Phát hiện website lừa đảo dựa trên mô hình phân lớp Random Forest

Phát hiện website lừa đảo là một vấn đề ngày càng quan trọng trong bối cảnh Internet phát triển mạnh mẽ. 60 trang · Đại học Kinh tế Huế · 2019.

• Tác giả: Lý Thanh Tùng
• Người hướng dẫn: TS. Nguyễn Đình Hoa Cương
• Trường học: Đại học Kinh tế Huế
• Chuyên ngành: Tin học kinh tế
• Đề tài: Phát hiện website lừa đảo dựa trên mô hình phân lớp Random Forest
• Loại tài liệu: khóa luận tốt nghiệp
• Năm xuất bản: 2019
• Địa điểm: Huế

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. CHƯƠNG I: CƠ SỞ LÝ THUYẾT
• 1.1. Tổng quan về khai phá dữ liệu
• 1.2. Nhu cầu phát hiện tri thức từ dữ liệu
• 1.3. Khai phá dữ liệu
• 1.3.1. Khai phá luật kết hợp
• 1.3.2. Thuật toán Apriori
• 1.3.3. Thuật toán FP-Growth
• 1.3.4. Ứng dụng Khai phá luật kết hợp
• 1.4. Phân cụm
• 1.4.1. Phân cụm phẳng
• 1.4.2. Phân cụm phân cấp
• 1.5. Phân lớp
• 1.5.1. Mô hình phân lớp Naïve Bayes
• 1.5.2. Mô hình phân lớp K-NN
• 1.5.3. Mô hình phân lớp Support Vector Machines
• 1.5.4. Mô hình phân lớp Mạng Nơ-ron nhân tạo
• 1.6. Phát biểu bài toán nghiên cứu
• 1.7. Lý thuyết về mô hình phân lớp Random Forest
• 1.7.1. Giới thiệu chung
• 1.7.2. Cây quyết định
• 1.7.3. Nguyên tắc hoạt động
• 1.7.4. Các công trình liên quan
• 2. CHƯƠNG II: XÂY DỰNG MÔ HÌNH PHÂN LỚP VÀ ỨNG DỤNG DỰ ĐOÁN WEBSITE LỪA ĐẢO
• 2.1. Mô tả bộ dữ liệu
• 2.1.1. Giới thiệu và mô tả dữ liệu
• 2.1.2. Thông tin thuộc tính
• 2.2. Xây dựng mô hình
• 2.3. Phương pháp đánh giá mô hình
• 2.3.1. Tổng quan về Receiver Operating Characteristic
• 2.3.2. Xây dựng ROC để đánh giá
• 2.4. Xây dựng ứng dụng dự đoán website lừa đảo
• 3. CHƯƠNG III: THÍ NGHIỆM VÀ KẾT QUẢ
• 3.1. Thiết lập thí nghiệm
• 3.1.1. Phân lớp với các bộ phân lớp cơ bản
• 3.1.2. Phân lớp với mô hình Random Forest
• 3.2. Thiết lập mô hình đánh giá
• 3.3. Thiết lập ứng dụng dự đoán website lừa đảo
• 3.3.1. Chuẩn bị bộ dữ liệu Unlabel
• 3.3.2. Tạo ứng dụng sử dụng Java Swing
• 3.4. Kết quả thí nghiệm
• 3.4.1. Kết quả đạt được
• 3.4.2. Hạn chế của đề tài
• 3.4.3. Hướng phát triển của đề tài
• DANH MỤC TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về phát hiện website lừa đảo bằng mô hình Random Forest

Phát hiện website lừa đảo là một vấn đề ngày càng quan trọng trong bối cảnh Internet phát triển mạnh mẽ. Mô hình Random Forest đã được chứng minh là một công cụ hiệu quả trong việc phân loại và phát hiện các trang web lừa đảo. Bài viết này sẽ cung cấp cái nhìn tổng quan về cách mà mô hình này hoạt động và ứng dụng của nó trong việc bảo mật thông tin trực tuyến.

1.1. Khái niệm về website lừa đảo và tác động của nó

Website lừa đảo thường được thiết kế để đánh lừa người dùng, nhằm thu thập thông tin cá nhân hoặc tài chính. Những trang web này có thể gây ra thiệt hại lớn cho người dùng và doanh nghiệp. Việc phát hiện sớm các trang web này là rất cần thiết để bảo vệ người dùng khỏi các mối đe dọa trực tuyến.

1.2. Giới thiệu về mô hình Random Forest trong phát hiện lừa đảo

Mô hình Random Forest là một thuật toán học máy mạnh mẽ, sử dụng nhiều cây quyết định để đưa ra dự đoán. Mô hình này có khả năng xử lý dữ liệu lớn và phức tạp, giúp cải thiện độ chính xác trong việc phát hiện các trang web lừa đảo.

II. Vấn đề và thách thức trong phát hiện website lừa đảo

Mặc dù có nhiều phương pháp phát hiện website lừa đảo, nhưng vẫn tồn tại nhiều thách thức. Các trang web lừa đảo ngày càng tinh vi hơn, khiến cho việc phân biệt giữa chúng và các trang web hợp pháp trở nên khó khăn. Việc phát hiện chính xác các trang web này là một thách thức lớn trong lĩnh vực an ninh mạng.

2.1. Sự phát triển của các kỹ thuật lừa đảo

Các kỹ thuật lừa đảo ngày càng đa dạng và tinh vi, từ việc sử dụng giao diện giống hệt các trang web hợp pháp đến việc sử dụng các tên miền tương tự. Điều này làm cho người dùng dễ bị lừa hơn và gây khó khăn cho các hệ thống phát hiện.

2.2. Khó khăn trong việc thu thập và phân tích dữ liệu

Việc thu thập dữ liệu từ các trang web lừa đảo là một thách thức lớn. Dữ liệu không đồng nhất và thiếu thông tin có thể ảnh hưởng đến độ chính xác của mô hình. Hơn nữa, việc phân tích dữ liệu lớn cũng đòi hỏi nhiều tài nguyên tính toán.

