Phát Hiện URL Độc Hại Dựa Trên Học Sâu

Khám phá luận văn về phát hiện URL độc hại sử dụng công nghệ học sâu, nâng cao hiệu quả bảo mật mạng và ngăn chặn các mối đe dọa trực tuyến.

• Tác giả: Lê Minh Đăng
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: Thạc sĩ Kỹ thuật
• Đề tài: Phát Hiện URL Độc Hại Dựa Trên Học Sâu
• Loại tài liệu: Đề án tốt nghiệp
• Năm xuất bản: 2023
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CẢM ƠN
• LỜI CAM ĐOAN
• DANH MỤC CHỮ VÀ KÍ HIỆU VIẾT TẮT
• DANH MỤC BẢNG BIỂU
• DANH MỤC HÌNH VẼ
• LỜI MỞ ĐẦU
• 1. CHƯƠNG 1: TỔNG QUAN VỀ URL ĐỘC HẠI VÀ PHƯƠNG PHÁP PHÁT HIỆN URL ĐỘC HẠI
• 1.1. Khái quát về URL
• 1.1.1. Khái niệm về URL
• 1.1.2. Các thành phần của URL
• 1.1.3. Lịch sử phát triển
• 1.2. Khái quát về URL độc hại
• 1.2.1. URL độc hại là gì
• 1.2.2. Các dạng URL độc hại
• 1.2.3. Các phương pháp phát hiện URL độc hại
• 1.2.3.1. Phát hiện dựa trên danh sách đen, chữ ký
• 1.2.3.2. Phát hiện dựa trên phân tích nội dung trang web
• 1.2.3.3. Phát hiện dựa trên phân tích URL
• 1.2.3.4. Phát hiện dựa trên thống kê, học máy, học sâu
• 1.2.4. Một số công cụ phát hiện URL độc hại
• 1.3. Kết chương
• 2. CHƯƠNG 2: PHÁT HIỆN URL ĐỘC HẠI DỰA TRÊN HỌC SÂU
• 2.1. Khái quát về học máy và học sâu
• 2.1.1. Khái quát về học máy
• 2.1.2. Khái quát về học sâu
• 2.1.3. Một số phương pháp học sâu
• 2.2. Mô hình phát hiện URL độc hại dựa trên học sâu
• 2.2.1. Giới thiệu mô hình
• 2.2.2. Kiến trúc mô hình
• 2.2.3. Tiêu chuẩn đánh giá mô hình
• 2.3. Kết chương
• 3. CHƯƠNG 3: THỬ NGHIỆM VÀ ĐÁNH GIÁ
• 3.1. Tập dữ liệu thử nghiệm
• 3.2. Tiền xử lý dữ liệu
• 3.3. Cài đặt, thử nghiệm và kết quả
• 3.3.1. Môi trường thử nghiệm
• 3.3.2. Kết quả và nhận xét
• 3.4. Cài đặt và thử nghiệm mô đun phát hiện URL độc hại
• 3.5. Nhận xét, đánh giá
• 3.6. Kết chương
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Phát Hiện URL Độc Hại Bằng Học Sâu

Trong bối cảnh an ninh mạng hiện đại, việc phát hiện URL độc hại trở thành một nhiệm vụ cấp thiết. Các URL độc hại có thể dẫn đến những mối đe dọa nghiêm trọng cho người dùng và tổ chức. Học sâu, một nhánh của trí tuệ nhân tạo, đã mở ra những phương pháp mới để phát hiện và phân loại các URL này. Bài viết này sẽ khám phá cách mà học sâu có thể được áp dụng để phát hiện URL độc hại một cách hiệu quả.

1.1. Khái Niệm Về URL Độc Hại

URL độc hại là những đường liên kết có thể gây hại cho người dùng. Chúng có thể dẫn đến các trang web lừa đảo hoặc tải xuống phần mềm độc hại. Việc nhận diện chính xác các URL này là rất quan trọng để bảo vệ thông tin cá nhân và tài sản số.

1.2. Tầm Quan Trọng Của Học Sâu Trong An Ninh Mạng

Học sâu cung cấp các mô hình mạnh mẽ để phân tích và phát hiện các mẫu URL độc hại. Các mô hình này có khả năng học từ dữ liệu lớn và phát hiện các mẫu mới mà các phương pháp truyền thống không thể nhận diện.

II. Thách Thức Trong Việc Phát Hiện URL Độc Hại

Việc phát hiện URL độc hại không phải là một nhiệm vụ đơn giản. Các kẻ tấn công thường xuyên thay đổi chiến thuật và sử dụng các kỹ thuật tinh vi để che giấu URL độc hại. Điều này tạo ra nhiều thách thức cho các hệ thống phát hiện. Hơn nữa, số lượng URL độc hại được tạo ra hàng ngày là rất lớn, vượt quá khả năng kiểm tra của con người.

2.1. Sự Đa Dạng Của Các Hình Thức Tấn Công

Các hình thức tấn công như phishing, spam và malware thường sử dụng URL độc hại để lừa đảo người dùng. Mỗi hình thức tấn công có những đặc điểm riêng, làm cho việc phát hiện trở nên phức tạp hơn.

2.2. Khó Khăn Trong Việc Phân Biệt URL An Toàn Và Độc Hại

Việc phân biệt giữa URL an toàn và độc hại là một thách thức lớn. Nhiều URL độc hại được thiết kế để giống với các URL hợp pháp, khiến người dùng dễ bị lừa.

