Giới thiệu dự án

Theo báo cáo an ninh mạng toàn cầu từ Cybersecurity Ventures, thiệt hại do mã độc mã hóa tống tiền (Ransomware) gây ra đã vượt mốc 20 tỷ USD và tiếp tục tăng trưởng theo cấp số nhân. Các biến thể Ransomware hiện đại (như LockBit, BlackCat, WannaCry, Cerber) không ngừng cải tiến kỹ thuật làm rối mã (obfuscation), thực thi không dùng tệp (fileless) và khai thác các điểm yếu zero-day nhằm vô hiệu hóa các hệ thống phòng thủ truyền thống dựa trên chữ ký mẫu (Signature-based Antivirus).

Vấn đề thực tiễn và bài toán nghiên cứu (Problem Statement)

Các giải pháp phát hiện tĩnh và Endpoint Protection Platform (EPP) truyền thống bộc lộ hai điểm yếu chí mạng:

  1. Độ trễ phát hiện cao đối với biến thể mới: Không thể nhận diện các tệp thực thi PE (Portable Executable) bị biến tính hoặc sử dụng thuật toán mã hóa tùy biến trong giai đoạn phân phát (Delivery).
  2. Hạn chế của mô hình máy học đơn phương thức (Single-modal ML): Các nghiên cứu trước đây thường chỉ phân tích một chiều dữ liệu—chẳng hạn như chuỗi lời gọi hàm hệ thống (API Calls) hoặc mẫu nhị phân tĩnh. Cách tiếp cận này dễ bị qua mặt bởi các kỹ thuật né tránh (Sandbox Evasion, API Hooking Bypass) và dẫn đến tỷ lệ dương tính giả (False Positive Rate) cao.
       [ Kẻ tấn công / Internet ]
       [ Client / Điểm cuối ]             [ CAPE Sandbox Server ]

Mục tiêu của dự án (Project Objectives)

  1. Mục tiêu 1: Xây dựng hệ thống giám sát và phân chặn mạng tự động tại biên (Network Perimeter) sử dụng tường lửa pfSense CE v2.7 tích hợp Squid Proxy v5.x nhằm bắt chặn và trích xuất các tệp PE đáng ngờ.
  2. Mục tiêu 2: Triển khai môi trường phân tích động cô lập chuyên sâu với CAPE Sandbox v2.x trên nền tảng ảo hóa KVM/QEMU, tự động trích xuất các chỉ số hành vi (Behavioral Artifacts) dạng JSON.
  3. Mục tiêu 3: Thiết kế và tối ưu kiến trúc mạng nơ-ron học sâu đa phương thức (Multimodal Deep Learning Architecture) kết hợp Bi-LSTM (phân tích chuỗi API Calls) và Bi-GRU (phân tích mẫu quyền truy cập bộ nhớ tiến trình Process Memory), giải quyết mất cân bằng dữ liệu bằng kỹ thuật SMOTE.
  4. Mục tiêu 4: Thiết lập cơ chế phản ứng và phòng thủ chiều sâu tại điểm cuối (Host-based Defense) sử dụng Microsoft Sysmon v14+ kết hợp bẫy tệp thông minh R-Locker (Honeyfile Mechanism) để cô lập tiến trình độc hại trong thời gian thực.

Phương pháp tiếp cận (Solution Approach)

Đồ án tiếp cận theo mô hình phòng thủ theo chiều sâu dựa trên chu trình Cyber Kill Chain (CKC), tập trung trực tiếp vào hai giai đoạn cốt lõi: Delivery (Phân phát) và Exploitation (Khai thác & Mã hóa dữ liệu). Sự kết hợp giữa phát hiện mạng, phân tích động tự động hóa và học sâu đa phương thức giúp loại bỏ độ trễ phân tích, nâng cao khả năng nhận diện các biến thể Crypto-Ransomware chưa từng biết đến.

Kết quả kỳ vọng (Expected Outcomes)

  • Mô hình Multimodal Deep Learning đạt độ chính xác (Accuracy) $\ge 97%$, điểm F1-Score $\ge 96.5%$.
  • Giảm thiểu hơn $35%$ tỷ lệ dương tính giả so với các mô hình đơn phương thức truyền thống.
  • Thời gian phân tích và đưa ra phán quyết độc hại trung bình dưới $120$ giây/tệp.
  • Cơ chế Honeyfile (R-Locker) ngăn chặn thành công quá trình mã hóa hàng loạt trước khi tệp người dùng thực tế bị tác động.

