Nghiên Cứu Phương Pháp Phát Hiện Mã Độc Dựa Trên Hành Vi Sử Dụng Học Máy

Chuyên khảo phân tích Nghiên cứu phương pháp phát hiện mã độc dựa trên hành vi sử dụng học máy, đánh giá các khía cạnh quan trọng, đề xuất hướng nghiên cứu tiếp theo.

• Tác giả: Nguyễn Thị Hoa
• Người hướng dẫn: TS. Đỗ Xuân Chợ
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Nghiên Cứu Phương Pháp Phát Hiện Mã Độc Dựa Trên Hành Vi Sử Dụng Học Máy
• Loại tài liệu: Đồ án tốt nghiệp
• Năm xuất bản: 2021
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CẢM ƠN
• NHẬN XÉT, ĐÁNH GIÁ, CHO ĐIỂM (CỦA NGƯỜI HƯỚNG DẪN)
• NHẬN XÉT, ĐÁNH GIÁ, CHO ĐIỂM (CỦA NGƯỜI PHẢN BIỆN)
• MỤC LỤC
• DANH MỤC BẢNG
• DANH MỤC HÌNH ẢNH
• DANH MỤC CÁC TỪ VÀ THUẬT NGỮ VIẾT TẮT
• 1. CHƯƠNG 1: TỔNG QUAN VỀ MÃ ĐỘC VÀ PHƯƠNG PHÁP PHÁT HIỆN
• 1.1. Tổng quan về mã độc
• 1.2. Khái niệm về mã độc
• 1.3. Phân loại mã độc
• 1.4. Các nguy cơ về An toàn thông tin liên quan đến mã độc
• 1.5. Kết chương
• 2. CHƯƠNG 2: PHƯƠNG PHÁP PHÁT HIỆN MÃ ĐỘC TRÊN MÁY TRẠM SỬ DỤNG HỌC MÁY
• 2.1. Tổng quan phương pháp tiếp cận
• 2.2. Phương pháp tổng hợp và trích xuất hành vi mã độc
• 2.3. Kiến trúc mô hình
• 2.4. Xây dựng Nơ-ron sơ tiến trình
• 2.5. Tổng hợp và trích xuất thuộc tính dựa trên mô hình Sqn2Vec
• 2.6. Tổng hợp và trích xuất thuộc tính dựa trên mô hình Graph2Vec
• 2.7. Phương pháp phát hiện mã độc
• 2.8. Multi-layer Perceptron (MLP)
• 2.9. Kết chương
• 3. CHƯƠNG 3: THỰC NGHIỆM VÀ ĐÁNH GIÁ
• 3.1. Kịch bản thử nghiệm
• 3.2. Một số kết quả thực nghiệm
• 3.3. Kết quả thực nghiệm kịch bản 1
• 3.4. Kết quả thực nghiệm kịch bản 2
• DANH MỤC TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Nghiên Cứu Phương Pháp Phát Hiện Mã Độc

Nghiên cứu về phát hiện mã độc dựa trên hành vi sử dụng học máy đang trở thành một lĩnh vực quan trọng trong an ninh mạng. Sự gia tăng của các cuộc tấn công mạng đã thúc đẩy nhu cầu phát triển các phương pháp mới để phát hiện và ngăn chặn mã độc. Các phương pháp truyền thống như dựa vào signature đã không còn đủ hiệu quả. Do đó, việc áp dụng học máy để phân tích hành vi người dùng và phát hiện mã độc là một giải pháp tiềm năng.

1.1. Khái Niệm Về Mã Độc Và Hành Vi Sử Dụng

Mã độc là phần mềm được thiết kế để gây hại cho hệ thống máy tính. Hành vi sử dụng của người dùng có thể cung cấp thông tin quý giá để phát hiện mã độc. Việc phân tích hành vi này giúp nhận diện các mẫu hành vi bất thường, từ đó phát hiện mã độc hiệu quả hơn.

1.2. Tầm Quan Trọng Của Học Máy Trong An Ninh Mạng

Học máy cung cấp khả năng phân tích dữ liệu lớn và phát hiện các mẫu hành vi phức tạp. Các thuật toán học máy có thể học từ dữ liệu lịch sử để phát hiện các hành vi bất thường, giúp nâng cao khả năng phát hiện mã độc và bảo vệ hệ thống.