III. Phương Pháp Phát Hiện URL Độc Hại Bằng Học Sâu

Học sâu cung cấp nhiều phương pháp hiệu quả để phát hiện URL độc hại. Các mô hình như mạng nơ-ron tích chập (CNN) và mạng nơ-ron hồi quy (RNN) đã được chứng minh là có khả năng phân loại chính xác các URL. Những mô hình này có thể học từ dữ liệu lớn và phát hiện các mẫu mới mà các phương pháp truyền thống không thể nhận diện.

3.1. Mô Hình CNN Trong Phát Hiện URL

Mô hình CNN có khả năng xử lý dữ liệu hình ảnh và văn bản, giúp phát hiện các mẫu trong URL. Bằng cách sử dụng các lớp tích chập, mô hình này có thể học được các đặc trưng quan trọng từ dữ liệu đầu vào.

3.2. Mô Hình RNN Và Ứng Dụng Của Nó

Mô hình RNN rất hiệu quả trong việc xử lý chuỗi dữ liệu, giúp phát hiện các mẫu trong URL theo thời gian. Điều này rất hữu ích trong việc phát hiện các URL độc hại mới xuất hiện.

IV. Ứng Dụng Thực Tiễn Của Phát Hiện URL Độc Hại

Việc phát hiện URL độc hại bằng học sâu không chỉ có giá trị trong lý thuyết mà còn có nhiều ứng dụng thực tiễn. Các tổ chức có thể áp dụng các mô hình học sâu để bảo vệ hệ thống của họ khỏi các mối đe dọa từ URL độc hại. Điều này không chỉ giúp bảo vệ thông tin cá nhân mà còn nâng cao độ tin cậy của các dịch vụ trực tuyến.

4.1. Các Công Cụ Phát Hiện URL Độc Hại

Nhiều công cụ hiện đại đã được phát triển để phát hiện URL độc hại. Những công cụ này sử dụng các mô hình học sâu để phân tích và phân loại các URL một cách tự động.

4.2. Kết Quả Nghiên Cứu Về Hiệu Quả Của Học Sâu

Nghiên cứu cho thấy rằng các mô hình học sâu có thể đạt được độ chính xác cao trong việc phát hiện URL độc hại. Điều này mở ra cơ hội mới cho việc bảo vệ an ninh mạng.

V. Kết Luận Về Tương Lai Của Phát Hiện URL Độc Hại

Tương lai của việc phát hiện URL độc hại bằng học sâu rất hứa hẹn. Với sự phát triển không ngừng của công nghệ, các mô hình học sâu sẽ ngày càng trở nên mạnh mẽ hơn. Điều này sẽ giúp cải thiện khả năng phát hiện và bảo vệ người dùng khỏi các mối đe dọa từ URL độc hại.

5.1. Xu Hướng Phát Triển Công Nghệ Học Sâu

Công nghệ học sâu đang phát triển nhanh chóng, với nhiều nghiên cứu mới được công bố. Điều này sẽ giúp cải thiện khả năng phát hiện URL độc hại trong tương lai.

5.2. Tầm Quan Trọng Của An Ninh Mạng Trong Thế Giới Số

An ninh mạng sẽ tiếp tục là một vấn đề quan trọng trong thế giới số. Việc phát hiện URL độc hại sẽ đóng vai trò quan trọng trong việc bảo vệ thông tin cá nhân và tài sản số.

Nội dung chính

Tổng quan nghiên cứu

Trong kỷ nguyên chuyển đổi số toàn diện, không gian mạng chứng kiến sự bùng nổ của các hiểm họa an ninh với mức độ tinh vi ngày càng cao. Các cuộc tấn công mạng khai thác lỗ hổng thông qua đường dẫn tài nguyên thống nhất (Uniform Resource Locator - URL) độc hại đang là một trong những phương thức phổ biến và nguy hiểm nhất. Kẻ tấn công liên tục tạo ra các liên kết giả mạo nhằm chiếm đoạt tài khoản cá nhân, mã hóa dữ liệu tống tiền (ransomware), hoặc phát tán mã độc để hình thành các mạng máy tính ma (botnet) quy mô lớn.

Các giải pháp phòng thủ truyền thống dựa trên danh sách đen (Blacklist) hay chữ ký tĩnh bộc lộ nhiều lỗ hổng nghiêm trọng khi đối mặt với các thuật toán sinh tên miền tự động (Domain Generation Algorithm - DGA) và kỹ thuật xáo trộn chuỗi ký tự. Việc kiểm tra thủ công hoặc tải toàn bộ nội dung website để phân tích đòi hỏi chi phí băng thông khổng lồ và độ trễ cao, không thể đáp ứng nhu cầu kiểm duyệt hàng triệu truy vấn mỗi giây theo thời gian thực.

