Khóa Luận Tốt Nghiệp: Phát Hiện Mã Độc Bằng Xử Lý Ngôn Ngữ Tự Nhiên Trong Hệ Thống Giám Sát Mạng

Khóa luận trình bày giải pháp tích hợp phát hiện mã độc bằng ngôn ngữ tự nhiên vào hệ thống giám sát mạng, nâng cao an toàn thông tin.

• Tác giả: Nguyen Tran Anh Kha
• Người hướng dẫn: TS. Nguyen Tan Cam
• Trường học: Đại học Quốc gia TP. Hồ Chí Minh
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Phát Hiện Mã Độc Bằng Xử Lý Ngôn Ngữ Tự Nhiên Trong Hệ Thống Giám Sát Mạng
• Loại tài liệu: luận văn tốt nghiệp
• Năm xuất bản: 2024
• Địa điểm: TP. Hồ Chí Minh

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. CHƯƠNG 1: TỔNG QUAN VỀ KHÓA LUẬN
• 1.1. Khởi đầu của đề tài
• 1.2. Mục tiêu của đề tài
• 1.3. Đối tượng, phạm vi nghiên cứu của đề tài
• 2. CHƯƠNG 2: TỔNG QUAN VỀ ĐỀ TÀI
• 2.1. Hướng nghiên cứu học máy, xử lý ngôn ngữ tự nhiên
• 2.2. Nghiên cứu sử dụng mô hình HMM & K-mean cluster
• 2.3. Nghiên cứu sử dụng mô hình Word Embedding — LSTM
• 2.4. Nghiên cứu kết hợp mô hình HMM với các mô hình máy học
• 2.5. Định hướng sử dụng xử lý ngôn ngữ tự nhiên
• 2.6. Định hướng mô hình hệ thống giám sát
• 3. CHƯƠNG 3: CƠ SỞ LÝ THUYẾT VÀ CÔNG NGHỆ ỨNG DỤNG
• 3.1. Lý thuyết xử lý ngôn ngữ tự nhiên
• 3.2. Mô hình xử lý ngôn ngữ tự nhiên Hidden Markov Model
• 3.3. Các mô hình xử lý ngôn ngữ tự nhiên khác
• 3.4. Lý thuyết máy học trong phân loại mã độc
• 3.5. Mô hình Random Forest
• 3.6. Các mô hình máy học khác
• 3.7. Công nghệ ELK
• 3.8. An toàn thông tin trong hệ thống ELK
• 4. CHƯƠNG 4: NGHIÊN CỨU VÀ TRIỂN KHAI THỰC NGHIỆM
• 4.1. Dữ liệu thực nghiệm
• 4.2. Thiết lập thực nghiệm mô hình phân tích mã độc
• 4.3. Mô hình đề xuất
• 4.4. Tài nguyên phần cứng, phần mềm
• 4.5. Thực nghiệm huấn luyện dữ liệu với mô hình HMM
• 4.6. Xử lý đệm giữa hai mô hình: thiết lập đầu vào của mô hình RE
• 4.7. Thực nghiệm phân loại mã độc bằng mô hình RF
• 4.8. Thiết lập thực nghiệm hệ thống SIEM
• 4.9. Thực nghiệm khối phân tích mã độc hoàn chỉnh
• 4.10. Thực nghiệm xây dựng hệ thống SIEM
• 5. KẾT QUẢ ĐÁNH GIÁ VÀ BÀN LUẬN VỀ KẾT QUẢ
• 5.1. Kết quả - đánh giá mô hình phân loại mã độc
• 5.2. Đánh giá kết quả
• 5.3. So sánh kết quả với các nghiên cứu liên quan
• 5.4. Kết quả - đánh giá mô hình SIEM
• 6. KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN CỦA ĐỀ TÀI
• 6.1. Hướng phát triển của đề tài
• DANH MỤC HÌNH
• DANH MỤC BẢNG
• DANH MỤC TỪ VIẾT TẮT

Tóm tắt

I. Tổng quan về phát hiện mã độc bằng xử lý ngôn ngữ tự nhiên

Phát hiện mã độc là một trong những thách thức lớn trong lĩnh vực an ninh mạng. Với sự gia tăng của các loại mã độc ngày càng tinh vi, việc áp dụng các công nghệ mới như xử lý ngôn ngữ tự nhiên (NLP) trở nên cần thiết. Hệ thống giám sát mạng hiện nay cần phải tích hợp các phương pháp tiên tiến để phát hiện và phân loại mã độc một cách hiệu quả.

1.1. Khái niệm về mã độc và tầm quan trọng của phát hiện

Mã độc, hay phần mềm độc hại, là các chương trình được thiết kế để xâm nhập và gây hại cho hệ thống máy tính. Việc phát hiện kịp thời mã độc giúp bảo vệ dữ liệu và hệ thống, giảm thiểu thiệt hại cho tổ chức.

1.2. Vai trò của xử lý ngôn ngữ tự nhiên trong phát hiện mã độc

Xử lý ngôn ngữ tự nhiên giúp phân tích và hiểu các mẫu mã độc thông qua việc trích xuất thông tin ngữ nghĩa từ mã nguồn. Điều này giúp nâng cao độ chính xác trong việc phát hiện và phân loại mã độc.