Phạm vi và giới hạn (Scope & Limitations)

  • Phạm vi nghiên cứu: Tập trung vào các mẫu mã độc mã hóa tống tiền thực thi dạng tệp nhị phân Portable Executable (PE: .exe, .dll) trên hệ điều hành Windows 10/11 x64.
  • Giới hạn kỹ thuật: Không bao gồm các dòng Ransomware nhắm vào kiến trúc Linux/macOS hoặc các tấn công chỉ chạy hoàn toàn trên RAM mà không có tệp nhị phân ghi xuống đĩa (Memory-only payloads).

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Tiêu chí so sánh Antivirus truyền thống (Signature-based) Phân tích máy học đơn đặc trưng (Single-modal ML) Giải pháp đề xuất (Multimodal ML + CAPE + Active Trap)
Cơ chế phát hiện So khớp mã băm (MD5/SHA256), chuỗi byte tĩnh Phân tích API Call hoặc Opcodes tĩnh Hợp nhất chuỗi hành vi API (Bi-LSTM) & Quyền bộ nhớ tiến trình (Bi-GRU)
Khả năng chống Zero-day Kém (Gần như $0%$ với mã độc chưa có chữ ký) Trung bình ($70% - 82%$) Xuất sắc ($> 97%$ trên tập mẫu chưa từng huấn luyện)
Phân tích động đa tầng Không hỗ trợ Phân tích Sandbox cơ bản, thiếu giám sát bộ nhớ Tự động hóa qua CAPE Sandbox + KVM Hypervisor
Phản ứng tại điểm cuối Cách ly tệp sau khi đã quét Cảnh báo tĩnh qua giao diện điều khiển Tự động chặn URL trên Firewall + Diệt tiến trình qua Honeyfile (R-Locker)
Thời gian phản ứng Phụ thuộc vào cập nhật Signatures (vài giờ - vài ngày) Thời gian thực nhưng tỷ lệ báo động giả cao Bán tự động, phân tích hành vi chuyên sâu trong 2-3 phút

Phân tích yêu cầu hệ thống (MoSCoW Prioritization)

  • Must-have (Bắt buộc): Chặn bắt tệp PE tải về qua Proxy; Phân tích động tự động trên CAPE; Trích xuất đặc trưng API Calls và Process Memory; Mô hình Deep Learning đa phương thức; Cơ chế giám sát Sysmon.
  • Should-have (Nên có): Tự động đẩy URL chứa mã độc vào Blacklist của pfSense; Triển khai cụm bẫy Honeyfile R-Locker tại các thư mục trọng yếu (Desktop, Documents).
  • Could-have (Có thể có): Giao diện Web Dashboard tập trung theo dõi log phân tích thời gian thực.
  • Won't-have (Chưa triển khai): Giải mã ngược các tệp tin đã bị mã hóa nếu không có khóa bí mật private key.

Thiết kế hệ thống

+-----------------------------------------------------------------------------------+
|                            HỆ THỐNG KIỂM SOÁT VÀ PHÒNG THỦ                         |
+-----------------------------------------------------------------------------------+
|  [ Network Layer ]                                                                |
|  - Firewall: pfSense Community Edition v2.7.0                                     |
|  - Proxy & Interception: Squid Proxy v5.7 (SSL Bump / Transparent Caching)        |
+-----------------------------------------------------------------------------------+
+-----------------------------------------------------------------------------------+
|  [ Dynamic Analysis & Feature Extraction Layer ]                                 |
|  - Sandbox: CAPE Sandbox v2.2 (Kernel-level monitoring, Anti-evasion)             |
|  - Target VM: Windows 10 Pro x64 (Build 21H2, KVM/QEMU)                           |
|  - Extractor: Python 3.10 Parsing Engine -> Generates API & Memory Vectors        |
+-----------------------------------------------------------------------------------+
+-----------------------------------------------------------------------------------+
|  [ Multimodal AI Classification Layer ]                                           |
|  - Stream 1: Bidirectional LSTM (API Call Sequence: 100 timesteps)                |
|  - Stream 2: Bidirectional GRU (Process Memory Matrix: rw, rx, rwx, rwxc)        |
|  - Fusion: Concatenation Layer -> Dense(64) -> Dropout(0.5) -> Softmax Output     |
+-----------------------------------------------------------------------------------+
+-----------------------------------------------------------------------------------+
|  [ Endpoint Response & Remediation Layer ]                                        |
|  - Host Monitoring: Microsoft Sysmon v14.13 (Event ID 1, 11, 12, 13)               |
|  - Process Killing: R-Locker Honeyfile Driver (Triggered upon bait access)        |
|  - Firewall Feed: Automated ACL Rule Update (Squid Domain/IP Blocklist)           |
+-----------------------------------------------------------------------------------+

