Luận văn thạc sĩ: Nghiên cứu phương pháp lai trong phát hiện mã độc botnet trên thiết bị IoT

Luận văn thạc sĩ nghiên cứu nghiên cứu phương pháp lai trong phát hiện mã độc botnet trên thiết bị iot, đánh giá hiện trạng, phân tích vấn đề, đề xuất biện pháp hoàn thiện trong

• Tác giả: Trần Hoàng Anh
• Người hướng dẫn: TS. Ngô Quốc Dũng
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: Hệ thống thông tin
• Đề tài: Nghiên Cứu Phương Pháp Lai Trong Phát Hiện Mã Độc Botnet Trên Thiết Bị IoT
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2021
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• 1. CHƯƠNG 1: MÃ ĐỘC IOT BOTNET VÀ CÁC HƯỚNG PHÁT HIỆN
• 1.1. Tổng quan về mã độc IoT và IoT Botnet
• 1.2. Khái niệm mã độc IoT
• 1.3. Phân loại mã độc IoT
• 1.4. Mã độc IoT Botnet và nguy cơ tấn công từ chối dịch vụ
• 1.5. Cấu trúc và nguyên lý hoạt động của mã độc IoT Botnet
• 1.6. Các phương pháp phát hiện mã độc IoT Botnet
• 1.6.1. Phát hiện mã độc IoT Botnet dựa trên phân tích tĩnh
• 1.6.2. Phát hiện mã độc IoT Botnet dựa trên phân tích động
• 1.6.3. Phát hiện mã độc IoT Botnet dựa trên phương pháp lai
• 1.7. Kết luận chương 1
• 2. CHƯƠNG 2: PHƯƠNG PHÁP LAI TRONG PHÁT HIỆN MÃ ĐỘC IOT BOTNET
• 2.1. Xây dựng các đặc trưng tĩnh. Một số đặc trưng tĩnh trong phát hiện mã độc IoT Botnet
• 2.2. Đặc trưng tĩnh được chọn cho phương pháp lai
• 2.3. Xây dựng tập đặc trưng tĩnh
• 2.4. Xây dựng các đặc trưng động
• 2.5. Một số đặc trưng động trong phát hiện mã độc IoT Botnet. Lựa chọn môi trường giám sát thời gian thực
• 2.6. Xây dựng tập đặc trưng động
• 2.7. Phương pháp tích hợp đặc trưng. Lựa chọn phương pháp tích hợp đặc trưng tĩnh và động
• 2.8. Xây dựng tập các đặc trưng lai giữa tĩnh và động
• 2.9. Các thuật toán phân loại mã độc. Cây quyết định (DT)
• 2.10. K-láng giềng gần nhất (k-NN)
• 2.11. Support Vector Machines (SVM)
• 2.12. Kết luận chương 2
• 3. CHƯƠNG 3: THỬ NGHIỆM VÀ ĐÁNH GIÁ
• 3.1. Xây dựng tập dữ liệu
• 3.2. Phương pháp thu thập các mẫu mã độc IoT Botnet và lành tính
• 3.3. Mô tả tập dữ liệu
• 3.4. Phương pháp đánh giá và các độ đo sử dụng
• 3.4.1. Phương pháp đánh giá
• 3.4.2. Các độ đo sử dụng để đánh giá
• 3.5. Kết quả thực nghiệm. Đánh giá và so sánh
• 3.6. Kết luận chương 3
• KẾT LUẬN VÀ KIẾN NGHỊ
• DANH MỤC TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về mã độc IoT và IoT Botnet

Mã độc IoT, hay còn gọi là mã độc, là phần mềm độc hại nhắm vào các thiết bị IoT. Sự phát triển nhanh chóng của công nghệ IoT đã dẫn đến sự gia tăng các loại mã độc này. Các thiết bị IoT thường có cấu trúc và chức năng khác biệt so với máy tính truyền thống, với tài nguyên hạn chế và kiến trúc phần cứng đa dạng. Điều này tạo ra nhiều lỗ hổng bảo mật mà kẻ tấn công có thể khai thác. Mã độc IoT Botnet là một trong những loại mã độc nguy hiểm nhất, cho phép kẻ tấn công điều khiển hàng triệu thiết bị để thực hiện các cuộc tấn công từ chối dịch vụ (DDoS). Theo nghiên cứu của Dange và các cộng sự, có nhiều kiểu tấn công mà mã độc IoT có thể thực hiện, từ tấn công vật lý đến tấn công mạng. Những cuộc tấn công này không chỉ gây thiệt hại cho các thiết bị mà còn ảnh hưởng đến toàn bộ hệ thống mạng. Việc phát hiện và ngăn chặn mã độc IoT Botnet là một thách thức lớn trong lĩnh vực an ninh mạng.

