Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh công nghệ thông tin phát triển mạnh mẽ, công tác đảm bảo an toàn thông tin đối mặt với nhiều thách thức nghiêm trọng từ sự gia tăng của virus, mã độc và các mạng máy tính ma (botnet). Khi máy tính của người dùng bị lây nhiễm botnet, chúng sẽ trở thành các máy tính ma (zombie) chịu sự kiểm soát hoàn toàn của máy chủ điều khiển (Command & Control - C&C) do kẻ tấn công (botmaster) vận hành. Hệ thống botnet thường được khai thác để thực hiện các cuộc tấn công từ chối dịch vụ phân tán (DDoS), phát tán thư rác hoặc tấn công lừa đảo trên quy mô lớn, làm gián đoạn hoạt động và gây thiệt hại nặng nề cho các hạ tầng mạng.

Để duy trì kênh liên lạc liên tục giữa máy chủ C&C và các bot nhằm vượt qua các công cụ phòng thủ truyền thống (như danh sách đen địa chỉ IP hoặc tên miền tĩnh), tin tặc đã tích hợp thuật toán sinh tên miền tự động (Domain Generation Algorithm - DGA). Thuật toán DGA cho phép botmaster và các máy tính bị nhiễm tự động sinh ra và định kỳ đăng ký một số lượng lớn tên miền phục vụ liên lạc. DGA botnet được phân chia thành ba dạng chính:

  • Character-based DGA: Sinh tên miền dựa trên tổ hợp ngẫu nhiên các ký tự và chữ số. Dạng này có độ ngẫu nhiên cao, không mang cấu trúc ngôn ngữ nên dễ bị các kỹ thuật phát hiện truyền thống nhận diện.
  • Word-based DGA: Sinh tên miền bằng cách ghép ngẫu nhiên hai hoặc nhiều từ có nghĩa từ các từ điển tiếng Anh (danh từ, động từ, tính từ) hoặc mô hình ngôn ngữ. Tên miền tạo ra có cấu trúc ngữ nghĩa tương tự tên miền hợp pháp, dẫn đến tỷ lệ xung đột cao và làm vô hiệu hóa các phương pháp phát hiện character-based DGA.
  • Mixed DGA: Kết hợp giữa chuỗi ký tự ngẫu nhiên và các từ có nghĩa trong cùng một tên miền.

Nhằm giải quyết khó khăn trong việc phát hiện dạng tên miền word-based DGA, đồ án tốt nghiệp "Nghiên cứu các kỹ thuật phát hiện word-based DGA botnet dựa trên học máy" do sinh viên Phùng Thị Phương Thảo thực hiện dưới sự hướng dẫn của PGS. Hoàng Xuân Dậu tại Khoa An toàn thông tin, Học viện Công nghệ Bưu chính Viễn thông (tháng 01/2024) đã tập trung vào các nhiệm vụ:

  1. Tổng quan cơ sở lý thuyết về kiến trúc, cơ chế hoạt động của botnet, DGA botnet và các phương pháp phát hiện hiện nay.
  2. Nghiên cứu các thuật toán học máy có giám sát và phân tích đặc trưng cấu trúc, ngôn ngữ của tên miền word-based DGA.
  3. Đề xuất bộ 13 đặc trưng phân biệt giữa tên miền lành tính và tên miền word-based DGA.
  4. Cài đặt thực nghiệm, huấn luyện và đánh giá hiệu năng phân loại của 5 thuật toán học máy, từ đó xây dựng mô-đun phát hiện hoàn chỉnh.

Đối tượng nghiên cứu của đồ án là các tên miền sinh ra từ 5 họ word-based DGA botnet tiêu biểu (Gozi, Bigviktor, Suppobox, Pizd, Matsnu) cùng tập dữ liệu tên miền lành tính được thống kê từ Alexa. Phạm vi nghiên cứu tập trung vào phân tích đặc trưng tên miền tĩnh thông qua bộ từ điển tiếng Anh chuẩn và các thuật toán học máy có giám sát.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết và mô hình nghiên cứu

Đồ án xây dựng khung lý thuyết dựa trên các trụ cột chính trong an toàn thông tin và khoa học dữ liệu:

  • Kiến trúc và vòng đời Botnet: Phân tích 3 mô hình kiến trúc gồm Client-Server, Ngang hàng (P2P), và Kiến trúc lai (phân chia Servant bot và Client bot). Hoạt động của botnet được chuẩn hóa qua 4 pha: Tuyển dụng thành viên (khai thác lỗ hổng), Tương tác (kết nối C&C qua IRC/HTTP/DNS), Tấn công (DDoS, spam, phishing), và Duy trì (cập nhật mã độc, lẩn tránh kiểm duyệt).
  • Cơ chế hoạt động DGA: Hoạt động dựa trên trình tạo số ngẫu nhiên xác định kết hợp với nhân bí mật (seed - như ngày, tháng, năm, thời gian thực hoặc hằng số) được chia sẻ giữa botmaster và các bot để đồng bộ việc sinh và truy vấn tên miền qua hệ thống DNS.
  • Phương pháp phát hiện Botnet: Tổng quan các hướng tiếp cận gồm phát hiện dựa trên chữ ký (Signature-based), phát hiện dựa trên bất thường (Anomaly-based: gồm khai phá dữ liệu, phân tích hành vi lưu lượng, giám sát DNS, và phân tích thống kê), cùng phương pháp bẫy Honeypot.

Phương pháp nghiên cứu thực tế

Nghiên cứu áp dụng quy trình học máy có giám sát 5 bước chuẩn mực:

  1. Thu thập dữ liệu (Data collection)
  2. Tiền xử lý và trích xuất đặc trưng (Preprocessing)
  3. Huấn luyện mô hình (Training model)
  4. Đánh giá mô hình (Evaluating model)
  5. Cải thiện mô hình (Improve model)

Nghiên cứu khảo sát và thử nghiệm 5 thuật toán học máy phân loại nhị phân:

  • Máy vector hỗ trợ (Support Vector Machine - SVM): Tối ưu hóa siêu phẳng phân lớp dựa trên nguyên tắc lề cực đại (max margin) và ánh xạ không gian nhiều chiều.
  • K láng giềng gần nhất (K-Nearest Neighbors - kNN): Phân lớp dựa trên khoảng cách hình học (Euclidean) tới $k$ điểm láng giềng gần nhất trong không gian vector.
  • Rừng ngẫu nhiên (Random Forest): Mô hình kết hợp (ensemble) nhiều cây quyết định (Decision Tree), phân nhánh dựa trên tập con các đặc trưng ngẫu nhiên và đưa ra quyết định bằng cơ chế bỏ phiếu đa số (Majority Voting) nhằm hạn chế hiện tượng quá khớp (overfitting).
  • Naive Bayes: Mô hình xác suất dựa trên định lý Bayes với giả định các đặc trưng độc lập có điều kiện: $$P(A|B) = \frac{P(B|A) P(A)}{P(B)}$$
  • Hồi quy Logistic (Logistic Regression): Mô hình tuyến tính ánh xạ qua hàm phi tuyến Sigmoid để ước tính xác suất thuộc lớp nhị phân: $$\sigma(z) = \frac{1}{1 + e^{-z}}$$

Nguồn dữ liệu và bộ đặc trưng trích xuất

Nguồn dữ liệu phục vụ nghiên cứu bao gồm:

  • Tập tên miền lành tính: Thu thập từ danh sách các tên miền phổ biến theo thống kê của Alexa.
  • Tập tên miền Botnet: Thu thập từ các mẫu tên miền thực tế của 5 họ botnet sử dụng kỹ thuật word-based DGA (Bigviktor, Gozi, Matsnu, Pizd, Suppobox).
  • Từ điển đối sánh: Sử dụng từ điển tiếng Anh thông dụng eng dict gồm 58.000 từ và từ điển dga_dict.

Nghiên cứu trích xuất bộ 13 đặc trưng số học và ngôn ngữ ($f_1 \to f_{13}$) từ chuỗi tên miền $d$, trong đó kế thừa các đặc trưng $f_3, f_4, f_5, f_6$ từ công trình của Truong và cộng sự:

  • $f_1$: Độ dài tên miền, tính bằng số lượng ký tự: $f_1 = len(d)$.
  • $f_2$: Tổng giá trị mã ASCII của toàn bộ ký tự cấu thành tên miền: $f_2 = \sum_{i=1}^{len(d)} ord(d[i])$.
  • $f_3$: Số lượng ký tự nguyên âm $[a, e, i, o, u]$ trong tên miền ($countna$).
  • $f_4$: Tỷ lệ ký tự nguyên âm trên tổng chiều dài tên miền: $f_4 = \frac{countna}{len(d)}$.
  • $f_5$: Số lượng ký tự số $[0-9]$ và ký tự gạch nối $[-]$ trong tên miền ($countnn$).
  • $f_6$: Tỷ lệ ký tự số và gạch nối: $f_6 = \frac{countnn}{len(d)}$.
  • $f_7$: Số lượng từ trong tên miền có mặt trong từ điển eng dict ($count_word_eng$).
  • $f_8 \to f_{13}$: Các đặc trưng thống kê và vector hóa bổ sung dựa trên từ điển và phân bố ký tự.