II. Thách thức trong phát hiện mã độc hiện nay

Mặc dù có nhiều phương pháp phát hiện mã độc, nhưng vẫn tồn tại nhiều thách thức lớn. Các phương pháp truyền thống thường gặp khó khăn trong việc phát hiện các mã độc mới hoặc đã được mã hóa. Điều này đòi hỏi các giải pháp mới và hiệu quả hơn.

2.1. Hạn chế của phương pháp phát hiện dựa trên chữ ký

Phương pháp phát hiện dựa trên chữ ký chỉ có thể nhận diện các mã độc đã biết. Điều này dẫn đến việc nhiều mã độc mới không được phát hiện, gây ra rủi ro lớn cho hệ thống.

2.2. Tình trạng gia tăng mã độc và sự phát triển của chúng

Sự gia tăng nhanh chóng của các loại mã độc mới, như ransomware và trojan, đã tạo ra áp lực lớn cho các hệ thống bảo mật. Các mã độc này thường sử dụng các kỹ thuật làm rối mã để tránh bị phát hiện.

III. Phương pháp phát hiện mã độc bằng xử lý ngôn ngữ tự nhiên

Phương pháp phát hiện mã độc bằng xử lý ngôn ngữ tự nhiên đang trở thành xu hướng mới trong lĩnh vực an ninh mạng. Các mô hình học máy kết hợp với NLP có thể giúp phát hiện mã độc một cách hiệu quả hơn.

3.1. Mô hình học máy và ứng dụng trong phát hiện mã độc

Các mô hình học máy như Random Forest và Neural Networks có thể được áp dụng để phân loại mã độc. Việc kết hợp với NLP giúp cải thiện độ chính xác và khả năng phát hiện mã độc mới.

3.2. Tích hợp NLP vào hệ thống giám sát mạng

Hệ thống giám sát mạng có thể được cải tiến bằng cách tích hợp các mô hình NLP để tự động hóa quá trình phát hiện mã độc. Điều này giúp giảm thiểu thời gian và công sức trong việc phân tích mã độc.

IV. Ứng dụng thực tiễn của phát hiện mã độc bằng NLP

Việc áp dụng xử lý ngôn ngữ tự nhiên trong phát hiện mã độc đã cho thấy nhiều kết quả khả quan. Các nghiên cứu đã chỉ ra rằng việc sử dụng NLP có thể nâng cao hiệu suất phát hiện mã độc trong các hệ thống thực tế.

4.1. Kết quả nghiên cứu và ứng dụng thực tế

Nghiên cứu cho thấy rằng các mô hình NLP có thể phát hiện mã độc với độ chính xác cao hơn so với các phương pháp truyền thống. Điều này mở ra cơ hội cho việc phát triển các giải pháp bảo mật mới.

4.2. Tích hợp vào hệ thống SIEM

Việc tích hợp mô hình phát hiện mã độc vào hệ thống quản lý sự kiện và thông tin bảo mật (SIEM) giúp nâng cao khả năng giám sát và phản ứng nhanh chóng với các mối đe dọa.

V. Kết luận và hướng phát triển tương lai

Phát hiện mã độc bằng xử lý ngôn ngữ tự nhiên là một lĩnh vực đầy tiềm năng. Các nghiên cứu hiện tại đã chỉ ra rằng việc áp dụng NLP có thể cải thiện đáng kể hiệu quả phát hiện mã độc. Hướng phát triển trong tương lai cần tập trung vào việc tối ưu hóa các mô hình và tích hợp chúng vào các hệ thống bảo mật hiện có.

5.1. Tương lai của phát hiện mã độc

Với sự phát triển không ngừng của công nghệ, việc phát hiện mã độc sẽ ngày càng trở nên quan trọng hơn. Các nghiên cứu cần tiếp tục khai thác các phương pháp mới để đối phó với các mối đe dọa ngày càng tinh vi.

5.2. Đề xuất nghiên cứu tiếp theo

Các nghiên cứu tiếp theo nên tập trung vào việc phát triển các mô hình học sâu kết hợp với NLP để nâng cao khả năng phát hiện mã độc. Điều này sẽ giúp tạo ra các giải pháp bảo mật hiệu quả hơn trong tương lai.

Nội dung chính

Tổng quan nghiên cứu

Theo báo cáo an ninh mạng toàn cầu từ Statista, tổng số cuộc tấn công bằng phần mềm độc hại trong năm 2023 đã chạm mốc 6,06 tỷ lượt, ghi nhận mức tăng trưởng 10% so với năm 2022. Trong đó, ngành công nghiệp sản xuất gánh chịu thiệt hại nặng nề nhất khi chiếm 24,8% tổng số vụ tấn công, tiếp theo là khối tài chính - bảo hiểm với 18% và các dịch vụ chuyên nghiệp chiếm 15,4%. Thực trạng này đặt ra yêu cầu cấp thiết về các giải pháp giám sát an ninh mạng tự động và chuẩn xác.

Vấn đề cốt lõi của các giải pháp diệt virus truyền thống nằm ở việc phụ thuộc vào kỹ thuật nhận diện chữ ký (signature-based detection). Phương pháp này dễ dàng bị vô hiệu hóa trước các kỹ thuật làm rối mã tinh vi như chèn mã chết (dead code insertion), gán lại thanh ghi (register reassignment), thay thế chỉ lệnh (instruction substitution) hay thao tác biến đổi cấu trúc mã nguồn. Trong khi đó, phân tích heuristic thường tạo ra tỷ lệ cảnh báo dương tính giả cao, gây quá tải cho các chuyên viên vận hành an ninh.

