Nghiên cứu hệ thống V-Sandbox trong phân tích và phát hiện mã độc IoT Botnet

Luận án tiến sĩ nghiên cứu xây dựng hệ thống v sandbox nhằm phân tích và phát hiện mã độc trong botnet IoT, nâng cao an ninh mạng.

• Người hướng dẫn: TS. Ngô Quốc Dũng
• Trường học: Học viện Khoa học và Công nghệ
• Chuyên ngành: Hệ thống thông tin
• Đề tài: Nghiên cứu hệ thống V-Sandbox trong phát hiện mã độc IoT Botnet
• Loại tài liệu: luận án tiến sĩ
• Năm xuất bản: 2022
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• MỤC LỤC
• DANH MỤC CÁC KÝ HIỆU, CÁC CHỮ VIẾT TẮT
• DANH MỤC CÁC BẢNG
• DANH MỤC CÁC HÌNH VẼ, ĐỒ THỊ
• 1. MỞ ĐẦU
• 1.1. Tính cấp thiết của luận án
• 1.2. Mục tiêu nghiên cứu của luận án
• 1.3. Đối tượng và phạm vi nghiên cứu
• 1.3.1. Đối tượng nghiên cứu
• 1.3.2. Phạm vi nghiên cứu
• 1.4. Nội dung và phương pháp nghiên cứu
• 1.4.1. Nội dung nghiên cứu
• 1.4.2. Phương pháp nghiên cứu
• 1.4.2.1. Nghiên cứu lý thuyết

Tóm tắt

I. Tổng Quan Hệ Thống V Sandbox và Mã Độc IoT Botnet

Nghiên cứu này tập trung vào việc xây dựng hệ thống V-Sandbox để phân tích và phát hiện mã độc IoT Botnet. Sự phát triển mạnh mẽ của IoT đã mang lại nhiều tiện ích, nhưng cũng đi kèm với những lỗ hổng bảo mật nghiêm trọng. Theo thống kê của Cisco, số lượng thiết bị IoT kết nối internet ngày càng tăng, và phần lớn các thiết bị này có mặt trong các hệ thống nhà thông minh, hệ thống cảm biến môi trường, camera IP, router SOHO… tạo ra môi trường lý tưởng cho các cuộc tấn công. Các lỗ hổng bảo mật trong firmware của các thiết bị IoT hạn chế tài nguyên là một trong những nguyên nhân chính dẫn đến nguy cơ mất an toàn thông tin. Gartner dự đoán rằng 25% các cuộc tấn công mạng sẽ liên quan đến các thiết bị IoT vào năm 2020. Bài toán đặt ra là làm sao xây dựng được một hệ thống hiệu quả để phát hiện và ngăn chặn các mối đe dọa này.

1.1. Khái Niệm Thiết Bị IoT và Các Vấn Đề Bảo Mật

Thiết bị IoT (Internet of Things) là các thiết bị nhúng có khả năng kết nối và trao đổi dữ liệu qua Internet. Do tài nguyên hạn chế, các thiết bị này thường dễ bị tấn công do thiếu các biện pháp bảo mật đầy đủ. Các lỗ hổng bảo mật này tạo điều kiện cho tin tặc dễ dàng xâm nhập và kiểm soát thiết bị, gây ra các cuộc tấn công quy mô lớn. Nghiên cứu gần đây đã chỉ ra rằng các lỗ hổng bảo mật và đặc biệt là mã độc xuất hiện nhiều trên firmware của các thiết bị IoT hạn chế tài nguyên. 'Việc bỏ ngỏ các biện pháp đảm bảo an ninh, an toàn cho các thiết bị IoT đã vô hình tạo cơ hội cho tin tặc dễ dàng tấn công và chiếm quyền điều khiển các thiết bị này trên toàn thế giới', tài liệu gốc cho biết.

