Giới thiệu dự án

Sự bùng nổ của hạ tầng mạng số và xu hướng chuyển đổi hạ tầng đám mây đã khiến các cuộc tấn công mạng trở nên phức tạp và tinh vi hơn theo cấp số nhân. Theo các báo cáo an ninh mạng toàn cầu, các cuộc tấn công mạng gây thiệt hại hàng nghìn tỷ USD mỗi năm, điển hình như vụ rò rỉ dữ liệu lịch sử của Sony Pictures vào năm 2014 khi tin tặc khai thác các kỹ thuật biến đổi lưu lượng nhằm vượt qua hệ thống giám sát. Trong bối cảnh đó, Hệ thống Phát hiện Xâm nhập (Intrusion Detection System - IDS), đặc biệt là Network IDS (NIDS), đóng vai trò như tuyến phòng thủ trọng yếu nhằm giám sát, phân tích gói tin và kích hoạt cảnh báo trước các hành vi bất thường.

Việc ứng dụng Trí tuệ nhân tạo (AI), Học máy (Machine Learning - ML) và Học sâu (Deep Learning - DL) đã mang lại bước tiến vượt bậc cho các hệ thống Anomaly-based IDS, cho phép phát hiện các biến thể tấn công zero-day với độ chính xác cao. Tuy nhiên, các mô hình học máy lại bộc lộ điểm yếu cốt tử trước các Mẫu đối kháng (Adversarial Examples) — kỹ thuật tinh chỉnh nhiễu cực nhỏ vào dữ liệu đầu vào khiến mô hình phân loại sai lệch hoàn toàn mà không làm mất đi tính độc hại vốn có của cuộc tấn công.

+------------------+       Perturbation (+ε)       +---------------------+
| Malicious Packet |  ------------------------->   | Adversarial Traffic |
| (True: Attack)   |                               | (Evades NIDS)       |
+------------------+                               +---------------------+
         |                                                    |
         v                                                    v
 [Baseline NIDS] ---> Alert: ATTACK                  [Target NIDS] ---> Normal (PASS)

Đồ án tốt nghiệp "A Study on the Adversarial Attack Resistance of Learning-Based Intrusion Detection Systems" do sinh viên Phan Thị Tuyết Lan và Đỗ Minh Thọ (Trường ĐH Công nghệ Thông tin - ĐHQG TP.HCM) thực hiện dưới sự hướng dẫn của ThS. Nghi Hoàng Khoa, tập trung giải quyết toàn diện bài toán đánh giá độ bền vững và xây dựng cơ chế phòng thủ cho IDS trước các cuộc tấn công đối kháng.

Mục tiêu nghiên cứu cụ thể

  1. Nghiên cứu và hiện thực hóa mô hình sinh dữ liệu đối kháng: Kết hợp mạng sinh đối kháng (Generative Adversarial Network - GAN) với kỹ thuật học đa phương thức (Multimodal Learning) thông qua Gaussian Restricted Boltzmann Machine (Gaussian RBM).
  2. Đánh giá toàn diện các kỹ thuật tấn công kinh điển: Triển khai các thuật toán tấn công hộp trắng (White-box: FGSM, DeepFool, C&W) và hộp đen (Black-box: ZOO) trên các tập dữ liệu chuẩn.
  3. Đo lường tính chuyển giao (Transferability): Phân tích khả năng một mẫu đối kháng sinh ra từ một kiến trúc mô hình (ví dụ: DNN) có thể đánh lừa các mô hình khác (ví dụ: LSTM, Random Forest, Decision Tree).
  4. Xây dựng giải pháp phòng thủ: Ứng dụng kỹ thuật Đào tạo đối kháng (Adversarial Training) nhằm khôi phục và nâng cao tỷ lệ phát hiện (Detection Rate) cho các bộ phân loại.

Phạm vi và Giới hạn nghiên cứu

  • Tập dữ liệu thử nghiệm: NSL-KDD, CICIDS2017 và CICIOT2023.
  • Mô hình mục tiêu: Gaussian Naive Bayes (GNB), Decision Tree (DT), Logistic Regression (LR), Deep Neural Networks (DNN), Long Short-Term Memory (LSTM) và Ensemble Learning.
  • Giới hạn: Tập trung vào không gian đặc trưng (feature space) của lưu lượng mạng, đảm bảo các biến đổi duy trì ràng buộc giao thức mạng.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Các hệ thống phát hiện xâm nhập hiện nay đang đối mặt với sự đánh đổi lớn giữa chi phí tính toán, độ chính xác và khả năng chống chịu tấn công có chủ đích.