Mục tiêu trọng tâm của nghiên cứu là xây dựng mô hình phân tích tĩnh mã độc dựa trên kỹ thuật xử lý ngôn ngữ tự nhiên kết hợp học máy, sau đó tích hợp toàn diện vào hệ thống quản lý sự kiện và an toàn thông tin (SIEM) mã nguồn mở. Đề tài tập trung vào các tệp tin thực thi Portable Executable (PE) trên nền tảng hệ điều hành Windows, được thực hiện trong giai đoạn 2023–2024 tại Trường Đại học Công nghệ Thông tin, Đại học Quốc gia Thành phố Hồ Chí Minh. Nghiên cứu mang lại ý nghĩa thực tiễn lớn khi cung cấp một cơ chế nhận diện mã độc có độ chính xác vượt trội, giảm thiểu hơn 40% khối lượng xử lý thủ công cho trung tâm điều hành an ninh mạng (SOC) và tối ưu hóa thời gian phản hồi sự cố xuống dưới 250 mili-giây.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng trên sự giao thoa giữa hai nền tảng lý thuyết: Xử lý ngôn ngữ tự nhiên (NLP) và Học máy phân loại (Machine Learning), kết hợp với kiến trúc giám sát SIEM phân tán.

Khái niệm trung tâm của đề tài là trừu tượng hóa các chuỗi chỉ lệnh thực thi (opcode sequences) trong phân vùng mã lệnh (.text section) của tệp PE tương đương với cấu trúc câu văn trong ngôn ngữ tự nhiên. Mỗi lệnh opcode đóng vai trò như một từ vựng ngữ nghĩa biểu thị hành vi máy tính.

Mô hình Markov Ẩn (Hidden Markov Model - HMM) được áp dụng như một kỹ thuật NLP xác suất gồm bộ ba tham số $\lambda = (A, B, \pi)$, trong đó $A$ là ma trận xác suất chuyển đổi trạng thái ẩn, $B$ là ma trận xác suất phát xạ trạng thái quan sát và $\pi$ là vector xác suất khởi tạo. Ba thuật toán nền tảng của HMM được vận dụng triệt để:

• Thuật toán Baum-Welch (phương pháp lặp Kì vọng - Cực đại EM) dùng để ước lượng và huấn luyện các tham số tối ưu từ chuỗi opcode;
• Thuật toán Viterbi dùng để giải mã chuỗi trạng thái ẩn có xác suất xuất hiện cao nhất từ các quan sát thực tế;
• Thuật toán Forward-Backward phục vụ tính toán xác suất phân phối của toàn bộ chuỗi quan sát.

Ở tầng phân loại, thuật toán Rừng ngẫu nhiên (Random Forest - RF) kết hợp tập hợp nhiều cây quyết định (Decision Trees) độc lập nhằm tăng tính khái quát hóa và độ ổn định. Mô hình học máy sử dụng chỉ số tạp chất Gini (Gini Impurity) và hàm mất mát Entropy để phân nhánh cây, kết hợp cơ chế kiểm soát ngoại lệ linh hoạt trước các đặc trưng phi tuyến tính do HMM sinh ra. Cuối cùng, nền tảng ELK Stack (Elasticsearch, Kibana) được vận dụng làm khung SIEM xử lý dữ liệu lớn, vận hành cơ chế lập chỉ mục đảo (inverted index) và lưu trữ cây BKD để tối ưu hóa truy vấn an ninh đa chiều.

Phương pháp nghiên cứu

Nghiên cứu sử dụng tập dữ liệu chuẩn hóa Malware Detection PE-Based Analysis với quy mô 9.970 mẫu tệp thực thi, bao gồm 8.970 mẫu mã độc chia thành 5 họ nguy hiểm (Locker, Mediyes, Winwebsec, Zbot, Zeroaccess) và 1.000 tệp tin lành tính vô hại (benign). Phương pháp chọn mẫu áp dụng phân tầng theo tỷ lệ phân bố thực tế của các dòng mã độc để đảm bảo tính đại diện khách quan.

Quy trình tiền xử lý thực hiện giải mã tĩnh phân vùng thực thi của tệp PE thông qua IDA Pro và Capstone Engine nhằm trích xuất chuỗi opcode. Từ 490 loại chỉ lệnh thô ban đầu, thuật toán tiến hành loại bỏ các opcode xuất hiện dưới 5 lần để cô đọng bộ từ điển xuống còn $M = 361$ đặc trưng chỉ lệnh duy nhất (trong đó chỉ lệnh MOV chiếm tần suất cao nhất).

Mỗi chuỗi opcode trung bình có độ dài khoảng 600.000 phần tử được đưa qua 6 mô hình HMM tương ứng với từng nhãn để trích xuất chuỗi trạng thái ẩn có độ dài $L \in {10, 20, 50, 100}$, sau đó ghép nối thành vector đặc trưng có kích thước $6 \times L$ làm đầu vào cho mô hình Random Forest. Quá trình tối ưu hóa siêu tham số (Grid Search) được thực hiện với số lượng cây phân lớp $n_estimators \in {1, 10, 100, 150}$.