Ngăn xếp công nghệ chi tiết (Technology Stack)

  • Hệ điều hành Server: Ubuntu Server 22.04 LTS (Kernel 5.15).
  • Công nghệ mạng & Tường lửa: pfSense CE 2.7.0, Squid 5.7, SquidGuard.
  • Nền tảng ảo hóa & Phân tích động: CAPE Sandbox 2.2, QEMU/KVM 6.2, Libvirt 8.0.
  • Deep Learning Framework: TensorFlow 2.12.0, Keras 2.12.0, Scikit-learn 1.2.2, Imbalanced-learn 0.10.1 (SMOTE).
  • Hệ thống giám sát điểm cuối: Windows 10/11 Enterprise x64, Sysmon v14.13, R-Locker Engine.

Phương pháp nghiên cứu (Methodology)

Quy trình thực hiện được triển khai theo mô hình lặp (Iterative Engineering Methodology) qua 4 giai đoạn chính:

- 1,200 mẫu Ransomware (VirusTotal/Malshare) - Xử lý mất cân bằng qua SMOTE
- 1,000 mẫu Goodware (System PE files)       - Xây dựng mạng nơ-ron Bi-LSTM + Bi-GRU
- Kiểm thử Benchmark độ trễ                  - Cấu hình pfSense + Squid Proxy
- Đo lường F1-score & Confusion Matrix       - Thiết lập Sysmon & R-Locker Trap

Quản trị rủi ro và chiến lược ứng phó (Risk Assessment)

  • Rủi ro mã độc thoát khỏi máy ảo (Sandbox Escape): Cách ly toàn bộ mạng Sandbox qua VLAN riêng biệt, vô hiệu hóa Shared Folders và sử dụng Driver ảo hóa KVM biệt lập.
  • Rủi ro quá tải tài nguyên khi phân tích đồng thời: Triển khai hàng đợi xử lý tác vụ bất đồng bộ (RabbitMQ + Celery Task Queue) trên máy chủ CAPE Sandbox.

Implementation và kết quả

Development Process & Core Algorithms

Trọng tâm của giải pháp là kiến trúc học sâu kết hợp đa phương thức (Multimodal Deep Learning Architecture). Dữ liệu đầu vào gồm hai luồng đặc trưng hành vi trích xuất từ báo cáo JSON của CAPE Sandbox:

  1. API Call Sequence: Chuỗi các lệnh gọi hàm Win32 API liên tiếp (ví dụ: CreateFileW, VirtualAllocEx, WriteProcessMemory, CryptEncrypt).
  2. Process Memory Allocation: Thống kê các vùng phân bổ bộ nhớ với các thuộc tính truy cập đặc biệt, cụ thể là quyền rwx (Read/Write/Execute) và rwxc (Read/Write/Execute/Copy)—dấu hiệu nhận diện điển hình của việc giải mã shellcode và mã hóa tệp trực tiếp trong RAM.
import tensorflow as tf
from tensorflow.keras.layers import Input, Embedding, LSTM, GRU, Bidirectional, Dense, Dropout, concatenate
from tensorflow.keras.models import Model

def build_multimodal_ransomware_detector(vocab_size_api, max_len_api, mem_feature_dim):
    # ==========================================
    # Nhánh 1: Xử lý chuỗi API Calls qua Bi-LSTM
    # ==========================================
    input_api = Input(shape=(max_len_api,), name="api_sequence_input")
    emb_api = Embedding(input_dim=vocab_size_api, output_dim=128, input_length=max_len_api)(input_api)
    bilstm_api = Bidirectional(LSTM(64, return_sequences=False, dropout=0.3, recurrent_dropout=0.2))(emb_api)
    
    # ==========================================
    # Nhánh 2: Xử lý đặc trưng Memory qua Bi-GRU
    # ==========================================
    input_mem = Input(shape=(mem_feature_dim, 1), name="process_memory_input")
    bigru_mem = Bidirectional(GRU(32, return_sequences=False, dropout=0.2))(input_mem)
    
    # ==========================================
    # Kết hợp đa phương thức (Multimodal Fusion)
    # ==========================================
    fused_features = concatenate([bilstm_api, bigru_mem], name="concatenate_layer")
    
