Mô Hình Phát Hiện Tấn Công Web Dựa Vào Kỹ Thuật Bay Mạng Và Quy Trình MLOps

Khóa luận tốt nghiệp nghiên cứu tốt nghiệp an toàn thông tin mô hình phát hiện tấn công web dựa vào kỹ thuật bẫy mạng và quy trình, vận dụng lý thuyết vào thực tế, đề xuất giải

• Tác giả: Phạm Đức Trọng
• Người hướng dẫn: ThS. Phan Thế Duy
• Trường học: Đại học Quốc gia TP. Hồ Chí Minh
• Chuyên ngành: Kỹ sư ngành An toàn thông tin
• Đề tài: Phát Hiện Tấn Công Web Dựa Vào Kỹ Thuật Bay Mạng Và Quy Trình MLOps
• Loại tài liệu: khóa luận tốt nghiệp
• Năm xuất bản: 2022
• Địa điểm: TP. Hồ Chí Minh

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. CHƯƠNG 1: TỔNG QUAN ĐỀ TÀI
• 1.1. Lý do chọn đề tài
• 1.2. Mục tiêu nghiên cứu
• 1.3. Phạm vi nghiên cứu
• 1.4. Đối tượng nghiên cứu
• 1.5. Phương pháp thực hiện
• 1.6. Cấu trúc khóa luận
• 2. CHƯƠNG 2: TỔNG QUAN TÌNH HÌNH NGHIÊN CỨU
• 2.1. Tình hình nghiên cứu và các công trình liên quan
• 2.2. Một số cải tiến so với nghiên cứu khác
• 2.3. Ý nghĩa khoa học và thực tiễn của đề tài
• 2.3.1. Ý nghĩa khoa học
• 2.3.2. Ý nghĩa thực tiễn
• 3. CHƯƠNG 3: CƠ SỞ LÝ THUYẾT
• 3.1. Học máy và cách xây dựng mô hình học máy
• 3.1.1. Học máy (Machine Learning) là gì?
• 3.1.2. Phân loại thuật toán ML
• 4. CHƯƠNG 4: PHƯƠNG PHÁP THỰC HIỆN
• 4.1. Thiết kế mô hình tổng quan
• 4.2. Tiền xử lý dữ liệu
• 4.3. Tạo và huấn luyện mô hình học máy
• 4.4. Kiểm tra mô hình học máy
• 4.5. Thực hiện tạo ảnh docker
• 4.6. Xây dựng hệ thống bẫy mạng
• 4.6.1. Tổng quan bẫy mạng
• 4.6.2. Quá trình thu thập log
• 4.6.3. Bộ kích hoạt (Trigger)
• 4.6.4. Quản lý danh sách được phép truy cập
• 4.6.5. Quản lý máy chủ trang mạng Nginx
• 4.6.6. Xử lý nhật ký truy cập
• 5. CHƯƠNG 5: HIỆN THỰC VÀ THỰC NGHIỆM
• 5.1. Hiện thực quá trình
• 5.1.1. Tạo mô hình học máy
• 5.1.2. Tạo tệp dữ liệu dataset
• 5.1.3. Tạo đường dẫn Kubeflow
• 5.1.4. Xây dựng bẫy mạng (honeypot)
• 5.1.5. Xử lý nhật ký truy cập
• 5.1.5.1. Quản lý danh sách được phép truy cập
• 5.1.5.2. Quản lý máy chủ trang mạng Nginx
• 5.1.5.3. Xử lý nhật ký truy cập
• 5.2. Tập dữ liệu thực nghiệm
• 5.2.1. Tạo tập dữ liệu
• 5.2.2. Tập dữ liệu thu được
• 5.2.3. Tập dữ liệu công bố trên mạng
• 5.3. Phương pháp đánh giá
• 5.4. Mô hình được huấn luyện trong lần đầu tiên
• 5.5. Huấn luyện mô hình học máy trên tập dữ liệu Fwaf
• 5.6. Khả năng phát hiện mã tấn công mới
• 6. CHƯƠNG 6: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• 6.1. Kết luận
• 6.2. Hướng phát triển
• Danh sách hình vẽ
• Danh sách bảng
• Danh mục từ viết tắt
• Danh mục từ tạm dịch
• TÓM TẮT KHÓA LUẬN

Tóm tắt

I. Tổng Quan Về Phát Hiện Tấn Công Web Dựa Vào Kỹ Thuật Bay Mạng

Phát hiện tấn công web là một lĩnh vực quan trọng trong an ninh mạng. Với sự gia tăng của các cuộc tấn công mạng, việc phát hiện và ngăn chặn các mối đe dọa trở nên cấp thiết hơn bao giờ hết. Kỹ thuật bay mạng (Honeypot) đã được chứng minh là một phương pháp hiệu quả trong việc thu hút và phân tích các cuộc tấn công. Bài viết này sẽ khám phá cách mà kỹ thuật bay mạng kết hợp với quy trình MLOps có thể cải thiện khả năng phát hiện tấn công web.

1.1. Lý Do Chọn Đề Tài Phát Hiện Tấn Công Web

Sự bùng nổ của Internet đã tạo ra nhiều thách thức trong an ninh mạng. Các trang web ngày càng trở thành mục tiêu của kẻ tấn công. Việc phát hiện tấn công web hiệu quả là cần thiết để bảo vệ thông tin và tài nguyên của tổ chức.

