Tổng quan luận án

Luận án tiến sĩ chuyên ngành Hệ thống thông tin (mã số: 9 48 01 04) với tiêu đề "Nghiên cứu xây dựng hệ thống V-Sandbox trong phân tích và phát hiện mã độc IoT Botnet" do nghiên cứu sinh Lê Hải Việt thực hiện tại Học viện Khoa học và Công nghệ, Viện Hàn lâm Khoa học và Công nghệ Việt Nam, dưới sự hướng dẫn khoa học của TS. Ngô Quốc Dũng và GS. Vũ Đức Thi (năm 2022).

Tính cấp thiết và khoảng trống nghiên cứu

Theo số liệu thống kê từ Cisco [1], năm 2020 toàn cầu ghi nhận hơn 50 tỷ thiết bị kết nối Internet, đặc biệt là các thiết bị xuất hiện trong mô hình nhà thông minh như hệ thống cảm biến môi trường, Camera IP, VoIP, IP TV, Router SOHO. Nghiên cứu của IoT Analytics [14] chỉ ra rằng giai đoạn 2018–2025, số lượng thiết bị truyền thống chỉ tăng 18% (từ 10,8 tỷ lên 12,7 tỷ), trong khi thiết bị IoT tăng hơn 200% (từ 7 tỷ lên 21,5 tỷ thiết bị). Tuy nhiên, các chính sách và giải pháp an toàn thông tin chưa theo kịp tốc độ phát triển hạ tầng nhúng. Nhiều nghiên cứu [2–5] khẳng định lỗ hổng bảo mật và mã độc xuất hiện phổ biến trên phần sụn (firmware) của các thiết bị IoT hạn chế tài nguyên. Tập đoàn Gartner [6] nhận định 25% các cuộc tấn công mạng năm 2020 liên quan trực tiếp đến thiết bị IoT. Tại Việt Nam, khảo sát của BKAV năm 2016 trên 21 triệu router chỉ ra 5,6 triệu thiết bị trên thế giới (Việt Nam chiếm 5,9%) dính lỗ hổng PetHole [7].

Lợi dụng điểm yếu này, các biến thể mã độc IoT Botnet điển hình như Mirai hay Bashlite đã gây ra nhiều vụ tấn công từ chối dịch vụ phân tán (DDoS) với lưu lượng đạt mức 620 Gbps [8, 21]. Phân tích tĩnh truyền thống bộc lộ nhiều hạn chế trước các kỹ thuật gây rối mã (obfuscation), đóng gói (packing) và tính đa kiến trúc CPU (MIPS, ARM, PowerPC, SPARC). Ngược lại, các môi trường phân tích động hiện có (như Cuckoo Sandbox, LiSa, IoTBOX, Limon, REMnux, Padawan) bộc lộ các khoảng trống kỹ thuật:

  1. Thiếu khả năng giả lập máy chủ điều khiển C&C (Command and Control server), khiến mã độc IoT Botnet không bộc lộ trọn vẹn chu trình độc hại.
  2. Thiếu cơ sở dữ liệu thư viện liên kết động (Shared Object DB) dẫn đến việc các tệp thực thi dạng liên kết động (dynamically linked) bị lỗi khi khởi chạy trong môi trường ảo hóa.
  3. Chưa thu thập đồng thời và đầy đủ ba nhóm dữ liệu hành vi cốt lõi: luồng mạng (network traffic), lời gọi hệ thống (system calls) và thông tin tương tác chiếm dụng tài nguyên phần cứng (host performance).
  4. Các mô hình phân loại chuỗi lời gọi hệ thống chưa biểu diễn tối ưu cấu trúc tuần tự và mối quan hệ có hướng giữa các lệnh, hoặc đòi hỏi thời gian phân tích quá dài làm chậm khả năng cảnh báo sớm.

Mục tiêu nghiên cứu của luận án

Mục tiêu tổng quát của luận án là: “Nghiên cứu, xây dựng hệ thống thu thập dữ liệu hành vi và phát hiện mã độc IoT Botnet dựa trên mô hình học máy nhằm nâng cao độ chính xác và giảm độ phức tạp trong phát hiện mã độc IoT Botnet trên các thiết bị IoT hạn chế tài nguyên theo phương pháp phân tích động”.