1.1. Khái niệm mã độc IoT

Mã độc IoT là phần mềm độc hại được thiết kế để tấn công các thiết bị IoT. Chúng có thể lây nhiễm và chiếm quyền điều khiển thiết bị, thực hiện các hành động như đánh cắp thông tin hoặc xây dựng mạng botnet. Các loại mã độc này thường lợi dụng các lỗ hổng bảo mật trong thiết bị, như mật khẩu yếu hoặc phần mềm không được cập nhật. Sự gia tăng của các thiết bị IoT đã tạo ra một môi trường thuận lợi cho sự phát triển của mã độc. Các cuộc tấn công từ chối dịch vụ phân tán (DDoS) là một trong những hình thức tấn công phổ biến nhất mà mã độc IoT thực hiện. Điều này cho thấy sự cần thiết phải có các phương pháp phát hiện và ngăn chặn hiệu quả để bảo vệ các thiết bị IoT khỏi các cuộc tấn công này.

1.2. Phân loại mã độc IoT

Mã độc IoT có thể được phân loại thành nhiều loại khác nhau dựa trên cách thức hoạt động và mục tiêu tấn công. Các loại mã độc phổ biến bao gồm Worm, Trojan, Rootkit, Spyware, và Botnet. Mỗi loại mã độc có những đặc điểm riêng, từ khả năng tự nhân bản cho đến việc thu thập thông tin mà người dùng không biết. Đặc biệt, Botnet là loại mã độc cho phép kẻ tấn công điều khiển nhiều thiết bị cùng lúc, tạo ra một mạng lưới khổng lồ để thực hiện các cuộc tấn công quy mô lớn. Việc hiểu rõ các loại mã độc này là rất quan trọng để phát triển các giải pháp bảo mật hiệu quả cho các thiết bị IoT.

II. Phương pháp lai trong phát hiện mã độc IoT Botnet

Phương pháp lai trong phát hiện mã độc IoT Botnet kết hợp giữa phân tích tĩnh và động để nâng cao hiệu quả phát hiện. Phân tích tĩnh cho phép xác định các đặc trưng của mã độc mà không cần thực thi mã, trong khi phân tích động giúp theo dõi hành vi của mã độc trong môi trường thực tế. Việc xây dựng các đặc trưng tĩnh và động là rất quan trọng trong quá trình phát hiện. Các đặc trưng tĩnh có thể bao gồm mã nguồn, cấu trúc tệp, và các thông tin khác có thể thu thập được mà không cần chạy mã. Ngược lại, các đặc trưng động liên quan đến hành vi của mã độc khi nó được thực thi, như việc gửi dữ liệu ra ngoài hoặc thực hiện các lệnh không mong muốn. Sự kết hợp giữa hai phương pháp này giúp tăng cường khả năng phát hiện và giảm thiểu số lượng báo động giả.

2.1. Xây dựng các đặc trưng tĩnh

Đặc trưng tĩnh là những thông tin có thể thu thập được từ mã độc mà không cần thực thi nó. Việc xây dựng các đặc trưng tĩnh bao gồm việc phân tích mã nguồn, cấu trúc tệp, và các thông tin khác liên quan đến mã độc. Các đặc trưng này giúp nhận diện mã độc ngay từ giai đoạn đầu, trước khi nó có cơ hội gây hại. Một số đặc trưng tĩnh quan trọng bao gồm các hàm, biến, và các thư viện mà mã độc sử dụng. Việc lựa chọn các đặc trưng tĩnh phù hợp là rất quan trọng để đảm bảo tính chính xác trong quá trình phát hiện. Các nghiên cứu đã chỉ ra rằng việc sử dụng các đặc trưng tĩnh có thể giúp phát hiện mã độc một cách hiệu quả, đặc biệt là trong môi trường IoT với nhiều thiết bị khác nhau.

2.2. Xây dựng các đặc trưng động

Đặc trưng động liên quan đến hành vi của mã độc khi nó được thực thi. Việc xây dựng các đặc trưng động bao gồm việc theo dõi các hoạt động của mã độc trong môi trường thực tế, như việc gửi dữ liệu ra ngoài, thực hiện các lệnh không mong muốn, hoặc tương tác với các thiết bị khác. Các đặc trưng động giúp phát hiện mã độc dựa trên hành vi thực tế của nó, điều này rất quan trọng trong việc phát hiện các cuộc tấn công từ chối dịch vụ phân tán (DDoS). Việc kết hợp các đặc trưng động với các đặc trưng tĩnh tạo ra một phương pháp phát hiện mạnh mẽ hơn, giúp giảm thiểu số lượng báo động giả và tăng cường khả năng phát hiện mã độc IoT Botnet.