1.2. Tổng Quan Về Mã Độc IoT Botnet và Quy Trình Phát Hiện

Mã độc IoT Botnet là một loại phần mềm độc hại đặc biệt được thiết kế để lây nhiễm và điều khiển các thiết bị IoT. Quy trình phát hiện mã độc IoT Botnet thường bao gồm các bước thu thập dữ liệu, tiền xử lý dữ liệu (dữ liệu luồng mạng, lời gọi hệ thống, tương tác tài nguyên), phân tích và phát hiện. Học máy và học sâu được ứng dụng rộng rãi trong việc phát hiện loại mã độc này. So với Botnet truyền thống, mã độc IoT Botnet có những đặc điểm khác biệt về phương thức lây lan và hiệu quả tấn công. Các phương pháp phát hiện mã độc IoT Botnet cũng rất đa dạng, mỗi phương pháp có ưu nhược điểm riêng. Các phương pháp này có thể dựa trên phân tích tĩnh, phân tích động, hoặc kết hợp cả hai.

II. V Sandbox Giải Pháp Thu Thập Dữ Liệu Hành Vi Mã Độc

Để giải quyết bài toán phát hiện mã độc IoT Botnet, luận án tập trung xây dựng V-Sandbox, một môi trường sandbox chuyên biệt để thu thập dữ liệu hành vi của mã độc trên các thiết bị IoT. Kiến trúc tổng quan của V-Sandbox bao gồm các thành phần chính như trích xuất thông tin thuộc tính cơ bản của ELF (EME), sinh cấu hình hoạt động Sandbox (SCG), môi trường Sandbox (SE), tiền xử lý dữ liệu thô thu thập được (RDP) và tính toán khả năng thực thi lại Sandbox (SR). Mục tiêu là tạo ra một hệ thống có khả năng thu thập đầy đủ và chính xác dữ liệu hành vi của mã độc, đồng thời giảm thiểu tác động đến hiệu năng của thiết bị IoT.

2.1. Kiến Trúc Tổng Quan và Các Thành Phần Chính của V Sandbox

Kiến trúc của V-Sandbox được thiết kế để mô phỏng môi trường hoạt động của các thiết bị IoT. Các thành phần chính bao gồm: EME (ELF Meta-data Extractor) dùng để trích xuất các thuộc tính cơ bản của file ELF, SCG (Sandbox Configuration Generator) dùng để sinh cấu hình hoạt động của sandbox, SE (Sandbox Environment) là môi trường thực thi sandbox, RDP (Raw Data Processor) dùng để tiền xử lý dữ liệu thô và SR (Sandbox Replayability) dùng để tính toán khả năng thực thi lại sandbox. Các thành phần này phối hợp với nhau để tạo ra một môi trường phân tích hiệu quả và đáng tin cậy.

2.2. Tính Năng và Khả Năng Thực Thi Lại của V Sandbox

Một trong những tính năng quan trọng của V-Sandbox là khả năng thực thi lại (replayability). Tính năng này cho phép tái tạo lại các hành vi của mã độc trong môi trường sandbox, giúp các nhà phân tích có thể nghiên cứu chi tiết hơn về cách thức hoạt động của mã độc. Việc tính toán khả năng thực thi lại (SR) đảm bảo rằng các kết quả phân tích là nhất quán và đáng tin cậy. V-Sandbox còn được trang bị cơ sở dữ liệu thư viện liên kết động (Shared Object DB) để hỗ trợ quá trình phân tích. 'Cơ sở dữ liệu thư viện liên kết động (Share Object DB)' đóng vai trò quan trọng trong việc hiểu rõ các tương tác của mã độc với hệ thống, tài liệu gốc cho biết.

III. Đặc Trưng Đồ Thị Lời Gọi Hệ Thống Trong Phát Hiện Mã Độc

Luận án đề xuất sử dụng đồ thị lời gọi hệ thống (Directed System Call Graph - DSCG) để biểu diễn hành vi của mã độc IoT Botnet. DSCG là một đồ thị có hướng, trong đó các đỉnh biểu diễn các lời gọi hệ thống và các cạnh biểu diễn quan hệ thứ tự giữa các lời gọi. Việc sử dụng DSCG cho phép nắm bắt được các đặc trưng phức tạp trong hành vi của mã độc. Từ DSCG, có thể trích xuất các đặc trưng để huấn luyện các mô hình học máy, từ đó phát hiện mã độc một cách hiệu quả.