Trước thực trạng đó, đề án thạc sĩ kỹ thuật được thực hiện tại Học viện Công nghệ Bưu chính Viễn thông vào năm 2023 đã tập trung nghiên cứu giải pháp phát hiện URL độc hại dựa trên công nghệ học sâu (Deep Learning). Đề án phân tích toàn diện tập dữ liệu gồm 651.191 URL thực tế, trong đó nhóm URL độc hại chiếm 34,3% (tương đương 223.088 mẫu) và nhóm an toàn chiếm 65,7% (tương đương 428.103 mẫu). Nghiên cứu hướng tới mục tiêu xây dựng một mô hình học sâu tích chập đa nhánh đầu vào có khả năng tự động trích xuất đặc trưng từ vựng và cấu trúc phân cấp của URL. Giải pháp này giúp phân loại chính xác các mối đe dọa mới phát sinh với độ trễ xử lý cực thấp, góp phần nâng cao năng lực giám sát an toàn thông tin cho các hệ thống cổng mạng và người dùng cuối.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu xây dựng trên nền tảng lý thuyết phân tích cấu trúc mạng Internet và các kiến trúc học sâu hiện đại:

• Cấu trúc phân cấp của URL: URL được chuẩn hóa theo chuẩn RFC 1738 bao gồm các thành phần: giao thức (Scheme), tên miền phụ (Subdomain), tên miền chính (Domain), tên miền cấp cao nhất (Top-Level Domain - TLD), đường dẫn thư mục (Path), chuỗi tham số truy vấn (Query Parameter) và phân đoạn (Fragment). Kẻ tấn công thường biến đổi các thành phần này bằng cách chèn ký tự đặc biệt, kéo dài chuỗi hoặc chèn tên miền phụ giả mạo.
• Mạng nơ-ron học sâu (Deep Neural Network - DNN): Tận dụng các tầng ẩn phi tuyến tính để tự động trích xuất đặc trưng đa tầng từ dữ liệu thô mà không cần thiết kế đặc trưng thủ công như các mô hình học máy truyền thống (SVM, Decision Tree).
• Mạng nơ-ron tích chập (Convolutional Neural Network - CNN): Áp dụng các phép tích chập 1 chiều (Conv1D) để nắm bắt các mẫu kết hợp ký tự cục bộ (n-gram) trên chuỗi URL, giúp nhận diện các đoạn mã độc hoặc từ khóa khả nghi.
• Mạng nơ-ron hồi quy và bộ nhớ ngắn dài (RNN, LSTM): Khung lý thuyết so sánh nhằm làm rõ ưu thế xử lý song song và tốc độ hội tụ của CNN so với cơ chế cổng nhớ tuần tự khi xử lý dữ liệu văn bản URL.
• Kỹ thuật biểu diễn nhúng (Character & Word Embedding): Chuyển đổi các chuỗi ký tự và định danh số nguyên thành các vector không gian nhiều chiều, bảo toàn mối quan hệ ngữ nghĩa giữa các thành phần tên miền.

Phương pháp nghiên cứu

Nghiên cứu áp dụng quy trình thực nghiệm định lượng theo các tiêu chuẩn khoa học:

• Cỡ mẫu và nguồn dữ liệu: Tập dữ liệu thực nghiệm bao gồm 651.191 URL thu thập từ các nguồn uy tín trong lĩnh vực an toàn thông tin. Tập dữ liệu phân chia thành 428.103 URL an toàn (Benign) và 223.088 URL độc hại thuộc 3 nhóm chính: 96.457 URL bẻ khóa giao diện (Defacement), 94.111 URL lừa đảo (Phishing) và 32.520 URL chứa mã độc (Malware).
• Phương pháp chọn mẫu và phân chia: Áp dụng phương pháp phân tầng ngẫu nhiên để chia tập dữ liệu thành 2 phần độc lập: 80% dữ liệu dành cho quá trình huấn luyện (Train set với 520.953 URL) và 20% dữ liệu dành cho quá trình kiểm định (Validation set với 130.238 URL), đảm bảo giữ nguyên tỷ lệ phân bố nhãn 65,7% an toàn và 34,3% độc hại.
• Lý do lựa chọn phương pháp phân tích: Kiến trúc CNN 1 chiều kết hợp đa đầu vào được lựa chọn thay vì phương pháp Bag-of-Words kết hợp SVM truyền thống. Giải pháp này giúp loại bỏ hoàn toàn hạn chế bùng nổ không gian bộ nhớ khi số lượng từ vựng duy nhất tăng cao, đồng thời cho phép trích xuất song song đặc trưng của cả chuỗi URL lẫn các trường Subdomain, Domain và Domain Suffix.
• Môi trường thử nghiệm: Toàn bộ quy trình tiền xử lý, huấn luyện và kiểm định được thực hiện trên hệ thống phần cứng trang bị vi xử lý AMD Ryzen 7 5700G, bộ nhớ RAM 64 GB, chạy hệ điều hành Windows 11 64-bit và môi trường phát triển PyCharm với ngôn ngữ Python và thư viện TensorFlow/Keras.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình tiền xử lý và thực nghiệm trên mô hình học sâu CNN đa nhánh đã đem lại các phát hiện khoa học quan trọng:

1. Sự khác biệt về đặc trưng hình thái chuỗi: Phân tích thống kê trên 651.191 mẫu cho thấy URL độc hại có chiều dài trung bình lớn hơn đáng kể so với URL an toàn. Mật độ ký tự số, ký tự đặc biệt (như =, ?, &, ., -) và sự xuất hiện của các từ khóa nhạy cảm (free, cmd=, .php?email=) trong nhóm URL độc hại cao hơn 2,4 lần so với nhóm URL an toàn.
2. Hiện tượng lợi dụng tên miền uy tín: Thống kê các trường Domain và Subdomain chỉ ra rằng kẻ tấn công thường xuyên chèn tên các thương hiệu lớn (như google, facebook, paypal) vào phần subdomain hoặc path của URL độc hại nhằm đánh lừa thị giác người dùng, chiếm tỷ lệ khoảng 12,8% trong tổng số URL lừa đảo.
3. Hiệu năng hội tụ vượt trội của kiến trúc CNN 2 tầng: Mô hình tích hợp 2 tầng Conv1D với 64 bộ lọc (kích thước kernel lần lượt là 3 và 5) kết hợp tầng fully-connected 64 nơ-ron và hàm kích hoạt ReLU giúp tối ưu hóa hàm mất mát Binary Crossentropy nhanh chóng. Quá trình huấn luyện tự động kích hoạt điểm dừng sớm (Early Stopping) trước mốc 25 epoch dự kiến do mô hình đạt trạng thái ổn định và không xảy ra quá khớp (overfitting).
4. Độ chính xác phân loại cao trên tập kiểm định: Trên tập kiểm định 130.238 URL và thử nghiệm độc lập trên tập 20 URL ngẫu nhiên, mô hình đạt các chỉ số Precision, Recall và F1-Score vượt trên 95%, giảm thiểu tối đa tỷ lệ dương tính giả (False Positive) – yếu tố sống còn để tránh chặn nhầm các website hợp pháp.

Thảo luận kết quả

Dữ liệu thực nghiệm của nghiên cứu được trực quan hóa thông qua hệ thống đồ thị quá trình huấn luyện và ma trận nhầm lẫn (Confusion Matrix) 2 chiều:

• Biểu đồ huấn luyện cho thấy đường cong hàm mất mát (Loss) và mất mát kiểm định (Val Loss) giảm liên tục theo cấp số nhân trong các vòng lặp đầu tiên và tiệm cận mức tối thiểu, trong khi các đường Precision và Recall duy trì mức tăng trưởng ổn định.
• Ma trận nhầm lẫn phân loại nhị phân ghi nhận số lượng mẫu dự đoán đúng vượt trội ở cả hai nhóm True Positive (URL độc hại được phân loại chính xác là độc hại) và True Negative (URL an toàn được phân loại chính xác là an toàn), trong khi các trường hợp False Positive và False Negative chỉ chiếm tỷ lệ dưới 5%.

Nguyên nhân chính dẫn đến hiệu quả vượt bậc này là cấu trúc đa nhánh đầu vào độc đáo. Thay vì chỉ xem xét chuỗi ký tự đơn thuần, mô hình đã mã hóa riêng biệt 4 luồng dữ liệu: chuỗi ký tự URL đã được tokenization và padding, cùng 3 vector nhúng đại diện cho Subdomain, Domain và Domain Suffix. Khi đi qua tầng kết nối (Concatenate) và tầng Flatten, mô hình nắm bắt được cả mối liên hệ cục bộ lẫn ngữ cảnh tổng thể của tên miền.

So với các giải pháp truyền thống như Google Safe Browsing API hay VirusTotal vốn phụ thuộc vào thời gian cập nhật cơ sở dữ liệu danh sách đen (thường mất từ 12 đến 48 giờ để ghi nhận URL mới), mô hình học sâu đề xuất có khả năng phân tích và đưa ra quyết định phân loại chỉ trong khoảng 35 đến 50 mili-giây cho mỗi URL, cho phép ngăn chặn hiệu quả các cuộc tấn công zero-day ngay tại thời điểm liên kết vừa được tạo ra.

Đề xuất và khuyến nghị

Dựa trên kết quả nghiên cứu thực nghiệm, đề án đề xuất 4 nhóm giải pháp công nghệ và quản trị mang tính ứng dụng cao:

1. Tích hợp mô hình vào cổng bảo mật web (Secure Web Gateway) và hệ thống DNS nội bộ:
   • Hành động: Đóng gói mô hình CNN thành các vi dịch vụ (Microservices) qua giao diện API để tích hợp trực tiếp vào tường lửa ứng dụng web và hệ thống phân giải DNS doanh nghiệp.
   • Chỉ số mục tiêu: Tự động lọc và ngăn chặn trên 92% các truy vấn độc hại, duy trì thời gian phản hồi dưới 15 mili-giây cho mỗi truy vấn mạng.
   • Thời gian thực hiện: Triển khai thử nghiệm trong vòng 6 tháng (từ Quý I đến Quý II).
   • Chủ thể: Doanh nghiệp viễn thông, nhà cung cấp dịch vụ Internet (ISP) và quản trị viên mạng doanh nghiệp.
2. Xây dựng tiện ích mở rộng trên trình duyệt web cảnh báo theo thời gian thực:
   • Hành động: Phát triển tiện ích mở rộng (Browser Extension) tích hợp mô hình phân loại nhẹ (TensorFlow.js hoặc ONNX Runtime) để kiểm tra URL ngay trên trình duyệt trước khi người dùng gửi yêu cầu HTTP/HTTPS.
   • Chỉ số mục tiêu: Đạt trên 50.000 lượt người dùng cài đặt, giảm 85% nguy cơ người dùng nhập thông tin vào các trang web giả mạo.
   • Thời gian thực hiện: Hoàn thiện phiên bản thử nghiệm trong 3 tháng.
   • Chủ thể: Các nhóm nghiên cứu an toàn thông tin và tổ chức bảo vệ người dùng mạng.
3. Thiết lập quy trình tự động cập nhật và huấn luyện lại dữ liệu (Continuous Retraining Pipeline):
   • Hành động: Xây dựng hệ thống tự động thu thập các mẫu URL mới từ các nguồn mở uy tín (như OpenPhish, PhishTank, MalwareDomainList) và báo cáo cộng đồng để định kỳ huấn luyện bổ sung cho mô hình.
   • Chỉ số mục tiêu: Bổ sung tối thiểu 30.000 mẫu URL mới mỗi tháng, duy trì độ chính xác của hệ thống luôn đạt trên 95% trước các biến thể URL mới.
   • Thời gian thực hiện: Vận hành định kỳ hàng tuần từ năm thứ nhất sau triển khai.
   • Chủ thể: Trung tâm điều hành an ninh mạng (SOC) và các kỹ sư dữ liệu an ninh.
4. Quy chuẩn hóa cấu trúc URL nội bộ và nâng cao nhận thức người dùng:
   • Hành động: Ban hành hướng dẫn cấu trúc tên miền chuẩn mực cho toàn bộ hệ thống thông tin tổ chức, kết hợp tổ chức các đợt diễn tập phòng chống tấn công lừa đảo (Phishing Simulation).
   • Chỉ số mục tiêu: Nâng cao tỷ lệ nhận thức phát hiện liên kết bất thường của nhân viên lên 80%, giảm 75% sự cố nhấp chuột vào liên kết rác.
   • Thời gian thực hiện: Định kỳ 3 tháng một lần.
   • Chủ thể: Bộ phận an toàn thông tin và phòng quản trị nhân sự tại các tổ chức.

Đối tượng nên tham khảo luận văn

Nghiên cứu mang giá trị thực tiễn và học thuật sâu sắc, là tài liệu tham khảo đắc lực cho 4 nhóm đối tượng:

• Kỹ sư an toàn thông tin và chuyên gia SOC (Blue Team): Cung cấp phương pháp luận và cơ chế nhận diện các dạng tấn công Phishing, Malware và Spam thông qua chuỗi URL, giúp xây dựng các luật phát hiện và tối ưu hóa hệ thống phòng thủ mạng.
• Kỹ sư Trí tuệ nhân tạo và Khoa học dữ liệu (AI/Data Engineers): Cung cấp kiến trúc chi tiết về việc xây dựng mạng nơ-ron tích chập 1D kết hợp đa luồng dữ liệu (Multi-input Embedding) trong xử lý dữ liệu chuỗi phi cấu trúc, kèm theo giải pháp xử lý mất cân bằng dữ liệu và tối ưu hóa siêu tham số.
• Giảng viên, nghiên cứu sinh và sinh viên chuyên ngành Công nghệ thông tin/An ninh mạng: Là nguồn tư liệu chuẩn mực về quy trình nghiên cứu khoa học ứng dụng, từ khảo sát lý thuyết, thiết kế kiến trúc mô hình, đến phương pháp tiền xử lý tập dữ liệu lớn với hơn 650.000 bản ghi và đánh giá qua ma trận nhầm lẫn.
• Giám đốc công nghệ (CTO) và Giám đốc an toàn thông tin (CISO): Cung cấp góc nhìn chiến lược về việc ứng dụng trí tuệ nhân tạo vào hạ tầng bảo mật thông tin, hỗ trợ ra quyết định đầu tư và hiện đại hóa hệ thống phòng ngự an ninh mạng cho tổ chức.

Câu hỏi thường gặp

Phương pháp phát hiện URL dựa trên học sâu có ưu điểm gì vượt trội so với phương pháp Blacklist truyền thống?

Phương pháp danh sách đen (Blacklist) chỉ có thể chặn những URL độc hại đã được ghi nhận từ trước và thường có độ trễ cập nhật từ 12 đến 48 giờ. Trong khi đó, mô hình học sâu phân tích sâu vào cấu trúc từ vựng và đặc trưng phân cấp của URL, cho phép nhận diện chính xác các tên miền ngẫu nhiên mới sinh (DGA) và các cuộc tấn công zero-day theo thời gian thực với độ trễ xử lý dưới 50 mili-giây.

Tại sao nghiên cứu lại chọn mô hình mạng nơ-ron tích chập (CNN) thay vì mạng hồi quy (RNN/LSTM)?

Mặc dù LSTM rất mạnh trong xử lý chuỗi, nhưng cơ chế tính toán tuần tự khiến mô hình này tốn nhiều thời gian huấn luyện và tài nguyên tính toán. Mạng CNN 1D với các bộ lọc kích thước 3 và 5 cho phép tính toán song song cực nhanh trên phần cứng hiện đại, trích xuất xuất sắc các đặc trưng cục bộ (n-gram ký tự khả nghi) và giảm thiểu đáng kể chi phí tài nguyên khi xử lý tập dữ liệu lớn 651.191 URL.

Kỹ thuật tiền xử lý dữ liệu trong đề án được thực hiện như thế nào để đưa vào mô hình CNN?

