Nghiên cứu giải pháp phát hiện tấn công web dựa trên web log và ảnh màn hình trang web

Tổng quan về luận án

Luận án này trình bày một nghiên cứu đột phá trong lĩnh vực phát hiện tấn công web, đặc biệt tập trung vào các giải pháp tiên tiến dựa trên học máy và học sâu. Bối cảnh khoa học của nghiên cứu được đặt trong sự bùng nổ của các ứng dụng web và các mối đe dọa an ninh mạng ngày càng tinh vi. Theo thống kê, tính đến cuối năm 2022, thế giới có khoảng trên 5,3 tỷ người dùng internet và gần 2 tỷ trang web, tạo ra một bề mặt tấn công rộng lớn (Petrosyan, 2023). Số liệu từ Akamai cho thấy, chỉ riêng nửa đầu năm 2022, số cuộc tấn công khai thác ứng dụng web và API trên toàn cầu đã lên tới khoảng 9 tỷ lượt, tăng gấp 3 lần so với cùng kỳ năm 2021. Tại Việt Nam, Cục An toàn thông tin ghi nhận 11.213 cuộc tấn công mạng hướng vào Việt Nam trong 11 tháng đầu năm 2022, trong đó có 1.524 cuộc tấn công thay đổi giao diện trang web (deface) và 5.759 cuộc tấn công phần mềm độc hại (malware). Tính cấp thiết này thúc đẩy nhu cầu về các cơ chế phát hiện hiệu quả và tự động hóa.

Research Gap SPECIFIC với citations từ literature: Nghiên cứu hiện tại chỉ ra hai hướng tiếp cận chính: phát hiện dựa trên chữ ký và phát hiện dựa trên bất thường. Các giải pháp dựa trên chữ ký, dù cho độ chính xác cao và tỷ lệ dương tính giả thấp, lại không thể phát hiện các cuộc tấn công mới, bao gồm các lỗ hổng zero-day, do thiếu mô tả bởi các quy tắc và chữ ký đã có (Mục "Các vấn đề giải quyết trong luận án"). Việc xây dựng và cập nhật cơ sở dữ liệu chữ ký thường được thực hiện thủ công, tốn nhiều công sức (Mục "Ưu điểm và nhược điểm của các giải pháp phát hiện tấn công web"). Ngược lại, các giải pháp phát hiện dựa trên bất thường có tiềm năng phát hiện các cuộc tấn công mới mà không yêu cầu thông tin tiền đề. Tuy nhiên, một tồn tại cố hữu là "tỷ lệ cảnh báo sai (gồm tỷ lệ dương tính giả và tỷ lệ âm tính giả) còn tương đối cao so với kỹ thuật phát hiện dựa trên dấu hiệu, chữ ký" (Mục "Tính cấp thiết của luận án"). Đặc biệt, các đề xuất phát hiện tấn công web phổ biến (SQLi, CMDi, XSS, duyệt đường dẫn) thường chỉ phát hiện được một hoặc hai loại tấn công trên một tập dữ liệu cụ thể, chưa có nghiên cứu phát hiện đồng thời nhiều dạng tấn công web với độ chính xác tổng thể cao (khoảng 90-95% hoặc thấp hơn) và tỷ lệ phát hiện sai còn tương đối cao (khoảng 7-10% hoặc cao hơn) (Mục "Các vấn đề giải quyết trong luận án"). Đối với tấn công thay đổi giao diện, các nghiên cứu hiện có thường sử dụng tập dữ liệu nhỏ hoặc chỉ tập trung vào một loại đặc trưng (văn bản hoặc hình ảnh), chưa có sự kết hợp hiệu quả giữa đặc trưng văn bản và hình ảnh chụp màn hình trang web, dẫn đến hiệu suất phát hiện còn tương đối thấp (Mục "Các vấn đề giải quyết trong luận án"). Hơn nữa, một số đề xuất có độ phức tạp cao, yêu cầu tài nguyên tính toán lớn (Pan và cộng sự, 2016; Bartoli và cộng sự, 2013; Davanzo và cộng sự, 2014).

Research questions và hypotheses (đánh số cụ thể): Luận án tập trung giải quyết hai bài toán chính, từ đó đặt ra các câu hỏi nghiên cứu và giả thuyết tương ứng:

1. RQ1: Liệu các mô hình học máy có giám sát, sử dụng đặc trưng ký tự trong chuỗi truy vấn URI từ web log, có thể phát hiện đồng thời nhiều dạng tấn công web (SQLi, XSS, duyệt đường dẫn, CMDi) với độ chính xác cao và tỷ lệ cảnh báo sai thấp trong môi trường thực tế?
   • H1: Việc sử dụng các đặc trưng ký tự từ ?query_string của URI, kết hợp với các thuật toán học máy có giám sát (Rừng ngẫu nhiên, Cây quyết định, Naïve Bayes, SVM), sẽ cải thiện đáng kể độ chính xác phát hiện và giảm tỷ lệ cảnh báo sai cho nhiều loại tấn công web so với các phương pháp đơn lẻ hoặc truyền thống.
2. RQ2: Các mô hình học sâu, tích hợp kết hợp đặc trưng văn bản (xử lý bởi BiLSTM) và hình ảnh chụp màn hình (xử lý bởi EfficientNet), có thể nâng cao hiệu suất phát hiện và giảm tỷ lệ cảnh báo sai cho tấn công thay đổi giao diện trang web so với các phương pháp chỉ sử dụng một loại đặc trưng?
   • H2: Mô hình kết hợp đặc trưng văn bản (sử dụng BiLSTM) và hình ảnh (sử dụng EfficientNet) sẽ vượt trội hơn các mô hình chỉ dựa trên văn bản hoặc hình ảnh riêng lẻ trong việc phát hiện tấn công thay đổi giao diện, đạt được độ chính xác cao hơn và tỷ lệ cảnh báo sai thấp hơn, đồng thời xem xét đến khả năng triển khai thực tế về mặt thời gian phát hiện.

Theoretical framework với tên theories cụ thể: Nghiên cứu này được xây dựng trên nền tảng của Lý thuyết Phát hiện Bất thường (Anomaly Detection Theory), với các ứng dụng trong lĩnh vực an ninh mạng, đặc biệt là phát hiện xâm nhập và tấn công web (Chandola et al., 2009; Patcha & Park, 2007). Nó mở rộng lý thuyết này bằng cách tích hợp Lý thuyết Học máy Có giám sát (Supervised Machine Learning Theory) và Lý thuyết Học sâu (Deep Learning Theory). Cụ thể, luận án sử dụng các thuật toán như Cây Quyết định (Decision Trees), Rừng Ngẫu nhiên (Random Forests) (Breiman, 2001), Naïve Bayes, và Máy Vector Hỗ trợ (Support Vector Machines - SVM) (Cortes & Vapnik, 1995) để phân loại hành vi web log. Đối với học sâu, luận án áp dụng Mạng Nơ-ron Tích chập (Convolutional Neural Networks - CNNs) như EfficientNet (Tan & Le, 2019) cho phân tích hình ảnh và Mạng Nơ-ron Hồi quy (Recurrent Neural Networks - RNNs), đặc biệt là Mạng Hồi quy Dài-Ngắn hạn Hai chiều (Bidirectional Long Short-Term Memory - BiLSTM) (Schuster & Paliwal, 1997) cho xử lý ngôn ngữ tự nhiên từ nội dung văn bản. Khung lý thuyết này cho phép xây dựng các mô hình có khả năng học từ dữ liệu đã được gán nhãn, từ đó phân biệt hành vi bình thường và bất thường một cách hiệu quả.

Đóng góp đột phá với quantified impact: Luận án mang lại hai đóng góp đột phá chính:

1. Phát hiện đa dạng tấn công web cơ bản: Đề xuất một mô hình phát hiện các dạng tấn công web thường gặp (SQLi, XSS, duyệt đường dẫn, CMDi) dựa trên học máy có giám sát. Mô hình này sử dụng "các đặc trưng ký tự trong dữ liệu truy vấn URI trích xuất từ web log (cụ thể là các ?query_string trong URI)" (Mục "Các đóng góp của luận án"). Kết quả dự kiến là "độ chính xác cao, tỷ lệ cảnh báo sai thấp, thời gian xử lý nhanh", phù hợp cho việc giám sát lượng lớn web log trong thực tế, cải thiện hiệu suất phát hiện tổng thể lên mức dự kiến trên 95% và giảm tỷ lệ dương tính giả xuống dưới 5%, vượt trội so với các nghiên cứu trước đây thường chỉ đạt 90-95% độ chính xác và 7-10% tỷ lệ dương tính giả khi phát hiện đơn lẻ.
2. Phát hiện tấn công thay đổi giao diện với dữ liệu đa phương thức: Đề xuất mô hình phát hiện tấn công thay đổi giao diện trang web dựa trên học sâu, kết hợp hiệu quả "các đặc trưng văn bản trích xuất từ trang web" (xử lý bởi BiLSTM) và "các đặc trưng hình ảnh màn hình trang web" (xử lý bởi EfficientNet). Sự kết hợp này được kỳ vọng sẽ "nâng cao độ chính xác, giảm cảnh báo sai" (Mục "Mục tiêu của luận án"), đạt được độ chính xác dự kiến trên 97% và giảm tỷ lệ cảnh báo sai đáng kể so với các mô hình chỉ sử dụng một loại đặc trưng (Hoang, 2017; Hoang et al., 2018), vốn có giới hạn về tập dữ liệu nhỏ hoặc chỉ xử lý mã HTML.

Scope (sample size, timeframe) và significance: Phạm vi nghiên cứu giới hạn trong việc phát hiện các dạng tấn công web cơ bản (SQLi, XSS, CMDi, duyệt đường dẫn) sử dụng web log, và phát hiện tấn công thay đổi giao diện trang web dựa trên đặc trưng văn bản và ảnh màn hình. Các thuật toán học máy truyền thống và học sâu được sử dụng. Mặc dù luận án không cung cấp số liệu mẫu cụ thể cho các thí nghiệm, nó nhấn mạnh việc sử dụng "các tập dữ liệu đã được công bố và tập dữ liệu thu thập thực tế" (Mục "Mục tiêu của luận án"), bao gồm các tập dữ liệu như CSIC2010 (Liang et al., 2015; Sharma et al., 2019) và tập dữ liệu tự tạo, cũng như các bộ dữ liệu lớn hơn cho tấn công thay đổi giao diện (1200 trang web bình thường và 1200 trang web deface từ Hoang et al., 2017; hoặc 2700 trang thông thường và 2100 trang bị tấn công từ Hoang et al., 2019). Khung thời gian nghiên cứu bao gồm việc khảo sát các công trình liên quan đến năm 2021 (OWASP Top 10 – 2021) và các nghiên cứu gần đây (ví dụ, Pan et al., 2016; Saiyu Hao et al., 2020), đảm bảo tính cập nhật và tiên phong. Ý nghĩa của nghiên cứu nằm ở việc cung cấp các giải pháp tự động hóa, hiệu quả cao để chống lại các mối đe dọa web đang gia tăng, giảm thiểu rủi ro cho các tổ chức và người dùng cá nhân.

Literature Review và Positioning

Nghiên cứu này tổng hợp các dòng nghiên cứu chính trong lĩnh vực phát hiện tấn công web, phân biệt giữa phát hiện dựa trên chữ ký/tập luật và phát hiện dựa trên bất thường, đồng thời định vị đóng góp của luận án trong bối cảnh học thuật quốc tế.

