Phát hiện xâm nhập mạng bất thường dựa trên phân tích lưu lượng mạng sử dụng Machine Learning

• Tác giả: Vũ Mạnh Tuân
• Người hướng dẫn: PGS. Nguyễn Linh Giang
• Trường học: Trường Đại Học Bách Khoa Hà Nội
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Phát Hiện Xâm Nhập Mạng Bất Thường Bằng Machine Learning
• Loại tài liệu: Luận Văn Thạc Sĩ
• Năm xuất bản: 2020
• Địa điểm: Hà Nội

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• 1. CHƯƠNG 1: TỔNG QUAN VỀ CÁC MÔ HÌNH HỌC MÁY ÁP DỤNG TRONG HỆ THỐNG PHÁT HIỆN XÂM NHẬP MẠNG BẤT THƯỜNG
• 1.1. Kiến trúc của một hệ thống Network Intrustion Detection System
• 1.2. Tìm hiểu về các mô hình Machine Learning
• 1.2.1. Hồi quy tuyến tính
• 1.2.1.1. Mô hình hồi quy tuyến tính
• 1.2.2. Mô hình Multilayer Neural network
• 1.2.2.1. Các hàm Activation Function
• 1.2.2.2. Cấu trúc của mô hình Multilayer Neural network
• 1.2.3. Recurrent neural network và các biến thể
• 1.2.3.1. Recurrent neural network
• 1.2.3.2. Các mô hình kiến trúc RNN thường gặp
• 1.2.4. Support vector machine (SVM)
• 1.2.4.1. Tìm hiểu về SVM
• 1.2.4.2. Phát biểu bài toán và ứng dụng SVM
• 1.2.4.3. Soft-margin support vector machine
• 1.3. Khảo sát và đánh giá một số nghiên cứu khoa học để làm rõ các mục tiêu của luận văn
• 1.4. So sánh hiệu năng của LSTM và GRU
• 1.5. Đề xuất mô hình mạng neuron kết hợp với SVM
• 2. CHƯƠNG 2: KHẢO SÁT MÔ HÌNH LSTM VÀ GRU
• 2.1. TÌM HIỂU CHI TIẾT VỀ TẬP DỮ LIỆU MẠNG KYOTO DATASET
• 2.1.1. Tập dữ liệu thực nghiệm Kyoto Dataset
• 2.1.2. Giới thiệu về Kyoto Dataset
• 2.1.3. So sánh Kyoto Dataset với các bộ dữ liệu mạng hiện nay
• 2.1.4. Các đặc trưng trong bộ dữ liệu Kyoto dataset
• 2.2. Long Short Term Memory
• 2.2.1. Giới thiệu về mô hình mạng LSTM
• 2.2.2. Tìm hiểu về cấu trúc mạng LSTM
• 2.3. Gated Recurrent Unit
• 3. CHƯƠNG 3: MÔ HÌNH ĐỀ XUẤT LSTM KẾT HỢP VỚI SVM ÁP DỤNG CHO BÀI TOÁN PHÁT HIỆN XÂM NHẬP MẠNG
• 3.1. Giới thiệu ngôn ngữ lập trình Python và thư viện Tensorflow
• 3.1.1. Ngôn ngữ lập trình Python
• 3.1.2. Thư viện Tensorflow
• 3.2. Mô hình mạng neural LSTM kết hợp với SVM
• 4. CHƯƠNG 4: PHÂN TÍCH, XỬ LÝ TẬP DỮ LIỆU KYOTO DATASET 2015
• 4.1. THỰC NGHIỆM VÀ ĐÁNH GIÁ MÔ HÌNH ĐỀ XUẤT
• 4.1.1. Trích rút tập dữ liệu Kyoto Dataset 2015
• 4.1.2. Phân tích dữ liệu
• 4.1.3. Chuẩn hóa và xử lý dữ liệu
• 4.1.3.1. Xử lý dữ liệu thô
• 4.1.3.2. Chuẩn hóa dữ liệu
• 4.1.3.3. Kỹ thuật Standalization
• 4.1.3.4. Chuyển đổi định dạng file từ CSV sang NPY
• 4.1.3.5. One-hot Encoding
• 4.1.4. Thực nghiệm và đánh giá mô hình đề xuất
• 4.1.4.1. Các phương pháp đánh giá
• 4.1.4.2. Tìm hiểu về các thông số hyper-parameter được sử dụng trong mô hình
• 4.1.4.3. Cài đặt môi trường thực nghiệm
• 4.1.4.4. Thực nghiệm trên tập dữ liệu Kyoto Dataset 2013
• 4.1.4.5. Thực nghiệm trên tập dữ liệu Kyoto Dataset 2015
• 4.1.4.6. Kết quả thực nghiệm