III. Thử nghiệm và đánh giá

Thử nghiệm và đánh giá là bước quan trọng trong quá trình phát triển phương pháp phát hiện mã độc IoT Botnet. Việc xây dựng tập dữ liệu từ các mẫu mã độc và lành tính là cần thiết để kiểm tra hiệu quả của phương pháp phát hiện. Tập dữ liệu này cần phải đa dạng và bao gồm nhiều loại mã độc khác nhau để đảm bảo tính chính xác trong quá trình đánh giá. Các phương pháp đánh giá cũng cần được xác định rõ ràng, bao gồm các độ đo như độ chính xác, độ nhạy, và độ đặc hiệu. Kết quả thực nghiệm sẽ cho thấy hiệu quả của phương pháp lai trong việc phát hiện mã độc IoT Botnet, từ đó đưa ra các khuyến nghị cho việc cải thiện và phát triển các giải pháp bảo mật cho các thiết bị IoT.

3.1. Xây dựng tập dữ liệu

Xây dựng tập dữ liệu là bước đầu tiên trong quá trình thử nghiệm và đánh giá. Tập dữ liệu cần phải bao gồm các mẫu mã độc IoT Botnet và các mẫu lành tính để đảm bảo tính chính xác trong quá trình phát hiện. Việc thu thập các mẫu mã độc có thể được thực hiện thông qua các phương pháp như phân tích mã nguồn, theo dõi hành vi của mã độc trong môi trường thực tế, hoặc sử dụng các công cụ phân tích mã độc. Tập dữ liệu cần phải được phân loại rõ ràng để dễ dàng trong việc đánh giá hiệu quả của phương pháp phát hiện. Một tập dữ liệu đa dạng và phong phú sẽ giúp tăng cường khả năng phát hiện và giảm thiểu số lượng báo động giả.

3.2. Kết quả thực nghiệm

Kết quả thực nghiệm sẽ cho thấy hiệu quả của phương pháp lai trong việc phát hiện mã độc IoT Botnet. Các độ đo như độ chính xác, độ nhạy, và độ đặc hiệu sẽ được sử dụng để đánh giá hiệu quả của phương pháp. Kết quả thực nghiệm cần phải được phân tích kỹ lưỡng để đưa ra các nhận định chính xác về khả năng phát hiện của phương pháp. Việc so sánh với các phương pháp phát hiện khác cũng là một phần quan trọng trong quá trình đánh giá. Kết quả thực nghiệm không chỉ giúp xác định hiệu quả của phương pháp mà còn cung cấp thông tin quý giá cho việc cải thiện và phát triển các giải pháp bảo mật cho các thiết bị IoT.

Nội dung chính

Tổng quan nghiên cứu

Cuộc cách mạng công nghiệp 4.0 đã thúc đẩy sự phát triển mạnh mẽ của công nghệ Vạn vật kết nối (IoT), với dự báo khoảng 50 tỷ thiết bị IoT được kết nối toàn cầu vào năm 2020. Thị trường thiết bị IoT cũng tăng trưởng nhanh chóng, đạt giá trị 248 tỷ đô la vào cùng năm. Tuy nhiên, phần lớn các thiết bị IoT được sản xuất hàng loạt với khả năng bảo mật hạn chế, trở thành mục tiêu dễ dàng cho các cuộc tấn công mạng, đặc biệt là mã độc IoT Botnet. Các cuộc tấn công này không chỉ gia tăng về số lượng mà còn ngày càng tinh vi, gây ra thiệt hại nghiêm trọng cho hạ tầng mạng và dịch vụ trực tuyến. Ví dụ điển hình là cuộc tấn công DDoS năm 2016 vào hệ thống Dyn với lưu lượng lên tới 1,2 Terabits/giây, do mã độc Mirai thực hiện.

Mục tiêu nghiên cứu của luận văn là phát triển phương pháp lai kết hợp phân tích tĩnh và động nhằm nâng cao hiệu quả phát hiện mã độc IoT Botnet trên thiết bị IoT. Phạm vi nghiên cứu tập trung vào các thiết bị IoT phổ biến với kiến trúc ARM, MIPS và các nền tảng Linux, trong giai đoạn từ năm 2015 đến 2021. Ý nghĩa của nghiên cứu được thể hiện qua việc cải thiện độ chính xác phát hiện mã độc, giảm thiểu thiệt hại do các cuộc tấn công mạng gây ra, đồng thời góp phần nâng cao an ninh mạng trong bối cảnh IoT ngày càng phổ biến.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên ba hướng tiếp cận chính trong phát hiện mã độc IoT Botnet: phân tích tĩnh, phân tích động và phương pháp lai.

• Phân tích tĩnh tập trung vào trích xuất đặc trưng từ mã nhị phân hoặc mã nguồn mà không cần thực thi, bao gồm các đặc trưng như Opcode, thông tin chuỗi in (PSI), tiêu đề tập tin ELF, đồ thị hàm gọi (FCG) và đồ thị luồng điều khiển (CFG). Đặc trưng PSI được lựa chọn làm trọng tâm do khả năng biểu diễn chu trình hoạt động tiêu biểu của mã độc IoT Botnet.

