Nghiên cứu phương pháp cải thiện khả năng phát hiện tấn công mạng dựa trên học máy

Khóa luận nghiên cứu phương pháp cải thiện khả năng kháng mẫu đối kháng cho các trình phát hiện tấn công mạng trong an toàn thông tin.

• Tác giả: Nguyen Dang Chau
• Người hướng dẫn: ThS. Đỗ Thị Thu Hiền
• Trường học: Đại học Công nghệ Thông tin - Đại học Quốc gia TP.HCM
• Chuyên ngành: Kỹ sư ngành An toàn thông tin
• Đề tài: Nâng cao khả năng phát hiện tấn công mạng bằng phương pháp học máy
• Loại tài liệu: khóa luận tốt nghiệp
• Năm xuất bản: 2023
• Địa điểm: TP.HCM

Mục lục chi tiết

• LỜI CẢM ƠN
• LỜI ĐẦU TIÊN
• 1. CHƯƠNG 1: TỔNG QUAN
• 1.1. Đặt vấn đề
• 1.2. Tổng quan các công trình nghiên cứu liên quan
• 1.3. Mục tiêu, đối tượng và phạm vi nghiên cứu
• 1.4. Cấu trúc Khóa luận tốt nghiệp
• 2. CHƯƠNG 2: KIẾN THỨC NỀN TẢNG
• 2.1. Hệ thống phát hiện xâm nhập IDS
• 2.2. Phương pháp phát hiện xâm nhập
• 2.2.1. Machine Learning, Deep Learning
• 2.2.2. Phân biệt Machine Learning và Deep Learning
• 2.2.3. Mạng sinh đối kháng (Generative Adversarial Networks)
• 2.3. Các mô hình phát hiện xâm nhập
• 2.3.1. Mô hình Stacked-LSTM
• 2.3.2. Mô hình CNN-LSTM
• 2.3.3. Mô hình Resnet50
• 2.3.4. Mô hình InceptionV3
• 2.3.5. Mô hình InceptionResnetV2
• 3. CHƯƠNG 3: PHƯƠNG PHÁP KHÁNG MẪU ĐỐI KHÁNG
• 3.1. Các phương pháp tạo mẫu đối kháng
• 3.1.1. Tạo mẫu đối kháng sử dụng WCGAN
• 3.1.2. Tạo mẫu đối kháng sử dụng các mô hình chuyển giao
• 3.2. Tạo mô hình kháng mẫu đối kháng
• 3.2.1. Tạo nhóm mô hình phát hiện
• 3.2.2. Phương pháp phát hiện
• 3.2.3. Thiết kế hệ thống phát hiện
• 4. CHƯƠNG 4: KẾT QUẢ THỰC NGHIỆM
• 4.1. Môi trường thực nghiệm
• 4.2. Dataset và Tiền xử lý dữ liệu
• 4.2.1. Đối với các mô hình AE, RNN, Machine Learning
• 4.2.2. Đối với các mô hình CNN
• 4.3. Hàm loss, các thông số đánh giá hiệu suất và tỷ lệ tấn công thành công
• 4.4. Kết quả thực nghiệm
• 4.4.1. Đánh giá độ chính xác của các mẫu đối kháng dùng trốn tính
• 4.4.2. Hiệu suất của các mô hình phát hiện xâm nhập sử dụng phân loại multiclass
• 4.4.2.1. Thực nghiệm với bộ NF-CSE-CIC-IDS2018
• 4.4.2.2. Thực nghiệm với các mẫu đối kháng
• 4.4.3. Hiệu suất của các mô hình phát hiện xâm nhập sử dụng phân loại binary
• 4.4.3.1. Thực nghiệm với bộ NF-CSE-CIC-IDS2018
• 4.4.3.2. Thực nghiệm với các mẫu đối kháng
• 4.4.4. Hiệu suất của các mô hình học máy gốc được tích hợp trong mô hình của tác giả
• 4.4.5. Hiệu suất của các mô hình phát hiện xâm nhập và mô hình tác giả để xuất sử dụng phân loại binary
• 5. CHƯƠNG 5: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• 5.1. Kết luận
• 5.2. Hướng phát triển
• TÀI LIỆU THAM KHẢO
• DANH SÁCH HÌNH VẼ
• DANH SÁCH BẢNG
• DANH MỤC TỪ VIẾT TẮT
• DANH MỤC TỪ TẠM DỊCH
• TÓM TẮT KHÓA LUẬN

Tóm tắt

I. Tổng quan về nâng cao khả năng phát hiện tấn công mạng

Trong bối cảnh an ninh mạng ngày càng trở nên phức tạp, việc nâng cao khả năng phát hiện tấn công mạng là một nhiệm vụ cấp thiết. Các phương pháp học máy đã được áp dụng để cải thiện hiệu quả phát hiện tấn công, giúp các hệ thống an ninh mạng trở nên thông minh hơn. Việc sử dụng các mô hình học máy không chỉ giúp phát hiện các mẫu tấn công mới mà còn tăng cường khả năng chống lại các cuộc tấn công tinh vi.

