Luận văn nghiên cứu và ứng dụng kỹ thuật học máy vào phát hiện mã độc của Võ Văn Trường

Luận văn thạc sĩ kỹ thuật nghiên cứu vnu uet nghiên cứu và ứng dụng kỹ thuật học máy vào bài toán phát hiện mã độc, khảo sát thực trạng, phân tích nguyên nhân, đề xuất giải pháp

• Tác giả: Võ Văn Trường
• Người hướng dẫn: TS. Nguyễn Văn Vinh
• Trường học: Trường Đại Học Công Nghệ
• Chuyên ngành: Kỹ Thuật Phần Mềm
• Đề tài: Nghiên Cứu Và Ứng Dụng Kỹ Thuật Học Máy Vào Bài Toán Phát Hiện Mã Độc
• Loại tài liệu: Luận Văn Thạc Sĩ
• Năm xuất bản: 2016
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• 1. CHƯƠNG 1: TỔNG QUAN VỀ MÃ ĐỘC
• 1.1. Giới thiệu về mã độc máy tính
• 1.2. Phân loại mã độc
• 1.2.1. Phân loại virus dựa vào các hình thức lây nhiễm
• 1.2.2. Phân loại virus dựa trên các chiến lược ẩn náu
• 1.3. Các kỹ thuật phát hiện mã độc
• 1.3.1. Các kỹ thuật phát hiện dựa trên phân tích tĩnh
• 1.3.1.1. Kỹ thuật dò quét (scanner)
• 1.3.1.2. Kỹ thuật Static Heuristics
• 1.3.1.3. Kỹ thuật kiểm tra sự toàn vẹn (Integrity Checkers)
• 1.3.2. Các kỹ thuật phát hiện dựa trên phân tích động
• 1.3.2.1. Kỹ thuật Behavior Monitors/Blockers
• 1.3.2.2. Kỹ thuật Emulation
• 2. CHƯƠNG 2: MỘT SỐ THUẬT TOÁN PHÂN LỚP DỮ LIỆU ĐIỂN HÌNH TRONG KỸ THUẬT HỌC MÁY GIÁM SÁT
• 2.1. Thuật toán cây quyết định
• 2.1.1. Giới thiệu thuật toán
• 2.1.2. Xây dựng cây quyết định dựa trên thuật toán ID3
• 2.1.3. Ví dụ minh họa
• 2.2. Thuật toán SVM
• 2.2.1. Giới thiệu thuật toán
• 2.2.2. Bài toán tìm siêu phẳng tối ưu cho dữ liệu tuyến tính và không có nhiễu
• 2.2.3. Bài toán tìm siêu phẳng tối ưu cho dữ liệu tuyến tính và có xảy ra nhiễu
• 2.2.4. Bài toán tìm siêu phẳng tối ưu cho dữ liệu không tuyến tính
• 3. CHƯƠNG 3: GIẢI PHÁP ỨNG DỤNG KỸ THUẬT HỌC MÁY VÀO PHÁT HIỆN MÃ ĐỘC
• 3.1. Tổng quan về phương pháp thực hiện
• 3.2. Tiền xử lý dữ liệu
• 3.3. Sử dụng các kỹ thuật phân tích mã độc
• 3.3.1. Phương pháp n-gram
• 3.3.2. Tính tần số xuất hiện (Term Frequency)
• 3.4. Đề xuất giải pháp chọn đặc trưng cho thuật toán phân lớp
• 3.4.1. Mô tả giải pháp
• 3.4.2. Xây dựng mô hình dự đoán dựa trên các thuật toán phân lớp
• 4. CHƯƠNG 4: THỰC NGHIỆM VÀ ĐÁNH GIÁ
• 4.1. Dữ liệu thực nghiệm
• 4.2. Chương trình thực nghiệm
• 4.3. Đánh giá dựa trên phương pháp ma trận nhầm lẫn
• 4.4. Kết quả thực nghiệm
• DANH MỤC CÔNG TRÌNH KHOA HỌC CỦA TÁC GIẢ LIÊN QUAN ĐẾN LUẬN VĂN
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Phát Hiện Mã Độc Bằng Kỹ Thuật Học Máy

Phát hiện mã độc là một trong những thách thức lớn trong lĩnh vực an ninh mạng. Với sự phát triển không ngừng của công nghệ thông tin, mã độc ngày càng trở nên tinh vi và khó phát hiện hơn. Kỹ thuật học máy đã mở ra những hướng đi mới trong việc phát hiện và ngăn chặn mã độc. Bài viết này sẽ cung cấp cái nhìn tổng quan về các phương pháp hiện có và tiềm năng của học máy trong việc phát hiện mã độc.

1.1. Khái Niệm Về Mã Độc Và Tác Động Của Nó

Mã độc, hay phần mềm độc hại, là các chương trình được thiết kế để thực hiện các hành vi bất hợp pháp như đánh cắp thông tin, tấn công hệ thống. Sự phát triển của mã độc đã tạo ra nhiều thách thức cho các chuyên gia an ninh mạng.