III. Phương pháp phát hiện website lừa đảo bằng mô hình Random Forest

Mô hình Random Forest sử dụng các cây quyết định để phân loại các trang web thành hợp pháp hoặc lừa đảo. Quá trình này bao gồm việc thu thập dữ liệu, tiền xử lý và huấn luyện mô hình. Các bước này sẽ được trình bày chi tiết trong phần này.

3.1. Quy trình thu thập và tiền xử lý dữ liệu

Quá trình thu thập dữ liệu bao gồm việc lấy thông tin từ nhiều nguồn khác nhau, như các trang web đã được xác minh và các báo cáo lừa đảo. Sau đó, dữ liệu cần được làm sạch và chuẩn hóa để phù hợp với mô hình.

3.2. Huấn luyện mô hình Random Forest

Sau khi dữ liệu đã được chuẩn bị, mô hình Random Forest sẽ được huấn luyện bằng cách sử dụng các thuộc tính của dữ liệu để phân loại. Quá trình này bao gồm việc tối ưu hóa các tham số của mô hình để đạt được độ chính xác cao nhất.

IV. Ứng dụng thực tiễn của mô hình Random Forest trong phát hiện lừa đảo

Mô hình Random Forest đã được áp dụng thành công trong nhiều lĩnh vực khác nhau để phát hiện website lừa đảo. Các ứng dụng này không chỉ giúp bảo vệ người dùng mà còn hỗ trợ các doanh nghiệp trong việc bảo mật thông tin.

4.1. Ứng dụng trong lĩnh vực tài chính

Trong lĩnh vực tài chính, mô hình Random Forest được sử dụng để phát hiện các trang web lừa đảo nhằm bảo vệ thông tin tài khoản ngân hàng của người dùng. Điều này giúp giảm thiểu rủi ro và thiệt hại tài chính cho người dùng.

4.2. Ứng dụng trong thương mại điện tử

Trong thương mại điện tử, việc phát hiện các trang web lừa đảo giúp bảo vệ quyền lợi của người tiêu dùng. Mô hình Random Forest có thể giúp các doanh nghiệp nhận diện và ngăn chặn các trang web giả mạo, từ đó nâng cao độ tin cậy của dịch vụ.

V. Kết luận và tương lai của phát hiện website lừa đảo

Phát hiện website lừa đảo bằng mô hình Random Forest là một giải pháp hiệu quả trong bối cảnh an ninh mạng ngày càng phức tạp. Tương lai của công nghệ này hứa hẹn sẽ mang lại nhiều cải tiến, giúp bảo vệ người dùng tốt hơn trước các mối đe dọa trực tuyến.

5.1. Hướng phát triển của mô hình Random Forest

Mô hình Random Forest có thể được cải tiến hơn nữa bằng cách kết hợp với các công nghệ mới như học sâu và trí tuệ nhân tạo. Điều này sẽ giúp nâng cao khả năng phát hiện và phân loại các trang web lừa đảo.

5.2. Tầm quan trọng của việc nâng cao nhận thức người dùng

Ngoài việc sử dụng công nghệ, việc nâng cao nhận thức của người dùng về các mối đe dọa trực tuyến cũng rất quan trọng. Giáo dục người dùng về cách nhận diện các trang web lừa đảo sẽ giúp giảm thiểu rủi ro và bảo vệ thông tin cá nhân.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Sự phát triển mạnh mẽ của mạng Internet và các công nghệ lưu trữ, truyền dẫn dữ liệu đã thúc đẩy sự chuyển dịch thói quen của người dùng từ các phương thức truyền thống sang môi trường trực tuyến trong các hoạt động học tập, giải trí, làm việc và giao dịch thương mại điện tử. Đi kèm với xu hướng này là sự gia tăng nhanh chóng của các hình thức tội phạm mạng, đặc biệt là hành vi tấn công lừa đảo trực tuyến (phishing). Các đối tượng xấu thiết lập các trang web giả mạo có giao diện tương tự các trang web hợp pháp nhằm thu thập trái phép thông tin nhạy cảm của người dùng như tên đăng nhập, mật khẩu, thông tin thẻ ngân hàng và số điện thoại phục vụ mục đích chiếm đoạt tài sản.

Thực tiễn đặt ra yêu cầu cấp thiết phải phân biệt chính xác giữa website lừa đảo và website hợp pháp. Tuy nhiên, các website giả mạo ngày càng được thiết kế tinh vi, gây khó khăn cho việc nhận biết bằng các dấu hiệu trực quan thông thường. Mặc dù nhiều kỹ thuật và phương pháp phát hiện đã được đề xuất trong các nghiên cứu trước đây, hiện vẫn chưa có sự đồng nhất về phương pháp tối ưu cũng như tập thuộc tính hiệu quả nhất để đánh giá tính hợp pháp của một trang web. Trong số các giải pháp học máy hiện nay, mô hình phân lớp Rừng ngẫu nhiên (Random Forest) được ghi nhận có hiệu năng cao trong việc nhận diện lừa đảo trên nhiều lĩnh vực. Do đó, đề tài tập trung nghiên cứu giải pháp phát hiện website lừa đảo dựa trên mô hình phân lớp Random Forest.

Mục tiêu nghiên cứu của khóa luận bao gồm:

1. Thu thập dữ liệu thực nghiệm, tiến hành huấn luyện và kiểm thử dữ liệu với các bộ phân lớp học máy trên phần mềm Weka.
2. Xây dựng một ứng dụng giao diện đồ họa trên nền tảng Java Swing nhằm thực hiện dự đoán nhãn lớp cho các bộ dữ liệu chưa được gán nhãn (Unlabel Set).

Đối tượng nghiên cứu của đề tài là mô hình phân lớp Random Forest, bộ dữ liệu Phishing Website, quy trình xây dựng mô hình phân lớp và phương pháp thiết lập hệ thống dự đoán website lừa đảo. Phạm vi nghiên cứu tập trung vào bài toán phân loại nhị phân trên không gian 30 thuộc tính đặc trưng trích xuất từ cấu trúc URL, mã nguồn trang web, chứng chỉ bảo mật và các dịch vụ mạng liên quan.

