Trí Tuệ Nhân Tạo Giải Thích Trong Phát Hiện Malware Trên Android

Khóa luận tốt nghiệp nghiên cứu tốt nghiệp an toàn thông tin mô hình học máy khả diễn giải phát hiện mã độc android, vận dụng lý thuyết vào thực tế, đề xuất giải pháp cụ thể cho

• Tác giả: Nguyễn Thị Thùy Chinh
• Người hướng dẫn: ThS. Nghi Hoàng Khoa
• Trường học: Đại học Quốc gia TP. Hồ Chí Minh
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Trí Tuệ Nhân Tạo Giải Thích Trong Phát Hiện Malware Trên Android
• Loại tài liệu: khóa luận tốt nghiệp
• Năm xuất bản: 2024
• Địa điểm: Thành phố Hồ Chí Minh

Mục lục chi tiết

• LỜI CẢM ƠN
• NỘI DUNG
• 1. CHƯƠNG 1: TỔNG QUAN ĐỀ TÀI
• 1.1. Lý do chọn đề tài
• 1.2. Các nghiên cứu liên quan
• 1.3. Mục tiêu, đối tượng và phạm vi nghiên cứu
• 1.3.1. Mục tiêu nghiên cứu
• 1.3.2. Đối tượng nghiên cứu
• 1.3.3. Phạm vi nghiên cứu
• 1.4. Phương pháp nghiên cứu
• 1.5. Cấu trúc Khóa luận tốt nghiệp
• 2. CHƯƠNG 2: MÔ HÌNH HỌC MÁY
• 2.1. Một số loại học máy
• 2.2. Các thuật toán học máy
• 2.2.1. Support Vector Machine
• 2.3. XAI - Explainable Artificial Intelligence
• 2.4. Phần mềm độc hại
• 2.5. Hệ điều hành Android
• 2.5.1. Cách thức hoạt động
• 2.5.2. Ưu và nhược điểm của LIME
• 2.6. Một số ứng dụng điển hình
• 2.7. Ý nghĩa của học máy khả giải đối với các hệ thống bảo mật
• 3. CHƯƠNG 3: PHƯƠNG PHÁP THỰC HIỆN
• 3.1. Thu thập dữ liệu
• 3.2. Trích xuất dữ liệu
• 3.3. Thiết kế thí nghiệm
• 3.4. Đào tạo và Đánh giá mô hình
• 3.5. Diễn giải dự đoán của mô hình học máy
• 4. CHƯƠNG 4: THỰC NGHIỆM, ĐÁNH GIÁ VÀ THẢO LUẬN
• 4.1. Môi trường thực nghiệm
• 4.2. Thử nghiệm các mô hình học máy phát hiện ứng dụng độc hại
• 4.2.1. Tiền xử lý dữ liệu
• 4.2.2. Đào tạo và dự đoán bằng mô hình học máy
• 4.2.3. Kết quả thí nghiệm
• 4.2.3.1. Tiêu chí đánh giá dự đoán của các mô hình
• 4.2.3.2. Kết quả thu được với tập dữ liệu giai đoạn 1
• 4.2.3.3. Kết quả thu được với tập dữ liệu giai đoạn 2
• 4.2.3.4. Kết quả thử nghiệm khi thay đổi tỷ lệ các loại ứng dụng
• 4.2.3.5. Kết quả thực nghiệm và đánh giá khả năng phát hiện
• 4.2.3.6. Kết quả thử nghiệm và đánh giá các mô hình khả diễn giải
• 4.2.4. Thảo luận chung
• 5. CHƯƠNG 5: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về Trí Tuệ Nhân Tạo trong Phát Hiện Malware

Trí tuệ nhân tạo (AI) đã trở thành một công cụ quan trọng trong việc phát hiện malware trên Android. Với sự gia tăng của các ứng dụng độc hại, việc áp dụng AI giúp cải thiện khả năng phát hiện và bảo vệ người dùng khỏi các mối đe dọa. Nghiên cứu cho thấy rằng các mô hình học máy có thể đạt được độ chính xác cao trong việc phân loại ứng dụng độc hại. Tuy nhiên, sự thiếu minh bạch trong các quyết định của mô hình vẫn là một thách thức lớn.