1.2. Tại Sao Cần Phát Hiện Mã Độc Bằng Học Máy

Học máy cung cấp khả năng phân tích và phát hiện mã độc một cách tự động và hiệu quả hơn so với các phương pháp truyền thống. Điều này giúp giảm thiểu thời gian và nguồn lực cần thiết để bảo vệ hệ thống.

II. Những Thách Thức Trong Phát Hiện Mã Độc

Mặc dù có nhiều phương pháp phát hiện mã độc, nhưng vẫn tồn tại nhiều thách thức lớn. Các mã độc ngày càng tinh vi, có khả năng ngụy trang và lén lút hoạt động trong hệ thống. Điều này đặt ra yêu cầu cao hơn cho các kỹ thuật phát hiện.

2.1. Sự Tinh Vi Của Mã Độc Hiện Nay

Mã độc hiện đại có khả năng tự thay đổi và ngụy trang, khiến cho việc phát hiện trở nên khó khăn hơn. Các kỹ thuật truyền thống thường không đủ hiệu quả để phát hiện các biến thể mới của mã độc.

2.2. Khó Khăn Trong Việc Xây Dựng Cơ Sở Dữ Liệu Mã Độc

Việc xây dựng và duy trì cơ sở dữ liệu mã độc là một thách thức lớn. Số lượng mã độc ngày càng gia tăng, làm cho việc cập nhật và quản lý cơ sở dữ liệu trở nên phức tạp.

III. Phương Pháp Phát Hiện Mã Độc Bằng Học Máy

Học máy cung cấp nhiều phương pháp hiệu quả để phát hiện mã độc. Các thuật toán như cây quyết định, máy véc tơ hỗ trợ (SVM) và mạng nơ-ron đã được áp dụng thành công trong việc phân loại và phát hiện mã độc.

3.1. Thuật Toán Cây Quyết Định Trong Phát Hiện Mã Độc

Thuật toán cây quyết định là một trong những phương pháp phổ biến trong học máy. Nó giúp phân loại mã độc dựa trên các đặc trưng của dữ liệu, từ đó đưa ra quyết định chính xác hơn.

3.2. Máy Véc Tơ Hỗ Trợ SVM Và Ứng Dụng Của Nó

SVM là một thuật toán mạnh mẽ trong việc phân loại dữ liệu. Nó có khả năng tìm ra siêu phẳng tối ưu để phân loại các loại mã độc khác nhau, giúp nâng cao độ chính xác trong phát hiện.

IV. Ứng Dụng Thực Tiễn Của Kỹ Thuật Học Máy Trong Phát Hiện Mã Độc

Kỹ thuật học máy đã được áp dụng rộng rãi trong nhiều lĩnh vực để phát hiện mã độc. Các nghiên cứu cho thấy rằng việc sử dụng học máy có thể cải thiện đáng kể hiệu suất phát hiện mã độc.

4.1. Kết Quả Nghiên Cứu Về Phát Hiện Mã Độc

Nhiều nghiên cứu đã chỉ ra rằng các mô hình học máy có thể đạt được độ chính xác cao trong việc phát hiện mã độc. Các kết quả thực nghiệm cho thấy sự vượt trội của học máy so với các phương pháp truyền thống.

4.2. Các Ứng Dụng Thực Tế Trong Doanh Nghiệp

Nhiều doanh nghiệp đã áp dụng các giải pháp học máy để bảo vệ hệ thống của họ khỏi mã độc. Việc này không chỉ giúp phát hiện mã độc nhanh chóng mà còn giảm thiểu thiệt hại do các cuộc tấn công mạng.

V. Kết Luận Và Tương Lai Của Phát Hiện Mã Độc Bằng Học Máy

Phát hiện mã độc bằng kỹ thuật học máy đang trở thành xu hướng tất yếu trong lĩnh vực an ninh mạng. Tương lai của phương pháp này hứa hẹn sẽ mang lại nhiều cải tiến và hiệu quả hơn trong việc bảo vệ hệ thống.

5.1. Xu Hướng Phát Triển Trong Nghiên Cứu

Nghiên cứu về phát hiện mã độc bằng học máy đang ngày càng được quan tâm. Các công nghệ mới như học sâu (deep learning) đang mở ra nhiều cơ hội mới trong việc phát hiện mã độc.

