Luận Văn Thạc Sĩ: Xây Dựng Framework Phát Hiện và Phân Loại Bất Thường Mạng Dựa Trên Học Máy

• Tác giả: Trần Hoàng Quốc Bảo
• Người hướng dẫn: PGS. Trần Ngọc Thịnh
• Trường học: Đại học Quốc gia TP. HCM
• Chuyên ngành: Khoa học Máy tính
• Đề tài: Xây dựng Framework Phát Hiện Và Phân Loại Bất Thường Mạng Dựa Trên Các Kỹ Thuật Học Máy
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2022
• Địa điểm: TP. Hồ Chí Minh

• LỜI CÁM ƠN
• TÓM TẮT LUẬN VĂN THẠC SĨ
• LỜI CAM ĐOAN
• 1. GIỚI THIỆU
• 1.1. Mục tiêu đề tài
• 1.2. Nội dung đề tài
• 2. CƠ SỞ LÝ THUYẾT VÀ CÔNG TRÌNH LIÊN QUAN
• 2.1. Transmission Control Protocol / Internet Protocol Model
• 2.2. Nền tảng NetFPGA
• 2.2.1. Field-Programmable Gate Array
• 2.2.2. Kiến trúc NetFPGA
• 2.3. Hệ thống phát hiện xâm nhập mạng
• 2.3.1. Mạng nơ-ron học sâu nhân tạo
• 2.3.6. Tập dữ liệu
• 2.7. Công trình liên quan
• 2.7.1. Các thuật toán học máy về phát hiện bất thường
• 2.7.2. Các công trình học máy phát hiện bất thường trên FPGA
• 3. HỆ THỐNG ĐỀ XUẤT VÀ GIẢI PHÁP
• 3.1. Tổng hợp những yêu cầu hệ thống
• 3.1.1. Yêu cầu bảo mật trong mạng máy tính
• 3.1.2. Đặc trưng của dữ liệu
• 3.1.3. Yêu cầu về khả năng đáp ứng hiệu suất xử lý
• 3.1.4. Yêu cầu về tiết kiệm năng lượng
• 3.2. Tổng quan hệ thống đề xuất
• 3.3. Thiết kế và hiện thực ANIDS
• 3.3.1. Trích xuất & chuyển hoá đặc trưng (Feature Extraction & Normalization - FEN)
• 3.3.2. Phát hiện bất thường bằng mô hình mạng tự mã hoá (Anomaly Detection Autoencoder - ADA)
• 3.3.3. Mô hình phân loại sử dụng mạng nơ-ron nhân tạo (Artificial Neural Classification - ANC)
• 3.3.4. Xây dựng khung sườn lõi xử lý tính toán ADNN (Anomaly Detection Neural Network)
• 3.3.4.1. Kiến trúc tổng quan trên NetFPGA-SUME
• 3.3.4.2. Mô hình mạng nơ-ron trên phần cứng
• 3.3.4.3. Bộ xử lý lớp nơ-ron
• 3.3.5. Khối xử lý hàm mất mát
• 3.3.6. Khối phát hiện bất thường
• 4. THỰC NGHIỆM VÀ ĐÁNH GIÁ
• 4.1. Các tiêu chí đánh giá hệ thống
• 4.1.1. Tài nguyên tổng hợp
• 4.1.2. Hiệu suất xử lý
• 4.1.3. Khả năng phân loại
• 4.2. Kết quả thực nghiệm
• 4.2.1. Chi tiết về tập dữ liệu
• 4.2.2. Kết quả tổng hợp
• 4.2.3. Kết quả đánh giá tốc độ xử lý
• 4.4. Kết quả đánh giá khả năng phân loại ANIDS
• 5. KẾT LUẬN
• Công bố khoa học
• Tài liệu tham khảo
• Lý lịch trích ngang

