Phát hiện xâm nhập mạng bằng phát hiện bất thường dựa trên phân tích lưu lượng mạng và học máy

Tài liệu nghiên cứu Phát hiện xâm nhập mạng bằng phát hiện bất thường dựa trên phân tíh lưu lượng mạng và họ máy, tổng hợp lý thuyết và thực hành, cung cấp kiến thức chuyên sâu về

• Tác giả: Nguyễn Anh Đức
• Người hướng dẫn: PGS. Nguyễn Linh Giang
• Trường học: Trường Đại Học Bách Khoa Hà Nội
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Phát hiện xâm nhập mạng bằng phát hiện bất thường dựa trên phân tích lưu lượng mạng và học máy
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2020
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CẢM ƠN
• TÓM TẮT NỘI DUNG LUẬN VĂN
• 1. CHƯƠNG 1: TỔNG QUAN VỀ PHÁT HIỆN VÀ PHÒNG CHỐNG XÂM NHẬP MẠNG IDS/IPS
• 1.1. Giới thiệu về IDS/IPS
• 1.2. Khái niệm về IDS/IPS
• 1.3. Sự khác nhau giữa IDS/IPS
• 1.4. Phân biệt những hệ thống không phải IDS
• 1.5. Chức năng của IDS/IPS
• 1.6. Kiến trúc và nguyên lý hoạt động
• 1.7. Cơ chế hoạt động của hệ thống IDS/IPS
• 1.7.1. Phát hiện sự lạm dụng
• 1.7.2. Phát hiện sự bất thường
• 1.7.3. So sánh giữa 2 mô hình
• 2. CHƯƠNG 2: CÁC PHƯƠNG PHÁP PHÁT HIỆN TẤN CÔNG TRONG HỆ THỐNG IDS/IPS VÀ SNORT
• 2.1. Các phương pháp phát hiện bất thường
• 2.1.1. Phát hiện xâm nhập mạng bất thường dựa trên luật (rule-based) trong IDS/IPS
• 2.1.2. Phát hiện xâm nhập mạng bất thường dựa trên mạng nơ-ron (Artificial Neural Network)
• 2.2. Hệ thống phát hiện xâm nhập với Snort
• 2.2.1. Kiến trúc của Snort
• 2.2.1.1. Môđun giải mã gói tin
• 2.2.1.2. Môđun tiền xử lý
• 2.2.1.3. Môđun phát hiện
• 2.2.1.4. Môđun log và cảnh báo
• 2.2.1.5. Mô đun kết xuất thông tin
• 2.2.1.6. Bộ luật của Snort
• 3. CHƯƠNG 3: THỬ NGHIỆM PHÁT HIỆN TẤN CÔNG XÂM NHẬP MẠNG BẤT THƯỜNG BẰNG HỌC MÁY
• 3.1. Các kiểu tấn công Portscan
• 3.1.1. TCP Connect Scan
• 3.2. Thử nghiệm phát hiện tấn công bằng học máy
• 3.2.1. Giới thiệu PortscanAI
• 3.2.2. Mô hình thử nghiệm
• 3.2.3. Quá trình thử nghiệm
• 3.2.4. Đánh giá kết quả thử nghiệm
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Phát Hiện Xâm Nhập Mạng Bằng Học Máy IDS

An ninh mạng là vấn đề cấp thiết. Các cuộc tấn công mạng gây hậu quả nghiêm trọng. Việc xây dựng hệ thống phát hiện xâm nhập (IDS) dựa trên mã nguồn mở ngày càng phát triển. Tuy nhiên, mức độ triển khai thực tế ở Việt Nam còn hạn chế. Các chương trình giám sát thường tích hợp trên phần cứng, hạn chế khả năng mở rộng. Đề tài "Phát hiện xâm nhập mạng bằng phát hiện bất thường dựa trên phân tích lưu lượng mạng và học máy" nhằm nâng cao an toàn thông tin, hỗ trợ giám sát và bảo vệ hệ thống mạng. Các hệ thống như tường lửa (Firewall), Mạng riêng ảo VPN, IDS/IPS là các giải pháp thường được sử dụng. Hệ thống IDS có khả năng phát hiện và chống lại các kiểu tấn công mới, các vụ lạm dụng. Luận văn tập trung nghiên cứu về phát hiện xâm nhập mạng bằng phát hiện bất thường dựa trên phân tích lưu lượng mạng và học máy.

1.1. Lịch Sử Phát Triển của Hệ Thống IDS Từ Nghiên Cứu Đến Ứng Dụng

Khái niệm phát hiện xâm nhập xuất hiện khoảng 25 năm trước trong bài báo của James Anderson. Mục đích ban đầu là dò tìm hành vi bất thường của người dùng, phát hiện lạm dụng đặc quyền. Các nghiên cứu chính thức bắt đầu từ năm 1983 đến 1988. Đến năm 1996, khái niệm IDS vẫn chưa phổ biến, chỉ xuất hiện trong phòng thí nghiệm. Năm 1997, IDS mới được biết đến rộng rãi. Hiện nay, IDS/IPS là một trong những công nghệ an ninh được sử dụng nhiều nhất và vẫn còn phát triển mạnh mẽ. Các nghiên cứu về hệ thống phát hiện xâm nhập được nghiên cứu chính thức từ năm 1983 đến năm 1988 trước khi được sử dụng tại mạng máy tính của không lực Hoa Kỳ. Cho đến tận năm 1996, các khái niệm IDS vẫn chưa được phổ biến.

