Tổng quan luận án
Luận án tiến sĩ với tiêu đề "Game Theoretic Analysis and Design for Network Security" (Phân tích và thiết kế theo lý thuyết trò chơi cho an ninh mạng) được nghiên cứu sinh Kien Chi Nguyen thực hiện dưới sự hướng dẫn của Giáo sư Tamer Başar, hoàn thành năm 2011 tại Khoa Kỹ thuật Điện và Máy tính (Department of Electrical and Computer Engineering), Đại học Illinois tại Urbana-Champaign (University of Illinois at Urbana-Champaign - UIUC), Hoa Kỳ.
Tính cấp thiết và khoảng trống nghiên cứu
Cùng với sự mở rộng quy mô và tốc độ phát triển của mạng máy tính, an ninh mạng đối mặt với các nguy cơ ngày càng phức tạp. Một hệ thống mạng an toàn cần cung cấp cho người dùng các tính năng cốt lõi: tính bí mật (confidentiality), tính xác thực (authentication), tính toàn vẹn dữ liệu và chống chối bỏ (data integrity and nonrepudiation), cùng tính sẵn sàng và kiểm soát truy cập (availability and access control). Những kẻ tấn công hiện nay có năng lực tính toán cao, khai thác hạ tầng mạng băng thông rộng để triển khai các cuộc tấn công phân tán, có mức độ phá hoại lớn và ẩn danh cao. Bên cạnh các biện pháp phòng vệ truyền thống (như mật mã học hay phân tích dấu hiệu tấn công tĩnh), các hệ thống mạng cần áp dụng những phương pháp tiếp cận định lượng dựa trên lý thuyết quyết định và lý thuyết trò chơi nhằm tối ưu hóa việc ra quyết định và phân bổ tài nguyên phòng thủ.
Trong bối cảnh đó, các khoảng trống nghiên cứu chính được luận án xác định bao gồm:
- Kiểm định giả thuyết phân tán với các quan sát phụ thuộc có điều kiện: Các mô hình kiểm định giả thuyết phân tán truyền thống thường dựa trên giả định các cảm biến thu thập quan sát độc lập có điều kiện khi biết trước giả thuyết. Tuy nhiên, trong môi trường mạng thực tế và mạng cảm biến, dữ liệu quan sát giữa các cảm biến hoặc giữa các đặc trưng lưu lượng thường có sự tương quan (conditionally dependent). Khi đó, xác suất lỗi Bayes không còn có thể biểu diễn qua các phân phối biên riêng lẻ, dẫn tới việc các kết quả tối ưu cổ điển không còn áp dụng được.
- Quá trình chơi lặp lại (Fictitious Play) dưới tác động của sai số mạng: Khi mô hình hóa tương tác giữa Kẻ tấn công (Attacker) và Người phòng thủ (Defender) thông qua các trò chơi lặp lại, các nghiên cứu lý thuyết thường giả định thông tin được truyền nhận chính xác. Tuy nhiên, trên mạng truyền thông thực tế, người chơi có thể mắc sai số quyết định ngẫu nhiên (decision errors) và sai số quan sát hành vi đối thủ (observation errors) do nhiễu kênh truyền và độ trễ hệ thống.
- Tính phụ thuộc lẫn nhau giữa các nút trong mạng đa nút: Các nút trong một mạng máy tính có sự không đồng nhất về giá trị tài sản đối với từng người chơi và có mối liên hệ phụ thuộc (interdependency). Mức độ tổn thương và thiệt hại an ninh của một nút không chỉ phụ thuộc vào trạng thái của chính nó mà còn chịu tác động lan truyền từ các nút lân cận bị xâm phạm.
Mục tiêu và câu hỏi nghiên cứu
Luận án tập trung giải quyết các mục tiêu nghiên cứu cụ thể sau:
- Mục tiêu 1: Khảo sát bài toán kiểm định giả thuyết phân tán với số lượng hữu hạn các cảm biến có quan sát phụ thuộc có điều kiện; chứng minh sự tồn tại của nghiệm tối ưu dưới cả hai cấu trúc Bayes và Neyman-Pearson; xây dựng thuật toán tìm kiếm ngưỡng tối ưu (enumeration method) và kiểm chứng trên tập dữ liệu lưu lượng mạng KDD Cup 1999.
- Mục tiêu 2: Phân tích quá trình fictitious play cổ điển và ngẫu nhiên giữa Kẻ tấn công và Người phòng thủ trong điều kiện tồn tại sai số quyết định và sai số quan sát; thiết lập các điều kiện hội tụ về điểm cân bằng Nash; đề xuất biến thể stochastic fictitious play với quy tắc cập nhật tần suất bất biến theo thời gian (time-invariant frequency update) và ứng dụng vào cơ chế phòng thủ pushback chống tấn công từ chối dịch vụ phân tán (DDoS).
