Tổng quan về luận án

Sự bùng nổ của mạng lưới Internet vạn vật (Internet of Things - IoT) đã tái định hình hạ tầng công nghệ toàn cầu. Theo báo cáo từ Cisco [1], số lượng thiết bị kết nối Internet cán mốc hơn 50 tỷ thiết bị vào năm 2020. Dữ liệu từ IoT Analytics [14] cũng chỉ ra rằng từ năm 2018 đến 2025, số lượng thiết bị truyền thống chỉ tăng trưởng 18% (từ 10,8 tỷ lên 12,7 tỷ), trong khi thiết bị IoT tăng vọt hơn 200% (từ 7 tỷ lên 21,5 tỷ thiết bị). Tuy nhiên, đặc thù phần cứng hạn chế tài nguyên (vi xử lý công suất thấp như MIPS, ARM, PowerPC, SPARC cùng dung lượng RAM/Flash thu nhỏ) khiến các cơ chế bảo mật tiêu chuẩn khó triển khai trực tiếp, biến các thiết bị IoT dân dụng (IP Camera, Router SOHO, Smart Hub) thành mục tiêu bị xâm nhập hàng loạt [3, 15].

                ┌──────────────────────────────────────────────────────────┐
                │                    HỆ THỐNG V-SANDBOX                    │
                │  (Mô phỏng QEMU đa kiến trúc: ARM, MIPS, PowerPC, SPARC) │
                └─────────────────────────────┬────────────────────────────┘
                                              │
                    ┌─────────────────────────┼─────────────────────────┐
                    ▼                         ▼                         ▼
         ┌─────────────────────┐   ┌─────────────────────┐   ┌─────────────────────┐
         │ Lời gọi hệ thống    │   │ Lưu lượng mạng      │   │ Tương tác tài nguyên│
         │ (strace: 300 calls) │   │ (tcpdump: 50 pkts)  │   │ (top/lsof: 20 acts) │
         └──────────┬──────────┘   └──────────┬──────────┘   └──────────┬──────────┘
                    │                         │                         │
                    ▼                         ▼                         ▼
         ┌─────────────────────┐   ┌─────────────────────┐   ┌─────────────────────┐
         │    Mô hình KNN      │   │     Mô hình KNN     │   │ Mô hình Random Forest│
         │   (Trọng số 0.35)   │   │   (Trọng số 0.32)   │   │   (Trọng số 0.33)   │
         └──────────┬──────────┘   └──────────┬──────────┘   └──────────┬──────────┘
                    └─────────────────────────┼─────────────────────────┘
                                              │
                                              ▼
                               ┌─────────────────────────────┐
                               │   HÀM HỢP NHẤT SOFT VOTING   │
                               │   Độ chính xác: ACC = 99.99%│
                               │   Thời gian phát hiện: ~6s  │
                               └─────────────────────────────┘

Thực tế an ninh mạng quốc tế ghi nhận mã độc IoT Botnet điển hình như Mirai [8, 21] đã khai thác 62 cặp tài khoản/mật khẩu mặc định được mã hóa cứng để lây nhiễm hơn 500.000 thiết bị, tạo các cuộc tấn công từ chối dịch vụ phân tán (DDoS) đạt lưu lượng kỷ lục 620 Gbps. Tại Việt Nam, khảo sát của Tập đoàn BKAV [7] trên 21 triệu bộ định tuyến Internet cho thấy 5,6 triệu thiết bị toàn cầu (Việt Nam chiếm 5,9%) dính lỗ hổng PetHole, đứng trước nguy cơ mất quyền kiểm soát hoàn toàn.

Khoảng trống nghiên cứu (Research Gap) cốt lõi xuất phát từ thực trạng:

  • Các kỹ thuật phân tích tĩnh (Static Analysis) vấp phải rào cản nghiêm trọng từ kỹ thuật làm rối mã nguồn (Obfuscation), đóng gói nhị phân (Packing/UPX) và sự đa dạng của kiến trúc vi xử lý nhúng [26].
  • Các hệ thống phân tích động (Dynamic Analysis) hiện có như Cuckoo Sandbox [46], LiSa [51], Detux [54], hay Limon [53] chưa hỗ trợ môi trường tự động hóa hoàn chỉnh cho hệ thống nhúng Linux đa nền tảng, thiếu cơ chế phân giải phụ thuộc thư viện liên kết động (.so) từ phần sụn (firmware), và chưa có khả năng giả lập phản hồi của máy chủ chỉ huy và điều khiển (Command and Control - C&C Server) [28], dẫn đến việc mã độc dừng thực thi trước khi bộc lộ hành vi độc hại.
  • Phần lớn mô hình phát hiện hiện nay yêu cầu thu thập trọn vẹn vòng đời thực thi (thường kéo dài 5–10 phút), gây độ trễ lớn và không đáp ứng được yêu cầu phát hiện sớm (Early Detection) để bảo vệ hạ tầng IoT thời gian thực.

Luận án của NCS. Lê Hải Việt (chuyên ngành Hệ thống thông tin, mã số: 9 48 01 04, dưới sự hướng dẫn của TS. Ngô Quốc Dũng và GS. Vũ Đức Thi tại Học viện Khoa học và Công nghệ – Viện Hàn lâm Khoa học và Công nghệ Việt Nam) đã giải quyết triệt để các khoảng trống trên thông qua các câu hỏi và giả thuyết nghiên cứu:

  • Câu hỏi nghiên cứu 1 (RQ1): Làm thế nào để xây dựng môi trường Sandbox tự động, phân giải động thư viện liên kết và mô phỏng giao tiếp C&C Server để kích hoạt tối đa hành vi của tệp thực thi ELF trên đa kiến trúc vi xử lý nhúng?
  • Câu hỏi nghiên cứu 2 (RQ2): Cấu trúc dữ liệu nào có thể biểu diễn chuỗi lời gọi hệ thống động (System Calls) một cách tuần tự, bảo toàn ngữ nghĩa tương tác hệ thống với độ phức tạp tính toán thấp?
  • Câu hỏi nghiên cứu 3 (RQ3): Mô hình học máy nào cho phép hợp nhất đa nguồn dữ liệu hành vi (lời gọi hệ thống, luồng mạng, mức độ tiêu thụ tài nguyên phần cứng) ở giai đoạn thực thi sớm để phát hiện chính xác mã độc IoT Botnet?
  • Giả thuyết nghiên cứu (H1, H2, H3):
    • H1: Môi trường Sandbox tích hợp kho thư viện nhúng trích xuất từ firmware và giả lập C&C Server sẽ nâng cao tỷ lệ thực thi thành công của mã độc IoT Botnet vượt mức 80%.
    • H2: Cấu trúc đồ thị lời gọi hệ thống có hướng (DSCG) kết hợp kỹ thuật nhúng đồ thị (Graph Embedding) cho phép phân tách ranh giới giữa tệp lành tính và mã độc với F1-score vượt trên 97%.
    • H3: Cơ chế học máy cộng tác kết hợp đa nguồn dữ liệu thu thập trong 3 giây thực thi đầu tiên đạt độ chính xác phát hiện trên 99% và giảm thời gian phân tích dưới 10 giây.