3.1. Xây Dựng Đồ Thị Lời Gọi Hệ Thống DSCG Có Hướng

Đồ thị lời gọi hệ thống có hướng (DSCG) là một công cụ mạnh mẽ để phân tích hành vi của mã độc. DSCG biểu diễn chuỗi các lời gọi hệ thống mà mã độc thực hiện, giúp các nhà phân tích hiểu rõ hơn về mục đích và cách thức hoạt động của mã độc. Việc xây dựng DSCG bao gồm các bước thu thập dữ liệu lời gọi hệ thống, tiền xử lý dữ liệu và tạo đồ thị. Dữ liệu lời gọi hệ thống được thu thập từ V-Sandbox, sau đó được tiền xử lý để loại bỏ các thông tin nhiễu và chuẩn hóa dữ liệu.

3.2. Tiền Xử Lý Dữ Liệu Đồ Thị DSCG và Thử Nghiệm Đánh Giá

Sau khi xây dựng được DSCG, cần tiến hành tiền xử lý dữ liệu đồ thị để chuẩn bị cho quá trình huấn luyện mô hình học máy. Các kỹ thuật tiền xử lý bao gồm chuẩn hóa kích thước đồ thị, loại bỏ các đỉnh và cạnh không quan trọng, và trích xuất các đặc trưng từ đồ thị. Các đặc trưng này có thể là các số liệu thống kê về đồ thị (ví dụ: số lượng đỉnh, số lượng cạnh, độ dài đường đi trung bình) hoặc các đặc trưng dựa trên cấu trúc đồ thị (ví dụ: các mẫu đồ thị con phổ biến). Việc thử nghiệm và đánh giá được thực hiện trên bộ dữ liệu mã độc IoT Botnet thu thập được từ V-Sandbox.

IV. Mô Hình Học Máy Cộng Tác Phát Hiện Sớm Mã Độc IoT

Luận án đề xuất một mô hình học máy cộng tác để phát hiện sớm mã độc IoT Botnet. Mô hình này kết hợp nhiều mô hình học máy khác nhau, mỗi mô hình được huấn luyện trên một loại dữ liệu khác nhau (ví dụ: dữ liệu luồng mạng, dữ liệu lời gọi hệ thống, dữ liệu sử dụng tài nguyên). Bằng cách kết hợp các mô hình này, có thể cải thiện độ chính xác và giảm tỷ lệ âm tính giả trong quá trình phát hiện mã độc. Mục tiêu là phát hiện mã độc càng sớm càng tốt, từ đó giảm thiểu thiệt hại do mã độc gây ra.

4.1. Vấn Đề Phát Hiện Sớm và Mô Hình Học Máy Cộng Tác

Phát hiện sớm mã độc là một thách thức lớn trong lĩnh vực an ninh mạng. Để giải quyết vấn đề này, luận án đề xuất sử dụng mô hình học máy cộng tác. Mô hình này tận dụng ưu điểm của nhiều mô hình học máy khác nhau, đồng thời giảm thiểu nhược điểm của từng mô hình riêng lẻ. Các mô hình học máy cộng tác có thể hoạt động song song hoặc tuần tự, tùy thuộc vào yêu cầu của ứng dụng. 'Mô hình học máy cộng tác trong phát hiện mã độc' giúp tăng cường khả năng phát hiện và giảm thiểu thời gian phản hồi, tài liệu gốc cho biết.

4.2. Kiến Trúc Tổng Quan và Quá Trình Trích Chọn Đặc Trưng

Kiến trúc của mô hình học máy cộng tác bao gồm các thành phần chính như môi trường Sandbox (SC), chuẩn hóa dữ liệu tiền xử lý (DNC) và trích chọn đặc trưng phù hợp. Môi trường Sandbox (SC) cung cấp dữ liệu hành vi của mã độc. Chuẩn hóa dữ liệu tiền xử lý (DNC) đảm bảo rằng dữ liệu được chuẩn hóa trước khi đưa vào các mô hình học máy. Quá trình trích chọn đặc trưng phù hợp lựa chọn các đặc trưng quan trọng nhất để huấn luyện các mô hình học máy. Việc trích chọn đặc trưng phù hợp giúp giảm độ phức tạp của mô hình và cải thiện độ chính xác.

