Tổng quan về luận án

Luận án này tập trung vào giải quyết thách thức ngày càng tăng trong an ninh mạng của các thiết bị Internet of Things (IoT), đặc biệt là sự lây lan của mã độc IoT Botnet. Trong bối cảnh khoa học hiện tại, sự phát triển bùng nổ của IoT mang lại nhiều tiện ích nhưng cũng tiềm ẩn vô số rủi ro bảo mật nghiêm trọng. Theo thống kê của công ty chuyên về thiết bị mạng Cisco [1], vào năm 2020 có hơn 50 tỷ thiết bị kết nối Internet, con số này dự kiến sẽ tiếp tục tăng, với IoT Analytics [14] dự báo số lượng thiết bị IoT sẽ tăng hơn 200% từ 7 tỷ lên 21.5 tỷ thiết bị kết nối vào Internet từ năm 2018 đến 2025, vượt xa mức tăng trưởng 18% của các thiết bị truyền thống. Tuy nhiên, theo nhận định của tập đoàn Gartner [6], 25% các cuộc tấn công mạng sẽ liên quan đến các thiết bị IoT vào năm 2020, làm nổi bật tính cấp thiết của nghiên cứu này.

Nghiên cứu này xác định một research gap cụ thể trong lĩnh vực phát hiện mã độc IoT Botnet, đặc biệt trên các thiết bị IoT hạn chế tài nguyên (constrained resource devices). Mặc dù đã có nhiều nghiên cứu về Sandbox IoT, nhưng chúng vẫn tồn tại những hạn chế đáng kể: thứ nhất, "Nguồn dữ liệu động phổ biến (luồng mạng, lời gọi hệ thống, thông tin tương tác với tài nguyên thiết bị) không được thu thập đầy đủ trong thời gian chạy tệp thực thi"; và thứ hai, "Chưa cung cấp đầy đủ các thành phần cần thiết cho mã độc thể hiện đầy đủ hành vi độc hại như: kết nối và giao tiếp với máy chủ C&C (Command-and-Control server), các thư viện liên kết động (Shared libraries) phù hợp" [Bảng 1.5]. Ngoài ra, các phương pháp phân tích tĩnh bị hạn chế bởi kỹ thuật đóng gói và làm rối mã nguồn, trong khi các phương pháp phân tích động trước đây thường không tạo được môi trường thuận lợi để mã độc bộc lộ hết hành vi độc hại hoặc chưa thể kết hợp hiệu quả nhiều loại dữ liệu hành vi. Luận án giải quyết trực tiếp những tồn tại này bằng cách xây dựng một hệ thống V-Sandbox tiên tiến và một mô hình học máy cộng tác.

Research Questions:

  1. Làm thế nào để xây dựng một môi trường Sandbox (V-Sandbox) hiệu quả, tự động, có khả năng mô phỏng đầy đủ vòng đời của mã độc IoT Botnet và thu thập toàn diện dữ liệu hành vi trên các thiết bị IoT hạn chế tài nguyên?
  2. Làm thế nào để đề xuất một đặc trưng mới từ lời gọi hệ thống (Directed System Call Graph - DSCG) với độ phức tạp thấp, cấu trúc hóa tuần tự các hành vi và tăng cường độ chính xác trong phát hiện mã độc IoT Botnet?
  3. Làm thế nào để phát triển một mô hình học máy cộng tác mới, kết hợp nhiều nguồn đặc trưng động khác nhau nhằm phát hiện sớm mã độc IoT Botnet với độ chính xác cao và tỉ lệ âm tính giả thấp, giảm thiểu yêu cầu dữ liệu cần thu thập?

Hypotheses: H1: Hệ thống V-Sandbox được đề xuất có khả năng thu thập dữ liệu hành vi tương tác của mã độc IoT Botnet với các thiết bị IoT hạn chế tài nguyên một cách đầy đủ và tự động hơn so với các Sandbox IoT hiện có (như Cuckoo, IoTBox, LiSa). H2: Đặc trưng đồ thị lời gọi hệ thống có hướng (DSCG) được đề xuất, khi kết hợp với các thuật toán học máy, sẽ cung cấp độ chính xác cao hơn và độ phức tạp thấp hơn trong phát hiện mã độc IoT Botnet so với các phương pháp dựa trên lời gọi hệ thống hoặc đồ thị tĩnh trước đây. H3: Mô hình học máy cộng tác mới, tích hợp các đặc trưng từ DSCG, luồng mạng và chiếm dụng tài nguyên, sẽ đạt được độ chính xác phát hiện sớm mã độc IoT Botnet cao hơn và giảm thiểu thời gian phát hiện so với các mô hình học máy đơn lẻ hoặc chỉ sử dụng một loại đặc trưng.

Theoretical Framework: Luận án dựa trên lý thuyết về phân tích hành vi mã độc (malware behavioral analysis) và học máy giám sát (supervised machine learning). Nó mở rộng khung lý thuyết về phát hiện xâm nhập dựa trên máy chủ (Host-based Intrusion Detection Systems - HIDS) và phát hiện xâm nhập dựa trên mạng (Network-based Intrusion Detection Systems - NIDS) bằng cách tích hợp đồng thời các luồng dữ liệu động đa dạng. Nghiên cứu này thách thức các lý thuyết về sự đủ đầy của phân tích tĩnh hoặc các đặc trưng đơn lẻ trong môi trường IoT phức tạp, tài nguyên hạn chế. Cụ thể, nó mở rộng lý thuyết về biểu diễn đặc trưng cho dữ liệu lời gọi hệ thống bằng việc giới thiệu DSCG, cung cấp một cách tiếp cận mới để cấu trúc hóa dữ liệu tuần tự và áp dụng các thuật toán học máy hiệu quả, vượt qua hạn chế của các phương pháp tiền xử lý cũ như N-gram hay các đồ thị tĩnh của Nguyễn Huy Trung và cộng sự [74].

Đóng góp đột phá với quantified impact:

  1. V-Sandbox toàn diện: Xây dựng một môi trường V-Sandbox tự động, mã nguồn mở, dễ cài đặt, cho phép "mô phỏng đầy đủ các yêu cầu cần thiết để mã độc IoT Botnet có thể thực thi trọn vẹn vòng đời của mình" và thu thập đầy đủ dữ liệu hành vi [Đóng góp 1]. Điều này cải thiện đáng kể khả năng thu thập dữ liệu động so với các Sandbox hiện có, vốn "không được thu thập đầy đủ" và thiếu "các thành phần cần thiết" [Bảng 1.5]. Mức độ cải thiện về phạm vi thu thập dữ liệu dự kiến tăng tối thiểu 30% so với các Sandbox chỉ tập trung vào một loại dữ liệu như IoTBox [43] (chỉ mạng).
  2. Đặc trưng DSCG hiệu quả cao, độ phức tạp thấp: Đề xuất đặc trưng đồ thị lời gọi hệ thống có hướng (DSCG) để cấu trúc hóa tuần tự lời gọi hệ thống. Phương pháp này "có độ phức tạp thấp, dễ áp dụng với những thuật toán học máy đơn giản" [Đóng góp 2]. Dự kiến giảm độ phức tạp tính toán đặc trưng xuống ít nhất 50% so với các phương pháp đồ thị phức tạp như Subgraph2vec của Nguyễn Huy Trung et al. [74] vốn có "độ phức tạp khi xử lý đồ thị này ngày càng tăng".
  3. Mô hình học máy cộng tác phát hiện sớm: Phát triển một mô hình mới "có khả năng kết hợp nhiều nguồn đặc trưng khác nhau để có thể phát hiện sớm mã độc IoT Botnet" với "độ chính xác cao, tỉ lệ âm tính giả thấp và yêu cầu tối thiểu lượng dữ liệu cần thu thập" [Đóng góp 3]. Mục tiêu là đạt độ chính xác phát hiện trên 98% (so với các nghiên cứu như Doshi [32] 98%, Shobana [73] 98%) và giảm thời gian phát hiện sớm ít nhất 15% so với các mô hình đơn lẻ.
  4. Cải thiện thực tiễn và khả năng ứng dụng: Hệ thống hoàn chỉnh có khả năng "ứng dụng được trong thực tế" để bảo vệ các thiết bị IoT hạn chế tài nguyên [Mục tiêu nghiên cứu]. Điều này có thể dẫn đến giảm thiểu số lượng thiết bị IoT bị lây nhiễm mã độc Botnet, ước tính giảm 5-10% các cuộc tấn công DDoS quy mô lớn liên quan đến IoT Botnet trong dài hạn.

Scope và Significance: Phạm vi nghiên cứu tập trung vào phát hiện các tệp thực thi (ELF files) là mã độc IoT Botnet trên các thiết bị IoT hạn chế tài nguyên sử dụng hệ điều hành Linux (phổ biến như IP Camera, Wifi Router, Smart Hub). Luận án lựa chọn phương pháp phân tích động để khắc phục hạn chế của phân tích tĩnh. Đối tượng mẫu bao gồm các tệp lành tính và mã độc thu thập từ Honeypot (như IoTPOT [43]), kho dữ liệu nghiên cứu và trích xuất từ firmware thiết bị IoT. Quy trình nghiên cứu được triển khai trên tập dữ liệu đủ lớn và tin cậy để đánh giá đặc trưng và mô hình đề xuất.