Thiết kế và triển khai mô hình

Mô hình phát hiện word-based DGA botnet được thiết kế gồm 3 giai đoạn xử lý khép kín:

[Tập tên miền thu thập]

Quy trình triển khai chi tiết:

  1. Tiền xử lý và Vector hóa: Tên miền thô được làm sạch và chuẩn hóa. Hàm trích xuất đặc trưng tiến hành phân tích chuỗi, đối soát từ điển eng dict và bảng mã ASCII để chuyển đổi mỗi tên miền thành một vector đặc trưng số học 13 chiều. Nhãn phân lớp được gán tương ứng ($0$ cho tên miền lành tính và $1$ cho tên miền độc hại).
  2. Huấn luyện và Phân chia dữ liệu: Dữ liệu sau vector hóa được phân chia thành các tập phục vụ huấn luyện và kiểm thử: TRAINING_DATASET, TEST_DATASET_1, và TEST_DATASET_2. Các mô hình SVM, Logistic Regression, Random Forest, kNN và Naive Bayes lần lượt được huấn luyện trên cùng một tập dữ liệu chuẩn.
  3. Mô-đun và Giao diện phát hiện: Dựa trên kết quả so sánh độ chính xác, thuật toán Rừng ngẫu nhiên (Random Forest) được lựa chọn để đóng gói vào mô-đun phát hiện (Modul phát hiện). Tác giả thiết kế giao diện cho phép nhập trực tiếp tên miền cần kiểm tra, hệ thống tự động trích xuất vector đặc trưng và hiển thị nhãn dự đoán tức thời (Lành tính hoặc Botnet).

Nội dung chính theo từng chương

Chương 1: Tổng quan về Botnet và các phương pháp phát hiện

Chương 1 cung cấp nền tảng lý thuyết toàn diện về mạng botnet và các cơ chế lẩn tránh.

  • Thành phần Botnet: Mô hình gồm 3 thực thể cốt lõi: Botmaster (kẻ điều khiển), Máy chủ C&C (chuyển tiếp lệnh), và Bots/Zombies (máy nạn nhân bị kiểm soát).
  • Phân loại DGA botnet: Khảo sát các mẫu tên miền thực tế từ các họ mã độc khác nhau.
Họ botnet Kiểu kỹ thuật Ví dụ mẫu tên miền
Bigviktor Word-based DGA support.futbol
Suppobox Word-based DGA sharmainewestbrook.net (từ wordlist 1)
Bazardoor Character-based DGA aceijlahgijp.bazar
Chinad Character-based DGA qowhi81jvoid4j0m.biz, 29cqdf6obnq462yv.com, 5qip6brukxyf9lhk.ru
Banjori Mixed DGA earnestnessbiophysicalohax.com
  • Đặc trưng các họ Word-based DGA botnet: Phân tích quy tắc ghép từ và tên miền cấp cao nhất (TLD) của 4 họ điển hình:
    • Gozi: Nối 3-4 từ từ 4 từ điển; TLD gồm .com, .ru; Mẫu ví dụ: williamseasily.com, exprdecadeincprcoundeep.ru, violationfashionorder.com.
    • Bigviktor: Nối 3-4 từ từ 4 từ điển; sử dụng đa dạng TLD (.art, .click, .club, .com, .fans, .futbol, .in, .info, .link, .net, .nl, .observer, .one, .org, .pictures, .realty, .rocks, .tel, .top, .xyz); Mẫu ví dụ: support.fans, turntruebreakfast.futbol, speakoriginalworld.one.
    • Suppobox: Nối 2 từ trong 1 từ điển (wordlist 1); TLD .net; Mẫu ví dụ: windowtherefore.net, sharmainewestbrook.net.
    • Pizd: Nối 2 từ trong 1 từ điển; TLD .net; Mẫu ví dụ: eveningorder.net, desirestrike.net, destroysummer.net.
    • Matsnu: Nối chuỗi nhiều từ có nghĩa; Mẫu ví dụ: shoulderracerecognizeblue.com.
  • Đánh giá các phương pháp phát hiện:
    • Chữ ký: Độ chính xác cao nhưng phụ thuộc cơ sở dữ liệu luật và không nhận diện được biến thể mới.
    • Bất thường: Có khả năng phát hiện botnet mới nhưng tỷ lệ dương tính giả (FPR) cao. Kỹ thuật phân tích lưu lượng mạng dựa trên học máy có thể đạt độ chính xác trên 90%. Phát hiện dựa trên DNS trải qua 4 bước phân tích "hành vi nhóm".
    • Honeypot: Thu thập thông tin ban đầu và bẫy bot nhưng không hỗ trợ truy vết quy mô và phạm vi lây lan.

