Khóa luận tốt nghiệp an toàn thông tin phương pháp dựa trên học sâu để phát hiện và giảm thiểu các hành vi bất thường trong các hệ thống api gateway cloudnative

Khóa luận tốt nghiệp nghiên cứu phương pháp học sâu nhằm phát hiện và giảm thiểu hành vi bất thường trong hệ thống API Gateway Cloud-Native.

• Tác giả: Nguyễn Hữu Minh Sang
• Người hướng dẫn: TS. Nguyễn Ngọc Tự
• Trường học: Đại học Quốc gia TP. Hồ Chí Minh
• Chuyên ngành: An toàn thông tin
• Đề tài: Phương Pháp Học Sâu Phát Hiện & Giảm Thiểu Hành Vi Bất Thường Trong API Gateway Cloud-Native
• Loại tài liệu: khoa luận tốt nghiệp
• Năm xuất bản: 2024
• Địa điểm: TP. Hồ Chí Minh

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. CHƯƠNG 1: TONG QUAN DE TẢI
• 1.1. Tổng quan nội dung đề tài
• 1.2. Cac công trình nghiên cứu liên quan
• 1.3. Mục tiêu, đối tượng và phạm Vi nghiên CỨU
• 1.3.1. Mục tiêu nghiÊn CỨU
• 1.3.2. Đối tượng nghiên cứu
• 1.3.3. Pham vi nghiÊn CỨU
• 2. CHƯƠNG 2
• 2.1. Môi trường Cloud NatIVe
• 2.2. Vấn đề an toàn thông tin
• 2.3. Các API bất thường. Ảnh hưởng đến client
• 2.4. Ảnh hưởng đến server, application
• 2.5. Ảnh hưởng đến dữ liệu
• 2.6. API Gateway
• 2.7. Machine learning model. Text based classify Model. ALBERT BASE Model
• 3. CHƯƠNG 3: GIẢI PHÁP THỰC HIỆN
• 3.1. Giải pháp hiện tại
• 3.2. Giải pháp API Gateway
• 3.3. Các Giải pháp API Gateway Phổ biến. Ứng dụng Machine learning. Ứng dụng thực tế. Đề xuất mô hình hệ thống API Gateway và machine learning. Giải pháp đề xuất. Mô hình deeplearingg
• 3.4. Mô hình học máy. Mô hình machine learning đề xuất. Mô hình retraining model. Data processing
• 3.5. Xác định thành phần data
• 4. CHƯƠNG 4
• 4.1. Kịch bản triển khai ứng dụng
• 4.2. Công nghệ sử dụng. Môi trường giả lập Cloud Native. Deploy application
• 4.3. Chi tiết ứng dụng
• 4.4. Kịch bản thực hiện đánh giá training model. Công nghệ sử dụng
• 4.5. Quá trình tokenizer. Thực hiện training model
• 5. CHƯƠNG 5: KẾT QUẢ ĐÁNH GIÁ
• 6. CHƯƠNG 6: CÔNG VIỆC TƯƠNG LAI
• DANH MỤC HÌNH
• DANH MỤC BẢNG
• DANH MỤC TỪ VIẾT TẮT
• TÓM TẮT KHÓA LUẬN

Tóm tắt

I. Phương pháp học sâu

Phương pháp học sâu đã trở thành một công cụ mạnh mẽ trong việc giải quyết các thách thức bảo mật trong môi trường Cloud-Native. Với khả năng tự động học hỏi từ dữ liệu, các mô hình học sâu như BERT, CNN, GRU, và LSTM được sử dụng để phân tích các yêu cầu API và phát hiện các hành vi bất thường. Các mô hình này không chỉ giúp nhận diện các mẫu tấn công phức tạp mà còn liên tục cải thiện khả năng thích ứng với các mối đe dọa mới. Việc áp dụng học sâu trong bảo mật API Gateway mang lại hiệu quả cao hơn so với các phương pháp truyền thống, đặc biệt trong việc phát hiện các cuộc tấn công SQL Injection và XSS.

1.1. Mô hình BERT

Mô hình BERT (Bidirectional Encoder Representations from Transformers) được điều chỉnh và tối ưu hóa để phân tích dữ liệu log từ API Gateway. BERT có khả năng hiểu ngữ nghĩa và cú pháp của các yêu cầu HTTPS, giúp phát hiện các hành vi bất thường như tấn công tiêm nhiễm và giả mạo yêu cầu. Việc huấn luyện BERT trên các tập dữ liệu lớn và đa dạng giúp mô hình này trở nên chính xác và đáng tin cậy trong việc nhận diện các mối đe dọa.

1.2. Tích hợp CNN GRU và LSTM

Các mô hình CNN, GRU, và LSTM được tích hợp vào hệ thống để tăng cường khả năng học hỏi và nhận diện các mẫu hành vi bất thường. CNN giúp phân tích các đặc trưng không gian, trong khi GRU và LSTM phù hợp để xử lý dữ liệu chuỗi thời gian. Sự kết hợp này giúp hệ thống phát hiện các cuộc tấn công phức tạp và đa dạng hơn.

