Nghiên Cứu Phương Pháp Phát Hiện Mã Độc Dựa Trên Hành Vi Sử Dụng Học Máy

Nghiên cứu về phát hiện mã độc dựa trên hành vi sử dụng học máy đang trở thành một lĩnh vực quan… 54 trang · Học viện Công nghệ Bưu chính Viễn thông · 2021.

• Tác giả: Nguyễn Thị Hoa
• Người hướng dẫn: TS. Đỗ Xuân Chợ
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Nghiên Cứu Phương Pháp Phát Hiện Mã Độc Dựa Trên Hành Vi Sử Dụng Học Máy
• Loại tài liệu: Đồ án tốt nghiệp
• Năm xuất bản: 2021
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CẢM ƠN
• NHẬN XÉT, ĐÁNH GIÁ, CHO ĐIỂM (CỦA NGƯỜI HƯỚNG DẪN)
• NHẬN XÉT, ĐÁNH GIÁ, CHO ĐIỂM (CỦA NGƯỜI PHẢN BIỆN)
• MỤC LỤC
• DANH MỤC BẢNG
• DANH MỤC HÌNH ẢNH
• DANH MỤC CÁC TỪ VÀ THUẬT NGỮ VIẾT TẮT
• 1. CHƯƠNG 1: TỔNG QUAN VỀ MÃ ĐỘC VÀ PHƯƠNG PHÁP PHÁT HIỆN
• 1.1. Tổng quan về mã độc
• 1.2. Khái niệm về mã độc
• 1.3. Phân loại mã độc
• 1.4. Các nguy cơ về An toàn thông tin liên quan đến mã độc
• 1.5. Kết chương
• 2. CHƯƠNG 2: PHƯƠNG PHÁP PHÁT HIỆN MÃ ĐỘC TRÊN MÁY TRẠM SỬ DỤNG HỌC MÁY
• 2.1. Tổng quan phương pháp tiếp cận
• 2.2. Phương pháp tổng hợp và trích xuất hành vi mã độc
• 2.3. Kiến trúc mô hình
• 2.4. Xây dựng Nơ-ron sơ tiến trình
• 2.5. Tổng hợp và trích xuất thuộc tính dựa trên mô hình Sqn2Vec
• 2.6. Tổng hợp và trích xuất thuộc tính dựa trên mô hình Graph2Vec
• 2.7. Phương pháp phát hiện mã độc
• 2.8. Multi-layer Perceptron (MLP)
• 2.9. Kết chương
• 3. CHƯƠNG 3: THỰC NGHIỆM VÀ ĐÁNH GIÁ
• 3.1. Kịch bản thử nghiệm
• 3.2. Một số kết quả thực nghiệm
• 3.3. Kết quả thực nghiệm kịch bản 1
• 3.4. Kết quả thực nghiệm kịch bản 2
• DANH MỤC TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Nghiên Cứu Phương Pháp Phát Hiện Mã Độc

Nghiên cứu về phát hiện mã độc dựa trên hành vi sử dụng học máy đang trở thành một lĩnh vực quan trọng trong an ninh mạng. Sự gia tăng của các cuộc tấn công mạng đã thúc đẩy nhu cầu phát triển các phương pháp mới để phát hiện và ngăn chặn mã độc. Các phương pháp truyền thống như dựa vào signature đã không còn đủ hiệu quả. Do đó, việc áp dụng học máy để phân tích hành vi người dùng và phát hiện mã độc là một giải pháp tiềm năng.

1.1. Khái Niệm Về Mã Độc Và Hành Vi Sử Dụng

Mã độc là phần mềm được thiết kế để gây hại cho hệ thống máy tính. Hành vi sử dụng của người dùng có thể cung cấp thông tin quý giá để phát hiện mã độc. Việc phân tích hành vi này giúp nhận diện các mẫu hành vi bất thường, từ đó phát hiện mã độc hiệu quả hơn.

1.2. Tầm Quan Trọng Của Học Máy Trong An Ninh Mạng

Học máy cung cấp khả năng phân tích dữ liệu lớn và phát hiện các mẫu hành vi phức tạp. Các thuật toán học máy có thể học từ dữ liệu lịch sử để phát hiện các hành vi bất thường, giúp nâng cao khả năng phát hiện mã độc và bảo vệ hệ thống.

II. Vấn Đề Và Thách Thức Trong Phát Hiện Mã Độc

Mặc dù có nhiều tiến bộ trong việc phát hiện mã độc, nhưng vẫn tồn tại nhiều thách thức. Các phương pháp hiện tại thường gặp khó khăn trong việc phát hiện các biến thể mới của mã độc. Hơn nữa, việc phân tích hành vi người dùng cũng có thể dẫn đến nhiều sai sót nếu không được thực hiện chính xác.

2.1. Hạn Chế Của Các Phương Pháp Truyền Thống

Các phương pháp phát hiện mã độc truyền thống như signature-based thường không thể phát hiện được các biến thể mới. Điều này dẫn đến việc mã độc có thể xâm nhập mà không bị phát hiện, gây ra thiệt hại lớn cho hệ thống.

2.2. Khó Khăn Trong Phân Tích Hành Vi Người Dùng

Phân tích hành vi người dùng là một nhiệm vụ phức tạp. Các hành vi bình thường có thể bị nhầm lẫn với hành vi bất thường, dẫn đến việc phát hiện sai. Điều này yêu cầu các thuật toán học máy phải được tối ưu hóa để giảm thiểu sai sót.

III. Phương Pháp Phát Hiện Mã Độc Dựa Trên Học Máy

Phương pháp phát hiện mã độc dựa trên học máy sử dụng các thuật toán để phân tích hành vi người dùng và phát hiện mã độc. Các mô hình như Graph2Vec và Sequence-MLP đã được áp dụng để cải thiện độ chính xác trong việc phát hiện mã độc.

3.1. Mô Hình Graph2Vec Trong Phát Hiện Mã Độc

Mô hình Graph2Vec cho phép xây dựng đồ thị từ các hành vi của người dùng, từ đó phát hiện mối liên kết giữa các hành vi và mã độc. Phương pháp này đã cho thấy hiệu quả cao trong việc phát hiện mã độc mới.

3.2. Ứng Dụng Sequence MLP Trong Phân Tích Hành Vi

Sequence-MLP là một mô hình học sâu giúp phân tích chuỗi hành vi của người dùng. Mô hình này có khả năng nhận diện các mẫu hành vi bất thường, từ đó phát hiện mã độc một cách hiệu quả hơn.

