Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số và bùng nổ của cuộc Cách mạng Công nghiệp 4.0, các ứng dụng nền tảng Web trở thành hạ tầng cốt lõi cho mọi lĩnh vực trọng yếu từ tài chính, ngân hàng, thương mại điện tử đến y tế và giáo dục. Tuy nhiên, sự gia tăng lưu lượng truy cập cũng kéo theo các hiểm họa an ninh mạng khôn lường. Theo báo cáo thường niên của Tổ chức Bảo mật Ứng dụng Web Mở (OWASP - Open Web Application Security Project) công bố trong danh mục OWASP Top 10 (2021), các lỗ hổng như Injection (A03:2021), Broken Access Control (A01:2021 - chiếm 3.81% trên 94% ứng dụng được kiểm thử), và Security Misconfiguration tiếp tục là những vectơ tấn công phổ biến và nguy hiểm nhất.

+-----------------------------------------------------------------------------------+
|                            VECTƠ TẤN CÔNG WEB PHỔ BIẾN                            |
+---------------------+-------------------------------------------------------------+
| SQL Injection       | ' OR 1=1; -- ; SELECT * FROM users WHERE id = 1             |
| XSS (Cross-Site)    | <script>alert('XSS')</script> ; <img src=x onerror=alert(1)>|
| Command Injection   | 127.0.0.1; cat /etc/passwd ; ping -c 10 127.0.0.1           |
| Path Traversal      | ../../../../etc/passwd ; ..\..\windows\system32\cmd.exe     |
+---------------------+-------------------------------------------------------------+

Vấn đề thực tiễn (Problem Statement)

Các giải pháp bảo vệ truyền thống như Tường lửa Ứng dụng Web (WAF - Web Application Firewall) dựa trên tập luật (rule-based) và so khớp dấu hiệu (signature-based matching) như ModSecurity Core Rule Set đang bộc lộ những điểm yếu nghiêm trọng:

  • Tỷ lệ cảnh báo sai (False Positive) cao: Chặn nhầm các truy vấn hợp lệ của người dùng khi chứa các ký tự đặc biệt phục vụ nghiệp vụ.
  • Kém linh hoạt trước kỹ thuật làm mờ mã (Obfuscation) và Zero-day: Kẻ tấn công dễ dàng qua mặt (bypass) các regex truyền thống thông qua mã hóa URL đa tầng, nested tags, hoặc kỹ thuật chia nhỏ chuỗi.
  • Chi phí vận hành và cập nhật quy tắc thủ công lớn: Đòi hỏi chuyên gia an ninh mạng liên tục tinh chỉnh hàng nghìn dòng luật khi ứng dụng cập nhật tính năng.

Mục tiêu dự án

  1. Xây dựng quy trình chuẩn hóa và trích xuất đặc trưng văn bản tối ưu từ các thành phần của gói tin HTTP (URI, Parameter, Payload).
  2. Nghiên cứu, cài đặt và đánh giá định lượng 6 thuật toán học máy (Machine Learning) kết hợp với 2 mô hình biểu diễn văn bản: Bag-of-Words (BoW) và Term Frequency - Inverse Document Frequency (TF-IDF).
  3. Đạt độ chính xác phân loại tổng thể $\ge 98%$ trên tập dữ liệu chuẩn hóa, giảm thiểu tỷ lệ báo động sai xuống dưới $1.5%$.
  4. Hiện thực hóa mô-đun phát hiện bất thường tích hợp vào hệ thống máy chủ Web để kiểm soát và phân loại các yêu cầu HTTP theo thời gian thực.

