Chương 1. Giới thiệu đề tài. Mục tiêu nghiÊn CUU oe ecesssesssecsessecstecstesseestesseessecstesseeaeeseesueeaseeseecseeatesseesseeseeseesaes 13 1. Phạm vi nghiÊn CỨU.-s-- «+ ty HH Hư Hà Hàng nhàng rhnhykt 13 1.
Phương pháp thực hiện. Tinh hình mã độc hiện nay. Giới thiệu các nghiên cứu liên quan. Tính mới và tính khoa học của để tài.ccccccccnrtrirreeetrrrrrrrrrrreerrrrrrrrrre 20 Chương 2.
PE file là gì?. Cau trúc cơ bản của PE. DOS MZ Header. PE file header.
PE Section Header. Graph Neural NetWOTKS. HH Hàn Hành Hy 32 2. Neural Network trong Malware Detection.
Graph Neural Network là gì?. Bit co na. Lý thuyết đồ thị trong GNN. Tính toán trên đồ thị.
Memory FOT€TISICS. Memory Forensics là Si. Memory Dump là gì?. Dafa structures va ATaCfS.
PrOC€ss AnalySis v.c- sex skEEkHYHHHHHHHHHYHHÌ nHà HànHàghHu 66 Chương 3. Phương pháp thực hiỆn. Hướng tiếp cận đầu tiên. _ Xây dựng công cụ trích xuất tiến trình từ Memory Dump.
Biểu đồ psscan từ Volatility 2. Sử dụng Volatility 3 như thư viện dé xây dựng công cụ. Sử dụng Virustotal dé phát hiện malware. Hướng tiếp cận thứ 2.
Mô hình sử dụng.H HH re, 75 Chương 4. Hiện thực và thực nghiỆIm. Hướng tiếp cận thứ I. Công cụ trích xuất tiễn trình từ Memory Dump.
Trích xuất tiến trình từ Memory Dump. Tìm kiếm mã độc từ các tiến trình. Hướng tiếp cận thứ 2. _ Kiến trúc tông quát.
Xử lí dữ liệu cho mô hình GNN. Xây dựng, huấn luyện và đánh giá mô hình GNN. Kết quả huấn luyện.---+ceeccverrrrreererrrrrireerrerrrrrrrrrrrrrrre 92 Chương 5. Hướng phát triỂn.«e----«-eceeeceerrecerrrererreretrtrrrtrirrtrrrrrrrirrrrrrrerte 96 References 97 DANH MỤC HÌNH Hình 1.
Tóm tắt các phương pháp phát hiện phần mềm độc hại trên windows sử dung Graph Representation L€arn1ng.-- se ©secreEkketkkkiEkkeEkkirieieikiierie 19 Hình 2. Model Network Flow Graph Neural NÑetWOTrks. Cấu trúc cơ bản của PE. DOS MZ Header.-------5scccc+rttrirtrrrtErittrirriiriiiiiiiiriirrirrree 23 Hình 5.----5- chi HH HH rrrreg 24 Hình 6.
Các thành phan trong Portable Executable.ss- 5s + HH THẾ Hà Hà Hàn HH HH TH HH HH HH H11 nntrkg 25 Hình 8.----s--cs<ccx+erkstrkrtErittrkirtrittrirtrirtrirriiriiriirrriirrirrkrrree 26 Hình 9.--- << sc+c<+x*+kxt+kkE+ksEkkttrrtkkrtkitrrrkkrrrrrrrrkrrrrrriee 27 Hình 10.-------<s-cs+reErkktkrirtrirtrrirtiriiiiiiiiiriirirrree 28 Hình 11. Khái quát về Back-propagation. Kết quả của in ra của plugin windows. Các tiến trình được trích xuất.
Tiến trình chứa mã độc Trojan.-----ce-+++cceetrrevevrrrervvrrrrererrrrre 83 Hình 19. Mô hình kiến trúc GNN. Kết quả huấn luyện GNN.----22+ccccstirreevErrrerrvrrrrrrrrrrrrrrrrrree 93 DANH MỤC BANG Bảng 1. Top 10 field mức độ ảnh hưởng trong PE header của các tập tin PE theo I0 R¡e0i0seis1s10ii10aii077777 6.
So sánh Volatility 2 và Volatility 3. Số lượng mẫu loại phần mềm độc hại. Số lượng mẫu loại tập tin lây nhiễm.++ce2trceetrrcrztrre 74 Bảng 5. Thông số Google Colab.
