Tổng quan về luận án

Luận án tiến sĩ này tập trung nghiên cứu sâu rộng các giải pháp tiên tiến nhằm nâng cao an toàn thông tin trong các hệ thống điều khiển công nghiệp (ICS), một lĩnh vực khoa học đang đối mặt với những thách thức phức tạp và ngày càng gia tăng từ các mối đe dọa mạng. Bối cảnh khoa học hiện nay cho thấy sự tích hợp sâu rộng giữa công nghệ thông tin (IT) và công nghệ vận hành (OT) đã làm gia tăng đáng kể bề mặt tấn công của các ICS như SCADA (Supervisory Control and Data Acquisition) và DCS (Distributed Control System), biến chúng thành mục tiêu hấp dẫn cho các tác nhân độc hại. Nghiên cứu này mang tính tiên phong khi giải quyết trực tiếp hai khoảng trống nghiên cứu (research gap) cốt lõi đã được xác định rõ ràng trong tài liệu hiện có.

Research gap SPECIFIC với citations từ literature: Thứ nhất, một khoảng trống quan trọng được nhận diện là sự thiếu hụt các nghiên cứu toàn diện về khả năng phát hiện "tấn công tuyến tính" (cyber linear attack) – một hình thức tấn công tính toàn vẹn dữ liệu mới và có mức độ nguy hiểm cao được công bố bởi nhóm nghiên cứu tại Đại học Công nghệ Hồng Kông [5], [6], [7]. Đặc biệt, luận án này nhấn mạnh rằng "đồng thời, cũng chưa có nghiên cứu nào chỉ ra được khả năng phát hiện tấn công tuyến tính." Đây là một kiểu tấn công có khả năng vượt qua các phương pháp phát hiện sai lệch dữ liệu truyền thống như Kullback-Leibler (K-L), như đã được chỉ ra bởi các công trình trước [5], [6]. Thứ hai, mặc dù có nhiều nỗ lực nghiên cứu ứng dụng học máy để phát hiện xâm nhập dữ liệu trong ICS, vẫn còn khoảng trống trong việc phát triển các mô hình nhận dạng hiệu quả cao, có khả năng phân loại đa dạng các dạng tấn công điển hình, đặc biệt là khi sử dụng các bộ dữ liệu quốc tế công khai như bộ dữ liệu đường ống dẫn khí Turnipseed [25]. Luận án đặt mục tiêu "nghiên cứu, đề xuất một mô hình nhận dạng mới, cho phép nâng cao chất lượng phát hiện các loại tấn công vào hệ thống khi so với các công bố trước đây."

Research questions và hypotheses: Để giải quyết các khoảng trống này, luận án đặt ra các câu hỏi nghiên cứu và giả thuyết sau:

  1. RQ1: Các phương pháp phát hiện bất thường trong chuỗi dữ liệu truyền thống (CHI2, CUSUM, WL CUSUM, FMA) có khả năng phát hiện tấn công tuyến tính khi tấn công này đã vượt qua ngưỡng phát hiện của phương pháp K-L hay không?
    • H1: Tồn tại khả năng phát hiện tấn công tuyến tính của các phương pháp WL CUSUM, FMA, CUSUM và CHI2 ngay cả khi kiểu tấn công này đã vượt qua phương pháp K-L.
  2. RQ2: Phương pháp nào trong số CHI2, CUSUM, WL CUSUM, FMA thể hiện hiệu suất tốt nhất trong việc phát hiện tấn công tuyến tính, và các yếu tố nào ảnh hưởng đến khả năng phát hiện của chúng?
    • H2: Phương pháp FMA sẽ cho thấy khả năng phát hiện tấn công tuyến tính tốt hơn đáng kể so với CHI2, CUSUM, và WL CUSUM.
  3. RQ3: Có thể xây dựng một mô hình học máy kết hợp (ensemble) để nâng cao chất lượng nhận dạng và phân loại đa dạng các dạng tấn công tính toàn vẹn dữ liệu trong ICS, đặc biệt là trên các bộ dữ liệu quốc tế công khai?
    • H3: Một mô hình xếp chồng (stacking ensemble model) sử dụng các kỹ thuật học máy hiện đại có thể đạt được độ chính xác vượt trội trong việc phát hiện và phân loại các kiểu tấn công tính toàn vẹn dữ liệu trên bộ dữ liệu Turnipseed so với các công bố trước đây.

