Bối cảnh và vấn đề nghiên cứu

Sự phát triển mạnh mẽ của cuộc cách mạng công nghiệp 4.0 và mạng Internet đã đưa ứng dụng web trở thành nền tảng trọng yếu trong mọi lĩnh vực đời sống, từ tài chính, ngân hàng, y tế, giáo dục đến thương mại điện tử. Các nền tảng công nghệ lớn như Google, Facebook, Amazon phục vụ hàng tỷ người dùng, khiến cho vấn đề an toàn thông tin và bảo mật ứng dụng web trở nên cấp thiết.

Trong thực tế, các giải pháp bảo vệ truyền thống chủ yếu dựa trên các bộ lọc tĩnh, tập luật (rule-based) hoặc nhận dạng mẫu dấu hiệu (signature-based). Mặc dù các phương pháp này có ưu điểm là triển khai nhanh và xử lý tức thời, nhưng lại bộc lộ hạn chế lớn về khả năng thích ứng trước các biến thể tấn công mới hoặc các hành vi bất thường tinh vi. Xuất phát từ thực tiễn đó, hướng tiếp cận phát hiện tấn công web dựa trên học máy (Machine Learning) kết hợp với các kỹ thuật xử lý văn bản được đề xuất nhằm nâng cao tính linh hoạt và độ chính xác trong nhận dạng hiểm họa.

Đồ án tốt nghiệp xác định các mục tiêu và nhiệm vụ nghiên cứu cụ thể như sau:

  1. Nghiên cứu tổng quan về kiến trúc ứng dụng web, mô hình trao đổi dữ liệu Client - Server qua giao thức HTTP/HTTPS, các cơ chế phòng thủ nhiều lớp và phân tích danh mục lỗ hổng bảo mật theo tiêu chuẩn OWASP Top 10 (2021).
  2. Phân tích nguyên lý hoạt động của các thuật toán học máy phân loại và các phương pháp trích xuất đặc trưng văn bản (Bag of Words, TF-IDF).
  3. Xây dựng quy trình xử lý, trích xuất đặc trưng chuỗi truy vấn HTTP (URI và tham số) phục vụ mô hình học máy.
  4. Cài đặt thực nghiệm, huấn luyện và đánh giá 6 thuật toán học máy trên tập dữ liệu hơn 90.000 truy vấn; tích hợp mô hình phân loại vào ứng dụng web để kiểm thử thực tế.

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Các phương thức tấn công ứng dụng web phổ biến (SQL Injection, XSS, Command Injection, Path Traversal), các kỹ thuật trích xuất đặc trưng văn bản (BoW, TF-IDF) và các mô hình học máy có giám sát (Logistic Regression, KNN, Gradient Boosting, SVM, Decision Tree, Random Forest).
  • Phạm vi dữ liệu: Tập dữ liệu HTTP Request tổng hợp từ các nguồn công khai chuẩn quốc tế gồm ECML/PKDD 2007, CSIC 2010 và HttpParams Dataset.
  • Thời gian và đơn vị thực hiện: Đồ án được thực hiện bởi sinh viên Nguyễn Ngọc Đoàn dưới sự hướng dẫn của TS. Hoàng Xuân Dậu tại Khoa Công nghệ Thông tin / An toàn Thông tin - Học viện Công nghệ Bưu chính Viễn thông, hoàn thành vào tháng 01/2022.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết và mô hình nghiên cứu

