Phân loại lưu lượng mạng Internet sử dụng Machine Learning

Chuyên khảo phân tích Phân loại lưu lượng mạng internet dùng machine learning, đánh giá các khía cạnh quan trọng, đề xuất hướng nghiên cứu tiếp theo.

• Tác giả: Lê Hoàng Bảo
• Người hướng dẫn: TS. Nguyễn Hồng Sơn
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: Hệ thống thông tin
• Đề tài: Phân loại lưu lượng mạng Internet dùng Machine Learning
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2022
• Địa điểm: TP. Hồ Chí Minh

Mục lục chi tiết

• LỜI CAM ĐOAN
• 1. CHƯƠNG 1: NGHIÊN CỨU TỔNG QUAN
• 1.1. Nhu cầu phân tích lưu lượng mạng Internet
• 1.2. Các phương pháp tiền xử lý dữ liệu
• 1.2.1. Phương pháp chuẩn hóa
• 1.2.2. Vấn đề dữ liệu bị khuyết (missing data)
• 1.2.3. Một số thuật toán học máy được áp dụng vào phân loại lưu lượng
• 2. CHƯƠNG 2: TỔNG QUAN VỀ HỌC MÁY
• 2.1. Các phương pháp học trong quá trình học máy
• 2.2. Các loại bài toán cơ bản trong học máy
• 3. CHƯƠNG 3: PHÁT TRIỂN MÔ HÌNH
• 3.1. Tập dữ liệu
• 3.2. Mô hình phân loại lưu lượng
• 3.2.1. Xây dựng mô hình
• 3.2.2. Tiền xử lý dữ liệu
• 3.2.3. Mạng Neuron nhân tạo (ANN – Artificial Neural Networks)
• 3.2.4. Rừng ngẫu nhiên (RF - Random Forest)
• 4. CHƯƠNG 4: KẾT QUẢ THỰC NGHIỆM
• 4.1. Môi trường thực hiện
• 4.2. Các chỉ số đánh giá (Evaluation metrics)
• 4.2.1. Ma trận nhầm lẫn (Confusion Matrix)
• 4.2.2. Các chỉ số đánh giá
• 4.3. Kết quả đạt được
• 4.3.1. Miêu tả các bối cảnh thí nghiệm
• 4.3.2. Kết quả thu được – Mô hình KNN
• 4.3.3. Kết quả thu được – Mô hình ANN
• 4.3.4. Kết quả thu được – Mô hình RF
• 4.3.5. Kết quả tổng quan từ 3 mô hình
• DANH MỤC TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về Phân loại lưu lượng mạng Internet bằng ML

Phân loại lưu lượng mạng Internet là một vấn đề quan trọng trong việc quản lý bảo mật và đảm bảo chất lượng dịch vụ (QoS). Các phương pháp truyền thống như điều chỉnh TCP/IP không còn phù hợp do sự phức tạp của mạng Internet. Các phương pháp phân loại dựa trên cổng (port-based) và kiểm tra gói chuyên sâu (DPI) gặp hạn chế trong việc xử lý các đặc điểm mới của lưu lượng mạng như phân bố cổng động, VPN và mã hóa. Trong những năm gần đây, việc áp dụng các phương pháp Machine Learning (ML) đã mang lại những kết quả đáng chú ý. Các phương pháp này sử dụng các công cụ phân loại thống kê để xây dựng các mô hình dựa trên các tập dữ liệu huấn luyện đã được gắn nhãn. Kết quả là nhóm đối tượng hoặc xác suất phân bố của các nhóm đối tượng. Các mô hình học máy có thể phân loại dữ liệu đầu vào với độ chính xác cao, làm cho việc sử dụng chúng trở nên phổ biến trong nhiều ứng dụng và lĩnh vực khác nhau.

1.1. Nhu cầu cấp thiết của Phân tích lưu lượng mạng

Trong lĩnh vực phân loại lưu lượng Internet, các phương pháp truyền thống có một số hạn chế nhất định. Đánh dấu gói (packet marking) được đề xuất để phân biệt lưu lượng dựa trên lớp QoS của nó. Tuy nhiên, các giao thức này không được triển khai rộng rãi do sự phức tạp và các vấn đề tương thích với hệ thống. Ngoài ra, có hai phương pháp phân loại truyền thống được ứng dụng rộng rãi, bao gồm phương pháp phân loại dựa trên cổng (Port – based) và phương pháp phân loại dựa trên tải trọng (Payload – based). Các phương pháp này gặp nhiều khó khăn khi lưu lượng mạng ngày càng phức tạp và đa dạng. Do đó, cần có một giải pháp mới để phân loại lưu lượng mạng Internet hiệu quả hơn.

1.2. Hạn chế của phương pháp phân loại truyền thống

Phương pháp phân loại dựa trên cổng (Port-based technique) là kỹ thuật phổ biến nhất, sử dụng số cổng do IANA ấn định để xác định lưu lượng mạng. Tuy nhiên, không phải tất cả các ứng dụng đều đăng ký số cổng, và một số dịch vụ mạng đường hầm (tunneling) và ẩn danh (anonymization) ẩn đi thông tin số cổng. Trong các ứng dụng di động, hầu hết lưu lượng ứng dụng được truyền đi bằng đường hầm thông qua HTTPS, gây khó khăn cho việc phân loại. Phương pháp phân loại dựa trên nội dung truyền tải (Payload-based technique), hay DPI, kiểm tra nội dung của gói dữ liệu dựa trên đặc trưng của các ứng dụng mạng. Tuy nhiên, kỹ thuật này yêu cầu nhiều về phần cứng, không thể xử lý các gói lưu lượng đã được mã hóa và cần được cập nhật liên tục các đặc trưng của ứng dụng mạng mới.