Theoretical framework với tên theories cụ thể: Nghiên cứu được xây dựng trên nền tảng của nhiều lý thuyết và phương pháp từ lĩnh vực kỹ thuật điều khiển và học máy. Trọng tâm ban đầu dựa trên Lý thuyết Điều khiển Tối ưu, đặc biệt là việc sử dụng Bộ lọc Kalman (Kalman Filter) để ước lượng trạng thái hệ thống và tạo ra phần dư tín hiệu (residual signals), một kỹ thuật đã được chứng minh trong nhiều công trình như [6], [13]. Các phân tích về sự ổn định của hệ thống sử dụng Tiêu chuẩn Routh-Hurwitz. Để đánh giá khả năng phát hiện tấn công, luận án khai thác các nguyên lý của Thống kê Suy luận, đặc biệt là Phân phối Student (Student's t-distribution) và Phân phối Chi-squared (Chi-squared distribution), như minh họa trong Bảng 2.1 và Bảng 2.2 của luận án, để xác định khoảng tin cậy và ngưỡng phát hiện. Trong phần học máy, nghiên cứu dựa trên các lý thuyết của Học máy Giám sát (Supervised Learning) và Học sâu (Deep Learning), tích hợp các mô hình như Random Forest, Light Boosting Gradient Machine, eXtreme Gradient Boosting, và đặc biệt là Mạng Đa Tầng Perceptron (Multi-layer Perceptron - MLP) trong kiến trúc xếp chồng. Khái niệm Lý thuyết Ensemble Learning là trung tâm cho việc phát triển mô hình nhận dạng mới.

Đóng góp đột phá với quantified impact: Luận án này mang đến những đóng góp đột phá với tác động định lượng rõ rệt. Thứ nhất, nó cung cấp bằng chứng thực nghiệm và mô phỏng chi tiết về khả năng phát hiện tấn công tuyến tính, một kiểu tấn công mới, qua các phương pháp CHI2, CUSUM, WL CUSUM, FMA, đặc biệt là trong trường hợp tấn công này đã qua mặt được phương pháp K-L [5,6]. Các kết quả mô phỏng cho thấy tấn công tuyến tính với Tk = -I có thể làm tăng hiệp phương sai ước lượng sai một lượng lên tới 3Δ, gây ra thiệt hại lớn nhất cho hệ thống. Thứ hai, mô hình học máy xếp chồng được đề xuất đạt được hiệu suất vượt trội, với độ chính xác 99,72% cho phân loại nhị phân và 99,62% cho phân loại đa lớp các dạng tấn công trên bộ dữ liệu Turnipseed. Những con số này thể hiện sự cải thiện đáng kể so với các công trình trước đây, như thể hiện trong Bảng 4.9 và Hình 4.11, 4.12.

Scope và significance: Phạm vi nghiên cứu giới hạn vào tấn công tính toàn vẹn dữ liệu, đặc biệt là tấn công tuyến tính, tại cấp trường (điểm tấn công A9 và A10 trong hình 1.3) và việc ứng dụng học máy để phát hiện các dạng tấn công điển hình trên bộ dữ liệu đường ống dẫn khí Turnipseed quốc tế. Nghiên cứu sử dụng các mô hình không gian trạng thái trong miền rời rạc cho các đối tượng thử nghiệm. Ý nghĩa của luận án nằm ở việc cung cấp các giải pháp phát hiện tấn công mạng mới và hiệu quả, góp phần trực tiếp vào việc nâng cao an toàn thông tin trong các ICS - một yếu tố sống còn cho cơ sở hạ tầng quan trọng quốc gia, từ đó giảm thiểu các thiệt hại kinh tế và xã hội tiềm tàng, tương tự như các vụ tấn công đã gây thiệt hại ước tính 170 triệu USD cho TSMC (2018) hay 52 triệu USD cho Norsk Hydro (2019).

