Tổng quan về luận án

Sự bùng nổ của hạ tầng Internet, điện toán đám mây và hệ sinh thái Vạn vật kết nối (IoT) đã mở rộng không gian mạng toàn cầu nhưng đồng thời tạo ra những nguy cơ an ninh mạng phức tạp chưa từng có. Theo báo cáo thường niên Internet Security Threat Report (ISTR), môi trường mạng đối mặt với sự gia tăng đột biến của các mối đe dọa tinh vi: "khoảng 1/10 (một trong mười) các tên miền (URL) trên Internet là độc hại, số lượng tấn công Web tăng 56% trong năm 2018, số lượng thư rác (Spam) tăng khoảng 50% trong 4 năm liên tiếp từ 2015 đến 2018. Các loại tấn công mới như Supply-Chain... tăng vọt 78%, mã độc PowerShell-Script tăng 1000%". Đáng chú ý, khoảng 85% cuộc tấn công xuất phát từ động cơ có chủ đích và 90% hướng tới mục tiêu thu thập thông tin tình báo, sử dụng các kỹ thuật ẩn danh như Living-off-the-land (LotL) để lẩn khuất trong lưu lượng thông thường, vô hiệu hóa các hệ thống phát hiện xâm nhập dựa trên dấu hiệu (Signature-based NIDS) truyền thống.

Trước thực trạng đó, việc xây dựng các hệ thống phát hiện bất thường mạng (Network Anomaly Detection - NAD) đóng vai trò là tuyến phòng thủ then chốt thứ hai sau tường lửa. Bản chất của NAD là giải quyết bài toán phân tách giữa trạng thái bình thường và các hành vi bất thường mới xuất hiện. Tuy nhiên, rào cản cốt lõi của nghiên cứu học thuật nằm ở chỗ: "việc gán nhãn cho một số lượng khổng lồ các hành vi bất thường mạng, qua đó đại diện cho toàn bộ các bất thường trên hệ thống mạng là một nhiệm vụ tốn quá nhiều công sức và thời gian... quá trình huấn luyện các phương pháp NAD được khuyến nghị là hoàn toàn độc lập với dữ liệu tấn công, chỉ sử dụng dữ liệu bình thường cho xây dựng mô hình". Hướng tiếp cận phân đơn lớp (One-Class Classification - OCC) dưới dạng học bán giám sát (Semi-supervised Learning) trở thành mô thức tất yếu.

Mặc dù các kiến trúc học sâu tiên tiến, điển hình là mạng tự mã hóa co (Shrink AutoEncoder - SAE), đã chứng minh hiệu năng vượt trội trong việc nén và biểu diễn đặc trưng, chúng vẫn bộc lộ các khoảng trống nghiên cứu (Research Gaps) nghiêm trọng:

  1. Khoảng trống cấu trúc phân bố đa cụm: SAE nén toàn bộ dữ liệu bình thường về một điểm gốc tọa độ đơn lẻ trong không gian ẩn, dẫn đến suy giảm độ chính xác nghiêm trọng khi phân phối dữ liệu mạng thực tế tồn tại dưới dạng đa cụm (multi-modal distribution).
  2. Khoảng trống phân tách biên bất thường tinh vi: Các cuộc tấn công có độ tương đồng cao với lưu lượng thông thường (như tấn công chiếm quyền điều khiển từ xa $R2L$ hay leo thang đặc quyền $U2R$) bị SAE ánh xạ gần sát gốc tọa độ, khiến mô hình không thể phân biệt ranh giới.
  3. Khoảng trống suy luận tổng hợp và ngưỡng quyết định: Các phương pháp OCC đơn lẻ (Single AD) bị phụ thuộc chặt chẽ vào môi trường dữ liệu và không thể tự động xác lập ngưỡng quyết định (Decision Threshold - DTh) nhị phân nếu không có sự can thiệp thủ công từ chuyên gia.

Luận án tiến sĩ kỹ thuật chuyên ngành Hệ thống thông tin của tác giả Bùi Công Thành, dưới sự hướng dẫn khoa học của PGS. Hoàng Minh và PGS. Nguyễn Quang Uy tại Học viện Công nghệ Bưu chính Viễn thông (2021), đã giải quyết triệt để các khoảng trống trên thông qua ba câu hỏi nghiên cứu (Research Questions - RQ) và giả thuyết khoa học (Hypotheses - H):