IV. Ứng Dụng Thực Tiễn Của Phương Pháp Phát Hiện Mã Độc

Các phương pháp phát hiện mã độc dựa trên học máy đã được áp dụng trong nhiều lĩnh vực khác nhau. Từ các tổ chức tài chính đến các công ty công nghệ, việc phát hiện mã độc kịp thời giúp bảo vệ dữ liệu và hệ thống khỏi các cuộc tấn công.

4.1. Ứng Dụng Trong Ngành Tài Chính

Ngành tài chính là một trong những lĩnh vực nhạy cảm nhất với mã độc. Việc áp dụng các phương pháp phát hiện mã độc giúp bảo vệ thông tin tài khoản và giao dịch của khách hàng, giảm thiểu rủi ro tài chính.

4.2. Ứng Dụng Trong Doanh Nghiệp Công Nghệ

Các công ty công nghệ thường xuyên phải đối mặt với các cuộc tấn công mạng. Việc phát hiện mã độc kịp thời giúp bảo vệ hệ thống và dữ liệu quan trọng, đảm bảo hoạt động kinh doanh không bị gián đoạn.

V. Kết Luận Và Tương Lai Của Nghiên Cứu

Nghiên cứu về phương pháp phát hiện mã độc dựa trên hành vi sử dụng học máy đang mở ra nhiều triển vọng mới. Với sự phát triển không ngừng của công nghệ, các phương pháp này sẽ ngày càng trở nên hiệu quả hơn trong việc bảo vệ an ninh mạng.

5.1. Triển Vọng Tương Lai Của Phát Hiện Mã Độc

Với sự phát triển của trí tuệ nhân tạo và học máy, các phương pháp phát hiện mã độc sẽ ngày càng chính xác và nhanh chóng hơn. Điều này sẽ giúp các tổ chức bảo vệ dữ liệu và hệ thống của họ tốt hơn.

5.2. Thách Thức Cần Đối Mặt Trong Tương Lai

Mặc dù có nhiều tiến bộ, nhưng vẫn còn nhiều thách thức cần phải giải quyết. Việc phát hiện mã độc trong thời gian thực và giảm thiểu sai sót vẫn là những vấn đề cần được nghiên cứu và cải thiện.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Sự gia tăng nhanh chóng của các dịch vụ công nghệ thông tin và xu hướng chuyển đổi mô hình làm việc từ xa (work from home) do ảnh hưởng từ đại dịch COVID-19 đã làm bộc lộ nhiều lỗ hổng an ninh mạng nghiêm trọng. Sự mở rộng của mạng 5G, thiết bị kết nối vạn vật (IoT) – ước tính đạt 27 tỷ thiết bị trên toàn cầu trong năm 2021 – cùng quy mô thị trường an ninh thông tin vượt 170 tỷ USD vào năm 2022 phản ánh áp lực bảo vệ hệ thống trước các mối đe dọa trực tuyến. Theo số liệu từ Cybersecurity Ventures, thiệt hại do tội phạm mạng gây ra ước tính tiêu tốn 6.000 tỷ USD mỗi năm vào năm 2021, tăng gấp đôi so với mốc 3.000 tỷ USD năm 2015. Báo cáo Rủi ro Toàn cầu năm 2021 của Diễn đàn Kinh tế Thế giới tiếp tục xếp rủi ro an ninh mạng vào nhóm nguy cơ hàng đầu, minh chứng qua hàng loạt sự cố quy mô lớn như vụ tấn công vào hệ thống của hãng dược phẩm Pfizer, vụ khai thác phần mềm email doanh nghiệp của Microsoft ảnh hưởng tới hơn 30.000 tổ chức, hay các đợt tấn công chuỗi cung ứng nhắm vào SolarWinds, FireEye và thư viện mã nguồn mở NPM vào tháng 10/2021. Báo cáo của tổ chức AV-TEST ghi nhận tính đến tháng 3/2020, tổng số lượng phần mềm độc hại đã đạt 677,66 triệu mẫu.

Trước thực trạng đó, các phương pháp phát hiện mã độc truyền thống đang bộc lộ những hạn chế rõ rệt:

• Phương pháp dựa trên tập luật/chữ ký (signature-based): Hoàn toàn bất lực trước các biến thể mã độc mới, mã độc đa hình, hoặc các cuộc tấn công chưa từng xuất hiện.
• Phương pháp dựa trên phân tích bất thường (anomaly-based) sử dụng môi trường hộp cát (sandbox): Dễ bị vô hiệu hóa khi mã độc tích hợp kỹ thuật chống máy ảo (anti-sandbox) hoặc cơ chế ngủ đông; các thuộc tính trích xuất từ log sandbox thường nghèo nàn; thời điểm phát hiện thường rơi vào giai đoạn cuối khi dữ liệu đã bị rò rỉ; đặc biệt là thiếu khả năng liên kết và xâu chuỗi sự kiện giữa các tiến trình độc lập diễn ra ngắt quãng theo thời gian.

Từ các hạn chế trên, đề tài xác định mục tiêu và nhiệm vụ nghiên cứu cụ thể:

• Mục tiêu nghiên cứu: Xây dựng phương pháp phát hiện mã độc dựa trên hành vi trên máy trạm thông qua việc phân tích hồ sơ tiến trình biểu diễn dưới dạng đồ thị có hướng kết hợp mô hình Graph2Vec và thuật toán học máy, nhằm phát hiện và cảnh báo sớm các hành vi bất thường.
• Nhiệm vụ nghiên cứu:
  1. Nghiên cứu tổng quan về mã độc, phân loại các dòng mã độc phổ biến và các nguy cơ mất an toàn thông tin trên không gian mạng.
  2. Xây dựng quy trình thu thập dữ liệu nhân hệ điều hành bằng công cụ Sysmon, chuẩn hóa thuộc tính tiến trình và kết hợp ánh xạ nhãn kỹ thuật theo khung ma trận MITRE ATT&CK.
  3. Xây dựng cấu trúc hồ sơ tiến trình dạng đồ thị có hướng; áp dụng mô hình Sqn2Vec (chuỗi tuần tự) và mô hình Graph2Vec (nhúng đồ thị) để trích xuất không gian vector đặc trưng.
  4. Triển khai phân loại mã độc bằng hai thuật toán học máy Random Forest (RF) và Multi-layer Perceptron (MLP) trên bộ dữ liệu thực nghiệm; so sánh, đánh giá hiệu năng giữa các hướng tiếp cận.