1.1. Lịch sử phát triển của AI trong bảo mật

Trí tuệ nhân tạo đã được nghiên cứu và phát triển từ những năm 1950. Trong lĩnh vực bảo mật, AI đã được áp dụng để phát hiện malware từ những năm 2000. Các nghiên cứu gần đây cho thấy AI có thể cải thiện đáng kể khả năng phát hiện các ứng dụng độc hại trên Android.

1.2. Tầm quan trọng của AI trong phát hiện malware

AI giúp tự động hóa quá trình phát hiện malware, giảm thiểu thời gian và công sức cần thiết để phân tích ứng dụng. Điều này đặc biệt quan trọng trong bối cảnh số lượng ứng dụng độc hại ngày càng tăng, yêu cầu các giải pháp bảo mật phải nhanh chóng và hiệu quả.

II. Thách thức trong việc phát hiện malware trên Android

Mặc dù AI mang lại nhiều lợi ích, nhưng việc phát hiện malware trên Android vẫn gặp nhiều thách thức. Các mã độc ngày càng tinh vi, sử dụng nhiều kỹ thuật để tránh bị phát hiện. Điều này đặt ra yêu cầu cao hơn cho các mô hình học máy trong việc phân tích và phát hiện các hành vi đáng ngờ.

2.1. Sự phát triển của mã độc Android

Mã độc Android đã phát triển nhanh chóng, với nhiều loại hình thức khác nhau như virus, trojan và ransomware. Những mã độc này thường sử dụng các kỹ thuật ẩn mình để tránh bị phát hiện bởi các phần mềm bảo mật truyền thống.

2.2. Khó khăn trong việc phân tích hành vi malware

Việc phân tích hành vi của malware đòi hỏi một lượng lớn dữ liệu và thời gian. Các mô hình học máy cần phải được huấn luyện trên các tập dữ liệu phong phú để có thể phát hiện chính xác các hành vi đáng ngờ.

III. Phương pháp học máy khả diễn giải trong phát hiện malware

Phương pháp học máy khả diễn giải (XAI) đã được áp dụng để cải thiện độ tin cậy của các mô hình phát hiện malware. XAI không chỉ giúp phát hiện mà còn giải thích các quyết định của mô hình, từ đó tăng cường sự tin tưởng của người dùng vào các giải pháp bảo mật.

3.1. Các mô hình học máy phổ biến

Một số mô hình học máy phổ biến trong phát hiện malware bao gồm Support Vector Machine (SVM), Mạng Nơ-ron Nhân tạo (ANN) và K-Nearest Neighbor (KNN). Mỗi mô hình có những ưu điểm và nhược điểm riêng, phù hợp với các loại dữ liệu khác nhau.

3.2. Lợi ích của XAI trong bảo mật

XAI giúp người dùng hiểu rõ hơn về cách mà các mô hình học máy đưa ra quyết định. Điều này không chỉ tăng cường độ tin cậy mà còn giúp các nhà phát triển cải thiện mô hình dựa trên phản hồi từ người dùng.

IV. Ứng dụng thực tiễn của AI trong phát hiện malware

AI đã được áp dụng rộng rãi trong nhiều ứng dụng bảo mật để phát hiện malware trên Android. Các hệ thống phát hiện malware hiện đại sử dụng AI để phân tích hành vi của ứng dụng và đưa ra cảnh báo kịp thời cho người dùng.

4.1. Các công cụ phát hiện malware sử dụng AI

Nhiều công cụ bảo mật hiện nay như Norton, McAfee và Kaspersky đã tích hợp AI vào quy trình phát hiện malware. Những công cụ này sử dụng các thuật toán học máy để phân tích và phát hiện các ứng dụng độc hại một cách hiệu quả.

4.2. Kết quả nghiên cứu về hiệu suất phát hiện

Nghiên cứu cho thấy rằng các mô hình học máy có thể đạt được độ chính xác lên đến 99% trong việc phát hiện malware. Tuy nhiên, cần có thêm nghiên cứu để cải thiện khả năng phát hiện các mã độc mới và tinh vi hơn.

V. Kết luận và tương lai của AI trong phát hiện malware

Trí tuệ nhân tạo đang mở ra nhiều cơ hội mới trong việc phát hiện malware trên Android. Tuy nhiên, vẫn còn nhiều thách thức cần phải vượt qua để đảm bảo an ninh mạng hiệu quả. Tương lai của AI trong bảo mật hứa hẹn sẽ mang lại nhiều giải pháp sáng tạo và hiệu quả hơn.

