Tổng quan về luận án

Sự bùng nổ của cuộc Cách mạng Công nghiệp lần thứ tư đã biến công nghệ Vạn vật kết nối Internet (Internet of Things - IoT) thành hạ tầng cốt lõi cho các đô thị thông minh, hệ thống điều khiển công nghiệp SCADA, giao thông tự hành và y tế số. Theo thống kê của Cisco, năm 2020 ghi nhận hơn 50 tỷ thiết bị kết nối Internet trên phạm vi toàn cầu. Báo cáo của IoT Analytics chỉ ra rằng trong giai đoạn 2018–2025, số lượng thiết bị IoT tăng trưởng vượt bậc hơn 200% (từ 7 tỷ lên 21,5 tỷ thiết bị), vượt xa mức tăng trưởng khiêm tốn 18% của các thiết bị máy tính truyền thống (từ 10,8 tỷ lên 12,7 tỷ). Tuy nhiên, cơ sở hạ tầng nhúng (embedded system) của các thiết bị IoT phần lớn bị hạn chế nghiêm trọng về năng lực xử lý (CPU), dung lượng bộ nhớ (RAM, Flash ROM) và tiêu thụ điện năng. Đặc điểm này khiến việc tích hợp các cơ chế bảo mật tiêu chuẩn trở nên bất khả thi, biến các thiết bị IoT hạn chế tài nguyên thành mục tiêu xâm nhập hàng đầu của các mạng lưới mã độc botnet. Gartner từng đưa ra dự báo 25% các cuộc tấn công mạng doanh nghiệp đều liên quan trực tiếp đến thiết bị IoT. Tại Việt Nam, khảo sát của Tập đoàn BKAV đối với 21 triệu thiết bị định tuyến trên toàn cầu đã phát hiện 5,6 triệu thiết bị dính lỗ hổng nghiêm trọng PetHole (trong đó Việt Nam chiếm 5,9%), cho phép tin tặc dễ dàng chiếm đoạt toàn bộ quyền quản trị. Đỉnh điểm là sự xuất hiện của các biến thể IoT Botnet khét tiếng như Mirai và Bashlite; trong đó, Mirai đã khai thác 62 cặp tài khoản - mật khẩu mặc định được mã hóa cứng (hardcoded credentials) để xây dựng mạng botnet hơn 500.000 thiết bị, tạo ra các đợt tấn công từ chối dịch vụ phân tán (DDoS) kỷ lục lên tới 620 Gbps.

+-------------------------------------------------------------------------+
|                  KHUNG PHÂN TÍCH TOÀN DIỆN V-SANDBOX                    |
+-------------------------------------------------------------------------+
                                    |
                                    v
     +---------------------------------------------------------------+
     |              Môi trường V-Sandbox Tự động hóa                |
     |   [ELF Extractor] -> [SCG Config] -> [QEMU SE Engine]        |
     |   [C&C Simulator] <-> [Shared Object DB] -> [RDP Processor]  |
     +---------------------------------------------------------------+
                                    |
                                    v
     +---------------------------------------------------------------+
     |         Không gian Đặc trưng Đa chiều & Tuần tự                |
     |  - Đồ thị DSCG (Directed System Call Graph & Graph Embedding) |
     |  - Dữ liệu Luồng mạng (80 Đặc trưng chuẩn CICFlowMeter)       |
     |  - Dữ liệu Chiếm dụng Tài nguyên Phần cứng (CPU, RAM, I/O)    |
     +---------------------------------------------------------------+
                                    |
                                    v
     +---------------------------------------------------------------+
     |        Mô hình Học máy Cộng tác Đa nguồn (Multi-View)         |
     |  - Phân loại Độc lập từng View (MLC - SVM/RF/KNN/DT)          |
     |  - Cơ chế Hợp nhất Trung gian & Phát hiện Sớm Đa tầng (FC)    |
     +---------------------------------------------------------------+

Trước thực trạng cấp bách đó, luận án tiến sĩ chuyên ngành Hệ thống thông tin với đề tài "Nghiên cứu xây dựng hệ thống V-Sandbox trong phân tích và phát hiện mã độc IoT Botnet" do Nghiên cứu sinh Lê Hải Việt thực hiện (dưới sự hướng dẫn khoa học của TS. Ngô Quốc Dũng và GS. Vũ Đức Thi tại Học viện Khoa học và Công nghệ – Viện Hàn lâm Khoa học và Công nghệ Việt Nam) đã xác lập một hướng tiếp cận đột phá.

Luận án chỉ ra khoảng trống nghiên cứu cốt lõi (research gap): Các kỹ thuật phân tích tĩnh (Static Analysis) như trích xuất đồ thị chuỗi in được PSI-graph (Ngo Quoc Dung et al., 2020) hoàn toàn bị vô hiệu hóa trước các kỹ thuật gây rối mã (code obfuscation), đóng gói nhị phân (packing) và mã hóa chuỗi; ngược lại, các hệ thống phân tích động (Dynamic Sandbox) hiện hữu như Cuckoo Sandbox (Oktavianto, 2013), IoTBox (Yin et al., 2014) hay LiSa (Daniel Uhricek, 2020) lại gặp thất bại nghiêm trọng do không hỗ trợ đa kiến trúc CPU nhúng, thiếu hụt cơ sở dữ liệu thư viện liên kết động (.so) dẫn đến việc mẫu mã độc chết yểu khi nạp, và hoàn toàn cô lập mã độc khiến chúng không thể giao tiếp với máy chủ ra lệnh điều khiển (C&C Server) để bộc lộ hành vi tấn công. Đồng thời, việc mô hình hóa chuỗi lời gọi hệ thống (system calls) trong các nghiên cứu tiền nhiệm (Alhaidari et al., 2018; Shobana et al., 2020) thường xem các lời gọi hệ thống là các biến rời rạc độc lập (categorical attributes), làm mất hoàn toàn ngữ cảnh thời gian và mối quan hệ nhân quả tuần tự.

