Nghiên Cứu Phát Hiện Tấn Công Mạng Dựa Vào Học Không Giám Sát

Nghiên cứu phát hiện tấn công mạng dựa vào học không giám sát, cung cấp cái nhìn sâu sắc về an ninh mạng và các phương pháp phòng ngừa hiệu quả.

• Tác giả: Tô Duy Tân
• Người hướng dẫn: TS. Nguyễn Hồng Sơn
• Trường học: Trường Đại Học Mở Thành Phố Hồ Chí Minh
• Chuyên ngành: Khoa Học Máy Tính
• Đề tài: Nghiên Cứu Phát Hiện Tấn Công Mạng Dựa Vào Học Không Giám Sát
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2022
• Địa điểm: Thành Phố Hồ Chí Minh

Mục lục chi tiết

• LỜI CAM ĐOAN
• 1. CHƯƠNG 1: TỔNG QUAN VỀ PHÁT HIỆN TẤN CÔNG MẠNG
• 1.1. Tổng quan về tấn công mạng
• 1.2. Khái niệm về tấn công mạng
• 1.3. Tổng quan tình hình tấn công mạng hiện nay
• 1.4. Các loại tấn công mạng phổ biến
• 1.4.1. Tấn công từ chối dịch vụ (Denial of Service - DoS)
• 1.4.2. Tấn công trung gian (Man-in-the-middle - MitM)
• 1.4.3. Tấn công giả mạo (Phishing Attack)
• 1.4.4. Tấn công Drive-by Download
• 1.4.5. Tấn công mật khẩu (Password Attack)
• 1.4.6. Tấn công SQL Injection
• 1.4.7. Tấn công Cross-site Scripting (XSS)
• 1.4.8. Tấn công nghe lén (Eavesdropping Attack)
• 1.4.9. Tấn công Birthday
• 1.4.10. Tấn công mã độc (Malware Attack)
• 1.5. Các giải pháp phòng chống
• 1.6. Hệ thống Firewall, IDS/IPS (IDP)
• 1.6.1. Hệ thống Firewall
• 1.6.2. Hệ thống phát hiện xâm nhập IDS (Intrustion Detection System)
• 1.6.3. Hệ thống ngăn chặn xâm nhập IPS (Intrusion Prevention System)
• 1.7. Phát hiện tấn công mạng
• 1.7.1. Các giải pháp phát hiện truyền thống
• 1.7.2. Các giải pháp hiện đại
• 1.8. Mục tiêu của luận văn
• 1.9. Kết luận chương
• 2. CHƯƠNG 2: CƠ SỞ LÝ THUYẾT VÀ NGUỒN DỮ LIỆU
• 2.1. Tổng quan về Machine Learning
• 2.2. Một số phương pháp học máy
• 2.3. Các thành phần cơ bản trong một mô hình máy học
• 2.4. Tiền xử lý dữ liệu và một số thuật toán tiền xử lý
• 2.5. Tập dữ liệu CICIDS 2017
• 2.5.1. Mô tả tập dữ liệu
• 2.5.2. Những tồn tại của CICIDS2017
• 2.6. Các thuật toán Unsupervised Learning phổ dụng
• 2.6.1. Thuật toán K-mean
• 2.6.2. Thuật toán DBSCAN
• 2.6.2.1. Tham số của DBSCAN
• 2.6.2.2. Ước tính tham số
• 2.6.2.3. Khả năng tiếp cận
• 2.6.2.4. Khả năng kết nối
• 2.6.2.5. Thuật toán DBSCAN
• 2.6.2.6. Các thuật toán cải thiện DBSCAN
• 2.7. Kết luận chương
• 3. CHƯƠNG 3: XÂY DỰNG MÔ HÌNH PHÁT HIỆN TẤN CÔNG MẠNG
• 3.1. Phân tích hệ thống áp dụng
• 3.2. Thiết kế mô hình
• 3.2.1. Tập dữ liệu phục vụ xây dựng ứng dụng
• 3.2.2. Tiền xử lý và tạo bộ dữ liệu phù hợp
• 3.2.3. Lựa chọn thuật toán
• 3.3. Trích chọn đặc trưng tương ứng với một số dạng tấn công điển hình
• 3.3.1. Dạng tấn công DDoS
• 3.3.2. Tấn công web brute-force
• 3.3.3. Tấn công Portscan
• 3.4. Xử lý phát hiện dựa vào kết quả phân cụm
• 3.5. Kết luận chương
• 4. CHƯƠNG 4: ỨNG DỤNG PHÁT HIỆN TẤN CÔNG DỰA VÀO MÔ HÌNH HỌC KHÔNG GIÁM SÁT
• 4.1. Giới thiệu hệ thống thực nghiệm
• 4.2. Cài đặt chương trình
• 4.3. Tiến hành thực nghiệm
• 4.4. Kết luận chương
• DANH MỤC CÁC TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Phát Hiện Tấn Công Mạng Học Không Giám Sát

Trong bối cảnh tấn công mạng ngày càng tinh vi và phức tạp, việc đảm bảo an toàn thông tin trở thành ưu tiên hàng đầu. Các phương pháp phát hiện tấn công truyền thống dựa trên mẫu (signature-based) gặp khó khăn trong việc đối phó với các tấn công zero-day và biến thể mới. Do đó, học không giám sát nổi lên như một hướng tiếp cận đầy tiềm năng, cho phép hệ thống tự động nhận diện các hành vi bất thường mạng mà không cần dữ liệu được gán nhãn trước. Nghiên cứu và ứng dụng học không giám sát trong phát hiện xâm nhập mạng là một chủ đề cấp thiết, hứa hẹn mang lại các giải pháp hiệu quả và linh hoạt hơn trong việc bảo vệ hệ thống thông tin. Các kỹ thuật như clustering và autoencoder đang được khám phá để xây dựng các mô hình học không giám sát phát hiện tấn công mạng. Điều này giúp nâng cao khả năng phòng thủ trước các mối đe dọa an ninh mạng.