1.1. Tầm quan trọng của việc phát hiện tấn công mạng

Phát hiện tấn công mạng là một phần quan trọng trong chiến lược bảo mật thông tin. Các cuộc tấn công ngày càng tinh vi, đòi hỏi các hệ thống phát hiện phải có khả năng nhận diện nhanh chóng và chính xác. Việc áp dụng học máy trong phát hiện tấn công giúp cải thiện đáng kể khả năng này.

1.2. Các công nghệ học máy trong an ninh mạng

Các công nghệ học máy như mạng nơ-ron sâu, học sâu và các thuật toán phân loại đã được áp dụng rộng rãi trong lĩnh vực an ninh mạng. Những công nghệ này giúp phân tích dữ liệu lớn và phát hiện các mẫu tấn công một cách hiệu quả hơn.

II. Thách thức trong việc phát hiện tấn công mạng hiện nay

Mặc dù có nhiều tiến bộ trong việc phát hiện tấn công mạng, nhưng vẫn tồn tại nhiều thách thức. Các cuộc tấn công ngày càng tinh vi và khó phát hiện hơn, đặc biệt là các cuộc tấn công đối kháng. Những thách thức này đòi hỏi các nhà nghiên cứu và chuyên gia an ninh mạng phải liên tục cải tiến các phương pháp phát hiện.

2.1. Các cuộc tấn công đối kháng và ảnh hưởng của chúng

Các cuộc tấn công đối kháng là những cuộc tấn công được thiết kế để đánh lừa các hệ thống phát hiện. Chúng có thể gây ra thiệt hại nghiêm trọng cho các hệ thống an ninh mạng, làm giảm hiệu quả phát hiện và tăng nguy cơ bị tấn công.

2.2. Khó khăn trong việc thu thập và phân tích dữ liệu

Việc thu thập và phân tích dữ liệu mạng là một thách thức lớn. Dữ liệu lớn và đa dạng từ các nguồn khác nhau cần được xử lý một cách hiệu quả để phát hiện các mẫu tấn công. Điều này đòi hỏi các công nghệ tiên tiến và phương pháp phân tích mạnh mẽ.

III. Phương pháp học máy trong phát hiện tấn công mạng

Các phương pháp học máy đã được chứng minh là hiệu quả trong việc phát hiện tấn công mạng. Những phương pháp này không chỉ giúp phát hiện các mẫu tấn công mà còn cải thiện khả năng chống lại các cuộc tấn công đối kháng. Việc áp dụng các mô hình học máy giúp tăng cường khả năng phát hiện và giảm thiểu rủi ro.

3.1. Mô hình học máy phổ biến trong phát hiện tấn công

Các mô hình như SVM, Random Forest, và mạng nơ-ron sâu đã được sử dụng rộng rãi trong phát hiện tấn công mạng. Những mô hình này có khả năng học từ dữ liệu và cải thiện độ chính xác theo thời gian.

3.2. Ứng dụng của học sâu trong phát hiện tấn công

Học sâu đã mở ra nhiều cơ hội mới trong việc phát hiện tấn công mạng. Các mô hình học sâu có khả năng xử lý dữ liệu phức tạp và phát hiện các mẫu tấn công mà các phương pháp truyền thống không thể nhận diện.

IV. Kết quả nghiên cứu và ứng dụng thực tiễn

Nghiên cứu đã chỉ ra rằng việc áp dụng các phương pháp học máy trong phát hiện tấn công mạng mang lại nhiều kết quả tích cực. Các mô hình học máy đã cải thiện đáng kể khả năng phát hiện và giảm thiểu rủi ro từ các cuộc tấn công. Những ứng dụng thực tiễn của các mô hình này đã được triển khai trong nhiều tổ chức và doanh nghiệp.

4.1. Kết quả thực nghiệm từ các mô hình học máy

Các thử nghiệm cho thấy rằng các mô hình học máy có thể phát hiện các cuộc tấn công với độ chính xác cao. Những kết quả này chứng minh rằng việc áp dụng học máy là một giải pháp hiệu quả cho vấn đề an ninh mạng.