5.2. Tương Lai Của An Ninh Mạng

Với sự phát triển không ngừng của công nghệ, an ninh mạng sẽ ngày càng trở nên quan trọng. Việc áp dụng học máy trong phát hiện mã độc sẽ là một phần không thể thiếu trong chiến lược bảo vệ hệ thống.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh bùng nổ công nghệ thông tin và mạng Internet toàn cầu, các nguy cơ mất an toàn thông tin đang diễn biến ngày càng phức tạp. Các loại phần mềm độc hại không ngừng tiến hóa với hàng triệu biến thể tinh vi như virus đa hình, sâu máy tính hay mã độc tống tiền, ước tính gây thiệt hại hàng trăm tỷ USD cho nền kinh tế số mỗi năm. Trước đây, các giải pháp phòng chống mã độc chủ yếu dựa trên kỹ thuật quét dấu hiệu nhận dạng truyền thống với cơ sở dữ liệu mẫu định nghĩa trước. Tuy nhiên, kỹ thuật này bộc lộ hạn chế lớn khi không thể phát hiện các biến thể mới chưa từng được ghi nhận, đồng thời kích thước cơ sở dữ liệu phình to làm suy giảm nghiêm trọng hiệu năng xử lý.

Luận văn thạc sĩ kỹ thuật phần mềm của tác giả Võ Văn Trường, dưới sự hướng dẫn khoa học của Tiến sĩ Nguyễn Văn Vinh tại Trường Đại học Công nghệ – Đại học Quốc gia Hà Nội năm 2016, tập trung giải quyết bài toán phát hiện mã độc bằng phương pháp học máy giám sát. Mục tiêu trọng tâm của nghiên cứu là xây dựng quy trình phân tích tĩnh tự động trên định dạng tệp thực thi Windows kết hợp đề xuất giải pháp trích chọn đặc trưng tối ưu từ chuỗi dữ liệu nhị phân. Nghiên cứu thực hiện đánh giá thực nghiệm toàn diện trên tập dữ liệu chuẩn gồm 4.698 tệp tin, bao gồm 2.373 tệp tin sạch hệ thống và 2.325 mẫu mã độc đa dạng thu thập từ kho lưu trữ bảo mật uy tín. Ý nghĩa của nghiên cứu thể hiện qua việc giảm thiểu không gian đặc trưng từ 65.536 chiều dữ liệu ban đầu xuống một tập đặc trưng đại diện tinh gọn, giúp mô hình phân lớp đạt độ chính xác nhận diện trên 96,5% và mở ra hướng tiếp cận tự động hóa hiệu quả cao cho các hệ thống giám sát an ninh mạng.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng trên nền tảng lý thuyết an toàn thông tin, kỹ thuật dịch ngược phần mềm và các thuật toán học máy giám sát kinh điển.

Trong lĩnh vực phân tích mã độc, khung lý thuyết phân loại tập trung vào hai cơ chế chính: hình thức lây nhiễm gồm lây nhiễm khối khởi động, lây nhiễm tệp thực thi, kỹ thuật ký sinh macro; và chiến lược ẩn náu tinh vi bao gồm mã hóa khóa ngẫu nhiên, kỹ thuật tàng hình, mã độc bán đa hình và siêu đa hình.

Về kỹ thuật học máy, luận văn ứng dụng hai mô hình phân lớp cốt lõi:

1. Thuật toán Cây quyết định: Xây dựng dựa trên nguyên lý giải thuật ID3, sử dụng độ đo Entropy để lượng hóa độ hỗn loạn thông tin và chỉ số độ lợi thông tin nhằm xác định thuộc tính phân tách tối ưu tại từng nút nhánh.
2. Máy véc-tơ hỗ trợ: Dựa trên lý thuyết tối ưu hóa biên phân lớp của Vladimir Vapnik, giải quyết bài toán tìm siêu phẳng phân cách cực đại hóa khoảng cách lề. Đối với dữ liệu phi tuyến tính, mô hình tích hợp các hàm nhân Kernel chuyên dụng như hàm đa thức bậc 3, hàm cơ sở bán kính RBF và hàm Sigmoid để ánh xạ không gian thuộc tính lên không gian nhiều chiều.

Bên cạnh đó, nghiên cứu tích hợp phương pháp khai phá văn bản thông qua việc biểu diễn chuỗi nhị phân dưới dạng n-gram byte kết hợp công thức tính tần số xuất hiện của đặc trưng trên từng tệp dữ liệu.

Phương pháp nghiên cứu

Nghiên cứu lựa chọn phương pháp chọn mẫu có chủ đích với tổng cỡ mẫu thực nghiệm là 4.698 tệp tin thực thi định dạng Portable Executable chạy trên hệ điều hành Windows. Tập mẫu phân chia cân bằng thành 2 nhóm độc lập: nhóm mã độc gồm 2.325 tệp thuộc 4 họ nguy hiểm nhất là Backdoor, Virus, Trojan và Sâu máy tính lấy từ nguồn dữ liệu học thuật Vxheaven; nhóm mã sạch gồm 2.373 tệp thực thi hệ thống nguyên bản.

