Nghiên cứu hệ thống V-Sandbox trong phân tích và phát hiện mã độc IoT Botnet

• Người hướng dẫn: TS. Ngô Quốc Dũng
• Trường học: Học viện Khoa học và Công nghệ
• Chuyên ngành: Hệ thống thông tin
• Đề tài: Nghiên cứu hệ thống V-Sandbox trong phát hiện mã độc IoT Botnet
• Loại tài liệu: luận án tiến sĩ
• Năm xuất bản: 2022
• Địa điểm: Hà Nội

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• MỤC LỤC
• DANH MỤC CÁC KÝ HIỆU, CÁC CHỮ VIẾT TẮT
• DANH MỤC CÁC BẢNG
• DANH MỤC CÁC HÌNH VẼ, ĐỒ THỊ
• 1. MỞ ĐẦU
• 1.1. Tính cấp thiết của luận án
• 1.2. Mục tiêu nghiên cứu của luận án
• 1.3. Đối tượng và phạm vi nghiên cứu
• 1.3.1. Đối tượng nghiên cứu
• 1.3.2. Phạm vi nghiên cứu
• 1.4. Nội dung và phương pháp nghiên cứu
• 1.4.1. Nội dung nghiên cứu
• 1.4.2. Phương pháp nghiên cứu
• 1.4.2.1. Nghiên cứu lý thuyết

I. Tổng Quan Hệ Thống V Sandbox và Mã Độc IoT Botnet

Nghiên cứu này tập trung vào việc xây dựng hệ thống V-Sandbox để phân tích và phát hiện mã độc IoT Botnet. Sự phát triển mạnh mẽ của IoT đã mang lại nhiều tiện ích, nhưng cũng đi kèm với những lỗ hổng bảo mật nghiêm trọng. Theo thống kê của Cisco, số lượng thiết bị IoT kết nối internet ngày càng tăng, và phần lớn các thiết bị này có mặt trong các hệ thống nhà thông minh, hệ thống cảm biến môi trường, camera IP, router SOHO… tạo ra môi trường lý tưởng cho các cuộc tấn công. Các lỗ hổng bảo mật trong firmware của các thiết bị IoT hạn chế tài nguyên là một trong những nguyên nhân chính dẫn đến nguy cơ mất an toàn thông tin. Gartner dự đoán rằng 25% các cuộc tấn công mạng sẽ liên quan đến các thiết bị IoT vào năm 2020. Bài toán đặt ra là làm sao xây dựng được một hệ thống hiệu quả để phát hiện và ngăn chặn các mối đe dọa này.

1.1. Khái Niệm Thiết Bị IoT và Các Vấn Đề Bảo Mật

Thiết bị IoT (Internet of Things) là các thiết bị nhúng có khả năng kết nối và trao đổi dữ liệu qua Internet. Do tài nguyên hạn chế, các thiết bị này thường dễ bị tấn công do thiếu các biện pháp bảo mật đầy đủ. Các lỗ hổng bảo mật này tạo điều kiện cho tin tặc dễ dàng xâm nhập và kiểm soát thiết bị, gây ra các cuộc tấn công quy mô lớn. Nghiên cứu gần đây đã chỉ ra rằng các lỗ hổng bảo mật và đặc biệt là mã độc xuất hiện nhiều trên firmware của các thiết bị IoT hạn chế tài nguyên. 'Việc bỏ ngỏ các biện pháp đảm bảo an ninh, an toàn cho các thiết bị IoT đã vô hình tạo cơ hội cho tin tặc dễ dàng tấn công và chiếm quyền điều khiển các thiết bị này trên toàn thế giới', tài liệu gốc cho biết.

