I. Tổng quan hệ thống phát hiện tấn công IDS trong IoT tại PTIT
Hệ thống phát hiện xâm nhập IDS đóng vai trò then chốt trong hạ tầng mạng vạn vật kết nối. Mạng IoT bao gồm hàng triệu thiết bị thông minh liên kết với nhau. Môi trường này thường xuyên đối mặt với các nguy cơ an ninh mạng nghiêm trọng. Kẻ tấn công liên tục khai thác lỗ hổng bảo mật nhằm chiếm quyền kiểm soát hệ thống. Tại Học viện Công nghệ Bưu chính Viễn thông (PTIT), nghiên cứu IDS cho IoT tập trung giải quyết bài toán an ninh trên thiết bị biên. Thiết bị IoT thường có năng lực tính toán hạn chế, bộ nhớ nhỏ và pin eo hẹp. Vì vậy, việc triển khai các phần mềm bảo mật truyền thống trở nên bất khả thi. Hệ thống IDS dựa trên học máy tại biên xuất hiện như một hướng tiếp cận đột phá. Giải pháp này giúp phân tích lưu lượng gói tin ngay tại nguồn phát sinh. Thời gian phản hồi sự cố được rút ngắn đáng kể. Dữ liệu nhạy cảm không cần truyền toàn bộ về máy chủ trung tâm. Nhờ đó, băng thông mạng được bảo toàn và rủi ro rò rỉ thông tin giảm mạnh. Nghiên cứu tại PTIT xây dựng mô hình cân bằng giữa độ chính xác cao và mức tiêu hao tài nguyên thấp.
1.1. Khái niệm và vai trò của hệ thống phát hiện xâm nhập IDS
Hệ thống phát hiện xâm nhập (IDS) theo dõi liên tục lưu lượng dữ liệu mạng. Mục tiêu chính là phát hiện kịp thời các hành vi truy cập trái phép. IDS phân tích các gói tin và so sánh với mẫu hành vi đã biết. Khi phát hiện dấu hiệu xâm phạm, hệ thống kích hoạt cảnh báo an ninh. Trong mạng IoT, IDS hoạt động như lá chắn bảo vệ lớp dữ liệu và lớp truyền dẫn. Sự gia tăng của các thiết bị cảm biến khiến mạng trở nên dễ tổn thương. Một cuộc tấn công thành công có thể làm tê liệt toàn bộ hệ thống điều khiển. IDS cung cấp khả năng quan sát sâu vào lưu lượng truyền thông. Nhờ đó, người vận hành phát hiện sớm rủi ro trước khi thiệt hại lan rộng.
1.2. Xu hướng ứng dụng học máy tại biên mạng IoT
Học máy tại biên mạng mang lại bước tiến vượt bậc cho an ninh IoT. Thay vì chuyển dữ liệu thô lên đám mây, mô hình học máy được huấn luyện và thực thi ngay tại biên. Cách thức này triệt tiêu độ trễ mạng phát sinh trong quá trình truyền tải. Thiết bị biên xử lý phân loại gói tin trong vài mili giây. Các thuật toán học máy phổ biến gồm cây quyết định và rừng ngẫu nhiên. Chúng có khả năng học từ dữ liệu tấn công lịch sử để nhận diện mối đe dọa mới. Môi trường biên bảo đảm quyền riêng tư cho các thông tin. Đề án tại PTIT tận dụng ưu thế này để thiết kế hệ thống IDS tinh gọn.
