Khóa luận tốt nghiệp an toàn thông tin xây dựng bộ dữ liệu pháp chứng từ bộ nhớ ứng dụng android cho mô hình phát hiện mã độc sử dụng gnn

Khóa luận tốt nghiệp an toàn thông tin tập trung xây dựng bộ dữ liệu pháp chứng từ bộ nhớ ứng dụng Android, hỗ trợ mô hình phát hiện mã độc sử dụng GNN hiệu quả.

• Tác giả: Lê Kim Tuấn
• Người hướng dẫn: TS. Nguyễn Tân Cầm
• Trường học: Đại học Công nghệ Thông tin - Đại học Quốc gia TP. Hồ Chí Minh
• Chuyên ngành: An toàn thông tin
• Đề tài: Xây dựng bộ dữ liệu pháp chứng từ bộ nhớ Android cho mô hình phát hiện mã độc sử dụng GNN
• Loại tài liệu: Khóa luận tốt nghiệp
• Năm xuất bản: 2023
• Địa điểm: TP. Hồ Chí Minh

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. LÝ DO CHỌN ĐỀ TÀI
• 2. ĐỐI TƯỢNG NGHIÊN CỨU
• 3. PHẠM VI NGHIÊN CỨU
• 4. TỔNG QUAN
• 5. MÔ HÌNH ĐỀ XUẤT VÀ CƠ SỞ LÝ THUYẾT
• 6. TRÌNH BÀY ĐÁNH GIÁ BÀN LUẬN VỀ KẾT QUẢ
• 7. HƯỚNG PHÁT TRIỂN
• 8. TÀI LIỆU THAM KHẢO
• MỤC LỤC HÌNH ẢNH
• MỤC LỤC BẢNG
• MỤC LỤC THUẬT TOÁN
• MỤC LỤC TỪ VIẾT TẮT
• TÓM TẮT KHÓA LUẬN

Tóm tắt

I. Xây dựng bộ dữ liệu pháp chứng từ bộ nhớ Android

Nghiên cứu này tập trung vào việc xây dựng bộ dữ liệu pháp chứng từ bộ nhớ Android để hỗ trợ các mô hình phát hiện mã độc sử dụng Graph Neural Networks (GNN). Bộ dữ liệu được tạo ra từ việc phân tích và khôi phục các đối tượng trong bộ nhớ tiến trình Android, đặc biệt là các ứng dụng lành tính và độc hại. Phương pháp này sử dụng Android Object Allocation Graphs (AOAG) để xác định các đặc trưng phân biệt giữa hai loại ứng dụng này. Bộ nhớ Android được coi là nguồn dữ liệu quan trọng trong việc phát hiện mã độc, đặc biệt khi các phương pháp truyền thống như phân tích tĩnh và động gặp hạn chế.

1.1. Phương pháp khôi phục dữ liệu

Quá trình khôi phục dữ liệu từ bộ nhớ Android bao gồm việc trích xuất và tái tạo các đối tượng trong vùng nhớ Heap. Công cụ DroidScraper được sử dụng để giải mã các đối tượng phức tạp như mảng và cấu trúc dữ liệu. Phương pháp này dựa trên thuật toán thu gom rác Concurrent Copying của Android Runtime (ART), giúp tối ưu hóa việc quản lý bộ nhớ. Bộ dữ liệu được xây dựng từ các đồ thị liên kết giữa các đối tượng, tạo cơ sở cho việc phân tích và phát hiện mã độc.

1.2. Tạo đồ thị phân bổ đối tượng

AOAG được sử dụng để tạo đồ thị phân bổ đối tượng từ bộ nhớ Android. Mỗi đỉnh trong đồ thị đại diện cho một đối tượng, và các cạnh thể hiện mối liên kết giữa chúng. Đồ thị này được sử dụng để phân tích các thuộc tính như đường kính, số lượng cộng đồng, và độ dài đường đi ngắn nhất. Các đặc trưng này giúp phân biệt giữa ứng dụng lành tính và độc hại, tạo cơ sở cho việc huấn luyện các mô hình học máy.

II. Mô hình phát hiện mã độc sử dụng GNN

Nghiên cứu đề xuất sử dụng Graph Neural Networks (GNN) để phát hiện mã độc dựa trên các đặc trưng của đồ thị phân bổ đối tượng. GNN là một phương pháp học sâu hiệu quả trong việc xử lý dữ liệu dạng đồ thị, đặc biệt là các biến thể như Graph Convolutional Network (GCN) và Graph Attention Network (GAT). Mô hình này được huấn luyện trên bộ dữ liệu được xây dựng từ bộ nhớ Android, giúp phân loại các ứng dụng lành tính và độc hại dựa trên các thuộc tính của đồ thị.