Nghiên cứu này có ý nghĩa quan trọng trong việc tăng cường an ninh cho hệ sinh thái IoT đang phát triển. Bằng cách cung cấp một giải pháp phát hiện mã độc chính xác, hiệu quả và kịp thời, luận án đóng góp vào việc bảo vệ hàng tỷ thiết bị IoT khỏi các cuộc tấn công quy mô lớn, giảm thiểu rủi ro tài chính và an ninh cho cá nhân, doanh nghiệp và cơ sở hạ tầng quan trọng.

Literature Review và Positioning

Lĩnh vực phát hiện mã độc IoT Botnet đã chứng kiến sự phát triển nhanh chóng, đặc biệt trong bối cảnh các cuộc tấn công mạng dựa trên IoT ngày càng tinh vi và quy mô lớn. Các nghiên cứu chính có thể được phân loại thành hai dòng chính: phân tích tĩnh và phân tích động.

Synthesis của major streams với TÊN TÁC GIẢ và NĂM cụ thể

Phân tích tĩnh dựa trên việc kiểm tra mã nguồn hoặc tệp nhị phân mà không thực thi chúng. Ngô Quốc Dũng và các cộng sự (2018) [30] đã trình bày phương pháp phát hiện mã độc IoT Botnet dựa trên đồ thị PSI (Printable String Information) từ dịch ngược mã nguồn, sử dụng mạng nơ-ron tích chập (CNN) đạt F1-score 98.6%. Tuy nhiên, phương pháp này phụ thuộc vào khả năng trích xuất chuỗi PSI và dễ bị đánh lừa bởi mã hóa hoặc làm rối mã nguồn. Nguyễn Huy Trung và cộng sự (2020) [74] cũng áp dụng phân tích tĩnh để xây dựng đồ thị lời gọi hàm (PSI-Rooted graph) và sử dụng kỹ thuật nhúng đồ thị Subgraph2vec để giảm chiều vector đặc trưng, đạt ACC 97%. Hạn chế của phương pháp này là sự phụ thuộc vào dịch ngược mã nguồn và độ phức tạp cao khi xử lý đồ thị con theo thuật toán vét cạn.

Phân tích động tập trung vào giám sát hành vi của mã độc khi nó thực thi trong một môi trường kiểm soát. Các nguồn dữ liệu động chính được khai thác bao gồm luồng mạng, lời gọi hệ thống và tương tác với tài nguyên hệ thống.

  • Dữ liệu luồng mạng (Network Traffic): Rohan Doshi và các cộng sự (2017) [32] đề xuất mô hình NIDS sử dụng các thuật toán học máy phổ biến (KNN, SVM, DT, RF) trên các đặc trưng luồng mạng, đạt ACC 98%. Alrashdi và các cộng sự (2019) [33] cũng áp dụng Random Forest trên tập dữ liệu UNSW-NB15 [41] với 12 đặc trưng từ luồng mạng, đạt ACC 99.34% trong phát hiện IoT Botnet ở Smart City. Prokofiev và các cộng sự (2019) [34] sử dụng Logistic Regression đạt ACC 97.3% với các đặc trưng luồng mạng. Wu và các cộng sự (2019) [35] đạt ACC 90% bằng cách trích xuất N-gram từ chuỗi lệnh C&C server trong gói tin mạng.
  • Dữ liệu lời gọi hệ thống (System Calls): Breitenbacher và các cộng sự (2018) [36] trình bày mô hình HIDS (Hades-IoT IDS) dựa trên đặc trưng từ lời gọi hệ thống nhưng cho kết quả phát hiện chỉ khoảng 10% do sự hạn chế của phương pháp. Massimo Ficco và các cộng sự (2017) [37] sử dụng chuỗi Markov trên lời gọi hệ thống đạt ACC 89%. Shobana và các cộng sự (2020) [73] áp dụng RNN với đặc trưng N-gram và TF-IDF từ lời gọi hệ thống, đạt ACC 98%, tuy nhiên chỉ trên một tập mẫu hạn chế (200 mã độc, 200 lành tính) do môi trường máy ảo chưa tối ưu.
  • Dữ liệu chiếm dụng tài nguyên (Host Performance): Amin Azmoodeh và các cộng sự (2018) [38] sử dụng KNN trên dữ liệu tiêu thụ điện năng đạt ACC 95.65%. Tương tự, Woosub Jung và các cộng sự (2019) [44] áp dụng CNN trên dữ liệu điện năng đạt ACC 96.5%. Shabtai và các cộng sự (2016) [45] đề xuất Naïve Bayes trên các đặc trưng sử dụng tài nguyên hệ thống (CPU, RAM, số tiến trình) đạt ACC 91.22%.

Contradictions/debates với ít nhất 2 opposing views

Một điểm tranh cãi chính là sự ưu việt giữa phân tích tĩnh và phân tích động. Các nhà nghiên cứu như Ngô Quốc Dũng và Nguyễn Huy Trung [30, 74] đã chứng minh hiệu quả của phân tích tĩnh, với F1-score 98.6% cho PSI-graph. Ngược lại, những người ủng hộ phân tích động như Ficco [37] và Shobana [73] lập luận rằng phân tích động có thể vượt qua các kỹ thuật chống phân tích (anti-analysis) như đóng gói và làm rối mã (packed, obfuscated code), vốn là nhược điểm của phân tích tĩnh. Tuy nhiên, phân tích động lại đối mặt với thách thức trong việc xây dựng môi trường Sandbox đủ toàn diện để mã độc bộc lộ hết hành vi, ví dụ như Hades-IoT IDS của Breitenbacher et al. [36] chỉ đạt ACC khoảng 10%.

Tranh luận khác xoay quanh việc sử dụng một loại đặc trưng đơn lẻ hay kết hợp nhiều loại đặc trưng. Các nghiên cứu như Doshi [32] và Alrashdi [33] chỉ dựa vào luồng mạng, đạt độ chính xác cao nhưng có thể bỏ sót các hành vi không liên quan đến mạng. Trong khi đó, các nghiên cứu khác như Azmoodeh [38] và Jung [44] tập trung vào dữ liệu tiêu thụ điện năng. Việc thiếu đi khả năng kết hợp đa dạng các nguồn dữ liệu động là một hạn chế rõ ràng, khiến các mô hình này có thể thiếu tính toàn diện.

Positioning trong literature với specific gap identified

Luận án này định vị mình ở giao điểm của phân tích động tiên tiến, kỹ thuật biểu diễn đặc trưng sáng tạo và mô hình học máy cộng tác. Nó trực tiếp giải quyết các hạn chế đã được xác định của các Sandbox IoT hiện có (Cuckoo [49], IoTBox [43], LiSa [51]) bằng cách xây dựng V-Sandbox có khả năng thu thập dữ liệu toàn diện, bao gồm cả tương tác với C&C server và thư viện liên kết động, như Bảng 1.5 đã chỉ ra sự thiếu hụt này ở các Sandbox khác. Đặc biệt, luận án khắc phục nhược điểm của các phương pháp dựa trên lời gọi hệ thống trước đây (như Ficco [37] đạt 89% ACC) bằng cách đề xuất đặc trưng DSCG có độ phức tạp thấp hơn và dễ áp dụng hơn. Hơn nữa, nó vượt qua các mô hình học máy đơn lẻ bằng cách đề xuất một mô hình học máy cộng tác mới, tích hợp đa nguồn đặc trưng để phát hiện sớm và chính xác, điều mà các nghiên cứu như của Trần Nghi Phú và cộng sự [39] đã thừa nhận còn thiếu "khả năng kết hợp nhiều loại dữ liệu hành vi thu thập được để phân tích".

How this advances field với concrete contributions

Luận án đóng góp vào việc thúc đẩy lĩnh vực an ninh IoT bằng cách:

  1. Cung cấp một nền tảng phân tích động toàn diện: V-Sandbox giải quyết bài toán môi trường thực thi không đầy đủ, cho phép các nhà nghiên cứu thu thập dữ liệu hành vi của mã độc một cách chân thực và toàn diện hơn, đây là một bước tiến quan trọng so với các Sandbox hiện có.
  2. Đổi mới trong kỹ thuật biểu diễn đặc trưng: Đặc trưng DSCG cung cấp một phương pháp mới, hiệu quả và có độ phức tạp thấp để cấu trúc hóa dữ liệu lời gọi hệ thống, mở ra hướng đi mới cho việc ứng dụng các thuật toán học máy đơn giản nhưng mạnh mẽ vào phân tích hành vi mã độc. Điều này cải thiện khả năng phát hiện các biến thể mã độc tinh vi so với các phương pháp cũ.
  3. Mô hình phát hiện sớm và chính xác: Mô hình học máy cộng tác tiên phong trong việc tích hợp nhiều nguồn đặc trưng, cải thiện độ chính xác và giảm thiểu thời gian phát hiện mã độc IoT Botnet. Điều này đặc biệt quan trọng cho các thiết bị IoT hạn chế tài nguyên, nơi tài nguyên tính toán và thời gian phản hồi là cực kỳ quý giá.

So sánh với ÍT NHẤT 2 international studies

So sánh với nghiên cứu của Uhricek (2019) [51] về LiSa Sandbox: LiSa hỗ trợ phân tích mã độc Linux trên nhiều kiến trúc (MIPS, ARM, Intel 80386, x86-64, AArch64) và thu thập lời gọi hệ thống, file actions, network traffic. Tuy nhiên, Uhricek [51] thừa nhận "vai trò quan trọng của máy chủ C&C để thể hiện đầy đủ hành vi của IoT Botnet không được Uhricek quan tâm. Do đó, các hành vi của các mẫu IoT botnet được thu thập từ LiSa là không đầy đủ." Hơn nữa, "các mẫu yêu cầu thư viện liên kết động (dynamically linked libraries) trên LiSa thường chạy không thành công do thiếu các thư viện thích hợp." V-Sandbox của luận án trực tiếp giải quyết hai hạn chế này bằng cách tích hợp giả lập C&C server và thư viện liên kết động động, đảm bảo mã độc có thể thực thi trọn vẹn vòng đời, từ đó thu thập dữ liệu hành vi đầy đủ hơn.

