## Tổng quan nghiên cứu

Trong bối cảnh phát triển nhanh chóng của công nghệ thông tin, việc đảm bảo an toàn và ổn định cho hệ thống máy tính cá nhân ngày càng trở nên quan trọng. Theo ước tính, các tiến trình bất thường và tiến trình độc hại trên máy người dùng có thể gây ra ảnh hưởng nghiêm trọng đến hiệu suất và bảo mật hệ thống, làm giảm hiệu quả làm việc và tiềm ẩn nguy cơ mất dữ liệu. Luận văn tập trung nghiên cứu phương pháp phát hiện tiến trình hệ thống thông tin bất thường trên máy người dùng, nhằm nâng cao khả năng giám sát và phát hiện sớm các hành vi bất thường, từ đó bảo vệ hệ thống khỏi các mối đe dọa mạng. Nghiên cứu được thực hiện trong giai đoạn 2019-2021 tại Hà Nội, với phạm vi tập trung vào hệ điều hành Windows và Linux – hai nền tảng phổ biến nhất hiện nay. Mục tiêu cụ thể là xây dựng và thử nghiệm các công cụ thu thập, phân tích tiến trình, đồng thời phát triển giải pháp phát hiện tiến trình độc hại dựa trên dữ liệu thu thập được. Kết quả nghiên cứu có ý nghĩa thiết thực trong việc nâng cao hiệu quả quản lý hệ thống, hỗ trợ các chuyên gia an ninh mạng trong việc phát hiện và ngăn chặn các mối nguy hiểm tiềm ẩn, góp phần bảo vệ an toàn thông tin trong môi trường số.

## Cơ sở lý thuyết và phương pháp nghiên cứu

### Khung lý thuyết áp dụng

Luận văn dựa trên các lý thuyết và mô hình nghiên cứu về hệ điều hành và quản lý tiến trình, bao gồm:

- **Khái niệm hệ điều hành**: Hệ điều hành là tập hợp các chương trình quản lý tài nguyên máy tính, cung cấp môi trường thực thi cho các ứng dụng và điều phối các tiến trình.
- **Quản lý tiến trình (Process Management)**: Tiến trình là đơn vị thực thi của chương trình, được quản lý thông qua Process Control Block (PCB) chứa thông tin như ID tiến trình, trạng thái, ưu tiên, và tài nguyên sử dụng.
- **Phân loại tiến trình bất thường và tiến trình độc hại**: Tiến trình bất thường là các tiến trình làm thay đổi hiệu suất hệ thống, còn tiến trình độc hại có các đặc điểm như không có biểu tượng, không có thông tin mô tả, hoặc chứa các chuỗi nghi ngờ.
- **Mô hình thu thập và phân tích dữ liệu tiến trình**: Sử dụng các công cụ giám sát như Process Monitor, Sysmon trên Windows và PS, Top trên Linux để thu thập dữ liệu tiến trình, kết hợp với giải pháp ELK (Elasticsearch, Logstash, Kibana) để lưu trữ và phân tích dữ liệu.

### Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp thực nghiệm kết hợp phân tích dữ liệu:

- **Nguồn dữ liệu**: Dữ liệu tiến trình được thu thập từ hệ điều hành Windows và Linux thông qua các công cụ Process Monitor, Sysmon, PS, Top, XosView, TreePs.
- **Cỡ mẫu**: Thu thập dữ liệu từ khoảng 10 máy tính cá nhân trong môi trường thực tế, với tổng số sự kiện thu thập lên đến hàng trăm nghìn sự kiện.
- **Phương pháp chọn mẫu**: Lựa chọn máy tính có cấu hình và môi trường sử dụng đa dạng để đảm bảo tính đại diện.
- **Phương pháp phân tích**: Sử dụng ELK stack để xử lý, lưu trữ và trực quan hóa dữ liệu tiến trình; áp dụng các thuật toán phát hiện tiến trình bất thường dựa trên đặc điểm hành vi và mẫu tiến trình độc hại.
- **Timeline nghiên cứu**: Nghiên cứu được thực hiện trong 24 tháng (2019-2021), bao gồm các giai đoạn thu thập dữ liệu, phát triển công cụ, thử nghiệm và đánh giá hiệu quả.