V. Ứng Dụng Thực Tiễn và Kết Quả Nghiên Cứu của V Sandbox

Kết quả nghiên cứu cho thấy V-Sandbox là một công cụ hiệu quả để thu thập dữ liệu hành vi của mã độc IoT Botnet. Các đặc trưng trích xuất từ V-Sandbox, kết hợp với mô hình học máy cộng tác, cho phép phát hiện mã độc với độ chính xác cao và tỷ lệ âm tính giả thấp. Hệ thống này có thể được ứng dụng trong thực tế để bảo vệ các thiết bị IoT khỏi các cuộc tấn công mạng.

5.1. Triển Khai Thử Nghiệm và Đánh Giá Kết Quả Thực Tế

Việc triển khai thử nghiệm được thực hiện trên một bộ dữ liệu lớn các mẫu mã độc IoT Botnet và mẫu lành tính. Kết quả thử nghiệm cho thấy mô hình học máy cộng tác đạt được độ chính xác cao hơn so với các mô hình học máy đơn lẻ. Tỷ lệ âm tính giả cũng được giảm thiểu đáng kể. Các kết quả này chứng minh tính hiệu quả của phương pháp tiếp cận đề xuất. Bảng thống kê các chỉ số đánh giá mô hình đề xuất cho thấy sự vượt trội so với các nghiên cứu liên quan.

5.2. So Sánh và Đánh Giá Hiệu Năng của V Sandbox

V-Sandbox được so sánh với các hệ thống sandbox IoT khác như LiSa và Cuckoo. Kết quả so sánh cho thấy V-Sandbox có nhiều ưu điểm vượt trội về khả năng thu thập dữ liệu, tính linh hoạt và khả năng mở rộng. V-Sandbox cũng được đánh giá cao về khả năng phát hiện các hành vi tinh vi của mã độc. So sánh hiệu quả V-Sandbox với các IoT Sandbox khác cho thấy V-Sandbox có những ưu điểm riêng, phù hợp với các thiết bị IoT hạn chế tài nguyên.

VI. Kết Luận và Hướng Phát Triển Tương Lai của V Sandbox

Nghiên cứu này đã thành công trong việc xây dựng một hệ thống hiệu quả để phân tích và phát hiện mã độc IoT Botnet. V-Sandbox cung cấp một nền tảng mạnh mẽ để thu thập dữ liệu hành vi của mã độc, trong khi mô hình học máy cộng tác cho phép phát hiện mã độc với độ chính xác cao. Trong tương lai, có thể mở rộng nghiên cứu này bằng cách tích hợp thêm các kỹ thuật phân tích tĩnh, phân tích động và phát triển các mô hình học máy phức tạp hơn.

6.1. Tổng Kết Các Đóng Góp Chính của Luận Án

Luận án đã đóng góp vào lĩnh vực an ninh mạng bằng cách đề xuất một phương pháp tiếp cận mới trong phát hiện mã độc IoT Botnet. Các đóng góp chính bao gồm: xây dựng V-Sandbox, đề xuất sử dụng đồ thị lời gọi hệ thống DSCG, và phát triển mô hình học máy cộng tác. Các đóng góp này có ý nghĩa quan trọng trong việc bảo vệ các thiết bị IoT khỏi các cuộc tấn công mạng.

6.2. Hướng Nghiên Cứu và Phát Triển Trong Tương Lai

Trong tương lai, có thể mở rộng nghiên cứu này theo nhiều hướng khác nhau. Một trong những hướng phát triển tiềm năng là tích hợp thêm các kỹ thuật phân tích tĩnh để tăng cường khả năng phát hiện mã độc. Ngoài ra, có thể phát triển các mô hình học máy phức tạp hơn, chẳng hạn như các mô hình học sâu, để cải thiện độ chính xác và khả năng phát hiện các hành vi tinh vi của mã độc. Cuối cùng, cần tiếp tục nghiên cứu và phát triển các biện pháp bảo mật hiệu quả hơn để bảo vệ các thiết bị IoT khỏi các cuộc tấn công mạng trong tương lai.