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng trên nền tảng lý thuyết về quá trình Khám phá tri thức từ cơ sở dữ liệu (Knowledge Discovery in Databases - KDD) và Khai phá dữ liệu (Data Mining). Tác giả tổng quan quy trình khai phá dữ liệu chuẩn gồm 5 bước: (1) Xác định vấn đề và tìm hiểu dữ liệu; (2) Chuẩn bị dữ liệu (làm sạch, tích hợp, chọn lọc, biến đổi); (3) Khai phá dữ liệu (lựa chọn kỹ thuật và thuật toán); (4) Đánh giá tri thức; (5) Triển khai ứng dụng.

Khóa luận hệ thống hóa các nhóm kỹ thuật khai phá dữ liệu cơ bản:

• Khai phá luật kết hợp: Trình bày nguyên lý xác định tập mục phổ biến và các luật mạnh thỏa mãn ngưỡng độ hỗ trợ tối thiểu ($min_sup$) và độ tin cậy tối thiểu ($min_conf$) thông qua hai thuật toán Apriori và FP-Growth.
• Phân cụm dữ liệu: Bao gồm phương pháp phân cụm phẳng (thuật toán $k$-means dựa trên khoảng cách và cập nhật trọng tâm cụm) và phân cụm phân cấp (phân cụm gộp, Birch, Diana, Rock).
• Phân lớp dữ liệu: Nghiên cứu các giải pháp học có giám sát để thiết lập ánh xạ $f(x) = y$, bao gồm: mô hình xác suất Naïve Bayes dựa trên định lý Thomas Bayes; mô hình láng giềng gần nhất $K$-NN (IBk) dựa trên khoảng cách không gian Euclid; mô hình máy vector hỗ trợ (Support Vector Machines - SVM) tối ưu hóa siêu phẳng phân tách; mô hình Mạng nơ-ron nhân tạo nhiều tầng (Multilayer Perceptron).
• Phân tích hồi quy: Các kỹ thuật dự báo giá trị liên tục (tuyến tính, phi tuyến, đơn biến, đa biến).

Về mặt toán học, bài toán phát hiện website lừa đảo được phát biểu như sau: Cho tập dữ liệu $X = {x_1, x_2, \dots, x_n}$ mô tả các website, trong đó mỗi phần tử $x_i$ là một vector 30 chiều biểu diễn 30 thuộc tính đặc trưng. Tập nhãn lớp xác định là $Y = {y_1, y_2}$ với $y_1 = \text{Phishing}$ (lừa đảo) và $y_2 = \text{Legitimate}$ (hợp pháp). Mục tiêu là xây dựng hàm phân lớp: $$f: X \to Y$$ $$x_i \mapsto y_i \quad (i = 1, \dots, n; , y_i \in {y_1, y_2})$$

Mô hình phân lớp trọng tâm là Random Forest (được phát triển ban đầu bởi Tin Kam Ho năm 1995 dựa trên không gian con ngẫu nhiên và Leo Breiman hoàn thiện). Thuật toán áp dụng cơ chế kết hợp mẫu Bootstrap Aggregating (Bagging). Tại mỗi nút phân chia của từng cây quyết định trong rừng, thuật toán chọn ngẫu nhiên $k$ thuộc tính từ tập $m$ thuộc tính ban đầu để tìm thuộc tính phân nhánh tối ưu. Kết quả dự đoán cuối cùng cho một mẫu dữ liệu mới được xác định thông qua cơ chế bỏ phiếu đa số (Majority Voting) từ tất cả các cây quyết định thành phần.

Phương pháp đánh giá hiệu năng mô hình sử dụng công cụ Đường cong đặc trưng hoạt động của máy thu (Receiver Operating Characteristic - ROC), biểu diễn mối tương quan giữa tỷ lệ dương tính thật (True Positive Rate - TPR) và tỷ lệ dương tính giả (False Positive Rate - FPR) tại các ngưỡng quyết định khác nhau.

Nguồn dữ liệu thực nghiệm là bộ dữ liệu Phishing Website Dataset từ kho lưu trữ máy học UCI (UCI Machine Learning Repository), do các tác giả Rami Mustafa A Mohammad, Lee McCluskey và Fadi Thabtah xây dựng từ các nguồn PhishTank, MillerSmiles và Google Search. Bộ dữ liệu gồm 11.055 bản ghi với 30 thuộc tính đặc trưng và 1 thuộc tính nhãn lớp.

Thiết kế và triển khai

Hệ thống dự đoán website lừa đảo được thiết kế và hiện thực hóa dưới dạng một ứng dụng phần mềm độc lập:

• Môi trường phát triển và công nghệ: Ứng dụng được xây dựng bằng ngôn ngữ Java trên môi trường NetBeans IDE. Giao diện đồ họa người dùng sử dụng thư viện Java Swing (JFrame, các thành phần bảng và nút điều khiển).
• Tích hợp thư viện học máy: Hệ thống tích hợp trực tiếp thư viện weka.jar và tài nguyên thư mục tài liệu doc của bộ công cụ Weka vào cấu hình dự án để gọi các thuật toán phân lớp và xử lý cấu trúc tệp ARFF (.arff).
• Quy trình xử lý của ứng dụng:
  1. Nạp dữ liệu: Cho phép người dùng chọn tệp dữ liệu huấn luyện định dạng ARFF từ hệ thống tệp.
  2. Phân chia dữ liệu tự động: Ứng dụng tự động chia tập dữ liệu thành 70% tập huấn luyện (Training Set) và 30% tập kiểm thử (Test Set).
  3. Huấn luyện và kiểm định: Thực hiện huấn luyện mô hình phân lớp Random Forest kết hợp kỹ thuật kiểm định chéo 10 phần (10-fold Cross-Validation), sau đó đánh giá lại trên tập kiểm thử (Test Set).
  4. Dự đoán tập không nhãn (Unlabel Set): Người dùng nạp tệp dữ liệu không nhãn (đã loại bỏ thuộc tính Result). Ứng dụng áp dụng mô hình Random Forest đã huấn luyện để gán nhãn cho từng trường hợp và hiển thị kết quả phân loại chi tiết trên bảng giao diện.
• Thiết lập mô hình đánh giá trên Weka Knowledge Flow: Sử dụng các thành phần chức năng gồm ArffLoader (nạp dữ liệu), ClassAssigner (chỉ định nhãn lớp), TestSetMaker (tạo tập kiểm thử), Classifier (chứa các mô hình đã huấn luyện: Random Forest, Naïve Bayes, K-NN/IBk, SVM/SMO, MultilayerPerceptron), ClassifierPerformanceEvaluator (bộ đánh giá hiệu năng), ModelPerformanceChart (vẽ đồ thị ROC) và ImageSaver (kết xuất hình ảnh đường cong ROC).