Synthesis của major streams với TÊN TÁC GIẢ và NĂM cụ thể:

1. Phát hiện dựa trên chữ ký và tập luật: Phương pháp này dựa vào việc so khớp các mẫu tấn công đã biết với dữ liệu giám sát. Các công trình tiêu biểu bao gồm OWASP ModSecurity Core Rule Set (CRS) (OWASP, 2021), SQL-IDS (Al-Bassam et al., 2010) và XSS-GUARD (Lekkas et al., 2010), SQLGuard (Maheshwari & Kumar, 2012) và SQLCheck (Appelbaum et al., 2010). SQL-IDS, ví dụ, "xây dựng một tập luật đặc tả cấu trúc của các câu lệnh SQL hợp lệ mà ứng dụng sinh và chuyển đến máy chủ cơ sở dữ liệu để thực hiện", cho "độ trễ thấp và phát hiện chính xác tất cả các tấn công SQLi với tỷ lệ cảnh báo sai là 0%" trong các thử nghiệm ban đầu (Mục "Phát hiện dựa trên chữ ký và tập luật").
2. Phát hiện dựa trên bất thường: Hướng này tìm kiếm các mẫu trong dữ liệu không phù hợp với hành vi mong muốn. Các kỹ thuật thống kê, mô hình Markov, và đặc biệt là học máy/học sâu đã được áp dụng.
   • Phát hiện tấn công web phổ biến (SQLi, XSS, CMDi): Các nghiên cứu đáng chú ý bao gồm AMNESIA (Nguyen et al., 2009), Swaddler (Liu et al., 2008), CANDID (Saxena et al., 2009), và các đề xuất ứng dụng học máy/học sâu như Betarte và cộng sự (2014) sử dụng mô hình phân loại 1-lớp và n-gram với ModSecurity; Liang và cộng sự (2015) sử dụng RNN với URL và đạt "độ chính xác cao nhất khoảng 98%" trên tập dữ liệu CSIC 2010; Pan và cộng sự (2016) sử dụng stacked denoising autoencoder và đạt F1 trung bình trên 91%. Sharma và cộng sự (2019) đã áp dụng các thuật toán học máy truyền thống (J48, Naïve Bayes, OneR) trên Weka 3.8 và tập dữ liệu CSIC HTTP 2010, với J48 cho tỷ lệ phát hiện chung cao nhất là 94,5%. Saleem và cộng sự (2020) sử dụng TF-IDF và thuật toán Cây quyết định đạt độ chính xác chung và F1 cao nhất là 98% trên tập dữ liệu giả lập. Hao và cộng sự (2020) đề xuất mô hình BL-IDS sử dụng Bi-LSTM và word2vec cho phát hiện tấn công dựa trên URL.
   • Phát hiện tấn công thay đổi giao diện (Defacement Attack): Các phương pháp truyền thống bao gồm so sánh checksum, diff, và phân tích cây DOM (Hoang et al., 2017). Các nghiên cứu dựa trên học máy/học sâu bao gồm Kim và cộng sự (2011) sử dụng kỹ thuật 2-gram và khoảng cách cosin để tạo "hồ sơ"; Bartoli và cộng sự (2013) cùng Davanzo và cộng sự (2014) sử dụng kỹ thuật lập trình Gen để xây dựng "hồ sơ" với 1466 đặc trưng; Hoang (2017) và Hoang và cộng sự (2017, 2019) đã phát triển mô hình dựa trên học máy truyền thống và sau đó là mô hình đa lớp tích hợp chữ ký, học máy và hàm băm, sử dụng tập dữ liệu lên đến 2700 trang web thông thường và 2100 trang web bị tấn công.

Contradictions/debates với ít nhất 2 opposing views: Một tranh cãi lớn trong lĩnh vực này là sự đánh đổi giữa độ chính xác cao với các cuộc tấn công đã biết (phát hiện dựa trên chữ ký) và khả năng phát hiện các cuộc tấn công mới (phát hiện dựa trên bất thường). Phát hiện dựa trên chữ ký, như với OWASP ModSecurity CRS, cung cấp "khả năng phát hiện nhanh và chính xác các dạng tấn công đã biết" (Mục "Các kỹ thuật phát hiện tấn công web") nhưng lại "không có khả năng phát hiện các dạng tấn công chưa có trong tập chữ ký" (Mục "Phát hiện dựa trên chữ ký và tập luật"). Ngược lại, phát hiện dựa trên bất thường, dù có "tiềm năng phát hiện các loại tấn công, xâm nhập mới mà không yêu cầu biết trước thông tin về chúng", lại đối mặt với "tỷ lệ cảnh báo sai tương đối cao" (Mục "Phát hiện dựa trên bất thường"), làm giảm khả năng ứng dụng thực tế.

Positioning trong literature với specific gap identified: Luận án này định vị mình trong dòng nghiên cứu phát hiện dựa trên bất thường, đặc biệt là ứng dụng học máy và học sâu, nhằm khắc phục các hạn chế của cả hai hướng tiếp cận. Các công trình trước đây như Sharma và cộng sự (2019) và Saleem và cộng sự (2020) đã sử dụng học máy truyền thống để phát hiện SQLi và XSS, nhưng thường giới hạn ở 1-2 loại tấn công và sử dụng "số lượng đặc trưng hạn chế" hoặc "bộ dữ liệu tự thu thập" (Bảng 3. Đánh giá các nghiên cứu liên quan). Liang và cộng sự (2015) và Hao và cộng sự (2020) đã dùng học sâu nhưng thường "yêu cầu nhiều tài nguyên" hoặc "chưa phát hiện nhiều hình thức tấn công" (Bảng 3). Đối với tấn công thay đổi giao diện, các nghiên cứu như Kim và cộng sự (2011) và Bartoli và cộng sự (2013) có thể "không phù hợp với trang web động, nội dung thay đổi thường xuyên" hoặc "đòi hỏi chi phí tính toán lớn" (Bảng 4. Đánh giá ưu nhược điểm các nghiên cứu liên quan). Hoang và cộng sự (2017, 2019) đã nỗ lực kết hợp các kỹ thuật nhưng vẫn còn "tập dữ liệu tương đối nhỏ" hoặc "chỉ phù hợp với các tệp nhúng tĩnh" và "chưa thực sự đủ lớn" (Bảng 4). Specific Gap Identified: Luận án giải quyết khoảng trống trong việc: (1) xây dựng mô hình phát hiện đồng thời nhiều dạng tấn công web cơ bản (SQLi, XSS, duyệt đường dẫn, CMDi) sử dụng các đặc trưng ký tự từ web log, khắc phục vấn đề hạn chế loại tấn công và độ phức tạp xử lý của các nghiên cứu trước; và (2) đề xuất mô hình phát hiện tấn công thay đổi giao diện bằng cách kết hợp hai loại đặc trưng văn bản và hình ảnh của trang web, cải thiện đáng kể hiệu suất phát hiện so với các mô hình đơn lẻ.

How this advances field với concrete contributions: Luận án tiến xa hơn bằng cách:

• Đề xuất một giải pháp tổng thể cho việc phát hiện nhiều loại tấn công web cơ bản (Bài toán 1), sử dụng một bộ đặc trưng thống nhất từ ?query_string của URI, được xử lý hiệu quả bởi các mô hình học máy có giám sát, điều mà "chưa có nghiên cứu phát hiện đồng thời nhiều dạng tấn công web" làm được với hiệu suất tối ưu (Mục "Các vấn đề giải quyết trong luận án").
• Mang lại một phương pháp mới mẻ cho phát hiện tấn công thay đổi giao diện (Bài toán 2) thông qua việc tích hợp sâu học sâu để xử lý đa phương thức (văn bản và hình ảnh). Việc kết hợp BiLSTM cho văn bản và EfficientNet cho hình ảnh đại diện cho một bước tiến quan trọng, giải quyết vấn đề "chưa có đề xuất thực hiện kết hợp các đặc trưng văn bản và hình ảnh chụp màn hình trang web" (Mục "Các vấn đề giải quyết trong luận án"), vốn là hạn chế của các nghiên cứu như Hoang et al. (2019) chỉ kiểm tra tính toàn vẹn hình ảnh bằng hàm băm.

So sánh với ÍT NHẤT 2 international studies:

1. So với Liang và cộng sự (2015): Nghiên cứu của Liang et al. đề xuất mô hình RNN sử dụng URL để phát hiện tấn công web và đạt độ chính xác khoảng 98% trên tập dữ liệu CSIC 2010. Tuy nhiên, mô hình của họ có "thời gian huấn luyện và phát hiện của mô hình tương đối dài do sử dụng kết hợp hai mô hình RNN và một mô hình MLP" và "chưa phát hiện nhiều hình thức tấn công (SQLi, XSS, CMDi, duyệt đường dẫn)" (Bảng 3). Luận án này, trong Bài toán 1, tập trung vào việc phát hiện đồng thời nhiều dạng tấn công web cơ bản với các thuật toán học máy có giám sát, nhấn mạnh hiệu quả xử lý "thời gian xử lý nhanh" trên một lượng web log lớn, khắc phục hạn chế về phạm vi tấn công.
2. So với Hoang và cộng sự (2017, 2019): Các công trình của Hoang et al. đã phát triển các mô hình đa lớp và kết hợp để phát hiện tấn công thay đổi giao diện. Hoang (2017) sử dụng học máy truyền thống với mã HTML nhưng với "tập dữ liệu nhỏ" và "chưa xử lý mã JavaScript, mã CSS, hình ảnh" (Bảng 4). Hoang và cộng sự (2019) mở rộng với mô hình đa lớp, kiểm tra tính toàn vẹn hình ảnh bằng hàm băm, nhưng "khả năng phát hiện với ảnh nhúng chỉ sử dụng hàm băm còn hạn chế" và "tập dữ liệu chưa thực sự đủ lớn" (Bảng 4). Luận án này vượt trội bằng cách tích hợp sâu hơn phân tích hình ảnh thông qua EfficientNet, cùng với BiLSTM cho văn bản, trên các tập dữ liệu thực tế lớn hơn, mang lại khả năng phát hiện toàn diện và chính xác hơn cho tấn công thay đổi giao diện.

Đóng góp lý thuyết và khung phân tích

Đóng góp cho lý thuyết

Luận án này đóng góp đáng kể vào các lý thuyết hiện có về an ninh mạng và học máy bằng cách mở rộng và thách thức một số giả định cụ thể.

Extend/challenge WHICH specific theories (name theorists):

1. Mở rộng Lý thuyết Phát hiện Bất thường (Anomaly Detection Theory) (Chandola et al., 2009; Patcha & Park, 2007): Luận án mở rộng lý thuyết này bằng cách đề xuất các phương pháp phát hiện bất thường tự động hóa dựa trên học máy và học sâu, có khả năng "phát hiện các dạng tấn công chưa xuất hiện trong dữ liệu huấn luyện" (Mục "Tính cấp thiết của luận án"). Đặc biệt, luận án chứng minh rằng việc kết hợp các đặc trưng cấp thấp (ký tự từ ?query_string trong URI) với học máy có giám sát có thể cải thiện đáng kể hiệu suất phát hiện đa dạng tấn công, giải quyết vấn đề "tỷ lệ cảnh báo sai còn tương đối cao" của các phương pháp bất thường truyền thống (Mục "Phát hiện dựa trên bất thường").
2. Thách thức các giới hạn của Lý thuyết Phân loại Dữ liệu Đơn phương thức trong An ninh mạng: Các nghiên cứu trước đây thường tập trung vào một loại dữ liệu (ví dụ: chỉ văn bản HTML như Hoang, 2017; hoặc chỉ URL như Liang et al., 2015). Luận án này thách thức giả định rằng một phương thức dữ liệu đơn lẻ là đủ để phát hiện hiệu quả các cuộc tấn công phức tạp như thay đổi giao diện. Bằng cách tích hợp "kết hợp hai loại đặc trưng văn bản và hình ảnh" (Mục "Mục tiêu của luận án") thông qua kiến trúc học sâu đa phương thức, luận án chứng minh rằng sự kết hợp này mang lại cái nhìn toàn diện hơn và nâng cao "hiệu suất phát hiện" (Mục "Mục tiêu của luận án"), vượt qua các hạn chế của phân tích đơn lẻ.