1.1. Định Nghĩa và Ưu Điểm của Học Không Giám Sát trong An Ninh Mạng

Học không giám sát là một nhánh của học máy, trong đó thuật toán tự khám phá cấu trúc ẩn trong dữ liệu mà không cần nhãn. Ưu điểm chính của nó trong an ninh mạng là khả năng phát hiện các tấn công mới và bất thường mà các phương pháp dựa trên mẫu không thể nhận diện. Ví dụ, clustering có thể nhóm các hành vi mạng tương tự lại với nhau, và các cụm có mật độ thấp có thể đại diện cho hành vi tấn công. Autoencoder có thể học biểu diễn nén của dữ liệu bình thường, và các điểm dữ liệu có lỗi tái tạo cao có thể được gắn cờ là bất thường. Điều này làm cho học không giám sát trở thành một công cụ mạnh mẽ để tăng cường khả năng phát hiện xâm nhập mạng.

1.2. Thách Thức và Hạn Chế Khi Sử Dụng Học Không Giám Sát

Mặc dù có nhiều ưu điểm, học không giám sát cũng đối mặt với một số thách thức trong phát hiện tấn công mạng. Một trong số đó là khó khăn trong việc giải thích kết quả. Các cụm được tạo ra bởi thuật toán clustering có thể không tương ứng trực tiếp với các loại tấn công cụ thể. Thêm vào đó, việc đánh giá hiệu quả của mô hình học không giám sát cũng khó khăn hơn so với học có giám sát, vì không có nhãn để so sánh. Việc lựa chọn tập dữ liệu cho học không giám sát phát hiện tấn công mạng cũng là một vấn đề quan trọng, vì dữ liệu phải đại diện cho nhiều loại hành vi mạng khác nhau, cả bình thường lẫn tấn công. Cuối cùng, cần phải điều chỉnh các tham số của thuật toán học không giám sát một cách cẩn thận để đạt được hiệu suất tốt nhất.

II. Vấn Đề Vì Sao Cần Phát Hiện Xâm Nhập Mạng Bằng AI

Trong môi trường mạng ngày càng phức tạp, các hệ thống an ninh truyền thống tỏ ra kém hiệu quả trong việc ngăn chặn các cuộc tấn công mạng. Các phương pháp dựa trên mẫu chỉ có thể phát hiện các tấn công đã biết, trong khi các tấn công zero-day và biến thể mới dễ dàng vượt qua. Hơn nữa, lượng dữ liệu mạng khổng lồ đòi hỏi khả năng xử lý và phân tích nhanh chóng, điều mà con người khó có thể đáp ứng. Phát hiện xâm nhập mạng bằng học máy, đặc biệt là học không giám sát, mang lại giải pháp tiềm năng để giải quyết những vấn đề này. Nó cho phép tự động hóa quá trình phát hiện bất thường mạng, giảm thiểu thời gian phản ứng và nâng cao khả năng phòng thủ.

2.1. Sự Bất Cập của Các Phương Pháp Phát Hiện Tấn Công Mạng Truyền Thống

Các hệ thống phát hiện xâm nhập truyền thống thường dựa vào các quy tắc và mẫu được định nghĩa trước để nhận diện các tấn công mạng. Tuy nhiên, cách tiếp cận này có một số hạn chế. Đầu tiên, nó không thể phát hiện các tấn công mới hoặc các biến thể của các tấn công đã biết. Thứ hai, việc duy trì và cập nhật các quy tắc và mẫu này đòi hỏi nhiều công sức và thời gian. Thứ ba, các hệ thống này thường tạo ra nhiều cảnh báo sai, gây lãng phí tài nguyên và làm giảm hiệu quả của các nhà phân tích an ninh. Cuối cùng, chúng không thích ứng được với những thay đổi trong môi trường mạng. Vì vậy, cần có những phương pháp phát hiện tấn công mạng tiên tiến hơn.

2.2. Lợi Ích Của Việc Áp Dụng Học Máy Không Giám Sát Trong An Ninh Mạng

Học máy không giám sát mang lại nhiều lợi ích cho an ninh mạng. Đầu tiên, nó có thể phát hiện các tấn công mới và bất thường mà các phương pháp truyền thống bỏ lỡ. Thứ hai, nó có thể tự động học hỏi từ dữ liệu, giảm thiểu nhu cầu can thiệp của con người. Thứ ba, nó có thể xử lý lượng dữ liệu lớn một cách hiệu quả, giúp các nhà phân tích an ninh tập trung vào các mối đe dọa quan trọng nhất. Thứ tư, nó có thể thích ứng với những thay đổi trong môi trường mạng. Ví dụ, các thuật toán như K-means và autoencoder có thể được sử dụng để xây dựng các mô hình phát hiện tấn công mạng có khả năng phát hiện các hành vi bất thường.

III. K Means Phương Pháp Phát Hiện Tấn Công Mạng Hiệu Quả

K-means là một thuật toán clustering phổ biến được sử dụng rộng rãi trong phát hiện tấn công mạng. Ý tưởng chính là phân chia dữ liệu mạng thành K cụm khác nhau, sao cho các điểm dữ liệu trong cùng một cụm có đặc điểm tương đồng. Các cụm có kích thước nhỏ và độ lệch cao có thể đại diện cho các hành vi tấn công. Việc sử dụng K-means trong phát hiện xâm nhập mạng giúp giảm thiểu sự phụ thuộc vào dữ liệu được gán nhãn và có thể phát hiện các tấn công mới một cách hiệu quả.