Nội dung chính theo từng chương

Chương I: Tổng quan về khai phá dữ liệu

Chương I trình bày cơ sở lý thuyết tổng quát về khai phá dữ liệu và bài toán học máy:

• Phân tích bối cảnh bùng nổ dữ liệu và tiến hóa của công nghệ cơ sở dữ liệu theo quan điểm của J. Han và M. Kamber.
• Khái quát các phương pháp khai phá dữ liệu chính: luật kết hợp (thuật toán Apriori, FP-Growth), phân cụm (phân cụm phẳng $k$-means, phân cụm phân cấp), phân lớp (Naïve Bayes, K-NN, SVM, Multilayer Perceptron) và phân tích hồi quy.
• Trình bày chi tiết lý thuyết cây quyết định và thuật toán Random Forest, nguyên tắc tạo tập mẫu bootstrap, thuật toán chọn ngẫu nhiên tập con thuộc tính và cơ chế tổng hợp kết quả bỏ phiếu.
• Tổng thuật 17 công trình nghiên cứu trong và ngoài nước về ứng dụng học máy và Random Forest trong nhận diện URL/website/email lừa đảo (tiêu biểu như nghiên cứu của Ozgur Koray Sahingoz et al. (2019) đạt độ chính xác 97,98%; Routhu Srinivasa Rao & Alwyn Roshan Pais (2018) đạt độ chính xác 99% với PCA-RF; Kang Leng Chiew et al. (2019) với phương pháp lựa chọn đặc trưng lai HEFS đạt 94,6% chỉ với 20,8% thuộc tính ban đầu; Abdulhamit Subasi et al. (2017) đạt 97%; Adwan Yasin & Abdelmunem Abuhasan (2016) đạt 99,10%; Akinyelu & Adewumi (2014) đạt 99%).

Chương II: Xây dựng mô hình phân lớp và ứng dụng dự đoán website lừa đảo

Chương II tập trung chi tiết hóa tập dữ liệu thực nghiệm, không gian thuộc tính và thiết kế thực nghiệm:

• Phân tích chi tiết 30 thuộc tính đặc trưng của bộ dữ liệu Phishing Website và các quy tắc xác định giá trị cho từng thuộc tính (nhận các giá trị rời rạc: 1 là lừa đảo, 0 là nghi ngờ, -1 là hợp pháp):

Nhóm đặc trưng	Tên thuộc tính	Quy tắc phân loại chính
Cấu trúc URL	having_IP_Address	Sử dụng địa chỉ IP thay tên miền = Lừa đảo (1), ngược lại = Hợp pháp (-1).
	URL_Length	Chiều dài URL < 54 ký tự = Hợp pháp (-1); 54-75 = Nghi ngờ (0); > 75 = Lừa đảo (1).
	Shortining_Service	Sử dụng dịch vụ rút ngắn liên kết = Lừa đảo (1), ngược lại = Hợp pháp (-1).
	having_At_Symbol	URL chứa ký tự @ = Lừa đảo (1), ngược lại = Hợp pháp (-1).
	double_slash_redirecting	Xuất hiện // ở vị trí > 7 trong URL = Lừa đảo (1), ngược lại = Hợp pháp (-1).
	Prefix_Suffix	Tên miền có chứa dấu - phân tách = Lừa đảo (1), ngược lại = Hợp pháp (-1).
	having_Sub_Domain	Số dấu . trong miền bằng 1 = Hợp pháp (-1); bằng 2 = Nghi ngờ (0); > 2 = Lừa đảo (1).
	Abnormal_URL	Tên máy chủ không có danh tính trên cơ sở dữ liệu WHOIS = Lừa đảo (1).
	HTTPS_token	Tên miền chứa chuỗi HTTPS = Lừa đảo (1), ngược lại = Hợp pháp (-1).
Giao thức & An ninh	SSLfinal_State	Có HTTPS từ tổ chức phát hành uy tín, tuổi chứng chỉ $\ge$ 1 năm = Hợp pháp (-1); nhà phát hành không uy tín = Nghi ngờ (0); còn lại = Lừa đảo (1).
	port	Các cổng mạng (21-FTP, 22-SSH, 23-Telnet, 445-SMB, 1433-MSSQL, 1521-ORACLE, 3306-MySQL, 3389-RDP) mở khác trạng thái thường xuyên đóng = Lừa đảo (1). Cổng 80-HTTP, 443-HTTPS trạng thái mở = Hợp pháp (-1).
Mã nguồn & Liên kết	Request_URL	Tỷ lệ đối tượng ngoại vi (ảnh, video) tải từ miền khác < 22% = Hợp pháp (-1); 22%-61% = Nghi ngờ (0); > 61% = Lừa đảo (1).
	URL_of_Anchor	Tỷ lệ liên kết thẻ <a> khác miền < 31% = Hợp pháp (-1); 31%-67% = Nghi ngờ (0); > 67% = Lừa đảo (1).
	Links_in_tags	Tỷ lệ liên kết trong <Meta>, <Script>, <Link> < 17% = Hợp pháp (-1); 17%-81% = Nghi ngờ (0); > 81% = Lừa đảo (1).
	SFH	Trình xử lý biểu mẫu server chứa chuỗi trống = Lừa đảo (1); liên kết miền khác = Nghi ngờ (0).
	Submitting_to_email	Sử dụng hàm mail() hoặc mailto trong PHP để chuyển dữ liệu = Lừa đảo (1).
	Redirect	Số lần chuyển tiếp $\le$ 1 = Hợp pháp (-1); 2 đến < 4 = Nghi ngờ (0); $\ge$ 4 = Lừa đảo (1).
	on_mouseover	Tùy chỉnh thanh trạng thái qua JavaScript = Lừa đảo (1).
	RightClick	Vô hiệu hóa chuột phải (event.button==2) = Lừa đảo (1).
	popUpWidnow	Cửa sổ bật lên yêu cầu nhập thông tin cá nhân = Lừa đảo (1).
	Iframe	Sử dụng thẻ iframe ẩn/không viền = Lừa đảo (1).
	Favicon	Tải favicon từ tên miền ngoài = Hợp pháp (-1), ngược lại = Nghi ngờ (0).
Thông tin miền & Lưu lượng	Domain_registeration_length	Tên miền hết hạn $\le$ 1 năm = Lừa đảo (1), trả trước nhiều năm = Hợp pháp (-1).
	age_of_domain	Tuổi tên miền $\ge$ 6 tháng = Hợp pháp (-1), < 6 tháng = Lừa đảo (1).
	DNSRecord	Bản ghi DNS không tồn tại/trống = Lừa đảo (1).
	web_traffic	Xếp hạng Alexa thuộc top 100.000 = Hợp pháp (-1); nhận diện ngoài 100.000 = Nghi ngờ (0); không có lưu lượng = Lừa đảo (1).
	Page_Rank	Giá trị PageRank đo lường mức độ quan trọng < 0,2 = Lừa đảo (1).
	Google_Index	Được Google lập chỉ mục = Hợp pháp (-1), không có trong chỉ mục = Lừa đảo (1).
	Links_pointing_to_page	Số liên kết trỏ đến trang = 0 là Lừa đảo (1); 1-2 liên kết = Nghi ngờ (0); > 2 = Hợp pháp (-1).
	Statistical_report	IP hoặc tên miền nằm trong báo cáo top lừa đảo của PhishTank/StopBadware = Lừa đảo (1).