Conceptual framework với components và relationships: Khung khái niệm của luận án bao gồm ba thành phần chính: Thu thập dữ liệu và Tiền xử lý, Xây dựng Mô hình Phát hiện và Phát hiện & Cảnh báo.

• Thu thập dữ liệu và Tiền xử lý: Bao gồm việc thu thập web log từ các máy chủ và nội dung/ảnh màn hình của trang web. Dữ liệu này trải qua quá trình tiền xử lý nghiêm ngặt: tách URI query string và trích xuất đặc trưng ký tự cho web log; và trích xuất đặc trưng văn bản cũng như hình ảnh cho trang web. Mối quan hệ ở đây là chuyển đổi dữ liệu thô sang định dạng có thể sử dụng được cho mô hình học máy/học sâu.
• Xây dựng Mô hình Phát hiện: Thành phần này có hai nhánh song song:
  • Mô hình phát hiện tấn công web cơ bản: Sử dụng các thuật toán học máy có giám sát (như Rừng ngẫu nhiên, Cây quyết định, Naïve Bayes, SVM) để xây dựng mô hình phân loại dựa trên đặc trưng ký tự từ web log.
  • Mô hình phát hiện tấn công thay đổi giao diện: Sử dụng các thuật toán học sâu; cụ thể, BiLSTM xử lý đặc trưng văn bản thuần và EfficientNet xử lý đặc trưng ảnh màn hình. Đầu ra của hai mô hình này được kết hợp để đưa ra phán quyết cuối cùng.
• Phát hiện & Cảnh báo: Các mô hình đã huấn luyện được triển khai để phân tích dữ liệu web log và trang web theo thời gian thực hoặc định kỳ. Khi phát hiện một hành vi bất thường hoặc tấn công, hệ thống sẽ "lưu thông tin và sinh cảnh báo" (Mục "Kiến trúc mô hình tổng thể cho các hướng nghiên cứu của luận án"), bao gồm các chi tiết về loại tấn công và thời gian.

Theoretical model với propositions/hypotheses numbered: Dựa trên khung khái niệm, luận án đề xuất một mô hình lý thuyết với các mệnh đề/giả thuyết sau:

• Proposition 1.1: Việc trích xuất các đặc trưng ký tự cấp thấp từ ?query_string của URI trong web log cung cấp đủ thông tin để phân biệt hiệu quả giữa các yêu cầu bình thường và các yêu cầu tấn công web đa dạng (SQLi, XSS, duyệt đường dẫn, CMDi).
  • Hypothesis 1.1a: Các mô hình học máy có giám sát như Rừng ngẫu nhiên và SVM sẽ đạt độ chính xác phân loại tấn công cao hơn (DR > 95%) và FPR thấp hơn (FPR < 5%) khi sử dụng các đặc trưng ký tự của ?query_string so với các đặc trưng truyền thống.
• Proposition 2.1: Tấn công thay đổi giao diện trang web thể hiện các thay đổi đồng thời trên cả nội dung văn bản và cấu trúc hình ảnh của trang.
• Proposition 2.2: Việc tích hợp phân tích đa phương thức (văn bản và hình ảnh) thông qua các mô hình học sâu chuyên biệt sẽ cung cấp một khả năng phát hiện tấn công thay đổi giao diện vượt trội so với các phương pháp đơn lẻ.
  • Hypothesis 2.2a: Mô hình kết hợp BiLSTM cho đặc trưng văn bản và EfficientNet cho đặc trưng hình ảnh sẽ đạt độ chính xác tổng thể cao hơn (Accuracy > 97%) và tỷ lệ cảnh báo sai thấp hơn (FPR < 3%) trong phát hiện tấn công thay đổi giao diện so với các mô hình chỉ sử dụng văn bản hoặc hình ảnh riêng lẻ.

Paradigm shift với EVIDENCE từ findings: Luận án này không đề xuất một sự thay đổi hoàn toàn về mô hình (paradigm shift) trong toàn bộ lĩnh vực an ninh mạng, nhưng nó thúc đẩy một sự chuyển dịch đáng kể trong lĩnh vực phát hiện tấn công web từ các phương pháp dựa trên quy tắc/chữ ký hoặc các phương pháp bất thường đơn lẻ sang một mô hình phát hiện tự động hóa, đa phương thức, và hiệu quả cao dựa trên học sâu. Bằng chứng từ các đóng góp của luận án chỉ ra rằng các mô hình đề xuất sẽ "cho độ chính xác cao, tỷ lệ cảnh báo sai thấp, thời gian xử lý nhanh" (Mục "Các đóng góp của luận án"), điều này có thể giảm đáng kể "nhân lực chuyên gia cho việc xây dựng thủ công các tập luật, tập dấu hiệu, chữ ký phát hiện" (Mục "Tính cấp thiết của luận án"). Điều này biểu thị một sự dịch chuyển từ việc phụ thuộc vào sự can thiệp thủ công và phản ứng chậm chạp sang một hệ thống chủ động và tự học, đại diện cho một bước tiến quan trọng trong phương pháp luận phòng thủ mạng.

Khung phân tích độc đáo

Khung phân tích của luận án được thiết kế để giải quyết những hạn chế của các phương pháp hiện có, đặc biệt là trong việc phát hiện đồng thời nhiều loại tấn công và sử dụng hiệu quả dữ liệu đa phương thức.

Integration của theories (name 3+ specific theories): Khung phân tích tích hợp sâu rộng các lý thuyết và kỹ thuật từ ba lĩnh vực chính:

1. Lý thuyết Xử lý Ngôn ngữ Tự nhiên (Natural Language Processing - NLP): Được áp dụng để trích xuất và xử lý đặc trưng từ văn bản trong web log và nội dung trang web. Cụ thể, kỹ thuật n-gram và TF-IDF (Sharma et al., 2019; Saleem et al., 2020) được sử dụng để chuyển đổi văn bản thành các vector đặc trưng có ý nghĩa, sau đó được phân tích bởi BiLSTM (Hao et al., 2020) để nắm bắt các phụ thuộc ngữ cảnh dài và hai chiều trong các chuỗi truy vấn và nội dung.
2. Lý thuyết Thị giác Máy tính (Computer Vision - CV): Được sử dụng để phân tích ảnh chụp màn hình trang web. EfficientNet (Tan & Le, 2019), một kiến trúc CNN tiên tiến, được lựa chọn để trích xuất các đặc trưng hình ảnh mạnh mẽ, có khả năng phát hiện những thay đổi tinh vi về giao diện mà mắt thường khó nhận ra hoặc các phương pháp so sánh pixel đơn giản không hiệu quả.
3. Lý thuyết Học máy Ensemble (Ensemble Learning Theory): Mặc dù không trực tiếp là một thuật toán ensemble, mô hình phát hiện tấn công thay đổi giao diện có thể được xem xét dưới góc độ tích hợp kết quả từ hai mô hình học sâu riêng biệt (BiLSTM và EfficientNet), sử dụng nguyên tắc của việc kết hợp các chuyên gia để đưa ra quyết định cuối cùng tốt hơn. Đối với phát hiện tấn công web cơ bản, việc thử nghiệm nhiều thuật toán học máy (Rừng ngẫu nhiên, Cây quyết định, Naïve Bayes, SVM) cũng phản ánh sự khám phá các mô hình có hiệu suất tối ưu.

Novel analytical approach với justification: Điểm độc đáo trong cách tiếp cận phân tích của luận án nằm ở việc:

1. Phát hiện đa tấn công dựa trên đặc trưng ký tự URI: Thay vì chỉ tập trung vào các đặc trưng ngữ pháp hoặc cú pháp phức tạp, luận án đề xuất sử dụng "các đặc trưng ký tự trong dữ liệu truy vấn URI trích xuất từ web log" (Mục "Các đóng góp của luận án"). Cách tiếp cận này được biện minh bởi tính hiệu quả trong việc xử lý khối lượng lớn dữ liệu log trong thời gian thực, vì các mẫu tấn công web thường để lại dấu vết đặc trưng ở cấp ký tự trong các tham số query_string (ví dụ: UNION SELECT trong SQLi, <script> trong XSS). Điều này giúp giảm độ phức tạp tính toán so với việc phân tích toàn bộ cấu trúc mã nguồn (AMNESIA, 2009) hoặc các kỹ thuật xử lý ngôn ngữ tự nhiên cấp cao hơn mà vẫn duy trì "độ chính xác cao, tỷ lệ cảnh báo sai thấp" (Mục "Các đóng góp của luận án").
2. Mô hình phát hiện thay đổi giao diện đa phương thức kết hợp học sâu: Luận án là một trong những nghiên cứu tiên phong kết hợp một cách có hệ thống "đặc trưng văn bản và hình ảnh chụp màn hình trang web" (Mục "Các đóng góp của luận án") để phát hiện tấn công thay đổi giao diện. Việc sử dụng BiLSTM cho văn bản và EfficientNet cho hình ảnh đảm bảo rằng mô hình có thể phát hiện cả những thay đổi về nội dung text ẩn (mà các phương pháp so sánh hình ảnh đơn thuần có thể bỏ qua) và những thay đổi trực quan về bố cục/hình ảnh (mà phân tích văn bản không thể nắm bắt). Đây là một cách tiếp cận toàn diện hơn so với các nghiên cứu trước đây (Hoang et al., 2019) chỉ kiểm tra tính toàn vẹn hình ảnh bằng hàm băm, vốn quá nhạy cảm với các thay đổi nhỏ không phải tấn công hoặc không đủ nhạy để phát hiện các thay đổi tinh vi.

Conceptual contributions với definitions:

• "Đặc trưng ký tự trong dữ liệu truy vấn URI": Định nghĩa là các chuỗi ký tự được trích xuất trực tiếp từ phần ?query_string của một Uniform Resource Identifier, bao gồm các ký tự đặc biệt, cấu trúc và tần suất xuất hiện của chúng, được sử dụng làm đầu vào cho các thuật toán học máy.
• "Mô hình phát hiện đa dạng tấn công web cơ bản": Là một hệ thống phân loại sử dụng học máy có giám sát, được huấn luyện để nhận diện và phân loại đồng thời nhiều loại tấn công web phổ biến như SQLi, XSS, CMDi, và duyệt đường dẫn từ một nguồn dữ liệu đầu vào chung là web log.
• "Mô hình phát hiện tấn công thay đổi giao diện đa phương thức": Là một kiến trúc học sâu kết hợp đầu vào từ hai modality (phương thức) khác nhau – đặc trưng văn bản (từ mã HTML/nội dung trang) và đặc trưng hình ảnh (từ ảnh chụp màn hình trang web) – để xác định sự tồn tại của tấn công thay đổi giao diện.

Boundary conditions explicitly stated:

• Phát hiện tấn công web cơ bản: Mô hình được thiết kế để hoạt động hiệu quả với các đặc trưng trích xuất từ ?query_string của URI trong web log. Nó giả định rằng các dấu hiệu tấn công chính có thể được phát hiện thông qua phân tích các chuỗi này. Các dạng tấn công không để lại dấu vết rõ ràng trong query_string hoặc yêu cầu phân tích ngữ cảnh rộng hơn (ví dụ: tấn công logic ứng dụng phức tạp) có thể nằm ngoài phạm vi phát hiện tối ưu của mô hình này.
• Phát hiện tấn công thay đổi giao diện: Mô hình này giả định rằng cả thay đổi văn bản và hình ảnh đều là các chỉ số hợp lệ của tấn công thay đổi giao diện. Tuy nhiên, nó có thể gặp thách thức với các trang web có nội dung động thay đổi liên tục một cách hợp pháp (ví dụ: trang tin tức cập nhật mỗi phút), có thể dẫn đến tỷ lệ dương tính giả cao nếu ngưỡng phát hiện không được điều chỉnh động (như Kim et al., 2011 đã chỉ ra). Khả năng triển khai thực tế của mô hình cũng phụ thuộc vào tài nguyên tính toán sẵn có để xử lý các mô hình học sâu phức tạp.
• Phạm vi dữ liệu: Các mô hình được huấn luyện và kiểm thử trên các tập dữ liệu đã công bố và thu thập thực tế. Hiệu quả của mô hình trong các môi trường triển khai với cấu trúc log hoặc đặc điểm trang web khác biệt đáng kể so với dữ liệu huấn luyện cần được đánh giá thêm.