1.2. Mục Tiêu Nghiên Cứu Về Kỹ Thuật Bay Mạng

Mục tiêu nghiên cứu là xây dựng một hệ thống phát hiện tấn công web tự động thông qua việc sử dụng kỹ thuật bay mạng. Hệ thống này sẽ thu thập dữ liệu tấn công và áp dụng các mô hình học máy để phân loại và phát hiện các cuộc tấn công mới.

II. Thách Thức Trong Phát Hiện Tấn Công Web Hiện Nay

Mặc dù có nhiều phương pháp phát hiện tấn công, nhưng vẫn tồn tại nhiều thách thức. Các cuộc tấn công ngày càng tinh vi và khó phát hiện hơn. Việc cập nhật dữ liệu về các hình thức tấn công mới cũng là một vấn đề lớn. Hệ thống phát hiện truyền thống thường không đủ nhanh nhạy để đối phó với các mối đe dọa mới.

2.1. Các Hình Thức Tấn Công Phổ Biến

Các hình thức tấn công như SQL Injection, Cross-Site Scripting (XSS) và DoS đang gia tăng. Những hình thức này thường khó phát hiện nếu không có các biện pháp bảo vệ phù hợp.

2.2. Khó Khăn Trong Việc Cập Nhật Dữ Liệu

Việc cập nhật dữ liệu về các cuộc tấn công mới là một thách thức lớn. Nhiều hệ thống không thể theo kịp với tốc độ phát triển của các mối đe dọa mới, dẫn đến việc phát hiện không hiệu quả.

III. Phương Pháp Phát Hiện Tấn Công Web Bằng Kỹ Thuật Bay Mạng

Kỹ thuật bay mạng là một phương pháp hiệu quả trong việc phát hiện tấn công web. Bằng cách tạo ra các bẫy mạng, hệ thống có thể thu hút kẻ tấn công và thu thập dữ liệu về các cuộc tấn công. Quy trình MLOps giúp tự động hóa việc thu thập và phân tích dữ liệu, từ đó cải thiện khả năng phát hiện.

3.1. Cách Thức Hoạt Động Của Kỹ Thuật Bay Mạng

Kỹ thuật bay mạng hoạt động bằng cách tạo ra các môi trường giả lập để thu hút kẻ tấn công. Những môi trường này cho phép thu thập dữ liệu về hành vi tấn công và từ đó cải thiện khả năng phát hiện.

3.2. Quy Trình MLOps Trong Phát Hiện Tấn Công

Quy trình MLOps giúp tự động hóa các bước từ thu thập dữ liệu, huấn luyện mô hình đến triển khai. Điều này giúp giảm thiểu thời gian và công sức cần thiết để phát hiện các cuộc tấn công mới.

IV. Ứng Dụng Thực Tiễn Của Kỹ Thuật Bay Mạng Trong An Ninh Mạng

Kỹ thuật bay mạng không chỉ giúp phát hiện tấn công mà còn cung cấp thông tin quý giá cho việc cải thiện an ninh mạng. Các tổ chức có thể sử dụng dữ liệu thu thập được để nâng cao khả năng phòng ngừa và ứng phó với các cuộc tấn công.

4.1. Tăng Cường An Ninh Mạng Nhờ Dữ Liệu Từ Bay Mạng

Dữ liệu thu thập từ các bẫy mạng có thể được sử dụng để phân tích và cải thiện các biện pháp bảo vệ. Điều này giúp tổ chức phát hiện và ngăn chặn các cuộc tấn công hiệu quả hơn.

4.2. Kết Quả Nghiên Cứu Về Phát Hiện Tấn Công

Nghiên cứu cho thấy việc áp dụng kỹ thuật bay mạng kết hợp với MLOps có thể cải thiện đáng kể tỷ lệ phát hiện tấn công. Các tổ chức có thể giảm thiểu rủi ro và bảo vệ thông tin tốt hơn.

V. Kết Luận Về Tương Lai Của Phát Hiện Tấn Công Web

Tương lai của phát hiện tấn công web sẽ phụ thuộc vào khả năng áp dụng các công nghệ mới như trí tuệ nhân tạo và học máy. Kỹ thuật bay mạng sẽ tiếp tục đóng vai trò quan trọng trong việc thu thập dữ liệu và phát hiện các cuộc tấn công mới.

5.1. Xu Hướng Phát Triển Trong An Ninh Mạng

Xu hướng phát triển trong an ninh mạng sẽ tập trung vào việc sử dụng trí tuệ nhân tạo để cải thiện khả năng phát hiện và ứng phó với các cuộc tấn công. Kỹ thuật bay mạng sẽ là một phần không thể thiếu trong chiến lược này.

5.2. Tầm Quan Trọng Của Tự Động Hóa Trong Phát Hiện Tấn Công

Tự động hóa quy trình phát hiện tấn công sẽ giúp giảm thiểu thời gian phản ứng và nâng cao hiệu quả. Các tổ chức cần đầu tư vào công nghệ để cải thiện khả năng bảo vệ của mình.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Sự phát triển nhanh chóng của các ứng dụng mạng (website) nhằm phục vụ nhu cầu người dùng đã khiến các hệ thống này trở thành mục tiêu hàng đầu của các cuộc tấn công mạng. Nhằm bảo vệ hệ thống trước các nguy cơ an ninh, các giải pháp phát hiện tấn công truyền thống chủ yếu dựa trên các đặc điểm nhận dạng đã xác định trước (signature-based). Phương pháp này vận hành bằng cách đối chiếu lưu lượng yêu cầu của người dùng với các mẫu tấn công đã biết trong cơ sở dữ liệu. Mặc dù đạt hiệu quả đối với các dạng tấn công cũ, phương pháp này đòi hỏi sự can thiệp thủ công liên tục của con người trong việc thu thập, phân tích và cập nhật dấu hiệu, đồng thời không có khả năng nhận biết các cuộc tấn công sử dụng mã khai thác mới (0-day hoặc 1-day).