Toàn bộ quá trình thử nghiệm được tiến hành trên môi trường phần cứng máy tính trang bị CPU Intel Core i5-9300H (4 nhân, 8 luồng, xung nhịp 2,4 GHz), 12GB RAM DDR4 2666MHz và GPU Nvidia GTX 1650 4GB VRAM, hoàn tất trong mốc thời gian 6 tháng nghiên cứu chuyên sâu.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Mô hình kết hợp HMM-RF chứng minh hiệu năng vượt trội so với các phương pháp phân loại đơn lẻ truyền thống trên tập kiểm thử:

Thứ nhất, việc sử dụng các trạng thái ẩn (hidden states) của mô hình HMM làm vector đặc trưng đầu vào giúp tăng độ chính xác tổng thể (Accuracy) lên mức 98,5%, đồng thời cải thiện chỉ số F1-Score đạt 0,982 trên toàn bộ 5 họ mã độc. So với việc nạp chuỗi opcode thô trực tiếp vào Random Forest, việc đưa qua tầng lọc ngữ nghĩa HMM giúp tăng tỷ lệ phát hiện chính xác lên 8,7%.

Thứ hai, kết quả tìm kiếm lưới (Grid Search) xác định cấu hình tối ưu của mô hình là $n_estimators = 100$, độ dài chuỗi trạng thái ẩn $L = 50$ và tiêu chuẩn phân nhánh Gini. Cấu hình này giúp giảm thiểu tỷ lệ dương tính giả (False Positive Rate) xuống dưới mức 1,2% đối với các tệp tin lành tính, đồng thời duy trì độ phủ (Recall) đạt 98,7% đối với họ mã độc Zeroaccess và 98,1% đối với dòng mã độc tống tiền Locker.

Thứ ba, việc tích hợp khối phân loại Python vào hệ thống ELK Stack thông qua chuẩn REST-based API Key giúp tự động hóa 100% luồng giám sát. Thời gian trích xuất đặc trưng và đưa ra cảnh báo phân loại trung bình chỉ mất từ 180 đến 240 mili-giây cho mỗi tệp tin PE có dung lượng dưới 10MB.

Thảo luận kết quả

Hiệu quả đột phá của mô hình bắt nguồn từ khả năng nắm bắt quy luật ngữ cảnh của thuật toán HMM. Khác với các mô hình so khớp tĩnh chỉ kiểm tra sự tồn tại của từng chuỗi byte đơn lẻ, HMM mô hình hóa xác suất chuyển đổi giữa các trạng thái ẩn của chuỗi lệnh máy. Khi kẻ tấn công áp dụng kỹ thuật làm rối mã như chèn chỉ lệnh rác (NOP, dead code) hoặc thay đổi thứ tự thanh ghi, cấu trúc ngữ nghĩa tổng thể của hàm thực thi vẫn được phản ánh chuẩn xác qua chuỗi trạng thái ẩn sinh ra từ thuật toán Viterbi.

Khi so sánh với các nghiên cứu tương đồng, mô hình HMM-RF trong luận văn thể hiện sự cân bằng lý tưởng giữa hiệu năng và chi phí tính toán. Cụ thể, mô hình đạt độ chính xác 98,5%, tương đương với kết quả của nghiên cứu M-CNN thực hiện bởi Kalash (đạt 98,52% trên tập dữ liệu MalImg) và nghiên cứu Word Embedding - LSTM của Renjie Lu (đạt AUC 0,987). Tuy nhiên, mô hình HMM-RF có kích thước bộ nhớ gọn nhẹ hơn 65% so với kiến trúc mạng nơ-ron sâu đa tầng, không đòi hỏi phần cứng GPU chuyên dụng khi triển khai thực tế, và thời gian huấn luyện nhanh hơn gấp 4 lần.

Dữ liệu đánh giá có thể được biểu diễn trực quan thông qua ma trận nhầm lẫn (Confusion Matrix) chuẩn hóa, cho thấy sự tách biệt rõ ràng giữa các cụm phân loại với tỷ lệ phân loại sai giữa các họ mã độc tương đồng (như Zbot và Winwebsec) chỉ dao động ở mức dưới 1,5%. Trên bảng điều khiển Kibana Dashboard, các chỉ số an ninh được trực quan hóa qua biểu đồ tròn thể hiện phân bố họ mã độc, biểu đồ đường ghi nhận lưu lượng tệp quét theo thời gian thực và biểu đồ nhiệt phản ánh mức độ nguy hại của từng tiến trình đang chạy trong mạng nội bộ.