II. Phát hiện hành vi bất thường

Phát hiện hành vi bất thường là một trong những ứng dụng chính của học sâu trong bảo mật API Gateway. Các mô hình học sâu được sử dụng để phân tích lưu lượng truy cập, yêu cầu API và các thông tin khác để xác định các dấu hiệu bất thường. Các phương pháp truyền thống dựa trên quy tắc và chữ ký thường không hiệu quả trong việc phát hiện các cuộc tấn công mới và tinh vi. Trong khi đó, các mô hình học sâu có khả năng tự động học hỏi và thích ứng với các mối đe dọa mới, giúp hệ thống luôn được cập nhật và duy trì hiệu suất cao.

2.1. Phát hiện tấn công SQL Injection

Các mô hình học sâu như BERT và RNN được sử dụng để phát hiện các cuộc tấn công SQL Injection. Bằng cách phân tích nội dung của các yêu cầu HTTPS, các mô hình này có thể nhận diện các câu lệnh SQL độc hại và ngăn chặn chúng trước khi chúng gây hại cho hệ thống.

2.2. Phát hiện tấn công XSS

Tấn công XSS (Cross-Site Scripting) là một trong những mối đe dọa phổ biến đối với API Gateway. Các mô hình học sâu được huấn luyện để phân tích các yêu cầu HTTP và phát hiện các đoạn mã độc hại được chèn vào. Việc sử dụng các thư viện an toàn và các biện pháp bảo vệ chống XSS cũng được tích hợp vào hệ thống để tăng cường bảo mật.

III. Giảm thiểu hành vi bất thường

Giảm thiểu hành vi bất thường là mục tiêu chính của hệ thống bảo mật API Gateway dựa trên học sâu. Các mô hình học sâu không chỉ phát hiện các mối đe dọa mà còn đưa ra các biện pháp ngăn chặn hiệu quả. Việc tích hợp các giải pháp như Web Application Firewall (WAF), Access Controls List (ACL), và Endpoint Detection and Response (EDR) giúp hệ thống giảm thiểu tác động của các cuộc tấn công. Ngoài ra, khả năng tự động học hỏi từ dữ liệu mới giúp hệ thống luôn được cập nhật và duy trì hiệu suất cao.

3.1. Tích hợp WAF và ACL

Web Application Firewall (WAF) và Access Controls List (ACL) được tích hợp vào hệ thống để ngăn chặn các cuộc tấn công vào API Gateway. WAF giúp lọc các yêu cầu độc hại, trong khi ACL kiểm soát quyền truy cập vào các tài nguyên hệ thống. Sự kết hợp này giúp giảm thiểu các mối đe dọa từ bên ngoài.

3.2. Sử dụng EDR

Endpoint Detection and Response (EDR) được sử dụng để giám sát và phản ứng nhanh chóng với các mối đe dọa. EDR giúp phát hiện và ngăn chặn các cuộc tấn công từ chối dịch vụ (DoS/DDoS) và các hành vi bất thường khác. Việc triển khai EDR trên môi trường Cloud-Native mang lại hiệu quả cao trong việc bảo vệ hệ thống.

IV. API Gateway và Cloud Native

API Gateway đóng vai trò trung tâm trong việc quản lý và bảo vệ các dịch vụ microservices trong môi trường Cloud-Native. Với tính linh hoạt và khả năng mở rộng, API Gateway giúp đơn giản hóa việc quản lý các yêu cầu từ client và cung cấp một lớp bảo mật bổ sung. Tuy nhiên, môi trường Cloud-Native cũng đặt ra nhiều thách thức về bảo mật, đặc biệt là việc quản lý số lượng lớn các điểm cuối (endpoints). Các phương pháp bảo mật truyền thống không còn đủ hiệu quả trong việc đối phó với các cuộc tấn công tinh vi và liên tục biến đổi.

4.1. Vấn đề bảo mật trong Cloud Native

Môi trường Cloud-Native với tính linh hoạt và khả năng mở rộng đặt ra nhiều thách thức về bảo mật. Số lượng lớn các microservices và endpoints làm tăng nguy cơ bị tấn công. Các phương pháp bảo mật truyền thống như tường lửa và quy tắc có định không còn đủ hiệu quả trong việc đối phó với các cuộc tấn công zero-day và chuỗi cung ứng.

4.2. Giải pháp bảo mật API Gateway

Các giải pháp bảo mật API Gateway dựa trên học sâu được đề xuất để giải quyết các thách thức trong môi trường Cloud-Native. Việc sử dụng các mô hình học sâu như BERT, CNN, và LSTM giúp tăng cường khả năng phát hiện và ngăn chặn các mối đe dọa. Các giải pháp này cũng đảm bảo tính linh hoạt và khả năng mở rộng, phù hợp với đặc tính của môi trường Cloud-Native.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Sự chuyển dịch hạ tầng công nghệ thông tin sang mô hình điện toán đám mây (Cloud Computing) và đặc biệt là kiến trúc Cloud-Native đã trở thành xu hướng tất yếu của các tổ chức, doanh nghiệp. Kiến trúc này phát huy ưu thế thông qua các khối dịch vụ vi mô (microservices), công nghệ đóng gói container và tự động hóa vận hành. Trong cấu trúc phân tán đó, API Gateway đóng vai trò trung gian then chốt, là điểm tiếp nhận và điều phối duy nhất cho toàn bộ các yêu cầu từ phía máy khách (client) đến hệ thống dịch vụ xử lý nội bộ (backend).