    # Các tầng Fully Connected (Dense) phân loại
    dense_1 = Dense(64, activation='relu')(fused_features)
    dropout_1 = Dropout(0.5)(dense_1)
    dense_2 = Dense(32, activation='relu')(dropout_1)
    
    # Tầng phân loại đầu ra nhị phân (0: Benign, 1: Ransomware)
    output = Dense(2, activation='softmax', name="classification_output")(dense_2)
    
    model = Model(inputs=[input_api, input_mem], outputs=output, name="Multimodal_Ransomware_Detector")
    model.compile(optimizer=tf.keras.optimizers.Adam(learning_rate=0.001),
                  loss='categorical_crossentropy',
                  metrics=['accuracy', tf.keras.metrics.Precision(), tf.keras.metrics.Recall()])
    return model

Testing và Validation

Quá trình thực nghiệm được tiến hành trên tập dữ liệu gồm 2,200 mẫu PE, trong đó:

  • Tập Ransomware: 1,200 mẫu đại diện cho 15 họ mã độc tống tiền phổ biến (WannaCry, Cerber, Locky, TeslaCrypt, Sodinokibi, Cryptolocker...).
  • Tập Goodware: 1,000 mẫu tệp thực thi sạch từ hệ điều hành Windows và các phần mềm văn phòng tiêu chuẩn.
  • Dữ liệu được chia theo tỷ lệ 70% Training, 15% Validation, và 15% Testing. Thuật toán SMOTE được áp dụng trên tập huấn luyện để triệt tiêu độ lệch lớp.
                    Confusion Matrix (Tập Kiểm thử Độc lập: 330 mẫu)

Kết quả đo lường hiệu năng chi tiết (Benchmark Metrics)

  • Độ chính xác toàn diện (Accuracy): $\mathbf{98.48%}$
  • Độ nhạy (Recall / True Positive Rate): $\mathbf{98.88%}$ (Phát hiện thành công 178/180 mẫu Ransomware).
  • Độ chuẩn xác (Precision): $\mathbf{98.34%}$.
  • F1-Score: $\mathbf{98.61%}$.
  • Tỷ lệ dương tính giả (FPR): $\mathbf{2.00%}$ (Giảm đáng kể so với mức $5.8%$ của mô hình Bi-LSTM đơn lẻ).

Kết quả đạt được

[ So sánh hiệu năng phát hiện giữa các kiến trúc Deep Learning ]
  1. Hiệu quả phát hiện vượt trội: Việc kết hợp đặc trưng chuỗi API calls và trạng thái cấp phát bộ nhớ giúp nhận diện chính xác các hành vi ẩn giấu của Crypto-Ransomware mà các công cụ quét tĩnh hoàn toàn bỏ sót.
  2. Ngăn chặn chủ động tại Host: Tích hợp thành công Sysmon và công cụ bẫy Honeyfile R-Locker. Khi một tiến trình cố gắng sửa đổi hoặc mã hóa các tệp bẫy (như .docx, .xlsx mồi trong thư mục người dùng), R-Locker ngay lập tức phát hiện truy cập bất thường, gửi tín hiệu ngắt (Kill Signal) dựa trên Process ID (PID) và thông báo cho người quản trị.

Đổi mới và đóng góp

  1. Kiến trúc phân loại đa phương thức tiên tiến: Khắc phục nhược điểm của các nghiên cứu trước đây (như Li Zheng hay Arslan Ashraf) vốn chỉ dựa trên một chiều dữ liệu API Calls. Việc hợp nhất hai luồng biểu diễn (Bi-LSTM cho chuỗi thời gian API và Bi-GRU cho không gian bộ nhớ tiến trình) giúp tăng $12.08%$ độ chính xác so với mô hình đơn phương thức.
  2. Mô hình hóa toàn diện chu trình phòng thủ: Không dừng lại ở việc phát hiện lý thuyết trên tệp dữ liệu tĩnh, đề tài đã hiện thực hóa toàn bộ chuỗi mắt xích từ Perimeter Interception (pfSense + Squid) $\rightarrow$ Automated Dynamic Detonation (CAPE Sandbox) $\rightarrow$ AI Decision Making $\rightarrow$ Host Remediation (R-Locker Honeyfile).
  3. Cơ chế phòng thủ chủ động hai lớp (Two-tier Defense): Cung cấp giải pháp dự phòng an toàn: nếu người dùng vô tình thực thi tệp tin trước khi CAPE Sandbox hoàn tất báo cáo, lớp phòng thủ R-Locker tại máy trạm sẽ lập tức bắt chặn hành vi mã hóa ngay tại tệp mồi đầu tiên.