  • Kiến trúc ứng dụng Web: Mô hình Client - Server trao đổi dữ liệu qua giao thức HTTP/HTTPS, phân tích cấu trúc bản tin HTTP Request (Method, URI/Path, Header, Cookie, User-Agent, Body) và HTTP Response (Status code, Header, Content-Type).
  • Tiêu chuẩn an toàn ứng dụng web: Khung đánh giá 10 nhóm lỗ hổng bảo mật hàng đầu theo OWASP Top 10 (2021):
    • A01: Broken Access Control (Lỗ hổng kiểm soát truy cập)
    • A02: Cryptographic Failures (Lỗ hổng mã hóa)
    • A03: Injection (Lỗ hổng chèn mã)
    • A04: Insecure Design (Lỗ hổng khiếm khuyết thiết kế)
    • A05: Security Misconfiguration (Lỗ hổng cấu hình bảo mật)
    • A06: Vulnerable and Outdated Components (Thành phần lỗi thời và có lỗ hổng)
    • A07: Identification and Authentication Failures (Lỗ hổng nhận dạng và xác thực)
    • A08: Software and Data Integrity Failures (Lỗi toàn vẹn phần mềm và dữ liệu)
    • A09: Security Logging and Monitoring Failures (Lỗi ghi nhật ký và giám sát)
    • A10: Server-Side Request Forgery - SSRF (Lỗ hổng giả mạo yêu cầu từ phía máy chủ)
  • Mô hình học máy (Machine Learning): Sử dụng phương pháp học có giám sát (Supervised Learning) cho bài toán phân loại đa lớp (Multiclass Classification).
  • Các thuật toán học máy áp dụng:
    • Hồi quy Logistic (Logistic Regression): Sử dụng hàm Sigmoid $g(z) = \frac{1}{1 + e^{-z}}$ để ước lượng xác suất đầu ra.
    • K láng giềng gần nhất (K-Nearest Neighbors - KNN): Phân loại dựa trên khoảng cách hình học (khoảng cách Euclide, Manhattan, Minkowski).
    • Máy vector hỗ trợ (Support Vector Machine - SVM): Xây dựng siêu phẳng (hyperplane) tối ưu để phân tách các lớp dữ liệu trong không gian nhiều chiều.
    • Cây quyết định (Decision Tree): Cấu trúc phân nhánh đệ quy dựa trên việc chia nhỏ đặc trưng để tạo quy tắc phân loại.
    • Rừng ngẫu nhiên (Random Forest): Kỹ thuật học kết hợp (ensemble learning) tổng hợp kết quả dự đoán từ nhiều cây quyết định độc lập.
    • Tăng cường độ dốc (Gradient Boosting): Xây dựng tuần tự các mô hình yếu (weak learners) nhằm tối ưu hóa hàm chi phí (cost function) thông qua độ dốc của hàm mất mát.
  • Kỹ thuật trích xuất đặc trưng văn bản:
    • Mô hình túi từ (Bag of Words - BoW): Thống kê tần suất xuất hiện của các từ trong từ điển unigram, vector hóa văn bản bỏ qua thứ tự từ.
    • Mô hình TF-IDF (Term Frequency - Inverse Document Frequency): Xác định trọng số của từ $t$ trong văn bản $d$ thuộc tập văn bản $D$ theo công thức: $$\text{tfidf}(t, d, D) = \text{tf}(t, d) \times \text{idf}(t, D)$$ Trong đó $\text{tf}(t, d) = \frac{f(t, d)}{\max{f(w, d): w \in d}}$ và $\text{idf}(t, D) = \log\frac{|D|}{|{d \in D: t \in d}|}$.
  • Kỹ thuật giảm chiều dữ liệu được đề cập: Linear Discriminant Analysis (LDA), Principal Component Analysis (PCA), Singular Value Decomposition (SVD).

Phương pháp nghiên cứu thực tế

Tác giả sử dụng phương pháp thực nghiệm định lượng kết hợp xử lý ngôn ngữ tự nhiên:

  1. Tiền xử lý: Tách URI và các tham số truyền lên từ HTTP Request, chuẩn hóa chuỗi về định dạng UTF-8, loại bỏ các ký tự phân tách gây nhiễu (như dấu =), chia chuỗi thành các tập unigram ($n$-gram với $n=1$).
  2. Vector hóa: Chuyển đổi tập unigram thành vector số học bằng cả hai phương pháp BoW và TF-IDF.
  3. Huấn luyện và kiểm thử: Phân chia tập dữ liệu theo tỷ lệ 80% huấn luyện (gần 72.000 mẫu) và 20% đánh giá (gần 18.000 mẫu).
  4. Tối ưu siêu tham số: Sử dụng các phương pháp tìm kiếm như Grid Search và Randomized Search.
  5. Công cụ và môi trường: Lập trình trên ngôn ngữ Python với các thư viện Scikit-learn, Pandas, NumPy.

Nguồn dữ liệu

Tập dữ liệu thực nghiệm được tổng hợp từ 3 nguồn dữ liệu mở tiêu chuẩn: ECML/PKDD 2007, CSIC 2010 và HttpParams Dataset. Dữ liệu độc hại được sinh tự động từ các công cụ kiểm thử xâm nhập phổ biến bao gồm sqlmap, xssya, Paros (nay là Zed Attack Proxy - ZAP) và w3af.

