Phát Hiện Cuộc Tấn Công Lừa Đảo Dựa Trên URL và Sự Tương Đồng Trực Quan

• Tác giả: Trịnh Nguyên Bác
• Người hướng dẫn: TS. Phạm Văn Hậu
• Trường học: Đại học Quốc gia TP.HCM
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Phát Hiện Các Cuộc Tấn Công Lừa Đảo Dựa Trên URL Và Dựa Trên Sự Tương Đồng Trực Quan Bằng Cách Sử Dụng Mạng Đối Kháng Tạo Sinh
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2021
• Địa điểm: TP. Hồ Chí Minh

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• 1. CHƯƠNG 1: GIỚI THIỆU ĐỀ TÀI
• 1.1. Tên đề tài
• 1.2. Từ khóa
• 1.3. Tính khoa học, tính mới của đề tài
• 1.4. Mục tiêu của đề tài
• 1.5. Đối tượng áp dụng, phạm vi nghiên cứu của đề tài
• 1.5.1. Đối tượng áp dụng
• 1.5.2. Phạm vi nghiên cứu
• 1.6. Nội dung và phương pháp nghiên cứu
• 1.6.1. Nội dung 1
• 1.6.2. Nội dung 2
• 1.7. Đóng góp và công bố khoa học của tác giả
• 1.7.1. Đóng góp chính
• 1.7.2. Công bố khoa học liên quan
• 1.8. Cấu trúc của luận văn
• 2. CHƯƠNG 2: TỔNG QUAN VẤN ĐỀ NGHIÊN CỨU VÀ HƯỚNG TIẾP CẬN CỦA ĐỀ TÀI
• 2.1. Các vấn đề nghiên cứu
• 2.2. Các nghiên cứu liên quan
• 2.3. Phương pháp phòng chống các cuộc tấn công lừa đảo qua mạng
• 2.4. Giải pháp, hướng tiếp cận phát hiện trang web lừa đảo dựa trên học máy
• 2.5. Mạng sinh đôi kháng và hướng tiếp cận tiềm năng
• 3. CHƯƠNG 3: MÔ HÌNH ĐỀ XUẤT
• 3.1. Tiền xử lý dữ liệu
• 3.2. Bộ phân biệt
• 3.3. Trình phát hiện trang web lừa đảo hộp đen dựa trên học máy
• 3.4. Tái huấn luyện các trình học máy phát hiện trang web lừa đảo
• 3.5. Thuật toán huấn luyện
• 3.6. Ứng dụng mô hình đề xuất cho kỹ thuật phát hiện dựa trên URL
• 3.7. Kỹ thuật phát hiện trang web lừa đảo dựa trên phân tích đường dẫn URL
• 3.8. Mô hình phát sinh dữ liệu uPWDGAN
• 3.9. Ứng dụng mô hình đề xuất cho kỹ thuật phát hiện dựa trên sự tương đồng trực quan
• 3.10. Kỹ thuật phát hiện trang web lừa đảo dựa trên phân tích sự tương đồng trực quan
• 3.11. Mô hình phát sinh dữ liệu vPWDGAN
• 3.12. Kết chương
• 4. CHƯƠNG 4: THỰC NGHIỆM VÀ KẾT QUẢ
• 4.1. Môi trường thực nghiệm
• 4.2. Quy trình thực nghiệm
• 4.3. Thực nghiệm trên mô hình uPWDGAN
• 4.3.1. Thực nghiệm kịch bản 1
• 4.3.2. Thực nghiệm kịch bản 2
• 4.4. Thực nghiệm trên mô hình vPWDGAN
• 4.4.1. Thực nghiệm kịch bản 3
• 4.5. Kết chương
• 5. CHƯƠNG 5: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• 5.1. Kết luận
• 5.2. Thuận lợi và khó khăn
• 5.3. Hướng phát triển
• TÀI LIỆU THAM KHẢO
• DANH MỤC CÁC CÔNG BỐ KHOA HỌC
• DANH MỤC CÁC HỒ SƠ LIÊN QUAN
• DANH MỤC CÁC TỪ VIẾT TẮT
• DANH MỤC CÁC BẢNG BIỂU
• DANH MỤC CÁC HÌNH VẼ, ĐỒ THỊ

