I. Tổng quan về sinh dữ liệu tấn công mạng hiện đại
An toàn thông tin đối mặt nhiều rủi ro nghiêm trọng. Các cuộc tấn công mạng diễn ra ngày càng tinh vi và phức tạp. Dữ liệu giám sát lưu lượng thường bị mất cân bằng trầm trọng. Mẫu lưu lượng bình thường chiếm đa số tuyệt đối. Các mẫu tấn công nguy hiểm xuất hiện rất ít. Thực trạng này gây khó khăn lớn cho việc huấn luyện mô hình máy học. Hệ thống phòng thủ dễ bỏ sót các mối đe dọa nghiêm trọng. Đề án thạc sĩ tại Học viện Công nghệ Bưu chính Viễn thông năm 2025 tập trung giải quyết bài toán cốt lõi này. Sinh dữ liệu tấn công mạng trở thành hướng đi tất yếu. Phương pháp này tạo ra các bản ghi mô phỏng hành vi tấn công chính xác. Dữ liệu nhân tạo giúp cân bằng tập huấn luyện hiệu quả. Các bộ dữ liệu kinh điển như UNSW-NB15 hay CIC-IDS-2017 cung cấp nguồn mẫu chuẩn. Quá trình sinh dữ liệu bổ sung các kịch bản xâm nhập đa dạng. Nhờ đó, thuật toán nhận diện mối đe dọa hoạt động ổn định hơn. Nghiên cứu mang lại nền tảng vững chắc cho việc xây dựng tường lửa thông minh.
1.1. Khái niệm và bối cảnh nghiên cứu dữ liệu an ninh
Hệ thống an ninh thông tin hiện đại phụ thuộc nhiều vào trí tuệ nhân tạo. Mô hình phân loại đòi hỏi nguồn dữ liệu đầu vào cân bằng và đa dạng. Tuy nhiên, lưu lượng mạng thực tế luôn chứa phần lớn dữ liệu hợp lệ. Mẫu tấn công chỉ chiếm tỷ lệ vô cùng nhỏ trong không gian mạng. Sự chênh lệch này dẫn đến hiện tượng học lệch. Mô hình thường dự đoán sai các tình huống nguy cấp. Sinh dữ liệu an ninh mạng là giải pháp công nghệ trọng tâm. Quá trình này bổ sung mẫu tấn công nhân tạo vào tập huấn luyện. Dữ liệu mới vẫn giữ nguyên đặc trưng thống kê của cuộc tấn công gốc. Giải pháp này giúp nâng cao độ nhạy của hệ thống phòng vệ.
1.2. Vai trò của các bộ dữ liệu chuẩn trong thử nghiệm
Nghiên cứu an ninh mạng cần các bộ dữ liệu tiêu chuẩn để đánh giá khách quan. Hai tập dữ liệu tiêu biểu gồm UNSW-NB15 và CIC-IDS-2017. UNSW-NB15 phản ánh nhiều hành vi bất thường trong môi trường mạng giả lập. CIC-IDS-2017 chứa các kịch bản tấn công hiện đại và thực tế hơn. Các kịch bản này bao gồm DoS, Brute Force và xâm nhập trái phép. Các nhà nghiên cứu trích xuất mẫu từ các tập chuẩn này để làm căn cứ. Nguồn dữ liệu gốc cung cấp thước đo chuẩn xác cho thuật toán sinh dữ liệu. Việc so sánh giữa dữ liệu gốc và dữ liệu sinh giúp xác thực độ tin cậy. Đây là tiền đề bắt buộc trước khi đưa giải pháp vào ứng dụng thực tế.
II. Thách thức lớn khi sinh dữ liệu tấn công mạng thực tế
Quá trình sinh dữ liệu an ninh mạng gặp nhiều trở ngại kỹ thuật phức tạp. Vấn đề cốt lõi nằm ở tính chất phi tuyến của lưu lượng mạng. Các gói tin chứa nhiều mối liên hệ phụ thuộc chặt chẽ theo thời gian. Kỹ thuật sinh dữ liệu truyền thống thường bỏ qua đặc trưng này. Phương pháp lấy mẫu ngẫu nhiên dễ tạo ra các bản ghi phi logic. Dữ liệu nhân tạo kém chất lượng khiến mô hình học máy bị quá khớp. Khi kiểm thử trên lưu lượng thực, hệ thống phòng thủ hoạt động kém hiệu quả. Tỷ lệ báo động giả tăng cao gây quá tải cho quản trị viên. Ngược lại, tỷ lệ bỏ sót đe dọa tạo ra lỗ hổng bảo mật nghiêm trọng. Hơn nữa, việc thu thập mẫu tấn công thực tế rất tốn kém và tiềm ẩn rủi ro an toàn. Doanh nghiệp ngần ngại chia sẻ dữ liệu nhạy cảm ra bên ngoài. Chuyên gia an ninh mạng thiếu nguồn dữ liệu gán nhãn đáng tin cậy. Rào cản này làm chậm quá trình tối ưu hóa các giải pháp bảo mật hiện đại.
