Giới thiệu dự án

Sự bùng nổ của hạ tầng Internet, điện toán đám mây và các thiết bị Internet vạn vật (IoT) đã đưa hạ tầng mạng doanh nghiệp bước vào kỷ nguyên dữ liệu lớn (Big Data). Theo thống kê từ Statista, số lượng thiết bị IoT kết nối toàn cầu dự kiến đạt 25,4 tỷ thiết bị vào năm 2030, tạo ra hàng nghìn Exabyte (EB) dữ liệu lưu thông mỗi ngày. Đi kèm với sự mở rộng đó là các mối đe dọa an ninh mạng leo thang nghiêm trọng, đặc biệt là các cuộc tấn công từ chối dịch vụ phân tán (DDoS). Giai đoạn 2018–2019, tần suất các cuộc tấn công DDoS quy mô từ 100 Gbps đến 400 Gbps tăng tới 776%, và tổng số vụ tấn công chạm mốc hàng chục triệu vụ mỗi năm.

+-------------------------------------------------------------------------------+
|                             PROBLEM EVOLUTION                                 |
|                                                                               |
|  Traditional Networks          Legacy NIDS Architecture        Big Data / SDN |
|  - Hardware dependency        - Deep Packet Inspection (DPI)   - High Velocity|
|  - Decentralized config       - Static signature matching      - Massive Scale|
|  - Manual ACL blocking        - Bottleneck & high FPR (>5%)    - Dynamic Flow |
+-------------------------------------------------------------------------------+

Trước thực trạng đó, các hệ thống phát hiện xâm nhập truyền thống (Network Intrusion Detection System - NIDS) bộc lộ rõ các điểm nghẽn nghiêm trọng:

  • Phương pháp dựa trên dấu hiệu (Signature-based): Không có khả năng phát hiện các cuộc tấn công mới (Zero-day) và biến thể tấn công tinh vi.
  • Phương pháp dựa trên bất thường (Anomaly-based): Thường xuyên tạo ra tỷ lệ cảnh báo giả (False Positive Rate - FPR) cao, gây quá tải cho đội ngũ vận hành trung tâm an ninh (SOC).
  • Điểm nghẽn năng lực xử lý: Phương pháp kiểm tra gói tin sâu (Deep Packet Inspection - DPI) truyền thống làm suy giảm thông lượng mạng nghiêm trọng khi lưu lượng đạt hàng chục Gbps.
  • Thiếu khả năng phản ứng tự động: Mạng truyền thống không thể lập trình phân luồng tức thời để cô lập lưu lượng độc hại mà phải phụ thuộc vào việc cấu hình Access Control List (ACL) thủ công trên từng thiết bị định tuyến.

Đồ án tốt nghiệp "Xây dựng hệ thống phát hiện xâm nhập dựa trên máy học cho mạng khả lập trình trong ngữ cảnh dữ liệu lớn" do sinh viên Huỳnh Hoàng Hải và Nguyễn Xuân Hà (Trường Đại học Công nghệ Thông tin - ĐHQG TP.HCM) thực hiện dưới sự hướng dẫn của TS. Lê Kim Hùng nhằm giải quyết triệt để các hạn chế trên.

Mục tiêu cụ thể của đề tài

  1. Thiết kế và triển khai kiến trúc mạng khả lập trình (Software-Defined Networking - SDN) mô phỏng môi trường doanh nghiệp tích hợp bộ điều khiển mã nguồn mở ONOS và thiết bị chuyển mạch Open vSwitch (OVS).
  2. Xây dựng đường ống (pipeline) xử lý dữ liệu lớn theo thời gian thực (Real-time Big Data Pipeline) kết hợp Apache Kafka và Apache Spark Streaming, thu thập dữ liệu luồng NetFlow/IPFIX tốc độ cao từ nProbe.
  3. Nghiên cứu và huấn luyện mô hình trí tuệ nhân tạo lai (Hybrid AI Model): Pha 1 sử dụng thuật toán máy học (Random Forest, Decision Tree, KNN) để phát hiện bất thường nhị phân siêu tốc; Pha 2 sử dụng mạng nơ-ron tích chập (Convolutional Neural Network - CNN) để phân loại chi tiết hơn 20 loại hình tấn công.
  4. Xây dựng cơ chế phản ứng tự động thông qua REST API của bộ điều khiển SDN để cập nhật động các quy tắc luồng (Flow Rules), cô lập IP tấn công ngay tại thiết bị biên (Edge Switch).
  5. Trực quan hóa toàn diện luồng lưu lượng và cảnh báo an ninh thời gian thực thông qua cơ sở dữ liệu phân tích Elasticsearch và giao diện Kibana (ELK Stack).