II. Vấn Đề Và Thách Thức Trong Phát Hiện Mã Độc

Mặc dù có nhiều tiến bộ trong việc phát hiện mã độc, nhưng vẫn tồn tại nhiều thách thức. Các phương pháp hiện tại thường gặp khó khăn trong việc phát hiện các biến thể mới của mã độc. Hơn nữa, việc phân tích hành vi người dùng cũng có thể dẫn đến nhiều sai sót nếu không được thực hiện chính xác.

2.1. Hạn Chế Của Các Phương Pháp Truyền Thống

Các phương pháp phát hiện mã độc truyền thống như signature-based thường không thể phát hiện được các biến thể mới. Điều này dẫn đến việc mã độc có thể xâm nhập mà không bị phát hiện, gây ra thiệt hại lớn cho hệ thống.

2.2. Khó Khăn Trong Phân Tích Hành Vi Người Dùng

Phân tích hành vi người dùng là một nhiệm vụ phức tạp. Các hành vi bình thường có thể bị nhầm lẫn với hành vi bất thường, dẫn đến việc phát hiện sai. Điều này yêu cầu các thuật toán học máy phải được tối ưu hóa để giảm thiểu sai sót.

III. Phương Pháp Phát Hiện Mã Độc Dựa Trên Học Máy

Phương pháp phát hiện mã độc dựa trên học máy sử dụng các thuật toán để phân tích hành vi người dùng và phát hiện mã độc. Các mô hình như Graph2Vec và Sequence-MLP đã được áp dụng để cải thiện độ chính xác trong việc phát hiện mã độc.

3.1. Mô Hình Graph2Vec Trong Phát Hiện Mã Độc

Mô hình Graph2Vec cho phép xây dựng đồ thị từ các hành vi của người dùng, từ đó phát hiện mối liên kết giữa các hành vi và mã độc. Phương pháp này đã cho thấy hiệu quả cao trong việc phát hiện mã độc mới.

3.2. Ứng Dụng Sequence MLP Trong Phân Tích Hành Vi

Sequence-MLP là một mô hình học sâu giúp phân tích chuỗi hành vi của người dùng. Mô hình này có khả năng nhận diện các mẫu hành vi bất thường, từ đó phát hiện mã độc một cách hiệu quả hơn.

IV. Ứng Dụng Thực Tiễn Của Phương Pháp Phát Hiện Mã Độc

Các phương pháp phát hiện mã độc dựa trên học máy đã được áp dụng trong nhiều lĩnh vực khác nhau. Từ các tổ chức tài chính đến các công ty công nghệ, việc phát hiện mã độc kịp thời giúp bảo vệ dữ liệu và hệ thống khỏi các cuộc tấn công.

4.1. Ứng Dụng Trong Ngành Tài Chính

Ngành tài chính là một trong những lĩnh vực nhạy cảm nhất với mã độc. Việc áp dụng các phương pháp phát hiện mã độc giúp bảo vệ thông tin tài khoản và giao dịch của khách hàng, giảm thiểu rủi ro tài chính.

4.2. Ứng Dụng Trong Doanh Nghiệp Công Nghệ

Các công ty công nghệ thường xuyên phải đối mặt với các cuộc tấn công mạng. Việc phát hiện mã độc kịp thời giúp bảo vệ hệ thống và dữ liệu quan trọng, đảm bảo hoạt động kinh doanh không bị gián đoạn.

V. Kết Luận Và Tương Lai Của Nghiên Cứu

Nghiên cứu về phương pháp phát hiện mã độc dựa trên hành vi sử dụng học máy đang mở ra nhiều triển vọng mới. Với sự phát triển không ngừng của công nghệ, các phương pháp này sẽ ngày càng trở nên hiệu quả hơn trong việc bảo vệ an ninh mạng.

5.1. Triển Vọng Tương Lai Của Phát Hiện Mã Độc

Với sự phát triển của trí tuệ nhân tạo và học máy, các phương pháp phát hiện mã độc sẽ ngày càng chính xác và nhanh chóng hơn. Điều này sẽ giúp các tổ chức bảo vệ dữ liệu và hệ thống của họ tốt hơn.