Để khắc phục nhược điểm trên, các nghiên cứu gần đây đã ứng dụng học máy (Machine Learning) nhằm tự động phân loại lưu lượng độc hại. Tuy nhiên, cách tiếp cận này bộc lộ những rào cản thực tiễn: việc thu thập và cập nhật các dạng tấn công mới vào tập dữ liệu diễn ra chậm; quy trình xây dựng, huấn luyện mô hình học máy gồm nhiều kịch bản phức tạp, đòi hỏi người quản trị phải có chuyên môn sâu, thiếu tính tự động hóa và thiếu sự trực quan; đồng thời việc cập nhật dữ liệu liên tục thường dẫn đến hiện tượng mô hình quên các tri thức đã học trước đó. Nhằm giải quyết các hạn chế này, tác giả đã kết hợp kỹ thuật bẫy mạng (honeypot) để dẫn dụ tin tặc và thu thập dữ liệu tấn công mới kịp thời, kết hợp cùng quy trình vận hành học máy (MLOps) và kỹ thuật học tiệm tiến.

Mục tiêu nghiên cứu: Nghiên cứu, thiết kế và xây dựng hệ thống phát hiện tấn công trang mạng thông qua việc tự động thu thập lưu lượng từ bẫy mạng để tạo lập tập dữ liệu riêng, áp dụng mô hình học máy để phân loại, đồng thời tự động hóa toàn bộ vòng đời huấn luyện và triển khai nhằm nhanh chóng thích ứng với các mã khai thác mới.

Phạm vi nghiên cứu (5 nội dung cụ thể):

1. Xây dựng bẫy mạng đa dạng và thu thập nhiều tập dữ liệu tấn công.
2. Làm sạch dữ liệu, loại bỏ nhiễu gây ảnh hưởng đến chất lượng huấn luyện mô hình học máy.
3. Lựa chọn thuật toán phù hợp để đưa vào huấn luyện mô hình học máy.
4. Tập trung nghiên cứu và ứng dụng khả năng học tiệm tiến (incremental learning) của mô hình học máy.
5. Tự động hóa toàn bộ quy trình từ khâu thu thập dữ liệu, tiền xử lý, huấn luyện, kiểm tra cho đến triển khai đưa vào sử dụng.

Đối tượng nghiên cứu: Hệ thống bẫy mạng (Honeypot), tập dữ liệu (Dataset), mô hình máy học (Machine Learning Model) và quy trình vận hành học máy (MLOps).

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng hệ thống dựa trên các nền tảng lý thuyết và công nghệ chuyên sâu thuộc lĩnh vực an toàn thông tin và kỹ nghệ dữ liệu:

• Học máy và học tiệm tiến: Hệ thống phân loại thuật toán thành học có giám sát (phân loại, hồi quy) và học không giám sát (phân cụm, luật kết hợp); chuẩn hóa quy trình 7 bước phát triển mô hình (thu thập dữ liệu, chọn mô hình, huấn luyện, đánh giá, điều chỉnh thông số xử lý hiện tượng quá khớp/chưa khớp, dự đoán). Nhằm khắc phục tình trạng mất tri thức cũ khi cập nhật luồng dữ liệu mới, khóa luận nghiên cứu lý thuyết học tiệm tiến (incremental/online learning), cho phép mô hình thích ứng liên tục với dữ liệu mới theo thời gian.
• Quy trình vận hành học máy (MLOps): Khung phương pháp kết hợp giữa Machine Learning, DevOps và Data Engineering nhằm tự động hóa việc đóng gói, kiểm thử, lập lịch tái huấn luyện và triển khai mô hình vào hệ thống vận hành. Khóa luận nghiên cứu các công cụ chuyên dụng như Neptune, Polyaxon và lựa chọn nền tảng Kubeflow Pipelines trên nền tảng điều phối Kubernetes.
• Kỹ thuật bẫy mạng (Honeypot): Nền tảng giả lập tài nguyên hệ thống nhằm thu hút sự xâm nhập trái phép, phục vụ mục đích theo dõi hành vi, công cụ và chiến thuật của tin tặc với ưu điểm tiêu tốn ít tài nguyên và tập trung dữ liệu độc hại giá trị cao.
• Phân tích đặc trưng các cuộc tấn công web phổ biến: Nghiên cứu cơ chế và dấu hiệu nhận diện của 6 loại tấn công:
  • SQL Injection: Khai thác lỗ hổng truy vấn cơ sở dữ liệu qua các chuỗi đặc trưng như ' or sleep(), --, /* */, 1=1.
  • Cross-Site Scripting (XSS): Chèn mã kịch bản độc hại phía client, chứa các chuỗi onerror, <img, <script, alert(, promt(, document..
  • OS Command Injection: Thực thi lệnh hệ điều hành thông qua các ký tự và lệnh cat /etc/passwd, ls, id, whoami, IFS=, ifconfig, ;, &&, ||, >, <, /.
  • Local File Inclusion (LFI): Đọc tệp tin cục bộ trái phép qua các chuỗi ../, etc/passwd, php://, file://, hoặc chuỗi mã hóa URL %252e%252e%252f.
  • Path Traversal: Duyệt thư mục trái phép qua các định dạng %2e%2e%2f, %c0%ae%c0%ae%c0%af, %uff0e%uff0e%u2215.
  • Remote Code Execution (RCE): Thực thi mã từ xa dựa trên các hàm hệ thống của ngôn ngữ lập trình như runtime, processbuilder, system, shell_exec, exec, execsync.
• Hạ tầng và công nghệ triển khai: Nền tảng ảo hóa đóng gói Docker (Docker container), máy chủ web Nginx, công cụ quản lý tường lửa UFW (Uncomplicated Firewall) và ngôn ngữ lập trình Java.