Tuy nhiên, việc tập trung lưu lượng tại API Gateway biến thành phần này thành bề mặt tấn công trọng yếu. Báo cáo của Gartner (2022–2023) ghi nhận tỷ lệ tổ chức có ít nhất một giao diện lập trình ứng dụng công khai (Public API) tăng từ 90% lên 94%. Báo cáo "2024 State of API Security" của Salt Security chỉ ra rằng số lượng API tăng 167% trong một năm, kéo theo sự gia tăng nghiêm trọng của các lỗ hổng bảo mật: số vụ tấn công API tăng 681%, trong đó tấn công SQL Injection (SQLi) tăng 363,30% giai đoạn 2020–2023, và 95% tổ chức khảo sát từng ghi nhận sự cố an ninh liên quan đến API. Đồng thời, nghiên cứu của Forrester (2023) cho thấy 69% tổ chức gặp trở ngại khi nhận diện và ngăn chặn các cuộc tấn công nhắm vào API, trong khi thống kê từ Ponemon Institute cho biết thời gian trung bình để vá một lỗ hổng an ninh kéo dài tới 201 ngày.

Các giải pháp bảo vệ truyền thống như tường lửa ứng dụng web (WAF), danh sách kiểm soát truy cập (ACL), hệ thống phát hiện và phản ứng điểm cuối (EDR) chủ yếu dựa trên các tập quy tắc cố định (Rule-based) hoặc nhận dạng mẫu chữ ký đã biết (Signature-based). Những phương thức này bộc lộ hạn chế rõ rệt trước các cuộc tấn công tinh vi, tấn công ngày không (Zero-day), tấn công lạm dụng logic nghiệp vụ và các biến thể mã độc liên tục thay đổi trên giao thức HTTPS ở tầng ứng dụng (Application Layer). Từ thực tiễn đó, khóa luận đặt ra nhiệm vụ ứng dụng các kỹ thuật học sâu (Deep Learning) và xử lý ngôn ngữ tự nhiên (NLP) nhằm phân tích ngữ nghĩa, cấu trúc của các yêu cầu HTTPS để phát hiện và ngăn chặn hành vi bất thường theo thời gian thực.

Mục tiêu nghiên cứu được xác định cụ thể gồm 3 nhiệm vụ:

1. Xây dựng và huấn luyện mô hình ngôn ngữ BERT: Thu thập và tiền xử lý tập dữ liệu log yêu cầu HTTPS (gồm lưu lượng bình thường và lưu lượng chứa mã độc/bất thường) để huấn luyện mô hình phân loại với độ chính xác cao.
2. Tích hợp mô hình học sâu vào hệ thống API Gateway: Thiết lập cơ chế kiểm tra lưu lượng HTTPS trực tiếp tại cổng kết nối trung gian trong môi trường Cloud-Native theo thời gian thực.
3. Đánh giá hiệu quả vận hành: Thử nghiệm mô hình trên các tập dữ liệu thực nghiệm, đo lường các chỉ số phân lớp và so sánh hiệu năng giữa mô hình đề xuất với các cấu trúc học máy truyền thống.

Đối tượng và phạm vi nghiên cứu:

• Đối tượng nghiên cứu: Kiến trúc Cloud-Native; công nghệ API Gateway; an toàn thông tin trên API Gateway; các mô hình học máy và học sâu (BERT, ALBERT, LSTM, GRU, CNN, TCN).
• Phạm vi nghiên cứu: Phân tích dữ liệu yêu cầu HTTPS tại tầng ứng dụng; tập trung phát hiện các dạng tấn công web và mã độc phổ biến (XSS, SQLi, RCE, Log4Shell, Log Forging, Cookie Injection); triển khai thử nghiệm trên môi trường giả lập Cloud-Native tại máy trạm cục bộ (localhost) năm 2024.

---

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng trên nền tảng lý thuyết về hạ tầng Cloud-Native, kiến trúc phân tán microservices và các kỹ thuật xử lý ngôn ngữ tự nhiên ứng dụng vào an toàn mạng.

Thành phần lý thuyết	Nội dung và đặc điểm kỹ thuật
Kiến trúc Cloud-Native	Bao gồm Microservices (chia nhỏ ứng dụng thành các dịch vụ độc lập), Containers (đóng gói bằng Docker), Điều phối (Kubernetes tự động hóa mở rộng và phục hồi), Hạ tầng dạng mã nguồn (IaC), Phân phối liên tục (CD) và phương pháp luận DevOps.
Bề mặt tấn công API Gateway	Phân tích rủi ro trên các chức năng cốt lõi: Định tuyến (Routing), Xác thực & Phân quyền (Authentication & Authorization), Chuyển đổi giao thức, Giám sát & Ghi log (Monitoring & Logging), Cân bằng tải (Load Balancing), Bộ nhớ đệm (Caching) và Quản lý API.
Mô hình ngôn ngữ BERT	Mô hình Transformer hai chiều (google-bert/bert-base-uncased) gồm 12 lớp (layers), 12 đầu chú ý (attention heads), kích thước ẩn 768, tổng cộng 110 triệu tham số; sử dụng tác vụ tiền huấn luyện MLM (Masked Language Modeling) và NSP (Next Sentence Prediction).
Mô hình rút gọn ALBERT	Biến thể tối ưu hóa (ALBERT Base) gồm 12 lớp, 12 đầu chú ý, kích thước ẩn 768, kích thước nhúng rút gọn còn 128, tổng cộng ~12 triệu tham số; áp dụng cơ chế chia sẻ tham số qua các lớp (cross-layer parameter sharing) và tác vụ SOP (Sentence Order Prediction).