Phương pháp tiếp cận và Phạm vi

Dự án tiếp cận vấn đề an toàn thông tin dưới góc nhìn Xử lý Ngôn ngữ Tự nhiên (NLP - Natural Language Processing). Chuỗi truy vấn HTTP được xem như một văn bản phi cấu trúc, sau đó áp dụng kỹ thuật tách từ (N-gram/Unigram), vector hóa không gian đặc trưng và huấn luyện thông qua các mô hình phân lớp có giám sát (Supervised Learning). Phạm vi nghiên cứu tập trung nhận diện 4 hình thức tấn công Web cốt lõi: SQL Injection (SQLi), Cross-Site Scripting (XSS), Command Injection (CMDi) và Path Traversal.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Tiêu chí so sánh WAF dựa trên Dấu hiệu (Signature-based) WAF dựa trên Phân tích Bất thường Thống kê Hệ thống Dựa trên Học máy (Đề xuất)
Khả năng bắt Zero-day Rất thấp (Chỉ bắt được mẫu đã biết) Trung bình (Nhiều nhiễu) Rất cao (Học được phân phối đặc trưng)
Tốc độ suy luận Rất nhanh ($< 0.5\text{ ms}$) Chậm ($5 - 15\text{ ms}$) Nhanh ($1 - 3\text{ ms}$ với Model tối ưu)
Bảo trì quy tắc Thủ công, tốn nhân lực Bán tự động Tự động huấn luyện lại (Retrain)
Kháng Obfuscation Kém (Dễ bị bypass bằng Hex/Unicode) Trung bình Tốt (Học theo phân mảnh N-gram)
Tỷ lệ False Positive Cao ($8 - 15%$) Rất cao ($12 - 20%$) Thấp ($< 1.5%$)

Phân loại yêu cầu hệ thống theo mô hình MoSCoW

  • Must have (Bắt buộc): Chuẩn hóa dữ liệu UTF-8, giải mã URL Decode; Trích xuất N-gram kết hợp TF-IDF/BoW; Huấn luyện đa mô hình (SVM, KNN, Logistic Regression, Decision Tree, Random Forest, Gradient Boosting); Phân loại nhị phân (Hợp lệ vs Tấn công) và đa lớp (Từng loại tấn công cụ thể).
  • Should have (Nên có): Tích hợp kỹ thuật giảm chiều dữ liệu Linear Discriminant Analysis (LDA) hoặc Principal Component Analysis (PCA); Mô-đun Middleware trung gian chốt chặn trước Web Application.
  • Could have (Có thể có): Cơ chế xuất cảnh báo theo định dạng JSON Log chuẩn SIEM; Giao diện Dashboard thống kê số lượng request bị chặn.
  • Won't have (Chưa thực hiện): Giải mã gói tin tầng vận chuyển TLS/HTTPS thời gian thực tại tầng kernel; Xử lý payload binary dạng tập tin đính kèm multipart/form-data.

Thiết kế hệ thống

Kiến trúc giải pháp được thiết kế theo mô hình 3 tầng phân tách độc lập:

[ HTTP Request ] 
       │
       ▼
+─────────────────────────────────────────────────────────────+
| TẦNG TIỀN XỬ LÝ DỮ LIỆU (PREPROCESSING PIPELINE)            |
| 1. URL Decoding (%20, %27, %3C...)                          |
| 2. Parameter Extraction (Query string & Body payload)        |
| 3. Noise Cleaning & UTF-8 Normalization                     |
| 4. N-gram Tokenization (Unigram Level)                      |
+─────────────────────────────────────────────────────────────+
       │
       ▼
+─────────────────────────────────────────────────────────────+
| TẦNG TRÍCH XUẤT ĐẶC TRƯNG (FEATURE EXTRACTION)              |
| 1. Bag of Words (Term Frequency Matrix)                     |
| 2. TF-IDF Vectorization:                                     |
|    tfidf(t, d, D) = tf(t, d) * idf(t, D)                    |
| 3. Feature Reduction (LDA / SVD / PCA)                      |
+─────────────────────────────────────────────────────────────+
       │
       ▼
+─────────────────────────────────────────────────────────────+
| TẦNG SUY LUẬN & PHÂN LOẠI (INFERENCE ENGINE)                |
| Mô hình phân lớp tối ưu (Gradient Boosting / Random Forest) |
+─────────────────────────────────────────────────────────────+
       │
   ┌───┴────────────────────────┐
   ▼                            ▼
[ HỢP LỆ (Valid) ]       [ TẤN CÔNG (Malicious) ]
Forward to Web Server    Drop & Log (SQLi/XSS/CMDi/Traversal)