II. Cách Machine Learning giải quyết bài toán phân loại mạng

Việc áp dụng Machine Learning cho phân loại lưu lượng mạng đã trở thành một giải pháp hiệu quả để vượt qua những hạn chế của các phương pháp truyền thống. Các thuật toán học máy có khả năng phân tích và học từ dữ liệu, cho phép chúng xác định các mẫu và đặc điểm phức tạp trong lưu lượng mạng mà các phương pháp truyền thống không thể phát hiện. Bằng cách sử dụng các tập dữ liệu huấn luyện đã được gắn nhãn, các mô hình Machine Learning có thể xây dựng các mô hình phân loại chính xác, giúp cải thiện khả năng quản lý bảo mật và đảm bảo chất lượng dịch vụ (QoS).

2.1. Tổng quan về các phương pháp học trong Machine Learning

Trong quá trình học máy, có nhiều phương pháp học khác nhau được sử dụng để xây dựng các mô hình phân loại. Các phương pháp này bao gồm học có giám sát (supervised learning), học không giám sát (unsupervised learning) và học bán giám sát (semi-supervised learning). Học có giám sát sử dụng các tập dữ liệu đã được gắn nhãn để huấn luyện mô hình, trong khi học không giám sát khám phá các mẫu và cấu trúc ẩn trong dữ liệu mà không cần nhãn. Học bán giám sát kết hợp cả hai phương pháp để tận dụng lợi thế của cả dữ liệu đã được gắn nhãn và dữ liệu chưa được gắn nhãn.

2.2. Các loại bài toán cơ bản trong học máy

Trong lĩnh vực học máy, có nhiều loại bài toán cơ bản khác nhau, bao gồm bài toán phân loại (classification), bài toán hồi quy (regression) và bài toán phân cụm (clustering). Bài toán phân loại nhằm mục đích gán một đối tượng vào một trong các lớp đã được xác định trước, trong khi bài toán hồi quy dự đoán một giá trị liên tục. Bài toán phân cụm nhóm các đối tượng tương tự lại với nhau thành các cụm dựa trên các đặc điểm chung của chúng. Các loại bài toán này có thể được áp dụng để giải quyết các vấn đề khác nhau trong lĩnh vực phân loại lưu lượng mạng Internet.

III. Hướng dẫn Phát triển mô hình phân loại lưu lượng mạng ML

Để phát triển một mô hình phân loại lưu lượng mạng bằng Machine Learning, cần thực hiện một số bước quan trọng. Đầu tiên, cần thu thập và chuẩn bị một tập dữ liệu phù hợp, bao gồm các đặc trưng của lưu lượng mạng và nhãn tương ứng. Tiếp theo, cần chọn một thuật toán Machine Learning phù hợp và huấn luyện mô hình trên tập dữ liệu đã chuẩn bị. Cuối cùng, cần đánh giá hiệu suất của mô hình và điều chỉnh các tham số để đạt được kết quả tốt nhất. Quá trình này đòi hỏi sự hiểu biết sâu sắc về các thuật toán Machine Learning và các kỹ thuật tiền xử lý dữ liệu.

3.1. Chuẩn bị dữ liệu huấn luyện cho mô hình

Tập dữ liệu đóng vai trò quan trọng trong việc xây dựng một mô hình phân loại lưu lượng mạng hiệu quả. Tập dữ liệu cần phải đủ lớn và đa dạng để đảm bảo rằng mô hình có thể học được các mẫu và đặc điểm khác nhau của lưu lượng mạng. Ngoài ra, tập dữ liệu cần phải được làm sạch và tiền xử lý để loại bỏ các giá trị bị thiếu hoặc không hợp lệ. Các kỹ thuật tiền xử lý dữ liệu như chuẩn hóa và mã hóa có thể được sử dụng để cải thiện hiệu suất của mô hình.

3.2. Xây dựng mô hình phân loại lưu lượng hiệu quả

Có nhiều thuật toán Machine Learning khác nhau có thể được sử dụng để xây dựng một mô hình phân loại lưu lượng mạng. Một số thuật toán phổ biến bao gồm K-Nearest Neighbors (KNN), Artificial Neural Networks (ANN) và Random Forest (RF). Mỗi thuật toán có những ưu điểm và nhược điểm riêng, và việc lựa chọn thuật toán phù hợp phụ thuộc vào đặc điểm của tập dữ liệu và yêu cầu của bài toán. Cần thử nghiệm với các thuật toán khác nhau và điều chỉnh các tham số để đạt được hiệu suất tốt nhất.