Literature Review và Positioning

Nghiên cứu về an toàn thông tin trong hệ thống điều khiển công nghiệp là một lĩnh vực năng động với hai hướng chính: nghiên cứu các thủ đoạn tấn công mới và phát triển các phương pháp phát hiện tấn công. Luận án này đã tổng hợp các dòng nghiên cứu lớn, xác định các mâu thuẫn và đặt vị trí của mình trong bối cảnh học thuật quốc tế.

Synthesis của major streams với TÊN TÁC GIẢ và NĂM cụ thể: Một dòng nghiên cứu chính tập trung vào các thuật toán/phương pháp phát hiện điểm bất thường (anomaly detection) trong chuỗi dữ liệu truyền trong hệ thống. Các phương pháp điển hình bao gồm CHI2 (Chi-squared), CUSUM (Cumulative Sum), FSS (Fixed-Size Sample), WL CUSUM (Window Limited Cumulative SUM), và FMA (Finite Moving Average), áp dụng khi biết thông số kỳ vọng và phương sai của hệ thống khi có thay đổi bất thường. Khi các thông số này chưa biết, các phương pháp như GLR (Generalized Likelihood Ratio) và WLR (Weighted Likelihood Ratio) được sử dụng, như tài liệu [13] đã tổng hợp. Dòng nghiên cứu thứ hai tập trung vào việc nâng cao khả năng phát hiện sai lệch dữ liệu ở cấp điều khiển và giám sát bằng cách sử dụng các bộ dữ liệu mẫu mô phỏng các trường hợp bị tấn công điển hình. Vấn đề này đang nhận được sự quan tâm lớn [14]. Đặc biệt, sự phát triển của học máy truyền thống [15], [16], [17], [18], [19], [20] và kiến trúc mạng nơ ron học sâu [21], [22], [23], [24] cho các mảng dữ liệu lớn đã tạo ra một hướng mới trong phát hiện xâm nhập dữ liệu. Nhiều nhóm cũng nỗ lực xây dựng các bộ dữ liệu chuyên biệt để phát hiện xâm nhập trong hệ thống SCADA [22], [25], [26], [27].

Contradictions/debates với ít nhất 2 opposing views: Trong lĩnh vực phát hiện tấn công mạng ICS, có những mâu thuẫn rõ ràng. Một mặt, các phương pháp phát hiện bất thường dựa trên mô hình (model-based anomaly detection) như K-L (Kullback-Leibler) được coi là hiệu quả trong việc phát hiện sai lệch dữ liệu [5]. Tuy nhiên, một luồng nghiên cứu đối lập, cụ thể là từ nhóm tại Đại học Công nghệ Hồng Kông [5], [6], [7], đã chứng minh rằng tấn công tuyến tính (cyber linear attack) có thể được thiết kế để "hoàn toàn vượt qua" thuật toán phát hiện tấn công K-L. Điều này tạo ra một thách thức lớn, cho thấy các phương pháp truyền thống không đủ mạnh để đối phó với tất cả các dạng tấn công tinh vi. Mâu thuẫn khác tồn tại trong cách tiếp cận phát hiện. Một số nghiên cứu tập trung vào các phương pháp thống kê để xác định sự thay đổi trong chuỗi dữ liệu (ví dụ: CUSUM được áp dụng bởi một nhóm nghiên cứu tại học viện Kỹ thuật mật mã để phát hiện các dạng tấn công đột ngột, phân cực, hình học trên mô hình SISO [45]). Ngược lại, một dòng nghiên cứu khác, được thúc đẩy bởi sự sẵn có của dữ liệu và sức mạnh tính toán, lại ủng hộ mạnh mẽ việc sử dụng các kỹ thuật học máy và học sâu để xây dựng các mô hình nhận dạng phức tạp, có khả năng phân loại nhiều loại tấn công khác nhau, như thể hiện trong các công trình sử dụng bộ dữ liệu Turnipseed [25].

