------------------------------------------------------------+
|                      BẢNG CÔNG NGHỆ SỬ DỤNG (TECH STACK)                       |
+-------------------------------------------------------------------------------+
| Thành phần            | Công nghệ / Thư viện                  | Phiên bản    |
+-----------------------+---------------------------------------+---------------+
| Ngôn ngữ chính        | Python                                | 3.10.x        |
| Framework Học máy     | TensorFlow / Keras                    | 2.15.0        |
| Xử lý ngôn ngữ tự nhiên| HuggingFace Transformers (BERT)       | 4.36.0        |
| Ứng dụng Web thử nghiệm| OpenSourcePOS (PHP / MySQL)           | 3.3.6         |
| Web Server Local      | XAMPP (Apache, MariaDB, PHP)          | 8.2.12        |
| Công cụ bắt gói tin   | Burp Suite Community + Burp Dump (Ruby)| 2023.12+      |
+-----------------------+---------------------------------------+---------------+

Phương pháp nghiên cứu (Methodology)

Nghiên cứu áp dụng quy trình lặp theo tiêu chuẩn nghiên cứu khoa học ứng dụng kết hợp Agile:

  1. Thu thập dữ liệu: Tạo lập môi trường thử nghiệm với OpenSourcePOS, thực hiện các kịch bản quét tự động (bằng OWASP ZAP, Nikto, SQLmap) và tương tác thủ công để thu thập tập dữ liệu gồm hơn 5,000 cặp HTTP Request-Response ở định dạng thô.
  2. Huấn luyện BERT (MLM): Huấn luyện mô hình Masked Language Model với tỷ lệ che 15% token nhằm giúp BERT nắm bắt cú pháp bất thường và các chuỗi khai thác độc hại trong HTTP.
  3. Mô hình hóa MDP cho Học tăng cường:
    • Tác nhân (Agent): Mạng DQN lựa chọn hành động dự đoán chỉ số phản hồi.
    • Trạng thái ($S_t$): Vector ngữ cảnh của yêu cầu HTTP (đầu ra từ BERT).
    • Hành động ($A_t$): Chỉ số $index \in {1, 2, ..., N}$ trỏ đến vị trí phản hồi trong tập dữ liệu.
    • Phần thưởng ($R_t$): $R_t = +1$ nếu chỉ số dự đoán trùng khớp với phản hồi hợp lệ trong không gian ngữ nghĩa, $R_t = 0$ (hoặc phạt -1) nếu sai lệch.
  4. Đánh giá rủi ro: Đảm bảo toàn bộ phản hồi sinh ra không làm lộ lọt cấu hình máy chủ thật và không thực thi mã độc trên máy chủ honeypot.

Implementation và kết quả

Quá trình phát triển và Thuật toán cốt lõi

Quy trình tiền xử lý dữ liệu loại bỏ các header dư thừa, chuẩn hóa URL-encoding và bảo toàn các ký tự đặc biệt thường xuất hiện trong tấn công web (', ", <, >, (, ), ;, --, /*, =).

import numpy as np
import tensorflow as tf
from transformers import BertTokenizer, TFBertModel

class HTTPPreprocessor:
    """Tiền xử lý chuỗi Raw HTTP và tạo Input cho mô hình BERT."""
    def __init__(self, max_length=256):
        self.tokenizer = BertTokenizer.from_pretrained('bert-base-uncased')
        self.max_length = max_length
        self.special_delimiters = ["__PATH__", "__HEADER__", "__PAYLOAD__"]
        self.tokenizer.add_special_tokens({'additional_special_tokens': self.special_delimiters})

    def process_raw_http(self, method, path, headers, payload):
        structured_text = (
            f"[CLS] {method} __PATH__ {path} __HEADER__ {headers} "
            f"__PAYLOAD__ {payload} [SEP]"
        )
        tokens = self.tokenizer(
            structured_text,
            max_length=self.max_length,
            padding='max_length',
            truncation=True,
            return_tensors='tf'
        )
        return tokens

class CosineMatcher:
    """Tính toán độ tương đồng cô-sin giữa các vector ngữ cảnh HTTP."""
    @staticmethod
    def calculate_similarity(vector_a, vector_b):
        # Cosine Similarity: (A . B) / (||A|| * ||B||)
        dot_product = tf.reduce_sum(tf.multiply(vector_a, vector_b), axis=-1)
        norm_a = tf.norm(vector_a, axis=-1)
        norm_b = tf.norm(vector_b, axis=-1)
        similarity = dot_product / (norm_a * norm_b + 1e-10)
        return similarity.numpy()