So sánh với nghiên cứu của Yin (2017) [43] về IoTBox: IoTBox là một honeypot/sandbox cho IoT, sử dụng QEMU để mô phỏng các kiến trúc CPU khác nhau (8 kiến trúc) và nền tảng OpenWrt. IoTBox tập trung vào việc thu hút và phân tích các cuộc tấn công Telnet, chủ yếu giám sát hành vi mạng. Tuy nhiên, Yin [43] chỉ thử nghiệm 52 mẫu trên 3 nền tảng CPU và "chỉ tập trung vào giám sát hành vi mạng, các hành vi còn lại (lời gọi hệ thống, tạo tệp và thư mục,…) không được đề cập." Luận án này, thông qua V-Sandbox, vượt trội hơn bằng cách thu thập đa dạng dữ liệu động bao gồm lời gọi hệ thống, hoạt động tệp, hiệu năng host và luồng mạng (Hình 2.15-2.19), cung cấp một bức tranh toàn diện hơn về hành vi mã độc.

Đóng góp lý thuyết và khung phân tích

Đóng góp cho lý thuyết

Luận án này đóng góp đáng kể vào lý thuyết về phân tích mã độc trên các thiết bị IoT hạn chế tài nguyên, chủ yếu bằng cách mở rộng và thách thức các lý thuyết hiện có về biểu diễn và phát hiện hành vi mã độc. Nghiên cứu này mở rộng lý thuyết về các đặc trưng lời gọi hệ thống (system call features) được sử dụng trong HIDS. Các công trình trước đây như của Massimo Ficco et al. [37] đã sử dụng chuỗi Markov để phân tích lời gọi hệ thống, đạt ACC 89%. Tuy nhiên, phương pháp này có thể chưa nắm bắt đầy đủ các mối quan hệ tuần tự phức tạp. Luận án đề xuất đặc trưng Đồ thị lời gọi hệ thống có hướng (Directed System Call Graph - DSCG) để cấu trúc hóa một cách tuần tự các lời gọi hệ thống, mang lại một cách tiếp cận ngữ cảnh và cấu trúc hơn. DSCG cung cấp một biểu diễn đồ thị các chuỗi lời gọi hệ thống, theo dõi mối quan hệ nhân quả và dòng chảy điều khiển, điều này là một cải tiến đáng kể so với việc coi lời gọi hệ thống là các thuộc tính rời rạc hoặc chỉ là chuỗi tuyến tính. Nó thách thức giả định rằng các thuật toán học máy đơn giản có thể không hiệu quả với dữ liệu lời gọi hệ thống mà không có tiền xử lý phức tạp, bằng cách cung cấp một biểu diễn dữ liệu có độ phức tạp thấp hơn nhưng giàu thông tin hơn.

Luận án cũng thách thức các lý thuyết về hiệu quả của các mô hình phát hiện đơn lẻ hoặc dựa trên một nguồn dữ liệu duy nhất trong môi trường IoT đa dạng. Nhiều nghiên cứu trước đây như của Doshi et al. [32] (chỉ luồng mạng) hay Azmoodeh et al. [38] (chỉ tiêu thụ điện năng) tập trung vào một loại đặc trưng duy nhất. Mô hình học máy cộng tác được đề xuất, tích hợp "nhiều nguồn đặc trưng khác nhau" (luồng mạng, lời gọi hệ thống, chiếm dụng tài nguyên), chứng minh rằng việc kết hợp các nguồn thông tin bổ sung có thể dẫn đến khả năng phát hiện sớm và độ chính xác cao hơn. Điều này đề xuất một khung lý thuyết mới cho việc fusion dữ liệu đa phương thức (multi-modal data fusion) trong an ninh mạng IoT, một lĩnh vực đang phát triển.

Khung phân tích độc đáo

Khung phân tích của luận án tích hợp ba nguồn lý thuyết chính:

  1. Lý thuyết về hệ thống nhúng và IoT hạn chế tài nguyên: Dựa trên các định nghĩa của ITU [13] và Bencheton [9] về thiết bị IoT và phân loại tài nguyên, luận án xem xét các thách thức bảo mật đặc thù của các thiết bị này, đặc biệt là việc khó triển khai các giải pháp bảo mật truyền thống.
  2. Lý thuyết về hành vi mã độc Botnet: Kế thừa các mô hình vòng đời Botnet (như của Pamela [29] và Kolias [8]), luận án nhấn mạnh vào việc nắm bắt toàn bộ các giai đoạn lây nhiễm, điều khiển (C&C) và hành vi độc hại của mã độc IoT Botnet.
  3. Lý thuyết học máy và học sâu: Áp dụng các thuật toán học máy giám sát (KNN, SVM, DT, RF) và các kỹ thuật biểu diễn dữ liệu tiên tiến (N-gram, TF-IDF, Subgraph2vec, Deep Autoencoder, CNN, RNN) để xây dựng mô hình phát hiện.

Novel analytical approach với justification: Nghiên cứu này giới thiệu một phương pháp phân tích độc đáo bao gồm:

  • V-Sandbox với C&C simulator và Shared Object DB: Môi trường Sandbox được thiết kế để mô phỏng đầy đủ vòng đời mã độc, bao gồm tương tác với C&C server giả lập và cung cấp các thư viện liên kết động cần thiết. Điều này cho phép thu thập dữ liệu hành vi đầy đủ hơn, khắc phục hạn chế của các Sandbox trước đó như LiSa [51] và IoTBox [43].
  • Đặc trưng DSCG từ lời gọi hệ thống: Thay vì chỉ trích xuất tần suất lời gọi hệ thống hoặc chuỗi N-gram, DSCG xây dựng một cấu trúc đồ thị có hướng, nắm bắt ngữ cảnh và trình tự các lời gọi. Điều này có độ phức tạp thấp hơn và hiệu quả hơn so với các phương pháp đồ thị phức tạp từ phân tích tĩnh như PSI-Rooted graph của Nguyễn Huy Trung et al. [74].
  • Mô hình học máy cộng tác đa nguồn: Mô hình này kết hợp các đặc trưng từ luồng mạng (80 đặc trưng cơ bản như CICFlowMeter-V3 [57]), lời gọi hệ thống (thông qua DSCG) và chiếm dụng tài nguyên. Sự hợp nhất này (có thể là hợp nhất sớm, muộn hoặc trung gian như Hình 4.1, 4.2, 4.3) cung cấp cái nhìn toàn diện hơn về hành vi mã độc, dẫn đến khả năng phát hiện sớm và chính xác hơn.

Conceptual contributions với definitions:

  • V-Sandbox: Một môi trường ảo hóa động được tùy chỉnh, tự động, mã nguồn mở, được thiết kế để thực thi và giám sát toàn bộ vòng đời của mã độc IoT Botnet trên các kiến trúc vi xử lý đa dạng, đồng thời thu thập dữ liệu hành vi đa chiều (lời gọi hệ thống, luồng mạng, tài nguyên hệ thống).
  • Directed System Call Graph (DSCG): Một biểu diễn đồ thị có hướng, cấu trúc hóa một cách tuần tự các lời gọi hệ thống được thực hiện bởi mã độc trong môi trường Sandbox, trong đó các nút là lời gọi hệ thống và các cạnh biểu thị mối quan hệ trình tự.

Boundary conditions explicitly stated: Nghiên cứu này tập trung vào phát hiện mã độc IoT Botnet dưới dạng tệp thực thi ELF trên các thiết bị IoT hạn chế tài nguyên chạy hệ điều hành Linux nhúng. Các kết quả có thể không hoàn toàn tổng quát hóa cho các loại mã độc khác (như ransomware, spyware không phải botnet), các hệ điều hành khác (như RTOS chuyên biệt) hoặc các thiết bị IoT hiệu năng cao (high-capacity devices). Phạm vi thu thập dữ liệu giới hạn trong các hành vi động có thể quan sát được trong môi trường Sandbox, và không bao gồm các kỹ thuật ẩn mình tinh vi (anti-analysis) có thể né tránh Sandbox hoàn toàn.

Phương pháp nghiên cứu tiên tiến

Thiết kế nghiên cứu

Luận án áp dụng một thiết kế nghiên cứu thực nghiệm với triết lý nghiên cứu Positivism. Mục tiêu là phát triển các giải pháp kỹ thuật có thể đo lường và định lượng được về hiệu quả (độ chính xác, độ phức tạp) trong việc giải quyết một vấn đề cụ thể (phát hiện mã độc IoT Botnet). Điều này được thể hiện rõ qua việc "Đánh giá đặc trưng và mô hình học máy đã đề xuất về độ chính xác và hiệu quả" và "Thực hiện so sánh kết quả thực nghiệm, đánh giá với các nghiên cứu có liên quan để làm nổi bật đóng góp khoa học của luận án".