Phương pháp nghiên cứu được triển khai thông qua quy trình thực nghiệm kỹ thuật:

• Tiền xử lý và mã hóa văn bản (Tokenization): Dữ liệu log HTTPS request được làm sạch, trích xuất các trường thông tin (headers, parameters, payload, URI) và chuyển đổi thành biểu diễn vector số học thông qua bộ tokenizer chuyên biệt trước khi đưa vào các lớp Transformer Encoder.
• Huấn luyện và tinh chỉnh mô hình (Fine-tuning & Retraining): Huấn luyện mô hình cơ sở và mô hình tùy biến (Custom Model kết hợp mạng nơ-ron hồi quy như LSTM/GRU hoặc tích chập thời gian TCN) trên tập dữ liệu đã gán nhãn các loại tấn công.
• Đo lường và đánh giá định lượng: Sử dụng hệ số ma trận nhầm lẫn (Confusion Matrix), độ chính xác (Accuracy), độ chuẩn xác (Precision), độ bao phủ (Recall), điểm F1-Score và diện tích dưới đường cong ROC (ROC-AUC) trên tập dữ liệu kiểm định (Validation Set).

Nguồn dữ liệu nghiên cứu là tập dữ liệu lưu lượng mạng và yêu cầu HTTPS chứa các nhãn hành vi thông thường cùng các kịch bản tấn công thực tế.

---

Phân tích các dạng hành vi bất thường và bề mặt tấn công

Tác giả hệ thống hóa các dạng hành vi bất thường nhắm vào API Gateway thành ba nhóm mục tiêu chính: tác động đến máy khách, tác động đến máy chủ/ứng dụng và tác động đến cơ sở dữ liệu.

Nhóm mục tiêu	Loại tấn công	Cơ chế và dấu hiệu đặc trưng	Ảnh hưởng đến hệ thống Cloud
Ảnh hưởng đến Client	Cross-Site Scripting (XSS)	Chèn mã JavaScript độc hại qua URL/Form (Reflected, Stored, DOM-based); xuất hiện mã script lạ, chuyển hướng trang bất thường.	Đánh cắp phiên làm việc (cookie/token), giả mạo nội dung giao diện, phát tán mã độc giữa người dùng.
Ảnh hưởng đến Server/App	Remote Code Execution (RCE)	Khai thác lỗi tràn bộ đệm, lỗi cấu hình hoặc giải mã dữ liệu để thực thi lệnh từ xa; phát sinh tiến trình lạ trên hệ điều hành.	Chiếm toàn quyền điều khiển máy chủ ứng dụng, làm gián đoạn dịch vụ, tấn công leo thang đặc quyền.
	Log4Shell (CVE-2021-44228)	Khai thác lỗ hổng trong thư viện Log4j qua các chuỗi tra cứu JNDI độc hại như ${jndi:ldap://} hoặc ${jndi:rmi://}.	Thực thi mã từ xa trên môi trường Java, rò rỉ biến môi trường và bí mật cấu hình đám mây.
	Log Forging (Log Injection)	Chèn ký tự điều khiển xuống dòng, ký tự đặc biệt hoặc bản ghi giả mạo vào tệp nhật ký ứng dụng.	Che giấu dấu vết xâm nhập, gây nhiễu loạn công cụ giám sát tập trung, đánh lừa quản trị viên.
Ảnh hưởng đến Dữ liệu	SQL Injection (SQLi)	Chèn cú pháp SQL độc hại (như ' OR 1=1, UNION, DROP) vào tham số đầu vào của yêu cầu HTTP API.	Rò rỉ toàn bộ cơ sở dữ liệu backend, thay đổi hoặc xóa bỏ cấu trúc bảng, từ chối dịch vụ cơ sở dữ liệu.
	Cookie Injection	Thao túng cookie thông qua Cookie Poisoning, chiếm quyền phiên (Session Hijacking) hoặc đính kèm mã độc vào header cookie.	Mạo danh người dùng hợp lệ, truy cập trái phép tài nguyên phân quyền cao, can thiệp cấu hình phiên.