2.1. Hạn chế của phương pháp lấy mẫu truyền thống
Phương pháp truyền thống như SMOTE được sử dụng rộng rãi nhờ tính đơn giản. Thuật toán này nội suy tuyến tính giữa các điểm dữ liệu lân cận. Tuy nhiên, cách tiếp cận này bộc lộ nhiều điểm yếu trong không gian an ninh mạng. Không gian mạng chứa nhiều thuộc tính rời rạc và phi tuyến tính. Việc nội suy mù quáng tạo ra các mẫu không hợp lệ về mặt kỹ thuật mạng. Mẫu sinh ra có thể vi phạm các quy tắc cấu trúc gói tin. Mô hình học máy huấn luyện trên dữ liệu này dễ bị quá khớp. Khả năng phát hiện các dạng tấn công mới suy giảm đáng kể. Do đó, các phương pháp truyền thống khó đáp ứng yêu cầu phòng thủ hiện đại.
2.2. Vấn đề mất cân bằng nhãn trong tập dữ liệu
Mất cân bằng dữ liệu là rào cản lớn nhất của hệ thống giám sát an ninh. Trong tập dữ liệu CIC-IDS-2017, các cuộc tấn công chiếm tỷ trọng rất nhỏ. Các hành vi nguy hiểm như DoS slowloris hay SSH-Patator có số mẫu rất khiêm tốn. Mô hình học máy thường thiên vị nhóm đa số bình thường. Thuật toán đạt độ chính xác tổng thể cao nhưng lại thất bại khi bắt mẫu độc hại. Tỷ lệ âm tính giả cao tạo ra nguy cơ xâm nhập hệ thống nghiêm trọng. Các chuyên gia cần một cơ chế sinh dữ liệu có định hướng. Mục tiêu cốt lõi là cân bằng phân phối nhãn nhưng vẫn bảo toàn bản chất tấn công. Đây là bài toán kỹ thuật cấp thiết hiện nay.
III. Kỹ thuật sinh dữ liệu tấn công mạng tiên tiến tại PTIT
Nghiên cứu tại Học viện Công nghệ Bưu chính Viễn thông triển khai các mô hình học sâu vượt trội. Nhóm tác giả áp dụng mạng đối nghịch tạo sinh GAN để học phân phối dữ liệu mạng. Hai kiến trúc tiêu biểu gồm CGAN và WGAN được đưa vào thử nghiệm chuyên sâu. CGAN tích hợp nhãn điều kiện giúp kiểm soát chính xác loại tấn công cần sinh. Trong khi đó, WGAN giải quyết triệt để sự mất ổn định trong quá trình huấn luyện mạng đối nghịch. Khoảng cách Wasserstein giúp mô hình hội tụ mượt mà và tránh sụp đổ trạng thái. Nhóm nghiên cứu tiến hành thực nghiệm trên 5 nhãn tấn công nguy hiểm từ tập CIC-IDS-2017. Các nhãn gồm DoS GoldenEye, FTP-Patator, SSH-Patator, DoS slowloris và DoS Slowhttptest. Dữ liệu nhân tạo tạo thành tập GEN_SET để huấn luyện mô hình phát hiện. Kết quả chứng minh mô hình sinh học sâu duy trì tỷ lệ dương tính giả cực thấp. Phương pháp mang lại hiệu suất vượt trội so với kỹ thuật lấy mẫu truyền thống.
3.1. Ứng dụng mô hình mạng đối nghịch CGAN và WGAN
Kiến trúc CGAN cho phép đưa thêm vector nhãn vào cả mạng sinh và mạng phân biệt. Cơ chế này định hướng mạng sinh tạo đúng loại tấn công theo yêu cầu cụ thể. Mô hình có thể giả lập chính xác các cuộc tấn công DoS hoặc quét mật khẩu. Tuy nhiên, việc huấn luyện GAN tiêu chuẩn thường gặp hiện tượng mất cân bằng hàm mất mát. Mô hình WGAN khắc phục hạn chế này bằng hàm khoảng cách Wasserstein. WGAN cải thiện độ ổn định và ngăn ngừa lỗi suy biến phổ biến. Dữ liệu tạo ra từ WGAN phản ánh chuẩn xác các đặc trưng thống kê của luồng gói tin thực. Nhờ vậy, tập dữ liệu tổng hợp đạt chất lượng cao và khả thi.