Các mục tiêu cụ thể được xác định gồm:

  1. Nghiên cứu, xây dựng hệ thống thu thập dữ liệu hành vi tương tác của mã độc IoT Botnet với các thiết bị IoT hạn chế tài nguyên thông qua môi trường Sandbox tự xây dựng.
  2. Nghiên cứu, xây dựng mô hình học máy phát hiện mã độc IoT Botnet đảm bảo độ chính xác, tỉ lệ âm tính giả thấp và yêu cầu tối thiểu lượng dữ liệu cần thu thập.
  3. Nghiên cứu, kết hợp hệ thống thu thập dữ liệu bằng Sandbox tự xây dựng với mô hình học máy đề xuất thành hệ thống phát hiện mã độc IoT Botnet hoàn chỉnh ứng dụng được trong thực tế.

Đối tượng và phạm vi nghiên cứu

  • Đối tượng nghiên cứu: Các tệp thực thi nhị phân định dạng ELF (Executable and Linkable Format) trên hệ điều hành Linux của các thiết bị IoT hạn chế tài nguyên, bao gồm cả tệp mã độc (malware) và tệp lành tính (benign). Nguồn dữ liệu thu thập từ các hệ thống Honeypot (như IoTPOT), kho dữ liệu nghiên cứu quốc tế chia sẻ và các tệp nhị phân được trích xuất trực tiếp từ bản ảnh firmware thiết bị IoT thực tế.
  • Phạm vi nghiên cứu:
    • Về chủng loại mã độc: Tập trung vào dòng mã độc IoT Botnet trên thiết bị IoT.
    • Về thiết bị: Tập trung vào các thiết bị IoT hạn chế tài nguyên (constrained resource devices) theo phân loại của Bencheton [9] (như IP Camera, Wifi Router, Smart Hub).
    • Về phương pháp tiếp cận: Lựa chọn phương pháp phân tích động (Dynamic Analysis) kết hợp kỹ thuật học máy và biểu diễn đặc trưng đồ thị.

Tổng quan tài liệu và vị trí của luận án

Luận án tiến hành tổng hợp, phân tích các công trình nghiên cứu trong nước và quốc tế theo các nhóm tiếp cận:

Các nghiên cứu phát hiện mã độc IoT Botnet dựa trên luồng mạng (NIDS)

  • Rohan Doshi và cộng sự [32]: Sử dụng các thuật toán học máy KNN, SVM, Decision Tree (DT), Random Forest (RF) trên dữ liệu luồng mạng trích xuất (kích thước gói tin, khoảng cách giữa các gói, giao thức, băng thông, địa chỉ IP đích), đạt độ chính xác ACC = 99,80% (tập tự thu thập).
  • Alrashdi và cộng sự [33]: Áp dụng Random Forest trên tập dữ liệu UNSW-NB15 với 12 đặc trưng luồng mạng được tinh chọn (srcip, dstip, dur, dsport, ct-dst-src-ltm, ct-rsv-dst, ct-dst-ltm, ct-srcltm, ct-src-dport-ltm, dbytes, proto, is-ftp-login), đạt ACC = 99,34%.
  • Prokofiev và cộng sự [34]: Áp dụng Logistic Regression trên các đặc trưng luồng mạng (cổng đích, cổng nguồn, số lượng yêu cầu, kích thước trung bình gói tin, entropy gói tin...), đạt ACC = 97,30%.
  • Wu và cộng sự [35]: Trích xuất chuỗi lệnh điều khiển C&C Server qua Honeypot IoTPOT [43] từ các cổng Telnet/SSH và phân loại theo mô hình N-gram, đạt ACC = 90%.
  • Lê Kim Hùng và cộng sự [40]: Đề xuất hệ thống IMIDS áp dụng mạng nơ-ron tích chập (CNN) trên tập dữ liệu UNSW-NB15 và CICIDS2017, đạt độ chính xác trên 95%, tuy nhiên vẫn còn nhầm lẫn giữa tấn công Backdoor và DDoS.