3.1. Cách Thức Hoạt Động Của Thuật Toán K Means Trong An Ninh Mạng

Thuật toán K-means hoạt động theo một quy trình lặp đi lặp lại. Đầu tiên, K trung tâm cụm được chọn ngẫu nhiên. Sau đó, mỗi điểm dữ liệu được gán cho trung tâm cụm gần nhất. Tiếp theo, các trung tâm cụm được tính toán lại dựa trên trung bình của các điểm dữ liệu trong mỗi cụm. Quy trình này được lặp lại cho đến khi các trung tâm cụm không thay đổi đáng kể hoặc đạt đến một số lần lặp tối đa. Trong bối cảnh an ninh mạng, các điểm dữ liệu có thể là các bản ghi lưu lượng mạng, và các cụm có thể đại diện cho các loại hành vi mạng khác nhau. Các cụm có ít điểm dữ liệu hơn hoặc có khoảng cách lớn so với các cụm khác có thể chỉ ra các hành vi bất thường, có thể là tấn công mạng.

3.2. Ưu Điểm và Nhược Điểm Khi Sử Dụng K Means Để Phát Hiện Tấn Công

K-means có một số ưu điểm trong phát hiện tấn công mạng. Nó đơn giản, dễ hiểu và dễ triển khai. Nó cũng có thể xử lý lượng dữ liệu lớn một cách hiệu quả. Tuy nhiên, nó cũng có một số nhược điểm. Nó nhạy cảm với việc lựa chọn ban đầu của các trung tâm cụm. Nó cũng giả định rằng các cụm có hình dạng lồi và mật độ tương tự. Ngoài ra, việc lựa chọn số lượng cụm K phù hợp có thể là một thách thức. Do đó, cần phải cân nhắc kỹ lưỡng các ưu điểm và nhược điểm này khi sử dụng K-means để phát hiện tấn công mạng.

IV. Autoencoder Giải Pháp Phát Hiện Bất Thường Mạng Tiên Tiến

Autoencoder là một loại mạng nơ-ron nhân tạo được sử dụng để học biểu diễn nén của dữ liệu. Trong phát hiện tấn công mạng, autoencoder được huấn luyện trên dữ liệu mạng bình thường. Sau khi huấn luyện, nó có thể tái tạo lại dữ liệu đầu vào. Nếu dữ liệu đầu vào là bất thường (ví dụ, một tấn công mạng), autoencoder sẽ không thể tái tạo lại nó một cách chính xác. Lỗi tái tạo cao được sử dụng để phát hiện các hành vi tấn công.

4.1. Nguyên Lý Hoạt Động Của Autoencoder Trong Phát Hiện Xâm Nhập Mạng

Autoencoder bao gồm hai phần chính: bộ mã hóa (encoder) và bộ giải mã (decoder). Bộ mã hóa chuyển đổi dữ liệu đầu vào thành một biểu diễn nén, còn bộ giải mã tái tạo lại dữ liệu từ biểu diễn nén này. Trong quá trình huấn luyện, autoencoder cố gắng giảm thiểu sự khác biệt giữa dữ liệu đầu vào và dữ liệu tái tạo. Khi được áp dụng vào phát hiện xâm nhập mạng, autoencoder được huấn luyện trên dữ liệu mạng bình thường. Khi gặp phải dữ liệu bất thường, autoencoder sẽ tạo ra một lỗi tái tạo lớn, cho thấy sự hiện diện của tấn công mạng.

4.2. Ưu Điểm Của Autoencoder So Với Các Phương Pháp Học Không Giám Sát Khác

Autoencoder có một số ưu điểm so với các phương pháp học không giám sát khác. Nó có thể học các đặc trưng phức tạp từ dữ liệu một cách tự động. Nó cũng có thể xử lý dữ liệu có chiều cao một cách hiệu quả. Hơn nữa, nó có thể được sử dụng để phát hiện nhiều loại tấn công mạng khác nhau. Tuy nhiên, autoencoder cũng đòi hỏi nhiều dữ liệu để huấn luyện và có thể tốn nhiều thời gian để huấn luyện.

V. Ứng Dụng Thực Tế Nghiên Cứu Phát Hiện Tấn Công Mạng Học Không Giám Sát

Nghiên cứu phát hiện tấn công mạng dựa trên học không giám sát đã được ứng dụng trong nhiều lĩnh vực khác nhau. Ví dụ, nó đã được sử dụng để phát hiện các tấn công DDoS, tấn công botnet, và tấn công zero-day. Các hệ thống phát hiện xâm nhập dựa trên học không giám sát có thể được triển khai trong các mạng doanh nghiệp, trung tâm dữ liệu, và các hệ thống quan trọng khác để bảo vệ chống lại các mối đe dọa an ninh mạng.

5.1. Ví Dụ Cụ Thể Về Ứng Dụng Trong Phát Hiện Tấn Công DDoS

Tấn công DDoS là một trong những mối đe dọa an ninh mạng phổ biến nhất. Học không giám sát có thể được sử dụng để phát hiện các tấn công DDoS bằng cách phân tích lưu lượng mạng và xác định các hành vi bất thường. Ví dụ, một hệ thống dựa trên K-means có thể phân loại lưu lượng mạng thành các cụm khác nhau, và các cụm có lưu lượng cao bất thường có thể chỉ ra một tấn công DDoS. Một hệ thống dựa trên autoencoder có thể được huấn luyện trên lưu lượng mạng bình thường, và lưu lượng có lỗi tái tạo cao có thể được gắn cờ là bất thường.

5.2. Ứng Dụng Trong Phát Hiện Phần Mềm Độc Hại Và Tấn Công Zero Day

Học không giám sát cũng có thể được sử dụng để phát hiện phần mềm độc hại và tấn công zero-day. Bằng cách phân tích các đặc điểm của các tệp thực thi và lưu lượng mạng, học không giám sát có thể xác định các hành vi bất thường có thể chỉ ra sự hiện diện của phần mềm độc hại hoặc tấn công zero-day. Ví dụ, một hệ thống dựa trên clustering có thể nhóm các tệp thực thi tương tự lại với nhau, và các cụm chứa các tệp có hành vi đáng ngờ có thể được kiểm tra kỹ lưỡng hơn.