  • RQ1: Làm thế nào để cải tiến kiến trúc AutoEncoder nhằm thích ứng với dữ liệu bình thường có cấu trúc đa cụm mà không làm mất tính chất co đặc trưng?
    • H1: Tích hợp cơ chế phân cụm tối ưu vào quá trình tiền xử lý trước khi thực hiện co đa cụm cục bộ (mô hình KSAE) sẽ cải thiện đáng kể diện tích dưới đường cong ROC (AUC) trên dữ liệu phức tạp.
  • RQ2: Cơ chế tối ưu không gian ẩn nào có thể phân tách dứt điểm các dạng tấn công tinh vi nằm cận kề vùng dữ liệu bình thường?
    • H2: Thiết lập hàm mất mát điều chuẩn co kép (Double-Shrink) kết hợp tham số lề phân cách (mô hình DSAE) sẽ đẩy lùi các mẫu biên bất thường ra xa gốc tọa độ, tối ưu hóa tỷ lệ phát hiện ($DR$) và giảm thiểu báo động giả ($FAR$).
  • RQ3: Làm thế nào để tổng hợp tri thức từ các bộ phân lớp OCC không đồng nhất và tự động hóa ngưỡng quyết định mà không cần dữ liệu bất thường khi huấn luyện?
    • H3: Mở rộng lý thuyết bằng chứng Dempster-Shafer bằng cách xây dựng hàm gán niềm tin cơ sở (BPA) 3 trạng thái và ước lượng trọng số tin cậy động dựa trên độ đo "sinh lỗi" nội bộ (khung mô hình OFuseAD) sẽ tạo ra đầu ra nhãn nhị phân tối ưu trên đa số tập dữ liệu thực nghiệm.

Nghiên cứu được triển khai trên quy mô kiểm thử nghiêm ngặt gồm 10 bộ dữ liệu an ninh mạng quốc tế chuẩn mực (như NSL-KDD, CTU-13, UNSW-NB15, KDD99), tạo ra bước đột phá định lượng khi mô hình tổng hợp OFuseAD vượt trội hơn toàn bộ các phương pháp đơn lẻ trên 9/10 tập dữ liệu khảo sát.

Literature Review và Positioning

Nghiên cứu phát hiện bất thường mạng đã trải qua quá trình tiến hóa lý thuyết sâu rộng với nhiều trường phái tiếp cận khác nhau:

                                  TIẾN TRÌNH TIẾP CẬN NAD
TRUYỀN THỐNG (Distance/Density/Kernel)                             HỌC SÂU & HỌC BIỂU DIỄN
- LOF (Breunig et al., 2000)                                       - DAE & kPCA (Sakurada & Yairi, 2014)
- KDE (Wand & Jones, 1995)                                         - DBN-OCSVM (Erfani et al., 2016)
- OCSVM (Schölkopf, 2001) / SVDD (Tax, 2004)                       - SAE (Cao et al., 2020)
                             TỔNG HỢP RA QUYẾT ĐỊNH (DATA FUSION)
                             - Dempster-Shafer Theory (Dempster, 1967; Shafer, 1976)
                             - Hạn chế: Giả định nguồn tin cậy ngang nhau & thiếu ngưỡng OCC
                                   KHUNG MÔ HÌNH ĐỀ XUẤT

Trường phái phân lớp đơn lớp truyền thống dựa trên khoảng cách và mật độ ghi nhận các công trình kinh điển:

  • Breunig và cộng sự (2000) đề xuất Local Outlier Factor (LOF) dựa trên việc so sánh mật độ cục bộ của một đối tượng với $k$-láng giềng gần nhất, hoạt động hiệu quả trên không gian nhiều chiều nhưng chịu chi phí tính toán lớn và phân mảnh dữ liệu.
  • Wand và Jones (1995) chuẩn hóa phương pháp ước lượng mật độ hàm nhân (Kernel Density Estimation - KDE), cho phép tự học phân phối xác suất phi tham số, đặc biệt hiệu quả trên các tập dữ liệu có mật độ tập trung cao.
  • Schölkopf và cộng sự (2001) cùng Tax và Duin (2004) phát triển One-Class Support Vector Machine (OCSVM) và Support Vector Data Description (SVDD), sử dụng hàm nhân phi tuyến để ánh xạ dữ liệu vào không gian đặc trưng nhằm xác định siêu phẳng hoặc siêu cầu bao bọc cực tiểu chứa các mẫu bình thường.

Khi dữ liệu mạng chuyển dịch sang trạng thái siêu chiều (high-dimensional), các mô hình truyền thống vấp phải rào cản "lời nguyền số chiều" (curse of dimensionality). Trường phái học sâu và học biểu diễn (Representation Learning) đã xuất hiện để khắc phục nhược điểm này:

  • Sakurada và Yairi (2014) chứng minh mạng tự mã hóa giảm nhiễu (Denoising AutoEncoder - DAE) vượt trội hơn hẳn phân tích thành phần chính tuyến tính (Linear PCA) và Kernel PCA về độ chính xác tái tạo lẫn độ phức tạp tính toán.
  • Fiore và cộng sự (2013) ứng dụng mô hình Discriminative Restricted Boltzmann Machines (DRBM) để học đặc trưng lưu lượng mạng thông thường trên tập dữ liệu KDD99.
  • Erfani và cộng sự (2016) kết hợp mạng niềm tin sâu (Deep Belief Network - DBN) với OCSVM để trích xuất đặc trưng phi tuyến tính trước khi phân loại.
  • Đột phá gần nhất được xác lập bởi Cao và cộng sự (2020) với mô hình Shrink AutoEncoder (SAE), bổ sung thành phần điều chuẩn đưa các vector biểu diễn của dữ liệu bình thường co cụm chặt chẽ quanh gốc tọa độ trong không gian tầng thắt cổ chai (bottleneck latent space).