I. Tổng Quan Về Phát Hiện Tấn Công Lừa Đảo Dựa Trên URL

Trong bối cảnh an ninh mạng ngày càng phức tạp, tấn công lừa đảo trực tuyến (phishing) nổi lên như một mối đe dọa hàng đầu đối với cá nhân và tổ chức. Phát hiện phishing URL trở thành một nhiệm vụ cấp thiết, đòi hỏi các phương pháp tiếp cận mới và hiệu quả hơn. Kẻ tấn công liên tục thay đổi chiến thuật, tạo ra các URL độc hại khó nhận biết, vượt qua các biện pháp phòng vệ truyền thống. Việc nghiên cứu và triển khai các giải pháp bảo mật URL tiên tiến là chìa khóa để bảo vệ người dùng khỏi các cuộc tấn công nguy hiểm này. Một trong những hướng đi đầy hứa hẹn là sử dụng mạng đối kháng tạo sinh GAN để tạo ra các mẫu URL lừa đảo và từ đó huấn luyện các mô hình phân loại URL độc hại hiệu quả hơn.

1.1. Mối Nguy Hại Của Lừa Đảo Trực Tuyến và Tầm Quan Trọng URL

Các cuộc tấn công lừa đảo trực tuyến gây ra những thiệt hại to lớn về tài chính và uy tín cho nạn nhân. Theo các báo cáo, thiệt hại do phishing gây ra lên đến hàng tỷ đô la mỗi năm. URL đóng vai trò là cửa ngõ dẫn người dùng đến các trang web độc hại, do đó việc phát hiện phishing URL sớm là vô cùng quan trọng. Các phương pháp truyền thống dựa trên danh sách đen và quy tắc thủ công thường không hiệu quả trước sự biến đổi nhanh chóng của các URL lừa đảo. Cần có những giải pháp học sâu cho bảo mật có khả năng tự động học và thích ứng với các mẫu tấn công mới.

1.2. Thách Thức Trong Phân Loại URL Độc Hại Hiệu Quả

Việc phân loại URL độc hại gặp nhiều thách thức. URL lừa đảo thường được ngụy trang bằng các kỹ thuật rút gọn URL, chèn ký tự lạ, hoặc sử dụng các tên miền gần giống với tên miền chính thức. Hơn nữa, số lượng URL độc hại liên tục tăng lên, đòi hỏi các mô hình phát hiện lừa đảo phải có khả năng xử lý lượng lớn dữ liệu và hoạt động hiệu quả trong thời gian thực. Tấn công zero-day, khi các URL độc hại mới xuất hiện mà chưa có thông tin về chúng, là một thách thức đặc biệt khó khăn. Các mô hình cần có khả năng tổng quát hóa tốt để phát hiện các tấn công chưa từng thấy.

II. GAN Giải Pháp Tiềm Năng Cho Phát Hiện URL Phishing

Mạng đối kháng tạo sinh GAN (Generative Adversarial Networks) nổi lên như một công cụ mạnh mẽ trong nhiều lĩnh vực, bao gồm cả an ninh mạng. GAN bao gồm hai thành phần chính: bộ sinh (Generator) và bộ phân biệt (Discriminator). Bộ sinh cố gắng tạo ra dữ liệu giả mạo giống với dữ liệu thật, trong khi bộ phân biệt cố gắng phân biệt giữa dữ liệu thật và dữ liệu giả mạo. Quá trình huấn luyện GAN diễn ra thông qua một trò chơi đối kháng giữa hai thành phần này, giúp bộ sinh tạo ra dữ liệu ngày càng giống thật hơn. Trong bài toán phát hiện phishing URL, GAN có thể được sử dụng để tạo ra các mẫu URL lừa đảo mới, từ đó tăng cường khả năng bảo mật URL của các mô hình phân loại URL độc hại.

2.1. Ứng Dụng GAN Trong Bảo Mật và An Toàn Thông Tin

Ứng dụng GAN trong phát hiện tấn công mạng mở ra những khả năng mới trong việc phòng thủ và bảo vệ hệ thống. GAN có thể được sử dụng để tạo ra các mẫu tấn công giả mạo, giúp các chuyên gia bảo mật hiểu rõ hơn về các kỹ thuật tấn công và phát triển các biện pháp phòng ngừa hiệu quả hơn. Ngoài ra, GAN còn có thể được sử dụng để phát hiện các bất thường trong lưu lượng mạng, từ đó phát hiện ra các cuộc tấn công đang diễn ra. An toàn thông tin ngày càng phụ thuộc vào các kỹ thuật trí tuệ nhân tạo, và GAN là một trong những công cụ quan trọng trong cuộc chiến chống lại tội phạm mạng.