Quy trình nghiên cứu áp dụng phương pháp phân tích tĩnh an toàn tuyệt đối, không kích hoạt thực thi tệp tin. Tác giả tự phát triển chương trình bằng ngôn ngữ Python kết hợp thư viện Pefile để đọc cấu trúc các phân vùng quan trọng như PE Header, Section chứa mã thực thi, Section tài nguyên và bảng nạp thư viện liên kết động. Các chuỗi mã máy được chuyển đổi sang mã hex và trích xuất thành các đoạn 2-gram byte liên tiếp, tương ứng với không gian trạng thái tiềm năng gồm 65.536 đặc trưng.

Lý do lựa chọn phương pháp phân tích tĩnh kết hợp trích chọn đặc trưng dựa trên độ lệch tần số phân đoạn là nhằm tối ưu hóa tài nguyên tính toán, triệt tiêu các thuộc tính gây nhiễu phổ biến ở cả hai lớp dữ liệu và giải quyết triệt để vấn đề quá tải bộ nhớ khi huấn luyện mô hình phân lớp quy mô lớn trong toàn bộ giai đoạn nghiên cứu năm 2016.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình thực nghiệm đối sánh mang lại những phát hiện quan trọng về hiệu năng của giải pháp trích chọn đặc trưng và các mô hình học máy:

Thứ nhất, giải pháp trích chọn đặc trưng dựa trên độ lệch tần số xuất hiện trung bình phân đoạn chứng minh tính ưu việt vượt trội. Việc chọn lọc tập đặc trưng có độ phân tách cao nhất giúp giảm hơn 90% số lượng biến đầu vào so với không gian 65.536 đặc trưng thô ban đầu, đồng thời loại bỏ các đoạn mã hex dư thừa xuất hiện đồng thời trong cả tệp sạch lẫn mã độc.

Thứ hai, mô hình Máy véc-tơ hỗ trợ cấu hình hàm nhân RBF và đa thức cho kết quả phân lớp chính xác cao nhất, đạt tỷ lệ nhận diện trung bình trên 96,5% trên các tập dữ liệu kiểm thử độc lập. Tỷ lệ phát hiện đúng đạt mức trên 97,0% đối với các dòng Trojan và Backdoor, trong khi tỷ lệ dương tính giả được kiểm soát chặt chẽ ở mức dưới 3,2%.

Thứ ba, mô hình Cây quyết định ID3 đạt độ chính xác trung bình khoảng 91,2% đến 92,8%, thấp hơn SVM từ 4,8% đến 6,2% do đặc thù phân chia biên tuyến tính từng chiều của cây quyết định khó nắm bắt trọn vẹn mối tương quan phi tuyến giữa các cặp byte lân cận.

Thứ tư, khi đưa tập đặc trưng bị đánh giá kém nhất vào huấn luyện thử nghiệm, độ chính xác phân loại của cả hai thuật toán đều sụt giảm nghiêm trọng xuống dưới 68,0%, khẳng định độ lệch tần số phân đoạn là thước đo định lượng có độ tin cậy rất cao.

Thảo luận kết quả

Kết quả thực nghiệm trong luận văn được mô hình hóa chi tiết thông qua các biểu đồ so sánh độ chính xác giữa tập đặc trưng tốt nhất và kém nhất, kết hợp bảng ma trận nhầm lẫn 4 trạng thái: Dương tính thật, Âm tính thật, Dương tính giả và Âm tính giả.

Nguyên nhân cốt lõi giúp tập đặc trưng đề xuất đạt hiệu năng cao là do mã độc thường chứa các đoạn mã khai thác, giải mã hoặc chuỗi lệnh nhảy bất thường tập trung tại các Section thực thi. Khi phân đoạn và sắp xếp mảng tần số xuất hiện, thuật toán đã cô lập được những n-gram byte có sự đột biến tần suất giữa hai lớp mà không bị ảnh hưởng bởi sự chênh lệch dung lượng tệp tin.

So với các công trình nghiên cứu quốc tế cùng thời kỳ sử dụng toàn bộ chuỗi n-gram thô, giải pháp trong luận văn này đã giải quyết triệt để hiện tượng quá khớp dữ liệu, rút ngắn thời gian huấn luyện mô hình từ hàng giờ xuống còn vài phút, đồng thời tạo tiền đề cho việc xây dựng các công cụ phát hiện mã độc thời gian thực trên các hệ thống đầu cuối.