5.2. Thách Thức Cần Đối Mặt Trong Tương Lai

Mặc dù có nhiều tiến bộ, nhưng vẫn còn nhiều thách thức cần phải giải quyết. Việc phát hiện mã độc trong thời gian thực và giảm thiểu sai sót vẫn là những vấn đề cần được nghiên cứu và cải thiện.

Trích đoạn nội dung tài liệu

Chương I trình bày khái nhiệm về mã độc và các thông tin liên quan như: phân loại mã độc, các loại mã độc phổ biến. Ngoài ra, các nguy cơ về An toàn thông tin liên quan đến mã độc cũng như thực trạng về An toàn thông tin trên thé giới liên quan cũng sẽ được đề cập. Tổng quan về mã độc 1.1, Khái niệm về mã độc Mã độc (Phần mềm độc hại) là bất kỳ loại phần mềm nào được thiết kế đặc biệt có chủ ý dé phá hủy dữ liệu, gây thiệt hại cho máy tính, máy chủ, máy khách hoặc mang máy tính. Phần mềm độc hại là một thuật ngữ chung được sử dụng dé mô tả vi rút, phần mềm tống tiền, phần mềm gián điệp, Trojan và bất kỳ loại mã hoặc phần mềm nào khác được xây dựng với mục đích xấu.

Phân loại ma độc Ban đầu các phần mềm độc hại được tạo ra bằng cách sống kí sinh và lây nhiễm trên các vật chủ là các chương trình có chứa các nội dung thực thi. Các dạng chương trình độc hại kiêu khác là các chương trình mã độc mà tự chúng có khả năng thực thi một cách độc lập trên các phần mềm hệ thống mà không cần kí sinh trên các vật chủ là các chương trình ứng dụng hay tệp tin. Một cách khác dé phân biệt các loại mã độc khác nhau là dựa trên mục đích và các hành vi của chung. Có 3 đặc điêm thường liên quan với các loại phân mêm độc hại là: - Mã độc tự nhân bản và nỗ lực lây nhiễm bằng việc tạo các bản sao chép mới hoặc các thê hiện của chính nó.

- Sự tăng trưởng về số lượng của phần mềm độc hại mô tả sự thay đổi tổng thé trong đó có số lượng lớn các trường hợp là do tự nhân bản. - Phần mềm độc hại ký sinh yêu cầu một số chương trình mã thực thi khác dé tồn tại. NGUYEN THỊ HOA - D17CQAT01-B 11 ĐỎ AN TOT NGHIỆP CHUONG I Dưới đây là một số loại mã độc phô biến [28]: - Virus boot: Boot virus hay còn gọi là virus boot, là loại virus lây vào boot sector hoặc master boot record của 6 đĩa cứng. Day là các khu vực đặc biệt chứa các dữ liệu dé khởi động hệ thống, nạp các phân vùng.

Boot Virus được thực thi trước khi hệ điều hành được nạp lên vì vậy nó hoàn toàn độc lập với hệ điều hành. B- Virus có nhược điểm là khó viết do không thể sử dụng các dịch vụ, chức năng có sẵn của hệ điều hành và kích thước virus bị hạn chế bởi kích thước của các sector (mỗi sector chỉ có 512 byte). Ngày nay gần không còn thấy sự xuất hiện của Boot Virus do đặc điểm lây lan chậm và không phù hợp với thời đại Internet. - Macro virus: Day là loại virus đặc biệt tan công vào chương trình trong bộ Microsoft Office của Microsoft: Word, Excel, Powerpoint.

Macro là tính nang hỗ trợ trong bộ công cụ văn phòng Microsoft Office cho phép người sử dung lưu lại các công việc cần thực hiện lại nhiều lần. Thực tế hiện nay cho thấy virus macro gan nhu da “tuyét chung”. - Scripting virus: Scripting virus là loại virus được viết bang các ngôn ngữ script (kịch ban) như VBScript, JavaScript, Batch script. Những loại virus nay thường có đặc điểm dễ viết, dé cài đặt.

