Nghiên cứu hệ thống V-Sandbox trong phân tích và phát hiện mã độc IoT Botnet

Luận án tiến sĩ nghiên cứu xây dựng hệ thống v sandbox nhằm phân tích và phát hiện mã độc trong botnet IoT, nâng cao an ninh mạng.

• Người hướng dẫn: TS. Ngô Quốc Dũng
• Trường học: Học viện Khoa học và Công nghệ
• Chuyên ngành: Hệ thống thông tin
• Đề tài: Nghiên cứu hệ thống V-Sandbox trong phát hiện mã độc IoT Botnet
• Loại tài liệu: luận án tiến sĩ
• Năm xuất bản: 2022
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• MỤC LỤC
• DANH MỤC CÁC KÝ HIỆU, CÁC CHỮ VIẾT TẮT
• DANH MỤC CÁC BẢNG
• DANH MỤC CÁC HÌNH VẼ, ĐỒ THỊ
• 1. MỞ ĐẦU
• 1.1. Tính cấp thiết của luận án
• 1.2. Mục tiêu nghiên cứu của luận án
• 1.3. Đối tượng và phạm vi nghiên cứu
• 1.3.1. Đối tượng nghiên cứu
• 1.3.2. Phạm vi nghiên cứu
• 1.4. Nội dung và phương pháp nghiên cứu
• 1.4.1. Nội dung nghiên cứu
• 1.4.2. Phương pháp nghiên cứu
• 1.4.2.1. Nghiên cứu lý thuyết

Tóm tắt

I. Tổng Quan Hệ Thống V Sandbox và Mã Độc IoT Botnet

Nghiên cứu này tập trung vào việc xây dựng hệ thống V-Sandbox để phân tích và phát hiện mã độc IoT Botnet. Sự phát triển mạnh mẽ của IoT đã mang lại nhiều tiện ích, nhưng cũng đi kèm với những lỗ hổng bảo mật nghiêm trọng. Theo thống kê của Cisco, số lượng thiết bị IoT kết nối internet ngày càng tăng, và phần lớn các thiết bị này có mặt trong các hệ thống nhà thông minh, hệ thống cảm biến môi trường, camera IP, router SOHO… tạo ra môi trường lý tưởng cho các cuộc tấn công. Các lỗ hổng bảo mật trong firmware của các thiết bị IoT hạn chế tài nguyên là một trong những nguyên nhân chính dẫn đến nguy cơ mất an toàn thông tin. Gartner dự đoán rằng 25% các cuộc tấn công mạng sẽ liên quan đến các thiết bị IoT vào năm 2020. Bài toán đặt ra là làm sao xây dựng được một hệ thống hiệu quả để phát hiện và ngăn chặn các mối đe dọa này.

1.1. Khái Niệm Thiết Bị IoT và Các Vấn Đề Bảo Mật

Thiết bị IoT (Internet of Things) là các thiết bị nhúng có khả năng kết nối và trao đổi dữ liệu qua Internet. Do tài nguyên hạn chế, các thiết bị này thường dễ bị tấn công do thiếu các biện pháp bảo mật đầy đủ. Các lỗ hổng bảo mật này tạo điều kiện cho tin tặc dễ dàng xâm nhập và kiểm soát thiết bị, gây ra các cuộc tấn công quy mô lớn. Nghiên cứu gần đây đã chỉ ra rằng các lỗ hổng bảo mật và đặc biệt là mã độc xuất hiện nhiều trên firmware của các thiết bị IoT hạn chế tài nguyên. 'Việc bỏ ngỏ các biện pháp đảm bảo an ninh, an toàn cho các thiết bị IoT đã vô hình tạo cơ hội cho tin tặc dễ dàng tấn công và chiếm quyền điều khiển các thiết bị này trên toàn thế giới', tài liệu gốc cho biết.

1.2. Tổng Quan Về Mã Độc IoT Botnet và Quy Trình Phát Hiện

Mã độc IoT Botnet là một loại phần mềm độc hại đặc biệt được thiết kế để lây nhiễm và điều khiển các thiết bị IoT. Quy trình phát hiện mã độc IoT Botnet thường bao gồm các bước thu thập dữ liệu, tiền xử lý dữ liệu (dữ liệu luồng mạng, lời gọi hệ thống, tương tác tài nguyên), phân tích và phát hiện. Học máy và học sâu được ứng dụng rộng rãi trong việc phát hiện loại mã độc này. So với Botnet truyền thống, mã độc IoT Botnet có những đặc điểm khác biệt về phương thức lây lan và hiệu quả tấn công. Các phương pháp phát hiện mã độc IoT Botnet cũng rất đa dạng, mỗi phương pháp có ưu nhược điểm riêng. Các phương pháp này có thể dựa trên phân tích tĩnh, phân tích động, hoặc kết hợp cả hai.

II. V Sandbox Giải Pháp Thu Thập Dữ Liệu Hành Vi Mã Độc

Để giải quyết bài toán phát hiện mã độc IoT Botnet, luận án tập trung xây dựng V-Sandbox, một môi trường sandbox chuyên biệt để thu thập dữ liệu hành vi của mã độc trên các thiết bị IoT. Kiến trúc tổng quan của V-Sandbox bao gồm các thành phần chính như trích xuất thông tin thuộc tính cơ bản của ELF (EME), sinh cấu hình hoạt động Sandbox (SCG), môi trường Sandbox (SE), tiền xử lý dữ liệu thô thu thập được (RDP) và tính toán khả năng thực thi lại Sandbox (SR). Mục tiêu là tạo ra một hệ thống có khả năng thu thập đầy đủ và chính xác dữ liệu hành vi của mã độc, đồng thời giảm thiểu tác động đến hiệu năng của thiết bị IoT.

2.1. Kiến Trúc Tổng Quan và Các Thành Phần Chính của V Sandbox

Kiến trúc của V-Sandbox được thiết kế để mô phỏng môi trường hoạt động của các thiết bị IoT. Các thành phần chính bao gồm: EME (ELF Meta-data Extractor) dùng để trích xuất các thuộc tính cơ bản của file ELF, SCG (Sandbox Configuration Generator) dùng để sinh cấu hình hoạt động của sandbox, SE (Sandbox Environment) là môi trường thực thi sandbox, RDP (Raw Data Processor) dùng để tiền xử lý dữ liệu thô và SR (Sandbox Replayability) dùng để tính toán khả năng thực thi lại sandbox. Các thành phần này phối hợp với nhau để tạo ra một môi trường phân tích hiệu quả và đáng tin cậy.

2.2. Tính Năng và Khả Năng Thực Thi Lại của V Sandbox

Một trong những tính năng quan trọng của V-Sandbox là khả năng thực thi lại (replayability). Tính năng này cho phép tái tạo lại các hành vi của mã độc trong môi trường sandbox, giúp các nhà phân tích có thể nghiên cứu chi tiết hơn về cách thức hoạt động của mã độc. Việc tính toán khả năng thực thi lại (SR) đảm bảo rằng các kết quả phân tích là nhất quán và đáng tin cậy. V-Sandbox còn được trang bị cơ sở dữ liệu thư viện liên kết động (Shared Object DB) để hỗ trợ quá trình phân tích. 'Cơ sở dữ liệu thư viện liên kết động (Share Object DB)' đóng vai trò quan trọng trong việc hiểu rõ các tương tác của mã độc với hệ thống, tài liệu gốc cho biết.

III. Đặc Trưng Đồ Thị Lời Gọi Hệ Thống Trong Phát Hiện Mã Độc

Luận án đề xuất sử dụng đồ thị lời gọi hệ thống (Directed System Call Graph - DSCG) để biểu diễn hành vi của mã độc IoT Botnet. DSCG là một đồ thị có hướng, trong đó các đỉnh biểu diễn các lời gọi hệ thống và các cạnh biểu diễn quan hệ thứ tự giữa các lời gọi. Việc sử dụng DSCG cho phép nắm bắt được các đặc trưng phức tạp trong hành vi của mã độc. Từ DSCG, có thể trích xuất các đặc trưng để huấn luyện các mô hình học máy, từ đó phát hiện mã độc một cách hiệu quả.