4.2. Ứng dụng trong các tổ chức và doanh nghiệp

Nhiều tổ chức và doanh nghiệp đã áp dụng các mô hình học máy để cải thiện khả năng phát hiện tấn công mạng. Những ứng dụng này không chỉ giúp bảo vệ thông tin mà còn nâng cao hiệu quả hoạt động của các hệ thống an ninh.

V. Kết luận và hướng phát triển tương lai

Việc nâng cao khả năng phát hiện tấn công mạng bằng phương pháp học máy là một lĩnh vực nghiên cứu quan trọng. Các thách thức hiện tại đòi hỏi sự đổi mới và cải tiến liên tục trong các phương pháp phát hiện. Hướng phát triển tương lai sẽ tập trung vào việc cải thiện độ chính xác và khả năng chống lại các cuộc tấn công đối kháng.

5.1. Tương lai của học máy trong an ninh mạng

Học máy sẽ tiếp tục đóng vai trò quan trọng trong việc phát hiện tấn công mạng. Các nghiên cứu mới sẽ tập trung vào việc phát triển các mô hình mạnh mẽ hơn và cải thiện khả năng phát hiện.

5.2. Đề xuất các giải pháp cải tiến

Các giải pháp cải tiến sẽ bao gồm việc phát triển các thuật toán mới và tối ưu hóa các mô hình hiện có. Điều này sẽ giúp nâng cao khả năng phát hiện và bảo vệ các hệ thống an ninh mạng khỏi các cuộc tấn công tinh vi.

Trích đoạn nội dung tài liệu

Chương 1. TONG QUAN — GANs. — Các mô hình phát hiện xâm nhập: CNN, VGG16, VGG19, Xcep- tion, ResNet, Inception, InceptionResnet, VAE, CVAE, LSTM, CNN- LSTM, Stacked-LSTM, MLP, XGBoost, — Các thuật toán phân loại: SVM, DT, RF, NB, KNN, MLP, LR - Thư viện hỗ trợ máy học Tensorflow. - Thư viện python mã nguồn mở Scikit-Learn.

¢ Phạm vi nghiên cứu: Tạo ra các mẫu tấn công đối kháng bằng cách sử dụng GAN và các mô hình chuyển giao để tân công vào một số mô hình phát hiện xâm nhập hiện nay. Sau đó tác giả dé xuất phương pháp dựa trên các mô hình thuật toán phân loại. Cuối cùng tác giả sẽ đánh giá khả năng và hiệu suất của phương pháp mà tác giả dé xuât so với các mô hình phát hiện xâm nhập mạng hiện nay.4 Cấu trúc Khóa luận tốt nghiệp Sau khi giới thiệu tổng quan về đẻ tài ở phần trước, các nội dung có trong Khóa luận tốt nghiệp bao gồm các phần sau: se Chương 1: Giới thiệu tổng quan về khóa luận và các nghiên cứu liên quan đến dé tài. e Chương 2: Giới thiệu tổng quan về khóa luận và các nghiên cứu liên quan đên đề tai.

e Chương 3: Giới thiệu phương pháp, dé xuất mô hình dùng để phát hiện các cuộc tân công đôi kháng. TONG QUAN se Chương 4:Trinh bày môi trường thực nghiệm, tap du liệu, phương pháp đánh giá và kết quả thực nghiệm. se Chương 5: Kết luận và hướng phát triển của khoá luận. 10 CHUONG 2 KIÊN THỨC NEN TANG Tóm tat chương Trong chương này, tác giả sẽ trình bày cơ sở lý thuyết liên quan đến dé tài để có một nền tảng kiến thức vững chắc hỗ trợ cho các chương tiếp theo.1 Hệ thống phát hiện xâm nhập IDS 2.1 Hệ thống phát hiện xâm nhập IDS Việc phát hiện hoạt động đáng ngờ là công việc chính của Hệ thống Phát hiện Xâm nhập (IDS).

Sau khi được phát hiện, một cảnh báo sẽ được gửi đi. Một ứng dung phan mềm quét mạng hoặc hệ thống để tìm bat kỳ hoạt động có hại hoặc vi phạm chính sách nào. Mọi hoạt động độc hại hoặc vi phạm chính sách thường được báo cáo cho quản trị viên và được thu thập bằng hệ thống thông tin an toàn và hệ thống quản lý sự kiện (SIEM). Các hệ thống SIEM thu thập kết quả đầu ra từ nhiều nguồn khác nhau và sử dụng các kỹ thuật khác nhau để lọc cảnh báo và phân biệt giữa hoạt động có hại và hoạt động sai.