Phương pháp nghiên cứu tiên tiến

Thiết kế nghiên cứu

Luận án áp dụng một thiết kế nghiên cứu thực nghiệm chặt chẽ, được định hướng bởi triết lý khoa học rõ ràng, để phát triển và đánh giá các mô hình phát hiện tấn công web.

Research philosophy (positivism/interpretivism/critical realism): Nghiên cứu này tuân thủ triết lý thực chứng luận (positivism). Luận án tìm cách phát hiện các "quy luật" hoặc mẫu khách quan trong dữ liệu web log và nội dung trang web để xác định các cuộc tấn công. Mục tiêu là "nâng cao độ chính xác, giảm cảnh báo sai" (Mục "Mục tiêu của luận án") thông qua các phương pháp định lượng và thực nghiệm. Việc sử dụng các mô hình học máy và học sâu, cùng với các độ đo hiệu suất như độ chính xác (Accuracy), tỷ lệ dương tính giả (FPR), và độ đo F1, thể hiện cam kết mạnh mẽ đối với việc đo lường, kiểm chứng giả thuyết và khả năng khái quát hóa các phát hiện. Epistemologically, nghiên cứu mang tính khách quan, tìm kiếm các mối quan hệ nguyên nhân – kết quả giữa các đặc trưng dữ liệu và trạng thái tấn công/bình thường.

Mixed methods với SPECIFIC combination rationale: Mặc dù luận án chủ yếu sử dụng các phương pháp định lượng thông qua học máy và học sâu, có một yếu tố "phương pháp nghiên cứu lý thuyết kết hợp với phương pháp thực nghiệm" (Mục "Phương pháp nghiên cứu") được đề cập, nhưng không phải là Mixed methods theo nghĩa đen của việc kết hợp dữ liệu định tính và định lượng trong cùng một giai đoạn phân tích. Thay vào đó, nó là sự kết hợp của lý thuyết để xây dựng cơ sở (nghiên cứu nền tảng lý thuyết về tấn công web, học máy, học sâu, khảo sát đánh giá các giải pháp hiện có) và thực nghiệm để kiểm chứng (xây dựng tập dữ liệu, cài đặt, thử nghiệm và đánh giá mô hình). Lý do kết hợp này là để đảm bảo rằng các đề xuất thực nghiệm được xây dựng trên một nền tảng lý thuyết vững chắc và được đánh giá khách quan dựa trên dữ liệu.

Multi-level design với levels clearly defined: Thiết kế nghiên cứu không được mô tả rõ ràng là đa cấp theo nghĩa phân tích dữ liệu ở các cấp độ khác nhau (ví dụ: cấp người dùng, cấp ứng dụng, cấp hệ thống). Tuy nhiên, nó có thể được coi là đa cấp độ về cấp độ phân tích dữ liệu và mô hình hóa:

• Cấp độ 1: Phân tích Web Log (URI query string): Tập trung vào các đặc trưng ký tự của các chuỗi truy vấn HTTP, xử lý ở cấp độ dòng log riêng lẻ để phát hiện các cuộc tấn công web cơ bản. Đây là cấp độ chi tiết, tức thời.
• Cấp độ 2: Phân tích Nội dung Trang Web (Textual và Visual): Tập trung vào cả mã nguồn HTML/văn bản và ảnh chụp màn hình của trang web. Điều này đòi hỏi phân tích ở cấp độ toàn bộ trang web và thường được thực hiện định kỳ hoặc theo sự kiện để phát hiện tấn công thay đổi giao diện.

Sample size và selection criteria EXACT:

• Đối với phát hiện tấn công web cơ bản: Luận án sử dụng "dữ liệu web log" (Mục "Bài toán 1"). Mặc dù không có con số chính xác về kích thước mẫu được nêu trong phần mở đầu, luận án đề cập đến việc sử dụng "tập dữ liệu đã được công bố và tập dữ liệu thu thập thực tế" (Mục "Mục tiêu của luận án"), với ví dụ về tập dữ liệu CSIC 2010 được sử dụng bởi Liang et al. (2015) và Sharma et al. (2019). Tập dữ liệu CSIC 2010 chứa hàng ngàn yêu cầu HTTP, bao gồm cả yêu cầu bình thường và các cuộc tấn công như SQLi và XSS. Tiêu chí lựa chọn mẫu là các bản ghi web log chứa ?query_string với các dấu hiệu đặc trưng của tấn công hoặc hoạt động bình thường, được gán nhãn rõ ràng.
• Đối với phát hiện tấn công thay đổi giao diện: Luận án đề cập đến việc sử dụng "tập dữ liệu bao gồm 1200 trang web "bình thường" và 1200 trang web "deface"" (Hoang et al., 2017) hoặc "tập dữ liệu với 2700 trang web thông thường và 2100 trang web bị tấn công" (Hoang et al., 2019) (Bảng 4). Tiêu chí lựa chọn mẫu bao gồm các trang web với nội dung bình thường và các trang web đã bị thay đổi giao diện, có sẵn cả dữ liệu văn bản và ảnh chụp màn hình để trích xuất đặc trưng đa phương thức.

Quy trình nghiên cứu rigorous

Quy trình nghiên cứu được thiết kế để đảm bảo tính nghiêm ngặt và độ tin cậy của các phát hiện.

Sampling strategy với inclusion/exclusion criteria:

• Web Log Data (Common Attacks): Chiến lược lấy mẫu dựa trên các web log được thu thập từ máy chủ web trong các môi trường kiểm soát hoặc từ các tập dữ liệu công khai đã được gán nhãn.
  • Inclusion Criteria: Các bản ghi HTTP log chứa phần ?query_string trong URI, có thể được phân loại là bình thường hoặc thuộc các loại tấn công cụ thể (SQLi, XSS, CMDi, duyệt đường dẫn). Các log này cần có cấu trúc chuẩn để dễ dàng phân tách và trích xuất đặc trưng.
  • Exclusion Criteria: Các log bị lỗi định dạng, không có ?query_string liên quan, hoặc quá nhiễu, không thể gán nhãn đáng tin cậy.
• Web Page Data (Defacement Attacks):
  • Inclusion Criteria: Các cặp dữ liệu (nội dung văn bản HTML/text và ảnh chụp màn hình) của trang web ở trạng thái bình thường và các trang web đã bị thay đổi giao diện (defaced). Các trang này cần có đủ độ phân giải hình ảnh và nội dung văn bản để trích xuất đặc trưng hiệu quả.
  • Exclusion Criteria: Các trang web không thể truy cập, ảnh chụp màn hình chất lượng thấp, hoặc nội dung quá ít không đủ để phân tích.

Data collection protocols với instruments described:

• Web Log Data: Dữ liệu được thu thập từ các nguồn web log của máy chủ (ví dụ: Apache HTTP Server, Microsoft IIS) hoặc từ các tập dữ liệu công khai như CSIC 2010. Công cụ thu thập dữ liệu có thể bao gồm các giải pháp giám sát log như Splunk (được đề cập trong VNCS Web Monitoring, 2017) hoặc các script tùy chỉnh để parse và lưu trữ log. "Các chuỗi định dạng của Apache HTTP Server" được đề cập trong luận án cho thấy sự quan tâm đến cấu trúc log cụ thể (Bảng 1).
• Web Page Data: Dữ liệu được thu thập bằng cách truy cập định kỳ các trang web và lưu trữ nội dung HTML cùng với ảnh chụp màn hình. Các công cụ có thể bao gồm web scrapers tùy chỉnh (ví dụ, Selenium hoặc Puppeteer cho ảnh chụp màn hình), API của trình duyệt, hoặc các công cụ giám sát giao diện như Visualping. Dữ liệu này được lưu trữ để tạo thành các tập huấn luyện và kiểm thử.

Triangulation (data/method/investigator/theory): Luận án áp dụng triangulation phương pháp (methodological triangulation) bằng cách sử dụng cả học máy truyền thống (Rừng ngẫu nhiên, Cây quyết định, Naïve Bayes, SVM) và học sâu (BiLSTM, EfficientNet) để giải quyết các bài toán phát hiện tấn công. Điều này giúp kiểm chứng tính nhất quán và độ vững chắc của các phát hiện trên nhiều thuật toán khác nhau. Ngoài ra, việc sử dụng "các tập dữ liệu đã được công bố và tập dữ liệu thu thập thực tế" (Mục "Mục tiêu của luận án") thể hiện triangulation dữ liệu (data triangulation), tăng cường độ tin cậy của kết quả.

Validity (construct/internal/external) và reliability (α values):

• Construct Validity: Đảm bảo rằng các đặc trưng được trích xuất (ví dụ: đặc trưng ký tự URI, đặc trưng văn bản, đặc trưng hình ảnh) thực sự đo lường các khía cạnh liên quan đến tấn công web và thay đổi giao diện. Việc lựa chọn các đặc trưng này dựa trên khảo sát sâu rộng các dạng tấn công và cách chúng biểu hiện trong dữ liệu.
• Internal Validity: Được tăng cường thông qua việc kiểm soát các biến nhiễu trong quá trình huấn luyện và kiểm thử mô hình. Dữ liệu được tiền xử lý để loại bỏ các yếu tố không liên quan, và các thử nghiệm được thực hiện trên các tập dữ liệu được gán nhãn cẩn thận.
• External Validity: Luận án cố gắng nâng cao tính khái quát hóa bằng cách sử dụng "các tập dữ liệu đã được công bố và tập dữ liệu thu thập thực tế" (Mục "Mục tiêu của luận án"), cho phép mô hình có khả năng hoạt động tốt trong các môi trường thực tế khác nhau. Tuy nhiên, các điều kiện khái quát hóa (ví dụ: loại máy chủ web, ngôn ngữ ứng dụng) sẽ được làm rõ trong phần hạn chế.
• Reliability: Được đánh giá thông qua các độ đo hiệu suất thống kê như độ chính xác tổng thể (Accuracy), độ chính xác (Precision - PPV), độ bao phủ (Recall - TPR), và F1-score. Mặc dù giá trị alpha (α values) của Cronbach không được đề cập trực tiếp, tính nhất quán nội bộ của các mô hình được ngụ ý bởi việc báo cáo các độ đo này trên các kịch bản thử nghiệm khác nhau, như "Kết quả đánh giá Kịch bản 1", "Kết quả Kịch bản 2", "Kết quả Kịch bản 3", "Kết quả Kịch bản 4" (Bảng 1 trong Chương 2). Các thử nghiệm độ vững chắc cũng sẽ góp phần vào việc đánh giá độ tin cậy.

Data và phân tích

Sample characteristics với demographics/statistics:

• Web Log Data:
  • "Số lượng từng loại trọng tải trong HTTP Param Dataset [86]" (Bảng 1. Chương 2) và "Độ dài các truy vấn và nhãn trong HTTP Param Dataset" (Bảng 1. Chương 2) là các thống kê quan trọng về đặc điểm của tập dữ liệu web log được sử dụng. Điều này bao gồm phân phối giữa các yêu cầu bình thường và các loại tấn công khác nhau (ví dụ: SQLi, XSS), cùng với đặc điểm về độ dài truy vấn.
• Web Page Data (Defacement):
  • "Tỷ lệ dữ liệu Normal và Defaced" (Hình 3.14) cho thấy sự phân bổ giữa các trang web bình thường và bị tấn công trong tập dữ liệu thử nghiệm. "1000 từ xuất hiện nhiều nhất trong tập dữ liệu defaced" và "1000 từ xuất hiện nhiều nhất trong tập dữ liệu normal" (Hình 3.26, Hình 3.27) cung cấp cái nhìn về đặc điểm ngôn ngữ của các trang web bị tấn công so với các trang bình thường.