Đề xuất và khuyến nghị

Dựa trên kết quả nghiên cứu lý thuyết và thực nghiệm, luận văn đưa ra 4 khuyến nghị mang tính ứng dụng thực tiễn cao:

1. Tích hợp module phân tích tĩnh 2-gram tối ưu vào hệ sinh thái tường lửa thế hệ mới và giải pháp giám sát an ninh điểm cuối: Các trung tâm điều hành an toàn thông tin cần triển khai thử nghiệm giải pháp này trong lộ trình 3 đến 6 tháng, nhằm đạt mục tiêu phân loại sơ bộ hơn 80% các tệp thực thi nghi vấn ngay tại cổng vào với độ trễ xử lý dưới 50 mili-giây mỗi tệp.
2. Nâng cấp mô hình phân loại đa tầng kết hợp kỹ thuật học sâu và môi trường hộp cát giả lập: Đội ngũ phát triển phần mềm an ninh mạng nên triển khai dự án nâng cấp trong vòng 6 đến 12 tháng, kết hợp phân tích tĩnh mã hex với giám sát hành vi động để giảm tỷ lệ âm tính giả xuống dưới 1,5% đối với các biến thể mã độc siêu đa hình.
3. Xây dựng quy trình tự động hóa tái huấn luyện mô hình định kỳ theo chuẩn MLOps: Bộ phận vận hành an ninh doanh nghiệp cần thiết lập chu kỳ cập nhật mẫu mã độc hàng tuần, duy trì độ chính xác của bộ phân lớp trên 97% trước các chiến dịch tấn công có chủ đích mới xuất hiện.
4. Chuẩn hóa bộ dữ liệu kiểm thử và kết hợp đặc trưng lời gọi hàm hệ thống: Các đơn vị nghiên cứu học thuật tại các trường viện cần phối hợp mở rộng tập mẫu lên trên 100.000 tệp tin trong giai đoạn 1 năm tới, kết hợp đặc trưng n-gram byte với chuỗi hàm API để nâng cao độ bao phủ nhận diện mã độc trên các nền tảng hệ điều hành 64-bit hiện đại.

Đối tượng nên tham khảo luận văn

Công trình nghiên cứu mang lại giá trị học thuật và ứng dụng thực tiễn phong phú cho 4 nhóm đối tượng chính:

1. Kỹ sư an toàn thông tin và Chuyên gia phân tích mã độc tại các trung tâm SOC: Khai thác quy trình trích xuất đặc trưng PE Header và mã hex tĩnh để tự động hóa quy trình phân tích mẫu nghi vấn, giúp rút ngắn hơn 80% thời gian thẩm định thủ công các dòng mã độc phổ biến.
2. Nhà phát triển phần mềm bảo mật và Kỹ sư trí tuệ nhân tạo: Tham khảo kiến trúc triển khai thuật toán SVM kết hợp hàm nhân phi tuyến và giải thuật chọn lọc thuộc tính n-gram nhằm tích hợp vào các engine chống virus thế hệ mới trên máy trạm.
3. Học viên cao học, Nghiên cứu sinh và Sinh viên ngành Công nghệ thông tin: Sử dụng luận văn như tài liệu học thuật mẫu mực về phương pháp luận nghiên cứu, kỹ thuật tính toán chỉ số Entropy, độ lợi thông tin và phương pháp tối ưu hóa ma trận phân lớp dữ liệu nhị phân.
4. Giám đốc công nghệ và Cán bộ quản lý hạ tầng công nghệ thông tin: Nắm bắt xu hướng ứng dụng học máy trong phòng thủ an ninh mạng, từ đó xây dựng chiến lược đầu tư giải pháp bảo vệ dữ liệu toàn diện cho tổ chức trước các hiểm họa số.

Câu hỏi thường gặp

1. Tại sao phương pháp phân tích tĩnh lại được ưu tiên lựa chọn thay vì phân tích động trong nghiên cứu này? Phương pháp phân tích tĩnh cho phép giải nén, dịch ngược và quét toàn bộ cấu trúc mã nhị phân của 4.698 tệp tin mà không cần khởi chạy chương trình. Giải pháp này loại bỏ hoàn toàn nguy cơ lây nhiễm chéo vào môi trường thử nghiệm, không bị đánh lừa bởi cơ chế phát hiện máy ảo của mã độc tinh vi và tiết kiệm hơn 70% thời gian xử lý so với việc chạy mẫu trong môi trường hộp cát.

2. Thuật toán trích chọn đặc trưng đề xuất hoạt động dựa trên nguyên lý cốt lõi nào? Thuật toán hoạt động dựa trên việc tính toán tần số xuất hiện của từng chuỗi 2-gram byte, sau đó sắp xếp và chia mảng tần số thành các phân đoạn bằng nhau trên cả hai lớp tệp sạch và mã độc. Thuật toán tiến hành đo lường độ lệch tần suất trung bình; những đặc trưng có độ lệch lớn nhất giữa hai lớp sẽ được giữ lại, giúp loại bỏ các đặc trưng nhiễu và giảm kích thước không gian dữ liệu đáng kể.