- Mục tiêu 3: Mô hình hóa bài toán an ninh trên mạng đa nút có sự phụ thuộc lẫn nhau dưới dạng trò chơi ngẫu nhiên hai người (two-player stochastic game); thiết lập mô hình mạng ảnh hưởng tuyến tính (linear influence network model) cho tài sản an ninh và lỗ hổng; giải trò chơi tổng bằng không (zero-sum) bằng thuật toán lặp và trò chơi tổng khác không (nonzero-sum) bằng quy hoạch phi tuyến.
Đối tượng và phạm vi nghiên cứu
- Đối tượng nghiên cứu: Các mô hình ra quyết định định lượng và phân bổ tài nguyên an ninh mạng dựa trên lý thuyết quyết định thống kê (kiểm định giả thuyết phân tán) và lý thuyết trò chơi (trò chơi ma trận tĩnh, fictitious play, trò chơi ngẫu nhiên).
- Phạm vi không gian: Hệ thống mạng máy tính có dây và không dây, kiến trúc phát hiện xâm nhập mạng (NIDS/NIDPS) với cấu hình xử lý phân tán song song, dữ liệu lưu lượng mạng trích xuất từ TCP dump mô phỏng mạng LAN của Không quân Hoa Kỳ.
- Phạm vi thời gian và tư liệu: Luận án sử dụng tập dữ liệu chuẩn KDD Cup 1999, các công cụ toán học giải tích hàm và lý thuyết trò chơi phát triển đến thời điểm công bố luận án năm 2011.
Tổng quan tài liệu và vị trí của luận án
Luận án đã điểm lại các công trình nền tảng và xác lập vị trí nghiên cứu đối với ba hướng chuyên đề:
1. Hướng nghiên cứu về kiểm định giả thuyết phân tán
- Tsitsiklis (1988, 1993): Đã chứng minh tính compact của tập hợp các phân phối có điều kiện và sự tồn tại nghiệm tối ưu trong kiểm định phân tán khi các cảm biến có quan sát độc lập có điều kiện; đồng thời chỉ ra rằng bài toán kiểm định phân tán nhị phân với luật kết hợp cố định là bài toán NP-complete.
- Tenney và Sandell (1981), Chair và Varshney (1986): Đặt nền móng cho việc mở rộng kiểm định giả thuyết thống kê sang kiến trúc xử lý phân tán với nhiều cảm biến và một trung tâm kết hợp dữ liệu (fusion center).
- Các nghiên cứu về quan sát tương quan (Kassam, Blum, Chen et al.): Khảo sát hiện tượng phụ thuộc dữ liệu trong mạng cảm biến, phần lớn sử dụng phương pháp tối ưu hóa từng người (Person-By-Person-Optimization - PBPO) như sơ đồ Gauss-Seidel để tìm nghiệm tối ưu cục bộ.
2. Hướng nghiên cứu về lý thuyết trò chơi trong an ninh mạng
- Basar và Olsder (1999), Fudenberg và Levine (1998): Cung cấp cơ sở toán học về trò chơi ma trận tĩnh, cân bằng Nash và quá trình học tập fictitious play trong lý thuyết trò chơi phi hợp tác.
- Alpcan và Basar (2010), Nguyen, Alpcan và Basar (2009): Ứng dụng lý thuyết trò chơi vào bảo mật mạng, xây dựng các mô hình trò chơi tĩnh mô tả tương tác giữa kẻ tấn công và hệ thống phòng ngự.
3. Khoảng trống luận án lựa chọn giải quyết
Luận án định vị nghiên cứu của mình tại giao điểm của lý thuyết quyết định và lý thuyết trò chơi động:
- Khắc phục giới hạn của giả định độc lập có điều kiện bằng cách chứng minh giải tích tính compact của không gian phân phối đồng thời $S$ và chứng minh sự tồn tại nghiệm tối ưu cho các quan sát phụ thuộc có điều kiện.
- Điền vào khoảng trống thực tế của mô hình fictitious play khi triển khai qua hạ tầng mạng có sai số quyết định và quan sát không hoàn hảo.
- Tích hợp tính tương thuộc đa chiều (vừa tương thuộc về giá trị tài sản, vừa tương thuộc về mức độ tổn thương lan truyền) vào khung phân tích trò chơi ngẫu nhiên trên mạng đa nút.
Cơ sở lý thuyết và phương pháp nghiên cứu
Khung lý thuyết và khái niệm sử dụng
- Lý thuyết quyết định thống kê (Statistical Decision Theory):
- Cấu trúc Bayes (Bayesian formulation): Cực tiểu hóa xác suất lỗi trung bình $P_e$ (Bayes risk với chi phí đồng nhất).
- Cấu trúc Neyman-Pearson: Cực đại hóa xác suất phát hiện $P_D$ với ràng buộc xác suất báo động giả $P_F \le \alpha$ ($0 < \alpha < 1$).