Giải pháp Ưu điểm Nhược điểm Khả năng kháng Adversarial Attack
Signature-based IDS (Snort, Suricata) Tốc độ xử lý nhanh, FNR (False Negative Rate) thấp với tấn công đã biết Không phát hiện được tấn công mới (Zero-day), quy tắc dễ bị né tránh Trung bình (Né tránh bằng đa hình mã độc)
Traditional ML IDS (SVM, DT, RF) Dễ huấn luyện, giải thích được mô hình, chi phí thấp Dễ bị quá khớp, nhạy cảm cao với nhiễu đặc trưng Rất thấp (Dễ bị tấn công phân ranh giới quyết định)
Deep Learning IDS (DNN, LSTM) Tự trích xuất đặc trưng, học tốt dữ liệu chuỗi phức tạp Yêu cầu tài nguyên lớn, là "hộp đen" khó diễn giải Thấp (Dễ tổn thương trước Gradient-based Attack)
Đề xuất: Multimodal GAN + Adversarial Training Học biểu diễn đa phương thức sâu sắc, chủ động phòng thủ trước nhiều véc-tơ tấn công Chi phí huấn luyện bổ sung mẫu đối kháng định kỳ Cao (Duy trì Detection Rate > 90% dưới tấn công)

Phân loại yêu cầu hệ thống theo MoSCoW

  • Must Have: Framework sinh mẫu đối kháng tự động; Module tấn công White-box (FGSM, C&W, DeepFool) và Black-box (ZOO); Module đánh giá Detection Rate (DR).
  • Should Have: Mô hình kết hợp Multimodal Gaussian RBM để gom cụm nhóm đặc trưng gói tin (Packet Group) và luồng (Traffic Group); Pipeline Adversarial Retraining tự động.
  • Could Have: Khả năng đánh giá tính chuyển giao chéo giữa kiến trúc ML truyền thống và Deep Learning.
  • Won't Have: Triển khai sửa đổi phần cứng phần cứng mạng chuyên dụng (ASIC/FPGA).

Thiết kế hệ thống

Kiến trúc tổng thể của hệ thống được xây dựng qua 5 giai đoạn liên kết chặt chẽ:

graph TD
    A[Giai đoạn 1: Probe Phase] --> B[Giai đoạn 2: GAN + Multimodal Generation]
    A --> C[Giai đoạn 3: Classical WB/BB Attacks]
    B --> D[Giai đoạn 4: Execute Attack & Benchmark]
    C --> D
    D --> E[Giai đoạn 5: Adversarial Training Defense]
    E --> F[Robust NIDS Model]

                     +---------------------------------------+
                     |         Phase 1: Probe Phase          |
                     |  - Baseline Evaluation on Raw Data    |
                     +---------------------------------------+
                                         |
     +-----------------------------------+-----------------------------------+
     |                                                                       |
     v                                                                       v
+---------------------------------------+   +---------------------------------------+
|  Phase 2: GAN + Multimodal Generator  |   |    Phase 3: WB/BB Attack Generation   |
|  - Packet & Traffic Feature Splitting |   |  - FGSM, DeepFool, C&W (White-box)    |
|  - Gaussian RBM Feature Integration   |   |  - ZOO Optimization (Black-box)       |
|  - Generator vs Discriminator Game    |   |                                       |
+---------------------------------------+   +---------------------------------------+
     |                                                                       |
     +-----------------------------------+-----------------------------------+
                                         |
                                         v
                     +---------------------------------------+
                     |     Phase 4: Attack Execution Phase   |
                     |  - Evaluate Evasion & Transferability |
                     +---------------------------------------+
                                         |
                                         v
                     +---------------------------------------+
                     |    Phase 5: Adversarial Training      |
                     |  - Inject Adversarial Samples         |
                     |  - Retrain Classifiers                |
                     +---------------------------------------+

Kiến trúc mạng nơ-ron chi tiết

1. Mạng sinh (Generator): Nhận vector nhiễu ngẫu nhiên phân phối chuẩn $\mathcal{N}(0, I)$ kết hợp vector biểu diễn đa phương thức để sinh lưu lượng giả lập.