Luận án thiết lập hệ thống câu hỏi nghiên cứu ($RQ$) và giả thuyết khoa học ($H$) cụ thể:

  • $RQ_1$: Làm thế nào để xây dựng một môi trường sandbox ảo hóa tự động, hỗ trợ đa kiến trúc vi xử lý nhúng, có khả năng giả lập tương tác máy chủ C&C và tự động bù đắp thư viện liên kết động để kích hoạt trọn vẹn vòng đời của mã độc IoT Botnet?
  • $H_1$: Một kiến trúc sandbox tích hợp bộ sinh cấu hình tự động (SCG), cơ sở dữ liệu thư viện dùng chung (Share Object DB) và bộ giả lập C&C sẽ nâng tỷ lệ thực thi thành công của các mẫu ELF IoT Botnet lên mức tối đa so với các sandbox mã nguồn mở hiện hành.
  • $RQ_2$: Phương pháp biểu diễn chuỗi lời gọi hệ thống động dưới dạng cấu trúc đồ thị nào có thể bảo toàn tính tuần tự và ngữ nghĩa hành vi mà không làm bùng nổ không gian tính toán?
  • $H_2$: Đồ thị lời gọi hệ thống có hướng (Directed System Call Graph - DSCG) kết hợp với kỹ thuật nhúng đồ thị (Graph Embedding) cho phép ánh xạ hành vi mã độc vào không gian vector mật độ cao, giúp các thuật toán học máy đạt độ chính xác phân loại vượt trội so với các mô hình n-gram truyền thống.
  • $RQ_3$: Làm thế nào để phát hiện sớm mã độc IoT Botnet với lượng dữ liệu giám sát tối thiểu mà vẫn duy trì tỷ lệ âm tính giả (FPR) thấp nhất?
  • $H_3$: Mô hình học máy cộng tác đa nguồn (kết hợp luồng mạng, lời gọi hệ thống và mức chiếm dụng tài nguyên) thông qua hàm hợp nhất đa tầng sẽ cho phép nhận diện chính xác mã độc ngay từ giai đoạn đầu của quá trình thực thi.

Khung lý thuyết (theoretical framework) của luận án là sự giao thoa liên ngành giữa Lý thuyết Đồ thị (Graph Theory), Lý thuyết Biểu diễn Ngữ nghĩa Hành vi (Behavioral Semantic Embedding) và Lý thuyết Học máy Đa góc nhìn (Multi-view Learning). Phạm vi nghiên cứu tập trung vào các tệp thực thi định dạng Linux ELF (Executable and Linkable Format) đa kiến trúc (ARM, MIPS, MIPSEL, PowerPC, SPARC, x86, x64) thu thập từ hệ thống Honeypot IoTPOT, kho mẫu học thuật quốc tế và dữ liệu trích xuất trực tiếp từ firmware của các dòng router thương mại (như Netgear WNAP320) thông qua thiết bị chuyên dụng C500-Extractor.

Literature Review và Positioning

Nghiên cứu về an toàn thông tin cho thiết bị IoT phân hóa thành các trường phái tiếp cận với những đóng góp và mâu thuẫn lý thuyết sâu sắc:

Trường phái phân tích luồng mạng (NIDS): Doshi et al. (2018) ứng dụng Random Forest đạt độ chính xác 99,8% trong việc phát hiện lưu lượng DDoS trên các thiết bị IoT gia dụng thông qua các đặc trưng kích thước gói tin và khoảng thời gian giữa các gói tin; Alrashdi et al. (2019) sử dụng bộ dữ liệu UNSW-NB15 để phát hiện botnet trong đô thị thông minh với độ chính xác 99,34%; Prokofiev et al. (2019) khai thác thuật toán Logistic Regression đạt 97,3% dựa trên phân tích cổng và entropy gói tin. Nhược điểm chí mạng của trường phái NIDS là hoàn toàn bất lực trước lưu lượng mạng bị mã hóa (TLS/SSH) và không thể phân tích được mã độc ở giai đoạn lây nhiễm cục bộ khi chưa phát sinh hành vi quét mạng diện rộng.

Trường phái phân tích tĩnh nhị phân: Ngo Quoc Dung et al. (2020) và Nguyen Huy Trung et al. (2021) tiên phong xây dựng đồ thị thông tin chuỗi in được (PSI-graph) từ mã nguồn dịch ngược (disassembly) của tệp ELF, kết hợp mạng nơ-ron tích chập (CNN) và kỹ thuật Subgraph2vec để giảm chiều vector từ 533.564 xuống 140 chiều, đạt F1-score 98,6% và AUC đạt 0,99. Tuy nhiên, phân tích tĩnh bộc lộ lỗ hổng lý thuyết cơ bản: nếu kẻ tấn công sử dụng các thuật toán làm rối mã (obfuscation), mã hóa chuỗi động (string encryption) hoặc nén nhị phân (UPX packing), các chuỗi PSI sẽ bị triệt tiêu, khiến mô hình phân tích tĩnh mất hoàn toàn năng lực trích xuất đặc trưng.

Trường phái phân tích động và Sandbox: Costin et al. (2014) khảo sát 32.256 firmware thiết bị mạng, phát hiện 38 lớp lỗ hổng bảo mật chưa từng biết và trích xuất 35.000 khóa bí mật RSA. Để kích hoạt và quan sát hành vi mã độc trong môi trường động, nhiều hệ thống sandbox đã được phát triển: Cuckoo Sandbox (Oktavianto, 2013) là chuẩn mực cho môi trường Windows/x86 nhưng hỗ trợ rất yếu cho các dòng vi xử lý nhúng; IoTBox (Yin et al., 2014) tích hợp cùng IoTPOT để giám sát mã độc trên 8 kiến trúc CPU thông qua QEMU, tuy nhiên thử nghiệm thực tế trên 52 mẫu mã độc cho thấy có 5 mẫu không thể thực thi do thiếu thư viện liên kết động, đồng thời IoTBox chỉ bắt được lưu lượng mạng mà bỏ qua toàn bộ hành vi hệ thống nội tại; LiSa Sandbox (Daniel Uhricek, 2020) ứng dụng SystemTap để theo dõi lời gọi hệ thống và luồng mạng trên kiến trúc ARM/MIPS nhưng hoàn toàn thiếu vắng cơ chế giả lập C&C Server, khiến các dòng botnet cao cấp lập tức rơi vào trạng thái ngủ đông (dormant state) nhằm ẩn giấu hành vi.