2.1. Huấn luyện mô hình GNN

Quá trình huấn luyện GNN bao gồm việc trích xuất các đặc trưng từ đồ thị phân bổ đối tượng, như số lượng cộng đồng, đường kính đồ thị, và độ dài đường đi ngắn nhất. Các đặc trưng này được sử dụng làm đầu vào cho mô hình GNN để dự đoán xem một đồ thị có phải là mã độc hay không. Kết quả thử nghiệm cho thấy GNN đạt hiệu suất cao trong việc phát hiện mã độc so với các mô hình học máy truyền thống.

2.2. Đánh giá hiệu quả của GNN

Nghiên cứu đánh giá hiệu quả của GNN bằng cách so sánh với các mô hình học máy truyền thống như Support Vector Machine (SVM) và Multi-Layer Perceptron (MLP). Kết quả cho thấy GNN vượt trội trong việc phân loại các ứng dụng lành tính và độc hại, đặc biệt khi xử lý các đồ thị có cấu trúc phức tạp. Điều này khẳng định tiềm năng của GNN trong lĩnh vực phát hiện mã độc dựa trên bộ nhớ Android.

III. Ứng dụng thực tiễn và hướng phát triển

Nghiên cứu này không chỉ cung cấp một phương pháp mới để xây dựng bộ dữ liệu pháp chứng từ bộ nhớ Android mà còn mở ra hướng phát triển trong việc ứng dụng GNN để phát hiện mã độc. Phương pháp này có thể được áp dụng trong các cuộc điều tra tội phạm mạng, giúp các nhà điều tra số khôi phục và phân tích dữ liệu từ thiết bị di động một cách hiệu quả. Hướng phát triển tiếp theo bao gồm tối ưu hóa các mô hình GNN và mở rộng bộ dữ liệu để tăng độ chính xác trong việc phát hiện mã độc.

3.1. Ứng dụng trong điều tra tội phạm mạng

Phương pháp xây dựng bộ dữ liệu pháp chứng từ bộ nhớ Android có thể được sử dụng trong các cuộc điều tra tội phạm mạng để khôi phục các thông tin quan trọng từ thiết bị di động. Điều này giúp các nhà điều tra xác định nguồn gốc của các cuộc tấn công và hành vi độc hại, đặc biệt khi các phương pháp truyền thống không hiệu quả.

3.2. Hướng phát triển tương lai

Hướng phát triển tương lai của nghiên cứu bao gồm việc tối ưu hóa các mô hình GNN để tăng hiệu suất phát hiện mã độc. Ngoài ra, việc mở rộng bộ dữ liệu với nhiều mẫu ứng dụng hơn sẽ giúp cải thiện độ chính xác của mô hình. Nghiên cứu cũng hướng đến việc tích hợp các phương pháp phân tích ngữ nghĩa ngầm để nâng cao khả năng nhận diện mã độc.

Trích đoạn nội dung tài liệu

ĐẠI HỌC QUÓC GIA TP. HÒ CHÍ MINH TRƯỜNG ĐẠI HỌC CÔNG NGHỆ THÔNG TIN KHOA MẠNG MAY TÍNH VÀ TRUYEN THONG Lé Kim Tuan - 19520333 Nguyễn Ngọc Diễm Quỳnh - 19520242 KHÓA LUẬN TÓT NGHIỆP XÂY DỰNG BỘ DỮ LIỆU PHÁP CHỨNG TỪ BỘ NHỚ ỨNG DỤNG ANDROID CHO CÁC MÔ HÌNH PHÁT HIỆN MÃ ĐỘC Recovery and reconstruction of Android in-memory forensics artifacts for malware detection models KỸ SƯ NGANH AN TOAN THONG TIN GIANG VIEN HUONG DAN TS. Nguyén Tan Cam TP. HO CHÍ MINH, 2023 LỜI CẢM ƠN Kính gửi Giảng viên hướng dẫn TS.