Lớp (Layer) Số chiều ngõ vào Số chiều ngõ ra Hàm kích hoạt (Activation)
Input input_dim (64) 64 ReLU
Hidden 1 64 128 ReLU
Hidden 2 128 output_dim (Feature Size) Tanh

2. Mạng phân biệt (Discriminator): Đánh giá xác thực giữa lưu lượng độc hại gốc và mẫu đối kháng.

Lớp (Layer) Số chiều ngõ vào Số chiều ngõ ra Hàm kích hoạt (Activation)
Input input_dim (Feature Size) 64 LeakyReLU(0.2)
Hidden 1 64 128 LeakyReLU(0.2)
Output 128 1 Sigmoid

Technology Stack

  • Ngôn ngữ: Python 3.10+
  • Deep Learning Framework: PyTorch 2.1.2, Torchvision 0.16.2
  • Thư viện Học máy & Thống kê: Scikit-learn 1.3.2, NumPy 1.26.0, Pandas 2.1.1
  • Adversarial Engine: Tùy biến trên nền tảng công thức toán học và tích hợp ART (Adversarial Robustness Toolbox 1.15)
  • Môi trường tính toán: CUDA 12.1, NVIDIA GPU RTX 3090 / A100

Implementation và kết quả

Development Process & Key Algorithms

1. Fast Gradient Sign Method (FGSM)

Thuật toán White-box tác động trực tiếp vào dữ liệu thông qua gradient của hàm mất mát: $$x_{adv} = x + \epsilon \cdot \text{sign}(\nabla_x \mathcal{L}(\theta, x, y))$$

import torch
import torch.nn as nn

def generate_fgsm_attack(model: nn.Module, data: torch.Tensor, target: torch.Tensor, epsilon: float) -> torch.Tensor:
    data.requires_grad = True
    output = model(data)
    loss = nn.CrossEntropyLoss()(output, target)
    model.zero_grad()
    loss.backward()
    
    # Tạo mẫu đối kháng bằng dấu của đạo hàm
    data_grad = data.grad.data
    perturbed_data = data + epsilon * data_grad.sign()
    perturbed_data = torch.clamp(perturbed_data, 0, 1) # Giới hạn không gian đặc trưng chuẩn hóa
    return perturbed_data.detach()

2. Zeroth Order Optimization (ZOO) Attack

Phương pháp Black-box tối ưu hóa hàm điều chuẩn mà không cần truy cập gradient nội bộ, xấp xỉ đạo hàm qua sai phân hữu hạn: $$\frac{\partial f(x)}{\partial x_i} \approx \frac{f(x + h \cdot e_i) - f(x - h \cdot e_i)}{2h}$$

Hàm mục tiêu tối thiểu hóa: $$\min_{\hat{x}_p} |\hat{x}_p - x|_p + c \cdot g(\hat{x}_p)$$ với $g(\hat{x}_p) = \max\left(\log [f(\hat{x}_p)]i - \max{j \neq i} \log [f(\hat{x}_p)]_j, -\kappa\right)$.

3. DeepFool & Carlini-Wagner (C&W)

  • DeepFool: Tìm kiếm phép biến đổi nhỏ nhất $\Delta x$ đưa mẫu vượt qua siêu phẳng quyết định (Decision Boundary) gần nhất thông qua việc tuyến tính hóa hàm phân loại lặp đi lặp lại.
  • Carlini & Wagner ($L_2$): Tối ưu hóa khoảng cách Euclidean $|\hat{x}_p - x|_2^2 + c \cdot f(\hat{x}_p, t)$ với hàm mất mát chuyên biệt giúp triệt tiêu hiện tượng vanishing gradient của hàm Softmax.
# Pipeline tích hợp Adversarial Training
def adversarial_training_loop(model, optimizer, criterion, train_loader, epsilon=0.1):
    model.train()
    for data, target in train_loader:
        # Sinh mẫu đối kháng
        adv_data = generate_fgsm_attack(model, data.clone(), target, epsilon)
        
        # Kết hợp mẫu gốc và mẫu đối kháng (50/50 batch mixing)
        combined_data = torch.cat([data, adv_data], dim=0)
        combined_target = torch.cat([target, target], dim=0)
        
        optimizer.zero_grad()
        output = model(combined_data)
        loss = criterion(output, combined_target)
        loss.backward()
        optimizer.step()

Testing và Validation

Hệ thống được thử nghiệm trên 3 bộ dữ liệu lớn với hơn 2.5 triệu bản ghi lưu lượng:

  • NSL-KDD: Tập dữ liệu kinh điển gồm 41 đặc trưng.
  • CICIDS2017: 79 đặc trưng phân tích luồng mạng thực tế.
  • CICIOT2023: Dữ liệu tấn công môi trường IoT quy mô lớn.

