Luận văn thạc sĩ: Ứng dụng thuật toán One Class SVM trong phát hiện botnet trên thiết bị IoT

Tổng hợp kiến thức Phát hiện botnet trên thiết bị IoT bằng thuật toán One Class SVM, tiếp cận khoa học, hỗ trợ học tập và nghiên cứu hiệu quả trong

• Tác giả: Trần Đình Tân
• Người hướng dẫn: TS. Ngô Quốc Dũng
• Trường học: Học viện công nghệ bưu chính viễn thông
• Chuyên ngành: Hệ thống thông tin
• Đề tài: Ứng Dụng Thuật Toán One-Class SVM Trong Phát Hiện Botnet Trên Các Thiết Bị IoT
• Loại tài liệu: luận văn thạc sĩ kỹ thuật
• Năm xuất bản: 2020
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• 1. CHƯƠNG 1: TỔNG QUAN MÃ ĐỘC IOT BOTNET VÀ CÁC BIỆN PHÁP PHÁT HIỆN
• 1.1. Tổng quan về mã độc IoT Botnet
• 1.2. Tổng quan về thiết bị IoT dân dụng
• 1.3. Tổng quan về mã độc Botnet trên thiết bị IoT dân dụng
• 1.4. Tổng quan các phương pháp phát hiện mã độc
• 1.4.1. Phân tích tĩnh
• 1.4.2. Phân tích động
• 1.4.3. Phân tích lai
• 1.5. Tổng quan về học máy
• 1.5.1. Các khái niệm cơ bản
• 1.5.2. Support vector machines
• 1.6. Kết luận chương
• 2. CHƯƠNG 2: XÂY DỰNG MÔ HÌNH PHÁT HIỆN MÃ ĐỘC IOT BOTNET
• 2.1. Mô hình tổng quan
• 2.2. Thu thập dữ liệu
• 2.3. Xây dựng đồ thị SCG
• 2.4. Đồ thị nhúng
• 2.5. Thiết lập mô hình học máy
• 2.6. Kết luận chương
• 3. CHƯƠNG 3: THỬ NGHIỆM VÀ ĐÁNH GIÁ
• 3.1. Thu thập và tiền xử lý dữ liệu
• 3.2. Dữ liệu mẫu
• 3.3. Thu thập dữ liệu
• 3.4. Xây dựng đồ thị SCG và đồ thị nhúng
• 3.5. Nhận xét đánh giá
• 3.6. Các tiêu chí đánh giá
• 3.7. Đánh giá kết quả
• 3.8. Kết luận chương
• DANH MỤC CÁC TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về mã độc IoT Botnet

Mã độc IoT Botnet đã trở thành một vấn đề nghiêm trọng trong lĩnh vực an ninh mạng. Các thiết bị IoT, như router và camera IP, thường có cấu trúc phần cứng và phần mềm tương tự nhau, khiến cho việc phát hiện mã độc trở nên khó khăn. Theo nghiên cứu, mã độc botnet có thể lây nhiễm qua nhiều phương thức khác nhau, từ việc khai thác lỗ hổng bảo mật đến việc sử dụng các tài khoản mặc định. Các loại mã độc như Linux.Hydra, Psyb0t, và Chuck Norris đã cho thấy sự đa dạng và phức tạp trong cách thức hoạt động của chúng. Việc phát hiện và phân loại các mã độc này là rất cần thiết để bảo vệ an ninh cho các thiết bị IoT. "Mã độc IoT không chỉ gây thiệt hại cho thiết bị mà còn có thể ảnh hưởng đến toàn bộ hệ thống mạng."

1.1. Tổng quan về thiết bị IoT dân dụng

Thiết bị IoT dân dụng hiện nay bao gồm nhiều loại như router, camera IP và các thiết bị thông minh khác. Cấu trúc của các thiết bị này thường dựa trên nền tảng Linux, với firmware đa dạng tùy thuộc vào nhà sản xuất. Việc sử dụng các thiết bị này ngày càng phổ biến, đồng nghĩa với việc các lỗ hổng bảo mật cũng gia tăng. "Sự gia tăng kết nối giữa các thiết bị IoT tạo ra nhiều cơ hội cho các cuộc tấn công mạng."

1.2. Tổng quan về mã độc Botnet trên thiết bị IoT dân dụng

Mã độc botnet trên thiết bị IoT có nhiều biến thể, mỗi loại có cách thức lây nhiễm và tấn công riêng. Ví dụ, mã độc Linux.Hydra lây nhiễm qua việc tấn công từ điển vào các thiết bị định tuyến. Các mã độc như Psyb0t và Chuck Norris cũng đã cho thấy khả năng tấn công mạnh mẽ. "Việc phát hiện mã độc botnet là một thách thức lớn trong việc bảo vệ an ninh mạng cho các thiết bị IoT."