1.2. Tổng Quan Về Mã Độc IoT Botnet và Quy Trình Phát Hiện

Mã độc IoT Botnet là một loại phần mềm độc hại đặc biệt được thiết kế để lây nhiễm và điều khiển các thiết bị IoT. Quy trình phát hiện mã độc IoT Botnet thường bao gồm các bước thu thập dữ liệu, tiền xử lý dữ liệu (dữ liệu luồng mạng, lời gọi hệ thống, tương tác tài nguyên), phân tích và phát hiện. Học máy và học sâu được ứng dụng rộng rãi trong việc phát hiện loại mã độc này. So với Botnet truyền thống, mã độc IoT Botnet có những đặc điểm khác biệt về phương thức lây lan và hiệu quả tấn công. Các phương pháp phát hiện mã độc IoT Botnet cũng rất đa dạng, mỗi phương pháp có ưu nhược điểm riêng. Các phương pháp này có thể dựa trên phân tích tĩnh, phân tích động, hoặc kết hợp cả hai.

II. V Sandbox Giải Pháp Thu Thập Dữ Liệu Hành Vi Mã Độc

Để giải quyết bài toán phát hiện mã độc IoT Botnet, luận án tập trung xây dựng V-Sandbox, một môi trường sandbox chuyên biệt để thu thập dữ liệu hành vi của mã độc trên các thiết bị IoT. Kiến trúc tổng quan của V-Sandbox bao gồm các thành phần chính như trích xuất thông tin thuộc tính cơ bản của ELF (EME), sinh cấu hình hoạt động Sandbox (SCG), môi trường Sandbox (SE), tiền xử lý dữ liệu thô thu thập được (RDP) và tính toán khả năng thực thi lại Sandbox (SR). Mục tiêu là tạo ra một hệ thống có khả năng thu thập đầy đủ và chính xác dữ liệu hành vi của mã độc, đồng thời giảm thiểu tác động đến hiệu năng của thiết bị IoT.

2.1. Kiến Trúc Tổng Quan và Các Thành Phần Chính của V Sandbox

Kiến trúc của V-Sandbox được thiết kế để mô phỏng môi trường hoạt động của các thiết bị IoT. Các thành phần chính bao gồm: EME (ELF Meta-data Extractor) dùng để trích xuất các thuộc tính cơ bản của file ELF, SCG (Sandbox Configuration Generator) dùng để sinh cấu hình hoạt động của sandbox, SE (Sandbox Environment) là môi trường thực thi sandbox, RDP (Raw Data Processor) dùng để tiền xử lý dữ liệu thô và SR (Sandbox Replayability) dùng để tính toán khả năng thực thi lại sandbox. Các thành phần này phối hợp với nhau để tạo ra một môi trường phân tích hiệu quả và đáng tin cậy.

2.2. Tính Năng và Khả Năng Thực Thi Lại của V Sandbox

Một trong những tính năng quan trọng của V-Sandbox là khả năng thực thi lại (replayability). Tính năng này cho phép tái tạo lại các hành vi của mã độc trong môi trường sandbox, giúp các nhà phân tích có thể nghiên cứu chi tiết hơn về cách thức hoạt động của mã độc. Việc tính toán khả năng thực thi lại (SR) đảm bảo rằng các kết quả phân tích là nhất quán và đáng tin cậy. V-Sandbox còn được trang bị cơ sở dữ liệu thư viện liên kết động (Shared Object DB) để hỗ trợ quá trình phân tích. 'Cơ sở dữ liệu thư viện liên kết động (Share Object DB)' đóng vai trò quan trọng trong việc hiểu rõ các tương tác của mã độc với hệ thống, tài liệu gốc cho biết.

III. Đặc Trưng Đồ Thị Lời Gọi Hệ Thống Trong Phát Hiện Mã Độc

Luận án đề xuất sử dụng đồ thị lời gọi hệ thống (Directed System Call Graph - DSCG) để biểu diễn hành vi của mã độc IoT Botnet. DSCG là một đồ thị có hướng, trong đó các đỉnh biểu diễn các lời gọi hệ thống và các cạnh biểu diễn quan hệ thứ tự giữa các lời gọi. Việc sử dụng DSCG cho phép nắm bắt được các đặc trưng phức tạp trong hành vi của mã độc. Từ DSCG, có thể trích xuất các đặc trưng để huấn luyện các mô hình học máy, từ đó phát hiện mã độc một cách hiệu quả.