I. Tổng Quan Về Phát Hiện Xâm Nhập Mạng Bất Thường NIDS

Để tăng cường tính bảo mật, mô hình mạng thường được thiết kế với một hệ thống phát hiện xâm nhập mạng (Network Intrusion Detection System - NIDS). NIDS theo dõi các hành vi độc hại bên trong và ngoài hệ thống mạng, máy chủ, bảo vệ tài sản người dùng. NIDS có hai loại chính: Active IDS tự động chặn tấn công, Passive IDS chỉ giám sát và cảnh báo. Một cách phân loại khác là Signature-Based IDS (dựa trên dấu hiệu đã biết) và Anomaly-Based IDS (dựa trên bất thường). Anomaly-Based Intrusion Detection sử dụng các kỹ thuật machine learning để phát hiện các cuộc tấn công mới. Các mô hình Machine Learning Algorithms for Intrusion Detection được áp dụng để tăng tính hiệu quả. Một hệ thống NIDS áp dụng machine learning được triển khai với kiến trúc gồm 2 module chính: thu thập dữ liệu mạng và xử lý, phân loại gói tin đáng ngờ. Nghiên cứu này tập trung vào module thứ hai, sử dụng tập dữ liệu mạng Kyoto Dataset.

1.1. Các Loại Hệ Thống Phát Hiện Xâm Nhập Mạng IDS

Hệ thống IDS được chia thành Active và Passive. Active IDS tự động chặn các cuộc tấn công, trong khi Passive IDS chỉ giám sát lưu lượng và đưa ra cảnh báo cho người dùng. Một cách phân loại khác là Signature-Based và Anomaly-Based Intrusion Detection. Signature-Based IDS dựa trên cơ sở dữ liệu các dấu hiệu đã biết, trong khi Anomaly-Based IDS phát hiện bất thường so với hành vi bình thường. Cần lựa chọn phương pháp phù hợp với yêu cầu bảo mật và tài nguyên có sẵn.

1.2. Kiến Trúc Hệ Thống NIDS Dùng Machine Learning

Kiến trúc của một hệ thống NIDS Machine Learning gồm hai module. Module đầu tiên thu thập và sao chép tất cả luồng dữ liệu mạng. Module thứ hai xử lý và phân loại các gói tin đáng ngờ. Module này bao gồm các bước: trích chọn đặc trưng, xử lý dữ liệu (chuẩn hóa, giảm kích thước), phân loại gói tin bằng mô hình machine learning, và cuối cùng, gửi kết quả phân loại cho hệ thống NIDS để ngăn chặn các gói tin độc hại. Feature Extraction for Intrusion Detection là một bước quan trọng trong module này.

II. Thách Thức Với Phát Hiện Xâm Nhập Mạng Bất Thường CyberSecurity

Các hệ thống CNTT chứa thông tin nhạy cảm và là mục tiêu tấn công. Các cuộc tấn công ngày càng tinh vi và khó phát hiện. Số lượng người dùng Internet tăng nhanh, kéo theo đó là các mối đe dọa cũng gia tăng. Theo Technology [1], tội phạm mạng gây thiệt hại lớn cho nền kinh tế toàn cầu. Các doanh nghiệp đổi mới công nghệ nhanh hơn giải quyết các vấn đề bảo mật. Điều này dẫn đến gia tăng các hình thức tội phạm đánh cắp dữ liệu người dùng, gây ra mối đe dọa cho cả cá nhân và doanh nghiệp. Cần thiết phải có hệ thống Phát Hiện Xâm Nhập Mạng Bất Thường (Network Intrusion Detection System) để bảo vệ tài sản của người dùng.