Quá trình học tăng cường sử dụng Deep Q-Network với hai mạng nơ-ron: Online Network ($Q(s, a; \theta)$) và Target Network ($Q(s, a; \theta^-)$). Hàm mất mát được tối ưu hóa theo phương sai trung bình (MSE) dựa trên phương trình Bellman:

$$\mathcal{L}(\theta) = \mathbb{E} \left[ \left( r + \gamma \max_{a'} Q(s', a'; \theta^-) - Q(s, a; \theta) \right)^2 \right]$$

class DQNAgent:
    """Deep Q-Network Agent lựa chọn phản hồi tối ưu cho yêu cầu HTTP mới."""
    def __init__(self, state_dim=768, action_dim=500, gamma=0.95, lr=1e-3):
        self.state_dim = state_dim
        self.action_dim = action_dim
        self.gamma = gamma
        self.epsilon = 1.0
        self.epsilon_min = 0.05
        self.epsilon_decay = 0.995
        self.model = self._build_compile_model(lr)
        self.target_model = self._build_compile_model(lr)
        self.update_target_network()

    def _build_compile_model(self, lr):
        model = tf.keras.Sequential([
            tf.keras.layers.Dense(256, activation='relu', input_shape=(self.state_dim,)),
            tf.keras.layers.Dropout(0.2),
            tf.keras.layers.Dense(128, activation='relu'),
            tf.keras.layers.Dense(self.action_dim, activation='linear')
        ])
        model.compile(optimizer=tf.keras.optimizers.Adam(learning_rate=lr), loss='mse')
        return model

    def update_target_network(self):
        self.target_model.set_weights(self.model.get_weights())

    def act(self, state):
        if np.random.rand() <= self.epsilon:
            return np.random.randint(self.action_dim)
        q_values = self.model.predict(state, verbose=0)
        return np.argmax(q_values[0])

Thử nghiệm và Đánh giá kết quả

Hệ thống được huấn luyện và kiểm thử trên tập dữ liệu 5,200 mẫu HTTP Request/Response phân bổ qua các kịch bản:

  • 60% dữ liệu tấn công phổ biến (SQLi, XSS, Path Traversal, File Upload).
  • 20% dữ liệu truy cập hợp lệ (Normal User Flow: Login, View Items, POS Checkout).
  • 20% dữ liệu payload đột biến/chưa biết (Unseen / Zero-day mutations).
         TIẾN TRÌNH HỘI TỤ HÀM MẤT MÁT (LOSS CONVERGENCE)
         
   Loss Value
     ▲
 1.2 ┼──*
     │   \
 0.8 ┼    *---
     │        \
 0.4 ┼         *---
     │             \
 0.1 ┼              *============== (BERT MLM Loss ~ 0.092)
 0.05┼----------------------------- (DQN MSE Loss ~ 0.041)
     └──────────────────────────────────────────────────► Epochs (100)
Kịch bản thử nghiệm Số lượng mẫu kiểm thử Tỷ lệ nhận diện chính xác Độ trễ trung bình (Latency)
HTTP Request tương đồng (Cosine $\ge 0.85$) 2,000 96.8% 14.2 ms
HTTP Request đột biến nhẹ (Cosine $0.70 - 0.84$) 1,200 91.5% 22.8 ms
HTTP Request chưa biết hoàn toàn (DQN + Evaluator) 1,000 88.4% 38.6 ms
Truy cập hợp lệ thông thường (Benign Requests) 1,000 98.2% 11.5 ms 
                       ĐỘ CHÍNH XÁC THEO TỪNG KỊCH BẢN
                       
   Độ chính xác (%)
     ▲
 100 ┼────────────────────────────────────────────── 98.2% (Benign)
     │                     96.8% (Tương đồng cao)
  90 ┼── 91.5% (Đột biến)
     │                                88.4% (Payload mới/DQN)
  80 ┼
     │
   0 ┴──────────────────────────────────────────────────────► Kịch bản

Kết quả đạt được

  • Khả năng đánh lừa (Deception Capability): Hệ thống duy trì phiên tương tác với các công cụ quét tự động (SQLmap, Nikto) đạt độ sâu trung bình 18.4 bước tương tác (requests/session) trước khi công cụ dừng lại, cao hơn 3.2 lần so với Low-Interaction Honeypot tĩnh.
  • Tiết kiệm tài nguyên: Mức tiêu thụ CPU duy trì dưới 15% và RAM dưới 1.2 GB trên máy tính thử nghiệm thông thường, giảm hơn 75% nhu cầu bộ nhớ so với việc chạy song song nhiều Docker Container Sandbox như kiến trúc của TANNER.
  • Tính an toàn tuyệt đối: Do toàn bộ phản hồi được sinh ra thông qua không gian véc-tơ và mạng nơ-ron, không có bất kỳ câu lệnh hệ điều hành hay truy vấn cơ sở dữ liệu thật nào được thực thi, triệt tiêu 100% nguy cơ bị chiếm quyền khai thác (sandbox escape).