Kết quả huấn luyện GNN.cc2t+rev2trrevErrerrrrtrrrrrirrrtrrrrrrrre 92 DANH MỤC TỪ VIET TAT GNN Graph Neural Network CFG Control Flow Graph PE Portal Executable COFF Common Object File Format CNN Convolutional Neural Network RNN Recurrent Neural Networks DDoS Distributed Denial-of-Service loT Internet of Things LSTM Long Short-Term Memory GCN Graph Convolutional Network ReLU Rectified Linear Unit GraphSAGE Graph Sample and Aggregated RAM Random Access Memory GAT Graph Attention Network FCG Function Call Graph API Application Programming Interface TÓM TẮT KHÓA LUẬN Nghiên cứu tập trung vào phương pháp phát hiện phần mềm độc hại PE thông qua việc sử dụng mang thần kinh đồ thị từ đữ liệu pháp chứng bộ nhớ. Mạng than kinh đồ thị là một công nghệ tiên tiến giúp mô hình hóa mối quan hệ giữa các thành phan trong phần mềm, tạo ra một biéu đồ độ thị phức tạp. Kết hợp với pháp chứng bộ nhớ, ta có thể nắm bắt được những thay đổi động trong bộ nhớ của hệ thống khi có sự tương tác của phân mêm độc hại. Quan trọng nhất, nghiên cứu này sẽ trình bày một phương pháp hiệu qua dé phát hiện mã độc PE bang cách theo dõi các biến đổi trong mang thần kinh đồ thị khi phần mềm chạy.
Việc này giúp chúng ta xác định những đặc điểm độc hại mà PE có thể tạo ra và từ đó xác định được sự xuất hiện của phần mềm gây hại. Đồng thời, sử dụng pháp chứng bộ nhớ, chúng ta có thể kiểm tra sự thay đổi trong bộ nhớ khi PE thực hiện các hoạt động độc hại. Điều này không chỉ giúp xác định phần mềm độc hại mà còn cung cấp bằng chứng hữu ích cho quá trình phân tích và đôi phó với môi đe dọa. Ngoài ra, nghiên cứu này cũng đề xuất việc tích hợp các kỹ thuật máy hoc dé cải thiện khả năng phát hiện và phân loại phần mềm độc hại PE.
Sự kết hợp này mang lại khả năng tự động hóa quá trình phát hiện, giúp hệ thống ngày càng nhanh chóng và chính xác hơn trong việc đôi phó với các môi đe dọa mới và phức tạp. Cuối cùng, kết quả của nghiên cứu này không chỉ có ý nghĩa lý thuyết mà còn mang lại ứng dụng thực tẾ cao, giúp cải thiện việc phát hiện, xử lí sớm mã độc trong các tình huống tấn công an ninh mạng, khả năng bảo vệ và giảm thiêu thiệt hại do phan mềm độc hai PE gây ra. Tổng quan Chương này đưa ra sự giới thiệu về những vấn đề chính tôi tập trung nghiên cứu, cùng với các bài nghiên cứu về mã độc và GNN liên quan đã được thực hiện từ trước đó. Cùng với đó, tôi sẽ nêu rõ hơn về phạm vi và cấu trúc của Khóa luận.
Giới thiệu đề tài. Trước sự gia tăng đáng ké của các mối nguy hiểm trên không gian mạng hiện nay và sự tiễn triển không ngừng của phần mềm độc hại, việc đối mặt với thách thức phát hiện và phân tích malware trở thành một yếu tố đặc biệt quan trọng trong lĩnh vực bảo mật mạng và an ninh thông tin. Nghiên cứu này đặc trọng điểm vào mục tiêu phát triển một phương pháp tiên tiến, kết hợp Mạng thần kinh đồ thị (GNN) và Pháp chứng bộ nhớ (Memory Forensics), nhằm xác định và nhận biết phần mềm độc hại PE trong bối cảnh cuộc tấn công, nhằm giúp quản trị viên có khả năng phát hiện, xử lí, và loại bỏ mã độc nguy cơ ngay từ khi nó tắn công vào máy tính. Đối với loại phần mềm độc hại PE (Portable Executable) - một dạng tập tin thực thi chủ yếu chạy trên hệ điều hành Windows, bao gồm các định dạng tệp như.
- thì nó thường lan truyền thông qua các phương tiện như email với tệp đính kèm, tải xuống từ internet, hoặc tir chính các lỗ hồng bảo mật. Điều này làm tăng nguy cơ nhiễm phải malware PE, và vì vậy, nghiên cứu này hướng đến mục tiêu là phát triển một hệ thống có khả năng phát hiện và xử lí các mối nguy hiêm này nhanh chóng và hiệu quả. Kĩ thuật Pháp chứng bộ nhớ (Memory Forensics) được tích hợp dé thực hiện trích xuất ra các tiễn trình PE đang chạy trên hệ thống và trong đó có chứa tiến trình độc hại. Pháp chứng bộ nhớ không chỉ đơn thuần trích xuất thông tin tiến trình từ bộ nhớ hệ thống mà còn làm nổi bật các tiến trình PE liên quan, cung cấp một cái nhìn chỉ tiết và đầy đủ về sự hoạt động của chúng.