- Kiểm định tỷ số hợp lý (Likelihood Ratio Test - LRT): So sánh tỷ số giữa hàm mật độ/hàm khối xác suất dưới hai giả thuyết với một ngưỡng quyết định $\tau$:
$$L(y) = \frac{P_1(y)}{P_0(y)} \gtrless \tau$$
- Không gian toán học và giải tích hàm:
- Sử dụng không gian đo lường $(Y, \mathcal{F})$, không gian $L^\infty(Y; P)$ là không gian đối ngẫu của $L^1(Y; P)$.
- Sử dụng tô-pô yếu* (weak* topology), Định lý Alaoglu (tính compact yếu* của quả cầu đơn vị trong $L^\infty$) và Định lý Weierstrass về sự tồn tại giá trị cực trị của hàm liên tục trên tập compact.
- Đạo hàm Radon-Nikodym $g_i(y) = \frac{dP_i}{dP}(y) \in L^1(Y; P)$.
- Lý thuyết trò chơi (Game Theory):
- Trò chơi ma trận tĩnh hai người (Two-player static matrix games).
- Quá trình Fictitious Play cổ điển và ngẫu nhiên (Classical and Stochastic Fictitious Play).
- Trò chơi ngẫu nhiên hai người (Two-player Stochastic Game) dạng tổng bằng không (Zero-sum) và tổng khác không (Nonzero-sum).
- Mô hình mạng ảnh hưởng tuyến tính (Linear influence network model).
Phương pháp nghiên cứu thực tế
Luận án hoàn toàn theo hướng tiếp cận định lượng (quantitative approach), kết hợp giữa chứng minh giải tích toán học, xây dựng thuật toán tối ưu hóa số và thực nghiệm mô phỏng trên tập dữ liệu chuẩn:
- Phương pháp giải tích toán học: Thiết lập các định lý, mệnh đề chứng minh tính compact của tập hợp biểu diễn phân phối $S$, chứng minh nghiệm tối ưu là quy tắc tất định tại các cảm biến biên thông qua định lý cơ bản của quy hoạch tuyến tính.
- Phương pháp duyệt toàn bộ (Brute-force Enumeration): Chia nhỏ miền giá trị của các biến quan sát thành các bin bằng nhau, tính toán các tỷ số hợp lý rời rạc để xác định tập ứng viên ngưỡng, duyệt toàn bộ không gian tổ hợp ngưỡng nhằm tìm giá trị cực tiểu hóa $P_e$.
- Phương pháp tối ưu hóa phi tuyến và thuật toán lặp: Áp dụng quy hoạch phi tuyến để giải điểm cân bằng Nash trong trò chơi ngẫu nhiên tổng khác không và thuật toán lặp cho trò chơi tổng bằng không.
Nguồn tư liệu và dữ liệu
- Dữ liệu toán học phân tích: Mô hình phân phối chuẩn hai biến (bivariate normal) $f_0(y_1, y_2)$ với $\mu_1=\mu_2=-1, \sigma_1^2=\sigma_2^2=1, \rho=0.6$ và $f_1(y_1, y_2)$ với $\mu_1=\mu_2=1, \sigma_1^2=\sigma_2^2=1, \rho=0.2$.
- Dữ liệu thực nghiệm mạng: Tập dữ liệu KDD Cup 1999 trích xuất từ lưu lượng TCP dump. Tập huấn luyện sử dụng phần dữ liệu 10% (gồm các kết nối Normal và tấn công Smurf), tập kiểm thử gồm toàn bộ tập dữ liệu KDD Cup 1999 được chia thành 10 tệp (file 1 đến 10). Bốn đặc trưng số lượng được lựa chọn gồm:
duration (thời lượng kết nối), src_bytes (số byte từ nguồn đến đích), dst_bytes (số byte từ đích về nguồn) và count (số kết nối tới cùng máy chủ đích trong 2 giây).
Nội dung chính theo từng chương
Chương 1: Giới thiệu (Introduction)
Chương 1 trình bày bối cảnh phát triển của mạng máy tính và sự gia tăng các mối đe dọa an ninh mạng. Tác giả phân loại các phương pháp phát hiện xâm nhập thành phát hiện bất thường (anomaly detection) và phát hiện lạm dụng (misuse detection), từ đó định vị phương pháp kiểm định giả thuyết thống kê nằm ở khoảng giữa hai tiếp cận này nhờ khả năng mô tả phân phối tham số của cả lưu lượng bình thường lẫn lưu lượng tấn công. Chương này cũng giới thiệu tổng quan ba bài toán cốt lõi được triển khai trong các chương tiếp theo: kiểm định phân tán với quan sát phụ thuộc, quá trình fictitious play có sai số, và trò chơi ngẫu nhiên trên mạng đa nút có quan hệ tương thuộc.
Chương 2: Phát hiện phân tán với các quan sát phụ thuộc có điều kiện (Decentralized Detection with Conditionally Dependent Observations)
Chương 2 là trọng tâm lý thuyết và thực nghiệm về kiểm định giả thuyết phân tán.