• Phân tích động giám sát hành vi thực thi của mã độc trong môi trường mô phỏng, thu thập các đặc trưng hành vi như lời gọi hệ thống (System call), lưu lượng mạng, thay đổi hệ thống và hiệu năng phần cứng. Môi trường mô phỏng V-Sandbox được sử dụng để thu thập dữ liệu hành vi, hỗ trợ đa kiến trúc CPU và mô phỏng máy chủ C&C.

• Phương pháp lai kết hợp ưu điểm của phân tích tĩnh và động bằng cách tích hợp các đặc trưng PSI và SCG (đồ thị lời gọi hệ thống) thành vector đặc trưng lai, sử dụng kỹ thuật lựa chọn đặc trưng và thuật toán học máy để phân loại.

Ba khái niệm chính được vận dụng gồm: đồ thị thông tin chuỗi in PSI, đồ thị lời gọi hệ thống SCG và kỹ thuật graph2vec để chuyển đổi đồ thị thành vector đặc trưng.

Phương pháp nghiên cứu

Nguồn dữ liệu bao gồm khoảng 12.000 mẫu tập tin ELF, trong đó có 7.000 mẫu mã độc IoT Botnet và phần còn lại là mẫu lành tính, thu thập từ các kho dữ liệu công khai và môi trường mô phỏng. Cỡ mẫu này đảm bảo tính đại diện và độ tin cậy cho quá trình huấn luyện và kiểm thử.

Phương pháp phân tích gồm ba bước chính: (1) trích xuất đặc trưng tĩnh từ đồ thị PSI qua dịch ngược mã nhị phân bằng công cụ IDA Pro và giải nén UPX; (2) thu thập đặc trưng động từ môi trường V-Sandbox, xây dựng đồ thị SCG từ các lời gọi hệ thống; (3) tích hợp hai tập vector đặc trưng bằng phương pháp early fusion, chuẩn hóa dữ liệu và lựa chọn đặc trưng bằng mô hình bọc với SVM tuyến tính.

Quá trình phân tích và đánh giá được thực hiện trong khoảng thời gian nghiên cứu từ năm 2019 đến 2021, với các thuật toán phân loại gồm Cây quyết định (DT), K-láng giềng gần nhất (k-NN), Support Vector Machines (SVM) và Rừng ngẫu nhiên (Random Forest). Đánh giá hiệu quả dựa trên các chỉ số như độ chính xác, độ nhạy, độ đặc hiệu và đường cong ROC.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Độ chính xác phát hiện mã độc IoT Botnet bằng phương pháp lai đạt trên 99%: Kết quả thực nghiệm với tập dữ liệu 12.000 mẫu cho thấy phương pháp lai sử dụng đặc trưng PSI và SCG tích hợp qua early fusion, kết hợp thuật toán Random Forest đạt độ chính xác 99,58%, vượt trội so với các phương pháp chỉ phân tích tĩnh (khoảng 98,7%) hoặc động (khoảng 99,28%).

2. Giảm thiểu tỷ lệ phát hiện sai (false positive) xuống dưới 1,5%: Nhờ kỹ thuật lựa chọn đặc trưng bằng mô hình bọc với SVM tuyến tính, phương pháp lai loại bỏ được các đặc trưng dư thừa, giảm nhiễu dữ liệu, giúp giảm tỷ lệ cảnh báo sai, nâng cao độ tin cậy trong phát hiện.

3. Thời gian huấn luyện và phân loại được tối ưu: Việc giới hạn tích hợp chỉ hai loại đặc trưng PSI và SCG giúp giảm kích thước vector đặc trưng, rút ngắn thời gian huấn luyện xuống còn khoảng 30% so với việc kết hợp nhiều đặc trưng phức tạp khác.

4. Khả năng phát hiện các biến thể mã độc mới được cải thiện rõ rệt: Phương pháp lai phát hiện hiệu quả các biến thể mã độc IoT Botnet như Mirai, Bashlite, và các biến thể mới như Bricker bot và VPNFilter với độ chính xác trên 97%, cho thấy tính bền vững và khả năng thích ứng cao.

Thảo luận kết quả

Nguyên nhân chính giúp phương pháp lai đạt hiệu quả cao là do sự kết hợp hài hòa giữa phân tích tĩnh và động, tận dụng được ưu điểm của từng phương pháp. Đặc trưng PSI cung cấp cái nhìn sâu sắc về cấu trúc và chu trình hoạt động của mã độc, trong khi đặc trưng SCG phản ánh chính xác hành vi thực thi trong môi trường thời gian thực. Việc sử dụng thuật toán graph2vec giúp bảo toàn cấu trúc đồ thị, tăng khả năng phân biệt giữa mã độc và mã sạch.