Chương 2: Phát hiện Word-based DGA Botnet dựa trên học máy

Chương 2 trình bày cơ sở toán học của các thuật toán học máy và tiến hành phân tích thống kê định lượng trên tập dữ liệu gồm 50.000 tên miền lành tính và 50.000 tên miền word-based DGA botnet thuộc 5 họ.

  • Lý thuyết thuật toán: Trình bày chi tiết cơ chế hoạt động, ưu điểm và hạn chế của SVM, kNN, Cây quyết định, Rừng ngẫu nhiên, Naive Bayes và Hồi quy Logistic.
  • Phân tích thống kê đặc trưng:
    • Độ dài tên miền ($f_1$): Tên miền lành tính chủ yếu ngắn (từ 3 đến 12 ký tự), chỉ có 0,08% tên miền $\ge 15$ ký tự, và chỉ 579/50.000 tên miền $> 20$ ký tự. Ngược lại, tên miền word-based DGA tập trung từ 10 đến 25 ký tự, có tới 8.784/50.000 tên miền $> 20$ ký tự (trong đó Pizd và Suppobox tập trung từ 10-15 ký tự, Bigviktor và Matsnu từ 8-22 ký tự, Gozi từ 13-25+ ký tự).
    • Số lượng nguyên âm ($f_3$): Tên miền lành tính có 2.322 tên miền không chứa nguyên âm nào, 17.406 tên miền $< 3$ nguyên âm, và chỉ 125 tên miền $> 10$ nguyên âm. Tên miền botnet không có tên miền nào thiếu nguyên âm, chỉ 1.349 tên miền $< 3$ nguyên âm, và có tới 2.992 tên miền $> 10$ nguyên âm (Gozi có 6-11 nguyên âm; Pizd và Suppobox có 3-7 nguyên âm; Matsnu và Bigviktor có 3-8 nguyên âm).
    • Phân bố từ điển tiếng Anh eng dict ($f_7$): Đối với tên miền lành tính, 39,05% tên miền chứa 0 hoặc 1 từ tiếng Anh thông dụng, 56,28% chứa 2-3 từ, và 4,7% chứa $> 3$ từ. Đối với tên miền word-based DGA botnet, 0% tên miền không chứa từ tiếng Anh, chỉ 0,28% chứa 1 từ, 86,43% chứa 2-3 từ, và 13,28% chứa $> 3$ từ.
Đặc trưng thống kê Tên miền lành tính (50.000 mẫu) Tên miền Word-based DGA (50.000 mẫu)
Độ dài > 20 ký tự ($f_1$) 579 mẫu (1,16%) 8.784 mẫu (17,57%)
Không có nguyên âm ($f_3 = 0$) 2.322 mẫu 0 mẫu
Số nguyên âm < 3 ($f_3 < 3$) 17.406 mẫu 1.349 mẫu
Số nguyên âm > 10 ($f_3 > 10$) 125 mẫu 2.992 mẫu
Chứa 0 từ tiếng Anh trong eng dict ($f_7$) 39,05% (gồm nhóm 0 và 1 từ) 0,00%
Chứa 2-3 từ tiếng Anh trong eng dict ($f_7$) 56,28% 86,43%
Chứa > 3 từ tiếng Anh trong eng dict ($f_7$) 4,70% 13,28%

Chương 3: Cài đặt và thử nghiệm

Chương 3 hiện thực hóa mô hình phát hiện và kiểm thử trên các tập dữ liệu:

  • Xây dựng tập dữ liệu: Thiết lập các tập dữ liệu huấn luyện và kiểm thử độc lập (TRAINING_DATASET, TEST_DATASET_1, TEST_DATASET_2) dựa trên thống kê Alexa, danh sách tên miền 5 họ botnet và từ điển eng dict.
  • Thực hiện tiền xử lý: Trích xuất 13 vector đặc trưng cho từng mẫu dữ liệu và chuẩn hóa ma trận đầu vào cho các thuật toán.
  • Đánh giá và so sánh mô hình: Sử dụng Ma trận nhầm lẫn (Confusion Matrix) để tính toán các chỉ số:
    • Độ chính xác tổng thể (Accuracy - ACC)
    • Tỷ lệ dương tính giả (False Positive Rate - FPR)
    • Tỷ lệ âm tính giả (False Negative Rate - FNR)
  • Đóng gói ứng dụng: So sánh hiệu năng giữa 5 thuật toán (SVM, Rừng ngẫu nhiên, kNN, Naive Bayes, Logistic Regression). Triển khai thuật toán Rừng ngẫu nhiên để xây dựng mô-đun phân loại và giao diện kiểm tra dự đoán tên miền trực quan.

Kết quả và đóng góp

Kết quả chính

  • Xác lập được bộ 13 đặc trưng định lượng phản ánh chính xác sự khác biệt về hình thái cấu trúc và từ vựng giữa tên miền word-based DGA và tên miền lành tính.
  • Chứng minh tính khả thi của việc ứng dụng các thuật toán học máy có giám sát trong phân loại tên miền DGA phức tạp mà không cần dựa vào phân tích động lưu lượng mạng.
  • Xây dựng thành công mô-đun phát hiện hoàn chỉnh ứng dụng thuật toán Rừng ngẫu nhiên (Random Forest), cho phép kiểm tra và phân loại chính xác nhãn tên miền thông qua giao diện trực tiếp.

Đóng góp của đề tài

  1. Về mặt học thuật và phương pháp: Kế thừa bộ đặc trưng tỷ lệ nguyên âm, ký tự số từ nghiên cứu của Truong và cộng sự, đồng thời mở rộng và tích hợp thêm các đặc trưng mới (độ dài chuỗi, tổng giá trị mã ASCII, và đối soát từ điển 58.000 từ eng dict) giúp tăng cường khả năng phân biệt đối với các họ botnet ngụy trang bằng từ ngữ tự nhiên.
  2. Về mặt thực tiễn: Cung cấp giải pháp phát hiện chuyên biệt cho dạng word-based DGA botnet – một kỹ thuật lẩn tránh tinh vi vốn làm vô hiệu hóa các cơ chế phát hiện character-based DGA truyền thống.

Hạn chế và hướng nghiên cứu tiếp

  • Hạn chế: Phạm vi thực nghiệm của đồ án tập trung vào 5 họ word-based DGA botnet cụ thể (Gozi, Bigviktor, Suppobox, Pizd, Matsnu). Việc phát hiện phụ thuộc vào các bộ từ điển tiếng Anh tĩnh (eng dict), do đó hiệu năng có thể suy giảm nếu botnet sử dụng từ điển ngôn ngữ khác hoặc kết hợp các cơ chế sinh tên miền hỗn hợp phức tạp (mixed DGA) chưa có trong dữ liệu huấn luyện.
  • Hướng nghiên cứu tiếp:
    • Mở rộng tập dữ liệu thực nghiệm với các họ botnet mới xuất hiện và các dạng mixed DGA.
    • Nghiên cứu kết hợp các kỹ thuật học sâu (Deep Learning) và xử lý ngôn ngữ tự nhiên (NLP) để tự động học đặc trưng ngữ cảnh của tên miền mà không phụ thuộc vào từ điển cố định.
    • Tối ưu hóa mô-đun để tích hợp vào hệ thống giám sát phân giải DNS thời gian thực trên quy mô mạng lớn.

Giá trị tham khảo

Tài liệu đồ án có giá trị tham khảo thiết thực cho:

  • Sinh viên và học viên ngành An toàn thông tin, Khoa học máy tính, Kỹ thuật mạng: Cung cấp tài liệu tham khảo chi tiết về cơ chế vận hành của botnet, thuật toán sinh tên miền DGA và kỹ thuật ứng dụng học máy trong an ninh mạng.
  • Người nghiên cứu về bảo mật hệ thống DNS và phát hiện mã độc: Tham khảo phương pháp luận phân tích thống kê trích xuất 13 đặc trưng tên miền (Chương 2), cũng như quy trình tiền xử lý, vector hóa dữ liệu và đánh giá mô hình học máy bằng ma trận nhầm lẫn (Chương 3).