Đối tượng và phạm vi nghiên cứu:

• Đối tượng nghiên cứu: Hành vi của các tiến trình hệ thống được sinh ra từ nhân hệ điều hành Windows, kỹ thuật phân tích sự tương quan giữa các tiến trình cha - con, các mô hình học biểu diễn không giám sát (Sqn2Vec, Graph2Vec) và mô hình phân loại học máy (Random Forest, Multi-layer Perceptron).
• Phạm vi nghiên cứu: Thu thập log giám sát máy trạm chạy hệ điều hành Windows thông qua công cụ Sysmon; khảo sát trên bộ dữ liệu gồm 358.075 bản ghi tệp thực thi và tài liệu; các số liệu thống kê thực trạng an toàn thông tin được giới hạn cập nhật đến năm 2021.

Cơ sở lý thuyết và phương pháp

Khóa luận thiết lập nền tảng lý thuyết và kỹ thuật thông qua các mô hình và công cụ chuyên dụng:

• Khái niệm và phân loại mã độc: Văn bản hệ thống hóa các dạng phần mềm độc hại gồm Virus boot, Macro virus, Scripting virus, File virus, Trojan horse (BackDoor, Adware, Spyware), Worm (lan truyền qua thư điện tử, ổ nhớ USB), Rootkit (can thiệp tầng nhân để che giấu tiến trình), Botnet (phục vụ tấn công DoS, đào tiền ảo), biến thể mã độc và cảnh báo giả (Virus Hoax).
• Khung ma trận MITRE ATT&CK: Cơ sở kiến thức toàn cầu mô tả chi tiết chiến thuật (tactics), kỹ thuật (techniques) và kỹ thuật con (sub-techniques) của đối thủ. Khung này được sử dụng để ánh xạ các hành vi tương tác với File, Network, RemoteThread của tiến trình thành các nhãn hành vi bất thường chuẩn hóa.
• Mô hình trích xuất đặc trưng chuỗi Sqn2Vec: Xây dựng trên kiến trúc mạng nơ-ron truyền thẳng (Feedforward Neural Network) và kỹ thuật Paragraph Vector (PV-DBOW). Phương pháp khai thác các mẫu tuần tự thỏa mãn ràng buộc khoảng cách (Sequential pattern satisfying gap-constraint - SP) với hai biến thể triển khai là Sqn2Vec-SIM (gộp ký hiệu gốc và SP vào một quy trình huấn luyện) và Sqn2Vec-SEP (huấn luyện hai không gian nhúng độc lập rồi tính trung bình vector).
• Mô hình nhúng đồ thị Graph2Vec: Phương pháp học biểu diễn không giám sát mở rộng từ doc2vec, coi toàn bộ cấu trúc đồ thị như một văn bản và các cây con gốc (rooted subgraphs) như các từ ngữ cảnh. Graph2Vec sử dụng thuật toán Weisfeiler-Lehman để trích xuất rooted subgraphs qua từng vòng lặp, áp dụng hàm băm MD5 để định danh duy nhất cấu trúc subgraph, sau đó sử dụng mô hình Skip-gram với kỹ thuật lấy mẫu âm (Negative Sampling) để huấn luyện biểu diễn đồ thị thành vector $N$ chiều. Khoảng cách giữa các đồ thị được lượng hóa thông qua độ tương đồng Cosine (Cosine similarity).
• Các thuật toán phân loại:
  • Random Forest (RF): Thuật toán học có giám sát dựa trên mô hình kết hợp (Ensemble learning), sử dụng kỹ thuật đóng gói Bootstrap (Bagging) để xây dựng tập hợp nhiều cây quyết định (Decision Trees) độc lập và đưa ra kết quả phân loại dựa trên biểu quyết đa số (Majority Voting).
  • Multi-layer Perceptron (MLP): Mạng nơ-ron nhân tạo truyền thẳng gồm tầng đầu vào (input layer), các tầng ẩn (hidden layers) và tầng đầu ra (output layer). Quá trình tối ưu hóa trọng số và độ lệch sử dụng thuật toán lan truyền ngược (Backpropagation) kết hợp hàm hồi quy Softmax (Softmax Regression) ở lớp cuối cùng để tính xác suất phân lớp.

Phương pháp nghiên cứu thực nghiệm:

• Thu thập và tiền xử lý dữ liệu: Giám sát nhân hệ điều hành Windows bằng công cụ Microsoft Sysmon, trích xuất dữ liệu từ các mã sự kiện (Event ID), đặc biệt là Event ID 1 (Process Create) và Event ID 5 (Process Terminated), kết hợp phân loại 21 sự kiện còn lại qua MITRE ATT&CK.
• Xây dựng mô hình hình học: Biểu diễn quan hệ tương tác giữa các tiến trình dưới dạng cây tiến trình có hướng (mỗi tiến trình con là một nút, mỗi cạnh thể hiện quan hệ tiến trình cha gọi tiến trình con).
• Thiết kế thực nghiệm kiểm chứng: Phân chia tập dữ liệu ngẫu nhiên theo tỷ lệ 80% cho tập huấn luyện (training) và 20% cho tập kiểm tra (testing). Thử nghiệm độc lập trên 3 không gian nhúng với số chiều lần lượt là 64, 128 và 256 chiều.
• Nguồn dữ liệu: Sử dụng tập dữ liệu thực nghiệm gồm 358.075 bản ghi từ nguồn công bố học thuật, trong đó bao gồm 288.352 mẫu tệp bình thường và 69.723 mẫu tệp mã độc.

Nội dung chính theo từng chương

CHƯƠNG I: TỔNG QUAN VỀ MÃ ĐỘC VÀ PHƯƠNG PHÁP PHÁT HIỆN

Chương I tập trung hệ thống hóa cơ sở lý thuyết về mã độc và các nguy cơ an toàn thông tin trong bối cảnh chuyển đổi số:

• Định nghĩa mã độc là phần mềm được tạo ra có chủ ý nhằm phá hủy dữ liệu, gây hại cho máy tính, máy khách, máy chủ hoặc hạ tầng mạng; phân tích 3 đặc điểm căn bản gồm khả năng tự nhân bản, sự gia tăng nhanh chóng về số lượng và tính chất sống ký sinh vào tệp tin thực thi.
• Phân tích chi tiết phương thức hoạt động của 10 nhóm mã độc: Virus boot lây vào boot sector/master boot record (kích thước giới hạn 512 byte); Macro virus tấn công bộ ứng dụng văn phòng; Scripting virus viết bằng VBScript, JavaScript, Batch script; File virus lây qua tệp thực thi (.dll); Trojan horse và 3 biến thể chính (BackDoor thiết lập mạng Botnet thực hiện DoS, Adware quảng cáo, Spyware cài keylogger ăn cắp thông tin); Worm lây lan qua email ngụy trang và thiết bị nhớ USB; Rootkit can thiệp tầng nhân hệ điều hành Windows từ năm 2005; mạng máy tính ma Botnet; các kỹ thuật tạo biến thể đa hình; và Virus Hoax gây nghẽn dịch vụ hỗ trợ kỹ thuật.
• Đánh giá thực trạng an ninh mạng năm 2021 qua các chỉ số thiệt hại từ Cybersecurity Ventures (6.000 tỷ USD), báo cáo rủi ro của Diễn đàn Kinh tế Thế giới, các vụ tấn công vào chuỗi cung ứng phần mềm (SolarWinds, FireEye, NPM với hơn 6 triệu lượt tải tuần), và số liệu AV-TEST ghi nhận 677,66 triệu mẫu mã độc.
• Tổng kết 4 nguy cơ mất an toàn thông tin: hư hỏng phần cứng/mất dữ liệu; bị xâm nhập qua Phishing, Man-in-the-middle; lừa đảo qua email và mạng xã hội; chiếm quyền điều khiển website qua tấn công DoS.
• Phân tích ưu và nhược điểm của hai hướng phát hiện chính là signature-based và anomaly-based; chỉ ra 3 rào cản kỹ thuật của phương pháp phân tích động sandbox: tính năng chống máy ảo (anti-sandbox), thời điểm phát hiện muộn, và đặc biệt là thiếu sự liên kết giữa các chuỗi sự kiện tiến trình đơn lẻ.

CHƯƠNG II: PHƯƠNG PHÁP PHÁT HIỆN MÃ ĐỘC TRÊN MÁY TRẠM SỬ DỤNG HỌC MÁY

Chương II trình bày toàn diện kiến trúc mô hình phát hiện mã độc đề xuất gồm 3 giai đoạn xử lý:

• Giai đoạn 1: Xây dựng hồ sơ tiến trình dạng đồ thị:
  • Sử dụng Sysmon để thu thập 23 loại Event ID từ nhân hệ điều hành Windows.
  • Chuẩn hóa thuộc tính tiến trình theo bảng danh mục: Nhóm 1 (Event ID 1: Process Create) gồm OriginalFileName, Hash, ProcessID, ParentID, CommandLine, Image, CreationTimestamp; Nhóm 2 (Event ID 5: Process Terminated) gồm TerminationTimestamp; Nhóm 3 gồm danh sách kỹ thuật tấn công MitreAttacks được gán nhãn thông qua việc đối soát 21 Event ID còn lại với khung MITRE ATT&CK matrix (File, Network, RemoteThread).
  • Thiết lập cấu trúc hồ sơ tiến trình dạng đồ thị có hướng (cây tiến trình), trong đó mỗi tiến trình là một nút (node) mang định danh ProcessID và các thuộc tính tương ứng, mỗi cạnh (edge) biểu diễn thao tác tiến trình cha kích hoạt tiến trình con dựa trên ParentID.
• Giai đoạn 2: Trích xuất thuộc tính hồ sơ tiến trình:
  • Hướng tiếp cận 1: Áp dụng thuật toán Sqn2Vec để xử lý tính chất tuần tự theo thời gian của các tiến trình, trích xuất mẫu tuần tự SP kết hợp mạng nơ-ron truyền thẳng PV-DBOW qua hai biến thể Sqn2Vec-SIM và Sqn2Vec-SEP.
  • Hướng tiếp cận 2: Áp dụng thuật toán Graph2Vec để chuyển đổi toàn bộ đồ thị có hướng thành vector nhúng. Quá trình gồm hai bước: (1) Trích xuất rooted subgraphs bằng thuật toán Weisfeiler-Lehman với công thức tính nhãn cập nhật tại nút $v$ ở vòng lặp $i$: $l_i(v) = \text{relabel}((l_{i-1}(v), \text{sort}({l_{i-1}(u) \mid u \in N(v)})))$, trong đó hàm relabel sử dụng thuật toán MD5 để gán nhãn băm duy nhất cho cấu trúc; (2) Chuẩn hóa đồ thị thành vector đặc trưng bằng mô hình PV-DBOW Skip-gram với kỹ thuật Negative Sampling để dự đoán các rooted subgraph từ GraphID.
• Giai đoạn 3: Phân loại hồ sơ tiến trình:
  • Ứng dụng thuật toán Random Forest (RF) với các kỹ thuật lấy mẫu ngẫu nhiên Bootstrap (Bagging) và biểu quyết đa số nhằm hạn chế hiện tượng quá khớp.
  • Ứng dụng mô hình mạng nơ-ron đa tầng Multi-layer Perceptron (MLP) với các lớp ẩn tính toán phi tuyến $y = \phi(w^T x + b)$, sử dụng thuật toán lan truyền ngược Backpropagation để tinh chỉnh trọng số và hàm Softmax Regression ở tầng cuối nhằm tính toán xác suất phân chia lớp mã độc hoặc bình thường.

CHƯƠNG III: THỰC NGHIỆM VÀ ĐÁNH GIÁ

Chương III trình bày quá trình cài đặt, thử nghiệm thực nghiệm và đánh giá định lượng:

• Thiết lập tập dữ liệu thực nghiệm: Sử dụng tổng số 358.075 mẫu, chia ngẫu nhiên thành 80% tập huấn luyện và 20% tập kiểm thử. Tập tệp bình thường gồm 288.352 mẫu thuộc 10 định dạng khác nhau. Thử nghiệm trên 3 không gian nhúng đặc trưng có số chiều lần lượt là 64, 128 và 256.
• Tiêu chí đánh giá: Sử dụng 4 độ đo gồm Accuracy, Precision, Recall và F1-score, kết hợp theo dõi thời gian huấn luyện (Training time), thời gian kiểm tra (Testing time) và ma trận nhầm lẫn (Confusion Matrix).
• Kịch bản thực nghiệm 1: Đánh giá mô hình chuỗi Sqn2Vec kết hợp RF (khảo sát số cây 10, 50, 100) và MLP (khảo sát các cấu hình số tầng ẩn).
• Kịch bản thực nghiệm 2: Đánh giá mô hình đồ thị Graph2Vec kết hợp RF và MLP trên các kích thước không gian nhúng tương ứng (64, 128, 256 chiều).