Song song với các phương pháp đơn, trường phái tổng hợp dữ liệu (Data Fusion - DF) nhằm kết hợp sức mạnh của nhiều bộ phân lớp đã thu hút sự chú ý:

  • Nhiều tác giả (Bhattacharyya, 2013; Nguyen & Armitage, 2008) chỉ ra rằng mỗi thuật toán đơn lẻ chỉ chiếm ưu thế trong các điều kiện môi trường mạng đặc thù (chẳng hạn KDE phát hiện thư rác tốt nhưng yếu trong phát hiện quảng cáo rác, trong khi LOF thể hiện chiều hướng ngược lại).
  • Lý thuyết bằng chứng Dempster-Shafer (D-S Theory) được Dempster (1967) và Shafer (1976) thiết lập đã trở thành công cụ suy luận ra quyết định không đòi hỏi xác suất tiền nghiệm (prior probability) khắt khe như suy luận Bayes.

Tranh luận học thuật và định vị nghiên cứu: Một cuộc tranh luận lớn trong học giới tồn tại giữa việc sử dụng mô hình học có giám sát đầy đủ (Supervised) hay mô hình phân đơn lớp (OCC/Semi-supervised). Dù học có giám sát đem lại độ chính xác cao đối với các mẫu đã biết, nó hoàn toàn bất lực trước tấn công Zero-day do không thể thu thập nhãn bất thường đầy đủ. Luận án kiên định định vị theo mô thức OCC bán giám sát.

So sánh với hai nghiên cứu quốc tế tiêu biểu:

  1. So với nghiên cứu của Cao và cộng sự (2020) về SAE: Luận án chỉ ra điểm mù cốt lõi của SAE khi dữ liệu bình thường có nhiều cụm hoặc khi gặp các tấn công $R2L$/$U2R$, từ đó phát triển KSAE và DSAE như bước tiến hóa vượt bậc về mặt cấu trúc hình học không gian ẩn.
  2. So với nghiên cứu tổng hợp của Basir và Yuan (2007) hay Khaleghi và cộng sự (2013): Các nghiên cứu này ứng dụng lý thuyết D-S cho học có giám sát với độ tin cậy nguồn đồng nhất. Luận án đã tái định hình lý thuyết D-S cho bài toán OCC bằng cách thiết lập hàm gán niềm tin 3 trạng thái và tính toán trọng số tin cậy thích ứng từ chính sai số nội tại của dữ liệu bình thường.

Đóng góp lý thuyết và khung phân tích

Đóng góp cho lý thuyết

Luận án mở rộng nền tảng lý thuyết học biểu diễn (Representation Learning Theory) trong mạng nơ-ron sâu và lý thuyết bằng chứng Dempster-Shafer thông qua các mệnh đề lý thuyết cốt lõi:

  • Mệnh đề 1 (Đa cụm không gian ẩn trong AutoEncoder): Giả định nén toàn bộ không gian dữ liệu bình thường $\mathcal{X} \subset \mathbb{R}^d$ vào một điểm kỳ dị duy nhất tại gốc tọa độ $0 \in \mathbb{R}^k$ làm mất mát cấu trúc tô-pô cục bộ của phân phối đa phương thức. Việc bảo toàn tính chất co theo từng cụm con cục bộ $\mathcal{C}_j$ ($j=1,\dots,K$) cho phép duy trì sai số tái tạo tối thiểu đồng thời cô lập tối đa các mẫu ngoại lai.
  • Mệnh đề 2 (Biên phân tách năng động của Double-Shrink): Bằng cách áp đặt ràng buộc tối ưu kép lên hàm mất mát—vừa thu nhỏ khoảng cách vector ẩn bình thường $|z_i|_2 \to 0$, vừa thiết lập khoảng cách lề cực tiểu $\gamma$ ngăn cách miền lan tỏa của các vector bất thường tiềm năng—mô hình triệt tiêu hiện tượng sụp đổ biểu diễn (representation collapse) đối với các mẫu tấn công có tương quan cao với dữ liệu chuẩn.
  • Mệnh đề 3 (Suy luận bằng chứng OCC bất đối xứng): Trong không gian nhận thức $\Theta = {N, A}$, một bộ phân lớp OCC duy nhất không thể cung cấp độ tin cậy tuyệt đối tại các vùng chuyển tiếp. Việc thiết lập không gian quyền lực $2^\Theta = {\emptyset, {N}, {A}, {N, A}}$ kết hợp trọng số tin cậy $w_m$ phản ánh năng lực phân tách nội tại của từng OCC giúp quy tắc kết hợp Dempster loại bỏ hiện tượng xung đột bằng chứng.
                                  MÔ HÌNH HỌC BIỂU DIỄN CO KÉP (DSAE)
                                  
         Hàm mất mát RE:                                Thành phần điều chuẩn:
       Loss_RE = ||x - x̂||²                       Ω_DSAE = α||z||² + β·max(0, γ - ||z||²)
                             HÀM MỤC TIÊU TOÀN CỤC:
                        min Loss_DSAE = Loss_RE + Ω_DSAE

Khung phân tích độc đáo

Khung phân tích của luận án tích hợp ba lý thuyết nền tảng: Lý thuyết mạng tự mã hóa sâu, Lý thuyết tối ưu hóa hình học đa cụm, và Lý thuyết bằng chứng D-S.