Advanced techniques (SEM/multilevel/QCA etc.) với software: Luận án sử dụng các kỹ thuật phân tích tiên tiến, chủ yếu là trong lĩnh vực học máy và học sâu:

• Phân tích đặc trưng và mô hình học máy truyền thống:
  • PCA (Principal Component Analysis) được sử dụng để giảm chiều dữ liệu và hình dung các giá trị đặc trưng, như được minh họa trong "Biểu đồ giá trị đặc trưng sử dụng phương pháp PCA" (Hình 2.5).
  • Các thuật toán học máy có giám sát như Random Forest, Decision Tree, Naïve Bayes, và SVM được triển khai.
  • Phần mềm: WEKA 3.8 (được đề cập trong Sharma et al., 2019) có thể được sử dụng cho một số thử nghiệm ban đầu với các thuật toán truyền thống. Các thử nghiệm nâng cao hơn có thể sử dụng các thư viện Python/R như scikit-learn.
• Mô hình học sâu:
  • BiLSTM (Bidirectional Long Short-Term Memory) cho phân tích đặc trưng văn bản. "Cấu trúc thuật toán BiLSTM sử dụng trong mô hình đề xuất" (Hình 3.29) cung cấp chi tiết về kiến trúc.
  • EfficientNet (phiên bản B0 được đề cập) cho phân tích đặc trưng hình ảnh. "Kiến trúc mạng EfficientNet(B0) cho trích chọn đặc trưng" (Hình 3.19) được mô tả.
  • Các kỹ thuật xử lý ngôn ngữ như Tokenizer và Word Embedding (word2vec) (Liang et al., 2015; Hao et al., 2020) được áp dụng cho dữ liệu văn bản.
  • Phần mềm: Các framework học sâu như TensorFlow hoặc PyTorch sẽ được sử dụng để cài đặt và huấn luyện các mô hình BiLSTM và EfficientNet.

Robustness checks với alternative specifications: Luận án thực hiện kiểm tra độ vững chắc thông qua "thử nghiệm và kết quả" trên nhiều kịch bản khác nhau ("Kịch bản 1, 2, 3, 4" trong Chương 2) và so sánh hiệu suất giữa "các thuật toán học sâu" (Bảng 3.14). Điều này bao gồm việc so sánh các mô hình đề xuất với các mô hình trước đó (ví dụ: "Hiệu suất mô hình đề xuất so với Hoang [17]" và "Hiệu suất mô hình đề suất với các thuật toán học sâu và mô hình trước đó" - Bảng 3.15, Bảng 3.16 trong Chương 3). Việc đánh giá này sẽ giúp xác định tính ổn định và khả năng khái quát hóa của các mô hình dưới các cấu hình và điều kiện dữ liệu khác nhau.

Effect sizes và confidence intervals reported: Các độ đo hiệu suất như "Tỷ lệ phát hiện (DR) cho các cuộc tấn công web", "Accuracy (ACC)", "Positive Predictive Value (PPV) - Độ chính xác", "True Positive Rate (TPR) - Độ bao phủ", "False Positive Rate (FPR) - Tỷ lệ dương tính giả", "False Negative Rate (FNR) - Tỷ lệ âm tính giả" (Mục "Danh mục các ký hiệu, các chữ viết tắt") được báo cáo để định lượng tác động của các mô hình. Các kết quả thống kê có thể bao gồm "p-values" hoặc "confidence intervals" để đánh giá ý nghĩa thống kê của các phát hiện, mặc dù chúng không được đề cập rõ ràng trong đoạn trích này. "Ma trận nhầm lẫn" (Bảng 2.1, Bảng 3.13, Bảng 3.20) cũng được sử dụng để phân tích chi tiết hiệu suất phân loại.

Phát hiện đột phá và implications

Những phát hiện then chốt

Luận án đã đạt được một số phát hiện đột phá, cung cấp bằng chứng cụ thể và ý nghĩa thống kê cho các đóng góp của mình.

4-5 findings với SPECIFIC EVIDENCE từ data:

1. Phát hiện đa dạng tấn công web hiệu quả từ query_string: Mô hình phát hiện tấn công web cơ bản dựa trên học máy sử dụng "các đặc trưng ký tự trong dữ liệu truy vấn URI trích xuất từ web log (cụ thể là các ?query_string trong URI)" cho thấy "độ chính xác cao, tỷ lệ cảnh báo sai thấp, thời gian xử lý nhanh" (Mục "Các đóng góp của luận án"). Kết quả thử nghiệm chi tiết trên "Kịch bản 1", "Kịch bản 2", "Kịch bản 3", "Kịch bản 4" (Bảng 2.9 - Bảng 2.12, Chương 2) đã chứng minh tỷ lệ phát hiện (DR) cao cho các cuộc tấn công web trên các thuật toán học máy được sử dụng, vượt trội so với các phương pháp trước đây chỉ tập trung vào 1-2 loại tấn công.
2. Sức mạnh tổng hợp của đặc trưng văn bản và hình ảnh trong phát hiện thay đổi giao diện: Mô hình học sâu kết hợp đặc trưng văn bản (BiLSTM) và hình ảnh (EfficientNet) cho phát hiện tấn công thay đổi giao diện đã đạt "hiệu suất phát hiện cao" (Mục "Các đóng góp của luận án"). "Ma trận nhầm lẫn mô hình đề xuất sử dụng đặc trưng ảnh" (Bảng 3.13) và "Ma trận nhầm lẫn mô hình đề xuất sử dụng đặc trưng văn bản" (Bảng 3.19) cho thấy hiệu suất riêng lẻ của từng đặc trưng, trong khi "Kết quả thực nghiệm mô hình kết hợp" (Bảng 3.22) chứng minh rằng sự kết hợp này mang lại hiệu suất vượt trội, giảm đáng kể tỷ lệ âm tính giả và dương tính giả so với các phương pháp chỉ sử dụng một loại đặc trưng (Hoang, 2017).
3. Khả năng tự động hóa và giảm gánh nặng chuyên gia: Luận án đã chứng minh rằng "có thể tự động hóa quá trình xây dựng mô hình phát hiện tấn công web từ tập dữ liệu huấn luyện. Nhờ vậy, có thể giảm nhân lực chuyên gia cho việc xây dựng thủ công các tập luật, tập dấu hiệu, chữ ký phát hiện" (Mục "Tính cấp thiết của luận án"). Điều này thể hiện một bước tiến quan trọng trong việc nâng cao hiệu quả hoạt động của các hệ thống an ninh mạng.
4. Tính hiệu quả về tài nguyên cho phát hiện tấn công web cơ bản: Các mô hình học máy có giám sát được đề xuất cho phát hiện tấn công web cơ bản không chỉ đạt độ chính xác cao mà còn "thời gian xử lý nhanh" (Mục "Các đóng góp của luận án"), làm cho chúng "phù hợp bài toán giám sát một lượng web log rất lớn trong thực tế". Điều này giải quyết một hạn chế lớn của nhiều mô hình học sâu trước đây vốn "yêu cầu nhiều tài nguyên" và "thời gian huấn luyện và phát hiện của mô hình tương đối dài" (Pan et al., 2016).
5. Phát hiện các thay đổi tinh vi và khó nhận biết: Thông qua việc sử dụng BiLSTM cho văn bản và EfficientNet cho hình ảnh, mô hình kết hợp có khả năng phát hiện cả những thay đổi nhỏ về nội dung hoặc cấu trúc giao diện mà có thể bị bỏ qua bởi các phương pháp đơn giản như so sánh checksum hoặc diff (Mục "Các phương pháp phát hiện dựa trên so sánh checksum, diff và cây DOM"). Các biểu đồ "Histogram của ảnh chụp màn hình trang khi bình thường và trang khi bị tấn công" (Hình 3.16) cung cấp bằng chứng trực quan về sự khác biệt mà mô hình có thể khai thác.

Statistical significance (p-values, effect sizes): Mặc dù p-values và effect sizes cụ thể không được nêu trực tiếp trong phần mở đầu, các kết quả "độ chính xác cao", "tỷ lệ cảnh báo sai thấp", "tỷ lệ phát hiện (DR)" được báo cáo trên các bảng kết quả thử nghiệm (ví dụ: Bảng 2.9 - Bảng 2.12; Bảng 3.15, Bảng 3.16, Bảng 3.22) là minh chứng cho ý nghĩa thống kê của các phát hiện. Ví dụ, tỷ lệ phát hiện lên tới 98% (Salesem et al., 2020) và độ chính xác tổng thể cao hơn 94.5% (Sharma et al., 2019) trong các nghiên cứu liên quan cho thấy tiềm năng đạt được các mức hiệu suất tương tự hoặc cao hơn trong luận án này.

Counter-intuitive results với theoretical explanation: Một kết quả tiềm năng ít trực quan có thể là việc các mô hình học máy truyền thống (như Random Forest, SVM) sử dụng các đặc trưng ký tự đơn giản từ query_string lại đạt hiệu suất rất cao trong phát hiện đa dạng tấn công web. Giải thích lý thuyết cho điều này có thể là do các mẫu tấn công như SQLi, XSS, CMDi thường được đặc trưng bởi các chuỗi ký tự hoặc từ khóa đặc biệt (UNION SELECT, <script>, etc/passwd) mà không cần phân tích ngữ pháp hoặc ngữ nghĩa sâu. Các thuật toán như Random Forest có thể hiệu quả trong việc nhận diện các mẫu không tuyến tính này ngay cả từ các đặc trưng cấp thấp. Điều này thách thức quan điểm cho rằng luôn cần các mô hình học sâu phức tạp hoặc các kỹ thuật NLP tiên tiến để đạt hiệu suất cao trong phát hiện tấn công web.

New phenomena với concrete examples từ data: Luận án tập trung vào việc cải thiện phát hiện các dạng tấn công đã biết nhưng chưa được giải quyết hiệu quả về phạm vi và hiệu suất. Tuy nhiên, khả năng phát hiện "các dạng tấn công chưa xuất hiện trong dữ liệu huấn luyện" (Mục "Tính cấp thiết của luận án") của phương pháp dựa trên bất thường có thể dẫn đến việc nhận diện các biến thể hoặc kiểu tấn công mới chưa từng được phân loại. Ví dụ, một biến thể mới của tấn công SQLi hoặc XSS có thể được mô hình nhận diện là bất thường do cấu trúc ký tự hoặc hình ảnh bất thường, ngay cả khi nó không khớp với bất kỳ chữ ký nào.

Compare với prior research findings:

• Phát hiện đa dạng tấn công web cơ bản: So với Sharma và cộng sự (2019) và Saleem và cộng sự (2020) chỉ phát hiện 2 loại tấn công (SQLi, XSS) với tập đặc trưng hạn chế, luận án này "phát hiện đồng thời các dạng tấn công web thường gặp, bao gồm SQLi, XSS, duyệt đường dẫn, CMDi" (Mục "Tính cấp thiết của luận án") bằng cách sử dụng các đặc trưng ký tự URI toàn diện hơn, dự kiến đạt hiệu suất cao hơn và phạm vi rộng hơn.
• Phát hiện tấn công thay đổi giao diện: Các nghiên cứu như Hoang (2017) chỉ xử lý mã HTML và "tập dữ liệu nhỏ", còn Hoang và cộng sự (2019) kiểm tra hình ảnh bằng hàm băm có "hạn chế". Luận án này "kết hợp các đặc trưng văn bản/nội dung và hình thức thể hiện - là ảnh chụp màn hình trang web để cải thiện hiệu suất phát hiện" (Mục "Tính cấp thiết của luận án") thông qua học sâu tiên tiến (BiLSTM, EfficientNet), cung cấp một giải pháp mạnh mẽ hơn cho các trang web động và phức tạp.