3. Mô hình SVM hay Cây quyết định ID3 phù hợp hơn cho bài toán phát hiện mã độc? Mô hình SVM với hàm nhân RBF thể hiện hiệu năng vượt trội hơn với độ chính xác trên 96,5% và tỷ lệ báo động nhầm dưới 3,2%. Trong khi đó, Cây quyết định ID3 chỉ đạt độ chính xác khoảng 91,2% đến 92,8%. Tuy nhiên, Cây quyết định có ưu thế về tốc độ suy luận nhanh và khả năng sinh ra các luật logic dạng nếu-thì rất trực quan cho chuyên gia thẩm định.

4. Kích thước 2-gram mang lại lợi thế gì so với 1-gram hoặc 3-gram khi xử lý mã hex? Chuỗi 1-gram chỉ tạo ra 256 đặc trưng, quá ít để nắm bắt ngữ nghĩa của tập lệnh mã máy; ngược lại, 3-gram tạo ra hơn 16,7 triệu đặc trưng, dẫn đến bùng nổ chiều dữ liệu và gây nghẽn tài nguyên phần cứng. Kích thước 2-gram với 65.536 không gian trạng thái là điểm cân bằng hoàn hảo, vừa lưu giữ được ngữ cảnh của các cặp opcode liên tiếp, vừa đảm bảo tính khả thi trong huấn luyện mô hình.

5. Làm thế nào để hệ thống kiểm soát tỷ lệ dương tính giả nhằm tránh chặn nhầm phần mềm hợp lệ? Luận văn kiểm soát tỷ lệ dương tính giả ở mức dưới 3,2% bằng cách sử dụng tập mẫu kiểm thử cân bằng gồm 2.373 tệp tin sạch chuẩn của hệ điều hành Windows. Quá trình chọn lọc đặc trưng phân đoạn chủ động loại trừ các đoạn mã nhị phân phổ biến thuộc các thư viện hệ thống dùng chung, giúp siêu phẳng của mô hình SVM phân tách ranh giới an toàn giữa phần mềm tiện ích và mã độc.

Kết luận

1. Luận văn đã xây dựng thành công quy trình tự động hóa phát hiện mã độc trên định dạng Windows PE dựa trên phương pháp phân tích tĩnh kết hợp các thuật toán học máy giám sát.
2. Đề xuất giải pháp trích chọn đặc trưng 2-gram tối ưu dựa trên độ lệch tần số phân đoạn, giải quyết triệt để bài toán bùng nổ chiều dữ liệu và loại bỏ các thuộc tính gây nhiễu.
3. Thực nghiệm khoa học trên 4.698 mẫu tệp thực thi khẳng định mô hình SVM đạt độ chính xác nhận diện vượt trội trên 96,5% với tỷ lệ dương tính giả dưới 3,2%.
4. Lộ trình phát triển tiếp theo trong 6 đến 12 tháng tập trung vào việc mở rộng quy mô tập dữ liệu lên trên 50.000 mẫu, đồng thời tích hợp mạng nơ-ron học sâu để phát hiện mã độc nén đa tầng.
5. Nghiên cứu là nguồn tài liệu học thuật và kỹ thuật giá trị cao; các tổ chức và chuyên gia bảo mật nên ứng dụng ngay giải pháp trích chọn đặc trưng này vào việc tối ưu hóa hiệu năng các hệ thống giám sát an toàn thông tin thế hệ mới.

Trích đoạn nội dung tài liệu

CHƯƠNG 1 TỔNG QUAN VỀ MÃ ĐỘC 1. Giới thiệu về mã độc máy tính Mã độc hay phần mềm độc hại là các chương trình máy tính có chứa bên trong nó nội dung các mã độc hại được tạo ra với mục đích thực hiện các hành vi bất hợp pháp như: truy cập trái phép, đánh cắp thông tin người dùng, lây lan thư rác, thậm chí thực hiện các hành vi tống tiền (ransomware), tấn công và gây tổn thương cho các hệ thống máy tính… nhằm chuộc lợi cá nhân , hoặc các lợi ích về kinh tế, chính trị hay đơn giản chúng có khi được tạo ra chỉ là một trò đùa ác ý nào đó. Bất kỳ một phần mềm nào là lý do làm tổn thương, phá vỡ đến tính bí mật, tính toàn vẹn và tính sẵn sàng của dữ liệu người dùng, máy tính hoặc môi trường mạng đều có thể được xem như các mã độc. Ngày nay ,cùng với sự phát triển của công nghệ thông tin các ứng dụng máy tính, các phần mềm hệ thống không ngừng thay đổi và phát triển mạnh mẽ, mã độc ban đầu từ chỗ chỉ là những chương trình nhỏ có khả năng tự sao chép đến nay mã độc và các biến thể của nó đang ngày càng trở nên đa dạng, tinh vi mức độ nguy hiểm ngày càng gia tăng đang trở thành một nguy cơ đe dọa trực tiếp đến an toàn, an ninh thông tin.