Positioning trong literature với specific gap identified: Luận án này đặt vị trí của mình ở giao điểm của hai dòng nghiên cứu chính, giải quyết cả hai mâu thuẫn trên. Nó không chỉ thừa nhận khả năng vượt qua K-L của tấn công tuyến tính mà còn tiến xa hơn bằng cách "nghiên cứu khả năng phát hiện tấn công tuyến tính" của các phương pháp thống kê khác (CHI2, CUSUM, WL CUSUM, FMA), một khoảng trống rõ ràng đã được chỉ ra: "chưa có nghiên cứu nào chỉ ra được khả năng phát hiện tấn công tuyến tính." Đồng thời, nó cũng tổng hợp sức mạnh của các phương pháp thống kê truyền thống để đề xuất một "tầng phát hiện phía sau" (backend detection layer) cho tấn công tuyến tính, và kết hợp với việc phát triển một mô hình học máy xếp chồng tiên tiến để "nâng cao chất lượng nhận dạng xâm nhập, tấn công tính toàn vẹn dữ liệu," đặc biệt trên bộ dữ liệu Turnipseed, một thách thức được nhiều nghiên cứu quốc tế quan tâm [25].

How this advances field với concrete contributions: Nghiên cứu này thúc đẩy lĩnh vực an toàn thông tin ICS bằng cách: (1) Cung cấp bằng chứng thực nghiệm đầu tiên về khả năng phát hiện tấn công tuyến tính của các phương pháp CHI2, CUSUM, WL CUSUM, FMA, giải quyết trực tiếp một vấn đề chưa được nghiên cứu đầy đủ; (2) Đề xuất một mô hình học máy xếp chồng đạt hiệu suất cao, mang lại độ chính xác gần như tuyệt đối (99.72% và 99.62%) trong việc phát hiện và phân loại đa dạng các dạng tấn công tính toàn vẹn, vượt trội so với các mô hình độc lập và các công trình trước đây trên cùng bộ dữ liệu. Điều này tạo ra một khung giải pháp toàn diện hơn cho an ninh mạng ICS.

So sánh với ÍT NHẤT 2 international studies: Nghiên cứu này có sự so sánh và kế thừa rõ ràng từ các công trình quốc tế.

  1. Đại học Công nghệ Hồng Kông (Hong Kong University of Technology) và Đại học Đông Bắc (Northeast University, Shenyang, China): Luận án trực tiếp tham chiếu và xây dựng trên cơ sở nghiên cứu của các nhóm này về tấn công tuyến tính [5], [6], [7], [9]. Các nghiên cứu trước đó đã phân tích mô hình toán học và cách thức hoạt động của tấn công tuyến tính, chứng minh khả năng vượt qua phương pháp K-L. Luận án này mở rộng bằng cách nghiên cứu "khả năng phát hiện tấn công tuyến tính" bằng các phương pháp khác, đi sâu vào đánh giá hiệu quả của chúng trong bối cảnh các tấn công tinh vi này.
  2. Đại học bang Mississippi, Hoa Kỳ (Mississippi State University, USA): Nghiên cứu sử dụng "bộ dữ liệu đường ống dẫn khí Turnipseed" [25], được công bố bởi phòng thí nghiệm SCADA của Đại học bang Mississippi năm 2015. Đây là "bộ dữ liệu quốc tế duy nhất... công bố công khai" về các cuộc tấn công làm sai lệch dữ liệu trong mạng truyền thông công nghiệp. Việc sử dụng bộ dữ liệu chuẩn này cho phép so sánh trực tiếp kết quả của mô hình đề xuất với "các công trình khác gần đây" (Bảng 4.9, Hình 4.11, 4.12), khẳng định tính cạnh tranh và ưu việt của giải pháp đưa ra.

Đóng góp lý thuyết và khung phân tích

Đóng góp cho lý thuyết

Luận án này đóng góp đáng kể vào các lý thuyết hiện có trong lĩnh vực điều khiển tự động và an toàn thông tin bằng cách mở rộng và thách thức một số giả định đã được thiết lập.