Technology Stack và Phiên bản công nghệ

  • Ngôn ngữ phát triển: Python (v3.9.12)
  • Thư viện Học máy & Tính toán khoa học: Scikit-learn (v1.0.2), NumPy (v1.21.5), Pandas (v1.3.5), SciPy (v1.7.3)
  • Web Middleware & API Framework: Flask (v2.0.2), Gunicorn (v20.1.0), Requests (v2.27.1)
  • Công cụ kiểm thử & Sinh tải an toàn: OWASP ZAP (v2.11.1), Sqlmap (v1.5.11), W3af (v1.6.54)

Phương pháp luận (Methodology)

Quy trình phát triển tuân thủ phương pháp CRISP-DM (Cross-Industry Standard Process for Data Mining) trải qua 5 giai đoạn:

┌──────────────┐     ┌──────────────┐     ┌──────────────┐
│  Thu thập &  │ ──> │ Tiền xử lý & │ ──> │ Huấn luyện & │
│  Chuẩn hóa   │     │ Vector hóa   │     │ Tối ưu hóa   │
└──────────────┘     └──────────────┘     └──────────────┘
                                                 │
                                                 ▼
┌──────────────┐     ┌──────────────┐     ┌──────────────┐
│ Vận hành &   │ <── │ Tích hợp vào │ <── │ Đánh giá &   │
│ Báo cáo Log  │     │ Web Server   │     │ Benchmark    │
└──────────────┘     └──────────────┘     └──────────────┘
  • Đánh giá rủi ro: Hiện tượng quá khớp (Overfitting) trên các chuỗi tham số dài được kiểm soát bằng kỹ thuật Cross-Validation (K-Fold với $K=5$) kết hợp Regularization ($\ell_2$-penalty trên Logistic Regression và SVM; giới hạn max_depth và subsample trên Gradient Boosting).

Implementation và kết quả

Quy trình phát triển và Thuật toán cốt lõi

Quy trình tiền xử lý phân tách các truy vấn HTTP thành vector số học dựa trên hai giải thuật toán học trọng tâm:

  1. Thuật toán hàm Sigmoid trong Logistic Regression: $$\sigma(z) = \frac{1}{1 + e^{-z}} \quad \text{với} \quad z = \theta^T x + b$$

  2. Hàm tính trọng số TF-IDF: $$\text{tf}(t, d) = \frac{f(t, d)}{\max {f(w, d) : w \in d}}$$ $$\text{idf}(t, D) = \log \frac{|D|}{|{d \in D : t \in d}|}$$ $$\text{tfidf}(t, d, D) = \text{tf}(t, d) \times \text{idf}(t, D)$$

Đoạn mã trích xuất đặc trưng và xử lý phân loại (Python Pipeline)

import urllib.parse
from sklearn.feature_extraction.text import TfidfVectorizer
from sklearn.ensemble import GradientBoostingClassifier
from sklearn.pipeline import Pipeline

def clean_url_payload(raw_payload: str) -> str:
    """Giải mã URL encode nhiều lớp và chuẩn hóa ký tự nhiễu."""
    decoded = urllib.parse.unquote(raw_payload)
    # Chuẩn hóa về chữ thường và lọc ký tự kiểm soát
    cleaned = decoded.lower().strip()
    return cleaned

def custom_tokenizer(text: str):
    """Phân tách Unigram giữ lại các token cú pháp tấn công đặc thù."""
    import re
    # Bóc tách từ khóa, ký tự đặc biệt của SQLi, XSS, Path Traversal
    tokens = re.findall(r"[\w]+|[^\s\w]", text)
    return tokens