Trích đoạn nội dung tài liệu

CHƯƠNG 1. TỔNG QUAN VỀ THIẾT BỊ IOT VÀ MÃ ĐỘC IOT BOTNET 1. Tổng quan về thiết bị IoT 1. Khái niệm thiết bị IoT Khái niệm thuật ngữ “Internet of Things” (IoT) đã được nhiều nhà nghiên cứu đưa ra ý kiến của mình trong từng lĩnh vực chuyên biệt.

Tuy nhiên, tất cả đều thống nhất việc sử dụng thuật ngữ này lần đầu vào năm 1999 do Kevin Ashton. Theo Kevin Ashton [11], “Internet of Things” là “tập hợp các cảm biến và bộ điều khiển nhúng trong các thiết bị được liên kết thông qua mạng có dây và không dây”. Tại thời điểm này, các thiết bị “IoT” được sử dụng để chỉ các thiết bị nhúng được điều khiển bởi con người thông qua mạng có dây hoặc không dây. Đến năm 2015, Madakam [12] đưa ra cách hiểu IoT là “một mạng lưới mang tính mở và toàn diện kết nối các đối tượng thông minh có khả năng tự động tổ chức, chia sẻ thông tin, dữ liệu và tài nguyên, phản ứng và hành động khi đối mặt với các tình huống và thay đổi của môi trường”.

Madakam nhấn mạnh về đặc điểm “thông minh” của các thiết bị IoT bao gồm: Tự tổ chức hoạt động; Chia sẻ thông tin, dữ liệu và tài nguyên; Có khả năng phản ứng lại với các thay đổi của môi trường xung quanh. Theo sự phát triển của công nghệ hiện đại, IoT đã phát triển từ sự hội tụ của công nghệ kết nối không dây, công nghệ vi cơ điện tử và sự phát triển của Internet. Sau khi xem xét các định nghĩa của các tổ chức khác nhau, ITU (International Telecommunication Union) đã định nghĩa IoT như sau: “Internet of Things là một cơ sở hạ tầng toàn cầu cho xã hội thông tin, cho phép các dịch vụ tiên tiến hoạt động bằng cách kết nối các vật thể (vật lý và ảo) dựa trên các công nghệ thông tin truyền thông tương thích hiện có và đang phát triển” [13]. Theo khái niệm này, vạn vật (Things) là đối tượng của thế giới thực (vật chất tồn tại) hoặc của thế giới thông tin (thực thể ảo), có khả năng được định danh, tích hợp vào mạng thông tin và truyền thông.

Bên cạnh đó, ITU cũng xác định thiết bị IoT là “thiết bị có khả năng kết nối và có thể tích hợp cảm biến, cơ cấu truyền động, chức năng thu thập, lưu trữ và xử lý dữ liệu”. Các thiết bị IoT thu thập các loại thông tin khác nhau và cung cấp cho các mạng thông tin và truyền thông để xử lý, làm giàu thêm thông tin thu được. Một số thiết bị IoT cũng thực hiện các hoạt động dựa trên thông tin nhận được từ mạng thông tin và truyền thông.botnet luan an tien si TIEU LUAN MOI download : [e-mail] moi nhat (LUAN.botnet 8 Với kết quả nghiên cứu của mình, nghiên cứu sinh nhận thấy vẫn chưa có một khái niệm thống nhất chung về thiết bị IoT. Tuy nhiên, các khái niệm đã có đều cơ bản chỉ ra đặc điểm nổi bật nhất của loại thiết bị này là khả năng kết nối vào Internet.

Vì vậy, nghiên cứu sinh đưa ra khái niệm thiết bị IoT được sử dụng trong luận án này như sau: Khái niệm 1. Thiết bị IoT là các thiết bị có khả năng kết nối, chia sẻ dữ liệu, tài nguyên dựa trên trên các công nghệ thông tin truyền thông tương thích hiện có và đang phát triển, tự phản ứng với thay đổi của môi thường để đạt được một mục tiêu nhất định. Sự tăng trưởng nhanh chóng về số lượng thiết bị IoT so với các thiết bị kết nối Internet truyền thống như máy tính điện tử được chứng minh thông qua số liệu thống kê của IoT Analytics [14], được minh họa tại Hình 1. Qua số liệu dự báo thống kê cho thấy, từ năm 2018 đến năm 2025 số lượng thiết bị truyền thống tăng lên không nhiều (chỉ khoảng 18%) từ 10,8 tỉ lên 12,7 tỉ.