Extend/challenge WHICH specific theories (name theorists): Nghiên cứu này mở rộng Lý thuyết phát hiện bất thường (Anomaly Detection Theory) bằng cách cung cấp một phân tích định lượng đầu tiên về khả năng phát hiện "tấn công tuyến tính" (cyber linear attack) – một kiểu tấn công tinh vi được mô tả bởi phương trình $z̃_k = T_k z_k + b_k$ [5], [6]. Các công trình trước đó của nhóm nghiên cứu tại Đại học Công nghệ Hồng Kông [5] đã thách thức hiệu quả của phương pháp phát hiện Kullback-Leibler (K-L) trước kiểu tấn công này, chỉ ra rằng K-L "hoàn toàn có thể bị vượt qua." Luận án này tiếp tục thách thức giới hạn của các phương pháp truyền thống và mở rộng hiểu biết về khả năng chống chịu của chúng bằng cách chứng minh rằng các phương pháp như CHI2, CUSUM, WL CUSUM, và FMA vẫn có thể phát hiện được kiểu tấn công này, ngay cả khi K-L thất bại. Điều này không chỉ củng cố mà còn tinh chỉnh Lý thuyết lọc Kalman (Kalman Filtering Theory) trong bối cảnh an ninh mạng, bằng cách phân tích cách các tấn công làm thay đổi hiệp phương sai ước lượng sai (P), từ đó gây ra sai lệch đáng kể (ví dụ, tăng 3Δ trong trường hợp tấn công tối ưu với $T_k = -I$ [6]), và cách các phần dư từ bộ lọc Kalman có thể được sử dụng làm cơ sở để phát hiện.

Conceptual framework với components và relationships: Khung lý thuyết của luận án tích hợp hai trụ cột chính:

  1. Phát hiện Anomaly dựa trên mô hình điều khiển: Hệ thống điều khiển công nghiệp được mô hình hóa bằng mô hình không gian trạng thái rời rạc tuyến tính (Eq. 1.1: $x_{k+1} = Ax_k + Bu_k + Fd_k + w_k$, $y_k = Cx_k + Du_k + Gd_k + v_k$). Bộ lọc Kalman được sử dụng để ước lượng trạng thái ($x̂_k$) và tạo ra phần dư tín hiệu ($z_k = y_k - C x̂_k^-$), là cơ sở để phát hiện các hành vi bất thường. Các phương pháp thống kê như CHI2, CUSUM, WL CUSUM, FMA sau đó phân tích các đặc tính của chuỗi phần dư này để xác định sự xuất hiện của tấn công tuyến tính, đặc biệt là khi chúng gây ra sự thay đổi trong hiệp phương sai của sai số ước lượng (P̃_k).
  2. Phát hiện và Phân loại Tấn công dựa trên học máy: Một khung học máy xếp chồng (stacking ensemble framework) được đề xuất. Khung này bao gồm:
    • Lớp Base-learner: Gồm các mô hình học máy mạnh mẽ như Random Forest, Light Boosting Gradient Machine, và eXtreme Gradient Boosting [16,18,19,20].
    • Lớp Meta-classifier: Một Mạng Đa Tầng Perceptron (MLP) được sử dụng để học cách kết hợp các dự đoán từ lớp base-learner, từ đó đưa ra quyết định phân loại cuối cùng với độ chính xác cao.

Mối quan hệ giữa các thành phần là tuần tự và bổ trợ: các phương pháp dựa trên mô hình điều khiển cung cấp cơ sở để hiểu và phát hiện các tấn công cụ thể như tấn công tuyến tính, trong khi khung học máy cung cấp một giải pháp tổng thể, mạnh mẽ hơn để nhận dạng và phân loại đa dạng các dạng tấn công phức tạp trong dữ liệu thực tế.

Theoretical model với propositions/hypotheses numbered: Mô hình lý thuyết đề xuất có thể được biểu diễn thông qua các tiền đề sau:

  1. Tiền đề 1: Các tấn công tuyến tính ($z̃_k = T_k z_k + b_k$) tác động lên tín hiệu cảm biến ($y_k$) sẽ làm thay đổi đáng kể hiệp phương sai của sai số ước lượng trạng thái ($P̃_k$) so với trạng thái bình thường ($P_k$), với tác động tối ưu khi $T_k = -I$, gây ra sự gia tăng 3Δ trong $P̃_k$ [6].
  2. Tiền đề 2: Mặc dù phương pháp K-L có thể bị tấn công tuyến tính vượt qua [5], các phương pháp phát hiện bất thường dựa trên thống kê khác như CHI2, CUSUM, WL CUSUM, và FMA, khi được áp dụng để phân tích chuỗi phần dư từ bộ lọc Kalman, có khả năng phát hiện sự thay đổi bất thường gây ra bởi tấn công tuyến tính.
  3. Tiền đề 3: Hiệu suất phát hiện tấn công tuyến tính của các phương pháp thống kê sẽ phụ thuộc vào các tham số của chúng (ví dụ: khoảng thời gian tấn công L và trọng số $\gamma$ trong FMA) và các đặc tính của hệ thống (ví dụ: ổn định hay không ổn định). Cụ thể, FMA được kỳ vọng sẽ vượt trội hơn.
  4. Tiền đề 4: Một mô hình xếp chồng gồm các base-learner như Random Forest, LightGBM, XGBoost và một meta-classifier MLP có khả năng học được các đặc trưng phức tạp từ bộ dữ liệu tấn công ICS (ví dụ: Turnipseed [25]) và đạt được độ chính xác cao trong việc phân loại nhị phân và đa lớp các kiểu tấn công tính toàn vẹn.

