Nghiên Cứu Phương Pháp Phát Hiện và Ngăn Chặn Mã Độc Mã Hóa Tống Tiền

Khóa luận nghiên cứu phương pháp phát hiện và ngăn chặn mã độc mã hóa tống tiền, góp phần nâng cao an toàn thông tin trong môi trường số.

• Tác giả: Võ Hoài Nam
• Người hướng dẫn: TS. Nguyễn Tấn Cẩm
• Trường học: Đại học Công nghệ Thông tin - ĐHQG TP.HCM
• Chuyên ngành: Kỹ sư ngành An toàn thông tin
• Đề tài: Nghiên Cứu Phương Pháp Phát Hiện và Ngăn Chặn Mã Độc Mã Hóa Tống Tiền
• Loại tài liệu: Khóa luận tốt nghiệp
• Năm xuất bản: 2023
• Địa điểm: TP.HCM

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. CHƯƠNG 1: TỔNG QUAN
• 1.1. Giới thiệu vấn đề
• 1.2. Giới thiệu những nghiên cứu liên quan
• 1.3. Tính ứng dụng
• 1.4. Những thách thức
• 1.5. Mục tiêu, đối tượng, và phạm vi nghiên cứu
• 1.5.1. Mục tiêu nghiên cứu
• 1.5.2. Đối tượng nghiên cứu
• 1.5.3. Phạm vi nghiên cứu
• 1.6. Cấu trúc khóa luận tốt nghiệp
• 2. CHƯƠNG 2: CƠ SỞ LÝ THUYẾT
• 2.1. Quy trình tấn công chung của mã độc mã hóa tống tiền
• 2.2. Ransomware - Mã độc mã hóa tống tiền
• 2.3. Cyber Kill Chain - Quy trình tấn công
• 3. CHƯƠNG 3: PHƯƠNG PHÁP THỰC HIỆN
• 3.1. Mô hình tổng quát
• 3.2. Luồng hoạt động chính
• 3.3. Phương pháp xây dựng mô hình
• 3.3.1. Tường lửa tích hợp proxy để giám sát các tệp tin được tải
• 3.3.2. Phân tích động bằng Sandbox
• 3.3.3. Học máy đa phương thức
• 3.3.4. Hành động ngăn chặn mã độc
• 4. CHƯƠNG 4: XÂY DỰNG MÔ HÌNH, THỰC NGHIỆM VÀ ĐÁNH GIÁ
• 4.1. Hiện thực, xây dựng mô hình
• 4.1.1. Firewall Pfsense tích hợp Squid Proxy
• 4.1.2. Quá trình phân tích của Sandbox
• 4.1.3. Học máy đa phương thức
• 4.1.4. Hành động xử lý file
• 4.1.5. Môi trường thực nghiệm
• 4.2. Kết quả thực nghiệm
• 4.2.1. Giám sát thông qua Firewall-Proxy
• 4.2.2. Kết quả phân tích từ Sandbox
• 4.2.3. Hiệu suất của mô hình học máy đa phương thức
• 4.2.4. Hành động ngăn chặn file
• 4.2.5. Kết quả toàn bộ mô hình
• 5. CHƯƠNG 5: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• 5.1. Kết luận
• 5.2. Hướng phát triển
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Nghiên Cứu Phương Pháp Phát Hiện Mã Độc Mã Hóa Tống Tiền

Nghiên cứu về mã độc mã hóa tống tiền đã trở thành một vấn đề cấp bách trong lĩnh vực an toàn thông tin. Sự gia tăng của các cuộc tấn công ransomware đã khiến cho việc phát hiện và ngăn chặn trở nên cần thiết hơn bao giờ hết. Các phương pháp hiện tại đang được áp dụng để bảo vệ hệ thống và dữ liệu của người dùng. Bài viết này sẽ trình bày tổng quan về các phương pháp phát hiện và ngăn chặn mã độc mã hóa tống tiền, cũng như những thách thức mà các nhà nghiên cứu đang phải đối mặt.

1.1. Định Nghĩa và Tác Động Của Mã Độc Mã Hóa Tống Tiền

Mã độc mã hóa tống tiền là phần mềm độc hại được thiết kế để mã hóa dữ liệu của nạn nhân và yêu cầu tiền chuộc để giải mã. Sự gia tăng của loại mã độc này đã gây ra thiệt hại lớn cho cá nhân và tổ chức. Theo báo cáo của Cybersecurity Ventures, thiệt hại toàn cầu từ ransomware dự kiến sẽ đạt 20 tỷ USD vào năm 2021.

1.2. Tầm Quan Trọng Của Nghiên Cứu Trong Lĩnh Vực An Ninh Mạng

Nghiên cứu về phương pháp phát hiện và ngăn chặn mã độc mã hóa tống tiền không chỉ giúp bảo vệ dữ liệu mà còn nâng cao nhận thức về an ninh mạng. Việc hiểu rõ về các phương thức tấn công giúp các tổ chức có thể xây dựng các biện pháp phòng ngừa hiệu quả hơn.