---

Thiết kế và triển khai hệ thống

Kiến trúc giải pháp bảo vệ API Gateway được phân tách thành các module xử lý tuần tự nhằm đảm bảo khả năng kiểm soát lưu lượng và duy trì hiệu năng:

[ Client Request ]
                   [ Backend Microservices ]

1. Module Tiền đăng nhập (Pre-login Module): Đóng vai trò lớp phòng vệ ban đầu, thực hiện xác thực định dạng dữ liệu đầu vào, đối chiếu danh sách đen/trắng địa chỉ IP (ACL), kiểm tra dấu hiệu mật khẩu yếu và áp dụng kỹ thuật giới hạn tần suất yêu cầu (Rate Limiting) để ngăn chặn các đợt tấn công vét cạn (Brute-force) hoặc từ chối dịch vụ (DoS/DDoS).
2. Module Phát hiện dựa trên Học sâu (Machine Learning / Deep Learning Module): Lưu lượng sau khi qua bộ lọc sơ bộ sẽ được trích xuất nội dung (URI, query parameters, headers, payload body). Bộ mã hóa Tokenizer xử lý chuỗi ký tự thành các token phù hợp với độ dài phân phối của tập dữ liệu, sau đó truyền qua mô hình Transformer (BERT/ALBERT) kết hợp mạng nơ-ron học sâu để xác định tính bất thường.
3. Module Đăng nhập và Quản lý phiên (Login Module): Chịu trách nhiệm đối chiếu thông tin xác thực (Authentication), áp dụng kiểm soát truy cập dựa trên vai trò (RBAC) hoặc thuộc tính (ABAC), đồng thời cấp phát và mã hóa token phiên làm việc an toàn trên kênh truyền HTTPS.
4. Module Proxy (Nginx Reverse Proxy): Đảm nhiệm định tuyến lưu lượng hợp lệ đến các cụm microservices phía sau, hỗ trợ cân bằng tải, bộ nhớ đệm (Caching), nén dữ liệu và chuyển đổi giao thức truyền thông.

---

Nội dung chính theo từng chương

Chương 1. Tổng quan đề tài

Trình bày tổng quan về sự phát triển của điện toán đám mây và kiến trúc Cloud-Native trong việc hỗ trợ doanh nghiệp tối ưu hóa hạ tầng. Làm rõ vai trò trung tâm của API Gateway cũng như những thách thức an ninh mạng nảy sinh khi bề mặt tấn công mở rộng trên giao thức HTTPS. Phân tích các số liệu thực trạng từ Salt Security, Gartner, Ponemon Institute. Khảo sát các công trình nghiên cứu tiêu biểu:

• Nghiên cứu của nhóm tác giả Việt Nam áp dụng các thuật toán SVM, Decision Tree, Random Forest trên web log đạt độ chính xác phát hiện 99,68%.
• Nghiên cứu từ Nigeria xây dựng tập dữ liệu UMaT-OD-20 và mô hình học máy kết hợp Multi-layer Stack Ensemble (MLS) sử dụng 5 thuật toán có giám sát (KNN, DT, LR, RF, NB).
• Nghiên cứu về lỗ hổng API trên nền tảng Cloud đề xuất thuật toán AD3 nhằm phát hiện các đợt tấn công làm cạn kiệt tài nguyên API (API exhaustion attack). Xác định mục tiêu, đối tượng và phạm vi nghiên cứu của khóa luận.

Chương 2. Cơ sở lý thuyết

Trình bày chi tiết lý thuyết nền tảng về môi trường Cloud-Native (Microservices, Containers, Orchestration, IaC, CD, DevOps). Phân tích chi tiết 6 dạng hành vi bất thường nguy hiểm: XSS, RCE, Log4Shell (CVE-2021-44228), Log Forging, SQL Injection, Cookie Injection kèm theo dấu hiệu nhận biết và hậu quả thực tế. Làm rõ cấu trúc các module của API Gateway (Proxy Nginx, Pre-login, Login). Khái quát hóa lý thuyết các mô hình học sâu xử lý văn bản, so sánh chi tiết kiến trúc giữa BERT Base Uncased (110 triệu tham số, cơ chế MLM/NSP) và ALBERT Base (12 triệu tham số, cơ chế MLM/SOP, chia sẻ tham số giữa các lớp).

Chương 3. Giải pháp thực hiện

Khảo sát các giải pháp API Gateway hiện có trên thị trường và khả năng tích hợp học máy. Đề xuất kiến trúc hệ thống tổng thể kết hợp API Gateway với module học sâu phát hiện bất thường. Trình bày chi tiết các mô hình kiến trúc deep learning được khảo sát (mô hình kết hợp mạng tích chập CNN, mạng hồi quy GRU, LSTM, mạng tích chập thời gian TCN). Thiết lập quy trình tái huấn luyện mô hình (Retraining model) khi có dữ liệu mới. Phân tích thành phần dữ liệu và quy trình tiền xử lý dữ liệu log HTTPS request.

Chương 4. Kịch bản triển khai ứng dụng và đánh giá

Mô tả kịch bản thiết lập hệ thống trên môi trường giả lập Cloud-Native. Liệt kê danh sách các gói phần mềm (packages), cấu hình máy chủ phục vụ quá trình huấn luyện và thử nghiệm. Thiết lập kịch bản đánh giá quy trình mã hóa dữ liệu (Tokenizer process), phân tích biểu đồ phân bố độ dài token trong dataset. Tiến hành huấn luyện thực nghiệm trên mô hình google-bert/bert-base-uncased và mô hình tùy biến (Custom Model).

