Ứng dụng mạng học sâu vào việc tự động nhận dạng hoạt động bất thường trong mạng máy tính

Khám phá ứng dụng mạng học sâu trong việc tự động nhận dạng hoạt động bất thường trong mạng máy tính, nâng cao bảo mật và hiệu suất.

• Tác giả: Võ Văn Khánh
• Người hướng dẫn: ThS. Trương Ngọc Hà
• Trường học: Trường Đại Học Sư Phạm Kỹ Thuật Thành Phố Hồ Chí Minh
• Chuyên ngành: Hệ Thống Nhúng Và IoT
• Đề tài: Ứng Dụng Mạng Học Sâu Trong Nhận Dạng Hoạt Động Bất Thường Trong Mạng Máy Tính
• Loại tài liệu: Đồ Án Tốt Nghiệp
• Năm xuất bản: 2024
• Địa điểm: Tp. Hồ Chí Minh

Mục lục chi tiết

• LỜI CẢM ƠN
• LỜI CAM ĐOAN
• 1. CHƯƠNG 1: TỔNG QUAN
• 1.1. GIỚI THIỆU
• 1.2. MỤC TIÊU NGHIÊN CỨU
• 1.3. PHƯƠNG PHÁP NGHIÊN CỨU
• 1.4. GIỚI HẠN NGHIÊN CỨU
• 1.5. BỐ CỤC
• 2. CHƯƠNG 2: CƠ SỞ LÝ THUYẾT
• 2.1. AN NINH MẠNG VÀ ỨNG DỤNG AI VÀO AN NINH MẠNG
• 2.1.1. Giới thiệu về an ninh mạng
• 2.1.2. Ứng dụng AI vào an ninh mạng
• 3. CHƯƠNG 3: THIẾT KẾ HỆ THỐNG
• 3.1. YÊU CẦU CỦA HỆ THỐNG
• 3.2. TỔNG QUAN KIẾN TRÚC HỆ THỐNG
• 3.3. PHƯƠNG PHÁP ĐỀ XUẤT
• 3.3.1. Xử lý và chuẩn hoá dữ liệu
• 3.3.2. Huấn luyện mô hình học sâu
• 3.3.3. Phân tích và dự đoán bất thường
• 3.4. THỰC NGHIỆM HỆ THỐNG
• 3.4.1. Chuẩn bị dữ liệu mô phỏng
• 3.4.2. Cài đặt cấu hình huấn luyện và đánh giá
• 4. CHƯƠNG 4: KẾT QUẢ VÀ THẢO LUẬN
• 4.1. KẾT QUẢ ĐÁNH GIÁ HỆ THỐNG
• 4.2. THẢO LUẬN KẾT QUẢ
• 5. CHƯƠNG 5: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• 5.1. HẠN CHẾ VÀ HƯỚNG PHÁT TRIỂN
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Ứng Dụng Mạng Học Sâu Trong Nhận Dạng Bất Thường

Trong bối cảnh an ninh mạng ngày càng trở nên phức tạp, việc ứng dụng mạng học sâu vào nhận dạng các hành vi bất thường trong mạng máy tính đã trở thành một xu hướng quan trọng. Các hệ thống này không chỉ giúp phát hiện các hành vi đáng ngờ mà còn tự động hóa quá trình phản ứng, giảm thiểu thiệt hại cho tổ chức. Việc áp dụng các phương pháp học sâu cho phép phân tích dữ liệu lớn và phức tạp, từ đó nâng cao khả năng phát hiện các mối đe dọa tiềm ẩn.

1.1. Giới Thiệu Về Mạng Học Sâu

Mạng học sâu là một nhánh của học máy sử dụng các mạng nơ-ron để phân tích và học từ dữ liệu. Các mô hình này có khả năng tự động nhận diện các mẫu phức tạp trong dữ liệu, giúp cải thiện độ chính xác trong việc phát hiện hành vi bất thường.

1.2. Tầm Quan Trọng Của Nhận Dạng Bất Thường

Nhận dạng các hành vi bất thường là một phần quan trọng trong việc bảo vệ an ninh mạng. Các cuộc tấn công ngày càng tinh vi, do đó, việc phát hiện sớm các dấu hiệu bất thường có thể giúp ngăn chặn thiệt hại lớn cho tổ chức.

