Nghiên Cứu Phương Pháp Phát Hiện Mã Độc Dựa Trên Kỹ Thuật Học Máy

Tài liệu nghiên cứu Luận văn nghiên cứu phương pháp phát hiện mã độc dựa trên các kỹ thuật học máy, tổng hợp lý thuyết và thực hành, cung cấp kiến thức chuyên sâu về kỹ thuật.

• Tác giả: Nguyễn Thị Ngọc Anh
• Người hướng dẫn: TS. Hoàng Xuân Dậu
• Trường học: Học viện công nghệ bưu chính viễn thông
• Chuyên ngành: Hệ thống thông tin
• Đề tài: Nghiên Cứu Phương Pháp Phát Hiện Mã Độc Dựa Trên Kỹ Thuật Học Máy
• Loại tài liệu: Luận văn thạc sĩ kỹ thuật
• Năm xuất bản: 2019
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• 1. CHƯƠNG 1: TỔNG QUAN VỀ MÃ ĐỘC VÀ PHÁT HIỆN MÃ ĐỘC
• 1.1. Tổng quan về mã độc
• 1.1.1. Khái niệm mã độc
• 1.2. Các phương pháp phát hiện mã độc
• 1.2.1. Phương pháp phát hiện dựa trên chữ ký
• 1.2.2. Phương pháp phát hiện dựa trên hành vi
• 1.3. Sự cần thiết của học máy trong phát hiện mã độc
• 1.4. Các nghiên cứu liên quan
• 1.5. Kết luận chương
• 2. CHƯƠNG 2: PHÁT HIỆN MÃ ĐỘC DỰA TRÊN HỌC MÁY
• 2.1. Khái quát về các kỹ thuật học máy
• 2.1.1. Tổng quan về học máy
• 2.1.2. Một số kỹ thuật học máy
• 2.2. Mô hình phát hiện mã độc dựa trên học máy
• 2.3. Kết luận chương
• 3. CHƯƠNG 3: CÀI ĐẶT VÀ THỬ NGHIỆM
• 3.1. Thu thập và tiền xử lý dữ liệu
• 3.1.1. Dữ liệu mẫu
• 3.1.2. Trích xuất đặc trưng
• 3.1.3. Lựa chọn đặc trưng
• 3.2. Huấn luyện và kiểm thử mô hình phát hiện mã độc
• 3.2.1. Support Vector Machines
• 3.3. Kết quả và đánh giá
• 3.4. Kết luận chương
• KẾT LUẬN VÀ KIẾN NGHỊ
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Mã Độc Khái Niệm Phân Loại Lịch Sử

Mã độc là phần mềm được thiết kế để gây hại cho hệ thống máy tính, mạng hoặc người dùng. Mục đích của chúng rất đa dạng, từ đánh cắp thông tin, tống tiền đến phá hoại hệ thống. Mã độc ngày càng trở nên tinh vi, đa dạng và khó phát hiện hơn. Sự phát triển của Internet đã tạo điều kiện cho mã độc lây lan nhanh chóng và gây ra những hậu quả nghiêm trọng. Theo thống kê của Symantec, số lượng mã độc đào tiền ảo tăng đột biến 8,500% trong năm 2017. Các thiết bị IoT cũng trở thành mục tiêu tấn công để khai thác tiền ảo. Lịch sử phát triển của mã độc có thể chia thành ba giai đoạn chính: sơ khai (1971-1999), gia tăng lây nhiễm (2000-2010) và tinh vi, hướng đến lợi nhuận (2010-nay).

1.1. Khái Niệm và Mục Tiêu Của Mã Độc Trong An Ninh Mạng

Mã độc (malware) là thuật ngữ chung chỉ các phần mềm được thiết kế với mục đích gây hại cho hệ thống. Mục tiêu của mã độc rất đa dạng, bao gồm đánh cắp thông tin cá nhân, phá hoại dữ liệu, tống tiền (ransomware), hoặc thậm chí sử dụng máy tính bị nhiễm để thực hiện các cuộc tấn công mạng khác. Mã độc có thể lây lan qua nhiều con đường khác nhau, như email, website độc hại, hoặc các thiết bị lưu trữ di động bị nhiễm. "Mã độc là các phần mềm được thiết kế một cách có chủ đích, dùng để gây thiệt hại tới máy tính cá nhân, máy chủ hoặc hệ thống mạng máy tính."

1.2. Phân Loại Mã Độc Phổ Biến Virus Worm Trojan Ransomware

Có nhiều loại mã độc khác nhau, mỗi loại có đặc điểm và phương thức hoạt động riêng. Virus lây nhiễm vào các tệp tin và tự nhân bản. Worm tự lây lan qua mạng mà không cần tệp tin vật chủ. Trojan giả dạng phần mềm hữu ích để lừa người dùng cài đặt. Ransomware mã hóa dữ liệu và đòi tiền chuộc. Adware hiển thị quảng cáo không mong muốn. Spyware theo dõi hoạt động của người dùng. Rootkit ẩn mình sâu trong hệ thống để duy trì quyền truy cập trái phép. Backdoor tạo "cửa hậu" cho phép kẻ tấn công xâm nhập. Keylogger ghi lại thao tác bàn phím. "Đặc điểm chính của virus máy tính là có khả năng tự nhân bản."

II. Thách Thức Phát Hiện Mã Độc Truyền Thống Giải Pháp Học Máy

Các phương pháp phát hiện mã độc truyền thống dựa trên chữ ký (signature-based detection) gặp nhiều hạn chế trước sự phát triển nhanh chóng của mã độc biến thể và mã độc zero-day. Việc tạo chữ ký cho mã độc đòi hỏi thời gian và công sức, trong khi nhiều mã độc chỉ tồn tại trong thời gian ngắn. Các phương pháp phát hiện dựa trên hành vi (behavior-based detection) có thể phát hiện mã độc mới, nhưng đòi hỏi môi trường giám sát và phân tích phức tạp. Học máy (machine learning) nổi lên như một giải pháp tiềm năng để tự động hóa quá trình xây dựng hồ sơ phát hiện và cải thiện khả năng phát hiện các dạng mã độc mới.

