Giới thiệu dự án

Sự bùng nổ của hạ tầng số và các dịch vụ đám mây kéo theo mức độ gia tăng kỷ lục của các cuộc tấn công mạng, đặc biệt là tấn công từ chối dịch vụ phân tán (DDoS - Distributed Denial of Service). Theo các báo cáo an ninh mạng toàn cầu, lưu lượng tấn công DDoS đã vượt ngưỡng hàng Terabit mỗi giây với độ phức tạp cao, kết hợp đa vector từ tầng mạng (L3/L4) đến tầng ứng dụng (L7).

                                  KIẾN TRÚC TỔNG QUAN HỆ THỐNG XAI-IDS
                                  
+------------------+      +---------------------+      +---------------------+
| Network Traffic  | ---> |  CICFlowMeter v3    | ---> | Feature Engineering |
| (PCAP / Live)    |      | (80+ Flow Features) |      | (Scale & Normalize) |
+------------------+      +---------------------+      +---------------------+
                                                                  |
                                                                  v
+------------------+      +---------------------+      +---------------------+
|  SOC Analyst UI  | <--- |   SHAP TreeExplainer| <--- | Machine Learning    |
| (Rule Synthesis) |      | (Global/Local XAI)  |      | (Random Forest/DT)  |
+------------------+      +---------------------+      +---------------------+

1. Vấn đề thực tiễn (Problem Statement)

Các hệ thống phát hiện xâm nhập truyền thống (IDS) dựa trên chữ ký (Signature-based IDS như Snort, Suricata) hoàn toàn bất lực trước các biến thể tấn công mới hoặc các cuộc tấn công zero-day. Để khắc phục, việc ứng dụng học máy (Machine Learning - ML) và học sâu (Deep Learning - DL) đã được triển khai rộng rãi nhờ khả năng tổng quát hóa dữ liệu tốt. Tuy nhiên, rào cản lớn nhất của ML/DL trong an toàn thông tin là bản chất "hộp đen" (Black-box):

  • Thiếu tính minh bạch: Mô hình dự đoán một luồng mạng là độc hại nhưng không cung cấp bằng chứng logic tại sao luồng đó bị gắn cờ.
  • Cản trở vận hành SOC (Security Operations Center): Chuyên viên phân tích an ninh mất nhiều giờ để kiểm chứng thủ công từng cảnh báo (Alert Fatigue), làm chậm quá trình tạo quy tắc phản ứng tức thời.
  • Nguy cơ tấn công đối kháng (Adversarial Evasion Attacks): Kẻ tấn công có thể tinh chỉnh các thuộc tính gói tin (như làm trễ gói, đệm kích thước) để đánh lừa bộ phân loại mà hệ thống không thể truy vết nguyên nhân sai lệch.

2. Mục tiêu nghiên cứu cụ thể

  1. Xây dựng hệ thống phát hiện xâm nhập IDS chuyên biệt cho các dạng tấn công DDoS: Nhận diện chính xác các họ tấn công DDoS nguy hiểm như DDoS-HOIC, DDoS-LOIC-HTTP, DDoS-LOIC-UDP và Flood Attacks trên dữ liệu luồng mạng chuẩn hóa.
  2. Tích hợp khung giải thích trí tuệ nhân tạo (Explainable AI - XAI): Sử dụng phương pháp SHAP (SHapley Additive exPlanations) trên nền tảng lý thuyết trò chơi liên minh nhằm cung cấp cả khả năng giải thích tổng quan (Global Explanation) và giải thích cục bộ (Local Explanation) cho từng cảnh báo.
  3. Tối ưu hóa hiệu năng mô hình: Huấn luyện và đánh giá hai thuật toán học máy có tính ứng dụng thực tế cao là Cây quyết định (Decision Tree) và Rừng ngẫu nhiên (Random Forest) nhằm đạt độ chính xác cao và độ trễ phân loại cực thấp.
  4. Đánh giá độ bền vững trước tấn công đối kháng: Sử dụng thư viện Adversarial Robustness Toolbox (ART) để kiểm thử kịch bản tấn công né tránh (Evasion Attack), đồng thời ứng dụng SHAP để phát hiện các bất thường trong thuộc tính bị thao túng.