II. Thách Thức Trong Nhận Dạng Hoạt Động Bất Thường

Mặc dù có nhiều tiến bộ trong việc ứng dụng học sâu, nhưng vẫn tồn tại nhiều thách thức trong việc nhận dạng hoạt động bất thường. Các vấn đề như false positives, false negatives, và khả năng mở rộng của hệ thống là những yếu tố cần được giải quyết để nâng cao hiệu quả của các giải pháp an ninh mạng.

2.1. Vấn Đề False Positives Và False Negatives

False positives xảy ra khi hệ thống báo động về một hành vi không đáng ngờ, trong khi false negatives là khi hệ thống bỏ sót một hành vi bất thường. Cả hai vấn đề này đều có thể dẫn đến lãng phí tài nguyên và giảm hiệu quả của hệ thống.

2.2. Khả Năng Mở Rộng Của Hệ Thống

Trong môi trường mạng thay đổi nhanh chóng, khả năng mở rộng của hệ thống phát hiện bất thường là rất quan trọng. Hệ thống cần được cập nhật thường xuyên để phản ứng kịp thời với các mối đe dọa mới.

III. Phương Pháp Ứng Dụng Mạng Học Sâu Trong Nhận Dạng Bất Thường

Để phát hiện các hành vi bất thường, nhiều phương pháp học sâu đã được áp dụng, bao gồm Autoencoder, Adversarial Autoencoder, và Variational Autoencoder. Những mô hình này giúp tối ưu hóa quá trình nhận diện và phân loại các hành vi trong mạng máy tính.

3.1. Autoencoder Trong Phát Hiện Bất Thường

Autoencoder là một mô hình học sâu giúp tái tạo dữ liệu đầu vào. Khi áp dụng vào phát hiện bất thường, mô hình này có thể nhận diện các hành vi không tuân theo mẫu bình thường đã học.

3.2. Adversarial Autoencoder Và Variational Autoencoder

Cả Adversarial Autoencoder và Variational Autoencoder đều có khả năng cải thiện độ chính xác trong việc phát hiện bất thường bằng cách tối ưu hóa không gian tiềm ẩn và giảm thiểu sai số giữa đầu vào và đầu ra.

IV. Ứng Dụng Thực Tiễn Của Mạng Học Sâu Trong An Ninh Mạng

Việc ứng dụng mạng học sâu trong an ninh mạng đã mang lại nhiều kết quả khả quan. Các hệ thống phát hiện xâm nhập (IDS) và ngăn chặn xâm nhập (IPS) đã được cải thiện đáng kể nhờ vào việc tích hợp các mô hình học sâu, giúp phát hiện và phản ứng nhanh chóng với các mối đe dọa.

4.1. Kết Quả Nghiên Cứu Về Phát Hiện Bất Thường

Nghiên cứu cho thấy rằng các mô hình học sâu có thể phát hiện các hành vi bất thường với độ chính xác cao hơn so với các phương pháp truyền thống. Điều này giúp giảm thiểu thiệt hại cho tổ chức và nâng cao khả năng bảo vệ an ninh mạng.

4.2. Tích Hợp Hệ Thống An Ninh Mạng

Việc tích hợp các hệ thống học sâu với các giải pháp bảo mật truyền thống như tường lửa và IDS giúp tạo ra một lớp bảo vệ mạnh mẽ hơn, nâng cao khả năng phản ứng trước các mối đe dọa.

V. Kết Luận Và Hướng Phát Triển Tương Lai

Việc ứng dụng mạng học sâu trong nhận dạng hoạt động bất thường trong mạng máy tính không chỉ là một xu hướng mà còn là một yêu cầu cấp thiết trong bối cảnh an ninh mạng hiện nay. Tương lai của lĩnh vực này hứa hẹn sẽ có nhiều tiến bộ hơn nữa với sự phát triển của công nghệ và các phương pháp học sâu mới.

5.1. Tương Lai Của Mạng Học Sâu Trong An Ninh Mạng

Với sự phát triển không ngừng của công nghệ, mạng học sâu sẽ tiếp tục đóng vai trò quan trọng trong việc phát hiện và ngăn chặn các mối đe dọa an ninh mạng, giúp bảo vệ các hệ thống thông tin quan trọng.