2.1. Sự Gia Tăng Của Các Mối Đe Dọa Mạng Hiện Nay

Số lượng người dùng internet tăng nhanh dẫn đến các mối đe dọa trên không gian mạng cũng tăng theo. Các cuộc tấn công mạng ngày càng trở nên tinh vi và khó phát hiện. Việc bảo mật thông tin cá nhân và doanh nghiệp trở thành một thách thức lớn. Cần có những giải pháp AI for Network Security hiệu quả để đối phó với tình hình này.

2.2. Thiệt Hại Kinh Tế Do Tội Phạm Mạng Gây Ra

Tội phạm mạng gây thiệt hại đáng kể cho nền kinh tế toàn cầu, lên đến hàng nghìn tỷ đô la mỗi năm. Thiệt hại này bao gồm chi phí khắc phục sự cố, mất dữ liệu, gián đoạn hoạt động kinh doanh và tổn hại uy tín. Việc đầu tư vào các giải pháp Cybersecurity Anomaly Detection là cần thiết để giảm thiểu thiệt hại do tội phạm mạng gây ra.

2.3. Nhu Cầu Cấp Thiết Về Hệ Thống Phát Hiện Xâm Nhập

Để đối phó với sự gia tăng của các mối đe dọa mạng và thiệt hại kinh tế do tội phạm mạng gây ra, việc triển khai các hệ thống Network Intrusion Detection System hiệu quả là vô cùng cần thiết. Các hệ thống này cần có khả năng phát hiện và ngăn chặn các cuộc tấn công một cách nhanh chóng và chính xác.

III. Phương Pháp LSTM và GRU Trong Phát Hiện Xâm Nhập Mạng

Luận văn này tập trung vào việc áp dụng các kỹ thuật machine learning, đặc biệt là các mô hình mạng nơ-ron hồi quy (Recurrent Neural Network - RNN) như LSTM và GRU, vào hệ thống NIDS. Các mô hình này có khả năng học các đặc trưng từ dữ liệu chuỗi, phù hợp với việc phân tích lưu lượng mạng. Nghiên cứu so sánh hiệu năng của hai biến thể RNN là GRU và LSTM trên các bộ dữ liệu mạng. Đây là hai phiên bản cải tiến đã khắc phục những nhược điểm cố hữu trên mô hình RNN cơ bản, giúp cải thiện khả năng Cyber Attack Detection.

3.1. Tổng Quan Về Mạng Nơ Ron Hồi Quy RNN

Mạng nơ-ron hồi quy (Recurrent Neural Network - RNN) là một loại mạng nơ-ron đặc biệt được thiết kế để xử lý dữ liệu chuỗi. RNN có khả năng ghi nhớ thông tin từ các bước thời gian trước đó, giúp chúng hiểu được ngữ cảnh của dữ liệu. RNN thường được sử dụng trong các bài toán như xử lý ngôn ngữ tự nhiên, nhận dạng giọng nói và dự đoán chuỗi thời gian. Tuy nhiên, RNN gặp khó khăn trong việc học các phụ thuộc dài hạn.

3.2. LSTM và GRU Các Biến Thể Cải Tiến Của RNN

LSTM (Long Short-Term Memory) và GRU (Gated Recurrent Unit) là hai biến thể cải tiến của RNN được thiết kế để giải quyết vấn đề học các phụ thuộc dài hạn. LSTM và GRU sử dụng các cơ chế cổng (gate) để kiểm soát luồng thông tin trong mạng, cho phép chúng ghi nhớ và quên thông tin một cách linh hoạt. LSTM và GRU thường được sử dụng trong các bài toán phức tạp hơn, nơi mà thông tin từ các bước thời gian xa nhau có thể ảnh hưởng đến kết quả.