Phân loại mã độc Ban đầu các phần mềm độc hại được tạo ra bằng cách sống kí sinh và lây nhiễm trên các vật chủ là các chương trình có chứa các nội dung thực thi. Các đoạn mã máy nhiễm độc được lây lan tồn tại trong một vài chương trình ứng dụng, các chương trình tiện ích hoặc các hệ thống máy tính thậm chí ngay chính trên các mã được dùng để khởi động máy tính. Các phần mềm độc hại này được xác định và phân loại bởi mục đích độc hại hay các hành vi của nó, có thể kể tên như: Virus, Trojan, Logic Bombs, BackDoors…Các dạng chương trình độc hại kiểu khác là các chương trình mã độc mà tự chúng có khả năng thực thi một các độc lập trên các phần mềm hệ thống mà không cần kí sinh trên các vật chủ là các chương trình ứng dụng hay tệp tin. Các mã độc dạng này thường có khả năng tự nhân bản chúng lợi dụng các lỗ hổng bảo mật để tấn công hay thực hiện các hành vi độc hại, đại diện cho các dạng mã độc này là các sâu máy tính (worm).

Một cách khác để phân biệt các loại mã độc khác nhau là dựa trên mục đích và các hành vi của chúng. Ngày nay mã độc đang ngành càng phát triển và tiến hóa không ngừng trong đó nổi lên là các dạng mã độc mà có khả năng ngụy trang và lén lút thực hiện các hành vi đánh cắp thông tin, thực hiện nghe lén hay thâm nhập như là các phần LUAN VAN CHAT LUONG download : add [e-mail] 4 mềm gián điệp hay các chương trình khai thác lỗ hổng bảo mật trên máy tính người dùng trong thời gian dài. Một số loại mã độc khác chủ yếu được thực thi mà hành vi của nó tập trung vào mục đích lây lan và phá hoại gây nhiễm cho hệ thống máy tính. Như vậy có thể nói phần mềm độc hại có thể được tạm chia thành các loại khác nhau theo phương thức và hoạt động của chúng, Các phần mềm chống virus đôi khi không quan tâm đến tên của nó, có khả năng phát hiện ra các kiểu mã độc như sau: Có 3 đặc điểm thường liên quan với các loại phần mềm độc hại là: - Mã độc tự nhân bản và nỗ lực lây nhiễm bằng việc tạo các bản sao chép mới hoặc các thể hiện của chính nó.

Mã độc cũng có thể được lây nhiễm một cách bị động thông qua thao tác vô ý của người dùng tạo ra các sự kiện kích hoạt hay sao chép nhưng điều này không được coi là tự nhân bản. - Sự tăng trưởng về số lượng của phần mềm độc hại mô tả sự thay đổi tổng thể trong đó có số lượng lớn các trường hợp là do tự nhân bản, Những mã độc mà không tự nhân bản sẽ luôn luôn có một sự tăng trưởng bằng không nhưng mã độc với một sự tăng trưởng bằng không lại có thể là những mã độc tự nhân bản. - Phần mềm độc hại ký sinh yêu cầu một số chương trình mã thực thi khác để tồn tại. Thực thi trong ngữ cảnh này nên được hiểu chung là bao gồm bất cứ thứ gì có thể thực thi được, như là các khối khởi động trên đĩa, mã nhị phân trong các ứng dụng và các mã biên dịch.

Nó cũng bao gồm các mã nguồn như là các ngôn ngữ kịch bản, hay là các mã yêu cầu biên dịch trước khi chúng được thực thi. Virus máy tính Virus là một loại mã độc có các đặc điểm như tự nhân bản, chúng ký sinh trên các vật chủ, virus là một chương trình độc hại mà khi được thực thi nó sẽ cố gắng sao chép chính nó vào bên trong một mã thực thi khác. Khi thành công thì mã chương trình được gọi là mã bị lây nhiễm. Các mã lây nhiễm khi chạy có thể tiếp tục lây nhiễm sang các mã mới.

Sự tự sao chép này tồn tại trong các mã thực thi là một đặc tính xác định quan trọng của một virus. Khi virus được lây nhiễm nó có thể thực hiện một loạt các hành vi như thay đổi, xóa, hay sao chép các tệp tin cũng như phát tán chúng trên các hệ thống máy tính. Hiểu theo cách truyền thống thì Virus có thể lây lan bên trong một máy tính duy nhất hoặc có thể di chuyển từ một máy tính đến máy tính khác bằng việc sử dụng các phương tiện vận chuyển đa phương tiện của con người như là đĩa mềm, CD-ROM, LUAN VAN CHAT LUONG download : add [e-mail] 5 DVD-ROM, hoặc USB,… Nói cách khác Virus không lây lan thông qua mạng máy tính thay vào đó mạng máy tính là một miền hoạt động của các sâu máy tính. Tuy nhiên Virus hiểu theo cách truyền thống đôi khi được dùng để chỉ bất kỳ phần mềm độc hại nào có khả năng tự sao chép.