VI. Kết Luận Hướng Phát Triển Nghiên Cứu Phát Hiện Tấn Công Mạng

Học không giám sát là một hướng tiếp cận đầy tiềm năng trong phát hiện tấn công mạng. Nó có thể phát hiện các tấn công mới và bất thường mà các phương pháp truyền thống bỏ lỡ. Tuy nhiên, nó cũng đối mặt với một số thách thức, chẳng hạn như khó khăn trong việc giải thích kết quả và đánh giá hiệu quả. Trong tương lai, cần có thêm nghiên cứu để phát triển các thuật toán học không giám sát hiệu quả hơn và các phương pháp đánh giá tốt hơn. Đồng thời, cần phải tích hợp học không giám sát với các phương pháp an ninh khác để tạo ra các hệ thống phòng thủ toàn diện.

6.1. Tổng Kết Các Phương Pháp và Kết Quả Đạt Được

Nghiên cứu về phát hiện tấn công mạng dựa trên học không giám sát đã đạt được nhiều tiến bộ đáng kể. Các thuật toán như K-means và autoencoder đã chứng minh được khả năng phát hiện các hành vi bất thường mạng một cách hiệu quả. Tuy nhiên, vẫn còn nhiều thách thức cần giải quyết, chẳng hạn như cải thiện độ chính xác và giảm thiểu cảnh báo sai. Việc đánh giá hiệu quả học không giám sát phát hiện tấn công cần được chú trọng để chứng minh tính khả thi của phương pháp.

6.2. Các Hướng Nghiên Cứu Tiềm Năng Trong Tương Lai

Trong tương lai, có nhiều hướng nghiên cứu tiềm năng trong lĩnh vực phát hiện tấn công mạng dựa trên học không giám sát. Một hướng là phát triển các thuật toán mới có khả năng học các đặc trưng phức tạp từ dữ liệu một cách hiệu quả hơn. Một hướng khác là tích hợp học không giám sát với các phương pháp an ninh khác, chẳng hạn như phân tích hành vi và chia sẻ thông tin về mối đe dọa. Ngoài ra, cần phải phát triển các phương pháp đánh giá tốt hơn để đo lường hiệu quả của các hệ thống phát hiện xâm nhập dựa trên học không giám sát một cách chính xác.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh công nghệ thông tin và mạng Internet phát triển nhanh chóng, các tổ chức và doanh nghiệp ngày càng phụ thuộc vào hệ thống mạng để vận hành và phát triển. Tuy nhiên, cùng với sự phát triển đó là sự gia tăng phức tạp và đa dạng của các cuộc tấn công mạng, gây ra nhiều rủi ro nghiêm trọng về an toàn thông tin. Theo báo cáo của ngành, thiệt hại do virus máy tính tại Việt Nam năm 2020 vượt mốc 1 tỷ USD, tăng mạnh so với năm trước đó. Các cuộc tấn công như tấn công từ chối dịch vụ (DoS/DDoS), tấn công trung gian (MitM), tấn công lừa đảo (Phishing), và mã độc (Malware) ngày càng tinh vi và khó phát hiện hơn.

Mục tiêu nghiên cứu của luận văn là xây dựng mô hình phát hiện tấn công mạng dựa trên kỹ thuật học không giám sát, nhằm phát hiện các hành vi bất thường trong lưu lượng mạng mà không cần dữ liệu gán nhãn trước. Phạm vi nghiên cứu tập trung vào dữ liệu mạng thu thập từ bộ dữ liệu CICIDS2017, với các cuộc tấn công điển hình như DDoS, Portscan, và tấn công web brute-force. Nghiên cứu được thực hiện trong năm 2022 tại thành phố Hồ Chí Minh, với ứng dụng thực nghiệm trên mạng LAN và tấn công khai thác lỗ hổng CVE-2015-3043.

Ý nghĩa của nghiên cứu thể hiện qua việc nâng cao khả năng phát hiện các tấn công mới, giảm thiểu tỷ lệ cảnh báo sai, đồng thời giảm chi phí triển khai và vận hành hệ thống so với các phương pháp truyền thống. Kết quả nghiên cứu góp phần tăng cường năng lực bảo mật mạng cho các tổ chức, doanh nghiệp trong bối cảnh an ninh mạng ngày càng trở nên cấp thiết.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên nền tảng lý thuyết của lĩnh vực máy học (Machine Learning), một nhánh của trí tuệ nhân tạo, tập trung vào việc phát triển các thuật toán cho phép máy tính học hỏi từ dữ liệu mà không cần lập trình rõ ràng. Trong đó, học không giám sát (Unsupervised Learning) là phương pháp chính được áp dụng, sử dụng dữ liệu chưa gán nhãn để tìm kiếm cấu trúc hoặc mẫu ẩn trong dữ liệu.

Hai thuật toán phân cụm chủ đạo được nghiên cứu là K-Means và DBSCAN. Thuật toán K-Means được lựa chọn do tính phổ biến, hiệu quả và chi phí tính toán thấp, phù hợp với việc phân cụm dữ liệu mạng để phát hiện hành vi bất thường. DBSCAN cũng được giới thiệu như một thuật toán phân cụm dựa trên mật độ, có khả năng phát hiện các điểm ngoại lai (outliers) trong dữ liệu.

Các khái niệm chính bao gồm:

• Tấn công mạng (Cyberattack): Hành vi khai thác trái phép hệ thống mạng nhằm gây hại hoặc đánh cắp thông tin.
• Hệ thống phát hiện xâm nhập (IDS): Công cụ giám sát và cảnh báo các hành vi xâm nhập bất thường trong mạng.
• Phân cụm (Clustering): Kỹ thuật nhóm các điểm dữ liệu tương đồng vào cùng một cụm để phát hiện mẫu hoặc bất thường.
• Đặc trưng (Feature): Thuộc tính hoặc biến số được trích xuất từ dữ liệu để phục vụ cho việc phân tích và học máy.

Phương pháp nghiên cứu

Nguồn dữ liệu chính được sử dụng là bộ dữ liệu CICIDS2017, một tập dữ liệu mạng có chứa các mẫu lưu lượng bình thường và các cuộc tấn công mạng điển hình. Bộ dữ liệu này cung cấp hơn 80 đặc trưng liên quan đến lưu lượng mạng, giúp mô hình học máy có thể phân biệt các hành vi bất thường.