2.1. Hạn Chế Của Phương Pháp Phát Hiện Mã Độc Dựa Trên Chữ Ký

Phương pháp phát hiện dựa trên chữ ký (signature-based detection) hoạt động bằng cách so sánh các mẫu mã độc với một cơ sở dữ liệu các chữ ký đã biết. Nếu một mẫu mã độc khớp với một chữ ký trong cơ sở dữ liệu, nó sẽ bị phát hiện. Tuy nhiên, phương pháp này có một số hạn chế. Nó chỉ có thể phát hiện các mẫu mã độc đã biết, và không thể phát hiện các mẫu mã độc mới hoặc các biến thể của các mẫu mã độc đã biết. "Phương pháp phát hiện này chỉ phù hợp với các dạng mã độc phổ biến, có chữ ký cố định được lưu trong cơ sở dữ liệu."

2.2. Ưu Điểm Của Phát Hiện Mã Độc Dựa Trên Hành Vi và Học Máy

Phát hiện mã độc dựa trên hành vi (behavior-based detection) phân tích hành vi của một chương trình để xác định xem nó có độc hại hay không. Phương pháp này có thể phát hiện các mẫu mã độc mới hoặc các biến thể của các mẫu mã độc đã biết, nhưng nó có thể tốn thời gian và tài nguyên. Học máy (machine learning) có thể được sử dụng để tự động hóa quá trình phân tích hành vi và cải thiện độ chính xác của việc phát hiện mã độc. "Ưu điểm của việc ứng dụng học máy trong phát hiện mã độc là có thể tự động hóa quá trình xây dựng hồ sơ phát hiện và cải thiện khả năng phát hiện các dạng mã độc mới."

III. Phương Pháp Học Máy Phổ Biến Trong Phát Hiện Mã Độc

Nhiều thuật toán học máy (machine learning algorithms) có thể được sử dụng để phát hiện mã độc, bao gồm SVM (Support Vector Machine), Random Forest, Decision Tree, k-NN (k-Nearest Neighbors) và Naive Bayes. Mỗi thuật toán có ưu điểm và nhược điểm riêng, và hiệu quả của chúng phụ thuộc vào đặc điểm của dữ liệu huấn luyện. Việc lựa chọn thuật toán học máy phù hợp là rất quan trọng để đạt được hiệu quả phát hiện cao.

3.1. Ứng Dụng SVM Support Vector Machine Trong Phân Loại Mã Độc

SVM (Support Vector Machine) là một thuật toán học máy có giám sát được sử dụng để phân loại dữ liệu. Trong bối cảnh phát hiện mã độc, SVM có thể được sử dụng để phân loại các tệp tin là độc hại hoặc không độc hại dựa trên các đặc trưng của chúng. SVM hoạt động bằng cách tìm một siêu phẳng (hyperplane) tối ưu để phân tách các điểm dữ liệu thuộc các lớp khác nhau. "SVM là một thuật toán học máy có giám sát được sử dụng để phân loại dữ liệu."

3.2. Sử Dụng Random Forest và Decision Tree Để Phát Hiện Mã Độc

Random Forest và Decision Tree là các thuật toán học máy dựa trên cây quyết định. Chúng có thể được sử dụng để phân loại các tệp tin là độc hại hoặc không độc hại dựa trên các đặc trưng của chúng. Decision Tree xây dựng một cây quyết định để phân loại dữ liệu, trong khi Random Forest xây dựng nhiều cây quyết định và kết hợp kết quả của chúng để đưa ra dự đoán cuối cùng. "Decision Tree xây dựng một cây quyết định để phân loại dữ liệu, trong khi Random Forest xây dựng nhiều cây quyết định và kết hợp kết quả của chúng để đưa ra dự đoán cuối cùng."

3.3. K NN K Nearest Neighbors và Naive Bayes Trong Phát Hiện Mã Độc

k-NN (k-Nearest Neighbors) là một thuật toán học máy không tham số, phân loại một mẫu dữ liệu dựa trên k mẫu dữ liệu gần nhất trong không gian đặc trưng. Naive Bayes là một thuật toán phân loại dựa trên định lý Bayes với giả định về tính độc lập giữa các đặc trưng. Cả hai thuật toán đều có thể được sử dụng để phát hiện mã độc, nhưng hiệu quả của chúng phụ thuộc vào đặc điểm của dữ liệu. "k-NN là một thuật toán học máy không tham số, phân loại một mẫu dữ liệu dựa trên k mẫu dữ liệu gần nhất trong không gian đặc trưng."

IV. Quy Trình Xây Dựng Mô Hình Phát Hiện Mã Độc Bằng Học Máy

Quy trình xây dựng mô hình phát hiện mã độc bằng học máy bao gồm các bước chính: thu thập và tiền xử lý dữ liệu huấn luyện, trích xuất đặc trưng (feature extraction), lựa chọn đặc trưng (feature selection), huấn luyện mô hình và đánh giá hiệu năng. Dữ liệu huấn luyện cần phải đa dạng và đại diện cho các loại mã độc khác nhau. Trích xuất đặc trưng là quá trình chuyển đổi dữ liệu thô thành các đặc trưng số có thể sử dụng được bởi các thuật toán học máy. Lựa chọn đặc trưng giúp giảm số lượng đặc trưng và cải thiện hiệu năng của mô hình.