3. Phương pháp tiếp cận và kết quả kỳ vọng

  • Phương pháp tiếp cận: Thu thập và tiền xử lý luồng mạng bằng bộ công cụ CICFlowMeter v3 (trích xuất hơn 80 thuộc tính thống kê hai chiều), xây dựng tập dữ liệu kết hợp từ CIC-IDS-2017 và CSE-CIC-IDS2018, sau đó triển khai bộ phân loại Random Forest kết hợp giải thuật giải thích cục bộ TreeExplainer của SHAP.
  • Kết quả đo lường kỳ vọng:
    • Độ chính xác phát hiện (Accuracy / F1-Score): $\ge 99.0%$ trên tập kiểm thử đa lớp.
    • Thời gian trích xuất giải thích (SHAP Inference Time): $< 20\text{ ms/flow}$, đáp ứng yêu cầu giám sát luồng mạng cận thời gian thực.
    • Giảm thời gian xác minh cảnh báo của chuyên viên SOC xuống trên $60%$.

4. Phạm vi và giới hạn đề tài

  • Phạm vi: Tập trung vào phát hiện các hình thức tấn công DDoS phân tán ở tầng giao vận và tầng ứng dụng (SYN Flood, UDP Flood, HTTP/LOIC/HOIC Flood) dựa trên phân tích đặc trưng luồng (Flow-based Analysis).
  • Giới hạn: Đề tài thực nghiệm trên dữ liệu lưu lượng mạng dạng số/thống kê (NetFlow features), không thực hiện giải mã hoặc phân tích sâu nội dung gói tin mã hóa (Deep Packet Payload Inspection - DPI).

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Tiêu chí so sánh Signature-based IDS (Snort, Suricata) Deep Learning IDS (CNN, LSTM) Proposed Explainable ML-IDS (RF + SHAP)
Cơ chế phát hiện Khớp mẫu chuỗi / Chữ ký cố định Khai phá mẫu phi tuyến tính tự động Cây quyết định / Rừng ngẫu nhiên phân cấp
Phát hiện Zero-day/DDoS mới Kém (chỉ bắt được mẫu đã biết) Tốt (khả năng tổng quát hóa cao) Rất tốt (dựa trên 80+ đặc trưng luồng)
Khả năng giải thích (XAI) Cao (dựa trên tập luật rõ ràng) Rất thấp ("Hộp đen" hoàn toàn) Rất cao (SHAP Feature Attribution)
Tài nguyên tính toán Thấp (CPU chuẩn) Rất cao (Yêu cầu GPU/TPU) Thấp đến Trung bình (Tối ưu hóa trên CPU)
Độ trễ xử lý (Latency) Cực thấp ($< 1\text{ ms}$) Cao ($50 - 200\text{ ms}$) Thấp ($< 5\text{ ms}$ cho ML, $< 15\text{ ms}$ cho SHAP)
Khả năng chống Evasion Kém Thấp (Dễ bị Adversarial Perturbation) Cao (Truy vết được biến thiên đặc trưng)

Yêu cầu hệ thống theo mô hình MoSCoW

  • Must have (Bắt buộc): Trích xuất 80+ đặc trưng từ file PCAP bằng CICFlowMeter; phân loại nhị phân (Normal/DDoS) và đa lớp (HOIC, LOIC-HTTP, LOIC-UDP); xuất chỉ số đóng góp SHAP cho từng quyết định.
  • Should have (Nên có): Biểu đồ trực quan hóa Global Feature Importance và Local Force Plot cho chuyên viên SOC; mô phỏng tấn công Evasion Attack bằng Fast Gradient Sign Method / HopSkipJump.
  • Could have (Có thể có): Tự động sinh cú pháp luật cảnh báo Snort dựa trên các ngưỡng đặc trưng có giá trị Shapley cao nhất.
  • Won't have (Chưa hỗ trợ): Phân tích trực tiếp lưu lượng mạng được mã hóa TLS 1.3 không thông qua metadata luồng.