So sánh với các nghiên cứu trước đây, phương pháp lai trong luận văn không chỉ nâng cao độ chính xác mà còn giảm thiểu sai số và thời gian xử lý, phù hợp với yêu cầu thực tiễn trong phát hiện mã độc IoT Botnet. Kết quả có thể được trình bày qua biểu đồ ROC thể hiện sự vượt trội của phương pháp lai so với phân tích tĩnh và động riêng lẻ, cũng như bảng so sánh các chỉ số hiệu suất.

Ý nghĩa của kết quả nghiên cứu là cung cấp một giải pháp phát hiện mã độc IoT Botnet hiệu quả, có thể ứng dụng trong các hệ thống giám sát an ninh mạng, góp phần bảo vệ hạ tầng IoT và nâng cao an toàn thông tin trong kỷ nguyên số.

Đề xuất và khuyến nghị

1. Triển khai hệ thống phát hiện mã độc IoT Botnet dựa trên phương pháp lai trong các trung tâm giám sát an ninh mạng: Tập trung vào các thiết bị IoT phổ biến trong các ngành công nghiệp và dịch vụ, nhằm nâng cao tỷ lệ phát hiện sớm và giảm thiểu thiệt hại do tấn công DDoS. Thời gian thực hiện trong vòng 12 tháng, chủ thể là các tổ chức an ninh mạng và doanh nghiệp công nghệ.

2. Phát triển công cụ tự động hóa trích xuất đặc trưng PSI và SCG tích hợp với môi trường mô phỏng V-Sandbox: Giúp tăng tốc quá trình thu thập và xử lý dữ liệu, giảm thiểu sai sót do thao tác thủ công. Dự kiến hoàn thành trong 6 tháng, do các nhóm nghiên cứu và phát triển phần mềm thực hiện.

3. Tăng cường đào tạo và nâng cao nhận thức về bảo mật IoT cho các nhà phát triển và người dùng cuối: Khuyến khích thay đổi mật khẩu mặc định, cập nhật firmware thường xuyên để giảm nguy cơ bị lây nhiễm mã độc. Chiến dịch truyền thông và đào tạo kéo dài 1 năm, do các cơ quan quản lý và doanh nghiệp phối hợp thực hiện.

4. Nghiên cứu mở rộng phương pháp lai cho các nền tảng IoT mới và các loại mã độc đa dạng hơn: Đặc biệt là các mã độc sử dụng kỹ thuật mã hóa và tấn công thực thi mã từ xa. Thời gian nghiên cứu tiếp theo khoảng 18 tháng, do các viện nghiên cứu và trường đại học đảm nhiệm.

Đối tượng nên tham khảo luận văn

1. Các nhà nghiên cứu và sinh viên ngành An toàn thông tin, Hệ thống thông tin: Luận văn cung cấp kiến thức chuyên sâu về mã độc IoT Botnet, phương pháp phát hiện hiện đại, giúp nâng cao năng lực nghiên cứu và ứng dụng thực tiễn.

2. Doanh nghiệp phát triển giải pháp bảo mật IoT và các nhà cung cấp dịch vụ mạng: Tham khảo để phát triển hoặc cải tiến các sản phẩm, dịch vụ giám sát và phòng chống mã độc IoT hiệu quả hơn.

3. Cơ quan quản lý và tổ chức an ninh mạng quốc gia: Sử dụng làm tài liệu tham khảo trong xây dựng chính sách, quy trình giám sát và ứng phó với các mối đe dọa an ninh mạng liên quan đến IoT.

4. Nhà phát triển thiết bị IoT và kỹ sư phần mềm nhúng: Hiểu rõ các nguy cơ bảo mật và các kỹ thuật phát hiện mã độc để thiết kế sản phẩm an toàn hơn, giảm thiểu rủi ro bị tấn công.

Câu hỏi thường gặp

1. Phương pháp lai trong phát hiện mã độc IoT Botnet là gì?
   Phương pháp lai kết hợp phân tích tĩnh và động bằng cách tích hợp đặc trưng PSI (tĩnh) và SCG (động) thành vector đặc trưng duy nhất, sử dụng thuật toán học máy để phân loại. Ví dụ, phương pháp này giúp phát hiện chính xác các biến thể mã độc mới mà phân tích riêng lẻ khó nhận diện.

2. Tại sao lại chọn đồ thị thông tin chuỗi in PSI làm đặc trưng tĩnh?
   PSI biểu diễn chu trình hoạt động tiêu biểu của mã độc IoT Botnet, giúp nhận diện các hành vi đặc trưng qua cấu trúc đồ thị. Điều này nâng cao độ chính xác so với các đặc trưng tĩnh truyền thống như Opcode hay tiêu đề tập tin.

3. Môi trường V-Sandbox có ưu điểm gì trong phân tích động?
   V-Sandbox hỗ trợ đa kiến trúc CPU, mô phỏng máy chủ C&C và cung cấp thư viện liên kết động đầy đủ, giúp kích hoạt và giám sát các hành vi độc hại của mã độc IoT Botnet một cách hiệu quả và an toàn.