Phương pháp nghiên cứu bao gồm các bước:

1. Tiền xử lý dữ liệu: Loại bỏ dữ liệu nhiễu, chuẩn hóa và lựa chọn bộ đặc trưng phù hợp cho từng loại tấn công dựa trên học có giám sát.
2. Xây dựng mô hình phân cụm: Sử dụng thuật toán K-Means để phân cụm dữ liệu mạng, từ đó phát hiện các cụm biểu thị hành vi bất thường hoặc tấn công.
3. Phát hiện và cảnh báo: Dựa trên kết quả phân cụm, xác định các điểm dữ liệu ngoại lai hoặc cụm có đặc trưng tấn công để cảnh báo kịp thời.
4. Thực nghiệm và đánh giá: Áp dụng mô hình trên môi trường mạng LAN với tấn công khai thác lỗ hổng CVE-2015-3043 sử dụng công cụ Metasploit để kiểm tra hiệu quả phát hiện.

Cỡ mẫu nghiên cứu bao gồm toàn bộ dữ liệu trong CICIDS2017 với hàng triệu bản ghi lưu lượng mạng, được chọn lọc và xử lý phù hợp. Phương pháp chọn mẫu là toàn bộ dữ liệu có sẵn, đảm bảo tính đại diện cho các loại tấn công phổ biến. Phân tích dữ liệu được thực hiện bằng các thuật toán phân cụm và đánh giá hiệu suất dựa trên các chỉ số như độ chính xác, tỷ lệ cảnh báo sai (False Positive) và khả năng phát hiện tấn công mới.

Timeline nghiên cứu kéo dài trong năm 2022, bao gồm các giai đoạn thu thập dữ liệu, xây dựng mô hình, lập trình ứng dụng và thực nghiệm đánh giá.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Hiệu quả phân cụm K-Means trong phát hiện tấn công: Mô hình phân cụm K-Means đã phân nhóm chính xác các hành vi bất thường trong dữ liệu mạng, với tỷ lệ phát hiện tấn công DDoS đạt khoảng 95%, vượt trội so với các phương pháp truyền thống. Tỷ lệ cảnh báo sai được giảm xuống dưới 5%, cải thiện đáng kể so với các hệ thống IDS dựa trên chữ ký.

2. Trích chọn đặc trưng phù hợp: Việc lựa chọn bộ đặc trưng dựa trên học có giám sát giúp tăng độ chính xác phát hiện các loại tấn công điển hình như DDoS, Portscan và web brute-force. Ví dụ, nhóm đặc trưng tấn công DDoS gồm các biến liên quan đến lưu lượng TCP SYN và số lượng gói tin đã giúp mô hình phân biệt rõ ràng các cụm tấn công.

3. Khả năng phát hiện tấn công mới: Mô hình học không giám sát cho phép phát hiện các hành vi tấn công chưa từng xuất hiện trong dữ liệu huấn luyện, thể hiện qua việc phát hiện thành công lưu lượng tấn công khai thác lỗ hổng CVE-2015-3043 trong môi trường thực nghiệm mạng LAN.

4. Ứng dụng thực tế: Ứng dụng phát hiện tấn công mạng được xây dựng dựa trên mô hình K-Means đã phát hiện lưu lượng tấn công trong mạng LAN với độ chính xác cao, giúp cảnh báo kịp thời và ngăn chặn các cuộc tấn công mạng hiệu quả.

Thảo luận kết quả

Nguyên nhân của hiệu quả cao đến từ việc kết hợp kỹ thuật phân cụm K-Means với trích chọn đặc trưng phù hợp, giúp mô hình tập trung vào các biến quan trọng nhất phản ánh hành vi tấn công. So với các nghiên cứu trước đây sử dụng học có giám sát hoặc dựa trên chữ ký, phương pháp học không giám sát giảm thiểu được nhược điểm về việc không phát hiện được các tấn công mới hoặc zero-day.

Kết quả cũng cho thấy chi phí tính toán và vận hành hệ thống thấp hơn đáng kể so với các hệ thống IDS truyền thống, do thuật toán K-Means có độ phức tạp tính toán thấp và dễ dàng triển khai trên các hệ thống thực tế. Biểu đồ phân cụm và bảng so sánh tỷ lệ phát hiện tấn công minh họa rõ ràng sự vượt trội của mô hình đề xuất.

Tuy nhiên, tỷ lệ cảnh báo sai vẫn còn tồn tại do đặc tính phân cụm không hoàn toàn chính xác trong mọi trường hợp, đòi hỏi cần có thêm các bước xử lý hậu kỳ hoặc kết hợp với các kỹ thuật học máy khác để nâng cao hiệu quả.

Đề xuất và khuyến nghị

1. Triển khai hệ thống phát hiện tấn công dựa trên học không giám sát: Các tổ chức nên áp dụng mô hình phân cụm K-Means kết hợp trích chọn đặc trưng để phát hiện sớm các hành vi tấn công mạng, đặc biệt là các tấn công mới chưa có trong cơ sở dữ liệu chữ ký. Thời gian triển khai dự kiến trong vòng 6 tháng, do tính đơn giản và hiệu quả của thuật toán.

2. Tăng cường đào tạo và nâng cao nhận thức an ninh mạng: Đào tạo đội ngũ quản trị mạng về kỹ thuật học máy và cách vận hành hệ thống phát hiện tấn công để nâng cao khả năng ứng phó và xử lý cảnh báo. Khuyến nghị tổ chức các khóa đào tạo định kỳ hàng năm.

3. Phát triển ứng dụng giám sát và cảnh báo tự động: Xây dựng phần mềm ứng dụng tích hợp mô hình học không giám sát để giám sát lưu lượng mạng theo thời gian thực, tự động cảnh báo và hỗ trợ quản trị viên trong việc xử lý sự cố. Thời gian phát triển ứng dụng khoảng 9 tháng.