• Trình bày quy trình phân chia dữ liệu theo tỷ lệ 70% tập huấn luyện và 30% tập kiểm thử.
• Thiết lập quy trình đánh giá đường cong ROC bằng công cụ Knowledge Flow trong Weka.
• Xây dựng mô hình ứng dụng dự đoán website lừa đảo trên giao diện Java Swing.

Chương III: Thí nghiệm và kết quả

Chương III triển khai các kịch bản thực nghiệm và đánh giá kết quả:

• Kịch bản phân lớp trên Weka: Nạp tệp dữ liệu PhishingWebsiteDataSet.arff, sử dụng bộ lọc Remove Percentage để phân chia tập dữ liệu thành Training Set (70%) và Test Set (30%). Tiến hành huấn luyện với phương pháp kiểm định chéo 10-fold Cross-Validation cho từng bộ phân lớp (Naïve Bayes, Random Forest, K-NN, SVM, Multilayer Perceptron). Sau đó sử dụng tùy chọn Supplied test set để kiểm thử lại hiệu năng trên Test Set.
• Thiết lập mô hình đánh giá: Lưu trữ các tệp mô hình đã huấn luyện (.model) của từng thuật toán. Thiết lập sơ đồ Knowledge Flow, nạp các tệp mô hình tương ứng vào các thành phần phân lớp và kết xuất đồ thị ROC thông qua ModelPerformanceChart.
• Thực thi ứng dụng dự đoán: Thiết lập tập dữ liệu không nhãn (Unlabel Set) được trích xuất từ tập kiểm thử nhưng lược bỏ giá trị nhãn lớp Result. Triển khai ứng dụng Java Swing, nạp dữ liệu, thực thi mô hình Random Forest và xuất bảng kết quả dự đoán chi tiết.

Kết quả và đóng góp

Khóa luận đã hoàn thành các nội dung thực nghiệm và xây dựng ứng dụng với các kết quả cụ thể:

• Thực nghiệm mô hình học máy: Đã xây dựng và kiểm thử thành công mô hình Random Forest cùng các thuật toán phân lớp cơ bản (Naïve Bayes, K-NN, SVM, Multilayer Perceptron) trên bộ dữ liệu 11.055 mẫu. Quy trình kiểm định kết hợp giữa 10-fold Cross-Validation trên tập huấn luyện và đánh giá độc lập trên tập kiểm thử 30% tách rời.
• Đánh giá so sánh trực quan: Thiết lập thành công luồng phân tích trên Knowledge Flow của Weka để so sánh đường cong ROC giữa Random Forest và các bộ phân lớp cơ bản, cho thấy trực quan hiệu năng phân loại của từng mô hình trên bộ dữ liệu Phishing Website.
• Ứng dụng phần mềm thực tiễn: Phát triển hoàn chỉnh một ứng dụng Java Swing có khả năng nạp dữ liệu định dạng ARFF, tự động chia tập huấn luyện/kiểm thử, gọi mô hình Random Forest từ thư viện Weka để phân lớp dữ liệu chưa được gán nhãn và hiển thị kết quả trực tiếp cho người dùng.
• Hệ thống hóa tri thức chuyên ngành: Khóa luận đã hệ thống hóa đầy đủ cơ sở lý luận của 30 thuộc tính đặc trưng dùng để phát hiện website lừa đảo, bao gồm các luật logic cụ thể từ tầng giao thức mạng, đặc trưng URL, mã nguồn HTML/JavaScript đến dữ liệu danh tiếng từ bên thứ ba (Alexa, Google Index, WHOIS, PhishTank).