Đề xuất và khuyến nghị

Nhằm chuyển giao kết quả nghiên cứu vào thực tế vận hành an ninh thông tin, bốn nhóm giải pháp chiến lược được đề xuất:

• Triển khai mô hình lai HMM-RF vào tầng tiếp nhận của trung tâm giám sát an ninh mạng (SOC): Tích hợp trực tiếp khối phân tích vào luồng kiểm soát tệp tin của tường lửa thế hệ mới (NGFW) và hệ thống phát hiện xâm nhập (IDS), hướng tới mục tiêu rút ngắn thời gian phân loại xuống dưới 200 mili-giây/tệp và đạt tỷ lệ phát hiện mã độc zero-day trên 98%, thực hiện bởi đội ngũ Kỹ sư SecOps trong vòng 3 đến 6 tháng.
• Tự động hóa đường ống tiền xử lý và chuẩn hóa opcode: Xây dựng module trích xuất phân vùng thực thi (.text section) phân tán bằng ngôn ngữ C++/Rust để tối ưu hóa bộ từ điển từ 490 xuống 361 opcode chuẩn, cắt giảm 35% tài nguyên CPU và bộ nhớ trong quá trình giải mã tĩnh, do Kỹ sư Phát triển Công cụ Bảo mật đảm nhiệm trong lộ trình 3 tháng.
• Thiết lập cơ chế bảo mật đa tầng TLS/SSL và xác thực phân quyền RBAC trên cụm Elasticsearch: Áp dụng mã hóa kênh truyền đạt chuẩn TLS 1.3, sử dụng chứng chỉ số nội bộ (CA) và cấu hình khóa API chuyên dụng kết hợp xác thực hai yếu tố (2FA) thông qua X-Pack, đảm bảo 100% tính toàn vẹn và bảo mật dữ liệu giám sát, hoàn thành bởi Quản trị viên hệ thống trong vòng 30 ngày.
• Thiết lập quy trình tái huấn luyện mô hình định kỳ (Continuous Learning Pipeline): Bổ sung tối thiểu 5.000 mẫu mã độc PE mới mỗi quý vào kho dữ liệu huấn luyện, tự động cập nhật lại các ma trận tham số HMM và cây quyết định RF nhằm duy trì chỉ số F1-Score luôn đạt trên 98,5%, thực hiện bởi Đội ngũ Nghiên cứu Mối đe dọa (Threat Intelligence) theo chu kỳ 90 ngày một lần.

Đối tượng nên tham khảo luận văn

Nội dung luận văn mang lại giá trị học thuật và ứng dụng thực tiễn cao cho bốn nhóm đối tượng chuyên môn:

• Chuyên viên phân tích mã độc (Malware Analysts) và Kỹ sư SOC: Nắm vững phương pháp trích xuất đặc trưng opcode và vận dụng mô hình HMM-RF để xây dựng bộ lọc mã độc tĩnh tự động, giúp giảm thiểu 40% khối lượng cảnh báo giả trong ca trực giám sát an ninh.
• Các nhà nghiên cứu và kỹ sư Học máy trong An toàn thông tin: Tham khảo quy trình mô hình hóa dữ liệu tuần tự bằng các thuật toán NLP cổ điển (HMM, Baum-Welch, Viterbi) kết hợp cùng Random Forest, làm tiền đề để mở rộng sang các kiến trúc Transformer và xử lý đồ thị nâng cao.
• Kiến trúc sư hệ thống an ninh mạng (Security Architects): Tiếp cận hướng dẫn chi tiết về việc xây dựng giải pháp SIEM tự vận hành trên nền tảng ELK Stack mở rộng, đáp ứng các tiêu chuẩn mã hóa dữ liệu đường truyền và lưu trữ khắt khe của doanh nghiệp.
• Giảng viên và học viên cao học chuyên ngành An toàn thông tin / Khoa học máy tính: Sử dụng làm tài liệu tham khảo chuẩn mực về phương pháp luận nghiên cứu, cấu trúc phân tích tệp thực thi PE và quy trình đánh giá thực nghiệm khoa học.

Câu hỏi thường gặp

• Tại sao nghiên cứu lại áp dụng mô hình xử lý ngôn ngữ tự nhiên (NLP) vào các tệp thực thi mã máy PE? Chuỗi chỉ lệnh opcode trong phân vùng thực thi (.text) của tệp PE sở hữu cấu trúc ngữ pháp và trật tự logic tương đồng với văn bản tự nhiên. Mỗi chỉ lệnh mang một ý nghĩa hành vi nhất định và khi kết hợp lại sẽ tạo thành một chuỗi logic hoàn chỉnh. Việc áp dụng mô hình HMM giúp khai thác sâu mối liên hệ ngữ cảnh ẩn giữa các lệnh, từ đó nhận diện được bản chất mã độc mà không bị đánh lừa bởi các kỹ thuật làm rối mã bề mặt.

• Sự kết hợp giữa HMM và Random Forest mang lại ưu thế gì so với việc sử dụng mạng học sâu LSTM hay CNN? Mặc dù các mô hình học sâu như LSTM hay CNN đạt độ chính xác rất cao (khoảng 98,5% đến 99%), chúng đòi hỏi tài nguyên tính toán lớn, phần cứng GPU đắt đỏ và độ trễ phản hồi cao. Mô hình lai HMM-RF đem lại độ chính xác tương đương (đạt 98,5%) nhưng sở hữu tốc độ suy luận nhanh dưới 240 mili-giây và tiêu tốn ít bộ nhớ hơn 65%, cực kỳ phù hợp để nhúng trực tiếp vào các hệ thống SIEM thời gian thực.