1. Mô hình toán học và sự tồn tại nghiệm tối ưu
Xét mô hình song song gồm $N$ cảm biến và một trung tâm kết hợp dữ liệu (fusion center), quan sát $M$ giả thuyết $H_0, \dots, H_{M-1}$ với xác suất tiên nghiệm $\pi_0, \dots, \pi_{M-1}$. Cảm biến $j$ lượng tử hóa quan sát $Y_j$ thành thông điệp $d_j \in {0, \dots, D-1}$ thông qua quy tắc $\gamma_j$. Trung tâm kết hợp áp dụng quy tắc $\gamma_0$ để đưa ra quyết định cuối cùng.
- Bổ đề 2.1 & Mệnh đề 2.1: Chứng minh rằng khi các quan sát phụ thuộc có điều kiện, tích phân xác suất $\alpha_0 = \Phi_0(y_1^, y_2^)$ không xác định duy nhất giá trị $\alpha_1 = \Phi_1(y_1^, y_2^)$. Do đó, xác suất lỗi trung bình Bayes $P_e$ tại trung tâm kết hợp không thể biểu diễn thuần túy qua véc-tơ các phân phối biên $q(\gamma_1, \dots, \gamma_N)$.
- Biểu diễn qua phân phối đồng thời: Luận án định nghĩa véc-tơ phân phối đồng thời $s(\gamma|H_i) \in \mathbb{R}^{D^N}$ với các phần tử $s_{d_1,\dots,d_N}(\gamma|H_i) = P(d_1,\dots,d_N|H_i)$ và $s(\gamma) = (s(\gamma|H_0), \dots, s(\gamma|H_{M-1})) \in \mathbb{R}^{M D^N}$.
- Định lý 2.1: Tập hợp $S = {s(\gamma) : \gamma_1 \in \Gamma_1, \dots, \gamma_N \in \Gamma_N}$ là một tập compact trong không gian $\mathbb{R}^{M D^N}$.
- Định lý 2.2: Tồn tại nghiệm tối ưu cực tiểu hóa $P_e$ cho các quy tắc tổng quát (general rules) tại các cảm biến, và cũng tồn tại nghiệm tối ưu khi các cảm biến bị giới hạn trong lớp quy tắc ngưỡng (threshold rules) dựa trên tỷ số hợp lý.
- Định lý 2.3 (Neyman-Pearson): Tồn tại nghiệm tối ưu cho bài toán kiểm định Neyman-Pearson phân tán, trong đó quy tắc tại các cảm biến ngoại vi thuộc tập chiến lược ngẫu nhiên hóa $\bar{\Gamma}$, và quy tắc tại trung tâm kết hợp là kiểm định tỷ số hợp lý Neyman-Pearson tiêu chuẩn.
- Mệnh đề 2.3 & 2.4: Trong cấu trúc Bayes, nghiệm tối ưu luôn đạt được tại các điểm cực biên của bao lồi (extreme points), tương ứng với các quy tắc tất định tại các cảm biến biên. Khi tỷ số hợp lý không có khối lượng điểm (no point mass), nghiệm tối ưu Neyman-Pearson cũng là quy tắc tất định.
2. Kết quả mô phỏng trên phân phối chuẩn hai biến
Tác giả khảo sát trường hợp $M=2, N=2, D=2$ với phân phối chuẩn hai biến. Không gian quan sát $Y_j \in [-5, 5]$ được chia lưới với khoảng cách $\epsilon_t \in {2, 1, 0.5, 0.25}$. Bảng số liệu dưới đây so sánh xác suất lỗi tối thiểu giữa quy tắc tổng quát (General) và quy tắc ngưỡng (LRT):
| $\epsilon_t$ |
$\pi_0$ |
Quy tắc tổng quát (General) |
Quy tắc ngưỡng (LRT) |
Ngưỡng tối ưu $(y_{\tau1}, y_{\tau2})$ của LRT |
| 2 |
0.1 |
0.0886 |
0.0886 |
(-1.0, 1.0) |
| 2 |
0.3 |
0.1983 |
0.1983 |
(-1.0, 1.0) |
| 2 |
0.5 |
0.2443 |
0.2443 |
(-1.0, 1.0) |
| 2 |
0.7 |
0.1983 |
0.1983 |
(-1.0, 1.0) |
| 2 |
0.9 |
0.0886 |
0.0886 |
(-1.0, 1.0) |
| 1 |
0.1 |
0.0863 |
0.0863 |
(-1.0, 1.0) |
| 1 |
0.3 |
0.1947 |
0.1947 |
(0.0, 0.0) |
| 1 |
0.5 |
0.2427 |
0.2427 |
(0.0, 0.0) |
| 1 |
0.7 |
0.1947 |
0.1947 |
(0.0, 0.0) |
| 1 |
0.9 |
0.0863 |
0.0863 |
(-1.0, 1.0) |
| 0.5 |
0.1 |
0.0858 |
0.0858 |
(-1.0, 1.5) |
| 0.5 |
0.3 |
0.1925 |
0.1925 |
(0.0, 0.0) |
| 0.5 |
0.5 |
0.2374 |
0.2374 |
(-0.5, 0.5) |
| 0.5 |
0.7 |
0.1925 |
0.1925 |
(0.0, 0.0) |
| 0.5 |
0.9 |
0.0858 |
0.0858 |
(-1.5, 1.0) |
| 0.25 |
0.1 |
0.0857 |
0.0857 |
(-1.0, 1.25) |
| 0.25 |
0.3 |
0.1917 |
0.1917 |
(0.0, 0.0) |
| 0.25 |
0.5 |
0.2366 |
0.2366 |
(-0.25, 0.25) |
| 0.25 |
0.7 |
0.1917 |
0.1917 |
(0.0, 0.0) |
| 0.25 |
0.9 |
0.0857 |
0.0857 |
(-1.25, 1.0) |
Thuộc tính quan sát được: Luận án chứng minh $P_e \le \min{\pi_0, \pi_1}$ và $\lim_{y_{\tau1}, y_{\tau2} \to \pm\infty} P_e = \min{\pi_0, \pi_1}$.