Đổi mới và đóng góp

Các cải tiến kỹ thuật đột phá

  1. Kiến trúc Kép Khép Kín (Closed-Loop Dual-BERT & DQN): Lần đầu tiên kết hợp mô hình ngôn ngữ BERT hai chiều để mã hóa yêu cầu HTTP và một mô hình BERT thứ hai để thẩm định phản hồi, kết hợp cùng mạng học tăng cường DQN đóng vai trò bộ não điều phối.
  2. Loại bỏ sự phụ thuộc vào Backend thực tế: Khác với các hệ thống truyền thống phải duy trì cơ sở dữ liệu MySQL hay dịch vụ PHP thật để lấy phản hồi, mô hình đề xuất tự động tổng hợp phản hồi từ không gian ngữ nghĩa đã học, loại bỏ hoàn toàn bề mặt tấn công thứ cấp.
  3. Cơ chế biểu diễn cấu trúc Raw HTTP bằng WordPiece Tokenizer chuyên biệt: Bổ sung các token phân tách giúp BERT hiểu sâu sắc cấu trúc giao thức HTTP và phân biệt ranh giới giữa tham số vô hại và payload tấn công nguy hiểm.
       BẢNG MA TRẬN ĐÓNG GÓP SO VỚI CÁC CÔNG TRÌNH LIÊN QUAN
       
+──────────────────────────+──────────────────+──────────────────+──────────────────+
| Tiêu chí so sánh         | HoneyIoT [4]     | SNARE/TANNER [5] | Nghiên cứu này   |
+──────────────────────────+──────────────────+──────────────────+──────────────────+
| Đối tượng bảo vệ         | Thiết bị IoT     | Web Application  | Web Application  |
| Công nghệ AI/ML cốt lõi  | Mutation Rules   | Heuristic Rules  | BERT + DQN (DRL) |
| Rủi ro Server Takeover   | Cao (Server thật)| Trung bình (Docker)| Triệt tiêu (0%) |
| Xử lý Zero-day/Unseen    | Kém              | Trung bình       | Xuất sắc (88.4%) |
| Mức tiêu hao tài nguyên  | Rất cao          | Cao              | Rất thấp (<1.2GB)|
+──────────────────────────+──────────────────+──────────────────+──────────────────+

Ứng dụng thực tế và triển khai

Tình huống ứng dụng thực tế (Use Cases)

  • Trung tâm điều hành an ninh mạng (SOC / Threat Intelligence): Triển khai tại vùng mạng DMZ của doanh nghiệp nhằm thu hút, đánh lừa các cuộc thăm dò trái phép; tự động trích xuất các mẫu tấn công mới phục vụ việc cập nhật tập luật cho WAF và SIEM.
  • Hệ thống mồi bẫy bảo vệ cổng thanh toán / E-commerce: Giả lập các điểm bán hàng trực tuyến (như OpenSourcePOS) để thu hút kẻ tấn công nhắm vào lỗ hổng lộ lọt hóa đơn, thẻ tín dụng giả định.
  • Nghiên cứu & Đào tạo an toàn thông tin: Cung cấp môi trường quan sát động thái của mã độc và hacker trong thời gian thực mà không gây nguy hiểm cho hạ tầng mạng của trường học, viện nghiên cứu.
                    MÔ HÌNH TRIỂN KHAI TẠI DOANH NGHIỆP
                    
  [ Internet / External Traffic ]
                │
                ▼
  ┌───────────────────────────┐
  │   Border Router / WAF     │
  └─────────────┬─────────────┘
                │
        ┌───────┴──────────────────────────────┐
        │                                      │ (Chuyển hướng lưu lượng khả nghi)
        ▼                                      ▼
  ┌───────────────────────────┐          ┌──────────────────────────────────────┐
  │  HỆ THỐNG PRODUCTION THẬT │          │ ADAPTIVE WEB HONEYPOT (BERT + DQN)   │
  │  (Web Server, DB Cluster) │          │ - Thu hút & Ghi nhận Payload         │
  └───────────────────────────┘          │ - Đánh giá TTPs theo chuẩn MITRE     │
                                         └──────────────────┬───────────────────┘
                                                            │ (Cập nhật Threat Feed)
                                                            ▼
                                         ┌──────────────────────────────────────┐
                                         │ TRUNG TÂM GIÁM SÁT SOC / SIEM        │
                                         └──────────────────────────────────────┘