II. Ứng dụng thuật toán One Class SVM trong phát hiện botnet

Thuật toán One-Class SVM đã được chứng minh là hiệu quả trong việc phát hiện mã độc, đặc biệt là trong bối cảnh các thiết bị IoT. Phương pháp này cho phép phân loại các mẫu dữ liệu mà không cần có mẫu dương tính, điều này rất quan trọng khi số lượng mẫu mã độc và lành tính không cân bằng. "One-Class SVM giúp phát hiện các hành vi bất thường trong hệ thống, từ đó nhận diện botnet một cách hiệu quả." Việc áp dụng thuật toán này trong phát hiện botnet trên thiết bị IoT có thể giúp nâng cao khả năng bảo mật cho các thiết bị này.

2.1. Mô hình tổng quan

Mô hình phát hiện botnet sử dụng thuật toán One-Class SVM được xây dựng dựa trên các đặc trưng của dữ liệu thu thập từ các thiết bị IoT. Việc thu thập dữ liệu từ các nguồn khác nhau như IoTPot giúp tạo ra một tập dữ liệu phong phú, từ đó cải thiện độ chính xác của mô hình. "Mô hình này không chỉ giúp phát hiện mã độc mà còn có thể dự đoán các cuộc tấn công trong tương lai."

2.2. Thiết lập mô hình học máy

Quá trình thiết lập mô hình học máy bao gồm việc thu thập dữ liệu, tiền xử lý và trích xuất đặc trưng. Các bước này rất quan trọng để đảm bảo rằng mô hình có thể hoạt động hiệu quả trong việc phát hiện botnet. "Việc chuẩn hóa dữ liệu và trích xuất đặc trưng chính xác là yếu tố quyết định đến thành công của mô hình."

III. Thử nghiệm và đánh giá

Thử nghiệm mô hình phát hiện botnet được thực hiện trên các thiết bị IoT thực tế để đánh giá hiệu quả của thuật toán One-Class SVM. Các tiêu chí đánh giá như độ chính xác, độ nhạy và độ đặc hiệu được sử dụng để đo lường hiệu quả của mô hình. "Kết quả thử nghiệm cho thấy mô hình có khả năng phát hiện botnet với độ chính xác cao, góp phần nâng cao an ninh mạng cho các thiết bị IoT." Việc đánh giá kết quả không chỉ giúp cải thiện mô hình mà còn cung cấp thông tin quý giá cho các nghiên cứu tiếp theo.

3.1. Thu thập và tiền xử lý dữ liệu

Quá trình thu thập và tiền xử lý dữ liệu là bước đầu tiên trong việc xây dựng mô hình. Dữ liệu được thu thập từ nhiều nguồn khác nhau và được xử lý để loại bỏ các nhiễu không cần thiết. "Dữ liệu sạch và chính xác là nền tảng cho mọi mô hình học máy."

3.2. Đánh giá kết quả

Kết quả thử nghiệm được phân tích để đánh giá hiệu quả của mô hình. Các tiêu chí như độ chính xác và độ nhạy được sử dụng để đo lường khả năng phát hiện botnet. "Kết quả cho thấy mô hình có thể phát hiện botnet với độ chính xác cao, mở ra hướng đi mới cho việc bảo vệ an ninh mạng trên các thiết bị IoT."

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh cuộc cách mạng công nghiệp 4.0, Internet của vạn vật (IoT) đã trở thành xu hướng công nghệ phát triển mạnh mẽ, thay đổi sâu sắc cách thức sống và làm việc của con người. Tuy nhiên, sự gia tăng kết nối giữa các thiết bị IoT cũng kéo theo nhiều lỗ hổng bảo mật nghiêm trọng. Theo số liệu của Kaspersky Lab đầu năm 2018, hơn 7.000 mẫu phần mềm độc hại nhắm vào thiết bị IoT đã được phát hiện, trong đó hơn một nửa xuất hiện chỉ trong năm 2017. Các thiết bị bị tấn công chủ yếu là máy ghi hình kỹ thuật số hoặc máy quay IP (chiếm 63%), tiếp đến là các thiết bị mạng như router, modem (20%), và khoảng 1% là các thiết bị gia đình thông minh khác.