Quy trình tiền xử lý thực hiện trích xuất 4 thành phần riêng biệt từ URL: chuỗi toàn vẹn, subdomain, domain và domain suffix. Chuỗi URL được phân tách từ khóa (tokenization) và chèn đệm (padding) để đồng nhất độ dài, trong khi 3 thành phần tên miền được mã hóa số nguyên (integer encoding). Tất cả sau đó được chuyển qua các tầng nhúng (Embedding Layer) để ánh xạ thành các vector không gian dày đặc trước khi đưa vào các tầng tích chập.

Tập dữ liệu 651.191 mẫu trong nghiên cứu có cơ cấu phân bổ nhãn như thế nào?

Tập dữ liệu bao gồm 428.103 URL an toàn (chiếm 65,7%) và 223.088 URL độc hại (chiếm 34,3%). Nhóm độc hại được gộp từ 3 loại hình tấn công cụ thể: 96.457 mẫu defacement, 94.111 mẫu phishing và 32.520 mẫu malware. Dữ liệu sau đó được phân chia thành 80% cho tập huấn luyện (520.953 mẫu) và 20% cho tập kiểm định (130.238 mẫu).

Cần cấu hình phần cứng tối thiểu như thế nào để triển khai huấn luyện mô hình này trong thực tế?

Để huấn luyện mô hình trên tập dữ liệu quy mô trên 650.000 bản ghi, hệ thống thực nghiệm yêu cầu cấu hình tối thiểu tương đương bộ vi xử lý AMD Ryzen 7 5700G (hoặc Intel Core i7 tương đương), bộ nhớ RAM từ 32 GB đến 64 GB để lưu trữ các ma trận nhúng và tránh tràn bộ nhớ, cùng không gian lưu trữ SSD tốc độ cao để tối ưu hóa quá trình đọc/ghi dữ liệu theo lô (batch).

Kết luận

Công trình nghiên cứu đề án thạc sĩ kỹ thuật đã giải quyết triệt để bài toán phát hiện URL độc hại trong an ninh mạng thông qua các đóng góp nổi bật:

• Hệ thống hóa toàn diện: Tổng hợp chi tiết cơ sở lý luận về cấu trúc URL, các phương thức tấn công mạng phổ biến và phân tích ưu nhược điểm của các giải pháp bảo mật hiện hành.
• Chuẩn hóa dữ liệu quy mô lớn: Xây dựng quy trình tiền xử lý, phân rã đặc trưng và mã hóa nhúng chuẩn mực trên tập dữ liệu thực tế gồm 651.191 URL.
• Đề xuất kiến trúc CNN đa nhánh: Thiết kế thành công mô hình học sâu tích hợp 4 luồng đầu vào, khai thác đồng thời đặc trưng ký tự và phân cấp tên miền với tốc độ xử lý vượt trội.
• Kiểm chứng thực nghiệm chuẩn xác: Đánh giá khách quan hiệu năng mô hình qua ma trận nhầm lẫn với các chỉ số Precision, Recall và F1-Score đều đạt trên 95%.
• Tính ứng dụng thực tiễn cao: Cung cấp giải pháp khả thi để triển khai ngay vào các hệ thống tường lửa, DNS Gateway và tiện ích mở rộng bảo vệ người dùng cuối.

Trong giai đoạn 2024 - 2025, định hướng phát triển tiếp theo của nghiên cứu sẽ tập trung tích hợp cơ chế chú ý (Attention Mechanism) và mở rộng thử nghiệm trên tập dữ liệu đa ngôn ngữ với quy mô hơn 1.000.000 URL. Hãy tham khảo toàn văn đề án để ứng dụng ngay mô hình học sâu này vào việc nâng cấp lá chắn an ninh mạng cho hệ thống của bạn.

Trích đoạn nội dung tài liệu

CHƯƠNG I TỔNG QUAN VỀ URL ĐỘC HẠI VÀ PHƯƠNG PHÁP PHÁT HIỆN URL ĐỘC HẠI 1.1 Khái quát về URL 1.1 Khái niệm về URL URL viết tắt của Uniform Resource Locator là đường dẫn hay địa chỉ dùng để tham chiếu đến các tài nguyên trên mạng Internet. Đường dẫn URL là đoạn văn bản có thể đọc được thay cho địa IP mà máy tính sử dụng để liên lạc với máy chủ. URL là địa chỉ của một tài nguyên duy nhất trên Web. Mỗi URL hợp lệ sẽ trỏ đến một tài nguyên duy nhất, tài nguyên đó có thể là trang HTML, tài liệu CSS, hình ảnh, video, file PDF.

Trong một số trường hợp ngoại lệ, URL có thể trỏ đến những tài nguyên không còn tồn tại hoặc đã bị di chuyển sang địa chỉ khác. URL có thể chứa nhiều thành phần khác nhau, như biểu diễn trên Hình 1-1 và Hình 1-2. URL thường bao gồm hostname (tên máy) ánh xạ tới địa chỉ IP của một tài nguyên cụ thể trên Internet và một loạt các thông tin bổ sung thông báo cho trình duyệt và máy chủ biết cách xử lý mọi thứ. Bạn có thể nghĩ địa chỉ IP như số điện thoại, hostname như tên của người sở hữu số điện thoại đó mà bạn muốn tra cứu.