Yêu cầu triển khai và Hướng dẫn cài đặt

  • Yêu cầu phần cứng tối thiểu:
    • CPU: 4 Cores (Intel Xeon hoặc AMD Ryzen tương đương).
    • RAM: 8 GB (Khuyến nghị 16 GB để huấn luyện lại mô hình).
    • Ổ cứng: 50 GB SSD.
    • GPU: Hỗ trợ CUDA (NVIDIA GTX 1660 trở lên hoặc T4 trên Cloud) giúp tăng tốc độ suy luận BERT.
  • Môi trường phần mềm:
    • Hệ điều hành: Ubuntu Server 22.04 LTS / Debian 12.
    • Python 3.10+, pip, virtualenv.
    • Cài đặt các gói phụ thuộc: pip install tensorflow transformers scikit-learn numpy.
  • Quy trình triển khai 3 bước:
    1. Bước 1: Dựng Reverse Proxy lắng nghe tại port 80/443 để bắt và chuyển tiếp gói tin Raw HTTP vào module xử lý.
    2. Bước 2: Nạp trọng số mô hình BERT Encoder và DQN Agent đã huấn luyện từ thư mục /weights.
    3. Bước 3: Khởi chạy tiến trình honeypot_core.py và theo dõi log cảnh báo tấn công qua giao diện console hoặc đẩy về Elasticsearch/Grafana.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  1. Phụ thuộc vào dữ liệu huấn luyện khởi tạo: Khả năng sinh phản hồi phụ thuộc vào độ phủ của tập dữ liệu thu thập ban đầu từ ứng dụng web đích. Nếu ứng dụng có quá nhiều API động phức tạp, cần thời gian quét dữ liệu lâu hơn.
  2. Giới hạn độ dài chuỗi của BERT: Kích thước đầu vào chuẩn của BERT bị giới hạn ở 512 tokens. Đối với các file upload độc hại có kích thước lớn hoặc payload chèn trong multipart-form phức tạp, chuỗi dữ liệu buộc phải cắt tỉa (truncate), làm giảm một phần ngữ cảnh.
  3. Chưa xử lý lưu lượng mã hóa đa tầng: Các payload bị mã hóa nhiều lớp (Base64 lồng Gzip) cần module giải mã chuyên dụng trước khi đưa vào Tokenizer.

Hướng phát triển trong tương lai

  • Ứng dụng Large Language Models (LLMs): Nghiên cứu tích hợp các mô hình ngôn ngữ lớn gọn nhẹ (như Llama-3-8B hoặc Mistral-7B qua kỹ thuật LoRA/Quantization) để sinh trực tiếp mã HTML/JSON phản hồi động cho kẻ tấn công thay vì lựa chọn từ tập mẫu.
  • Học tăng cường trực tuyến liên tục (Continuous Online RL): Cho phép DQN Agent cập nhật trọng số trực tiếp theo thời gian thực (Real-time updates) ngay khi đang tương tác với kẻ tấn công ngoài môi trường Internet.
  • Mở rộng hỗ trợ HTTP/2 và WebSocket: Tăng cường khả năng giải mã và xử lý các giao thức web thời gian thực hiện đại.

Đối tượng hưởng lợi

+───────────────────────────────────────────────────────────────────────────────+
|                           MA TRẬN ĐỐI TƯỢNG HƯỞNG LỢI                          |
+──────────────────────────+────────────────────────────────────────────────────+
| Nhóm đối tượng           | Giá trị thực tiễn và Định lượng lợi ích             |
+──────────────────────────+────────────────────────────────────────────────────+
| **Sinh viên & Học viên** | - Tài liệu tham khảo toàn diện về tích hợp AI trong|
|                          |   An toàn thông tin.                               |
|                          | - Hiểu sâu về kiến trúc BERT, MDP và Q-Learning.   |
+──────────────────────────+────────────────────────────────────────────────────+
| **Kỹ sư Bảo mật / SOC**  | - Công cụ mồi bẫy an toàn 100%, không lo rủi ro bị |
|                          |   chiếm quyền điều khiển.                          |
|                          | - Giảm 75% chi phí tài nguyên phần cứng vận hành.  |
+──────────────────────────+────────────────────────────────────────────────────+
| **Doanh nghiệp & Startup**| - Giải pháp phòng thủ chủ động chi phí thấp.      |
|                          | - Tự động thu thập Threat Intelligence đặc thù     |
|                          |   cho hệ thống nghiệp vụ của doanh nghiệp.         |
+──────────────────────────+────────────────────────────────────────────────────+
| **Nhà nghiên cứu AI/Sec**| - Phương pháp luận mới kết hợp NLP + DRL trong an  |
|                          |   ninh mạng; dữ liệu thực nghiệm được lượng hóa.   |
+──────────────────────────+────────────────────────────────────────────────────+