3.1. Xây Dựng Đồ Thị Lời Gọi Hệ Thống DSCG Có Hướng

Đồ thị lời gọi hệ thống có hướng (DSCG) là một công cụ mạnh mẽ để phân tích hành vi của mã độc. DSCG biểu diễn chuỗi các lời gọi hệ thống mà mã độc thực hiện, giúp các nhà phân tích hiểu rõ hơn về mục đích và cách thức hoạt động của mã độc. Việc xây dựng DSCG bao gồm các bước thu thập dữ liệu lời gọi hệ thống, tiền xử lý dữ liệu và tạo đồ thị. Dữ liệu lời gọi hệ thống được thu thập từ V-Sandbox, sau đó được tiền xử lý để loại bỏ các thông tin nhiễu và chuẩn hóa dữ liệu.

3.2. Tiền Xử Lý Dữ Liệu Đồ Thị DSCG và Thử Nghiệm Đánh Giá

Sau khi xây dựng được DSCG, cần tiến hành tiền xử lý dữ liệu đồ thị để chuẩn bị cho quá trình huấn luyện mô hình học máy. Các kỹ thuật tiền xử lý bao gồm chuẩn hóa kích thước đồ thị, loại bỏ các đỉnh và cạnh không quan trọng, và trích xuất các đặc trưng từ đồ thị. Các đặc trưng này có thể là các số liệu thống kê về đồ thị (ví dụ: số lượng đỉnh, số lượng cạnh, độ dài đường đi trung bình) hoặc các đặc trưng dựa trên cấu trúc đồ thị (ví dụ: các mẫu đồ thị con phổ biến). Việc thử nghiệm và đánh giá được thực hiện trên bộ dữ liệu mã độc IoT Botnet thu thập được từ V-Sandbox.

IV. Mô Hình Học Máy Cộng Tác Phát Hiện Sớm Mã Độc IoT

Luận án đề xuất một mô hình học máy cộng tác để phát hiện sớm mã độc IoT Botnet. Mô hình này kết hợp nhiều mô hình học máy khác nhau, mỗi mô hình được huấn luyện trên một loại dữ liệu khác nhau (ví dụ: dữ liệu luồng mạng, dữ liệu lời gọi hệ thống, dữ liệu sử dụng tài nguyên). Bằng cách kết hợp các mô hình này, có thể cải thiện độ chính xác và giảm tỷ lệ âm tính giả trong quá trình phát hiện mã độc. Mục tiêu là phát hiện mã độc càng sớm càng tốt, từ đó giảm thiểu thiệt hại do mã độc gây ra.

4.1. Vấn Đề Phát Hiện Sớm và Mô Hình Học Máy Cộng Tác

Phát hiện sớm mã độc là một thách thức lớn trong lĩnh vực an ninh mạng. Để giải quyết vấn đề này, luận án đề xuất sử dụng mô hình học máy cộng tác. Mô hình này tận dụng ưu điểm của nhiều mô hình học máy khác nhau, đồng thời giảm thiểu nhược điểm của từng mô hình riêng lẻ. Các mô hình học máy cộng tác có thể hoạt động song song hoặc tuần tự, tùy thuộc vào yêu cầu của ứng dụng. 'Mô hình học máy cộng tác trong phát hiện mã độc' giúp tăng cường khả năng phát hiện và giảm thiểu thời gian phản hồi, tài liệu gốc cho biết.

4.2. Kiến Trúc Tổng Quan và Quá Trình Trích Chọn Đặc Trưng

Kiến trúc của mô hình học máy cộng tác bao gồm các thành phần chính như môi trường Sandbox (SC), chuẩn hóa dữ liệu tiền xử lý (DNC) và trích chọn đặc trưng phù hợp. Môi trường Sandbox (SC) cung cấp dữ liệu hành vi của mã độc. Chuẩn hóa dữ liệu tiền xử lý (DNC) đảm bảo rằng dữ liệu được chuẩn hóa trước khi đưa vào các mô hình học máy. Quá trình trích chọn đặc trưng phù hợp lựa chọn các đặc trưng quan trọng nhất để huấn luyện các mô hình học máy. Việc trích chọn đặc trưng phù hợp giúp giảm độ phức tạp của mô hình và cải thiện độ chính xác.

V. Ứng Dụng Thực Tiễn và Kết Quả Nghiên Cứu của V Sandbox

Kết quả nghiên cứu cho thấy V-Sandbox là một công cụ hiệu quả để thu thập dữ liệu hành vi của mã độc IoT Botnet. Các đặc trưng trích xuất từ V-Sandbox, kết hợp với mô hình học máy cộng tác, cho phép phát hiện mã độc với độ chính xác cao và tỷ lệ âm tính giả thấp. Hệ thống này có thể được ứng dụng trong thực tế để bảo vệ các thiết bị IoT khỏi các cuộc tấn công mạng.

5.1. Triển Khai Thử Nghiệm và Đánh Giá Kết Quả Thực Tế

Việc triển khai thử nghiệm được thực hiện trên một bộ dữ liệu lớn các mẫu mã độc IoT Botnet và mẫu lành tính. Kết quả thử nghiệm cho thấy mô hình học máy cộng tác đạt được độ chính xác cao hơn so với các mô hình học máy đơn lẻ. Tỷ lệ âm tính giả cũng được giảm thiểu đáng kể. Các kết quả này chứng minh tính hiệu quả của phương pháp tiếp cận đề xuất. Bảng thống kê các chỉ số đánh giá mô hình đề xuất cho thấy sự vượt trội so với các nghiên cứu liên quan.

5.2. So Sánh và Đánh Giá Hiệu Năng của V Sandbox

V-Sandbox được so sánh với các hệ thống sandbox IoT khác như LiSa và Cuckoo. Kết quả so sánh cho thấy V-Sandbox có nhiều ưu điểm vượt trội về khả năng thu thập dữ liệu, tính linh hoạt và khả năng mở rộng. V-Sandbox cũng được đánh giá cao về khả năng phát hiện các hành vi tinh vi của mã độc. So sánh hiệu quả V-Sandbox với các IoT Sandbox khác cho thấy V-Sandbox có những ưu điểm riêng, phù hợp với các thiết bị IoT hạn chế tài nguyên.

VI. Kết Luận và Hướng Phát Triển Tương Lai của V Sandbox

Nghiên cứu này đã thành công trong việc xây dựng một hệ thống hiệu quả để phân tích và phát hiện mã độc IoT Botnet. V-Sandbox cung cấp một nền tảng mạnh mẽ để thu thập dữ liệu hành vi của mã độc, trong khi mô hình học máy cộng tác cho phép phát hiện mã độc với độ chính xác cao. Trong tương lai, có thể mở rộng nghiên cứu này bằng cách tích hợp thêm các kỹ thuật phân tích tĩnh, phân tích động và phát triển các mô hình học máy phức tạp hơn.

6.1. Tổng Kết Các Đóng Góp Chính của Luận Án

Luận án đã đóng góp vào lĩnh vực an ninh mạng bằng cách đề xuất một phương pháp tiếp cận mới trong phát hiện mã độc IoT Botnet. Các đóng góp chính bao gồm: xây dựng V-Sandbox, đề xuất sử dụng đồ thị lời gọi hệ thống DSCG, và phát triển mô hình học máy cộng tác. Các đóng góp này có ý nghĩa quan trọng trong việc bảo vệ các thiết bị IoT khỏi các cuộc tấn công mạng.

6.2. Hướng Nghiên Cứu và Phát Triển Trong Tương Lai

Trong tương lai, có thể mở rộng nghiên cứu này theo nhiều hướng khác nhau. Một trong những hướng phát triển tiềm năng là tích hợp thêm các kỹ thuật phân tích tĩnh để tăng cường khả năng phát hiện mã độc. Ngoài ra, có thể phát triển các mô hình học máy phức tạp hơn, chẳng hạn như các mô hình học sâu, để cải thiện độ chính xác và khả năng phát hiện các hành vi tinh vi của mã độc. Cuối cùng, cần tiếp tục nghiên cứu và phát triển các biện pháp bảo mật hiệu quả hơn để bảo vệ các thiết bị IoT khỏi các cuộc tấn công mạng trong tương lai.