3.3. Tiền xử lý dữ liệu để tăng độ chính xác

Tiền xử lý dữ liệu là một bước quan trọng trong quá trình xây dựng một mô hình phân loại lưu lượng mạng hiệu quả. Các kỹ thuật tiền xử lý dữ liệu như chuẩn hóa (normalization) và mã hóa (encoding) có thể được sử dụng để cải thiện hiệu suất của mô hình. Chuẩn hóa giúp đưa các giá trị của các đặc trưng về cùng một phạm vi, trong khi mã hóa chuyển đổi các giá trị văn bản hoặc phân loại thành các giá trị số. Việc áp dụng các kỹ thuật tiền xử lý dữ liệu phù hợp có thể giúp tăng độ chính xác của mô hình.

IV. Ứng dụng thực tiễn và Kết quả nghiên cứu phân loại mạng

Các mô hình phân loại lưu lượng mạng bằng Machine Learning có thể được ứng dụng trong nhiều lĩnh vực khác nhau. Ví dụ, chúng có thể được sử dụng để phát hiện xâm nhập mạng, quản lý chất lượng dịch vụ (QoS) và tối ưu hóa mạng. Các kết quả nghiên cứu đã chứng minh rằng các mô hình Machine Learning có thể đạt được độ chính xác cao trong việc phân loại lưu lượng mạng, giúp cải thiện khả năng bảo mật và hiệu suất của mạng. Tuy nhiên, cần lưu ý rằng hiệu suất của mô hình phụ thuộc vào chất lượng của tập dữ liệu và việc lựa chọn thuật toán phù hợp.

4.1. Môi trường thực hiện và các chỉ số đánh giá

Để đánh giá hiệu suất của các mô hình phân loại lưu lượng mạng, cần sử dụng các chỉ số đánh giá phù hợp. Một số chỉ số đánh giá phổ biến bao gồm ma trận nhầm lẫn (confusion matrix), độ chính xác (accuracy), độ thu hồi (recall) và độ đo F1 (F1-score). Các chỉ số này cung cấp thông tin về khả năng của mô hình trong việc phân loại đúng các loại lưu lượng mạng khác nhau. Ngoài ra, cần xác định một môi trường thực hiện phù hợp để đảm bảo rằng các kết quả đánh giá là đáng tin cậy.

4.2. So sánh kết quả của các mô hình Machine Learning

Các kết quả nghiên cứu đã chỉ ra rằng các mô hình Machine Learning khác nhau có thể đạt được hiệu suất khác nhau trong việc phân loại lưu lượng mạng. Ví dụ, mô hình Random Forest (RF) thường đạt được độ chính xác cao hơn so với mô hình K-Nearest Neighbors (KNN) trong một số trường hợp. Tuy nhiên, cần lưu ý rằng hiệu suất của mô hình phụ thuộc vào đặc điểm của tập dữ liệu và việc lựa chọn tham số phù hợp. Việc so sánh kết quả của các mô hình khác nhau có thể giúp xác định mô hình phù hợp nhất cho một bài toán cụ thể.

V. Kết luận và Tương lai của Phân loại lưu lượng mạng ML

Việc phân loại lưu lượng mạng bằng Machine Learning là một lĩnh vực nghiên cứu đầy tiềm năng, mang lại nhiều lợi ích cho việc quản lý bảo mật và đảm bảo chất lượng dịch vụ (QoS). Các mô hình Machine Learning có khả năng phân tích và học từ dữ liệu, cho phép chúng xác định các mẫu và đặc điểm phức tạp trong lưu lượng mạng mà các phương pháp truyền thống không thể phát hiện. Trong tương lai, lĩnh vực này có thể phát triển theo hướng sử dụng các thuật toán học sâu (deep learning) và các kỹ thuật phân tích dữ liệu lớn (big data analytics) để cải thiện hơn nữa khả năng phân loại lưu lượng mạng.

5.1. Tổng kết các ưu điểm của Machine Learning

Các phương pháp Machine Learning có nhiều ưu điểm so với các phương pháp phân loại lưu lượng mạng truyền thống. Chúng có khả năng tự động học từ dữ liệu, thích ứng với các thay đổi trong lưu lượng mạng và phát hiện các mẫu và đặc điểm phức tạp. Ngoài ra, chúng có thể được sử dụng để phân loại lưu lượng mạng đã được mã hóa, điều mà các phương pháp truyền thống không thể làm được. Các ưu điểm này làm cho Machine Learning trở thành một công cụ mạnh mẽ cho việc quản lý bảo mật và đảm bảo chất lượng dịch vụ (QoS).

5.2. Hướng phát triển và nghiên cứu trong tương lai

Trong tương lai, lĩnh vực phân loại lưu lượng mạng bằng Machine Learning có thể phát triển theo nhiều hướng khác nhau. Một hướng phát triển tiềm năng là sử dụng các thuật toán học sâu (deep learning) để xây dựng các mô hình phân loại phức tạp hơn. Một hướng khác là sử dụng các kỹ thuật phân tích dữ liệu lớn (big data analytics) để xử lý các tập dữ liệu lớn hơn và đa dạng hơn. Ngoài ra, cần tiếp tục nghiên cứu và phát triển các phương pháp tiền xử lý dữ liệu và đánh giá mô hình để cải thiện hiệu suất của các mô hình phân loại lưu lượng mạng.