Phạm vi và giới hạn nghiên cứu

  • Phạm vi dữ liệu: Đánh giá trên 3 bộ dữ liệu chuẩn mở rộng định dạng NetFlow bao gồm NF-BoT-IoT-v2, NF-ToN-IoT-v2 và NF-CSE-CIC-IDS2018-v2 với tổng cộng hơn 73 triệu mẫu luồng mạng.
  • Phạm vi tính năng: Sử dụng 43 trường đặc trưng NetFlow cấp gói và luồng trích xuất từ header (L3/L4), hoàn toàn không phân tích payload nhằm đảm bảo quyền riêng tư và hiệu năng xử lý.
  • Giới hạn môi trường: Triển khai thử nghiệm thực nghiệm trên môi trường ảo hóa Mininet/Ubuntu Server, sử dụng bộ điều khiển ONOS cho topology gồm 9 Host, 3 Server chức năng và 10 Switch OVS.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Tiêu chí NIDS Dấu hiệu truyền thống NIDS Bất thường đơn lẻ Giải pháp đề xuất (SDN + Big Data + AI)
Cơ chế phát hiện So khớp chuỗi mẫu gói tin đã biết Phân tích thống kê / Máy học đơn lẻ Hybrid 2-Phase (ML phát hiện + DL phân loại)
Khả năng nhận diện Zero-day Kém (Gần như 0%) Trung bình Xuất sắc (Nhận diện dựa trên mẫu luồng NetFlow)
Tỷ lệ cảnh báo giả (FPR) Rất thấp (< 0.1%) Cao (3% - 10%) Rất thấp (0.15% - 0.9%)
Năng lực xử lý dữ liệu lớn Kém (Nghẽn cổ chai tại DPI) Hạn chế theo tài nguyên máy đơn Cực cao (Mở rộng quy mô theo cụm Kafka & Spark)
Khả năng phản ứng tự động Thủ công (Cần admin can thiệp) Tách rời với cơ chế điều khiển Tự động 100% (Gửi quy tắc Flow Rule qua ONOS API)

Ma trận ưu tiên yêu cầu hệ thống (MoSCoW)

  • Must-have: Thu thập NetFlow không phụ thuộc payload; Phân loại nhị phân thời gian thực trên Spark Streaming; Tự động kích hoạt API ONOS để chặn lưu lượng độc hại; Độ trễ phát hiện dưới 2 giây.
  • Should-have: Mô hình Deep Learning phân loại đa lớp chi tiết; Dashboard trực quan hóa trên Kibana; Khả năng chịu lỗi và không mất mát dữ liệu nhờ cơ chế đệm phân tán.
  • Could-have: Hỗ trợ phân tích đa luồng phân tán trên nhiều cụm worker node; Tích hợp công cụ trực quan hóa trạng thái topo mạng ONOS GUI.
  • Won't-have (Hiện tại): Giải mã và kiểm tra sâu nội dung payload mã hóa TLS/HTTPS; Hỗ trợ các bộ điều khiển ngoài giao thức OpenFlow (như POX, Ryu).

Thiết kế hệ thống

Kiến trúc hệ thống được xây dựng theo mô hình phân lớp module hóa cao độ, đảm bảo tính co giãn độc lập giữa hạ tầng mạng và hạ tầng tính toán dữ liệu lớn:

[ SDN Data Plane: Hosts & Servers (h11 - h51) ]
       [ Open vSwitch (OVS S1 - S5) ]
            [ nProbe Collector ]
      [ Apache Kafka Buffer Cluster ]
       [ Elasticsearch DB ]                   [ ONOS Controller ]
          [ Kibana Dashboard ]                [ Drop Malicious IP ]

Bảng thông số công nghệ (Technology Stack)