Nội dung chính

Tổng quan luận án

Tính cấp thiết và khoảng trống nghiên cứu

Sự bùng nổ của mạng lưới Vạn vật kết nối Internet (IoT) với dự báo đạt hơn 50 tỷ thiết bị vào năm 2020 theo thống kê của Cisco và tăng từ 7 tỷ (năm 2018) lên 21,5 tỷ (năm 2025) theo số liệu của IoT Analytics đã đặt ra nhiều thách thức về an toàn thông tin. Các thiết bị IoT hạn chế tài nguyên (như Camera IP, bộ định tuyến Wifi SOHO, Smart Hub) thường sử dụng hệ điều hành nhúng nền tảng Linux trên nhiều kiến trúc vi xử lý khác nhau (MIPS, ARM, PowerPC, SPARC). Do hạn chế về năng lực tính toán, bộ nhớ và năng lượng, các thiết bị này khó triển khai các giải pháp bảo mật đầy đủ, dẫn đến việc tồn tại nhiều lỗ hổng nghiêm trọng như PetHole, các cổng dịch vụ mở mặc định (Telnet, SSH) và cấu hình mật khẩu yếu.

Thực tế ghi nhận các dòng mã độc IoT Botnet (tiêu biểu là Mirai, Bashlite) đã khai thác triệt để các lỗ hổng này để xây dựng mạng máy tính ma quy mô lớn, thực hiện các cuộc tấn công từ chối dịch vụ phân tán (DDoS) với băng thông lên tới 620 Gbps. Các phương pháp phát hiện tĩnh truyền thống dựa trên dịch ngược mã nhị phân gặp khó khăn trước các kỹ thuật làm rối mã (obfuscation), đóng gói (packing) và tính đa dạng của kiến trúc CPU. Trong khi đó, các công cụ phân tích động hiện có (như Cuckoo Sandbox, LiSa Sandbox, C500-Sandbox) chưa cung cấp đầy đủ môi trường hỗ trợ thư viện liên kết động, thiếu cơ chế giả lập máy chủ điều khiển (C&C server) và đòi hỏi thời gian thực thi dài để mã độc hoàn thành toàn bộ vòng đời. Do đó, việc nghiên cứu xây dựng môi trường phân tích động chuyên biệt và mô hình học máy phát hiện sớm mã độc IoT Botnet với dữ liệu quan sát tối thiểu là yêu cầu cấp thiết.

Mục tiêu nghiên cứu

Mục tiêu tổng quát của luận án là: Nghiên cứu, xây dựng hệ thống thu thập dữ liệu hành vi và phát hiện mã độc IoT Botnet dựa trên mô hình học máy nhằm nâng cao độ chính xác và giảm độ phức tạp trong phát hiện mã độc IoT Botnet trên các thiết bị IoT hạn chế tài nguyên theo phương pháp phân tích động.

Các mục tiêu cụ thể được xác định gồm:

1. Nghiên cứu, xây dựng hệ thống thu thập dữ liệu hành vi tương tác của mã độc IoT Botnet với các thiết bị IoT hạn chế tài nguyên thông qua môi trường Sandbox tự xây dựng.
2. Nghiên cứu, xây dựng mô hình học máy phát hiện mã độc IoT Botnet đảm bảo độ chính xác, tỉ lệ âm tính giả thấp và yêu cầu tối thiểu lượng dữ liệu cần thu thập.
3. Nghiên cứu, kết hợp hệ thống thu thập dữ liệu bằng Sandbox tự xây dựng với mô hình học máy đề xuất thành hệ thống phát hiện mã độc IoT Botnet hoàn chỉnh ứng dụng được trong thực tế.

Đối tượng và phạm vi nghiên cứu

• Đối tượng nghiên cứu: Các tệp tin thực thi nhị phân định dạng ELF (Executable and Linkable Format) trên hệ điều hành Linux nhúng dành cho các thiết bị IoT hạn chế tài nguyên, bao gồm cả các tệp mã độc (Malware) và tệp lành tính (Benign).
• Phạm vi nghiên cứu:
  • Về loại mã độc: Tập trung vào mã độc IoT Botnet trên các thiết bị IoT hạn chế tài nguyên (IP Camera, Wifi Router, Smart Hub...).
  • Về phương pháp tiếp cận: Tiếp cận theo hướng phân tích động hành vi thực thi để khắc phục nhược điểm của phân tích tĩnh đối với các tệp tin bị đóng gói hoặc làm rối mã nguồn.
  • Về nguồn dữ liệu: Dữ liệu mẫu ELF thu thập từ mạng bẫy (Honeypot), các kho dữ liệu nghiên cứu công khai quốc tế và dữ liệu trích xuất từ phần sụn (firmware) của các thiết bị IoT thực tế bằng công cụ C500-Extractor.

---

Tổng quan tài liệu và vị trí của luận án

Các hướng nghiên cứu trước

Quá trình tổng quan tài liệu trong luận án phân loại các hướng tiếp cận phát hiện mã độc IoT thành hai nhóm chính: phân tích tĩnh và phân tích động.

1. Hướng phân tích tĩnh:

   • Ngô Quốc Dũng và cộng sự (2020), Nguyễn Huy Trung nghiên cứu phát hiện mã độc IoT Botnet dựa trên đồ thị thông tin chuỗi ký tự in được (PSI - Printable String Information) kết hợp mô hình Skip-gram và mạng nơ-ron tích chập (CNN), đạt điểm F1-score 98,6%. Tuy nhiên, phương pháp phụ thuộc vào việc trích xuất chuỗi rõ, suy giảm hiệu quả khi chuỗi bị mã hóa.

2. Hướng phân tích động dựa trên luồng mạng (NIDS):

   • Rohan Doshi và cộng sự (2018) trích xuất đặc trưng luồng mạng (kích thước gói tin, khoảng cách thời gian giữa các gói tin, giao thức, băng thông) và sử dụng các thuật toán KNN, SVM, Decision Tree (DT), Random Forest (RF) để phát hiện tấn công DDoS với độ chính xác đạt 98%.
   • Lê Kim Hùng và cộng sự (2020) đề xuất hệ thống IMIDS ứng dụng CNN trên bộ dữ liệu UNSW-NB15 và CICIDS2017, đạt độ chính xác trên 95% nhưng còn nhầm lẫn giữa các kiểu tấn công như Backdoor và DDoS.
   • Alrashdi và cộng sự (2019) lựa chọn 12 đặc trưng từ bộ dữ liệu UNSW-NB15 kết hợp Random Forest để phát hiện IoT Botnet trong thành phố thông minh với độ chính xác 99,34%.
   • Prokofiev và cộng sự (2018) dùng Hồi quy Logistic (Logistic Regression) với các đặc trưng cổng, số lượng yêu cầu và entropy gói tin, đạt độ chính xác 97,3%.
   • Wu và cộng sự (2018) khai phá văn bản các chuỗi lệnh từ máy chủ C&C thu qua Honeypot IoTPOT, đạt độ chính xác 90%.

3. Hướng phân tích động dựa trên dữ liệu máy chủ (HIDS):

   • Breitenbacher và cộng sự (2019) phát triển hệ thống Hades-IoT IDS dựa trên tên, địa chỉ thanh nhớ và tham số của lời gọi hệ thống.
   • Massimo Ficco và cộng sự (2019) mô hình hóa chuỗi lời gọi hệ thống bằng chuỗi Markov với độ chính xác 89%.
   • Trần Nghi Phú và cộng sự (2018) sử dụng C500-Sandbox thu thập chuỗi lời gọi hệ thống trên kiến trúc MIPS, trích xuất đặc trưng n-gram và phân loại bằng One-Class SVM, đạt F1-score 97,6% và độ chính xác 95,6%.
   • Amin Azmoodeh và cộng sự (2018) và Woosub Jung và cộng sự (2020) giám sát điện năng tiêu thụ trên máy tính nhúng (sử dụng thiết bị đo Monsoon) kết hợp KNN và CNN để phát hiện mã độc với độ chính xác lần lượt là 95,65% và 96,5%.
   • Shabtai và cộng sự (2010) sử dụng thuật toán Naïve Bayes trên các chỉ số tài nguyên phần cứng (CPU, RAM, số tiến trình, thanh ghi), đạt độ chính xác 91,22%.