Nguyễn Tan Cầm và Hội đồng phản biện Khóa luận tốt nghiệp, Chúng em xin gửi lời cảm ơn chân thành nhất đến TS. Nguyễn Tân Cam, các thành viên Hội đồng phản biện Khóa luận tốt nghiệp, và tất cả những người đã đóng góp và hỗ trợ chúng em trong quá trình thực hiện khóa luận tốt nghiệp chuyên ngành An toàn thông tin. Trong suốt quá trình nghiên cứu và viết khóa luận, chúng em đã được sự chỉ dẫn tận tâm, kiến thức chuyên môn sâu sắc và những lời khuyên quý báu từ thầy Nguyễn Tan Cầm. Sự hướng dan tận tâm của thay không chỉ giúp chúng em có được những kiến thức vững chắc về lĩnh vực An toàn thông tin mà còn giúp chúng em phát triển kỹ năng nghiên cứu, phân tích và giải quyết vân đề.

Chúng em cũng xin bày tỏ lòng biết ơn đến Hội đồng phản biện Khóa luận tốt nghiệp đã dành thời gian đọc và đánh giá khóa luận của chúng em. Những ý kiến đóng góp và nhận xét của Hội đồng phản biện là nguồn động viên và truyền cảm hứng quý giá để chúng em hoàn thiện khóa luận và nâng cao chất lượng công trình nghiên cứu của mình. Chúng em cũng xin bày tỏ lòng biết ơn đến gia đình, bạn bè và những người thân yêu đã luôn động viên và đồng hành trong suốt quá trình nghiên cứu. Sự hỗ trợ và khích lệ của họ đã mang lại sự tự tin và động lực cho chúng em vượt qua những khó khăn trong quá trình hoàn thành khóa luận.

Cuối cùng, chúng em xin gửi lời cảm ơn chân thành đến Trường Đại học Công nghệ Thông tin - ĐHQG thành phố Hồ Chí Minh và khoa Mang máy tính và truyền thông, chuyên ngành An toàn thông tin đã cung cấp môi trường học tập và nghiên cứu tốt, đồng thời cung cấp những kiến thức, kỹ năng và cơ hội phát triển cho chúng em trong suốt thời gian học tập tại trường. Lời cảm ơn này không đủ dé bày tỏ tất cả những cảm xúc và sự biết ơn sâu sắc của chúng em. Chúng em xin chân thành tri ân và hứa rằng chúng em sẽ tiếp tục nỗ lực hơn nữa, áp dụng những kiến thức đã học đề góp phần vào sự phát triển và ứng dụng của lĩnh vực An toàn thông tin. Xin chân thành cảm on! Trân trọng, Lê Kim Tuấn, Nguyễn Ngọc Diễm Quỳnh.

Lý do chọn để tài. _ Đối tượng nghiên cứu. _ Phạm vi nghiên cứu. MÔ HÌNH DE XUẤT VÀ CƠ SỞ LÝ THUYET.

Mô hình để xuất. Khôi phục cấu trúc dữ liệu Runtime. Khôi phục và tái tạo các đối tượng. Phân tích POin(S-tO.

Generating Object Allocation Graph — OAG. Phân tích ngữ nghĩa (Semantic Analysis). Lý thuyết đồ thị - các chỉ số của đồ thị OAG. Phân tích đơn biến.

Phân tích đa biến. Phân tích cấu trúc Mang. _ Phát hiện ứng dụng độc hai — các mô hình hoc máy truyền thống. Phát hiện ứng dụng độc hại — các mô hình mạng nơ ron đồ thỊ.

TRÌNH BAY ĐÁNH GIÁ BAN LUẬN VE KET QUẢ. Thiết lập môi trường. Tiến hành thf nghiém. Thu thập bộ nhớ.---¿5:- 5 c2t St St2xtrrrkrkerererkrkrrree 49 4.

Dựng đồ thị cấp phát. Trích xuất thuộc tính đồ thị cho mô hình học máy. Huấn luyện mô hình GNN. Đánh giá DroidScraper và QAGen.

Phát hiện mã độc bằng mô hình học máy. Đánh giá dữ liệu và các mô hình học máy truyền thống. Đánh giá mô hình Graph Neural Network (GNN). Kt qua rẻ.

Những đóng ØÓp mỚII.cccccccccsssesssssssesssssseeessssseessssssesessssiseesssseeeesssesserssseesed 67 Chương 6. HƯỚNG PHÁT TRIẺN.------ccc:z52222vs2ccctrcccvveee 68 Chương7. TÀI LIEU THAM KHAO. -sssssssssssssssssssseessececssssseeesccceesnnnesseeesene 69 MỤC LỤC HÌNH ẢNH Hình 3.