Nội dung chính

Tổng quan nghiên cứu

Phân loại lưu lượng mạng Internet là một vấn đề quan trọng trong quản lý và bảo mật mạng, đặc biệt trong bối cảnh lưu lượng ngày càng đa dạng và phức tạp. Theo ước tính, việc phân loại chính xác lưu lượng giúp nâng cao chất lượng dịch vụ (Quality of Service – QoS) và đảm bảo an toàn mạng. Tuy nhiên, các phương pháp truyền thống như phân loại dựa trên cổng (port-based) hay kiểm tra gói chuyên sâu (Deep Packet Inspection - DPI) đang dần bộc lộ nhiều hạn chế do sự xuất hiện của các kỹ thuật mã hóa, VPN và cổng động. Mục tiêu nghiên cứu của luận văn là phát triển và đánh giá các mô hình học máy nhằm phân loại lưu lượng mạng Internet một cách hiệu quả, chính xác hơn, phù hợp với thực tiễn tại Việt Nam. Nghiên cứu sử dụng tập dữ liệu ISCXVPN2016, thu thập từ Đại học New Brunswick, Canada, bao gồm 7 loại lưu lượng mạng khác nhau, được phân chia thành hai bối cảnh: lưu lượng mã hóa VPN và không mã hóa. Phạm vi nghiên cứu tập trung vào việc áp dụng các thuật toán học máy như K-Nearest Neighbors (KNN), Mạng Neuron Nhân tạo (ANN) và Rừng Ngẫu nhiên (Random Forest - RF) trong giai đoạn năm 2022 tại TP. Hồ Chí Minh. Kết quả nghiên cứu có ý nghĩa quan trọng trong việc nâng cao hiệu quả phân loại lưu lượng, góp phần cải thiện quản lý mạng và bảo mật trong các hệ thống mạng hiện đại.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên các lý thuyết và mô hình học máy hiện đại để phân loại lưu lượng mạng Internet. Hai lý thuyết chính được áp dụng gồm:

• Học máy có giám sát (Supervised Learning): Phương pháp này sử dụng tập dữ liệu đã được gán nhãn để huấn luyện mô hình phân loại. Mục tiêu là xây dựng hàm ánh xạ từ đặc trưng đầu vào đến nhãn phân loại, giúp dự đoán chính xác nhãn của dữ liệu mới.

• Mô hình phân loại đa thuật toán: Bao gồm các thuật toán tiêu biểu như K-Nearest Neighbors (KNN), Mạng Neuron Nhân tạo (ANN) và Rừng Ngẫu nhiên (Random Forest - RF). Các thuật toán này có khả năng xử lý dữ liệu phi tuyến tính, đa chiều và có thể thích ứng với các đặc trưng phức tạp của lưu lượng mạng.

Các khái niệm chính trong nghiên cứu gồm: đặc trưng dữ liệu (feature), mã hóa nhãn (label encoding, one-hot encoding), chuẩn hóa dữ liệu (Min-Max normalization, Z-score), ma trận nhầm lẫn (confusion matrix), và các chỉ số đánh giá mô hình như Accuracy, Precision, Recall, F1-score.

Phương pháp nghiên cứu

Nguồn dữ liệu chính là tập dữ liệu ISCXVPN2016, bao gồm 7 loại lưu lượng mạng Internet với tổng cộng 23 đặc trưng mô tả chi tiết các thông số về thời gian, lưu lượng byte và gói tin. Dữ liệu được thu thập từ các ứng dụng phổ biến như Skype, Facebook, Youtube, uTorrent, và được phân loại thành lưu lượng mã hóa VPN và không mã hóa.

Phương pháp nghiên cứu bao gồm các bước:

1. Tiền xử lý dữ liệu: Chuẩn hóa các đặc trưng về phạm vi [0,1] bằng Min-Max Scaler; mã hóa nhãn phân loại bằng Label Encoding để giảm tải tính toán.

2. Phân chia dữ liệu: Tập dữ liệu được chia ngẫu nhiên theo tỷ lệ 80% cho huấn luyện và 20% cho kiểm tra nhằm đảm bảo tính khách quan trong đánh giá mô hình.

3. Xây dựng mô hình: Áp dụng ba thuật toán học máy gồm KNN, ANN và RF để huấn luyện và phân loại lưu lượng mạng.

4. Điều chỉnh siêu tham số: Sử dụng các kỹ thuật tìm kiếm lưới (Grid Search) và tìm kiếm ngẫu nhiên (Randomized Search) để tối ưu các siêu tham số của mô hình, nâng cao hiệu suất phân loại.

5. Đánh giá mô hình: Sử dụng các chỉ số như Accuracy, Precision, Recall, F1-score và ma trận nhầm lẫn để đánh giá hiệu quả phân loại của từng mô hình.

Quá trình nghiên cứu được thực hiện trong năm 2022 tại TP. Hồ Chí Minh, với cỡ mẫu dữ liệu khoảng hàng nghìn mẫu từ tập ISCXVPN2016.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Hiệu suất phân loại của các mô hình: Mô hình Rừng Ngẫu nhiên (RF) đạt độ chính xác cao nhất, khoảng 92% trong bối cảnh phân loại lưu lượng không mã hóa (Non-VPN), vượt trội hơn so với KNN (khoảng 85%) và ANN (khoảng 88%). Trong bối cảnh lưu lượng mã hóa VPN, RF vẫn duy trì hiệu suất tốt với độ chính xác khoảng 89%.