3. So sánh quy tắc Bỏ phiếu đa số và Kiểm định tỷ số hợp lý
Khi các quan sát độc lập và cùng phân phối (i.i.d.) có điều kiện và các cảm biến dùng chung ngưỡng, kiểm định tỷ số hợp lý tại trung tâm kết hợp tương đương với quy tắc bỏ phiếu đa số. Tuy nhiên, khi các cảm biến không cùng phân phối (non-identical), tác giả đưa ra phản ví dụ với 3 cảm biến độc lập có điều kiện: tồn tại trường hợp $L(0, 0, 1) > L(1, 1, 0)$. Khi đó, quy tắc bỏ phiếu đa số chọn $H_1$ cho chuỗi $(1, 1, 0)$ và $H_0$ cho $(0, 0, 1)$, trong khi kiểm định tỷ số hợp lý đưa ra quyết định ngược lại để đảm bảo tính tối ưu.
4. Thuật toán tìm kiếm ngưỡng và thực nghiệm trên KDD Cup 1999
Tác giả đề xuất Thuật toán 1 (tìm kiếm ngưỡng tối ưu qua phân chia $b_j$ bin và khử trùng lặp), Thuật toán 2 (phát hiện tấn công trực tuyến) và Thuật toán 3 (tính toán xác suất lỗi thực nghiệm).
Tập huấn luyện 10% dữ liệu KDD Cup 1999 gồm các kết nối Normal ($\pi_0 = 0.2573$) và Smurf ($\pi_1 = 0.7427$). Với 4 tham số chia thành 8 bin, các ứng viên ngưỡng được xác định như sau:
| Tham số |
Danh sách ứng viên ngưỡng $\tau$ |
duration |
0, $1.37 \times 10^4$, $\infty$ |
src_bytes |
0, $1.37 \times 10^4$, $\infty$ |
dst_bytes |
0, $1.37 \times 10^4$, $\infty$ |
count |
0, 1.48, 2.76, 5.25, 9.87, 18.52, 34.78, $1.63 \times 10^4$, $\infty$ |
Xác suất lỗi tối thiểu tính toán được trên tập huấn luyện là $P_e = 9.14 \times 10^{-4}$, đạt được tại tổ hợp ngưỡng ${1.37 \times 10^4, 0, 1.48, 1.63 \times 10^4}$.
Kết quả thử nghiệm trên 10 tệp dữ liệu kiểm thử của KDD Cup 1999:
| Tệp (File) |
Số kết nối Normal |
Số kết nối Smurf |
$\pi_0$ |
$\pi_1$ |
$P_m$ (Bỏ sót) |
$P_f$ (Báo giả) |
$P_e$ (Lỗi TB) |
| 1 |
379.669 |
105.556 |
0.7825 |
0.2175 |
0.0018 |
0.0000 |
0.0004 |
| 2 |
196.885 |
288.752 |
0.4054 |
0.5946 |
0.0013 |
0.0000 |
0.0008 |
| 3 |
193.308 |
290.490 |
0.3995 |
0.6005 |
0.0013 |
0.0000 |
0.0008 |
| 4 |
0 |
182.062 |
0.0000 |
1.0000 |
0.0013 |
n/a |
0.0013 |
| 5 |
0 |
362.339 |
0.0000 |
1.0000 |
0.0013 |
n/a |
0.0013 |
| 6 |
0 |
362.597 |
0.0000 |
1.0000 |
0.0013 |
n/a |
0.0013 |
| 7 |
0 |
362.805 |
0.0000 |
1.0000 |
0.0013 |
n/a |
0.0013 |
| 8 |
1.139 |
362.628 |
0.0031 |
0.9969 |
0.0013 |
0.0000 |
0.0013 |
| 9 |
19.483 |
188.047 |
0.0939 |
0.9061 |
0.0013 |
0.0002 |
0.0012 |
| 10 |
182.327 |
29.845 |
0.8593 |
0.1407 |
0.0013 |
0.0000 |
0.0002 |
(Ghi chú: Ký hiệu n/a biểu thị các tệp không có kết nối Normal để tính xác suất báo động giả $P_f$).
