Khóa Luận Tốt Nghiệp: Phát Hiện Phần Mềm Độc Hại Bằng GNN và Pháp Chung Bộ Nhớ

• Tác giả: Lê Thanh Duẫn
• Người hướng dẫn: TS. Nguyễn Tấn Cầm
• Trường học: Đại học Quốc gia TP. Hồ Chí Minh
• Chuyên ngành: Kỹ sư ngành An toàn thông tin
• Đề tài: Phát Hiện Phần Mềm Độc Hại Bằng GNN và Pháp Chung Bộ Nhớ
• Loại tài liệu: khóa luận tốt nghiệp
• Năm xuất bản: 2024
• Địa điểm: TP. Hồ Chí Minh

• LỜI CẢM ƠN
• 1. CHƯƠNG 1: GIỚI THIỆU ĐỀ TÀI
• 1.1. Mục tiêu nghiên cứu
• 1.2. Phạm vi nghiên cứu
• 1.3. Phương pháp thực hiện
• 1.4. Tình hình mã độc hiện nay
• 1.5. Giới thiệu các nghiên cứu liên quan
• 2. CHƯƠNG 2: PE FILE LÀ GÌ?
• 2.1. Cấu trúc cơ bản của PE
• 2.2. Neural Network trong Malware Detection
• 2.3. Graph Neural Network là gì?
• 2.4. Lý thuyết đồ thị trong GNN
• 2.5. Tính toán trên đồ thị
• 2.6. Memory Forensics
• 2.7. Memory Dump là gì?
• 2.8. Data structures và attacks
• 2.9. Process Analysis
• 3. CHƯƠNG 3: PHƯƠNG PHÁP THỰC HIỆN
• 3.1. Hướng tiếp cận đầu tiên
• 3.2. Xây dựng công cụ trích xuất tiến trình từ Memory Dump
• 3.3. Biểu đồ psscan từ Volatility
• 3.4. Sử dụng Volatility 3 như thư viện để xây dựng công cụ
• 3.5. Sử dụng Virustotal để phát hiện malware
• 3.6. Hướng tiếp cận thứ 2
• 3.7. Mô hình sử dụng
• 4. CHƯƠNG 4: HIỆN THỰC VÀ THỰC NGHIỆM
• 4.1. Hướng tiếp cận thứ 1
• 4.2. Công cụ trích xuất tiến trình từ Memory Dump
• 4.3. Tìm kiếm mã độc từ các tiến trình
• 4.4. Hướng tiếp cận thứ 2
• 4.5. Kiến trúc tổng quát
• 4.6. Xử lí dữ liệu cho mô hình GNN
• 4.7. Xây dựng, huấn luyện và đánh giá mô hình GNN
• 4.8. Kết quả huấn luyện
• 5. CHƯƠNG 5: HƯỚNG PHÁT TRIỂN
• REFERENCES
• DANH MỤC HÌNH
• DANH MỤC BẢNG
• DANH MỤC TỪ VIẾT TẮT
• TÓM TẮT KHÓA LUẬN

I. Tổng quan về phát hiện phần mềm độc hại bằng GNN và pháp chứng bộ nhớ

Trong bối cảnh an ninh mạng ngày càng phức tạp, việc phát hiện phần mềm độc hại trở thành một nhiệm vụ cấp thiết. Nghiên cứu này tập trung vào việc áp dụng Mạng thần kinh đồ thị (GNN) và pháp chứng bộ nhớ để phát hiện mã độc PE. GNN cho phép mô hình hóa mối quan hệ giữa các thành phần trong phần mềm, trong khi pháp chứng bộ nhớ cung cấp cái nhìn sâu sắc về hoạt động của chúng trong bộ nhớ hệ thống.

1.1. Khái niệm về phần mềm độc hại và GNN

Phần mềm độc hại, hay malware, là các chương trình gây hại cho hệ thống máy tính. GNN là một công nghệ tiên tiến giúp phân tích và phát hiện các mẫu độc hại thông qua việc xây dựng biểu đồ đại diện cho mối quan hệ giữa các thành phần trong mã độc.