Mã độc botnet trên thiết bị IoT ngày càng đa dạng và phức tạp, gây khó khăn lớn cho việc phát hiện và ngăn chặn. Việc thu thập dữ liệu mã độc đã được thực hiện qua các hệ thống HoneyPot như IoTPot, tuy nhiên, việc thu thập dữ liệu lành tính để áp dụng các thuật toán học máy nhằm phân biệt mã độc và lành tính vẫn còn hạn chế. Trong điều kiện dữ liệu bị lệch lớn giữa hai lớp, thuật toán học máy một lớp (One-class SVM) được đánh giá là phù hợp và hiệu quả.

Mục tiêu nghiên cứu là xây dựng và thử nghiệm mô hình phát hiện botnet trên các thiết bị IoT dân dụng bằng thuật toán One-class SVM, sử dụng đặc trưng System-call Graph (SCG) với bộ dữ liệu gồm khoảng 4.000 mẫu IoT botnet từ IoTPot và các nguồn khác như VirusShare. Nghiên cứu tập trung vào các thiết bị IoT dân dụng phổ biến như router, IP Camera, Smartbox-TV, trong phạm vi thời gian đến năm 2020 tại Việt Nam. Kết quả nghiên cứu có ý nghĩa quan trọng trong việc nâng cao an ninh mạng cho các thiết bị IoT, góp phần giảm thiểu rủi ro tấn công mạng và bảo vệ người dùng cuối.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu dựa trên các lý thuyết và mô hình sau:

• Mã độc IoT Botnet: Tổng quan về các loại mã độc botnet phổ biến trên thiết bị IoT dân dụng như Linux.Hydra, Psyb0t, Mirai, LightAidra, Remaiten, với các đặc điểm tấn công từ chối dịch vụ phân tán (DDoS) và khả năng lây nhiễm đa kiến trúc (MIPS, ARM, PPC).

• Phương pháp phát hiện mã độc: Bao gồm phân tích tĩnh (dựa trên đặc trưng tập tin, đồ thị luồng điều khiển CFG), phân tích động (giám sát hành vi mã độc trong môi trường sandbox hoặc máy ảo), và phương pháp lai kết hợp ưu điểm của cả hai.

• Học máy và thuật toán One-class SVM: Học máy là tập con của trí tuệ nhân tạo, trong đó One-class SVM là thuật toán học không giám sát, phù hợp với bài toán phát hiện mã độc khi chỉ có dữ liệu của một lớp (mã độc hoặc lành tính). One-class SVM xác định siêu cầu nhỏ nhất bao quanh dữ liệu để phân biệt điểm bất thường.

• Đặc trưng System-call Graph (SCG): Sử dụng đồ thị lời gọi hệ thống làm đặc trưng cho mô hình học máy, giúp biểu diễn hành vi thực thi của mã độc trên thiết bị IoT.

Phương pháp nghiên cứu

• Nguồn dữ liệu: Thu thập 1.326 tệp tin mẫu từ các nguồn VirusShare, IoTPot và các nguồn khác, trong đó có 1.248 tệp chứa mã độc và 78 tệp lành tính, tất cả chạy trên hệ điều hành Linux.

• Phương pháp thu thập dữ liệu: Sử dụng bộ giả lập QEMU để mô phỏng kiến trúc chip ARM, MIPS phổ biến trên thiết bị IoT dân dụng. Dữ liệu hành vi được thu thập qua công cụ Strace để ghi lại các lời gọi hệ thống khi thực thi các tệp tin mẫu trong môi trường sandbox.

• Tiền xử lý dữ liệu: Xây dựng đồ thị lời gọi hệ thống (SCG) từ nhật ký lời gọi hệ thống, áp dụng kỹ thuật giảm số lượng lời gọi lặp lại liên tiếp để tối ưu hiệu năng. Tiếp theo, chuyển đổi đồ thị SCG thành vector đặc trưng có kích thước cố định bằng kỹ thuật đồ thị nhúng (graph embeddings) như graph2vec.

• Phương pháp phân tích: Áp dụng thuật toán One-class SVM để huấn luyện mô hình phát hiện botnet dựa trên vector đặc trưng từ đồ thị nhúng. Tập huấn luyện chỉ sử dụng dữ liệu mã độc (chiếm 75% số mẫu mã độc), tập kiểm thử sử dụng 25% còn lại cùng với dữ liệu lành tính.