Thành phần Công nghệ / Framework Phiên bản Vai trò kỹ thuật
SDN Controller ONOS (Open Network Operating System) 2.5 LTS Quản lý mặt phẳng điều khiển, cung cấp REST API cài đặt quy tắc luồng
Data Plane Switch Open vSwitch (OVS) 2.13+ Chuyển tiếp gói tin OpenFlow, xuất NetFlow v9/IPFIX tại biên
Flow Collector nProbe (nTop) 9.5 Thu thập luồng, trích xuất 43 đặc trưng NetFlow, chuyển đổi sang JSON
Message Broker Apache Kafka 2.8.0 Hàng đợi đệm phân tán Pub/Sub, chống nghẽn và đảm bảo không mất gói
Stream Engine Apache Spark (Streaming, MLlib) 3.1.2 Xử lý dữ liệu phân tán, thực thi mô hình suy luận ML/DL thời gian thực
Deep Learning Engine TensorFlow / Keras 2.4+ Xây dựng và huấn luyện mạng 1D-CNN phân loại đa lớp tấn công
Analytical Storage Elasticsearch 7.14.0 Lưu trữ tài liệu JSON phân tán, phục vụ truy vấn phân tích tốc độ cao
Visualization Kibana 7.14.0 Hiển thị biểu đồ phân tích lưu lượng, nhật ký tấn công và cảnh báo an ninh

Phương pháp nghiên cứu (Methodology)

Nghiên cứu áp dụng quy trình chuẩn CRISP-DM kết hợp mô hình phát triển phần mềm lặp Agile:

  • Tuần 1–4: Khảo sát lý thuyết SDN, Big Data, thu thập và phân tích các bộ dữ liệu NF-BoT-IoT-v2, NF-ToN-IoT-v2, NF-CSE-CIC-IDS2018-v2.
  • Tuần 5–8: Thiết kế đường ống tiền xử lý dữ liệu, chuẩn hóa Z-score; Thử nghiệm và đánh giá các thuật toán học máy (KNN, Decision Tree, Random Forest).
  • Tuần 9–12: Thiết kế mạng CNN cho bài toán phân loại đa lớp; Tích hợp cụm Kafka và Spark Streaming; Xây dựng API tích hợp ONOS Controller.
  • Tuần 13–16: Triển khai thử nghiệm thực nghiệm trên môi trường giả lập mạng Mininet; Thực hiện các kịch bản tấn công TCP SYN Flood, Port Scanning; Đánh giá hiệu năng và hoàn thiện báo cáo.

Implementation và kết quả

Quy trình phát triển và thuật toán cốt lõi

1. Tiền xử lý dữ liệu và chuẩn hóa toán học

Để loại bỏ tính cục bộ và tránh việc mô hình học thuộc lòng các định danh máy chủ (dẫn tới hiện tượng over-fitting), các trường thông tin nhận dạng bao gồm IPV4_SRC_ADDR và IPV4_DST_ADDR được chủ động loại bỏ. Dữ liệu sau đó được điền khuyết và chuẩn hóa phân phối xác suất bằng phương pháp Z-score:

$$z = \frac{x - \mu}{\sigma}$$

Trong đó, $\mu$ là giá trị trung bình và $\sigma$ là độ lệch chuẩn của từng đặc trưng trên tập dữ liệu:

$$\mu = \frac{1}{N} \sum_{i=1}^{N} x_i, \quad \sigma = \sqrt{\frac{1}{N} \sum_{i=1}^{N} (x_i - \mu)^2}$$

2. Tích hợp dữ liệu luồng giữa Spark Streaming và Kafka

Đoạn mã cấu hình luồng nhận dữ liệu thời gian thực từ Kafka, giải mã JSON và áp dụng cấu trúc dữ liệu trên Apache Spark Streaming (PySpark):

from pyspark.sql import SparkSession
from pyspark.sql.functions import from_json, col
from pyspark.sql.types import StructType, StructField, DoubleType, LongType, StringType

spark = SparkSession.builder \
    .appName("SDN-BigData-NIDS-Engine") \
    .config("spark.streaming.stopGracefullyOnShutdown", "true") \
    .getOrCreate()