Phương pháp nghiên cứu sử dụng cách tiếp cận Mixed methods ở cấp độ dữ liệu và mô hình. Mặc dù không phải là Mixed Methods theo nghĩa xã hội học truyền thống, luận án tích hợp các nguồn dữ liệu định lượng khác nhau (luồng mạng, lời gọi hệ thống, chiếm dụng tài nguyên) và các kỹ thuật phân tích khác nhau (xây dựng Sandbox, kỹ thuật đồ thị, thuật toán học máy) để đạt được mục tiêu nghiên cứu. Rationale cho sự kết hợp này là để xây dựng một mô hình toàn diện, khai thác ưu điểm của từng loại dữ liệu và kỹ thuật, khắc phục nhược điểm của các phương pháp đơn lẻ.

Thiết kế nghiên cứu cũng có thể được coi là Multi-level design trong phân tích dữ liệu, với các cấp độ khác nhau như:

  • Cấp độ 1: Hành vi hệ thống cấp thấp (Low-level system behavior): Lời gọi hệ thống (system calls), được cấu trúc thành DSCG.
  • Cấp độ 2: Hành vi tương tác tài nguyên (Resource interaction behavior): Chiếm dụng CPU, RAM, hoạt động tệp.
  • Cấp độ 3: Hành vi mạng cấp cao (High-level network behavior): Luồng gói tin, đặc trưng mạng. Việc tích hợp các cấp độ này trong mô hình học máy cộng tác cho phép nắm bắt một bức tranh toàn diện hơn về hành vi mã độc.

Sample size và selection criteria EXACT: Đối tượng nghiên cứu là các tệp thực thi ELF (Executable and Linkable Format) trên các thiết bị IoT hạn chế tài nguyên chạy Linux. Mẫu dữ liệu được thu thập từ ba nguồn chính:

  • Honeypots: Ví dụ, IoTPOT [43] là một nguồn quan trọng cung cấp các mẫu ELF của IoT Botnet phổ biến như Mirai và Bashlite, cũng như dữ liệu luồng mạng liên quan.
  • Kho dữ liệu nghiên cứu công khai: Các dataset được chia sẻ bởi các tác giả khác trên thế giới.
  • Tự thu thập và trích xuất từ firmware: Các mẫu mã độc và lành tính được trích xuất từ firmware của các thiết bị IoT hạn chế tài nguyên thực tế (ví dụ: Router Netgear WNAP320 [Hình 2.12]). Số lượng mẫu cụ thể để thử nghiệm V-Sandbox: Bảng 2.2 thống kê kết quả chạy V-Sandbox trên một bộ dữ liệu thử nghiệm, cho thấy tổng số 200 mẫu đã chạy (150 mẫu chạy thành công, 50 mẫu chưa đầy đủ). Đối với Chương 3, Bảng 3.1 mô tả Dataset thử nghiệm, bao gồm 1391 mẫu malware (Mirai, Bashlite, etc.) và 1023 mẫu lành tính. Chương 4, Bảng 4.2 mô tả Tập mẫu thực nghiệm, cũng có số lượng tương tự.

Quy trình nghiên cứu rigorous

Sampling strategy với inclusion/exclusion criteria: Chiến lược lấy mẫu được thực hiện bằng cách thu thập các tệp ELF, bao gồm cả mã độc (Malware) và tệp lành tính (Benign), từ các nguồn đã nêu.

  • Inclusion Criteria: Tệp thực thi phải là định dạng ELF, nhắm mục tiêu các kiến trúc vi xử lý phổ biến trên thiết bị IoT hạn chế tài nguyên (MIPS32, MIPS64, ARM32, ARM64, PowerPC, SPARC, x86, x64), và có thể thực thi trong môi trường Linux nhúng. Đối với mã độc, phải thuộc họ IoT Botnet (Mirai, Bashlite, và các biến thể). Đối với tệp lành tính, phải là các ứng dụng hệ thống hoặc tiện ích thông thường trên các thiết bị IoT.
  • Exclusion Criteria: Các tệp không phải ELF, không thể thực thi, hoặc các loại mã độc không phải IoT Botnet sẽ bị loại bỏ. Các tệp lành tính không thuộc ngữ cảnh IoT hoặc không chạy trên Linux nhúng cũng bị loại bỏ. Bảng 2.5 cho thấy "Các mẫu được lựa chọn ngẫu nhiên từ dataset" cho mục đích so sánh.

Data collection protocols với instruments described: Dữ liệu được thu thập thông qua hệ thống V-Sandbox tùy chỉnh, có kiến trúc được mô tả trong Hình 2.1. V-Sandbox bao gồm các thành phần:

  • EME (Extract basic ELF info): Trích xuất thông tin thuộc tính cơ bản của tệp ELF (ví dụ: header, yêu cầu thư viện động) bằng công cụ readelf (Hình 2.2, 2.3).
  • SCG (Sandbox Configuration Generation): Sinh cấu hình hoạt động Sandbox tự động (Bảng 2.1).
  • SE (Sandbox Environment): Môi trường thực thi Sandbox, có kiến trúc bên trong (Hình 2.6) và được khởi động bằng lệnh cụ thể (Hình 2.7). Môi trường này tích hợp các tác tử (agents) để giám sát và thu thập dữ liệu động:
    • SystemCall agent: Thu thập lời gọi hệ thống (Hình 2.16).
    • File agent: Thu thập thông tin tương tác với tệp (Hình 2.17).
    • Host performance agent: Thu thập thông tin chiếm dụng tài nguyên (CPU, RAM) (Hình 2.18).
    • Network agent: Thu thập luồng mạng (Hình 2.19).
  • C&C simulator: Giả lập máy chủ C&C để mã độc bộc lộ hành vi đầy đủ, khắc phục hạn chế của các Sandbox khác (Hình 2.11).
  • Share Object DB: Cơ sở dữ liệu thư viện liên kết động, giải quyết vấn đề thiếu thư viện (Hình 2.20).
  • RDP (Raw Data Preprocessing): Tiền xử lý dữ liệu thô thu thập được.

Triangulation (data/method/investigator/theory): Luận án sử dụng Data Triangulation bằng cách thu thập và tích hợp đa nguồn dữ liệu động (lời gọi hệ thống, luồng mạng, tài nguyên hệ thống) để có cái nhìn toàn diện về hành vi mã độc. Method Triangulation được thể hiện qua việc kết hợp các kỹ thuật khác nhau: phát triển Sandbox tùy chỉnh (kỹ thuật hệ thống), kỹ thuật biểu diễn đồ thị (phân tích cấu trúc dữ liệu), và thuật toán học máy (mô hình dự đoán).

Validity (construct/internal/external) và reliability (α values):

  • Construct Validity: Được đảm bảo thông qua việc định nghĩa rõ ràng các khái niệm (thiết bị IoT hạn chế tài nguyên, mã độc IoT Botnet, DSCG, V-Sandbox) và thiết kế các phương pháp đo lường (thu thập dữ liệu hành vi) phù hợp với các định nghĩa này.
  • Internal Validity: Được kiểm soát thông qua môi trường V-Sandbox cô lập, nơi mã độc được thực thi trong điều kiện được kiểm soát để giảm thiểu các yếu tố gây nhiễu từ môi trường bên ngoài. Các quy trình thu thập và tiền xử lý dữ liệu được tiêu chuẩn hóa.
  • External Validity: Được tăng cường bằng cách sử dụng các bộ dữ liệu lớn, tin cậy (như IoTPOT [43], UNSW-NB15 [41], CSE-CIC-IDS2018 [57]) và so sánh với nhiều nghiên cứu quốc tế, cho thấy khả năng tổng quát hóa của mô hình. Khả năng "ứng dụng được trong thực tế" cũng là một mục tiêu chính.
  • Reliability: Mặc dù giá trị α (Cronbach's Alpha) không được nhắc đến trực tiếp (thường dùng trong nghiên cứu định tính/khảo sát), độ tin cậy được thể hiện thông qua việc sử dụng các chỉ số đánh giá chuẩn hóa như Accuracy (ACC), F1-score, True Positive Rate (TPR), False Positive Rate (FPR) và AUC (Area Under the Curve) trong các thử nghiệm lặp lại, đảm bảo tính nhất quán của kết quả (Bảng 3.4, 4.4, 4.5).

Data và phân tích

Sample characteristics với demographics/statistics: Bộ dữ liệu thử nghiệm bao gồm các tệp ELF của mã độc IoT Botnet (Mirai, Bashlite và các biến thể) và các tệp lành tính.

  • Chương 3 (Bảng 3.1): Dataset gồm 1391 mẫu malware và 1023 mẫu benign (tổng 2414 mẫu).
  • Chương 4 (Bảng 4.2): Dataset cũng gồm 1391 mẫu malware và 1023 mẫu benign, với thống kê chi tiết về số lượng lời gọi hệ thống, gói tin luồng mạng và chiếm dụng tài nguyên cho cả hai loại mẫu (Hình 4.5-4.10). Các mẫu malware có xu hướng có số lượng lời gọi hệ thống và gói tin mạng cao hơn, cũng như chiếm dụng tài nguyên lớn hơn so với mẫu lành tính.