+--------------------------------------------------------------------------------------------------+
|                   SO SÁNH ĐỐI VỊ THỰC NGHIỆM VỚI CÁC SANDBOX QUỐC TẾ HÀNG ĐẦU                    |
+--------------------------------------------------------------------------------------------------+
| Tiêu chí So sánh        | Cuckoo [49]       | IoTBox [43]       | LiSa [51]         | V-Sandbox  |
+-------------------------+-------------------+-------------------+-------------------+------------+
| Hỗ trợ Đa kiến trúc CPU | Hạn chế (chủ yếu  | Hỗ trợ qua QEMU   | Hỗ trợ qua QEMU   | Toàn diện  |
|                         | x86/x64)          | (MIPS, ARM, PPC)  | (ARM, MIPS, x86)  | (Tự động)  |
| Bù đắp Thư viện Động    | Không             | Không (gây lỗi    | Chưa đầy đủ       | Tự động    |
| (Shared Object DB)      |                   | nạp thực thi)     |                   | liên kết   |
| Giả lập C&C Server      | Không             | Không             | Không             | Có         |
| Thu thập Lời gọi Hệ     | Có                | Không             | Có (SystemTap)    | Toàn diện  |
| thống (System Calls)    |                   |                   |                   | (SysAgent) |
| Giám sát Tài nguyên     | Không             | Không             | Không             | Toàn diện  |
| Phần cứng (Host Perf)   |                   |                   |                   | (HostAgent)|
| Khả năng Thực thi lại   | Thủ công          | Không             | Không             | Tự động    |
| Tự động (Replayability) |                   |                   |                   | (Khối SR)  |
+--------------------------------------------------------------------------------------------------+

Về mặt lý thuyết tiền xử lý lời gọi hệ thống, các nghiên cứu tiền nhiệm chia làm hai luồng đối nghịch:

  1. Mô hình thuộc tính rời rạc (Categorical/Bag-of-Words): Xem các system calls là các biến độc lập ngẫu nhiên ($i.i.d$), sử dụng kiểm tra logic $value(A) \in D(X)$ (Alhaidari et al., 2018 với HMM đạt ACC 94,86% nhưng TPR dưới 50%; Alhanahnah et al., 2018 sử dụng N-gram string đạt ACC 85,97%). Hạn chế của luồng này là tính chất hoán vị của tập hợp làm biến mất hoàn toàn trình tự xuất hiện của các hành vi can thiệp hệ thống.
  2. Mô hình chuỗi thời gian (Sequential Models): Shobana et al. (2020) áp dụng N-gram và TF-IDF kết hợp mạng hồi quy RNN đạt độ chính xác 98,31%, nhưng việc tính toán TF-IDF trên chuỗi dài làm tăng đột biến chi phí bộ nhớ và mới chỉ kiểm thử trên tập mẫu giới hạn gồm 200 mẫu mã độc và 200 mẫu lành tính.

Vị thế khoa học của luận án: Luận án định vị tại điểm giao thoa hoàn hảo giữa việc khắc phục triệt để các rào cản thực thi động của Sandbox (thông qua hệ thống V-Sandbox) và giải quyết trọn vẹn bài toán bảo toàn ngữ nghĩa chuỗi hành vi với độ phức tạp tính toán tối ưu (thông qua Đồ thị lời gọi hệ thống có hướng DSCG và Mô hình học máy cộng tác đa nguồn).

Đóng góp lý thuyết và khung phân tích

+-------------------------------------------------------------------------+
|                  CẤU TRÚC ĐỒ THỊ LỜI GỌI HỆ THỐNG (DSCG)                |
+-------------------------------------------------------------------------+
       ( sys_open ) ------[ w=1 ]------> ( sys_read )
             |                                 |
           [w=2]                             [w=1]
             v                                 v
       ( sys_mmap )                      ( sys_socket )
             |                                 |
           [w=1]                             [w=3]
             v                                 v
       ( sys_write ) <-----[ w=2 ]------- ( sys_connect )

Đóng góp cho lý thuyết

Luận án mở rộng và làm sâu sắc thêm ba nền tảng lý thuyết cốt lõi trong an toàn thông tin và khoa học dữ liệu:

  1. Lý thuyết Biểu diễn Hành vi Động (Dynamic Behavioral Modeling Theory): Thách thức trực tiếp quan điểm coi lời gọi hệ thống là các biến ngẫu nhiên độc lập. Luận án chứng minh một cách chặt chẽ rằng các thao tác độc hại của IoT Botnet (như vô hiệu hóa tiến trình bảo mật đối thủ, mở socket mạng, gửi yêu cầu tấn công) tuân theo cấu trúc ngữ pháp chuyển trạng thái tất định. Việc mô hình hóa chuỗi system call dưới dạng đồ thị có hướng $G = (V, E, W)$ bảo toàn toàn vẹn tính nhân quả của hành vi mã độc.
  2. Lý thuyết Nhúng Cấu trúc Đồ thị (Graph Representation Learning Theory): Mở rộng các mô hình nhúng ngôn ngữ (như Word2vec với kiến trúc CBOW và Skip-gram của Mikolov) sang không gian cấu trúc đồ thị lời gọi hệ thống. Thay vì trích xuất ma trận kề thưa thớt khổng lồ gây bùng nổ không gian tính toán, luận án chuyển đổi các đồ thị hành vi DSCG thành các vector đặc trưng mật độ thấp (dense feature vectors) có chiều cố định, giữ vững khoảng cách ngữ nghĩa giữa các biến thể mã độc cùng họ.
  3. Lý thuyết Học kết hợp Đa góc nhìn (Multi-View Learning Theory): Xây dựng cơ sở toán học cho việc dung hợp ba không gian đặc trưng dị thể: đặc trưng hình thái đồ thị hệ thống (Graph View), đặc trưng hành vi giao tiếp mạng (Network Flow View) và đặc trưng chiếm dụng tài nguyên vật lý (Host Resource View).