Nội dung chính theo từng chương

Chương 1. Các phương pháp tấn công ứng dụng web và cách phòng chống

Chương 1 thiết lập nền tảng lý thuyết về ứng dụng web và an toàn hệ thống:

  • Trình bày mô hình tương tác Client - Server, định dạng các trường trong HTTP Request/Response (GET, POST, DELETE, PUT, Cookie, User-Agent, Content-Security-Policy...).
  • Phân tích chi tiết 10 nhóm lỗ hổng theo OWASP Top 10 (2021) kèm các mã CVE minh họa (CVE-2018-16476, CVE-2019-11063, CVE-2021-37999, CVE-2021-28459).
  • Phân tích cơ chế và giải pháp cho 6 dạng tấn công điển hình:
    • SQL Injection (SQLi): Khai thác truy vấn động với ví dụ payload admin' OR 1=1; --. Giải pháp: Tham số hóa câu lệnh (Parameterized Queries), Stored Procedure, xác thực dữ liệu đầu vào, ẩn thông báo lỗi chi tiết, sao lưu dữ liệu.
    • Cross-Site Scripting (XSS): Thực thi mã script độc hại phía trình duyệt (ví dụ: <script>alert('hello');</script>). Giải pháp: Lọc dữ liệu, mã hóa thực thể HTML (Entity Encode/Escaping), sử dụng thư viện JavaScript an toàn.
    • Cross-Site Request Forgery (CSRF): Lừa người dùng thực thi các thao tác chuyển tiền hoặc đổi thông tin qua GET/POST. Giải pháp: Sử dụng Anti-CSRF Token, Captcha, cấu hình thuộc tính SameSite, HTTPOnly, Secure trong cookie.
    • Path Traversal: Duyệt tệp hệ thống nhạy cảm qua đường dẫn (ví dụ: /etc/passwd). Giải pháp: Whitelist ký tự hợp lệ, phân quyền truy cập tối thiểu.
    • XML External Entity (XXE) Injection: Khai thác thực thể ngoài của XML để đọc tệp hoặc kiểm soát hệ thống. Giải pháp: Vô hiệu hóa trình đọc thực thể ngoài của XML, chuyển sang định dạng JSON.
    • File Inclusion (LFI/RFI): Lợi dụng cơ chế include tệp không an toàn trong mã nguồn.
  • Đề xuất mô hình bảo mật 3 lớp theo chiều sâu (Defense in Depth): Lớp mạng (Firewall, Router, IDS/IPS), Lớp máy chủ (Hệ điều hành, CSDL), Lớp ứng dụng (WAF, kiểm soát cấu hình, xác thực đầu vào).

Chương 2. Ứng dụng học máy và các phương pháp trích xuất đặc trưng trong xử lý văn bản vào phát hiện tấn công web

Chương 2 tập trung vào cơ sở toán học và kiến trúc học máy:

  • Giới thiệu khái niệm học máy, 6 giai đoạn chuẩn của bài toán học máy và phân loại 4 phương thức học: Supervised, Unsupervised, Semi-supervised và Reinforcement Learning.
  • Phân tích chi tiết các thuật toán phân loại: Logistic Regression (hàm Sigmoid), KNN (đo lường khoảng cách), Gradient Boosting (tối ưu hóa hàm mất mát và hàm chi phí theo các vòng lặp), SVM (tìm siêu phẳng phân cách cực đại lề), Decision Tree (phân nhánh theo thuộc tính), Random Forest (kết hợp đa cây quyết định giảm thiểu overfitting).
  • Trình bày hai phương pháp trích xuất đặc trưng văn bản:
    • Mô hình túi từ (Bag of Words): Biểu diễn chuỗi văn bản thành vector nhị phân/tần suất từ điển unigram.
    • Mô hình TF-IDF: Đánh giá tầm quan trọng của từ thông qua tần suất xuất hiện cục bộ và độ phổ biến nghịch đảo toàn cục.
  • Thiết kế mô hình tổng thể phát hiện tấn công web gồm 3 khối chức năng: Tiền xử lý dữ liệu (phân tách URI, tham số, chuẩn hóa UTF-8, tạo n-gram) -> Huấn luyện (vector hóa BoW/TF-IDF, tối ưu siêu tham số) -> Phân loại (tiếp nhận request thời gian thực, trích xuất đặc trưng và gán nhãn dự đoán).

