Khóa Luận Tốt Nghiệp: Phát Hiện Gói Mã Độc Mã Nguồn Mở Bằng Phân Tích Động Và Học Máy

• Tác giả: Nguyễn Thanh Công
• Người hướng dẫn: TS. Vũ Đức Lý
• Trường học: Đại học Quốc gia Thành phố Hồ Chí Minh
• Chuyên ngành: Cử nhân ngành An toàn thông tin
• Đề tài: Phát Hiện Gói Mã Độc Mã Nguồn Mở Bằng Phân Tích Động Và Học Máy
• Loại tài liệu: khóa luận tốt nghiệp
• Địa điểm: Thành phố Hồ Chí Minh

Mục lục chi tiết

• LỜI CẢM ƠN
• TÓM TẮT
• 1. CHƯƠNG 1: GIỚI THIỆU
• 1.1. Mục tiêu, đối tượng và phạm vi nghiên cứu
• 1.2. Bố cục của khóa luận
• 2. CHƯƠNG 2: TẤN CÔNG CHUỖI CUNG ỨNG PHẦN MỀM
• 3. CHƯƠNG 3: KỸ THUẬT SANDBOXING VÀ CÔNG CỤ PACKAGE-ANALYSIS
• 3.1. Kỹ thuật Sandboxing
• 3.2. Công cụ phân tích động package-analysis
• 4. CHƯƠNG 4: PHÂN TÍCH VÀ KHAI PHÁ DỮ LIỆU
• 4.1. Tổng quan về các kho mã nguồn mở
• 4.2. Phân tích các kết nối mạng tạo bởi các gói phần mềm
• 4.2.1. Phân tích các địa chỉ IP được các gói phần mềm kết nối tới
• 4.2.2. Phân tích các tên miền (domains) được các gói kết nối tới
• 4.3. Phân tích các câu lệnh thực thi bởi các gói
• 4.4. Phân tích các files truy cập bởi các gói phần mềm
• 4.5. Phân tích hành vi của các gói phần mềm mã nguồn mở độc hại và lành tính
• 4.5.1. Phân tích các câu lệnh
• 4.5.2. Phân loại hành vi của các câu lệnh độc hại trong các gói độc hại
• 4.5.3. Phân tích thống kê hành vi các gói độc hại
• 4.5.4. Phân tích các kết nối mạng mà các gói kết nối tới
• 4.5.5. Phân tích các tên miền mà các gói độc hại kết nối tới
• 5. CHƯƠNG 5: CÁC GIẢI THUẬT HỌC MÁY
• 5.1. Giải thuật hồi quy tuyến tính (Linear Regression)
• 5.2. Giải thuật Logistic Regression
• 5.3. Giải thuật cây quyết định (Decision Tree)
• 5.4. Giải thuật Random Forest
• 5.5. Giải thuật Mạng nơ ron
• 5.6. Giải thuật K-Means
• 6. CHƯƠNG 6: ỨNG DỤNG HỌC MÁY TRONG PHÁT HIỆN CÁC GÓI PHẦN MỀM ĐỘC HẠI
• 6.1. Môi trường thực nghiệm
• 6.2. Thu thập dữ liệu
• 6.2.1. Thu thập các gói độc hại
• 6.2.2. Thu thập các gói lành tính
• 6.3. Tiền xử lý dữ liệu
• 6.4. Trích xuất đặc tính (features) của các gói phần mềm
• 6.5. Encoding các đặc tính
• 6.6. Huấn luyện các mô hình học máy (Training)
• 6.7. Đánh giá kết quả
• 6.8. Chương trình ứng dụng
• 6.8.1. Các thành phần của ứng dụng
• 6.8.2. Xây dựng chương trình kiểm tra mã nguồn mở
• 6.8.3. Một số hình ảnh demo
• 6.8.4. Ưu điểm và hạn chế của chương trình ứng dụng
• 7. CHƯƠNG 7: HẠN CHẾ CỦA KHÓA LUẬN VÀ CÁC BƯỚC CẢI TIẾN TIẾP THEO
• 8. CHƯƠNG 8: KẾT LUẬN
• TÀI LIỆU THAM KHẢO
• PHỤ LỤC A: CÁC TÊN MIỀN ĐÁNH GIÁ ĐỘC HẠI ĐƯỢC CÁC GÓI PHẦN MỀM KẾT NỐI

Tóm tắt

I. Giới thiệu về phát hiện gói mã độc mã nguồn mở

Trong bối cảnh phát triển phần mềm hiện đại, việc sử dụng các gói mã nguồn mở ngày càng trở nên phổ biến. Tuy nhiên, sự gia tăng của các gói mã độc trong các kho mã nguồn mở như PyPI, npm và RubyGems đã đặt ra nhiều thách thức cho các nhà phát triển. Việc phát hiện và phân tích các gói mã độc là rất cần thiết để bảo vệ an ninh mạng.