Câu hỏi thường gặp

1. Kỹ thuật Word-based DGA botnet khác biệt như thế nào so với Character-based DGA botnet?

Character-based DGA tạo tên miền bằng cách kết hợp ngẫu nhiên các ký tự chữ cái và số, tạo ra các chuỗi vô nghĩa có tính ngẫu nhiên cao, không mang cấu trúc ngôn ngữ. Trong khi đó, Word-based DGA ghép 2 hoặc nhiều từ có nghĩa được chọn ngẫu nhiên từ các từ điển tiếng Anh (hoặc mô hình ngôn ngữ), tạo ra các tên miền giống với tên miền hợp pháp nhằm đánh lừa các công cụ phát hiện dựa trên độ ngẫu nhiên.

2. Bộ 13 đặc trưng trong đồ án gồm những nhóm nào và đặc trưng nào được kế thừa từ nghiên cứu trước?

Bộ 13 đặc trưng ($f_1 - f_{13}$) bao gồm: độ dài tên miền ($f_1$), tổng mã ASCII ($f_2$), số nguyên âm ($f_3$), tỷ lệ nguyên âm ($f_4$), số ký tự số và gạch nối ($f_5$), tỷ lệ ký tự số và gạch nối ($f_6$), số lượng từ thuộc từ điển eng dict 58.000 từ ($f_7$), cùng các đặc trưng từ điển và vector hóa bổ sung ($f_8 - f_{13}$). Trong đó, các đặc trưng $f_3, f_4, f_5, f_6$ được kế thừa từ nghiên cứu của Truong và cộng sự.

3. Sự khác biệt thống kê nổi bật về nguyên âm giữa 50.000 tên miền lành tính và 50.000 tên miền botnet là gì?

Trong 50.000 tên miền lành tính, có 2.322 tên miền hoàn toàn không chứa nguyên âm nào, 17.406 tên miền có dưới 3 nguyên âm và chỉ 125 tên miền có trên 10 nguyên âm. Ngược lại, ở 50.000 tên miền word-based DGA botnet, 100% tên miền đều có nguyên âm (0 mẫu có 0 nguyên âm), chỉ 1.349 tên miền có dưới 3 nguyên âm, và có tới 2.992 tên miền chứa trên 10 nguyên âm.

4. Tỷ lệ phân bố số lượng từ tiếng Anh trong từ điển eng dict giữa tên miền lành tính và tên miền botnet được ghi nhận ra sao?

Với tên miền lành tính, 39,05% số tên miền chỉ có 0 hoặc 1 từ thuộc eng dict, 56,28% có 2-3 từ, và 4,7% có trên 3 từ. Với tên miền word-based DGA botnet, không có tên miền nào chứa 0 từ, chỉ 0,28% chứa 1 từ, phần lớn tập trung ở mức 2-3 từ (chiếm 86,43%), và 13,28% chứa trên 3 từ tiếng Anh thông dụng.

5. Những thuật toán học máy nào đã được khảo sát và thuật toán nào được lựa chọn để xây dựng mô-đun phát hiện?

Đồ án khảo sát và đánh giá 5 thuật toán học máy có giám sát gồm: Support Vector Machine (SVM), K-Nearest Neighbors (kNN), Random Forest (Rừng ngẫu nhiên), Naive Bayes, và Hồi quy Logistic (Logistic Regression). Thuật toán Rừng ngẫu nhiên (Random Forest) được lựa chọn để cài đặt và đóng gói thành mô-đun phát hiện thực nghiệm trên giao diện phần mềm.

Kết luận

Đồ án tốt nghiệp của tác giả Phùng Thị Phương Thảo đã giải quyết bài toán phát hiện các mạng botnet sử dụng thuật toán sinh tên miền dựa trên từ (word-based DGA) – một hình thức lẩn tránh tinh vi trong an toàn thông tin. Thông qua việc phân tích thống kê định lượng trên tập dữ liệu lớn và xây dựng bộ 13 đặc trưng ngôn ngữ - hình thái, nghiên cứu đã đánh giá toàn diện hiệu năng của 5 thuật toán học máy có giám sát. Kết quả nghiên cứu được triển khai thành công thành mô-đun ứng dụng thực tế với thuật toán Rừng ngẫu nhiên, đóng góp cơ sở lý thuyết và công cụ thực nghiệm quan trọng cho công tác phòng chống mã độc và giám sát an ninh hệ thống DNS.