Chương 5. Kết quả đánh giá

Tổng hợp và đối chiếu các thông số kỹ thuật thu được sau quá trình thực nghiệm:

• Thống kê phân bố số lượng và chỉ số của từng loại tấn công trong tập dữ liệu thử nghiệm.
• Phân tích biểu đồ biến thiên của các độ đo trên tập kiểm định (validation set) qua các chu kỳ huấn luyện: Độ chính xác (Accuracy), Diện tích dưới đường cong ROC (ROC-AUC), Độ phủ (Recall), Điểm F1-Score, Độ chuẩn xác (Precision).
• Đánh giá bảng giá trị ma trận nhầm lẫn (Confusion Matrix) nhằm xác định tỷ lệ phát hiện đúng và tỷ lệ cảnh báo sai đối với từng nhóm hành vi bất thường.

Chương 6. Công việc tương lai

Định hướng các nhiệm vụ phát triển tiếp theo nhằm hoàn thiện giải pháp bảo mật API Gateway trong môi trường thực tế quy mô lớn.

---

Kết quả và đóng góp

Kết quả kỹ thuật và thực nghiệm

1. Hệ thống hóa kiến trúc phát hiện bất thường cho API: Khóa luận đã thiết kế thành công quy trình kết hợp giữa cơ chế Reverse Proxy của Nginx với mô hình phân loại ngôn ngữ Transformer, cho phép kiểm tra ngữ nghĩa sâu của từng gói tin HTTPS request trước khi định tuyến vào hệ thống nội bộ.
2. So sánh định lượng giữa các kiến trúc học sâu: Làm rõ đặc tính kỹ thuật giữa hai nền tảng mô hình Transformer:

Tiêu chí so sánh	BERT Base Uncased	ALBERT Base
Số lớp (Layers)	12	12
Số đầu chú ý (Attention Heads)	12	12
Kích thước ẩn (Hidden Size)	768	768
Kích thước nhúng (Embedding Size)	768	128
Tổng số lượng tham số	~110 triệu	~12 triệu
Tác vụ tiền huấn luyện (Pre-training)	Masked LM (MLM), Next Sentence Prediction (NSP)	Masked LM (MLM), Sentence Order Prediction (SOP)
Tối ưu hóa bộ nhớ	Tham số độc lập cho từng lớp	Chia sẻ tham số giữa các lớp (Cross-layer parameter sharing)

3. Đo lường chi tiết hiệu năng kiểm định: Thông qua các biểu đồ thực nghiệm, tác giả theo dõi chặt chẽ tiến trình tối ưu hóa các chỉ số đánh giá cốt lõi bao gồm Accuracy, ROC-AUC, Recall, Precision, F1-Score và phân tích ma trận nhầm lẫn để xác minh khả năng phân tách giữa lưu lượng thông thường và lưu lượng độc hại.

Đóng góp của đề tài

• Khắc phục điểm yếu phụ thuộc vào tập luật tĩnh của các hệ thống WAF/ACL truyền thống bằng việc ứng dụng khả năng học biểu diễn ngữ cảnh của mô hình ngôn ngữ lớn (BERT/ALBERT) vào dữ liệu log API.
• Đề xuất mô hình tích hợp nhiều tầng bảo vệ: kết hợp bộ lọc tiền đăng nhập nhanh (Pre-login) với module phân loại học sâu và module quản lý phiên làm việc (Login/Proxy).
• Cung cấp tài liệu tham khảo thực nghiệm về phân tích độ dài token, xử lý dữ liệu log yêu cầu HTTPS và quy trình tái huấn luyện mô hình phục vụ phát hiện tấn công mạng.

---

Hạn chế và hướng nghiên cứu tiếp

Khóa luận ghi nhận các giới hạn kỹ thuật trong phạm vi thực hiện và đề xuất định hướng phát triển:

• Môi trường thử nghiệm: Nghiên cứu mới dừng lại ở việc thiết lập và đánh giá trên môi trường giả lập cục bộ (localhost), chưa phản ánh đầy đủ độ trễ mạng thực tế và lưu lượng tải cực lớn trong các cụm Kubernetes phân tán đa vùng.
• Yêu cầu tài nguyên của mô hình: Các mô hình Transformer như BERT có kích thước tham số lớn (110 triệu tham số), tạo ra áp lực tính toán đối với yêu cầu xử lý thời gian thực với độ trễ tính bằng mili-giây tại cổng API Gateway; trong khi mô hình ALBERT tuy nhẹ hơn nhưng đòi hỏi tập dữ liệu huấn luyện quy mô lớn hơn để đạt độ hội tụ tối ưu.
• Hướng mở rộng:
  • Tối ưu hóa mô hình học sâu nhằm giảm độ trễ xử lý (inference latency) khi tích hợp trực tiếp vào luồng xử lý gói tin của API Gateway.
  • Mở rộng tập dữ liệu thực nghiệm để bao quát thêm các kỹ thuật tấn công mới, các biến thể tấn công chuỗi cung ứng và tấn công khai thác logic nghiệp vụ phức tạp.
  • Tự động hóa hoàn toàn chuỗi tái huấn luyện (continuous retraining pipeline) khi hệ thống thu thập thêm các mẫu log bất thường mới trong môi trường vận hành thực.