Mặc dù các hệ thống phát hiện xâm nhập có thể giám sát các mạng để phát hiện hoạt động độc hại tiềm ẩn, nhưng chúng cũng dé bị báo động sai. Do đó, diéu quan trọng đối với các tổ chức là tinh chỉnh các sản phẩm IDS khi chúng được cài đặt lần đầu tiên. Điều này có nghĩa là thiết lập chính xác hệ thống phát hiện xâm nhập phát hiện lưu lượng truy cập bình thường trên mạng khác với hoạt động độc hại như thế nào. Hệ thống ngăn chặn xâm nhập (IPS) cũng giám sát các gói mạng trên hệ thống để biết hoạt động độc hại liên quan đến chúng và gửi thông báo cảnh báo ngay lập tức.

KIEN THUC NEN TANG Dựa trên nguồn dữ liệu đầu vào, hệ thống IDS được phân thành3 loại: ¢ Hệ thống phát hiện xâm nhập mạng (NIDS): — Network-based IDPS (NIDPS) theo dõi lưu lượng mạng cho một phần của mạng (network segment) hoặc các thiết bị, phân tích các hoạt động mạng và các giao thức, ứng dụng để xác định các hành vi bất thường. - Thường triển khai ở biên mạng, như gần tường lửa hoặc router biên, server VPN, server remote access và mạng không dây. - Gồm nhiều sensor đặt ở nhiều điểm khác nhau trong mạng để theo đõi lưu lượng mạng. e Hệ thống phát hiện xâm nhập máy chủ (HIDS): - Host-based IDPS (HIDPS), theo dõi các đặc điểm của một host riêng lẻ và các sự kiện xảy ra trong host đó để phát hiện hoạt động bắt thường.

- Được triển khai trên host quan trọng (các server có thể truy cập từ bên ngoài, các server chứa thông tin quan trọng). ¢ Hệ thống phát hiện xâm nhập hỗn hợp (Hybrid IDS): - Hybrid IDPS được phát triển để hướng đến xem xét tat cả dữ liệu từ các sự kiện trên host và sự kiện trong các phần mạng, kết hợp chức năng của cả network và host-based IDPS. — Tích hợp các ưu điểm của cả 2 kỹ thuật trên. - Cần tích hợp sao cho 2 kỹ thuật riêng biệt có thể cùng tương tác và hoạt động trong cùng một hệ thống.

KIEN THUC NEN TANG 2.2 Phuong phap phat hién xam nhap ® Signature-Based IDS: — Signature là một mẫu dwt liệu tương ứng với các dấu hiệu của một loại tan công (cơ sở dữ liệu về các loại tan công đã biết trước). — Kỹ thuật phát hiện Signature-based (hay còn gọi knowledge- based) là một quá trình so sánh các signature với các sự kiện quan sát được để xác định các sự cô có thể có. ® Anomaly-Based IDS: — Kỹ thuật phat hiện Anomaly-based (hoặc profile-based) hoạt động dựa trên việc: — Tạo ra một profile cơ sở đại diện cho các hành vi bình thường/dự kiến trong mạng. - Dựa trên đó, bat kỳ hoạt động mạng đang xem xét nào có sai khác so với profile này đều bị xem là bất thường.

— Profiles đại điện cho hoạt động mạng bình thường hầu hết được tạo ra thông qua phân tích lịch sử lưu lượng mạng (qua các hàm thống kê, hoc máy, clustering, fuzzy logic, heuristics. ® Specification-based: - Kỹ thuật phát hiện Specification-based thu thập các hoạt động chính xác của một chương trình hoặc giao thức và theo dõi hoạt động của nó dựa trên các ràng buộc. KIEN THUC NEN TANG 2.2 Machine Learning, Deep Learning 2.1 Machine Learning Hoc may là một lĩnh vực phụ của trí tuệ nhân tạo được định nghĩa rộng rãi là khả năng máy móc bắt chước hành vi trí tuệ của con người. Các hệ thống AI được sử dụng để thực hiện các nhiệm vụ phức tạp theo cách tương tự như cách con người giải quyết vẫn đề.

Boris Katz, điều tra viên chính tai CSAIL va là người đứng đầu nhóm InfoLab, cho biết mục tiêu của trí tuệ nhân tạo là tạo ra các mô hình máy tính có thể thể hiện "hành vi thông minh" tương tự như con người. Điều này có nghĩa là máy móc có thể nhận biết các cảnh trực quan, hiểu văn bản được viết bằng ngôn ngữ tự nhiên và thực hiện các hành động trong thế giới thực. Học máy là một cách sử dụng trí tuệ nhân tạo. Vào những năm 1950, nhà tiên phong về trí tuệ nhân tạo Arthur Samuel đã định nghĩa trí tuệ nhân tạo là "lĩnh vực nghiên cứu mang lại cho máy tính khả năng học hỏi mà không can lập trình rõ rang”.