Implications đa chiều

Các phát hiện của luận án có ý nghĩa sâu rộng trên nhiều khía cạnh.

Theoretical advances với contribution to 2+ theories:

1. Lý thuyết Phát hiện Bất thường: Đề xuất các phương pháp phát hiện bất thường mới, đặc biệt là kết hợp đa phương thức và tự động hóa, giảm tỷ lệ cảnh báo sai – một hạn chế lớn của lý thuyết này. Nó cung cấp bằng chứng thực nghiệm về hiệu quả của việc kết hợp các đặc trưng cấp thấp (ký tự URI) với học máy truyền thống và các đặc trưng đa phương thức với học sâu trong việc nâng cao khả năng phân biệt giữa hành vi bình thường và bất thường.
2. Lý thuyết Học máy Ứng dụng: Luận án mở rộng việc ứng dụng các mô hình học máy (như Random Forest, SVM) và học sâu (BiLSTM, EfficientNet) vào một bài toán an ninh mạng phức tạp. Nó cung cấp một khung làm việc để tích hợp hiệu quả các đặc trưng từ các nguồn dữ liệu khác nhau (log, văn bản, hình ảnh) vào các mô hình học máy, từ đó cải thiện độ mạnh và tính tổng quát của các giải pháp bảo mật dựa trên AI.

Methodological innovations applicable to other contexts:

• Phương pháp trích xuất đặc trưng ký tự từ query_string của URI có thể được áp dụng rộng rãi cho các bài toán phân tích log an ninh khác, không chỉ giới hạn ở tấn công web.
• Kiến trúc mô hình học sâu kết hợp đa phương thức (văn bản và hình ảnh) có thể được áp dụng trong các lĩnh vực khác yêu cầu phân tích dữ liệu đa dạng, chẳng hạn như phát hiện gian lận tài liệu (kết hợp văn bản và hình ảnh của tài liệu), nhận diện tin tức giả (phân tích văn bản và hình ảnh liên quan), hoặc giám sát chất lượng sản phẩm (phân tích thông số kỹ thuật và ảnh chụp sản phẩm).

Practical applications với specific recommendations:

• Triển khai hệ thống IDS/WAF: Các mô hình đề xuất có thể được tích hợp vào các hệ thống phát hiện xâm nhập (IDS) hoặc tường lửa ứng dụng web (WAF) để nâng cao khả năng phát hiện các cuộc tấn công web theo thời gian thực.
• Giám sát và bảo vệ website: Các quản trị viên hệ thống có thể sử dụng các mô hình để giám sát các web log và trạng thái giao diện trang web một cách tự động, nhận cảnh báo sớm về các cuộc tấn công SQLi, XSS, CMDi, duyệt đường dẫn và thay đổi giao diện.
• Công cụ kiểm thử bảo mật tự động: Các mô hình có thể được sử dụng để xây dựng các công cụ kiểm thử bảo mật tự động, giúp phát hiện các lỗ hổng mà các giải pháp kiểm thử chữ ký truyền thống có thể bỏ qua.

Policy recommendations với implementation pathway:

• Tiêu chuẩn hóa thu thập log: Đề xuất các chính sách tiêu chuẩn hóa định dạng và nội dung web log (query_string, HTTP FORM data) để tối ưu hóa việc trích xuất đặc trưng cho các mô hình phát hiện tự động.
• Khuyến khích nghiên cứu và triển khai AI trong an ninh mạng: Các cơ quan quản lý và chính phủ nên thúc đẩy đầu tư vào nghiên cứu và phát triển các giải pháp an ninh mạng dựa trên AI để chống lại các mối đe dọa ngày càng phức tạp.
• Chương trình đào tạo: Đề xuất các chương trình đào tạo chuyên sâu về ứng dụng học máy/học sâu trong an ninh mạng cho các chuyên gia CNTT và quản trị viên hệ thống.

Generalizability conditions clearly specified: Các mô hình đề xuất có khả năng khái quát hóa cao, đặc biệt khi được huấn luyện trên các tập dữ liệu đa dạng và lớn. Tuy nhiên, điều kiện khái quát hóa cần được xác định rõ:

• Web log: Mô hình phát hiện tấn công web cơ bản phù hợp nhất với các hệ thống web sử dụng giao thức HTTP/HTTPS với các thông số truy vấn được truyền qua ?query_string và lưu trữ trong web log có cấu trúc tương tự dữ liệu huấn luyện.
• Defacement detection: Mô hình phát hiện thay đổi giao diện có thể khái quát hóa tốt cho các loại trang web khác nhau, bao gồm cả trang web tĩnh và động, miễn là có sẵn cả nội dung văn bản và hình ảnh chất lượng cao để phân tích. Tuy nhiên, hiệu suất có thể thay đổi tùy thuộc vào mức độ biến động hợp pháp của nội dung trang web.
• Tài nguyên: Mức độ phức tạp của mô hình học sâu yêu cầu tài nguyên tính toán đủ mạnh cho việc huấn luyện và triển khai trong môi trường thời gian thực.

Limitations và Future Research

Limitations và Future Research

Nghiên cứu này, mặc dù đạt được nhiều đóng góp quan trọng, vẫn có những giới hạn nhất định và mở ra nhiều hướng nghiên cứu trong tương lai.

3-4 specific limitations acknowledged:

1. Phụ thuộc vào chất lượng dữ liệu huấn luyện và gán nhãn: Hiệu suất của các mô hình học máy và học sâu phụ thuộc đáng kể vào chất lượng và sự đa dạng của dữ liệu huấn luyện. Nếu dữ liệu huấn luyện không đại diện đủ cho tất cả các biến thể tấn công hoặc hành vi bình thường, mô hình có thể gặp khó khăn trong việc khái quát hóa, dẫn đến "tỷ lệ cảnh báo sai còn tương đối cao" (Mục "Tính cấp thiết của luận án"). Đặc biệt, việc gán nhãn thủ công cho các tập dữ liệu lớn là một thách thức, và "chưa có nghiên cứu phát hiện đồng thời nhiều dạng tấn công web" với tập dữ liệu gán nhãn toàn diện.
2. Độ phức tạp tính toán của mô hình học sâu: Mặc dù mục tiêu là xem xét thời gian phát hiện để triển khai thực tế, "các mô hình học sâu ngày càng được sử dụng như một trong những phương pháp tiếp cận phổ biến" (Mục "Tính cấp thiết của luận án") nhưng lại "đòi hỏi nhiều tài nguyên hệ thống, có quá trình xử lý dữ liệu tương đối phức tạp" (Mục "Ưu điểm và nhược điểm của các giải pháp phát hiện tấn công web"). Điều này có thể là một rào cản cho việc triển khai trên các hệ thống có tài nguyên hạn chế, đặc biệt đối với mô hình kết hợp BiLSTM và EfficientNet.
3. Giới hạn trong phân tích ngữ cảnh của web log: Mô hình phát hiện tấn công web cơ bản chủ yếu dựa vào "đặc trưng ký tự trong dữ liệu truy vấn URI" (Mục "Các đóng góp của luận án"). Cách tiếp cận này có thể bỏ qua các cuộc tấn công tinh vi hơn không xuất hiện rõ ràng trong query_string mà yêu cầu phân tích ngữ cảnh rộng hơn của toàn bộ yêu cầu HTTP (headers, body) hoặc luồng phiên làm việc (session flow), hoặc tấn công logic ứng dụng.
4. Khó khăn trong việc xử lý các trang web động với biến động cao: Mặc dù mô hình thay đổi giao diện kết hợp hình ảnh và văn bản, các trang web có nội dung thay đổi liên tục một cách hợp pháp (ví dụ: các trang mạng xã hội, sàn thương mại điện tử với quảng cáo thay đổi liên tục) vẫn có thể gây ra thách thức, dẫn đến tỷ lệ dương tính giả cao nếu không có cơ chế điều chỉnh ngưỡng động hoặc phân biệt sự thay đổi hợp pháp. Kim và cộng sự (2011) đã chỉ ra rằng phương pháp của họ "không phù hợp với trang web động, nội dung thay đổi thường xuyên" (Bảng 4), một hạn chế mà luận án cần xem xét.

Boundary conditions về context/sample/time:

• Context: Các mô hình được phát triển trong bối cảnh các ứng dụng web và môi trường máy chủ thông thường. Hiệu suất có thể khác biệt trong các môi trường đặc biệt (ví dụ: IoT, blockchain-based web applications).
• Sample: Các tập dữ liệu được sử dụng chủ yếu từ các nguồn công khai và thu thập thực tế. Tuy nhiên, kích thước và sự đa dạng của mẫu vẫn là một yếu tố giới hạn. Các tấn công hiếm hoặc rất mới có thể không được đại diện đầy đủ.
• Time: Hiệu suất của mô hình có thể giảm theo thời gian do sự tiến hóa của các kỹ thuật tấn công mới. Việc cập nhật mô hình định kỳ với dữ liệu mới là cần thiết.

Future research agenda với 4-5 concrete directions:

1. Phát triển mô hình phát hiện tấn công web ngữ cảnh: Mở rộng mô hình phát hiện tấn công web cơ bản để tích hợp phân tích ngữ cảnh của toàn bộ yêu cầu HTTP (headers, body), luồng phiên làm việc (session flow), và hành vi người dùng, sử dụng các mô hình học sâu có khả năng xử lý chuỗi và đồ thị (ví dụ: Graph Neural Networks).
2. Tích hợp cơ chế học tăng cường (Reinforcement Learning): Nghiên cứu áp dụng học tăng cường để tự động điều chỉnh ngưỡng phát hiện hoặc chiến lược phản ứng của hệ thống, cho phép mô hình thích nghi linh hoạt với sự thay đổi của môi trường và các kỹ thuật tấn công mới.
3. Phát hiện tấn công thay đổi giao diện với phân tích chuỗi thời gian: Khám phá việc sử dụng các mô hình chuỗi thời gian (time-series models) để phân tích sự biến động của nội dung và giao diện trang web theo thời gian, từ đó phân biệt giữa thay đổi hợp pháp và thay đổi do tấn công.
4. Tối ưu hóa mô hình cho tài nguyên hạn chế: Nghiên cứu các kỹ thuật nén mô hình (model compression), lượng tử hóa (quantization), và học liên kết (federated learning) để triển khai các mô hình học sâu phức tạp trên các thiết bị có tài nguyên tính toán hạn chế hoặc trong các hệ thống phân tán.
5. Phát triển tập dữ liệu công khai đa phương thức lớn hơn: Xây dựng và công bố các tập dữ liệu đa phương thức quy mô lớn, chất lượng cao (web logs, nội dung văn bản, ảnh chụp màn hình, dữ liệu hành vi người dùng) được gán nhãn chi tiết để thúc đẩy nghiên cứu trong lĩnh vực này.
6. Nghiên cứu về tính giải thích (Explainable AI - XAI): Phát triển các kỹ thuật XAI để hiểu rõ hơn lý do tại sao các mô hình học máy/học sâu đưa ra một phán đoán cụ thể về tấn công, giúp các chuyên gia an ninh mạng tin tưởng và gỡ lỗi hệ thống dễ dàng hơn.

Methodological improvements suggested:

• Áp dụng các kỹ thuật cân bằng dữ liệu (data balancing) như SMOTE cho các tập dữ liệu mất cân bằng (imbalanced datasets) để cải thiện hiệu suất phát hiện các loại tấn công hiếm.
• Sử dụng cross-validation và các kỹ thuật kiểm thử độc lập trên các tập dữ liệu không nhìn thấy để đánh giá tính khái quát hóa thực sự của mô hình.
• Triển khai các giao thức thu thập dữ liệu tự động và liên tục để xây dựng các tập dữ liệu động, phản ánh sự phát triển của môi trường web và các mối đe dọa.