I. Giới thiệu về phát hiện bất thường mạng

Trong bối cảnh an ninh mạng ngày càng trở nên quan trọng, việc phát hiện bất thường là một yếu tố thiết yếu trong việc bảo vệ hệ thống thông tin. Hệ thống phát hiện xâm nhập mạng (Intrusion Detection System - IDS) dựa trên dấu hiệu bất thường (Anomaly-based IDS) đã trở thành một trong những phương pháp hiệu quả nhất. Các hệ thống này sử dụng kỹ thuật học máy để phân tích hành vi của mạng và phát hiện các mẫu hành vi bất thường. Theo báo cáo, với sự gia tăng của các cuộc tấn công mạng, nhu cầu về các giải pháp phát hiện bất thường ngày càng cao. Một nghiên cứu cho thấy, việc áp dụng kỹ thuật học sâu có thể nâng cao khả năng phát hiện bất thường, giảm thiểu rủi ro cho các tổ chức. Việc xây dựng một framework phát hiện hiệu quả không chỉ yêu cầu hiểu biết sâu về các thuật toán học máy mà còn cần thiết kế phần cứng khả cấu hình để tối ưu hóa hiệu suất.

1.1 Tầm quan trọng của an ninh mạng

An ninh mạng không chỉ là một yêu cầu cần thiết mà còn là một yếu tố sống còn trong thời đại số. Các cuộc tấn công mạng ngày càng tinh vi và phức tạp, điều này đòi hỏi các tổ chức phải liên tục cập nhật và cải tiến hệ thống bảo mật của mình. Việc giám sát mạng thường xuyên và phát hiện kịp thời các hành vi bất thường là rất quan trọng để bảo vệ dữ liệu và thông tin nhạy cảm. Nghiên cứu cho thấy, các tổ chức không đầu tư vào an ninh mạng có nguy cơ cao bị tấn công và gây thiệt hại nặng nề về tài chính và danh tiếng. Do đó, việc phát triển các công nghệ mới như học máy và phần cứng khả cấu hình là cần thiết để tăng cường khả năng phòng thủ mạng.

II. Cơ sở lý thuyết về kỹ thuật học máy

Kỹ thuật học máy đã trở thành một phần quan trọng trong việc phát hiện bất thường mạng. Các thuật toán học máy như hồi quy logistic, cây quyết định, và mạng nơ-ron đã được áp dụng để phân tích các mẫu dữ liệu lớn nhằm phát hiện các hành vi không bình thường. Nghiên cứu chỉ ra rằng, việc sử dụng học sâu giúp cải thiện đáng kể độ chính xác trong việc phân loại và phát hiện các cuộc tấn công. Hệ thống phân tích dữ liệu lớn cũng đã trở thành một công cụ hữu ích trong việc phát hiện các mẫu bất thường. Thông qua việc áp dụng các kỹ thuật này, các tổ chức có thể tự động hóa quá trình phát hiện và phản hồi với các mối đe dọa một cách nhanh chóng và hiệu quả.

2.1 Các thuật toán học máy phổ biến

Trong lĩnh vực phát hiện bất thường, các thuật toán học máy được sử dụng phổ biến bao gồm mạng nơ-ron, cây quyết định, và máy vector hỗ trợ (SVM). Mỗi thuật toán có những ưu điểm và nhược điểm riêng. Ví dụ, mạng nơ-ron có khả năng học từ dữ liệu phức tạp, nhưng yêu cầu nhiều tài nguyên tính toán. Ngược lại, cây quyết định dễ hiểu và triển khai, nhưng có thể không hiệu quả với dữ liệu lớn. Nghiên cứu đã chỉ ra rằng, sự kết hợp giữa các thuật toán có thể mang lại kết quả tốt hơn trong việc phát hiện các hành vi bất thường. Việc sử dụng dữ liệu lớn trong quá trình huấn luyện mô hình cũng giúp cải thiện độ chính xác của hệ thống.

III. Xây dựng framework phát hiện bất thường

Framework phát hiện bất thường mạng cần được thiết kế để tối ưu hóa khả năng phát hiện và phân loại các hành vi bất thường. Việc xây dựng khung sườn này bao gồm nhiều bước, từ việc thu thập và phân tích dữ liệu đến việc triển khai các thuật toán học máy trên phần cứng khả cấu hình. Nghiên cứu cho thấy, việc sử dụng NetFPGA cho phép tối ưu hóa hiệu suất xử lý và giảm thiểu độ trễ trong việc phát hiện các cuộc tấn công. Các mô hình như Anomaly Detection Autoencoder (ADA) và Artificial Neural Classification (ANC) đã được áp dụng để phân loại dữ liệu và phát hiện bất thường một cách hiệu quả. Kết quả thực nghiệm cho thấy, các mô hình này đạt được độ chính xác cao và khả năng xử lý nhanh chóng, đáp ứng tốt yêu cầu của hệ thống.