Hàm mất mát của mô hình AutoEncoder truyền thống dựa trên sai số toàn phương trung bình (Mean Square Error - MSE): $$\mathcal{L}{\text{AE}}(\theta) = \frac{1}{m} \sum{i=1}^m |x_i - \hat{x}_i|_2^2$$

Hàm mục tiêu của mô hình SAE (Cao et al., 2020) bổ sung thành phần co: $$\mathcal{L}{\text{SAE}}(\theta) = \frac{1}{m} \sum{i=1}^m |x_i - \hat{x}_i|2^2 + \alpha \sum{i=1}^m |z_i|_2^2$$

Luận án thiết lập khung phân tích toán học mới cho DSAE bằng việc tối ưu hóa hàm mục tiêu mở rộng: $$\mathcal{L}{\text{DSAE}}(\theta) = \frac{1}{m} \sum{i=1}^m |x_i - \hat{x}_i|2^2 + \alpha \sum{i=1}^m |z_i|_2^2 + \beta \cdot \max\left(0, \gamma - |z_i|_2^2\right)$$ Trong đó $\alpha, \beta$ là các siêu tham số điều chỉnh tỷ trọng giữa độ chính xác tái tạo và độ nén không gian ẩn, $\gamma$ là bán kính lề an toàn.

Đối với khung OFuseAD, quá trình tích hợp tri thức được thực hiện trên khung nhận thức $\Theta = {N, A}$ (Normal, Anomaly). Đối với mỗi bộ phân lớp OCC thứ $m$, độ đo bất thường $AS_m(x)$ được chuẩn hóa và phân rã thành ba vùng xác suất:

  1. Vùng chắc chắn bình thường ($N$): $AS_m(x) < T_{m1}$
  2. Vùng không chắc chắn ($N \cup A$): $T_{m1} \le AS_m(x) \le T_{m2}$
  3. Vùng chắc chắn bất thường ($A$): $AS_m(x) > T_{m2}$

Hàm gán niềm tin cơ sở (Basic Probability Assignment - BPA) $m_k(\cdot)$ được định nghĩa thích ứng, sau đó quy tắc kết hợp Dempster (Dempster's Rule of Combination - DRC) được hiệu chỉnh với trọng số độ tin cậy $w_k$: $$m(C) = \frac{\sum_{\bigcap A_i = C} \prod_{k=1}^M \left[ w_k m_k(A_i) + (1 - w_k) I(A_i = \Theta) \right]}{1 - \sum_{\bigcap A_i = \emptyset} \prod_{k=1}^M \left[ w_k m_k(A_i) + (1 - w_k) I(A_i = \Theta) \right]}$$

Điều kiện biên (boundary conditions) của khung phân tích được xác định rõ: Toàn bộ quá trình tối ưu hóa tham số và ước lượng trọng số hoàn toàn diễn ra trên tập mẫu dữ liệu bình thường $\mathcal{D}{\text{train}} = \mathcal{X}{\text{normal}}$, không gian đầu vào là các đặc trưng lưu lượng mạng đã được đồng nhất hóa định dạng.

Phương pháp nghiên cứu tiên tiến

Thiết kế nghiên cứu

Nghiên cứu được xây dựng trên nền tảng triết học thực chứng hậu hiện đại (Post-positivism), khẳng định các quy luật bất thường mạng có thể được lượng hóa và mô hình hóa thông qua các phép đo toán học chính xác trên dữ liệu lưu lượng. Phương pháp luận kết hợp thiết kế đa tầng (Multi-level experimental design):

  • Cấp độ 1 (Biểu diễn không gian ẩn - Latent Space Representation): Tối ưu hóa kiến trúc mạng nơ-ron học sâu để trích xuất đặc trưng bậc cao.
  • Cấp độ 2 (Phân loại đơn lớp cục bộ - Local OCC): Triển khai song song các bộ phân lớp đa dạng về nguyên lý (DSAE - học sâu, LOF - khoảng cách láng giềng, KDE - mật độ xác suất).
  • Cấp độ 3 (Tổng hợp quyết định mức cao - High-level Decision Fusion): Hợp nhất tri thức thông qua động học niềm tin D-S.
                         QUY TRÌNH THỰC NGHIỆM ĐA TẦNG CỦA LUẬN ÁN
                         
                        ĐẦU RA: NHÃN NHỊ PHÂN (0: Normal, 1: Attack)

Quy trình nghiên cứu rigorous

Quy trình nghiên cứu bao gồm các bước xử lý dữ liệu chuẩn hóa:

  1. Tiền xử lý dữ liệu:
    • Mã hóa nhị phân (One-hot Encoding) cho các thuộc tính danh mục (categorical attributes như giao thức, dịch vụ).
    • Chuẩn hóa chỉ số $Z$-score về khoảng định chuẩn: $$z_{ij} = \frac{x_{ij} - \mu_j}{\sigma_j}$$
  2. Xác định số cụm tối ưu trong KSAE: Sử dụng phương pháp Elbow trên tổng bình phương khoảng cách nội cụm (Sum of Squared Errors - SSE) để tìm điểm uốn $K^*$ tự động, tránh hiện tượng áp đặt chủ quan số lượng cụm dữ liệu bình thường.
  3. Triển khai huấn luyện OCC: Huấn luyện hoàn toàn trên dữ liệu bình thường ($100%$ normal data).
  4. Đo lường độ tin cậy và hiệu lực: Đảm bảo độ hiệu lực cấu trúc (Construct Validity) thông qua ma trận nhầm lẫn (Confusion Matrix) và tính toán các chỉ số thống kê nghiêm ngặt:
    • Tỷ lệ phát hiện ($DR = \frac{TP}{TP + FN}$)
    • Tỷ lệ báo động sai ($FAR = \frac{FP}{TN + FP}$)
    • Độ chính xác tổng thể ($ACC = \frac{TP + TN}{TP + TN + FP + FN}$)
    • Điểm số $F_1$-score ($F_1 = 2 \cdot \frac{\text{Precision} \cdot \text{Recall}}{\text{Precision} + \text{Recall}}$)
    • Diện tích dưới đường cong đặc trưng hoạt động máy thu ($AUC\text{-}ROC$).

Data và phân tích

Thực nghiệm được tiến hành trên 10 bộ dữ liệu an ninh mạng chuẩn quốc tế đại diện cho nhiều thế hệ lưu lượng: NSL-KDD, KDD99, UNSW-NB15, CTU-13 (gồm các kịch bản botnet CTU13_08, CTU13_09, CTU13_13), ISCX2012, v.v. Các bộ dữ liệu bao hàm đầy đủ bốn nhóm tấn công mạng kinh điển:

  • Từ chối dịch vụ (DoS): Bất thường theo tập hợp mẫu (Collection anomaly).
  • Dò quét mạng (Probe): Bất thường theo ngữ cảnh (Contextual anomaly).
  • Chiếm quyền điều khiển từ xa (R2L): Bất thường theo từng mẫu đơn lẻ (Point anomaly).
  • Leo thang đặc quyền (U2R): Bất thường theo từng mẫu đơn lẻ (Point anomaly).
Nhóm tấn công Loại bất thường cốt lõi Hành vi mạng đặc trưng Thách thức phát hiện chính
DoS Tập hợp mẫu (Collection) Tạo lượng kết nối ồ ạt làm tê liệt tài nguyên máy chủ Dễ nhầm lẫn với lưu lượng truy cập tăng đột biến hợp lệ
Probe Ngữ cảnh (Context) Quét cổng, thăm dò dịch vụ để thu thập sơ đồ mạng Lưu lượng thấp, gói tin có cấu trúc chuẩn như truy vấn bình thường
R2L Từng điểm lẻ (Point) Khai thác lỗ hổng xác thực từ xa để thâm nhập hệ thống Vector đặc trưng phân bố cực gần lưu lượng đăng nhập hợp lệ
U2R Từng điểm lẻ (Point) Đăng nhập tài khoản thường rồi khai thác lỗi tràn bộ đệm để chiếm Root Số lượng gói tin cực ít, ẩn sâu trong phiên làm việc nội bộ

Các thuật toán được cài đặt và thực thi trên nền tảng ngôn ngữ Python, sử dụng các thư viện tính toán khoa học chuyên sâu PyTorch, TensorFlow, Scikit-learn. Kiểm định độ bền vững (Robustness check) được thực hiện bằng cách so sánh đối chứng chéo giữa các kiến trúc DAE, SAE, KSAE, DSAE và các mô hình tổng hợp trên nhiều tập tham số độ rộng hàm nhân ($h$), siêu tham số phạt ($\alpha, \beta$), và các ngưỡng biến thiên.

Phát hiện đột phá và implications

Những phát hiện then chốt

  1. DSAE giải quyết triệt để sự sụp đổ biểu diễn ở nhóm tấn công $R2L$ và $U2R$: Trong khi mô hình SAE chuẩn của Cao và cộng sự (2020) bị suy giảm khả năng phân biệt do vector ẩn của các tấn công $R2L$ bị hút về gần gốc tọa độ cùng dữ liệu bình thường, DSAE đã tạo ra một lực đẩy hình học rõ rệt. Kết quả thực nghiệm trên tập NSL-KDD chứng minh chỉ số $AUC$ của DSAE trên nhóm tấn công $R2L$ tăng vọt, đồng thời tỷ lệ phát hiện ($DR$) vượt trội so với SAE trong khi tỷ lệ báo động giả ($FAR$) giảm rõ rệt. Trực quan hóa không gian ẩn $2D/3D$ xác nhận các điểm tấn công $R2L$ và $U2R$ bị đẩy hoàn toàn ra ngoài vùng siêu cầu chuẩn.