4. Các thuật toán học máy nào được sử dụng trong nghiên cứu?
   Luận văn sử dụng bốn thuật toán chính: Cây quyết định (DT), K-láng giềng gần nhất (k-NN), Support Vector Machines (SVM) và Rừng ngẫu nhiên (Random Forest). Trong đó, Random Forest cho kết quả tốt nhất với độ chính xác trên 99%.

5. Phương pháp này có thể áp dụng cho các loại mã độc IoT khác không?
   Phương pháp có tính mở rộng cao, có thể điều chỉnh để phát hiện các loại mã độc IoT khác bằng cách cập nhật tập đặc trưng và huấn luyện lại mô hình với dữ liệu mới, đặc biệt là các mã độc sử dụng kỹ thuật mã hóa hoặc tấn công thực thi mã từ xa.

Kết luận

• Luận văn đã phát triển thành công phương pháp lai kết hợp đặc trưng tĩnh PSI và đặc trưng động SCG, nâng cao hiệu quả phát hiện mã độc IoT Botnet với độ chính xác trên 99%.
• Kỹ thuật lựa chọn đặc trưng và phương pháp early fusion giúp giảm thiểu sai số và tối ưu thời gian xử lý.
• Phương pháp có khả năng phát hiện các biến thể mã độc mới, phù hợp với môi trường IoT đa kiến trúc và đa dạng.
• Kết quả nghiên cứu cung cấp cơ sở khoa học và công cụ hỗ trợ cho các tổ chức an ninh mạng và doanh nghiệp phát triển giải pháp bảo mật IoT.
• Các bước tiếp theo bao gồm triển khai thực tế, mở rộng nghiên cứu cho các nền tảng mới và đào tạo nhân lực chuyên môn.

Hành động ngay hôm nay để bảo vệ hệ thống IoT của bạn trước các mối đe dọa mã độc Botnet!

Trích đoạn nội dung tài liệu

Chương 1: MÃ ĐỘC IOT BOTNET VÀ CÁC HƯỚNG PHÁT HIỆN 1. Tổng quan về mã độc IoT và IoT Botnet 1. Khái niệm mã độc IoT Mã độc, gốc tiếng Anh là Malware, là sự kết hợp của từ Malicous và Software, thường dùng để chỉ tất cả những phần mềm không mong muốn. Morrisett, mã độc là bất kỳ đoạn mã nào được thêm, thay đổi hoặc xoá bỏ từ phần mềm của hệ thống nhằm lý do gây ảnh hưởng hoặc phá hoại đến chức năng của hệ thống đó.

Trong những năm gần đây, dưới sự phát triển vũ bão của công nghệ Internet of Things (gọi tắt là IoT), các loại mã độc nhắm tới các thiết bị IoT cũng tăng lên nhanh chóng. Về cấu tạo, thiết bị IoT có các đặc trưng cơ bản của một hệ thống nhúng và khác với các thiết bị máy vi tính ở các điểm sau: - Về chức năng: Máy vi tính là vạn năng, còn hệ nhúng là chuyên dụng. - Về tài nguyên: Hệ nhúng thường có tài nguyên hạn chế hơn nhiều so với máy vi tính hoặc chỉ mạnh về một tiêu chí nào đó phục vụ chức năng chuyên dụng của mình, ví dụ hoặc bộ nhớ rất lớn, hoặc bộ tính toán rất nhanh v. Nhưng thông thường dung lượng bộ nhớ thấp (RAM), bộ nhớ flash bị hạn chế về dung lượng thường được sử dụng để lưu trữ trong các firmware - Về kiến trúc phần cứng: Hệ nhúng thường rất đa dạng về kiến trúc tùy theo chức năng mà hệ nhúng đó đảm nhiệm, kiến trúc bộ xử lý cũng khác nhiều so với máy vi tính.

Không hỗ trợ kiến trúc x86, thường sử dụng kiến trúc ARM, MIPS, PowerPC, Sparc. Bộ vi xử lý dựa trên kiến trúc MIPS sử dụng phổ biến trong thiết bị định tuyến Cisco, Linksys, Mikrotk, modem DSL v. còn bộ vi xử lý dựa trên nền ARM (Advanced RISC Machines) được sử dụng phổ biến trong điện thoại thông tinh, TVs, thiết bị di động. Như vậy, ta có thể hiểu, mã độc IoT là loại mã độc được tạo ra để nhắm tới các thiết bị IoT, lợi dụng các điểm yếu sẵn có trong lỗi kiến trúc và mã mềm kém chất Luan van 4 lượng của thiết bị để thực hiện các hành động như đánh cắp thông tin cá nhân của người sử dụng, xây dựng mạng botnet hoặc thậm chí phá hủy cả hạ tầng mạng.