Các nghiên cứu dựa trên lời gọi hệ thống và tài nguyên phần cứng (HIDS)

  • Breitenbacher và cộng sự [36]: Xây dựng Hades-IoT IDS dựa trên tập luật (rule-based) phân tích tên lời gọi, địa chỉ thanh ghi và tham số hệ thống.
  • Massimo Ficco và cộng sự [37]: Sử dụng mô hình chuỗi Markov phân tích chuỗi lời gọi hệ thống, đạt ACC = 89%.
  • Amin Azmoodeh và cộng sự [38]: Phân tích mức độ tiêu thụ điện năng của thiết bị IoT bằng thuật toán KNN, đạt ACC = 95,65%.
  • Woosub Jung và cộng sự [44]: Dùng thiết bị đo chuyên dụng Monsoon theo dõi điện năng tiêu thụ trên máy tính nhúng Raspberry Pi, kết hợp mạng CNN đạt độ chính xác 96,5% (hoặc 90% tùy kịch bản).
  • Shabtai và cộng sự [45]: Sử dụng thuật toán Naïve Bayes dựa trên mức chiếm dụng CPU, tiến trình, RAM, biến động thanh ghi, đạt ACC = 91,22%.
  • Trần Nghi Phú và cộng sự [39]: Sử dụng C500-Sandbox thu thập lời gọi hệ thống kiến trúc MIPS, trích xuất n-gram, đạt F1-score = 97,6% và ACC = 95,6%, nhưng môi trường chưa đủ điều kiện cho mã độc bộc lộ đầy đủ hành vi.
  • Ngô Quốc Dũng, Nguyễn Huy Trung và cộng sự [30, 74]: Tiếp cận phân tích tĩnh xây dựng đồ thị PSI-graph và Subgraph2vec, phân loại bằng Random Forest đạt ACC = 97,96%, AUC = 0,98. Tuy nhiên phương pháp tĩnh bị vô hiệu khi các chuỗi PSI bị mã hóa hoặc làm rối.

Bảng tổng hợp các nghiên cứu sử dụng đồ thị và chuỗi đặc trưng liên quan

Tác giả Kỹ thuật tiền xử lý dữ liệu Số chiều vector đặc trưng Thuật toán phân loại ACC (%) FPR (%) TPR (%) AUC
Alhaidari [70] Feature pruning 31 HMM 94,86 - <50,0 -
Alhanahnah [71] N-gram string texture features 400 K-means 85,97 - - -
Meidan [58] Extracting traffic statistics 115 Deep autoencoder - 1,7 - -
Shobana [73] N-gram, TF-IDF 184 RNN 98,31 - - -
Nguyen [74] Subgraph2Vec 140 Random Forest 97,96 - - 0,98

So sánh các hệ thống Sandbox IoT hiện có

Hệ thống Sandbox Tự động sinh báo cáo Đa kiến trúc CPU Hỗ trợ thư viện liên kết động Kết nối C&C Server Lời gọi hệ thống Luồng mạng Tương tác tệp Chiếm dụng tài nguyên
Cuckoo [49] Có Có Không Không Có Chưa đầy đủ Có Không
IoTBOX [43] Có Có Không Không Có Không Không Chưa đầy đủ
Limon [52] Không Không Không Không Có Có Có Không
REMnux [48] Không Không Không Không Không Có Không Không
Detux [54] Không Có Không Không Có Không Không Không
Padawan [53] Có Có Không Không Không Có Có Không
LiSa [51] Có Có Không Chưa đầy đủ Có Có Có Không

Khoảng trống nghiên cứu luận án giải quyết

Luận án định vị giải quyết 3 khoảng trống lớn:

  1. Xây dựng môi trường Sandbox (V-Sandbox) giải quyết triệt để vấn đề phụ thuộc thư viện liên kết động và thiếu giả lập C&C server trên môi trường mô phỏng đa kiến trúc.
  2. Xây dựng cấu trúc biểu diễn đặc trưng đồ thị lời gọi hệ thống có hướng (DSCG) nhằm giữ lại tính tuần tự và cấu trúc ngữ nghĩa của các lệnh hệ thống với số chiều xử lý tối ưu.
  3. Xây dựng mô hình học máy cộng tác kết hợp đa nguồn dữ liệu hành vi (lời gọi hệ thống, luồng mạng, tài nguyên phần cứng) cho phép phát hiện sớm mã độc IoT Botnet với lượng dữ liệu giám sát tối thiểu.