1.2. Định Nghĩa và Vai Trò Của IDS IPS Trong An Ninh Mạng

Hệ thống phát hiện xâm nhập (IDS) là hệ thống phần cứng hoặc phần mềm tự động theo dõi, phân tích sự kiện để phát hiện các vấn đề an ninh. Khi các vụ tấn công mạng tăng, IDS trở nên quan trọng trong bảo mật. IPS (Intrusion Prevention System) có khả năng ngăn chặn các nguy cơ xâm nhập mà nó phát hiện. Theo tài liệu, ý tưởng của công nghệ này là mọi cuộc tấn công chống lại bất cứ thành phần nào của môi trường được bảo vệ sẽ bị làm chệch hướng bằng các giải pháp ngăn ngừa xâm nhập. Với “quyền tối thượng”, các Hệ thống Ngăn ngừa Xâm nhập có thể “nắm” lấy bất cứ lưu lượng nào của các gói tin mạng và đưa ra quyết định có chủ ý – liệu đây có phải là một cuộc tấn công hay một sự sử dụng hợp pháp.

II. Thách Thức Rủi Ro An Ninh Mạng Tại Sao Cần IDS

Internet mang lại lợi ích, nhưng cũng tiềm ẩn nhiều rủi ro. Lỗ hổng bảo mật bị khai thác để xâm nhập, chiếm dụng thông tin. Vì vậy, phát hiện và phòng chống tấn công xâm nhập trái phép là cần thiết. Có nhiều giải pháp như Firewall, VPN, IDS/IPS. Hệ thống IDS có khả năng phát hiện và chống lại các kiểu tấn công mới, các vụ lạm dụng, dùng sai xuất phát từ trong hệ thống và có thể hoạt động tốt với các phương pháp bảo mật truyền thống khác. Luận văn này tập trung nghiên cứu về Phát hiện xâm nhập mạng bằng phát hiện bất thường dựa trên phân tích lưu lượng mạng và học máy.

2.1. Các Kiểu Tấn Công Mạng Phổ Biến và Mục Tiêu Của Kẻ Xâm Nhập

Kẻ tấn công mạng có nhiều mục tiêu khác nhau, từ đánh cắp thông tin, phá hoại hệ thống đến tống tiền. Các kiểu tấn công phổ biến bao gồm tấn công từ chối dịch vụ (DoS), tấn công man-in-the-middle, tấn công SQL injection, và tấn công zero-day. Việc hiểu rõ các kiểu tấn công này giúp xây dựng hệ thống IDS hiệu quả hơn. Theo tài liệu gốc, Nhiều người đã dựa trên những lỗ hỗng bảo mật của Internet để xâm nhập, chiếm dụng thông tin hoặc phá hoại các hệ thống máy tính khác. Vì vậy, phát hiện và phòng chống tấn công xâm nhập trái phép cho các mạng máy tính là một vấn đề cần thiết.

2.2. Hạn Chế Của Các Giải Pháp An Ninh Truyền Thống Vì Sao Cần IDS

Các giải pháp an ninh truyền thống như tường lửa (Firewall) có thể không đủ để bảo vệ hệ thống trước các cuộc tấn công tinh vi. Tường lửa hoạt động dựa trên luật lệ định sẵn, khó phát hiện các tấn công mới. Hệ thống IDS bổ sung khả năng phát hiện các hoạt động đáng ngờ, giúp tăng cường khả năng phòng thủ. IDS có khả năng phát hiện và chống lại các kiểu tấn công mới, các vụ lạm dụng, dùng sai xuất phát từ trong hệ thống và có thể hoạt động tốt với các phương pháp bảo mật truyền thống khác.

III. Phương Pháp Phát Hiện Bất Thường Bằng Học Máy Chi Tiết

Phát hiện bất thường là phương pháp phát hiện xâm nhập dựa trên việc xác định các hoạt động khác biệt so với hành vi bình thường. Học máy được sử dụng để xây dựng mô hình hành vi bình thường. Các thuật toán machine learning for network security như mạng nơ-ron, support vector machine (SVM), và k-means clustering được áp dụng. Các hoạt động nằm ngoài phạm vi mô hình được coi là bất thường và có thể là dấu hiệu của cuộc tấn công. Phương pháp này có khả năng phát hiện các tấn công mới, chưa được biết đến trước đây.

3.1. Thuật Toán Học Máy Phổ Biến Trong Phát Hiện Xâm Nhập Mạng SVM Mạng Nơ ron

Mạng nơ-ron là một trong những thuật toán học máy được sử dụng rộng rãi trong phát hiện xâm nhập. Nó có khả năng học các mẫu phức tạp trong dữ liệu lưu lượng mạng. SVM là một thuật toán khác có hiệu quả trong việc phân loại dữ liệu, giúp phân biệt giữa lưu lượng bình thường và lưu lượng tấn công. K-means clustering được sử dụng để nhóm các hoạt động tương tự, giúp xác định các hoạt động bất thường. Việc lựa chọn thuật toán phù hợp phụ thuộc vào đặc điểm của dữ liệu và yêu cầu của hệ thống. Theo tài liệu gốc, Nghiên cứu giải thuật lan truyền ngược ứng dụng trên mạng nơ ron trong hệ thống phát hiện xâm nhập.

3.2. Các Bước Xây Dựng Mô Hình Học Máy Cho Phát Hiện Xâm Nhập Mạng

Việc xây dựng mô hình học máy cho phát hiện xâm nhập bao gồm các bước sau: thu thập dữ liệu, tiền xử lý dữ liệu, lựa chọn đặc trưng, huấn luyện mô hình, và đánh giá mô hình. Dữ liệu lưu lượng mạng cần được thu thập và tiền xử lý để loại bỏ nhiễu và chuẩn hóa. Các đặc trưng quan trọng cần được lựa chọn để huấn luyện mô hình. Mô hình sau đó được đánh giá để đảm bảo hiệu quả phát hiện. Dữ liệu huấn luyện cần được chuẩn hóa để đảm bảo hiệu quả hoạt động của mô hình học máy.