5.2. Đề Xuất Nghiên Cứu Tiếp Theo

Cần tiếp tục nghiên cứu và phát triển các mô hình học sâu mới, cải thiện khả năng phát hiện bất thường và giảm thiểu các vấn đề như false positives và false negatives trong các hệ thống an ninh mạng.

Trích đoạn nội dung tài liệu

Chương 1: Tổng quan giới thiệu về chủ đề, các phương pháp và giới hạn nghiên cứu • Chương 2: Trình bày tổng quan về ứng dụng học sâu cho bảo mật an ninh mạng, lý thuyết cơ sở cho các mạng học sâu • Chương 3: Thiết kế hệ thống, trình bày các phương pháp thực thi xử lý và huấn luyện học sâu • Chương 4: Kết quả đánh giá hiệu năng của các mô hình và thảo luận • Chương 5: Kết luận và đưa ra hướng phát triển. 5 CHƯƠNG 2 CƠ SỞ LÝ THUYẾT 2.1 AN NINH MẠNG VÀ ỨNG DỤNG AI VÀO AN NINH MẠNG 2.1 Giới thiệu về an ninh mạng An ninh mạng là một lĩnh vực liên quan đến việc bảo vệ hệ thống, mạng và dữ liệu khỏi các cuộc tấn công, truy cập trái phép, phá hoại hoặc đánh cắp. Nó bao gồm các biện pháp và công nghệ được sử dụng để đảm bảo tính bảo mật, tính toàn vẹn và tính sẵn sàng của thông tin. Các khía cạnh chính của an ninh mạng bao gồm: • Bảo mật thông tin: Đảm bảo rằng thông tin chỉ có thể được truy cập bởi những người được phép.

• Bảo mật hệ thống: Bảo vệ phần cứng và phần mềm khỏi các cuộc tấn công. • Bảo mật mạng: Bảo vệ mạng máy tính khỏi các cuộc tấn công mạng. • Quản lý rủi ro: Xác định, đánh giá và giảm thiểu các rủi ro liên quan đến an ninh mạng. Hệ thống bảo mật tích hợp quy tắc (Integrated Security System with Rules) là một hệ thống bảo mật mà trong đó các quy tắc (rules) được sử dụng để xác định và kiểm soát việc truy cập, cũng như để phát hiện và ngăn chặn các mối đe dọa.

Các quy tắc này có thể được định nghĩa dựa trên các tiêu chí như: • Chính sách bảo mật: Các quy tắc xác định ai có quyền truy cập vào thông tin và tài nguyên nào. • Phát hiện xâm nhập: Các quy tắc để phát hiện các hoạt động bất thường hoặc đáng ngờ có thể là dấu hiệu của một cuộc tấn công. • Phòng chống xâm nhập: Các quy tắc để ngăn chặn các cuộc tấn công trước khi chúng gây ra thiệt hại. • Quản lý sự kiện: Các quy tắc để giám sát và phản ứng với các sự kiện an ninh mạng.

6 Ví dụ, trong một hệ thống bảo mật tích hợp, có thể có các quy tắc như: • Chặn truy cập từ các địa chỉ IP nằm trong danh sách đen. • Giới hạn quyền truy cập vào các tệp hoặc thư mục nhất định chỉ cho một số người dùng cụ thể. • Phát hiện và ngăn chặn các mẫu lưu lượng mạng bất thường. Hệ thống bảo mật tích hợp quy tắc giúp tổ chức bảo vệ các tài sản kỹ thuật số của mình một cách hiệu quả hơn bằng cách tự động hóa việc giám sát, phát hiện và phản ứng với các mối đe dọa an ninh mạng.2 Ứng dụng AI vào an ninh mạng Hiện nay, an ninh mạng đang trở thành một vấn đề cực kỳ quan trọng và phức tạp đối với các tổ chức và các nhà doanh nghiệp trên toàn thế giới.