Phương pháp nghiên cứu thực tế:

• Phương pháp thực nghiệm kỹ thuật: Thiết kế hệ thống bẫy mạng để hứng lưu lượng thực tế, kết hợp cấu hình Nginx và UFW để phân luồng và trích xuất nhật ký truy cập.
• Phương pháp tiền xử lý và biểu diễn dữ liệu: Trích xuất chuỗi yêu cầu HTTP từ nhật ký, làm sạch và xác thực thông qua bộ quy tắc của tường lửa ứng dụng web ModSecurity; mã hóa và chuyển đổi dữ liệu đầu vào thành ma trận 2 chiều kích thước (28, 28) để làm đầu vào cho mô hình học máy.
• Phương pháp thực nghiệm mô hình: Huấn luyện và so sánh các thuật toán học máy từ thư viện Scikit-learn và Keras, bao gồm: Support Vector Machine (SVM), Convolutional Neural Network (CNN), K-Nearest Neighbor (KNN) và Logistic Regression (LR).
• Phương pháp đánh giá: Đo lường sai số bằng hàm tổn thất sai số toàn phương trung bình (Mean Square Error - MSE) trên tập dữ liệu kiểm tra.

Nguồn dữ liệu:

• Tập dữ liệu tự thu thập từ hệ thống bẫy mạng do nhóm tác giả vận hành.
• Tập dữ liệu chuẩn Fwaf được công bố công khai trên mạng phục vụ đánh giá so chuẩn.

Thiết kế và triển khai

Hệ thống được thiết kế theo mô hình kiến trúc phân tán gồm 4 cụm máy chủ (host) độc lập, phối hợp thông qua các luồng điều khiển, luồng dữ liệu và luồng phân phát dịch vụ:

Thành phần cụm	Nhiệm vụ chính trong kiến trúc	Công nghệ sử dụng
Bẫy mạng (Honeypot)	Giả lập ứng dụng cần bảo vệ, dẫn dụ tin tặc, ghi nhận nhật ký truy cập và phối hợp tường lửa phân tách lưu lượng	Nginx, UFW, Docker
Kho lưu trữ (Data Storage)	Lưu trữ tệp nhật ký thô, tập dữ liệu huấn luyện đã xử lý và các tệp mô hình đã lưu trữ (.h5)	File Storage System
Hệ thống MLOps (Kubeflow)	Tự động hóa đường ống xử lý dữ liệu, huấn luyện, kiểm thử và điều phối mô hình	Kubeflow Pipelines, Docker Containers
Trang triển khai mô hình (Serving Website)	Nhận mô hình tối ưu đã được kiểm định từ kho lưu trữ để phân loại lưu lượng web thời gian thực	Python Serving API, H5 Model Loader

Quá trình vận hành tự động của đường ống Kubeflow được đóng gói thành các Docker image độc lập với 6 thành phần chuyên trách:

1. Thu thập nhật ký (Collect log): Gửi tín hiệu kích hoạt honeypot đồng bộ hóa nhật ký truy cập, chuẩn hóa định dạng và đẩy dữ liệu lên kho lưu trữ.
2. Tiền xử lý dữ liệu (Preprocess data): Kiểm tra trạng thái mô hình trên kho lưu trữ. Nếu mô hình chưa tồn tại, kích hoạt luồng huấn luyện ban đầu; nếu mô hình đã tồn tại, kiểm tra dữ liệu mới, áp dụng bộ luật ModSecurity để làm sạch, gán nhãn dữ liệu (nhãn 1 cho yêu cầu bất thường/độc hại, nhãn 0 cho yêu cầu bình thường) và chia tập dữ liệu thành ba phần: huấn luyện (training), xác thực (validation) và kiểm tra (testing).
3. Tạo và huấn luyện mô hình (Train model): Khởi tạo cấu trúc mô hình học máy và huấn luyện từ đầu trên tập dữ liệu ban đầu.
4. Tái huấn luyện mô hình (Retrain model): Lấy mô hình hiện hành từ kho lưu trữ và thực hiện kỹ thuật học tiệm tiến với tập dữ liệu mới thu nạp.
5. Kiểm tra mô hình (Test model): Đánh giá hiệu năng dự đoán trên tập dữ liệu kiểm tra độc lập và tính toán chỉ số sai số toàn phương trung bình (MSE).
6. Triển khai mô hình (Deploy model): Kiểm tra chỉ số MSE; nếu giá trị đạt ngưỡng cho phép, mô hình được đóng gói và cập nhật sang trang triển khai (Serving Website). Nếu không đạt, đường ống kích hoạt cảnh báo để tự động chạy lại quy trình.