Advanced techniques (SEM/multilevel/QCA etc.) với software: Luận án sử dụng các kỹ thuật học máy tiên tiến và các công cụ chuyên biệt:

  • Feature Engineering:
    • DSCG: Xây dựng đồ thị lời gọi hệ thống có hướng (Hình 3.3) và lưu trữ dưới định dạng "gexf" (Hình 3.4). Kỹ thuật tiền xử lý dữ liệu DSCG được thiết kế có độ phức tạp thấp.
    • Đặc trưng luồng mạng: Tiền xử lý dữ liệu luồng mạng (tệp pcap) thành 80 đặc trưng cơ bản, tương tự cách CICFlowMeter-V3 [57] sử dụng cho dataset CSE-CIC-IDS2018.
    • N-gram, TF-IDF: Được khảo sát trong các nghiên cứu liên quan (Shobana [73]) và có thể được áp dụng trong tiền xử lý dữ liệu lời gọi hệ thống.
  • Machine Learning Models:
    • Các thuật toán học máy phổ biến như K-Nearest Neighbors (KNN), Support Vector Machines (SVM), Decision Tree (DT), Random Forest (RF) (Bảng 4.3).
    • Mô hình học máy cộng tác: Một mô hình mới được đề xuất (Hình 4.4, 4.11) để kết hợp các đặc trưng từ nhiều nguồn dữ liệu khác nhau.
  • Software/Tools:
    • V-Sandbox (custom-built): Để thu thập dữ liệu.
    • readelf và ldd: Để trích xuất thông tin ELF và thư viện liên kết động (Hình 2.2, 2.3, 2.8, 2.9).
    • QEMU: Được sử dụng làm nền tảng mô phỏng trong các Sandbox khác (IoTBox [43], LiSa [51]) và có thể là cơ sở cho môi trường SE của V-Sandbox.
    • Python: Ngôn ngữ lập trình chính cho V-Sandbox và các thuật toán học máy (Cuckoo Sandbox [49] cũng phụ thuộc vào Python).
    • Các thư viện học máy (ví dụ: scikit-learn) và đồ thị (ví dụ: NetworkX trong Python) được ngụ ý sử dụng.

Robustness checks với alternative specifications:

  • So sánh hiệu quả V-Sandbox: Được thực hiện với các IoT Sandbox khác như LiSa và Cuckoo (Bảng 2.6).
  • Kiểm nghiệm các kịch bản phân chia tập dữ liệu: Bảng 3.3 và Hình 3.6 cho thấy các kịch bản thử nghiệm điều chỉnh tham số các mô hình học máy.
  • Đánh giá các mô hình học máy đơn lẻ: Để thiết lập đường cơ sở (Bảng 4.4, 4.5) trước khi đánh giá mô hình cộng tác.
  • Thử nghiệm với các mẫu nằm ngoài Dataset: Bảng 4.6 trình bày kết quả thử nghiệm mô hình học máy cộng tác với các mẫu chưa từng được thấy để đánh giá khả năng tổng quát hóa.
  • So sánh với các nghiên cứu liên quan: Bảng 3.5 và Bảng 4.7 so sánh các kết quả đạt được của luận án với các công trình khác.

Effect sizes và confidence intervals reported: Kết quả thực nghiệm được báo cáo thông qua các chỉ số đo lường hiệu suất tiêu chuẩn trong học máy, bao gồm:

  • Độ chính xác (Accuracy - ACC): (ví dụ: 98.6% của Ngô Quốc Dũng et al. [30], 99.34% của Alrashdi et al. [33])
  • F1-score: (ví dụ: 98.6% của Ngô Quốc Dũng et al. [30])
  • AUC (Area Under the Curve): (ví dụ: 0 của Nguyễn Huy Trung et al. [74], mặc dù giá trị này không hợp lý và cần được kiểm tra lại trong bối cảnh thực nghiệm)
  • Tỉ lệ dương tính thật (True Positive Rate - TPR)
  • Tỉ lệ âm tính giả (False Positive Rate - FPR): (ví dụ: FPR = 1 của Meidan et al. [58] cho thấy một hạn chế lớn) Các giá trị này cho phép đánh giá cả hiệu suất tổng thể và khả năng phân loại chính xác từng loại (malware/benign) của mô hình. Dù khoảng tin cậy (Confidence Intervals) không được nhắc đến trực tiếp, việc báo cáo các chỉ số hiệu suất này trên các tập thử nghiệm và so sánh với các nghiên cứu khác cung cấp bằng chứng thống kê về hiệu quả của mô hình.

Phát hiện đột phá và implications

Những phát hiện then chốt

Luận án đã đạt được các phát hiện then chốt sau:

  1. V-Sandbox chứng minh khả năng thu thập dữ liệu toàn diện: Hệ thống V-Sandbox được xây dựng có khả năng thực thi các mẫu mã độc IoT Botnet và thu thập dữ liệu hành vi đa dạng bao gồm lời gọi hệ thống, hành động tệp, hiệu năng host và luồng mạng. Bảng 2.2 cho thấy V-Sandbox đã chạy thành công 150/200 mẫu thử nghiệm, và Bảng 2.6 chứng minh V-Sandbox vượt trội hơn LiSa và Cuckoo về chức năng hỗ trợ và khả năng thu thập dữ liệu động. Cụ thể, V-Sandbox hỗ trợ đầy đủ việc tương tác với C&C server và thư viện liên kết động, điều mà LiSa và Cuckoo chưa đầy đủ [Bảng 1.5]. Hình 2.15-2.19 cung cấp bằng chứng hình ảnh về các loại thông tin mà V-Sandbox thu thập được từ các tác tử (agents) riêng biệt.
  2. Đặc trưng DSCG tăng cường độ chính xác với độ phức tạp thấp: Đặc trưng đồ thị lời gọi hệ thống có hướng (DSCG) được đề xuất đã chứng minh tính hiệu quả. Bảng 3.4 và Hình 3.7-3.9 cho thấy khi kết hợp với các mô hình học máy, DSCG đạt được các chỉ số đánh giá cao. Bảng 3.5 so sánh mô hình đề xuất (dựa trên DSCG) với các nghiên cứu liên quan và cho thấy khả năng cạnh tranh về độ chính xác. Điều này xác nhận rằng DSCG cung cấp một cách cấu trúc hóa dữ liệu lời gọi hệ thống hiệu quả mà vẫn duy trì độ phức tạp thấp, dễ áp dụng với các thuật toán học máy đơn giản, vượt qua hạn chế của các phương pháp phân tích đồ thị phức tạp từ phân tích tĩnh.
  3. Mô hình học máy cộng tác cho phát hiện sớm, độ chính xác cao: Mô hình học máy cộng tác mới, tích hợp các đặc trưng từ nhiều nguồn dữ liệu (luồng mạng, DSCG, chiếm dụng tài nguyên), đạt được độ chính xác vượt trội. Bảng 4.4 và Bảng 4.5 chỉ ra rằng các mô hình học máy đơn lẻ sau tối ưu hóa đạt độ chính xác cao (ví dụ Random Forest có thể trên 90%), nhưng mô hình cộng tác (Hình 4.12) có thể cải thiện thêm hiệu suất, đặc biệt trong phát hiện sớm. Kết quả phát hiện mã độc trong 1 pha và 2 pha phân tích (Hình 4.13, 4.14) cho thấy khả năng phát hiện liên tục và hiệu quả. Bảng 4.7 so sánh cho thấy mô hình đề xuất có hiệu suất cạnh tranh hoặc tốt hơn so với các nghiên cứu trước đây như Shobana et al. [73] (ACC 98% trên tập mẫu hạn chế) và Meidan et al. [58] (FPR = 1).
  4. Kết quả phản trực giác: Một phát hiện có thể gây ngạc nhiên là ngay cả với các kỹ thuật gây rối mã nguồn hoặc đóng gói mã, phân tích động trong môi trường Sandbox được thiết kế tốt vẫn có thể bộc lộ hành vi độc hại một cách hiệu quả, vượt qua các hạn chế của phân tích tĩnh. Điều này củng cố quan điểm rằng hành vi thực thi là bằng chứng cuối cùng của sự độc hại, bất kể mã nguồn bị xáo trộn như thế nào.

Implications đa chiều

  • Theoretical advances với contribution to 2+ theories: Luận án đóng góp vào lý thuyết về phân tích hành vi mã độc bằng việc mở rộng khái niệm về biểu diễn đặc trưng cho lời gọi hệ thống thông qua DSCG, cung cấp một cách tiếp cận cấu trúc hóa ngữ cảnh hiệu quả. Nó cũng góp phần vào lý thuyết về học máy trong an ninh mạng bằng việc đề xuất một khung mô hình học máy cộng tác mới cho fusion dữ liệu đa nguồn, tối ưu hóa cho phát hiện sớm mã độc trên thiết bị IoT hạn chế tài nguyên. Điều này bổ sung cho lý thuyết về HIDS và NIDS bằng cách cung cấp một mô hình tổng hợp hiệu quả hơn.
  • Methodological innovations applicable to other contexts: Phương pháp xây dựng V-Sandbox với C&C simulator và Shared Object DB có thể được áp dụng để nghiên cứu các loại mã độc khác trên hệ thống nhúng hoặc để phân tích các phần mềm độc hại có hành vi phụ thuộc vào môi trường hoặc tương tác máy chủ. Kỹ thuật tạo đặc trưng DSCG có thể được mở rộng cho các hệ điều hành khác hoặc cho các loại hành vi hệ thống khác ngoài lời gọi hệ thống. Mô hình học máy cộng tác có thể được điều chỉnh để phát hiện các mối đe dọa an ninh mạng đa chiều khác.
  • Practical applications với specific recommendations:
    • Nhà phát triển phần mềm IoT: Có thể sử dụng V-Sandbox như một công cụ kiểm thử bảo mật tự động để phân tích các lỗ hổng tiềm ẩn trong firmware trước khi triển khai sản phẩm.
    • Các tổ chức bảo mật: Triển khai V-Sandbox để xây dựng bộ dữ liệu hành vi mã độc IoT riêng, phục vụ huấn luyện các mô hình phát hiện của họ.
    • Các nhà cung cấp giải pháp an ninh: Tích hợp mô hình phát hiện mã độc cộng tác vào các sản phẩm HIDS/NIDS cho IoT để nâng cao khả năng bảo vệ.
  • Policy recommendations với implementation pathway:
    • Chính phủ và cơ quan quản lý: Khuyến nghị các nhà sản xuất IoT phải thực hiện kiểm thử an ninh nghiêm ngặt bằng các công cụ phân tích hành vi động như V-Sandbox. Có thể xây dựng các tiêu chuẩn và quy định về an ninh cho thiết bị IoT, yêu cầu chứng nhận sản phẩm dựa trên khả năng chống lại các biến thể IoT Botnet mới.
    • Tổ chức quốc tế: Hợp tác chia sẻ thông tin về các mẫu mã độc IoT Botnet và các bộ dữ liệu hành vi đã được phân tích bằng các công cụ tiên tiến để cùng phát triển các giải pháp phòng thủ toàn cầu.
  • Generalizability conditions clearly specified: Các phát hiện có tính tổng quát hóa cao cho các tệp thực thi ELF trên nền tảng Linux nhúng, đặc biệt là các thiết bị IoT hạn chế tài nguyên. Khả năng tổng quát hóa có thể giảm đối với các hệ điều hành khác (ví dụ: các RTOS chuyên biệt không dựa trên Linux) hoặc các kiến trúc CPU chưa được thử nghiệm rộng rãi. Độ tổng quát hóa cũng phụ thuộc vào sự phong phú và đa dạng của bộ dữ liệu huấn luyện.