• Timeline nghiên cứu: Nghiên cứu được thực hiện trong năm 2019-2020, bao gồm các giai đoạn thu thập dữ liệu, xây dựng mô hình, thử nghiệm và đánh giá kết quả.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Hiệu quả của thuật toán One-class SVM trong phát hiện botnet IoT: Mô hình đạt độ chính xác phát hiện trên 90% khi áp dụng trên tập kiểm thử gồm 312 tệp tin mã độc và 78 tệp lành tính. Tỷ lệ phát hiện dương tính giả (false positive) được kiểm soát dưới 5%.

2. Tác động của kỹ thuật giảm lời gọi hệ thống lặp lại: Việc chỉ ghi nhận một lần các lời gọi hệ thống lặp lại liên tiếp giúp giảm số lượng lời gọi trung bình từ khoảng 1.500 xuống còn khoảng 1.000 lời gọi, giảm đáng kể chi phí tính toán mà không ảnh hưởng đến độ chính xác mô hình.

3. Hiệu quả của kỹ thuật đồ thị nhúng graph2vec: Việc chuyển đổi đồ thị SCG thành vector đặc trưng có kích thước cố định giúp mô hình học máy xử lý dữ liệu hiệu quả hơn, tăng tốc độ huấn luyện và kiểm thử lên khoảng 30% so với phương pháp truyền thống.

4. So sánh với các nghiên cứu trước: Kết quả mô hình vượt trội hơn so với các nghiên cứu chỉ sử dụng tập dữ liệu mã độc hoặc chỉ thử nghiệm trên thiết bị Raspberry Pi, nhờ việc sử dụng tập dữ liệu đa dạng và kỹ thuật học máy một lớp phù hợp với dữ liệu lệch.

Thảo luận kết quả

Nguyên nhân chính giúp mô hình đạt hiệu quả cao là do việc sử dụng đặc trưng SCG phản ánh chính xác hành vi thực thi của mã độc trên thiết bị IoT, kết hợp với thuật toán One-class SVM phù hợp với bài toán phân lớp lệch dữ liệu. Việc giảm lời gọi hệ thống lặp lại giúp giảm nhiễu và tăng tính ổn định của đặc trưng đầu vào.

So với các nghiên cứu trước đây, mô hình này có ưu điểm là sử dụng dữ liệu đa dạng hơn, bao gồm cả mã độc và dữ liệu lành tính, giúp giảm tỷ lệ dương tính giả. Kỹ thuật đồ thị nhúng graph2vec cũng là điểm mới giúp xử lý dữ liệu hiệu quả hơn.

Kết quả có thể được trình bày qua biểu đồ ROC thể hiện độ nhạy và độ đặc hiệu của mô hình, bảng confusion matrix minh họa số lượng mẫu được phân loại đúng/sai, và biểu đồ tần suất lời gọi hệ thống trước và sau khi giảm lặp lại.

Ý nghĩa của nghiên cứu là cung cấp một giải pháp phát hiện botnet trên thiết bị IoT dân dụng hiệu quả, có thể áp dụng trong thực tế để nâng cao an ninh mạng, giảm thiểu thiệt hại do các cuộc tấn công DDoS từ mạng botnet IoT.

Đề xuất và khuyến nghị

1. Triển khai hệ thống phát hiện botnet dựa trên One-class SVM trong các thiết bị IoT dân dụng: Các nhà sản xuất thiết bị IoT và nhà cung cấp dịch vụ mạng nên tích hợp mô hình phát hiện này vào hệ thống giám sát an ninh, nhằm phát hiện sớm và ngăn chặn các cuộc tấn công botnet. Thời gian triển khai dự kiến trong vòng 12 tháng.

2. Phát triển thêm bộ dữ liệu mã độc và lành tính đa dạng hơn: Các tổ chức nghiên cứu và doanh nghiệp cần phối hợp thu thập, cập nhật dữ liệu mẫu mã độc và dữ liệu lành tính để cải thiện độ chính xác và khả năng thích ứng của mô hình. Đây là nhiệm vụ liên tục, cần thực hiện hàng năm.

3. Nâng cao kỹ thuật tiền xử lý dữ liệu và đồ thị nhúng: Đề xuất nghiên cứu thêm các kỹ thuật nhúng đồ thị mới, như Graph Neural Networks (GNN), để tăng khả năng biểu diễn đặc trưng và cải thiện hiệu quả mô hình. Chủ thể thực hiện là các nhóm nghiên cứu trong lĩnh vực an ninh mạng và học máy, trong vòng 18 tháng.