  2. KSAE tối ưu hóa phân loại trên dữ liệu phân bố đa cụm: Trên các tập dữ liệu có cấu trúc cụm phức tạp (như CTU-13 và UNSW-NB15), việc kết hợp phương pháp xác định cụm Elbow với mạng AutoEncoder co từng phần (KSAE) giúp cải thiện giá trị $AUC$ trung bình từ 3.2% đến 6.8% so với mô hình SAE đơn cụm nguyên bản.

  3. Khung OFuseAD vượt trội hơn tất cả các phương pháp thành phần trên 90% thực nghiệm: Trên 10 tập dữ liệu kiểm thử, OFuseAD đạt kết quả $AUC$, $F_1$-score và $ACC$ cao nhất trên 9/10 tập dữ liệu khi so sánh trực tiếp với các phương pháp OCC đơn lẻ cấu thành (gồm DSAE, LOF, KDE). Tính ổn định của hệ thống được nâng cao rõ rệt, triệt tiêu độ biến thiên thất thường vốn có của từng thuật toán đơn lẻ khi thay đổi tập dữ liệu.

                    SO SÁNH HIỆU NĂNG PHÁT HIỆN TRÊN CÁC TẬP DỮ LIỆU
    AUC (%)
               KDD99  NSL-KDD UNSW-NB15  CTU13_08  CTU13_09 ISCX2012

  1. Tự động hóa hoàn toàn việc xác lập ngưỡng quyết định (DTh): OFuseAD giải quyết bài toán hóc búa nhất của bài toán OCC trong thực tế: chuyển đổi thành công đầu ra từ dạng điểm số bất thường (Anomaly Score - AS) sang nhãn nhị phân (Binary Label - BL) với độ chính xác cao mà không cần chuyên gia cấu hình ngưỡng thủ công hay đưa dữ liệu tấn công vào tập huấn luyện.

  2. Độ trễ truy vấn (Query Latency) đạt chuẩn thời gian thực: Phân tích thời gian tính toán cho thấy cấu trúc co không gian ẩn của DSAE và cơ chế suy luận ma trận của OFuseAD duy trì thời gian đáp ứng ở mức mili-giây, hoàn toàn tương thích với yêu cầu xử lý luồng gói tin tốc độ cao trên đường truyền mạng thực tế.

Phương pháp NAD Bản chất giải thuật Xử lý đa cụm Độ chính xác trên $R2L/U2R$ Cơ chế tạo ngưỡng DTh Độ ổn định đa môi trường (9/10 Datasets)
LOF (Breunig, 2000) $k$-láng giềng khoảng cách Trung bình Kém Cần chuyên gia Thấp (chỉ mạnh trên dữ liệu cục bộ)
KDE (Wand, 1995) Hàm mật độ xác suất Gauss Kém Kém Cần chuyên gia Thấp (phụ thuộc băng thông $h$)
SAE (Cao et al., 2020) AutoEncoder co đơn cụm Kém (ép về 1 tâm) Kém (sụp đổ biểu diễn) Cần chuyên gia Trung bình
KSAE (Luận án đề xuất) AutoEncoder co đa cụm Rất tốt (Elbow $K^*$) Trung bình Cần chuyên gia Tốt
DSAE (Luận án đề xuất) Co kép + Lề an toàn Margin Tốt Xuất sắc (đẩy vector ẩn) Cần chuyên gia Rất tốt
OFuseAD (Luận án đề xuất) Tổng hợp D-S cải tiến + OCC Xuất sắc Xuất sắc Tự động hóa ($N, A, N \cup A$) Xuất sắc (đạt Top 1 trên 9/10 datasets)

Implications đa chiều

  • Về mặt lý thuyết: Chứng minh rằng sự kết hợp giữa học biểu diễn phi tuyến tính và lý thuyết bằng chứng D-S mở ra một mô thức mới trong việc xử lý bài toán học không cân bằng nghiêm trọng (extreme class imbalance) và học một lớp (One-class learning).
  • Về mặt phương pháp luận: Cung cấp quy trình hoàn chỉnh từ tự động xác định cụm, tối ưu hàm mất mát lề ẩn, đến gán trọng số niềm tin thích ứng, có thể tổng quát hóa cho các bài toán phát hiện gian lận tài chính, chẩn đoán y khoa hoặc phát hiện lỗi công nghiệp.
  • Về mặt thực tiễn và chính sách: Cho phép các Trung tâm Giám sát Điều hành An ninh mạng (SOC) nâng cấp kiến trúc NIDS 2 lớp, cắt giảm trên 80% thời gian chuyên gia phải can thiệp tinh chỉnh ngưỡng cảnh báo, tăng tốc độ phát hiện tấn công LotL và mã độc ẩn danh.