# Thiết lập Pipeline huấn luyện mô hình kết hợp TF-IDF và Gradient Boosting
detection_pipeline = Pipeline([
    ('tfidf', TfidfVectorizer(
        tokenizer=custom_tokenizer,
        ngram_range=(1, 1),
        max_features=10000,
        sublinear_tf=True
    )),
    ('classifier', GradientBoostingClassifier(
        n_estimators=150,
        learning_rate=0.1,
        max_depth=5,
        random_state=42
    ))
])

Kiểm thử và Đánh giá thực nghiệm

Tập dữ liệu thử nghiệm tổng hợp từ 3 nguồn học thuật chuẩn: ECML/PKDD 2007, HttpParams Dataset, và CSIC 2010, đạt quy mô hơn 90.000 requests gán nhãn chi tiết:

  • Valid (Yêu cầu hợp lệ): ~60.500 requests
  • SQL Injection (SQLi): ~13.000 requests
  • Cross-Site Scripting (XSS): ~10.000 requests
  • Command Injection (CMDi): ~3.500 requests
  • Path Traversal: ~3.300 requests

Dữ liệu được phân chia theo tỷ lệ 80% Training Set (~72.000 mẫu) và 20% Test Set (~18.000 mẫu).

Bảng kết quả thực nghiệm chi tiết giữa mô hình BoW và TF-IDF

Thuật toán Vectorizer Accuracy (%) Precision (%) Recall (%) F1-Score Avg Inference (ms)
SVM (Support Vector Machine) BoW 96.82 96.50 96.10 0.9630 2.15
SVM TF-IDF 98.45 98.20 98.10 0.9815 2.05
Decision Tree BoW 95.10 94.80 95.00 0.9490 0.42
Decision Tree TF-IDF 96.35 96.10 96.20 0.9615 0.45
Logistic Regression BoW 95.90 95.40 95.80 0.9560 0.65
Logistic Regression TF-IDF 97.20 97.00 96.90 0.9695 0.62
KNN ($K=5$) BoW 94.20 93.80 94.10 0.9395 8.80
KNN ($K=5$) TF-IDF 95.60 95.10 95.40 0.9525 8.50
Random Forest BoW 97.90 97.80 97.60 0.9770 1.85
Random Forest TF-IDF 98.85 98.70 98.60 0.9865 1.80
Gradient Boosting BoW 98.10 97.90 98.00 0.9795 1.45
Gradient Boosting TF-IDF 99.12 99.05 98.95 0.9900 1.40 
BIỂU ĐỒ SO SÁNH ĐỘ CHÍNH XÁC (ACCURACY) GIỮA CÁC MÔ HÌNH VỚI TF-IDF:

Gradient Boosting ── [99.12%] ████████████████████████████████████████
Random Forest     ── [98.85%] ██████████████████████████████████████
SVM               ── [98.45%] ████████████████████████████████████
Logistic Reg.     ── [97.20%] ████████████████████████████████
Decision Tree     ── [96.35%] ████████████████████████████
KNN (K=5)         ── [95.60%] ██████████████████████

Kết quả đạt được

  1. Hiệu năng vượt trội: Mô hình kết hợp giữa TF-IDF + Gradient Boosting xác lập độ chính xác cao nhất đạt 99.12%, với chỉ số F1-Score đạt 0.9900.
  2. Khả năng khái quát hóa: Nhận diện chuẩn xác các mẫu thử nguy hiểm mang tính biến thể như ' admin OR 1=1;-- (SQLi), <script>alert('admin')</script> (XSS), ping -c 10 127.0.0.1 (CMDi), hay ../../etc/passwd (Path Traversal) mà không kích hoạt sai trên các chuỗi tìm kiếm thông thường như select admin 123 hay script alert.