Quy trình xử lý đặc trưng đầu vào biến đổi chuỗi HTTP request thô thành mảng vector số học thông qua cơ chế mã hóa ký tự (tb encode), sau đó tái cấu trúc thành mảng ma trận kích thước (28, 28) tương tự như định dạng ma trận ảnh để đưa vào các mạng nơ-ron và thuật toán phân loại.

Nội dung chính theo từng chương

Chương 1: Tổng quan đề tài

Chương 1 thiết lập tính cấp thiết của nghiên cứu trước bối cảnh các cuộc tấn công nhắm vào website gia tăng mạnh. Tác giả phân tích các điểm nghẽn của phương pháp phát hiện dựa trên chữ ký cố định và phương pháp học máy thủ công truyền thống. Từ đó, xác định mục tiêu xây dựng một hệ thống phát hiện tấn công tự động hóa khép kín từ bẫy mạng đến MLOps, đồng thời làm rõ 5 phạm vi kỹ thuật, 4 đối tượng nghiên cứu và cấu trúc tổng quát của báo cáo.

Chương 2: Tổng quan tình hình nghiên cứu

Chương này tổng thuật các công trình nghiên cứu tiêu biểu trong và ngoài nước:

• Công trình của Frederico A. Silveira sử dụng học máy phát hiện tấn công từ chối dịch vụ (DoS) dựa trên đặc điểm nhận dạng trích xuất từ lưu lượng, đạt tỷ lệ phát hiện (DR) trên 96% ở tỷ lệ lấy mẫu 20%.
• Nghiên cứu của Jingxi Liang sử dụng học sâu không giám sát với hai mạng RNN (LSTM/GRU) để học lưu lượng bình thường, sau đó dùng bộ phân loại nơ-ron nhận diện yêu cầu bất thường.
• Giải pháp của Zhang Yunyi phân tích chuỗi hành vi người dùng bằng mô hình tuần hoàn LSTM, đạt độ chính xác 99,87% trên bộ dữ liệu CSIC 2010.
• Khảo sát của Xiao Han khẳng định tính khả thi của bẫy mạng trong phát hiện tấn công nhưng nhấn mạnh không thể dùng honeypot làm giải pháp độc lập duy nhất.
• Nghiên cứu của Nikola Stevanovic (2021) "Web attack detection based on traps" kết hợp honeypot để thu thập yêu cầu độc hại và huấn luyện học máy liên tục, đạt tỷ lệ phát hiện 99,55% với tấn công thông thường và 95,95% với tấn công zero-day.

Trên cơ sở đó, tác giả chỉ ra các điểm cải tiến cốt lõi: chuyển đổi các thao tác thủ công trong công trình của Stevanovic thành quy trình tự động hóa hoàn toàn bằng MLOps trên nền tảng Kubeflow; áp dụng thuật toán học gia tăng để ngăn ngừa hiện tượng quên dữ liệu cũ; làm sạch dữ liệu bằng bộ luật ModSecurity; sử dụng bẫy mạng mô phỏng chính xác dịch vụ cần bảo vệ; và thiết lập khả năng lập lịch tái huấn luyện tự động. Chương này cũng phân tích ý nghĩa khoa học và giá trị thực tiễn của đề tài trong việc tối ưu hóa chi phí đầu tư và tài nguyên vận hành.

Chương 3: Cơ sở lý thuyết

Chương 3 trình bày toàn diện các khái niệm nền tảng: lý thuyết học máy (học có giám sát, học không giám sát, quy trình 7 bước huấn luyện, hiện tượng quá khớp, chưa khớp, tốc độ học và gradient descent); nguyên lý học tiệm tiến và các thuật toán hỗ trợ (như IDE4, ID5R, RBF, Learn++, Fuzzy ARTMAP, TopoART, IGNG, SVM tiệm tiến); khung lý thuyết MLOps (vai trò kết hợp ML, DevOps, Data Engineering, cấu trúc ML Pipelines và CI/CD); giới thiệu các công cụ MLOps (Neptune, Kubeflow, Polyaxon); bản chất, ưu điểm, nhược điểm và phân loại công nghệ Honeypot; phân tích cơ chế và đặc điểm nhận biết 6 dạng tấn công web (SQLi, XSS, OS Command Injection, LFI, Path Traversal, RCE); cùng các công nghệ hệ thống bổ trợ gồm Docker, Nginx, tường lửa UFW và ngôn ngữ Java.