4. Xây dựng môi trường sandbox chuyên biệt cho thiết bị IoT đa kiến trúc: Các nhà phát triển phần mềm bảo mật cần phát triển các môi trường giả lập và sandbox hỗ trợ đa kiến trúc chip (ARM, MIPS, PPC) để thu thập dữ liệu hành vi mã độc chính xác hơn, phục vụ cho việc huấn luyện và kiểm thử mô hình. Thời gian thực hiện dự kiến 12-24 tháng.

Đối tượng nên tham khảo luận văn

1. Nhà nghiên cứu và sinh viên ngành an ninh mạng, hệ thống thông tin: Luận văn cung cấp kiến thức chuyên sâu về mã độc IoT botnet, phương pháp phát hiện dựa trên học máy, giúp nâng cao hiểu biết và phát triển các nghiên cứu tiếp theo.

2. Doanh nghiệp phát triển thiết bị IoT và nhà cung cấp dịch vụ mạng: Tham khảo để áp dụng mô hình phát hiện botnet nhằm tăng cường an ninh sản phẩm và dịch vụ, giảm thiểu rủi ro tấn công mạng.

3. Cơ quan quản lý và tổ chức an ninh mạng: Sử dụng kết quả nghiên cứu để xây dựng chính sách, quy chuẩn bảo mật cho thiết bị IoT, đồng thời triển khai các giải pháp giám sát và phòng chống mã độc hiệu quả.

4. Nhà phát triển phần mềm bảo mật và công cụ phân tích mã độc: Áp dụng các kỹ thuật thu thập dữ liệu, xây dựng đặc trưng SCG và thuật toán One-class SVM để phát triển các công cụ phát hiện mã độc chuyên biệt cho thiết bị IoT.

Câu hỏi thường gặp

1. One-class SVM khác gì so với SVM truyền thống?
   One-class SVM là thuật toán học không giám sát, chỉ sử dụng dữ liệu của một lớp (ví dụ mã độc) để xây dựng mô hình, phù hợp với bài toán khi dữ liệu của lớp khác (lành tính) rất ít hoặc không có. Trong khi đó, SVM truyền thống cần dữ liệu của cả hai lớp để phân loại.

2. Tại sao chọn đặc trưng System-call Graph (SCG) để phát hiện mã độc?
   SCG phản ánh chính xác hành vi thực thi của mã độc thông qua các lời gọi hệ thống, giúp phân biệt mã độc và phần mềm lành tính dựa trên hành vi thay vì chỉ dựa vào đặc trưng tĩnh, tăng độ chính xác phát hiện.

3. Làm thế nào để giảm thiểu dương tính giả trong mô hình?
   Sử dụng tập dữ liệu đa dạng bao gồm cả mã độc và dữ liệu lành tính, áp dụng kỹ thuật tiền xử lý như giảm lời gọi hệ thống lặp lại, và lựa chọn tham số phù hợp cho thuật toán One-class SVM giúp giảm tỷ lệ dương tính giả.

4. Mô hình có thể áp dụng cho các thiết bị IoT ngoài phạm vi nghiên cứu không?
   Mô hình được xây dựng trên các thiết bị IoT dân dụng phổ biến với kiến trúc ARM, MIPS. Với các thiết bị khác hoặc kiến trúc khác, cần thu thập dữ liệu tương ứng và điều chỉnh mô hình để đảm bảo hiệu quả.

5. Có thể kết hợp mô hình này với các phương pháp phát hiện khác không?
   Có thể kết hợp với các phương pháp phân tích tĩnh, phân tích động hoặc phương pháp lai để tăng cường khả năng phát hiện, giảm thiểu sai sót và nâng cao độ tin cậy của hệ thống phát hiện mã độc.

Kết luận

• Đã xây dựng thành công mô hình phát hiện botnet trên thiết bị IoT dân dụng sử dụng thuật toán One-class SVM với đặc trưng System-call Graph, đạt độ chính xác trên 90%.
• Áp dụng kỹ thuật giảm lời gọi hệ thống lặp lại và đồ thị nhúng graph2vec giúp tối ưu hiệu năng và tăng tốc độ xử lý.
• Mô hình vượt trội hơn các nghiên cứu trước nhờ sử dụng tập dữ liệu đa dạng và phù hợp với bài toán phân lớp lệch dữ liệu.
• Đề xuất các giải pháp triển khai thực tế, phát triển bộ dữ liệu và nâng cao kỹ thuật tiền xử lý để cải thiện mô hình trong tương lai.
• Khuyến nghị các nhà nghiên cứu, doanh nghiệp và cơ quan quản lý tham khảo và ứng dụng kết quả nghiên cứu nhằm nâng cao an ninh mạng cho thiết bị IoT.