3.2. Đánh giá thực nghiệm trên bộ dữ liệu CIC IDS 2017
Thực nghiệm được thiết lập bài bản nhằm so sánh hiệu quả giữa các phương pháp. Nhóm tác giả xây dựng mô hình gốc ORIGIN_MODEL và các mô hình sinh GEN_MODEL. Quá trình kiểm thử thực hiện trên tập kiểm tra độc lập ORIGIN_TEST. Các chỉ số đánh giá bao gồm Accuracy, Precision, Recall, F1 và FPR. Mô hình huấn luyện từ dữ liệu WGAN và CGAN thể hiện khả năng nhận diện vượt trội. Điển hình với nhãn DoS GoldenEye và SSH-Patator, tỷ lệ dương tính giả FPR được kiểm soát rất thấp. Mô hình sinh dữ liệu học sâu giúp bảo tồn đặc trưng nhận diện của các đợt xâm nhập tinh vi. Điều này chứng minh tính ứng dụng cao của nghiên cứu trong thực tế.
IV. Giá trị ứng dụng sinh dữ liệu tấn công mạng năm 2025
Đề tài thạc sĩ năm 2025 tại PTIT khẳng định bước đột phá trong an ninh thông tin. Kỹ thuật sinh dữ liệu bằng học sâu giải quyết triệt để vấn đề mất cân bằng mẫu. Các giải pháp như CGAN và WGAN cho thấy tiềm năng to lớn khi triển khai thực tế. Doanh nghiệp có thể chủ động tạo lập môi trường kiểm thử an toàn mà không làm rò rỉ dữ liệu nhạy cảm. Hệ thống phát hiện xâm nhập IDS được huấn luyện toàn diện trước nhiều kịch bản tấn công phức tạp. Tỷ lệ cảnh báo nhầm giảm rõ rệt giúp giảm tải áp lực cho đội ngũ bảo mật. Ngoài ra, chi phí thu thập và gán nhãn dữ liệu thực tế được tối ưu đáng kể. Hướng nghiên cứu mở ra triển vọng tích hợp mô hình lai giữa luật chuyên gia và mạng đối nghịch. Đây là bước tiến quan trọng thúc đẩy sự tự động hóa của các trung tâm điều hành an ninh mạng SOC. Kết quả đề án đóng góp thiết thực cho công tác bảo vệ không gian mạng quốc gia.
4.1. Tối ưu hóa hiệu năng hệ thống phát hiện xâm nhập IDS
Hệ thống phát hiện xâm nhập thế hệ mới đòi hỏi khả năng xử lý chuẩn xác. Dữ liệu huấn luyện cân bằng giúp thuật toán học sâu nhận biết nhanh các cuộc tấn công hiếm. Khi thử nghiệm với lưu lượng tấn công Slowloris và Slowhttptest, hệ thống phát hiện đạt độ nhạy ấn tượng. Mô hình giảm thiểu đáng kể số lượng cảnh báo sai lệch. Đội ngũ an ninh mạng tiết kiệm thời gian điều tra các sự cố giả mạo. Khả năng bảo vệ hệ thống trước các mối đe dọa dai dẳng được củng cố. Việc nâng cao hiệu quả giám sát giúp doanh nghiệp chủ động ứng phó trước mọi hiểm họa tiềm tàng.
4.2. Định hướng phát triển phương pháp lai trong tương lai
Nghiên cứu mở ra hướng phát triển kết hợp các phương pháp lai đa tầng. Việc phối hợp giữa mô phỏng dựa trên luật và mô hình sinh sâu tạo ra bước nhảy vọt. Hệ thống có thể vừa kiểm soát logic mạng vừa mở rộng dữ liệu linh hoạt. Các kịch bản tấn công chưa từng biết trước có thể được tổng hợp tự động. Nghiên cứu trong tương lai sẽ tập trung vào lưu lượng mạng tốc độ cao và IoT. Các mô hình tối ưu trọng số sẽ được tinh chỉnh để chạy trực tiếp trên thiết bị biên. Đây là xu thế tất yếu nhằm xây dựng bức tường phòng thủ chủ động và bền vững.