1.1. Tại sao cần phát hiện mã độc trong gói mã nguồn mở

Sự gia tăng nhanh chóng của các gói mã độc đã gây ra nhiều rủi ro cho người dùng. Các gói này có thể chứa mã độc, dẫn đến việc đánh cắp thông tin hoặc tấn công hệ thống. Do đó, việc phát hiện kịp thời là rất quan trọng.

1.2. Tổng quan về phân tích động và tĩnh

Phân tích tĩnh và động là hai phương pháp chính để phát hiện mã độc. Phân tích tĩnh không thực thi mã, trong khi phân tích động chạy mã trong môi trường cô lập, giúp phát hiện hành vi thực sự của mã độc.

II. Thách thức trong phát hiện gói mã độc mã nguồn mở

Mặc dù có nhiều công cụ phát hiện mã độc, nhưng vẫn tồn tại nhiều thách thức trong việc phân tích các gói mã nguồn mở. Các kết quả dương tính giả thường xảy ra, gây khó khăn cho các nhà phát triển trong việc xác định mã độc.

2.1. Vấn đề dương tính giả trong phân tích tĩnh

Phân tích tĩnh thường dẫn đến nhiều kết quả dương tính giả, khi các gói lành tính bị nhầm lẫn là độc hại. Điều này làm giảm độ tin cậy của các công cụ phát hiện.

2.2. Hạn chế của các công cụ phân tích động hiện tại

Mặc dù phân tích động cung cấp kết quả chính xác hơn, nhưng các công cụ hiện tại vẫn gặp khó khăn trong việc xử lý dữ liệu thô và yêu cầu nhiều nguồn lực để phân tích.

III. Phương pháp phát hiện gói mã độc bằng học máy

Học máy đã trở thành một công cụ mạnh mẽ trong việc phát hiện gói mã độc. Bằng cách sử dụng các đặc tính động từ các gói mã nguồn mở, các mô hình học máy có thể tự động phân loại gói độc hại và lành tính.

3.1. Cách thức hoạt động của mô hình học máy

Mô hình học máy sử dụng các đặc tính được trích xuất từ kết quả phân tích động để phân loại gói mã độc. Các đặc tính này bao gồm hành vi kết nối mạng và các câu lệnh thực thi.

3.2. Các thuật toán học máy phổ biến

Một số thuật toán học máy như hồi quy logistic, cây quyết định và mạng nơ ron đã được áp dụng để phát hiện gói mã độc. Mỗi thuật toán có ưu điểm và nhược điểm riêng trong việc phân loại.

IV. Ứng dụng thực tiễn của phát hiện gói mã độc

Kết quả nghiên cứu cho thấy việc phát hiện gói mã độc bằng phân tích động và học máy có thể cải thiện đáng kể độ chính xác trong việc phân loại gói độc hại. Các ứng dụng thực tiễn từ nghiên cứu này có thể giúp bảo vệ an ninh mạng hiệu quả hơn.

4.1. Kết quả nghiên cứu và ứng dụng

Nghiên cứu đã chỉ ra rằng các gói mã độc thường thực hiện nhiều câu lệnh hơn và kết nối tới nhiều địa chỉ IP độc hại hơn so với các gói lành tính. Điều này giúp cải thiện khả năng phát hiện.

4.2. Tương lai của phát hiện mã độc

Với sự phát triển của công nghệ học máy, việc phát hiện gói mã độc sẽ ngày càng chính xác hơn. Các nghiên cứu tiếp theo cần tập trung vào cải thiện các công cụ phân tích động và giảm thiểu dương tính giả.

V. Kết luận về phát hiện gói mã độc mã nguồn mở

Phát hiện gói mã độc mã nguồn mở là một thách thức lớn trong lĩnh vực an ninh mạng. Tuy nhiên, với sự phát triển của các phương pháp phân tích động và học máy, khả năng phát hiện mã độc đang ngày càng được cải thiện.

5.1. Tóm tắt các phát hiện chính

Nghiên cứu đã chỉ ra rằng việc áp dụng học máy vào phân tích động có thể giúp phát hiện gói mã độc hiệu quả hơn. Các đặc tính động là yếu tố quan trọng trong việc phân loại.

5.2. Đề xuất cho nghiên cứu tương lai

Cần có nhiều nghiên cứu hơn về các hành vi độc hại của gói mã nguồn mở và cải thiện các công cụ phân tích động để nâng cao độ chính xác trong phát hiện mã độc.