Chương 1: TONG QUAN DE TÀI Trình bày khái quát định hướng nghiên cứu của khóa luận mà chúng tôi muốn hướng tới. Chương 2: TONG QUAN TINH HÌNH NGHIÊN CỨU Sơ lược một sô công trình liên quan có cùng hướng nghiên cứu mà đê tài có tham khảo. Giới thiệu các công trình khoa học liên quan chúng tôi đã công bô trong thời gian thực hiện khoá luận. Chương 3: CƠ SỞ LÝ THUYÉT Trình bày các định nghĩa, khái niệm cũng như những kiến thức nền tảng dé có thê thực hiện được nghiên cứu.
Chương 4: PHƯƠNG PHÁP THỰC HIỆN Là phần trọng tâm của khoá luận, trình bày những nội dung chính về phương pháp thực hiện và mô hình được sử dụng. Chương 5: KET QUA VÀ THẢO LUẬN Đề cập đến quá trình thực nghiệm cùng với kết quả thu được. Đưa ra nhận xét cho những công việc đã thực hiện ở Chương 4. Chương 6: KET LUẬN VA HƯỚNG PHAT TRIEN Dua ra ket luận vê đê tai, đê xuât một sô hướng phát triên mở rộng cho các nghiên cứu trong tương lai.
|TONG QUAN TINH HÌNH NGHIÊN CỨU 2. Tình hình nghiên cứu và các công trình liên quan Với sự phát triển ngày càng đa dạng và phức tạp của các mối đe dọa bảo mật trên Internet, IDS trở thành công cụ thiết yếu dé phát hiện các cuộc tan công mạng và hệ thống. IDS giám sát lưu lượng mạng và đưa ra các cảnh báo nếu xác định được những lưu lượng không an toàn (độc hai) thông qua việc phân loại lưu lượng mạng thành các bản ghi lành tính và các bản ghi độc hại. Khi đề cập đến van đề phân loại, các thuật toán học máy đã được áp dụng rộng rãi trong thực tế trên nhiều lĩnh vực khác nhau như phân loại anh nói riêng va dữ liệu nói chung, trong đó hướng tiếp cận của IDS dựa trên ML cũng đã đạt được những kết quả tốt.
Nhiều thuật toán học máy khác nhau đã được dùng dé phân loại dit liệu, trong đó có thé ké đến K-Nearest Neighbor, Support Vector Machine, Decision Tree, v. Trong những năm gần đây, các thuật toán học sâu phát triển nhanh chóng, có thé kế đến như Mạng thần kinh kết hợp (CNN), Mạng thần kinh hồi quy (RNN), Bộ mã hóa tự động, v. Các thuật toán này giúp cải thiện độ chính xác và đơn giản hóa việc phát hiện xâm nhập [3]. Mặc dù vay, ML IDS lại dé dang bị các kẻ tan công khai thác bởi tính dé tốn thương trước các cuộc công sử dụng lưu lượng mạng đối kháng, trong đó mô hình GAN chính là phương pháp được lựa chọn tiềm năng.
Goodfellow và cộng sự đã giới thiệu GAN, một khuôn khổ dé huấn luyện các mô hình tạo sinh đối kháng [4], với ý tưởng chính là hai mạng thần kinh nhân tạo, mạng tao sinh (Generator) và mạng phân biệt (Discriminator) cùng chơi trò chơi minimax dé hội tụ thành một giải pháp tối ưu [5]. Không chỉ thể hiện bước tiến hiện đại trong việc tạo ra hình ảnh, âm thanh và văn bản [6] [7] [8]. GAN cũng đã được chú trọng trong lĩnh vực bảo mật thông tin trong thời gian gần đây. Các nghiên cứu hiện tại đã sử dụng GAN để cải thiện khả năng phát hiện phần mềm độc hại hoặc tạo ra chính các mẫu phần mềm độc hại đối kháng, từ đó khiến các cuộc tấn công ngày càng đe dọa và nghiêm trọng [9] [10].