Chương 3. Cài đặt và thử nghiệm

Chương 3 triển khai thực nghiệm và đánh giá kết quả:

  • Xây dựng tập dữ liệu hơn 90.000 bản ghi HTTP Request sau khi tiền xử lý và loại bỏ các thuộc tính lặp lại.
  • Trích xuất unigram ($n=1$) và chuyển đổi dữ liệu thành 2 tập vector độc lập tương ứng với BoW và TF-IDF.
  • Chia tập dữ liệu theo tỷ lệ 80/20 (72.000 mẫu huấn luyện / 18.000 mẫu đánh giá).
  • Tiến hành huấn luyện và so sánh hiệu năng trên 12 cấu hình thực nghiệm (tương ứng 6 thuật toán SVM, Decision Tree, Logistic Regression, KNN, Random Forest, Gradient Boosting thử nghiệm lần lượt trên BoW và TF-IDF qua Bảng 3.1 đến Bảng 3.12).
  • Tích hợp mô hình đã huấn luyện thành mô-đun phát hiện tấn công trên ứng dụng web, kiểm thử thời gian thực trên các mẫu truy vấn thông thường và các payload tấn công.

Thiết kế và triển khai mô hình

Kiến trúc mô-đun phát hiện tấn công

Mô-đun phát hiện tấn công web được thiết kế theo quy trình xử lý luồng dữ liệu trung gian:

  • Tiếp nhận dữ liệu: Bắt giữ các HTTP Request gửi tới máy chủ web, bóc tách chuỗi URI và các tham số dữ liệu đầu vào do người dùng truyền lên.
  • Khối tiền xử lý: Chuyển đổi mã hóa chuỗi về chuẩn UTF-8, loại bỏ các ký tự phân tách gây nhiễu, phân tách chuỗi thành tập unigram duy nhất.
  • Khối vector hóa: Chuyển đổi tập unigram thành vector đặc trưng số học dựa trên từ điển đã học từ mô hình BoW hoặc TF-IDF.
  • Khối phân loại học máy: Nạp vector đặc trưng vào mô hình học máy phân loại đã được tối ưu để đưa ra kết quả phân loại: lưu lượng hợp lệ (Valid) hoặc xác định chính xác phân lớp tấn công.

Công nghệ và môi trường cài đặt

  • Ngôn ngữ phát triển: Python.
  • Thư viện chuyên dụng: Scikit-learn (xây dựng mô hình học máy và vector hóa), Pandas (quản lý và thao tác tập dữ liệu), NumPy (tính toán đại số tuyến tính và ma trận).

Mẫu thử nghiệm và kết quả kiểm thử thực tế

Mô-đun được tích hợp trực tiếp vào ứng dụng web và kiểm thử với các mẫu dữ liệu thực tế:

Loại lưu lượng Chuỗi mẫu kiểm thử (Payload / Input) Kết quả mô hình phân loại
Hợp lệ (Valid) admin Valid
Hợp lệ (Valid) select admin 123 Valid
Hợp lệ (Valid) script alert Valid
Hợp lệ (Valid) etcpwd Valid
Hợp lệ (Valid) user123 Valid
Hợp lệ (Valid) nhgiopie/7.7 Valid
SQL Injection admin' OR 1=1; -- SQLI
SQL Injection or 'statsinores' < 'x, ' or ''ltbh72u1' between 'r' and 't' SQLI
Command Injection ping -c 10 127.1 CMDI
Command Injection " ping.1, " ; /bin/sleep 31 ; CMDI
Cross-Site Scripting <script>alert('admin')</script> XSS
Cross-Site Scripting <script>console.log('user')</script> XSS
Cross-Site Scripting <img onpointerenter=alert(1)>xss</img> XSS
Path Traversal /etc/passwd Path-traversal
Path Traversal .../etc/pwd Path-traversal
Path Traversal \winnt\system Path-traversal

Kết quả và đóng góp

Thống kê tập dữ liệu thực nghiệm

Đồ án đã tổng hợp và chuẩn hóa một tập dữ liệu quy mô lớn với hơn 90.000 bản ghi HTTP Request, phân bổ chi tiết theo các nhóm lưu lượng:

STT Nhóm lưu lượng / Dạng tấn công Số lượng request xấp xỉ
1 Lưu lượng hợp lệ (Valid) ~ 60.500
2 Tấn công chèn mã SQL (SQL Injection) ~ 13.000
3 Tấn công kịch bản chéo trang (XSS) ~ 10.000
4 Tấn công chèn dòng lệnh (Command Injection) ~ 3.500
5 Tấn công duyệt thư mục (Path Traversal) ~ 3.300
Tổng Toàn bộ tập dữ liệu > 90.000