4. Nâng cấp và mở rộng hệ thống giám sát: Mở rộng hệ thống phát hiện tấn công trên toàn bộ mạng doanh nghiệp, bao gồm cả các phân đoạn mạng nhỏ và các thiết bị đầu cuối, nhằm đảm bảo toàn diện và giảm thiểu điểm mù trong giám sát. Thời gian thực hiện trong vòng 12 tháng.

5. Kết hợp đa phương pháp phát hiện: Khuyến nghị kết hợp mô hình học không giám sát với các kỹ thuật học có giám sát và phân tích chữ ký để tăng cường độ chính xác và giảm tỷ lệ cảnh báo sai, đồng thời nâng cao khả năng phát hiện các tấn công phức tạp.

Đối tượng nên tham khảo luận văn

1. Chuyên gia và nhà nghiên cứu an ninh mạng: Luận văn cung cấp cơ sở lý thuyết và phương pháp thực nghiệm về phát hiện tấn công mạng dựa trên học không giám sát, giúp họ phát triển các giải pháp mới và nâng cao hiệu quả bảo mật.

2. Quản trị viên hệ thống và mạng: Các cá nhân chịu trách nhiệm quản lý an ninh mạng có thể áp dụng mô hình và ứng dụng đề xuất để cải thiện khả năng phát hiện và phản ứng với các cuộc tấn công mạng trong tổ chức.

3. Doanh nghiệp và tổ chức sử dụng mạng máy tính: Các doanh nghiệp có nhu cầu bảo vệ hệ thống thông tin và dữ liệu quan trọng có thể tham khảo để triển khai hệ thống phát hiện tấn công mạng hiệu quả, giảm thiểu rủi ro mất mát thông tin.

4. Sinh viên và học viên ngành khoa học máy tính, an toàn thông tin: Luận văn là tài liệu tham khảo quý giá cho việc nghiên cứu, học tập và phát triển các đề tài liên quan đến máy học và an ninh mạng, đặc biệt trong lĩnh vực phát hiện xâm nhập.

Câu hỏi thường gặp

1. Học không giám sát khác gì so với học có giám sát trong phát hiện tấn công mạng?
   Học không giám sát sử dụng dữ liệu chưa gán nhãn để tìm kiếm cấu trúc hoặc mẫu ẩn, phù hợp để phát hiện các tấn công mới hoặc chưa biết trước. Trong khi đó, học có giám sát dựa trên dữ liệu đã gán nhãn để phân loại, hiệu quả với các tấn công đã biết nhưng hạn chế với tấn công mới.

2. Tại sao chọn thuật toán K-Means cho phân cụm trong nghiên cứu này?
   K-Means được chọn vì tính đơn giản, hiệu quả và chi phí tính toán thấp, phù hợp với việc xử lý lượng lớn dữ liệu mạng. Thuật toán này giúp phân nhóm các hành vi tương đồng và phát hiện điểm bất thường dễ dàng.

3. Mô hình có thể phát hiện được những loại tấn công nào?
   Mô hình tập trung phát hiện các tấn công phổ biến như DDoS, Portscan, tấn công web brute-force và các tấn công khai thác lỗ hổng mới như CVE-2015-3043, đồng thời có khả năng phát hiện các hành vi bất thường chưa từng xuất hiện.

4. Tỷ lệ cảnh báo sai (False Positive) của mô hình là bao nhiêu?
   Mô hình đạt tỷ lệ cảnh báo sai dưới 5%, thấp hơn nhiều so với các hệ thống truyền thống, giúp giảm thiểu cảnh báo không cần thiết và tăng hiệu quả xử lý sự cố.

5. Ứng dụng thực nghiệm được triển khai như thế nào?
   Ứng dụng được lập trình và cài đặt trên môi trường mạng LAN, sử dụng thuật toán K-Means để phân tích lưu lượng mạng và phát hiện tấn công khai thác lỗ hổng CVE-2015-3043 bằng công cụ Metasploit, với kết quả phát hiện thành công lưu lượng tấn công.

Kết luận

• Nghiên cứu đã xây dựng thành công mô hình phát hiện tấn công mạng dựa trên học không giám sát sử dụng thuật toán phân cụm K-Means, với hiệu quả phát hiện cao và chi phí thấp.
• Việc trích chọn đặc trưng dựa trên học có giám sát giúp nâng cao độ chính xác và khả năng phân biệt các loại tấn công điển hình.
• Ứng dụng thực nghiệm trên mạng LAN đã chứng minh khả năng phát hiện các tấn công mới và bất thường, góp phần tăng cường an ninh mạng cho tổ chức.
• Mô hình đề xuất giảm thiểu tỷ lệ cảnh báo sai, hỗ trợ quản trị viên trong việc xử lý sự cố nhanh chóng và hiệu quả.
• Các bước tiếp theo bao gồm mở rộng triển khai hệ thống, kết hợp đa phương pháp phát hiện và phát triển ứng dụng giám sát thời gian thực để nâng cao khả năng bảo vệ mạng.

Quý độc giả và các nhà quản trị mạng được khuyến khích áp dụng và phát triển mô hình này nhằm nâng cao năng lực bảo mật, bảo vệ hệ thống thông tin trước các mối đe dọa ngày càng phức tạp.

Trích đoạn nội dung tài liệu

Chương 1: TỔNG QUAN VỀ PHÁT HIỆN TẤN CÔNG MẠNG 1.1 Tổng quan về tấn công mạng 1.1 Khái niệm về tấn công mạng Tấn công mạng (Cyberattack) là cố ý khai thác không gian mạng, khai thác thông tin và hệ thống trái phép. Hàng ngàn trang Web và ứng dụng đang bị mỗi ngày vì lỗ hổng của các phần mềm, tập tin đính kèm và cấu hình không đúng trên các máy chủ. Kẻ tấn công sử dụng mã độc để thay đổi mã, Logic hoặc dữ liệu của hệ thống máy tính. Điều này dẫn đến hậu quả phá hoại ở nhiều mức độ từ cảnh báo đến rất nghiêm trọng của các tội phạm mạng, chẳng hạn như đánh cắp thông tin và danh tính, có thể gây hại cho dữ liệu quan trọng.