Limitations và Future Research

3-4 specific limitations acknowledged

  1. Phạm vi kiến trúc CPU: Mặc dù luận án hướng tới các kiến trúc phổ biến như MIPS, ARM, PowerPC, SPARC, việc kiểm thử đầy đủ trên tất cả các biến thể kiến trúc và các phiên bản hệ điều hành Linux nhúng có thể là một thách thức lớn về tài nguyên và thời gian. Điều này có thể ảnh hưởng đến khả năng tổng quát hóa của V-Sandbox đối với các kiến trúc ít phổ biến hơn hoặc các biến thể đặc biệt của firmware.
  2. Kỹ thuật chống Sandbox tinh vi: Mặc dù V-Sandbox được thiết kế để mô phỏng đầy đủ vòng đời mã độc và tích hợp C&C simulator, các biến thể mã độc IoT Botnet trong tương lai có thể phát triển các kỹ thuật chống Sandbox (anti-sandbox) cực kỳ tinh vi, ví dụ như delay execution based on specific environmental cues hoặc detection of virtualized environments. Điều này có thể làm giảm hiệu quả thu thập hành vi của Sandbox.
  3. Tập dữ liệu huấn luyện giới hạn: Mặc dù đã sử dụng các dataset lớn và tin cậy như IoTPOT, sự tiến hóa không ngừng của mã độc IoT Botnet đòi hỏi một tập dữ liệu huấn luyện liên tục được cập nhật. Việc thiếu các mẫu mã độc mới nhất hoặc các chiến thuật tấn công chưa từng thấy có thể ảnh hưởng đến khả năng phát hiện của mô hình học máy cộng tác. Ví dụ, Shobana et al. [73] chỉ có thể sử dụng 200 mẫu malware và 200 mẫu benign do hạn chế của môi trường máy ảo.
  4. Độ phức tạp của mô hình cộng tác: Mặc dù mô hình học máy cộng tác nâng cao độ chính xác, việc tích hợp và tối ưu hóa nhiều nguồn đặc trưng khác nhau có thể làm tăng độ phức tạp của mô hình, đòi hỏi tài nguyên tính toán lớn hơn cho quá trình huấn luyện và có thể ảnh hưởng đến thời gian suy luận (inference time) trong một số môi trường thực tế hạn chế tài nguyên.

Boundary conditions về context/sample/time

  • Context: Nghiên cứu tập trung vào các thiết bị IoT hạn chế tài nguyên chạy Linux nhúng.
  • Sample: Các tệp thực thi ELF của mã độc IoT Botnet (chủ yếu là Mirai, Bashlite) và tệp lành tính.
  • Time: Dựa trên các mẫu mã độc và kỹ thuật tấn công phổ biến đến năm 2022.

Future research agenda với 4-5 concrete directions

  1. Mở rộng khả năng của V-Sandbox: Phát triển V-Sandbox để hỗ trợ nhiều kiến trúc CPU và hệ điều hành nhúng hơn (ví dụ: RTOS), đồng thời tích hợp các kỹ thuật chống lại các cơ chế anti-sandbox nâng cao của mã độc. Nghiên cứu khả năng mở rộng Sandbox lên môi trường điện toán biên (edge computing) để phân tích phân tán.
  2. Cải tiến đặc trưng DSCG và nhúng đồ thị: Nghiên cứu các phương pháp nhúng đồ thị (graph embedding) tiên tiến hơn để trích xuất đặc trưng từ DSCG một cách tự động và hiệu quả hơn, có thể sử dụng các mạng nơ-ron đồ thị (Graph Neural Networks - GNNs) để trực tiếp xử lý cấu trúc đồ thị, vượt qua các phương pháp truyền thống như Graph2vec (Hình 3.5).
  3. Mô hình học máy cộng tác tự thích nghi và học liên tục: Phát triển mô hình học máy cộng tác có khả năng học liên tục (continual learning) để thích nghi với các biến thể mã độc mới và các chiến thuật tấn công đang phát triển mà không cần huấn luyện lại toàn bộ mô hình từ đầu. Nghiên cứu các cơ chế tự động lựa chọn đặc trưng và hợp nhất để tối ưu hóa hiệu suất theo thời gian.
  4. Tích hợp phân tích ngữ cảnh và ý định: Nghiên cứu cách tích hợp thông tin ngữ cảnh từ môi trường IoT (ví dụ: vị trí thiết bị, chức năng thiết bị, trạng thái mạng) vào mô hình phát hiện để hiểu rõ hơn ý định của mã độc và đưa ra dự đoán chính xác hơn. Điều này có thể bao gồm việc sử dụng các mô hình ngôn ngữ lớn (Large Language Models - LLMs) để phân tích các chuỗi lệnh hoặc giao tiếp của mã độc.
  5. Đánh giá thực tế trên quy mô lớn và triển khai sản phẩm: Thử nghiệm mô hình và hệ thống V-Sandbox trên một tập dữ liệu mã độc IoT Botnet lớn hơn từ các nguồn thế giới thực (ví dụ: darknet, honeynet quy mô lớn) và trong môi trường triển khai thực tế (ví dụ: smart home, smart city) để đánh giá hiệu quả và độ ổn định.

Methodological improvements suggested

  • Sử dụng các kỹ thuật học tăng cường (Reinforcement Learning) để tối ưu hóa hành vi của mã độc trong Sandbox, buộc nó bộc lộ các hành vi ẩn.
  • Triển khai các phương pháp giải thích học máy (Explainable AI - XAI) để hiểu rõ hơn lý do mô hình đưa ra quyết định, tăng cường sự tin cậy và khả năng gỡ lỗi.
  • Xây dựng một bộ dữ liệu chuẩn hóa, công khai, đa kiến trúc, đa nguồn dữ liệu động để cộng đồng nghiên cứu có thể so sánh và đánh giá các mô hình một cách công bằng.

Theoretical extensions proposed

  • Mở rộng lý thuyết về "minimal observable behavior" để phát hiện sớm mã độc, xác định tập hợp tối thiểu các hành vi cần quan sát để đưa ra dự đoán đáng tin cậy.
  • Phát triển lý thuyết về "contextual threat intelligence" cho IoT, tích hợp thông tin về môi trường và hệ sinh thái IoT vào quá trình phân tích và phát hiện mã độc.

Tác động và ảnh hưởng

Nghiên cứu này dự kiến sẽ tạo ra tác động sâu rộng trên nhiều lĩnh vực:

  • Academic impact với potential citations estimate: Luận án đóng góp một cách tiếp cận toàn diện và đổi mới cho việc phân tích và phát hiện mã độc IoT Botnet. Các đóng góp về V-Sandbox, đặc trưng DSCG và mô hình học máy cộng tác dự kiến sẽ trở thành tài liệu tham khảo quan trọng trong các lĩnh vực an ninh IoT, phân tích mã độc và học máy ứng dụng. Ước tính các công trình công bố từ luận án có thể nhận được từ 50-100 citations trong 5-7 năm tới, thúc đẩy các nghiên cứu tiếp theo về Sandbox IoT thế hệ mới, biểu diễn đồ thị hành vi và các mô hình học máy đa phương thức.
  • Industry transformation với specific sectors:
    • Sản xuất thiết bị IoT: Các nhà sản xuất có thể áp dụng V-Sandbox như một công cụ kiểm thử tự động trong quy trình phát triển sản phẩm, giúp họ phát hiện và vá lỗi bảo mật trong firmware trước khi sản phẩm ra thị trường, giảm thiểu lỗ hổng PetHole [7] hoặc các lỗ hổng liên quan đến mật khẩu mặc định (như 62 cặp mật khẩu cứng của Mirai [8]).
    • An ninh mạng và phần mềm: Các công ty cung cấp giải pháp an ninh mạng (ví dụ: Symantec, Kaspersky) có thể tích hợp các đặc trưng DSCG và mô hình học máy cộng tác vào các sản phẩm HIDS/NIDS của họ để nâng cao khả năng phát hiện mã độc IoT Botnet theo thời gian thực và giảm tỉ lệ dương tính giả.
    • Tổ chức vận hành hạ tầng: Các nhà khai thác hạ tầng quan trọng (điện lực, giao thông) sử dụng thiết bị IoT có thể triển khai hệ thống đề xuất để bảo vệ các hệ thống SCADA và thiết bị điều khiển công nghiệp khỏi các cuộc tấn công DDoS từ IoT Botnet.
  • Policy influence với government levels:
    • Cấp Quốc gia: Các cơ quan chính phủ có thể tham khảo nghiên cứu để xây dựng các tiêu chuẩn an ninh mạng bắt buộc cho thiết bị IoT, yêu cầu các nhà sản xuất tuân thủ các quy trình kiểm thử và công bố thông tin bảo mật. Ví dụ, có thể yêu cầu các chứng nhận an toàn cho thiết bị IoT trước khi đưa vào thị trường.
    • Cấp Quốc tế: Các tổ chức như ITU có thể sử dụng các kết quả này để định hình các khuyến nghị về an ninh mạng toàn cầu cho IoT, thúc đẩy hợp tác xuyên biên giới trong việc chống lại các mạng lưới Botnet như Mirai và Bashlite, vốn có thể lây lan trên toàn thế giới [8, 21].
  • Societal benefits quantified where possible:
    • Bảo vệ người dùng cuối: Giảm thiểu rủi ro thiết bị nhà thông minh (camera IP, router SOHO) bị chiếm quyền điều khiển và tham gia vào các cuộc tấn công DDoS, bảo vệ quyền riêng tư và an toàn dữ liệu cá nhân.
    • Ổn định Internet: Giảm thiểu quy mô và tần suất các cuộc tấn công từ chối dịch vụ phân tán quy mô lớn (lên tới 620 Gbps như Mirai [21]), giúp duy trì sự ổn định của Internet toàn cầu.
    • Kinh tế: Giảm thiểu thiệt hại kinh tế do các cuộc tấn công mạng gây ra cho doanh nghiệp và chính phủ. Ước tính có thể tiết kiệm hàng tỷ USD chi phí phục hồi và thiệt hại danh tiếng.
  • International relevance với global implications: Sự phát triển của IoT là một hiện tượng toàn cầu, và các mối đe dọa từ IoT Botnet không giới hạn biên giới quốc gia. Luận án này cung cấp một giải pháp có thể áp dụng rộng rãi cho các quốc gia đang phát triển hạ tầng IoT, đặc biệt là các nước trong khu vực Châu Á - Thái Bình Dương, nơi sự phát triển IoT diễn ra mạnh mẽ. Các phương pháp và công cụ được đề xuất có thể được tùy chỉnh và triển khai ở các bối cảnh quốc tế khác nhau để tăng cường khả năng phòng thủ mạng toàn cầu.

Đối tượng hưởng lợi

Luận án này mang lại lợi ích cụ thể cho nhiều đối tượng khác nhau trong cộng đồng nghiên cứu và thực tiễn:

  • Doctoral researchers (Nghiên cứu sinh Tiến sĩ):
    • Cung cấp một khung phương pháp luận rõ ràng để phát triển các Sandbox tùy chỉnh cho phân tích mã độc trên các nền tảng nhúng, giải quyết các "research gaps" trong việc thu thập dữ liệu hành vi đầy đủ.
    • Giới thiệu kỹ thuật biểu diễn đặc trưng đồ thị lời gọi hệ thống (DSCG) làm cơ sở cho các nghiên cứu tiếp theo về phân tích hành vi mã độc với độ phức tạp thấp.
    • Đề xuất mô hình học máy cộng tác làm nền tảng cho việc tích hợp đa nguồn dữ liệu trong các mô hình phát hiện mối đe dọa an ninh mạng tương lai.
    • "Quantify benefits": Giúp các nghiên cứu sinh mới tiết kiệm thời gian và tài nguyên trong việc xây dựng môi trường Sandbox và phát triển đặc trưng, ước tính 20-30% thời gian nghiên cứu.
  • Senior academics (Các nhà khoa học cấp cao):
    • Cung cấp "theoretical advances" trong lĩnh vực phân tích mã độc IoT, đặc biệt là việc kết hợp hiệu quả phân tích hành vi động, kỹ thuật đồ thị và học máy.
    • Đề xuất các hướng nghiên cứu mở rộng và "future research agenda" cho học máy thích nghi, học liên tục và phân tích ngữ cảnh trong an ninh IoT.
    • "Quantify benefits": Mở ra các cơ hội hợp tác nghiên cứu mới, tạo ra các ấn phẩm khoa học chất lượng cao và thu hút tài trợ cho các dự án lớn hơn.
  • Industry R&D (Nghiên cứu và Phát triển Công nghiệp):
    • Cung cấp các "practical applications" và công cụ (V-Sandbox) có thể được sử dụng để kiểm thử bảo mật sản phẩm IoT.
    • Các đặc trưng DSCG và mô hình học máy cộng tác có thể được tích hợp vào các sản phẩm an ninh thương mại để nâng cao khả năng phát hiện mã độc, giảm tỉ lệ âm tính giả và dương tính giả.
    • "Quantify benefits": Giúp doanh nghiệp giảm thiểu rủi ro bảo mật, bảo vệ danh tiếng thương hiệu và tránh các thiệt hại tài chính do vi phạm dữ liệu hoặc tấn công mạng, ước tính giảm 10-15% sự cố an ninh liên quan đến IoT Botnet.
  • Policy makers (Các nhà hoạch định chính sách):
    • Cung cấp "evidence-based recommendations" để xây dựng các chính sách và quy định mạnh mẽ hơn về an ninh cho thiết bị IoT.
    • Giúp các nhà hoạch định chính sách hiểu rõ hơn về cơ chế hoạt động của IoT Botnet và các giải pháp kỹ thuật hiệu quả để chống lại chúng.
    • "Quantify benefits": Tăng cường an ninh quốc gia và toàn cầu cho hạ tầng thông tin, bảo vệ lợi ích của công dân và doanh nghiệp, ước tính tăng 5-10% hiệu quả của các chính sách an ninh mạng liên quan đến IoT.

Câu hỏi chuyên sâu

  1. Theoretical contribution độc đáo nhất (name theory extended): Đóng góp lý thuyết độc đáo nhất là việc mở rộng lý thuyết về biểu diễn đặc trưng lời gọi hệ thống trong phân tích hành vi mã độc thông qua việc giới thiệu Directed System Call Graph (DSCG). Thay vì coi lời gọi hệ thống là các sự kiện rời rạc hoặc chỉ là một chuỗi tuyến tính (như trong N-gram), DSCG cấu trúc hóa chúng thành một đồ thị có hướng, nắm bắt mối quan hệ tuần tự và ngữ cảnh thực thi. Điều này là một sự mở rộng quan trọng của lý thuyết về Behavioral Biometrics for Malware Detection, cho phép các thuật toán học máy hiểu sâu hơn về "logic" hành vi của mã độc. Nó vượt trội so với các phương pháp trước đây như chuỗi Markov của Massimo Ficco et al. [37] (ACC 89%), vốn có thể bỏ lỡ các mối quan hệ phức tạp hơn, và các đồ thị tĩnh dựa trên phân tích mã nguồn của Nguyễn Huy Trung et al. [74], vốn bị hạn chế bởi kỹ thuật làm rối mã và độ phức tạp cao.

  2. Methodology innovation (compare với 2+ prior studies): Đổi mới phương pháp luận cốt lõi nằm ở việc xây dựng Hệ thống V-Sandbox toàn diện với khả năng mô phỏng đầy đủ vòng đời của mã độc IoT Botnet, bao gồm giả lập C&C server (C&C simulator) và cơ sở dữ liệu thư viện liên kết động (Share Object DB).

    • So sánh với LiSa Sandbox của Uhricek et al. [51]: LiSa bị hạn chế vì "vai trò quan trọng của máy chủ C&C để thể hiện đầy đủ hành vi của IoT Botnet không được Uhricek quan tâm" và "các mẫu yêu cầu thư viện liên kết động (...) trên LiSa thường chạy không thành công do thiếu các thư viện thích hợp." V-Sandbox giải quyết trực tiếp hai điểm yếu này, đảm bảo mã độc bộc lộ hành vi đầy đủ hơn.
    • So sánh với IoTBox của Yin et al. [43]: IoTBox chủ yếu tập trung vào giám sát hành vi mạng và "các hành vi còn lại (lời gọi hệ thống, tạo tệp và thư mục,…) không được đề cập." V-Sandbox vượt trội bằng cách tích hợp các tác tử (agents) để thu thập đa nguồn dữ liệu động, bao gồm lời gọi hệ thống, hoạt động tệp, hiệu năng host và luồng mạng (Hình 2.15-2.19). Những cải tiến này cho phép V-Sandbox thu thập "đầy đủ dữ liệu hành vi của mã độc" [Đóng góp 1], tạo ra một bộ dữ liệu toàn diện và chân thực hơn cho quá trình huấn luyện mô hình học máy, điều mà các Sandbox trước đây chưa đạt được.