2. Ảnh hưởng của tiền xử lý dữ liệu: Việc chuẩn hóa Min-Max và mã hóa nhãn One-hot giúp cải thiện đáng kể hiệu suất phân loại, tăng trung bình 5-7% so với dữ liệu chưa được xử lý.

3. Tác động của siêu tham số: Qua điều chỉnh siêu tham số bằng Grid Search và Randomized Search, các mô hình đều có sự cải thiện rõ rệt về độ chính xác, đặc biệt là mô hình KNN khi lựa chọn số lượng lân cận k phù hợp (k=7) và mô hình RF với độ sâu cây tối ưu (max_depth=15).

4. So sánh các chỉ số đánh giá: Mô hình RF có Precision và Recall trung bình trên 90% cho các lớp lưu lượng chính, trong khi KNN và ANN có chỉ số này dao động từ 80-88%. F1-score của RF cũng cao nhất, chứng tỏ sự cân bằng tốt giữa Precision và Recall.

Thảo luận kết quả

Nguyên nhân chính dẫn đến hiệu quả vượt trội của mô hình RF là do khả năng kết hợp nhiều cây quyết định giúp giảm thiểu hiện tượng quá khớp (overfitting) và xử lý tốt các đặc trưng phi tuyến tính trong dữ liệu lưu lượng mạng. KNN, mặc dù đơn giản và dễ triển khai, nhưng bị ảnh hưởng bởi kích thước dữ liệu và khoảng cách tính toán, dẫn đến hiệu suất thấp hơn trong các trường hợp dữ liệu phức tạp. ANN thể hiện khả năng học các đặc trưng phức tạp nhưng đòi hỏi nhiều tài nguyên tính toán và thời gian huấn luyện hơn.

So với các nghiên cứu trước đây, kết quả này phù hợp với xu hướng ứng dụng học máy trong phân loại lưu lượng mạng, đồng thời khẳng định tính khả thi của việc áp dụng các mô hình học máy hiện đại trong môi trường mạng thực tế tại Việt Nam. Dữ liệu có thể được trình bày qua biểu đồ so sánh độ chính xác, Precision, Recall và F1-score của ba mô hình trên các bối cảnh lưu lượng khác nhau, cũng như bảng ma trận nhầm lẫn minh họa chi tiết hiệu suất phân loại từng lớp lưu lượng.

Đề xuất và khuyến nghị

1. Triển khai mô hình Rừng Ngẫu nhiên trong hệ thống quản lý mạng: Đề xuất các nhà cung cấp dịch vụ mạng và các tổ chức quản lý mạng áp dụng mô hình RF để phân loại lưu lượng nhằm nâng cao hiệu quả quản lý và bảo mật. Thời gian triển khai dự kiến trong vòng 6 tháng.

2. Tăng cường thu thập và cập nhật dữ liệu: Khuyến nghị xây dựng hệ thống thu thập dữ liệu lưu lượng mạng liên tục, đa dạng và cập nhật các đặc trưng mới nhằm cải thiện độ chính xác mô hình theo thời gian. Chủ thể thực hiện là các phòng nghiên cứu và bộ phận kỹ thuật mạng.

3. Đào tạo và nâng cao năng lực chuyên môn: Tổ chức các khóa đào tạo về học máy và phân tích dữ liệu cho đội ngũ kỹ thuật viên và quản trị mạng để đảm bảo vận hành và bảo trì mô hình hiệu quả. Thời gian thực hiện trong 3-6 tháng.

4. Phát triển hệ thống giám sát tự động: Xây dựng hệ thống giám sát tự động dựa trên mô hình học máy để phát hiện và cảnh báo sớm các lưu lượng bất thường hoặc nguy cơ tấn công mạng. Chủ thể thực hiện là các đơn vị an ninh mạng, với lộ trình 1 năm.

Đối tượng nên tham khảo luận văn

1. Các nhà nghiên cứu và sinh viên ngành công nghệ thông tin: Luận văn cung cấp kiến thức chuyên sâu về ứng dụng học máy trong phân loại lưu lượng mạng, hỗ trợ nghiên cứu và phát triển các đề tài liên quan.

2. Chuyên gia và kỹ sư mạng: Giúp hiểu rõ các phương pháp phân loại lưu lượng hiện đại, từ đó áp dụng vào quản lý và tối ưu hệ thống mạng doanh nghiệp hoặc nhà cung cấp dịch vụ.

3. Các tổ chức an ninh mạng: Cung cấp cơ sở để phát triển các giải pháp phát hiện xâm nhập và bảo vệ mạng dựa trên phân tích lưu lượng chính xác.

4. Nhà quản lý và hoạch định chính sách CNTT: Hỗ trợ trong việc xây dựng các chính sách quản lý lưu lượng mạng, đảm bảo an toàn và chất lượng dịch vụ trong môi trường mạng ngày càng phức tạp.

Câu hỏi thường gặp

1. Tại sao cần sử dụng học máy để phân loại lưu lượng mạng?
   Học máy giúp xử lý các đặc trưng phức tạp và đa dạng của lưu lượng mạng, đặc biệt khi các phương pháp truyền thống như phân loại dựa trên cổng hay DPI không còn hiệu quả do mã hóa và VPN. Ví dụ, mô hình RF có thể phân loại chính xác lưu lượng mã hóa VPN mà các phương pháp cũ không làm được.