Kết quả và đóng góp

Nghiên cứu công bố chi tiết thành phần tập dữ liệu tệp bình thường và các chỉ số đo lường hiệu năng của các mô hình phân loại:

Loại tệp bình thường	Số lượng	Loại tệp bình thường	Số lượng
Adobe Flash, PDF	48.518	Microsoft Office	48.088
Archive files	45.183	Scripts	26.950
PE EXE	20.781	Email files	20.852
PE DLL	8.823	HTML Documents	6.312
JAVA	2.014	Định dạng khác	60.831
Tổng số tệp bình thường	288.352	Tổng số mẫu toàn tập dữ liệu	358.075

Kết quả thực nghiệm trên Kịch bản 1 (Sử dụng mô hình trích xuất Sqn2Vec):

• Thuật toán Sqn2Vec-RF: Đạt độ chính xác ổn định từ 96,39% đến 96,71%. Khi thiết lập số lượng cây bằng 100, mô hình đạt hiệu năng cao nhất trên cả hai không gian đặc trưng 64 và 256. Thời gian huấn luyện và kiểm thử tăng tỷ lệ thuận với số lượng cây và số chiều vector nhúng, tuy nhiên độ chính xác biến đổi không đáng kể, chứng minh tính ổn định cao của RF.
• Thuật toán Sqn2Vec-MLP: Đạt kết quả tối ưu tại cấu hình 4 tầng ẩn (layer) với không gian 128 đặc trưng. Độ chính xác Accuracy đạt 97,07% (cao hơn thuật toán RF khoảng 0,36% - 0,7%), đồng thời các chỉ số Precision và Recall đều cao hơn RF khoảng 1,2%.
• Ma trận nhầm lẫn của mô hình Sqn2Vec: Thuật toán MLP phân loại sai (bỏ sót) 1.404 tệp mã độc (giảm 108 tệp so với mức 1.512 tệp của RF), nhưng nhận diện nhầm 831 tệp bình thường thành mã độc (tăng 56 tệp so với mức 775 tệp của RF). Điều này phản ánh MLP hiệu quả hơn trong việc phát hiện mã độc, còn RF chính xác hơn trong việc lọc tệp bình thường.

Kết quả thực nghiệm trên Kịch bản 2 (Sử dụng mô hình trích xuất Graph2Vec):

• Thuật toán Graph2Vec-RF: Độ chính xác tăng dần theo số lượng đặc trưng và số lượng cây. Với 64 đặc trưng và 10 cây, mô hình đạt độ chính xác phân loại mã độc 89,02%. Khi tăng lên 128 đặc trưng và 100 cây, Accuracy đạt 97,32%. Tại không gian 256 đặc trưng, độ chính xác tiếp tục tăng nhẹ.
• Thuật toán Graph2Vec-MLP: Đạt hiệu năng phân loại tổng thể cao nhất với Accuracy đạt ngưỡng xấp xỉ 98%. So với mô hình Graph2Vec-RF, Accuracy của MLP tăng 0,23%, tuy nhiên chỉ số Precision giảm 1,59% và F1-score giảm khoảng 2%. Thời gian huấn luyện và kiểm thử của MLP tăng đáng kể so với RF.
• Ma trận nhầm lẫn của mô hình Graph2Vec:
  • Mô hình Graph2Vec-RF: Phân loại đúng 56.457 tệp bình thường, đoán nhầm 615 tệp bình thường thành mã độc; phân loại đúng 12.828 tệp mã độc, bỏ sót 1.117 tệp mã độc.
  • Mô hình Graph2Vec-MLP: Phân loại đúng 56.242 tệp bình thường, đoán nhầm 870 tệp bình thường thành mã độc; phân loại đúng 13.120 tệp mã độc, chỉ bỏ sót 557 tệp mã độc.

Đóng góp của đề tài:

• Xây dựng thành công phương pháp biểu diễn hồ sơ tiến trình dạng đồ thị có hướng kết hợp gán nhãn thuộc tính theo ma trận MITRE ATT&CK từ dữ liệu log Sysmon trên nhân hệ điều hành Windows, giúp giải quyết triệt để vấn đề thiếu liên kết ngữ cảnh giữa các tiến trình đơn lẻ.
• Chứng minh tính ưu việt của mô hình nhúng đồ thị Graph2Vec so với mô hình chuỗi tuần tự Sqn2Vec: Graph2Vec cho phép nắm bắt cấu trúc phân nhánh phức tạp của mã độc, mang lại độ chính xác cao hơn và thời gian xử lý nhanh hơn trên máy trạm.
• Đưa ra phân tích đối sánh thực nghiệm toàn diện giữa thuật toán học máy cổ điển (RF) và mô hình mạng nơ-ron sâu (MLP), xác định rõ đặc tính nhận diện của từng thuật toán phục vụ bài toán phát hiện bất thường trên thiết bị đầu cuối.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế của nghiên cứu:

• Bộ dữ liệu thực nghiệm (358.075 bản ghi) tuy có quy mô tương đối lớn nhưng chưa đủ mức độ đa dạng về các chủng loại mã độc thế hệ mới để phát huy tối đa tiềm năng phân loại của kiến trúc mạng nơ-ron nhiều lớp MLP.
• Tỷ lệ cảnh báo nhầm (dự đoán sai tệp bình thường thành mã độc) của mô hình mạng nơ-ron MLP ở cả hai kịch bản vẫn cao hơn so với thuật toán Random Forest (831 tệp so với 775 tệp ở Sqn2Vec; 870 tệp so với 615 tệp ở Graph2Vec).
• Thời gian huấn luyện và độ phức tạp tính toán của mạng MLP tăng nhanh khi gia tăng số tầng ẩn và số chiều đặc trưng, tạo áp lực tài nguyên đối với hệ thống máy trạm thông thường.
• Mô hình phụ thuộc hoàn toàn vào cấu trúc dữ liệu log thu thập từ công cụ Sysmon và tập quy tắc ánh xạ kỹ thuật tấn công của MITRE ATT&CK.

Hướng phát triển trong tương lai:

• Cải thiện và tối ưu hóa phương pháp xây dựng, tổng hợp hồ sơ tiến trình nhằm nâng cao khả năng xâu chuỗi sự kiện và giảm nhiễu từ các tiến trình hệ thống lành tính.
• Nâng cấp phương pháp phân tích hồ sơ tiến trình, nghiên cứu các thuật toán biểu diễn đồ thị sâu tiên tiến hơn nhằm rút ngắn thời gian trích xuất vector đặc trưng và giảm tỷ lệ nhận diện nhầm tệp bình thường.