Cơ sở lý thuyết và phương pháp nghiên cứu

Cơ sở lý thuyết và khái niệm nền tảng

  • Khái niệm thiết bị IoT: Luận án kế thừa các định nghĩa của Kevin Ashton (1999) [11], Madakam (2015) [12], ITU [13], và chuẩn hóa: “Thiết bị IoT là các thiết bị có khả năng kết nối, chia sẻ dữ liệu, tài nguyên dựa trên các công nghệ thông tin truyền thông tương thích hiện có và đang phát triển, tự phản ứng với thay đổi của môi trường để đạt được một mục tiêu nhất định”.
  • Thiết bị IoT hạn chế tài nguyên: Theo chuẩn Bencheton [9], đây là các thiết bị có cấu tạo hạn chế về năng lực xử lý CPU, dung lượng bộ nhớ (RAM, ROM, Flash) và tiêu thụ năng lượng thấp.
  • Mã độc IoT Botnet: Luận án định nghĩa: “Mã độc IoT Botnet là mã độc có khả năng xâm nhập và lây nhiễm trên các thiết bị IoT hạn chế tài nguyên phục vụ mục đích xây dựng Botnet”.
  • Vòng đời của IoT Botnet: Luận án tổng hợp quy trình 5 bước: (1) Khởi tạo mã nguồn & dò quét lỗ hổng; (2) Lây nhiễm & tải shellcode/binary; (3) Kết nối với máy chủ C&C; (4) Thực thi hành vi độc hại (DDoS, spam, đào tiền ảo); (5) Cập nhật và bảo trì mạng lưới.
  • Mô hình nhúng từ và đồ thị: Cơ sở lý thuyết về Word2vec (kiến trúc CBOW và Skip-gram, biểu diễn one-hot sang không gian vector liên tục bằng hàm mất mát cross-entropy và hàm kích hoạt softmax) cùng các kỹ thuật Doc2vec, Graph2vec, Subgraph2vec làm nền tảng cho việc chuyển đổi đồ thị lời gọi hệ thống sang vector đặc trưng số học.

Phương pháp nghiên cứu

  1. Nghiên cứu lý thuyết: Khảo sát, hệ thống hóa các tài liệu khoa học chuyên ngành từ các cơ sở dữ liệu học thuật quốc tế (IEEE Xplore, ACM Digital Library, Google Scholar, Crossref) và các kỷ yếu hội thảo uy tín (USENIX, Blackhat, SOICT, ICCM, FAIR...).
  2. Nghiên cứu thực nghiệm:
    • Thu thập mẫu mã độc ELF đa kiến trúc từ nguồn IoTPOT Honeypot và trích xuất tệp nhị phân từ firmware thiết bị phần cứng thật (Router Netgear WNAP320) bằng công cụ C500-Extractor.
    • Xây dựng hệ thống phần mềm V-Sandbox tích hợp QEMU, mô-đun phân tích tệp ELF, máy chủ giả lập C&C và cơ sở dữ liệu thư viện liên kết động.
    • Lập trình trích xuất đồ thị DSCG, nhúng đồ thị và huấn luyện các thuật toán học máy phân lớp: K-Nearest Neighbors (KNN), Support Vector Machines (SVM), Decision Tree (DT), Random Forest (RF).
    • Thiết kế mô hình học máy cộng tác đa tầng dữ liệu (Early, Late, Intermediate Fusion) và đánh giá độ chính xác, ma trận nhầm lẫn, diện tích dưới đường cong ROC (AUC).

Nội dung chính theo từng chương

Chương 1: Tổng quan về thiết bị IoT và mã độc IoT Botnet

Chương 1 cung cấp cơ sở khoa học tổng quan về cấu trúc, phân lớp thiết bị IoT (mô hình 5 lớp của Gartner [16], mô hình tinh giản của Rahman [17]) và thực trạng an ninh thông tin.

So sánh đặc điểm Botnet truyền thống và IoT Botnet

Đặc điểm Mã độc Botnet truyền thống Mã độc IoT Botnet
Kiến trúc vi xử lý & Hệ điều hành Chủ yếu tập trung vào x86 và x64 (Intel, AMD); Hệ điều hành Windows, một phần nhỏ Linux, macOS. Đa dạng nền tảng kiến trúc CPU nhúng: MIPS, ARM, PowerPC, SPARC; Hệ điều hành nhúng nhân Linux (Embedded Linux).
Kỹ thuật gây rối Dùng kỹ thuật gây rối mã phức tạp, làm rối luồng điều khiển, mã hóa đa lớp. Ít dùng kỹ thuật gây rối phức tạp do hạn chế CPU/RAM; thường chỉ nén UPX hoặc mã hóa XOR cơ bản.
Mục đích sử dụng Đa mục đích: đánh cắp dữ liệu cá nhân, tống tiền (ransomware), đào tiền ảo, spam mail, DDoS. Tập trung chủ yếu vào tấn công từ chối dịch vụ phân tán (DDoS) do số lượng thiết bị lớn và phân tán toàn cầu.
Khả năng phát hiện Dễ phát hiện hơn nhờ có tương tác người dùng (GUI) và phần mềm diệt virus cập nhật liên tục. Khó phát hiện vì thiết bị hoạt động độc lập, không có màn hình giao diện tương tác trực tiếp với người dùng.
Vị trí lưu trữ Lưu trữ trên bộ nhớ bền vững (HDD, SSD), ghi bản sao vào Registry/Startup để duy trì lây nhiễm. Thường chỉ tải và thực thi trực tiếp trên bộ nhớ không bền vững (RAM) để tránh bị rà quét.
Ngăn chặn mã độc khác Thường không có (trừ khi có tranh chấp tài nguyên trực tiếp). Thường chủ động tắt cổng Telnet/SSH, tiêu diệt tiến trình của mã độc khác để độc chiếm tài nguyên thiết bị.