2.2. Cơ Chế Hoạt Động Của Mạng Đối Kháng Tạo Sinh GAN

Kiến trúc cơ bản của mạng đối kháng tạo sinh GAN bao gồm hai mạng nơ-ron: bộ sinh (Generator) và bộ phân biệt (Discriminator). Bộ sinh nhận đầu vào là một vector nhiễu ngẫu nhiên và cố gắng tạo ra dữ liệu giả mạo giống với dữ liệu thật. Bộ phân biệt nhận đầu vào là cả dữ liệu thật và dữ liệu giả mạo, và cố gắng phân biệt giữa chúng. Trong quá trình huấn luyện, bộ sinh và bộ phân biệt cạnh tranh với nhau, khiến bộ sinh ngày càng tạo ra dữ liệu giả mạo giống thật hơn, và bộ phân biệt ngày càng trở nên tinh vi hơn trong việc phân biệt. Quá trình này lặp đi lặp lại cho đến khi đạt được trạng thái cân bằng, khi bộ sinh có thể tạo ra dữ liệu giả mạo mà bộ phân biệt không thể phân biệt được.

III. Phương Pháp Phát Hiện Phishing URL Bằng GAN Quy Trình

Việc áp dụng mạng đối kháng tạo sinh GAN vào phát hiện phishing URL đòi hỏi một quy trình chặt chẽ. Đầu tiên, cần thu thập một tập dữ liệu lớn các URL thật và URL lừa đảo. Sau đó, sử dụng xử lý ngôn ngữ tự nhiên cho URL (NLP) để trích xuất các đặc trưng URL quan trọng, chẳng hạn như độ dài URL, số lượng ký tự đặc biệt, sự hiện diện của các từ khóa nhạy cảm, v.v. Các đặc trưng này sau đó được sử dụng để huấn luyện GAN. Bộ sinh trong GAN sẽ tạo ra các URL lừa đảo giả mạo dựa trên các đặc trưng đã trích xuất, trong khi bộ phân biệt sẽ cố gắng phân biệt giữa URL thật và URL giả mạo. Quá trình huấn luyện này giúp GAN tạo ra các mẫu URL lừa đảo ngày càng giống thật hơn, có thể đánh lừa các mô hình phát hiện lừa đảo hiện có.

3.1. Tiền Xử Lý và Trích Xuất Đặc Trưng URL Quan Trọng

Quá trình tiền xử lý dữ liệu URL là bước quan trọng để đảm bảo chất lượng đầu vào cho mô hình GAN. Các bước tiền xử lý bao gồm loại bỏ các ký tự không cần thiết, chuyển đổi URL về dạng chuẩn, và mã hóa các thành phần của URL. Sau khi tiền xử lý, các đặc trưng URL quan trọng cần được trích xuất. Các đặc trưng này có thể là các thuộc tính bề mặt (ví dụ: độ dài URL, số lượng ký tự đặc biệt), các thuộc tính từ vựng (ví dụ: sự hiện diện của các từ khóa nhạy cảm), hoặc các thuộc tính ngữ nghĩa (ví dụ: mối quan hệ giữa các thành phần của URL). Biểu diễn đặc trưng URL tốt là chìa khóa để GAN tạo ra các URL lừa đảo giả mạo hiệu quả.

3.2. Huấn Luyện GAN và Tạo Mẫu URL Lừa Đảo Giả Mạo

Sau khi có được các đặc trưng URL, GAN có thể được huấn luyện. Quá trình huấn luyện GAN bao gồm việc cập nhật các tham số của bộ sinh và bộ phân biệt dựa trên kết quả của trò chơi đối kháng giữa chúng. Mục tiêu của bộ sinh là tạo ra các URL lừa đảo giả mạo mà bộ phân biệt không thể phân biệt được với URL thật. Mục tiêu của bộ phân biệt là phân biệt chính xác giữa URL thật và URL giả mạo. Quá trình này lặp đi lặp lại cho đến khi đạt được trạng thái cân bằng, khi bộ sinh có thể tạo ra các mẫu URL lừa đảo có tính độc hại cao, có thể đánh lừa các mô hình phát hiện phishing.

