Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh công nghệ thông tin phát triển nhanh chóng và công cuộc chuyển đổi số diễn ra trên quy mô lớn, lưu lượng thông tin luân chuyển trên mạng máy tính ngày càng tăng và chứa nhiều dữ liệu nhạy cảm. Sự gia tăng này làm lộ ra nhiều lỗ hổng bảo mật, tạo điều kiện cho các cuộc tấn công mạng diễn ra với tần suất cao và mức độ tinh vi ngày càng lớn, đe dọa trực tiếp đến tính bí mật, tính toàn vẹn và tính sẵn sàng (mô hình CIA) của hệ thống thông tin. Trước thực trạng đó, hệ thống phát hiện xâm nhập mạng (Network Intrusion Detection System - NIDS) đóng vai trò là giải pháp phòng thủ thiết yếu nhằm giám sát, thu thập và phân tích luồng gói tin để đưa ra cảnh báo kịp thời.

Tuy nhiên, các hệ thống NIDS truyền thống bộc lộ nhiều hạn chế:

  • Hệ thống NIDS dựa trên chữ ký (Signature-based NIDS): Phụ thuộc vào cơ sở dữ liệu mẫu dấu hiệu tấn công đã biết, đòi hỏi chi phí phân tích lớn và không thể nhận diện được các cuộc tấn công mới hoặc tấn công chưa từng biết (zero-day).
  • Hệ thống NIDS dựa trên phát hiện bất thường truyền thống (Anomaly-based NIDS): Thường ghi nhận tỷ lệ cảnh báo sai (báo động giả) ở mức cao.

Việc ứng dụng các kỹ thuật học máy (Machine Learning - ML) và học sâu (Deep Learning - DL) vào NIDS đã nâng cao năng lực tự động phát hiện xâm nhập. Dù vậy, các mô hình học sâu có giám sát đòi hỏi một lượng lớn dữ liệu đã được gán nhãn để đạt hiệu năng tối ưu. Trong thực tế, việc thu thập và gán nhãn dữ liệu cho các dạng tấn công mới tốn nhiều thời gian, chi phí và nhân lực chuyên gia. Hơn nữa, mô hình học sâu huấn luyện trên một miền mạng cụ thể khó duy trì độ chính xác khi triển khai sang môi trường mạng khác (như mạng IoT) do sự sai khác về không gian đặc trưng và phân phối thuộc tính. Các rào cản về quyền riêng tư và bảo mật dữ liệu cũng ngăn cản các tổ chức chia sẻ dữ liệu tấn công, dẫn đến tình trạng khan hiếm dữ liệu có nhãn ở môi trường mới.

Để giải quyết vấn đề này, tác giả xác định các mục tiêu và nhiệm vụ nghiên cứu cụ thể:

  1. Nghiên cứu cơ sở lý thuyết và tái lập mô hình mạng sinh đối kháng thích ứng miền (Domain-Adversarial Adaptation Generative Adversarial Network - DAGAN) dựa trên nghiên cứu của Singla và cộng sự, nhằm sinh mẫu dữ liệu đối kháng bất biến theo miền để giảm chênh lệch phân phối giữa miền nguồn và miền đích khi miền đích có rất ít dữ liệu được gán nhãn.
  2. Đề xuất mô hình cải tiến Attention-DAGAN, tích hợp mô-đun trích xuất đặc trưng đa góc nhìn kết hợp cơ chế Attention nhằm tách biệt và bảo toàn thông tin phân loại nhãn và thông tin phân biệt miền, giải quyết tình trạng triệt tiêu thông tin trong mô hình DAGAN gốc.
  3. Thử nghiệm các kiến trúc mạng nơ-ron khác nhau (CNN, CNN-BiLSTM, GRU) trong bộ trích xuất đặc trưng đa góc nhìn để so sánh và tối ưu hóa hiệu năng phân loại.

Đối tượng nghiên cứu: Lưu lượng dữ liệu mạng, hệ thống phát hiện xâm nhập mạng (NIDS), mạng sinh đối kháng (GAN), mạng Autoencoder, các mô hình nơ-ron nhân tạo (CNN, LSTM, GRU), kỹ thuật học chuyển tiếp (Transfer Learning) và thích ứng miền (Domain Adaptation).