Các hướng tấn công của mã độc IoT rất đa dạng, tuy nhiên chúng chủ yếu nhắm vào các tầng vật lý và tầng mạng của thiết bị IoT.1 liệt kê 15 kiểu tấn công của mã độc IoT, được trình bày trong nghiên cứu của Dange và các cộng sự [6].1: Danh sách cách kiểu tấn công của mã độc IoT Kiểu tấn STT Tầng Hoạt động Ảnh hưởng công Giảm tỷ lệ signal-to-noise Tạo nên một cuộc tấn 1 Jamming Vật lý khiến cho bên thu nhận bị công từ chối dịch vụ gián đoạn Kẻ tấn công cung cấp một Gây mất tính bí mật con đường tối ưu tới các của dữ liệu Tấn công 2 Mạng máy trạm. Tất cả thông tin sinkhole đi qua đường này đều có thể bị phục hồi bởi kẻ tấn công Can thiệp Thay đổi, chỉnh sửa chức Gây mất tính toàn 3 vào nút Vật lý năng hoặc dữ liệu của các vẹn của dữ liệu mạng nút mạng Chèn vào một nút mạng mới Gây mất dữ liệu hoặc điều khiển nút mạng đã có sẵn khiến cho tất cả các nút mạng lân cận thay Tấn công 4 Mạng đổi bảng định tuyến và chỉ blackhole truyền dữ liệu qua nút mạng này. Nút mạng nhận được gói tin sẽ ngừng chuyển tiếp gói tin. Luan van 5 Cuộc tấn công có một hoặc Gây mất tính bí mật nhiều nút mạng độc hại và và toàn vẹn của dữ một đường hầm giữa chúng.

liệu Tấn công 5 Mạng Nút mạng tấn công sẽ chặn wormhole bắt các gói tin từ một địa điểm và truyền chúng tới một nút ở rất xa. Một nút mạng có thể có Gây mất tính toàn nhiều định danh khác nhau. vẹn Tấn công 6 Mạng Các định danh này có thể sybil được dùng để giả mạo hoặc phát tán mã độc. Nút mạng độc hại đóng vai Gây mất tính riêng tư Tấn công trò như một thiết bị định và toàn vẹn của dữ 7 Selective Mạng tuyến và lựa chọn gói tin để liệu Forwarding truyền đi hoặc loại bỏ.

Kẻ tấn công liên tục gửi đi Tạo nên một cuộc tấn thông điệp HELLO để xác công từ chối dịch vụ định vị trí của các thiết bị lân cận. Thiết bị nhận được Tấn công 8 Mạng thông điệp này sẽ phải dành Hello flood một phần tài nguyên để trả lời, dẫn đến việc tăng lưu lượng mạng và tiêu tốn năng lượng. Kẻ tấn công phát lại thông Gây mất tính bí mật Tấn công điệp một cách bí mật và có 9 man-in-the Mạng thể thay đổi nội dung giao middle tiếp trong khi hai bên liên Luan van 6 lạc vẫn cho rằng đang được kết nối trực tiếp với nhau. Kẻ tấn công khiến cho thiết Gây mất tính sẵn Tấn công từ bị hoặc hệ thống mạng sàng của hệ thống 10 Mạng chối dịch vụ ngưng trệ hoạt động đối với người dùng hợp pháp.

Một hoặc nhiều nút mạng Gây mất tính sẵn Tấn công 11 Mạng độc hại liên tục gửi đi các sàng của hệ thống gây nghẽn thông điệp gây tắc nghẽn. Kẻ tấn công gửi lại các Gây mất tính riêng tư Tấn công 12 Mạng thông tin đã bị chặn bắt trên của dữ liệu phát lại đường truyền Thiết bị tiêu tốn năng Mục tiêu chính của loại tấn lượng nhanh hơn dẫn Tấn công công này là khiến cho thiết đến cạn nguồn và 13 Sleep Vật lý bị luôn hoạt động và không ngừng hoạt động. Hệ Deprivation thể đi vào trạng thái tiết thống mất tính sẵn kiệm năng lượng. Một nút mạng độc hại mới Gây mất tính toàn được chèn giữa hai hoặc vẹn của dữ liệu Chèn nút nhiều nút mạng khác.

Kẻ 14 mạng độc Vật lý tấn công điều khiển nút hại mạng này và có thể thay đổi, chỉnh sửa dữ liệu đi qua nút mạng. Các thiết bị trong mạng bị Hệ thống mất tính Xây dựng Vật lý biến thành các bot. Mỗi bot sẵn sàng, tính toàn 15 mạng lưới và lại tìm đến các nút mạng yếu vẹn và dẫn đến mất Botnet mạng và biến chúng thành bot, từ cả tính bí mật. Luan van 7 đó xây dựng nên mạng lưới Botnet.