3.3 Đánh Giá Hiệu Suất Mô Hình GAN Trong Phát Hiện Lừa Đảo

Đánh giá hiệu suất mô hình đóng vai trò quan trọng trong việc xác định khả năng của GAN trong việc phát hiện tấn công lừa đảo. Các chỉ số như độ chính xác, độ thu hồi, và điểm F1 được sử dụng để đo lường hiệu quả của mô hình trong việc phân loại URL độc hại. So sánh hiệu suất của mô hình GAN với các phương pháp phát hiện truyền thống giúp đánh giá ưu điểm và hạn chế của phương pháp mới này. Quá trình đánh giá cũng giúp xác định các lĩnh vực cần cải thiện để tăng cường khả năng phát hiện của mô hình.

IV. Ứng Dụng Thực Tế Tái Huấn Luyện Mô Hình Phân Loại URL

Các mẫu URL lừa đảo được tạo ra bởi GAN có thể được sử dụng để tái huấn luyện các mô hình phân loại URL độc hại hiện có. Bằng cách bổ sung các mẫu giả mạo này vào tập dữ liệu huấn luyện, các mô hình có thể học cách nhận biết các kỹ thuật ngụy trang mới và cải thiện khả năng tổng quát hóa của mình. Quá trình tái huấn luyện này giúp các mô hình mô hình phát hiện lừa đảo trở nên mạnh mẽ hơn trước các cuộc tấn công zero-day và các biến thể URL lừa đảo mới. Điều này đặc biệt quan trọng trong bối cảnh tội phạm mạng liên tục thay đổi chiến thuật.

4.1. Tăng Cường Tập Dữ Liệu Huấn Luyện Bằng URL Do GAN Tạo Ra

Một trong những lợi ích chính của việc sử dụng GAN trong phát hiện phishing URL là khả năng tăng cường tập dữ liệu huấn luyện. Việc có một tập dữ liệu huấn luyện lớn và đa dạng là rất quan trọng để huấn luyện các mô hình học sâu hiệu quả. Tuy nhiên, việc thu thập dữ liệu URL lừa đảo có thể tốn thời gian và công sức. GAN có thể tạo ra các mẫu URL lừa đảo giả mạo để bổ sung vào tập dữ liệu huấn luyện, giúp tăng kích thước và độ đa dạng của tập dữ liệu mà không cần phải thu thập thêm dữ liệu thực tế. Điều này đặc biệt hữu ích trong các trường hợp mà dữ liệu URL lừa đảo khan hiếm.

4.2. Cải Thiện Độ Chính Xác và Khả Năng Tổng Quát Hóa Mô Hình

Việc tái huấn luyện các mô hình phân loại URL bằng các mẫu do GAN tạo ra có thể cải thiện đáng kể độ chính xác và khả năng tổng quát hóa của chúng. Các mẫu giả mạo giúp các mô hình học cách nhận biết các kỹ thuật ngụy trang mới và cải thiện khả năng phân loại các URL chưa từng thấy trước đây. Điều này đặc biệt quan trọng trong việc chống lại các cuộc tấn công zero-day, khi các URL độc hại mới xuất hiện mà chưa có thông tin về chúng. Bằng cách liên tục tái huấn luyện các mô hình với các mẫu do GAN tạo ra, có thể duy trì khả năng bảo vệ trước các mối đe dọa mới nhất.

V. Nghiên Cứu và Kết Quả Thực Nghiệm Về Phát Hiện Phishing URL

Nhiều nghiên cứu đã chứng minh hiệu quả của việc sử dụng mạng đối kháng tạo sinh GAN trong phát hiện phishing URL. Các nghiên cứu này đã sử dụng các tập dữ liệu khác nhau và các kiến trúc GAN khác nhau, nhưng đều cho thấy rằng GAN có thể tạo ra các mẫu URL lừa đảo giả mạo có tính độc hại cao, có thể đánh lừa các mô hình phát hiện lừa đảo hiện có. Hơn nữa, các nghiên cứu này cũng cho thấy rằng việc tái huấn luyện các mô hình với các mẫu do GAN tạo ra có thể cải thiện đáng kể độ chính xác và khả năng tổng quát hóa của chúng. Kết quả nghiên cứu cho thấy tiềm năng to lớn của GAN trong việc bảo vệ người dùng khỏi các cuộc tấn công lừa đảo.

5.1. Phân Tích Các Nghiên Cứu Về Ứng Dụng GAN Trong Bảo Mật URL

Các nghiên cứu trong lĩnh vực bảo mật URL đã khám phá nhiều cách tiếp cận khác nhau để sử dụng GAN. Một số nghiên cứu tập trung vào việc tạo ra các URL lừa đảo có cấu trúc phức tạp và khó phát hiện, trong khi các nghiên cứu khác tập trung vào việc cải thiện khả năng của mô hình phân loại để nhận diện các mẫu lừa đảo tiềm ẩn. Các kết quả thường cho thấy sự cải thiện đáng kể về hiệu suất so với các phương pháp truyền thống, đặc biệt là trong việc đối phó với các cuộc tấn công zero-day. Phân tích các phương pháp và kết quả này giúp định hình hướng phát triển trong tương lai.