1.2. Tầm quan trọng của pháp chứng bộ nhớ trong phát hiện mã độc

Pháp chứng bộ nhớ cho phép trích xuất thông tin từ bộ nhớ hệ thống, giúp xác định các tiến trình độc hại đang hoạt động. Điều này không chỉ hỗ trợ phát hiện mà còn cung cấp bằng chứng cho quá trình phân tích và xử lý sự cố.

II. Vấn đề và thách thức trong phát hiện phần mềm độc hại

Mặc dù có nhiều phương pháp phát hiện mã độc, nhưng vẫn tồn tại nhiều thách thức. Các loại mã độc ngày càng tinh vi, khó phát hiện hơn. Việc phát hiện mã độc PE đòi hỏi các kỹ thuật hiện đại và hiệu quả để đối phó với sự phát triển không ngừng của chúng.

2.1. Sự gia tăng của mã độc tống tiền

Mã độc tống tiền đã trở thành một trong những loại mã độc phổ biến nhất hiện nay. Theo báo cáo, số lượng vụ tấn công ransomware đã tăng hơn 10% trong năm 2023, gây ra thiệt hại lớn cho các tổ chức.

2.2. Tính phức tạp của mã độc hiện đại

Mã độc hiện đại thường sử dụng các kỹ thuật như mã hóa đa tầng và ẩn giấu trong các tập tin hợp pháp, làm cho việc phát hiện trở nên khó khăn hơn. Điều này đặt ra thách thức lớn cho các giải pháp an ninh mạng.

III. Phương pháp phát hiện phần mềm độc hại bằng GNN

Nghiên cứu này đề xuất một phương pháp phát hiện mã độc PE bằng cách sử dụng GNN kết hợp với pháp chứng bộ nhớ. Phương pháp này cho phép xây dựng biểu đồ đại diện cho mối quan hệ giữa các thành phần trong mã độc, từ đó phát hiện các mẫu độc hại.

3.1. Xây dựng mô hình GNN cho phát hiện mã độc

Mô hình GNN được xây dựng dựa trên dữ liệu từ pháp chứng bộ nhớ, cho phép phân tích mối quan hệ giữa các tiến trình và phát hiện các hành vi độc hại.

3.2. Quy trình thu thập và phân tích dữ liệu

Quy trình bao gồm thu thập memory dump, trích xuất thông tin tiến trình và chuẩn bị dữ liệu cho mô hình GNN. Điều này giúp tối ưu hóa khả năng phát hiện mã độc trong môi trường thực tế.

IV. Ứng dụng thực tiễn của phương pháp phát hiện mã độc

Phương pháp phát hiện mã độc bằng GNN và pháp chứng bộ nhớ đã được thử nghiệm và cho thấy hiệu quả cao trong việc phát hiện mã độc PE. Kết quả nghiên cứu cho thấy khả năng phát hiện nhanh chóng và chính xác, giúp giảm thiểu thiệt hại do mã độc gây ra.

4.1. Kết quả thử nghiệm và đánh giá hiệu suất

Kết quả thử nghiệm cho thấy mô hình GNN đạt độ chính xác cao trong việc phát hiện mã độc, với khả năng nhận diện các mẫu độc hại tiềm ẩn trong bộ nhớ hệ thống.

4.2. Tích hợp vào hệ thống an ninh mạng

Phương pháp này có thể được tích hợp vào các hệ thống an ninh mạng hiện có, giúp nâng cao khả năng phát hiện và ứng phó với các mối đe dọa mới.

V. Kết luận và tương lai của phát hiện phần mềm độc hại

Nghiên cứu này mở ra hướng đi mới trong việc phát hiện phần mềm độc hại bằng cách kết hợp GNN và pháp chứng bộ nhớ. Tương lai của phương pháp này hứa hẹn sẽ mang lại nhiều cải tiến trong lĩnh vực an ninh mạng.

5.1. Hướng phát triển tiếp theo

Cần tiếp tục nghiên cứu và phát triển các kỹ thuật mới để cải thiện khả năng phát hiện mã độc, đặc biệt là trong bối cảnh các mối đe dọa ngày càng tinh vi.

5.2. Tác động đến cộng đồng an ninh mạng

Phương pháp này không chỉ có ý nghĩa lý thuyết mà còn mang lại ứng dụng thực tiễn cao, giúp bảo vệ hệ thống khỏi các cuộc tấn công mã độc.