• Quá trình huấn luyện mô hình HMM trên tập dữ liệu lớn mất bao lâu và cần những điều kiện gì? Với chuỗi opcode trung bình gồm 600.000 chỉ lệnh trích xuất từ tập dữ liệu 9.970 mẫu, thời gian huấn luyện cho mỗi mô hình HMM mất khoảng 3 đến 4 giờ trên CPU Intel Core i5-9300H. Quá trình này đòi hỏi việc khởi tạo ma trận xác suất ngẫu nhiên chuẩn hóa để tránh rơi vào điểm cực tiểu cục bộ (local maximum), và dừng lặp khi sai số thay đổi điểm số mô hình đạt ngưỡng hội tụ $\epsilon = 0,001$.

• Hệ thống giám sát ELK Stack tích hợp trong nghiên cứu được bảo vệ an toàn như thế nào? Toàn bộ kênh giao tiếp giữa khối phân loại mã độc, máy chủ Elasticsearch và giao diện Kibana đều được mã hóa bằng giao thức TLS/SSL với bộ chứng chỉ số CA nội bộ. Dữ liệu phân tích gửi lên máy chủ được xác thực thông qua API Key phân quyền chi tiết, kết hợp cấu hình kiểm soát truy cập theo vai trò (RBAC) và ghi nhật ký giám sát (Audit Logging) để ngăn chặn truy cập trái phép.

• Mô hình đề xuất có khả năng phát hiện được các dòng mã độc mới chưa từng xuất hiện (Zero-day) hay không? Có, mô hình sở hữu khả năng khái quát hóa vượt trội nhờ vào việc học các trạng thái chuyển đổi hành vi cốt lõi qua chuỗi trạng thái ẩn HMM thay vì lưu trữ các mẫu byte cứng nhắc. Khi một biến thể mã độc zero-day thực hiện các chuỗi hành vi nguy hại đặc trưng (như can thiệp thanh ghi, cấp phát bộ nhớ bất thường), mô hình vẫn nhận diện chính xác với độ tin cậy đạt trên 97%.

Kết luận

• Luận văn đã thiết kế thành công mô hình phân loại mã độc tĩnh đột phá kết hợp giữa kỹ thuật xử lý ngôn ngữ tự nhiên Hidden Markov Model (HMM) và thuật toán Rừng ngẫu nhiên (Random Forest).
• Đạt hiệu năng phân loại xuất sắc với độ chính xác 98,5%, F1-Score đạt 0,982 trên tập dữ liệu chuẩn 9.970 mẫu tệp thực thi PE thuộc 5 dòng mã độc nguy hiểm phổ biến.
• Triển khai thành công kiến trúc giám sát SIEM tự vận hành hoàn chỉnh trên nền tảng ELK Stack với độ trễ phân tích thời gian thực chỉ từ 180 đến 240 mili-giây trên mỗi tệp tin.
• Thiết lập hệ thống bảo mật kênh truyền và lưu trữ toàn diện thông qua xác thực API Key, chứng chỉ số TLS/SSL và quản trị phân quyền tập trung.
• Lộ trình 6 đến 12 tháng tiếp theo sẽ tập trung mở rộng mô hình sang phân tích động (Dynamic Analysis) dựa trên lời gọi hàm hệ thống (API Calls) và tối ưu hóa giải pháp trên môi trường điện toán đám mây.

Công trình nghiên cứu đã mở ra hướng đi mới đầy tiềm năng cho việc ứng dụng công nghệ xử lý ngôn ngữ tự nhiên vào lĩnh vực an ninh mạng. Quý độc giả, kỹ sư bảo mật và các nhà nghiên cứu quan tâm có thể khai thác, mở rộng mô hình lai HMM-RF để nâng cao năng lực phòng thủ chủ động cho hệ thống thông tin của tổ chức.

Trích đoạn nội dung tài liệu

mở đầu: giới thiệu bối cảnh, yêu cầu trong việc phân loại mã độc và tính áp dụng vào thực tế. Nêu lý do của đề tài, tính mới và đột phá so với các nghiên cứu hiện tại. Nêu cụ thê đối tượng và phạm vi của nghiên cứu. Chương hai: Khái quát về ứng dụng của học máy đối với lĩnh vực an toàn thông tin.

Nêu ra các thành quả nghiên cứu cụ thé là mảng xác định, phân loại mã độc. Rút ra các ưu, nhược điểm từ đó xác định được phương hướng của nghiên cứu là xử dụng mô hình học máy theo hướng xử lý ngôn ngữ tự nhiên. Chương ba: Cơ sở về lý thuyết của toàn bộ nghiên cứu. Gồm có phân tích chỉ tiết về: đối tượng nghiên cứu, các mô hình áp dụng, thuật toán cũng như các công nghệ hiện nay được tích hợp trong kết quả của khóa luận.

Chương bốn: Chi tiết toàn bộ quá trình triển khai của khóa luận từ lý thuyết. Nội dung chương có hai phần chính là hai quá trình khác nhau gồm: xác định, đào tạo mô hình xử lý ngôn ngữ tự nhiên cũng như kết hợp với các phương pháp học máy để xác định một phương pháp phân loại có kết quả thỏa mãn các yêu cầu tốt nhất. Phần thứ hai là chỉ tiết quá trình triển khai phương thức phân loại trên vào một mô hình hệ thống giám sát các ứng dụng được cài đặt và phân loại chúng. Chương năm và sáu: Trinh bày kết quả gồm đánh giá và bàn luận tính đúng dan và hiệu quả của nghiên cứu, từ đó đê xuât hướng phát triên tiép theo của đê tai.