Kiến trúc của AOAG. Workflow của DroidScraper [1]. Minh hoạ một số liên kết mau trong đồ thi [7]. Android Runtime trong kiến trúc Android.------ccccz22cccvsecee 9 Hình 3.

Khởi tạo Runtime trong runtime. Các bộ cấp phát bộ nhớ có sẵn cho ART []. Workflow của DroidScraper [ Ï]. Địa chi co sở của đối tượng Runtime được khôi phục [1].

Đối tượng Runtime trong Android § dưới dạng một cấu trúc trong ngôn NEC 0T. Các luồng được khôi phục bởi module ThreadListing. Đối tượng RegionSpace trong Android 8, được biéu diễn dưới dạng một cấu trúc C [1] Hình 3. Đối tượng Region trong Android 8, được biêu diễn dưới dạng cấu trúc C [1].

DroidScraper - Khôi phục cấu trúc đữ liệu Runtime - Đầu ra của mô-đun Heap hiền thị các vùng non-free trong RegionSpace. DroidScraper - Khôi phục cấu trúc dữ liệu Runtime - HeapDump. DroidScaper - mô đun decodeObject giải mã các đối tượng String và Complex ObjeC(. 5S SE SE Ự E1 1111 1211110101 00101011010 tuy 26 Hình 3.

Kết quả tìm kiếm với tùy chọn là chuỗi "appointment". Minh họa tìm đường đi từ đỉnh nguồn đến đỉnh đích sử dụng các đường đi không chung cạnh với hàm dòng cực đại theo đường đi bé sung ngắn nhất [7]. Xác định ngữ cảnh từ đối tượng mục tiêu đến đỉnh gốc cao nhất với độ ùn ố ốốốố ốố ố ố ố. Dinh bị cô lập trong đồ thị.--- ¿¿©22++2222+++t22Ex+zesrrrseccrrr 37 Hình 3.

Strongly connected component trong đồ thị [41]. Strongly connected component và weakly connected component. Community (module) trong đồ thị. Độ phân cụm của đỉnh trong đỒ tHị.

tt nttEEEEEkEEEkeEkrrrrkererkres 40 Hình 3. Độ trung gian của đỉnh trong đồ thị.----¿- 2: ©5+©sz2zxczzxcrxesres 4I Hình 3. Network metrics trong đồ thị [40].----- 2 2+2 x+£xezx++zszrxerxzez 42 Hình 3. Phát hiện mã độc bằng các mô hình truyền thống.

Mô hình mạng neuron đồ thị [47][46]. Phát hiện mã độc bang mô hình mang neuron đồ thị. Các tập tin chứa bộ nhớ tiến trình.-- 2-2 z++z+z++2x++zx++zxzzxeex 49 Hình 4. Một phan nội dung của file HeapDump.

Một phan đồ thị OAG được biéu diễn bằng ngôn ngữ dot. Các đặc trưng của bộ dữ lIỆU. Dữ liệu đầu vào cho GNN.--cccc- 5c cccstiitrrtirrrrirrrriirrrrrrieo 52 Hình 4. Định nghĩa mô hình GNN.---- --- - 1111 HH giết 52 Hình 4.

Xếp hạng các đặc trưng (feature ranking) trong bộ đữ liệu. Tương quan giữa số lượng đỉnh và cạnh.---- 2-2 2 se +x+£x+zszzsse2 57 Hình 4. Số lượng đỉnh.--- 2 2 s52 SE2219EEEEE21121171211211121 712111111,58 Hình 4. Số bao: Gì hb Sẽ đổ á e.

Bậc trung bình của tat cả đỉnh trong đồ thị. Tỉ lệ đỉnh bị cô lập. Số lượng các thành phan kết nối mạnh (strongly connected component). Số lượng các thành phần kết nối yếu (weakly connected component).

Độ dài đường đi trung bình (average path length). Duong kính mang (network đdiaImef€T). Số lượng cộng đồng (community coun†).----:- z©sz+ss+cszzszsz 62 Hình 4. Hệ số phân cụm trung bình.-----¿- 2 + x+2E+2E++£++£xvzx+zzszrxerxeres 62 Hình 4.

Độ trung gian trung bình của các đỉnh (average betweenness centrality). Train loss, test loss và test accuracy qua các epoch của các mô hình GNN. MỤC LUC BANG Bang 4. Top 5 ứng dung mã độc tir dataset có ti lệ khôi phục thành công các đối {WON CAO NAL.