Chương 3: Fictitious Play trong an ninh mạng (Fictitious Play for Network Security)
Chương 3 mở rộng phân tích sang mô hình trò chơi ma trận tĩnh lặp lại giữa Kẻ tấn công và Người phòng thủ khi hai bên không biết trước ma trận chi trả (payoff matrix) của nhau:
- Mô hình sai số quyết định và sai số quan sát: Luận án tích hợp xác suất xảy ra lỗi quyết định ngẫu nhiên (chọn hành động khác với phản ứng tốt nhất) và lỗi quan sát qua kênh truyền thông không hoàn hảo.
- Phân tích hội tụ: Thiết lập điều kiện hội tụ về điểm cân bằng Nash trong trò chơi hai người với hai hành động dưới các giả định vừa phải về mức độ nhận thức sai số của người chơi.
- Stochastic Fictitious Play với cập nhật tần suất bất biến theo thời gian: Đề xuất thuật toán điều chỉnh tần suất cập nhật không phụ thuộc thời gian và chứng minh tính ổn định cục bộ (local stability) của hệ thống.
- Ứng dụng vào cơ chế Pushback chống DDoS: Áp dụng thuật toán fictitious play vào cơ chế điều tiết lưu lượng pushback tại các bộ định tuyến để hạn chế lưu lượng tấn công DDoS, chứng minh quá trình học hội tụ về cân bằng Nash của trò chơi tĩnh.
Chương 4: Trò chơi ngẫu nhiên cho an ninh mạng với các nút phụ thuộc lẫn nhau (Stochastic Games for Security in Networks with Interdependent Nodes)
Chương 4 xây dựng mô hình an ninh mạng đa nút:
- Mô hình mạng ảnh hưởng tuyến tính (Linear Influence Network Model): Định lượng mối quan hệ phụ thuộc giữa các nút mạng đối với tài sản an ninh và mức độ dễ bị tổn thương. Mô hình phản ánh sự khác biệt trong định giá tài sản giữa Kẻ tấn công và Người phòng thủ, cũng như chi phí tấn công và chi phí phòng thủ/khôi phục nút.
- Giải trò chơi ngẫu nhiên: Bài toán an ninh được mô hình hóa dưới dạng trò chơi ngẫu nhiên hai người. Khi trò chơi có tổng bằng không, nghiệm được tìm thông qua thuật toán lặp giá trị; khi trò chơi có tổng khác không, nghiệm được giải bằng quy hoạch phi tuyến. Nghiệm cung cấp các chiến lược dừng tối ưu (optimal stationary strategies) tại mỗi trạng thái mạng và giá trị chi trả tổng thể của trò chơi.
Kết quả và những đóng góp mới
Đóng góp về mặt lý luận
- Chứng minh toán học rằng khi các quan sát của cảm biến phụ thuộc có điều kiện, xác suất lỗi Bayes không thể biểu diễn dưới dạng hàm của các phân phối biên riêng lẻ.
- Thiết lập cấu trúc không gian phân phối đồng thời $S$ và chứng minh tính compact của $S$ dựa trên tô-pô yếu* trong không gian đối ngẫu $L^\infty(Y; P)$ cùng Định lý Alaoglu.
- Chứng minh sự tồn tại của nghiệm tối ưu cho kiểm định giả thuyết phân tán dưới cả cấu trúc Bayes và cấu trúc Neyman-Pearson đối với các quan sát phụ thuộc có điều kiện.
- Chứng minh tính tối ưu của các quy tắc tất định tại các cảm biến ngoại vi trong bài toán Bayes thông qua các điểm cực biên của quy hoạch tuyến tính.
- Chứng minh tính tương đương có điều kiện giữa quy tắc bỏ phiếu đa số và kiểm định tỷ số hợp lý khi các quan sát là i.i.d., đồng thời chỉ ra tính không tương đương khi các cảm biến không cùng phân phối.
- Thiết lập các điều kiện hội tụ toán học cho quá trình fictitious play cổ điển và ngẫu nhiên có sai số quyết định và sai số quan sát, cùng tính ổn định cục bộ của sơ đồ cập nhật tần suất bất biến theo thời gian.
- Xây dựng khung mô hình ảnh hưởng tuyến tính tích hợp tính tương thuộc về tài sản an ninh và lỗ hổng vào trò chơi ngẫu nhiên hai người.
Đóng góp về mặt thực tiễn và giải pháp đề xuất
- Đề xuất thuật toán tìm kiếm ngưỡng tối ưu (Thuật toán 1) dựa trên phương pháp chia bin và kiểm định tỷ số hợp lý, ứng dụng thành công trong việc phân loại lưu lượng Normal và tấn công Smurf trên tập dữ liệu KDD Cup 1999 với xác suất lỗi thấp ($9.14 \times 10^{-4}$ trên tập huấn luyện và dao động từ $0.0002$ đến $0.0013$ trên các tệp kiểm thử).