4.1. Thu Thập và Tiền Xử Lý Dữ Liệu Huấn Luyện Mã Độc

Việc thu thập và tiền xử lý dữ liệu huấn luyện là một bước quan trọng trong quy trình xây dựng mô hình phát hiện mã độc. Dữ liệu huấn luyện cần phải đa dạng và đại diện cho các loại mã độc khác nhau. Quá trình tiền xử lý bao gồm làm sạch dữ liệu, loại bỏ các giá trị thiếu hoặc không hợp lệ, và chuẩn hóa dữ liệu để đảm bảo rằng các đặc trưng có cùng tỷ lệ. "Dữ liệu huấn luyện cần phải đa dạng và đại diện cho các loại mã độc khác nhau."

4.2. Trích Xuất và Lựa Chọn Đặc Trưng Feature Selection Hiệu Quả

Trích xuất đặc trưng (feature extraction) là quá trình chuyển đổi dữ liệu thô thành các đặc trưng số có thể sử dụng được bởi các thuật toán học máy. Các đặc trưng có thể bao gồm các thuộc tính của tệp tin, các opcode, hoặc các system call. Lựa chọn đặc trưng (feature selection) giúp giảm số lượng đặc trưng và cải thiện hiệu năng của mô hình bằng cách loại bỏ các đặc trưng không liên quan hoặc dư thừa. "Trích xuất đặc trưng là quá trình chuyển đổi dữ liệu thô thành các đặc trưng số có thể sử dụng được bởi các thuật toán học máy."

V. Ứng Dụng Thực Tế Đánh Giá Hiệu Quả Mô Hình Phát Hiện Mã Độc

Mô hình phát hiện mã độc dựa trên học máy có thể được triển khai trong nhiều ứng dụng khác nhau, như phần mềm diệt virus, hệ thống phát hiện xâm nhập (IDS), và hệ thống phân tích malware. Hiệu quả của mô hình được đánh giá dựa trên các chỉ số như độ chính xác (accuracy), tỷ lệ phát hiện (detection rate), false positive và false negative. Việc đánh giá cần được thực hiện trên một tập dữ liệu kiểm thử độc lập để đảm bảo tính khách quan.

5.1. Triển Khai Mô Hình Học Máy Trong Phần Mềm Diệt Virus

Mô hình phát hiện mã độc dựa trên học máy có thể được tích hợp vào phần mềm diệt virus để cải thiện khả năng phát hiện các mẫu mã độc mới và biến thể. Mô hình có thể được sử dụng để phân tích các tệp tin và xác định xem chúng có độc hại hay không. Khi một tệp tin được xác định là độc hại, phần mềm diệt virus sẽ thực hiện các hành động thích hợp, chẳng hạn như cách ly hoặc xóa tệp tin. "Mô hình phát hiện mã độc dựa trên học máy có thể được tích hợp vào phần mềm diệt virus để cải thiện khả năng phát hiện các mẫu mã độc mới và biến thể."

5.2. Đánh Giá Độ Chính Xác và Tỷ Lệ Phát Hiện Mã Độc Detection Rate

Hiệu quả của mô hình phát hiện mã độc được đánh giá dựa trên các chỉ số như độ chính xác (accuracy), tỷ lệ phát hiện (detection rate), false positive và false negative. Độ chính xác đo lường tỷ lệ các dự đoán đúng trên tổng số dự đoán. Tỷ lệ phát hiện đo lường tỷ lệ các mẫu mã độc được phát hiện chính xác. False positive là số lượng các tệp tin không độc hại bị xác định nhầm là độc hại. False negative là số lượng các mẫu mã độc không được phát hiện. "Hiệu quả của mô hình được đánh giá dựa trên các chỉ số như độ chính xác (accuracy), tỷ lệ phát hiện (detection rate), false positive và false negative."

VI. Kết Luận Hướng Nghiên Cứu Tương Lai Về Phát Hiện Mã Độc

Nghiên cứu và ứng dụng học máy trong phát hiện mã độc là một lĩnh vực đầy tiềm năng. Các hướng nghiên cứu tương lai có thể tập trung vào việc phát triển các thuật toán học máy mới, cải thiện hiệu quả trích xuất đặc trưng, và xử lý dữ liệu lớn (big data) về mã độc. Ngoài ra, việc nghiên cứu các phương pháp chống lại các kỹ thuật tấn công đối nghịch (adversarial attacks) cũng là một hướng đi quan trọng.

6.1. Tóm Tắt Kết Quả Nghiên Cứu và Đóng Góp

Nghiên cứu này đã trình bày tổng quan về các phương pháp phát hiện mã độc dựa trên học máy, bao gồm các thuật toán học máy phổ biến, quy trình xây dựng mô hình, và các chỉ số đánh giá hiệu quả. Nghiên cứu cũng đã thảo luận về các ứng dụng thực tế của mô hình phát hiện mã độc trong phần mềm diệt virus và các hệ thống an ninh mạng. Kết quả nghiên cứu cho thấy học máy là một công cụ hiệu quả để phát hiện mã độc, nhưng cần phải lựa chọn thuật toán và đặc trưng phù hợp để đạt được hiệu quả cao nhất.

6.2. Hướng Nghiên Cứu Phát Triển Các Thuật Toán Học Sâu Deep Learning

Trong tương lai, việc nghiên cứu và phát triển các thuật toán học sâu (deep learning) cho phát hiện mã độc là một hướng đi đầy hứa hẹn. Học sâu có khả năng tự động học các đặc trưng phức tạp từ dữ liệu thô, giúp cải thiện hiệu quả phát hiện mã độc. Tuy nhiên, học sâu cũng đòi hỏi lượng dữ liệu huấn luyện lớn và tài nguyên tính toán đáng kể. "Trong tương lai, việc nghiên cứu và phát triển các thuật toán học sâu (deep learning) cho phát hiện mã độc là một hướng đi đầy hứa hẹn."