2. Mô hình nào phù hợp nhất cho phân loại lưu lượng mạng?
   Trong nghiên cứu, mô hình Rừng Ngẫu nhiên cho kết quả tốt nhất với độ chính xác khoảng 92%, vượt trội hơn KNN và ANN. Điều này do RF kết hợp nhiều cây quyết định giúp giảm hiện tượng quá khớp và xử lý dữ liệu phi tuyến hiệu quả.

3. Làm thế nào để xử lý dữ liệu bị thiếu trong tập dữ liệu?
   Có thể áp dụng các phương pháp như thay thế bằng giá trị trung bình, trung vị hoặc yếu vị, hoặc sử dụng các mô hình không nhạy cảm với dữ liệu thiếu như KNN và RF. Việc lựa chọn phương pháp phụ thuộc vào bản chất dữ liệu và mục tiêu phân loại.

4. Tại sao cần điều chỉnh siêu tham số trong mô hình học máy?
   Siêu tham số ảnh hưởng trực tiếp đến hiệu suất mô hình. Việc điều chỉnh giúp tìm ra cấu hình tối ưu, nâng cao độ chính xác và giảm thời gian huấn luyện. Ví dụ, tìm kiếm lưới giúp xác định số lượng lân cận k tối ưu trong KNN hoặc độ sâu cây trong RF.

5. Phân loại lưu lượng mạng có thể áp dụng trong thực tế như thế nào?
   Phân loại lưu lượng giúp nhà cung cấp dịch vụ mạng quản lý băng thông, phát hiện tấn công mạng, và đảm bảo chất lượng dịch vụ. Ví dụ, phân loại chính xác lưu lượng VoIP và Streaming giúp ưu tiên băng thông cho các dịch vụ quan trọng.

Kết luận

• Luận văn đã phát triển và đánh giá thành công các mô hình học máy KNN, ANN và RF trong phân loại lưu lượng mạng Internet với độ chính xác cao, đặc biệt là mô hình Rừng Ngẫu nhiên đạt trên 90%.
• Tiền xử lý dữ liệu chuẩn hóa và mã hóa nhãn đóng vai trò quan trọng trong việc nâng cao hiệu quả phân loại.
• Việc điều chỉnh siêu tham số bằng các phương pháp tìm kiếm lưới và ngẫu nhiên giúp tối ưu hóa mô hình, tăng độ chính xác và giảm thời gian huấn luyện.
• Kết quả nghiên cứu phù hợp với thực tiễn tại Việt Nam, có thể ứng dụng trong quản lý mạng và an ninh mạng.
• Đề xuất triển khai mô hình RF trong hệ thống quản lý mạng, đồng thời phát triển hệ thống giám sát tự động và đào tạo nhân lực chuyên môn.

Các tổ chức và doanh nghiệp trong lĩnh vực mạng nên xem xét áp dụng mô hình học máy được đề xuất để nâng cao hiệu quả quản lý lưu lượng mạng, đồng thời tiếp tục nghiên cứu mở rộng với các tập dữ liệu thực tế đa dạng hơn.

Trích đoạn nội dung tài liệu

Chương 1: NGHIÊN CỨU TỔNG QUAN 1.1 Nhu cầu phân tích lưu lượng mạng Internet Trong lĩnh vực phân loại lưu lượng Internet, những phương pháp truyền thống có một số hạn chế nhất định. Đầu tiên, đánh dấu gói (packet marking) được đề xuất để phân biệt lưu lượng dựa trên lớp QoS của nó. Một số ví dụ về các trường được sử dụng để đánh dấu gói là Loại dịch vụ (Type of Sevice - ToS), Điểm mã dịch vụ phân biệt (Differentiated Services Code Point - DSCP) và Thông báo tắc nghẽn rõ ràng (Explicit Congestion Notification - ECN). Từ đấy, một số giao thức đã được đề xuất để phân loại lưu lượng bao gồm Dịch vụ khác biệt (DiffServ), Dịch vụ tích hợp (IntServ) và Chuyển mạch nhãn đa giao thức (MPLS).

Tuy nhiên, các giao thức này không được triển khai và sử dụng một cách rộng rãi do sự phức tạp và các vấn đề tương thích với hệ thống của chúng. Ngoài ra, có hai phương pháp phân loại truyền thống được ứng dụng rộng rãi, bao gồm phương pháp phân loại dựa trên cổng (Port – based) và phương pháp phân loại dựa trên tải trọng (Payload – based). Phân loại dựa trên cổng (Port-based technique): Kỹ thuật phân loại dựa trên cổng là kỹ thuật phổ biến và thông dụng nhất để phân loại lưu lượng mạng Internet. Trong kỹ thuật này, mỗi một gói dữ liệu (packet) trong lưu lượng mạng IP đều mang số cổng (số cổng nguồn và số cổng đích) do tổ chức IANA (Internet Assigned Number Authority – Tổ chức cấp phát số hiệu Internet) ấn định.