Chương 4: Phương pháp thực hiện

Chương 4 tập trung vào thiết kế kỹ thuật của hệ thống. Tác giả trình bày sơ đồ tổng quan gồm 4 cụm máy chủ và mô hình phân loại đầu ra nhị phân (Malicious / Normal). Dữ liệu đầu vào dạng chuỗi được chuyển đổi qua hàm mã hóa để tạo thành mảng kích thước (28, 28). Chương này mô tả chi tiết quy trình hoạt động của đường ống Kubeflow Pipelines qua 6 giai đoạn Docker hóa, quy trình rẽ nhánh kiểm tra mô hình cũ và dữ liệu mới trong khối tiền xử lý. Đồng thời, chương công bố dữ liệu trong tệp nhật ký cũ đã thu thập và xử lý:

Loại yêu cầu	Số lượng mẫu	Tỷ lệ (%)
Yêu cầu bình thường (Normal)	16.223	40,45%
Yêu cầu bất thường (Malicious)	23.887	59,55%
Tổng số lượng mẫu	40.110	100,00%

Chương 5: Hiện thực và thực nghiệm

Chương 5 thuyết minh chi tiết quá trình hiện thực hóa các thành phần hệ thống: xây dựng các tệp Dockerfile đóng gói từng module, cấu hình đường ống Kubeflow Pipelines, thiết lập máy chủ bẫy mạng Honeypot với Nginx và các bộ lọc quy tắc. Chương này phân tích cơ cấu các bộ dữ liệu thực nghiệm (tập dữ liệu thu được, tập dữ liệu huấn luyện, tập dữ liệu tái huấn luyện, tập dữ liệu công bố Fwaf); thiết lập phương pháp đánh giá qua chỉ số MSE; tiến hành huấn luyện mô hình ban đầu trên 4 thuật toán (SVM, CNN, KNN, LR); thực nghiệm khả năng tái huấn luyện bằng học tiệm tiến và đánh giá năng lực phát hiện các mẫu mã tấn công mới.

Chương 6: Kết luận và hướng phát triển

Chương cuối tổng kết lại các mục tiêu đã hoàn thành của đề tài, bao gồm việc xây dựng thành công kiến trúc tích hợp bẫy mạng và đường ống MLOps tự động khép kín. Tác giả cũng chỉ ra các giới hạn kỹ thuật trong khuôn khổ thử nghiệm giả lập và vạch ra các định hướng mở rộng hệ thống trong tương lai.

Kết quả và đóng góp

Khóa luận đã hiện thực hóa thành công mô hình tích hợp giữa kỹ thuật thu thập tấn công chủ động và quy trình tự động hóa học máy, ghi nhận các kết quả cụ thể:

• Xây dựng hoàn chỉnh đường ống MLOps tự động: Triển khai thành công 6 thành phần pipeline trên nền tảng Kubeflow, cho phép tự động hóa hoàn toàn các khâu từ phát tín hiệu lấy log bẫy mạng, làm sạch dữ liệu qua ModSecurity, tạo tập dữ liệu, huấn luyện/tái huấn luyện mô hình, kiểm tra sai số bằng MSE đến triển khai lên máy chủ serving mà không cần can thiệp thủ công.
• Xây dựng tập dữ liệu đặc thù: Thu thập và xử lý thành công tập dữ liệu thực nghiệm ban đầu với 40.110 yêu cầu (gồm 16.223 mẫu lưu lượng bình thường và 23.887 mẫu lưu lượng tấn công bất thường), chuẩn hóa dưới dạng nhãn nhị phân và ma trận biểu diễn (28, 28).
• Thực nghiệm đa thuật toán: Huấn luyện và đánh giá đối sánh 4 thuật toán phân loại phổ biến gồm Support Vector Machine (SVM), Convolutional Neural Network (CNN), K-Nearest Neighbor (KNN) và Logistic Regression (LR) trên cả tập dữ liệu tự tạo và tập dữ liệu đối chứng Fwaf.
• Đóng góp so với các nghiên cứu trước:
  • Tự động hóa hoàn toàn quy trình vận hành và cập nhật mô hình so với nghiên cứu của Nikola Stevanovic (2021) vốn còn phụ thuộc vào nhiều bước thao tác thủ công của kỹ sư.
  • Giải quyết hiện tượng quên tri thức cũ (catastrophic forgetting) khi cập nhật dữ liệu liên tục bằng cách tích hợp phương pháp học tiệm tiến (incremental learning).
  • Tự động hóa khâu xác thực và lọc nhiễu nhãn dữ liệu thô từ bẫy mạng bằng cách ứng dụng tập luật của ModSecurity trước khi đưa vào huấn luyện.
  • Cung cấp giao diện trực quan hóa thông qua Kubeflow giúp người quản trị dễ dàng lập lịch tái huấn luyện, giám sát hiệu năng mô hình qua từng chu kỳ.

Hạn chế và hướng nghiên cứu tiếp

Dựa trên nội dung văn bản khóa luận, các hạn chế và hướng mở rộng được xác định như sau:

Hạn chế:

• Hệ thống mới dừng lại ở giai đoạn triển khai và thử nghiệm trên môi trường phòng thí nghiệm giả lập, chưa được đánh giá tải và hiệu năng thực tế trên các hệ thống mạng sản xuất quy mô lớn.
• Cơ chế bẫy mạng có giới hạn quan sát: hệ thống chỉ thu thập được dữ liệu khi tin tặc chủ động tương tác với bẫy; các kịch bản tấn công không được cấu hình sẵn trên bẫy mạng sẽ không thể ghi nhận.
• Tồn tại rủi ro kỹ thuật nếu cấu hình phân quyền và cô lập máy chủ honeypot không chặt chẽ, dẫn đến nguy cơ tin tặc có thể khai thác và chiếm quyền điều khiển bẫy mạng để làm bàn đạp tấn công hệ thống khác.
• Phương pháp chuyển đổi payload thành ma trận cố định (28, 28) (tương đương 784 điểm đặc trưng) có thể bị giới hạn chiều dài biểu diễn đối với các chuỗi tấn công phức tạp hoặc payload có kích thước lớn.