Các mô hình học máy được lợi thé rất nhiều từ lượng dữ liệu lớn hơn. Dữ liệu nên được thu thập và tổ chức để sử dụng trong các mô hình đào tạo và cung cấp thông tin. Dữ liệu có thể ở nhiều dạng, chẳng hạn như dữ liệu số, ảnh hoặc văn bản, dữ liệu cảm biến, báo cáo bán hàng, ảnh của các cá nhân và thậm chí cả thông tin giao dịch tài chính. Các mô hình hoc máy được đào tạo bởi các lập trình viên nhập dt liệu và cho phép máy tính phát hiện các mẫu hoặc đưa ra dự đoán.

Khi các lập trình viên sửa lại mô hình, họ có thể sửa đổi các tham số để nâng cao kết quả. KIEN THUC NEN TANG Theo các nhà nghiên cứu, một hệ thống hoc máy có ba chức nang riêng biệt. Nó có thể mang tính quy định, nghĩa là nó cung cấp các dé nghị dựa trên dữ liệu cho các hành động. Ngoài ra, nó có thể được mô tả bằng cách sử dụng dữ liệu để giải thích các sự kiện trong quá khứ.

Hệ thống cũng có thể dự đoán, sử dụng dữ liệu để dự đoán các sự kiện trong tương lai. Học máy gồm3 loại mô hình con: se Các mô hình học máy có giám sát (supervised) được đào tạo với các tập dữ liệu được gắn nhãn và liên tục cải thiện độ chính xác của chúng theo thời gian. Hình ảnh con chó và các đối tượng khác được con người dán nhãn được sử dụng để đào tạo các thuật toán, cho phép máy nhận dạng hình ảnh con chó một cách độc lập. Là loại phổ biến, học máy có giám sát hiện đang được sử dụng rộng rãi.

se Trong hoc máy không giám sát (unsupervised) sử dụng thuật toán kiểm tra dữ liệu chưa được gắn nhãn trong quá trình học máy không giám sát để khám phá các mẫu và xu hướng chưa xác định trước đó. Thuật toán này có thể phân tích cụ thể dữ liệu bán hàng trực tuyến, phân biệt các loại khách hàng khác nhau dựa trên thói quen mua hàng của họ. e May học tăng cường (reinforcement), là một phương pháp huấn luyện máy bằng cách sử dụng hệ thống phần thưởng để dạy máy cách thực hiện hành động tốt nhất. Bằng cách thông báo khi nó đưa ra quyết định chính xác, nó cho phép máy học hiểu được những hành động mà nó nên thực hiện theo thời gian.

Khả năng này cho phép học tăng cường để huấn luyện các mô hình choi game và xe tự lái. KIEN THUC NEN TANG 2.2 Deep Learning Trong hoc máy, học sâu là một dang mang than kinh bao gồm ít nhất ba lớp. Độ chính xác của các dự đoán có thể được cải thiện bằng cách thêm các lớp ẩn vào mạng. Các mạng được phân loại có thể phân tích lượng dữ liệu khổng 16 và xác định cường độ của từng kết nối trong mạng.

Chang hạn, một hệ thống nhận dạng hình ảnh có thể có các lớp xác định các đặc điểm khác nhau trên khuôn mặt như mắt, mũi và miệng và một lớp khác xác định xem các đặc điểm đó có xuất hiện trong nét mặt hay không. Học sâu, một phần không thể thiếu của AI, cho phép tự động hóa và tối ưu hóa các tác vụ khác nhau mà không cần sự tham gia của con người. Nó làm nên tảng cho nhiều ứng dụng va công nghệ hàng ngày, chẳng hạn như trợ lý kỹ thuật số, phát hiện gian lận thẻ tín dựng và điều khiển từ xa TV hỗ trợ giọng nói, cũng như các dịch vụ và sản phẩm mới và đang phát triển.3 Phan biệt Machine Learning va Deep Learning Hoc sâu độc đáo ở chỗ nó hoạt động trên một loại dữ liệu khác và hoc các phương pháp khác với học máy cổ điển. Được sắp xếp thành các bảng, các tính năng cụ thể được xác định từ đữ liệu đầu vào đưa ra dự đoán.