II. Những Thách Thức Trong Việc Phát Hiện Mã Độc Mã Hóa Tống Tiền

Việc phát hiện mã độc mã hóa tống tiền gặp nhiều thách thức do sự phát triển không ngừng của các kỹ thuật tấn công. Các phương pháp truyền thống thường không đủ hiệu quả để phát hiện các biến thể mới của ransomware. Điều này đòi hỏi các nhà nghiên cứu phải liên tục cập nhật và cải tiến các phương pháp phát hiện.

2.1. Sự Phát Triển Nhanh Chóng Của Các Biến Thể Ransomware

Các biến thể ransomware mới xuất hiện liên tục, mỗi loại có những đặc điểm và phương thức tấn công riêng. Điều này làm cho việc phát hiện trở nên khó khăn hơn, vì các hệ thống bảo mật cần phải được cập nhật thường xuyên để đối phó với các mối đe dọa mới.

2.2. Khó Khăn Trong Việc Phân Tích Hành Vi Của Mã Độc

Phân tích hành vi của mã độc là một trong những phương pháp hiệu quả để phát hiện ransomware. Tuy nhiên, việc này đòi hỏi phải có một lượng lớn dữ liệu và thời gian để phân tích, điều này có thể gây khó khăn cho các tổ chức có nguồn lực hạn chế.

III. Phương Pháp Phát Hiện Mã Độc Mã Hóa Tống Tiền Hiệu Quả

Để phát hiện mã độc mã hóa tống tiền, nhiều phương pháp hiện đại đã được áp dụng, bao gồm học máy và phân tích động. Những phương pháp này không chỉ giúp phát hiện mã độc mà còn ngăn chặn các cuộc tấn công trước khi chúng xảy ra.

3.1. Sử Dụng Học Máy Để Phát Hiện Mã Độc

Học máy là một trong những phương pháp tiên tiến nhất hiện nay trong việc phát hiện mã độc. Các mô hình học máy có thể học từ dữ liệu và phát hiện các mẫu hành vi bất thường, từ đó nhận diện mã độc một cách hiệu quả.

3.2. Phân Tích Động Qua Sandbox

Phân tích động thông qua Sandbox cho phép các nhà nghiên cứu theo dõi hành vi của mã độc trong môi trường an toàn. Phương pháp này giúp phát hiện các hành vi độc hại mà mã độc thực hiện khi xâm nhập vào hệ thống.

IV. Ứng Dụng Thực Tiễn Của Các Phương Pháp Phát Hiện Mã Độc

Các phương pháp phát hiện mã độc mã hóa tống tiền đã được áp dụng rộng rãi trong nhiều tổ chức và doanh nghiệp. Việc áp dụng các công nghệ mới không chỉ giúp bảo vệ dữ liệu mà còn nâng cao khả năng phản ứng trước các mối đe dọa.

4.1. Triển Khai Hệ Thống Phát Hiện Mã Độc Trong Doanh Nghiệp

Nhiều doanh nghiệp đã triển khai hệ thống phát hiện mã độc dựa trên học máy để bảo vệ dữ liệu của mình. Hệ thống này giúp phát hiện và ngăn chặn mã độc trước khi chúng có thể gây ra thiệt hại.

4.2. Kết Quả Nghiên Cứu Về Hiệu Quả Của Các Phương Pháp

Nghiên cứu cho thấy rằng việc áp dụng các phương pháp phát hiện mã độc hiện đại đã giúp giảm thiểu đáng kể số lượng cuộc tấn công ransomware thành công. Các tổ chức đã báo cáo sự cải thiện rõ rệt trong khả năng bảo vệ dữ liệu.

V. Kết Luận và Hướng Phát Triển Tương Lai Trong Nghiên Cứu

Nghiên cứu về phương pháp phát hiện và ngăn chặn mã độc mã hóa tống tiền vẫn đang tiếp tục phát triển. Các nhà nghiên cứu cần phải không ngừng cải tiến và áp dụng các công nghệ mới để đối phó với các mối đe dọa ngày càng tinh vi.

5.1. Tương Lai Của Các Phương Pháp Phát Hiện Mã Độc

Trong tương lai, việc kết hợp giữa học máy và phân tích hành vi sẽ trở thành xu hướng chính trong việc phát hiện mã độc. Các công nghệ mới như trí tuệ nhân tạo sẽ đóng vai trò quan trọng trong việc nâng cao khả năng phát hiện.