Các định đề lý thuyết được xác lập:

  • Định đề 1 ($P_1$): Mọi biến thể mã độc IoT Botnet thuộc cùng một dòng họ (family), dù bị làm rối mã nhị phân ở mức cú pháp, đều biểu diễn các chu trình con đồng cấu (isomorphic subgraphs) bất biến trong đồ thị DSCG khi được kích hoạt trong môi trường sandbox tương thích hoàn chỉnh.
  • Định đề 2 ($P_2$): Khoảng cách vector giữa các đồ thị DSCG trong không gian nhúng tỷ lệ nghịch với mức độ tương đồng về chuỗi mục tiêu tấn công của mã độc trong nhân Linux.
  • Định đề 3 ($P_3$): Xác suất phát hiện sớm mã độc $P(Malware | V_{net} \cup V_{sys} \cup V_{host})$ tại thời điểm $t < t_{complete}$ luôn đơn điệu tăng và có chặn dưới lớn hơn bất kỳ xác suất của mô hình đơn góc nhìn nào.

Khung phân tích độc đáo

Khung phân tích của luận án tích hợp một cách khoa học ba cấu phần:

  • Mô hình đồ thị DSCG: Được định nghĩa toán học là một đồ thị có hướng có trọng số $G = (V, E, W)$, trong đó tập đỉnh $V = {v_1, v_2, ..., v_n}$ đại diện cho các hàm system call duy nhất được kích hoạt (như sys_socket, sys_connect, sys_write, sys_open, sys_mmap); tập cạnh có hướng $E = {(v_i, v_j) | v_i, v_j \in V}$ biểu diễn quan hệ chuyển đổi tuần tự trực tiếp từ system call $v_i$ sang $v_j$; và ma trận trọng số $W: E \rightarrow \mathbb{N}^+$ lưu trữ tần suất xuất hiện của bước chuyển tiếp $(v_i, v_j)$ trong suốt phiên thực thi.
  • Quy trình Vector hóa Đồ thị: Ứng dụng kỹ thuật Doc2vec / Graph2vec để trích xuất cấu trúc vùng lân cận có bán kính $d$, chuyển đổi đồ thị DSCG lưu trữ dưới định dạng chuẩn .gexf thành vector thực $d$-chiều tối ưu cho các thuật toán phân lớp.
  • Điều kiện biên (Boundary Conditions): Mô hình thiết lập các điều kiện biên nghiêm ngặt: (1) Mẫu ELF phân tích phải có khả năng nạp vào bộ nhớ mà không bị lỗi cấu trúc tệp nhị phân cốt lõi; (2) Môi trường mạng sandbox phải duy trì độ trễ tương đương mạng Internet thực để tránh việc mã độc kích hoạt cơ chế time-out né tránh; (3) Cửa sổ thời gian quan sát tối thiểu phải đủ để mẫu thực thi hoàn tất giai đoạn khởi tạo socket mạng.

Phương pháp nghiên cứu tiên tiến

+-------------------------------------------------------------------------+
|                  KIẾN TRÚC MÔI TRƯỜNG V-SANDBOX TOÀN DIỆN               |
+-------------------------------------------------------------------------+
                                 [ ELF File ]
                                      |
                                      v
                        +---------------------------+
                        |  Khối Trích xuất Thuộc    |
                        |      tính ELF (EME)       |
                        +---------------------------+
                                      |
                                      v
                        +---------------------------+
                        |   Khối Sinh Cấu hình      |
                        |      Sandbox (SCG)        |
                        +---------------------------+
                                      |
            +-------------------------+-------------------------+
            |                                                   |
            v                                                   v
+-----------------------+                           +-----------------------+
|  Cơ sở Dữ liệu Thư    |                           |  Bộ Giả lập Máy chủ   |
| viện Động (ShareObj)  |                           |     C&C (Simulator)   |
+-----------------------+                           +-----------------------+
            |                                                   |
            +-------------------------+-------------------------+
                                      |
                                      v
                        +---------------------------+
                        |   Môi trường Thực thi     |
                        |       Sandbox (SE)        |
                        |  (QEMU Virtual Engine)    |
                        |  - SystemCall Agent       |
                        |  - Network Agent          |
                        |  - Host Perf Agent        |
                        |  - File Activity Agent    |
                        +---------------------------+
                                      |
                                      v
                        +---------------------------+
                        |    Tiền xử lý Dữ liệu     |
                        |        Thô (RDP)          |
                        +---------------------------+
                                      |
                                      v
                        +---------------------------+
                        | Tính toán Thực thi lại (SR|
                        | & Báo cáo Tự động (Report)|
                        +---------------------------+

Thiết kế nghiên cứu

Nghiên cứu được thiết kế theo trường phái Thực chứng Diễn dịch (Positivism & Critical Realism), kết hợp thực nghiệm kỹ thuật phần mềm với mô hình hóa toán học chặt chẽ. Hệ thống nghiên cứu đa cấp độ (Multi-level experimental design) bao gồm ba tầng: Tầng thu thập hành vi động cấp thấp (Low-level dynamic instrumentation), Tầng biểu diễn không gian đặc trưng (Feature embedding space) và Tầng học máy cộng tác đa góc nhìn (Collaborative machine learning fusion).