Phạm vi nghiên cứu: Thiết kế và huấn luyện mô hình NIDS kết hợp GAN, kỹ thuật thích ứng miền và cơ chế Attention; thực nghiệm đánh giá trên hai bộ dữ liệu chuẩn gồm UNSW-NB15 (đóng vai trò miền nguồn) và CIC-IDS2017 (đóng vai trò miền đích) trong các kịch bản tỷ lệ dữ liệu gán nhãn ở miền đích biến thiên từ 1% đến 80%.

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng trên các nền tảng lý thuyết và mô hình chuyên ngành an toàn thông tin và trí tuệ nhân tạo:

  • Hệ thống phát hiện xâm nhập (IDS): Phân loại theo vị trí triển khai gồm Host-based IDS (HIDS - giám sát mức thiết bị đầu cuối, tiến trình, hệ thống tập tin) và Network-based IDS (NIDS - giám sát lưu lượng toàn mạng, hoạt động ở chế độ Promiscuous thụ động hoặc Inline chủ động/IPS). Phân loại theo phương pháp phát hiện gồm Signature-based IDS và Anomaly-based IDS (trong đó có ML-based IDS).
  • Học sâu và Mạng Autoencoder: Sử dụng mạng nơ-ron nhân tạo sâu với cơ chế học không giám sát. Autoencoder gồm 3 thành phần: Encoder (nén dữ liệu đầu vào thành biểu diễn mã hóa rút gọn), Bottleneck (lớp thắt chứa các đặc trưng cốt lõi giúp chống quá khớp), và Decoder (giải mã và tái thiết lập dữ liệu về không gian gốc). Autoencoder được ứng dụng để thực hiện đẳng cấu hóa không gian đặc trưng.
  • Học chuyển tiếp (Transfer Learning) và Thích ứng miền (Domain Adaptation): Phân loại Transfer Learning thành Quy nạp (Inductive), Diễn dịch (Transductive) và Không giám sát (Unsupervised). Kỹ thuật thích ứng miền (DA) là trường hợp đặc biệt của Transductive Transfer Learning, nhằm thu hẹp khoảng cách phân phối giữa miền nguồn (Source domain $D_s$) và miền đích (Target domain $D_t$). Thích ứng miền đối kháng (Adversarial DA) sử dụng cơ chế GAN để học các biểu diễn đặc trưng bất biến theo miền.
  • Mạng sinh đối kháng (GAN): Kiến trúc đối kháng hai thành phần gồm Generator (bộ sinh, học cách tạo ra các mẫu biểu diễn dữ liệu giống thật) và Discriminator (bộ phân biệt, đánh giá tính xác thực của dữ liệu và xác định nguồn gốc miền dữ liệu), hoạt động theo nguyên lý trò chơi có tổng bằng không để đạt trạng thái cân bằng.
  • Các nghiên cứu liên quan: Kế thừa khung DANN của Ganin và cộng sự, mô hình DAGAN của Singla và cộng sự, cùng mô hình IADA của Chen và cộng sự về việc xử lý hiện tượng trộn lẫn thông tin đặc trưng qua cơ chế trích xuất đa góc nhìn và Attention.

Phương pháp nghiên cứu thực nghiệm được tiến hành qua các giai đoạn:

  1. Tiền xử lý dữ liệu thô, loại bỏ bản ghi không hợp lệ, chuẩn hóa thuộc tính.
  2. Đẳng cấu hóa không gian đặc trưng giữa hai bộ dữ liệu bằng mạng Autoencoder để đồng nhất kích thước chiều thuộc tính.
  3. Xây dựng và tối ưu hóa các hàm mất mát cho Generator và Discriminator.
  4. Triển khai các kịch bản thực nghiệm với tỷ lệ dữ liệu miền đích khác nhau trên nền tảng tính toán hiệu năng cao.