5.2. Khuyến Nghị Đối Với Các Tổ Chức

Các tổ chức nên đầu tư vào các giải pháp bảo mật hiện đại và thường xuyên cập nhật hệ thống của mình. Việc nâng cao nhận thức về an ninh mạng trong nhân viên cũng là một yếu tố quan trọng để ngăn chặn mã độc.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Sự bùng nổ của công nghệ thông tin và mạng Internet đi kèm với sự gia tăng nhanh chóng của các mối đe dọa an toàn thông tin, đặc biệt là mã độc mã hóa tống tiền (Ransomware). Ransomware liên tục tiến hóa về số lượng lẫn mức độ tinh vi của các biến thể, gây thiệt hại nghiêm trọng cho dữ liệu và hệ thống của người dùng cũng như các tổ chức. Trong chuỗi tấn công mạng (Cyber Kill Chain), việc xác định rõ từng giai đoạn hoạt động của mã độc là cơ sở then chốt để xây dựng các giải pháp phát hiện và ngăn chặn kịp thời.

Mặc dù các kỹ thuật học máy đã và đang được nghiên cứu ứng dụng rộng rãi trong phân loại mã độc, phần lớn các công trình trước đây chỉ tập trung khai thác một loại thuộc tính đơn lẻ. Cách tiếp cận đơn thuộc tính này thường không bao quát được toàn bộ hành vi độc hại đa dạng và phức tạp của Ransomware. Đồng thời, việc phân tích tĩnh truyền thống bộc lộ nhiều hạn chế trước các biến thể mã độc mới hoặc bị che giấu mã nguồn. Xuất phát từ thực tiễn đó, đề tài tập trung giải quyết bài toán phát hiện và ngăn chặn Ransomware bằng cách kết hợp phương pháp phân tích động trên môi trường Sandbox với mô hình học sâu đa phương thức (Multimodal Learning).

Mục tiêu và nhiệm vụ nghiên cứu của khóa luận được xác định cụ thể như sau:

1. Mục tiêu chung: Xây dựng mô hình bán tự động dựa trên Sandbox và học máy đa phương thức nhằm phát hiện và ngăn chặn mã độc mã hóa tống tiền thực hiện các hành vi độc hại trên hệ thống.
2. Nhiệm vụ cụ thể:
   • Nghiên cứu quy trình tấn công Cyber Kill Chain của Ransomware và cơ chế phân tích động.
   • Xây dựng hệ thống giám sát lưu lượng tải tệp qua tường lửa tích hợp cổng phân phối trung gian.
   • Triển khai môi trường Sandbox cô lập để thực thi động các tệp nghi ngờ và trích xuất nhật ký hành vi.
   • Thiết kế kiến trúc học máy đa phương thức kết hợp nhiều nhánh mạng nơ-ron để phân loại tệp tin.
   • Hiện thực cơ chế cảnh báo và ngăn chặn đa tầng trên máy trạm người dùng.

Đối tượng và phạm vi nghiên cứu:

• Đối tượng nghiên cứu: Mã độc mã hóa tống tiền (tập trung vào Crypto-Ransomware), hệ thống phân tích động CAPE Sandbox, mô hình học máy đa phương thức (kết hợp Bi-LSTM và Bi-GRU), công cụ giám sát hệ thống Sysmon và cơ chế tệp tin bẫy Honeyfile (công cụ R-Locker).
• Phạm vi nghiên cứu: Tập trung phân tích động các tệp thực thi định dạng Portable Executable (PE như .exe) trên hệ điều hành Windows thông qua dữ liệu trích xuất từ báo cáo phân tích định dạng JSON của CAPE Sandbox; áp dụng mô hình trong kiến trúc mạng có kiểm soát lưu lượng tải xuống từ Internet.

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng trên các nền tảng lý thuyết và công nghệ chuyên sâu trong lĩnh vực an toàn thông tin và trí tuệ nhân tạo:

Thành phần / Khái niệm	Chi tiết lý thuyết và công nghệ áp dụng	Vai trò trong hệ thống
Mã độc mã hóa tống tiền (Ransomware)	Phân loại gồm Locker Ransomware (khóa quyền truy cập máy) và Crypto-Ransomware (mã hóa dữ liệu bằng thuật toán phức tạp). Chu trình hoạt động gồm 5 bước: Lây nhiễm $\rightarrow$ Tạo khóa $\rightarrow$ Mã hóa $\rightarrow$ Tống tiền $\rightarrow$ Mở khóa.	Đối tượng nhận dạng và triệt tiêu mối đe dọa.
Mô hình Cyber Kill Chain (CKC)	Mô hình 7 giai đoạn của Lockheed Martin: Reconnaissance, Weaponization, Delivery, Exploitation, Installation, Command & Control (C2), Actions on Objectives. Đối với Ransomware, trọng tâm phòng ngừa đặt tại hai giai đoạn: Delivery và Exploitation.	Định hình chiến lược giám sát mạng và ngăn chặn mã độc tại điểm tải về và điểm thực thi.
Tường lửa pfSense & Squid Proxy	Hệ điều hành tường lửa nguồn mở trên nền FreeBSD kết hợp dịch vụ ủy quyền bộ nhớ đệm Squid Proxy để quản lý, lọc URL tải tệp và tạo danh sách cấm (blacklist).	Giám sát luồng dữ liệu vào/ra, trích xuất tệp thực thi (PE) chuyển tiếp về Sandbox.
Phân tích động và CAPE Sandbox	Hệ thống Sandbox nguồn mở (phát triển từ Cuckoo Sandbox) hoạt động trong môi trường ảo hóa cách ly, hỗ trợ chụp trạng thái (snapshot), theo dõi System calls, API calls, tiến trình và truy xuất bộ nhớ.	Thực thi mã độc an toàn, xuất nhật ký chi tiết dưới tệp JSON.
Học sâu đa phương thức (Multimodal Learning)	Kết hợp hai nhánh mạng nơ-ron hồi quy: Bi-LSTM (xử lý chuỗi API calls) và Bi-GRU (xử lý quyền truy cập vùng nhớ Process Memory: r, rw, rx, rwc, rwx, rwxe, rwxc). Nối đặc trưng bằng lớp Concatenate.	Tối ưu hóa độ chính xác nhận diện mã độc thông qua biểu diễn hành vi đa chiều.
Cân bằng dữ liệu SMOTE	Kỹ thuật Synthetic Minority Over-sampling Technique nội suy mẫu nhân tạo cho lớp thiểu số dựa trên $k$ láng giềng gần nhất ($k$-NN).	Khắc phục hiện tượng lệch phân phối dữ liệu huấn luyện.
Giám sát và bẫy mã độc	Tiện ích Sysmon (System Monitor của Microsoft) ghi nhận log chi tiết vào Event Viewer; công cụ R-Locker thiết lập các Honeyfile giả lập tài nguyên quan trọng.	Giám sát PID, phát hiện thao tác đọc/ghi bất thường vào bẫy để dừng tiến trình độc hại.

Phương pháp nghiên cứu thực nghiệm được tiến hành theo quy trình khép kín:

1. Phương pháp thu thập và tiền xử lý: Thu thập các tệp thực thi PE, truyền qua hệ thống phân tích động CAPE Sandbox để lấy báo cáo JSON.
2. Phương pháp trích xuất đặc trưng: Tách chuỗi lời gọi hàm API hệ thống và các mức cấp quyền truy cập bộ nhớ tiến trình (Process Memory permissions). Sử dụng thuật toán SMOTE để cân bằng tập dữ liệu.
3. Phương pháp học sâu: Xây dựng hai luồng xử lý song song với Bi-LSTM và Bi-GRU, kết hợp vector đặc trưng qua lớp Concatenate, đưa qua các lớp Fully Connected và Softmax để phân loại nhãn.
4. Phương pháp phản ứng và ngăn chặn: Phối hợp cập nhật danh sách đen trên tường lửa, truy vết mã định danh tiến trình (PID) qua Sysmon và bắt giữ hành vi qua Honeyfile của R-Locker.

Thiết kế và triển khai

Hệ thống được thiết kế theo mô hình phòng thủ ba thành phần chính:

[Internet] ---> [pfSense + Squid Proxy] ---> [Client (Windows)]
                        |                           ^
                        v                           |
              [Server CAPE Sandbox]                 |
         (Phân tích động & Học máy) ----------------+

1. Phân hệ Tường lửa và Proxy (pfSense - Squid Proxy):

• pfSense đóng vai trò cổng kiểm soát lưu lượng mạng. Squid Proxy được tích hợp để lưu vết các yêu cầu HTTP/HTTPS và lọc các đường dẫn tải xuống tệp thực thi định dạng PE.
• Khi người dùng tải một tệp thực thi, Squid Proxy lưu tạm (cache) tệp và đồng thời chuyển tiếp một bản sao sang máy chủ Sandbox qua kết nối mạng nội bộ riêng. Nếu phát hiện tệp là mã độc, URL nguồn lập tức bị đưa vào danh sách đen (blacklist) trên pfSense để chặn các lần tải tiếp theo.