IV. Đề Xuất Mô Hình LSTM Kết Hợp SVM Cho Phát Hiện Xâm Nhập

Luận văn đề xuất mô hình sử dụng hai biến thể của RNN là LSTM và GRU, kết hợp với việc sử dụng bộ phân lớp đa lớp SVM thay vì sử dụng hàm Softmax, trong phát hiện sự bất thường trong lưu lượng mạng. Sử dụng bộ phân lớp SVM có thể nâng cao khả năng phân loại và giảm thiểu False Positive Reduction. Để đánh giá hiệu năng của hai mô hình đề xuất LSTM-SVM và GRU-SVM, luận án này sẽ sử dụng 2 thông số là Accuracy score và Confusion matrix để so sánh. Quá trình thực nghiệm sẽ sử dụng kết quả khi áp dụng hai mô hình đề xuất trên hai bộ dữ liệu mạng là Kyoto Dataset 2013 và Kyoto Dataset 2015 được thu thập bởi các nhà nghiên cứu đến từ đại học Kyoto, Nhật Bản.

4.1. Lợi Ích Của Việc Kết Hợp LSTM GRU Với SVM

Việc kết hợp LSTM/GRU với SVM mang lại nhiều lợi ích. LSTM/GRU giúp trích xuất các đặc trưng quan trọng từ dữ liệu chuỗi lưu lượng mạng, trong khi SVM giúp phân loại các đặc trưng này một cách hiệu quả. Sự kết hợp này có thể cải thiện độ chính xác và khả năng tổng quát hóa của mô hình phát hiện xâm nhập.

4.2. Đánh Giá Hiệu Năng Của Mô Hình Đề Xuất

Hiệu năng của mô hình đề xuất LSTM-SVM và GRU-SVM sẽ được đánh giá bằng cách sử dụng các chỉ số như Accuracy score và Confusion matrix. Các chỉ số này sẽ cho biết khả năng của mô hình trong việc phát hiện chính xác các cuộc tấn công mạng và giảm thiểu các cảnh báo sai.

V. Phân Tích Dữ Liệu Kyoto Dataset và Thực Nghiệm Mô Hình LSTM SVM

Tập dữ liệu Kyoto Dataset 2013 và Kyoto Dataset 2015 sẽ được sử dụng để huấn luyện và kiểm tra mô hình LSTM-SVM. Nghiên cứu thực hiện các bước phân tích, xử lý và chuẩn hóa dữ liệu trước khi đưa vào mô hình. Các bước này bao gồm trích rút tập dữ liệu, phân tích dữ liệu, chuẩn hóa dữ liệu bằng kỹ thuật Standalization và chuyển đổi định dạng file. Các thông số hyper-parameter được sử dụng trong mô hình cũng được điều chỉnh để đạt hiệu quả tốt nhất. Kết quả thực nghiệm sẽ được so sánh với mô hình tham chiếu GRU-SVM để đánh giá hiệu quả của mô hình đề xuất. Điều này rất quan trọng trong việc triển khai Real-time Intrusion Detection.

5.1. Chuẩn Hóa Dữ Liệu Kyoto Dataset

Quá trình chuẩn hóa dữ liệu là một bước quan trọng để đảm bảo rằng các đặc trưng trong dữ liệu có cùng tỷ lệ và không ảnh hưởng đến quá trình huấn luyện mô hình. Kỹ thuật Standalization được sử dụng để chuẩn hóa dữ liệu bằng cách trừ giá trị trung bình và chia cho độ lệch chuẩn.

5.2. Cài Đặt Môi Trường Thực Nghiệm

Môi trường thực nghiệm được cài đặt với các thư viện lập trình Python như Tensorflow, Pandas, Scikit-learn, Numpy và Matplotlib. Các thư viện này cung cấp các công cụ và hàm cần thiết để xây dựng, huấn luyện và đánh giá mô hình LSTM-SVM.

5.3. So Sánh Kết Quả Thực Nghiệm

Kết quả thực nghiệm của mô hình LSTM-SVM sẽ được so sánh với mô hình GRU-SVM trên cả tập huấn luyện và tập kiểm tra. Các chỉ số như Accuracy score và Confusion matrix sẽ được sử dụng để đánh giá hiệu năng của hai mô hình.