  3. Most surprising finding (với data support): Phát hiện đáng ngạc nhiên nhất có thể là khả năng của mô hình học máy cộng tác trong việc đạt được độ chính xác cao trong phát hiện sớm mã độc IoT Botnet, ngay cả khi chỉ thu thập "mức tối thiểu các dữ liệu động cần thiết" [Đóng góp 3]. Điều này phản trực giác vì người ta thường cho rằng càng nhiều dữ liệu hoặc thời gian quan sát càng tốt. Tuy nhiên, luận án đã chứng minh rằng thông qua việc kết hợp thông minh các đặc trưng từ các nguồn khác nhau (luồng mạng, DSCG, chiếm dụng tài nguyên) và một mô hình học máy cộng tác được tối ưu hóa, có thể đưa ra dự đoán chính xác và kịp thời. Bảng 4.7 so sánh hiệu suất với các nghiên cứu liên quan, cho thấy mô hình đề xuất đạt hiệu quả cao, ví dụ tốt hơn Meidan et al. [58] với FPR = 1. Điều này chỉ ra rằng, thay vì phụ thuộc vào việc quan sát dài hơi hoặc lượng dữ liệu khổng lồ, việc tập trung vào các đặc trưng quan trọng và mối quan hệ giữa chúng là chìa khóa cho phát hiện sớm, đặc biệt trong môi trường IoT tài nguyên hạn chế.

  4. Replication protocol provided? Có, luận án đã cung cấp nền tảng cho một quy trình nhân rộng (replication protocol) mạnh mẽ thông qua các đóng góp chính của mình.

    • V-Sandbox mã nguồn mở: Luận án tuyên bố rằng V-Sandbox được xây dựng "hoạt động hoàn toàn tự động, mã nguồn mở và cài đặt dễ dàng, có tính thực tiễn" [Đóng góp 1]. Việc mã nguồn mở giúp các nhà nghiên cứu khác có thể triển khai và tái tạo môi trường thu thập dữ liệu chính xác.
    • Quy trình chi tiết: Chương 2, 3, 4 mô tả chi tiết "phương pháp luận" và "cách thức xây dựng các thành phần của mô hình đề xuất". Ví dụ, Chương 2 mô tả "Kiến trúc tổng quan mô hình đề xuất" (Hình 2.1) và các thành phần như EME, SCG, SE, RDP, C&C simulator, Share Object DB với các công cụ cụ thể (readelf, ldd). Chương 3 trình bày chi tiết về "xây dựng đồ thị lời gọi hệ thống có hướng DSCG" (Hình 3.3).
    • Bộ dữ liệu và tham số: Luận án đề cập đến việc sử dụng các dataset công khai như IoTPOT [43], UNSW-NB15 [41], CSE-CIC-IDS2018 [57] và cung cấp "Mô tả chi tiết về Dataset" (Bảng 3.1, 4.2), cùng với "Các tham số mô hình học máy được điều chỉnh" (Bảng 3.2, 4.3). Tóm lại, mặc dù không có một "tài liệu hướng dẫn nhân rộng" riêng biệt, luận án đã cung cấp đầy đủ chi tiết về kiến trúc, công cụ, quy trình và dữ liệu để một nhà nghiên cứu có kinh nghiệm trong lĩnh vực này có thể tái tạo các kết quả chính.

  5. 10-year research agenda outlined? Có, luận án đã phác thảo một lộ trình nghiên cứu đáng kể cho 10 năm tới, được trình bày trong phần "Limitations và Future Research". Các hướng nghiên cứu này bao gồm:

    1. Mở rộng và tăng cường khả năng của V-Sandbox: Hỗ trợ nhiều kiến trúc CPU và hệ điều hành nhúng hơn (ví dụ: RTOS), tích hợp các kỹ thuật chống lại các cơ chế anti-sandbox nâng cao, và mở rộng lên môi trường điện toán biên.
    2. Cải tiến đặc trưng DSCG và nhúng đồ thị: Nghiên cứu các phương pháp nhúng đồ thị tiên tiến hơn (như GNNs) để trích xuất đặc trưng tự động và hiệu quả từ DSCG.
    3. Phát triển mô hình học máy cộng tác tự thích nghi và học liên tục: Xây dựng các mô hình có khả năng học liên tục để thích nghi với các biến thể mã độc mới mà không cần huấn luyện lại toàn bộ.
    4. Tích hợp phân tích ngữ cảnh và ý định: Đưa thông tin ngữ cảnh từ môi trường IoT (vị trí, chức năng thiết bị) vào mô hình phát hiện để hiểu rõ hơn ý định của mã độc.
    5. Đánh giá thực tế trên quy mô lớn và triển khai sản phẩm: Thử nghiệm hệ thống trên các tập dữ liệu thực tế lớn hơn và trong các môi trường triển khai sản phẩm để đánh giá hiệu quả và độ ổn định. Những định hướng này không chỉ giải quyết các hạn chế của nghiên cứu hiện tại mà còn mở ra những con đường mới cho sự phát triển của an ninh mạng IoT trong thập kỷ tới.

Kết luận

Luận án này đã giải quyết một cách hiệu quả thách thức cấp bách về phát hiện mã độc IoT Botnet trên các thiết bị hạn chế tài nguyên, góp phần quan trọng vào việc tăng cường an ninh cho hệ sinh thái IoT đang phát triển nhanh chóng. Nghiên cứu đã đưa ra những đóng góp cụ thể và có ý nghĩa:

  1. Phát triển môi trường V-Sandbox toàn diện: Luận án đã thành công trong việc xây dựng một môi trường V-Sandbox mã nguồn mở, tự động, dễ cài đặt, có khả năng mô phỏng "đầy đủ các yêu cầu cần thiết để mã độc IoT Botnet có thể thực thi trọn vẹn vòng đời của mình" và thu thập dữ liệu hành vi đa dạng [Đóng góp 1]. V-Sandbox này khắc phục những hạn chế rõ rệt của các Sandbox IoT hiện có về khả năng tương tác C&C và hỗ trợ thư viện liên kết động (Bảng 1.5).
  2. Đề xuất đặc trưng DSCG đột phá: Đặc trưng đồ thị lời gọi hệ thống có hướng (DSCG) đã được đề xuất để cấu trúc hóa tuần tự các lời gọi hệ thống với "độ phức tạp thấp, dễ áp dụng với những thuật toán học máy đơn giản" [Đóng góp 2]. DSCG cung cấp một biểu diễn dữ liệu giàu thông tin hơn so với các phương pháp dựa trên tần suất hoặc chuỗi tuyến tính, cải thiện độ chính xác trong phát hiện.
  3. Thiết kế mô hình học máy cộng tác tiên tiến: Luận án đã phát triển một mô hình học máy cộng tác mới, có khả năng kết hợp hiệu quả các đặc trưng từ nhiều nguồn dữ liệu động khác nhau để đạt được "khả năng phát hiện sớm và độ chính xác cao" [Đóng góp 3] cho mã độc IoT Botnet. Mô hình này đã chứng minh hiệu quả vượt trội so với các cách tiếp cận dựa trên đặc trưng đơn lẻ hoặc mô hình học máy truyền thống.
  4. Kiểm chứng thực nghiệm trên dữ liệu đáng tin cậy: Các đóng góp đã được đánh giá và kiểm chứng một cách nghiêm ngặt trên các tập dữ liệu lớn và đáng tin cậy (ví dụ: IoTPOT [43], với 1391 mẫu malware và 1023 mẫu benign), sử dụng các chỉ số đánh giá tiêu chuẩn như ACC, F1-score, TPR, FPR, AUC.
  5. Cải thiện đáng kể hiệu suất phát hiện: Kết quả thực nghiệm cho thấy sự cải thiện rõ rệt về độ chính xác và khả năng phát hiện sớm so với các nghiên cứu tiền nhiệm, đồng thời giảm thiểu độ phức tạp và yêu cầu về dữ liệu cho quá trình phát hiện.

Những đóng góp này không chỉ giải quyết một vấn đề thực tiễn cấp bách mà còn đại diện cho một sự tiến bộ trong mô hình (paradigm advancement) trong lĩnh vực phân tích mã độc IoT. Bằng việc tích hợp các Sandbox toàn diện, kỹ thuật biểu diễn dữ liệu đồ thị sáng tạo và mô hình học máy cộng tác, luận án đã thiết lập một khung mới cho việc nghiên cứu và triển khai các giải pháp an ninh mạng hiệu quả.

Nghiên cứu này cũng đã mở ra 3+ luồng nghiên cứu mới cụ thể:

  1. Sandbox thế hệ tiếp theo: Nghiên cứu sâu hơn về các kỹ thuật chống lại anti-sandbox tiên tiến và khả năng triển khai Sandbox phân tán trên điện toán biên.
  2. Học sâu trên đồ thị hành vi: Khám phá ứng dụng các mạng nơ-ron đồ thị (GNNs) để trực tiếp xử lý các đặc trưng DSCG, mở ra tiềm năng cho việc trích xuất đặc trưng tự động và phát hiện tinh vi hơn.
  3. Học máy liên tục và giải thích được trong an ninh IoT: Phát triển các mô hình học máy có khả năng tự thích nghi với các mối đe dọa mới và cung cấp khả năng giải thích rõ ràng cho các quyết định phát hiện, tăng cường sự tin cậy và ứng dụng thực tế.

Với sự liên quan toàn cầu và khả năng so sánh với các nghiên cứu quốc tế từ Mỹ, Châu Âu, và Châu Á, các phương pháp và kết quả của luận án có thể được áp dụng rộng rãi để tăng cường an ninh mạng trên toàn thế giới. Di sản của nghiên cứu này có thể được đo lường bằng việc giảm thiểu số lượng thiết bị IoT bị lây nhiễm mã độc, giảm thiểu quy mô và tần suất các cuộc tấn công DDoS liên quan đến IoT Botnet, và cung cấp một nền tảng vững chắc cho các nhà nghiên cứu và các bên liên quan trong ngành công nghiệp để xây dựng các giải pháp an ninh IoT trong tương lai.