Kết quả thử nghiệm các mô hình

  • Đã thiết lập và đánh giá thực nghiệm toàn diện 12 mô hình phân loại thông qua việc kết hợp 6 thuật toán học máy (SVM, Decision Tree, Logistic Regression, KNN, Random Forest, Gradient Boosting) với 2 phương pháp trích xuất đặc trưng văn bản (Bag of Words và TF-IDF) trên tập dữ liệu kiểm tra độc lập gồm gần 18.000 request.
  • Mô hình chứng minh khả năng phân biệt chính xác giữa các truy vấn chứa từ khóa nhạy cảm nhưng hợp lệ (như select admin 123, script alert, etcpwd) với các payload tấn công thực sự, hạn chế tối đa tỷ lệ cảnh báo sai (False Positive) so với phương pháp lọc chuỗi đơn thuần.

Đóng góp của đề tài

  1. Đã hệ thống hóa toàn diện các phương thức tấn công ứng dụng web phổ biến theo tiêu chuẩn OWASP Top 10 (2021) và các kỹ thuật phòng thủ tương ứng.
  2. Đề xuất quy trình tiền xử lý chuỗi HTTP Request kết hợp trích xuất đặc trưng unigram với hai mô hình BoW và TF-IDF phục vụ phân loại tấn công web.
  3. Đánh giá thực nghiệm so sánh đa dạng thuật toán học máy trên tập dữ liệu lớn (>90.000 mẫu) thu thập từ các nguồn chuẩn hóa quốc tế.
  4. Triển khai tích hợp thành công mô hình học máy thành một mô-đun phát hiện tấn công hoạt động thời gian thực trên ứng dụng web.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế được ghi nhận

  • Kích thước không gian vector đặc trưng tăng cao khi kích thước từ điển unigram mở rộng, đòi hỏi nhiều tài nguyên bộ nhớ trong quá trình vector hóa.
  • Các thuật toán phức tạp như Gradient Boosting và SVM tiêu tốn thời gian tính toán và bộ nhớ lớn trên tập dữ liệu quy mô lớn; đồng thời có nguy cơ bị ảnh hưởng bởi hiện tượng quá khớp (overfitting) khi dữ liệu chứa nhiều nhiễu.
  • Hai phương pháp trích xuất đặc trưng BoW và TF-IDF loại bỏ hoàn toàn thứ tự xuất hiện của từ trong chuỗi, dẫn đến việc chưa nắm bắt được trọn vẹn ngữ cảnh của câu truy vấn phức tạp.

Hướng nghiên cứu tiếp

  • Áp dụng các kỹ thuật giảm chiều dữ liệu nâng cao như Phân tích phân biệt tuyến tính (LDA), Phân tích thành phần chính (PCA) hoặc Phân tích giá trị suy biến (SVD) để tối ưu hóa thời gian huấn luyện và dung lượng bộ nhớ.
  • Mở rộng quy trình tinh chỉnh siêu tham số mô hình thông qua Grid Search và Randomized Search nhằm nâng cao hiệu năng phân loại trên từng nhóm tấn công cụ thể.
  • Nghiên cứu ứng dụng các mô hình học sâu (Deep Learning) và xử lý chuỗi để bảo toàn thông tin ngữ cảnh và thứ tự ký tự của chuỗi truy vấn HTTP.

Giá trị tham khảo

Tài liệu đồ án mang lại giá trị học thuật và thực tiễn cho các đối tượng sau:

  • Sinh viên và học viên ngành An toàn thông tin, Công nghệ thông tin: Là tài liệu tham khảo chi tiết về cơ chế hoạt động của các lỗ hổng bảo mật web theo chuẩn OWASP Top 10 (2021) và quy trình áp dụng học máy vào bài toán an ninh mạng.
  • Kỹ sư phát triển phần mềm và quản trị hệ thống: Tham khảo các phương pháp lập trình an toàn (tham số hóa truy vấn, mã hóa thực thể HTML, quản lý cấu hình phân quyền) và kỹ thuật xây dựng tường lửa ứng dụng web (WAF) mức phần mềm.
  • Nhà nghiên cứu về Machine Learning trong An toàn thông tin: Tham khảo phương pháp tiền xử lý dữ liệu chuỗi truy vấn HTTP, kỹ thuật vector hóa N-gram/TF-IDF và khung đánh giá so sánh hiệu năng giữa các thuật toán phân loại.