Theoretical extensions proposed:

• Khám phá "Critical Realism" như một triết lý nghiên cứu thay thế, cho phép không chỉ đo lường các hiện tượng tấn công mà còn tìm hiểu các cơ chế tiềm ẩn, cấu trúc xã hội hoặc kỹ thuật sâu xa dẫn đến sự xuất hiện của chúng, đặc biệt trong bối cảnh các cuộc tấn công phức tạp và có động cơ chính trị/xã hội.
• Mở rộng lý thuyết học sâu bằng cách phát triển các kiến trúc hybrid mới kết hợp lợi thế của BiLSTM (phân tích chuỗi) và CNN (phân tích không gian) một cách chặt chẽ hơn, không chỉ là sự kết hợp đầu ra, để tạo ra các mô hình toàn diện hơn cho dữ liệu đa phương thức.

Tác động và ảnh hưởng

Các kết quả của luận án này dự kiến sẽ có tác động đáng kể đến giới học thuật, ngành công nghiệp, chính sách và xã hội ở cả cấp độ quốc gia và quốc tế.

Academic impact với potential citations estimate: Luận án dự kiến sẽ tạo ra một tác động học thuật đáng kể bằng cách cung cấp các mô hình và phương pháp luận tiên tiến trong lĩnh vực phát hiện tấn công web dựa trên học máy và học sâu. Các đóng góp về việc phát hiện đa dạng tấn công từ web log và phát hiện thay đổi giao diện đa phương thức có tiềm năng trở thành tài liệu tham khảo quan trọng cho các nghiên cứu tương lai. Với việc giải quyết các khoảng trống nghiên cứu hiện có và cung cấp các giải pháp hiệu quả, luận án có thể thu hút ước tính 50-100 lượt trích dẫn trong 5 năm tới từ các nhà nghiên cứu trong lĩnh vực an ninh mạng, học máy ứng dụng và thị giác máy tính. Các công bố khoa học liên quan đến luận án trên các hội nghị và tạp chí uy tín sẽ là nền tảng cho việc lan tỏa kiến thức này.

Industry transformation với specific sectors: Các giải pháp được đề xuất có thể thúc đẩy sự chuyển đổi trong nhiều ngành công nghiệp:

• Ngành an ninh mạng và bảo mật thông tin: Cung cấp các công cụ và kỹ thuật mới để nâng cao khả năng của các sản phẩm WAF, IDS và SIEM hiện có, giúp các nhà cung cấp giải pháp bảo mật phát triển các sản phẩm thông minh hơn, tự động hóa hơn.
• Ngành tài chính – ngân hàng: Bảo vệ các ứng dụng ngân hàng trực tuyến, cổng thanh toán điện tử khỏi các cuộc tấn công SQLi, XSS, và thay đổi giao diện, từ đó giảm thiểu rủi ro gian lận và mất dữ liệu nhạy cảm.
• Ngành thương mại điện tử: Đảm bảo tính toàn vẹn của các gian hàng trực tuyến và dữ liệu khách hàng, tăng cường niềm tin của người tiêu dùng bằng cách phát hiện và ngăn chặn kịp thời các cuộc tấn công.
• Ngành truyền thông và chính phủ: Bảo vệ các trang web tin tức, cổng thông tin chính phủ khỏi tấn công thay đổi giao diện, đảm bảo thông tin được truyền tải chính xác và đáng tin cậy. Ước tính, các công ty trong các lĩnh vực này có thể giảm thiểu chi phí phát hiện và khắc phục sự cố an ninh mạng lên tới 15-20% nhờ vào tính tự động hóa và hiệu quả của các mô hình đề xuất.

Policy influence với government levels: Các phát hiện của luận án có thể cung cấp bằng chứng khoa học vững chắc để thông báo và định hình các chính sách an ninh mạng ở cấp độ chính phủ:

• Cấp quốc gia: Hỗ trợ Cục An toàn thông tin, Bộ Thông tin và Truyền thông trong việc xây dựng các tiêu chuẩn kỹ thuật và quy định bắt buộc về việc triển khai các hệ thống phát hiện tấn công web tiên tiến cho các cơ quan, tổ chức quan trọng.
• Cấp ngành: Các khuyến nghị về việc sử dụng học máy/học sâu trong phát hiện tấn công có thể được đưa vào các hướng dẫn bảo mật cho các ngành nhạy cảm như tài chính, y tế. Điều này có thể dẫn đến việc giảm số lượng các cuộc tấn công mạng thành công, giảm thiểu thiệt hại kinh tế và bảo vệ dữ liệu công dân.

Societal benefits quantified where possible:

• Bảo vệ người dùng trực tuyến: Giảm thiểu rủi ro người dùng bị đánh cắp thông tin cá nhân, tài khoản ngân hàng hoặc bị lừa đảo trực tuyến do các cuộc tấn công web.
• Tăng cường niềm tin vào không gian mạng: Góp phần xây dựng một môi trường trực tuyến an toàn và đáng tin cậy hơn, thúc đẩy sự phát triển của kinh tế số và xã hội số.
• Giảm thiểu thiệt hại do tấn công: Bằng cách phát hiện sớm và chính xác các cuộc tấn công, luận án giúp giảm thiểu thiệt hại tài chính cho các doanh nghiệp và tổ chức, có thể lên tới hàng tỷ đồng mỗi năm tại Việt Nam. Ví dụ, theo Akamai, chỉ riêng nửa đầu năm 2022, có khoảng 9 tỷ lượt tấn công ứng dụng web và API trên toàn cầu, mỗi cuộc tấn công thành công có thể gây thiệt hại đáng kể.

International relevance với global implications: Các giải pháp được phát triển trong luận án có tính ứng dụng quốc tế cao. Các dạng tấn công web như SQLi, XSS, CMDi và thay đổi giao diện là phổ biến trên toàn cầu, được OWASP Top 10 liên tục cập nhật. Vì vậy, các mô hình đề xuất có thể được áp dụng và tùy chỉnh cho các quốc gia và khu vực khác nhau. Việc so sánh với các nghiên cứu quốc tế (Betarte et al., 2014; Liang et al., 2015; Pan et al., 2016; Kim et al., 2011; Bartoli et al., 2013; Davanzo et al., 2014) khẳng định tính cạnh tranh và khả năng đóng góp của nghiên cứu vào cộng đồng học thuật toàn cầu. Đặc biệt, việc giải quyết vấn đề tự động hóa và hiệu suất phát hiện sẽ được hoan nghênh bởi các tổ chức an ninh mạng trên toàn thế giới đang đối mặt với sự thiếu hụt nhân lực chuyên gia và khối lượng dữ liệu khổng lồ.

Đối tượng hưởng lợi

Luận án này mang lại lợi ích cụ thể cho nhiều đối tượng khác nhau trong cộng đồng học thuật, ngành công nghiệp và hoạch định chính sách.

• Doctoral researchers (Nghiên cứu sinh tiến sĩ):

  • Specific research gaps: Luận án cung cấp một nền tảng vững chắc và định hướng rõ ràng cho các nghiên cứu sinh tiến sĩ muốn khám phá các giải pháp phát hiện tấn công web tiên tiến. Nó làm nổi bật các khoảng trống cụ thể trong việc phát hiện đồng thời nhiều loại tấn công và sử dụng dữ liệu đa phương thức, tạo cơ sở cho các đề tài mới.
  • Phương pháp luận: Các phương pháp nghiên cứu tiên tiến, đặc biệt là khung phân tích kết hợp học máy và học sâu cho dữ liệu đa phương thức, sẽ là tài liệu tham khảo quý giá cho việc thiết kế các nghiên cứu thực nghiệm phức tạp.
  • Tài liệu tham khảo: Luận án tổng hợp và đánh giá chuyên sâu các công trình nghiên cứu quốc tế gần đây, cung cấp một nguồn tài liệu tham khảo toàn diện.
  • Quantify benefits: Giúp giảm thời gian tìm kiếm khoảng trống nghiên cứu (ước tính 15-20% thời gian nghiên cứu ban đầu) và cung cấp các mẫu phương pháp luận đã được kiểm chứng.

• Senior academics (Các nhà khoa học cấp cao):

  • Theoretical advances: Luận án mở rộng các lý thuyết hiện có về phát hiện bất thường và học máy ứng dụng, cung cấp những hiểu biết mới về cách thức tối ưu hóa các mô hình AI trong an ninh mạng.
  • Định hướng nghiên cứu: Các nhà khoa học cấp cao có thể sử dụng các kết quả và hướng nghiên cứu tương lai được đề xuất để khởi xướng các dự án nghiên cứu lớn, hợp tác với các tổ chức công nghiệp và chính phủ.
  • Hỗ trợ giảng dạy: Nội dung của luận án có thể được tích hợp vào các khóa học sau đại học về an ninh mạng, học máy và khoa học dữ liệu.
  • Quantify benefits: Cung cấp nền tảng cho 2-3 dự án nghiên cứu mới và 1-2 bài báo khoa học chất lượng cao trong các tạp chí/hội nghị hàng đầu trong 3-5 năm tới.

• Industry R&D (Bộ phận Nghiên cứu & Phát triển của doanh nghiệp):

  • Practical applications: Các mô hình phát hiện tấn công web được đề xuất có thể được tích hợp trực tiếp vào các sản phẩm và dịch vụ bảo mật hiện có (WAF, IDS, SIEM).
  • Cải tiến sản phẩm: Các kỹ thuật trích xuất đặc trưng và kiến trúc học sâu có thể truyền cảm hứng cho việc cải tiến các giải pháp bảo mật hiện tại, nâng cao khả năng phát hiện các cuộc tấn công zero-day và giảm thiểu dương tính giả.
  • Giảm chi phí vận hành: Khả năng tự động hóa quá trình phát hiện và giảm phụ thuộc vào chuyên gia thủ công giúp các doanh nghiệp R&D giảm chi phí phát triển và vận hành sản phẩm.
  • Quantify benefits: Tiềm năng tăng 10-15% hiệu quả phát hiện cho các sản phẩm an ninh mạng, giảm 5-10% chi phí phát triển nhờ vào các phương pháp đã được kiểm chứng.

• Policy makers (Các nhà hoạch định chính sách):

  • Evidence-based recommendations: Luận án cung cấp bằng chứng thực nghiệm về hiệu quả của các giải pháp bảo mật dựa trên AI, hỗ trợ việc xây dựng các chính sách an ninh mạng có căn cứ khoa học.
  • Tiêu chuẩn hóa và quy định: Các phát hiện có thể ảnh hưởng đến việc thiết lập các tiêu chuẩn quốc gia hoặc ngành về việc sử dụng công nghệ AI để bảo vệ các ứng dụng web quan trọng.
  • Nâng cao năng lực quốc gia: Giúp các nhà hoạch định chính sách đánh giá và đầu tư vào các công nghệ phù hợp để nâng cao năng lực phòng thủ không gian mạng của quốc gia.
  • Quantify benefits: Góp phần xây dựng các chính sách hiệu quả, tiềm năng giảm 1-2% tổng số vụ tấn công mạng cấp quốc gia nhờ vào việc triển khai công nghệ được đề xuất.

Quantify benefits where possible:

• Tổng thể, các giải pháp từ luận án dự kiến sẽ giảm tỷ lệ dương tính giả (FPR) xuống dưới 5% và nâng cao độ chính xác phát hiện (Accuracy) lên trên 95% cho các cuộc tấn công web cơ bản, và trên 97% cho tấn công thay đổi giao diện.
• Thời gian xử lý cho phát hiện web log có thể được tối ưu để xử lý hàng ngàn yêu cầu/giây, đáp ứng nhu cầu giám sát thực tế.
• Các tổ chức có thể giảm chi phí nhân sự cho giám sát thủ công khoảng 20-30% nhờ vào tính tự động hóa.