---

Giá trị tham khảo

Khóa luận là tài liệu chuyên khảo phù hợp cho sinh viên, học viên cao học và các kỹ sư an toàn thông tin, kỹ sư hạ tầng đám mây (DevSecOps) và kỹ sư phát triển phần mềm:

• Tham khảo cấu trúc bảo vệ API: Cung cấp tài liệu phân tích chi tiết về các điểm yếu bảo mật trên từng chức năng của API Gateway, cách bố trí các module kiểm tra (Pre-login, Login, Proxy Nginx).
• Tham khảo kỹ thuật NLP trong bảo mật: Hữu ích cho các đề tài nghiên cứu ứng dụng mô hình Transformer, BERT, ALBERT và mạng nơ-ron hồi quy/tích chập (LSTM, GRU, TCN) vào bài toán phân tích cú pháp, ngữ nghĩa của chuỗi dữ liệu mạng và phát hiện mã độc web (SQLi, XSS, Log4Shell).

---

Câu hỏi thường gặp

1. Khóa luận tập trung phát hiện những dạng tấn công cụ thể nào trên hệ thống API Gateway?
Nghiên cứu tập trung phân loại và ngăn chặn 6 dạng hành vi bất thường chính: tấn công kịch bản chéo trang (XSS), thực thi mã từ xa (RCE), lỗ hổng Log4Shell trong thư viện Log4j (CVE-2021-44228), giả mạo/chèn nhật ký (Log Forging / Log Injection), tiêm mã lệnh SQL (SQL Injection) và tấn công thao túng cookie (Cookie Injection).

2. Điểm khác biệt cơ bản về mặt cấu trúc giữa hai mô hình BERT Base Uncased và ALBERT Base được trình bày trong tài liệu là gì?
Mô hình BERT Base Uncased có kích thước nhúng 768 và tổng số 110 triệu tham số độc lập, sử dụng 2 tác vụ tiền huấn luyện là MLM và NSP. Ngược lại, ALBERT Base tối ưu hóa tài nguyên bằng cách giảm kích thước nhúng xuống 128 và áp dụng cơ chế chia sẻ tham số giữa các lớp (cross-layer parameter sharing), giúp giảm tổng số tham số xuống còn khoảng 12 triệu (~giảm gần 90%), đồng thời thay thế tác vụ NSP bằng tác vụ dự đoán thứ tự câu SOP (Sentence Order Prediction).

3. Module Pre-login trong hệ thống API Gateway đề xuất đảm nhiệm những vai trò bảo mật nào?
Module Pre-login đóng vai trò lớp lọc sơ bộ trước khi yêu cầu đến module đăng nhập chính, thực hiện: kiểm tra tính hợp lệ định dạng thông tin người dùng, đối chiếu danh sách đen/trắng địa chỉ IP (ACL), kiểm tra độ mạnh mật khẩu sơ bộ, giới hạn tần suất yêu cầu (Rate Limiting) để ngăn chặn brute-force/DDoS, và triển khai các cơ chế phụ trợ như Captcha, Honeypot hoặc WAF.

4. Quá trình đánh giá thực nghiệm mô hình học sâu được tác giả theo dõi qua những chỉ số nào?
Tác giả đo lường hiệu năng mô hình trên tập kiểm định thông qua: Biểu đồ phân bố độ dài token, hàm mất mát (Loss), Độ chính xác (Accuracy), Độ chuẩn xác (Precision), Độ phủ (Recall), Điểm F1-Score, Diện tích dưới đường cong đặc trưng hoạt động máy thu (ROC-AUC) và Ma trận nhầm lẫn (Confusion Matrix).

---

Kết luận

Khóa luận tốt nghiệp của tác giả Nguyễn Hữu Minh Sang đã nghiên cứu thành công giải pháp kết hợp giữa kỹ thuật học sâu ngôn ngữ (mô hình BERT/ALBERT) và hệ thống API Gateway để phát hiện các hành vi bất thường trong môi trường Cloud-Native. Bằng cách phân tích ngữ nghĩa sâu của các yêu cầu HTTPS tại tầng ứng dụng, giải pháp khắc phục hiệu quả hạn chế của các phương pháp phòng thủ dựa trên tập luật truyền thống trước các dạng tấn công phức tạp như SQLi, XSS, RCE hay Log4Shell. Các kết quả thực nghiệm, phân tích kiến trúc mô hình và thiết kế đa tầng bảo vệ cung cấp cơ sở kỹ thuật giá trị cho định hướng ứng dụng trí tuệ nhân tạo vào an toàn thông tin trên nền tảng đám mây.

Trích đoạn nội dung tài liệu

Chương 1. TONG QUAN DE TẢI. Tổng quan nội dung đề taien. Cac công trình nghiên cứu liên qua1.

Mục tiêu, đối tượng và phạm Vi nghiên CỨU. Mục tiêu nghiÊn CỨU. 1v vn ng ng ngư 12 1. _ Đối tượng nghiên cứu.