5.2. So Sánh Hiệu Suất GAN Với Các Phương Pháp Phát Hiện Khác

So sánh hiệu suất của GAN với các phương pháp phát hiện khác như danh sách đen, quy tắc thủ công, và các thuật toán học máy truyền thống là rất quan trọng để đánh giá giá trị của GAN. Các kết quả thường cho thấy rằng GAN vượt trội hơn các phương pháp truyền thống về độ chính xác, khả năng tổng quát hóa, và khả năng đối phó với các cuộc tấn công mới. Tuy nhiên, GAN cũng có những hạn chế nhất định, chẳng hạn như yêu cầu về tài nguyên tính toán lớn và độ phức tạp trong quá trình huấn luyện. Việc hiểu rõ những ưu điểm và hạn chế này giúp xác định các tình huống mà GAN là lựa chọn tốt nhất.

VI. Kết Luận và Hướng Phát Triển Tương Lai Cho Bảo Mật URL

Việc sử dụng mạng đối kháng tạo sinh GAN trong phát hiện phishing URL là một hướng đi đầy hứa hẹn. GAN có thể tạo ra các mẫu URL lừa đảo giả mạo có tính độc hại cao, có thể đánh lừa các mô hình phát hiện lừa đảo hiện có. Hơn nữa, việc tái huấn luyện các mô hình với các mẫu do GAN tạo ra có thể cải thiện đáng kể độ chính xác và khả năng tổng quát hóa của chúng. Tuy nhiên, vẫn còn nhiều thách thức cần vượt qua, chẳng hạn như yêu cầu về tài nguyên tính toán lớn và độ phức tạp trong quá trình huấn luyện. Các hướng phát triển trong tương lai bao gồm việc nghiên cứu các kiến trúc GAN hiệu quả hơn, phát triển các phương pháp trích xuất đặc trưng URL tốt hơn, và khám phá các cách sử dụng GAN kết hợp với các kỹ thuật bảo mật khác.

6.1. Tóm Tắt Ưu Điểm và Hạn Chế Của Phương Pháp Tiếp Cận GAN

Ưu điểm của GAN trong bảo mật URL bao gồm khả năng tạo ra các mẫu tấn công đa dạng và khó dự đoán, khả năng cải thiện độ chính xác và khả năng tổng quát hóa của các mô hình phát hiện, và khả năng đối phó với các cuộc tấn công zero-day. Hạn chế bao gồm yêu cầu về tài nguyên tính toán lớn, độ phức tạp trong quá trình huấn luyện, và nguy cơ bị tấn công đối kháng. Việc cân nhắc kỹ lưỡng những ưu điểm và hạn chế này là rất quan trọng trước khi triển khai GAN trong thực tế.

6.2. Các Hướng Nghiên Cứu và Cải Tiến Mô Hình GAN Trong Tương Lai

Các hướng nghiên cứu và cải tiến mô hình GAN trong tương lai bao gồm việc phát triển các kiến trúc GAN hiệu quả hơn về mặt tính toán, phát triển các phương pháp trích xuất đặc trưng URL tốt hơn, khám phá các cách sử dụng GAN kết hợp với các kỹ thuật bảo mật khác (ví dụ: học chuyển giao, học tăng cường), và nghiên cứu các phương pháp phòng chống tấn công đối kháng. Việc tiếp tục nghiên cứu và phát triển GAN sẽ giúp tăng cường khả năng bảo mật URL và bảo vệ người dùng khỏi các cuộc tấn công lừa đảo ngày càng tinh vi.