Trong khi đó, thiết bị IoT tăng hơn 200% từ 7 tỉ lên 21,5 tỉ thiết bị kết nối vào Internet. Không chỉ tăng nhanh về số lượng, chủng loại thiết bị IoT cũng tăng lên nhanh chóng theo mục đích sử dụng. Thiết bị IoT xuất hiện trong nhiều lĩnh vực như nhà thông minh, chăm sóc sức khỏe, tự động hóa quá trình sản xuất công nghiệp, vận chuyển hàng hóa,… Tuy nhiên, khi số lượng của nó tăng lên, các thiết bị IoT bị hạn chế về tài nguyên ngày càng lộ ra nhiều lỗ hổng bảo mật hơn [3, 15]. Vì vậy, các thiết bị này đã trở thành mục tiêu ưa thích của các kẻ tấn công.

Số lượng các thiết bị được kích hoạt toàn cầu (đơn vị tỉ thiết bị) 35.0 2015 2016 2017 2018 2019 2020 2021 2022 2023 2024 2025 Thiết bị IoT Thiết bị truyền thống Hình 1.1 Số lượng các thiết bị được kích hoạt trên toàn cầu (LUAN.botnet luan an tien si TIEU LUAN MOI download : [e-mail] moi nhat (LUAN. Phân loại thiết bị IoT Dựa trên chức năng hoạt động, các thiết bị IoT có thể được phân thành các loại chính sau [13]: - Thiết bị mang dữ liệu: là thiết bị được tích hợp vào các thực thể vật lý để hỗ trợ kết nối các thực thể này vào hệ thống mạng phục vụ quá trình truyền dữ liệu. - Thiết bị thu thập dữ liệu: là thiết bị đọc/ghi có khả năng tương tác với thực thể vật lý. Sự tương tác có thể xảy ra gián tiếp thông qua các thiết bị mang dữ liệu hoặc trực tiếp thông qua các chất mang dữ liệu gắn liền với những thực thể vật lý.

- Thiết bị cảm biến và chấp hành (truyền động): Thiết bị cảm biến và chấp hành có thể phát hiện hoặc đo lường thông tin liên quan đến môi trường xung quanh và chuyển đổi nó thành tín hiệu điện tử, kỹ thuật số. Nó cũng có thể chuyển đổi tín hiệu điện tử, kỹ thuật số từ các mạng thông tin thành hoạt động chấp hành như đóng mở công tắc, kích hoạt kịch bản hành động,… - Thiết bị đa chức năng: là thiết bị được tích hợp khả năng xử lý dữ liệu, giao tiếp với các thiết bị IoT khác và giao tiếp với các mạng truyền thông thông qua các công nghệ có dây hoặc không dây.2 Phân loại thiết bị IoT dựa trên chức năng hoạt động [13] Bên cạnh đó, Gartner [16] chia hệ sinh thái các thiết bị IoT thành 5 lớp khác nhau bao gồm: - Lớp 1 đại diện cho mọi thiết bị IoT của người dùng cuối như máy tính, điện thoại, cảm biến môi trường, đồ gia dụng thông minh,… - Lớp 2 đại diện cho thiết bị hạ tầng mạng và truyền thông. - Lớp 3 đại diện cho thiết bị tiền xử lý và lưu trữ dữ liệu.botnet luan an tien si TIEU LUAN MOI download : [e-mail] moi nhat (LUAN.botnet 10 - Lớp 4 đại diện cho thiết bị triển khai các ứng dụng và dịch vụ IoT. - Lớp 5 đại diện cho thiết bị phân tích dữ liệu.