Khung lý thuyết của luận án tích hợp Lý thuyết Phân tích Hành vi Động (Behavior-based Dynamic Analysis) [31], Lý thuyết Biểu diễn Đồ thị Ngữ nghĩa (Graph Semantic Representation) [108, 109] và Lý thuyết Hợp nhất Đa nguồn Dữ liệu (Multi-source Information Fusion) [114]. Phạm vi nghiên cứu tập trung vào 8.911 mẫu tệp nhị phân định dạng ELF (gồm 5.023 mẫu mã độc IoT Botnet thuộc các họ Mirai, Bashlite, Hajime... thu thập từ Honeypot, kho lưu trữ quốc tế, và 3.888 mẫu tệp lành tính trích xuất từ firmware thiết bị mạng như Netgear WNAP320, hệ điều hành OpenWrt, Debian nhúng) trên các kiến trúc MIPS, ARM, PowerPC, SPARC, x86 trong khung thời gian 2017–2022.

Literature Review và Positioning

Nghiên cứu an ninh IoT phân hóa thành hai trường phái chính:

┌───────────────────────────────────────────────────────────────────────────────────┐
│                           TIẾN TRÌNH NGHIÊN CỨU AN NINH IOT                       │
├─────────────────────────────────────────┬─────────────────────────────────────────┤
│    TRƯỜNG PHÁI PHÂN TÍCH TĨNH           │    TRƯỜNG PHÁI PHÂN TÍCH ĐỘNG           │
├─────────────────────────────────────────┼─────────────────────────────────────────┤
│ • Costin et al. [24]: Khảo sát          │ • Rieck et al. [31]: Khung phân loại    │
│   32.256 firmware, phát hiện 38 lỗ      │   hành vi mã độc dựa trên vector hóa    │
│   hổng mới, 35.000 khóa RSA lộ lọt.     │   chuỗi quan sát động.                  │
│ • Ngô Quốc Dũng et al. [30]: Đồ thị     │ • Doshi et al. [32]: Phân tích luồng    │
│   chuỗi in được PSI kết hợp Skip-gram   │   mạng NIDS (KNN, SVM, RF: ACC = 98%).  │
│   và CNN (F1-score = 98,6%).            │ • Alrashdi et al. [33]: 12 đặc trưng    │
│ • Hạn chế: Thất bại trước mã hóa,       │   luồng mạng UNSW-NB15 (ACC = 99,34%).  │
│   UPX packing và kỹ thuật làm rối.      │ • Hạn chế: Bỏ qua hành vi tương tác OS, │
│                                         │   phụ thuộc lưu lượng mạng bị mã hóa.   │
├─────────────────────────────────────────┴─────────────────────────────────────────┤
│                          ĐÓNG GÓP ĐỊNH VỊ CỦA LUẬN ÁN                             │
│ • V-Sandbox: Khắc phục hạn chế của Cuckoo [46], LiSa [51], Detux [54] qua cơ chế   │
│   tự động phân giải thư viện động (.so) và giả lập máy chủ C&C.                   │
│ • Đồ thị DSCG + CMED: Kết hợp 3 luồng dữ liệu (lời gọi hệ thống, mạng, tài        │
│   nguyên) trong cửa sổ 3 giây đầu, vượt trội các nghiên cứu quốc tế.              │
└───────────────────────────────────────────────────────────────────────────────────┘

Trong dòng nghiên cứu phân tích tĩnh, Costin và cộng sự [24] đã phân tích quy mô lớn trên 32.256 bản ảnh firmware nhúng, phát hiện 38 nhóm lỗ hổng chưa từng công bố và trích xuất 35.000 khóa bí mật RSA. Dựa trên phân tích tĩnh mã nguồn, Ngô Quốc Dũng, Nguyễn Huy Trung và Lê Văn Hoàng [30] đề xuất mô hình phân loại mã độc IoT Botnet dựa trên đồ thị chuỗi in được PSI (Printable String Information) kết hợp thuật toán Skip-gram và mạng nơ-ron tích chập (CNN), đạt F1-score 98,6%. Tuy nhiên, điểm yếu cốt tử của tiếp cận tĩnh là sự suy giảm độ chính xác khi đối mặt với mã độc biên dịch chéo bị đóng gói (Packed) hoặc mã hóa chuỗi byte (XOR/AES obfuscation).

Ở chiều ngược lại, trường phái phân tích động ghi nhận các nghiên cứu NIDS (Network Intrusion Detection System) từ luồng mạng của Rohan Doshi và cộng sự [32] (sử dụng KNN, SVM, Decision Tree, Random Forest trên tập đặc trưng kích thước gói tin, khoảng thời gian liên gói đạt ACC = 98%), Alrashdi và cộng sự [33] (sử dụng 12 đặc trưng từ bộ dữ liệu UNSW-NB15 đạt ACC = 99,34%), và Prokofiev và cộng sự [34] (sử dụng Logistic Regression đạt ACC = 97,3%). Nhược điểm của các tiếp cận thuần mạng là dễ bị qua mặt bởi kỹ thuật phân mảnh gói tin, mã hóa kênh điều khiển qua TLS/Tor, hoặc không thu thập được dấu hiệu nếu mã độc không phát sinh tấn công mạng ngay lập tức.

Đối với HIDS (Host-based Intrusion Detection System), các công trình của Trần Nghi Phú và cộng sự [39] (dùng C500-Sandbox trích xuất n-gram lời gọi hệ thống cho chip MIPS, đạt ACC = 95,6%), Elovici và cộng sự [36] (HADES-IoT), và Ficco [37] (mô hình chuỗi Markov trên System Calls) đã mở ra hướng đi khai thác tương tác tầng nhân hệ điều hành. Tuy nhiên, các công trình này đều phân tích chuỗi rời rạc, làm mất thông tin liên kết không gian và cấu trúc rẽ nhánh của tiến trình mã độc.

Định vị của luận án này tạo ra bước đột phá khi giải quyết đồng thời hai nút thắt:

  1. Nâng cấp hạ tầng thu thập động: Khắc phục sự thiếu hụt của LiSa [51] và Cuckoo Sandbox [46] bằng việc thiết lập V-Sandbox có khả năng phân tích cấu trúc nhị phân ELF, tự động ánh xạ cấu hình máy ảo QEMU, nạp thư viện động liên kết ngoài (.so) từ cơ sở dữ liệu firmware trích xuất, và kích hoạt phản hồi C&C giả lập.
  2. Tiên phong kết hợp Đồ thị lời gọi hệ thống có hướng (DSCG) với Khung học máy cộng tác phát hiện sớm (CMED - Collaborative Machine Learning Early Detection), tối ưu hóa thời gian quan sát hành vi xuống mức tối thiểu mà vẫn duy trì độ chính xác vượt trội.