# Schema định nghĩa các trường đặc trưng NetFlow
flow_schema = StructType([
    StructField("L4_SRC_PORT", LongType()),
    StructField("L4_DST_PORT", LongType()),
    StructField("PROTOCOL", LongType()),
    StructField("IN_BYTES", DoubleType()),
    StructField("OUT_BYTES", DoubleType()),
    StructField("IN_PKTS", DoubleType()),
    StructField("OUT_PKTS", DoubleType()),
    StructField("FLOW_DURATION_MILLISECONDS", DoubleType()),
    StructField("TCP_FLAGS", LongType()),
    StructField("MIN_TTL", DoubleType()),
    StructField("MAX_TTL", DoubleType())
])

kafka_df = spark.readStream \
    .format("kafka") \
    .option("kafka.bootstrap.servers", "localhost:9092") \
    .option("subscribe", "netflow-traffic-topic") \
    .option("startingOffsets", "latest") \
    .load()

parsed_stream = kafka_df.selectExpr("CAST(value AS STRING)") \
    .select(from_json(col("value"), flow_schema).alias("data")) \
    .select("data.*")

3. Tự động tương tác API ONOS để cô lập thiết bị tấn công

Khi luồng dữ liệu bị mô hình gán nhãn độc hại, hệ thống kích hoạt hàm chặn địa chỉ IP thông qua ONOS REST API:

import requests
import json

def block_malicious_source_ip(controller_ip, device_id, target_ip):
    url = f"http://{controller_ip}:8181/onos/v1/flows/{device_id}"
    headers = {
        "Content-Type": "application/json",
        "Accept": "application/json"
    }
    flow_rule = {
        "priority": 40000,
        "timeout": 0,
        "isPermanent": True,
        "deviceId": device_id,
        "treatment": {"instructions": []},  # Empty instructions = DROP packet
        "selector": {
            "criteria": [
                {"type": "ETH_TYPE", "ethType": "0x0800"},
                {"type": "IPV4_SRC", "ip": f"{target_ip}/32"}
            ]
        }
    }
    response = requests.post(url, data=json.dumps(flow_rule), auth=('onos', 'rocks'), headers=headers)
    return response.status_code == 201

Kiểm thử và đánh giá hiệu năng

Hệ thống được huấn luyện và đánh giá chéo trên hơn 73 triệu mẫu từ 3 bộ dữ liệu. Kết quả phân loại nhị phân ở Pha 1 và phân loại đa lớp ở Pha 2 đạt các chỉ số vượt trội:

Bộ dữ liệu Kích thước mẫu Thuật toán tối ưu Accuracy (%) TPR / Recall (%) FPR (%) Tốc độ xử lý (Flows/sec)
NF-BoT-IoT-v2 37,763,497 Random Forest (Pha 1) 99.98% 99.98% 0.02% 142,850
NF-CSE-CIC-IDS2018-v2 18,893,708 Random Forest (Pha 1) 97.82% 97.50% 0.18% 128,400
NF-ToN-IoT-v2 16,940,496 Decision Tree (Pha 1) 99.12% 99.20% 0.85% 165,200
Tổng thể hệ thống > 73,000,000 Hybrid RF + 1D-CNN 98.64% 98.89% 0.15% > 120,000

Thực nghiệm kiểm chứng thực tế trong môi trường SDN

  1. Kịch bản TCP SYN Flooding: Sử dụng công cụ hping3 phát sinh lưu lượng tràn gói SYN nhắm vào Web Server (10.0.0.42). Hệ thống phát hiện cuộc tấn công DDoS trong vòng 850ms, gửi lệnh OpenFlow xuống Switch S1 và giảm lưu lượng tấn công về 0 Kbps ngay lập tức.
  2. Kịch bản Port Scanning: Sử dụng Nmap quét toàn bộ các dải cổng dịch vụ. Mô hình nhận diện chính xác hành vi Scanning, ghi nhật ký vào Elasticsearch và hiển thị cảnh báo đỏ trên Dashboard Kibana.

Đổi mới và đóng góp

  1. Kiến trúc phân tầng 2 pha tối ưu hóa tài nguyên tính toán: Khắc phục nhược điểm chạy các mô hình Deep Learning nặng nề trên toàn bộ dữ liệu. Bằng cách dùng Random Forest/Decision Tree loại bỏ >90% lưu lượng bình thường ở Pha 1, mạng 1D-CNN ở Pha 2 chỉ cần tập trung phân loại chi tiết các mẫu độc hại, giúp giảm 78% tải tính toán toàn hệ thống.
  2. Trích xuất đặc trưng NetFlow độc lập với Payload: Sử dụng 43 thuộc tính thống kê luồng (IPFIX) giúp hệ thống hoạt động mượt mà ngay cả khi lưu lượng mạng bị mã hóa (HTTPS/TLS 1.3), bảo vệ tính riêng tư của dữ liệu người dùng.
  3. Phản ứng khép kín tự động (Autonomous Closed-Loop Defense): Tận dụng triệt để kiến trúc SDN để chuyển đổi từ trạng thái "phát hiện thụ động" sang "ngăn chặn chủ động tức thời" mà không cần can thiệp vật lý.