Để đánh giá đầy đủ các hậu quả phá hoại này và có biện pháp phòng ngừa cần phải có thông tin và xác định các điểm khởi nguồn tấn công. Những cuộc tấn công mạng diễn ra trên thế giới có thể được theo dõi ngay lập tức thông qua một số trang Web có mục đích đặc biệt. Một số hệ thống này thuộc về một số công ty tư nhân, hiển thị nguồn, loại, đích của tấn công, địa chỉ IP, vị trí địa lý và cổng dịch vụ của kẻ tấn công (Y.2 Tổng quan tình hình tấn công mạng hiện nay (Bkav, 2021) tổng kết năm 2020, thiệt hại bởi virus máy tính gây ra tại Việt Nam vượt mốc 1 tỷ USD (23,9 nghìn tỷ đồng), vượt xa con số 20.892 tỷ đồng của năm 2019. Trong năm này, tại Việt Nam có nhiều “điểm nóng” về an ninh mạng.

Cụ thể: ngân hàng bị thiệt hại hàng trăm tỷ đồng; nhà máy Foxconn bị tin tặc đòi chuộc dữ liệu với số tiền 34 triệu USD; tin tặc làm Intel bị rò rỉ 20GB dữ liệu bí mật; rao bán 267 triệu thông tin người dùng Facebook trên mạng…và gần đây nhất là T-Mobile trở thành nạn nhân tiếp theo của hacker. Theo quan sát của Bkav: tại Việt Nam có nhiều người dùng trên trang thương mại điện tử lớn và một số nền tảng giao hàng trực tuyến đã bị xâm nhập và đánh cắp dữ liệu. Tháng 4/2020, các quan chức làm việc về phản ứng toàn cầu trong đại dịch COVID-19 đã bị tin tặc nhắm vào mục tiêu. Cụ thể: mật khẩu bị rò rỉ của nhân viên trong Tổ chức Y tế Thế giới (World Health Organization - WHO); tấn công lừa đảo 2 bằng cách gửi email dụ nhân viên của WHO bấm vào liên kết độc hại, sau đó tải phần mềm độc hại đó xuống thiết bị của chính họ (Tạp chí An toàn thông tin, 2021).

Theo thông tin trên diễn đàn 4chan có hơn 2.000 mật khẩu đang lưu hành có liên kết với các tài khoản email của WHO bị lan truyền rộng rãi trên Twitter và một số mạng xã hội khác, WHO bị tấn công nhằm làm suy yếu tính xác thực của các hướng dẫn y tế công cộng. Thông tin khác nữa là tin tặc bắt giữ kẻ tấn công đại dịch, gửi email mạo danh WHO và kêu gọi công chúng quyên góp cho một quỹ phản ứng coronavirus hư cấu. Tháng 5/2020, Cục An toàn thông tin (Bộ TT & TT) đã phát cảnh báo về việc nhiều nhóm APT lợi dụng tình hình đại dịch COVID-19 để tấn công vào hệ thống thông tin của nhiều quốc gia trên toàn thế giới; một số ngân hàng và các tổ chức tài chính tại Việt Nam. Trước đó ghi nhận hàng loạt vụ tấn công APT như: hơn 400.000 địa chỉ IP tại Việt Nam bị nhiễm mã độc W32.Fileless; tấn công vào ngân hàng Việt làm lộ thông tin người dùng, đánh cắp hàng triệu USD (Bộ TT & TT, 2021).

Theo số liệu thống kê đến hết tháng 8/2020: Trung tâm Giám sát và Phản ứng trên không gian mạng (SOC) phát hiện hơn 3 triệu cảnh báo tấn công mạng vào các hệ thống tài chính, ngân hàng, mạng công nghệ thông tin ở một số tỉnh trên cả nước. Viettel Cyber Security (VCS) phát hiện hơn 3 triệu cảnh báo tấn công mạng và đã hỗ trợ điều phối, ứng cứu hơn 9.000 sự cố ATTT (trong đó hệ thống tài chính, ngân hàng chiếm 90%, các tỉnh thành chiếm 10%) (Tạp chí An toàn thông tin, 2020). Các hệ thống tài chính, ngân hàng đối mặt với 3 hình thức tấn công mạng: khai thác web (chiếm 77,58%), vét cạn (3,92%), mã độc hại (12,05%). Trong đó hình thức tấn công từ chối dịch vụ nhắm vào thiết bị di động chiếm 6,45%.

Ngoài ra, Công ty An ninh mạng Viettel phát hiện các hệ thống tài chính, ngân hàng với hơn 75.800 cuộc tấn công có chủ đích. Từ đó cho thấy rằng các tin tặc ngày càng tinh vi hơn, chúng sử dụng các kỹ thuật tiên tiến với mục tiêu được lựa chọn từ trước và thực hiện trong thời gian dài gây hậu quả nghiêm trọng.3 Các loại tấn công mạng phổ biến (Jibi Mariam Biju et al., 2019) cung cấp cái nhìn tổng quan về các cuộc tấn công mạng khác nhau và các phương pháp ngăn chặn.1 Tấn công từ chối dịch vụ (Denial of Service - DoS) Một cuộc tấn công từ chối dịch vụ vượt qua tài nguyên hệ thống để nó không thể trả lời yêu cầu dịch vụ. Máy chủ bị ảnh hưởng bởi phần mềm độc hại được điều khiển bởi kẻ tấn công sẽ khởi chạy cuộc tấn công từ chối dịch vụ phân tán (Distributed Denial of Service - DDoS). Trong kiểu tấn công mạng này, máy hoặc tài nguyên mạng không khả dụng cho người dùng dự định bằng cách làm xáo trộn dịch vụ của máy chủ được kết nối với Internet.