Next steps: Triển khai thử nghiệm mô hình trong môi trường thực tế, mở rộng bộ dữ liệu, nghiên cứu áp dụng các kỹ thuật học sâu và mạng nơ-ron đồ thị để nâng cao hiệu quả phát hiện.

Call-to-action: Các tổ chức và cá nhân quan tâm đến an ninh IoT nên phối hợp nghiên cứu, phát triển và ứng dụng các giải pháp phát hiện botnet dựa trên học máy để bảo vệ hệ sinh thái IoT ngày càng phát triển.

Trích đoạn nội dung tài liệu

CHƯƠNG 1: TỔNG QUAN MÃ ĐỘC IOT BOTNET VÀ CÁC BIỆN PHÁP PHÁT HIỆN 1. Tổng quan về mã độc IoT Botnet 1. Tổng quan về thiết bị IoT dân dụng Các thiết bị IoT dân dụng hiện nay phần lớn bao gồm các thiết bị định tuyến, IP Camera và các thiết bị Smartbox-TV. Phần lớn các thiết bị này có cấu trúc phần cứng và phần mềm tương tự nhau nên trong phần này, tác giả lựa chọn trình bày chi tiết về kiến trúc của thiết bị định tuyến.

Thiết bị định tuyến (router) là thiết bị mạng lớp 3 của mô hình OSI (Network Layer) được sử dụng trong việc liên kết giữa hai hoặc nhiều mạng máy tính lại với nhau nhằm chuyển các gói dữ liệu giữa các thiết bị mạng. Cấu trúc của một thiết bị định tuyến được mô tả qua hình 1.1 và gồm các thành phần chính như sau: Hình 1. Cấu trúc của một thiết bị định tuyến (Nguồn: Internet) - CPU: Điều khiển mọi hoạt động của bộ định tuyến trên cơ sở các hệ thống chương trình thực thi của hệ điều hành. Luan van 5 - ROM: Chứa các chương trình tự động kiểm tra và có thể có thành phần cơ bản nhất sao cho bộ định tuyến có thể thực thi được một số hoạt động tối thiểu ngay cả khi không có hệ điều hành hay hệ điều hành bị hỏng.

- RAM: Cấp phát vùng nhớ cho các quá trình như: lưu trữ các bảng định tuyến, các vùng đệm, tập tin cấu hình khi chạy, các thông số đảm bảo hoạt động của bộ định tuyến. - FLASH: Là thiết bị nhớ có khả năng ghi và xóa, không mất dữ liệu khi mất nguồn. Thông thường, firmware của bộ định tuyến được lưu trữ ở đây. Tùy thuộc các thiết bị định tuyến khác nhau mà hệ điều hành sẽ được chạy trực tiếp từ Flash hay được tải lên RAM trước khi chạy.

Tập tin cấu hình cũng có thể được lưu trữ trong Flash. - NVRAM (None-Volatile RAM): Có chức năng tương tự như FLASH nhưng với khả năng lưu trữ ít hơn. NVRAM thường chứa tập tin cấu hình của thiết bị để đảm bảo khi khởi động, cấu hình mặc định của Thiết bị định tuyến sẽ được tự động nạp về đúng trạng thái đã lưu giữ. Trên các thiết bị IoT dân dụng như thiết bị định tuyến, IP Camera thì firmware dựa trên nền hệ điều hành nhân Linux được sử dụng phổ biến và rộng rãi.

Theo nghiên cứu của Andrei Costin và cộng sự trên 32.356 firmware thì tỉ lệ dựa trên nền tảng Linux lên tới 86%. Nền tảng hệ điều hành phổ biến trên các thiết bị định tuyến (Nguồn: Andrei Costin) Luan van 6 Cấu trúc của firmware rất đa dạng, phụ thuộc vào chức năng và thiết kế của từng nhà sản xuất. Các firmware có thể được chia thành các kiểu như sau: - Integrated (apps + OS-as-a-lib): Đây là một bản firmware không đầy đủ, các chức năng và hệ điều hành được xây dựng như một thư viện chứ không có đầy đủ các thành phần cần thiết như trong bản Full-blown. - Partial updates (apps or libs or resources or support): Loại firmware này chỉ chứa các tập tin dùng trong việc cập nhật cho bản firmware cần nâng cấp.