Chúng thường ty lây lan sang các file script khác, thay đổi nội dung cả các file html dé thêm các thông tin quảng cáo, chèn banner. Day cũng là một loại virus phát triển nhanh chóng nhờ sự phổ biến của Internet. - File virus: Virus này chuyên lây vào các file thực thi (ví dụ file có phan mở rộng .dll) một đoạn mã dé khi file được thực thi, đoạn mã virus sẽ được kích hoạt trước và tiếp tục thực hiện các hành vi phá hoại, lây nhiễm. Loại virus này có đặc điểm lây lan nhanh và khó diệt hơn các loại virus khác do phải xử lý cắt bỏ, chỉnh sửa file bị nhiễm.

File Virus có nhược điểm là chỉ lây vào một số định dang file nhất định và phụ thuộc vào hệ điều hành. F-Virus vẫn t6n tại tới ngày nay với những biến thé ngày càng trở nên nguy hiểm, phức tạp hơn. NGUYEN THỊ HOA - D17CQAT01-B 12 ĐỎ AN TOT NGHIỆP CHUONG I - Trojan horse: Tên của loại virus này được lay theo một điền tích cổ. Trong cuộc chiến với người To-roa, các chiến binh Hy Lạp sau nhiều ngày không thể chiếm được thành đã nghĩ ra một kế, giảng hòa rồi tặng người dân thành Tơ-roa một con ngựa gỗ không lồ.

Sau khi ngựa gỗ được đưa vào thành, đêm đến các chiến binh Hy Lạp từ trong ngựa gỗ chui ra đánh chiếm thành. Đây cũng chính là cách mà các Trojan horse (gọi tắt là Trojan) áp dụng: các đoạn mã của Trojan được “che giấu” trong các loại virus khác hoặc trong các phần mềm máy tính thông thường để bí mật xâm nhập vào máy nạn nhân. Khi tới thời điểm thuận lợi chúng sẽ tiến hành các hoạt động ăn cắp thông tin cá nhân, mật khẩu, điều khiển máy tính nạn nhân. Bản chất của Trojan là không tự lây lan mà phải sử dụng phần mềm khác dé phát tán.

Dựa vào cách hoạt động ta có thể phân chia Trojan thành các loại sau: BackDoor, Adware và Spyware[27]. - BackDoor: Phần mềm BackDoor (cửa sau) là một dang Trojan khi thâm nhập vào máy tính nạn nhân sẽ mở ra một công dịch vụ cho phép kẻ tấn công điều khiển các hoạt động ở máy nạn nhân. Kẻ tan công có thé cài các phần mềm BackDoor lên nhiều máy tính khác nhau thành một mạng lưới các máy bi điều khiển — Botnet — rồi thực hiện các vụ tan công từ chối dịch vụ (DoS — Denial of Service). - Adware va Spyware: Day là loại Trojan khi xâm nhập vào máy tinh với mục đích quảng cáo hoặc “gián điệp”.

Chúng đưa ra các quảng cáo, mở ra các trang web, thay đồi trang mặc định của trình duyệt (homepage). gây khó chịu cho người sử dụng. Các phần mềm này cài đặt các phần mềm ghi lại thao tác bàn phím (keylogger), ăn cắp mật khẩu và thông tin cá nhân. - Worm (sâu máy tính): Cùng với các loại mã độc máy tính như Trojan, WannaCry, Worm (sâu máy tính) là loại virus phát triển và lây lan mạnh mẽ nhất hiện nay nhờ mang Internet.

Vào thời diém ban đâu, Worm được tao ra chỉ với NGUYEN THỊ HOA - D17CQAT01-B 13 ĐỎ AN TOT NGHIỆP CHUONG I mục đích phat tán qua thư điện tử — email. Khi lây vào máy tinh, chúng thực hiện tìm kiếm các số địa chỉ, danh sách email trên máy nạn nhân rồi giả mạo các email để gửi bản thân chúng tới các địa chỉ thu thập được. Các email do worm tạo ra thường có nội dung “giật gân”, hoặc “hấp dẫn”, hoặc trích dẫn một email nào đó ở máy nạn nhân dé ngụy trang. Điều này khiến các email giả mạo trở nên “thật” hơn và người nhận dễ bị đánh lừa hơn.