Thiết kế hệ thống

flowchart TD
    A[Raw Network Traffic / PCAP] --> B[Packet Capture Engine - JNetPcap]
    B --> C[Feature Extractor - CICFlowMeter v3]
    C --> D[Data Preprocessing & Scaling]
    D --> E{Detection Engine}
    E -->|Decision Tree Classifier| F[Prediction: Attack vs Benign]
    E -->|Random Forest Ensemble| F
    F --> G[XAI Module: SHAP TreeExplainer]
    G --> H[Global Feature Summary Plot]
    G --> I[Local Instance Force/Waterfall Plot]
    G --> J[Adversarial Anomaly Detector]
    H --> K[Security Analyst Dashboard]
    I --> K
    J --> K

1. Kiến trúc thành phần (Component Architecture)

  • Khối bắt và trích xuất luồng (Packet Capture & Extraction): Sử dụng JNetPcap và bộ trích xuất CICFlowMeter v3 để gom các gói tin thành luồng hai chiều (Bi-directional Flow), tính toán các đặc trưng thống kê như độ dài gói, thời gian đến giữa các gói (Inter-Arrival Time - IAT), số lượng cờ TCP (SYN, ACK, FIN, PSH, RST).
  • Khối xử lý dữ liệu (Data Preprocessing Pipeline): Làm sạch các giá trị NaN và Infinity (thường xuất hiện ở Flow_Byts_s và Flow_Pkts_s), mã hóa nhãn tấn công và chuẩn hóa dữ liệu bằng StandardScaler hoặc MinMaxScaler.
  • Khối phát hiện xâm nhập (ML Detection Engine): Triển khai mô hình Decision Tree và Random Forest với kỹ thuật Bootstrap Aggregating nhằm xử lý dữ liệu mất cân bằng và chống overfitting.
  • Khối giải thích quyết định (Explainable AI Engine): Tích hợp thuật toán TreeExplainer từ thư viện SHAP để phân tích đóng góp biên của từng thuộc tính luồng đối với nhãn dự đoán.

2. Thông số kỹ thuật Technology Stack

+-----------------------------------------------------------------------+
| TECHNOLOGY STACK                                                      |
+-----------------------------------------------------------------------+
| Core Engine: Python v3.9.16                                           |
| Machine Learning Framework: Scikit-Learn v1.2.2                       |
| Interpretability Framework: SHAP (SHapley Additive exPlanations) v0.41|
| Adversarial Framework: Adversarial Robustness Toolbox (ART) v1.14.1    |
| Traffic Processing: CICFlowMeter v3.0 (Java JNetPcap 1.4.r1425)       |
| Data Manipulation: Pandas v1.5.3, NumPy v1.24.3                       |
| Visualization: Matplotlib v3.7.1, Seaborn v0.12.2                     |
| Execution Environment: Ubuntu 22.04 LTS / Google Colaboratory         |
+-----------------------------------------------------------------------+

Phương pháp nghiên cứu và cơ sở toán học

1. Cơ sở toán học của Giá trị Shapley trong SHAP

Dựa trên lý thuyết trò chơi hợp tác của Lloyd Shapley (1953), giá trị Shapley $\phi_i(x)$ đại diện cho đóng góp trung bình của đặc trưng thứ $i$ vào kết quả dự đoán của mô hình trên tất cả các tập hợp con liên minh có thể có của các đặc trưng:

$$\phi_i(x) = \sum_{S \subseteq F \setminus {i}} \frac{|S|!(|F| - |S| - 1)!}{|F|!} \left[ f(S \cup {i}) - f(S) \right]$$

Trong đó:

  • $F$: Tập hợp toàn bộ các đặc trưng đầu vào ($|F| \approx 80$).
  • $S$: Tập hợp con các đặc trưng được rút ra không chứa đặc trưng $i$.
  • $f(S)$: Dự đoán của mô hình khi chỉ huấn luyện/đánh giá trên tập con $S$.
  • $f(S \cup {i}) - f(S)$: Đóng góp biên (Marginal Contribution) khi đưa thêm đặc trưng $i$ vào tập liên minh.

Bằng việc sử dụng TreeSHAP (thuật toán tối ưu hóa cho các mô hình dạng cây), độ phức tạp tính toán được giảm từ hàm mũ $O(M \cdot 2^{|F|})$ xuống thời gian đa thức $O(T \cdot L \cdot D^2)$ (với $T$ là số cây, $L$ là số lá tối đa, $D$ là độ sâu tối đa của cây), cho phép giải thích hàng ngàn luồng mạng trong vài giây.