Bảng thực nghiệm: Tỷ lệ phát hiện (Detection Rate - %) của các Detector trước và sau tấn công

Detector Dữ liệu gốc (Clean) Sau tấn công FGSM ($\epsilon=0.1$) Sau tấn công C&W Sau tấn công GAN + Multimodal Sau Adversarial Training
Decision Tree (DT) 99.82% 45.20% 38.15% 22.40% 96.80%
Gaussian NB (GNB) 84.15% 32.10% 29.40% 18.50% 82.10%
Logistic Reg (LR) 89.30% 28.50% 21.05% 15.30% 87.40%
DNN 99.10% 14.20% 8.60% 6.20% 98.45%
LSTM 98.90% 18.50% 11.20% 7.80% 97.90%
Ensemble (Voting) 99.91% 38.60% 27.30% 14.10% 99.15% 
Detection Rate (%) Comparison on CICIDS2017:
Clean Data:        [========================================] 99.10% (DNN)
Under GAN Attack:  [===                                     ]  6.20% (DNN) - Severe Drop!
Adv. Retrained:    [======================================= ] 98.45% (DNN) - Restored!

Đổi mới và đóng góp

  1. Ứng dụng Multimodal Gaussian RBM cho Sinh dữ liệu mạng: Khác với GAN truyền thống xử lý vector phẳng (flat vector), kiến trúc đề xuất chia tách đặc trưng mạng thành Packet Group và Traffic Group, học phân phối độc lập qua Gaussian RBM trước khi đưa vào Upper RBM. Phương pháp này bảo toàn quan hệ phi tuyến giữa các trường header TCP/IP và thông số thống kê luồng.
  2. Khảo sát toàn diện tính chuyển giao (Transferability): Đồ án chứng minh rằng mẫu đối kháng sinh ra từ mô hình phức tạp (DNN) có tính chuyển giao cao sang các mô hình đơn giản hơn (DT, GNB), với tỷ lệ trốn tránh thành công đạt trên 75% trong kịch bản Black-box transfer.
  3. So sánh chuyên sâu với các công trình quốc tế:
Tiêu chí Traffic Manipulator (Dongqi Han et al.) GPMT Framework (Peishuai Sun et al.) Giải pháp Đồ án (Lan & Thọ)
Phương pháp sinh WGAN đơn phương thức WGAN kết hợp Surrogate Model GAN + Multimodal Gaussian RBM
Véc-tơ tấn công Evasion cơ bản Black-box Gradient Surrogate Đa dạng: FGSM, DeepFool, ZOO, C&W, GAN
Phòng thủ tích hợp Không Không Adversarial Training chuyên sâu
Độ hồi phục hiệu suất N/A N/A Khôi phục DR từ <10% lên >97%

Ứng dụng thực tế và triển khai

Kịch bản ứng dụng (Use Cases)

  • Hệ thống Giám sát An ninh Doanh nghiệp (SOC/SIEM): Tích hợp module kiểm thử độ bền (Robustness Benchmark) định kỳ vào các pipeline CI/CD của hệ thống phân tích an ninh mạng.
  • Thiết bị Tường lửa Thế hệ mới (NGFW): Triển khai các mô hình Ensemble đã qua đào tạo đối kháng trực tiếp tại biên mạng (Edge Computing) nhằm ngăn chặn lưu lượng mã độc ngụy trang.

Yêu cầu hệ thống và Triển khai

Cấu hình tối thiểu

  • CPU: Intel Xeon Gold / AMD EPYC 8 Cores+
  • RAM: 32 GB DDR4 ECC
  • GPU: NVIDIA RTX 3060 12GB VRAM (hoặc tương đương)
  • Lưu trữ: 100 GB NVMe SSD

Hướng dẫn triển khai nhanh

# 1. Khởi tạo môi trường ảo
conda create -n ids-defense python=3.10 -y
conda activate ids-defense

# 2. Cài đặt các gói phụ thuộc
pip install torch torchvision --index-url https://download.pytorch.org/whl/cu121
pip install scikit-learn pandas numpy adversarial-robustness-toolbox

# 3. Chạy pipeline đánh giá tấn công và phòng thủ
python run_adversarial_pipeline.py --dataset cicids2017 --attack gan_multimodal --defense retrain

Phân tích Chi phí - Lợi ích (ROI)

  • Chi phí triển khai: Tăng khoảng 15-20% tài nguyên tính toán định kỳ cho giai đoạn Adversarial Retraining offline.
  • Hiệu quả kinh tế: Giảm thiểu nguy cơ thiệt hại dữ liệu (trung bình 4.45 triệu USD/vụ rò rỉ dữ liệu theo IBM Security), ngăn chặn hoàn toàn các cuộc tấn công Bypass NIDS cấp cao.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Nghịch đảo không gian đặc trưng (Feature-to-Packet Mapping): Việc chuyển đổi các mẫu đối kháng trong không gian đặc trưng số học ngược lại thành file .pcap thực tế vẫn gặp thách thức về tính toàn vẹn checksum và tính hợp lệ của giao thức truyền thông.
  • Chi phí tính toán: Các thuật toán tối ưu hóa lặp như C&W và ZOO đòi hỏi thời gian xử lý lớn khi số lượng vòng lặp tối ưu (max_iter) tăng cao.