Đây là một chu trình tuần hoàn, cho đến khi tất cả các thiết bị trong hệ thống mạng trở thành bot. Với mạng lưới Botnet, kẻ tấn công có thể chiếm quyền điều khiển hệ thống mạng, hack dữ liệu và thực hiện tấn công từ chối dịch phân tán. (Nguồn: IoT Botnet: “The Largest Threat to the IoT Network”) Như vậy, về tổng thể, mã độc IoT là loại mã độc có các hoạt động đặc trưng như: thực hiện tấn công từ chối dịch vụ phân tán; rà quét các cổng đang mở của các dịch vụ IoT như FTP, SSH hay Telnet; hay thực hiện tấn công vét cạn để chiếm quyền điều khiển thiết bị IoT. Phân loại mã độc IoT Dựa trên những đặc điểm của thiết bị IoT và các tính chất đặc trưng của mã độc, ta có thể phân loại độc IoT thành 5 loại như sau: - Worm: Mã độc truy cập hệ thống mà không cần quyền người dùng và thực hiện các hành vi độc hại tiềm tàng với khả năng nhân bản lớn.

Sâu mã độc có thể làm thay đổi các hành động bình thường của thiết bị. Có thể lấy ví dụ như sâu Stuxnet thực hiện tấn công vào các bộ điều khiển lập trình ở các nhà máy điện hạt nhân của Iran, hoặc mã độc Linux.Darlloz với khả năng lây nhiễm trên diện rộng nhiều thiết bị như thiết bị IoT dân dụng, hộp set-up. - Trojan: Là các đoạn mã độc xuất hiện dưới hình thức các chương trình hợp lệ. Sau khi kích hoạt, mã độc Trojan sẽ tấn công thiết bị chủ bằng cách tạo ra các cửa hậu để mã độc có thể truy câp dễ dàng.

Có thể kể đến như Trojan SoundMiner với khả năng trích xuất dữ liệu từ các thiết bị android. Luan van 8 - Rootkit: Được thiết kế để truy cập từ xa tới thiết bị thông qua việc chỉnh sửa nhân của hệ điều hành hoặc firmware của thiết bị. Một ví dụ về mã độc IoT Rootkit là Cloaker, với khả năng khai thác đặc trưng của vi xử lý ARM để tự ẩn giấu chính nó. - Spyware: Mã độc ẩn mình trong thiết bị để thu thập thông tin mà người dùng không biết, đồng thời có thể giám sát các hoạt động web của thiết bị.

Ví dụ về mã độc IoT Spyware như mã độc Flame (sKyWIper), một biến thể của spyware có thể tấn công diện rộng với mục đích không chỉ đánh cắp thông tin mà còn lắng nghe các tín hiệu microphone, bật Bluetooth trên thiết bị nếu có và gửi thông tin dò quét được tới thiết bị điều khiển gần nhất của hacker. - Botnet: Mã độc này lây nhiễm và khai thác các thiết bị IoT nhằm thực hiện các cuộc tấn công diện rộng như tấn công từ chối dịch vụ phân tán. Các ví dụ tiêu biểu về mã độc IoT Botnet có thể kể tới như mã độc Linux. Ngoài ra, có thể phân loại mã độc IoT dựa trên hình thức tấn công của mã độc, bao gồm hai hình thức tấn công chính theo Aohui Wang [3] là: Tấn công vét cạn (brute-force) và Tấn công thực thi mã từ xa (Remote Code Execution – RCE).

Trong đó, tấn công vét cạn là hình thức tấn công chủ yếu hiện nay. Nguyên nhân là do có rất nhiều thiết bị IoT thường sử dụng các tài khoản đăng nhập và mật khẩu mặc định yếu. Theo một báo cáo của ESET [34], có khoảng 15% các thiết bị định tuyến sử dụng mật khẩu yếu với tài khoản đăng nhập “admin”. Hình thức tấn công này có thể dễ dàng bị xử lý thông qua việc người dùng tự thay đổi tên đăng nhập và mật khẩu phức tạp hơn, hoặc các hãng sản xuất thiết lập mật khẩu mặc định an toàn hơn.

Bên cạnh đó, hình thức Tấn công thực thi mã từ xa lại dựa trên các lỗ hổng hệ thống khó được vá hơn như buffer-overflow, các dịch vụ không được mã hóa hoặc mã hóa kém. Do vậy, đây có thể là hình thức tấn công phổ biến trong tương lai gần. Mã độc IoT Botnet và nguy cơ tấn công từ chối dịch vụ IoT Botnet là một mạng lưới được tạo nên bởi các thiết bị đã lây nhiễm IoT bot. Về cơ bản, chức năng của IoT bot cũng tương tự như một bot truyền thống, tức là nó sẽ rà quét các thiết bị có chứa lỗ hổng bảo mật, lây nhiễm và biến thiết bị đó thành Luan van 9 một IoT bot mới.