4. Các nghiên cứu về phát hiện sớm mã độc:

   • Tobiyama (2016) sử dụng thông tin tiến trình với thời gian thu thập 5 phút (AUC đạt 0,96).
   • Firdausi (2010), Ahmed (2009) yêu cầu mã độc thực thi đầy đủ vòng đời (độ chính xác lần lượt là 96,8% và 96,6%).
   • Damodaran (2016) cần 5–10 phút phân tích lời gọi hệ thống và Opcode (AUC đạt 0,98).
   • Pascanu (2015) cần tối thiểu 15 bước thực thi lời gọi hệ thống (độ chính xác 95,3%).
   • Hansen (2017) yêu cầu 200 giây thu thập chuỗi lời gọi hệ thống (độ chính xác 98,97%).

Khoảng trống luận án lựa chọn giải quyết

• Các môi trường Sandbox hiện hành gặp trở ngại khi phân tích mã độc IoT do thiếu hỗ trợ tự động bù đắp các tệp thư viện liên kết động bị thiếu (.so), thiếu khả năng giả lập tương tác máy chủ C&C để kích hoạt hành vi tiếp theo, và tỷ lệ thực thi thành công chưa cao trên các kiến trúc vi xử lý nhúng.
• Các phương pháp trích xuất đặc trưng lời gọi hệ thống truyền thống (như n-gram, chuỗi tuần tự đơn thuần) chưa biểu diễn đầy đủ mối liên hệ cấu trúc có hướng giữa các lời gọi hệ thống liên tiếp hoặc tạo ra không gian vector có số chiều quá lớn.
• Hầu hết các hệ thống phát hiện hiện nay phụ thuộc vào một nguồn dữ liệu đơn lẻ hoặc yêu cầu thời gian chạy dài (từ vài phút đến hàng trăm giây) để mã độc thể hiện trọn vẹn hành vi, dẫn đến việc không đáp ứng được yêu cầu phát hiện sớm nhằm ngăn chặn mã độc phát tán trong mạng IoT.

---

Cơ sở lý thuyết và phương pháp nghiên cứu

Cơ sở lý thuyết và khái niệm sử dụng

• Khái niệm thiết bị IoT hạn chế tài nguyên: Là các thiết bị có cấu tạo hạn chế về năng lực xử lý dữ liệu (CPU), dung lượng bộ nhớ (RAM, ROM, Flash) và băng thông truyền tải dữ liệu.
• Khái niệm mã độc IoT Botnet: Là mã độc có khả năng xâm nhập và lây nhiễm trên các thiết bị IoT hạn chế tài nguyên phục vụ mục đích xây dựng mạng lưới máy tính ma dưới sự điều khiển của Botmaster.
• Vòng đời IoT Botnet: Mô hình hóa qua 5 bước chính: (1) Khởi tạo mã nguồn; (2) Lây nhiễm; (3) Kết nối với máy chủ C&C; (4) Thực thi hành vi độc hại; (5) Cập nhật và bảo trì.
• Biểu diễn đồ thị và nhúng đồ thị: Sử dụng khái niệm đồ thị lời gọi hệ thống có hướng DSCG (Directed System Call Graph), kỹ thuật chuyển đổi đồ thị thành vector đặc trưng (Graph2vec, Skip-gram, Doc2vec, FEATHER, LDP).
• Học máy cộng tác và hợp nhất quyết định: Lý thuyết kết hợp các bộ phân lớp học máy đơn lẻ (Ensemble/Collaborative Learning) thông qua phương pháp hợp nhất muộn (Late Fusion) với hàm biểu quyết mềm có trọng số (Weighted Soft Voting).

Phương pháp nghiên cứu

Luận án kết hợp giữa nghiên cứu lý thuyết và nghiên cứu thực nghiệm:

• Phương pháp nghiên cứu lý thuyết: Khảo sát, phân tích và hệ thống hóa các tài liệu khoa học từ các cơ sở dữ liệu IEEE Xplore, ACM Digital Library, Google Scholar và kỷ yếu hội thảo uy tín (USENIX, Blackhat, SOICT, FAIR).
• Phương pháp nghiên cứu thực nghiệm:
  • Thu thập và xây dựng môi trường ảo hóa: Sử dụng trình giả lập phần cứng QEMU để thiết lập môi trường phân tích động đa kiến trúc (ARM, MIPS, PowerPC, x86, x64) với hệ điều hành Debian Squeeze/Wheezy.
  • Thu thập dữ liệu hành vi động: Sử dụng các công cụ nhân Linux bao gồm strace (giám sát lời gọi hệ thống), lsof (giám sát tương tác tệp), top (giám sát hiệu năng hệ thống/tài nguyên CPU, RAM) và tcpdump/libpcap (bắt gói tin mạng).
  • Công cụ tiền xử lý và trích xuất đặc trưng: Sử dụng readelf, ldd để phân tích tệp nhị phân ELF; xây dựng đồ thị DSCG; trích chọn đặc trưng bằng phương pháp Wrapper.
  • Thuật toán học máy và phân loại: Triển khai trên thư viện Scikit-learn với các thuật toán K-Nearest Neighbors (KNN), Support Vector Machines (SVM), Decision Tree (DT), Random Forest (RF) và Logistic Regression.
  • Chỉ số đánh giá: Độ chính xác (Accuracy - ACC), Tỉ lệ dương tính giả (False Positive Rate - FPR), Độ nhạy (Recall), Độ chuẩn xác (Precision), F1-score và Diện tích dưới đường cong ROC (ROC-AUC).

Nguồn dữ liệu	Công cụ thu thập	Các chỉ số / Thuộc tính chính trích xuất
Lời gọi hệ thống (Syscall)	strace	Chuỗi thứ tự tên lời gọi hệ thống, số lần xuất hiện, liên kết đồ thị DSCG
Luồng mạng (Network)	tcpdump / libpcap	50 gói tin đầu: kích thước gói, khoảng thời gian giữa các gói, cổng nguồn/đích, giao thức
Tài nguyên hệ thống (Performance)	top, lsof	20 bản ghi: mức chiếm dụng CPU, bộ nhớ RAM, số tiến trình hoạt động, thao tác tệp mở

---

Nội dung chính theo từng chương

Chương 1. Tổng quan về thiết bị IoT và mã độc IoT Botnet

Chương 1 hệ thống hóa cơ sở lý luận về thiết bị IoT và mã độc IoT Botnet. Tác giả phân tích các mô hình phân loại thiết bị IoT theo ITU (dựa trên chức năng) và Gartner/Rahman (mô hình phân lớp). Luận án phân tích chi tiết các điểm khác biệt cơ bản giữa Botnet truyền thống và IoT Botnet:

Tiêu chí so sánh	Mã độc Botnet truyền thống	Mã độc IoT Botnet
Kiến trúc vi xử lý và hệ điều hành	Tập trung vào x86, x64; hệ điều hành Windows, một phần Linux, macOS.	Đa dạng kiến trúc nhúng (MIPS, ARM, PowerPC, SPARC...); hệ điều hành Linux nhúng.
Kỹ thuật gây rối mã nguồn	Sử dụng các kỹ thuật gây rối phức tạp do môi trường có tài nguyên lớn.	Ít dùng gây rối phức tạp; chủ yếu dùng UPX hoặc biến thể XOR đơn giản.
Mục đích sử dụng chính	Đa mục đích: thu thập dữ liệu cá nhân, tống tiền, đào tiền ảo, spam, DDoS.	Tập trung chủ yếu vào tấn công từ chối dịch vụ phân tán (DDoS).
Khả năng phát hiện	Dễ phát hiện hơn do có tương tác người dùng và phần mềm bảo mật chuyên dụng.	Khó phát hiện do thiết bị chạy ngầm, không có giao diện đồ họa người dùng (GUI).
Vị trí lưu trữ thực thi	Lưu trữ trên bộ nhớ bền vững (HDD, SSD), tạo nhiều bản sao.	Thường chỉ tải và thực thi trực tiếp trên bộ nhớ tạm thời (RAM).
Cơ chế cạnh tranh lây nhiễm	Hiếm khi có chức năng loại bỏ mã độc khác trừ khi tranh chấp tài nguyên.	Thường có chức năng vô hiệu hóa mã độc khác và tắt các cổng Telnet/SSH để độc chiếm thiết bị.