Giá trị tham khảo

Khóa luận có giá trị tham khảo chuyên môn đối với các nhóm đối tượng và lĩnh vực nghiên cứu cụ thể:

• Đối tượng tham khảo:
  • Sinh viên, học viên cao học và nghiên cứu viên chuyên ngành An toàn thông tin, Kỹ thuật mật mã, Khoa học dữ liệu và Công nghệ thông tin định hướng an ninh mạng.
  • Các kỹ sư giám sát an toàn thông tin (SOC/Blue Team), chuyên viên phân tích mã độc và kỹ sư phát triển giải pháp phát hiện, phản ứng sự cố trên điểm cuối (Endpoint Detection and Response - EDR).
• Các nội dung chuyên sâu có thể kế thừa:
  • Bảng đặc tả 3 nhóm thuộc tính tiến trình chuẩn hóa từ các mã sự kiện Sysmon kết hợp khung phân loại hành vi MITRE ATT&CK (Bảng 1.1).
  • Quy trình kỹ thuật chuyển đổi đồ thị tiến trình thành vector nhúng thông qua thuật toán Weisfeiler-Lehman, hàm băm MD5 và mô hình Skip-gram trong Graph2Vec.
  • Bộ thông số thực nghiệm đối sánh giữa hai mô hình trích xuất đặc trưng (Sqn2Vec và Graph2Vec) kết hợp với các bộ phân loại RF và MLP trên các kích thước không gian nhúng 64, 128 và 256 chiều.

Câu hỏi thường gặp

1. Khóa luận giải quyết hạn chế gì của phương pháp phân tích động mã độc bằng môi trường Sandbox truyền thống? Các công cụ Sandbox truyền thống thường gặp khó khăn trước các dòng mã độc có cơ chế phát hiện máy ảo (anti-sandbox) hoặc tự động ngủ đông để ẩn mình; thuộc tính trích xuất từ log sandbox thường nghèo nàn và chỉ phát hiện mã độc ở giai đoạn muộn của cuộc tấn công. Đặc biệt, sandbox không thể liên kết và tổng hợp được sự tương quan giữa các sự kiện tiến trình đơn lẻ diễn ra ngắt quãng theo thời gian. Khóa luận giải quyết vấn đề này bằng cách thu thập trực tiếp log tiến trình trên nhân hệ điều hành qua Sysmon, xây dựng cây tiến trình dạng đồ thị có hướng để thể hiện rõ quan hệ cha - con, và gán nhãn hành vi dựa trên ma trận MITRE ATT&CK nhằm phát hiện các dấu hiệu tấn công ẩn mình.

2. Hồ sơ tiến trình được mô hình hóa dưới dạng cấu trúc nào và bao gồm những thuộc tính cụ thể nào? Hồ sơ tiến trình được mô hình hóa dưới dạng cấu trúc đồ thị có hướng (cây tiến trình), trong đó mỗi tiến trình con là một nút (node) và mỗi cạnh (edge) thể hiện quan hệ tiến trình cha gọi tiến trình con. Thuộc tính của một tiến trình được chia làm 3 nhóm:

• Nhóm 1 (Trích xuất từ Event ID 1: Process Create): OriginalFileName (chuỗi), Hash (chuỗi), ProcessID (số), ParentID (số), CommandLine (chuỗi dòng lệnh), Image (đường dẫn tệp thực thi), CreationTimestamp (dấu thời gian tạo).
• Nhóm 2 (Trích xuất từ Event ID 5: Process Terminated): TerminationTimestamp (dấu thời gian kết thúc).
• Nhóm 3 (Định nghĩa qua MITRE ATT&CK matrix): MitreAttacks (danh sách các kỹ thuật tấn công liên quan đến File, Network, RemoteThread được gán nhãn từ 21 Event ID còn lại của Sysmon).

3. Cơ chế hoạt động của thuật toán Graph2Vec trong việc trích xuất đặc trưng đồ thị tiến trình được thực hiện ra sao? Graph2Vec trích xuất vector đặc trưng từ đồ thị tiến trình thông qua 2 bước chính:

• Bước 1: Trích xuất các cây con gốc (rooted subgraphs) bằng thuật toán Weisfeiler-Lehman. Tại mỗi vòng lặp, nhãn của nút được cập nhật dựa trên tập các nút lân cận và được mã hóa bằng hàm băm MD5 để tạo chuỗi định danh duy nhất (đóng vai trò như một từ khóa trong từ điển đồ thị).
• Bước 2: Chuẩn hóa đồ thị thành một vector đại diện duy nhất thông qua mô hình Paragraph Vector Distributed Bag of Words (PV-DBOW) kết hợp kiến trúc mạng Skip-gram. Mô hình sử dụng kỹ thuật lấy mẫu âm (Negative Sampling) để học biểu diễn từ GraphID sang không gian vector nhúng có số chiều xác định (64, 128 hoặc 256).

4. Dữ liệu thực nghiệm của nghiên cứu gồm bao nhiêu mẫu và được phân bổ theo các định dạng nào? Tổng bộ dữ liệu thực nghiệm gồm 358.075 bản ghi (chia theo tỷ lệ 80% huấn luyện và 20% kiểm tra). Trong đó, tập tệp bình thường chiếm 288.352 mẫu và tập tệp mã độc chiếm 69.723 mẫu. Thành phần cụ thể của 288.352 tệp bình thường bao gồm: Adobe Flash và PDF (48.518), Microsoft Office (48.088), Archive files (45.183), Scripts (26.950), PE EXE (20.781), Email files (20.852), PE DLL (8.823), HTML Documents (6.312), JAVA (2.014) và các định dạng khác (60.831).

5. Kết quả phân loại trên ma trận nhầm lẫn cho thấy sự khác biệt nào giữa thuật toán Random Forest và Multi-layer Perceptron? Trên cả hai mô hình trích xuất đặc trưng (Sqn2Vec và Graph2Vec), thuật toán Multi-layer Perceptron (MLP) cho khả năng phát hiện mã độc nhạy bén hơn nhưng lại có tỷ lệ cảnh báo nhầm tệp lành tính cao hơn Random Forest (RF):

• Với mô hình Sqn2Vec: MLP bỏ sót 1.404 tệp mã độc (ít hơn RF vốn bỏ sót 1.512 tệp), nhưng đoán nhầm 831 tệp bình thường thành mã độc (nhiều hơn RF vốn chỉ nhầm 775 tệp).
• Với mô hình Graph2Vec: MLP nhận diện chính xác 13.120 tệp mã độc và chỉ bỏ sót 557 tệp (vượt trội so với RF nhận diện đúng 12.828 tệp và bỏ sót 1.117 tệp), tuy nhiên MLP dự đoán nhầm 870 tệp bình thường thành mã độc (cao hơn RF với 615 tệp nhầm lẫn).