VI. Kết Luận và Hướng Phát Triển Trong Phát Hiện Xâm Nhập Mạng

Luận văn đã trình bày quá trình nghiên cứu và kết quả thu được trong việc áp dụng mô hình LSTM-SVM cho bài toán phát hiện xâm nhập mạng bất thường. Nghiên cứu này góp phần vào việc nâng cao hiệu quả của các hệ thống NIDS sử dụng kỹ thuật machine learning. Tuy nhiên, vẫn còn những tồn tại và khó khăn cần được giải quyết. Hướng phát triển tiếp theo của nghiên cứu là tìm kiếm các mô hình thuật toán mới hơn, có khả năng tự học và dự đoán chính xác hơn các mối đe dọa chưa xác định. Nghiên cứu cần tập trung vào Zero-day Attack Detection và Data Preprocessing for IDS

6.1. Tóm Tắt Kết Quả Nghiên Cứu

Luận văn đã đề xuất một mô hình LSTM-SVM cho bài toán phát hiện xâm nhập mạng bất thường. Mô hình này đã được huấn luyện và đánh giá trên tập dữ liệu Kyoto Dataset. Kết quả thực nghiệm cho thấy mô hình LSTM-SVM có khả năng phát hiện các cuộc tấn công mạng một cách hiệu quả.

6.2. Hướng Phát Triển Tiếp Theo

Hướng phát triển tiếp theo của nghiên cứu là tập trung vào việc cải thiện khả năng phát hiện các cuộc tấn công mới và giảm thiểu các cảnh báo sai. Các kỹ thuật như học sâu (Deep Learning for IDS) và học tăng cường có thể được sử dụng để nâng cao hiệu năng của mô hình phát hiện xâm nhập.

Tổng quan nghiên cứu

Trong bối cảnh số lượng người dùng Internet toàn cầu đạt khoảng 4.39 tỷ người vào năm 2019, tương đương 57% dân số thế giới, các hệ thống công nghệ thông tin và truyền thông (ICT) ngày càng trở thành mục tiêu của các cuộc tấn công mạng tinh vi và đa dạng. Theo báo cáo của chuyên trang công nghệ Technology, thiệt hại do tội phạm mạng gây ra đã lên tới 600 tỷ đô la vào năm 2017 và vượt quá 1 nghìn tỷ đô la vào năm 2018, tương đương GDP của một quốc gia lớn như Úc. Những con số này dự kiến sẽ tiếp tục tăng mạnh trong những năm tới. Trước thực trạng đó, việc phát triển các hệ thống phát hiện xâm nhập mạng bất thường (Network Intrusion Detection System - NIDS) trở nên cấp thiết nhằm bảo vệ tài sản và thông tin người dùng.

Luận văn tập trung nghiên cứu phát hiện xâm nhập mạng bất thường dựa trên phân tích lưu lượng mạng sử dụng các kỹ thuật trong Machine Learning, đặc biệt là các mô hình mạng neural hồi quy như LSTM và GRU kết hợp với bộ phân lớp SVM. Mục tiêu chính là phân tích, thiết kế và đánh giá hiệu năng của các mô hình này trên bộ dữ liệu thực nghiệm Kyoto Dataset 2013 và 2015, nhằm nâng cao độ chính xác và hiệu quả phát hiện các cuộc tấn công mạng mới, chưa được biết trước. Phạm vi nghiên cứu tập trung vào xử lý dữ liệu mạng, huấn luyện và đánh giá mô hình trên dữ liệu thu thập từ hệ thống honeypot tại Đại học Kyoto, Nhật Bản.

Nghiên cứu có ý nghĩa quan trọng trong việc cải thiện khả năng phát hiện các hành vi xâm nhập bất thường, góp phần tăng cường an ninh mạng cho các doanh nghiệp và tổ chức. Các chỉ số đánh giá như Accuracy score và Confusion matrix được sử dụng để đo lường hiệu quả mô hình, từ đó đề xuất giải pháp tối ưu cho hệ thống NIDS trong tương lai.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên các lý thuyết và mô hình học máy hiện đại, bao gồm:

• Mạng Neural nhân tạo (Artificial Neural Network - ANN): Mô hình cơ bản gồm các lớp input, hidden và output, sử dụng các hàm kích hoạt như sigmoid, tanh, ReLU để xử lý dữ liệu. ANN được sử dụng để phân loại dữ liệu mạng dựa trên các đặc trưng trích xuất.