Chương này cũng phân tích chi tiết quy trình phát hiện mã độc bằng phân tích tĩnh và phân tích động (Bảng 1.2 trong văn bản), đánh giá các bộ dữ liệu luồng mạng chuẩn (KDD99, NSL-KDD, UNSW-NB15, N-BaIoT, CSE-CIC-IDS2018), đồng thời chỉ ra việc trích xuất 80 đặc trưng luồng mạng bằng công cụ CICFlowMeter-V3 là phương án tiền xử lý hiệu quả.

Chương 2: Xây dựng môi trường Sandbox thu thập hiệu quả dữ liệu hành vi của mã độc IoT Botnet

Chương 2 trình bày thiết kế kiến trúc và quy trình vận hành của V-Sandbox nhằm tự động hóa quá trình kích hoạt và giám sát hành vi của tệp tin ELF.

Kiến trúc tổng thể V-Sandbox gồm 8 thành phần chính:

  1. Khối trích xuất thông tin thuộc tính cơ bản của ELF (EME): Sử dụng công cụ readelf để đọc Header ELF, xác định kiến trúc CPU đích (MIPS, ARM...), loại liên kết (Static hay Dynamic) và danh sách thư viện liên kết động yêu cầu.
  2. Khối sinh cấu hình hoạt động Sandbox (SCG): Tự động sinh tệp cấu hình tham số cho môi trường máy ảo SE tương ứng với kiến trúc của tệp ELF.
  3. Môi trường Sandbox (SE): Môi trường thực thi ảo hóa dựa trên QEMU với các tác tử giám sát (Agents):
    • SystemCall Agent: Giám sát toàn bộ chuỗi lời gọi hệ thống theo thời gian thực.
    • File Agent: Ghi nhận hành vi tạo, sửa, xóa tệp tin và thư mục.
    • Host Performance Agent: Đo lường mức độ chiếm dụng CPU, dung lượng RAM.
    • Network Agent: Bắt toàn bộ lưu lượng gói tin mạng vào/ra.
  4. Khối tiền xử lý dữ liệu thô thu thập được (RDP): Chuẩn hóa dữ liệu thô thu nhận từ các tác tử trong SE.
  5. Khối tính toán khả năng thực thi lại Sandbox (SR): Đánh giá mức độ hoàn thành hành vi của tệp tin; nếu thiếu tài nguyên hoặc thư viện, cấu hình lại môi trường để thực thi lại.
  6. Bộ giả lập máy chủ C&C (C&C Simulator): Đóng vai trò máy chủ C&C ảo, phản hồi các gói tin bắt tay từ Bot để kích thích mã độc bộc lộ các hành vi tấn công tiếp theo trong vòng đời.
  7. Cơ sở dữ liệu thư viện liên kết động (Shared Object DB): Lưu trữ các tệp thư viện .so được trích xuất từ các bản phân phối Linux và firmware thực tế (như Router Netgear WNAP320 qua thiết bị C500-Extractor), tự động liên kết khi tệp ELF có yêu cầu.
  8. Khối sinh báo cáo tự động (Report): Tổng hợp và xuất báo cáo hành vi hoàn chỉnh của mẫu phân tích.

Chương 2 thực hiện thử nghiệm đối sánh giữa V-Sandbox với LiSa Sandbox và Cuckoo Sandbox, chứng minh khả năng thực thi thành công các mẫu ELF liên kết động mà các hệ thống khác không chạy được.