3.3. Ưu Điểm và Nhược Điểm Của Phát Hiện Bất Thường Dựa Trên Học Máy

Ưu điểm của phát hiện bất thường dựa trên học máy là khả năng phát hiện các tấn công mới, chưa được biết đến. Tuy nhiên, phương pháp này cũng có nhược điểm là có thể tạo ra nhiều cảnh báo sai (false positive). Việc huấn luyện mô hình cũng đòi hỏi lượng dữ liệu lớn và thời gian. Việc cân bằng giữa độ chính xác và số lượng cảnh báo sai là một thách thức trong việc triển khai phương pháp này. Để giảm thiểu tình trạng false positive, nhà quản trị mạng cần am hiểu về mô hình học máy.

IV. Phân Tích Lưu Lượng Mạng Nền Tảng Phát Hiện Xâm Nhập

Phân tích lưu lượng mạng là quá trình thu thập và phân tích dữ liệu lưu lượng mạng để xác định các hoạt động đáng ngờ. Dữ liệu được thu thập từ các gói tin mạng, bao gồm thông tin về nguồn, đích, giao thức, và nội dung. Các kỹ thuật phân tích lưu lượng gói tin như phân tích thống kê, phân tích dựa trên chữ ký, và phân tích hành vi được sử dụng. Kết quả phân tích được sử dụng để phát hiện các cuộc tấn công và các hoạt động bất thường.

4.1. Các Phương Pháp Phân Tích Lưu Lượng Mạng Phổ Biến Thống Kê Dựa Trên Chữ Ký

Phân tích thống kê sử dụng các số liệu thống kê để xác định các hoạt động bất thường. Ví dụ, một lượng lớn lưu lượng đến từ một địa chỉ IP duy nhất có thể là dấu hiệu của một cuộc tấn công từ chối dịch vụ. Phân tích dựa trên chữ ký so sánh lưu lượng mạng với các chữ ký đã biết của các cuộc tấn công. Phương pháp này hiệu quả trong việc phát hiện các tấn công đã biết, nhưng không hiệu quả đối với các tấn công mới. Phân tích hành vi giúp phát hiện các hoạt động đáng ngờ.

4.2. Các Công Cụ Hỗ Trợ Phân Tích Lưu Lượng Mạng Wireshark Tcpdump Snort

Wireshark là một công cụ phân tích lưu lượng mạng phổ biến, cho phép người dùng thu thập và phân tích các gói tin mạng. Tcpdump là một công cụ dòng lệnh tương tự. Snort là một hệ thống phát hiện xâm nhập (IDS) mã nguồn mở, có khả năng phân tích lưu lượng mạng và phát hiện các cuộc tấn công dựa trên chữ ký và các quy tắc. Wireshark và Tcpdump giúp kiểm tra và phân tích dữ liệu, và Snort giúp phát hiện xâm nhập.

4.3. Tầm Quan Trọng Của Dữ Liệu Huấn Luyện Chất Lượng Cho Mô Hình Học Máy

Dữ liệu huấn luyện đóng vai trò quan trọng trong việc xây dựng mô hình học máy hiệu quả. Dữ liệu cần phải đại diện cho các tình huống thực tế, có độ chính xác cao, và bao gồm cả lưu lượng bình thường và lưu lượng tấn công. Dữ liệu cần phải được gán nhãn chính xác để mô hình có thể học được các mẫu một cách chính xác. Việc thu thập và chuẩn bị dữ liệu huấn luyện là một quá trình tốn thời gian và công sức.

V. Ứng Dụng PortscanAI Trong Phát Hiện Tấn Công Mạng Bất Thường

Luận văn sử dụng PortscanAI, một công cụ phát hiện tấn công port scan dựa trên học máy, để thử nghiệm và đánh giá hiệu quả của phương pháp phát hiện bất thường. PortscanAI được tích hợp vào Snort, một hệ thống phát hiện xâm nhập (IDS) mã nguồn mở. Mô hình mạng nơ-ron được huấn luyện để phân biệt giữa lưu lượng port scan và lưu lượng bình thường. Kết quả thử nghiệm cho thấy PortscanAI có khả năng phát hiện tấn công port scan với độ chính xác cao.

5.1. Giới Thiệu Chi Tiết Về Công Cụ PortscanAI và Khả Năng Của Nó

PortscanAI là một công cụ phát hiện tấn công port scan dựa trên học máy. Nó sử dụng mạng nơ-ron để phân tích lưu lượng mạng và phát hiện các hoạt động port scan. PortscanAI có khả năng phát hiện nhiều loại port scan khác nhau, bao gồm TCP connect scan, TCP SYN scan, và UDP scan. Công cụ này được thiết kế để dễ dàng tích hợp vào các hệ thống phát hiện xâm nhập (IDS) khác.

5.2. Mô Hình Thử Nghiệm Phát Hiện Tấn Công Portscan Bằng PortscanAI

Mô hình thử nghiệm bao gồm một máy chủ mục tiêu và một máy tấn công. Máy tấn công sử dụng các công cụ như Nmap để thực hiện port scan lên máy chủ mục tiêu. Snort với PortscanAI được cấu hình để giám sát lưu lượng mạng và phát hiện các hoạt động port scan. Kết quả phát hiện được ghi lại và đánh giá để xác định độ chính xác và hiệu quả của PortscanAI. Cấu hình Snort cần được điều chỉnh để phù hợp với các thử nghiệm.