Kết luận

Khóa luận tốt nghiệp của sinh viên Nguyễn Thị Hoa đã giải quyết bài toán phát hiện mã độc trên máy trạm thông qua việc nghiên cứu và ứng dụng kỹ thuật phân tích hồ sơ tiến trình dạng đồ thị kết hợp học máy. Bằng việc chuẩn hóa dữ liệu nhân hệ điều hành từ công cụ Sysmon và ánh xạ hành vi theo ma trận MITRE ATT&CK, đồ án đã khắc phục nhược điểm thiếu tính tương quan sự kiện của các giải pháp sandbox truyền thống. Kết quả thực nghiệm trên bộ dữ liệu 358.075 mẫu chứng minh mô hình nhúng đồ thị Graph2Vec kết hợp các bộ phân loại Random Forest và Multi-layer Perceptron đạt hiệu năng phát hiện vượt trội và tốc độ xử lý nhanh hơn so với mô hình chuỗi tuần tự Sqn2Vec, cung cấp cơ sở kỹ thuật thực tiễn cho việc phát triển các hệ thống giám sát an toàn thông tin đầu cuối.

Trích đoạn nội dung tài liệu

Chương I trình bày khái nhiệm về mã độc và các thông tin liên quan như: phân loại mã độc, các loại mã độc phổ biến. Ngoài ra, các nguy cơ về An toàn thông tin liên quan đến mã độc cũng như thực trạng về An toàn thông tin trên thé giới liên quan cũng sẽ được đề cập. Tổng quan về mã độc 1.1, Khái niệm về mã độc Mã độc (Phần mềm độc hại) là bất kỳ loại phần mềm nào được thiết kế đặc biệt có chủ ý dé phá hủy dữ liệu, gây thiệt hại cho máy tính, máy chủ, máy khách hoặc mang máy tính. Phần mềm độc hại là một thuật ngữ chung được sử dụng dé mô tả vi rút, phần mềm tống tiền, phần mềm gián điệp, Trojan và bất kỳ loại mã hoặc phần mềm nào khác được xây dựng với mục đích xấu.

Phân loại ma độc Ban đầu các phần mềm độc hại được tạo ra bằng cách sống kí sinh và lây nhiễm trên các vật chủ là các chương trình có chứa các nội dung thực thi. Các dạng chương trình độc hại kiêu khác là các chương trình mã độc mà tự chúng có khả năng thực thi một cách độc lập trên các phần mềm hệ thống mà không cần kí sinh trên các vật chủ là các chương trình ứng dụng hay tệp tin. Một cách khác dé phân biệt các loại mã độc khác nhau là dựa trên mục đích và các hành vi của chung. Có 3 đặc điêm thường liên quan với các loại phân mêm độc hại là: - Mã độc tự nhân bản và nỗ lực lây nhiễm bằng việc tạo các bản sao chép mới hoặc các thê hiện của chính nó.

- Sự tăng trưởng về số lượng của phần mềm độc hại mô tả sự thay đổi tổng thé trong đó có số lượng lớn các trường hợp là do tự nhân bản. - Phần mềm độc hại ký sinh yêu cầu một số chương trình mã thực thi khác dé tồn tại. NGUYEN THỊ HOA - D17CQAT01-B 11 ĐỎ AN TOT NGHIỆP CHUONG I Dưới đây là một số loại mã độc phô biến [28]: - Virus boot: Boot virus hay còn gọi là virus boot, là loại virus lây vào boot sector hoặc master boot record của 6 đĩa cứng. Day là các khu vực đặc biệt chứa các dữ liệu dé khởi động hệ thống, nạp các phân vùng.

Boot Virus được thực thi trước khi hệ điều hành được nạp lên vì vậy nó hoàn toàn độc lập với hệ điều hành. B- Virus có nhược điểm là khó viết do không thể sử dụng các dịch vụ, chức năng có sẵn của hệ điều hành và kích thước virus bị hạn chế bởi kích thước của các sector (mỗi sector chỉ có 512 byte). Ngày nay gần không còn thấy sự xuất hiện của Boot Virus do đặc điểm lây lan chậm và không phù hợp với thời đại Internet. - Macro virus: Day là loại virus đặc biệt tan công vào chương trình trong bộ Microsoft Office của Microsoft: Word, Excel, Powerpoint.

Macro là tính nang hỗ trợ trong bộ công cụ văn phòng Microsoft Office cho phép người sử dung lưu lại các công việc cần thực hiện lại nhiều lần. Thực tế hiện nay cho thấy virus macro gan nhu da “tuyét chung”. - Scripting virus: Scripting virus là loại virus được viết bang các ngôn ngữ script (kịch ban) như VBScript, JavaScript, Batch script. Những loại virus nay thường có đặc điểm dễ viết, dé cài đặt.

Chúng thường ty lây lan sang các file script khác, thay đổi nội dung cả các file html dé thêm các thông tin quảng cáo, chèn banner. Day cũng là một loại virus phát triển nhanh chóng nhờ sự phổ biến của Internet. - File virus: Virus này chuyên lây vào các file thực thi (ví dụ file có phan mở rộng .dll) một đoạn mã dé khi file được thực thi, đoạn mã virus sẽ được kích hoạt trước và tiếp tục thực hiện các hành vi phá hoại, lây nhiễm. Loại virus này có đặc điểm lây lan nhanh và khó diệt hơn các loại virus khác do phải xử lý cắt bỏ, chỉnh sửa file bị nhiễm.

File Virus có nhược điểm là chỉ lây vào một số định dang file nhất định và phụ thuộc vào hệ điều hành. F-Virus vẫn t6n tại tới ngày nay với những biến thé ngày càng trở nên nguy hiểm, phức tạp hơn. NGUYEN THỊ HOA - D17CQAT01-B 12 ĐỎ AN TOT NGHIỆP CHUONG I - Trojan horse: Tên của loại virus này được lay theo một điền tích cổ. Trong cuộc chiến với người To-roa, các chiến binh Hy Lạp sau nhiều ngày không thể chiếm được thành đã nghĩ ra một kế, giảng hòa rồi tặng người dân thành Tơ-roa một con ngựa gỗ không lồ.

Sau khi ngựa gỗ được đưa vào thành, đêm đến các chiến binh Hy Lạp từ trong ngựa gỗ chui ra đánh chiếm thành. Đây cũng chính là cách mà các Trojan horse (gọi tắt là Trojan) áp dụng: các đoạn mã của Trojan được “che giấu” trong các loại virus khác hoặc trong các phần mềm máy tính thông thường để bí mật xâm nhập vào máy nạn nhân. Khi tới thời điểm thuận lợi chúng sẽ tiến hành các hoạt động ăn cắp thông tin cá nhân, mật khẩu, điều khiển máy tính nạn nhân. Bản chất của Trojan là không tự lây lan mà phải sử dụng phần mềm khác dé phát tán.