Nội dung chính

Tổng quan nghiên cứu

Theo báo cáo an ninh mạng từ Cisco, có tới 95% mẫu mã độc mới chưa đầy 24 giờ tuổi khi bị phát hiện trong thực tế, khiến các cơ chế phòng thủ truyền thống hoàn toàn bị động. Đồng thời, thống kê từ Symantec chỉ ra số lượng mã độc đào tiền ảo đã tăng đột biến 8.500%, các cuộc tấn công nhằm vào thiết bị IoT tăng 600%, và mã độc trên thiết bị di động tăng 54% chỉ trong vòng một năm. Thực trạng này cho thấy không gian mạng đang đối mặt với làn sóng phần mềm độc hại phát triển theo cấp số nhân với mức độ tinh vi chưa từng có.

Phương pháp rà quét dựa trên chữ ký (signature-based) bộc lộ hạn chế chí mạng khi đối đầu với mã độc đa hình, mã độc biến hình và các cuộc tấn công zero-day. Việc phân tích tĩnh mã nguồn thủ công tiêu tốn nhiều ngày công của chuyên gia, trong khi phương pháp heuristics truyền thống thường xuyên phát sinh tỷ lệ dương tính giả và âm tính giả ở mức cao. Nhằm giải quyết triệt để vấn đề này, luận văn thạc sĩ chuyên ngành Hệ thống thông tin của tác giả Nguyễn Thị Ngọc Anh, dưới sự hướng dẫn khoa học của TS. Hoàng Xuân Dậu tại Học viện Công nghệ Bưu chính Viễn thông, tập trung nghiên cứu giải pháp tự động hóa nhận dạng mã độc thông qua việc kết hợp phân tích hành vi động và các kỹ thuật học máy tiên tiến.

Mục tiêu cụ thể của công trình là xây dựng mô hình trích xuất đặc trưng hành vi thực thi từ môi trường hộp cát có giám sát, tối ưu hóa không gian vector đặc trưng và thử nghiệm so sánh 5 thuật toán học máy phổ biến nhằm tìm ra mô hình tối ưu nhất. Phạm vi nghiên cứu tập trung vào 1.503 mẫu tệp tin thực thi trên hệ điều hành Windows được thu thập từ các nguồn quốc tế uy tín trong giai đoạn 2017-2018. Kết quả nghiên cứu mang ý nghĩa thực tiễn to lớn khi thiết lập mô hình phân loại đạt độ chính xác ấn tượng lên tới 99,63%, đồng thời triệt tiêu hoàn toàn tỷ lệ bỏ sót mã độc nguy hiểm về mức 0%.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng trên nền tảng lý thuyết học máy có giám sát (Supervised Learning) phục vụ bài toán phân lớp nhị phân, phân biệt giữa tệp tin lành tính (Benign) và tệp tin độc hại (Malicious). Khung lý thuyết tích hợp 5 thuật toán phân loại tiêu biểu: Thuật toán K láng giềng gần nhất (K-Nearest Neighbors - KNN) dựa trên việc bỏ phiếu đa số theo khoảng cách hình học; Thuật toán Máy vector hỗ trợ (Support Vector Machines - SVM) với mục tiêu tối đa hóa khoảng cách biên (Margin) giữa siêu phẳng phân chia và các vector hỗ trợ; Cây quyết định J48 (phiên bản cài đặt của thuật toán ID3/C4.5) vận hành dựa trên chỉ số Entropy và Độ lợi thông tin (Information Gain); Thuật toán Rừng ngẫu nhiên (Random Forest) kết hợp kỹ thuật lấy mẫu Bootstrap và tổng hợp ý kiến từ nhiều cây quyết định độc lập; cùng Thuật toán Naive Bayes dựa trên định lý xác suất Bayes với giả định các đặc trưng độc lập có điều kiện.

Bên cạnh đó, luận văn ứng dụng sâu sắc 4 khái niệm cốt lõi trong an toàn thông tin: Phân tích hành vi động (Dynamic Analysis) thông qua việc giám sát tiến trình đang thực thi; Môi trường hộp cát (Sandbox Environment) cho phép cô lập và ghi nhận toàn bộ tương tác hệ thống; Vector đặc trưng ma trận tần suất biểu diễn số lần gọi hàm API (Application Programming Interface), các mã trả về (Return Codes) và trạng thái thành công/thất bại; và Thuật toán chọn lọc đặc trưng Boruta phát triển trên ngôn ngữ R nhằm loại bỏ các biến dư thừa dựa trên thuật toán Random Forest.

Phương pháp nghiên cứu

Nghiên cứu sử dụng tập dữ liệu thực nghiệm gồm 1.503 mẫu tệp tin, bao gồm 1.077 mẫu mã độc (chiếm 71,66%) và 426 mẫu lành tính (chiếm 28,34%). Cơ cấu mã độc đa dạng bao gồm 48% Virus, 32% Trojan, 10% Worm và 10% các dạng khác như Ransomware, Spyware, Rootkit và Backdoor được trích xuất từ hai kho lưu trữ mã độc Contagio và VX Heaven. Phương pháp chọn mẫu phân tầng ngẫu nhiên được áp dụng để chia dữ liệu theo tỷ lệ chuẩn: 2/3 dành cho tập huấn luyện (Train set) và 1/3 dành cho tập kiểm thử độc lập (Test set).

Hệ thống thử nghiệm sử dụng Cuckoo Sandbox với máy chủ chạy Ubuntu 16.04 x64 (RAM 4GB) điều khiển máy khách ảo hóa Windows 7 Professional x86 (RAM 1GB) trang bị đầy đủ các phần mềm ứng dụng như Microsoft Office, Adobe Reader và Java JRE. Toàn bộ hành vi ghi file, thay đổi registry, tạo tiến trình và 14.789 lời gọi API được ghi nhận dưới định dạng JSON. Quá trình xử lý dữ liệu trích xuất thành ma trận tần suất và sử dụng thuật toán Boruta chia nhỏ theo từng tập con để rút gọn còn 99 đặc trưng quan trọng nhất. Lý do lựa chọn phương pháp phân tích này là nhằm phản ánh chính xác bản chất tương tác hệ thống của phần mềm độc hại, vượt qua kỹ thuật làm rối mã nguồn tĩnh. Timeline nghiên cứu được thực hiện hoàn chỉnh từ tháng 10/2017 đến tháng 10/2018 và nghiệm thu năm 2019.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình kiểm thử nghiêm ngặt trên tập dữ liệu thử nghiệm độc lập đã mang lại 4 phát hiện quan trọng:

• Thuật toán KNN đạt hiệu năng xuất sắc nhất: Trong tổng số 273 mẫu kiểm thử chi tiết, KNN nhận diện chính xác 58/59 tệp lành tính (độ chính xác 98,3%) và phân loại đúng 214/214 tệp mã độc (đạt 100%). Độ chính xác tổng thể đạt tới 99,63% với tỷ lệ âm tính giả (False Negative - FN) bằng đúng 0%, đồng nghĩa không bỏ sót bất kỳ mẫu mã độc nào.
• SVM và Cây quyết định J48 duy trì độ ổn định rất cao: Thuật toán SVM đạt độ chính xác 98,90%, nhận diện đúng 57 tệp lành tính và 211 tệp mã độc (chỉ có 3 mẫu nhận diện nhầm). Cây quyết định J48 đạt độ chính xác 98,53%, phát hiện chính xác 212/214 mẫu độc hại và 57/59 mẫu lành tính.
• Hiệu quả vượt trội của quy trình rút gọn đặc trưng: Từ tập 14.789 thuộc tính ban đầu, việc tinh lọc xuống 99 đặc trưng cốt lõi (giảm hơn 99,3% số chiều dữ liệu) không làm suy giảm chất lượng phân loại mà giúp giảm tải 85% thời gian huấn luyện mô hình.
• Hạn chế nghiêm trọng của Naive Bayes: Thuật toán chỉ đạt độ chính xác 54,21%, với tỷ lệ âm tính giả lên tới 57,5% (nhận diện sai 123/214 mẫu mã độc thành tệp tin bình thường), chứng minh sự không phù hợp của thuật toán xác suất độc lập đối với dữ liệu API.

Thảo luận kết quả

Khi biểu diễn trực quan hóa kết quả nghiên cứu, dữ liệu có thể được mô tả hiệu quả thông qua biểu đồ cột so sánh tỷ lệ chính xác (Accuracy) và ma trận nhầm lẫn (Confusion Matrix) dạng bảng 2x2 cho từng thuật toán. Biểu đồ chỉ ra sự phân hóa rõ rệt giữa hai nhóm thuật toán: nhóm hình học/cây (KNN, SVM, J48, Random Forest) đều đạt độ chính xác trên 98,5%, trong khi nhóm xác suất độc lập (Naive Bayes) giảm sâu xuống dưới 55%.

Nguyên nhân cốt lõi dẫn đến sự thất bại của Naive Bayes là vì thuật toán này dựa trên giả định các đặc trưng hoàn toàn độc lập với nhau. Trong thực tế hệ điều hành, các lời gọi API luôn có mối quan hệ phụ thuộc tuần tự chặt chẽ (ví dụ hành vi mở file OpenFile bắt buộc phải đi kèm thao tác ghi file WriteFile và thay đổi khóa RegSetValue). Ngược lại, KNN và SVM thể hiện ưu thế vượt trội nhờ khả năng nắm bắt cấu trúc không gian phi tuyến tính của ma trận tần suất sau khi đã được tinh lọc qua bộ chọn đặc trưng Boruta. Khi so sánh với các công trình quốc tế như nghiên cứu của Dragos Gavrilut (độ chính xác 69% đến 93%), nghiên cứu của Singhal và Raul (đạt 97%), hay nghiên cứu của Alazab (đạt 97,6%), kết quả 99,63% của luận văn khẳng định tính đúng đắn và vượt trội của phương pháp kết hợp ma trận tần suất API và chọn lọc đặc trưng đa tầng.

Đề xuất và khuyến nghị

Dựa trên kết quả thực nghiệm, luận văn đưa ra 4 khuyến nghị then chốt nhằm ứng dụng học máy vào thực tiễn giám sát an ninh mạng:

• Tích hợp mô hình KNN và SVM vào hệ thống phát hiện xâm nhập (IDS/IPS): Đội ngũ kỹ sư an toàn thông tin tại các trung tâm điều hành an ninh mạng (SOC) cần triển khai nhúng trực tiếp mô hình phân loại dựa trên KNN vào gateway mạng trong vòng 3 đến 6 tháng tới, nhằm tự động phát hiện mã độc với mục tiêu duy trì tỷ lệ phát hiện trên 99% và giảm tải 70% công việc điều tra thủ công.
• Xây dựng hệ thống phân tích động cụm phân tán: Bộ phận hạ tầng công nghệ thông tin cần thiết lập hệ thống Cuckoo Sandbox đa node sử dụng công nghệ ảo hóa đám mây trong vòng 6 đến 9 tháng, nâng năng lực xử lý đạt trên 10.000 tệp tin nghi ngờ mỗi ngày với thời gian phân tích trung bình dưới 60 giây mỗi mẫu.
• Định kỳ tái huấn luyện và cập nhật bộ đặc trưng Boruta: Các chuyên gia phân tích mã độc cần thực hiện quy trình rà soát và lựa chọn lại 99 đặc trưng API quan trọng theo chu kỳ 3 tháng một lần, đảm bảo mô hình học máy kịp thời thích ứng với các biến thể mã độc mới xuất hiện trên không gian mạng.
• Nâng cấp cơ chế phòng chống kỹ thuật né tránh hộp cát (Anti-Sandbox): Nhóm nghiên cứu phát triển phần mềm an ninh cần bổ sung các kỹ thuật giả lập môi trường người dùng thật (mô phỏng thao tác chuột, độ trễ thời gian, cấu hình phần cứng đa dạng) trong vòng 12 tháng, nhằm vô hiệu hóa ít nhất 95% khả năng nhận biết máy ảo của các loại mã độc tinh vi.