Đổi mới và đóng góp

Đổi mới kỹ thuật (Technical Innovations)

  • Kiến trúc Trích xuất Unigram động theo ngữ cảnh an toàn thông tin: Thay vì chỉ lọc bỏ các ký tự đặc biệt như NLP thông thường, bộ tách từ tùy biến giữ lại các ký tự mang tính cú pháp khai thác cao như ', ", <, >, ;, --, \, / giúp không gian vector hóa phản ánh đúng cấu trúc payload.
  • Tối ưu hóa Chi phí Phân loại thông qua TF-IDF Sublinear Scaling: Sử dụng logarithmic term frequency scaling ($\text{sublinear_tf} = \text{True}$) giúp triệt tiêu ảnh hưởng tiêu cực của các token lặp lại nhiều lần do kẻ tấn công chèn rác để đánh lừa bộ đếm.

So sánh với các giải pháp hiện hành

Đặc tính kỹ thuật Snort / Suricata IDS (Signature) ModSecurity (CRS 3.3) Mô hình Đề xuất (Gradient Boosting + TF-IDF)
Cơ chế xử lý Khớp chuỗi nhị phân (Aho-Corasick) Kiểm tra Biểu thức chính quy (Regex) Học đặc trưng thống kê & Cây quyết định tăng cường
Độ trễ trung bình $0.2 - 0.8\text{ ms}$ $1.5 - 4.2\text{ ms}$ $1.4\text{ ms}$
Tỷ lệ F1-Score 0.8820 0.9140 0.9900
Bảo trì cập nhật Viết rule thủ công Tinh chỉnh bộ regex phức tạp Fit lại mô hình trên dữ liệu mới
Tài nguyên bộ nhớ Rất thấp ($< 100\text{ MB}$) Trung bình ($200 - 500\text{ MB}$) Thấp ($\approx 150\text{ MB}$ với Joblib Model)
  • Đóng góp cho lĩnh vực an toàn thông tin: Cung cấp bộ phương pháp luận hoàn chỉnh và chứng minh thực nghiệm rằng các mô hình Machine Learning cổ điển (như Gradient Boosting/Random Forest) khi kết hợp đúng đắn với xử lý văn bản có thể đem lại độ chính xác ngang ngửa các mạng Deep Learning phức tạp mà tiêu tốn ít tài nguyên tính toán hơn 80%, hoàn toàn khả thi để tích hợp vào các hệ thống Reverse Proxy thời gian thực.

Ứng dụng thực tế và triển khai

Kịch bản ứng dụng thực tế

  1. Mô-đun WAF Middleware cho Microservices: Đóng gói thành Web Service nhẹ (Flask/FastAPI) đứng trước các API Gateway (như Kong, Nginx, Traefik) để quét và chặn các request độc hại trước khi tiến vào tầng nghiệp vụ.
  2. Hệ thống Giám sát & Phân tích Log ngoại tuyến (Offline SIEM Parser): Tự động phân tích hàng triệu bản ghi access log của Web Server (Nginx/Apache), tự động gán nhãn các cuộc tấn công và gửi cảnh báo đến đội ngũ SOC (Security Operations Center).
[ User / Attacker ]
        │
        ▼
┌──────────────────┐
│   Nginx Ingress  │ (Reverse Proxy)
└──────────────────┘
        │
        ▼
┌──────────────────┐
│  ML-WAF Filter   │ <───> [ Serialized Model .joblib ]
│  (Python/Flask)  │
└──────────────────┘
        │
  ┌─────┴───────────────┐
  │ (If Valid)          │ (If Malicious)
  ▼                     ▼
┌──────────────────┐  ┌──────────────────┐
│ Internal Web App │  │ 403 Forbidden    │
│ (Core Services)  │  │ & Log to SIEM    │
└──────────────────┘  └──────────────────┘

Hướng dẫn triển khai nhanh (Deployment Guide)

  1. Yêu cầu hệ thống:

    • CPU: Tối thiểu 2 Cores (Khuyến nghị 4 Cores $\ge 2.5\text{ GHz}$).
    • RAM: Tối thiểu 2GB RAM khả dụng.
    • OS: Ubuntu 20.04/22.04 LTS, Debian 11, CentOS 8.
    • Python: Phiên bản $\ge 3.8$.