So sánh với các công trình nghiên cứu tiền nhiệm

Công trình Phương pháp tiếp cận Bộ dữ liệu thử nghiệm Độ chính xác (Accuracy) Cơ chế phản ứng tự động
Song et al. [28] Decision Tree + SDN KDD Cup 99 95.20% Định tuyến phân luồng
Shone et al. (NDAE) [31] Deep Autoencoder + RF KDD Cup 99 / NSL-KDD 97.85% Không có
Belouch et al. [36] Apache Spark + SVM/RF UNSW-NB15 97.49% Không có
Hệ thống đề xuất (2021) Hybrid ML/DL + Kafka + Spark + ONOS NF-V2 (>73M flows) 98.64% - 99.98% Có (ONOS REST API Flow Rules)

Ứng dụng thực tế và triển khai

Kịch bản triển khai thực tế

  • Trung tâm dữ liệu doanh nghiệp (Enterprise Data Center): Bảo vệ các máy chủ dịch vụ cốt lõi (Web, ERP, DB Server) trước nguy cơ tràn băng thông do Botnet hoặc tấn công nội bộ.
  • Hạ tầng nhà cung cấp dịch vụ mạng (ISP / Cloud Provider): Giám sát lưu lượng luồng tốc độ cao tại biên mạng, giảm tải cho các thiết bị tường lửa phần cứng đắt đỏ.
  • Mạng khuôn viên thông minh (Smart Campus / IoT Network): Kiểm soát và cách ly các thiết bị thông minh bị xâm nhập nhằm ngăn chặn tấn công leo thang đặc quyền.
+-------------------------------------------------------------------------------+
|                       ENTERPRISE DEPLOYMENT BLUEPRINT                         |
|                                                                               |
|                                          (Dynamic Block Rules)                |
+-------------------------------------------------------------------------------+

Yêu cầu cấu hình phần cứng tối thiểu

  • Cụm điều khiển & Phân tích Big Data (Master Node): CPU 8 Cores (Intel Xeon / AMD EPYC), 32 GB RAM, 500 GB NVMe SSD.
  • Cụm Worker Node (Xử lý Spark/Kafka): Tối thiểu 2 Worker Nodes, mỗi Node: CPU 8 Cores, 16 GB RAM, 250 GB SSD.
  • Hạ tầng SDN Data Plane: Các switch hỗ trợ chuẩn giao thức OpenFlow v1.3 trở lên hoặc máy chủ cài đặt Open vSwitch 2.13+.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật hiện tại

  • Hệ thống hiện mới triển khai thử nghiệm trên môi trường giả lập mạng Mininet; chưa đánh giá độ suy hao gói tin trên phần cứng chuyển mạch quang vật lý 100 Gbps.
  • Mô hình AI chưa tích hợp cơ chế học tăng cường (Reinforcement Learning) để tự cập nhật trọng số online khi xuất hiện các mẫu tấn công biến thể hoàn toàn mới.

Hướng phát triển trong tương lai

  • Mở rộng tích hợp công nghệ eBPF/XDP trực tiếp trong nhân Linux (Kernel Space) để tăng tốc độ phân tích gói tin ngay trước khi chuyển tiếp vào nProbe.
  • Phát triển module AI thích ứng chống lại các cuộc tấn công đối kháng (Adversarial Machine Learning Attacks) nhằm đánh lừa bộ phân loại luồng.
  • Mở rộng kiểm thử trên mạng SDN đa bộ điều khiển (Multi-Controller SDN Cluster) phân tán địa lý.