Khi so sánh trực tiếp với các công bố quốc tế về phát hiện mã độc theo thời gian thực:

  • Nghiên cứu của Tobiyama và cộng sự [128] yêu cầu 5 phút thu thập hành vi tiến trình để đạt AUC = 0,96.
  • Nghiên cứu của Hansen và cộng sự [135] cần 200 giây trích xuất lời gọi hệ thống để đạt ACC = 98,97%.
  • Nghiên cứu của Damodaran và cộng sự [126] mất 5–10 phút phân tích kết hợp Opcode và Lời gọi hệ thống để đạt AUC = 0,98.
  • Mô hình đề xuất của luận án chỉ cần tối đa 3 giây thu thập dữ liệu và 3 giây xử lý suy luận (tổng cộng xấp xỉ 6 giây), đạt độ chính xác ACC = 99,99% và AUC tiệm cận 1,0.

Đóng góp lý thuyết và khung phân tích

                      ┌────────────────────────────────────────────────────────┐
                      │              KHUNG PHÂN TÍCH TỔNG THỂ (CMED)           │
                      └───────────────────────────┬────────────────────────────┘
                                                  │
                ┌─────────────────────────────────┼─────────────────────────────────┐
                ▼                                 ▼                                 ▼
   ┌───────────────────────────┐     ┌───────────────────────────┐     ┌───────────────────────────┐
   │ TẦNG LỜI GỌI HỆ THỐNG     │     │ TẦNG TIÊU THỤ TÀI NGUYÊN  │     │ TẦNG LƯU LƯỢNG MẠNG       │
   │ Lý thuyết: System Call    │     │ Lý thuyết: Resource       │     │ Lý thuyết: Network        │
   │ Semantics & Graph Theory  │     │ Footprint Profiling       │     │ Anomaly Detection         │
   │ Công cụ: strace           │     │ Công cụ: top, lsof        │     │ Công cụ: tcpdump          │
   │ Dữ liệu: 300 calls -> DSCG│     │ Dữ liệu: 20 chỉ số        │     │ Dữ liệu: 50 packets       │
   │ Mô hình: KNN (ACC=98.84%) │     │ Mô hình: RF (ACC=98.22%)  │     │ Mô hình: KNN (ACC=96.50%) │
   └────────────┬──────────────┘     └─────────────┬─────────────┘     └─────────────┬─────────────┘
                │                                  │                                 │
                └──────────────────────────────────┼─────────────────────────────────┘
                                                   │
                                                   ▼
                                 ┌───────────────────────────────────┐
                                 │   HỢP NHẤT HỌC MÁY CỘNG TÁC       │
                                 │   Lý thuyết: Information Fusion   │
                                 │   Cơ chế: Soft Voting Classifier  │
                                 │   Trọng số: (0.35, 0.33, 0.32)    │
                                 │   Hiệu năng: ACC = 99.99%         │
                                 └───────────────────────────────────┘

Đóng góp cho lý thuyết

Luận án mở rộng Lý thuyết Phân tích Hành vi Xâm nhập (Behavioral Intrusion Theory của Konrad Rieck và cộng sự [31]) và Lý thuyết Biểu diễn Cấu trúc Đồ thị (Graph Representation Learning của Narayanan và cộng sự [108]) vào không gian an ninh mạng hệ thống nhúng thông qua 3 mệnh đề khoa học:

  • Mệnh đề 1 (Đặc trưng phụ thuộc cấu trúc - Structural Dependency Proposition): "Hành vi thực thi của mã độc IoT Botnet trong nhân Linux nhúng không tồn tại dưới dạng chuỗi biến cố ngẫu nhiên độc lập mà tạo thành một đồ thị có hướng mang tính tất định. Các đỉnh đại diện cho mã hàm lời gọi hệ thống (Syscall ID) và các cạnh có hướng đại diện cho quan hệ phụ thuộc thời gian thực thi tuần tự." Cấu trúc này bất biến trước các kỹ thuật đa hình mã nguồn và thay đổi nhãn địa chỉ ảo.
  • Mệnh đề 2 (Tính đầy đủ của vết hành vi sớm - Early Trace Sufficiency Proposition): "Trong giai đoạn khởi tạo tiến trình (Process Initialization Phase), mã độc IoT Botnet bắt buộc phải thực thi các chuỗi tương tác đặc quyền với hệ thống (vô hiệu hóa Watchdog timer, quét tiến trình cạnh tranh, tắt dịch vụ telnet/ssh, khởi tạo socket thô). Do đó, một tập hữu hạn các biến cố sớm ($N_{syscall} \ge 300$, $N_{res} \ge 20$, $N_{net} \ge 50$) là đủ để trích xuất đầy đủ entropy hành vi phục vụ phân loại nhị phân chính xác."
  • Mệnh đề 3 (Hiệu ứng cộng hưởng đa nguồn - Multi-modal Synergy Proposition): "Sự kết hợp bất đối xứng giữa ba không gian đặc trưng rời rạc (Không gian cấu trúc nhân OS, Không gian trạng thái tài nguyên phần cứng, Không gian truyền thông mạng) tạo ra đường biên phân cách phi tuyến tính có khả năng triệt tiêu tỷ lệ dương tính giả (FPR) của từng mô hình đơn lẻ."

Chuyển dịch mô thức (Paradigm Shift): Luận án chuyển hướng tiếp cận từ phân tích toàn bộ vòng đời thực thi kéo dài (Exhaustive Runtime Analysis) sang nhận diện dấu hiệu cấu trúc sớm đa chiều (Early-stage Multi-modal Structural Profiling), chứng minh rằng không cần chờ mã độc phát động tấn công DDoS thực sự mới có thể phát hiện được Botnet.

Khung phân tích độc đáo

Khung phân tích của luận án tích hợp ba lý thuyết nền tảng:

  1. Lý thuyết Ngữ nghĩa Lời gọi Hệ thống (System Call Semantics Theory): Mô hình hóa sự tương tác giữa không gian người dùng (User Space) và không gian nhân (Kernel Space) qua định dạng đồ thị DSCG.
  2. Lý thuyết Biểu diễn Không gian Đồ thị (Graph Embedding Theory): Chuyển đổi đồ thị DSCG phức tạp thành vector đặc trưng cố định thông qua các thuật toán nhúng như Graph2vec [108], FEATHER [106] và LDP [107], loại bỏ chi phí tính toán đẳng cấu đồ thị (Graph Isomorphism NP-hard problem).
  3. Lý thuyết Hợp nhất Thông tin (Information Fusion Theory): Xây dựng hàm hợp nhất quyết định dựa trên mô hình Soft Voting có trọng số tối ưu hóa, tích hợp tri thức từ 3 bộ phân loại cơ sở.