Một nghiên cứu của Grosse và các cộng sự đã dé xuất áp dụng thuật toán dựa trên dao hàm chuyền tiếp các mạng nơ-ron bị tan công dé tạo ra các phần mềm độc hại đối kháng trên Android với chức năng độc hại được bảo toàn [11]. Một công trình khác sử dụng thuật toán học tăng cường với một tập hợp các hoạt động bảo toàn chức năng dé tạo ra các phần mềm độc hại đối kháng [12]. Trong khi đó, Rosenberg đã tạo ra các ví dụ điển hình về đối kháng khi kết hợp chuỗi lệnh gọi API và các tính năng tĩnh với bộ khung tạo tấn công end-to-end [13]. Trong nghiên cứu của mình, Al- Dujaili đã trình bày 4 phương pháp để tạo các phần mềm đối kháng được mã hóa nhị phân với chức năng độc hại được bảo tồn với việc sử dụng SLEIPNIR dé dao tao các bộ phát hiện mạnh mẽ [14].
Bên cạnh đó, thu rác đối kháng cũng nhận được sự quan tâm khi Zhou đã tạo ra thư rác bằng mô hình sinh đối kháng SVM và từ đó nghiên cứu cách tạo ra một bộ lọc thư rác mạnh mẽ hơn [15]. Cùng với việc công nghệ đối kháng đã được áp dụng rộng rãi trong việc phát hiện phần mềm độc hại, đã có những công bố nghiên cứu việc tạo ra lưu lượng truy cập độc hại đối kháng chống lại IDS. Một nghiên cứu của James và các cộng sự cũng đã đề xuất một phương pháp đánh lừa IDS học máy trên các mẫu tấn công DoS đối kháng, bằng cách thay đổi một số thuộc tính mạng [16]. Tuy nhiên, mô hình của các tác giả hoạt động chủ yếu dựa trên các thuộc tính cụ thê của tân công DoS nên khó có khả nang mở rộng.
GAN cũng đã được ứng dụng rộng rãi trong việc tạo ra các mẫu tấn công đối kháng trong bao mật thông tin. Hu đã đề xuất một bộ khung GAN để tạo ra các phần mềm độc hại cho các cuộc tấn công hộp đen [10]. Hu cũng tận dụng một mô hình mới đề tạo một số chuỗi API đối kháng sẽ được chèn vào chuỗi API ban đầu của phần mềm dé hình thành các cuộc tấn công, nhằm mục đích vượt qua các hệ thống phát hiện Mạng thần kinh hồi quy (RNN) [17]. Không chỉ vậy, khả năng tạo ra các mẫu đối kháng của GAN cũng đã được tận dụng trong một số nghiên cứu nhằm vượt qua IDS.
Điền hình có thé ké đến nghiên cứu của Zilong Lin và cộng sự khi đề xuất mô hình IDSGAN khi có thé tạo ra các lưu lượng tan công đối kháng có thể đánh lita ML IDS [18]. Mô hình được thiết kế dựa trên kiến trúc WGAN để cải thiện khả năng hội tụ trong quá trình huấn luyện. Bộ sinh trong công trình này chon thay đôi một số thuộc tính của lưu lượng mạng dé tao mẫu đối kháng, trong khi bộ phân biệt tim cách bắt chước hoạt động của IDS máy học nhằm hỗ trợ gửi phản hồi cho bộ sinh. Tuy vậy, Usama và cộng sự đã chỉ ra vấn dé ton tại trong IDSGAN khi thay đổi một số thuộc tính chức năng của lưu lượng mạng [19].
IDSGAN đã vi phạm yêu cầu giữ nguyên tính hợp lệ của lưu lượng mẫu đối kháng. Nhóm tác giả nghiên cứu sau đó đưa ra đề xuất cơ chế đảm bảo giữ nguyên các thuộc tính chức năng trong quá trình tạo mẫu đối kháng, khi bộ sinh chỉ thực hiện thay đổi trên nhóm các thuộc tính phi đặc trưng. Nhưng giải pháp lại đề xuất sử dụng GAN cơ bản, vốn có thê đối mặt với van đề khó hội tụ trong quá trình huấn luyện. Dữ liệu đầu vào trong hướng tiếp cận sử dụng GAN cũng là một vấn đề cần quan tâm của các nghiên cứu.