Đối tượng nên tham khảo luận văn

Luận văn là tài liệu tham khảo giá trị cho 4 nhóm đối tượng chuyên môn:

• Chuyên viên phân tích mã độc và kỹ sư SOC/CERT: Tiếp cận giải pháp tự động hóa trích xuất log phân tích từ Cuckoo Sandbox thành ma trận số học, áp dụng trực tiếp để xây dựng hệ thống phân loại tệp tin độc hại tự động cho doanh nghiệp.
• Học viên cao học và nhà nghiên cứu an toàn thông tin: Nắm bắt phương pháp luận khoa học trong việc kết hợp phân tích động với thuật toán chọn lọc đặc trưng Boruta trên R, làm tiền đề mở rộng nghiên cứu sang học sâu (Deep Learning) và phân tích luồng mạng (PCAP).
• Doanh nghiệp phát triển giải pháp diệt virus và Endpoint Protection (EDR): Tham khảo kiến trúc chuyển đổi từ nhận diện dựa trên chữ ký sang nhận diện dựa trên hành vi động, tối ưu hóa module AI trên các thiết bị đầu cuối với độ chính xác đạt trên 98,5%.
• Quản trị viên hệ thống mạng tại các tổ chức ngân hàng, viễn thông: Hiểu rõ cơ chế hoạt động của các họ mã độc phổ biến (Trojan, Ransomware, Worm) để xây dựng chính sách cách ly và kiểm thử tự động các tệp tin lạ trước khi cho phép người dùng tải về máy trạm.

Câu hỏi thường gặp

Phương pháp phát hiện mã độc dựa trên chữ ký bộc lộ nhược điểm gì trước mã độc hiện đại?
Phương pháp chữ ký chỉ nhận diện được các mẫu mã độc đã biết với chuỗi băm hoặc đoạn mã cố định trong cơ sở dữ liệu. Trước các kỹ thuật đa hình, xáo trộn mã và nén tệp, mã độc có thể thay đổi chữ ký liên tục. Hơn nữa, báo cáo thực tế cho thấy 95% mã độc chưa đầy 1 ngày tuổi khi phát tán, khiến việc chờ cập nhật chữ ký trở nên quá muộn.

Cuckoo Sandbox đóng vai trò gì trong toàn bộ quy trình phát hiện mã độc?
Cuckoo Sandbox đóng vai trò là môi trường ảo hóa an toàn và biệt lập để thực thi tệp tin nghi ngờ. Hệ thống tự động ghi lại toàn bộ tương tác hệ thống như các khóa registry, tiến trình, kết nối mạng và các lời gọi hàm API, tạo ra báo cáo định dạng JSON phục vụ trực tiếp cho quá trình trích xuất đặc trưng của học máy.

Vì sao thuật toán Naive Bayes lại cho kết quả kém hơn rất nhiều so với KNN và SVM?
Naive Bayes dựa trên giả định toán học rằng mọi đặc trưng đều độc lập với nhau. Tuy nhiên, các lời gọi API của mã độc luôn có mối tương quan và trình tự logic chặt chẽ khi tấn công hệ thống. Sự vi phạm giả định này khiến Naive Bayes chỉ đạt độ chính xác 54,21% và tỷ lệ bỏ sót mã độc lên tới 57,5%.

Làm thế nào để giảm từ 14.789 đặc trưng ban đầu xuống 99 đặc trưng tối ưu?
Nghiên cứu sử dụng thuật toán Boruta trong ngôn ngữ R dựa trên mô hình Random Forest để đánh giá mức độ suy giảm độ chính xác (Mean Decrease Accuracy). Do dữ liệu ban đầu quá lớn, tập dữ liệu được chia nhỏ thành các tập con để xử lý song song, sau đó hợp nhất các đặc trưng quan trọng nhất và lọc lại để thu được 99 đặc trưng cốt lõi.

Tỷ lệ âm tính giả (False Negative) bằng 0% của thuật toán KNN có ý nghĩa gì trong thực tế?
Tỷ lệ âm tính giả bằng 0% đồng nghĩa với việc mô hình phát hiện chính xác 100% các mẫu mã độc mà không để lọt bất kỳ mối đe dọa nào sang nhóm tệp tin bình thường. Trong an ninh mạng, việc bỏ sót một file mã độc nguy hiểm hơn rất nhiều so với việc cảnh báo nhầm một file an toàn, do đó đây là chỉ số an toàn lý tưởng.

Kết luận

• Tự động hóa toàn diện: Công trình đã xây dựng thành công quy trình tự động từ phân tích động bằng Cuckoo Sandbox đến tiền xử lý ma trận tần suất API.
• Tối ưu hóa dữ liệu: Rút gọn thành công hơn 99,3% số chiều đặc trưng (từ 14.789 xuống 99 đặc trưng) nhờ thuật toán Boruta, tiết kiệm tối đa tài nguyên tính toán.
• Hiệu năng vượt trội: Thuật toán KNN chứng minh hiệu quả số một với độ chính xác 99,63% và tỷ lệ bỏ lọt mã độc bằng 0%, theo sau sát sao bởi SVM (98,90%) và J48 (98,53%).
• Lộ trình kế tiếp: Mở rộng tập mẫu thử nghiệm lên hơn 10.000 tệp tin, nghiên cứu hành vi trên hệ điều hành 64-bit và tích hợp mạng nơ-ron học sâu (Deep Learning) trong giai đoạn tiếp theo.
• Khuyến nghị hành động: Các cơ quan, doanh nghiệp và nhà phát triển phần mềm an ninh nên ứng dụng ngay mô hình phân loại dựa trên hành vi động để nâng cao năng lực chủ động phòng thủ không gian mạng.