5.1. Xu hướng phát triển của AI trong bảo mật

Xu hướng phát triển của AI trong bảo mật sẽ tiếp tục gia tăng, với nhiều nghiên cứu và ứng dụng mới được phát triển. Các công nghệ như học sâu (Deep Learning) và học máy khả diễn giải sẽ đóng vai trò quan trọng trong việc cải thiện khả năng phát hiện malware.

5.2. Tương lai của phát hiện malware trên Android

Tương lai của phát hiện malware trên Android sẽ phụ thuộc vào khả năng phát triển các mô hình học máy mạnh mẽ hơn, có khả năng thích ứng với các mối đe dọa mới. Sự kết hợp giữa AI và các phương pháp bảo mật truyền thống sẽ tạo ra một hệ thống bảo vệ toàn diện hơn.

Trích đoạn nội dung tài liệu

Chương 1: TONG QUAN DE TÀI Trinh bày khái quát các vẫn dé nghiên cứu, các công trình liên quan và định hướng nghiên cứu của khóa luận. * Chương 2: CƠ SỞ LÝ THUYET Trình bày chỉ tiết các khái niệm, cơ sở lý thuyết nền tảng cần thiết để thực hiện khóa luận. * Chương 3: PHƯƠNG PHAP THỰC HIỆN Trình bày chỉ tiết giải pháp được nghiên cứu. * Chương 4: THUC NGHIỆM, DANH GIA VÀ THẢO LUẬN Trinh bày phương pháp thực nghiệm, đánh giá kết quả của mô hình dé xuất.

TỔNG QUAN ĐỀ TÀI Dong thời, hiện thực hoá hệ thông săn tìm mối đe doa được dé cập 6 Chương 3. * Chương 5: KẾT LUẬN VÀ HƯỚNG PHAT TRIỂN Dua ra kết luận về dé tai, dé xuất một số hướng phát triển mỏ rộng cho các nghiên cứu trong tương lai. 10 Chương 2 CƠ SỞ LY THUYET Tóm tắt chương Cơ sở lý thuyết cho khóa luận sẽ được chúng tôi trình bày trong chương này. Cụ thể như sau: Mô hình học máy, Các thuật toán học máy, Explainable Artificial Intelligence.

Cùng với đó là phần mềm độc hại, hệ điều hành Android. Cuối cùng là kiến thức về LIME Framework cũng sẽ được chúng tôi trình bay.1 Mô hình học máy 2.1 Tổng quan Học máy là một dạng trí tuệ nhân tạo (AI) cho phép phần mềm dự đoán kết quả mà không cần lập trình. Nói cách khác, học máy là quá trình tạo ra các thuật toán dự đoán cho những thứ chưa từng thấy trước đây (dữ liệu trong tương lai) bằng cách sử dụng đữ liệu thu được. Thuật toán học máy sử dụng đữ liệu lịch sử làm đầu vào để dự đoán kết quả mới.

Một thuật toán machine learning có: * Dit liệu đầu vào là tập dit liệu huấn luyện (training dataset) » Kết quả đầu ra là 1 mô hình (model). Trong đó model là một thuật toán nhận đầu vào là các dữ liệu mới có cùng định dạng với dữ liệu huấn luyện và đưa ra một dự đoán Một số ứng dụng phổ biến của học máy bao gồm: Hệ thông để xuất (Recommend System), Hệ thông phát hiện bat thường (Anomaly Detection), Hệ thông phát hiện xâm nhập (IDS), phần mềm lọc thư rác (spam email). CƠ SỞ LÝ THUYẾT Các phương pháp học máy cổ điển thường được phân loại dựa trên cách thức thuật toán học để cải thiện độ chính xác của các dự đoán. Có bốn cách tiếp cận chính: * Học có giám sát (Supervised Learning): Thuật toán hoc từ dữ liệu có nhãn để dự đoán các kết quả.

* Học không giám sát (Unsupervised Learning): Thuật toán tìm kiếm những mẫu ẩn trong dữ liệu không có nhãn. * Học bán giám sát (Semi-supervised Learning): Kết hợp học có giám sat và không giám sát để tận dụng cả dữ liệu có nhãn và không có nhãn. * Hoc tăng cường (Reinforcement Learning): Thuật toán học từ tương tác với môi trường, nhận phản hỏi và điều chỉnh hành vi. Lựa chọn phương pháp học máy phù hợp phụ thuộc vào loại dữ liệu mà các nhà khoa học muôn dự đoán và mục tiêu của ứng dung.2 Một số loại học may Học có giám sát (Supervised Machine Learning): Các nhà nghiên cứu cung cấp các thuật toán với dữ liệu huấn luyện được gan nhãn.