3.1. Xây Dựng Đồ Thị Lời Gọi Hệ Thống DSCG Có Hướng

Đồ thị lời gọi hệ thống có hướng (DSCG) là một công cụ mạnh mẽ để phân tích hành vi của mã độc. DSCG biểu diễn chuỗi các lời gọi hệ thống mà mã độc thực hiện, giúp các nhà phân tích hiểu rõ hơn về mục đích và cách thức hoạt động của mã độc. Việc xây dựng DSCG bao gồm các bước thu thập dữ liệu lời gọi hệ thống, tiền xử lý dữ liệu và tạo đồ thị. Dữ liệu lời gọi hệ thống được thu thập từ V-Sandbox, sau đó được tiền xử lý để loại bỏ các thông tin nhiễu và chuẩn hóa dữ liệu.

3.2. Tiền Xử Lý Dữ Liệu Đồ Thị DSCG và Thử Nghiệm Đánh Giá

Sau khi xây dựng được DSCG, cần tiến hành tiền xử lý dữ liệu đồ thị để chuẩn bị cho quá trình huấn luyện mô hình học máy. Các kỹ thuật tiền xử lý bao gồm chuẩn hóa kích thước đồ thị, loại bỏ các đỉnh và cạnh không quan trọng, và trích xuất các đặc trưng từ đồ thị. Các đặc trưng này có thể là các số liệu thống kê về đồ thị (ví dụ: số lượng đỉnh, số lượng cạnh, độ dài đường đi trung bình) hoặc các đặc trưng dựa trên cấu trúc đồ thị (ví dụ: các mẫu đồ thị con phổ biến). Việc thử nghiệm và đánh giá được thực hiện trên bộ dữ liệu mã độc IoT Botnet thu thập được từ V-Sandbox.

IV. Mô Hình Học Máy Cộng Tác Phát Hiện Sớm Mã Độc IoT

Luận án đề xuất một mô hình học máy cộng tác để phát hiện sớm mã độc IoT Botnet. Mô hình này kết hợp nhiều mô hình học máy khác nhau, mỗi mô hình được huấn luyện trên một loại dữ liệu khác nhau (ví dụ: dữ liệu luồng mạng, dữ liệu lời gọi hệ thống, dữ liệu sử dụng tài nguyên). Bằng cách kết hợp các mô hình này, có thể cải thiện độ chính xác và giảm tỷ lệ âm tính giả trong quá trình phát hiện mã độc. Mục tiêu là phát hiện mã độc càng sớm càng tốt, từ đó giảm thiểu thiệt hại do mã độc gây ra.

4.1. Vấn Đề Phát Hiện Sớm và Mô Hình Học Máy Cộng Tác

Phát hiện sớm mã độc là một thách thức lớn trong lĩnh vực an ninh mạng. Để giải quyết vấn đề này, luận án đề xuất sử dụng mô hình học máy cộng tác. Mô hình này tận dụng ưu điểm của nhiều mô hình học máy khác nhau, đồng thời giảm thiểu nhược điểm của từng mô hình riêng lẻ. Các mô hình học máy cộng tác có thể hoạt động song song hoặc tuần tự, tùy thuộc vào yêu cầu của ứng dụng. 'Mô hình học máy cộng tác trong phát hiện mã độc' giúp tăng cường khả năng phát hiện và giảm thiểu thời gian phản hồi, tài liệu gốc cho biết.

4.2. Kiến Trúc Tổng Quan và Quá Trình Trích Chọn Đặc Trưng

Kiến trúc của mô hình học máy cộng tác bao gồm các thành phần chính như môi trường Sandbox (SC), chuẩn hóa dữ liệu tiền xử lý (DNC) và trích chọn đặc trưng phù hợp. Môi trường Sandbox (SC) cung cấp dữ liệu hành vi của mã độc. Chuẩn hóa dữ liệu tiền xử lý (DNC) đảm bảo rằng dữ liệu được chuẩn hóa trước khi đưa vào các mô hình học máy. Quá trình trích chọn đặc trưng phù hợp lựa chọn các đặc trưng quan trọng nhất để huấn luyện các mô hình học máy. Việc trích chọn đặc trưng phù hợp giúp giảm độ phức tạp của mô hình và cải thiện độ chính xác.