Paradigm shift với EVIDENCE từ findings: Nghiên cứu này không hoàn toàn đề xuất một sự thay đổi mô hình (paradigm shift) mà là một sự tiến hóa và củng cố trong cách tiếp cận an toàn thông tin ICS. Nó dịch chuyển từ quan điểm dựa vào một phương pháp phát hiện duy nhất (ví dụ: K-L) sang một cách tiếp cận đa tầng, kết hợp (hybrid) và mạnh mẽ hơn. Bằng chứng là việc xác định rõ ràng rằng các phương pháp truyền thống có thể được sử dụng "như một tầng phát hiện phía sau trong chuỗi các kỹ thuật được áp dụng để đảm bảo tính toàn vẹn dữ liệu của các hệ thống điều khiển công nghiệp." Sự kết hợp này, cùng với khả năng vượt trội của mô hình học máy xếp chồng (độ chính xác 99,72%), cho thấy một sự chuyển đổi sang các giải pháp phòng thủ chủ động, thích ứng và thông minh hơn, vượt ra ngoài các biện pháp bảo mật tĩnh truyền thống.

Khung phân tích độc đáo

Khung phân tích của luận án thể hiện tính độc đáo thông qua việc tích hợp sâu rộng các lý thuyết và phương pháp, đồng thời đưa ra các đóng góp khái niệm rõ ràng.

Integration của theories (name 3+ specific theories): Khung phân tích của luận án là sự tích hợp chặt chẽ của Lý thuyết Điều khiển Hiện đại (Modern Control Theory, đặc biệt là Lý thuyết ước lượng trạng thái (State Estimation Theory) với Bộ lọc Kalman), Lý thuyết Thống kê Suy luận (Statistical Inference Theory) (áp dụng các kiểm định Chi-squared, CUSUM trên phân bố dữ liệu), và Lý thuyết Học máy (Machine Learning Theory) (sử dụng Ensemble Learning với Random Forest, Gradient Boosting, MLP). Sự tích hợp này cho phép nghiên cứu giải quyết vấn đề an toàn thông tin một cách toàn diện, từ cấp độ phân tích tín hiệu vật lý đến cấp độ phân tích dữ liệu lớn, tận dụng điểm mạnh của mỗi lĩnh vực.

Novel analytical approach với justification: Phương pháp phân tích của luận án là độc đáo bởi cách tiếp cận hai mặt:

  1. Phân tích khả năng phát hiện tấn công tuyến tính bằng phương pháp thống kê: Đây là một cách tiếp cận mới để đối phó với một kiểu tấn công mới. Thay vì chỉ thừa nhận sự yếu kém của K-L [5], luận án này tiến hành kiểm định có hệ thống các phương pháp phát hiện bất thường khác (CHI2, CUSUM, WL CUSUM, FMA) với các đối tượng hệ thống khác nhau (MIMO, bình trộn nhiệt), từ đó định lượng được hiệu suất của chúng. Sự cần thiết của phương pháp này được biện minh bởi tính mới và sự tinh vi của tấn công tuyến tính, đòi hỏi một sự đánh giá chuyên sâu về các công cụ phòng thủ hiện có.
  2. Mô hình học máy xếp chồng (Stacking Ensemble Model): Luận án đề xuất một kiến trúc stacking độc đáo với lớp base-learner là sự kết hợp của các thuật toán boosting và bagging (Random Forest, LightGBM, XGBoost) và lớp meta-classifier là một mạng nơ-ron đa tầng MLP. Sự kết hợp này được biện minh bởi khả năng của MLP trong việc học các mối quan hệ phi tuyến phức tạp từ đầu ra của các base-learner, tối ưu hóa khả năng dự đoán tổng thể và vượt trội so với các mô hình đơn lẻ, đặc biệt là trên các bộ dữ liệu phức tạp với nhiều loại tấn công như Turnipseed.