VI. Kết Luận Hướng Phát Triển Phát Hiện Xâm Nhập Tương Lai

Luận văn đã nghiên cứu và trình bày tổng quan về hệ thống phát hiện xâm nhập, các kỹ thuật phát hiện xâm nhập, thử nghiệm hệ thống Snort, và nghiên cứu về phát hiện xâm nhập dựa trên phát hiện bất thường bằng học máy. Kết quả cho thấy học máy có tiềm năng lớn trong việc nâng cao hiệu quả phát hiện xâm nhập. Trong tương lai, cần tiếp tục nghiên cứu và phát triển các thuật toán học máy mới, cải thiện khả năng phân tích lưu lượng mạng, và xây dựng các hệ thống phát hiện xâm nhập thông minh hơn.

6.1. Tóm Tắt Kết Quả Nghiên Cứu Và Đánh Giá Ưu Nhược Điểm

Nghiên cứu đã chỉ ra tiềm năng của học máy trong việc phát hiện xâm nhập. Tuy nhiên, cần lưu ý đến các nhược điểm như cảnh báo sai và yêu cầu dữ liệu lớn. Việc lựa chọn thuật toán và cấu hình hệ thống cần được thực hiện cẩn thận để đạt được hiệu quả tốt nhất. Thử nghiệm với PortscanAI cho thấy khả năng phát hiện port scan hiệu quả.

6.2. Các Hướng Nghiên Cứu Mở Rộng Trong Lĩnh Vực Phát Hiện Xâm Nhập Mạng

Các hướng nghiên cứu mở rộng bao gồm việc sử dụng học sâu (deep learning), phát triển các thuật toán học máy có khả năng tự học và thích nghi với các cuộc tấn công mới, và tích hợp phát hiện xâm nhập với các hệ thống an ninh khác. Ngoài ra, nghiên cứu về phân tích lưu lượng mạng mã hóa cũng là một hướng đi quan trọng. Cần nghiên cứu thêm về phát hiện tấn công zero-day.

Nội dung chính

Tổng quan nghiên cứu

An ninh mạng hiện nay là một trong những vấn đề cấp thiết được quan tâm trên toàn cầu, đặc biệt trong bối cảnh các cuộc tấn công mạng ngày càng tinh vi và đa dạng. Theo ước tính, số lượng các vụ tấn công mạng gia tăng đáng kể trong những năm gần đây, gây thiệt hại nghiêm trọng về tài sản và thông tin cho các tổ chức, doanh nghiệp. Tại Việt Nam, mặc dù các nghiên cứu và ứng dụng hệ thống phát hiện xâm nhập mạng (IDS/IPS) đã được triển khai, mức độ áp dụng thực tế vẫn còn hạn chế do nhiều nguyên nhân như chi phí, phức tạp trong quản lý và vận hành.

Luận văn tập trung nghiên cứu phát hiện xâm nhập mạng dựa trên phát hiện bất thường thông qua phân tích lưu lượng mạng kết hợp với học máy, nhằm nâng cao hiệu quả phát hiện và giảm thiểu các cảnh báo sai. Mục tiêu cụ thể của nghiên cứu là phát triển và thử nghiệm các phương pháp phát hiện xâm nhập dựa trên mô hình mạng nơ-ron nhân tạo, đồng thời ứng dụng hệ thống Snort mã nguồn mở để đánh giá hiệu quả thực tiễn. Phạm vi nghiên cứu tập trung vào các kỹ thuật phát hiện bất thường trong lưu lượng mạng, thử nghiệm trên các kiểu tấn công Portscan phổ biến, trong khoảng thời gian nghiên cứu từ năm 2017 đến 2020 tại môi trường mạng thực tế và mô phỏng.

Nghiên cứu có ý nghĩa quan trọng trong việc cung cấp giải pháp phát hiện xâm nhập mạng hiệu quả, linh hoạt, phù hợp với điều kiện triển khai tại các tổ chức Việt Nam, góp phần nâng cao an toàn thông tin và bảo vệ hệ thống mạng trước các mối đe dọa ngày càng phức tạp.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên hai lý thuyết và mô hình nghiên cứu chính:

1. Mô hình phát hiện xâm nhập dựa trên phát hiện bất thường (Anomaly Detection Model): Mô hình này tập trung vào việc xây dựng profile hành vi bình thường của hệ thống và phát hiện các hành vi lệch chuẩn dựa trên so sánh thống kê hoặc học máy. Các hành vi bất thường được xác định khi có sự khác biệt đáng kể so với dữ liệu cơ sở, giúp phát hiện các cuộc tấn công mới chưa có dấu hiệu định sẵn.

2. Mạng nơ-ron nhân tạo (Artificial Neural Network - ANN): Mạng nơ-ron được sử dụng như một công cụ học máy để nhận dạng các mẫu bất thường trong lưu lượng mạng. Mạng gồm các lớp nơ-ron đầu vào, ẩn và đầu ra, được huấn luyện bằng thuật toán lan truyền ngược (Backpropagation) để tối ưu trọng số, từ đó phân loại các gói tin mạng là bình thường hay tấn công. ANN có khả năng thích ứng với dữ liệu không đầy đủ và phát hiện các cuộc tấn công zero-day.

Các khái niệm chính bao gồm: IDS/IPS, phát hiện sự lạm dụng (Misuse Detection), phát hiện sự bất thường (Anomaly Detection), mạng nơ-ron nhân tạo, thuật toán lan truyền ngược, và các kiểu tấn công Portscan.

Phương pháp nghiên cứu

Nghiên cứu sử dụng kết hợp phương pháp lý thuyết và thực nghiệm:

• Nguồn dữ liệu: Thu thập dữ liệu lưu lượng mạng thực tế và mô phỏng các cuộc tấn công Portscan bằng công cụ Nmap. Dữ liệu huấn luyện mạng nơ-ron được chuẩn hóa từ các mẫu lưu lượng bình thường và bất thường.