Sự gia tăng chóng mặt của các cuộc đánh cấp dữ liệu, tấn công mạng, từ các loại malware như ransomware, spyware, đến các cuộc tấn công DDoS và phishing ở hình 2.1, tạo ra nhiều thách thức trong việc bảo vệ hệ thống mạng máy tính, hệ thống thông tin cho một doanh nghiệp. Để đối phó với các mối đe dọa này, nhiều giải pháp bảo mật đã được triển khai và ứng dụng, trong đó có hệ thống phát hiện xâm nhập (IDS - Intrusion Detection System) và hệ thống ngăn chặn xâm nhập (IPS - Intrusion Prevention System), tường lửa (Firewall), VPN (Virtual Private Network. Nhằm đảm bảo hệ thống an toàn nhất có thể. Tuy vậy với tốc độ phát triển, phức tạp của các cuộc tấn công từ tin tặc, xuất hiện mặt hạn chế cho các giải pháp truyền thống (Hệ thống bảo mật tích hợp quy tắc) cần được giải quyết cấp bách: • Độ nhạy cảm: IDS và IPS thường dựa vào các quy tắc cụ thể để phát hiện hoặc ngăn chặn các hành vi đáng ngờ.

Điều này có thể dẫn đến việc bị cản trở bởi các hành động không đáng ngờ mà không được định nghĩa trước. Bên cạnh đó là sự tin. • False Positives và False Negatives: Các giải pháp truyền thống có thể tạo ra các báo cáo không chính xác dựa trên hệ thống rule, dẫn đến việc lãng phí thời gian và tài nguyên trong việc phải xử lý những cảnh báo không cần thiết hoặc bỏ sót các mối đe dọa thực sự. • Khả năng mở rộng: IDS và IPS thường cần được cấu hình và cập nhật thủ 7 Hình 2.1: Các kiểu tấn công tin tặc phổ biến.

[1] công để phản ứng với các mối đe dọa mới. Điều này có thể là một thách thức trong môi trường mạng đang thay đổi nhanh chóng. Nhằm đưa ra hướng giải quyết các hạn chế này, sự ứng dụng của Trí tuệ Nhân tạo (AI) trong bảo mật mạng đã trở nên ngày càng phổ biến. AI có thể cung cấp các lợi ích khi được ứng dụng sau: • Phát hiện mối đe dọa tiên tiến: Các hệ thống dựa trên AI có khả năng tự học và phát triển từ dữ liệu mạng thực tế, giúp phát hiện các mẫu tấn công mới một cách tự động và chính xác hơn.

• Giảm thiểu False Positives và False Negatives: Bằng cách tận dụng các thuật toán máy học phức tạp, AI có thể giảm thiểu các báo cáo không chính xác, tăng cường hiệu suất của hệ thống bảo mật. • Tự động hóa và Tự thích ứng: Hệ thống AI có khả năng tự động hóa quá trình phát hiện và phản ứng, giúp tải bớt khối lưu lượng công việc cho các nhà quản trị mạng, quản lý an ninh và đảm bảo tính linh hoạt trong môi trường mạng biến đổi nhanh chóng.2: Hình ảnh hệ thống tích hợp các giải pháp bảo mật IDS/IPS, firewall. [2] Tổng quan, việc áp dụng Trí tuệ Nhân tạo trong bảo mật mạng không chỉ cung cấp hiệu suất và độ chính xác cao hơn so với các giải pháp truyền thống mà còn giúp nâng cao khả năng phản ứng và tự bảo vệ của tổ chức trước các mối đe dọa mạng ngày càng phức tạp. Trong bối cảnh an ninh mạng ngày càng phức tạp, việc kết hợp các hệ thống bảo mật truyền thống như Firewall, VPN, IDS, IPS và SIEM với các giải pháp AI hiện đại sẽ mang lại một lớp bảo vệ mạnh mẽ và linh hoạt hơn.

AI giúp nâng cao khả năng phát hiện, phản ứng và dự đoán các mối đe dọa, giúp các tổ chức bảo vệ hệ thống mạng của mình có độ hiệu quả cao hơn và giảm tránh rủi ro bị tấn công nhất có thể.3: Ứng dụng AI trong lĩnh vững Cyber Security.2 TỔNG QUAN VỀ LÝ THUYẾT HỌC SÂU Lý thuyết Học sâu (Deep Learning - DL) là một phần thiết yếu của lĩnh vực trí tuệ nhân tạo (AI) và học máy (ML), trong đó mạng nơ-ron sâu (Deep Neural Networks - DNN) đóng vai trò chủ đạo. Học sâu chuyên về việc xây dựng và huấn luyện các mạng nơ-ron sâu để học các đặc trưng phức tạp từ dữ liệu [4]. Mạng nơ-ron sâu (DNN) là một dạng của mạng nơ-ron nhân tạo (ANN) với nhiều lớp ẩn. Những lớp này hoạt động như các bộ lọc, giúp trích xuất và biến đổi thông tin từ dữ liệu đầu vào thành các biểu diễn trừu tượng hơn.