• Mạng Neural hồi quy (Recurrent Neural Network - RNN) và các biến thể: RNN có khả năng xử lý dữ liệu dạng chuỗi tuần tự, tuy nhiên gặp vấn đề vanishing gradient khi học các phụ thuộc dài hạn. Hai biến thể cải tiến là Long Short Term Memory (LSTM) và Gated Recurrent Unit (GRU) được áp dụng để khắc phục nhược điểm này. LSTM sử dụng ba cổng (input, forget, output) để kiểm soát thông tin trong bộ nhớ dài hạn, còn GRU có hai cổng (update, reset) giúp đơn giản hóa cấu trúc nhưng vẫn giữ hiệu quả cao.

• Support Vector Machine (SVM): Thuật toán phân lớp tối ưu hóa siêu phẳng phân tách dữ liệu với margin lớn nhất. Soft-margin SVM được sử dụng để xử lý dữ liệu có nhiễu hoặc không hoàn toàn tách biệt, phù hợp với dữ liệu mạng phức tạp. SVM được kết hợp với mạng neural để thay thế hàm Softmax trong lớp output, giúp giảm độ phức tạp tính toán và tăng độ chính xác phân loại.

Các khái niệm chính bao gồm: hàm mất mát (loss function), gradient descent, backpropagation, confusion matrix, accuracy score, và các đặc trưng mạng như duration, service, source bytes, destination bytes, cùng các tỷ lệ lỗi SYN và trạng thái kết nối.

Phương pháp nghiên cứu

Nguồn dữ liệu chính là bộ Kyoto Dataset 2013 và 2015, được thu thập từ hệ thống honeypot tại Đại học Kyoto, Nhật Bản. Bộ dữ liệu này bao gồm hơn 24 đặc trưng mạng, trong đó có 14 đặc trưng cơ bản và 10 đặc trưng bổ sung, phản ánh các hành vi kết nối và cảnh báo an ninh mạng.

Phương pháp nghiên cứu bao gồm:

• Xử lý dữ liệu: Chuẩn hóa, chuyển đổi định dạng từ CSV sang NPY, áp dụng one-hot encoding cho các biến phân loại, và trích xuất các đặc trưng quan trọng.

• Thiết kế mô hình: Đề xuất mô hình LSTM kết hợp với bộ phân lớp đa lớp SVM (LSTM-SVM) để phát hiện xâm nhập mạng bất thường. Mô hình này được so sánh với mô hình GRU-SVM tham khảo từ nghiên cứu quốc tế.

• Phân tích và đánh giá: Sử dụng các chỉ số Accuracy score và Confusion matrix để đánh giá hiệu năng mô hình trên cả tập huấn luyện và tập kiểm thử của Kyoto Dataset 2013 và 2015. Các tham số hyper-parameter được tinh chỉnh để tối ưu hiệu quả.

• Timeline nghiên cứu: Quá trình nghiên cứu được thực hiện trong năm 2020, bao gồm khảo sát lý thuyết, xử lý dữ liệu, xây dựng mô hình, thực nghiệm và phân tích kết quả.

Phương pháp phân tích sử dụng kỹ thuật học sâu kết hợp với thuật toán phân lớp SVM, tận dụng ưu điểm của cả hai để nâng cao khả năng phát hiện các cuộc tấn công mạng mới và phức tạp.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Hiệu năng mô hình LSTM-SVM vượt trội: Trên tập kiểm thử Kyoto Dataset 2015, mô hình LSTM-SVM đạt độ chính xác khoảng 85%, cao hơn so với mô hình GRU-SVM đạt khoảng 84.15%. Trên tập Kyoto Dataset 2013, LSTM-SVM cũng cho kết quả tương tự với độ chính xác trên 83%.

2. Giảm tỷ lệ phát hiện nhầm (False Positive Rate - FPR): Mô hình LSTM-SVM có FPR thấp hơn khoảng 5% so với GRU-SVM, giúp giảm cảnh báo giả và tăng tính tin cậy của hệ thống.

3. Confusion matrix cho thấy khả năng phân loại chính xác: Biểu đồ confusion matrix minh họa rõ ràng tỷ lệ phân loại đúng các gói tin độc hại (True Positive Rate - TPR) đạt trên 90%, trong khi tỷ lệ loại trừ nhầm (False Negative Rate - FNR) được giữ ở mức thấp dưới 7%.