Nguồn dữ liệu sử dụng trong nghiên cứu gồm:

  • UNSW-NB15: Tạo bởi công cụ IXIA PerfectStorm, chứa 42 thuộc tính biểu diễn lưu lượng mạng đa dạng ngữ cảnh tấn công.
  • CIC-IDS2017: Dữ liệu lưu lượng mạng gán nhãn hiện đại, trích xuất 78 thuộc tính bằng công cụ CICFlowMeter.

Thiết kế và triển khai

Hệ thống được thiết kế theo các mô-đun chức năng với cấu trúc nơ-ron và thuật toán huấn luyện chi tiết:

1. Mô-đun Đẳng cấu hóa không gian đặc trưng bằng Autoencoder

Nhằm giải quyết sự sai khác về số lượng thuộc tính giữa miền nguồn (42 thuộc tính) và miền đích (78 thuộc tính), mô hình Autoencoder nhiều lớp được thiết kế để nén không gian đặc trưng của cả hai miền về cùng một số chiều $F$, giảm hiện tượng quá khớp (overfitting).

Tầng mạng (Layer) Số lượng nơ-ron Hàm kích hoạt (Activation)
Lớp đầu vào (Input) input_dim Sigmoid
Fully Connected 1 $M$ ReLU
Fully Connected 2 $M // 2$ ReLU
Fully Connected 3 $M // 4$ ReLU
Fully Connected 4 $M // 8$ ReLU
Bottleneck (Encoder Output) $F$ ReLU
Fully Connected 5 $M // 8$ ReLU
Fully Connected 6 $M // 4$ ReLU
Fully Connected 7 $M // 2$ ReLU
Fully Connected 8 $M$ ReLU
Lớp đầu ra (Decoder Output) input_dim Sigmoid

2. Mô hình DAGAN

Kiến trúc DAGAN chuẩn gồm Generator và Discriminator xây dựng bằng các lớp kết nối đầy đủ (Fully Connected) kết hợp lớp chuẩn hóa theo lô (Batch Normalization):

  • Generator: Tiếp nhận dữ liệu sau tiền xử lý, thực hiện ánh xạ sang không gian phân phối chung và phân loại tấn công/lành tính.
    • Lớp đầu vào: input_dim
    • 3 khối ẩn: FC(M) + BatchNorm + ReLU, FC(M//2) + BatchNorm + ReLU, FC(M//4) + BatchNorm + ReLU
    • Đầu ra 1 (Dự đoán nhãn - Class Prediction): FC(1, Sigmoid)
    • Đầu ra 2 (Đặc trưng ánh xạ): Vector chiều $M // 4$
  • Discriminator: Tiếp nhận vector đặc trưng ánh xạ từ Generator để phân biệt miền nguồn hay miền đích.
    • Lớp đầu vào: $M // 4$
    • 3 khối ẩn: FC(N) + BatchNorm + ReLU, FC(N//2) + BatchNorm + ReLU, FC(N//4) + BatchNorm + ReLU
    • Đầu ra (Dự đoán miền - Domain Prediction): FC(1, Sigmoid)

Hàm mất mát và thuật toán tối ưu:

  • Hàm mất mát trên miền ($L_{domain}$) tại Discriminator: $$L_{domain} = -\mathbb{E}{x_s \sim D_s}[\log D(G(x_s))] - \mathbb{E}{x_t \sim D_t}[\log(1 - D(G(x_t)))]$$
  • Hàm mất mát phân loại nhãn ($L_{class}$) tại Generator: Tính theo Cross-Entropy giữa nhãn dự đoán và nhãn thực tế của lưu lượng.
  • Hàm mất mát tổng hợp tại Generator: $$L_G = \frac{1}{2} [L_{class} + L_{domain}]$$ Quá trình huấn luyện sử dụng thuật toán tối ưu Adam để luân phiên cập nhật trọng số giữa Generator và Discriminator theo từng batch dữ liệu.