Hướng nghiên cứu tiếp:

• Đưa mô hình vào thử nghiệm trên môi trường mạng thực tế nhằm kiểm chứng tính ổn định và khả năng chịu tải.
• Mở rộng cấu hình các bẫy mạng tương tác cấp cao với đa dạng dịch vụ và kịch bản ứng dụng nhằm thu hút thêm nhiều dạng tấn công tinh vi.
• Nghiên cứu sâu hơn các kiến trúc học máy và học sâu nâng cao nhằm tối ưu hóa độ chính xác và khả năng thích ứng tiệm tiến đối với các mã khai thác zero-day phức tạp.
• Tăng cường các cơ chế kiểm soát bảo mật cho máy chủ honeypot để triệt tiêu nguy cơ bị xâm nhập ngược.

Giá trị tham khảo

Khóa luận là tài liệu tham khảo có giá trị chuyên môn cao đối với sinh viên, học viên cao học và kỹ sư thuộc các chuyên ngành An toàn thông tin, Kỹ thuật mạng máy tính và Khoa học dữ liệu / Kỹ nghệ máy học:

• Về mặt kiến trúc kỹ thuật: Đồ án cung cấp tài liệu chi tiết về cách thức kết nối và tích hợp hệ thống bẫy mạng thực tế với nền tảng MLOps (Kubeflow Pipelines chạy trên nền Docker/Kubernetes), rất hữu ích cho các đề tài xây dựng quy trình tự động hóa vận hành mô hình an ninh mạng.
• Về mặt phương pháp luận: Khóa luận cung cấp giải pháp xử lý dữ liệu thực tiễn thông qua việc dùng ModSecurity để làm sạch nhãn log honeypot và kỹ thuật chuyển đổi chuỗi HTTP request thành ma trận đặc trưng 2 chiều (28, 28) phục vụ các mạng nơ-ron phân loại.
• Về mặt dữ liệu: Thống kê chi tiết về cơ cấu tập dữ liệu mẫu và các đặc trưng nhận dạng của 6 loại tấn công web phổ biến là nguồn tư liệu tốt cho các nghiên cứu phát triển hệ thống phát hiện xâm nhập (IDS/WAF).

Câu hỏi thường gặp

1. Khóa luận giải quyết vấn đề gì của phương pháp phát hiện tấn công web bằng học máy truyền thống? Khóa luận giải quyết hai điểm nghẽn chính: sự chậm trễ trong việc cập nhật các mẫu tấn công mới vào tập dữ liệu và tính chất thủ công, phức tạp, thiếu trực quan của quy trình huấn luyện học máy. Bằng cách kết hợp bẫy mạng với quy trình MLOps trên nền tảng Kubeflow và thuật toán học tiệm tiến, hệ thống tự động hóa khép kín quá trình từ thu thập mã khai thác mới đến tái huấn luyện và triển khai mô hình, đồng thời giảm thiểu hiện tượng quên tri thức cũ.

2. Dữ liệu yêu cầu HTTP được tiền xử lý và biểu diễn dưới dạng nào trước khi đưa vào mô hình học máy? Các yêu cầu HTTP dạng văn bản thô được trích xuất từ nhật ký bẫy mạng, sau đó được mã hóa ký tự thành các giá trị số và định hình lại (reshape) thành một ma trận mảng hai chiều kích thước (28, 28), tương đương với 784 điểm đặc trưng đầu vào, giúp các mô hình học máy (như CNN hoặc SVM) có thể xử lý tương tự như dữ liệu ma trận điểm ảnh.

3. Vai trò của bộ luật ModSecurity trong quy trình MLOps của hệ thống là gì? Trong thành phần tiền xử lý dữ liệu (Preprocess data), nhóm tác giả tích hợp các bộ quy tắc của tường lửa ứng dụng web ModSecurity nhằm tự động rà soát, xác minh và làm sạch tập dữ liệu thu nhận từ bẫy mạng. Cơ chế này giúp phân định chính xác tính lành tính hay độc hại của từng yêu cầu truy cập, loại bỏ các mẫu dữ liệu nhiễu trước khi tiến hành gán nhãn và đưa vào huấn luyện mô hình.

4. Đường ống Kubeflow Pipelines gồm những thành phần cụ thể nào? Đường ống Kubeflow của khóa luận gồm 6 thành phần độc lập được đóng gói thành các Docker image:

• Collect log (thu thập và chuẩn hóa nhật ký từ honeypot đẩy về kho lưu trữ).
• Preprocess data (kiểm tra mô hình, làm sạch dữ liệu bằng ModSecurity, gán nhãn và chia tập dữ liệu).
• Train model (khởi tạo và huấn luyện mô hình ban đầu).
• Retrain model (tái huấn luyện mô hình hiện có bằng phương pháp học tiệm tiến).
• Test model (đánh giá sai số mô hình bằng chỉ số MSE trên tập kiểm tra).
• Deploy model (kiểm tra ngưỡng MSE để tự động chuyển giao mô hình sang máy chủ phục vụ phân loại).

5. Cơ cấu số lượng mẫu trong tập dữ liệu cũ được nhóm tác giả công bố là bao nhiêu? Theo Bảng 4.2 trong khóa luận, tập dữ liệu thực nghiệm ban đầu có tổng cộng 40.110 yêu cầu HTTP đã được xử lý và phân loại, bao gồm 16.223 yêu cầu bình thường (nhãn 0) và 23.887 yêu cầu bất thường/độc hại (nhãn 1).