4. Thời gian dự đoán hợp lý: Mô hình LSTM-SVM có thời gian dự đoán trên tập dữ liệu kiểm thử khoảng 1.4 phút, tương đương với GRU-SVM, đảm bảo khả năng ứng dụng thực tế trong các hệ thống giám sát mạng.

Thảo luận kết quả

Nguyên nhân chính giúp LSTM-SVM vượt trội là do cấu trúc LSTM với ba cổng điều khiển giúp mô hình ghi nhớ và quên thông tin hiệu quả hơn, đặc biệt trong việc xử lý các phụ thuộc dài hạn trong chuỗi dữ liệu mạng. Việc kết hợp với bộ phân lớp SVM thay thế hàm Softmax giúp giảm độ phức tạp tính toán và tăng khả năng phân loại chính xác các mẫu dữ liệu phức tạp.

So sánh với các nghiên cứu trước đây, kết quả này phù hợp với xu hướng áp dụng mạng neural hồi quy trong phát hiện xâm nhập mạng, đồng thời khẳng định ưu thế của việc kết hợp LSTM với SVM. Các biểu đồ confusion matrix và accuracy score được trình bày chi tiết trong luận văn giúp minh chứng rõ ràng hiệu quả mô hình.

Ý nghĩa của kết quả nghiên cứu là mở ra hướng phát triển các hệ thống NIDS thông minh, có khả năng tự học và thích nghi với các mối đe dọa mới, góp phần nâng cao an ninh mạng cho các tổ chức và doanh nghiệp trong bối cảnh tội phạm mạng ngày càng tinh vi.

Đề xuất và khuyến nghị

1. Triển khai mô hình LSTM-SVM trong hệ thống NIDS thực tế: Đề nghị các tổ chức an ninh mạng áp dụng mô hình LSTM-SVM để nâng cao độ chính xác phát hiện xâm nhập, giảm thiểu cảnh báo giả. Thời gian thực hiện trong vòng 6-12 tháng, phối hợp giữa đội ngũ kỹ thuật và chuyên gia an ninh.

2. Tăng cường thu thập và cập nhật dữ liệu mạng: Khuyến nghị xây dựng hệ thống thu thập dữ liệu mạng liên tục, đa dạng hóa nguồn dữ liệu để huấn luyện mô hình, đảm bảo mô hình luôn cập nhật các mẫu tấn công mới. Thời gian triển khai liên tục, chủ thể là các phòng CNTT và trung tâm an ninh mạng.

3. Phát triển hệ thống cảnh báo tự động và phản ứng nhanh: Kết hợp mô hình phát hiện với hệ thống cảnh báo tự động, giúp giảm thiểu thời gian phản ứng trước các cuộc tấn công. Đề xuất hoàn thiện trong 12 tháng, do các nhà phát triển phần mềm và chuyên gia an ninh thực hiện.

4. Đào tạo và nâng cao năng lực nhân sự: Tổ chức các khóa đào tạo về Machine Learning và an ninh mạng cho đội ngũ kỹ thuật, giúp họ hiểu và vận hành hiệu quả các mô hình phát hiện xâm nhập. Thời gian đào tạo 3-6 tháng, do các viện đào tạo và chuyên gia hướng dẫn.

5. Nghiên cứu mở rộng mô hình kết hợp các thuật toán khác: Khuyến khích nghiên cứu thêm các mô hình kết hợp khác như CNN-LSTM, Attention Mechanism để cải thiện hiệu năng phát hiện. Thời gian nghiên cứu 1-2 năm, do các nhóm nghiên cứu chuyên sâu thực hiện.

Đối tượng nên tham khảo luận văn

1. Chuyên gia và kỹ sư an ninh mạng: Luận văn cung cấp kiến thức chuyên sâu về các mô hình Machine Learning ứng dụng trong phát hiện xâm nhập mạng, giúp họ nâng cao hiệu quả công tác giám sát và bảo vệ hệ thống.