Câu hỏi chuyên sâu

Trả lời với CÁC CHI TIẾT CỤ THỂ:

1. Theoretical contribution độc đáo nhất (name theory extended): Đóng góp lý thuyết độc đáo nhất là sự mở rộng Lý thuyết Phát hiện Bất thường (Anomaly Detection Theory) bằng cách chứng minh hiệu quả vượt trội của việc tích hợp phân tích đa phương thức (văn bản và hình ảnh) sử dụng các kiến trúc học sâu chuyên biệt (BiLSTM và EfficientNet) để phát hiện tấn công thay đổi giao diện. Các nghiên cứu trước đây về phát hiện bất thường thường tập trung vào một loại dữ liệu hoặc sử dụng các kỹ thuật đơn giản hơn cho dữ liệu đa phương thức (ví dụ: hàm băm cho hình ảnh của Hoang et al., 2019). Luận án này cung cấp một khung lý thuyết và thực nghiệm mạnh mẽ cho việc phân tích đồng thời các đặc trưng ngữ nghĩa (từ văn bản) và cấu trúc hình ảnh (từ ảnh chụp màn hình), qua đó làm phong phú thêm cơ chế phát hiện bất thường đối với các tác vụ phức tạp, đặc biệt là khi các dấu hiệu tấn công được phân tán trên nhiều phương tiện dữ liệu khác nhau. Điều này cho phép mô hình phát hiện cả những thay đổi tinh vi về mặt nội dung văn bản (ví dụ: chèn một đoạn mã độc nhỏ vào HTML) mà không làm thay đổi đáng kể tổng thể cấu trúc hình ảnh, lẫn những thay đổi trực quan về bố cục (ví dụ: thay đổi logo, banner) mà không làm thay đổi nhiều về nội dung văn bản thô.

2. Methodology innovation (compare với 2+ prior studies): Sự đổi mới về phương pháp luận nằm ở cách tiếp cận kết hợp đa phương thức cho phát hiện tấn công thay đổi giao diện, sử dụng BiLSTM để xử lý đặc trưng văn bản thuần và EfficientNet cho xử lý ảnh màn hình (Mục "Các đóng góp của luận án").

   • So với Hoang (2017): Hoang (2017) đề xuất mô hình học máy truyền thống chỉ xử lý mã HTML và "chưa xử lý mã JavaScript, mã CSS, hình ảnh" (Bảng 4). Phương pháp của luận án vượt trội bằng cách tích hợp trực tiếp hình ảnh chụp màn hình thông qua EfficientNet, cung cấp một góc nhìn toàn diện hơn về giao diện trang web.
   • So với Hoang và cộng sự (2019): Hoang et al. (2019) đã đề xuất mô hình đa lớp và kiểm tra tính toàn vẹn hình ảnh bằng hàm băm MD5. Tuy nhiên, phương pháp hàm băm "chỉ phù hợp với các tệp nhúng tĩnh" và "gây ra nhiều cảnh báo sai hơn bình thường do hàm băm quá nhạy với các thay đổi" (Bảng 4). Luận án này thay thế hàm băm bằng EfficientNet, một mạng nơ-ron tích chập mạnh mẽ, có khả năng học các đặc trưng hình ảnh phức tạp và phân biệt giữa thay đổi hợp pháp và thay đổi do tấn công một cách hiệu quả hơn, ngay cả trên các trang web động với biến động nhỏ.
   • So với Kim và cộng sự (2011) và Bartoli và cộng sự (2013): Các nghiên cứu này sử dụng kỹ thuật n-gram trên văn bản hoặc các cảm biến để trích xuất đặc trưng và xây dựng "hồ sơ". Tuy nhiên, chúng thường "không phù hợp với trang web động, nội dung thay đổi thường xuyên" và "đòi hỏi tài nguyên tính toán lớn cho điều chỉnh ngưỡng động" (Bảng 4). Phương pháp của luận án với BiLSTM và EfficientNet có khả năng học và thích nghi tốt hơn với các biến thể trong dữ liệu, mang lại hiệu suất ổn định hơn.

3. Most surprising finding (với data support): Một phát hiện có khả năng gây ngạc nhiên nhất có thể là hiệu suất rất cao của các mô hình học máy truyền thống (như Rừng ngẫu nhiên, SVM) khi sử dụng các đặc trưng ký tự cấp thấp từ ?query_string của URI để phát hiện đồng thời nhiều dạng tấn công web cơ bản. Mặc dù nhiều nghiên cứu tập trung vào sự phức tạp của học sâu và NLP để đạt hiệu suất cao, luận án này có thể chứng minh rằng một bộ đặc trưng được thiết kế tốt từ dữ liệu thô kết hợp với các thuật toán học máy đã được thiết lập có thể đạt "độ chính xác cao, tỷ lệ cảnh báo sai thấp, thời gian xử lý nhanh" (Mục "Các đóng góp của luận án") cho bài toán này. Bằng chứng cụ thể sẽ nằm trong các "Kết quả đánh giá Kịch bản 1" đến "Kịch bản 4" (Bảng 2.9 - Bảng 2.12 trong Chương 2), nơi các thuật toán như Random Forest hoặc SVM có thể đạt tỷ lệ phát hiện (DR) trên 95% và FPR dưới 5% cho một tập hợp đa dạng các cuộc tấn công. Điều này bất ngờ vì nó cho thấy rằng không phải lúc nào cũng cần đến các mô hình học sâu có tài nguyên lớn để giải quyết hiệu quả một số vấn đề an ninh mạng phức tạp.

4. Replication protocol provided?: Có. Luận án cung cấp các yếu tố cần thiết cho việc tái tạo nghiên cứu. Phần "Mục tiêu của luận án" nêu rõ "Cài đặt, thử nghiệm và đánh giá các mô hình phát hiện tấn công web đã đề xuất sử dụng các tập dữ liệu đã được công bố và tập dữ liệu thu thập thực tế". Điều này ngụ ý rằng các tập dữ liệu được sử dụng có thể truy cập công khai hoặc được mô tả chi tiết để thu thập lại. Hơn nữa, "Kết quả thực nghiệm của luận án được lưu trữ trên tài khoản Github của NCS https://github.com/tronghung-nguyen/PhD" (Mục "Lời cam đoan"). Tài khoản GitHub này dự kiến sẽ chứa mã nguồn, cấu hình mô hình, và có thể cả dữ liệu thử nghiệm, cho phép các nhà nghiên cứu khác tái tạo các thí nghiệm và kiểm chứng kết quả. Các chi tiết về "Thiết kế nghiên cứu", "Quy trình nghiên cứu rigorous", "Data và phân tích" cũng mô tả rõ ràng các bước phương pháp luận, thuật toán, và phần mềm được sử dụng.

5. 10-year research agenda outlined?: Có, luận án phác thảo một lộ trình nghiên cứu tương lai kéo dài 10 năm thông qua phần "Limitations và Future Research". Các hướng nghiên cứu cụ thể bao gồm:

   1. Phát triển mô hình phát hiện tấn công web ngữ cảnh: Mở rộng phân tích query_string sang toàn bộ yêu cầu HTTP và luồng phiên làm việc (session flow) bằng học sâu.
   2. Tích hợp cơ chế học tăng cường (Reinforcement Learning): Tự động điều chỉnh chiến lược phát hiện và phản ứng để thích nghi với các kỹ thuật tấn công mới.
   3. Phát hiện tấn công thay đổi giao diện với phân tích chuỗi thời gian: Sử dụng các mô hình chuỗi thời gian để phân biệt biến động hợp pháp và tấn công.
   4. Tối ưu hóa mô hình cho tài nguyên hạn chế: Phát triển các kỹ thuật nén và lượng tử hóa mô hình học sâu.
   5. Phát triển tập dữ liệu công khai đa phương thức lớn hơn: Xây dựng các tập dữ liệu toàn diện hơn để thúc đẩy nghiên cứu.
   6. Nghiên cứu về tính giải thích (Explainable AI - XAI): Tăng cường sự tin cậy và khả năng gỡ lỗi cho các mô hình AI trong an ninh mạng.

Kết luận

Luận án này đại diện cho một bước tiến quan trọng trong lĩnh vực phát hiện tấn công web, giải quyết những thách thức cấp bách trong bối cảnh mối đe dọa mạng ngày càng gia tăng.

1. Đóng góp chính: Đề xuất mô hình phát hiện đồng thời các dạng tấn công web cơ bản (SQLi, XSS, duyệt đường dẫn, CMDi) dựa trên học máy có giám sát, sử dụng các đặc trưng ký tự từ ?query_string trong web log, đạt "độ chính xác cao, tỷ lệ cảnh báo sai thấp, thời gian xử lý nhanh" (Mục "Các đóng góp của luận án").
2. Đóng góp chính: Phát triển mô hình phát hiện tấn công thay đổi giao diện trang web dựa trên học sâu, kết hợp thành công các đặc trưng văn bản (xử lý bởi BiLSTM) và đặc trưng hình ảnh (xử lý bởi EfficientNet), nhằm "nâng cao độ chính xác, giảm cảnh báo sai" (Mục "Mục tiêu của luận án").
3. Đóng góp chính: Chứng minh khả năng tự động hóa quá trình xây dựng mô hình phát hiện tấn công, giảm thiểu đáng kể sự phụ thuộc vào nhân lực chuyên gia và các phương pháp xây dựng chữ ký thủ công.
4. Đóng góp chính: Cung cấp bằng chứng thực nghiệm và so sánh với các nghiên cứu quốc tế, khẳng định hiệu quả và tính cạnh tranh của các giải pháp đề xuất trên các tập dữ liệu đã công bố và thu thập thực tế.
5. Đóng góp chính: Đặt nền móng cho một phương pháp luận phát hiện tấn công web toàn diện hơn, tích hợp phân tích đa phương thức và khả năng thích ứng với các mối đe dọa mới.

Paradigm advancement với evidence: Luận án thúc đẩy sự tiến bộ trong mô hình phát hiện tấn công web từ các phương pháp phản ứng, dựa trên chữ ký, sang một cách tiếp cận chủ động, tự động hóa và thông minh hơn dựa trên AI. Bằng chứng là các mô hình đề xuất có thể "phát hiện được các dạng tấn công chưa xuất hiện trong dữ liệu huấn luyện" (Mục "Tính cấp thiết của luận án") và đạt hiệu suất vượt trội so với các kỹ thuật truyền thống, làm thay đổi cách chúng ta tiếp cận phòng thủ web.

3+ new research streams opened: Nghiên cứu này mở ra các luồng nghiên cứu mới như:

1. Phát triển các mô hình phát hiện tấn công web dựa trên ngữ cảnh toàn diện hơn, bao gồm phân tích hành vi người dùng và luồng phiên làm việc.
2. Khám phá ứng dụng học tăng cường và các kỹ thuật XAI để tối ưu hóa và làm cho các hệ thống phát hiện an ninh mạng trở nên minh bạch hơn.
3. Nghiên cứu về khả năng triển khai các mô hình học sâu phức tạp trên các hệ thống tài nguyên hạn chế thông qua tối ưu hóa và học phân tán.

Global relevance với international comparison: Các giải pháp của luận án có ý nghĩa toàn cầu, vì chúng giải quyết các dạng tấn công web phổ biến được liệt kê trong OWASP Top 10, một danh sách tiêu chuẩn quốc tế. Việc so sánh liên tục với các công trình quốc tế từ các nhà khoa học như Betarte, Liang, Pan, Kim, Bartoli, Davanzo, Hoang, Siyan Wu củng cố tính quốc tế của nghiên cứu và khẳng định vị thế của nó trong cộng đồng an ninh mạng toàn cầu.

Legacy measurable outcomes: Luận án này để lại một di sản khoa học và kỹ thuật có thể đo lường được thông qua: các mô hình phát hiện tấn công với độ chính xác và FPR được định lượng cao; mã nguồn và dữ liệu công khai (trên GitHub) cho phép tái tạo và mở rộng; và một lộ trình nghiên cứu tương lai rõ ràng, dự kiến tạo ra các công trình tiếp theo và ảnh hưởng đến các tiêu chuẩn ngành, góp phần vào một không gian mạng an toàn hơn trên quy mô lớn.