Quy trình nghiên cứu rigorous

Kiến trúc hệ thống V-Sandbox được hiện thực hóa thông qua 8 module chức năng vận hành tự động và khép kín:

  1. Khối trích xuất thuộc tính cơ bản ELF (EME - ELF Metadata Extractor): Sử dụng công cụ readelf để bóc tách thông tin Header ELF: kiến trúc CPU (Target Architecture), cấu hình endian (Big-Endian/Little-Endian), loại liên kết (Statically linked hoặc Dynamically linked) và danh sách các thư viện chia sẻ cần thiết (DT_NEEDED).
  2. Khối sinh cấu hình hoạt động Sandbox (SCG - Sandbox Configuration Generator): Tự động khởi tạo tệp cấu hình tham số môi trường, lựa chọn bản ảnh nhân hệ điều hành Linux tương thích trong QEMU dựa trên kết quả từ EME.
  3. Cơ sở dữ liệu thư viện liên kết động (Share Object DB): Kho lưu trữ đa phiên bản các tệp thư viện .so chuẩn được biên dịch chéo cho toàn bộ các dòng vi xử lý (ARM, MIPS, PowerPC, SPARC, x86). Khi phát hiện tệp ELF dạng dynamic, hệ thống tự động nạp và liên kết chính xác các thư viện bị thiếu, khắc phục triệt để lỗi dừng thực thi đột ngột.
  4. Bộ giả lập máy chủ C&C (C&C Simulator): Thiết lập môi trường phản hồi mạng ảo, mô phỏng các giao thức bắt tay TCP/UDP, Telnet, IRC, HTTP của máy chủ điều khiển botnet, gửi các gói tin kích hoạt giả lập để ép mã độc chuyển trạng thái sang giai đoạn tấn công.
  5. Môi trường Sandbox (SE - Sandbox Environment): Vận hành trên nền tảng máy ảo QEMU tối ưu hóa, tích hợp 4 tác tử giám sát ngầm:
    • SystemCall Agent: Giám sát và ghi nhận toàn bộ chuỗi lời gọi hệ thống theo thời gian thực.
    • Network Agent: Đánh chặn và trích xuất lưu lượng mạng dưới định dạng .pcap.
    • Host Performance Agent: Đo đạc mức chiếm dụng CPU, tần suất đọc/ghi RAM, biến động thanh ghi.
    • File Agent: Theo dõi các thao tác tạo, ghi, sửa, xóa tệp tin và tiến trình hệ thống.
  6. Khối tiền xử lý dữ liệu thô (RDP - Raw Data Preprocessing): Chuẩn hóa dữ liệu nhật ký, loại bỏ các system call nhiễu của hệ điều hành nền.
  7. Khối tính toán khả năng thực thi lại (SR - Sandbox Replayability): Đánh giá độ tin cậy của phiên chạy và tự động tái cấu hình thực thi lại nếu mẫu chưa bộc lộ đủ hành vi.
  8. Khối sinh báo cáo tự động (Report Generator): Xuất báo cáo tổng thể về hành vi độc hại dưới định dạng JSON chuẩn.

Data và phân tích

  • Tập mẫu nghiên cứu: Tập dữ liệu thực nghiệm quy mô lớn gồm các mẫu mã độc IoT Botnet thực tế thu thập từ Honeypot IoTPOT, kho mã độc học thuật quốc tế và các mẫu phần mềm lành tính (Benign) trích xuất từ firmware router Netgear WNAP320, Camera IP thông qua công cụ chuyên dụng C500-Extractor.
  • Phân tích luồng mạng: Tiền xử lý các tệp .pcap bằng công cụ chuẩn quốc tế CICFlowMeter-V3, trích xuất trọn vẹn 80 đặc trưng thống kê luồng mạng theo chuẩn của bộ dữ liệu hiện đại CSE-CIC-IDS2018 (bao gồm: Flow Duration, Total Fwd Packets, Flow Bytes/s, Packet Length Mean, FIN/SYN/RST Flag Counts,...).
  • Phân tích lời gọi hệ thống: Xây dựng đồ thị DSCG, chuyển đổi sang định dạng .gexf và áp dụng thuật toán Graph2vec để vector hóa cấu trúc đồ thị.
  • Mô hình học máy cộng tác: Tích hợp các bộ phân lớp cơ sở (Base Classifiers) gồm Support Vector Machine (SVM), Random Forest (RF), K-Nearest Neighbors (KNN), Decision Tree (DT) thông qua Khối Phân lớp Học máy (MLC) và kết nối với Hàm Hợp nhất Đa tầng (Fusion Component - FC) theo các cơ chế Hợp nhất sớm (Early Fusion), Hợp nhất trung gian (Intermediate Fusion) và Hợp nhất muộn (Late Fusion).
  • Thước đo đánh giá: Đánh giá toàn diện qua Ma trận nhầm lẫn (Confusion Matrix): Độ chính xác tổng thể ($ACC$), Tỷ lệ dương tính thật ($TPR/Recall$), Tỷ lệ âm tính giả ($FPR$), Điểm số $F1-Score$ và Diện tích dưới đường cong ROC ($AUC$).
+--------------------------------------------------------------------------------------------------+
|               SO SÁNH CÁC PHƯƠNG PHÁP TIỀN XỬ LÝ LỜI GỌI HỆ THỐNG TRÊN DATASET IOTPOT             |
+--------------------------------------------------------------------------------------------------+
| Nghiên cứu & Tác giả      | Kỹ thuật Tiền xử lý        | Thuật toán Phân loại | Số chiều | ACC (%)   |
+---------------------------+----------------------------+----------------------+----------+-----------+
| Alhaidari et al. [70]     | Feature pruning method     | Hidden Markov (HMM)  | 31       | 94,86%    |
| Alhanahnah et al. [71]    | N-gram string texture      | K-means clustering   | 400      | 85,97%    |
| Meidan et al. [58]        | Traffic statistics (N-BaIoT| Deep Autoencoder     | 115      | 98,30%    |
| Shobana et al. [73]       | N-gram + TF-IDF (n=10)     | Recurrent Neural Net | 184      | 98,31%    |
| Nguyen Huy Trung et al.[74| Subgraph2vec (PSI-Graph)   | Random Forest (RF)   | 140      | 97,96%    |
| Luận án (Đề xuất DSCG)    | Directed Graph Embedding   | Multi-View Ensemble  | Tối ưu   | Vượt trội |
+--------------------------------------------------------------------------------------------------+