## Kết quả nghiên cứu và thảo luận

### Những phát hiện chính

- **Phát hiện 1**: Công cụ Sysmon trên Windows có khả năng thu thập hơn 22 loại sự kiện tiến trình, giúp phát hiện các hành vi bất thường như tạo tiến trình mới, thay đổi thời gian tạo tập tin, kết nối mạng bất thường. Trong thực nghiệm, trên một máy tính đã ghi nhận 470 sự kiện trong một ngày, trong đó 268 sự kiện liên quan tới tạo tiến trình, 20 sự kiện liên quan tới tạo luồng từ xa.
- **Phát hiện 2**: Process Monitor cung cấp dữ liệu chi tiết về tiến trình với khả năng ghi lại khoảng 10 triệu sự kiện, hỗ trợ phân tích sâu về hoạt động của tiến trình, bao gồm các thao tác đọc, ghi tập tin, truy vấn registry và kết nối mạng.
- **Phát hiện 3**: Trên hệ điều hành Linux, các công cụ PS và Top cho phép giám sát tiến trình theo thời gian thực với các thông số như PID, mức độ sử dụng CPU, bộ nhớ, trạng thái tiến trình. Top cập nhật thông tin mỗi 5 giây, giúp phát hiện nhanh các tiến trình chiếm dụng tài nguyên cao.
- **Phát hiện 4**: Giải pháp ELK giúp tổng hợp và phân tích dữ liệu tiến trình thu thập được một cách hiệu quả, cho phép truy vấn và trực quan hóa dữ liệu theo thời gian thực, hỗ trợ phát hiện tiến trình bất thường nhanh chóng.

### Thảo luận kết quả

Các công cụ thu thập tiến trình trên Windows và Linux đều có ưu điểm riêng, trong đó Sysmon và Process Monitor cung cấp dữ liệu chi tiết và đa dạng hơn trên Windows, còn PS và Top là các công cụ phổ biến, dễ sử dụng trên Linux. Việc kết hợp giải pháp ELK giúp xử lý lượng lớn dữ liệu sự kiện, tạo điều kiện thuận lợi cho việc phát hiện tiến trình độc hại dựa trên các mẫu hành vi. So với các nghiên cứu trước đây, phương pháp này nâng cao khả năng phát hiện sớm và chính xác hơn nhờ vào việc thu thập đa dạng sự kiện và phân tích chuyên sâu. Dữ liệu có thể được trình bày qua biểu đồ thống kê số lượng sự kiện theo loại, biểu đồ thời gian hoạt động tiến trình, hoặc bảng phân loại tiến trình theo mức độ nguy hiểm, giúp người quản trị dễ dàng theo dõi và ra quyết định.

## Đề xuất và khuyến nghị

- **Triển khai hệ thống giám sát tiến trình tự động**: Áp dụng công cụ Sysmon kết hợp ELK để thu thập và phân tích tiến trình trên các máy người dùng, nhằm nâng cao khả năng phát hiện tiến trình bất thường, mục tiêu giảm thiểu 30% sự cố do tiến trình độc hại trong vòng 12 tháng, do bộ phận an ninh mạng thực hiện.
- **Đào tạo nhân viên kỹ thuật**: Tổ chức các khóa đào tạo về sử dụng công cụ giám sát tiến trình và phân tích dữ liệu ELK cho đội ngũ kỹ thuật, nhằm nâng cao năng lực phát hiện và xử lý sự cố, hoàn thành trong 6 tháng.
- **Xây dựng quy trình phản ứng sự cố**: Thiết lập quy trình xử lý khi phát hiện tiến trình bất thường, bao gồm cách ly tiến trình, phân tích sâu và khôi phục hệ thống, đảm bảo thời gian phản ứng dưới 1 giờ.
- **Nâng cấp hạ tầng lưu trữ và phân tích dữ liệu**: Đầu tư nâng cấp hệ thống lưu trữ và máy chủ phân tích để đáp ứng khối lượng dữ liệu lớn, đảm bảo hiệu suất truy vấn và phân tích dữ liệu, hoàn thành trong 9 tháng.
- **Tăng cường giám sát đa nền tảng**: Mở rộng giám sát tiến trình không chỉ trên Windows mà còn trên các bản phân phối Linux phổ biến, nhằm bao phủ toàn diện môi trường hệ thống, mục tiêu đạt 95% độ bao phủ trong 18 tháng.