- Đề xuất giải pháp tích hợp thuật toán fictitious play vào cơ chế phòng thủ pushback nhằm tự động điều chỉnh ngưỡng lọc lưu lượng chống tấn công từ chối dịch vụ phân tán DDoS.
- Cung cấp quy trình tính toán chiến lược phòng thủ tối ưu trên mạng đa nút bằng quy hoạch phi tuyến và thuật toán lặp, hỗ trợ phân bổ tài nguyên bảo mật dựa trên giá trị tài sản và cấu trúc liên kết mạng.
Hạn chế và hướng nghiên cứu tiếp
Hạn chế được văn bản đề cập
- Thuật toán tìm kiếm ngưỡng tối ưu trong Chương 2 là thuật toán duyệt toàn bộ (brute-force enumeration), có độ phức tạp tính toán tăng nhanh theo số lượng tham số và số lượng bin, do đó chủ yếu phù hợp với các mạng cảm biến quy mô nhỏ (small sensor networks).
- Việc giới hạn các cảm biến cục bộ trong lớp quy tắc ngưỡng (threshold rules) mang lại tính khả thi về tính toán nhưng về mặt lý thuyết chỉ đạt được nghiệm cận tối ưu (suboptimal) so với quy tắc tổng quát khi các quan sát phụ thuộc có điều kiện.
- Phân tích hội tụ của fictitious play khi có sai số quyết định và quan sát mới chỉ được thiết lập đầy đủ cho trường hợp người chơi bị giới hạn trong hai hành động (two actions).
- Thực nghiệm trên dữ liệu KDD Cup 1999 tập trung vào bài toán phân loại nhị phân giữa kết nối Normal và tấn công Smurf trên 4 đặc trưng, chưa triển khai đồng thời bài toán đa giả thuyết ($M > 2$) trên toàn bộ 41 tham số và tất cả các dạng tấn công khác.
Hướng nghiên cứu tiếp
- Phát triển các thuật toán tìm kiếm ngưỡng có hiệu năng tính toán cao hơn nhằm mở rộng khả năng áp dụng cho các mạng cảm biến quy mô lớn và không gian đặc trưng nhiều chiều.
- Khảo sát các cấu trúc mạng phân tán phân cấp hoặc mạng không có trung tâm kết hợp dữ liệu tập trung.
- Mở rộng phân tích hội tụ của fictitious play có sai số cho không gian chiến lược tổng quát với $K > 2$ hành động.
- Áp dụng mô hình trò chơi ngẫu nhiên trên các topo mạng phức tạp với dữ liệu đo kiểm an ninh mạng thời gian thực.
Giá trị tham khảo
Luận án là tài liệu chuyên khảo có giá trị học thuật và ứng dụng thực tiễn đối với các nhóm đối tượng sau:
- Nghiên cứu sinh và giảng viên chuyên ngành Kỹ thuật Máy tính, An toàn Thông tin và Toán ứng dụng: Tham khảo phương pháp chứng minh giải tích hàm (sử dụng tô-pô yếu* và định lý Alaoglu) trong việc giải quyết bài toán tối ưu hóa thống kê phân tán tại Chương 2, cùng các mô hình trò chơi ngẫu nhiên tại Chương 4.
- Kỹ sư và chuyên gia thiết kế hệ thống IDS/IDPS: Ứng dụng quy trình tính toán ngưỡng tỷ số hợp lý rời rạc và thuật toán phát hiện tấn công (Thuật toán 1, 2, 3) để tích hợp vào các mô-đun phân loại lưu lượng mạng.
- Nhà nghiên cứu về mạng cảm biến phân tán (WSN): Tham khảo phân tích định lượng về sự khác biệt giữa kiểm định tỷ số hợp lý và quy tắc bỏ phiếu đa số khi các cảm biến có quan sát tương quan.
- Chuyên gia hoạch định chiến lược an ninh mạng: Tham khảo mô hình mạng ảnh hưởng tuyến tính để đánh giá mức độ tổn thương lan truyền và tối ưu hóa chi phí đầu tư phòng ngự trên hệ thống mạng đa nút.
Câu hỏi thường gặp
1. Tại sao khi các quan sát của cảm biến phụ thuộc có điều kiện, xác suất lỗi Bayes không thể biểu diễn qua các phân phối biên riêng lẻ?
Theo Bổ đề 2.1 và Mệnh đề 2.1 trong Chương 2, khi hai hàm mật độ xác suất đồng thời $f_0(y_1, y_2)$ và $f_1(y_1, y_2)$ phụ thuộc có điều kiện, việc cố định một giá trị tích phân xác suất $\alpha_0$ trên miền phân phối dưới giả thuyết $H_0$ không xác định duy nhất giá trị tích phân $\alpha_1$ dưới giả thuyết $H_1$. Do các tổ hợp quan sát phụ thuộc vào cấu trúc tương quan đồng thời giữa các biến, các phân phối biên riêng lẻ $q(\gamma_j)$ bị mất mát thông tin tương quan, khiến xác suất lỗi trung bình $P_e$ tại trung tâm kết hợp bắt buộc phải được đặc trưng hóa thông qua tập hợp các phân phối đồng thời $s(\gamma)$.