Nhờ những email giả mạo đó mà Worm lây lan mạnh mẽ trên mạng Internet theo cấp số nhân. Bên cạnh Worm lây lan theo cách truyền thống sử dụng email, Worm hiện nay còn sử dụng phương pháp lân lan qua ô USB. Thiết bị nhớ USB đã trở nên phô biến trên toàn thế giới do lợi thế kích thước nhỏ, cơ động và trở thành phương tiện lây lan lý tưởng cho Worm. Dựa đặc điểm lây lan mạnh mẽ của Worm, những kẻ viết virus đã đưa thêm vào Worm các tính năng phá hoại, ăn cắp thông tin., Worm đã trở thành “bạn đồng hành” của những phần mềm độc hại khác như BackDoor, Adware.

- Rootkit: Rootkit ra đời sau các loại virus khác, nhưng rootkit lại được coi là một trong những loại virus nguy hiểm nhất. Bản thân rootkit không thực sự là virus, đây là phần mềm hoặc một nhóm các phần mềm máy tinh được giải pháp dé can thiệp sâu vào hệ thống máy tính (nhân của hệ điều hành hoặc thậm chí là phần cứng của máy tính) với mục tiêu che giấu bản thân nó. va các loại phần mềm độc hại khác. Với sự xuất hiện của rootkit, các phần mềm độc hại như trở nên “vô hình” trước những công cụ thông thường thậm chí vô hình cả với các phần mềm diệt virus.

Việc phát hiện mã độc và tiêu diệt virus trở nên khó khăn hơn rất nhiều trước sự bảo vệ của rootkit — vốn được trang bị nhiều kỹ thuật mới hiện đại. Xuất hiện lần đầu trên hệ thống Unix từ khá lâu, nhưng ké từ lần xuất hiện “chính thức” trên hệ điều hành Windows vào năm 2005, Rootkit đang dần trở nên phô biến và trở thành công cụ che giấu hữu hiệu cho các loại phần mềm độc hại khác. NGUYEN THỊ HOA - D17CQAT01-B 14 ĐỎ AN TOT NGHIỆP CHUONG I - Botnet: là những máy tính bị nhiễm virus và điều khiển boi Hacker thông qua Trojan, virus. Hacker lợi dụng sức mạnh của những máy tính bị nhiễm virus dé thực hiện các hành vi tấn công, phá hoại, ăn cắp thông tin.

Thiệt hại do Botnet gây ra thường rat lớn. - Biến thể: Một hình thức trong cơ chế hoạt động của virus là tạo ra các biến thể của chúng. Biến thé của virus là sự thay đổi mã nguồn nhằm các mục đích tránh sự phát hiện của phần mềm diệt virus hoặc làm thay đôi hành động của nó. - Virus Hoax: Đây là các cảnh báo giả về virus.

Các cảnh bảo giả này thường núp dưới dạng một yêu cầu khân cấp để bảo vệ hệ thống. Mục tiêu của cảnh báo virus giả là cố gang lôi kéo mọi người gửi cảnh báo càng nhiều càng tốt qua email. Bản thân cảnh báo giả là không gây nguy hiểm trực tiếp nhưng những thư gửi để cảnh báo có thé chữa mã độc hại hoặc trong cảnh báo giả có chứa các chỉ dẫn về thiết lập lại hệ điều hành, xóa file làm nguy hại tới hệ thống. Kiểu cảnh báo giả này cũng gây tốn thời gian và quấy rối bộ phận hỗ trợ kỹ thuật khi có quá nhiêu người gọi đên và yêu câu dịch vụ.

Các mã độc này thường được sử dụng rộng rãi với nhiều mục đích khác nhau nhắm vào các cơ quan chính phủ, các công ty để thu thập các thông tin được bảo vệ hoặc làm gián đoạn các hoạt động của các cơ quan tổ chức. Ngoài ra các dữ liệu thông tin nhạy cảm của người dùng như chỉ tiết nhận dạng cá nhân, tài khoản ngân hang thẻ tín dung,. cũng thường xuyên trở thành mục tiêu của các phần mềm mã độc. Vì vậy cần thực hiện một số các biện pháp thích hợp dé ngăn chặn chúng.

NGUYEN THỊ HOA - D17CQAT01-B 15 ĐỎ AN TOT NGHIỆP CHUONG I 1.