Ứng dụng thực tế và triển khai

Kịch bản triển khai thực tế (Real-world Use Case)

Giải pháp đặc biệt phù hợp cho các doanh nghiệp vừa và nhỏ (SMEs), trung tâm dữ liệu, hoặc các cơ quan hành chính nhà nước—nơi lưu trữ khối lượng lớn tài liệu nhạy cảm nhưng thiếu hụt ngân sách cho các giải pháp EDR (Endpoint Detection and Response) thương mại đắt đỏ.

       [ Client LAN Workstations ]
         [ pfSense Gateway (192.168.1.1) ]
         [ External WAN ]                       [ CAPE Engine (192.168.1.200) ]

Hướng dẫn cài đặt và triển khai hệ thống (Deployment Guide)

Bước 1: Cấu hình bắt gói trên pfSense và Squid Proxy

Truy cập giao diện WebGUI pfSense $\rightarrow$ Services $\rightarrow$ Squid Proxy Server:

  1. Bật tính năng Enable Squid Proxy.
  2. Kích hoạt chế độ Transparent HTTP Proxy trên giao diện mạng LAN.
  3. Trong mục Custom ACLs, bổ sung quy tắc trích xuất các đuôi tệp thực thi:
acl PE_FILES urlpath_regex -i \.exe$ \.dll$ \.scr$ \.pif$
cache_peer 192.168.1.200 parent 8000 0 no-query no-digest

Bước 2: Triển khai cấu hình giám sát Sysmon trên máy trạm Windows

Sử dụng bộ quy tắc chuẩn hóa của Sysmon để ghi nhận các sự kiện can thiệp tiến trình độc hại:

<Sysmon schemaversion="4.90">
  <EventFiltering>
    <!-- Ghi nhận khởi tạo tiến trình mới (Process Creation - Event ID 1) -->
    <ProcessCreate onmatch="include">
      <Image condition="end with">.exe</Image>
    </ProcessCreate>
    <!-- Ghi nhận thay đổi tệp tin hàng loạt (File Creation - Event ID 11) -->
    <FileCreate onmatch="include">
      <TargetFilename condition="contains">Honeyfile</TargetFilename>
    </FileCreate>
  </EventFiltering>
</Sysmon>

Thực thi lệnh kích hoạt trên PowerShell quyền Administrator:

sysmon.exe -accepteula -i sysmon_config.xml

Hạn chế và hướng phát triển

Hạn chế kỹ thuật hiện tại

  • Độ trễ phân tích động: Quá trình phân tích trong Sandbox cần từ $60 - 180$ giây để quan sát đầy đủ các hành vi mã hóa. Nếu người dùng mở tệp ngay lập tức sau khi tải, hệ thống phải phụ thuộc hoàn toàn vào lớp bẫy Honeyfile R-Locker.
  • Kỹ thuật chống Sandbox (Anti-Sandbox / Evasion): Một số biến thể Ransomware nâng cao có khả năng kiểm tra thời gian trễ (Sleep timer), kiểm tra số lượng nhân CPU hoặc chuyển động chuột để tạm dừng hành vi độc hại khi chạy trong môi trường ảo hóa.

Hướng phát triển trong tương lai

  • Tích hợp thêm module phân tích tĩnh dựa trên Đồ thị luồng điều khiển (Control Flow Graph - CFG) và mã giả Assembly để đưa ra phán quyết sơ bộ trước khi chuyển vào Sandbox.
  • Nâng cấp cơ chế CAPE Sandbox với các kỹ thuật Kernel-level Hooking và mô phỏng tương tác người dùng tự động (Simulated User Actions).
  • Nghiên cứu mô hình học máy tăng cường (Reinforcement Learning) để thích ứng với các kỹ thuật né tránh Sandbox mới.