V. Ứng Dụng Thực Tiễn và Kết Quả Nghiên Cứu của V Sandbox

Kết quả nghiên cứu cho thấy V-Sandbox là một công cụ hiệu quả để thu thập dữ liệu hành vi của mã độc IoT Botnet. Các đặc trưng trích xuất từ V-Sandbox, kết hợp với mô hình học máy cộng tác, cho phép phát hiện mã độc với độ chính xác cao và tỷ lệ âm tính giả thấp. Hệ thống này có thể được ứng dụng trong thực tế để bảo vệ các thiết bị IoT khỏi các cuộc tấn công mạng.

5.1. Triển Khai Thử Nghiệm và Đánh Giá Kết Quả Thực Tế

Việc triển khai thử nghiệm được thực hiện trên một bộ dữ liệu lớn các mẫu mã độc IoT Botnet và mẫu lành tính. Kết quả thử nghiệm cho thấy mô hình học máy cộng tác đạt được độ chính xác cao hơn so với các mô hình học máy đơn lẻ. Tỷ lệ âm tính giả cũng được giảm thiểu đáng kể. Các kết quả này chứng minh tính hiệu quả của phương pháp tiếp cận đề xuất. Bảng thống kê các chỉ số đánh giá mô hình đề xuất cho thấy sự vượt trội so với các nghiên cứu liên quan.

5.2. So Sánh và Đánh Giá Hiệu Năng của V Sandbox

V-Sandbox được so sánh với các hệ thống sandbox IoT khác như LiSa và Cuckoo. Kết quả so sánh cho thấy V-Sandbox có nhiều ưu điểm vượt trội về khả năng thu thập dữ liệu, tính linh hoạt và khả năng mở rộng. V-Sandbox cũng được đánh giá cao về khả năng phát hiện các hành vi tinh vi của mã độc. So sánh hiệu quả V-Sandbox với các IoT Sandbox khác cho thấy V-Sandbox có những ưu điểm riêng, phù hợp với các thiết bị IoT hạn chế tài nguyên.

VI. Kết Luận và Hướng Phát Triển Tương Lai của V Sandbox

Nghiên cứu này đã thành công trong việc xây dựng một hệ thống hiệu quả để phân tích và phát hiện mã độc IoT Botnet. V-Sandbox cung cấp một nền tảng mạnh mẽ để thu thập dữ liệu hành vi của mã độc, trong khi mô hình học máy cộng tác cho phép phát hiện mã độc với độ chính xác cao. Trong tương lai, có thể mở rộng nghiên cứu này bằng cách tích hợp thêm các kỹ thuật phân tích tĩnh, phân tích động và phát triển các mô hình học máy phức tạp hơn.

6.1. Tổng Kết Các Đóng Góp Chính của Luận Án

Luận án đã đóng góp vào lĩnh vực an ninh mạng bằng cách đề xuất một phương pháp tiếp cận mới trong phát hiện mã độc IoT Botnet. Các đóng góp chính bao gồm: xây dựng V-Sandbox, đề xuất sử dụng đồ thị lời gọi hệ thống DSCG, và phát triển mô hình học máy cộng tác. Các đóng góp này có ý nghĩa quan trọng trong việc bảo vệ các thiết bị IoT khỏi các cuộc tấn công mạng.

6.2. Hướng Nghiên Cứu và Phát Triển Trong Tương Lai

Trong tương lai, có thể mở rộng nghiên cứu này theo nhiều hướng khác nhau. Một trong những hướng phát triển tiềm năng là tích hợp thêm các kỹ thuật phân tích tĩnh để tăng cường khả năng phát hiện mã độc. Ngoài ra, có thể phát triển các mô hình học máy phức tạp hơn, chẳng hạn như các mô hình học sâu, để cải thiện độ chính xác và khả năng phát hiện các hành vi tinh vi của mã độc. Cuối cùng, cần tiếp tục nghiên cứu và phát triển các biện pháp bảo mật hiệu quả hơn để bảo vệ các thiết bị IoT khỏi các cuộc tấn công mạng trong tương lai.