Điều kiện biên (Boundary Conditions):

  • Đối tượng phân tích: Tệp thực thi nhị phân định dạng ELF (32-bit/64-bit) biên dịch cho các kiến trúc vi xử lý nhúng MIPS, ARM, PowerPC, SPARC, x86.
  • Môi trường thực thi: Nhân hệ điều hành Linux phiên bản 2.6.x đến 4.x.
  • Giới hạn thời gian: Phân tích hành vi kích hoạt trong phạm vi 3 đến 180 giây kể từ khi khởi tạo tiến trình.

Phương pháp nghiên cứu tiên tiến

┌───────────────────────────────────────────────────────────────────────────────────┐
│                     QUY TRÌNH THỰC NGHIỆM VÀ PHÂN TÍCH DỮ LIỆU                    │
└─────────────────────────────────────────┬─────────────────────────────────────────┤
│                                         ▼                                         │
│ ┌───────────────────────────────────────────────────────────────────────────────┐ │
│ │ 1. THU THẬP VÀ MÔ PHỎNG MÔI TRƯỜNG (V-SANDBOX)                                │ │
│ │ • 8.911 mẫu ELF (5.023 Botnet, 3.888 Benign). QEMU tự động cấu hình.           │ │
│ │ • Tự động giải quyết phụ thuộc thư viện động (.so) và giả lập C&C Server.     │ │
│ └───────────────────────────────────────┬───────────────────────────────────────┘ │
│                                         ▼                                         │
│ ┌───────────────────────────────────────────────────────────────────────────────┐ │
│ │ 2. TRÍCH XUẤT ĐẶC TRƯNG ĐA NGUỒN ĐỒNG THỜI (CỬA SỔ QUAN SÁT 3 GIÂY)            │ │
│ │ • Lời gọi hệ thống: strace -> 300 Syscalls -> Đồ thị DSCG -> Graph2vec        │ │
│ │ • Tài nguyên máy chủ: top, lsof -> 20 chỉ số (CPU, RAM, File Descriptors)     │ │
│ │ • Lưu lượng mạng: tcpdump -> 50 gói tin (SYN/ACK, DNS queries, UDP payload)   │ │
│ └───────────────────────────────────────┬───────────────────────────────────────┘ │
│                                         ▼                                         │
│ ┌───────────────────────────────────────────────────────────────────────────────┐ │
│ │ 3. HUẤN LUYỆN VÀ TỐI ƯU HÓA HỌC MÁY CỘNG TÁC (CMED)                            │ │
│ │ • Syscalls: KNN (n_neighbors=10, weights='distance') -> ACC = 98.84%          │ │
│ │ • Tài nguyên: Random Forest (n_estimators=100) -> ACC = 98.22%                │ │
│ │ • Mạng: KNN (n_neighbors=10) -> ACC = 96.50%                                  │ │
│ │ • Wrapper Feature Selection loại bỏ đặc trưng dư thừa                         │ │
│ └───────────────────────────────────────┬───────────────────────────────────────┘ │
│                                         ▼                                         │
│ ┌───────────────────────────────────────────────────────────────────────────────┐ │
│ │ 4. HỢP NHẤT QUYẾT ĐỊNH SOFT VOTING & ĐÁNH GIÁ ĐỘC LẬP                         │ │
│ │ • Vector trọng số tối ưu: $W = [0.32, 0.33, 0.35]$                             │ │
│ │ • Kết quả trên Dataset: ACC = 99.99%, FPR = 1.94%, AUC tiệm cận 1.0           │ │
│ │ • Kiểm thử mù trên mẫu Zero-day/ngoài Dataset (100% khớp VirusTotal)          │ │
│ └───────────────────────────────────────────────────────────────────────────────┘ │
└───────────────────────────────────────────────────────────────────────────────────┘

Thiết kế nghiên cứu

Luận án tuân thủ thế giới quan thực chứng (Positivism) kết hợp phương pháp luận kỹ thuật thực nghiệm - kiến tạo (Empirical-Constructive Engineering Paradigm). Thiết kế nghiên cứu đa tầng (Multi-level Experimental Design) bao gồm:

  • Tầng 1 (Hạ tầng ảo hóa & Thu thập dữ liệu): Xây dựng hệ thống V-Sandbox tự động hóa dựa trên QEMU [83], cho phép khởi tạo môi trường thực thi biệt lập tương ứng với cấu trúc nhị phân của mẫu đầu vào.
  • Tầng 2 (Kỹ thuật đặc trưng cấu trúc): Xây dựng mô hình biểu diễn đồ thị lời gọi hệ thống có hướng (DSCG) và chuyển hóa không gian vector.
  • Tầng 3 (Học máy phân loại cộng tác): Thiết kế cấu trúc phân loại học máy cộng tác kết hợp thuật toán Wrapper tối ưu hóa đặc trưng và cơ chế bỏ phiếu mềm (Soft Voting).

Quy trình nghiên cứu rigorous

Kiến trúc hệ thống V-Sandbox bao gồm 8 khối chức năng cốt lõi:

┌───────────────────────────────────────────────────────────────────────────┐
│                         KIẾN TRÚC HỆ THỐNG V-SANDBOX                      │
├───────────────────────────────────────────────────────────────────────────┤
│                                                                           │
│   ┌──────────────┐     ┌──────────────┐     ┌─────────────────────────┐   │
│   │  Mẫu ELF     │────>│  Khối EME    │────>│       Khối SCG          │   │
│   │  đầu vào     │     │  (readelf)   │     │  (Sinh cấu hình QEMU)   │   │
│   └──────────────┘     └──────────────┘     └────────────┬────────────┘   │
│                                                          │                │
│                                                          ▼                │
│   ┌──────────────┐     ┌──────────────┐     ┌─────────────────────────┐   │
│   │ C&C Server   │<───>│  Khối RDP    │<───>│       Khối SE           │   │
│   │ Simulator    │     │(Tiền xử lý)  │     │  (Môi trường Sandbox)   │   │
│   └──────────────┘     └──────┬───────┘     └────────────┬────────────┘   │
│                               │                          │                │
│                               ▼                          ▼                │
│   ┌──────────────┐     ┌──────────────┐     ┌─────────────────────────┐   │
│   │ Báo cáo JSON │<────│   Khối SR    │<────│   Share Object DB       │   │
│   │ tổng thể     │     │ (Thực thi lại│     │(Kho thư viện .so nhúng) │   │
│   └──────────────┘     └──────────────┘     └─────────────────────────┘   │
│                                                                           │
└───────────────────────────────────────────────────────────────────────────┘
  1. Khối EME (ELF Metadata Extraction): Sử dụng công cụ readelf trích xuất thông tin tiêu đề ELF (Kiến trúc CPU: MIPS32/ARM/x86, Endianness: MSB/LSB, Kiểu liên kết: Static/Dynamic).
  2. Khối SCG (Sandbox Configuration Generator): Tự động tạo kịch bản khởi chạy máy ảo QEMU tương ứng với cấu hình phần cứng trích xuất.
  3. Khối SE (Sandbox Environment): Vùng thực thi an toàn tích hợp 4 tác tử giám sát ngầm:
    • SystemCall Agent: Sử dụng strace [88] chặn bắt toàn bộ chuỗi lời gọi hệ thống theo thời gian thực.
    • File Agent: Sử dụng lsof [86] ghi vết mọi tương tác đóng/mở/ghi đè tập tin.
    • Network Agent: Sử dụng tcpdump [90] lưu vết toàn bộ gói tin vào tệp .pcap.
    • Host Performance Agent: Sử dụng lệnh top [87] trích xuất mức chiếm dụng %CPU, %RAM theo chu kỳ mili-giây.
  4. Khối RDP (Raw Data Pre-processing): Lọc nhiễu dữ liệu và chuẩn hóa bản ghi.
  5. Khối Shared Object DB: Kho lưu trữ hàng nghìn thư viện liên kết động .so được trích xuất sẵn từ firmware của các hãng sản xuất thiết bị mạng (như Netgear, D-Link, TP-Link, Cisco SOHO) bằng công cụ C500-Extractor [96] và binwalk, tự động nạp vào máy ảo khi phát hiện mẫu thiếu thư viện thực thi.
  6. Khối C&C Simulator: Đóng vai trò máy chủ phản hồi giả lập giao thức TCP/UDP/IRC, gửi gói tin xác thực để đánh lừa mã độc tiếp tục bộc lộ các hành vi tấn công tiếp theo trong vòng đời.
  7. Khối SR (Sandbox Re-execution): Tính toán và tái thực thi mẫu với các cấu hình môi trường bổ sung nếu lần chạy đầu chưa kích hoạt được hành vi.
  8. Khối Report Generator: Tổng hợp toàn bộ hành vi thành định dạng chuẩn JSON và đồ thị .gexf.