Đối tượng hưởng lợi

  • Sinh viên & Học viên An toàn Thông tin: Tài liệu tham khảo thực nghiệm chuẩn mực về quy trình phân tích động mã độc, kiến trúc phân loại Deep Learning đa phương thức và kỹ thuật bẫy Honeyfile.
  • Kỹ sư Bảo mật & Quản trị Hệ thống (SOC / Blue Team): Hướng dẫn chi tiết cách tích hợp pfSense, Squid Proxy và Sysmon để xây dựng hệ thống phòng thủ chi phí thấp nhưng đạt hiệu quả bảo vệ cao.
  • Doanh nghiệp & Tổ chức: Một mô hình kiến trúc bảo mật toàn diện giúp ngăn chặn các đợt tấn công tống tiền nguy hiểm mà không cần phụ thuộc vào bản quyền phần mềm đắt đỏ.
  • Nhà nghiên cứu Khoa học Dữ liệu trong An ninh mạng: Cung cấp phương pháp luận chuẩn hóa trong việc kết hợp dữ liệu phi cấu trúc (chuỗi thời gian API) và dữ liệu có cấu trúc (bộ nhớ hệ thống) để nâng cao độ chính xác nhận dạng.

Câu hỏi thường gặp

1. Yêu cầu phần cứng tối thiểu để triển khai hệ thống là gì?

Máy chủ Sandbox yêu cầu tối thiểu CPU 8 Cores (hỗ trợ ảo hóa phần cứng VT-x/AMD-V), 32GB RAM và 500GB ổ cứng SSD NVMe để vận hành trơn tru máy chủ CAPE và các máy ảo Windows 10 phân tích động lồng nhau (Nested Virtualization).

2. Hệ thống xử lý thế nào đối với các tệp tin được tải qua giao thức mã hóa HTTPS?

Squid Proxy trên pfSense được cấu hình chế độ SSL/TLS Man-in-the-Middle (SSL Bump) kết hợp chứng chỉ số (CA Certificate) cài đặt sẵn trên các máy trạm doanh nghiệp, cho phép giải mã và kiểm tra luồng tệp tin tải về qua kết nối HTTPS an toàn.

3. Điều gì xảy ra nếu Ransomware phát hiện Sandbox và không thực thi hành vi mã hóa?

Hệ thống giải quyết vấn đề này qua lớp phòng vệ chiều sâu:

  1. CAPE Sandbox sử dụng các kỹ thuật Anti-evasion (ngụy trang phần cứng, ẩn tiến trình hypervisor).
  2. Nếu mã độc lọt qua máy nạn nhân, cơ chế R-Locker (Honeyfile) và Sysmon tại máy trạm sẽ đóng vai trò chốt chặn cuối cùng, tự động phát hiện và ngắt tiến trình ngay khi phát hiện nỗ lực can thiệp vào tệp mồi.

4. Chi phí triển khai và thời gian hoàn vốn (ROI) của giải pháp như thế nào?

Giải pháp được xây dựng hoàn toàn trên các nền tảng mã nguồn mở (pfSense Community, CAPE Sandbox, TensorFlow, Python), do đó chi phí bản quyền phần mềm là 0 VNĐ. Doanh nghiệp chỉ cần đầu tư hạ tầng phần cứng ban đầu, giảm thiểu rủi ro thiệt hại hàng tỷ đồng do gián đoạn hoạt động kinh doanh khi bị Ransomware tấn công.

5. Mô hình Multimodal Deep Learning có thể nhận diện được các loại mã độc khác ngoài Ransomware không?

Hoàn toàn có thể. Mặc dù trọng tâm của nghiên cứu là Crypto-Ransomware, kiến trúc kết hợp chuỗi API Calls và hành vi bộ nhớ Process Memory là phương pháp phân loại tổng quát, có thể mở rộng để phát hiện Trojans, Spyware, Rootkits hoặc Worms thông qua việc tái huấn luyện (Re-training) với tập nhãn mới.

Kết luận

Đồ án tốt nghiệp "Nghiên cứu phương pháp phát hiện và ngăn chặn mã độc mã hóa tống tiền" của tác giả Võ Hoài Nam đã giải quyết thành công bài toán cấp bách trong lĩnh vực an toàn thông tin hiện đại. Bằng việc kết hợp sáng tạo giữa tường lửa biên pfSense - Squid Proxy, nền tảng phân tích động CAPE Sandbox, mô hình học sâu đa phương thức Multimodal Deep Learning (Bi-LSTM + Bi-GRU) và cơ chế phòng thủ chủ động R-Locker Honeyfile, nghiên cứu đã chứng minh hiệu quả vượt trội với độ chính xác đạt 98.48% và khả năng ngăn chặn mã hóa dữ liệu theo thời gian thực.

Đây là một đóng góp học thuật và ứng dụng thực tiễn giá trị, cung cấp giải pháp an ninh mạng toàn diện, chi phí tối ưu và sẵn sàng chuyển giao cho các tổ chức, doanh nghiệp trong kỷ nguyên số.