3. Mô hình cải tiến Attention-DAGAN

Mô hình Attention-DAGAN khắc phục hạn chế truyền tải thông tin của DAGAN bằng hai khối thành phần bổ sung:

  • Bộ trích xuất đặc trưng đa góc nhìn (Multi-view Feature Extractor): Dữ liệu nguồn và đích được mở rộng thuộc tính qua lớp Fully Connected thành ma trận $V \times N$, sau đó đưa qua các khối trích xuất chuyên biệt:
    • Biến thể CNN: Gồm các tầng Conv1D (filters lần lượt là $M, M \times 2, M \times 4$, kích thước kernel $N$, kích hoạt tanh), xen kẽ các lớp MaxPooling1D (pool size = 2) và lớp kích hoạt sigmoid, kết thúc bằng các lớp FC(128, tanh), FC(64, tanh) và FC(32, softmax).
    • Biến thể CNN-BiLSTM: Kết hợp khối tích chập 1 chiều với các tầng LSTM hai chiều (Bidirectional LSTM) nhằm nắm bắt quan hệ phụ thuộc chuỗi thuộc tính.
    • Biến thể GRU: Sử dụng mạng Fully Connected nén (FC(128, tanh), FC(64, tanh), FC(32, softmax)) kết hợp các đơn vị Gated Recurrent Unit (GRU).
  • Mô-đun Attention: Tạo ra hai vector trọng số riệng biệt để lọc và nhấn mạnh đặc trưng theo từng tác vụ: một nhánh phục vụ dự đoán nhãn tấn công và một nhánh phục vụ phân biệt miền.
Tầng mạng mô-đun Attention Số lượng nơ-ron Hàm kích hoạt
Fully Connected 1 input_dim / reduction_ratio ReLU
Fully Connected 2 input_dim Sigmoid

4. Thiết lập môi trường thực nghiệm

Môi trường huấn luyện và kiểm thử được triển khai trên nền tảng Google Colab với cấu hình phần cứng và phần mềm cụ thể:

Thành phần phần cứng Thông số kỹ thuật
Bộ xử lý trung tâm (CPU) Intel(R) Xeon(R) CPU @ 2.20GHz (6 nhân, 12 luồng)
Bộ xử lý đồ họa (GPU) NVIDIA A100-SXM4-40GB (Bộ nhớ GPU: 40 GB)
Bộ nhớ hệ thống (RAM) 83 GB
Ổ đĩa lưu trữ (Disk) 170 GB

Hệ thống phần mềm và thư viện sử dụng: Ngôn ngữ lập trình Python 3, nền tảng TensorFlow, Keras, Pandas, Scikit-learn, Imbalanced-learn và Matplotlib.

Nội dung chính theo từng chương

Chương 1. TỔNG QUAN ĐỀ TÀI

Chương 1 thiết lập bối cảnh thực tiễn của an toàn thông tin trong kỷ nguyên chuyển đổi số và lưu lượng mạng quy mô lớn. Tác giả phân tích các hạn chế cố hữu của hệ thống phát hiện xâm nhập truyền thống (Signature-based và Anomaly-based) trước các cuộc tấn công mới và zero-day. Chương này làm rõ tính cấp thiết của đề tài trong việc giải quyết bài toán thiếu hụt dữ liệu gán nhãn cho tấn công mới trên các hệ thống NIDS học sâu, xác định rõ mục tiêu nghiên cứu, đối tượng, phạm vi và bố cục 5 chương của khóa luận.

Chương 2. CƠ SỞ LÝ THUYẾT

Chương 2 cung cấp hệ thống lý thuyết nền tảng cho toàn bộ nghiên cứu:

  • Trình bày kiến trúc NIDS/HIDS, phân tích chế độ hoạt động Promiscuous và Inline.
  • Tổng quan các nhóm phương pháp học máy (Học có giám sát, Không giám sát, Bán giám sát, Học tăng cường) và học sâu.
  • Phân tích chi tiết cấu trúc mạng Autoencoder (Encoder, Bottleneck, Decoder) ứng dụng trong giảm chiều dữ liệu.
  • Phân tích các phân loại của Transfer Learning (Inductive, Transductive, Unsupervised), làm rõ cơ chế của Domain Adaptation và Adversarial Domain Adaptation.
  • Trình bày nguyên lý hoạt động của Mạng sinh đối kháng (GAN) cùng các ứng dụng thực tế.
  • Khảo sát các công trình liên quan trực tiếp: nghiên cứu của Ganin và cộng sự (mô hình DANN), Singla và cộng sự (mô hình DAGAN cho NIDS), Chen và cộng sự (mô hình IADA), cùng các công trình của Wengang (FIADDA cho mạng IoT) và Tzeng và cộng sự.