2. Nhà nghiên cứu và sinh viên ngành Công nghệ Thông tin: Tài liệu chi tiết về lý thuyết, phương pháp và thực nghiệm mô hình LSTM-SVM, GRU-SVM trên bộ dữ liệu thực tế, hỗ trợ nghiên cứu và phát triển các đề tài liên quan.

3. Doanh nghiệp và tổ chức triển khai hệ thống NIDS: Cung cấp giải pháp kỹ thuật và đánh giá hiệu quả mô hình phát hiện xâm nhập, giúp doanh nghiệp lựa chọn công nghệ phù hợp để bảo vệ hạ tầng mạng.

4. Nhà phát triển phần mềm và hệ thống giám sát mạng: Tham khảo để tích hợp các thuật toán Machine Learning tiên tiến vào sản phẩm, nâng cao khả năng phát hiện và phản ứng với các mối đe dọa mạng.

Câu hỏi thường gặp

1. Tại sao chọn bộ dữ liệu Kyoto Dataset để thực nghiệm?
   Kyoto Dataset được thu thập từ hệ thống honeypot thực tế tại Đại học Kyoto, phản ánh các cuộc tấn công mạng hiện đại với đa dạng đặc trưng và cảnh báo. Bộ dữ liệu này có độ tin cậy cao và phù hợp để huấn luyện các mô hình phát hiện xâm nhập mạng.

2. Ưu điểm của mô hình LSTM so với GRU là gì?
   LSTM có cấu trúc phức tạp hơn với ba cổng điều khiển giúp kiểm soát thông tin tốt hơn, đặc biệt trong việc xử lý các phụ thuộc dài hạn. Điều này giúp LSTM thường đạt hiệu quả cao hơn trong các bài toán chuỗi dữ liệu phức tạp như lưu lượng mạng.

3. Tại sao kết hợp SVM với mạng neural thay vì dùng Softmax?
   SVM có chi phí tính toán thấp hơn và khả năng phân loại chính xác cao trong các bài toán nhị phân hoặc đa lớp. Việc thay thế Softmax bằng SVM giúp giảm độ phức tạp và tăng hiệu quả phân loại trong mô hình neural network.

4. Mô hình có thể áp dụng cho các loại tấn công mạng nào?
   Mô hình được huấn luyện để phát hiện nhiều loại tấn công như MSSQL StackOverflow, SMB Large Return Field, SYN Flood, Trojan, Worm, và các shellcode độc hại, phù hợp với các mối đe dọa phổ biến hiện nay.

5. Làm thế nào để cải thiện thêm hiệu năng mô hình trong tương lai?
   Có thể mở rộng nghiên cứu bằng cách kết hợp các mô hình deep learning khác như CNN, Attention Mechanism, hoặc áp dụng kỹ thuật tăng cường dữ liệu, đồng thời cập nhật liên tục bộ dữ liệu huấn luyện để mô hình thích nghi với các mối đe dọa mới.

Kết luận

• Luận văn đã phân tích và đánh giá hiệu quả của mô hình LSTM kết hợp với SVM trong phát hiện xâm nhập mạng bất thường, cho kết quả vượt trội so với mô hình GRU-SVM tham khảo.
• Bộ dữ liệu Kyoto Dataset 2013 và 2015 được sử dụng làm cơ sở thực nghiệm, phản ánh chính xác các đặc trưng lưu lượng mạng thực tế.
• Các chỉ số Accuracy score và Confusion matrix minh chứng khả năng phân loại chính xác và giảm thiểu cảnh báo giả của mô hình đề xuất.
• Nghiên cứu góp phần nâng cao hiệu quả hệ thống NIDS, đáp ứng yêu cầu bảo mật trong bối cảnh tội phạm mạng ngày càng tinh vi.
• Đề xuất các bước tiếp theo bao gồm triển khai thực tế, mở rộng nghiên cứu mô hình kết hợp và đào tạo nhân lực chuyên môn.

Hành động tiếp theo: Các tổ chức và nhà nghiên cứu nên áp dụng và phát triển mô hình LSTM-SVM trong hệ thống giám sát mạng, đồng thời tiếp tục cập nhật và mở rộng dữ liệu để nâng cao khả năng phát hiện các mối đe dọa mới.