• Phương pháp phân tích: Áp dụng mô hình mạng nơ-ron nhân tạo với thuật toán lan truyền ngược để huấn luyện và phát hiện bất thường trong lưu lượng mạng. Đồng thời, thử nghiệm hệ thống Snort tích hợp mô-đun học máy PortscanAI để đánh giá hiệu quả phát hiện tấn công.

• Timeline nghiên cứu: Nghiên cứu được thực hiện trong khóa học từ năm 2017 đến 2020, với các giai đoạn thu thập dữ liệu, xây dựng mô hình, huấn luyện mạng nơ-ron, tích hợp vào Snort và thử nghiệm thực tế.

Cỡ mẫu dữ liệu huấn luyện và thử nghiệm được lựa chọn đủ lớn để đảm bảo tính đại diện và độ tin cậy của kết quả, sử dụng phương pháp chọn mẫu ngẫu nhiên từ các phiên mạng và các cuộc tấn công mô phỏng.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Hiệu quả phát hiện tấn công Portscan bằng mạng nơ-ron: Mạng nơ-ron nhân tạo được huấn luyện trên tập dữ liệu chuẩn hóa đã đạt độ chính xác phát hiện trên 90% các cuộc tấn công Portscan, vượt trội so với phương pháp dựa trên luật truyền thống. Tỷ lệ cảnh báo sai giảm xuống dưới 5%, cải thiện đáng kể so với các hệ thống IDS thông thường.

2. Tích hợp mô-đun PortscanAI vào Snort: Việc tích hợp mô-đun học máy vào khối tiền xử lý của Snort giúp nâng cao khả năng phát hiện các cuộc tấn công quét cổng, đặc biệt là các kiểu tấn công tinh vi như Decoy Scan. Thời gian phản hồi của hệ thống vẫn duy trì dưới 100ms, phù hợp với yêu cầu thời gian thực.

3. So sánh giữa các kiểu tấn công Portscan: Kết quả thử nghiệm cho thấy TCP Connect Scan và SYN Scan được phát hiện với tỷ lệ thành công trên 95%, trong khi các kiểu FIN Scan, XMAS Scan và NULL Scan có tỷ lệ phát hiện thấp hơn khoảng 85-88% do tính chất ẩn mình của chúng.

4. Khả năng thích ứng và mở rộng: Mạng nơ-ron có khả năng tự học và thích ứng với các mẫu tấn công mới mà không cần cập nhật luật thủ công, giúp giảm thiểu công sức quản trị và tăng tính linh hoạt cho hệ thống phát hiện xâm nhập.

Thảo luận kết quả

Nguyên nhân của hiệu quả cao trong phát hiện tấn công Portscan là do mạng nơ-ron có khả năng học và nhận dạng các đặc trưng phức tạp trong lưu lượng mạng, vượt qua giới hạn của phương pháp dựa trên luật vốn phụ thuộc nhiều vào cơ sở dữ liệu dấu hiệu tấn công cố định. Kết quả này phù hợp với các nghiên cứu quốc tế về ứng dụng học máy trong an ninh mạng, đồng thời khẳng định tính khả thi của việc áp dụng mạng nơ-ron trong môi trường mạng Việt Nam.

Việc tích hợp PortscanAI vào Snort không chỉ nâng cao hiệu quả phát hiện mà còn giữ được tính mở và dễ dàng nâng cấp của hệ thống mã nguồn mở. Các biểu đồ so sánh tỷ lệ phát hiện giữa các kiểu tấn công và thời gian phản hồi có thể được trình bày qua biểu đồ cột và biểu đồ đường để minh họa rõ ràng sự khác biệt và hiệu suất của hệ thống.

Tuy nhiên, một số hạn chế như chi phí tính toán cho mạng nơ-ron lớn và yêu cầu chuẩn hóa dữ liệu đầu vào vẫn cần được cải thiện trong các nghiên cứu tiếp theo. Ngoài ra, việc phát hiện các cuộc tấn công mã hóa và đa dạng hóa kỹ thuật tấn công vẫn là thách thức lớn.

Đề xuất và khuyến nghị

1. Triển khai hệ thống phát hiện xâm nhập kết hợp học máy: Các tổ chức nên áp dụng các hệ thống IDS/IPS tích hợp mạng nơ-ron để nâng cao khả năng phát hiện các cuộc tấn công mới và giảm thiểu cảnh báo sai, ưu tiên triển khai trong vòng 6-12 tháng tới.

2. Đào tạo và nâng cao năng lực quản trị mạng: Tổ chức các khóa đào tạo chuyên sâu về an ninh mạng và học máy cho đội ngũ quản trị nhằm đảm bảo vận hành hiệu quả hệ thống IDS/IPS mới, với mục tiêu hoàn thành trong 3-6 tháng.

3. Cập nhật và mở rộng cơ sở dữ liệu mẫu tấn công: Liên tục thu thập và cập nhật dữ liệu lưu lượng mạng thực tế và các mẫu tấn công mới để huấn luyện mạng nơ-ron, đảm bảo hệ thống phát hiện luôn được cải tiến, thực hiện định kỳ hàng quý.

4. Phát triển các mô-đun mở rộng cho Snort: Khuyến khích phát triển thêm các mô-đun học máy cho Snort nhằm phát hiện các loại tấn công khác ngoài Portscan, như tấn công DoS, malware, với lộ trình 12-18 tháng.

5. Đầu tư hạ tầng công nghệ phù hợp: Cải thiện phần cứng và mạng để đảm bảo hệ thống IDS/IPS hoạt động ổn định, đáp ứng lưu lượng mạng lớn, ưu tiên trong vòng 6 tháng.

Đối tượng nên tham khảo luận văn

1. Chuyên gia và nhà quản trị an ninh mạng: Luận văn cung cấp kiến thức chuyên sâu về các phương pháp phát hiện xâm nhập hiện đại, giúp họ lựa chọn và triển khai giải pháp phù hợp cho tổ chức.