Limitations và Future Research

Nghiên cứu thẳng thắn thừa nhận các giới hạn khoa học mang tính điều kiện biên:

  1. Giả định dữ liệu huấn luyện tinh khiết: Mô hình giả định tập huấn luyện hoàn toàn là dữ liệu bình thường. Trong trường hợp dữ liệu huấn luyện bị nhiễm độc (Data poisoning) chứa sẵn mã độc ẩn lẩn khuất, không gian ẩn của DSAE có thể bị lệch hướng biểu diễn.
  2. Chi phí tính toán trong pha huấn luyện sâu: Quá trình tối ưu hóa đồng thời nhiều kiến trúc AutoEncoder và phân cụm Elbow đòi hỏi tài nguyên GPU đáng kể trong pha offline, dù pha suy luận online rất nhanh.
  3. Hiện tượng trôi dạt khái niệm (Concept Drift): Lưu lượng mạng thực tế biến đổi liên tục theo thời gian; nghiên cứu chưa tích hợp cơ chế tự học thích ứng liên tục (Continuous Online Learning) khi hành vi người dùng bình thường thay đổi đột ngột.

Chương trình nghiên cứu tương lai (Future Agenda):

  • Phát triển cơ chế tự làm sạch dữ liệu huấn luyện (Robust Data Cleansing) để khử nhiễu độc hại trước khi đưa vào KSAE/DSAE.
  • Tích hợp mạng học tăng cường (Deep Reinforcement Learning) để tự động cập nhật trọng số niềm tin $w_k$ theo thời gian thực đối với các luồng dữ liệu trôi dạt (streaming concept drift).
  • Mở rộng kiến trúc tổng hợp OFuseAD với các mô hình học sâu chuỗi thời gian như Transformer hoặc Spatio-Temporal Graph Neural Networks để phát hiện các cuộc tấn công đa bước phân tán diện rộng.

Tác động và ảnh hưởng

  • Ảnh hưởng học thuật: Luận án mở ra hướng nghiên cứu kết hợp giữa mạng nơ-ron sâu và lý thuyết dung hợp bằng chứng (Evidential Deep Learning), dự kiến tạo ra các trích dẫn khoa học quan trọng trong các diễn đàn an ninh thông tin và trí tuệ nhân tạo.
  • Chuyển đổi công nghiệp: Các thuật toán KSAE, DSAE và khung OFuseAD có khả năng tích hợp trực tiếp vào các thiết bị bảo mật phần cứng chuyên dụng, hệ thống NIDS mã nguồn mở (như Snort, Suricata, Zeek), và các giải pháp bảo mật đám mây/IoT viễn thông.
  • Lợi ích an ninh quốc gia: Cung cấp công cụ phòng thủ chủ động cho các cơ sở hạ tầng thông tin trọng yếu quốc gia, nâng cao năng lực tự chủ công nghệ phòng chống chiến tranh mạng và gián điệp mạng có tổ chức (APT).

Đối tượng hưởng lợi

  • Nghiên cứu sinh & Nhà khoa học: Tiếp cận mô hình toán học chi tiết về hàm mất mát co kép DSAE và công thức BPA cải tiến cho bài toán OCC.
  • Kỹ sư R&D An toàn thông tin: Khai thác mã nguồn, quy trình tiền xử lý và kiến trúc tổng hợp OFuseAD để tích hợp vào các sản phẩm tường lửa thế hệ mới (NGFW) và hệ thống phát hiện/ngăn chặn xâm nhập mạng (NIDS/NIPS).
  • Chuyên gia phân tích SOC: Giảm thiểu áp lực xử lý báo động giả, giải phóng thời gian khỏi việc cấu hình ngưỡng quyết định thủ công.
  • Nhà quản lý chính sách An ninh mạng: Có thêm cơ sở khoa học để xây dựng tiêu chuẩn kỹ thuật kiểm định các hệ thống an ninh mạng thông minh ứng dụng AI.

Câu hỏi chuyên sâu

1. Đóng góp lý thuyết độc đáo nhất của luận án là gì và đã mở rộng lý thuyết nào?

Đóng góp độc đáo nhất là việc mở rộng Lý thuyết bằng chứng Dempster-Shafer (D-S Theory) cho bài toán Phân đơn lớp (OCC) và bổ sung Cơ chế điều chuẩn Co kép (Double-Shrink Regularization) vào lý thuyết học biểu diễn AutoEncoder. Luận án đã phá vỡ rào cản phụ thuộc vào chuyên gia bằng cách xây dựng hàm BPA 3 trạng thái ($N, A, N \cup A$) và tự sinh trọng số tin cậy động $w_k$ hoàn toàn từ sai số nội tại của dữ liệu bình thường, giải quyết dứt điểm nghịch lý thiếu nhãn tấn công trong học bán giám sát.