Và một tiêu chuẩn được gọi là Hệ thống tên miền (Domain Name System - DNS) hoạt động trong nền giống như một cuốn danh bạ điện thoại, dịch các hostname thành địa chỉ IP để mạng sử dụng để định tuyến lưu lượng truy cập [1]. Ví dụ một địa chỉ URL là https://vnexpress.2 Các thành phần của URL Cấu trúc URL lần đầu được xác định vào năm 1994 bởi Sir Tim Berners-Lee, người đã tạo ra web và trình duyệt đầu tiên. Về cơ bản, URL kết hợp tên miền với việc sử dụng đường dẫn file để xác định cấu trúc file và thư mục cụ thể. Vì vậy, nó tương tự như sử dụng đường dẫn C:\Documents\Personal\myfile.txt trong Windows, nhưng thêm một số thành phần ở đầu để có thể tìm đúng máy chủ trên Internet nơi chứa đường dẫn đó và sử dụng giao thức để truy cập thông tin.

4 URL chứa một vài đường dẫn khác. Ví dụ, hình 1-1 minh họa một URL cơ bản, hãy cùng phân tích cấu trúc của nó. URL đơn giản này được chia thành hai thành phần chính: Scheme (giao thức kết nối) và Authority (bên có thẩm quyền). Hình 1-1 Cấu trúc URL Scheme: Đa số nghĩ rằng URL như một địa chỉ web nhưng nó không hoàn toàn đơn giản như vậy.

Một địa chỉ web là URL nhưng không phải tất cả URL không phải là địa chỉ web. Các dịch vụ khác bạn có thể truy cập trên Internet như FTP hoặc thậm chí MAILTO cũng là URL. Phần scheme của URL (các chữ cái theo sau dấu hai chấm) biểu thị giao thức mà ứng dụng (như trình duyệt web) và máy chủ giao tiếp. Các địa chỉ web là URL phổ biến nhất, tuy nhiên còn có các URL khác nữa.

Do đó, scheme có thể gồm một số dạng như:  Giao thức truyền tải siêu văn bản (HTTP): Đây là giao thức cơ bản của web, xác định hành động của các máy chủ web và trình duyệt cần thực hiện để đáp ứng các lệnh nhất định.  Giao thức HTTP an toàn (HTTPS): Đây là một dạng HTTP hoạt động trên một lớp bảo mật, được mã hóa để truyền tải thông tin an toàn hơn.  Giao thức truyền tập tin (File Transfer Protocol - FTP): Giao thức này thường được sử dụng để truyền file qua Internet. HTTP (Hypertext Transfer Protocol) và HTTPS (Hypertext Transfer Protocol Secure) là các giao thức giao tiếp mạng giữa máy chủ web và trình duyệt web.

Chúng truyền thông điệp, truy xuất thông tin thông qua hệ thống tên miền (DNS) và gửi lại cho trình duyệt. 5 Sự khác biệt giữa HTTP và HTTPS là HTTPS mã hóa quá trình truyền dữ liệu. Giao thức bảo mật này bảo vệ trang web tốt hơn và là yếu tố cần thiết để cải thiện thứ hạng trên kết quả tìm kiếm. Một điểm khác biệt nữa là HTTPS sử dụng cổng TCP/IP số 443 được mã hóa bởi Transport Layer Security (TLS).

Trong khi đó, một URL với HTTP sử dụng cổng TCP/IP số 80. Lưu ý quan trọng: Trình duyệt web cũng có thể xử lý các giao thức khác, bao gồm FTP và mailto. FTP cho phép chia sẻ file giữa các máy chủ web khác nhau, cục bộ hoặc từ xa. Sau đó hướng người dùng đến một địa chỉ email cụ thể.

Trong các trình duyệt hiện đại, về mặt kỹ thuật scheme không nhất thiết là một phần của URL. Nếu bạn nhập trang web như www.com, trình duyệt sẽ tự động xác định giao thức phù hợp để sử dụng. Tuy nhiên, một số ứng dụng khác (và giao thức) lại yêu cầu sử dụng scheme. Authority: Phần authority của một URL (phần bắt đầu sau hai dấu gạch chéo) được chia thành các phần nhỏ.

Hãy bắt đầu với một URL đơn giản, thường là URL dẫn bạn đến trang chủ của một trang web. Hình 1-2 Các thành phần cụ thể của URL 6 Một trang web thông thường thường có ít nhất 3 phần trong URL của nó như www.com, nhưng một số URL phức tạp cũng có thể có 8 đến 9 phần cụ thể như số cổng (port number), đường dẫn (path), chuỗi truy vấn (query parameter),… , như biểu diễn trên Hình 1-2. Tên miền cấp cao nhất (top level domain-TLD): Trong ví dụ ở đây, "co.uk" là tên miền cấp cao nhất. TLD cho biết loại tổ chức mà trang web được đăng kí.com trong www.com biểu thị đây là tổ chức thương mại Tương tự .org biểu thị một tổ chức, .uk biểu thị một tổ chức thương mại ở Anh.

Có ba tên miền cấp cao nhất phổ biến là. Hầu hết các quốc gia đều có trên miền cấp cao nhất gồm hai chữ cái, bạn sẽ thấy tên miền như .v… Có một số tên miền cấp cao nhất bổ sung (như .museum) được các tổ chức cá nhân tài trợ và quản lý. Ngoài ra, cũng có một số tên miền cấp cao nhất dùng chung như. Tên miền (domain name): Tên miền chỉ định tổ chức hoặc thực thể mà URL đó thuộc về.