Đặc điểm nổi bật của học sâu là khả năng tự động học các đặc trưng này mà không cần sự can thiệp thủ công như trong học máy (ML). Điều này được thực hiện nhờ vào cơ chế học dựa trên các hàm mất mát và quá trình lan truyền ngược. Cụ thể, DL học từ dữ liệu bằng cách điều chỉnh các trọng số của các nơ-ron để làm cho đầu ra của mạng gần với kết quả mong muốn hơn. Quá trình này thường sử dụng phương pháp lan truyền ngược (backpropagation) [4], trong đó sai lệch giữa giá trị dự đoán và giá trị thực tế được lan truyền ngược từ lớp đầu ra về lớp đầu vào để cập nhật trọng số.

Nhờ vậy, mạng nơ-ron có thể học và cải thiện hiệu suất theo thời gian. Ngoài ra, DL có khả năng học các biểu diễn đặc trưng từ dữ liệu một cách hiệu quả. Các lớp ẩn trong mạng nơ-ron sâu tạo ra các biểu diễn ngữ cảnh cho dữ liệu đầu vào, bao gồm các thông tin quan trọng và trừu tượng, giúp mạng có thể 10 Hình 2.4: Ứng dụng của Deep Learning trong các lĩnh vực. [5] nắm bắt được các đặc trưng phức tạp của dữ liệu từ đó đóng góp nhiều ý nghĩa trong các lĩnh vực quan trọng.

Nhờ vào khả năng tự động học hỏi và cải thiện, học sâu không chỉ giúp mạng nơ-ron học và tối ưu hóa hiệu suất mà còn tạo ra các biểu diễn dữ liệu phong phú và đa dạng, giúp nắm bắt được những đặc trưng tiềm ẩn trong dữ liệu một cách hiệu quả.1 Mạng nơ-ron nhân tạo (ANN) Mạng nơ-ron nhân tạo gọi tắt là (ANN) là một hình mà các thuật toán được thiết kế để khám phá các mối quan hệ, ảnh hưởng trong các tập dữ liệu. ANN hoạt động dựa trên việc mô phỏng các hoạt động của não bộ con người. Các nơ-ron nhân tạo trong ANN được thiết kế giống với các nơ-ron sinh học. Chúng nhận các tín hiệu đầu vào, mỗi tín hiệu này sẽ được gán một trọng số.

Trọng số thể hiện mức độ quan trọng của tín hiệu đầu vào [6]. Nơ-ron nhân tạo sẽ tổng hợp thông tin từ các đầu vào dựa trên các trọng số và đưa vào các hàm kích hoạt. ANN được tạo thành từ nhiều nơ-ron liên kết với nhau. Trong quá trình huấn luyện, trọng số đầu vào của các nơ-ron sẽ được điều chỉnh để phù hợp với tập huấn luyện.

Kiến trúc của một ANN bao gồm: 11 Input Layer Hidden Layer Output Layer h1 h2 Input 1 output 1 Input 2 output 2 Input 3 .5: Kiến trúc cơ bản của một ANN bao gồm 1 lớp đầu vào, 1 lớp đầu ra và 2 lớp ẩn. [7] • Lớp đầu vào: Có số lượng nơ-ron tương ứng với số biến độc lập. • Lớp đầu ra: Có số lượng nơ-ron tương ứng với số lượng đầu ra cần phân loại trong bài toán. • Lớp ẩn: Không có quy định cụ thể về số lượng nơ-ron.

Thường thì số lượng nơ-ron trong mỗi lớp ẩn là một số lũy thừa của 2. Số lượng lớp ẩn cần được cân nhắc để tránh overfit hoặc underfit.5 mô tả cấu trúc của một ANN đơn giản chỉ bao gồm 1 lớp đầu vào, 2 lớp ẩn và 1 lớp đầu ra. Học trong ANN: Một trong những đặc điểm đáng quan tâm nhất của ANN là khả năng học dựa trên dữ liệu.