Đối tượng hưởng lợi

  • Kỹ sư An toàn thông tin & Quản trị mạng: Tiếp cận kiến trúc tham chiếu hoàn chỉnh để tự động hóa trung tâm giám sát an ninh (SOC), giảm thiểu 85% thời gian phản ứng trước các đợt bão lưu lượng DDoS.
  • Nhà phát triển hệ thống Big Data: Nắm vững mẫu thiết kế (Design Pattern) kết hợp Apache Kafka và Apache Spark Streaming trong các bài toán xử lý chuỗi sự kiện với độ trễ dưới 1 giây.
  • Sinh viên & Giảng viên ngành CNTT/An toàn thông tin: Nguồn tài liệu học thuật thực chứng chất lượng cao về phương pháp tiền xử lý và đánh giá mô hình học máy trên các bộ dữ liệu NetFlow tiêu chuẩn mới nhất.
  • Doanh nghiệp vừa và lớn: Giảm từ 40% đến 60% chi phí đầu tư thiết bị bảo mật chuyên dụng bằng cách tận dụng phần mềm mã nguồn mở trên nền tảng mạng khả lập trình.

Câu hỏi thường gặp

1. Yêu cầu kỹ thuật tối thiểu để triển khai hệ thống là gì?

Hệ thống yêu cầu hạ tầng hỗ trợ giao thức OpenFlow 1.3+ (như Open vSwitch), máy chủ chạy hệ điều hành Linux (Ubuntu Server 20.04 LTS), cài đặt môi trường Java 11 (cho ONOS/Kafka/Spark), Python 3.8+ và tối thiểu 32 GB RAM cho môi trường thử nghiệm phân tán.

2. Giới hạn khả năng mở rộng của hệ thống nằm ở đâu?

Khả năng mở rộng phụ thuộc vào năng lực của cụm Apache Spark và Apache Kafka. Do sử dụng kiến trúc phân tán theo chiều ngang (Horizontal Scaling), người quản trị chỉ cần bổ sung thêm các Worker Node vào cụm Spark/Kafka để nâng thông lượng xử lý lên hàng triệu luồng dữ liệu mỗi giây mà không cần thay đổi kiến trúc mã nguồn.

3. Hệ thống có thể tích hợp với các giải pháp mạng hiện có không?

Có. Nhờ sử dụng giao thức chuẩn công nghiệp NetFlow/IPFIX từ nProbe và chuẩn OpenFlow, hệ thống tương thích tốt với mọi thiết bị chuyển mạch hỗ trợ SDN của Cisco, Juniper, HP cũng như các giải pháp tường lửa thế hệ mới (NGFW).

4. Chi phí vận hành và bảo trì hệ thống như thế nào?

Toàn bộ ngăn xếp công nghệ (ONOS, Open vSwitch, Kafka, Spark, ELK Stack) đều là phần mềm nguồn mở miễn phí, giúp doanh nghiệp tiết kiệm hàng chục nghìn USD phí bản quyền định kỳ so với các giải pháp bảo mật thương mại độc quyền.

5. Tại sao đồ án chọn trích xuất NetFlow thay vì kiểm tra toàn bộ gói tin (DPI)?

Phân tích NetFlow chỉ sử dụng tiêu đề gói tin (43 đặc trưng thống kê L3/L4), giúp tốc độ phân tích nhanh hơn từ 10 đến 50 lần so với DPI, giảm thiểu dung lượng lưu trữ, hoạt động hiệu quả trên cả lưu lượng mã hóa HTTPS/TLS và tuân thủ nghiêm ngặt các quy định về bảo vệ quyền riêng tư dữ liệu.

Kết luận

Đồ án tốt nghiệp "Xây dựng hệ thống phát hiện xâm nhập dựa trên máy học cho mạng khả lập trình trong ngữ cảnh dữ liệu lớn" của nhóm tác giả Huỳnh Hoàng Hải và Nguyễn Xuân Hà là một công trình nghiên cứu ứng dụng chuyên sâu, giải quyết thành công bài toán an ninh mạng trong thời đại Big Data. Bằng việc kết hợp sáng tạo giữa mô hình học máy lai 2 pha, hạ tầng tính toán phân tán tốc độ cao (Kafka - Spark) và khả năng điều khiển mạng linh hoạt của SDN (ONOS - Open vSwitch), đề tài đã chứng minh tính khả thi vượt trội với độ chính xác phát hiện đạt tới 99.98% và khả năng tự động cô lập hiểm họa theo thời gian thực. Đây không chỉ là bước tiến quan trọng về mặt học thuật mà còn là giải pháp kỹ thuật có giá trị thực tiễn cao, mở ra hướng đi mới cho việc xây dựng các hệ sinh thái bảo mật mạng tự quản, thông minh và tối ưu chi phí cho các doanh nghiệp hiện đại.