3.1 Thiết kế hệ thống phát hiện

Thiết kế hệ thống phát hiện bất thường mạng cần phải đáp ứng nhiều yêu cầu, bao gồm khả năng xử lý nhanh, độ chính xác cao và khả năng mở rộng. Việc sử dụng phần cứng khả cấu hình như FPGA giúp cải thiện hiệu suất và tiết kiệm năng lượng. Hệ thống cần có khả năng phân tích và xử lý dữ liệu theo thời gian thực, từ đó phát hiện kịp thời các hành vi bất thường. Các nghiên cứu đã chỉ ra rằng, việc kết hợp giữa học máy và phần cứng khả cấu hình có thể mang lại lợi ích đáng kể trong việc phát hiện và phân loại các cuộc tấn công mạng.

IV. Đánh giá hiệu quả của framework

Đánh giá hiệu quả của framework phát hiện bất thường mạng là một bước quan trọng để xác định tính khả thi và hiệu suất của hệ thống. Các tiêu chí đánh giá bao gồm độ chính xác, tốc độ xử lý, và khả năng phân loại. Nghiên cứu cho thấy, các mô hình như ADA và ANC đạt được độ chính xác cao khi được kiểm thử trên các tập dữ liệu phổ biến như NSL-KDD và UNSW-NB15. Đặc biệt, tốc độ xử lý của hệ thống đạt được ở mức cao, cho phép phản hồi nhanh chóng với các mối đe dọa tiềm ẩn. Việc cải thiện các thuật toán và tối ưu hóa phần cứng khả cấu hình sẽ tiếp tục được nghiên cứu để nâng cao hiệu quả của framework trong tương lai.

4.1 Kết quả thực nghiệm

Kết quả thực nghiệm cho thấy, framework phát hiện bất thường mạng đã đạt được những thành công nhất định trong việc phát hiện và phân loại các hành vi bất thường. Các mô hình ADA và ANC đã cho thấy độ chính xác cao, với tỷ lệ FNR thấp, cho phép hệ thống phản hồi nhanh chóng với các mối đe dọa. Việc sử dụng các tập dữ liệu lớn và đa dạng cũng giúp cải thiện khả năng tổng quát của mô hình. Kết quả này khẳng định rằng, việc áp dụng kỹ thuật học máy và phần cứng khả cấu hình là hướng đi đúng đắn trong việc phát triển các giải pháp an ninh mạng hiệu quả.

## Tổng quan nghiên cứu

Tính đến năm 2022, có khoảng 5 tỷ người dùng Internet, chiếm 63,29% dân số toàn cầu, cùng với sự phát triển mạnh mẽ của các thiết bị IoT trong công nghiệp và đời sống. Sự bùng nổ này kéo theo nhu cầu bảo mật mạng ngày càng cấp thiết, khi các cuộc tấn công mạng gia tăng về số lượng và mức độ tinh vi. Theo báo cáo, hơn 72 quốc gia đã bị ảnh hưởng bởi các cuộc tấn công từ chối dịch vụ (DoS) trong quý 1 năm 2021, với mức tăng 29% mỗi năm và lên đến 75% trong năm 2021 so với năm trước đó. 

Trong bối cảnh đó, việc phát hiện và phân loại các hành vi bất thường trong mạng trở thành nhiệm vụ trọng yếu nhằm giảm thiểu rủi ro về chi phí và bảo vệ thông tin cá nhân. Luận văn tập trung xây dựng framework phát hiện và phân loại bất thường mạng dựa trên kỹ thuật học máy và phần cứng khả cấu hình (FPGA), áp dụng trên các tập dữ liệu phổ biến như NSL-KDD, UNSW-NB15 và CIC-IDS2017. Mục tiêu chính là phát triển hệ thống ANIDS có khả năng nhận dạng chính xác và phản hồi nhanh, đồng thời tăng tốc xử lý bằng phần cứng NetFPGA-SUME, phù hợp với môi trường mạng hiện đại tại Việt Nam và quốc tế trong giai đoạn 2022-2025.