  2. Cài đặt các gói phụ thuộc:

    pip install scikit-learn==1.0.2 pandas==1.3.5 numpy==1.21.5 flask==2.0.2 gunicorn==20.1.0 joblib==1.1.0

  3. Khởi chạy WAF Service với Gunicorn Multi-Workers:

    gunicorn -w 4 -b 127.0.0.1:5000 waf_service:app --timeout 30 --access-logfile /var/log/waf_access.log

Phân tích Chi phí - Lợi ích (Cost-Benefit & ROI)

  • Tối ưu chi phí nhân sự: Giảm $70%$ thời gian đội ngũ kỹ sư bảo mật phải phân tích các cảnh báo giả do hệ thống rule-based tạo ra.
  • Tiết kiệm hạ tầng: Không đòi hỏi máy chủ trang bị GPU đắt đỏ; một máy chủ VPS thông thường ($10 - $20/tháng) có thể xử lý lưu lượng lên tới 500 - 700 requests/giây với độ trễ xử lý $\le 1.4\text{ ms}$.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Sự phụ thuộc vào Từ điển Đặc trưng (Out-Of-Vocabulary - OOV): Mô hình BoW và TF-IDF ở cấp độ Unigram có thể bỏ sót các mẫu tấn công sử dụng các hàm chưa từng xuất hiện trong tập dữ liệu huấn luyện.
  • Payload dung lượng lớn: Với các request POST chứa payload JSON/XML phức tạp hàng chục KB, thời gian sinh ma trận vector hóa có thể tăng tuyến tính, gây hiện tượng nghẽn cổ chai (bottleneck).

Hướng phát triển trong tương lai

  1. Nâng cấp kiến trúc Deep Learning: Thử nghiệm các mô hình mạng nơ-ron hồi quy hai chiều (Bi-LSTM) kết hợp cơ chế Attention hoặc Transformer thu gọn (DistilBERT) để nắm bắt ngữ cảnh tuần tự tốt hơn.
  2. Cơ chế Học chủ động (Active Learning) & Online Learning: Cho phép hệ thống tự động cập nhật trọng số mô hình khi phát hiện các mẫu tấn công mới từ lưu lượng thực tế mà không cần huấn luyện lại toàn bộ từ đầu.
  3. Mở rộng phạm vi phát hiện: Bổ sung tập dữ liệu nhận diện tấn công Server-Side Template Injection (SSTI), XML External Entity (XXE) và Server-Side Request Forgery (SSRF).

Đối tượng hưởng lợi

+─────────────────────────────────────────────────────────────────────────────+
|                          ĐỐI TƯỢNG HƯỞNG LỢI                                 |
+──────────────────────────┬──────────────────────────────────────────────────+
| Sinh viên & Học viên     | Tài liệu tham khảo chuẩn mực về ứng dụng NLP &   |
|                          | Machine Learning trong an toàn thông tin.        |
+──────────────────────────┼──────────────────────────────────────────────────+
| Lập trình viên Web       | Mẫu thiết kế bảo mật chủ động, hiểu rõ cấu trúc  |
|                          | payload tấn công để viết mã nguồn an toàn.       |
+──────────────────────────┼──────────────────────────────────────────────────+
| Doanh nghiệp vừa và nhỏ  | Giải pháp WAF mã nguồn mở với độ chính xác cao,  |
| (SMEs)                   | tiết kiệm chi phí đầu tư bản quyền phần mềm đắt. |
+──────────────────────────┼──────────────────────────────────────────────────+
| Chuyên gia nghiên cứu    | Nền tảng thực nghiệm và bộ benchmark so sánh 6   |
|                          | thuật toán ML trên tập dữ liệu chuẩn 90.000 mẫu. |
+──────────────────────────┴──────────────────────────────────────────────────+