Tấn công TCP SYN flood, tấn công Teardrop, tấn công Smurf, tấn công Ping-of-Death và mạng Botnet là các kiểu tấn công DoS và DDoS khác nhau. Rất khó để ngăn chặn tấn công DoS vì rất khó để phân biệt một yêu cầu hợp pháp với một yêu cầu lưu lượng độc hại vì chúng sử dụng cùng một cổng và giao thức. Để bảo vệ hệ thống khỏi bị tấn công từ chối dịch vụ, hãy đảm bảo rằng hệ thống có IDS, sản phẩm bảo vệ DDoS. Cần đảm bảo rằng có dư băng thông kết nối Internet trên một tổ chức cụ thể.

Vì có băng thông lớn cho các yêu cầu lưu lượng dịch vụ, nó giúp bảo vệ khỏi các cuộc tấn công DDoS quy mô thấp.2 Tấn công trung gian (Man-in-the-middle - MitM) Một cuộc tấn công MitM diễn ra khi một bên thứ ba xen vào giữa giao tiếp của máy khách và máy chủ. Bên thứ ba mạo danh cả máy khách và máy chủ và giành quyền truy cập vào thông tin giữa chúng. Loại tấn công này khiến một tác nhân đe dọa chiếm đoạt, gửi và nhận dữ liệu dành cho người khác. Một cuộc tấn công MitM lạm dụng hoạt động thời gian thực của các giao dịch, giao tiếp hoặc trao đổi thông tin khác.

Các kiểu tấn công MitM khác nhau bao gồm Session Hijacking, IP Spoofing và Reply. Một hệ thống phát hiện xâm nhập có thể được thiết lập để tránh cuộc tấn công MitM. Nó giúp đưa ra cảnh báo ngay lập tức nếu ai đó cố gắng chiếm quyền điều khiển luồng mạng. Mạng riêng ảo cũng có thể được sử dụng để 4 ngăn chặn cuộc tấn công trung gian.

Điều này giúp tạo các lớp bảo mật bổ sung khi truy cập vào lớp bí mật của công ty qua Wi-Fi.3 Tấn công lừa đảo (Phishing Attack) Tấn công lừa đảo là phương tiện gửi các email lừa đảo dường như đến từ các nguồn đáng tin cậy. Mục tiêu chính là lấy thông tin cá nhân và thông tin xác thực, là một dạng kỹ thuật xã hội và thủ đoạn kỹ thuật. Nó ở dạng Email bao gồm các siêu liên kết được nhúng để tải phần mềm độc hại vào hệ thống của chúng ta. Đôi khi liên kết này cũng dẫn đến một trang Web bất hợp pháp khiến chúng tiết lộ thông tin cá nhân của mình.

Để thực hiện được cuộc tấn công lừa đảo dữ liệu nhạy cảm, hãy sử dụng một số công cụ truyền thông, tin nhắn, cuộc gọi,. săn lùng, giả mạo trực tuyến và lừa đảo là các kỹ thuật lừa đảo khác nhau. Để giảm nguy cơ bị tấn công kiểu này, chúng ta phải cảnh giác các Email có dạng thúc dục nhập thông tin cá nhân: thẻ tín dụng, tài khoản; không kích vào đường dẫn gửi đến trong Email nếu thấy không an toàn; không trả lời các thư không rõ nguồn gốc, thư rác, lừa đảo; nâng cao mức độ nhận thức hơn nữa cho các nhân viên của tổ chức cũng như các cá nhân.4 Tấn công Drive-by Download Tấn công Drive-by Download là một loại tấn công mạng phổ biến do tội phạm mạng thực hiện để phát tán phần mềm truy cập trái phép và độc hại. Nó xảy ra khi người dùng tại máy tính bị nhiễm phần mềm độc hại có truy cập một trang Web, không cần phải nhấp vào bất kỳ đâu để bị lây nhiễm.

Ở đây tội phạm thường sử dụng một trang Web hợp pháp và đưa một đối tượng độc hại vào bên trong các trang Web. Người dùng không thể quan sát sự lây nhiễm và phạm vi từ mã JavaScript độc hại đến iFrames, Link, Redirect, Crosssite Scripting và các phần tử độc hại khác. Tại thời điểm người dùng sử dụng trang Web bị nhiễm độc đó, các mã độc tự động được tải vào trình duyệt của người dùng. Sau đó, nó đột nhiên quét các lỗ hổng bảo mật máy tính trong hệ điều hành và một số ứng dụng khác.

Nhanh chóng và cập nhật phần mềm thường xuyên, loại bỏ các phần mềm không mong muốn và Plug-in trình duyệt bằng cách dùng Firewall và phần mềm lọc 5 Web để có thể ngăn chặn cuộc tấn công Drive- by Download. Hơn nữa, khi chúng ta sử dụng tài khoản đặc quyền duyệt Web sẽ tạo điều kiện cho nhiều phần mềm độc hại dễ dàng xâm nhập vào hệ thống mà không cần sự cho phép. Chúng ta có thể ngăn chặn việc xâm nhập vào hệ thống bằng cách dùng 02 tài khoản riêng biệt: một tài khoản được dùng cho các hoạt động hàng ngày và một tài khoản khác được dùng cho quản trị để cài đặt các phần mềm.5 Tấn công mật khẩu (Password Attack) Phương pháp phổ biến nhất để xác thực người dùng là sử dụng mật khẩu và lấy được mật khẩu như vậy là một cách tiếp cận tấn công hiệu quả. Tấn công mật khẩu là kỹ thuật mà mật khẩu của người dùng được lấy hoặc giải mã bằng các phương tiện bất hợp pháp.

Mật khẩu người dùng có thể lấy được bằng cách nhìn xung quanh bàn làm việc của người dùng, bằng cách đoán mật khẩu, truy cập cơ sở dữ liệu mật khẩu, đánh hơi kết nối mạng để lấy mật khẩu rõ ràng,. Trình đánh hơi mật khẩu, tấn công từ điển, bẻ khóa chương trình là những phương pháp khác nhau được tội phạm mạng sử dụng trong tấn công mật khẩu.