## Cơ sở lý thuyết và phương pháp nghiên cứu

### Khung lý thuyết áp dụng

- **Mô hình TCP/IP:** Là kiến trúc mạng chuẩn, gồm 5 tầng (vật lý, liên kết, mạng, vận chuyển, ứng dụng), cung cấp nền tảng cho việc truyền tải và quản lý dữ liệu mạng.
- **Học máy (Machine Learning):** Bao gồm các phương pháp học giám sát, không giám sát và học tăng cường, với các thuật toán như SVM, cây quyết định, mạng nơ-ron nhân tạo, và thuật toán hỗn hợp (ensemble).
- **Học sâu (Deep Learning):** Sử dụng mạng nơ-ron sâu, mạng tự mã hóa (Autoencoder) để phát hiện bất thường dựa trên đặc trưng dữ liệu.
- **Phần cứng khả cấu hình (FPGA):** NetFPGA-SUME với chip Virtex-7 XC7VX690T, cung cấp khả năng xử lý song song, tốc độ cao và tiết kiệm năng lượng, phù hợp cho việc tăng tốc các thuật toán học máy.

### Phương pháp nghiên cứu

- **Nguồn dữ liệu:** Sử dụng ba tập dữ liệu mạng phổ biến gồm NSL-KDD (hơn 125 nghìn bản ghi huấn luyện, 22 nghìn kiểm thử), UNSW-NB15 (hơn 175 nghìn bản ghi huấn luyện, 82 nghìn kiểm thử), và CIC-IDS2017 với hơn 80 đặc trưng dữ liệu.
- **Phân tích dữ liệu:** Tiền xử lý, trích xuất đặc trưng, chuẩn hóa dữ liệu.
- **Mô hình học máy:** Xây dựng mô hình phát hiện bất thường bằng mạng tự mã hóa (ADA) cho NSL-KDD và mô hình phân loại bằng mạng nơ-ron nhân tạo (ANC) cho UNSW-NB15 và CIC-IDS2017.
- **Triển khai phần cứng:** Thiết kế và hiện thực các mô hình trên nền tảng NetFPGA-SUME, sử dụng 21% tài nguyên LUT và 15.1% FF.
- **Timeline:** Nghiên cứu và phát triển từ tháng 2 đến tháng 6 năm 2022, đánh giá và hoàn thiện đến tháng 7 năm 2022.

## Kết quả nghiên cứu và thảo luận

### Những phát hiện chính

- Mô hình ADA trên tập NSL-KDD đạt độ chính xác 90.87% với tỷ lệ False Negative Rate (FNR) là 7%.
- Mô hình ANC trên tập UNSW-NB15 và CIC-IDS2017 đạt độ chính xác lần lượt 87.22% và tỷ lệ FNR là 3%.
- Tốc độ truyền tải dữ liệu của ADA đạt 28.7 Gbps, ANC đạt 31 Gbps trên phần cứng NetFPGA-SUME.
- Khả năng xử lý số phép tính của ADA là 18.7 Gops, ANC là 9.1 Gops, cho thấy hiệu suất xử lý cao phù hợp với yêu cầu thời gian thực.

### Thảo luận kết quả

Kết quả cho thấy việc kết hợp kỹ thuật học máy/học sâu với phần cứng khả cấu hình giúp nâng cao hiệu quả phát hiện và phân loại bất thường mạng. Độ chính xác cao và tỷ lệ FNR thấp chứng tỏ mô hình có khả năng nhận diện chính xác các hành vi xâm nhập, giảm thiểu cảnh báo sai. So với các nghiên cứu trước đây, việc triển khai trên NetFPGA-SUME không chỉ cải thiện tốc độ xử lý mà còn tiết kiệm năng lượng hơn so với GPU truyền thống. Biểu đồ băng thông và lưu lượng xử lý cho thấy hệ thống đáp ứng tốt yêu cầu xử lý lưu lượng mạng lớn trong thực tế. Điều này có ý nghĩa quan trọng trong việc bảo vệ hệ thống mạng trước các cuộc tấn công ngày càng tinh vi và đa dạng.