Các ứng dụng mạng Internet nổi tiếng đều đã đăng ký số cổng tại IANA, và bằng cách này, lưu lượng mạng được xác định tương ứng với số cổng đã đăng ký. Ví dụ: các ứng dụng Email sử dụng số cổng 25 (SMTP) để gửi email và cổng 110 (POP3) được sử dụng để nhận email, các ứng dụng web sử dụng số cổng 80 [4]. Tuy nhiên, không phải tất cả các ứng dụng sử dụng mạng Internet đều đã đăng ký số cổng. Một số ứng dụng thế hệ mới như mạng ngang hàng (Peer-to-Peer, hoặc P2P Network), ứng dụng 1 chơi game trực tuyến đều không có đăng ký số cổng cố định, mà sử dụng số cổng động (dynamic port number).

Ngoài ra, một số dịch vụ mạng đường hầm (tunneling) 3 và ẩn danh (anonymization), lại ẩn đi thông tin số cổng của mình [1], [5]. Hơn nữa, trong các ứng dụng di động, hầu hết lưu lượng ứng dụng được truyền đi bằng đường hầm thông qua Giao thức truyền tải siêu văn bản an toàn (Hypertext Transfer Protocol Secure - HTTPS) [6]. Do đó, rất khó để phân loại loại ứng dụng như vậy bằng kỹ thuật dựa trên cổng. Phân loại dựa trên nội dung truyền tải (Payload-based technique): thường được biết đến dưới cái tên phương pháp kiểm tra gói chuyên sâu (Deep Packet Inspection - DPI).

Trong kỹ thuật này, nội dung của gói dữ liệu được kiểm tra dựa trên đặc trưng của các ứng dụng mạng trong lưu lượng Internet. Kỹ thuật này đặc biệt được đề xuất cho các ứng dụng Peer-to-Peer (P2P), hoặc cho những ứng dụng tương đương có sử dụng số cổng động nhằm xác định lưu lượng mạng Internet. Tuy nhiên, phương pháp này cũng có những hạn chế nhất định. Kỹ thuật này yêu cầu nhiều về phần cứng nhằm phát hiện những đặc trưng trong gói dữ liệu, DPI không thể xử lý được những gói lưu lượng truyền tải dữ liệu đã được mã hóa [7], [8], và cần được cập nhật liên tục những đặc trưng cụ thể của những ứng dụng mạng mới phát triển.

Những hạn chế trên đòi hỏi cần một giải pháp mới trong lĩnh vực phân loại lưu lượng mạng Internet nhằm đạt được những kết quả tích cực hơn. Điều này dẫn tới ứng dụng mô hình học máy được sử dụng như một giải pháp cho vấn đề này. Trên thế giới, đã từng có nhiều công trình nghiên cứu trong lĩnh vực phân loại lưu lượng Internet bằng cách áp dụng mô hình huấn luyện học máy. Trong đó, các loại thuật toán học máy khác nhau được sử dụng để phân loại lưu lượng nhằm đáp ứng những nhu cầu khác nhau trong ứng dụng phân loại lưu lượng truy cập mạng.2 Các phương pháp tiền xử lý dữ liệu Điều chỉnh thang đo đặc trưng (feature scaling) là một phương pháp được sử dụng để chuẩn hóa phạm vi của các biến độc lập hoặc các đặc trưng của dữ liệu.

Trong lĩnh vực xử lý dữ liệu, quá trình này còn được gọi là chuẩn hóa dữ liệu (normalization) và thường được tiến hành trong bước tiền xử lý tập dữ liệu. Thang đo của các mẫu giá trị trong tập dữ liệu ban đầu đa phần thường rất phân tán, dẫn đến hiệu quả của các hàm mục tiêu (objective funciton) sẽ giảm sút nếu không áp dụng 4 quá trình chuẩn hóa. Do đó, thang đo đặc trưng của các mẫu dữ liệu cần được chuẩn hóa sao cho mỗi giá trị đều mang lại đóng góp tương ứng với vị trí của chúng trong phạm vi chuẩn hóa.1 Phương pháp chuẩn hóa Chuẩn hóa tối thiểu – tối đa (Min – Max Normalization): Chuẩn hóa tối thiểu – tối đa là phương án chuẩn hóa đơn giản nhất, nhưng lại được áp dụng khá nhiều trong các bài toán tiền xử lý dữ liệu nhằm mục đích đưa thang đo các giá trị trong tập dữ liệu về mức [0,1]. Tuy nhiên, tùy theo yêu cầu cũng như đặc trưng cơ bản của tập dữ liệu, thang đo mục tiêu để điều chỉnh cũng khác nhau.