Chương 3: Đặc trưng đồ thị lời gọi hệ thống có hướng trong phát hiện mã độc IoT Botnet

Chương 3 giải quyết bài toán biểu diễn dữ liệu lời gọi hệ thống thu được từ V-Sandbox bằng đồ thị lời gọi hệ thống có hướng DSCG (Directed System Call Graph).

Phương pháp xây dựng đồ thị DSCG

  • Khái niệm DSCG: Đồ thị có hướng biểu diễn chuỗi các lời gọi hệ thống, trong đó mỗi đỉnh (node) đại diện cho một loại lời gọi hệ thống duy nhất, và mỗi cung có hướng (directed edge) đại diện cho quan hệ chuyển tiếp tuần tự giữa lời gọi hệ thống đứng trước và lời gọi hệ thống đứng liền sau trong tiến trình thực thi.
  • Biểu diễn dữ liệu: Cấu trúc đồ thị DSCG được chuẩn hóa và lưu trữ dưới định dạng tệp XML/GEXF (.gexf).
  • Nhúng đồ thị (Graph Embedding): Luận án áp dụng kỹ thuật nhúng Graph2vec (dựa trên nguyên lý Doc2vec/Word2vec) để biến đổi toàn bộ cấu trúc đồ thị DSCG của mỗi mẫu thành một vector đặc trưng có số chiều cố định, bảo toàn cả cấu trúc topo và mối quan hệ thứ tự.

Kết quả thử nghiệm và đánh giá

Thực nghiệm được triển khai trên tập dữ liệu chuẩn từ Honeypot IoTPOT kết hợp các thuật toán học máy phân loại KNN, SVM, Decision Tree và Random Forest qua nhiều kịch bản điều chỉnh siêu tham số và phân chia tập dữ liệu. Kết quả vẽ đường cong ROC và các chỉ số đo lường (ACC, Precision, Recall, F1-score, AUC) cho thấy đặc trưng DSCG kết hợp thuật toán Random Forest đạt hiệu quả phân loại tối ưu, vượt trội hơn so với các phương pháp trích xuất N-gram hay PSI-graph tĩnh trước đó.

Chương 4: Mô hình học máy cộng tác phát hiện sớm mã độc IoT Botnet

Chương 4 nghiên cứu xây dựng mô hình học máy cộng tác (Collaborative Machine Learning / Data Fusion) nhằm giải quyết bài toán phát hiện sớm với lượng dữ liệu động tối thiểu.

Cấu trúc mô hình học máy cộng tác gồm 6 thành phần:

  1. Môi trường Sandbox (SC): Vận hành môi trường thực thi để thu thập dữ liệu hành vi trong các khoảng thời gian ngắn (cửa sổ phân tích sớm).
  2. Tiền xử lý dữ liệu (PPDC): Trích xuất đồng thời 3 luồng dữ liệu: chuỗi lời gọi hệ thống, 80 đặc trưng luồng mạng (CICFlowMeter-V3) và thông số tải tài nguyên phần cứng.
  3. Chuẩn hóa dữ liệu tiền xử lý (DNC): Đưa các giá trị về cùng thang đo chuẩn.
  4. Trích chọn đặc trưng phù hợp: Lựa chọn tập đặc trưng có độ lợi thông tin cao nhất từ 3 nhóm dữ liệu.
  5. Bộ phân lớp học máy (MLC): Huấn luyện các bộ phân loại thành phần trên từng không gian đặc trưng.
  6. Hàm hợp nhất (FC): Ứng dụng các cơ chế hợp nhất dữ liệu (Early Fusion, Late Fusion, Intermediate Fusion) để kết hợp kết quả từ các bộ phân loại thành phần nhằm đưa ra quyết định cuối cùng.

Kết quả thực nghiệm phát hiện sớm

Luận án tiến hành thử nghiệm phân tích phát hiện mã độc theo 1 pha phân tích và 2 pha phân tích trên tập dữ liệu kiểm nghiệm và các mẫu nằm ngoài dataset. Kết quả chứng minh mô hình cộng tác cho phép đưa ra kết luận phân loại chính xác mẫu mã độc IoT Botnet chỉ sau khoảng thời gian thực thi ngắn ở giai đoạn đầu, giảm thiểu đáng kể thời gian chiếm dụng tài nguyên của Sandbox mà vẫn duy trì tỷ lệ âm tính giả (FNR) ở mức rất thấp.