Top 5 ứng dụng lành tinh từ dataset có ti lệ khôi phục thành công các đối {WON CAO NAL. OAGen - 5 ứng dụng lành tinh có tỉ lệ khôi phục các đối tượng lớn nhất. OAGen - 5 ứng dụng độc hại có tỉ lệ khôi phục các đối tượng lớn nhất. Đánh giá hiệu quả các mô hình học máy truyền thống.

Đánh giá hiệu quả các mô hình GNN. cà cà sesseerrsrsee 64 MỤC LỤC THUẬT TOÁN Thuật toán 3. Thuật toán HeapDump [ Ì ].- - -- 55555555 **+svcs+eeseeeeseeeess 24 Thuật toán 3. Thuật toán giải mã đối tượng - lấy thông tin đối tượng - lấy dữ liệu của đối tượng [Ï].

- - -- 2 x+E£+E£EE£EE£EEEE12E127171211211211112112111171 21. Khởi tạo đồ thị phân b6 đối tượng (OAG) [7]. Đệ quy tìm kiếm dé thêm các đỉnh và cạnh vào đồ thị [7]. Thuật toán Xác định ngữ cảnh [7].- 5555 +++s‡++s+sex+eexssss 35 MỤC LUC TỪ VIET TAT STT | Ký hiệu chữ viết tat Chữ viết day đủ 1 AOAG Android Object Allocation Graph 2 AOSP Android Open-Source Project 3 API Application Programming Interface 4 ART Android Runtime 5 AVD Android Virtual Device 6 CC Concurrent Copying 7 CMS Concurrent Mark Sweep 8 GC Garbage Collection 9 GCN Graph Convolutional Network 10 GCRoots Garbage Collection Roots 11 GIN Graph Isomorphism Network 12 GNN Graph Neural Networks 13 GPS Global Positioning System 14 GraphSAGE Graph Sample and Aggregated 15 GRN Graph Recurrent Network 16 GSS Generational Semi-Space 17 HTTP Hypertext Transfer Protocol 18 ID Identification 19 IRT Indirect Reference Table 20 IRT Indirect Reference Table 21 JNI Java Native Interface 22 LOS LargeObjectSpace 23 MLP Multi-Layer Perceptron 24 OAG Object Allocation Graph 25 OOP Object Oriented Programming 26 ORR Object Recovery And Reconstruction 27 RAM Random Access Momery 28 RDS Runtime Data Structure Recovery 29 SCC Strongly Connected Component 30 SMS Short Message Services 31 SQL Structured Query Language 32 SS Semi-Space 33 SVM Support Vector Machine 34 TID Threat ID 35 TLAB Thread Local Allocator Buffer 36 WCC Weakly Connected Component TÓM TÁT KHÓA LUẬN Thời gian gần đây, các phương pháp và thuật toán liên quan đến pháp chứng bộ nhớ trong không gian người dùng (userland memory forensics) trở nên phô biến trong cộng đồng các chuyên gia.

Trong quá khứ, phân tích bộ nhớ được xem là một phương pháp bồ sung trong khôi phục dữ liệu quan trọng, như tin nhắn bị xóa khỏi bộ nhớ tạm. Tuy nhiên, phân tích bộ nhớ đã tiến xa hơn và trở thành một phương pháp tiên tiến dé điều tra và xác định các cuộc tan công và hành vi độc hại không dé lại bat ky dau vết nào trên dia cứng. Các phương pháp này chứng minh được tinh hữu ich trong các cuộc điều tra thực tế về tội phạm mạng và các vụ việc pháp lý. Chúng được sử dụng đề phân tích và khôi phục các đối tượng và thông tin từ không gian bộ nhớ của tiễn trình thực thi, đóng vai trò quan trọng trong quá trình điều tra.

Nghiên cứu này sử dụng một phương pháp bồ sung trong phân tích mã độc là khả năng phân tích bộ nhớ cho từng tiến trình để xác định đặc trưng của các ứng dụng Android trong phân tích mã độc. Nhóm thực hiện một phân tích dữ liệu sử dụng đồ thị phân bồ đối tượng được xây dựng từ bộ nhớ tai tao của tiễn trình Android dé khám phá các đặc tính phân biệt trong các ứng dụng độc hại và ứng dụng lành tính. Mô hình này gọi là Android Object Allocation Graphs (AOAG).