Câu hỏi thường gặp

1. Khóa luận sử dụng những nguồn dữ liệu nào để thực hiện huấn luyện và kiểm thử mô hình?

Tác giả sử dụng tập dữ liệu tổng hợp từ 3 nguồn mở chuẩn quốc tế gồm: ECML/PKDD 2007, HttpParams Dataset và CSIC 2010. Dữ liệu độc hại được sinh tự động từ các công cụ kiểm thử bảo mật chuyên dụng như sqlmap, xssya, Paros (ZAP) và w3af kết hợp với các truy vấn người dùng hợp lệ.

2. Quy mô tập dữ liệu và tỷ lệ phân chia tập huấn luyện/đánh giá trong đồ án là bao nhiêu?

Sau quá trình tiền xử lý và loại bỏ các bản ghi trùng lặp, tập dữ liệu có tổng cộng hơn 90.000 HTTP Request (gồm ~60.500 mẫu hợp lệ, ~13.000 mẫu SQLi, ~10.000 mẫu XSS, ~3.500 mẫu Command Injection và ~3.300 mẫu Path Traversal). Dữ liệu được chia theo tỷ lệ 80% cho tập huấn luyện (~72.000 mẫu) và 20% cho tập đánh giá (~18.000 mẫu).

3. Những thuật toán học máy và kỹ thuật trích xuất đặc trưng nào đã được đưa vào thử nghiệm?

Đồ án thử nghiệm 6 thuật toán học máy phân loại gồm: Hồi quy Logistic (Logistic Regression), K láng giềng gần nhất (KNN), Tăng cường độ dốc (Gradient Boosting), Máy vector hỗ trợ (SVM), Cây quyết định (Decision Tree) và Rừng ngẫu nhiên (Random Forest). Cả 6 thuật toán này được đánh giá độc lập trên 2 kỹ thuật trích xuất đặc trưng văn bản là Mô hình túi từ (Bag of Words - BoW) và TF-IDF, tạo thành 12 bảng thực nghiệm so sánh.

4. Quy trình tiền xử lý chuỗi truy vấn HTTP được tiến hành qua những bước cụ thể nào?

Quy trình tiền xử lý gồm 4 bước chính: (1) Phân tách chuỗi URI và các tham số truyền vào từ HTTP Request; (2) Lọc bỏ các ký tự phân tách gây nhiễu (như dấu =); (3) Chuẩn hóa định dạng chuỗi về bảng mã UTF-8; (4) Tách chuỗi thành các tập unigram duy nhất ($n$-gram với $n=1$) để nạp vào các bộ trích xuất đặc trưng BoW và TF-IDF.

5. Mô hình phân loại phát hiện được những nhóm tấn công web cụ thể nào trong thực nghiệm?

Mô hình có khả năng phân loại dữ liệu thành 5 nhóm nhãn: lưu lượng hợp lệ (Valid) và 4 dạng tấn công web phổ biến gồm chèn mã SQL (SQL Injection - SQLI), chèn mã kịch bản phía máy khách (Cross-Site Scripting - XSS), chèn mã dòng lệnh hệ thống (Command Injection - CMDI) và duyệt thư mục trái phép (Path Traversal).

Kết luận

Đồ án tốt nghiệp của sinh viên Nguyễn Ngọc Đoàn đã nghiên cứu và triển khai thành công mô hình phát hiện tấn công ứng dụng web dựa trên kỹ thuật học máy có giám sát kết hợp với các phương pháp trích xuất đặc trưng văn bản (Bag of Words và TF-IDF). Bằng việc thực nghiệm trên tập dữ liệu quy mô lớn hơn 90.000 truy vấn HTTP, nghiên cứu đã chứng minh tính khả thi và hiệu quả của phương pháp phát hiện dựa trên học máy trong việc nhận dạng chính xác 4 dạng tấn công phổ biến (SQLi, XSS, CMDI, Path Traversal). Kết quả của đồ án cung cấp cơ sở khoa học và thực tiễn vững chắc cho việc phát triển các hệ thống tường lửa ứng dụng web thế hệ mới thông minh, giảm thiểu sự phụ thuộc vào các tập luật tĩnh truyền thống.