2. Kế hoạch triển khai dự án (Timeline & Sprints)

  • Sprint 1 (Tuần 1 - 3): Khảo sát các dạng tấn công DDoS (Volumetric, Protocol, Application Layer); cài đặt môi trường CICFlowMeter và chuẩn hóa tập dữ liệu CIC-IDS-2017 & CSE-CIC-IDS2018.
  • Sprint 2 (Tuần 4 - 6): Xây dựng và huấn luyện mô hình Decision Tree và Random Forest; tinh chỉnh siêu tham số (Hyperparameter Tuning) thông qua K-Fold Cross Validation.
  • Sprint 3 (Tuần 7 - 9): Tích hợp SHAP TreeExplainer; xây dựng pipeline trực quan hóa Global Feature Importance và Local Explanation; so sánh thực nghiệm giữa LIME và SHAP.
  • Sprint 4 (Tuần 10 - 12): Thực nghiệm tấn công đối kháng (Evasion Attack) bằng ART; đánh giá sự suy giảm hiệu năng và xác thực khả năng phát hiện mẫu đối kháng qua biến thiên giá trị Shapley; hoàn thiện báo cáo khóa luận.

Implementation và kết quả

Chi tiết thuật toán và cài đặt mã nguồn

Dưới đây là đoạn mã nguồn cốt lõi triển khai pipeline huấn luyện mô hình Random Forest, tích hợp bộ giải thích SHAP TreeExplainer và trích xuất các đặc trưng quan trọng nhất cho từng luồng mạng phân loại:

import numpy as np
import pandas as pd
import shap
from sklearn.ensemble import RandomForestClassifier
from sklearn.model_selection import train_test_split
from sklearn.metrics import classification_report, accuracy_score

# 1. Đọc và tiền xử lý dữ liệu trích xuất từ CICFlowMeter
df = pd.read_csv("DDoS_Combined_Dataset.csv")
df.replace([np.inf, -np.inf], np.nan, inplace=True)
df.dropna(inplace=True)

# Tách biến độc lập X và nhãn mục tiêu y
X = df.drop(columns=['Label', 'Flow_ID', 'Src_IP', 'Dst_IP', 'Timestamp'])
y = df['Label']

X_train, X_test, y_train, y_test = train_test_split(
    X, y, test_size=0.2, random_state=42, stratify=y
)

# 2. Huấn luyện mô hình Random Forest phân loại DDoS đa lớp
rf_model = RandomForestClassifier(
    n_estimators=100,
    max_depth=15,
    min_samples_split=5,
    random_state=42,
    n_jobs=-1
)
rf_model.fit(X_train, y_train)

# 3. Tích hợp SHAP TreeExplainer để giải thích quyết định
explainer = shap.TreeExplainer(rf_model)
sample_test = X_test.iloc[:500]  # Lấy mẫu 500 luồng để giải thích
shap_values = explainer.shap_values(sample_test)

# 4. Trích xuất thuộc tính quan trọng cho một cảnh báo cụ thể (Local Explanation)
sample_idx = 0
predicted_class = rf_model.predict(sample_test.iloc[[sample_idx]])[0]
print(f"[+] Luồng số {sample_idx} được dự đoán là: {predicted_class}")
print("[+] Top 3 đặc trưng ảnh hưởng lớn nhất theo SHAP:")

# Tính toán giá trị đóng góp tuyệt đối
if isinstance(shap_values, list):
    class_idx = np.where(rf_model.classes_ == predicted_class)[0][0]
    local_shap = shap_values[class_idx][sample_idx]
else:
    local_shap = shap_values[sample_idx]

top_features_idx = np.argsort(np.abs(local_shap))[-3:][::-1]
for idx in top_features_idx:
    print(f" - {X.columns[idx]}: Giá trị = {sample_test.iloc[sample_idx, idx]:.4f} | SHAP Value = {local_shap[idx]:.4f}")

Đánh giá thực nghiệm và kết quả đạt được

Hệ thống được đánh giá trên tập dữ liệu tổng hợp gồm $225,745$ bản ghi luồng mạng (bao gồm lưu lượng bình thường Benign và 3 nhóm tấn công DDoS chính: DDoS-HOIC, DDoS-LOIC-HTTP, DDoS-LOIC-UDP).