Câu hỏi thường gặp

1. Hệ thống có yêu cầu phần cứng chuyên dụng hay GPU đắt tiền để vận hành không?

Trong giai đoạn vận hành thực tế (Inference), mô hình hoàn toàn có thể chạy mượt mà trên CPU thông thường (4 cores, 8GB RAM) với độ trễ phản hồi chỉ từ 15–40 ms. GPU chỉ cần thiết trong giai đoạn huấn luyện ban đầu (Fine-tuning BERT và DQN) nhằm rút ngắn thời gian hội tụ.

2. Nếu kẻ tấn công phát hiện đây là Honeypot thì sao?

Nhờ vào khả năng biểu diễn ngữ cảnh của BERT và tính thích ứng linh hoạt của DQN, hệ thống không trả về các lỗi mặc định cứng nhắc (như 404 tĩnh của Low-interaction). Thay vào đó, nó phản hồi mã lỗi 200/500/SQL syntax error hoàn toàn tương thích với logic của ứng dụng OpenSourcePOS, khiến các công cụ quét tự động và chuyên gia pentest không thể phân biệt được với hệ thống thật.

3. Honeypot này có thể bị kẻ tấn công khai thác để tấn công sang máy chủ khác không?

Hoàn toàn không. Hệ thống không vận hành bất kỳ backend, mã PHP hay database thực sự nào trong quá trình bẫy kẻ tấn công. Mọi phản hồi đều là dữ liệu giả lập được sinh ra từ không gian véc-tơ, do đó kẻ tấn công không có môi trường thực thi lệnh để thực hiện kỹ thuật leo thang đặc quyền hay di chuyển ngang (lateral movement).

4. Quy trình bảo trì và cập nhật dữ liệu cho Honeypot diễn ra như thế nào?

Khi ứng dụng web mục tiêu có các tính năng mới, quản trị viên chỉ cần sử dụng Burp Suite để duyệt qua các chức năng mới, xuất file dữ liệu qua tiện ích Burp Dump và kích hoạt script huấn luyện bổ sung (Incremental Training) để cập nhật từ điển và trọng số cho mô hình.

5. Chi phí triển khai giải pháp này so với việc mua Honeypot thương mại ra sao?

Giải pháp được xây dựng hoàn toàn trên các công nghệ mã nguồn mở (Python, TensorFlow, HuggingFace, XAMPP), giúp doanh nghiệp tiết kiệm 100% chi phí bản quyền phần mềm so với các giải pháp Honeypot thương mại đắt đỏ (thường có giá hàng chục nghìn USD mỗi năm).

Kết luận

Khóa luận tốt nghiệp của tác giả Phạm Trần Thanh Quang đã giải quyết xuất sắc bài toán cân bằng giữa tính chân thực cao và tính an toàn tối ưu tài nguyên trong việc xây dựng hệ thống Web Honeypot. Bằng cách kết hợp đột phá giữa mô hình ngôn ngữ BERT để trích xuất ngữ nghĩa gói tin HTTP và mô hình Học tăng cường sâu (DQN) để đưa ra phản hồi thích ứng cho các mẫu tấn công chưa biết, nghiên cứu đã mở ra một hướng tiếp cận đầy triển vọng cho lĩnh vực an ninh mạng chủ động.

Kết quả thực nghiệm trên ứng dụng OpenSourcePOS chứng minh hệ thống đạt độ chính xác nhận diện yêu cầu trên 96%, tỷ lệ phản hồi hợp lệ cho payload mới đạt 88.4%, đồng thời giảm hơn 75% chi phí tài nguyên phần cứng. Đây không chỉ là một công trình nghiên cứu học thuật xuất sắc tại Khoa Mạng máy tính và Truyền thông – Trường ĐH Công nghệ Thông tin (ĐHQG-HCM), mà còn là một sản phẩm thực tế có giá trị ứng dụng cao cho các doanh nghiệp và trung tâm giám sát an ninh mạng hiện đại.