Công thức điều chỉnh thang đo của các giá trị về mức cơ bản [0,1] được miêu tả như sau, trong đó 𝑚𝑖𝑛, 𝑚𝑎𝑥 lần lượt là các giá trị nhỏ nhất và lớn nhất xuất hiện trong tập dữ liệu: 𝑥 − 𝑚𝑖𝑛 𝑥′ = , (1.1) 𝑚𝑎𝑥 − 𝑚𝑖𝑛 Để điều chỉnh lại phạm vi của các giá trị về mức [𝑎, 𝑏] tùy theo yêu cầu của bài toán tiền xử lý dữ liệu, công thức (1.1) có thể được điều chỉnh thành: (𝑥 − min)⁡(𝑏 − 𝑎) 𝑥′ = 𝑎 + , (1.2) 𝑚𝑎𝑥 − 𝑚𝑖𝑛 Trong cả hai công thức trên, 𝑥 đại diện cho giá trị gốc của đặc trưng của dữ liệu, và 𝑥 ′ đại diện cho giá trị tương ứng của đặc trưng đó sau khi chuẩn hóa. Chuẩn hóa trung bình (Mean Normalization): Ngoài phương pháp chuẩn hóa tối thiểu – tối đa, một phương án khác được rất nhiều các chuyên gia trong lĩnh vực xử lý dữ liệu là chuẩn hóa trung bình, được miêu tả trong công thức (1.3) với 𝑚𝑒𝑎𝑛 là giá trị trung bình của từng đặc trưng tương ứng có trong tập dữ liệu: Chuẩn hóa Z – score (Độ lệch chuẩn): Trong lĩnh vực học máy, tập dữ liệu của bài toán phân loại có thể tồn tại nhiều loại dữ liệu khác nhau, ví dụ: tín hiệu âm thanh và giá trị pixel cho dữ liệu hình ảnh và dữ liệu này có thể bao gồm nhiều đặc trưng khác nhau với các giá trị tồn tại trong các phạm vi khác nhau. Chuẩn hóa Z-score cho phép giá trị của các đặc trưng trong tập dữ liệu tập trung xung quanh vùng có trị trung bình là 0 và độ lệch chuẩn có giá trị là 1. Phương 5 pháp này được áp dụng rộng rãi tại bước chuẩn hóa trong nhiều thuật toán học máy (ví dụ: máy vectơ hỗ trợ SVM, hồi quy logistic và mạng neuron nhân tạo).

Công thức tính toán cũng tương đương với (1.3), khác biệt duy nhất là giá trị độ lệch chuẩn sẽ thay thế tại vị trí mẫu thức: 𝑥 − 𝑚𝑒𝑎𝑛 𝑥′ = , (1.4) 𝑠𝑡𝑎𝑛𝑑𝑎𝑟𝑑⁡𝑑𝑒𝑣𝑖𝑎𝑡𝑖𝑜𝑛 Phương pháp mã hóa (encode) Trong lĩnh vực Học máy hoặc Khoa học dữ liệu, tập dữ liệu có thể chứa các giá trị văn bản hoặc phân loại mà không phải là định dạng số. Một số ít thuật toán như CATBOAST, cây quyết định có thể xử lý các bài toán phân loại rất tốt với dữ liệu đầu vào ở các định dạng nhãn hay lớp phân loại. Tuy nhiên, hầu hết các thuật toán và mô hình học máy đều mong muốn các giá trị số ở dữ liệu đầu vào của mô hình nhằm đạt được hiệu quả phân loại cao nhất. Do đó, thách thức chính mà các nhà nghiên cứu hoặc phân tích dữ liệu phải xử lý là chuyển đổi dữ liệu văn bản hoặc phân loại thành dữ liệu số, trong khi vẫn tạo ra một thuật toán phù hợp với định dạng đó.

Mã hóa nhãn (Label Encoding): phương pháp này vô cùng đơn giản vì chỉ liên quan đến quá trình gán một con số cho các giá trị chữ hoặc nhãn của lớp phân loại tương ứng. Tuy nhiên, điểm bất lợi của phương pháp này bao gồm việc gán các giá trị số có thể tạo ra một đặc trưng mới không mong muốn dựa trên mối liên quan về độ lớn nhỏ của các giá trị. Ví dụ như các loại thực phẩm khác nhau trong bảng 1.1, các lớp nhãn ban đầu không có sự phân biệt về độ lớn nhỏ. Minh họa quy trình mã hóa nhãn Loại thực phẩm Loại thực phẩm (định dạng chữ) (định dạng số) Thịt 0 Cá 1 Rau 2 Củ 3 Trứng 4 Sữa 5 6 Tuy nhiên, sau khi gán các giá trị số tương ứng với mỗi lớp nhãn, đặc trưng mới này đã tạo ra sự khác biệt dựa trên độ lớn nhỏ của các giá trị.

Ví dụ, ban đầu các loại thực phẩm như thịt, cá, và rau không có sự liên hệ trực tiếp nào theo như bảng 1. Sau khi gán các giá tri số tương ứng, thuật toán có thể hiểu rằng các đặc trưng có sự sắp xếp theo thứ tự từ lớn đến nhỏ. Các đặc trưng này sẽ được gán giá trị trọng số với độ lớn không mong muốn, từ đó dẫn đến sự sai lệch kết quả trong quá trình huấn luyện. Mã hóa One-hot (One-hot Encoding): Mặc dù ưu điểm của mã hóa nhãn là tính đơn giản, ngược lại các thuật toán phân loại có thể hiểu nhầm đặc trưng ban đầu thành mối liên hệ phân cấp theo độ lớn nhỏ của giá trị số được gán.

Nhược điểm này có thể được giải quyết bằng phương án tiếp cận khác được biết đến với cái tên mã hóa One-hot. Trong mã hóa One-hot, mỗi đặc trưng định dạng phân loại lớp hoặc nhãn dữ liệu sẽ được phân thêm các cột dữ liệu và được mã hóa giá trị 1 hoặc 0, tương ứng với các ký hiệu True/False cho mỗi cột dữ liệu. Bảng giá trị 1.2 minh họa quá trình mã hóa One-hot sử dụng các đặc trưng giới thiệu trong bảng 1.