Chương 3. PHƯƠNG PHÁP THỰC HIỆN

Chương 3 trình bày chi tiết kiến trúc kỹ thuật và giải pháp toán học của các mô hình:

  • Trình bày phương pháp đẳng cấu hóa không gian đặc trưng bằng Autoencoder để đồng nhất kích thước dữ liệu giữa hai miền $D_s$ và $D_t$.
  • Trình bày cấu trúc chi tiết của mô hình DAGAN chuẩn, bao gồm thiết kế các lớp Fully Connected và Batch Normalization trong Generator và Discriminator.
  • Thiết lập công thức toán học cho hàm mất mát miền ($L_{domain}$), hàm mất mát lớp ($L_{class}$), hàm mất mát tổng hợp $L_G$ và thuật toán huấn luyện đối kháng luân phiên.
  • Đề xuất mô hình cải tiến Attention-DAGAN, phân tích cơ chế giải quyết xung đột giữa ba luồng thông tin (thông tin đặc trưng, thông tin nhãn, thông tin liên miền).
  • Thiết kế chi tiết các khối trích xuất đặc trưng đa góc nhìn sử dụng CNN 1 chiều, CNN kết hợp BiLSTM, và GRU, cùng cấu trúc nơ-ron của khối Attention hai nhánh.

Chương 4. HIỆN THỰC VÀ ĐÁNH GIÁ, THẢO LUẬN

Chương 4 tập trung vào quy trình hiện thực hóa mô hình và thực nghiệm đánh giá:

  • Mô tả môi trường tính toán Google Colab với phần cứng GPU NVIDIA A100 40GB, CPU Xeon và các thư viện chuyên dụng.
  • Thống kê chi tiết phân bố các lớp tấn công trong tập dữ liệu UNSW-NB15 và CIC-IDS2017.
  • Thiết lập quy trình tiền xử lý, chuẩn hóa và cân bằng dữ liệu.
  • Xây dựng kịch bản thực nghiệm huấn luyện với tỷ lệ dữ liệu gán nhãn ở miền đích biến thiên theo các mức: 1%, 2%, 5%, 10%, 20%, 40%, 60%, 80%.
  • Đo lường và so sánh hiệu năng của các mô hình (Base model, DAGAN, Attention-DAGAN-CNN, Attention-DAGAN-CNNBiLSTM, Attention-DAGAN-GRU) trên hai tập kiểm thử: tập dữ liệu thuần miền đích và tập dữ liệu hỗn hợp cả miền nguồn lẫn miền đích thông qua hai chỉ số chính là Độ chính xác (Accuracy) và F1-score.

Chương 5. KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN

Chương 5 đúc kết các kết quả đạt được của đề tài, khẳng định tính hiệu quả của phương pháp thích ứng miền và cơ chế Attention trong việc giải quyết bài toán thiếu hụt dữ liệu gán nhãn cho NIDS. Đồng thời, tác giả đề xuất các hướng mở rộng nghiên cứu trong tương lai nhằm nâng cao tính ứng dụng thực tế.

Kết quả và đóng góp

Khóa luận đã thực hiện phân tích và xử lý tập dữ liệu thực nghiệm UNSW-NB15 với quy mô 257.673 bản ghi, phân bố chi tiết theo từng loại lưu lượng:

STT Phân loại lưu lượng Số lượng bản ghi Phần trăm (%)
1 Normal (Lành tính) 93.000 36,0923
2 Generic 58.871 22,8472
3 Exploits 44.525 17,2797
4 Fuzzers 24.246 9,4096
5 DoS 16.353 6,3464
6 Reconnaissance 13.987 5,4282
7 Analysis 2.677 1,0389
8 Backdoor 2.329 0,9039
9 Shellcode 1.511 0,5900
Tổng 257.673 100,00

Các đóng góp chính của đề tài:

  • Về mặt phương pháp luận: Tái lập thành công mô hình DAGAN ứng dụng kỹ thuật thích ứng miền đối kháng cho bài toán NIDS, chứng minh khả năng chuyển giao tri thức từ tập dữ liệu có sẵn sang miền dữ liệu tấn công mới khi chỉ có rất ít mẫu có nhãn.
  • Về mặt kiến trúc mô hình: Đề xuất cải tiến mô hình Attention-DAGAN tích hợp khối trích xuất đặc trưng đa góc nhìn và cơ chế Attention. Kiến trúc này giải quyết triệt để vấn đề trộn lẫn và triệt tiêu giữa thông tin nhãn tấn công và thông tin phân biệt miền vốn tồn tại trong mô hình DAGAN truyền thống.
  • Về mặt kỹ thuật xử lý dữ liệu: Đề xuất giải pháp đẳng cấu hóa không gian đặc trưng bằng mạng Autoencoder, cho phép kết nối và chuyển đổi hai tập dữ liệu mạng có cấu trúc không gian thuộc tính hoàn toàn khác biệt (UNSW-NB15 với 42 thuộc tính và CIC-IDS2017 với 78 thuộc tính) về cùng một không gian nén thống nhất.
  • Về mặt thực nghiệm: Thực hiện đánh giá có hệ thống trên nhiều biến thể trích xuất đặc trưng (CNN, CNN-BiLSTM, GRU) qua chuỗi kịch bản tỷ lệ dữ liệu miền đích biến thiên từ rất nhỏ (1%, 2%) đến lớn (80%), đo lường đầy đủ trên cả miền đích độc lập và miền dữ liệu hỗn hợp.

Hạn chế và hướng nghiên cứu tiếp

Khóa luận nêu rõ các điểm hạn chế và định hướng phát triển:

  • Hạn chế:
    • Mô hình mới được thực nghiệm và đánh giá trên các bộ dữ liệu mô phỏng đóng (UNSW-NB15 và CIC-IDS2017), chưa được kiểm thử trên luồng lưu lượng mạng thực tế thời gian thực.
    • Quá trình huấn luyện nhiều mô-đun kết hợp (Autoencoder, GAN, Feature Extractor, Attention) đòi hỏi tài nguyên tính toán lớn và cấu hình siêu tham số phức tạp.
  • Hướng nghiên cứu tiếp:
    • Mở rộng đánh giá mô hình thích ứng miền trên các môi trường mạng đặc thù khác, đặc biệt là mạng Internet of Things (IoT) và mạng công nghiệp.
    • Tối ưu hóa tốc độ suy luận của mô hình để hướng tới khả năng triển khai thực tế trên các thiết bị giám sát mạng theo thời gian thực với độ trễ thấp.
    • Nghiên cứu các phương pháp thích ứng miền hoàn toàn không giám sát (Unsupervised Domain Adaptation) cho các biến thể tấn công chưa từng có nhãn.

Giá trị tham khảo

Công trình mang lại giá trị tham khảo chuyên môn đối với các nhóm đối tượng:

  • Sinh viên, học viên ngành An toàn thông tin, Mạng máy tính: Cung cấp tài liệu tham khảo chi tiết về cách xây dựng hệ thống phát hiện xâm nhập mạng thế hệ mới, ứng dụng học máy và học sâu trong giám sát an ninh mạng.
  • Người nghiên cứu lĩnh vực Trí tuệ nhân tạo và Thị giác máy tính/Xử lý dữ liệu: Tham khảo kiến trúc mạng sinh đối kháng kết hợp thích ứng miền (Adversarial Domain Adaptation), phương pháp đẳng cấu hóa không gian đặc trưng bằng Autoencoder và kỹ thuật trích xuất đặc trưng đa góc nhìn qua cơ chế Attention.
  • Các kỹ sư an ninh mạng: Tham khảo phương pháp giải quyết bài toán thiếu hụt dữ liệu gán nhãn khi phải huấn luyện mô hình nhận diện các loại hình tấn công mới xuất hiện trong hệ thống thực tế.