## Đề xuất và khuyến nghị

- **Triển khai rộng rãi hệ thống ANIDS:** Áp dụng framework vào các trung tâm dữ liệu và mạng doanh nghiệp để nâng cao khả năng phát hiện sớm các cuộc tấn công.
- **Nâng cấp phần cứng:** Đầu tư mở rộng sử dụng NetFPGA-SUME hoặc các FPGA thế hệ mới nhằm tăng cường hiệu suất xử lý và khả năng mở rộng.
- **Đào tạo và nâng cao nhận thức:** Tổ chức các khóa đào tạo về an ninh mạng và kỹ thuật học máy cho đội ngũ kỹ thuật viên nhằm tối ưu vận hành hệ thống.
- **Phát triển mô hình đa lớp:** Kết hợp thêm các thuật toán học sâu khác như CNN, RNN để cải thiện khả năng phát hiện các loại tấn công mới, đặc biệt là tấn công Zero-Day.
- **Thời gian thực hiện:** Các giải pháp trên nên được triển khai trong vòng 1-2 năm tới, với sự phối hợp giữa các tổ chức nghiên cứu, doanh nghiệp và cơ quan quản lý.

## Đối tượng nên tham khảo luận văn

- **Chuyên gia an ninh mạng:** Nắm bắt các kỹ thuật phát hiện xâm nhập hiện đại và ứng dụng phần cứng khả cấu hình.
- **Nhà nghiên cứu học máy và học sâu:** Tham khảo mô hình mạng nơ-ron và Autoencoder trong phát hiện bất thường mạng.
- **Doanh nghiệp công nghệ thông tin:** Áp dụng framework để nâng cao bảo mật hệ thống mạng nội bộ và dịch vụ trực tuyến.
- **Sinh viên và giảng viên ngành Khoa học Máy tính:** Học tập và phát triển các đề tài nghiên cứu liên quan đến an ninh mạng và tăng tốc phần cứng.

## Câu hỏi thường gặp

1. **Framework này có thể áp dụng cho loại mạng nào?**  
Framework phù hợp với mạng doanh nghiệp, trung tâm dữ liệu và mạng IoT có lưu lượng lớn, cần phát hiện bất thường thời gian thực.

2. **Tại sao chọn FPGA thay vì GPU?**  
FPGA tiết kiệm năng lượng hơn, có khả năng xử lý song song cao và phù hợp cho các ứng dụng thời gian thực với độ trễ thấp.

3. **Độ chính xác của mô hình có ổn định không?**  
Mô hình ADA đạt 90.87% và ANC đạt 87.22% trên các tập dữ liệu chuẩn, với tỷ lệ FNR thấp, cho thấy độ ổn định và tin cậy cao.

4. **Có thể mở rộng framework cho các loại tấn công mới không?**  
Có thể, bằng cách tích hợp thêm các thuật toán học sâu và cập nhật dữ liệu huấn luyện liên tục.

5. **Khả năng xử lý của hệ thống như thế nào?**  
Hệ thống đạt tốc độ truyền tải dữ liệu lên đến 31 Gbps và xử lý hàng chục tỷ phép tính mỗi giây, đáp ứng tốt yêu cầu mạng hiện đại.

## Kết luận

- Đã xây dựng thành công framework phát hiện và phân loại bất thường mạng dựa trên học máy và phần cứng khả cấu hình.
- Mô hình ADA và ANC đạt độ chính xác cao, tỷ lệ FNR thấp trên các tập dữ liệu chuẩn NSL-KDD, UNSW-NB15 và CIC-IDS2017.
- Triển khai trên NetFPGA-SUME giúp tăng tốc xử lý, tiết kiệm năng lượng và đáp ứng yêu cầu thời gian thực.
- Kết quả nghiên cứu góp phần nâng cao hiệu quả bảo mật mạng, giảm thiểu rủi ro từ các cuộc tấn công mạng.
- Đề xuất mở rộng ứng dụng và phát triển thêm các mô hình học sâu để nâng cao khả năng phát hiện trong tương lai.

**Hành động tiếp theo:** Khuyến khích các tổ chức nghiên cứu và doanh nghiệp áp dụng framework, đồng thời tiếp tục nghiên cứu mở rộng để đối phó với các mối đe dọa mạng ngày càng phức tạp.