Quy trình phát hiện mã độc IoT Botnet được phân tích qua 3 giai đoạn: Thu thập dữ liệu, Tiền xử lý dữ liệu và Phân tích phát hiện. Tác giả đánh giá toàn diện các hướng tiếp cận phân tích tĩnh và phân tích động, chỉ ra rằng việc kết hợp phân tích động đa nguồn dữ liệu là hướng đi thích hợp cho các thiết bị IoT hạn chế tài nguyên.

Chương 2. Xây dựng môi trường Sandbox thu thập hiệu quả dữ liệu hành vi của mã độc IoT Botnet

Chương 2 trình bày thiết kế và cài đặt hệ thống V-Sandbox chuyên biệt cho việc thu thập dữ liệu hành vi động của mã độc IoT Botnet.

Kiến trúc V-Sandbox gồm 8 thành phần chính:

1. Trích xuất thông tin thuộc tính cơ bản của ELF (EME): Sử dụng readelf để đọc Header ELF, xác định kiến trúc CPU, phiên bản hệ điều hành và danh sách thư viện liên kết động yêu cầu.
2. Sinh cấu hình hoạt động Sandbox (SCG): Tạo cấu hình tham số khởi chạy môi trường máy ảo tương ứng với đặc tính tệp mẫu.
3. Môi trường Sandbox (SE): Sử dụng QEMU để ảo hóa hệ thống với các tác tử giám sát ngầm: SystemCall agent (strace), File agent (lsof), Host performance agent (top) và Network agent (tcpdump).
4. Tiền xử lý dữ liệu thô thu thập được (RDP): Định dạng và cấu trúc hóa dữ liệu từ các tác tử.
5. Tính toán khả năng thực thi lại Sandbox (SR): Kiểm tra nếu tệp thực thi gặp lỗi thiếu thư viện động hoặc chưa bộc lộ hành vi, hệ thống tự động cấu hình chạy lại.
6. Giả lập máy chủ C&C (C&C simulator): Đóng vai trò phản hồi các gói tin bắt tay từ bot, gửi lệnh kích hoạt để mã độc bộc lộ hành vi tấn công mạng.
7. Cơ sở dữ liệu thư viện liên kết động (Share Object DB): Kho lưu trữ các thư viện .so được trích xuất từ các bản firmware thực tế (như Router Netgear WNAP320) để tự động nạp bổ sung khi mẫu yêu cầu.
8. Sinh báo cáo tự động (Report): Tổng hợp toàn bộ dữ liệu hành vi thành báo cáo JSON/XML phục vụ phân tích.

Thực nghiệm đối sánh giữa V-Sandbox với LiSa Sandbox và Cuckoo Sandbox cho thấy V-Sandbox có khả năng hỗ trợ đa kiến trúc tốt hơn, khắc phục được lỗi phụ thuộc thư viện liên kết động và duy trì môi trường giám sát ổn định cho các mẫu nhị phân IoT.

Chương 3. Đặc trưng đồ thị lời gọi hệ thống có hướng trong phát hiện mã độc IoT Botnet

Chương 3 đề xuất phương pháp mô hình hóa hành vi thực thi của mã độc dưới dạng Đồ thị lời gọi hệ thống có hướng (Directed System Call Graph - DSCG).

Quy trình xây dựng và xử lý đặc trưng DSCG:

1. Thu thập dữ liệu chuỗi lời gọi hệ thống: Ghi nhận chuỗi lời gọi tuần tự thông qua strace trong môi trường V-Sandbox.
2. Xây dựng đồ thị DSCG: Đồ thị được định nghĩa là $G = (V, E)$, trong đó các đỉnh $V$ đại diện cho các hàm lời gọi hệ thống duy nhất, các cạnh có hướng $E = (u, v)$ thể hiện lời gọi hệ thống $v$ được kích hoạt ngay sau lời gọi hệ thống $u$. Trọng số của cạnh thể hiện tần suất xuất hiện của bước chuyển tiếp này. Dữ liệu đồ thị được lưu trữ dưới định dạng chuẩn .gexf.
3. Tiền xử lý và nhúng đồ thị: Chuyển đổi đồ thị DSCG thành vector đặc trưng số thực cố định chiều thông qua các thuật toán nhúng đồ thị (Graph2vec kết hợp tư tưởng Skip-gram và Doc2vec).
4. Phân loại học máy: Áp dụng các thuật toán phân lớp KNN, SVM, Decision Tree và Random Forest.

Kết quả thử nghiệm qua các kịch bản phân chia tập dữ liệu huấn luyện/kiểm thử cho thấy đặc trưng đồ thị DSCG phản ánh chính xác cấu trúc logic thực thi của mã độc, giúp các mô hình học máy phân biệt chính xác giữa tệp lành tính và mã độc IoT Botnet với độ phức tạp tính toán thấp.

Chương 4. Mô hình học máy cộng tác phát hiện sớm mã độc IoT Botnet

Chương 4 đề xuất mô hình học máy cộng tác (Collaborative Machine Learning for Early Detection - CMED) nhằm giải quyết bài toán phát hiện sớm mã độc IoT Botnet với thời gian quan sát tối thiểu.

Mô hình kết hợp 3 nhánh dữ liệu đặc trưng hành vi độc lập thu thập trong thời gian 03 giây đầu tiên thực thi (đảm bảo thu được tối thiểu 300 lời gọi hệ thống, 20 bản ghi tài nguyên thiết bị và 50 gói tin luồng mạng):

1. Nhánh dữ liệu luồng mạng (Network): Được phân loại bởi thuật toán K-Nearest Neighbors (KNN).
2. Nhánh dữ liệu sử dụng tài nguyên thiết bị (Performance): Được phân loại bởi thuật toán Random Forest (RF).
3. Nhánh dữ liệu lời gọi hệ thống (Syscall): Được phân loại bởi thuật toán K-Nearest Neighbors (KNN).

Kết quả dự đoán xác suất từ 3 mô hình đơn lẻ được đưa vào Hàm hợp nhất (FC - Fusion Component) sử dụng cơ chế biểu quyết mềm có trọng số (Weighted Soft Voting):

• Bộ trọng số tối ưu được xác định là: $(w_{\text{Network}}, w_{\text{Performance}}, w_{\text{Syscall}}) = (0,35; 0,30; 0,35)$.

Thực nghiệm đánh giá trên bộ dữ liệu gồm 8.911 mẫu (5.023 mẫu mã độc và 3.888 mẫu lành tính):

Mô hình phân loại	Độ chính xác (ACC)	Tỉ lệ dương tính giả (FPR)	ROC-AUC	F1-score (Malware)	F1-score (Benign)
Mô hình Luồng mạng (KNN)	98,22%	2,85%	0,9812	0,9841	0,9798
Mô hình Tài nguyên (Random Forest)	96,15%	4,12%	0,9605	0,9654	0,9568
Mô hình Lời gọi hệ thống (KNN)	98,84%	2,01%	0,9879	0,9896	0,9869
Mô hình cộng tác đề xuất (Soft Voting)	99,99%	1,94%	0,9998	0,9998	0,9998

Thời gian đưa ra quyết định dự đoán của mô hình là xấp xỉ 6 giây (bao gồm 3 giây thu thập dữ liệu hành vi và thời gian trích xuất, phân loại). Thử nghiệm kiểm chứng với các mẫu nằm ngoài tập dữ liệu huấn luyện đối chiếu với kết quả của VirusTotal (như các biến thể Mirai, Bashlite) xác nhận mô hình đưa ra dự đoán chính xác với độ tin cậy tuyệt đối (xác suất 1,0 đối với mã độc).