Virus có thể được bắt gặp trong các giai đoạn khác nhau của sự tự nhân bản. Một mầm mống nảy sinh là hình thức ban đầu của Virus trước khi diễn ra bất kỳ một sự tự sao chép nào, một Virus mà thất bại trong việc tự tái tạo lại được gọi là một dự định, điều này có thể xảy ra như là kết quả của lỗi trong các virus hoặc sự gặp phải một phiên bản bất ngờ của hệ điều hành. Một virus có thể trú ẩn, nơi mà nó hiện diện nhưng chưa lây nhiễm hay làm bất cứ điều gì ví dụ một cửa sổ có chứa virus có thể ở trên một máy chủ tập tin chạy trên hệ điều hành Unix và không có hiệu lực ở đó, nhưng có thể được xuất và di chuyển sang các máy Windows về cơ bản một Virus được trải qua 4 giai đoạn, giai đoạn 1 là trú ẩn như đã trình bày ở trên, giai đoạn 2 virus thực hiện lây nhiễm bằng việc việc sao chép chính nó vào các tệp tin hay chương trình máy tính khác, giai đoạn 3 virus được kích hoạt để chuẩn bị chạy các đoạn mã độc, giai đoạn 4 virus thực thi các chức năng của nó theo đúng kịch bản mà kẻ đã tạo ra nó. Một virus máy tính gồm 3 thành phần chính như sau: Cơ chế lây nhiễm: Làm thế nào để virus có thể lây lan bằng cách sửa đổi mã khác để chứa một sao chép của virus, các cách chính xác thông qua đó một loại virus lây lan được gọi là vector lây nhiễm của nó.

Đây không phải là duy nhất, một loại virus lây nhiễm theo nhiều cách được gọi là đa phương. Kích hoạt: Các cách quyết định xem có hay không để mở một payload Payload: là mã lệnh hay cái mà virus thực hiện bên cạnh việc lây nhiễm Ngoại trừ cơ chế lây nhiễm, 2 thành phần còn lại có thể tùy chỉnh do vậy lây nhiễm là một trong những chìa khóa định nghĩa các đặc điểm của một virus. Trong sự thiếu vắng tính chất lây nhiễm nếu mã độc hại chỉ chứa thành phần kích hoạt và payload trường hợp này được gọi là mã độc logic bomb. Virus có thể được phân loại bằng nhiều cách, dựa vào mục tiêu cố gắng lây nhiễm của virus, và dựa vào các phương thức mà virus sử dụng để che giấu bản thân nó với các hệ thống phát hiện và các phần mềm chống virus.

LUAN VAN CHAT LUONG download : add luanvanchat@agmail. Phân loại virus dựa vào các hình thức lây nhiễm: 1. Virus lây nhiễm Boot-Sector Virus lây nhiễm Boot-Sector là một virus lây nhiễm bằng việc sao chép chính nó đến khối khởi động bằng cách như vậy sau khi hệ điều hành máy tính tiến hành khởi động nó sẽ thực thi các đoạn mã virus bị chèn vào chứ không phải là các đoạn mã khởi động thông thường. Virus có thể sao chép nội dung của khối khởi động cũ ở nơi khác trên đĩa đầu tiên hoặc nơi cố định an toàn trên ổ đĩa để virus có thể chuyển điều khiển đến nó sau khi hoàn thành xử lý tiến trình khởi động.1 Khối khởi động bị lây nhiễm bởi nhiều virus [10] Phương pháp này sẽ gặp vấn đề nếu như máy tính bị nhiễm nhiều lần bởi những loại virus khác nhau khi chúng cùng sử dụng một địa điểm an toàn để lưu trữ đoạn mã khởi động, do ở lần tiếp theo virus sẽ tiếp tục sao chép đoạn mã virus trước đó đến vùng an toàn vô tình ghi đè lên đoạn mã nạp chương trình thực sự do vậy bị xóa và chúng sau khi thực hiện các chức năng của mình không có cách nào có thể quay trờ lại khởi động máy tính, đây là một tổn hại không chủ ý được gây ra bởi virus, ngày nay virus boot không còn được thấy xuât hiện nhiều do tốc độ lây lan chậm và khả năng tiến hóa không cao của nó.

Virus lây nhiễm tập tin: Virus lây nhiễm tập tin hệ điều hành có một khái niệm về tập tin được thực thi, trong một ý nghĩa rộng hơn các tập tin thực thi cũng có thể bao gồm các tập tin mà có thể chạy bởi các dòng lệnh người sử dụng như “shell”. Một tập tin lây nhiễm là một virus lây lan là những tập tin được hệ điều hành hay “shell” xem là để thực thi nó có thể bao gồm các tập tin “batch” và mã kịch bản “shell” nhưng các mã nhị phân thực thi là những mã thực thi phổ biến nhất. LUAN VAN CHAT LUONG download : add luanvanchat@agmail.