Tổng quan nghiên cứu

Trong bối cảnh an ninh mạng ngày càng trở nên phức tạp, tội phạm mạng, đặc biệt là các cuộc tấn công lừa đảo (phishing), đã trở thành mối đe dọa nghiêm trọng đối với cá nhân, tổ chức và doanh nghiệp. Theo ước tính, các cuộc tấn công lừa đảo qua mạng đã gia tăng đáng kể trong những năm gần đây, đặc biệt trong giai đoạn đại dịch COVID-19. Các hình thức tấn công này thường sử dụng các trang web giả mạo nhằm đánh cắp thông tin nhạy cảm như tên đăng nhập, mật khẩu, tài khoản ngân hàng. Mục tiêu của nghiên cứu là phát triển một mô hình phát hiện các cuộc tấn công lừa đảo dựa trên URL và sự tương đồng trực quan của giao diện trang web, sử dụng mạng sinh đối kháng (Generative Adversarial Networks - GAN) để nâng cao hiệu quả phát hiện. Phạm vi nghiên cứu tập trung vào kỹ thuật phát hiện dựa trên phân tích đường dẫn URL và phân tích sự tương đồng trực quan của giao diện trang web, với dữ liệu thu thập từ các bộ dữ liệu Phishtank, Alexa và VisualPhish trong giai đoạn gần đây. Nghiên cứu có ý nghĩa quan trọng trong việc cải thiện khả năng phát hiện các cuộc tấn công lừa đảo mới, chưa được biết đến trước đó, đồng thời giải quyết vấn đề mất cân bằng lớp trong tập dữ liệu huấn luyện, góp phần nâng cao độ chính xác và tính chủ động trong phòng chống tấn công mạng.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu dựa trên hai lý thuyết chính: mạng sinh đối kháng (GAN) và học máy (Machine Learning). GAN là mô hình học sâu gồm hai thành phần chính: bộ sinh (Generator) tạo ra dữ liệu giả mạo và bộ phân biệt (Discriminator) phân biệt dữ liệu thật và giả. Quá trình huấn luyện là một trò chơi đối kháng, trong đó bộ sinh cố gắng đánh lừa bộ phân biệt, giúp tạo ra các mẫu dữ liệu mới có tính đa dạng và hợp lý. Học máy được sử dụng để xây dựng các trình phát hiện trang web lừa đảo dựa trên các đặc trưng trích xuất từ URL và giao diện trang web. Các thuật toán học máy được áp dụng gồm: Máy véc tơ hỗ trợ (SVM), Cây quyết định (DT), Rừng ngẫu nhiên (RF), Hồi quy logistic (LR), và Mạng nơ-ron truyền thẳng nhiều lớp (MLP). Ba khái niệm chính trong nghiên cứu là: đặc trưng URL, sự tương đồng trực quan của giao diện trang web, và tấn công hộp đen (black-box attack) nhằm đánh lừa các trình phát hiện dựa trên học máy.

Phương pháp nghiên cứu

Nguồn dữ liệu chính bao gồm: tập dữ liệu URL từ Phishtank và Alexa với hơn 21.000 mẫu URL, trong đó khoảng 47% là URL lừa đảo; tập dữ liệu ảnh chụp giao diện trang web VisualPhish dùng cho phân tích sự tương đồng trực quan. Phương pháp phân tích gồm: trích xuất và chuẩn hóa 150 đặc trưng từ URL, sử dụng mạng VGG16 đã huấn luyện trước để trích xuất đặc trưng ảnh giao diện, sau đó áp dụng mô hình PWDGAN (bao gồm hai biến thể uPWDGAN cho URL và vPWDGAN cho ảnh giao diện) để phát sinh dữ liệu đối kháng. Quá trình huấn luyện mô hình gồm hai pha: pha 1 huấn luyện mô hình phát sinh dữ liệu đối kháng nhằm tấn công các trình phát hiện hộp đen; pha 2 tái huấn luyện các trình phát hiện dựa trên dữ liệu phát sinh để nâng cao hiệu suất. Cỡ mẫu huấn luyện được chia theo tỷ lệ 80% huấn luyện và 20% kiểm thử. Phương pháp chọn mẫu dựa trên dữ liệu thực tế thu thập từ các nguồn uy tín, đảm bảo tính đại diện và đa dạng. Phân tích kết quả sử dụng các chỉ số TPR (True Positive Rate) và F1 Score để đánh giá hiệu quả phát hiện.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Hiệu quả phát sinh dữ liệu đối kháng qua mô hình PWDGAN: Mô hình uPWDGAN phát sinh các mẫu URL lừa đảo mới có khả năng đánh lừa thành công các trình phát hiện dựa trên học máy với tỷ lệ TPR giảm đáng kể, ví dụ giảm từ khoảng 95% xuống còn khoảng 70% trong một số thuật toán như SVM và RF, chứng tỏ khả năng tạo ra các biến thể URL tinh vi.