2. Phân hệ Phân tích động và Học máy (Server Sandbox Ubuntu):

• Cài đặt CAPE Sandbox trên hệ điều hành Ubuntu, điều khiển máy ảo Windows để thực thi động các mẫu tệp nghi ngờ thông qua giao diện dòng lệnh (CLI) tự động hóa.
• Mô-đun Feature Extractor phân tích tệp báo cáo JSON xuất ra từ Sandbox để trích xuất 2 trường thông tin:
  • Dữ liệu API Call: Chuỗi các hàm API tương tác với hệ điều hành, đưa vào mạng Bi-LSTM nhằm học các mối phụ thuộc ngữ cảnh hai chiều (tiến và lùi).
  • Dữ liệu Process Memory: Thông tin quyền hạn vùng nhớ (các cờ truy cập r, rw, rx, rwc, rwx, rwxe, rwxc), đưa vào mạng Bi-GRU nhằm nắm bắt dấu hiệu của các cơ chế giải mã hoặc chiếm quyền thực thi trong bộ nhớ.
• Đầu ra của Bi-LSTM và Bi-GRU được kết hợp thông qua lớp Concatenate, đi qua mạng nơ-ron liên kết đầy đủ (Fully Connected) và lớp Softmax để đưa ra xác suất tệp là Ransomware hay tệp lành tính (Benign).

3. Phân hệ Bảo vệ Máy trạm (Client Windows):

• Cung cấp giao diện Web UI cho phép người dùng tự tải tệp tin khả nghi trực tiếp lên Server Sandbox khi cần phân tích thủ công.
• Cài đặt dịch vụ Sysmon để ghi lại nhật ký hệ thống (ID tiến trình - PID, sự kiện tạo file, kết nối mạng) vào Windows Event Viewer.
• Triển khai công cụ R-Locker rải các tệp tin bẫy (Honeyfile) có cấu trúc tương tự tệp tài liệu thông thường vào các thư mục quan trọng. Khi Ransomware thực thi hành vi quét và mã hóa chạm vào Honeyfile, R-Locker kích hoạt cảnh báo tức thì, cho phép người dùng hoặc hệ thống tự động chấm dứt (kill) tiến trình độc hại dựa trên PID được giám sát.

Nội dung chính theo từng chương

Chương 1: Tổng quan

Chương 1 trình bày bối cảnh gia tăng của mã độc mã hóa tống tiền và sự cần thiết của các công nghệ bảo mật hiện đại. Tác giả tổng hợp các nghiên cứu liên quan về phân tích động với CAPE Sandbox (kế thừa từ Cuckoo Sandbox) và ứng dụng học máy đa phương thức. Chương này xác định rõ tính ứng dụng của đề tài trong các hệ thống mạng doanh nghiệp cần mô hình bán tự động phát hiện Ransomware nhiều lớp; chỉ ra các thách thức về xử lý dữ liệu và tối ưu hiệu năng Sandbox; đồng thời xác định mục tiêu, đối tượng, phạm vi nghiên cứu và bố cục 5 chương của khóa luận.

Chương 2: Cơ sở lý thuyết

Chương 2 cung cấp nền tảng lý thuyết toàn diện phục vụ việc xây dựng giải pháp:

• Phân tích cơ chế tấn công 5 bước của Ransomware và phân biệt giữa Locker Ransomware và Crypto-Ransomware.
• Phân tích chuỗi Cyber Kill Chain 7 giai đoạn, chứng minh Ransomware bỏ qua giai đoạn trinh sát (Reconnaissance) và hạn chế sử dụng kênh điều khiển C2 phức tạp, từ đó xác định trọng tâm phòng thủ tại hai bước Delivery và Exploitation.
• Trình bày nguyên lý hoạt động của máy chủ Proxy, hệ điều hành tường lửa pfSense và bộ lọc Squid Proxy.
• Phân tích kỹ thuật phân tích động trên môi trường ảo hóa Sandbox, cơ chế snapshot trạng thái.
• Hệ thống hóa kiến trúc mạng học sâu: LSTM, Bi-LSTM, Bi-GRU, kỹ thuật cân bằng dữ liệu SMOTE và phương pháp tiếp cận Multimodal Learning.
• Giới thiệu công cụ thu thập log Sysmon, cơ chế bẫy Honeyfile và phần mềm phòng thủ R-Locker.

Chương 3: Phương pháp thực hiện

Chương 3 chi tiết hóa giải pháp công nghệ và quy trình vận hành hệ thống:

• Trình bày kiến trúc mô hình tổng quát gồm 3 thực thể: Tường lửa pfSense tích hợp Squid Proxy, Máy chủ Sandbox (Ubuntu) và Máy trạm người dùng (Client).
• Xây dựng luồng hoạt động 5 bước từ lúc bắt gói tải tệp PE $\rightarrow$ chuyển tiếp lên Sandbox $\rightarrow$ chạy phân tích động $\rightarrow$ trích xuất đặc trưng API/Process Memory đưa vào mô hình học máy đa phương thức $\rightarrow$ phản hồi kết quả về máy trạm.
• Thiết kế hai kịch bản ngăn chặn:
  • Kịch bản 1 (Người dùng chưa thực thi tệp): Xóa tệp độc hại trên máy trạm và tự động bổ sung URL nguồn vào danh sách chặn của Squid Proxy.
  • Kịch bản 2 (Người dùng đã vô tình thực thi tệp): Sử dụng Sysmon định danh PID của tiến trình bất thường để hủy thực thi; đồng thời kích hoạt R-Locker cảnh báo khi tiến trình tấn công vào các tệp tin bẫy Honeyfile.