Dựa vào cách hoạt động ta có thể phân chia Trojan thành các loại sau: BackDoor, Adware và Spyware[27]. - BackDoor: Phần mềm BackDoor (cửa sau) là một dang Trojan khi thâm nhập vào máy tính nạn nhân sẽ mở ra một công dịch vụ cho phép kẻ tấn công điều khiển các hoạt động ở máy nạn nhân. Kẻ tan công có thé cài các phần mềm BackDoor lên nhiều máy tính khác nhau thành một mạng lưới các máy bi điều khiển — Botnet — rồi thực hiện các vụ tan công từ chối dịch vụ (DoS — Denial of Service). - Adware va Spyware: Day là loại Trojan khi xâm nhập vào máy tinh với mục đích quảng cáo hoặc “gián điệp”.

Chúng đưa ra các quảng cáo, mở ra các trang web, thay đồi trang mặc định của trình duyệt (homepage). gây khó chịu cho người sử dụng. Các phần mềm này cài đặt các phần mềm ghi lại thao tác bàn phím (keylogger), ăn cắp mật khẩu và thông tin cá nhân. - Worm (sâu máy tính): Cùng với các loại mã độc máy tính như Trojan, WannaCry, Worm (sâu máy tính) là loại virus phát triển và lây lan mạnh mẽ nhất hiện nay nhờ mang Internet.

Vào thời diém ban đâu, Worm được tao ra chỉ với NGUYEN THỊ HOA - D17CQAT01-B 13 ĐỎ AN TOT NGHIỆP CHUONG I mục đích phat tán qua thư điện tử — email. Khi lây vào máy tinh, chúng thực hiện tìm kiếm các số địa chỉ, danh sách email trên máy nạn nhân rồi giả mạo các email để gửi bản thân chúng tới các địa chỉ thu thập được. Các email do worm tạo ra thường có nội dung “giật gân”, hoặc “hấp dẫn”, hoặc trích dẫn một email nào đó ở máy nạn nhân dé ngụy trang. Điều này khiến các email giả mạo trở nên “thật” hơn và người nhận dễ bị đánh lừa hơn.

Nhờ những email giả mạo đó mà Worm lây lan mạnh mẽ trên mạng Internet theo cấp số nhân. Bên cạnh Worm lây lan theo cách truyền thống sử dụng email, Worm hiện nay còn sử dụng phương pháp lân lan qua ô USB. Thiết bị nhớ USB đã trở nên phô biến trên toàn thế giới do lợi thế kích thước nhỏ, cơ động và trở thành phương tiện lây lan lý tưởng cho Worm. Dựa đặc điểm lây lan mạnh mẽ của Worm, những kẻ viết virus đã đưa thêm vào Worm các tính năng phá hoại, ăn cắp thông tin., Worm đã trở thành “bạn đồng hành” của những phần mềm độc hại khác như BackDoor, Adware.

- Rootkit: Rootkit ra đời sau các loại virus khác, nhưng rootkit lại được coi là một trong những loại virus nguy hiểm nhất. Bản thân rootkit không thực sự là virus, đây là phần mềm hoặc một nhóm các phần mềm máy tinh được giải pháp dé can thiệp sâu vào hệ thống máy tính (nhân của hệ điều hành hoặc thậm chí là phần cứng của máy tính) với mục tiêu che giấu bản thân nó. va các loại phần mềm độc hại khác. Với sự xuất hiện của rootkit, các phần mềm độc hại như trở nên “vô hình” trước những công cụ thông thường thậm chí vô hình cả với các phần mềm diệt virus.

Việc phát hiện mã độc và tiêu diệt virus trở nên khó khăn hơn rất nhiều trước sự bảo vệ của rootkit — vốn được trang bị nhiều kỹ thuật mới hiện đại. Xuất hiện lần đầu trên hệ thống Unix từ khá lâu, nhưng ké từ lần xuất hiện “chính thức” trên hệ điều hành Windows vào năm 2005, Rootkit đang dần trở nên phô biến và trở thành công cụ che giấu hữu hiệu cho các loại phần mềm độc hại khác. NGUYEN THỊ HOA - D17CQAT01-B 14 ĐỎ AN TOT NGHIỆP CHUONG I - Botnet: là những máy tính bị nhiễm virus và điều khiển boi Hacker thông qua Trojan, virus. Hacker lợi dụng sức mạnh của những máy tính bị nhiễm virus dé thực hiện các hành vi tấn công, phá hoại, ăn cắp thông tin.

Thiệt hại do Botnet gây ra thường rat lớn. - Biến thể: Một hình thức trong cơ chế hoạt động của virus là tạo ra các biến thể của chúng. Biến thé của virus là sự thay đổi mã nguồn nhằm các mục đích tránh sự phát hiện của phần mềm diệt virus hoặc làm thay đôi hành động của nó. - Virus Hoax: Đây là các cảnh báo giả về virus.

Các cảnh bảo giả này thường núp dưới dạng một yêu cầu khân cấp để bảo vệ hệ thống. Mục tiêu của cảnh báo virus giả là cố gang lôi kéo mọi người gửi cảnh báo càng nhiều càng tốt qua email. Bản thân cảnh báo giả là không gây nguy hiểm trực tiếp nhưng những thư gửi để cảnh báo có thé chữa mã độc hại hoặc trong cảnh báo giả có chứa các chỉ dẫn về thiết lập lại hệ điều hành, xóa file làm nguy hại tới hệ thống. Kiểu cảnh báo giả này cũng gây tốn thời gian và quấy rối bộ phận hỗ trợ kỹ thuật khi có quá nhiêu người gọi đên và yêu câu dịch vụ.

Các mã độc này thường được sử dụng rộng rãi với nhiều mục đích khác nhau nhắm vào các cơ quan chính phủ, các công ty để thu thập các thông tin được bảo vệ hoặc làm gián đoạn các hoạt động của các cơ quan tổ chức. Ngoài ra các dữ liệu thông tin nhạy cảm của người dùng như chỉ tiết nhận dạng cá nhân, tài khoản ngân hang thẻ tín dung,. cũng thường xuyên trở thành mục tiêu của các phần mềm mã độc. Vì vậy cần thực hiện một số các biện pháp thích hợp dé ngăn chặn chúng.

NGUYEN THỊ HOA - D17CQAT01-B 15 ĐỎ AN TOT NGHIỆP CHUONG I 1.