Nâng cao hiệu năng hệ thống phát hiện xâm nhập mạng bằng máy học

LỜI CAM ĐOAN

1. CHƯƠNG 1: GIỚI THIỆU ĐỀ TÀI

1.1. Tính cấp thiết của đề tài nghiên cứu

1.2. Đối tượng và phạm vi nghiên cứu

1.2.1. Đối tượng nghiên cứu

1.2.2. Phạm vi nghiên cứu

1.3. Mục đích của đề tài. Nhiệm vụ của luận văn

1.4. Phương pháp nghiên cứu

1.5. Ý nghĩa khoa học và thực tiễn của luận văn

1.5.1. Ý nghĩa khoa học

1.5.2. Ý nghĩa thực tiễn

1.6. Cấu trúc của luận văn

2. CÁC KỸ THUẬT MÁY HỌC

2.1. Các kỹ thuật máy học đơn

2.1.1. Máy véc-tơ hỗ trợ

2.1.2. Mạng nơ-ron nhân tạo

2.1.3. Cây quyết định

2.1.4. K láng giềng gần nhất

2.1.5. Hồi quy logistic

2.2. Các kỹ thuật máy học kết hợp

2.3. Các kỹ thuật học sâu (deep learning)

2.3.1. Bộ mã tự động - Autoencoder

2.3.2. Mạng nơ-ron tích chập (Convolutional Neural Network - CNN)

2.3.3. Mạng nơ-ron hội quy (Recurrent Neural Network - RNN)

3. TẬP DỮ LIỆU SỬ DỤNG CHO CÁC IDS

4. CHỈ SỐ ĐÁNH GIÁ HIỆU NĂNG CÁC IDS

5. CÁC NGHIÊN CỨU HIỆN NAY VỀ MÁY HỌC CHO IDS

5.1. Các nghiên cứu trong nước

5.2. Một số nghiên cứu ngoài nước

5.3. Một số nhận xét và các tồn tại cần nghiên cứu

6. CÁC GIẢI PHÁP ĐỀ XUẤT

6.1. Sử dụng các kỹ thuật học truyền thống

6.2. Sử dụng các kỹ thuật học sâu

6.3. Sử dụng các kỹ thuật kết hợp

6.3.1. Kỹ thuật kết hợp đồng nhất

6.3.2. Kỹ thuật kết hợp không đồng nhất

7. KẾT QUẢ THỬ NGHIỆM

7.1. Môi trường thực nghiệm

7.2. Tập dữ liệu

7.3. Tiền xử lý dữ liệu

7.4. Sử dụng các kỹ thuật học truyền thống

7.4.1. Thuật toán Cây quyết định

7.4.2. Thuật toán Naïve Bayes

7.4.3. Thuật toán k láng giềng gần nhất

7.4.4. Thuật toán Hồi quy logistic

7.4.5. Thuật toán Máy véc-tơ hỗ trợ

7.4.6. Thuật toán Mạng nơ-ron

7.5. Sử dụng kỹ thuật học sâu

7.5.1. Kiến trúc lớp ẩn dùng BatchNormalization

7.5.2. Kiến trúc lớp ẩn dùng DenseLayer

7.5.3. Kiến trúc lớp ẩn dùng LSTM

7.6. Sử dụng kỹ thuật kết hợp

7.6.1. Kỹ thuật kết hợp đồng nhất

7.6.2. Kỹ thuật kết hợp Boosting

7.6.3. Kỹ thuật kết hợp Bagging

7.6.4. Kỹ thuật kết hợp Stacking

7.6.5. Kỹ thuật kết hợp Voting

7.6.6. Kỹ thuật kết hợp Random Forest

7.6.7. Kỹ thuật kết hợp không đồng nhất

7.6.7.1. Kỹ thuật kết hợp Voting

7.6.7.2. Kỹ thuật kết hợp Stacking

7.7. Tổng hợp kết quả

7.8. Đánh giá các thuật toán sử dụng đánh giá chéo 10-fold

7.8.1. Kiểu tấn công Normal (phát hiện tấn công)

7.8.2. Kiểu tấn công Backdoor

7.8.3. Kiểu tấn công Analysis

7.8.4. Kiểu tấn công Fuzzers

7.8.5. Kiểu tấn công Shellcode

7.8.6. Kiểu tấn công Reconnaissance

7.8.7. Kiểu tấn công Exploits

7.8.8. Kiểu tấn công Worms

7.8.9. Kiểu tấn công Generic

7.8.10. Kiểu tấn công DoS

7.9. Đánh giá các thuật toán sử dụng Tập kiểm tra

7.9.1. Kiểu tấn công Normal

7.9.2. Kiểu tấn công Backdoor

7.9.3. Kiểu tấn công Analysis

7.9.4. Kiểu tấn công Fuzzers

7.9.5. Kiểu tấn công Shellcode

7.9.6. Kiểu tấn công Reconnaissance

7.9.7. Kiểu tấn công Exploits

7.9.8. Kiểu tấn công Worms

7.9.9. Kiểu tấn công Generic

7.9.10. Kiểu tấn công DoS

7.10. Kết quả tổng hợp

TÀI LIỆU THAM KHẢO

I. Giới thiệu về hệ thống phát hiện xâm nhập mạng