Trích đoạn nội dung tài liệu

chương 1 đề cập đến khái niệm mã độc và tác hại của nó, lịch sử hình thành và phát triển của mã độc, các dạng mã độc phổ biến hiện nay. Ngoài ra cũng nêu lên các phương pháp phân tích và phát hiện mã độc, sự cần thiết của học máy trong việc phát hiện mã độc và giới thiệu một số nghiên cứu liên quan.1 Tổng quan về mã độc 1.1 Khái niệm mã độc Mã độc là các phần mềm được thiết kế một cách có chủ đích, dùng để gây thiệt hại tới máy tính cá nhân, máy chủ hoặc hệ thống mạng máy tính. Mục đích của mã độc là thực thi các hành vi bất hợp pháp như: truy cập trái phép, đánh cắp thông tin người dùng, lây lan thư rác, thậm chí thực hiện các hành vi tống tiền, tấn công và gây tổn thương cho các hệ thống máy tính… nhằm chuộc lợi cá nhân, hoặc các lợi ích về kinh tế, chính trị hay đơn giản chúng có khi được tạo ra chỉ là một trò đùa ác ý nào đó. Kể từ khi Internet bắt đầu phát triển, các phần mềm độc hại cũng nhắm đến lợi ích nhiều hơn.

Từ năm 2003, mục đích chính của việc phát tán virus và worm là chiếm quyền điều khiển máy tính người dùng một cách bất hợp pháp. Các máy bị lây nhiễm có thể được dùng để gửi email rác, lưu trữ các nội dung không lành mạnh, hoặc tham gia vào tấn công từ chối dịch vụ phân tán. Năm 2017 là năm bùng nổ của các loại mã độc tống tiền (ransomware) và các loại mã độc đào tiền ảo. Theo thống kê từ Symatec [26], số lượng mã độc đào tiền ảo được phát hiện trong năm 2017 tăng 8,500% so với các năm trước.

Liên quan tới đào tiền ảo, các thiết bị IoT cũng là một mục tiêu được nhắm đến. Cũng theo Symatec, số lượng các cuộc tấn công nhằm vào thiết bị IoT tăng 600%, tức là tội phạm mạng có thể lợi dụng mối liên kết giữa các thiết bị này để đào tiền ảo trên diện rộng. 4 Mối đe dọa của mã độc đối với các thiết bị di động cũng đang ngày càng gia tăng.1 thể hiện số lượng mã độc trên thiết bị di động được phát hiện trong năm 2017 tăng 54% so với năm 2016 [26].1 Thống kê số lượng mã độc trên điện thoại di động 2016-2017 Vậy mã độc xuất hiện từ khi nào? Theo [30], ý tưởng về virus máy tính đã xuất hiện từ năm 1949, khi nhà khoa học máy tính John von Neumann nêu lên trong bài báo của ông về một chương trình máy tính có thể tự nhân bản nó. Đến những năm 1950, ý tưởng của Von Neumann đã được các thành viên tại Bell Labs biến thành hiện thực với một trò chơi tên là “Core Wars”.

Trong trò chơi, người lập trình sẽ thả các “sinh vật” để cạnh tranh quyền điều khiển máy tính. Tài liệu đầu tiên về virus máy tính xuất hiện vào đầu những năm 1970, trình bày về “Creeper Worm”, một chương trình có khả năng tự nhân bản được viết bởi Bob Thomas [9]. Creeper lấy quyền truy cập thông qua ARPANET, tự nhân bản nó tới các hệ thống từ xa và hiển thị đoạn tin nhắn: “I’m the creeper, catch me if you can!”. Quá trình phát triển của mã độc có thể được chia làm 3 giai đoạn chính [23]: - Những năm đầu (1971 – 1999): thời kỳ này mã độc vẫn còn sơ khai, chủ yếu lây lan qua đĩa mềm truyền từ máy tính này sang máy tính khác một cách thủ công.

Khi mạng và internet phát triển, người viết mã độc cũng nhanh chóng 5 thích nghi và tận dụng phương tiện truyền thông mới này. Một số mã độc nổi tiếng trong thời kỳ này: Creeper (1971), Wabbit (1974), Brain Boot Sector Virus (1986), Morris Worm (1988), Melissa Virus (1999),… - Tỉ lệ lây nhiễm bắt đầu gia tăng (2000 – 2010): trong khoảng thời gian này, mã độc đã gia tăng đáng kể, về cả số lượng và tốc độ lây lan. Toolkits bắt đầu xuất hiện, các bộ công cụ nhắm vào các websites cũng trở nên phổ biến, khiến cho số lượng websites bị tấn công ngày càng nhiều. Một số mã độc đáng chú ý: ILOVEYOU Worm (2000), SQL Slammer Worm (2003), Conficker Worm (2008),… - Được chính phủ tài trợ, tinh vi hơn và hướng đến lợi nhuận (2010 – nay): kể từ năm 2010 đến nay, mã độc đã và đang tiến hóa ngày một tinh vi hơn.

Các nhóm tội phạm có tổ chức và được tài trợ bởi chính phủ vẫn đang tiếp tục phát triển các loại mã độc tiên tiến, có khả năng vượt qua các hệ thống diệt virus thông thường. Mã độc được sử dụng để tấn công các doanh nghiệp, hệ thống quân sự, và việc kiếm tiền từ các phần mềm độc hại này cũng đang gia tăng nhanh chóng, thông qua ransomware và các phần mềm bất hợp khác. Một số mã độc có tác hại đáng kể trong giai đoạn này: Stuxnet Worm (2010), Zues Trojan (2011), Cryptolocker (2013), WannaCry Ransomware (2017),… Từ những khởi đầu đơn giản và vô hại, mã độc đã trở thành mối đe dọa vô cùng lớn cho người dùng trên toàn thế giới. Mặc dù ngành công nghiệp an ninh mạng đang nỗ lực hết sức mình để kiểm soát mã độc – và đã thành công phần nào, tội phạm mạng vẫn không có dấu hiệu ngừng lại mà ngày càng nguy hiểm và đa dạng hơn.2 Các dạng mã độc Để hiểu rõ hơn về phương thức và logic hoạt động của mã độc, người ta phân loại mã độc thành các lớp, dựa theo mục đích của chúng.

a) Virus máy tính Đặc điểm chính của virus máy tính là có khả năng tự nhân bản. Nó thường tấn công và lây nhiễm vào các tệp tin trên hệ thống nạn nhân. Sau khi lây nhiễm vào tệp tin, virus sẽ tự động tải và chạy mà không cần quyền từ người dùng. Khi được thực 6 thi nó sẽ cố gắng sao chép chính nó vào bên trong một mã thực thi khác.