2. Sự đổi mới về phương pháp luận khi so sánh với ít nhất hai nghiên cứu quốc tế trước đó?

  • So với mô hình SAE của Cao và cộng sự (2020): Luận án khắc phục hiện tượng "sụp đổ không gian ẩn" bằng cách đưa vào khoảng cách lề an toàn $\gamma$ trong DSAE và cơ chế đa cụm KSAE, nâng cao rõ rệt khả năng phân tách nhóm tấn công tương đồng cao ($R2L/U2R$).
  • So với kiến trúc lai DBN-OCSVM của Erfani và cộng sự (2016): Luận án không dừng lại ở việc trích xuất đặc trưng nối tiếp đơn tuyến, mà thiết lập khung tổng hợp quyết định đa luồng (OFuseAD) kết hợp đồng thời cả học sâu lẫn học máy truyền thống, đạt độ ổn định vượt bậc trên 90% tập dữ liệu thực nghiệm.

3. Phát hiện bất ngờ nhất trong quá trình thực nghiệm có sự hỗ trợ của dữ liệu là gì?

Phát hiện bất ngờ nhất là sự tương phản hình học trong không gian ẩn của SAE và DSAE trên nhóm tấn công $R2L$. Dù $R2L$ là dạng tấn công tinh vi có các thuộc tính gói tin gần như đồng nhất với lưu lượng bình thường (khiến SAE bị đánh lừa và ánh xạ sát tâm tọa độ), hàm mất mát co kép của DSAE đã chủ động tạo ra lực phân tách đẩy toàn bộ các vector ẩn $R2L$ ra rìa không gian, giúp chỉ số $AUC$ tăng đột biến và tỷ lệ phát hiện $DR$ đạt mức vượt trội mà không làm tăng $FAR$.

    SAE (Cao et al., 2020)                   DSAE (Luận án đề xuất)
    
    • Dữ liệu bình thường (Normal)              Biên lề an toàn cách ly hoàn toàn

4. Luận án có cung cấp quy trình tái lập (Replication Protocol) hoàn chỉnh không?

Quy trình tái lập được mô tả với độ chi tiết cao: Chi tiết hóa toàn bộ các bước tiền xử lý (One-hot, $Z$-score), công thức xác định cụm Elbow, cấu trúc mạng nơ-ron (số tầng ẩn, kích thước bottleneck, hàm kích hoạt), công thức toán học tường minh của hàm mất mát $\mathcal{L}_{\text{DSAE}}$, thuật toán gán BPA và hợp nhất DRC trên 10 bộ dữ liệu công khai tiêu chuẩn (NSL-KDD, CTU-13, UNSW-NB15, v.v.).

5. Lộ trình nghiên cứu 10 năm tiếp theo được định hình như thế nào?

Lộ trình 10 năm tập trung vào 3 giai đoạn:

  • Giai đoạn 1 (1-3 năm): Tự động hóa kháng nhiễm độc dữ liệu huấn luyện (Adversarial Robustness) và triển khai thử nghiệm trên mạng IoT/5G thực tế.
  • Giai đoạn 2 (4-6 năm): Tích hợp học sâu đồ thị thời không (Spatio-Temporal GNNs) và suy luận nhân quả (Causal Inference) vào khung OFuseAD để giải thích nguồn gốc cuộc tấn công.
  • Giai đoạn 3 (7-10 năm): Xây dựng hệ sinh thái phòng thủ mạng tự hành (Autonomous Self-healing Cyber Defense Ecosystem) dựa trên học liên kết phân tán (Federated Evidential Learning).

Kết luận

Luận án tiến sĩ của tác giả Bùi Công Thành đã hoàn thành xuất sắc các mục tiêu nghiên cứu thông qua 5 đóng góp đột phá cốt lõi:

  1. Thiết lập mô hình KSAE: Kết hợp thành công kỹ thuật phân cụm Elbow tối ưu với AutoEncoder co cụm, giải quyết triệt để bài toán phân bố đa cụm của lưu lượng mạng bình thường.
  2. Sáng tạo kiến trúc DSAE: Bổ sung cơ chế điều chuẩn co kép và khoảng cách lề an toàn, khắc phục hoàn toàn điểm mù phân lớp đối với các cuộc tấn công tinh vi $R2L$ và $U2R$.
  3. Xây dựng khung mô hình tổng hợp OFuseAD: Cải tiến lý thuyết Dempster-Shafer cho bài toán phân đơn lớp, tích hợp thành công sức mạnh của các bộ phân lớp học sâu và truyền thống.
  4. Tự động hóa hoàn toàn ngưỡng quyết định (DTh): Đưa ra giải pháp phân vùng 3 trạng thái và tính toán trọng số tin cậy nội bộ, giúp hệ thống xuất trực tiếp nhãn nhị phân mà không cần can thiệp thủ công.
  5. Chứng thực thực nghiệm quy mô lớn: Khẳng định tính vượt trội, khả năng ứng dụng thực tế và độ ổn định cao trên 10 bộ dữ liệu chuẩn quốc tế (vượt trội trên 9/10 tập dữ liệu).

Nghiên cứu đánh dấu bước tiến chuyển dịch mô thức từ các bộ dò tìm đơn lẻ thụ động sang hệ thống suy luận bằng chứng đa tầng chủ động, mở ra các hướng phát triển quan trọng trong lĩnh vực an ninh mạng và học máy bán giám sát trên phạm vi toàn cầu.