2. Kiểm định tỷ số hợp lý (LRT) tại trung tâm kết hợp có luôn tương đương với quy tắc bỏ phiếu đa số không?
Không. Kiểm định tỷ số hợp lý tại trung tâm kết hợp chỉ tương đương với quy tắc bỏ phiếu đa số khi các quan sát của cảm biến là độc lập và cùng phân phối (i.i.d.) có điều kiện, đồng thời tất cả các cảm biến sử dụng cùng một ngưỡng quyết định. Trong trường hợp các cảm biến độc lập có điều kiện nhưng không cùng phân phối (non-identical), tác giả đã chứng minh bằng phản ví dụ với 3 cảm biến rằng tồn tại tình huống $L(0, 0, 1) > L(1, 1, 0)$, dẫn đến việc kiểm định tỷ số hợp lý chọn giả thuyết $H_1$ cho chuỗi $(0, 0, 1)$, trong khi quy tắc bỏ phiếu đa số lại chọn $H_0$.
3. Cấu trúc không gian toán học nào được sử dụng để chứng minh sự tồn tại nghiệm tối ưu trong kiểm định phân tán với quan sát phụ thuộc?
Tác giả sử dụng không gian đo lường $(Y, \mathcal{F})$ với độ đo xác suất $P = \frac{1}{M}\sum_{i=0}^{M-1} P_i$ và không gian hàm $L^\infty(Y; P)$ (là không gian đối ngẫu của $L^1(Y; P)$). Dưới tô-pô yếu*, quả cầu đơn vị trong $L^\infty$ là compact theo Định lý Alaoglu. Từ đó, tập hợp các chiến lược cảm biến $\mathcal{F}$ và tập ảnh phân phối đồng thời $S = h(\mathcal{F})$ trong $\mathbb{R}^{M D^N}$ được chứng minh là các tập compact. Sự tồn tại nghiệm tối ưu cực tiểu hóa $P_e$ được suy ra trực tiếp từ Định lý Weierstrass đối với hàm liên tục trên tập compact.
4. Hiệu năng của thuật toán kiểm định phân tán trên bộ dữ liệu KDD Cup 1999 đạt kết quả cụ thể như thế nào?
Trên tập huấn luyện 10% dữ liệu KDD Cup 1999 (với 4 tham số: duration, src_bytes, dst_bytes, count), thuật toán tìm ra tổ hợp ngưỡng tối ưu cho xác suất lỗi trung bình lý thuyết là $P_e = 9.14 \times 10^{-4}$. Khi áp dụng vào 10 tệp kiểm thử độc lập của toàn bộ tập dữ liệu KDD Cup 1999, xác suất bỏ sót ($P_m$) duy trì ổn định ở mức $0.0013$ - $0.0018$, xác suất báo động giả ($P_f$) ở mức $0.0000$ - $0.0002$, và xác suất lỗi trung bình thực nghiệm ($P_e$) dao động trong khoảng từ $0.0002$ đến $0.0013$.
5. Luận án đã giải quyết những thách thức thực tế nào trong quá trình Fictitious Play giữa Kẻ tấn công và Người phòng thủ?
Luận án đã mô hình hóa và lượng hóa sự sai lệch chiến lược khi quá trình fictitious play diễn ra trên mạng truyền thông thực tế có tồn tại hai loại sai số: sai số quyết định ngẫu nhiên của các bên tham gia và sai số quan sát hành động của đối thủ do kênh truyền bị nhiễu. Luận án đã thiết lập các điều kiện toán học đảm bảo quá trình học tập này vẫn hội tụ về điểm cân bằng Nash, đồng thời đề xuất thuật toán cập nhật tần suất bất biến theo thời gian có tính ổn định cục bộ và ứng dụng thành công vào cơ chế phòng thủ pushback chống tấn công DDoS.
Kết luận
Luận án tiến sĩ của Kien Chi Nguyen đã xây dựng một khung phân tích và thiết kế định lượng toàn diện cho an ninh mạng dựa trên sự kết hợp giữa lý thuyết quyết định thống kê và lý thuyết trò chơi. Tác phẩm đã giải quyết trọn vẹn bài toán kiểm định giả thuyết phân tán trong điều kiện quan sát phụ thuộc thông qua các chứng minh giải tích hàm về tính compact và sự tồn tại nghiệm tối ưu, đồng thời đề xuất thuật toán tìm kiếm ngưỡng được kiểm chứng bằng thực nghiệm trên dữ liệu lưu lượng KDD Cup 1999. Bên cạnh đó, luận án đã mở rộng lý thuyết fictitious play khi có sai số mạng và xây dựng mô hình trò chơi ngẫu nhiên trên mạng đa nút có tính tương thuộc tuyến tính, cung cấp cơ sở khoa học cho việc tối ưu hóa ra quyết định và phân bổ tài nguyên an ninh mạng.