Ngày nay, tất cả các ứng dụng hệ thống, ứng dụng web, lưu trữ và cơ sở dữ liệu đều có thể được cấu hình trong hệ thống điện toán đám mây (Cloud system), Rahman [17] chọn cách đơn giản hóa và kết hợp Lớp 3 và Lớp 4 thành một lớp duy nhất như trong Hình 1.3 Phân lớp các thiết bị IoT [17] Theo cách phân loại của Bencheton [9], thiết bị IoT được chia làm 2 loại chính gồm thiết bị hạn chế tài nguyên (constrained resource) và hiệu năng cao (high-capacity resource). Theo đó, thiết bị hạn chế tài nguyên được hiểu là các thiết bị với bộ vi xử lý (CPU), bộ nhớ (RAM, ROM, Flash,…) và tiêu thụ năng lượng điện hạn chế [18]. Thường được sử dụng làm cảm biến, thiết bị thông minh đeo được, thiết bị nhúng, thiết bị gia dụng thông minh,… Với mục tiêu nghiên cứu như đã trình bày ở trên, luận án sử dụng khái niệm thiết bị IoT hạn chế tài nguyên như sau: Khái niệm 1. Thiết bị IoT hạn chế tài nguyên là các thiết bị IoT có cấu tạo hạn chế về tài nguyên sử dụng (như năng lực xử lý dữ liệu, dung lượng bộ nhớ, băng thông truyền tải dữ liệu,…) Đặc trưng của thiết bị IoT hạn chế tài nguyên này có tác động đến khả năng bảo mật của nó và do đó, nó đưa ra các giới hạn cho việc áp dụng một số giải pháp bảo mật.

Do hạn chế về tài nguyên (CPU, RAM, Flash memory), các thiết bị IoT này khó tích hợp các giải pháp bảo mật và thực tế đã trở thành mục tiêu tấn công được chú ý với nhiều (LUAN.botnet luan an tien si TIEU LUAN MOI download : [e-mail] moi nhat (LUAN.botnet 11 biến thể của mã độc [2, 8, 19]. Vì vậy, phát hiện mã độc trên các thiết bị IoT hạn chế tài nguyên là một thách thức đối với các nhà nghiên cứu. Với các lý do nêu trên, trong phạm vi đề tài luận án Nghiên cứu sinh lựa chọn thiết bị IoT hạn chế tài nguyên để nghiên cứu phát hiện các hành vi của mã độc. Các vấn đề bảo mật tồn tại trên thiết bị IoT hạn chế tài nguyên Internet cung cấp cho con người những lợi ích to lớn, nhưng cũng chứa đựng các nguy cơ như bị tấn công mạng, lây nhiễm mã độc, đánh cắp thông tin cá nhân,.

Đối với mạng lưới các thiết bị IoT, các nguy cơ này thậm chí còn nghiêm trọng hơn do quy mô khổng lồ và khả năng tương tác trở lại với môi trường xung quanh. Các mối đe dọa từ mạng lưới thiết bị IoT có khả năng vô hiệu hóa hệ thống an ninh tại nhà, gây rối loại quy trình sản xuất của nhà máy, phá hoại hệ thống dẫn đường của phương tiện giao thông không người lái và gây rối loạn các thiết bị hỗ trợ sự sống cho bệnh nhân tại các bệnh viện. Các nghiên cứu khoa học đã công bố cho thấy, vấn đề lây nhiễm mã độc và tấn công từ chối dịch vụ là nguy cơ cao ảnh hưởng tới hoạt động của thiết bị IoT [8, 19, 20]. Trong thực tế, các vấn đề này đã được minh chứng bằng các cuộc tấn công từ chối dịch vụ phân tán (DDoS) sử dụng mạng lưới mã độc IoT Botnet (như Bashlite, Mirai) lây nhiễm trên các thiết bị IoT hạn chế tài nguyên [8, 21].

Nguyên nhân hầu hết của các cuộc tấn công này xuất phát từ đặc điểm hạn chế tài nguyên của thiết bị, sẽ khó có thể triển khai đầy đủ các giải pháp bảo mật cho các thiết bị này như các thiết bị máy tính truyền thống. Điều này dẫn tới xuất hiện các lỗ hổng bảo mật nghiêm trọng mà các đối tượng có thể lợi dụng để thực hiện phá hoại. Cụ thể, kẻ tấn công có thể dễ dàng sử dụng một công cụ tìm kiếm lỗ hổng bảo mật của thiết bị IoT như Shodan [22].