Hạn chế và hướng nghiên cứu tiếp

Khóa luận chỉ ra một số hạn chế trong quá trình thực hiện:

• Về thuật toán Random Forest: Khối lượng tính toán của mô hình tương đối lớn; khi số lượng cây quyết định trong rừng tăng cao có thể làm giảm tốc độ xử lý, gây ảnh hưởng đến hiệu quả trong các bài toán dự đoán theo thời gian thực.
• Về phạm vi ứng dụng: Ứng dụng hiện tại hoạt động dựa trên tập dữ liệu thuộc tính tĩnh đã được tiền xử lý và lưu dưới dạng tệp ARFF, chưa tích hợp mô-đun tự động thu thập và trích xuất đặc trưng trực tiếp theo thời gian thực từ một địa chỉ URL người dùng nhập vào.

Các hướng phát triển tiếp theo được tác giả đề xuất:

• Nghiên cứu và áp dụng các kỹ thuật lựa chọn đặc trưng nâng cao (như lựa chọn đặc trưng lai HEFS, PCA kết hợp Random Forest) nhằm giảm số chiều dữ liệu mà vẫn duy trì độ chính xác cao.
• Phát triển mô-đun tự động bóc tách 30 thuộc tính đặc trưng từ URL và mã nguồn trang web trong thời gian thực.
• Mở rộng ứng dụng thành tiện ích mở rộng (extension) tích hợp trực tiếp trên các trình duyệt web phổ biến để tự động cảnh báo người dùng khi truy cập các trang web có dấu hiệu lừa đảo.

Giá trị tham khảo

Khóa luận là tài liệu tham khảo hữu ích cho:

• Sinh viên và người học ngành Hệ thống thông tin kinh tế, Khoa học dữ liệu và Công nghệ thông tin: Cung cấp tài liệu hoàn chỉnh về quy trình thực hiện một đề tài khai phá dữ liệu thực nghiệm, từ khâu tìm hiểu lý thuyết, xử lý dữ liệu thực tế đến đánh giá hiệu năng mô hình.
• Người nghiên cứu về an toàn thông tin và phòng chống lừa đảo trực tuyến: Bảng chi tiết 30 thuộc tính đặc trưng cùng các luật phân loại logic cụ thể là nguồn tham khảo giá trị để xây dựng các bộ lọc hoặc hệ thống nhận diện phishing.
• Lập trình viên Java ứng dụng học máy: Khóa luận cung cấp giải pháp thực tế về việc nhúng thư viện Weka (weka.jar) vào ứng dụng giao diện Java Swing để triển khai các mô hình học máy vào phần mềm thương mại hoặc ứng dụng desktop.

Câu hỏi thường gặp

1. Bộ dữ liệu Phishing Website được sử dụng trong khóa luận có đặc điểm gì và lấy từ nguồn nào?
Bộ dữ liệu được lấy từ kho lưu trữ máy học UCI (UCI Machine Learning Repository), do các tác giả Rami Mustafa A Mohammad, Lee McCluskey (Đại học Huddersfield) và Fadi Thabtah (Đại học Canada Dubai) xây dựng. Dữ liệu được thu thập từ các nguồn PhishTank, MillerSmiles và Google Search, bao gồm tổng cộng 11.055 trường hợp với 30 thuộc tính đặc trưng mô tả trang web và 1 thuộc tính nhãn lớp Result (nhận giá trị 1 là lừa đảo, -1 là hợp pháp).

2. Thuộc tính độ dài URL (URL_Length) và số lượng tên miền phụ (having_Sub_Domain) được gán nhãn theo quy tắc nào?

• Thuộc tính URL_Length: Nếu chiều dài URL < 54 ký tự thì được phân loại là hợp pháp (-1); nếu chiều dài từ 54 đến 75 ký tự thì thuộc diện nghi ngờ (0); nếu chiều dài > 75 ký tự thì bị coi là lừa đảo (1).
• Thuộc tính having_Sub_Domain: Sau khi bỏ tiền tố www và phần đuôi mã quốc gia, nếu số dấu chấm (.) trong tên miền bằng 1 thì là hợp pháp (-1); nếu bằng 2 thì là nghi ngờ (0); nếu lớn hơn 2 thì là lừa đảo (1).

3. Quy trình thực nghiệm đánh giá mô hình phân lớp trên Weka được tiến hành ra sao?
Dữ liệu từ tệp PhishingWebsiteDataSet.arff được nạp vào Weka và chia thành 2 tập: Training Set (70%) và Test Set (30%) bằng bộ lọc Remove Percentage. Tập huấn luyện được học thông qua phương pháp kiểm định chéo 10-fold Cross-Validation trên các bộ phân lớp (Random Forest, Naïve Bayes, K-NN, SVM, Multilayer Perceptron). Sau đó, mô hình được kiểm thử lại bằng tập Test Set độc lập. Các mô hình huấn luyện được lưu dưới dạng tệp .model và nạp vào công cụ Knowledge Flow để vẽ đường cong ROC so sánh hiệu năng.

4. Ứng dụng dự đoán website lừa đảo được xây dựng trên công nghệ nào và xử lý dữ liệu ra sao?
Ứng dụng được lập trình bằng ngôn ngữ Java trên NetBeans IDE, sử dụng thư viện giao diện Java Swing và tích hợp thư viện weka.jar. Ứng dụng cho phép người dùng nạp tập dữ liệu, tự động chia tập Training/Test (70/30), huấn luyện mô hình Random Forest với 10-fold Cross-Validation, sau đó tiếp nhận các bộ dữ liệu không nhãn (Unlabel Set) để phân loại và hiển thị kết quả dự đoán nhãn lớp (1 hoặc -1) ra bảng giao diện.

Kết luận

Khóa luận đã nghiên cứu và triển khai giải pháp phát hiện website lừa đảo sử dụng mô hình học máy Random Forest trên không gian 30 thuộc tính đặc trưng từ bộ dữ liệu UCI gồm 11.055 mẫu. Tác giả đã thiết lập quy trình thực nghiệm hoàn chỉnh trên phần mềm Weka với kỹ thuật kiểm định chéo 10-fold Cross-Validation và đánh giá trực quan qua đường cong ROC. Đồng thời, đề tài đã xây dựng thành công ứng dụng Java Swing tích hợp thư viện Weka, cho phép tự động phân lớp các tập dữ liệu website chưa gán nhãn với cấu trúc xử lý rõ ràng.