Bằng cách này, nó giúp xác định các tiễn trình có thé đang làm việc nhưng mang theo mối đe dọa độc hại. 12 Mạng thần kinh đồ thị (GNN) đóng một vai trò vô cùng quan trọng trong việc phát hiện phần mềm độc hại này. Bang cách sử dụng GNN, chúng ta có thé xây dựng biểu đồ đại điện cho mối quan hệ phức tạp giữa các thành phan của tập tin PE. Từ những biểu đồ này, chúng ta có thé nhận diện các tương tác và phụ thuộc quan trọng, làm nôi bật các mẫu độc hại tiềm ấn.
Điều này tạo nền tảng dé phat hién va ngăn chặn các cuộc tân công từ phan mêm độc hai PE. Mục tiêu nghiên cứu Mục tiêu chính của đề tài là: Xây dựng một hệ thống phát hiện phần mềm độc, tìm kiếm các dấu vết độc hại trong hệ thống đang hoạt động bằng Mạng thần kinh đồ thị (GNN) dựa trên dữ liệu từ pháp chứng bộ nhớ từ một cuộc tấn công an ninh mang,. Việc phát hiện nhanh chóng góp phan giảm thiểu thiệt hại, xử lí nhanh và loại bỏ mã độc ra khỏi máy bị nhiễm mã độc. Phạm vi nghiên cứu Phạm vi của đề tài này sẽ bao gồm: - Phát triển một mô hình Mạng thần kinh đồ thị dé phát hiện phần mềm độc hai dựa trên tập dữ liệu pháp chứng bộ nhớ xác định mã độc và các dấu hiệu của mã độc.
- Thử nghiệm và đánh giá hiệu suất của hệ thống trên các tình huống thử nghiệm và tập dữ liệu mẫu phức tạp. Phương pháp thực hiện Quá trình thu thập memory dump và trích xuất tiến trình dé làm dữ liệu cho Mang thần kinh đồ thị (GNN) trong việc phát hiện mã độc hại có thé được thực hiện thông qua các bước sau: Bước 1: Thu thập Memory Dump: - Sử dụng các công cụ hoặc phần mềm dé thu thập memory dump từ hệ thông bị tân công, hoặc có dâu hiệu bị tân công. 13 - Lên lịch và thực hiện việc thu thập memory dump trong các thời điểm quan trọng, như khi phát hiện hoạt động bất thường hoặc sau khi phát hiện các mối đe đọa. - Tự tạo các cuộc tấn công mã độc đề thu thập memory dump làm dữ liệu.
Bước 2: Trích xuất tiễn trình từ Memory Dump: - Sử dụng công cụ pháp chứng bộ nhớ đề phân tích memory dump và trích xuất thông tin về các tiến trình đang hoạt động trong hệ thống. - Lay danh sách các tiên trình, mã máy, va các môi quan hệ gitra chúng từ dữ liệu memory dump. Bước 3: Chuẩn bị dữ liệu cho GNN: - Chuyển đổi thông tin về tiến trình và mối quan hệ giữa chúng thành định dang phù hợp dé làm dữ liệu đầu vào cho mô hình GNN. - Tạo biêu đô đô thị với các đỉnh đại diện cho các tiên trình và cạnh đại diện cho mối quan hệ giữa chúng.
Bước 4: Xây dựng và huấn luyện mô hình GNN: - Sử dung dif liệu biéu đồ từ memory dump dé xây dựng mô hình GNN. - Tiến hành quá trình huấn luyện mô hình GNN bang cách sử dụng các mẫu dữ liệu đã được đánh giá và gán nhãn, bao gồm cả các tiến trình độc hại và không độc hại. Bước 5: Đánh giá và tinh chỉnh mô hình: - Đánh giá hiệu suất của mô hình GNN trên bộ dữ liệu kiểm tra, sử dụng các độ đo như độ nhạy, độ chính xác, và độ đặc hiệu. - Tinh chỉnh tham số mô hình và cập nhật mô hình dựa trên kết quả đánh giá dé tối ưu hóa khả năng phát hiện.
Bước 6: Triển khai và theo dõi: 14 - Triển khai mô hình GNN vào hệ thống thực tế dé theo dõi và phát hiện mẫu độc hại từ memory dump mới. - Liên tục theo dõi hoạt động của mô hình và cập nhật dữ liệu dao tạo đề đối mặt với các thách thức mới xuất hiện.