Bảng so sánh với các nghiên cứu liên quan về phát hiện sớm mã độc:

Tác giả / Nghiên cứu	Nguồn dữ liệu đặc trưng	Kích thước tập mẫu (Mã độc / Lành tính)	Thời gian thu thập dữ liệu hành vi động	Độ chính xác (ACC) / AUC
Tobiyama (2016)	Thông tin tiến trình hệ thống	81 / 69	5 phút	- / 0,96
Firdausi (2010)	Lời gọi hệ thống	220 / 250	Chờ thực thi đầy đủ vòng đời	96,8% / -
Ahmed (2009)	Lời gọi hàm API	416 / 100	Chờ thực thi đầy đủ vòng đời	96,6% / -
Damodaran (2016)	Lời gọi hệ thống, Opcode	745 / 40	5 – 10 phút	- / 0,98
Pascanu (2015)	Lời gọi hệ thống	25.000 / (n/a)	Ít nhất 15 bước thực thi	95,3% / -
Hansen (2017)	Lời gọi hệ thống	5.000 / 837	200 giây	98,97% / -
Mô hình đề xuất	Lời gọi hệ thống, luồng mạng, tài nguyên thiết bị	5.023 / 3.888	Tối đa 180 giây (chỉ cần 3 giây để phát hiện sớm)	99,99% / 0,9998

---

Kết quả và những đóng góp mới

Các đóng góp mới về mặt lý luận và thực tiễn

Luận án tự xác định 3 đóng góp chính:

1. Xây dựng thành công môi trường V-Sandbox: Thiết lập một môi trường Sandbox mã nguồn mở, hoạt động hoàn toàn tự động, có khả năng mô phỏng các kiến trúc phần cứng đa dạng của thiết bị IoT nhúng. Hệ thống tích hợp cơ chế tự động bù đắp thư viện liên kết động (.so) và giả lập máy chủ điều khiển C&C, tạo điều kiện cho mã độc bộc lộ đầy đủ hành vi.
2. Đề xuất đặc trưng đồ thị lời gọi hệ thống có hướng (DSCG): Phương pháp biểu diễn chuỗi lời gọi hệ thống dưới dạng đồ thị có hướng giúp cấu trúc hóa mối quan hệ tuần tự giữa các hành vi, kết hợp kỹ thuật nhúng đồ thị giúp giảm độ phức tạp tính toán nhưng vẫn duy trì độ chính xác phân loại cao.
3. Đề xuất mô hình học máy cộng tác phát hiện sớm (CMED): Xây dựng cơ chế kết hợp đa nguồn đặc trưng động (lời gọi hệ thống, gói tin mạng, mức chiếm dụng tài nguyên phần cứng) thông qua kỹ thuật biểu quyết mềm có trọng số. Mô hình đạt độ chính xác 99,99%, AUC đạt 0,9998 và chỉ cần 3 giây dữ liệu hành vi ban đầu để đưa ra kết quả dự đoán, rút ngắn đáng kể thời gian phát hiện so với các nghiên cứu trước đây.

Kiến nghị và giải pháp ứng dụng

• Triển khai mô hình phát hiện sử dụng mạng lưới tác tử thông minh vào các hệ thống giám sát an toàn thông tin thực tế cho mạng IoT dân sự và công nghiệp. Theo mô hình này, các tác tử thu thập dữ liệu hành vi nhẹ được cài đặt trực tiếp trên thiết bị IoT, gửi dữ liệu về phân hệ tiền xử lý và phân tích trung tâm để nhận diện và ngăn chặn sớm các đợt tấn công Botnet.
• Ứng dụng các kết quả nghiên cứu vào khuôn khổ Đề tài nghiên cứu cấp quốc gia: "Nghiên cứu xây dựng hệ thống tự động phát hiện, cảnh báo và ngăn chặn tấn công mạng nhằm vào các thiết bị IoT cỡ nhỏ sử dụng mạng lưới tác tử thông minh" (Mã số: KC-4.0-05/19-25).

---

Hạn chế và hướng nghiên cứu tiếp

Hạn chế được ghi nhận

• Bộ dữ liệu thực nghiệm của luận án chủ yếu tập trung vào các dòng mã độc IoT Botnet phổ biến (như Mirai, Bashlite), chưa bao quát toàn diện các loại mã độc mới xuất hiện gần đây trên thiết bị IoT như Ransomware, Trojan, Spyware.
• Tỷ lệ thực thi thành công các mẫu trong tập dữ liệu trên môi trường V-Sandbox đạt mức xấp xỉ 80%, vẫn còn một phần mẫu chưa thể khởi chạy do các điều kiện phần cứng chuyên biệt chưa được mô phỏng hoàn chỉnh.
• Tổng thời gian cho toàn bộ quy trình khởi tạo máy ảo, nạp mẫu, thực thi, giám sát và trích xuất báo cáo trong môi trường V-Sandbox còn mất khoảng 3 phút cho mỗi chu kỳ phân tích đầy đủ.

Hướng nghiên cứu tiếp theo

• Mở rộng phạm vi thử nghiệm và hoàn thiện mô hình phát hiện đối với các chủng loại mã độc IoT khác ngoài Botnet (Trojan, Ransomware, phần mềm gián điệp).
• Tối ưu hóa hiệu năng của V-Sandbox nhằm rút ngắn thời gian khởi tạo máy ảo và nâng cao tỷ lệ thực thi thành công các tệp mẫu nhị phân nhúng.
• Nghiên cứu cơ chế tự động chuyển đổi các đặc trưng phát hiện từ mô hình học máy động thành các mẫu chữ ký nhận dạng (signature-based rules) nhằm tích hợp trực tiếp vào các hệ thống phát hiện xâm nhập (IDS/IPS) truyền thống, giúp tiết kiệm tài nguyên xử lý trên các thiết bị vận hành thực tế.

---

Giá trị tham khảo

Đối tượng thụ hưởng và giá trị học thuật

• Nghiên cứu sinh và học viên cao học ngành An toàn thông tin, Khoa học máy tính, Hệ thống thông tin: Có thể tham khảo phương pháp luận xây dựng môi trường phân tích động đa kiến trúc vi xử lý (MIPS/ARM trên QEMU), kỹ thuật trích xuất đặc trưng đồ thị lời gọi hệ thống (DSCG) và phương pháp kết hợp các mô hình học máy đơn lẻ (Late Fusion) để xử lý dữ liệu đa nguồn.
• Kỹ sư an toàn thông tin và chuyên gia phân tích mã độc: Tham khảo mã nguồn và kiến trúc của V-Sandbox để tự xây dựng các hệ thống tự động thu thập dữ liệu hành vi mã độc nhúng, khắc phục các sự cố thiếu thư viện liên kết động trên phần sụn Linux.
• Nhà phát triển hệ thống và quản trị mạng IoT: Cung cấp kiến thức về cơ chế hoạt động, vòng đời lây nhiễm của IoT Botnet và giải pháp kiến trúc tác tử phân tán để bảo vệ các thiết bị hạn chế tài nguyên trong nhà thông minh, đô thị thông minh.

Các phần tài liệu đáng tham khảo trong văn bản

• Bảng tổng hợp so sánh chi tiết giữa Botnet truyền thống và IoT Botnet (Bảng 1.1).
• Kiến trúc chi tiết và các tác tử thu thập dữ liệu trong môi trường V-Sandbox (Chương 2).
• Phương pháp luận chuyển đổi đồ thị DSCG thành vector đặc trưng phân loại (Chương 3).
• Bảng tham số cấu hình các thuật toán học máy và ma trận trọng số hàm kết hợp Voting (Chương 4, Bảng 4.3, Bảng 4.5).

---

Câu hỏi thường gặp

1. Vì sao luận án lựa chọn phương pháp phân tích động thay vì phân tích tĩnh để phát hiện mã độc IoT Botnet?

Phân tích tĩnh gặp nhiều hạn chế do mã độc IoT thường được biên dịch chéo trên nhiều kiến trúc CPU khác nhau (ARM, MIPS, PowerPC) và sử dụng các kỹ thuật làm rối mã nguồn, đóng gói mã nhị phân (như UPX, biến thể XOR). Ngoài ra, các phương pháp phân tích chuỗi ký tự (như PSI Graph) sẽ mất hiệu quả nếu chuỗi bị mã hóa. Phân tích động cho phép quan sát trực tiếp các tương tác thực tế của tệp nhị phân với hệ thống (lời gọi hệ thống, gói tin mạng, chiếm dụng tài nguyên), loại bỏ được ảnh hưởng của các kỹ thuật gây rối mã nguồn.