Hệ thống phát hiện xâm nhập mạng (IDS) là một phần quan trọng trong an ninh mạng, có chức năng giám sát và phân tích hành vi của hệ thống để phát hiện các hành vi xâm nhập trái phép. Các hệ thống này có thể được phân loại thành hai loại chính: dựa trên máy chủ và dựa trên mạng. Việc phát hiện xâm nhập không chỉ giúp bảo vệ thông tin mà còn giảm thiểu thiệt hại do các cuộc tấn công gây ra. Theo nghiên cứu, việc áp dụng các kỹ thuật máy học vào IDS có thể nâng cao hiệu năng phát hiện xâm nhập, giảm tỷ lệ báo động sai và cải thiện khả năng phát hiện các cuộc tấn công chưa biết.

1.1. Tính cấp thiết của việc nâng cao hiệu năng IDS

Trong bối cảnh mạng ngày càng phát triển, an ninh mạng trở thành một vấn đề cấp bách. Các cuộc tấn công mạng ngày càng tinh vi, đòi hỏi các hệ thống phát hiện xâm nhập phải có khả năng phát hiện nhanh chóng và chính xác. Việc sử dụng máy học trong IDS không chỉ giúp cải thiện khả năng phát hiện mà còn giúp hệ thống tự động hóa quá trình phân tích và phản hồi. Điều này đặc biệt quan trọng trong việc bảo vệ các hệ thống thông tin nhạy cảm khỏi các mối đe dọa tiềm ẩn.

II. Các kỹ thuật máy học trong IDS

Các kỹ thuật máy học được áp dụng trong hệ thống phát hiện xâm nhập mạng bao gồm các phương pháp học đơn, học kết hợp và học sâu. Kỹ thuật học đơn như Cây quyết định, k láng giềng gần nhất, và Máy véc-tơ hỗ trợ đã được chứng minh là hiệu quả trong việc phát hiện các mẫu tấn công. Kỹ thuật học kết hợp như Boosting và Bagging giúp cải thiện độ chính xác của các mô hình. Học sâu, với các kiến trúc như Mạng nơ-ron tích chập (CNN) và Mạng nơ-ron hồi quy (RNN), cho phép phát hiện các mẫu phức tạp hơn trong dữ liệu lớn.

2.1. Kỹ thuật học đơn

Kỹ thuật học đơn là những phương pháp cơ bản trong máy học, bao gồm Cây quyết định, k láng giềng gần nhất, và Hồi quy logistic. Những kỹ thuật này thường dễ triển khai và có thể đạt được kết quả tốt trong nhiều tình huống. Tuy nhiên, chúng có thể gặp khó khăn trong việc phát hiện các cuộc tấn công phức tạp. Do đó, việc kết hợp các kỹ thuật này với nhau hoặc với các phương pháp học sâu có thể mang lại hiệu quả cao hơn trong việc phát hiện xâm nhập.

2.2. Kỹ thuật học sâu

Học sâu là một lĩnh vực đang phát triển mạnh mẽ trong máy học, với khả năng xử lý và phân tích dữ liệu lớn. Các kiến trúc như CNN và RNN cho phép hệ thống phát hiện xâm nhập nhận diện các mẫu tấn công phức tạp hơn. Việc áp dụng học sâu vào IDS không chỉ giúp cải thiện độ chính xác mà còn tăng cường khả năng phát hiện các cuộc tấn công chưa biết, từ đó nâng cao hiệu năng của hệ thống.

III. Đánh giá hiệu năng của hệ thống phát hiện xâm nhập

Để đánh giá hiệu năng của các hệ thống phát hiện xâm nhập, các chỉ số như F-Measure, Precision và Recall được sử dụng. F-Measure là chỉ số quan trọng, thể hiện sự cân bằng giữa độ chính xác và khả năng thu hồi. Việc sử dụng tập dữ liệu UNSW-NB cho thấy các kỹ thuật kết hợp thường cho kết quả tốt nhất trong việc phát hiện các mẫu tấn công. Điều này cho thấy rằng việc áp dụng các phương pháp học máy có thể cải thiện đáng kể hiệu năng của IDS.

3.1. Chỉ số đánh giá hiệu năng

Chỉ số F-Measure được tính toán dựa trên độ chính xác và khả năng thu hồi, giúp đánh giá hiệu quả của các mô hình phát hiện xâm nhập. Việc sử dụng các chỉ số này không chỉ giúp xác định mô hình nào hoạt động tốt nhất mà còn cung cấp thông tin quan trọng cho việc cải thiện các hệ thống IDS trong tương lai. Các nghiên cứu cho thấy rằng các mô hình kết hợp thường đạt được điểm số cao hơn so với các mô hình đơn lẻ.

Luận văn thạc sĩ: Ứng dụng máy học để nâng cao hiệu năng hệ thống phát hiện xâm nhập mạng