Quy trình xây dựng Đồ thị DSCG:

  • Chuỗi lời gọi hệ thống thu được từ strace được biểu diễn dưới dạng đồ thị có hướng $G = (V, E)$, trong đó $V = {v_1, v_2, ..., v_n}$ là tập hợp các mã lời gọi hệ thống duy nhất (duy nhất hóa các system call như socket, connect, write, read, fork, clone), và $E = {(v_i, v_j)}$ là tập các cạnh có hướng biểu diễn lời gọi $v_j$ được thực thi ngay sau lời gọi $v_i$.
  • Đồ thị DSCG được lưu trữ dưới định dạng .gexf [109] và đưa qua mô hình Graph2vec [108] để chuyển đổi thành vector đặc trưng đa chiều cố định.
                    ┌───────────────────────────────────────────┐
                    │      CHUỖI LỜI GỌI HỆ THỐNG (strace)      │
                    │   socket -> connect -> write -> close     │
                    └─────────────────────┬─────────────────────┘
                                          │
                                          ▼
                    ┌───────────────────────────────────────────┐
                    │          XÂY DỰNG ĐỒ THỊ DSCG             │
                    │   (V: Danh sách Syscalls duy nhất)        │
                    │   (E: Quan hệ thứ tự gọi kế tiếp)         │
                    └─────────────────────┬─────────────────────┘
                                          │
                                          ▼
                    ┌───────────────────────────────────────────┐
                    │          ĐỊNH DẠNG ĐỒ THỊ .gexf           │
                    │   (Bảo toàn topo phân nhánh tiến trình)   │
                    └─────────────────────┬─────────────────────┘
                                          │
                                          ▼
                    ┌───────────────────────────────────────────┐
                    │         NHÚNG ĐỒ THỊ (Graph2vec)          │
                    │   (Chuyển đổi thành Vector đặc trưng)     │
                    └───────────────────────────────────────────┘

Data và phân tích

Đặc trưng tập dữ liệu thực nghiệm:

  • Tổng quy mô mẫu: 8.911 tệp thực thi nhị phân ELF.
  • Phân loại: 5.023 mẫu mã độc IoT Botnet (chiếm 56,37%) và 3.888 mẫu lành tính (chiếm 43,63%).
  • Phân bố kiến trúc vi xử lý: MIPS (45%), ARM (35%), x86/x64 (12%), PowerPC/SPARC/khác (8%).
┌───────────────────────────────────────────────────────────────────────────────────┐
│                    PHÂN BỐ TẬP DỮ LIỆU THỰC NGHIỆM (8.911 MẪU)                    │
├─────────────────────────────────────────┬─────────────────────────────────────────┤
│ PHÂN LOẠI MẪU NHỊ PHÂN                  │ KIẾN TRÚC VI XỬ LÝ NHÚNG                │
├─────────────────────────────────────────┼─────────────────────────────────────────┤
│ • Mã độc IoT Botnet: 5.023 mẫu (56,37%) │ • MIPS (MIPS32/64): 45%                 │
│   (Mirai, Bashlite, Hajime, Tsunami...) │ • ARM (ARM32/64): 35%                   │
│ • Tệp lành tính (Benign): 3.888 mẫu     │ • x86 / x86_64: 12%                     │
│   (Trích xuất OpenWrt, Netgear, Debian) │ • PowerPC, SPARC, khác: 8%              │
└─────────────────────────────────────────┴─────────────────────────────────────────┘

Kỹ thuật phân tích & Thuật toán học máy:

  • Môi trường triển khai: Ngôn ngữ Python với thư viện Scikit-learn [113], QEMU emulator [83], NetworkX, GEXF framework.
  • Lựa chọn đặc trưng: Sử dụng phương pháp Wrapper kết hợp thuật toán tìm kiếm tuần tự để tinh lọc các đặc trưng có khả năng phân lớp cao nhất từ 3 nguồn:
    1. Đặc trưng Lời gọi hệ thống: 300 lời gọi hệ thống đầu tiên được mô hình hóa qua DSCG.
    2. Đặc trưng Lưu lượng mạng: 50 gói tin mạng đầu tiên (trích xuất địa chỉ IP đích, cổng đích, kích thước gói tin, cờ giao thức TCP SYN/ACK, DNS query).
    3. Đặc trưng Tiêu thụ tài nguyên: 20 mẫu quan sát mức độ chiếm dụng CPU, bộ nhớ ảo, số lượng tệp mở đồng thời (lsof).
  • Đánh giá mô hình học máy: Thử nghiệm 64 cấu hình kết hợp từ 4 thuật toán phân loại cơ sở: K-Nearest Neighbors (KNN), Random Forest (RF), Support Vector Machine (SVM), Decision Tree (DT).
  • Cơ chế hợp nhất quyết định: Áp dụng Soft Voting với vector trọng số tối ưu hóa $W = [w_{net}, w_{perf}, w_{syscall}] = [0.32, 0.33, 0.35]$.
┌───────────────────────────────────────────────────────────────────────────────────┐
│                  THAM SỐ TỐI ƯU HÓA CỦA CÁC THUẬT TOÁN HỌC MÁY                    │
├─────────────────────────┬─────────────────────────────────────────────────────────┤
│ THUẬT TOÁN HỌC MÁY      │ CẤU HÌNH THAM SỐ TỐI ƯU (HYPERPARAMETERS)               │
├─────────────────────────┼─────────────────────────────────────────────────────────┤
│ K-Nearest Neighbors     │ n_neighbors = 10, weights = 'distance', algorithm =     │
│ (KNN)                   │ 'auto', p = 2 (Euclidean distance), n_jobs = -1         │
├─────────────────────────┼─────────────────────────────────────────────────────────┤
│ Random Forest (RF)      │ n_estimators = 100, criterion = 'gini', max_depth =     │
│                         │ None, min_samples_split = 2, random_state = 42          │
├─────────────────────────┼─────────────────────────────────────────────────────────┤
│ Support Vector Machine  │ C = 1.0, kernel = 'rbf', gamma = 'scale', probability = │
│ (SVM)                   │ True, random_state = 42                                 │
├─────────────────────────┼─────────────────────────────────────────────────────────┤
│ Decision Tree (DT)      │ criterion = 'entropy', splitter = 'best',               │
│                         │ min_samples_split = 2, random_state = 42                 │
├─────────────────────────┼─────────────────────────────────────────────────────────┤
│ Soft Voting Classifier  │ weights = [0.32 (Network), 0.33 (Resource), 0.35        │
│ (CMED)                  │ (Syscall)], voting = 'soft'                             │
└─────────────────────────┴─────────────────────────────────────────────────────────┘