2. Nhà nghiên cứu và sinh viên ngành Công nghệ Thông tin: Tài liệu là nguồn tham khảo quý giá về ứng dụng học máy trong an ninh mạng, đặc biệt về mạng nơ-ron và hệ thống IDS/IPS mã nguồn mở.

3. Các tổ chức và doanh nghiệp triển khai hệ thống mạng: Giúp hiểu rõ các kỹ thuật phát hiện tấn công mạng, từ đó xây dựng chính sách bảo mật hiệu quả và lựa chọn công nghệ phù hợp.

4. Nhà phát triển phần mềm bảo mật: Cung cấp cơ sở lý thuyết và thực tiễn để phát triển các mô-đun mở rộng cho hệ thống IDS/IPS, đặc biệt là tích hợp học máy vào các sản phẩm mã nguồn mở như Snort.

Câu hỏi thường gặp

1. Phát hiện bất thường trong mạng là gì?
   Phát hiện bất thường là phương pháp xác định các hành vi hoặc lưu lượng mạng khác biệt so với hành vi bình thường đã được định nghĩa trước, giúp phát hiện các cuộc tấn công mới hoặc chưa biết. Ví dụ, lưu lượng mạng tăng đột biến hoặc các kết nối đến các cổng không thường xuyên sử dụng có thể được coi là bất thường.

2. Mạng nơ-ron nhân tạo giúp gì trong phát hiện xâm nhập?
   Mạng nơ-ron nhân tạo có khả năng học và nhận dạng các mẫu phức tạp trong dữ liệu, từ đó phát hiện các hành vi bất thường hoặc tấn công mới mà không cần cập nhật luật thủ công. Ví dụ, mạng nơ-ron có thể phát hiện các cuộc tấn công zero-day dựa trên đặc trưng lưu lượng mạng.

3. Snort là gì và tại sao được sử dụng phổ biến?
   Snort là hệ thống phát hiện xâm nhập mạng mã nguồn mở, có kiến trúc mô-đun, dễ dàng tùy chỉnh và cập nhật luật phát hiện. Nó hỗ trợ nhiều giao thức và có cộng đồng phát triển lớn, giúp người dùng dễ dàng triển khai và nâng cấp.

4. Portscan là kiểu tấn công như thế nào?
   Portscan là kỹ thuật quét các cổng mạng để tìm các dịch vụ đang hoạt động và lỗ hổng bảo mật. Các kiểu phổ biến gồm TCP Connect Scan, SYN Scan, FIN Scan, XMAS Scan, mỗi kiểu có đặc điểm riêng về cách gửi gói tin và phản hồi.

5. Làm thế nào để giảm cảnh báo sai trong hệ thống IDS?
   Sử dụng các phương pháp phát hiện bất thường kết hợp học máy như mạng nơ-ron giúp phân biệt chính xác hơn giữa lưu lượng bình thường và tấn công, giảm thiểu cảnh báo sai. Ngoài ra, việc chuẩn hóa dữ liệu và huấn luyện mạng trên tập dữ liệu đa dạng cũng góp phần nâng cao độ chính xác.

Kết luận

• Luận văn đã nghiên cứu và phát triển thành công mô hình phát hiện xâm nhập mạng dựa trên phát hiện bất thường kết hợp mạng nơ-ron nhân tạo, nâng cao hiệu quả phát hiện và giảm thiểu cảnh báo sai.
• Tích hợp mô-đun học máy PortscanAI vào hệ thống Snort giúp phát hiện hiệu quả các kiểu tấn công Portscan phổ biến với thời gian phản hồi nhanh.
• Kết quả thử nghiệm cho thấy mạng nơ-ron có khả năng thích ứng và phát hiện các cuộc tấn công mới, phù hợp với môi trường mạng thực tế tại Việt Nam.
• Đề xuất các giải pháp triển khai, đào tạo và nâng cấp hệ thống IDS/IPS nhằm ứng dụng rộng rãi trong các tổ chức, doanh nghiệp.
• Các bước tiếp theo bao gồm mở rộng mô-đun học máy cho các loại tấn công khác, cải thiện hạ tầng và đào tạo nhân lực để nâng cao năng lực bảo mật mạng.

Hành động ngay hôm nay: Các tổ chức và chuyên gia an ninh mạng nên nghiên cứu và áp dụng các giải pháp phát hiện xâm nhập dựa trên học máy để bảo vệ hệ thống mạng trước các mối đe dọa ngày càng phức tạp.

Trích đoạn nội dung tài liệu

MỞ ĐẦU. TÔNG QUAN VỀ PHÁT HIỆN VÀ PHÒNG CHỐNG XÂM NHẬP MẠNG IDS/IPS .1 Giới thiệu về IDS/IPS .1 Khái niệm về IDS/IPS .2 Sự khác nhau giữa IDS/IPS .3 Phân biệt những hệ thống không phải IDS .2 Chức năng của IDS/IPS .3 Phân biệt IDS và IPS .1 Network based IDS – NIDS .2 Host Based IDS-HIDS .3 So sánh giữa NIDS và HIDS.4 Kiến trúc của IDS và nguyên lý hoạt động .1 Kiến trúc của IDS .2 Nguyên lý hoạt động .5 Cơ chế hoạt động của hệ thống IDS/IPS .1 Phát hiện sự lạm dụng .2 Phát hiện sự bất thường .3 So sánh giữa 2 mô hình. CÁC PHƯƠNG PHÁP PHÁT HIỆN TẤN CÔNG TRONG HỆ THỐNG IDS/IPS VÀ SNORT .1 Các phương pháp phát hiện bất thường .1 Phát hiện xâm nhập mạng bất thường dựa trên luật (rule-based) trong IDS/IPS .2 Phát hiện xâm nhập mạng bất thường dựa trên mạng nơ-ron (Artificial Neural Network) .2 Hệ thống phát hiện xâm nhập với Snort .3 Kiến trúc của snort .1 Môđun giải mã gói tin .2 Môđun tiền xử lý .3 Môđun phát hiện .4 Môđun log và cảnh báo .5 Mô đun kết xuất thông tin .6 Bộ luật của snort. THỬ NGHIỆM PHÁT HIỆN TẤN CÔNG XÂM NHẬP MẠNG BẤT THƯỜNG BẰNG HỌC MÁY .1 Các kiểu tấn cống Portscan .1 TCP Connect Scan .2 Thử nghiệm phát hiện tấn công bằng học máy .1 Giới thiệu PortscanAI .2 Mô hình thử nghiệm .3 Quá trình thử nghiệm .4 Đánh giá kết quả thử nghiệm.