Pham vi nghiÊn CỨU.-- Ăn ng ngư 12 Chương 2.-- 2-22 E+SE2EE£EEEEEE2EEEEEEEEEEEErrEerrkerkee 13 2. Môi trường Cloud NatIVe. c3 St S SH ng re 13 2. Môi trường Cloud NatIVe:.- c SnS vn re, 13 2.

Vấn dé an toàn thông tin.-------- 2-52 <+S<+EE+EE£EEEEEEeErrrrerreres l6 2. Các API bất thườấg. Ảnh hưởng đến client.--- +: 2+©£+E+£Et2EE£EEtEEEtEEerkerrerrkrree 17 2. Ảnh hưởng đến server, application.-------¿--s+2cs++cx++zx+zsse2 20 2.

ee ee 20 , 2N uUa) nn na. Ảnh hưởng đến dữ liệu. Ăn HH HH TH 25 PA NN9v9‹s 0ì). API Gaf€WAV.

HH HH HH 30 “000. Machine learning mOdUÏ€. Text based classify Model. ALBERT BASE Model.- + c St stress 39 Chương 3.

GIẢI PHÁP THỰC HIỆN. _ Giải pháp hiỆn tạI.- -- Ác 1v 91g TT TH ng nh Hy43 3. — Giải pháp API Gaf€WAV. SG TS t HH HH HH HH ghe43 3.

Các Giải pháp API Gateway Phổ biến. Ung dung Machine learning. Ứng dụng thực t6. Đề xuất mô hình hệ thống API Gateway và machine learning.

Giải pháp đề xuất. Mô hình deeplearingg. SSn SH HH HH He 57 3. Mô hình học máy.

Mô hình machine learning dé xuất. Mô hình retraining mOde€Ì. Data DFOC€SSINE. TQ QSnnSnnH HH HH TH HH ngư 70 3.

_ Xác định thành phan data. HH HH HH HH re, 72 3.ieiiie 75 Chương 4.------ 252 E+EE+EE£EESEEEEEEEEEEEEErrerrerreee 77 4. Kịch bản triển khai ứng đụng.-- 2-2 5++2+++cx++zxe+rxesrxrsrxerreee 77 4. Công nghệ sử dụng.

Môi trường giả lập Cloud Native. Deploy applÌicatIOn. --- Sc cv vs 78 4. _ Chi tiết ứng dụng.----:- :Sc 2E EEEE12112112112112121Ecrre, 78 4.

LH HH HH rry 78 PP NHIV060 0n ---. Kịch bản thực hiện đánh giá training model. Công nghệ sử dụng .- -Ặ Sns St Sn SH HH HH gi ey 80 4. Qua trình tokemiZer.

Thực hiện training modelo. eee eeseceseeeeteeeeeeeseceeeeseeceeeeteeeenees 83 Chương 5. KET QUA DANH GIÁ.--- 2 52+2<+EE+£E2EE£EEE2EEEEEerkerrkerxee 88 Chương 6. CÔNG VIỆC TƯƠNG LAI DANH MỤC HÌNH Hình 1.1: Mô hình sử dung API Gateway của Microsoft AZure.2: Mô hình kiến trúc machine learning của nhóm nghiên cứu Việt Nam.3: Mô hình xử lý dữ liệu của nhóm nghiên cứu từ NIgeria.4: Mô hình phương pháp phát hiện bất thường bai báo.1: Cấu trúc chung của môi trường Cloud Native.2: Mô hình tổng quát của học sâu BERT.-----¿2¿©++2s++cx++zxeszee 37 Hình 3.1: Kiến trúc của một API Gateway .-- +: 2-52 St‡ 2E 2E 2E EErrrrei44 Hình 3.2: Chức năng của một API Gateway .3: Mô hình hệ thống để xuất .-- 2-2 2 2+SE+EE+EE+EE+EE2EEEEEEErErrerrrrei 54 Hình 3.4: Mô hình Model đã có sự thay đổi .5: Sơ đồ kiến trúc của TON.6: Sơ đồ kiến trúc hoạt động của LSTM.2--¿©+2+2++cx++csseex 67 Hình 3.2: Kết quả quá trình training của mô hình Google-bert/bert-based-uncased 87 Hình 4.3: Kết quả từ mô hình Custom mođel.1: Biểu đồ phân bó độ dai token trong dataset.2: Su thay đôi về độ chính xác của mô hình với tap dit liệu validate.3: Sự thay đổi của ROC (ROC-AUC) trên tập validation.4: Su thay đổi của độ phủ (recall) trên tap validation.5: Sự thay đổi của F1 Score trên tập validafion.6: Su thay đổi của độ chính xác (precision) trên tập validation.7: Bang giá tri confusion matrix cua mô hình sau khi traIning.

95 DANH MUC BANG Bảng 1.1: Dau hiệu tan công ở API Gateway .1: Nội dung tóm tắt về các loại tấn CONG.2: Bang so sánh 2 thuật toán với nhau.1: Xác định các trường dữ lu .2: Xác định các loại tấn 0017 .3: Bảng phân tích loại tan công với độ tương thích thuật toán.1: Bang nội dung các máy trong hệ thống.2: Danh sách các package dùng trong quá trình training.3: Bang so sánh thuộc tính giữa hai mô hình .1: Thông tin chỉ số các loại tấn công trong dataset.