2. Tăng cường hiệu suất phát hiện sau tái huấn luyện: Khi sử dụng các mẫu dữ liệu phát sinh để tái huấn luyện các trình phát hiện, tỷ lệ phát hiện (TPR) được cải thiện trung bình từ 5% đến 10%, với F1 Score tăng từ khoảng 0.85 lên 0.92, cho thấy mô hình PWDGAN giúp giải quyết vấn đề mất cân bằng lớp và nâng cao khả năng nhận diện các cuộc tấn công mới.

3. Ứng dụng mô hình vPWDGAN cho phát hiện dựa trên sự tương đồng trực quan: Mô hình kết hợp VGG16 và PWDGAN (vPWDGAN) phát sinh các mẫu ảnh giao diện trang web lừa đảo có độ tương đồng cao với trang web thật, làm giảm hiệu quả phát hiện của các thuật toán học máy từ khoảng 90% xuống còn khoảng 75%, đồng thời tái huấn luyện giúp tăng lại hiệu suất phát hiện lên trên 88%.

4. Khả năng đa dạng hóa mẫu phát sinh: Mô hình PWDGAN tránh được hiện tượng sụp đổ chế độ (mode collapse) nhờ kỹ thuật chuẩn hóa batch và thêm biến nhiễu ngẫu nhiên, tạo ra các mẫu dữ liệu đa dạng, đại diện cho các biến thể tấn công tiềm năng trong tương lai.

Thảo luận kết quả

Nguyên nhân chính của hiệu quả mô hình PWDGAN là khả năng học được phân phối đặc trưng của dữ liệu lừa đảo gốc và tạo ra các biến thể tinh vi, khó bị phát hiện bởi các trình phát hiện học máy hiện tại. So sánh với các nghiên cứu trước đây chỉ tập trung vào phát hiện dựa trên URL hoặc nội dung trang web, nghiên cứu này mở rộng phạm vi bằng cách kết hợp cả phân tích URL và sự tương đồng trực quan, đồng thời ứng dụng mạng sinh đối kháng để chủ động phát sinh dữ liệu tấn công. Kết quả thực nghiệm được minh họa qua các biểu đồ ROC-AUC và bảng so sánh TPR, F1 Score trước và sau tái huấn luyện, cho thấy sự cải thiện rõ rệt. Ý nghĩa của nghiên cứu là mở ra hướng tiếp cận chủ động trong phòng chống tấn công lừa đảo, giúp các hệ thống phát hiện không chỉ phản ứng mà còn dự đoán và chuẩn bị cho các biến thể tấn công mới, nâng cao tính bền vững của giải pháp an ninh mạng.

Đề xuất và khuyến nghị

1. Triển khai mô hình PWDGAN trong hệ thống phát hiện lừa đảo: Các tổ chức an ninh mạng nên tích hợp mô hình phát sinh dữ liệu đối kháng vào quy trình huấn luyện định kỳ của các trình phát hiện để nâng cao khả năng nhận diện các biến thể tấn công mới, với mục tiêu tăng TPR lên trên 90% trong vòng 6 tháng.

2. Phát triển hệ thống thu thập và chuẩn hóa dữ liệu liên tục: Thiết lập cơ chế thu thập dữ liệu URL và ảnh giao diện trang web mới từ các nguồn uy tín như Phishtank, Alexa, VisualPhish để cập nhật tập dữ liệu huấn luyện, đảm bảo mô hình luôn được huấn luyện trên dữ liệu đa dạng và cập nhật.

3. Đào tạo và nâng cao nhận thức người dùng cuối: Kết hợp giải pháp phát hiện tự động với chương trình đào tạo người dùng về nhận biết dấu hiệu lừa đảo qua URL và giao diện trang web, giảm thiểu rủi ro do yếu tố con người trong vòng 12 tháng tới.

4. Nghiên cứu mở rộng mô hình cho các kỹ thuật phát hiện khác: Khuyến nghị các nhà nghiên cứu tiếp tục phát triển mô hình PWDGAN cho các kỹ thuật phát hiện dựa trên nội dung trang web, hành vi người dùng, hoặc các phương pháp học sâu khác nhằm tăng cường khả năng phòng thủ toàn diện.

Đối tượng nên tham khảo luận văn

1. Chuyên gia an ninh mạng và nhà phát triển phần mềm bảo mật: Có thể ứng dụng mô hình PWDGAN để nâng cao hiệu quả các giải pháp phát hiện lừa đảo, giảm thiểu rủi ro cho khách hàng và tổ chức.