Các biến được xác định để tim môi tương quan. Đầu vào và dau ra của thuật toán được chỉ định. Việc gan nhãn và phân lớp giúp xác định thể loại của mỗi dit liệu, như nhị phân (2 lớp) hoặc đa lớp (nhiều lớp). Học bán giám sát (Semi-Supervised Learning): Kết hợp giữa học có giám sát và học không giám sát.

Các nhà khoa hoc dữ liệu cung cấp một thuật toán chủ yêu là dit liệu đào tạo được gan nhãn, nhưng mô hình có thể tự do khám phá dit liệu va phát triển sự hiểu biết của riêng mình. Học không giám sát (Unsupervised Machine Learning): Liên quan đến các thuật toán đào tạo trên dữ liệu không được gán nhãn. Thuật toán quét các tập dữ liệu để tìm kiếm các kết nối có ý nghĩa. Ví dụ về Clustering: Xác định các dữ liệu tương tự nhau, như phân tích lưu lượng truy cập vào một website để tìm các nhóm như Botnet hoặc người dùng thông thường.

Học tăng cường (Reinforcement Learning): Các nhà nghiên cứu sử dụng để dạy máy hoàn thành một quy trình gồm nhiều bước với các quy tắc rõ ràng. Thuật toán được lập trình để hoàn thành một nhiệm vụ, với những tín hiệu tích cực hoặc tiêu cực khi nó tìm ra cách hoàn thành. Thuật toán tự quyết định các bước cần thực hiện dựa trên thử và sai, nhằm hoàn thành tốt một nhiệm vụ thông qua tương tác với môi trường và nhận được phan thưởng.2 Cac thuật toán học máy Học máy (Machine Learning) là một tập con của Trí tuệ nhân tạo (AI), gồm các phương pháp và thuật toán cho phép máy tính tự động học bằng cách sử dụng với model toán học để trích xuất các thông tin hữu ích từ các tập dit liệu lớn. Các thuật toán phổ biến có thể nhắc đến như: Decision Tree (DT), K-Nearest Neigh- bor (KNN), Support Vector Machine (SVM), K-Means Clustering, Artificial Neural Network (ANN), Multilayer Perceptron (MLP), Random Forest (RF).1 Decision Tree Uu diém: Ẩ on x .Ã 22s x soe he z H Ẩ on * Dé hiểu và diễn giải: Dau ra của Decision Tree dưới dang các quy tac dé hiểu và diễn giải.

Không yêu cau quá nhiều tiền xử lý dữ liệu: Decision Tree có thể xử lý trực tiêp các thuộc tính phân loại và sô học. * Hiệu suất tính toán tốt: Thuật toán Decision Tree thường nhanh và hiệu quả. « Có thể xử lý các biến có phân phôi bat ky: Decision Tree không đòi hỏi các giả định về phân phối của biến. * Khả năng xử lý đa chiều: Decision Tree có thể xử lý nhiều biến đầu vào.

Nhược điểm: * Dễ bị quá khớp (overfitting): Decision Tree có thể tạo ra các mô hình rất phức tạp để phù hợp với tập dữ liệu huấn luyện. * Không ổn định: Sự thay đổi nhỏ trong dit liệu huấn luyện có thể dẫn đến thay đổi lớn trong cây quyết định. ° Không hoạt động tốt với các đặc trưng tuyến tinh: Decision Tree thường không hiệu quả với các đặc trưng có mối quan hệ tuyến tính. * Không xử lý tốt các biến liên tục: Decision Tree thường yêu câu các biến đầu vào phải là rời rac.2 Support Vector Machine SVM là thuật toán hoc có giám sát đơn giản có thé sử dụng cho cả việc phân loại và đệ quy, tuy nhiên nó được sử dụng chủ yêu cho mục đích phân loại.