Phát hiện đột phá và implications

+-------------------------------------------------------------------------+
|                  QUY TRÌNH PHÁT HIỆN SỚM MÃ ĐỘC ĐA PHA                  |
+-------------------------------------------------------------------------+
   [ Tệp Thực thi ELF Đầu vào ]
                |
                v
   +---------------------------------------------------------+
   |   Pha 1: Phân tích Tốc độ cao (Early Stage Detection)   |
   |   - Cửa sổ thực thi tối thiểu                           |
   |   - Trích xuất System Calls khởi tạo & Host Perf        |
   |   - Phân loại nhanh qua Base Classifiers                |
   +---------------------------------------------------------+
                |
                +---> [ Ngưỡng Tin cậy Cao ] ---> KẾT LUẬN: MÃ ĐỘC
                |                                 (Dừng phân tích)
                v
   +---------------------------------------------------------+
   |   Pha 2: Phân tích Toàn diện (Deep Dynamic Analysis)    |
   |   - Kích hoạt C&C Simulator & Bù đắp Thư viện Động      |
   |   - Xây dựng Đồ thị DSCG Hoàn chỉnh                     |
   |   - Trích xuất 80 Đặc trưng Luồng mạng CICFlowMeter     |
   |   - Hàm Hợp nhất Đa tầng (FC Fusion) ra Quyết định      |
   +---------------------------------------------------------+
                |
                v
   [ KẾT LUẬN CUỐI CÙNG: MALWARE / BENIGN (Độ chính xác tối đa) ]

Những phát hiện then chốt

  1. Kích hoạt hoàn hảo 100% hành vi mã độc thông qua Share Object DB: Thử nghiệm đối chứng trên tập mẫu ngẫu nhiên cho thấy các sandbox hiện hành như LiSa và Cuckoo gặp tỷ lệ lỗi nạp thực thi lên tới 35-40% đối với các mẫu ELF liên kết động do thiếu thư viện libc.so, libpthread.so biên dịch cho kiến trúc MIPS/ARM. V-Sandbox đã giải quyết triệt để vấn đề này, nâng tỷ lệ thực thi thành công và thu thập trọn vẹn dấu vết hành vi lên 100%.
  2. Phá vỡ cơ chế ngủ đông của Botnet nhờ C&C Simulator: Hơn 78% mẫu biến thể Mirai và Bashlite thu thập được từ IoTPOT có hành vi thăm dò môi trường; chúng chỉ kích hoạt các tiến trình con quét cổng và gửi gói tin tấn công sau khi nhận được gói tin phản hồi hợp lệ từ máy chủ C&C. Việc tích hợp C&C Simulator giúp V-Sandbox thu thập được dữ liệu luồng mạng tấn công thực sự thay vì chỉ các gói tin SYN handshake vô hại.
  3. Đặc trưng đồ thị DSCG vượt trội so với các phương pháp n-gram và hình ảnh xám: Thực nghiệm so sánh chứng minh vector nhúng từ đồ thị DSCG giúp các thuật toán học máy (RF, SVM) đạt độ chính xác phân loại vượt trội, loại bỏ hoàn toàn hiện tượng suy giảm hiệu năng khi mã độc bị xáo trộn mã nguồn, đồng thời giảm chi phí tính toán so với việc vét cạn đồ thị con PSI-Rooted của Nguyen Huy Trung et al. (vốn có độ phức tạp tăng theo hàm mũ theo độ sâu $d$).
  4. Phát hiện sớm mã độc chỉ sau 1 pha phân tích: Mô hình học máy cộng tác đa nguồn đề xuất cho phép phát hiện chính xác hơn 92% mẫu mã độc ngay trong giai đoạn khởi tạo ban đầu (Pha 1) thông qua sự kết hợp giữa các lời gọi hệ thống sơ khởi và thông số chiếm dụng tài nguyên bất thường, giúp tiết kiệm hơn 60% thời gian thực thi trong sandbox mà vẫn duy trì tỷ lệ dương tính giả (FPR) dưới 1,5%.

Implications đa chiều

  • Về mặt học thuật: Luận án thiết lập một chuẩn mực phương pháp luận mới trong phân tích mã độc IoT, kết nối thành công khoảng cách giữa kỹ thuật dịch ngược hệ thống nhúng cấp thấp và các thuật toán học máy cấu trúc đồ thị tiên tiến.
  • Về mặt phương pháp luận: Quy trình xây dựng V-Sandbox và trích xuất đặc trưng DSCG hoàn toàn có thể chuyển giao, áp dụng cho các hệ điều hành nhúng khác như OpenWrt, Android Things hoặc các hệ thống điều khiển công nghiệp SCADA/PLC.
  • Về mặt thực tiễn: Cung cấp một công cụ phân tích mã nguồn mở, triển khai nhẹ nhàng, tự động hóa hoàn toàn, hỗ trợ đắc lực cho các Trung tâm Điều hành An ninh mạng (SOC) và các đội ứng cứu sự cố máy tính (CERT) trong việc phân loại và xử lý hàng triệu mẫu mã độc IoT mới mỗi ngày.
  • Về mặt chính sách: Cung cấp cơ sở khoa học xác thực để các cơ quan quản lý nhà nước ban hành tiêu chuẩn kiểm định an toàn thông tin bắt buộc đối với các thiết bị IoT nhập khẩu và lưu hành trong nước.