+-----------------------------------------------------------------------------------+
| HIỆU SUẤT PHÂN LOẠI TRÊN TẬP DỮ LIỆU CIC-DDoS BENCHMARK                           |
+----------------------+------------+---------------+------------+------------------+
| Thuật toán           | Accuracy   | Precision (%) | Recall (%) | F1-Score (%)     |
+----------------------+------------+---------------+------------+------------------+
| Decision Tree        | 99.12%     | 99.08%        | 99.15%     | 99.11%           |
| Random Forest (XAI)  | 99.86%     | 99.85%        | 99.87%     | 99.86%           |
| Baseline Naive Bayes | 84.30%     | 82.10%        | 86.50%     | 84.24%           |
+----------------------+------------+---------------+------------+------------------+

Phân tích đóng góp đặc trưng qua SHAP (Feature Insights)

Kết quả giải thích tổng quan (Global Explanation) chỉ ra các đặc trưng đóng vai trò quyết định trong việc phân loại DDoS:

  1. Fwd_Pkts_s (Tốc độ gói tin gửi theo chiều thuận): Giá trị cực cao trong các đợt tấn công UDP Flood và LOIC-UDP.
  2. Flow_Duration & Flow_IAT_Mean: Thời gian tồn tại của luồng cực ngắn kết hợp khoảng cách gửi gói (IAT) gần bằng 0 đặc trưng cho các cuộc tấn công HTTP/HOIC Flood bằng botnet.
  3. Init_Bwd_Win_Byts & Rst_Flag_Cnt: Kích thước cửa sổ khởi tạo ban đầu và số lượng cờ RST tăng đột biến khi máy chủ mục tiêu từ chối hoặc bị quá tải bộ đệm kết nối TCP.

Đánh giá tính bền vững trước tấn công đối kháng (Adversarial Evasion Attack)

Sử dụng công cụ Adversarial Robustness Toolbox (ART) tạo nhiễu đối kháng (Perturbations) trên 5 thuộc tính lưu lượng mạng (như cố tình chia nhỏ gói tin để thay đổi Pkt_Len_Mean và chèn độ trễ giả lập Flow_IAT_Mean):

  • Khi chưa có XAI: Độ chính xác của mô hình Random Forest bị sụt giảm nghiêm trọng từ $99.86%$ xuống $62.40%$, khiến nhiều luồng DDoS lọt qua hệ thống dưới dạng Benign.
  • Khi tích hợp SHAP: Phân tích giá trị Shapley cục bộ cho thấy các đặc trưng bị thao túng có độ phân tán giá trị SHAP bất thường (Outlier Attribution), giúp chuyên viên an ninh phát hiện luồng mạng đang cố tình ngụy trang né tránh.

Đổi mới và đóng góp

  1. Minh bạch hóa quyết định phát hiện xâm nhập (Transparency & Interpretability): Đề tài giải quyết triệt để hạn chế "hộp đen" của các mô hình ML/DL trong bảo mật, cung cấp cả giải thích toàn cục (Global) phục vụ nghiên cứu xu hướng và giải thích cục bộ (Local) phục vụ ứng cứu sự cố tức thì.
  2. Khắc phục nhược điểm mất ổn định của LIME bằng SHAP: Nghiên cứu đã chứng minh SHAP vượt trội hơn LIME trong dữ liệu mạng dạng bảng nhờ thỏa mãn đầy đủ 4 tính chất toán học nền tảng: Efficiency, Symmetry, Dummy, và Additivity.
  3. Cầu nối tự động hóa giữa ML và hệ thống phòng thủ: Từ các đặc trưng có trọng số SHAP cao nhất, quản trị viên có thể tự động trích xuất các ngưỡng (thresholds) để tạo quy tắc chặn tức thời trên Firewall/IPS (như iptables hoặc Snort rules) chỉ trong vài giây thay vì phân tích thủ công.
  4. Đánh giá toàn diện an toàn cho chính mô hình AI: Khóa luận không chỉ dừng lại ở bài toán phân loại thông thường mà còn tiên phong đánh giá độ bền vững của mô hình máy học trước các nguy cơ tấn công đầu độc (Poisoning) và né tránh (Evasion).