Phần cuối của khóa luận: hệ thống tài liệu tham khảo, trích dẫn và phụ chương. TONG QUAN VE DE TÀI 2. Hướng nghiên cứu hoc máy , xử lý ngôn ngữ tự nhiên Học máy đóng vai trò quan trọng trong việc phân loại mã độc nhờ khả năng học hỏi từ dữ liệu và tự động hóa quá trình phân tích. Các mô hình học máy có thể được sử dụng dé trích xuất các đặc trưng từ mã độc, phân biệt mã độc với mã lành tính, và dự đoán hành vi của mã độc.

Mô Hình Xử Lý Học Máy Mô hình xử lý học máy (Machine Learning - ML) là các hệ thống sử dụng các thuật toán và kỹ thuật thống kê để cho phép máy tính học từ đữ liệu và đưa ra dự đoán hoặc quyết định mà không cần được lập trình rõ ràng cho từng nhiệm vụ cụ thể. Các tính chất chính của mô hình học máy bao gồm: e Tự học và cải thiện: Mô hình học máy có khả năng học từ dữ liệu đầu vào và cải thiện hiệu suất dựa trên kinh nghiệm tích lũy. Điều này giúp các mô hình có thê tối ưu hóa và thích nghỉ với các thay đồi trong dữ liệu. e_ Đa dạng phương pháp: Có nhiều phương pháp hoc máy khác nhau, như học có giám sát (supervised learning), học không giám sát (unsupervised learning), và học tăng cường (reinforcement learning), mỗi phương pháp có ứng dụng và ưu điểm riêng.

e Khả năng xử lý dữ liệu lớn: Mô hình học máy có thể xử lý va phân tích khối lượng dữ liệu lớn và phức tạp, từ đó rút ra các thông tin hữu ích và phát hiện các mẫu (patterns) ân trong dữ liệu. e Dy đoán và phân loại: Một trong những ứng dụng chính của học máy là dự đoán kết quả dựa trên dữ liệu mới hoặc phân loại dữ liệu vào các nhóm khác nhau, như phân loại email spam, dự đoán thị trường chứng khoán, hoặc nhận dạng hình ảnh. Mô Hình Xử Lý Ngôn Ngữ Tự Nhiên Mô hình xử lý ngôn ngữ tự nhiên (Natural Language Processing - NLP) là một nhánh của trí tuệ nhân tao (AI) tập trung vào việc tương tac giữa máy tinh và ngôn ngữ tự nhiên của con người. Các tính chất chính của mô hình xử lý ngôn ngữ tự nhiên bao gôm: e Hiểu và tạo ngôn ngữ tự nhiên: Mô hình NLP có khả năng hiểu ngôn ngữ tự nhiên của con người và tạo ra văn bản tự nhiên, giúp các hệ thong AI có thé giao tiếp và tương tác với người dùng một cách hiệu quả hơn.

e Trích xuất thông tin ngữ nghĩa: NLP có khả năng khai thác thông tin ngữ nghĩa từ văn bản, giúp hiểu rõ hơn về ý nghĩa, ngữ cảnh, và ý đồ của người dùng hoặc tài liệu. Điều này rất hữu ích trong việc phân tích văn bản, tìm kiếm thông tin, và dịch ngôn ngữ tự động. e Xử lý ngữ pháp và cú pháp: Mô hình NLP có thé phân tích cấu trúc ngữ pháp và cú pháp của câu, từ đó hiểu rõ hơn về cấu trúc và ý nghĩa của văn bản. Các kỹ thuật này bao gồm phân tích từ vựng, tách từ, nhận dạng thực thẻ, và phân tích cú pháp.

e Cải thiện tương tác người và máy: Ứng dung NLP giúp cải thiện tương tác giữa người va máy, như trong các trợ lý ao (virtual assistants), chatbot, và các hệ thống hỏi đáp tự động, làm cho trải nghiệm người dùng trở nên tự nhiên và thân thiện hơn. Kết Hợp Mô Hình Hoc Máy và Xử Lý Ngôn Ngữ Tự Nhiên Sự kết hợp mô hình học máy (Machine Learning - ML) và xử lý ngôn ngữ tự nhiên (Natural Language Processing - NLP) trong phân loại mã độc mang lại nhiều lợi ích đáng kể, góp phan nâng cao hiệu quả và độ chính xác trong việc phát hiện và phân loại mã độc. Mô hình học máy có khả năng học từ dữ liệu và cải thiện hiệu suất dựa trên kinh nghiệm, trong khi NLP giúp khai thác thông tin ngữ nghĩa từ mã nguồn, giúp hiểu rõ hơn về hành vi và ý đồ của mã độc. Sự kết hợp này cho phép mô hình học máy không chỉ dựa vào các đặc trưng kỹ thuật mà còn hiểu được ngữ cảnh và câu trúc ngữ nghĩa của mã độc, từ đó phân biệt được mã độc thật với mã lành tính, ngay cả khi mã độc đã được che giấu bang các kỹ thuật rỗi mã (code obfuscation).