Chương 4: Xây dựng mô hình, thực nghiệm và đánh giá

Chương 4 mô tả quá trình hiện thực hóa mô hình trong môi trường thử nghiệm thực tế:

• Cấu hình mạng thử nghiệm, tích hợp dịch vụ Squid Proxy trên giao diện quản trị Web của pfSense để giám sát và bắt các liên kết tải tệp PE.
• Thiết lập kịch bản dòng lệnh tự động chuyển tệp sang CAPE Sandbox và trích xuất báo cáo JSON.
• Xây dựng và huấn luyện mô hình đa phương thức kết hợp nhánh Bi-LSTM (cho chuỗi API Call) và nhánh Bi-GRU (cho Process Memory permissions) qua lớp Concatenate.
• Thực nghiệm kịch bản giám sát qua Sysmon và kiểm thử độ nhạy của công cụ R-Locker khi rải Honeyfile trên toàn bộ cây thư mục của máy trạm Client.
• Tổng hợp kết quả đo lường về thời gian phân tích của Sandbox và hiệu suất nhận dạng của mô hình học máy đa phương thức thông qua ma trận nhầm lẫn (Confusion Matrix).

Chương 5: Kết luận và hướng phát triển

Chương 5 đúc kết các kết quả đạt được của khóa luận trong việc xây dựng hoàn chỉnh mô hình phối hợp giữa giám sát biên mạng, phân tích động tự động, học sâu đa phương thức và ngăn chặn tại điểm cuối; đồng thời nêu ra các định hướng hoàn thiện hệ thống trong tương lai.

Kết quả và đóng góp

Khóa luận đã đạt được các kết quả kỹ thuật và đóng góp học thuật thực tiễn:

1. Kết quả thực nghiệm hệ thống:

• Hiện thực thành công mô hình mạng kiểm soát lưu lượng với pfSense và Squid Proxy, cho phép tự động bắt giữ và chuyển tiếp các tệp thực thi PE về hệ thống phân tích.
• Triển khai hoàn chỉnh quy trình phân tích động tự động hóa trên CAPE Sandbox, xuất dữ liệu hành vi dưới dạng JSON có cấu trúc.
• Xây dựng thành công mô hình học sâu đa phương thức kết hợp Bi-LSTM và Bi-GRU thông qua lớp ghép nối Concatenate, tối ưu hóa khả năng trích chọn đặc trưng hành vi Ransomware từ dữ liệu đa nguồn (API Call và Process Memory).
• Thiết lập cơ chế phòng thủ máy trạm linh hoạt: Ngăn chặn tải lại bằng danh sách đen trên Proxy, giám sát hành vi tiến trình qua Sysmon và ngăn chặn mã hóa diện rộng qua công cụ R-Locker sử dụng Honeyfile.

2. Đóng góp của đề tài:

• Khắc phục hạn chế của các phương pháp học máy truyền thống sử dụng đơn thuộc tính bằng cách đề xuất mô hình đa phương thức kết hợp hai nhóm thuộc tính hành vi quan trọng nhất của Crypto-Ransomware (chuỗi lời gọi hàm API và quyền truy cập vùng nhớ tiến trình).
• Đưa ra giải pháp an ninh mạng toàn diện dạng bán tự động kết hợp nhiều lớp phòng thủ: từ tầng mạng (Network level - pfSense/Squid), tầng phân tích trung tâm (Analysis level - CAPE Sandbox & Deep Learning), đến tầng máy trạm (Host level - Sysmon/R-Locker).

Hạn chế và hướng nghiên cứu tiếp

Hạn chế của nghiên cứu:

• Phương pháp phân tích động trên Sandbox đòi hỏi độ trễ thời gian nhất định để tệp thực thi bộc lộ hành vi, có thể tạo ra khoảng thời gian chờ đối với người dùng khi tải tệp.
• Các kỹ thuật né tránh Sandbox tiên tiến của mã độc hiện đại có thể gây khó khăn cho việc thu thập đầy đủ hành vi nếu môi trường ảo hóa bị phát hiện.
• Cơ chế ngăn chặn phụ thuộc một phần vào phản ứng và nhận thức an toàn thông tin của người dùng cuối trong việc chờ đợi kết quả phân tích hoặc xử lý cảnh báo từ R-Locker.

Hướng nghiên cứu phát triển tiếp theo:

• Tối ưu hóa thời gian thực thi và phân tích động của CAPE Sandbox để giảm thiểu độ trễ cho người dùng cuối.
• Tích hợp thêm các kỹ thuật chống né tránh Sandbox (Anti-Sandbox evasion techniques) vào môi trường ảo hóa.
• Mở rộng tập dữ liệu mẫu và thử nghiệm thêm các dạng thuộc tính hành vi khác vào mô hình đa phương thức để nâng cao năng lực nhận dạng các biến thể mã độc mới.