Trích đoạn nội dung tài liệu

CHƯƠNG I.Tổng quan về khai phá dữ liệu 1. Nhu cầu phát hiện tri thức từ dữ liệu Tốc độ vượt bậc về dung lượng dữ liệu do con người khởi tạo, lưu giữ và truyền dẫn ngày càng tăng cùng với nhu cầu hoạt động về mọi mặt của đời sống xã hội và sự phát triển của công nghệ chế tạo các thiết bị xử lý, lưu trữ và truyền dẫn dữ liệu đã dẫn đến “Hiện tượng bùng nổ thông tin”. Các kết quả của sự phát triển công nghệ phần cứng máy tính đã tạo điều kiện thuận lợi cho sự phát triển công nghệ CSDL (liên quan tới tổ chức và quản lý CSDL) và công nghệ mạng (liên quan tới hoạt động truyền dẫn dữ liệu). Công nghệ CSDL đã và đang phát triển không ngừng nhằm đáp ứng nhu cầu quản lý dữ liệu của con người nói chung và trong hoạt động quản lý nói riêng.

Trong quá trình tiến hóa của công nghệ CSDL, nhiều hệ quản trị cơ sở dữ liệu được phát triển và năng lực của hệ quản trị cũng ngày càng được nâng cao. Một ví dụ về sự tăng trưởng nổi bật về kích thước CSDL quản lý đó chính là sự xuất hiện nhiều CSDL có kích thước hàng trăm TB (1TB = 1000 GB). Ngoài ra sự phát triển về công nghệ mạng cả về quy mô và tốc độ đã tạo ra sự tăng trưởng mạnh về năng lực truyền dẫn thông tin. Thích ứng với hoàn cảnh đó, các phương pháp xử lý dữ liệu và các bộ công cụ tiện ích thi hành các phương pháp này ra đời.

Xây dựng phát triển phương pháp và công cụ xử lý dữ liệu lớn nhằm mục đích phát hiện tri thức tiềm ẩn là nội dung của lĩnh vực phát hiện tri thức trong cơ sở dữ liệu. 1: Tiến hóa của công nghệ cơ sở dữ liệu theo quan điểm của J.Kamber Nguồn: Nguyễn Hà Nam, Nguyễn Trí Thành, Hà Quang Huy (2016) 1. Khai phá dữ liệu Khai phá dữ liệu (Data mining) [1] là quá trình phân loại, sắp xếp và tính toán các tập dữ liệu lớn để xác định các mẫu và thiết lập các mối liên hệ nhằm giải quyết các vấn đề từ việc phân tích dữ liệu từ đó chuyển bộ dữ liệu thành một cấu trúc dễ hiểu để sử dụng tiếp. Quy trình khai phá dữ liệu Nguồn: https://bienuit.com/khaiphadulieu Quá trình khai phá dữ liệu bao gồm: - Bước 1: Xác định vấn đề, lĩnh vực cần nghiên cứu và dữ liệu liên quan để giải quyết vấn đề (Problem understanding and data understanding).

- Bước 2: Chuẩn bị dữ liệu (Data preparation), bao gồm các quá trình làm sạch dữ liệu (Data cleaning), tích hợp dữ liệu (Data integration), chọn dữ liệu (Data selection), biến đổi dữ liệu (Data transformation). - Bước 3: Khai phá dữ liệu (Data mining): xác định nhiệm vụ khai thác dữ liệu và lựa chọn kỹ thuật khai thác dữ liệu. Kết quả của bước này cho ta một nguồn tri thức thô. - Bước 4: Đánh giá (Evaluation): dựa trên một số tiêu chí tiến hành kiểm tra và lọc nguồn tri thức thu được.

- Bước 5: Triển khai (Deployment): dựa vào kết quả của quá trình đánh giá và chọn lọc nguồn tri thức, tiến hành triển khai vào thực thế những ứng dụng, công cụ để thu được lời ích. Các lĩnh vực ứng dụng Khai phá dữ liệu có thể áp dụng cho nhiều lĩnh vực khác nhau. Trong thiên văn học, nó dùng để nhận dạng, đặc tính hóa và phân loại nhanh chóng các sự kiện bầu trời thời gian thực. Đối với tin sinh học, nó dùng để phân tích các hệ thống để tìm ra nguồn hiểu biết tinh sinh học mới.

Đối với thương mại điện tử, khai phá dữ liệu dùng để phân khúc thị trường, phân tích giỏ hàng và dự báo khách hàng. Tỉ lệ người dụng sử dụng internet ngày càng gia tăng, do đó việc phát hiện ra những kẻ lừa đảo qua mạng là một vấn đề cần phải đặt ra, đây cũng chính là một trong những ứng dụng của khai phá dữ liệu. Đối với quảng cáo, khai phá dữ liệu có thể thu thập các thông tin của người dùng từ đó đề xuất ra những quảng cáo phù hợp với sở thích của họ. Ngoài các ứng dụng trên, một số lĩnh vực có thể ứng dụng khai phá dữ liệu như: bào chế thuốc, viễn thông, thể thao giải trí, đầu tư và chăm sóc sức khỏe.

Các phương pháp khai phá dữ liệu 1. Khai phá luật kết hợp 1. Giới thiệu về Luật kết hợp Khai phá luật kết hợp [2] là tìm ra các mẫu có tần suất cao, các mẫu kết hợp, liên quan hoặc các cấu trúc tồn tại giữa các tập hợp đối tượng trong cơ sở dữ liệu các giao dịch, cơ sở dữ liệu quan hệ hoặc các kho chứa thông tin khác. Nói các khác là chúng ta tìm tất cả các tập phổ biến từ trong dữ liệu.

Bài toán của Luật kết hợp được diễn giải như sau. Cho biết = { , ,…, } là tập các giao dịch với là số các giao dịch có trong. Tập = { , , … , } là một tập gồm n tập mục khác nhau xuất hiện trong. Mỗi giao dịch là một tập các mục xuất hiện đồng thời.