Hướng phát triển tương lai

  • Ứng dụng Học tăng cường (Reinforcement Learning - DRL) để tự động điều chỉnh nhiễu thích ứng theo thời gian thực (Adaptive Attack).
  • Nghiên cứu cơ chế Certified Robustness và phòng thủ bằng kỹ thuật ngẫu nhiên hóa (Randomized Smoothing) cho hệ thống NIDS.

Đối tượng hưởng lợi

  • Sinh viên & Học viên cao học: Cung cấp tài liệu tham khảo hoàn chỉnh, quy chuẩn thực nghiệm mẫu về an toàn học máy (Adversarial Machine Learning) và bảo mật mạng.
  • Kỹ sư An ninh mạng (Security Engineers): Nắm bắt các lỗ hổng tiềm ẩn trong các giải pháp AI-based IDS thương mại để thiết kế kiến trúc phòng thủ đa tầng (Defense-in-Depth).
  • Doanh nghiệp & Tổ chức: Có phương pháp luận rõ ràng để thẩm định, kiểm thử độ an toàn của các giải pháp SOC/IDS trước khi đưa vào vận hành thực tế.
  • Nhà nghiên cứu (Researchers): Khung đánh giá tiêu chuẩn và các bộ dữ liệu đối kháng đóng góp cơ sở dữ liệu thực nghiệm giá trị cho cộng đồng học thuật an toàn thông tin.

Câu hỏi thường gặp

1. Yêu cầu kỹ thuật cốt lõi để triển khai hệ thống là gì?

Hệ thống yêu cầu môi trường chạy Python 3.10+, PyTorch hỗ trợ GPU CUDA để tăng tốc độ huấn luyện mô hình GAN và thực thi các phép tính đạo hàm ma trận trong các đòn tấn công C&W/FGSM.

2. Giới hạn mở rộng (Scalability) của mô hình nằm ở đâu?

Giới hạn lớn nhất là độ trễ phân tích khi áp dụng mô hình Deep Learning phức tạp trong môi trường mạng thông lượng cao (10-100 Gbps). Giải pháp là sử dụng mô hình chưng cất tri thức (Knowledge Distillation) hoặc chuyển đổi sang mô hình Decision Tree / Ensemble đã qua Adversarial Training để xử lý tốc độ cao.

3. Hệ thống có thể tích hợp với các IDS mã nguồn mở như Snort/Suricata không?

Có. Hệ thống có thể hoạt động như một tầng phân tích thứ cấp (Secondary Inspector), tiếp nhận luồng dữ liệu trích xuất từ Suricata qua giao diện Socket/Eve.json để đánh giá nguy cơ tấn công đối kháng.

4. Tần suất cần thực hiện Adversarial Training định kỳ là bao lâu?

Nên thực hiện đào tạo lại theo chu kỳ hàng tuần hoặc khi hệ thống ghi nhận sự thay đổi đáng kể trong phân phối lưu lượng mạng cơ sở (Concept Drift).

5. Tại sao tấn công ZOO lại mất nhiều thời gian hơn FGSM?

FGSM là tấn công White-box một bước (One-step gradient), tính toán tức thì thông qua một lần lan truyền ngược. Ngược lại, ZOO là tấn công Black-box lặp, phải liên tục gửi hàng nghìn truy vấn thăm dò đầu ra để xấp xỉ đạo hàm từng chiều đặc trưng.

Kết luận

Đồ án tốt nghiệp "A Study on the Adversarial Attack Resistance of Learning-Based Intrusion Detection Systems" đã giải quyết xuất sắc bài toán cốt lõi trong giao thoa giữa Trí tuệ nhân tạo và An toàn thông tin. Bằng cách kết hợp sáng tạo giữa Multimodal Learning (Gaussian RBM) và Mạng sinh đối kháng (GAN), nghiên cứu đã vạch trần điểm yếu nghiêm trọng của các hệ thống NIDS dựa trên học máy khi tỷ lệ phát hiện có thể bị kéo tụt từ 99.10% xuống chỉ còn 6.20%.

Quan trọng hơn, nghiên cứu đã chứng minh tính khả thi và hiệu quả vượt trội của giải pháp Adversarial Training, giúp khôi phục tỷ lệ phát hiện lên mức 98.45%, xác lập nền tảng vững chắc cho việc thiết kế các hệ thống an ninh mạng tự hành, bền vững và tin cậy trong tương lai.