Giá trị tham khảo

Khóa luận là tài liệu tham khảo hữu ích cho sinh viên, kỹ sư và nhà nghiên cứu thuộc các chuyên ngành An toàn thông tin, An ninh mạng, Kỹ thuật mạng và Công nghệ thông tin:

• Cung cấp hướng dẫn chi tiết về cấu hình và tích hợp thực tế giữa tường lửa pfSense với dịch vụ Squid Proxy nhằm giám sát luồng tệp tin mạng.
• Cung cấp phương pháp luận chuẩn mực về triển khai hệ thống phân tích động CAPE Sandbox kết hợp trích xuất dữ liệu JSON phục vụ nghiên cứu học máy.
• Là tài liệu tham khảo giá trị cho các đề tài nghiên cứu ứng dụng kiến trúc học sâu đa phương thức (Bi-LSTM kết hợp Bi-GRU) trong bài toán phân loại mã độc và an toàn hệ thống.

Câu hỏi thường gặp

1. Tại sao nghiên cứu lại chọn kết hợp hai thuộc tính là API Call và Process Memory cho mô hình đa phương thức? Theo cơ sở lý thuyết và các nghiên cứu liên quan, tệp thực thi PE tương tác với hệ điều hành thông qua các hàm API chuẩn, trong khi tất cả các dòng Crypto-Ransomware đều thực hiện can thiệp vào quyền truy cập bộ nhớ tiến trình (Process Memory permissions như rwx, rwxc) để giải mã và thực thi mã độc trong bộ nhớ. Sự kết hợp hai nguồn dữ liệu này giúp biểu diễn toàn diện chuỗi hành vi độc hại hơn so với việc chỉ sử dụng một thuộc tính đơn lẻ.

2. Vai trò của hai nhánh mạng Bi-LSTM và Bi-GRU trong mô hình học máy là gì? Mạng Bi-LSTM được sử dụng để xử lý dữ liệu chuỗi API Call nhằm học các phụ thuộc ngữ cảnh dài hạn theo cả hai chiều tiến và lùi. Mạng Bi-GRU được sử dụng để xử lý dữ liệu quyền truy cập Process Memory nhờ cấu trúc ít tham số hơn nhưng vẫn đảm bảo khả năng học chuỗi hiệu quả. Đầu ra của hai mạng được ghép lại qua lớp Concatenate để tạo vector đặc trưng tổng hợp.

3. Trong mô hình đề xuất, tường lửa pfSense và Squid Proxy đóng vai trò gì? pfSense đóng vai trò thiết bị tường lửa kiểm soát lưu lượng mạng vào/ra. Squid Proxy tích hợp trên pfSense thực hiện việc lưu vết URL, lọc các liên kết tải tệp thực thi PE, tự động lưu tạm (cache) và chuyển tiếp bản sao tệp sang máy chủ CAPE Sandbox để phân tích, đồng thời cập nhật danh sách đen để chặn các URL độc hại.

4. Nếu người dùng vô tình thực thi tệp tin trước khi có kết quả từ Sandbox thì hệ thống xử lý như thế nào? Hệ thống kích hoạt cơ chế bảo vệ máy trạm đa lớp: Sysmon ghi nhận và giám sát hành vi của tiến trình khả nghi (PID); đồng thời công cụ R-Locker phát hiện sự kiện mã hóa bất thường khi mã độc truy cập vào các tệp bẫy Honeyfile, từ đó gửi cảnh báo và cho phép người dùng dừng (kill) tiến trình độc hại nhằm ngăn chặn sự lây lan diện rộng.

5. Kỹ thuật SMOTE được áp dụng trong khóa luận nhằm mục đích gì? Kỹ thuật SMOTE (Synthetic Minority Over-sampling Technique) được sử dụng trong giai đoạn tiền xử lý dữ liệu để giải quyết tình trạng mất cân bằng giữa các lớp trong tập dữ liệu huấn luyện, bằng cách tạo ra các mẫu nhân tạo cho lớp thiểu số dựa trên $k$ láng giềng gần nhất, giúp mô hình học máy tránh hiện tượng thiên lệch.

Kết luận

Khóa luận tốt nghiệp của tác giả Võ Hoài Nam đã nghiên cứu và hiện thực thành công mô hình phát hiện, ngăn chặn mã độc mã hóa tống tiền kết hợp giữa phân tích động trên CAPE Sandbox và mạng học sâu đa phương thức (Bi-LSTM và Bi-GRU). Giải pháp xây dựng một chu trình bảo mật khép kín từ tầng biên mạng (pfSense/Squid Proxy) đến máy trạm người dùng (Sysmon/R-Locker), mang lại cách tiếp cận đa tầng hiệu quả trong việc phòng chống Crypto-Ransomware. Đề tài đóng góp cả về mặt kiến trúc kỹ thuật lẫn giải pháp học máy ứng dụng, có giá trị học thuật và tính ứng dụng cao trong lĩnh vực an toàn thông tin.