Giống như trong www.com, tên miền 'facebook' cho biết tổ chức sở hữu trang web. Tên miền phụ (Subdomain): Subdomain bao gồm bất kỳ từ hoặc cụm từ nào đứng trước dấu chấm đầu tiên của URL. Đề cập đến world wide web, www là loại phổ biến nhất. Tên miền phụ được sử dụng để phân tách các phần khác nhau của trang web vì nó chỉ định loại tài nguyên sẽ được phân phối cho người dùng.

Ở đây, tên miền phụ được sử dụng 'www' là ký hiệu chung cho bất kỳ tài nguyên nào trên web. Các tên miền phụ như 'blog' trực tiếp đến một trang blog, 'audio' cho biết loại tài nguyên là âm thanh. Số cổng (port number): Thiết bị mạng sử dụng địa chỉ IP để nhận thông tin đến máy tính phù hợp trên mạng. Khi lưu lượng truy cập đến, số cổng thông báo với máy tính biết ứng dụng mà lưu lượng truy cập đó đang nhắm đến.

Một số cổng mặc định bao gồm 80 cho HTTP và 443 cho máy chủ HTTPS. Bạn thường không thấy số cổng khi lướt web, nhưng có thể thấy nó trong các ứng dụng mạng như trò chơi yêu 7 cầu nhập URL. Nếu URL chứa số cổng, nó xuất hiện ở sau tên máy chủ và trước dấu hai chấm, chẳng hạn như trong URL: http://www.com:8080 Đường dẫn (path): Phần Authority của URL đưa trình duyệt (hoặc các ứng dụng khác) đến đúng máy chủ trên mạng. Đường dẫn (hoạt động như đường dẫn trong Windows, macOS hoặc Linux) đưa bạn đến đúng thư mục hoặc file trên máy chủ đó.

Đường dẫn được bắt đầu bằng dấu gạch chéo sau tên miền cấp cao nhất và có các dấu gạch chéo giữa các thư mục và thư mục con như sau: //www.com/folder/subfolder/filename.html Tham số (query string/parameter): Chuỗi truy vấn chỉ định các tham số của dữ liệu đang được truy vấn từ cơ sở dữ liệu của trang web. Mỗi chuỗi truy vấn được tạo thành từ một tham số và một giá trị được nối bằng dấu bằng (=). Trong trường hợp có nhiều tham số, chuỗi truy vấn được nối bằng dấu và (&). Tham số có thể là một số, chuỗi, giá trị được mã hóa hoặc bất kỳ dạng dữ liệu nào khác trên cơ sở dữ liệu.

Phân đoạn (Fragment): đây là phần tùy chọn của một URL, thường xuất hiện ở cuối và bắt đầu bằng ‘#’. Nó chỉ ra một vị trí cụ thể trong một trang, chẳng hạn như thuộc tính ‘id’ hoặc ‘name’ cho một phần tử HTML.3 Lịch sử phát triển Khái niệm “URL là gì” được định nghĩa trong RFC 1738 và được xác định cấu trúc vào năm 1994 bởi Tim Berners-Lee. Ông là nhà phát minh của World Wide Web và nhóm URL của Lực lượng đặc nhiệm kỹ thuật Internet (IETF). Định dạng URL có kết hợp hệ thống tên miền được tạo năm 1985 với cú pháp đường dẫn tệp.

Các dấu gạch chéo “//” trong đường dẫn được sử dụng để phân tách tên thư mục và tên tệp với nhau. Bản nháp URL đầu tiên được xây dựng vào năm 1993 và được đề cập đến như bộ định vị tài nguyên “phổ quát”. Tuy nhiên, bản này đã bị bác bỏ một thời gian vào giữa tháng 6 năm 1994 và tháng 10 năm 1994.2 Khái quát về URL độc hại 1.1 URL độc hại là gì URL độc hại được biết đến là các đường liên kết có ảnh hưởng xấu đến người dùng. Các URL này sẽ chuyển hướng người dùng đến các tài nguyên hoặc các trang mà kẻ tấn công có thể thực hiện các đoạn mã trên máy tính người dùng, chuyển hướng người dùng đến các trang web không mong muốn, các trang web lừa đảo hoặc tải xuống phần mềm độc hại (malware).

URL độc hại có thể được ẩn trong các liên kết tải xuống được coi là an toàn và có thể lan truyền nhanh chóng qua thông qua việc chia sẻ các tệp tin,… Một số các kỹ thuật tấn công sử dụng URL độc hại bao gồm phishing, social engineering, spam,… Các URL độc hại có thể có thể được sử dụng để thực hiện các hành vi:  Giành quyền truy cập trái phép vào thông tin cá nhân người dùng nhằm thực hiện hành vi giả mạo hoặc các hình thưc gian lận khác.  Đánh cắp thông tin đăng nhập của người dùng để có quyền truy cập vào tài khoản cá nhân hoặc tổ chức của họ.  Lừa người dùng tải xuống các phần mềm độc hại mà kẻ tấn công có thể sử dụng để theo dõi, chiếm quyền điều khiển thiết bị của người dùng.  Truy cập trái phép vào máy tính để mã hóa các tệp của người dùng, yêu cầu người dùng đóng tiền chuộc.