Tổng quan về mã độc Botnet trên thiết bị IoT dân dụng Dựa trên các nghiên cứu của Kishore, Costin[11][12][13] và cộng sự các loại mã độc botnet trên các thiết bị IoT dân dụng có các loại sau đây: - Linux.Hydra: Là mã độc đầu tiên lây nhiễm trên các thiết bị IoT (gọi tắt là mã độc IoT).Hydra xuất hiện vào năm 2008, ở dạng mã nguồn mở nhằm mục đích tấn công các thiết bị dựa trên nền tảng kiến trúc MIPS. Pha thực hiện khai thác của Linux.Hydra dựa trên tấn công từ điển vào các thiết bị định tuyến D-Link có lỗ hổng về xác thực. Khi lây nhiễm thiết bị thành công, mã độc Linux.Hydra sẽ biến thiết bị trở thành một phần trong mạng botnet dựa trên IRC, nhưng chỉ thực hiện tấn công SYN Flood. Mặc dù nhiều nghiên cứu đã chỉ ra rằng Linux.Hydra có khả năng tấn công UDP Flood, nhưng mã nguồn được công bố thì không cho thấy khả năng này.

- Psyb0t: Tương tự như mã độc Linux.Hydra, mã độc Psyb0t được phát hiện lây nhiễm trên các thiết bị định tuyến, modem DSL có vi xử lý MIPS litteendian chạy firmware Mipsel Linux vào năm 2009 bởi nhà nghiên cứu bảo mật Terry Baume người Úc. Psyb0t đã lây nhiễm hơn 100.000 thiết bị và hoạt động dựa trên cơ chế nhận lệnh từ máy chủ C&C qua giao thức IRC. Phương thức chính để lây nhiễm thiết bị IoT của Psyb0t là sử dụng truy cập Telnet và SSH bằng cách tấn công vét cạn các khả năng đăng nhập với danh sách tài khoản được định nghĩa trước gồm 6.000 tên đăng nhập và 13. Sau khi lây nhiễm, Psy0t sẽ chặn truy cập thiết bi Luan van 7 định tuyến qua một số cổng TCP như 22, 23, 80.

Mã độc Psyb0t và có khả năng thực hiện tấn công UDP Flood, ICMP Flood. - Chuck Norris: Ngay khi mã độc botnet Psyb0t được tạo ra, một mẫu mã độc mới đã được phát triển và trở thành đối thủ cạnh tranh trong năm 2010, được gọi là mã độc Chuck Norris. Mã độc này có rất nhiều điểm tương đồng với mã độc Psyb0t, vì thế đây có thể là mã độc tiến hóa của Psyb0t. Khả năng tấn công từ chối dịch vụ bằng các kỹ thuật UDP Flood, ACK Flood, SYN Flood.

Mã độc Chuck Noris là một loại mã độc IRC bot được phát hiện lây nhiễm thiết bị định tuyến và modem DLS. - Tsunami/Kaiten: Tsunami còn có thể thực hiện tấn công bằng một số kỹ thuật phức tạp như HTTP Layer 7 Flood, TCP XMASS. Mã độc Tsunami là mã độc IRC bot, hỗ trợ việc thực hiện nhiều câu lệnh và chỉnh sửa thông tin cấu hình máy chủ DNS trên thiết bị đã lây nhiễm khiến cho lưu lượng từ thiết bị IoT được chuyển hướng tới máy chủ điều khiển của kẻ tấn công. Tùy thuộc vào các biến thể của mã độc mà nó có thể chỉnh sửa vị trí lưu trữ các tập tin /etc/init.local nhằm tự động thực thi những tập tin mã độc mỗi khi người dùng đăng nhập hoặc tại thư mục /etc/rc.local để đảm bảo các tập tin thực thi khi hệ thống khởi động.

Một khi đã cài đặt thì mã độc Tsunami sẽ tham gia vào một kênh trao đổi thông tin IRC đã được nhúng trong mã nguồn của mã độc để nhận các chỉ thị của kẻ tấn công từ xa. Bên cạnh khả năng thực hiện tấn công từ chối dịch vụ, mã độc có thể ngắt tiến trình, tải và thực thi các tập tin, giả mạo địa chỉ IP của những thiết bị dễ bị tổn thương. - Aidra/LightAidra/Zendran: Xuất hiện trong khoảng 2012, đây là 3 loại mã độc có nhiều phần mã nguồn tương tự nhau vì thế có thể ghép vào chung một loại mã độc. So sánh với những loại mã độc đã trình bày trước thì mã độc này phức tạp hơn vì chúng có thể biên dịch dựa trên nhiều kiến trúc khác nhau như MIPS, ARM, PPC.