Với ý tưởng siêu mặt phẳng phân chia có lề (margin) lớn nhất trong không gian thuộc tính n 13 CHƯƠNG 2. CƠ SỞ LÝ THUYẾT chiều (n = 2: đường thẳng, n = 3: mặt phẳng), dùng làm giải pháp cho các van dé tuyến tính và phi tuyến tinh. Support Vectors hiểu một cách đơn giản là các đối tượng trên đồ thị tọa độ quan sát, Support Vector Machine là một biên giới để chia hai lớp tốt nhất.1: Support Vector Với các van dé phi tuyên tính, các ham kernel (kernel function) được sử dung: (1) ánh xa 1 vector đầu vào ít chiều vào không gian thuộc tinh nhiều chiều với hàm kernel. (2) sử dụng các support vectors để thu được một mặt phẳng phân chia có lễ lớn nhất, hoạt động như ranh giới để phân loại Margin (Lé) trong SVM là khoảng cách giữa siêu phẳng và hai đôi tượng gần nhất của đôi tượng.

Quan trọng nhất, phương pháp SVM này luôn cô gắng nhân giá trị cudi cùng để bạn có được siêu phẳng có khoảng cách dai nhất giữa hai điểm. Điều này cho phép SVM giảm sự khác biệt của dữ liệu mới được đưa vào. Ưu điểm của SVM » Hiệu suất tốt trong việc xử lý các bài toán phân loại hai lớp, đặc biệt là khi số lượng đặc trưng lớn và dit liệu phi tuyến tính. * Tinh tổng quát cao, có khả năng xử lý với các tập dữ liệu mới chưa từng gặp trước.

CƠ SỞ LÝ THUYẾT Maximum. ¬ //“margin `` éN Hình 2.2: Margin * St dụng một số vector hỗ trợ để xác định đường biên, dẫn đến việc tiêu thu ít bộ nhớ hơn so với các phương pháp khác. * Có khả năng xử lý dữ liệu nhiều chiều (high-dimensional data) và dữ liệu séi (sparse data). Hạn chế * Doi hỏi đặc trưng được chuẩn hoá và tỷ lệ đồng nhất.

¢ Khó khăn trong việc xử lý các tập dữ liệu lón với hiệu năng tính toán cao. * Doi hỏi lựa chọn đúng các tham số và hạt nhân (kernel) phù hợp để đạt được hiệu suât tôt.3 K-Nearest Neighbors K-Nearest Neighbors (KNN): Thuật toán học máy có giám sát don giản sử dung ý tưởng “thuộc tính giỗng nhau” để dự đoán lớp phân loại của dit liệu. * Xác định dữ liệu dựa trên các “hàng xóm” gần giống bằng cách tính toán khoảng cách từ các hàng xóm này * k = số “hàng xóm” cần xem xét * Tham số k ảnh hưởng đến hiệu suất của model * Quá nhỏ: model dé bị overfitting * Quá lón: phân loại sai dữ liệu 15 CHƯƠNG 2. CƠ SỞ LÝ THUYẾT Hình 2.3: Mô ta KNN 1ñ rR Uu diém * Có thể xử ly các dit liệu phức tạp: KNN khá hiệu quả với các dữ liệu có nhiều chiều và câu trúc phức tạp.

* Don giản và dé hiểu: KNN là một trong những thuật toán cơ bản và dé hiểu nhất trong học máy. * Không cần giả định về dữ liệu: KNN không đòi hỏi bat kỳ giả định nào về phân phối của dữ liệu. * Hiệu quả với các bài toán phân loại: KNN thường cho kết quả tốt trong các bài toán phân loại. Nhược điểm: * Hiệu suất tính toán thấp: KNN yêu câu tính khoảng cách giữa mẫu cần dự đoán và tat cả các điểm dit liệu, điều này có thể gây ra chỉ phí tính toán cao.

* Khó xử lý dit liệu lớn: Khi kích thước tập dữ liệu lón, KNN trỏ nên kém hiệu quả do phải tính toán khoảng cách với tat cả các điểm dit liệu. CƠ SỞ LÝ THUYẾT * Dễ bị ảnh hưởng bởi các đặc trưng không liên quan: Nếu có các đặc trưng không liên quan, KNN có thể bị ảnh hưởng đáng kể. * Khó xác định giá trị k tối ưu: Việc lựa chọn giá trị k phù hợp là rất quan trọng nhưng không phải lúc nào cũng dễ dàng.4 K-mean clustering K-mean clustering: Một thuật toán phan cum (clustering) phổ biến trong lĩnh vực học máy, học theo dạng không giám sát và xử lý dữ liệu. Nó được sử dụng để phân nhóm các điểm đữ liệu thành các cụm (clusters) dựa trên sự tương tự giữa chúng.