Kết quả và những đóng góp mới

Luận án tự xác định 3 đóng góp khoa học chính về mặt lý luận và thực tiễn:

  1. Về môi trường thu thập dữ liệu hành vi: Xây dựng thành công hệ thống V-Sandbox hoạt động hoàn toàn tự động, mã nguồn mở, cài đặt dễ dàng và có tính thực tiễn cao. V-Sandbox khắc phục các nhược điểm của các hệ thống sandbox IoT hiện có nhờ tích hợp bộ giả lập C&C Simulator và cơ sở dữ liệu thư viện liên kết động (Shared Object DB), đảm bảo mã độc IoT Botnet có thể thực thi trọn vẹn vòng đời và thu thập đồng thời đầy đủ 3 nhóm dữ liệu động (lời gọi hệ thống, luồng mạng, tài nguyên phần cứng).
  2. Về phương pháp trích xuất đặc trưng: Đề xuất đặc trưng đồ thị lời gọi hệ thống có hướng (Directed System Call Graph - DSCG) giúp cấu trúc hóa một cách tuần tự và bảo toàn ngữ nghĩa các lời gọi hệ thống thu được từ môi trường V-Sandbox. Phương pháp tiền xử lý dữ liệu và nhúng đồ thị DSCG có độ phức tạp tính toán thấp, dễ dàng áp dụng hiệu quả với các thuật toán học máy cơ bản.
  3. Về mô hình phát hiện sớm: Đề xuất mô hình học máy cộng tác phát hiện sớm mã độc IoT Botnet mới, có khả năng kết hợp đa nguồn đặc trưng hành vi (lời gọi hệ thống, luồng mạng, tài nguyên phần cứng). Mô hình cho phép phát hiện mã độc với mức thu thập dữ liệu động tối thiểu trong thời gian ngắn mà vẫn đảm bảo độ chính xác cao và tỷ lệ âm tính giả thấp.

Hạn chế và hướng nghiên cứu tiếp

Căn cứ theo nội dung và phạm vi nghiên cứu được trình bày trong văn bản luận án:

  • Hạn chế:
    • Nghiên cứu tập trung chủ yếu vào các tệp thực thi định dạng ELF trên hệ điều hành nhân Linux của các thiết bị IoT hạn chế tài nguyên phổ biến (chủ yếu là kiến trúc vi xử lý MIPS, ARM).
    • Khả năng mô phỏng của C&C Simulator và cơ sở dữ liệu Shared Object DB phụ thuộc vào mức độ phong phú của tập mẫu và kho thư viện trích xuất từ firmware thu thập được.
    • Các biến thể mã độc sử dụng kỹ thuật phát hiện môi trường ảo hóa tinh vi hoặc giao tiếp C&C qua kênh mã hóa phức tạp riêng biệt có thể gây cản trở cho quá trình trích xuất hành vi đầy đủ.
  • Hướng nghiên cứu tiếp:
    • Tiếp tục bổ sung và mở rộng cơ sở dữ liệu thư viện liên kết động (Shared Object DB) từ nhiều chủng loại firmware của các nhà sản xuất thiết bị IoT khác nhau.
    • Nâng cấp bộ giả lập C&C Simulator hỗ trợ các giao thức điều khiển mới và cơ chế giải mã lưu lượng động theo ngữ cảnh.
    • Nghiên cứu tối ưu hóa hàm hợp nhất (FC) trong mô hình học máy cộng tác và áp dụng các kỹ thuật học sâu nâng cao để phân loại biến thể mã độc theo thời gian thực.

Giá trị tham khảo

Luận án là tài liệu tham khảo chuyên sâu trong các lĩnh vực:

  • Nghiên cứu sinh, học viên cao học và sinh viên chuyên ngành Công nghệ thông tin, Hệ thống thông tin, An toàn thông tin: Tham khảo quy trình nghiên cứu phân tích động mã độc IoT, kỹ thuật trích xuất đặc trưng đồ thị lời gọi hệ thống DSCG và kỹ thuật nhúng đồ thị Graph2vec.
  • Giảng viên và các nhà nghiên cứu: Sử dụng nội dung Chương 1 và Chương 2 làm tài liệu giảng dạy, nghiên cứu về kiến trúc an toàn hệ thống nhúng IoT, các kỹ thuật phân tích mã độc đa kiến trúc và xây dựng môi trường Sandbox tùy biến trên nền QEMU.
  • Chuyên viên an ninh mạng, kỹ sư phân tích mã độc tại các Trung tâm SOC/CERT: Tham khảo thiết kế kiến trúc của V-Sandbox để triển khai các hệ thống tự động hóa phân tích mã độc nhị phân Linux ELF, cũng như ứng dụng mô hình học máy cộng tác để phát hiện sớm các cuộc tấn công DDoS từ mạng lưới Botnet trong hệ thống mạng thực tế.