Kết luận

Khóa luận tốt nghiệp của tác giả Phạm Đức Trọng và Trần Chí Thiện đã thiết kế và hiện thực thành công mô hình phát hiện tấn công ứng dụng web thông qua sự kết hợp giữa kỹ thuật bẫy mạng (Honeypot) và quy trình vận hành học máy tự động (MLOps). Bằng việc xây dựng đường ống 6 giai đoạn trên nền tảng Kubeflow kết hợp thuật toán học tiệm tiến, nghiên cứu đã giải quyết hiệu quả tính thụ động của phương pháp dựa trên chữ ký và sự phức tạp, rời rạc của các mô hình học máy truyền thống. Mặc dù còn giới hạn trong phạm vi thử nghiệm giả lập và phụ thuộc vào tương tác trên bẫy mạng, kết quả của đề tài thể hiện tính khả thi cao và mở ra tiềm năng lớn cho các giải pháp bảo mật tự động hóa thích ứng trong xu thế chuyển đổi số.

Trích đoạn nội dung tài liệu

Chương 1: TONG QUAN ĐỀ TÀI. * Chương 2: TONG QUAN TINH HÌNH NGHIÊN CUU. (a hương 3: CO SỞ LÝ THUYET. Cc hương 4: PHƯƠNG PHÁP THỰC HIỆN.

© Chương 5: HIỆN THỰC VA THUC NGHIEM. C hương 6: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN. Chương 2 TỔNG QUAN TÌNH HÌNH NGHIÊN CỨU 2.1 Tình hình nghiên cứu và các công trình liên quan Một số nghiên cứu liên quan đến giải pháp xây dựng hệ thống phát hiện tan công trang mạng sử dụng machine learning có thể kể đến như nghiên cứu của nhóm tác giả Frederico A. Silveira [1], hoặc nghiên cứu của nhóm tác giả Jingxi Liang BL hay giải pháp nghiên cứu cua nhóm Zhang Yunyi [7] thông qua hành vi của người dùng.

Cụ thể, trong nghiên cứu 1], nghiên cứu của nhóm tác giải Frederico A. Silveira sử dung machine learning để phát hiện tan công DoS. Phương pháp tiếp cận của bài báo này là đưa ra các suy luận dựa trên các đặc điển nhận dạng (signature- based) được trích xuất trước đó từ các mẫu lưu lượng mạng. Kết quả của cách tiếp cận này cho được kết quả phát hiện (DR) hơn là 96%, với độ chính xác cao (PREC) và tỷ lệ sai thấp (FAR) khi sử dụng tỷ lệ lấy mẫu (SR) là 20% lưu lượng mạng.

Nghiên cứu [3] áp dung deep learing trong việc phát hiện tắn công trang mạng. Cách tiếp cận của nhóm tác giả Jingxi Liang là tạo 2 Recurrent Neural Networks (RNNs) với đơn vị lặp lại phức tạp (LSTM hoặc RGU) để tìm hiểu các lưu lượng bình thường, chỉ sử dụng các lưu lượng bình thường mà không cần giám sát, và sau đó dùng mô hình train neutal network classifier lấy đầu ra của RNNs làm đầu vào để phân biệc các request bình thường và bat bình thường. Ở nghiên cứu [7] nhóm tác giả dé xuất một phương pháp phát hiện tấn công trang mạng dựa trên hành vi của người dùng bằng cách xây dựng một mô hình Chương 2. TONG QUAN TINH HÌNH NGHIÊN CUU sequential behaviour để thu thập hành vi người dùng một cách độc lập, cách tiếp cận này sẽ loại bỏ được ý định độc hại tiềm ẩn của kẻ tan công khỏi các hành vi bình thường bằng cách sử dụng Long Short-Term Memory (LSTM).

Sau đó dựa trên cơ sở ý định của người dùng, cách tiếp cận này sử dụng các kỹ thuật học tổng hợp để tích hợp các tính năng vốn có của hành vi bất thường, dẫn đến tính thực tiễn và hiệu quả của nó. Kết quả nhóm nghiên cứu trên đã cho thấy được hiệu quả của phương pháp đã dé xuất trên bộ datasets CSIC 2010 với độ chính xác là 99,87%. Bên cạnh đó, nhiều nghiên cứu cũng đã cho thấy tính khả thi của việc áp dụng bẫy mạng tích hợp vào hệ thống phát hiện tấn công. Như ở nghiên cứu [2] của nhóm tác giả Xiao Han đã đưa ra kết luận áp dụng bẫy mạng vào phát hiện tấn công trang mạng hoàn toàn là khả thi nhưng nó không phù hợp với việc là hệ thống bảo vệ độc lập và duy nhất.

Nghiên cứu lỗi của nhóm Stevanovié đã sử dụng bay mạng (web traps) để thu thập thông tin về các request độc hại khi kẻ xâu thực hiện tân công, và từ đó tạo ra một dataset. Bên cạnh đó nhóm này cũng, áp dụng máy học (machine learning) để thực hiện quá trình huấn luyện và phát hiện một cách liên tục. Kết quả của nghiên cứu này đã đạt được là 99,55% các loại tan công thông thường và tỉ lệ phát hiện là 95,95% đối với zero-day.