Trích đoạn nội dung tài liệu

Chương 1: Giới thiệu tổng quan về đề tài, lý do chọn đề tài của Khóa luận và những nghiên cứu liên quan. e Chương 2: Trình bày cơ sở lý thuyết và kiến thức nền tảng liên quan đến phương pháp sử dụng trong đề tài. ot e Chương 3: Phương pháp thực hiện. e Chương 4: Trình bày thực nghiệm và đánh giá.

e Chương 5: Kết luận và hướng phát triển của đề tài. CƠ SỞ LÝ THUYET Chương này trình bày cơ sở lý thuyết, các kiến thức nền tang của khóa luận. Bao gồm cái nhìn chung về quy trình tấn công của mã độc nói chung và mã độc mã hóa tống tiền nói riêng. Bên cạnh đó là các phương pháp phân tích mã độc, mô hình học máy và mô hình đa phương thức.

Quy trình tan công chung của mã độc mã hóa tống ox tién 2. Ransomware - Mã độc mé hóa tống tiền Ransomware hay còn được gọi là mã độc mã hóa tống tiền là một loại phần mềm độc hai được thiết kế để tấn công và khóa chống lại dữ liệu hoặc hệ thống của một người dùng hoặc tổ chức. Khi bị tan công bởi ransomware, các tệp tin trên máy tính hoặc hệ thống mạng sẽ bị mã hóa hoặc khóa lại bởi phần mềm độc hại này. Để có thể đọc, ghi hay sử dụng lại các dữ liệu này thì người dùng phải chuyển một khoản tiền cho kẻ tấn công.

Sau đó kẻ tấn công gửi khóa để giải mã các dữ liệu. Sự gia tăng của ransomware về số lượng và các biến thể của chúng tăng theo cấp số nhân (Hình 2. Cơ chế hoạt động chung của Ransomware: e Bước 1: Lây nhiễm: Sau khi xâm nhập được vào máy của nạn nhân bằng phương thức như thông qua mail, các trang web lừa đảo, lây nhiễm từ các thiết bị cùng mạng,. thì ransomware được tự động thực thi hoặc gián tiếp do người dùng trên các thiết bị đầu cuối và có thể là tất cả các thiết bị cùng mạng.

* _ NewSimplocker + Lockerpin © ScarePackage ®© LockDroid © - ScareMeNot «© * Fakelnst SMSSend «© Kovter © ColdBrother * © = Agent « Sypeng ? © Jisut * — Hidden App. «© Pletor © LockerMaster © Slokcer © — Fakedefender © Svpeng NewPo rnDroid. Kar To, Ix.dzwmi rats © SlockerE B Sr. 200: — 1989 ị a 2009 ‹ AIDS GPCode SY | Ransomlock đổ 5° +© — RACCDFISA eveton A .- Cryptolocker ay ce ar CryptoFortress «— © — SpySheritf «SMS * — Cryptolocker ° Vdeek « — Troldesh Nanolocker © - Cerber ay * Cryptolocker Perfo mance Ransomware 2 © Ophioniocker «— TeslaCrypt * Tve3n la se r «© — Boot lock « — Ransomerypt Oboes Ransomrab IS ¬ Satine” ee ie ColiVeutt 5 : 5 Km + Sypolocker 3 Goptowel's «— Dirty ẤT.

Torrentiocker + — Crytptowall4 Hae Descrypt ie. ay © Randamant © Bitcrypt ¢ = Alpha Crypt Hinh 2.1: Ransomware Family e Bước 2: Tạo khóa: Các ransomware liên lạc với máy của chúng dé tạo các khóa cryptographic để mã hóa dit liệu. Các khóa này cũng có thể được tạo từ các thư viện, các hàm có sẵn trên chính máy của nạn nhân. e Bước 3 - Mã hóa: Sau khi tạo được khóa thì ransomware tiến hành mã hóa dữ liệu của nạn nhân bằng thuật toán đã được xác định trước.

e Bước 4 - Tống tiền: Với việc mã hóa được thực hiện thành công, ran- somware hiển thị các thông báo về hành vi tống tiền của mình và các phương thức thanh toán tiền chuộc dữ liệu, đe dọa đữ liệu nếu không thực hiện. e Bước 5 - Mỏ khóa: Sau khi được trả tiền chuộc thì có được khóa để giải mã dữ liệu. Nhưng không có gì chắc chắn là khi thanh toán tiền chuộc thì kẻ tấn công đưa khóa cho nạn nhân.