II. Thách thức phát hiện tấn công IDS trong mạng IoT tại PTIT
Triển khai hệ thống IDS trên mạng IoT đối mặt với nhiều rào cản kỹ thuật phức tạp. Thiết bị IoT thường chịu giới hạn khắt khe về phần cứng. Nguồn vi xử lý yếu, bộ nhớ RAM hạn hẹp và dung lượng lưu trữ thấp cản trở việc chạy các mô hình học máy cồng kềnh. Thêm vào đó, lưu lượng mạng IoT có tốc độ sinh dữ liệu cực nhanh và mang tính dị thể cao. Các cuộc tấn công mạng hiện đại ngày càng biến hóa khôn lường. Hình thức tấn công từ chối dịch vụ phân tán (DDoS), giả mạo định danh và dò quét cổng xuất hiện liên tục. Những cuộc tấn công này tạo ra khối lượng gói tin khổng lồ làm tràn ngập bộ đệm. Dữ liệu mạng thu thập được thường chứa nhiều thuộc tính dư thừa và nhiễu. Sự mất cân bằng dữ liệu gây suy giảm độ chính xác. Nếu không được tối ưu, mô hình học máy sẽ tiêu tốn nhiều tài nguyên xử lý. Đề tài nghiên cứu tại PTIT phân tích sâu rào cản này để tìm ra phương án thích ứng.
2.1. Hạn chế tài nguyên phần cứng trên thiết bị IoT biên
Thiết bị IoT biên hoạt động trong điều kiện kham khổ về phần cứng. Đa số cảm biến và vi điều khiển chỉ sở hữu dung lượng RAM vài megabyte. Vi xử lý xung nhịp thấp không thể thực hiện các phép tính toán ma trận phức tạp. Khả năng tản nhiệt và nguồn năng lượng từ pin cũng là giới hạn lớn. Khi thực thi thuật toán nặng, thiết bị dễ gặp hiện tượng treo máy. Việc lưu trữ dữ liệu lớn để huấn luyện mô hình là điều không khả thi. Do đó, bài toán đòi hỏi giảm kích thước mô hình học máy. Kỹ thuật tiền xử lý và trích chọn đặc trưng cần tinh gọn nhằm tiết kiệm bộ nhớ.
2.2. Sự đa dạng và phức tạp của các vector tấn công mạng IoT
Mạng IoT liên tục chịu các đợt tấn công với cấu trúc vector vô cùng tinh vi. Bộ dữ liệu CICIoT2023 chỉ ra hàng chục phương thức xâm nhập khác nhau. Tấn công DDoS làm tê liệt đường truyền bằng cách gửi ồ ạt gói tin rác. Tấn công brute force cố gắng bẻ khóa thông tin xác thực. Ngoài ra, các hành vi do thám như quét cổng diễn ra thường xuyên. Các cuộc tấn công thường ngụy trang dưới dạng lưu lượng bình thường. Điều này dẫn đến tỷ lệ báo động sai rất cao trong thực tế. Hệ thống IDS truyền thống khó nhận diện các biến thể mã độc mới phát sinh.
III. Phương pháp phân cụm và học máy tối ưu cho IDS IoT tại PTIT
Giải pháp đề xuất trong nghiên cứu tại PTIT kết hợp thuật toán phân cụm mờ Fuzzy C-Means (FCM) và các mô hình học máy. Quy trình bắt đầu bằng việc tiền xử lý dữ liệu từ tập dữ liệu chuẩn CICIoT2023. Các giá trị rỗng và ngoại lai được xử lý triệt để. Dữ liệu sau đó được chuẩn hóa Min-Max để đưa về cùng thang đo đồng nhất. Bước này ngăn chặn tình trạng một số đặc trưng lớn lấn át các đặc trưng khác. Tiếp theo, thuật toán phân cụm FCM nhóm các điểm dữ liệu theo độ thuộc mờ. Kỹ thuật này tổ chức lại cấu trúc dữ liệu tự nhiên. Việc phân nhóm giúp loại bỏ các thuộc tính dư thừa và giảm chiều không gian. Mô hình học máy sau đó huấn luyện trên tập dữ liệu đã tinh chọn. Hai thuật toán được áp dụng gồm Decision Tree và Random Forest. Cây quyết định có tốc độ xử lý nhanh và ít tốn bộ nhớ. Rừng ngẫu nhiên mang lại độ chính xác cao và giảm hiện tượng quá khớp. Sự kết hợp này tạo ra hệ thống bảo mật thích ứng cao.