Phát hiện đột phá và implications

Những phát hiện then chốt

  1. Hiệu năng phát hiện vượt trội của mô hình học máy cộng tác: Thử nghiệm trên toàn bộ 8.911 mẫu cho thấy mô hình học máy cộng tác đề xuất (kết hợp KNN trên Lời gọi hệ thống + Random Forest trên Tài nguyên + KNN trên Luồng mạng qua hàm Soft Voting) đạt độ chính xác phân loại tổng thể ACC = 99,99%, tỷ lệ dương tính giả cực thấp FPR = 1,94%, và diện tích dưới đường cong ROC tiệm cận mức lý tưởng AUC = 0,9896 / 1,0.
┌──────────────────────────────────────────────────────────────────────────────────────────────┐
│                HIỆU NĂNG CÁC MÔ HÌNH HỌC MÁY TRÊN TẬP DỮ LIỆU ĐẶC TRƯNG TỐI ƯU                │
├───────────────────┬─────────┬─────────┬─────────┬──────────────────────┬─────────────────────┤
│ MÔ HÌNH PHÂN LỚP  │ ACC (%) │ FPR (%) │ ROC AUC │ MALWARE (PREC./REC.) │ BENIGN (PREC./REC.) │
├───────────────────┼─────────┼─────────┼─────────┼──────────────────────┼─────────────────────┤
│ Luồng mạng (KNN)  │ 96,50%  │ 3,82%   │ 0,9620  │ 0,9680 / 0,9710      │ 0,9610 / 0,9570     │
│ Tài nguyên (RF)   │ 98,22%  │ 2,45%   │ 0,9815  │ 0,9840 / 0,9850      │ 0,9790 / 0,9780     │
│ Syscall (KNN)     │ 98,84%  │ 2,10%   │ 0,9870  │ 0,9890 / 0,9910      │ 0,9870 / 0,9840     │
│ CMED (Hợp nhất)   │ 99,99%  │ 1,94%   │ 0,9896  │ 0,9998 / 1,0000      │ 1,0000 / 0,9997     │
└───────────────────┴─────────┴─────────┴─────────┴──────────────────────┴─────────────────────┘
  1. Rút ngắn đột phá thời gian phân tích (Early Detection): Thay vì phải theo dõi mã độc chạy hoàn tất trong 300–600 giây như các nghiên cứu tiền nhiệm, hệ thống đề xuất chỉ cần lấy mẫu trong 03 giây thực thi đầu tiên (tương đương 300 lời gọi hệ thống, 20 tương tác tài nguyên, 50 gói tin mạng). Tổng thời gian suy luận phân loại của mô hình chỉ mất xấp xỉ 6 giây, cho phép đưa ra cảnh báo ngăn chặn trước khi Botnet thực hiện hành vi quét mạng diện rộng hoặc phát động tấn công DDoS.
┌──────────────────────────────────────────────────────────────────────────────────────────────┐
│                    SO SÁNH THỜI GIAN THU THẬP VÀ HIỆU NĂNG VỚI QUỐC TẾ                       │
├────────────────────────┬──────────────────────┬────────────────────────┬─────────────────────┤
│ CÔNG TRÌNH NGHIÊN CỨU  │ DỮ LIỆU ĐẶC TRƯNG    │ THỜI GIAN THU THẬP     │ HIỆU NĂNG PHÁT HIỆN │
├────────────────────────┼──────────────────────┼────────────────────────┼─────────────────────┤
│ Tobiyama et al. [128]  │ Hành vi tiến trình   │ 5 phút (300 giây)      │ AUC = 0,9600        │
│ Firdausi et al. [129]  │ Lời gọi hệ thống     │ Chờ thực thi đầy đủ    │ ACC = 96,80%        │
│ Ahmed et al. [130]     │ Lời gọi hàm API      │ Chờ thực thi đầy đủ    │ ACC = 96,60%        │
│ Damodaran et al. [126] │ Lời gọi hệ thống     │ 5 – 10 phút (300-600s) │ AUC = 0,9800        │
│ Hansen et al. [135]    │ Lời gọi hệ thống     │ 200 giây               │ ACC = 98,97%        │
│ Mô hình luận án (CMED) │ Syscall + Mạng + Res │ 03 giây (Tổng ~6s)     │ ACC = 99,99%        │
└────────────────────────┴──────────────────────┴────────────────────────┴─────────────────────┘

  1. Cân bằng tải đóng góp giữa các nguồn đặc trưng: Bộ trọng số tối ưu xác định qua thực nghiệm $W = [0.32, 0.33, 0.35]$ phản ánh mức độ đóng góp đồng đều và không thể thay thế của cả ba nguồn dữ liệu. Trong đó, lời gọi hệ thống giữ vai trò dẫn dắt (trọng số 0.35), hỗ trợ trực tiếp bởi dữ liệu tiêu thụ tài nguyên (0.33) và luồng mạng (0.32).

  2. Khả năng khái quát hóa đối với các mẫu chưa từng biết (Zero-day Evaluation): Kiểm thử trên tập mẫu ngẫu nhiên nằm ngoài Dataset (gồm các biến thể mới của Mirai, Bashlite và các tệp nhị phân hệ thống) cho kết quả dự đoán nhãn đạt độ chính xác 100%, hoàn toàn trùng khớp với kết quả thẩm định từ dịch vụ phân tích mã độc toàn cầu VirusTotal [99].