## Đối tượng nên tham khảo luận văn

- **Chuyên gia an ninh mạng**: Nghiên cứu cung cấp phương pháp và công cụ phát hiện tiến trình độc hại, hỗ trợ nâng cao hiệu quả giám sát và bảo vệ hệ thống.
- **Quản trị hệ thống IT**: Giúp hiểu rõ về quản lý tiến trình và các công cụ giám sát trên Windows và Linux, từ đó tối ưu hóa việc vận hành và xử lý sự cố.
- **Nhà phát triển phần mềm bảo mật**: Cung cấp cơ sở dữ liệu và mô hình phân tích tiến trình để phát triển các giải pháp bảo mật mới, nâng cao khả năng phát hiện mã độc.
- **Sinh viên và nghiên cứu sinh ngành công nghệ thông tin**: Là tài liệu tham khảo quý giá về lý thuyết, phương pháp và thực nghiệm trong lĩnh vực phát hiện tiến trình bất thường và bảo mật hệ thống.

## Câu hỏi thường gặp

1. **Tiến trình bất thường là gì và tại sao cần phát hiện?**  
Tiến trình bất thường là các tiến trình có hành vi khác thường, ảnh hưởng đến hiệu suất hoặc an toàn hệ thống. Phát hiện giúp ngăn chặn sự cố và bảo vệ dữ liệu.

2. **Công cụ nào hiệu quả nhất để giám sát tiến trình trên Windows?**  
Sysmon và Process Monitor là hai công cụ mạnh mẽ, cung cấp dữ liệu chi tiết và khả năng lọc sự kiện đa dạng, được chuyên gia an ninh mạng tin dùng.

3. **Làm thế nào để phân biệt tiến trình độc hại?**  
Tiến trình độc hại thường không có biểu tượng, không có thông tin mô tả, chứa các chuỗi URL lạ hoặc DLL khả nghi, và có hành vi tương tác bất thường với hệ thống.

4. **Giải pháp ELK hỗ trợ gì trong việc phát hiện tiến trình bất thường?**  
ELK giúp thu thập, lưu trữ và phân tích dữ liệu tiến trình theo thời gian thực, cho phép truy vấn nhanh và trực quan hóa dữ liệu để phát hiện các mẫu hành vi bất thường.

5. **Có thể áp dụng phương pháp này cho hệ điều hành Linux không?**  
Có, các công cụ như PS, Top, XosView và TreePs hỗ trợ giám sát tiến trình trên Linux, kết hợp với ELK để phân tích dữ liệu hiệu quả.

## Kết luận

- Luận văn đã xây dựng và thử nghiệm thành công phương pháp phát hiện tiến trình bất thường trên hệ điều hành Windows và Linux.  
- Công cụ Sysmon và Process Monitor trên Windows cùng PS, Top trên Linux là nền tảng thu thập dữ liệu hiệu quả.  
- Giải pháp ELK giúp xử lý và phân tích dữ liệu tiến trình với khả năng truy vấn và trực quan hóa mạnh mẽ.  
- Đề xuất các giải pháp triển khai hệ thống giám sát tự động, đào tạo nhân sự và nâng cấp hạ tầng để nâng cao hiệu quả phát hiện tiến trình độc hại.  
- Các bước tiếp theo bao gồm mở rộng phạm vi nghiên cứu, tối ưu thuật toán phát hiện và ứng dụng trong môi trường doanh nghiệp thực tế.  

Hành động ngay hôm nay để bảo vệ hệ thống của bạn trước các mối đe dọa tiến trình bất thường và nâng cao an toàn thông tin toàn diện.