Với và là các tập mục. Một luật kết hợp được biểu diễn bời công thức: => (1) Trong đó ⊆ , ⊆ và ∩ = ∅ Một giao dịch thuộc chứa một tập mục nếu là tập con của .Độ hỗ trợ của trong là số giao dịch chứa trong (viết tắt là .Để đo độ mạnh của một luật kết hợp, ta sử dụng hai độ do sau: Độ hỗ trợ và độ tin cậy. Độ hỗ trợ của một luật => là tỉ lệ phần trăm (%) các giao dịch trong mà chứa cả và. Nó giúp xác định mức độ phổ biến của các giao dịch chứa tập mục ( ∪ ) trong tổng số tất cả các giao dịch.

Công thức tính độ hỗ trợ (Support): 6 ∪. ( => ) = = ( ∪ ) (2) Độ tin cậy của luật => là tỉ lệ % các giao dịch trong chứa cả và trên tổng số các giao dịch trong chỉ chứa. Công thức tính độ tin cậy (confidence): ∪. = ( ∪ | ) (3) Những luật kết hợp thỏa mãn điều kiện độ hỗ trợ tối thiểu ( _ ) và độ tin cậy tối thiểu ( _ ) được gọi là các luật mạnh.

Nhìn chung, khai phá luật kết hợp là một quá trình gồm 2 bước sau: - Bước 1: Tìm tất cả các tập mục thường xuyên. Tập mục thường xuyên là tập mục mà độ hỗ trợ của nó lớn hơn hoặc bằng _. - Bước 2: Tạo các luật kết hợp mạnh từ tập mục thường xuyên. Luật kết hợp mạnh là những luật có độ hỗ trợ và độ tin cậy lớn hơn _ và _ tương ứng.

Thuật toán Apriori Apriori [2] là một thuật toán được giới thiệu lần đầu vào năm 1994 bởi R.Srikant, nhằm khai phá tập mục phổ biến nhị phân. Thuật toán này thực hiện lặp lại việc tìm kiếm theo mức, sử dụng thông tin ở mức để duyệt mức + 1. Thuật toán này được tiến hành như sau: - Đầu tiên, các tập mục thường xuyên có độ dài là 1 được xây dựng bằng việc duyệt qua toàn bộ dữ liệu để đếm sự xuất hiện của từng phần tử và giá trị này phải lớn hơn hoặc bằng _. Kết quả của việc đếm này được ký hiệu là L.

- Tiếp theo L được sử dụng để tìm kiếm tập mục thường xuyên L có độ dài là 2. Việc này được thực hiện lặp đi lặp lại đến khi không tìm được tập mục thường xuyên có độ dài là k thỏa mãn điều kiện _. Thuật toán FP-Growth Thuật toán FP-Growth [2] được giới thiệu năm 2000 bời Jiawei Hai Jian Pei và Yiwen Yin nhằm khắc phục hai nhược điểm của Thuật toán Apriori đó là: - Chi phí lớn cho một số lượng lớn các tập ứng cử. - Đòi hỏi lặp lại nhiều lần duyệt CSDL, để kiểm tra tất cả các tập ứng cử.

Thuật toán này được tiến hành như sau: 7 - Duyệt CSDL lần thứ nhất để tính độ hỗ trợ của tất cả 1-itemset và loại bỏ những mục có độ hỗ trợ bé hơn min_sup. Các mục còn lại được sắp xếp theo thứ tự giảm dần độ hỗ trợ (cũng tức là giảm dần theo số lần xuất hiện trong CSDL), sau đó ta nhận được danh sách L đã sắp xếp. - Duyệt CSDL lần hai, với mỗi tác vụ t, loại bỏ các mục không đủ độ hỗ trợ, các mục còn lại theo thứ tự giảm dần độ hỗ trợ được đưa vào cây FP-tree. - Tìm các tập mục phổ biến trên cây FP-tree đã xây dựng mà không duyện lại CSDL nữa.

Ứng dụng Khai phá luật kết hợp Khai phá luật kết hợp có một số ứng dụng như: phân tích luật kết hợp để hỗ trợ kinh doanh, tìm hiểu thói quen mua sắm của khách hàng, khả năng tìm ra những dấu hiệu để tìm vi phạm bản quyền tài liệu, gợi ý và hỗ trợ chuẩn đoán bệnh tật và hỗ trợ ra quyết định trong chứng khoáng. Một số kĩ thuật mới như luật kết hợp hiếm và luật kết hợp âm đã được phát triển nhằm tăng khả năng và mở rộng phạm vị ứng dụng của khai phá luật kết hợp. Phân cụm Phân cụm (Clustering) là [2] việc thực hiện nhóm dữ liệu thành các “cụm” để có thể phát hiện được các mẫu phân bố dữ liệu trong miền ứng dụng. Phân cụm là một phương pháp học máy không giám sát, cố gắng khám phá các nhóm tự nhiên và phân phối thống kê dữ liệu.

Phân cụm phẳng Giải thuật k-means thuộc lớp phân cụm phẳng, đầu vào cho thuật toán k-means là tập dữ liệu D gồm n phần tử dữ liệu, số lượng các cụm đầu ra k. Đầu ra của giải thuật là k cụm dữ liệu. Giải thuật k-means được trình bày như sau: 1. Chọn ngẫu nhiên k phần tử trong tập làm trọng tâm ban đầu cho các cụm.

Phân các phần tử dữ liệu trong vào các cụm dựa vào độ tương đồng của nó với trọng tâm của các cụm. Phần tử dữ liệu sẽ được phân vào cụm có độ tương đồng lớn nhất. Tính lại trọng tâm của các cụm. Nhảy đến bước 2 cho đến khi quá trình hội tụ (không có sự gán lại các phần tử dữ liệu giữa các cụm, hay trọng tâm của các cụm là không đổi).

Phân cụm phân cấp Khác với các giải thuật phân cụm phẳng, các thuật toán phân cụm phân cấp sẽ tạo ra một cây phân cấp các cụm dữ liệu. Các thuật toán phân cụm phân cấp bao gồm: Thuật toán phân cụm gộp, thuật toán phân cấp Birch, thuật toán phân cụm Diana và thuật toán phân cụm Rock.