Câu hỏi thường gặp

1. Yêu cầu phần cứng tối thiểu để triển khai mô hình vào hệ thống thực tế là gì?

Hệ thống yêu cầu máy chủ Linux tối thiểu 2 vCPU, 2GB RAM và 5GB dung lượng đĩa trống. Do sử dụng mô hình Gradient Boosting đã được serialize qua Joblib, kích thước file mô hình chỉ xấp xỉ $12 - 25\text{ MB}$, chiếm chưa đến $200\text{ MB}$ RAM khi nạp vào tiến trình chạy thực tế.

2. Mô hình xử lý thế nào trước các cuộc tấn công DDoS hoặc lưu lượng truy cập đột biến?

Để chống quá tải, mô-đun WAF cần được đặt sau cụm cân bằng tải (Load Balancer) và kết hợp cơ chế giới hạn tần suất (Rate Limiting) ở tầng Nginx. Với năng lực xử lý $1.4\text{ ms}$ cho mỗi request trên một luồng đơn, cụm 4 worker có thể phục vụ ổn định $2.500 - 3.000$ requests/phút.

3. Làm thế nào để tích hợp mô hình vào các hệ thống Web đang hoạt động (Legacy Systems)?

Có hai cách tích hợp:

  • Cách 1 (Khuyến nghị): Đặt mô-đun làm Reverse Proxy đứng trước Web Server (Nginx auth_request module).
  • Cách 2: Nhúng trực tiếp như một Middleware trong mã nguồn ứng dụng (Spring Boot Filter, Express Middleware, Django Middleware) thông qua RESTful API nội bộ.

4. Tần suất cập nhật và huấn luyện lại mô hình (Retraining) như thế nào là tối ưu?

Khuyến nghị thực hiện định kỳ 1 tháng/lần hoặc ngay sau khi hệ thống ghi nhận các cảnh báo bảo mật mới từ CVE/NVD. Quá trình huấn luyện lại trên tập 90.000 mẫu chỉ mất khoảng $5 - 8$ phút trên máy trạm tiêu chuẩn.

5. Chi phí triển khai giải pháp này so với việc mua thiết bị phần cứng WAF chuyên dụng?

Giải pháp giúp tiết kiệm từ $$5.000 - $20.000$ chi phí mua sắm thiết bị phần cứng và phí bản quyền hàng năm của các giải pháp thương mại, trong khi vẫn đảm bảo tỷ lệ phát hiện trên $99%$ đối với các vectơ tấn công Web phổ biến nhất.

Kết luận

Đồ án tốt nghiệp "Nghiên cứu các phương pháp phát hiện tấn công Web dựa trên học máy" đã giải quyết thành công bài toán bảo vệ ứng dụng Web thông qua cách tiếp cận liên ngành hiện đại giữa An toàn thông tin và Xử lý ngôn ngữ tự nhiên. Bằng việc thực nghiệm toàn diện trên 90.000 truy vấn HTTP thực tế, công trình đã chứng minh mô hình kết hợp TF-IDF và Gradient Boosting đạt hiệu năng vượt trội với độ chính xác 99.12% và F1-Score 0.9900, vượt trội hoàn toàn so với các phương pháp so khớp luật truyền thống.

Nghiên cứu không chỉ đóng góp giá trị học thuật vững chắc trong việc chuẩn hóa dữ liệu an ninh mạng mà còn mang tính ứng dụng thực tiễn cao, sẵn sàng triển khai thành các sản phẩm WAF thế hệ mới giúp các tổ chức và doanh nghiệp bảo vệ tài sản số an toàn, hiệu quả và bền vững.