Ứng dụng thực tế và triển khai

+-----------------------------------------------------------------------------------+
| KỊCH BẢN TRIỂN KHAI THỰC TẾ CỦA HỆ THỐNG XAI-IDS                                  |
+-----------------------------------------------------------------------------------+
|                                                                                   |
|  [ Ingress Gateway ] ---> [ Mirroring / TAP Port ] ---> [ CICFlowMeter Probe ]    |
|                                                                 |                 |
|                                                                 v                 |
|  [ SOC SIEM Dashboard ] <--- [ SHAP Attribution Engine ] <--- [ RF Predictor ]    |
|            |                                                                      |
|            v                                                                      |
|  [ Auto IPTables / Snort Rule Update ] ---> [ Edge Firewall Block ]               |
|                                                                                   |
+-----------------------------------------------------------------------------------+

1. Kịch bản ứng dụng trong Trung tâm điều hành an ninh mạng (SOC)

  • Giảm tải cho SOC Tier-1: Khi một cảnh báo DDoS xuất hiện, giao diện hệ thống lập tức hiển thị biểu đồ thác nước (Waterfall plot) của SHAP, làm nổi bật 3 đặc trưng cốt lõi gây ra cảnh báo. Kỹ sư phân tích chỉ mất dưới 30 giây để xác nhận tính chính xác của cuộc tấn công, giảm thời gian xử lý sự cố (MTTR - Mean Time to Remediate) tới $65%$.
  • Bảo vệ cổng thanh toán và dịch vụ Web doanh nghiệp: Giám sát liên tục lưu lượng L7 để ngăn chặn kịp thời các đợt tấn công HTTP Flood, Slowloris nhắm vào máy chủ API.

2. Yêu cầu triển khai và Ước tính ROI

  • Yêu cầu phần cứng: Máy chủ tiêu chuẩn (4 Core CPU, 16GB RAM, 100GB SSD), 01 card mạng chuyên dụng hỗ trợ chế độ Promiscuous Mode hoặc kết nối qua cổng SPAN/TAP của Switch trung tâm.
  • Chi phí & Hiệu quả đầu tư (ROI): Xây dựng hoàn toàn trên nền tảng mã nguồn mở (Python, Scikit-learn, SHAP, Linux), giúp doanh nghiệp tiết kiệm hàng chục nghìn USD chi phí bản quyền giải pháp thương mại độc quyền, đồng thời bảo vệ hệ thống trước nguy cơ đình trệ dịch vụ gây thiệt hại hàng triệu USD mỗi giờ.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Quá trình trích xuất đặc trưng theo luồng bằng CICFlowMeter phụ thuộc vào khoảng thời gian chờ của luồng (Flow Timeout), do đó tạo ra độ trễ tự nhiên từ 1 - 3 giây trước khi luồng hoàn chỉnh được đưa vào bộ phân loại.
  • Tính toán SHAP mặc dù đã được tối ưu hóa bằng TreeSHAP nhưng vẫn tiêu tốn CPU đáng kể nếu số lượng cây trong Random Forest vượt quá 200 đơn vị hoặc khi lưu lượng mạng vượt ngưỡng hàng triệu luồng/giây.

Hướng phát triển trong tương lai

  • Triển khai kỹ thuật Streaming Feature Extraction trực tiếp trên bộ đệm eBPF/XDP ở tầng kernel của Linux nhằm giảm độ trễ trích xuất đặc trưng xuống mức dưới mili-giây.
  • Tích hợp cơ chế tự động sinh luật phòng thủ (Automated Mitigation Generator) chuyển đổi trực tiếp kết quả giải thích SHAP thành danh sách kiểm soát truy cập (ACL) trên hạ tầng mạng SDN (Software-Defined Networking).
  • Nghiên cứu cơ chế phòng thủ đối kháng tích cực (Adversarial Training) để nâng cao độ trơ lỳ của bộ phân loại trước các cuộc tấn công né tránh tinh vi.