3.1. Ứng dụng kỹ thuật phân cụm mờ Fuzzy C Means FCM
Thuật toán Fuzzy C-Means (FCM) đóng vai trò then chốt trong giai đoạn tiền xử lý. Khác với phân cụm cứng, FCM gán mỗi điểm dữ liệu vào nhiều cụm với mức độ thuộc khác nhau. Ma trận độ thuộc phản ánh sự tương đồng giữa mẫu lưu lượng và tâm cụm. Hàm mục tiêu được tối ưu hóa qua các bước lặp để cập nhật tọa độ tâm. Quá trình này giúp phát hiện các mối quan hệ tiềm ẩn giữa những đặc trưng. FCM gom nhóm tốt các hành vi tấn công có ranh giới mờ nhạt. Dữ liệu đầu vào cho khâu phân loại trở nên sạch và rõ ràng hơn.
3.2. Mô hình phân loại Decision Tree và Random Forest
Mô hình Decision Tree và Random Forest được triển khai để nhận diện các gói tin độc hại. Cây quyết định xây dựng cấu trúc phân nhánh dựa trên độ lợi thông tin. Thuật toán này có thời gian suy luận nhanh, phù hợp phần cứng của thiết bị biên. Tuy nhiên, một cây đơn lẻ dễ gặp hiện tượng quá khớp. Random Forest giải quyết vấn đề bằng cách kết hợp nhiều cây quyết định. Cơ chế bỏ phiếu tập thể giúp tăng tính ổn định cho toàn bộ hệ thống. Kết quả thực nghiệm chứng minh sự kết hợp này đạt độ chính xác vượt trội.
IV. Đánh giá thực nghiệm và kết luận về hệ thống IDS IoT tại PTIT
Kết quả đánh giá thực nghiệm trên bộ dữ liệu CICIoT2023 khẳng định tính khả thi của phương pháp. Mô hình sau khi áp dụng phân cụm Fuzzy C-Means đạt độ chính xác trên 98%. Tỷ lệ cảnh báo sai đối với các cuộc tấn công tinh vi giảm xuống mức thấp. Thời gian xử lý gói tin đáp ứng tốt yêu cầu giám sát thời gian thực. So với mô hình học sâu phức tạp, kiến trúc FCM và Random Forest tiết kiệm bộ nhớ đáng kể. Nghiên cứu tại PTIT chứng minh việc tiền xử lý thông minh bù đắp cho giới hạn phần cứng. Đề án không chỉ giải quyết bài toán lý thuyết mà còn mang giá trị thực tiễn. Mô hình sẵn sàng tích hợp vào các thiết bị Gateway trong nhà thông minh hoặc nhà máy số. Trong tương lai, hệ thống có thể mở rộng để nhận diện các mối đe dọa an ninh mới phát sinh.
4.1. Hiệu năng mô hình trên bộ dữ liệu CICIoT2023
Bộ dữ liệu CICIoT2023 cung cấp môi trường thử nghiệm thực tế với hàng triệu bản ghi. Các chỉ số đo lường như Accuracy, Precision, Recall và F1-Score đều đạt ngưỡng ấn tượng. Sự kết hợp giữa FCM và Random Forest giúp nâng cao khả năng phân tách lưu lượng. Đặc biệt, các cuộc tấn công flood và quét cổng được nhận diện với tỷ lệ rất cao. Độ trễ xử lý luôn được duy trì ở mức mili giây. Tốc độ này cho phép thiết bị biên kịp thời cô lập gói tin nguy hiểm, bảo vệ an toàn cho toàn bộ mạng nội bộ.
4.2. Khả năng ứng dụng thực tế trong hệ sinh thái IoT
Mô hình IDS phát triển tại PTIT mở ra tiềm năng ứng dụng to lớn. Hệ thống có thể cài đặt trực tiếp lên các gateway trong đô thị thông minh. Các trạm cảm biến quan trắc, camera an ninh và lưới điện thông minh đều cần sự bảo vệ này. Trong y tế số, giải pháp giúp bảo mật hồ sơ bệnh án trước nguy cơ xâm nhập. Mô hình cũng tương thích tốt với các nhà máy tự động hóa. Giải pháp đem lại hiệu quả kinh tế cao nhờ chi phí triển khai thấp và độ tin cậy vượt trội.