Câu hỏi thường gặp

1. Mục đích của việc sử dụng mạng Autoencoder để "đẳng cấu hóa không gian đặc trưng" trong khóa luận là gì?
Do hai bộ dữ liệu thực nghiệm có cấu trúc thuộc tính khác nhau (UNSW-NB15 có 42 thuộc tính, CIC-IDS2017 có 78 thuộc tính), mô hình GAN không thể tiếp nhận trực tiếp hai không gian đầu vào sai khác. Mạng Autoencoder được sử dụng để nén và ánh xạ không gian đặc trưng của cả hai bộ dữ liệu về cùng một số chiều thống nhất $F$, đồng thời giữ lại các đặc trưng cốt lõi và giảm thiểu hiện tượng quá khớp (overfitting).

2. Điểm cải tiến cốt lõi của mô hình Attention-DAGAN so với mô hình DAGAN gốc của Singla và cộng sự là gì?
Trong DAGAN gốc, Generator phải đảm nhiệm đồng thời cả việc trích xuất đặc trưng, ánh xạ miền và phân loại nhãn trên cùng một vector đặc trưng, khiến thông tin miền và thông tin nhãn bị trộn lẫn và triệt tiêu lẫn nhau khi dữ liệu mất cân bằng. Attention-DAGAN bổ sung khối trích xuất đặc trưng đa góc nhìn và mô-đun Attention hai nhánh để tạo ra hai vector trọng số tách biệt: một nhánh tối ưu cho bộ phân loại nhãn và một nhánh tối ưu cho Discriminator phân biệt miền.

3. Bộ trích xuất đặc trưng đa góc nhìn trong Attention-DAGAN được thử nghiệm với những cấu trúc nơ-ron nào?
Nghiên cứu đã thiết kế và thử nghiệm 3 cấu trúc mạng nơ-ron khác nhau gồm: Mạng nơ-ron tích chập 1 chiều (CNN), Mạng nơ-ron tích chập kết hợp mạng nơ-ron hồi quy hai chiều (CNN-BiLSTM), và Mạng đơn vị hồi quy có cổng (GRU).

4. Hai bộ dữ liệu UNSW-NB15 và CIC-IDS2017 đóng vai trò gì trong kịch bản thực nghiệm?
Bộ dữ liệu UNSW-NB15 đóng vai trò là dữ liệu miền nguồn ($D_s$), đại diện cho các mẫu lưu lượng tấn công đã biết với số lượng bản ghi lớn. Bộ dữ liệu CIC-IDS2017 đóng vai trò là dữ liệu miền đích ($D_t$), đại diện cho môi trường mạng mới với dữ liệu gán nhãn được đưa vào huấn luyện ở các tỷ lệ hạn chế từ 1% đến 80%.

5. Hàm mất mát huấn luyện Generator trong mô hình DAGAN được xác định như thế nào?
Hàm mất mát của Generator ($L_G$) là sự kết hợp trung bình giữa hàm mất mát phân loại nhãn ($L_{class}$) và hàm mất mát trên miền ($L_{domain}$): $L_G = \frac{1}{2} [L_{class} + L_{domain}]$, giúp Generator vừa học cách phân loại đúng hành vi tấn công, vừa tạo ra biểu diễn dữ liệu bất biến theo miền để đánh lừa Discriminator.

Kết luận

Khóa luận tốt nghiệp của tác giả Nguyễn Ngọc Thiện đã giải quyết bài toán khan hiếm dữ liệu gán nhãn trong hệ thống phát hiện xâm nhập mạng (NIDS) bằng cách tiếp cận học sâu kết hợp thích ứng miền. Nghiên cứu đã xây dựng thành công giải pháp đẳng cấu hóa không gian đặc trưng qua Autoencoder và đề xuất kiến trúc cải tiến Attention-DAGAN với các khối trích xuất đặc trưng đa góc nhìn (CNN, CNN-BiLSTM, GRU) cùng cơ chế Attention hai nhánh. Các kết quả thực nghiệm trên tập dữ liệu UNSW-NB15 và CIC-IDS2017 khẳng định mô hình có khả năng nâng cao hiệu quả phân loại tấn công mạng trong điều kiện dữ liệu miền đích có nhãn bị giới hạn. Công trình là tài liệu tham khảo có giá trị chuyên môn cao cho việc nghiên cứu và phát triển các hệ thống an ninh mạng thông minh.