Limitations và Future Research

Nhìn nhận một cách khách quan dưới chuẩn mực học thuật khắt khe, luận án tồn tại một số giới hạn nghiên cứu:

  1. Kỹ thuật chống ảo hóa mức phần cứng (Hardware-assisted Anti-Sandbox): V-Sandbox vận hành dựa trên nền tảng mô phỏng QEMU. Một số biến thể mã độc IoT Botnet thế hệ mới có thể thực hiện các chỉ thị CPU đặc thù hoặc đo đạc chu kỳ xung nhịp (timing attacks) để phát hiện môi trường ảo hóa và tự hủy hành vi.
  2. Giao thức C&C tùy biến sâu và mã hóa bất đối xứng: Bộ giả lập C&C Simulator hiện tại phản hồi tối ưu cho các giao thức chuẩn (HTTP, IRC, Telnet, Plain TCP/UDP). Đối với các botnet sử dụng kênh truyền bí mật tùy biến cao cấp hoặc mã hóa bất đối xứng đầu cuối (End-to-End Encryption), simulator chưa thể giải mã hoàn toàn nội dung lệnh điều khiển để kích hoạt các kịch bản tấn công hẹp.
  3. Quy mô tập mẫu thử nghiệm kiến trúc hiếm: Mặc dù đã bao phủ toàn diện các kiến trúc chính (ARM, MIPS, x86/x64), số lượng mẫu mã độc thực tế cho các kiến trúc vi xử lý nhúng đặc thù như SPARC, SH4, PowerPC còn tương đối hạn chế do độ hiếm của các mẫu nhị phân này trên các kho lưu trữ toàn cầu.

Chương trình nghiên cứu tương lai (Future Research Agenda):

  • Mở rộng 1: Nghiên cứu tích hợp kỹ thuật phân tích kết hợp phần cứng trong vòng lặp (Hardware-in-the-loop - HIL), cho phép thực thi mẫu nhị phân trực tiếp trên các chip phần cứng SoC thực tế kết hợp giám sát thanh ghi vật lý qua cổng JTAG/UART.
  • Mở rộng 2: Ứng dụng mạng sinh đối kháng (Generative Adversarial Networks - GAN) để tự động học và sinh các phản hồi C&C thích ứng thông minh đối với các giao thức mạng chưa từng biết.
  • Mở rộng 3: Phát triển các mô hình học sâu đồ thị thời gian thực (Dynamic Graph Neural Networks - DGNN) để phân loại trực tiếp đồ thị DSCG đang tăng trưởng mà không cần trải qua bước nhúng vector trung gian.
  • Mở rộng 4: Xây dựng cơ chế phát hiện mã độc phân tán theo mô hình Học liên kết (Federated Learning) triển khai trực tiếp tại các Gateway biên của mạng IoT.

Tác động và ảnh hưởng

Nghiên cứu mang lại những giá trị tác động sâu rộng trên nhiều bình diện:

  • Ảnh hưởng học thuật: Các bài báo công bố từ luận án trên các tạp chí và hội thảo chuyên ngành uy tín (như SOICT, FAIR, ICCM) mở ra một nhánh nghiên cứu mới về kết hợp biểu diễn đồ thị hành vi động với học máy đa góc nhìn trong bảo mật IoT. Dự kiến các công trình này sẽ thu hút hàng trăm trích dẫn trong cộng đồng an toàn thông tin quốc tế.
  • Chuyển đổi công nghiệp: Giúp các nhà sản xuất thiết bị phần cứng IoT (IP Camera, Router, Smart Home Hub) tích hợp quy trình kiểm thử mã độc tự động vào chu trình phát triển sản phẩm (DevSecOps), ngăn chặn mã độc nhúng sẵn trong firmware trước khi xuất xưởng.
  • Tác động an ninh quốc gia: Hỗ trợ các cơ quan an ninh mạng quốc gia (Bộ Công an, Bộ Quốc phòng, Bộ Thông tin và Truyền thông) xây dựng hệ sinh thái phòng thủ chủ động, ngăn chặn sớm các đợt tấn công từ chối dịch vụ phân tán quy mô lớn nhắm vào các hạ tầng thông tin trọng yếu quốc gia.
  • Lợi ích xã hội: Bảo vệ quyền riêng tư, an toàn dữ liệu hình ảnh và thông tin sinh hoạt của hàng chục triệu người dân sử dụng thiết bị gia dụng thông minh, ngăn chặn nguy cơ bị biến thành công cụ tấn công mạng bất hợp pháp.

Đối tượng hưởng lợi

  • Nghiên cứu sinh và Giới học thuật: Tiếp cận được phương pháp luận khoa học mẫu mực, bộ công cụ phân tích động V-Sandbox mã nguồn mở và hướng tiếp cận đồ thị DSCG tiên phong để phát triển các đề tài nghiên cứu chuyên sâu tiếp theo.
  • Các Chuyên gia Phân tích Mã độc (Malware Analysts & Reverse Engineers): Sở hữu một môi trường sandbox tự động hóa hoàn toàn, giải phóng sức lao động thủ công trong việc cấu hình máy ảo, tìm kiếm thư viện chia sẻ và bắt gói tin mạng cho các kiến trúc CPU nhúng phức tạp.
  • Doanh nghiệp R&D Thiết bị IoT: Được cung cấp khung kiểm chuẩn an toàn thông tin tự động, giúp rà soát lỗ hổng firmware và phát hiện mã độc tiềm ẩn với độ chính xác cao và chi phí tối thiểu.
  • Các Cơ quan Quản lý Nhà nước và Hoạch định Chính sách: Có đầy đủ số liệu thực chứng và cơ sở kỹ thuật vững chắc để ban hành các quy chuẩn kỹ thuật quốc gia về an toàn thông tin cho thiết bị IoT dân sự và công nghiệp.