Các mã lây nhiễm khi chạy có thể tiếp tục lây nhiễm sang các mã mới. Sự tự sao chép này là một đặc tính quan trọng của virus. Khi virus được lây nhiễm nó có thể thực hiện một loạt các hành vi như thay đổi, xóa, hay sao chép các tệp tin cũng như phát tán chúng trên các hệ thống máy tính. Ngoài khả năng đánh cắp và làm hỏng dữ liệu, virus còn tiêu tốn tài nguyên hệ thống – khiến cho hệ thống máy chủ trở nên chậm chạp hoặc thậm chí bị vô hiệu hóa.

Một đặc điểm thường gặp ở virus là chúng được che giấu khá kĩ, khiến cho chúng khó có thể bị phát hiện. b) Worm Cũng như virus, worm có khả năng tự nhân bản chính nó. Tuy nhiên, worm không cần phải lây nhiễm vào một tệp tin cụ thể. Worm có thể phát tán thông qua hệ thống mạng, dựa vào lỗi bảo mật để truy cập vào máy tính của nạn nhân, sau đó đánh cắp hoặc xóa dữ liệu.

Nhiều worm được thiết kế chỉ để tự phát tán chính nó mà không gây tổn hại đến hệ thống mà nó đi qua. c) Trojan Mã độc Trojan Horse là một cái tên được xuất phát từ một điển tích “Con ngựa thành Troy” trong thần thoại Hy Lạp. Tội phạm mạng sẽ cải trang trojan thành các phần mềm hữu ích và thuyết phục người dùng cài đặt nó. Do vậy, cách phát tán chính của trojan là sử dụng social engineering.

Payload của trojan thường có dạng cửa hậu, cho phép kẻ tấn công truy cập bất hợp pháp vào máy tính của nạn nhân. Kẻ tấn công có thể thu thập thông tin cá nhân của người dùng như địa chỉ IP, mật khẩu và thông tin thanh toán ngân hàng. Chúng thường cài đặt keylogger cùng với trojan để lấy thông tin tài khoản và mật khẩu, hoặc dữ liệu thẻ tín dụng. Hầu hết các cuộc tấn công ransomware đều sử dụng trojan, bằng cách nhúng đoạn mã độc hại vào trong một chương trình vô hại.

d) Adware 7 Adware là chương trình được thiết kế để hiển thị quảng cáo trên máy tính của người dùng, sau đó chuyển hướng yêu cầu tìm kiếm của người dùng tới các website quảng cáo và thu thập dữ liệu tiếp thị của người dùng. Ví dụ, adware sẽ thu thập thông tin về các website mà người dùng truy cập, sau đó hiển thị quảng cáo phù hợp với nhu cầu của người dùng. Adware thường được coi như là một nhánh con của spyware và không gây nhiều thiệt hại nghiêm trọng. e) Spyware Spyware là phần mềm dùng để theo dõi người dùng.

Spyware được thiết kế để giám sát và chặn bắt lịch sử duyệt web cũng như các hoạt động khác của người dùng, sau đó bán các thông tin này cho các nhà quảng cáo hoặc bên thứ ba. Spyware có nhiều chức năng hơn so với adware, ví dụ, thu thập các dữ liệu nhạy cảm như tài khoản ngân hàng, mật khẩu, hoặc thông tin thẻ tín dụng. f) Rootkit Rootkit là một bộ các công cụ phần mềm độc hại cho phép một người dùng trái phép có quyền truy cập vào máy tính. Khi rootkit được cài đặt, kẻ tấn công có thể điều khiển từ xa để thực thi các tệp tin và thay đổi cấu hình hệ thống trên máy nạn nhân.

Rootkit không có khả năng tự nhân bản. Chúng phải được cài đặt và thực thi ở lớp thấp của hệ điều hành, ở kernel, hoặc trong hệ thống vào ra của thiết bị (BIOS) với quyền truy cập đặc quyền, do đó, chúng rất khó để phát hiện và gỡ bỏ. Khi phát hiện rootkit, các chuyên gia khuyến cáo nên xóa sạch ổ cứng và cài lại hệ điều hành từ đầu. g) Backdoor Backdoor là một dạng malware cung cấp cho kẻ tấn công một “cổng vào” bí mật tới hệ thống.

Backdoor không bao giờ được sử dụng một cách riêng lẻ. Nó thường hỗ trợ cho các dạng tấn công khác. Đôi khi các lập trình viên cũng tạo ra một backdoor trong chương trình của mình nhằm bỏ qua bước xác thực khi debug trên máy chủ. h) Keylogger 8 Keylogger sẽ ghi lại tất cả những phím được bấm trên một máy tính mà người dùng không hề biết.

Keylogger được công nhận là một công cụ giám sát chuyên nghiệp hợp pháp. Tuy nhiên, keylogger thường được sử dụng với mục đích xấu, như thu thập thông tin nhạy cảm, bao gồm tài khoản, mật khẩu, câu trả lời của các câu hỏi bảo mật và thông tin tài chính. i) Ransomware Ransomware là một dạng mã độc sẽ khóa tất cả dữ liệu trên máy tính nạn nhân, thường là bằng cách mã hóa. Nạn nhân sẽ phải trả tiền để kẻ tấn công giải mã dữ liệu và trả lại quyền truy cập.

Động cơ chính của tấn công ransomware là tiền.