66 TÀI LIỆU THAM KHẢO. 67 DANH MỤC HÌNH VẼ HÌNH 1.1 Mô hình IDS .2 Mô hình NIDS .3 Mô hình Host based IDS – HIDS .4 Một ví dụ sử dụng kết hợp NIDS và HIDS.5 Thành phần của IDS .6 Hoạt động của IDS .7 Hệ thống kết hợp 2 mô hình phát hiện .1 Mô hình hệ thống phát hiện bất thường dựa trên rule-based .2 Kiến trúc một nơ ron nhân tạo .3Mô hình mạng nơ ron cơ bản .4 Mạng truyền thẳng .5 Hệ thống phát hiện xâm nhập sử dụng snort (Snort IDS) .6 Kiến trúc của Snort.7 Mô hình xử lý một gói tin Ethernet.1 Mô hình kiến trúc của snort khi chưa tích hợp học máy .2 Kiểu tấn công TCP CONNECT ( Trái ) và TCP SYN ( Phải ) .3 Sơ đồ hoạt động của hệ thống .4 Sơ đồ chi tiết của PortscanAI .5 Mô hình mạng nơ ron trong PortscanAI .6 Sơ đồ gói AI được tích hợp trong Snort .7 Thông số các lớp đầu vào và đâu ra của mạng nơ ron .8 Đồ thị huấn luyện mạng .9 Mạng nơ-ron với 7 lớp đầu vào và 2 lớp đâu ra .10 Mô hình thử nghiệm. 50 MỤC LỤC BẢNG BIỂU Bảng 1.1 So sánh 2 mô hình phát hiện .1 Cấu trúc luật của Snort .2 Cấu trúc Header của một luật trong Snort .1 Bảng thu thập dữ liệu đầu vào .Tính cấp thiết của đề tài: An ninh mạng hiện nay là một vấn đề giới công nghệ thông tin khá quan tâm. Một khi internet ra đời và phát triển, nhu cầu trao đổi thông tin trở nên cần thiết.

Mục tiêu của việc nối mạng là làm cho mọi người có thể sử dụng chung tài nguyên từ những vị trí địa lý khác nhau. Cũng chính vì vậy mà các tài nguyên cũng rất dễ dàng bị phân tán, dẫn một điều hiển nhiên là chúng sẽ bị xâm phạm, gây mất mát dữ liệu cũng như các thông tin có giá trị. Càng giao thiệp rộng thì càng dễ bị tấn công. Từ đó, vấn đề bảo vệ thông tin cũng đồng thời xuất hiện.

Ngoài những lợi ích mà Internet mạng lại cho con người thì hiểm họa từ Internet mang đến cũng không ít. Nhiều người đã dựa trên những lỗ hỗng bảo mật của Internet để xâm nhập, chiếm dụng thông tin hoặc phá hoại các hệ thống máy tính khác. Vì vậy, phát hiện và phòng chống tấn công xâm nhập trái phép cho các mạng máy tính là một vấn đề cần thiết. Có rất nhiều giải pháp được đưa ra như dùng tường lửa (Firewall), Mạng riêng ảo VPN, IDS/IPS… Hệ thống phát hiện xâm nhập IDS (Intrusion Detection System) là một phương pháp bảo mật có khả năng phát hiện và chống lại các kiểu tấn công mới, các vụ lạm dụng, dùng sai xuất phát từ trong hệ thống và có thể hoạt động tốt với các phương pháp bảo mật truyền thống khác.

Luận văn này tập trung nghiên cứu về Phát hiện xâm nhập mạng bằng phát hiện bất thường dựa trên phân tích lưu lượng mạng và học máy.Tổng quan về nội dung nghiên cứu của đề tài Cách đây khoảng 25 năm, khái niệm phát hiện xâm nhập xuất hiện qua một bài báo của James Anderson [1]. Khi đó người ta cần IDS với mục đích là dò tìm và nghiên cứu các hành vi bất thường và thái độ của người sử dụng trong mạng, phát hiện ra các việc làm dụng đặc quyền để giám sát tài sản hệ thống mạng. Hiện nay IDS/IPS đang là một trong các công nghệ an ninh được sử dụng nhiều nhất và vẫn còn phát triển. Hệ thống phát hiện xâm nhập (IDS) là một phương pháp bảo mật có khả năng chống lại các kiểu tấn công mới và có thể hoạt động tốt với các phương pháp bảo mật truyền thống.

Nó đã được nghiên cứu, phát triển và ứng dụng ở nhiều quốc gia. Tuy nhiên ở Việt Nam hệ thống này vẫn đang được nghiên cứu và ứng dụng trong thực tế còn nhiều hạn chế. Nguyên nhân của việc này có thể do các hệ thống IDS còn phức tạp, tốn thời gian đào tạo để sử dụng, cũng có thể do nó là những hệ thống lớn, yêu cầu nhiều trang thiết bị, nhiều công sức để quản lý bảo dưỡng, không phù hợp với điều kiện của các hệ thống ở Việt Nam hiện nay. Từ những vấn đề nêu trên, tôi thực hiện đề tài này với mong muốn nghiên cứu những đặc trưng cơ bản của hệ thống phát hiện xâm nhập trái phép, giới 1 thiệu về ứng dụng mạng nơ- ron, một kỹ thuật học máy trong các hệ thống phát hiện xâm nhập.