2. Môi trường V-Sandbox giải quyết vấn đề thiếu thư viện liên kết động (.so) bằng cách nào?

V-Sandbox sử dụng khối trích xuất thuộc tính cơ bản của ELF (EME) kết hợp lệnh readelf và ldd để xác định danh sách các thư viện liên kết động mà tệp mẫu yêu cầu. Khi phát hiện thiếu thư viện, hệ thống sẽ tự động tra cứu và bổ sung các tệp .so tương ứng từ Cơ sở dữ liệu thư viện liên kết động (Share Object DB) — vốn được trích xuất sẵn từ các bản phần sụn (firmware) thiết bị IoT thực tế — và cấu hình lại môi trường để thực thi lại mẫu tự động qua khối SR.

3. Cấu trúc đồ thị DSCG được xây dựng từ nguồn dữ liệu nào và mang ý nghĩa gì?

Đồ thị DSCG được xây dựng từ chuỗi các lời gọi hệ thống thu thập bởi tác tử strace khi chạy tệp mẫu trong V-Sandbox. Trong đồ thị $G = (V, E)$, mỗi đỉnh $V$ là một hàm lời gọi hệ thống, mỗi cạnh có hướng $E = (u, v)$ thể hiện lời gọi $v$ xuất hiện liền sau lời gọi $u$. Đồ thị DSCG biểu diễn cấu trúc quan hệ tuần tự và quy luật chuyển tiếp logic giữa các hành vi của mã độc mà không bị phụ thuộc vào độ dài tuyệt đối của chuỗi thực thi.

4. Mô hình CMED thực hiện phát hiện sớm mã độc bằng cách nào và cần bao nhiêu thời gian thu thập dữ liệu?

Mô hình CMED chỉ yêu cầu thu thập dữ liệu hành vi trong 03 giây đầu tiên khi tệp thực thi (tương đương khoảng 300 lời gọi hệ thống, 20 bản ghi tài nguyên và 50 gói tin mạng). Ba nguồn dữ liệu này được phân loại đồng thời qua 3 mô hình học máy đơn lẻ (KNN cho mạng, Random Forest cho tài nguyên, KNN cho lời gọi hệ thống), sau đó kết hợp bằng hàm biểu quyết mềm có trọng số $(0,35; 0,30; 0,35)$. Tổng thời gian từ khi đưa mẫu vào phân tích đến khi có kết quả phân loại là xấp xỉ 6 giây.

5. Kết quả thực nghiệm của mô hình đề xuất trên tập dữ liệu đạt các chỉ số chính xác như thế nào?

Thực nghiệm trên bộ dữ liệu gồm 8.911 mẫu (5.023 mã độc và 3.888 tệp lành tính) cho thấy mô hình cộng tác đạt độ chính xác tổng thể $\text{ACC} = 99,99%$, tỉ lệ dương tính giả $\text{FPR} = 1,94%$, diện tích dưới đường cong $\text{ROC-AUC} = 0,9998$, điểm F1-score cho cả hai nhãn mã độc và lành tính đều đạt 0,9998.

---

Kết luận

Luận án của tác giả Lê Hải Việt đã giải quyết bài toán phát hiện mã độc IoT Botnet trên các thiết bị hạn chế tài nguyên thông qua phương pháp phân tích động và học máy cộng tác. Công trình đã xây dựng thành công hệ thống V-Sandbox tự động đa kiến trúc, đề xuất đặc trưng đồ thị lời gọi hệ thống có hướng DSCG và thiết lập mô hình học máy cộng tác CMED phát hiện sớm mã độc với thời gian quan sát chỉ 3 giây. Kết quả thực nghiệm đạt độ chính xác 99,99% với tỉ lệ dương tính giả 1,94%, đóng góp giải pháp kỹ thuật có tính ứng dụng vào hệ thống giám sát an toàn thông tin mạng IoT.

Trích đoạn nội dung tài liệu

CHƯƠNG 1. TỔNG QUAN VỀ THIẾT BỊ IOT VÀ MÃ ĐỘC IOT BOTNET 1. Tổng quan về thiết bị IoT 1. Khái niệm thiết bị IoT Khái niệm thuật ngữ “Internet of Things” (IoT) đã được nhiều nhà nghiên cứu đưa ra ý kiến của mình trong từng lĩnh vực chuyên biệt.

Tuy nhiên, tất cả đều thống nhất việc sử dụng thuật ngữ này lần đầu vào năm 1999 do Kevin Ashton. Theo Kevin Ashton [11], “Internet of Things” là “tập hợp các cảm biến và bộ điều khiển nhúng trong các thiết bị được liên kết thông qua mạng có dây và không dây”. Tại thời điểm này, các thiết bị “IoT” được sử dụng để chỉ các thiết bị nhúng được điều khiển bởi con người thông qua mạng có dây hoặc không dây. Đến năm 2015, Madakam [12] đưa ra cách hiểu IoT là “một mạng lưới mang tính mở và toàn diện kết nối các đối tượng thông minh có khả năng tự động tổ chức, chia sẻ thông tin, dữ liệu và tài nguyên, phản ứng và hành động khi đối mặt với các tình huống và thay đổi của môi trường”.

Madakam nhấn mạnh về đặc điểm “thông minh” của các thiết bị IoT bao gồm: Tự tổ chức hoạt động; Chia sẻ thông tin, dữ liệu và tài nguyên; Có khả năng phản ứng lại với các thay đổi của môi trường xung quanh. Theo sự phát triển của công nghệ hiện đại, IoT đã phát triển từ sự hội tụ của công nghệ kết nối không dây, công nghệ vi cơ điện tử và sự phát triển của Internet. Sau khi xem xét các định nghĩa của các tổ chức khác nhau, ITU (International Telecommunication Union) đã định nghĩa IoT như sau: “Internet of Things là một cơ sở hạ tầng toàn cầu cho xã hội thông tin, cho phép các dịch vụ tiên tiến hoạt động bằng cách kết nối các vật thể (vật lý và ảo) dựa trên các công nghệ thông tin truyền thông tương thích hiện có và đang phát triển” [13]. Theo khái niệm này, vạn vật (Things) là đối tượng của thế giới thực (vật chất tồn tại) hoặc của thế giới thông tin (thực thể ảo), có khả năng được định danh, tích hợp vào mạng thông tin và truyền thông.

Bên cạnh đó, ITU cũng xác định thiết bị IoT là “thiết bị có khả năng kết nối và có thể tích hợp cảm biến, cơ cấu truyền động, chức năng thu thập, lưu trữ và xử lý dữ liệu”. Các thiết bị IoT thu thập các loại thông tin khác nhau và cung cấp cho các mạng thông tin và truyền thông để xử lý, làm giàu thêm thông tin thu được. Một số thiết bị IoT cũng thực hiện các hoạt động dựa trên thông tin nhận được từ mạng thông tin và truyền thông.botnet luan an tien si TIEU LUAN MOI download : [e-mail] moi nhat (LUAN.botnet 8 Với kết quả nghiên cứu của mình, nghiên cứu sinh nhận thấy vẫn chưa có một khái niệm thống nhất chung về thiết bị IoT. Tuy nhiên, các khái niệm đã có đều cơ bản chỉ ra đặc điểm nổi bật nhất của loại thiết bị này là khả năng kết nối vào Internet.

Vì vậy, nghiên cứu sinh đưa ra khái niệm thiết bị IoT được sử dụng trong luận án này như sau: Khái niệm 1. Thiết bị IoT là các thiết bị có khả năng kết nối, chia sẻ dữ liệu, tài nguyên dựa trên trên các công nghệ thông tin truyền thông tương thích hiện có và đang phát triển, tự phản ứng với thay đổi của môi thường để đạt được một mục tiêu nhất định. Sự tăng trưởng nhanh chóng về số lượng thiết bị IoT so với các thiết bị kết nối Internet truyền thống như máy tính điện tử được chứng minh thông qua số liệu thống kê của IoT Analytics [14], được minh họa tại Hình 1. Qua số liệu dự báo thống kê cho thấy, từ năm 2018 đến năm 2025 số lượng thiết bị truyền thống tăng lên không nhiều (chỉ khoảng 18%) từ 10,8 tỉ lên 12,7 tỉ.