Câu hỏi thường gặp

1. V-Sandbox giải quyết các hạn chế nào của các hệ thống Sandbox IoT hiện hữu như Cuckoo hay LiSa?

V-Sandbox giải quyết hai điểm nghẽn lớn nhất của các Sandbox IoT hiện tại:

  • Bổ sung cơ sở dữ liệu thư viện liên kết động (Shared Object DB) trích xuất từ firmware thực tế, giúp các tệp ELF dạng liên kết động (dynamically linked) chạy thành công mà không bị dừng đột ngột do thiếu thư viện.
  • Tích hợp bộ giả lập C&C Simulator để phản hồi tương tác mạng, kích hoạt mã độc bộc lộ toàn bộ các hành vi độc hại tiếp theo trong vòng đời thay vì chỉ dừng lại ở bước gửi yêu cầu kết nối đầu tiên.

2. Đặc trưng đồ thị lời gọi hệ thống có hướng (DSCG) có ưu điểm gì so với phương pháp phân tích chuỗi lời gọi hệ thống truyền thống?

Phương pháp tiếp cận chuỗi truyền thống nếu xem các lời gọi hệ thống là thuộc tính rời rạc (categorical) sẽ làm mất thứ tự thực thi trước sau; nếu dùng N-gram thông thường thì số chiều đặc trưng tăng rất cao và khó biểu diễn cấu trúc phụ thuộc. Đồ thị DSCG cấu trúc hóa chuỗi lệnh thành đồ thị có hướng, bảo toàn mối quan hệ chuyển tiếp tuần tự và ngữ nghĩa thực thi, sau đó sử dụng kỹ thuật nhúng đồ thị (Graph2vec) để nén về vector đặc trưng số chiều cố định với độ phức tạp tính toán thấp.

3. Mô hình học máy cộng tác tại Chương 4 thực hiện bài toán phát hiện sớm mã độc IoT Botnet như thế nào?

Mô hình sử dụng cơ chế hợp nhất đa nguồn dữ liệu (lời gọi hệ thống, 80 đặc trưng luồng mạng từ CICFlowMeter-V3, thông số chiếm dụng CPU/RAM) qua hàm hợp nhất FC. Nhờ sự bổ trợ lẫn nhau giữa các đặc trưng, mô hình có thể đưa ra quyết định phân lớp chính xác ngay trong pha giám sát ban đầu với lượng dữ liệu động tối thiểu, rút ngắn thời gian mẫu phải chạy trong Sandbox.

4. Ba nhóm dữ liệu động chính được luận án thu thập và phân tích là gì?

Ba nhóm dữ liệu động gồm:

  1. Chuỗi lời gọi hệ thống (System calls) thu thập qua SystemCall Agent trong môi trường máy ảo.
  2. Lưu lượng gói tin luồng mạng (Network traffic) trích xuất thành 80 đặc trưng luồng.
  3. Thông tin tương tác chiếm dụng tài nguyên phần cứng (Host performance) gồm tỷ lệ sử dụng CPU, bộ nhớ RAM và các thao tác trên tệp tin hệ thống.

Kết luận

Luận án tiến sĩ của nghiên cứu sinh Lê Hải Việt đã hoàn thành toàn diện các mục tiêu nghiên cứu đặt ra trong bài toán phân tích và phát hiện mã độc IoT Botnet trên các thiết bị hạn chế tài nguyên bằng phương pháp phân tích động. Công trình đã xây dựng thành công hệ thống V-Sandbox tự động đa kiến trúc tích hợp C&C Simulator và Shared Object DB; đề xuất đặc trưng đồ thị lời gọi hệ thống có hướng DSCG tối ưu; đồng thời phát triển mô hình học máy cộng tác hỗ trợ phát hiện sớm mã độc với độ chính xác cao và dữ liệu thu thập tối thiểu. Toàn bộ các kết quả lý thuyết và thực nghiệm của luận án đã được công bố trên các tạp chí, kỷ yếu hội thảo khoa học chuyên ngành, đóng góp thiết thực cho công tác nghiên cứu và bảo đảm an toàn thông tin cho hệ sinh thái IoT.