Mã độc lây nhiễm và đưa thiết bị vào mạng botnet dựa trên IRC, có khả năng thực hiện một số tấn công cơ bản SYN Flood và ACL Flood. Theo phân tích của hãng bảo mật Symantec thì mã độc Lightaidra lây nhiễm trên các thiết bị IoT có nền tảng Linux, khai thác lỗ hổng CVE-2014-6271 và được Luan van 8 phân loại là sâu, trojan. Mã độc Lightaidra lây lan bằng cách dò quét địa chỉ IP công cộng để tìm kiếm các thiết bị sử dụng dịch vụ telnet, các tài khoản đăng nhập mặc định hoặc không đặt mật khẩu. Mã độc Lightaidra có thể nhận các lệnh điều khiển từ các địa chỉ: irc.

Sâu mã độc Lightaidra thực hiện truyền tin với máy chủ C&C đã được nhúng trực tiếp trong mã nguồn của Lightaidra như gửi thông tin đăng nhập thành công, nhận lệnh khởi tạo các cuộc tấn công từ chối dịch vụ sử dụng các kỹ thuật TCP flood, UDP flood, DNS flood… Quy trình hoạt động của mã độc LightAidra/Aidra như sau: Đầu tiên, mã độc thử kết nối tới cổng Telnet. Khi kết nối thành công, mã độc có thể sử dụng kết hợp một số tài khoản mặc định như root/root, root/admin… Sau khi đăng nhập thành công, mã độc LightAidra/Aidra sẽ tải về tập tin getbinaries.sh và thực thi tập tin đó. Chức năng của tập này đơn giản là: - Xóa những tập tin nhị phân mã độc cũ để đảm bảo chỉ có duy nhất mã độc LightAidra/Aidra chạy trên thiết bị; - Tải về các tập tin nhị phân của mã độc và thực thi chúng; - Thay đổi mật khẩu; - Chỉnh sửa cài đặt trong tường lửa sử dụng Iptable; - Xóa tập tin getbinaries. Sau khi thực thi các tập tin nhị phân đã tải về, mã độc LightAidra/Aidra thực hiện kết nối thiết bị tới hệ thống mạng botnet và máy chủ IRC.

Tất cả các tập tin nhị phân mã độc LightAidra/Aidra được tải về thư mục /var/run, /var/tmp trên thiết bị (nếu thiết bị sử dụng x86 thì sẽ lưu trong thư mục /tmp) , đây là những thư mục sẽ bị xóa khi thiết bị khởi động lại. Trong quá trình phân tích nếu phát hiện những tập tin thực thi lưu trong thư mục /var/run thì đó có khả năng cao là tập tin mã độc bởi các tập tin thực thi không được lưu trữ tại /var/run trên một hệ thống bình thường. Thông thường, việc khởi động lại thiết bị đủ để dọn dẹp thiết bị bởi vì đối với các nền tảng hệ thống nhúng thì hệ thống tập tin (tệp tinsystem) được mount dạng chỉ Luan van 9 đọc (read-only), vì thế các thư mục /tmp và /run lưu trữ trong RAM (Random Access Memory) được sử dụng. Mọi thông tin, dữ liệu trên /var và /tmp sẽ bị xóa khi thiết bị khởi động lại.

Tuy nhiên, các thiết bị IoT thường ít khi khởi động lại và thay đổi mật khẩu nên việc lây nhiễm lại của mã độc diễn ra nhanh chóng. - Spike/Dofloo/MrBlack/Wrkatk/Sotdas/AES.DdoS: Sau sự xuất hiện mạnh mẽ của các loại mã độc tương tự Linux.Hydra thì vào năm 2014 một dòng mã độc mới đã xuất hiện với nhiều loại mã độc như Spike, Dofloo, nhưng rất khó có thể phân biệt giữa các mã độc đó. Tuy nhiên, điểm khác biệt trong kiến trúc mạng botnet so với những dòng mã độc trước đây là thường sử dụng IRC-based thì dòng mã độc này sử dụng Agent-handler. Hơn nữa, một cơ chế bảo đảm sự bền vững bằng cách giả mạo tập tin etc/rc.local, nhằm vẫn tồn tại khi thiết bị khởi động lại.

Bên cạnh đó, đặc trưng nổi bật của mã độc này là sử dụng luồng SendInfo để tính toán hiệu năng của thiết bị và gửi về máy chủ CNC, khi đó hacker có thể triển khai mật độ thực hiện tấn công từ chối dịch vụ phân tán trên mỗi thiết bị bot một cách hiệu quả.