Vấn đề này đã đã được nghiên cứu, đề xuất từ những năm 1990 và gần đây có nhiều kết quả nghiên cứu được công bố trên toàn thế giới.Mục tiêu nghiên cứu - Hiểu được các kỹ thuật xâm nhập bất hợp pháp và Hacker thường sử dụng để tấn công vào mạng. - Nghiên cứu và áp dụng chương trình hỗ trợ phát hiện xâm nhập mạng mã nguồn mở Snort và các công cụ mã nguồn mở được phát triển để bảo vệ hệ thống mạng máy tính - Nghiên cứu giải thuật lan truyền ngược ứng dụng trên mạng nơ ron trong hệ thống phát hiện xâm nhập. Đối tượng và phạm vi nghiên cứu - Hiểu về bảo mật và các phương thức xâm nhập tấn công hệ thống - Nghiên cứu kỹ thuật máy học tối ưu phù hợp với mỗi kiểu tấn công dựa trên các thuật toán máy học đã biết mạng nơron nhân tạo 5. Phương pháp nghiên cứu Lý thuyết: - Nghiên cứu tìm hiểu các thông tin về bảo mật, các nguy cơ đe dọa về bảo mật - Tài liệu về các phương thức xâm nhập hệ thống – biện pháp phát hiện và ngăn ngừa - Các tài liệu về hệ thống IDS - Thu thập tài liệu liên quan đến các vấn đề về đề tài Thực nghiệm - Thử nghiệm phát hiện tấn công Portscan bằng học máy.

TÔNG QUAN VỀ PHÁT HIỆN VÀ PHÒNG CHỐNG XÂM NHẬP MẠNG IDS/IPS Trong chương này, tác giả sẽ trình bày chi tiết về các vấn đề sau : - Trình bày tổng quan về hệ thống phát hiện và phòng chống xâm nhập mạng IDS/IPS - Phân biệt các hệ thống phát hiện xâm nhập mạng - Các chức năng của hệ thống phát hiện xâm nhập - Kiên chúc và nguyên lý hoạt động - Cơ chế hoạt động của hệ thống 1.1 Giới thiệu về IDS/IPS Cách đây khoảng 25 năm, khái niệm phát hiện xâm nhập xuất hiện qua một bài báo của James Anderson. Khi đó người ta cần IDS với mục đích là dò tìm và nghiên cứu các hành vi bất thường và thái độ của người sử dụng trong mạng, phát hiện ra các việc lạm dụng đặc quyền để giám sát tài sản hệ thống mạng. Các nghiên cứu về hệ thống phát hiện xâm nhập được nghiên cứu chính thức từ năm 1983 đến năm 1988 trước khi được sử dụng tại mạng máy tính của không lực Hoa Kỳ. Cho đến tận năm 1996, các khái niệm IDS vẫn chưa được phổ biến, một số hệ thống IDS chỉ được xuất hiện trong các phòng thí nghiệm và viện nghiên cứu.

Tuy nhiên trong thời gian này, một số công nghệ IDS bắt đầu phát triển dựa trên sự bùng nổ của công nghệ thông tin. Đến năm 1997 IDS mới được biết đến rộng rãi và thực sự đem lại lợi nhuận với sự đi đầu của công ty ISS, một năm sau đó, Cisco nhận ra tầm quan trọng của IDS và đã mua lại một công ty cung cấp giải pháp IDS tên là Wheel. Hiện tại, các thống kê cho thấy IDS/IPS đang là một trong các công nghệ an ninh được sử dụng nhiều nhất và vẫn còn phát triển.1 Khái niệm về IDS/IPS Hệ thống phát hiện xâm nhập (Intrusion Detection System – IDS) là hệ thống phần cứng hoặc phần mềm có chức năng tự động theo dõi các sự kiện xảy ra trên hệ thống máy tính, phân tích để phát hiện ra các vấn đề liên quan đến an ninh, bảo mật. Khi mà số vụ tấn công, đột nhập vào các hệ thống máy tính, mạng ngày càng tăng, hệ thống phát hiện xâm nhập càng có ý nghĩa quan trọng và cần thiết hơn trong nền tảng bảo mật của các tổ chức.Ý tưởng của công nghệ này là mọi cuộc tấn công chống lại bất cứ thành phần nào của môi trường được bảo vệ sẽ bị làm chệch hướng bằng các giải pháp ngăn ngừa xâm nhập.

Với “quyền tối thượng”, các Hệ thống Ngăn ngừa Xâm nhập có thể “nắm” lấy bất cứ lưu lượng nào của các gói tin mạng và đưa ra quyết định có chủ ý – liệu đây có phải là một cuộc tấn công hay một sự sử dụng hợp pháp – sau đó thực hiện hành động thích hợp để hoàn thành tác vụ một cách trọn vẹn. Kết quả cuối cùng là một nhu cầu có hạn định cho các giải pháp phát hiện hay giám sát thâm nhập một khi tất cả 3 những gì liên quan đến mối đe doạ đều bị ngăn chặn. Khi một hệ thống IDS có khả năng ngăn chặn các nguy cơ xâm nhập mà nó phát hiện được thì nó được gọi là một hệ thống phòng chống xâm nhập hay IPS. Hình sau minh hoạ các vị trí thường cài đặt IDS trong mạng: HÌNH 1.1 Mô hình IDS 1.