2. Nhà nghiên cứu trong lĩnh vực trí tuệ nhân tạo và học máy: Tham khảo cách ứng dụng mạng sinh đối kháng trong bài toán an toàn thông tin, mở rộng nghiên cứu về phát sinh dữ liệu đối kháng và tấn công hộp đen.

3. Các tổ chức tài chính và ngân hàng: Áp dụng các kết quả nghiên cứu để tăng cường bảo vệ hệ thống giao dịch trực tuyến, giảm thiểu thiệt hại do các cuộc tấn công lừa đảo qua mạng.

4. Cơ quan quản lý và hoạch định chính sách an ninh mạng: Sử dụng luận văn làm cơ sở khoa học để xây dựng các quy định, hướng dẫn về phòng chống tấn công lừa đảo, đồng thời thúc đẩy phát triển công nghệ an ninh mạng trong nước.

Câu hỏi thường gặp

1. Mạng sinh đối kháng (GAN) là gì và tại sao lại được sử dụng trong phát hiện lừa đảo?
   GAN là mô hình học sâu gồm hai mạng đối kháng nhau để tạo ra dữ liệu giả mạo có tính thực tế cao. Trong phát hiện lừa đảo, GAN giúp tạo ra các mẫu tấn công mới, đa dạng, giúp cải thiện khả năng phát hiện các biến thể chưa từng xuất hiện.

2. Phân tích dựa trên URL và sự tương đồng trực quan khác nhau như thế nào?
   Phân tích URL tập trung vào các đặc trưng kỹ thuật của đường dẫn web, trong khi phân tích sự tương đồng trực quan dựa trên hình ảnh giao diện trang web để phát hiện các trang giả mạo có bố cục và hình ảnh giống trang thật.

3. Làm thế nào mô hình PWDGAN giải quyết vấn đề mất cân bằng lớp trong dữ liệu?
   PWDGAN phát sinh thêm các mẫu dữ liệu đối kháng thuộc lớp thiểu số (URL lừa đảo hoặc ảnh giao diện lừa đảo), từ đó cân bằng lại tập huấn luyện, giúp các thuật toán học máy không bị thiên lệch và nâng cao hiệu quả phân loại.

4. Tại sao cần tái huấn luyện các trình phát hiện sau khi sử dụng dữ liệu phát sinh?
   Dữ liệu phát sinh chứa các biến thể tấn công mới, giúp các trình phát hiện học máy cập nhật kiến thức, nhận diện tốt hơn các mẫu lừa đảo phức tạp, từ đó tăng độ chính xác và giảm tỷ lệ bỏ sót.

5. Mô hình này có thể áp dụng cho các loại tấn công mạng khác không?
   Mô hình PWDGAN có tính linh hoạt cao, có thể được điều chỉnh để phát sinh dữ liệu đối kháng cho các bài toán an toàn thông tin khác như phát hiện mã độc, tấn công mạng, miễn là có thể trích xuất đặc trưng phù hợp làm đầu vào.

Kết luận

• Nghiên cứu đã thành công trong việc phát triển mô hình PWDGAN dựa trên mạng sinh đối kháng, giúp phát sinh dữ liệu đối kháng đa dạng và tinh vi cho bài toán phát hiện trang web lừa đảo.
• Mô hình được áp dụng hiệu quả cho hai kỹ thuật phát hiện chính: dựa trên phân tích URL và dựa trên sự tương đồng trực quan của giao diện trang web.
• Kết quả thực nghiệm cho thấy mô hình giúp giảm tỷ lệ phát hiện giả và tăng khả năng nhận diện các biến thể tấn công mới, đồng thời giải quyết vấn đề mất cân bằng lớp trong tập dữ liệu huấn luyện.
• Đề xuất tái huấn luyện các trình phát hiện học máy với dữ liệu phát sinh để nâng cao hiệu suất phát hiện, mở ra hướng tiếp cận chủ động trong phòng chống tấn công lừa đảo.
• Các bước tiếp theo bao gồm mở rộng mô hình cho các kỹ thuật phát hiện khác, phát triển hệ thống thu thập dữ liệu tự động và triển khai thực tế trong các tổ chức an ninh mạng.

Hành động khuyến nghị: Các tổ chức và nhà nghiên cứu nên áp dụng và phát triển mô hình PWDGAN để nâng cao khả năng phòng chống tấn công lừa đảo, đồng thời phối hợp đào tạo người dùng nhằm giảm thiểu rủi ro an ninh mạng.