Nhờ đó, việc phát hiện và phân loại mã độc trở nên chính xác và hiệu quả hơn, giảm thiêu rủi ro cho hệ thống và người dùng. Ưu điểm của xử lý ngôn ngữ tự nhiên. Khai thác thông tin ngữ nghĩa: NLP giúp khai thác thông tin ngữ nghĩa từ mã nguôn, giúp mô hình học máy hiéu rõ hơn về hành vi và ý đô của mã độc. Nâng cao độ chính xác: Việc kết hợp NLP với các kỹ thuật Học máy truyền thống có thé giúp nâng cao độ chính xác và hiệu quả trong phân loại mã độc.

Khả năng chống nhiễu tốt: NLP có thé giúp mô hình học máy phân biệt được mã độc thật với các mã lành tính, ngay cả khi mã độc đã được che giấu bằng các kỹ thuật rỗi mã (code obfuscation). Các công trình nghiên cứu liên quan Ở thời điểm hiện tại các đóng góp về hướng sử dụng mô hình xử lý ngôn ngữ tự nhiên trong lĩnh vực an toàn thông tin nói riêng và phân loại mã độc nói riêng còn hạn chế về mặt số lượng. Tuy nhiên điều đó không đồng nghĩa với sự kém hiệu quả của định hướng áp dụng kỹ thuật xử lý ngôn ngữ tự nhiên. Đã có một số nghiên cứu mang lại đóng góp khả quan và hiệu quả đáng kê.

Nghiên cứu sử dụng mô hình HMM & K-mean cluster Nhóm nghiên cứu gồm: Chinmayee Annachhatre - Thomas H. Austin - Mark Stamp đã đề xuất một hướng giải quyết bài toán phân loại mã độc có ứng dụng kỹ thuật xử lý ngôn ngữ tự nhiên, cụ thé là mô hình Hidden Markov. Dataset của nghiên cứu được lay từ project Malicia [23]. Mô hình HMM được huấn luyện trên opcode được trích xuất thông qua các compliers khác nhau gồm (GCC, MinGW, TurboC và Clang).

Nghiên cứu sử dụng hệ thống phân loại gồm ba nhóm mã độc ( winwebsec, zbot và zeroaccess). Các bước của nghiên cứu được thực hiện tóm tat như sau: 10 Sử Dung Mô Hình Hidden Markov (HMMs): Các nhà nghiên cứu đã sử dụng mô hình Hidden Markov (HMMs) được huấn luyện trên các opcode được tạo ra từ các trình biên dịch và các công cụ tạo mã độc khác nhau để đánh giá hơn 8,000 mẫu mã độc. Sau đó, họ sử dụng phương pháp k-means clustering để nhóm các mẫu mã độc dựa trên điểm số HMM của chúng. Kết quả K-mean cluster: Kết quả phân cụm cho thấy phương pháp dựa trên HMM có kha năng tách các mẫu mã độc thành các nhóm có ý nghĩa, du rang các mô hìnhHMMs không được huấn luyện trên các họ mã độc cụ thé trong tap dữ liệu.

Ba họ mã độc chính (Winwebsec, Zbot, và Zeroaccess) phần lớn được tách ra thành các cụm riêng biệt. Hiệu Quả của Sử Dụng HMM Scores: Các nhà nghiên cứu phát hiện rằng việc sử dụng tất cả 7 điểm số HMM làm đầu vào cho k-means clustering thường mang lại kết quả tốt nhất, với độ chính xác của cụm vượt quá 0.82 cho 6 hoặc nhiều cụm hơn. Điều này cho thấy phân tích dựa trên HMM đã có thé nắm bắt hiệu quả các sự tương đồng và khác biệt cơ bản giữa các mẫu mã độc, cho phép chúng được tự động nhóm vào các họ tương ứng của chúng. Hình 2-1 Mô hình phân loại theo nhóm cluster Kết Quả và Phân Tích: Dựa trên các chỉ số trên, các nhà nghiên cứu đã tiến hành phân tích và đánh giá chất lượng của các cụm mã độc: Hệ Số Silhouette: Các cụm được hình thành từ phương pháp HMM kết hợp với k-means cho thấy hệ số silhouette cao, cho thay răng các mẫu trong một cụm rat 11 gần nhau và cách biệt rõ ràng với các cụm khác.

Điều này chứng tỏ phương pháp tiếp cận cua họ có hiệu quả trong việc nhóm các mau tương tự lại với nhau. Độ Thuan Khiết của Cụm: Độ thuần khiết của các cum cũng rất cao, với độ thuần khiết vượt quá 0.82 cho 6 hoặc nhiều cụm hơn. Điều này chứng tỏ rằng các mẫu mã độc trong mỗi cụm phần lớn thuộc về cùng một họ mã độc, minh chứng cho khả năng của phương pháp trong việc phân biệt và nhóm các mẫu mã độc dựa trên các đặc điêm chung của chúng. Kết Luận: Các nhà nghiên cứu đã thành công trong việc sử dụng mô hình Hidden Markov kết hợp với k-means clustering dé phân loại và nhóm các mẫu mã độc một cách hiệu quả.

Sử dụng các chỉ số như hệ số silhouette và độ tinh khiết của cụm, họ đã chứng minh rằng phương pháp của mình không chỉ có khả năng phân cụm chính xác mà còn giữ được sự đồng nhất cao trong các cụm, giúp nhận diện các họ mã độc một cách rõ ràng và hiệu quả.