Một nghiên cứu của Msika và các cộng sự đã chứng minh kích thước và độ đa dạng của đầu vào có thể ảnh hưởng đến hiệu suất của GAN [20]. Nghiên cứu này sử dụng chính các thuộc tính phi chức năng làm đầu vào dé tạo mẫu đối kháng, điều này có thể làm giảm tính đa dạng của dữ liệu được tạo so với việc sử dụng nhiễu như công trình IDSGAN. Mặt khác, tập dữ liệu KDD99 sử dụng trong công trình của Usama tuy phố biến trong việc kiểm tra hoạt động của IDS nhưng có thể chứa những bản ghi lưu lượng đã lỗi thời và không bao gồm các dữ liệu tấn công mới hiện nay. Công trình IDSGAN sử dụng phiên bản cải tiến của KDD99 là NSL-KDD, tuy vậy về cơ bản tập dữ liệu này cũng gặp vấn đề tương tự.
Một sô cải tiên so với khoá luận trước Trong khoá luận này, chúng tôi sẽ giới thiệu DIGFuPAS là một bộ khung chúng tôi đã làm việc và phát triển cùng với anh Lê Khắc Tiến — Kỹ su tài năng ngành An toàn thông tin Khoá 2016 Trường Đại học Công nghệ Thông tin. Anh Lê Khắc Tiến đã hoàn thành và công bố DIGFuPAS trong khoá luận tốt nghiệp “PHAT SINH DU LIEU TAN CÔNG CHONG LAI IDS BẰNG MÔ HÌNH DOI KHANG TẠO SINH” nam 2020. DIGFuPAS trong khoá luận của chúng tôi được thực hiện trên bộ dữ liệu mới CICIDS-2017 [21] so với bộ dữ liệu NSL-KDD đã cũ trong khoá luận trước đó. Chúng tôi thực hiện một số điều chỉnh về thông số và thiết kế mô hình.
Cách bộ sinh nhận di liệu đầu vào là sự khác biệt lớn nhất. Khoá luận trước thử nghiệm 2 trường hợp gồm đầu vào là nhiễu và đầu vào là các thuộc tính phi chức năng. - __ Đối với trường hợp dữ liệu đầu vào là nhiễu thi di liệu đầu ra đa dạng, nhưng quá trình đào tạo khó khăn hơn vì các giá trị nhiễu ngẫu nhiên rời rạc. - Đối với trường hợp dit liệu đầu vào là các thuộc tính phi chức năng có sự liên kết do được thu thập từ thực tế thì huấn luyện dễ dàng hơn nhưng với mỗi đầu vào chỉ cho 1 luồng lưu lượng đối kháng đầu ra tương ứng (do các trọng số của mô hình là cố định).
Vì vậy, chúng tôi lựa chọn giải pháp kết hợp: sử dụng nhiễu nối vào các thuộc tính phi chức năng dé làm đầu vào cho bộ sinh. Điều này vừa giúp cải thiện quá trình huân luyện, vừa dam bao tính đa dạng của dữ liệu dau ra. Khoá luận trước chỉ dừng ở việc sử dụng DIGFuPAS phát sinh dữ liệu đối kháng có khả năng qua mặt IDS. Chúng tôi ứng dụng DIGFuPAS và phát triển thêm dé áp dụng trong ngữ cảnh kiểm thử và tăng cường khả năng của IDS một cách tự động.
Cuối cùng, chúng tôi không chỉ thử nghiệm trên bộ dữ liệu kiểm thử như khoá luận trước mà còn trién khai IDS thực nghiệm trên môi trường SDN nhăm đánh giá khả năng hoạt động trong môi trường thực tế. Y nghĩa khoa học và thực tiễn của đề tài 2. Y nghĩa khoa học Như đã dé cập ở trên, những nghiên cứu khoa học đã được công bồ trước đây vẫn còn một số hạn chế, trong đề tài này chúng tôi đã khắc phục và phát triển hướng nghiên cứu như sau: - Chúng tôi giới thiệu một bộ khung mới DIGFuPAS dựa trên GAN. Bộ khung không thay thế các thuộc tính chức năng của lưu lượng mạng, do đó chúng tôi bảo toàn được đặc tính tấn công cũng như đảm bảo được tính hợp lệ của lưu lượng đối kháng sinh ra.