Đối tượng hưởng lợi

+---------------------+-------------------------------------------------------------+
| Nhóm đối tượng      | Giá trị thực tiễn mang lại                                  |
+---------------------+-------------------------------------------------------------+
| Sinh viên & Người   | Tài liệu tham khảo chuẩn mực về quy trình xây dựng IDS hoàn |
| học An toàn thông tin | chỉnh từ bắt gói tin, trích xuất đặc trưng đến XAI.       |
+---------------------+-------------------------------------------------------------+
| Kỹ sư SOC &         | Công cụ hỗ trợ ra quyết định trực quan, giảm thiểu triệt để |
| Quản trị hệ thống   | tình trạng cảnh báo rác (False Positive Alerts).            |
+---------------------+-------------------------------------------------------------+
| Doanh nghiệp vừa    | Giải pháp bảo vệ hạ tầng mạng hiệu năng cao, chi phí bản    |
| và nhỏ (SMEs)       | quyền 0 đồng, dễ dàng tùy chỉnh theo kiến trúc nội bộ.     |
+---------------------+-------------------------------------------------------------+
| Các nhà nghiên cứu  | Nền tảng thực nghiệm đối chuẩn (Benchmarking) cho các công  |
| AI trong Bảo mật    | trình nghiên cứu tiếp theo về Adversarial Robustness & XAI. |
+---------------------+-------------------------------------------------------------+

Câu hỏi thường gặp

1. Cấu hình phần cứng tối thiểu để triển khai hệ thống là gì?

Để phân tích lưu lượng mạng doanh nghiệp ở quy mô 1 Gbps, hệ thống yêu cầu cấu hình tối thiểu: CPU Intel Core i5/Xeon 4 Cores, 16GB RAM, ổ cứng SSD NVMe 100GB chạy hệ điều hành Ubuntu Linux 20.04/22.04 LTS. Hệ thống không bắt buộc trang bị GPU đắt tiền do mô hình Random Forest và TreeSHAP đã được tối ưu hóa xuất sắc trên CPU.

2. Thuật toán SHAP có làm chậm tốc độ phát hiện của IDS không?

Không. Trong quy trình chuẩn, mô hình Random Forest thực hiện phân loại luồng với độ trễ cực thấp ($< 0.2\text{ ms/flow}$). Module SHAP TreeExplainer chỉ được kích hoạt song song hoặc khi luồng mạng bị phát hiện có dấu hiệu bất thường để cung cấp bằng chứng cho quản trị viên, do đó không gây nghẽn đường truyền mạng.

3. Hệ thống có thể tích hợp với các nền tảng SIEM như Splunk hay Elastic (ELK) không?

Có. Kết quả dự đoán cùng chỉ số đóng góp đặc trưng của SHAP được cấu trúc hóa dưới định dạng JSON hoặc Syslog chuẩn, cho phép đẩy trực tiếp vào các hệ thống SIEM/SOAR thông qua Logstash, Fluentd hoặc REST API để phục vụ trực quan hóa tập trung.

4. Tần suất cập nhật và huấn luyện lại mô hình ML như thế nào?

Để đảm bảo độ chính xác trước các biến thể tấn công mới, hệ thống nên được lên lịch huấn luyện lại định kỳ (Retraining Pipeline) mỗi tháng một lần hoặc kích hoạt tự động khi tỷ lệ cảnh báo bất thường tăng vượt ngưỡng $15%$ so với đường chuẩn (Baseline).

5. Tại sao nên chọn Random Forest thay vì Deep Learning (Mạng nơ-ron sâu)?

Đối với dữ liệu dạng bảng có cấu trúc (như 80+ đặc trưng luồng của CICFlowMeter), mô hình cây (Random Forest, XGBoost) luôn đạt độ chính xác tương đương hoặc vượt trội so với Deep Learning, đồng thời tiêu tốn ít tài nguyên tính toán hơn và tương thích hoàn hảo với thuật toán giải thích nhanh TreeSHAP.

Kết luận

Đồ án tốt nghiệp "Phát triển hệ thống phát hiện xâm nhập có khả năng lý giải sử dụng máy học" của tác giả Nguyễn Thùy Linh đã giải quyết thành công bài toán then chốt trong an ninh mạng hiện đại: kết hợp hài hòa giữa hiệu suất phân loại vượt trội ($99.86%$ F1-Score) và tính minh bạch, giải thích được của mô hình AI thông qua SHAP.

Bằng việc xây dựng thành công quy trình khép kín từ trích xuất luồng mạng thực tế, huấn luyện mô hình học máy tối ưu, cung cấp giao diện giải thích trực quan cho chuyên viên SOC đến đánh giá khả năng chống chịu tấn công đối kháng, công trình mang lại giá trị học thuật cao và khả năng ứng dụng thực tiễn to lớn cho các trung tâm giám sát an toàn thông tin doanh nghiệp.