Trong khi đó, thiết bị IoT tăng hơn 200% từ 7 tỉ lên 21,5 tỉ thiết bị kết nối vào Internet. Không chỉ tăng nhanh về số lượng, chủng loại thiết bị IoT cũng tăng lên nhanh chóng theo mục đích sử dụng. Thiết bị IoT xuất hiện trong nhiều lĩnh vực như nhà thông minh, chăm sóc sức khỏe, tự động hóa quá trình sản xuất công nghiệp, vận chuyển hàng hóa,… Tuy nhiên, khi số lượng của nó tăng lên, các thiết bị IoT bị hạn chế về tài nguyên ngày càng lộ ra nhiều lỗ hổng bảo mật hơn [3, 15]. Vì vậy, các thiết bị này đã trở thành mục tiêu ưa thích của các kẻ tấn công.

Số lượng các thiết bị được kích hoạt toàn cầu (đơn vị tỉ thiết bị) 35.0 2015 2016 2017 2018 2019 2020 2021 2022 2023 2024 2025 Thiết bị IoT Thiết bị truyền thống Hình 1.1 Số lượng các thiết bị được kích hoạt trên toàn cầu (LUAN.botnet luan an tien si TIEU LUAN MOI download : [e-mail] moi nhat (LUAN. Phân loại thiết bị IoT Dựa trên chức năng hoạt động, các thiết bị IoT có thể được phân thành các loại chính sau [13]: - Thiết bị mang dữ liệu: là thiết bị được tích hợp vào các thực thể vật lý để hỗ trợ kết nối các thực thể này vào hệ thống mạng phục vụ quá trình truyền dữ liệu. - Thiết bị thu thập dữ liệu: là thiết bị đọc/ghi có khả năng tương tác với thực thể vật lý. Sự tương tác có thể xảy ra gián tiếp thông qua các thiết bị mang dữ liệu hoặc trực tiếp thông qua các chất mang dữ liệu gắn liền với những thực thể vật lý.

- Thiết bị cảm biến và chấp hành (truyền động): Thiết bị cảm biến và chấp hành có thể phát hiện hoặc đo lường thông tin liên quan đến môi trường xung quanh và chuyển đổi nó thành tín hiệu điện tử, kỹ thuật số. Nó cũng có thể chuyển đổi tín hiệu điện tử, kỹ thuật số từ các mạng thông tin thành hoạt động chấp hành như đóng mở công tắc, kích hoạt kịch bản hành động,… - Thiết bị đa chức năng: là thiết bị được tích hợp khả năng xử lý dữ liệu, giao tiếp với các thiết bị IoT khác và giao tiếp với các mạng truyền thông thông qua các công nghệ có dây hoặc không dây.2 Phân loại thiết bị IoT dựa trên chức năng hoạt động [13] Bên cạnh đó, Gartner [16] chia hệ sinh thái các thiết bị IoT thành 5 lớp khác nhau bao gồm: - Lớp 1 đại diện cho mọi thiết bị IoT của người dùng cuối như máy tính, điện thoại, cảm biến môi trường, đồ gia dụng thông minh,… - Lớp 2 đại diện cho thiết bị hạ tầng mạng và truyền thông. - Lớp 3 đại diện cho thiết bị tiền xử lý và lưu trữ dữ liệu.botnet luan an tien si TIEU LUAN MOI download : [e-mail] moi nhat (LUAN.botnet 10 - Lớp 4 đại diện cho thiết bị triển khai các ứng dụng và dịch vụ IoT. - Lớp 5 đại diện cho thiết bị phân tích dữ liệu.

Ngày nay, tất cả các ứng dụng hệ thống, ứng dụng web, lưu trữ và cơ sở dữ liệu đều có thể được cấu hình trong hệ thống điện toán đám mây (Cloud system), Rahman [17] chọn cách đơn giản hóa và kết hợp Lớp 3 và Lớp 4 thành một lớp duy nhất như trong Hình 1.3 Phân lớp các thiết bị IoT [17] Theo cách phân loại của Bencheton [9], thiết bị IoT được chia làm 2 loại chính gồm thiết bị hạn chế tài nguyên (constrained resource) và hiệu năng cao (high-capacity resource). Theo đó, thiết bị hạn chế tài nguyên được hiểu là các thiết bị với bộ vi xử lý (CPU), bộ nhớ (RAM, ROM, Flash,…) và tiêu thụ năng lượng điện hạn chế [18]. Thường được sử dụng làm cảm biến, thiết bị thông minh đeo được, thiết bị nhúng, thiết bị gia dụng thông minh,… Với mục tiêu nghiên cứu như đã trình bày ở trên, luận án sử dụng khái niệm thiết bị IoT hạn chế tài nguyên như sau: Khái niệm 1. Thiết bị IoT hạn chế tài nguyên là các thiết bị IoT có cấu tạo hạn chế về tài nguyên sử dụng (như năng lực xử lý dữ liệu, dung lượng bộ nhớ, băng thông truyền tải dữ liệu,…) Đặc trưng của thiết bị IoT hạn chế tài nguyên này có tác động đến khả năng bảo mật của nó và do đó, nó đưa ra các giới hạn cho việc áp dụng một số giải pháp bảo mật.

Do hạn chế về tài nguyên (CPU, RAM, Flash memory), các thiết bị IoT này khó tích hợp các giải pháp bảo mật và thực tế đã trở thành mục tiêu tấn công được chú ý với nhiều (LUAN.botnet luan an tien si TIEU LUAN MOI download : [e-mail] moi nhat (LUAN.botnet 11 biến thể của mã độc [2, 8, 19]. Vì vậy, phát hiện mã độc trên các thiết bị IoT hạn chế tài nguyên là một thách thức đối với các nhà nghiên cứu. Với các lý do nêu trên, trong phạm vi đề tài luận án Nghiên cứu sinh lựa chọn thiết bị IoT hạn chế tài nguyên để nghiên cứu phát hiện các hành vi của mã độc. Các vấn đề bảo mật tồn tại trên thiết bị IoT hạn chế tài nguyên Internet cung cấp cho con người những lợi ích to lớn, nhưng cũng chứa đựng các nguy cơ như bị tấn công mạng, lây nhiễm mã độc, đánh cắp thông tin cá nhân,.

Đối với mạng lưới các thiết bị IoT, các nguy cơ này thậm chí còn nghiêm trọng hơn do quy mô khổng lồ và khả năng tương tác trở lại với môi trường xung quanh. Các mối đe dọa từ mạng lưới thiết bị IoT có khả năng vô hiệu hóa hệ thống an ninh tại nhà, gây rối loại quy trình sản xuất của nhà máy, phá hoại hệ thống dẫn đường của phương tiện giao thông không người lái và gây rối loạn các thiết bị hỗ trợ sự sống cho bệnh nhân tại các bệnh viện. Các nghiên cứu khoa học đã công bố cho thấy, vấn đề lây nhiễm mã độc và tấn công từ chối dịch vụ là nguy cơ cao ảnh hưởng tới hoạt động của thiết bị IoT [8, 19, 20]. Trong thực tế, các vấn đề này đã được minh chứng bằng các cuộc tấn công từ chối dịch vụ phân tán (DDoS) sử dụng mạng lưới mã độc IoT Botnet (như Bashlite, Mirai) lây nhiễm trên các thiết bị IoT hạn chế tài nguyên [8, 21].

Nguyên nhân hầu hết của các cuộc tấn công này xuất phát từ đặc điểm hạn chế tài nguyên của thiết bị, sẽ khó có thể triển khai đầy đủ các giải pháp bảo mật cho các thiết bị này như các thiết bị máy tính truyền thống. Điều này dẫn tới xuất hiện các lỗ hổng bảo mật nghiêm trọng mà các đối tượng có thể lợi dụng để thực hiện phá hoại. Cụ thể, kẻ tấn công có thể dễ dàng sử dụng một công cụ tìm kiếm lỗ hổng bảo mật của thiết bị IoT như Shodan [22].