Câu hỏi chuyên sâu

1. Đóng góp lý thuyết độc đáo nhất của luận án là gì và nó mở rộng lý thuyết nào? Trả lời: Đóng góp lý thuyết độc đáo nhất là việc xác lập phương pháp biểu diễn ngữ nghĩa hành vi động thông qua Đồ thị lời gọi hệ thống có hướng (DSCG). Nghiên cứu đã mở rộng Lý thuyết Nhúng Cấu trúc Đồ thị (Graph Embedding Theory) sang lĩnh vực an toàn hệ thống nhúng Linux, chứng minh rằng không gian cấu trúc đồ thị lời gọi hệ thống bảo toàn tính nhân quả và ngữ cảnh thời gian của mã độc, khắc phục triệt để sự mất mát thông tin của các mô hình thuộc tính rời rạc truyền thống.

2. Đột phá phương pháp luận của V-Sandbox so với các công trình quốc tế là gì? Trả lời: So với Cuckoo Sandbox (chỉ tối ưu x86, thiếu hỗ trợ CPU nhúng) và LiSa/IoTBox (thiếu hụt thư viện động và không có bộ giả lập máy chủ C&C), V-Sandbox đột phá nhờ kiến trúc tích hợp bộ sinh cấu hình tự động (SCG), cơ sở dữ liệu thư viện liên kết động đa kiến trúc (Share Object DB) và bộ giả lập C&C Simulator. Sự kết hợp này đảm bảo môi trường tương thích 100%, cho phép mã độc IoT Botnet thực thi trọn vẹn toàn bộ 5 giai đoạn trong vòng đời mà không bị chết nạp giữa chừng.

3. Phát hiện thực nghiệm nào gây bất ngờ nhất trong quá trình nghiên cứu? Trả lời: Phát hiện bất ngờ nhất là hơn 78% các mẫu IoT Botnet cao cấp hoàn toàn không phát sinh bất kỳ luồng mạng quét cổng độc hại nào nếu không nhận được gói tin phản hồi đúng định dạng từ máy chủ C&C. Điều này chứng minh toàn bộ các nghiên cứu phân tích động sandbox trước đây cô lập mạng hoàn toàn đã thu thập phải các tập dữ liệu hành vi rỗng (dormant traces), dẫn đến việc huấn luyện mô hình học máy bị sai lệch nghiêm trọng.

4. Luận án có cung cấp quy trình tái lập thực nghiệm (Replication Protocol) hoàn chỉnh không? Trả lời: Luận án cung cấp quy trình tái lập thực nghiệm chuẩn hóa tuyệt đối: từ kiến trúc module phần mềm của V-Sandbox, thông số cấu hình QEMU, quy tắc tiền xử lý tệp .pcap bằng CICFlowMeter-V3, thuật toán chuyển đổi đồ thị DSCG sang định dạng .gexf, đến các siêu tham số của các bộ phân loại học máy (SVM, RF, KNN, DT). Mọi nhà nghiên cứu đều có thể tái tạo chính xác kết quả thực nghiệm dựa trên mô tả chi tiết trong luận án.

5. Định hướng chương trình nghiên cứu 10 năm tới được phác thảo ra sao? Trả lời: Định hướng 10 năm tới tập trung vào: (1) Tích hợp kiểm thử phần cứng thực tế Hardware-in-the-loop (HIL) với cổng JTAG/UART; (2) Ứng dụng trí tuệ nhân tạo tạo sinh (Generative AI) để tự động tương tác và giải mã các giao thức C&C biến biến thể phức tạp; (3) Triển khai mô hình Học liên kết (Federated Graph Learning) trên các thiết bị Gateway biên để phát hiện và ngăn chặn botnet theo thời gian thực ở cấp độ mạng toàn cầu.

Kết luận

Luận án tiến sĩ của Nghiên cứu sinh Lê Hải Việt đã hoàn thành xuất sắc toàn bộ các mục tiêu nghiên cứu đề ra, xác lập những đóng góp khoa học đặc biệt quan trọng:

  1. Xây dựng thành công hệ thống V-Sandbox: Môi trường sandbox phân tích động hoàn toàn tự động, mã nguồn mở, hỗ trợ đa kiến trúc vi xử lý nhúng, tích hợp cơ chế bù đắp thư viện liên kết động và giả lập C&C Server đầu tiên tại Việt Nam đạt chuẩn mực quốc tế.
  2. Đề xuất đặc trưng đồ thị lời gọi hệ thống có hướng DSCG: Phương pháp mô hình hóa cấu trúc hành vi động mới mẻ, bảo toàn ngữ nghĩa chuỗi chuyển trạng thái hệ thống, giải quyết triệt để bài toán bùng nổ không gian tính toán.
  3. Xây dựng mô hình học máy cộng tác đa nguồn đột phá: Dung hợp hiệu quả ba nguồn dữ liệu dị thể (luồng mạng, lời gọi hệ thống, tài nguyên phần cứng) cho phép phát hiện sớm mã độc IoT Botnet với độ chính xác cao và tỷ lệ dương tính giả cực thấp.
  4. Thực chứng khoa học quy mô lớn và tin cậy: Khảo sát và đánh giá toàn diện trên tập dữ liệu mẫu nhị phân thực tế phong phú, so sánh đối chuẩn chặt chẽ với các công trình khoa học hàng đầu thế giới.
  5. Mở ra 3 hướng nghiên cứu khoa học mới: Mở đường cho các nghiên cứu về nhúng đồ thị động thời gian thực, bảo mật firmware thiết bị nhúng qua giao tiếp phần cứng, và ứng dụng học máy đa góc nhìn trong an ninh mạng hạ tầng thông tin trọng yếu.

Công trình là một đóng góp học thuật và thực tiễn xuất sắc, nâng cao vị thế của khoa học an toàn thông tin Việt Nam trên trường quốc tế, tạo tiền đề vững chắc cho việc bảo vệ không gian mạng an toàn trong kỷ nguyên vạn vật kết nối.