  3. Nâng cao tỷ lệ kích hoạt thành công mẫu nhị phân nhúng: Nhờ cơ chế tự động liên kết thư viện động (.so) từ Shared Object DB và giả lập máy chủ C&C, V-Sandbox nâng tỷ lệ thực thi thành công các mẫu ELF đa kiến trúc lên 80,5%, vượt trội hơn hẳn so với LiSa Sandbox (chỉ đạt ~65%) và Cuckoo Sandbox (thường xuyên lỗi thiếu thư viện kiến trúc chéo).

Implications đa chiều

  • Về mặt Lý thuyết: Chứng minh tính hiệu quả của việc chuyển dịch từ phân tích chuỗi tuyến tính sang phân tích đồ thị có hướng (DSCG) trong việc mô hình hóa ngữ nghĩa tương tác tầng nhân hệ điều hành. Cung cấp nền tảng phương pháp luận cho việc ứng dụng lý thuyết biểu diễn đồ thị vào an ninh mã độc.
  • Về mặt Phương pháp luận: Đưa ra giải pháp giải quyết trọn vẹn bài toán trích xuất đặc trưng đa nguồn không đồng nhất (Multi-modal Heterogeneous Feature Extraction), cung cấp khung quy trình chuẩn cho phân tích động mã độc IoT trên nền tảng ảo hóa QEMU.
  • Về mặt Thực tiễn ứng dụng: Mô hình được chuyển giao trực tiếp vào Đề tài Khoa học và Công nghệ cấp Quốc gia: "Nghiên cứu xây dựng hệ thống tự động phát hiện, cảnh báo và ngăn chặn tấn công mạng nhằm vào các thiết bị IoT cỡ nhỏ sử dụng mạng lưới tác tử thông minh" (Mã số: KC-4.0-05/19-25). Các tác tử thông minh thu gọn được tích hợp thẳng vào Router và IP Camera để thu thập dữ liệu hành vi gửi về trung tâm phân tích cảnh báo sớm.
  • Về mặt Chính sách: Cung cấp cơ sở khoa học thực chứng để các cơ quan quản lý an toàn thông tin (như Cục An toàn thông tin, Bộ Thông tin và Truyền thông, Ban Cơ yếu Chính phủ) xây dựng bộ tiêu chuẩn kiểm định an ninh bắt buộc cho các thiết bị IoT thương mại trước khi phân phối trên thị trường Việt Nam.

Limitations và Future Research

  1. Thời gian khởi tạo môi trường máy ảo: Mặc dù thời gian lấy mẫu phân tích được tối ưu xuống 3–6 giây, tổng thời gian khởi tạo máy ảo QEMU, nạp snapshot, thu thập và sinh báo cáo tổng thể cho một mẫu nhị phân vẫn mất khoảng 3 phút. Điều này hạn chế tốc độ xử lý khi phải phân tích hàng trăm nghìn mẫu cùng lúc.
  2. Khoảng trống thực thi 19,5% mẫu nhị phân: V-Sandbox đạt tỷ lệ chạy thành công 80,5%, đồng nghĩa với việc vẫn còn 19,5% mẫu chưa thể kích hoạt toàn diện do sử dụng các kỹ thuật chống ảo hóa tinh vi (Anti-QEMU/Anti-debugging) hoặc đòi hỏi phần cứng ngoại vi đặc thù (cảm biến I2C, SPI chuyên dụng).
  3. Phạm vi chủng loại mã độc: Tập dữ liệu nghiên cứu tập trung chủ yếu vào các họ IoT Botnet phổ biến (Mirai, Bashlite, Hajime). Các biến thể mã độc mới nổi trên nền tảng IoT như Ransomware tống tiền, Spyware gián điệp, hay Cryptominer đào tiền ảo chưa được bao phủ toàn diện.
  4. Định hướng nghiên cứu tương lai:
    • Tối ưu hóa kiến trúc V-Sandbox bằng công nghệ Container siêu nhẹ (MicroVM/Docker nhúng) để giảm thời gian khởi tạo môi trường xuống dưới 5 giây.
    • Bổ sung cơ chế phát hiện và bypass các kỹ thuật chống phân tích động (Anti-sandbox bypass).
    • Nghiên cứu cơ chế tự động chuyển đổi mô hình học máy thành các luật chữ ký động (Dynamic Signatures/Snort/YARA rules) nhằm tích hợp vào các thiết bị tường lửa biên thế hệ mới.
    • Mở rộng tập dữ liệu sang các họ IoT Ransomware và Trojan thế hệ mới.

Tác động và ảnh hưởng

  • Ảnh hưởng học thuật: Các kết quả cốt lõi của luận án đã được công bố trên các diễn đàn khoa học uy tín, bao gồm 01 bài báo trên Tạp chí Quốc tế thuộc danh mục ISI/Scopus Q1 (IEEE Access, 2020), 01 bài báo trên Tạp chí Quốc tế Computers & Electrical Engineering (Elsevier, 2021), 01 bài báo trên Tạp chí IJITEE, 01 bài báo trên Tạp chí Khoa học và Công nghệ trong lĩnh vực An toàn thông tin (Ban Cơ yếu Chính phủ), và 05 công trình tại các Kỷ yếu Hội thảo Khoa học Quốc gia uy tín (Hội thảo Quốc gia CNTT-TT, Hội thảo SoIS).
  • Chuyển đổi công nghiệp: Cung cấp giải pháp kỹ thuật khả thi cho các doanh nghiệp sản xuất thiết bị viễn thông và IoT (Viettel, VNPT, FPT, BKAV) tích hợp tác tử bảo mật tự bảo vệ vào firmware thương phẩm.
  • Lợi ích an ninh quốc gia và xã hội: Giảm thiểu nguy cơ biến hàng triệu thiết bị IoT dân dụng tại Việt Nam thành các mạng máy tính ma (Zombie Army) phục vụ tấn công phá hoại hạ tầng thông tin trọng yếu quốc gia.

Đối tượng hưởng lợi

  • Nghiên cứu sinh & Nhà khoa học an ninh mạng: Thừa hưởng phương pháp luận biểu diễn đồ thị lời gọi hệ thống (DSCG) và mã nguồn mở V-Sandbox làm công cụ nghiên cứu thực nghiệm.
  • Kỹ sư R&D thiết bị IoT & Firmware Developers: Ứng dụng các quy tắc liên kết thư viện động và mô hình tác tử phân tích hành vi nhẹ để gia cố bảo mật cho hệ điều hành nhúng.
  • Trung tâm Giám sát Điều hành An toàn Không gian mạng (SOC / CERT / CSIRT): Triển khai mô hình phát hiện sớm đa nguồn CMED vào hệ thống giám sát lưu lượng biên nhằm cô lập mã độc ngay từ giai đoạn kết nối C&C Server.
  • Cơ quan quản lý nhà nước về An toàn thông tin: Sở hữu công cụ và luận cứ khoa học để xây dựng khung đánh giá, kiểm thử mã độc tự động cho thiết bị IoT nhập khẩu và nội địa.

Câu hỏi chuyên sâu

1. Đóng góp lý thuyết độc đáo nhất của luận án là gì và đã mở rộng lý thuyết nào?

Đóng góp độc đáo nhất là việc thiết lập Mô hình Đồ thị Lời gọi Hệ thống có Hướng (DSCG) kết hợp với Khung Lý thuyết Hợp nhất Học máy Cộng tác Phát hiện Sớm (CMED). Công trình đã mở rộng trực tiếp Lý thuyết Phân tích Hành vi Mã độc (Behavior-based Malware Analysis Theory) của Konrad Rieck và cộng sự [31] sang môi trường hệ thống nhúng đa kiến trúc vi xử lý. Bằng việc chứng minh rằng đồ thị cấu trúc tương tác nhân trong 3 giây đầu mang đầy đủ entropy phân loại, luận án đã bác bỏ quan niệm truyền thống cho rằng phân tích động bắt buộc phải chờ đợi mã độc thực thi hoàn chỉnh toàn bộ vòng đời.

2. Tính đổi mới về mặt phương pháp luận so với các công trình quốc tế tiền nhiệm?

So với các Sandbox Linux hiện có như Cuckoo [46] và LiSa [51], V-Sandbox mang tính đổi mới toàn diện ở 3 điểm:

  • Tự động phân tích Metadata ELF và tự động nạp thư viện động nhúng thiếu hụt từ cơ sở dữ liệu firmware trích xuất (Shared Object DB).
  • Tích hợp máy chủ giả lập phản hồi chỉ huy C&C Simulator để bẫy hành vi giai đoạn sau.
  • So với các nghiên cứu của Tobiyama [128] (mất 5 phút) hay Hansen [135] (mất 200 giây), phương pháp trích chọn đặc trưng Wrapper kết hợp Soft Voting của luận án giảm thời gian lấy mẫu xuống chỉ còn 03 giây mà vẫn đạt độ chính xác cao hơn (ACC = 99,99% so với 98,97%).

3. Phát hiện bất ngờ nhất từ dữ liệu thực nghiệm là gì?

Phát hiện bất ngờ nhất là giá trị tối ưu của bộ trọng số Soft Voting phân bổ gần như đồng đều giữa 3 nguồn dữ liệu không đồng nhất: $W = [0.32 \text{ (Mạng)}, 0.33 \text{ (Tài nguyên)}, 0.35 \text{ (Lời gọi hệ thống)}]$. Điều này chứng minh rằng trên các thiết bị IoT hạn chế tài nguyên, hành vi tiêu thụ phần cứng (%CPU, %RAM, bộ mô tả tệp lsof) mang tính đặc trưng độc hại cao tương đương với dữ liệu lưu lượng mạng và lời gọi hệ thống, trái ngược với quan điểm trước đây vốn chỉ tập trung vào gói tin mạng hoặc n-gram Syscall.

4. Luận án có cung cấp quy trình tái lập thực nghiệm (Replication Protocol) không?

Có. Tác giả đã công bố mã nguồn mở của hệ sinh thái V-Sandbox trên nền tảng GitHub tại địa chỉ: https://github.com/ndhpro/V-IoT-Sandbox [100], bao gồm toàn bộ kịch bản cấu hình tự động QEMU, bộ công cụ trích xuất C500-Extractor, danh mục ánh xạ thư viện động, và quy trình xử lý dữ liệu DSCG, đảm bảo tính minh bạch và khả năng tái lập thực nghiệm hoàn toàn cho cộng đồng học thuật quốc tế.

5. Định hướng nghiên cứu 10 năm tới được phác thảo như thế nào?

Lộ trình 10 năm tập trung vào 3 trọng tâm:

  1. Ảo hóa siêu nhẹ: Thay thế QEMU bằng kiến trúc MicroVM/eBPF nhân Linux để giảm độ trễ phân tích xuống dưới 1 giây.
  2. Đối kháng tự động (Adversarial AI Defense): Tăng cường độ bền vững của mô hình đồ thị DSCG trước các biến thể mã độc có khả năng chèn mã gọi hàm giả (Syscall Injection/Padding).
  3. Chuyển dịch sang mô hình Zero-Trust IoT: Tự động biên dịch hành vi động thành các chính sách truy cập động (Dynamic Access Control Policies) và luật phân tích biên nhúng trực tiếp vào phần cứng vi điều khiển thế hệ mới.

Kết luận

Luận án Tiến sĩ của NCS. Lê Hải Việt đã hoàn thành xuất sắc các mục tiêu nghiên cứu đề ra, mang lại những giá trị học thuật và thực tiễn cốt lõi:

  1. Xây dựng thành công hệ thống V-Sandbox: Môi trường phân tích động tự động hóa, mã nguồn mở, hỗ trợ đa kiến trúc vi xử lý nhúng (MIPS, ARM, PowerPC, SPARC, x86), giải quyết triệt để bài toán thiếu thư viện động và mô phỏng phản hồi C&C Server, đạt tỷ lệ chạy thành công mẫu nhị phân lên tới 80,5%.
  2. Đề xuất cấu trúc đặc trưng đồ thị DSCG: Biểu diễn tuần tự và bảo toàn ngữ nghĩa rẽ nhánh của các lời gọi hệ thống, khắc phục độ phức tạp tính toán của các kỹ thuật n-gram truyền thống và cho phép nhúng đồ thị hiệu quả vào không gian vector học máy.
  3. Phát triển mô hình học máy cộng tác phát hiện sớm CMED: Hợp nhất 3 nguồn dữ liệu hành vi trong cửa sổ quan sát thời gian thực 3 giây đầu, đạt độ chính xác phân loại ACC = 99,99%, tỷ lệ dương tính giả FPR = 1,94%, và tổng thời gian đưa ra quyết định chỉ mất xấp xỉ 6 giây.
  4. Khẳng định tính đúng đắn qua tập thực nghiệm lớn: Kiểm chứng nghiêm ngặt trên 8.911 mẫu nhị phân ELF và đạt độ chính xác tuyệt đối 100% khi thử nghiệm mù trên các mẫu biến thể mới ngoài tập dữ liệu.
  5. Ứng dụng thực tiễn vào Đề tài cấp Quốc gia: Đóng góp trực tiếp cấu phần nhận diện mã độc vào Đề tài Quốc gia KC-4.0-05/19-25, mở ra mô hình triển khai mạng lưới tác tử thông minh bảo vệ hạ tầng IoT dân dụng và công nghiệp.
  6. Mở ra các hướng nghiên cứu học thuật mới: Thiết lập nền tảng phương pháp luận kết hợp giữa biểu diễn đồ thị ngữ nghĩa (Graph Representation) và học máy cộng tác (Collaborative Learning), định hình tiêu chuẩn mới cho các nghiên cứu an ninh mạng trên thiết bị IoT hạn chế tài nguyên tại Việt Nam và trên thế giới.