Conceptual contributions với definitions: Luận án đóng góp các khái niệm rõ ràng:

  • Tấn công tuyến tính (Cyber Linear Attack): Được định nghĩa rõ ràng qua phương trình $z̃_k = T_k z_k + b_k$ [6], nơi $T_k$ là ma trận tùy ý và $b_k$ là biến ngẫu nhiên dạng Gaussian. Khái niệm này được phát triển sâu hơn bằng việc phân tích tác động của nó lên hiệp phương sai của sai số ước lượng ($P̃_k$).
  • Tầng phát hiện phía sau (Backend Detection Layer): Khái niệm này được đưa ra để mô tả việc sử dụng các phương pháp thống kê truyền thống (CHI2, CUSUM, FMA) như một lớp phòng thủ bổ sung, sau khi các phương pháp phát hiện ban đầu (như K-L) đã bị vượt qua bởi các tấn công tinh vi.
  • Mô hình nhận dạng kết hợp (Hybrid Recognition Model): Thể hiện sự kết hợp giữa các phương pháp thống kê dựa trên mô hình và các kỹ thuật học máy để tạo ra một hệ thống phát hiện tấn công toàn diện và mạnh mẽ hơn.

Boundary conditions explicitly stated: Các điều kiện biên của nghiên cứu được xác định rõ ràng. Nghiên cứu tập trung vào "một kiểu tấn công tính toàn vẹn dữ liệu, mới được công bố gần đây... có tên gọi là tấn công tuyến tính" và các phương pháp phát hiện cụ thể đối với nó. Phạm vi của các phương pháp học máy cũng được giới hạn trong việc sử dụng "bộ dữ liệu quốc tế duy nhất (bộ dữ liệu đường ống dẫn khí Turnipseed)" để phát hiện và phân loại các dạng tấn công làm sai lệch dữ liệu. Các mô hình hệ thống được khảo sát là "mô hình không gian trạng thái trong miền rời rạc với các thông số chưa biết và nhiễu ngẫu nhiên," và cụ thể là hệ thống MIMO và bình trộn nhiệt. Điều này giúp xác định rõ ràng khả năng tổng quát hóa và ứng dụng của các kết quả.

Phương pháp nghiên cứu tiên tiến

Thiết kế nghiên cứu

Thiết kế nghiên cứu của luận án này là sự kết hợp chặt chẽ giữa các phương pháp mô phỏng định lượng dựa trên lý thuyết điều khiển và các kỹ thuật học máy thực nghiệm, phản ánh một cách tiếp cận nghiêm ngặt và toàn diện.

Research philosophy (positivism/interpretivism/critical realism): Luận án tuân thủ triết lý nghiên cứu chủ yếu là Thực chứng (Positivism) và Thực chứng hậu kỳ (Post-positivism). Nghiên cứu tìm cách khám phá các quy luật khách quan, có thể đo lường và kiểm chứng, về cách các tấn công mạng ảnh hưởng đến ICS và cách các giải pháp có thể phát hiện chúng. Nó dựa trên việc xây dựng các mô hình toán học (ví dụ: mô hình không gian trạng thái, bộ lọc Kalman), thực hiện mô phỏng (ví dụ: kiểm chứng bằng mô phỏng hệ thống Scalar ổn định/không ổn định), và phân tích thống kê (ví dụ: sử dụng phân bố Student và Chi-squared để xác định ngưỡng), cùng với việc đánh giá định lượng hiệu suất của các mô hình học máy (ví dụ: độ chính xác 99.72%). Điều này cho thấy sự tập trung vào việc thu thập dữ liệu khách quan để kiểm tra các giả thuyết và thiết lập các mối quan hệ nhân quả.

Mixed methods với SPECIFIC combination rationale: Mặc dù không phải là Mixed methods theo nghĩa truyền thống của khoa học xã hội, luận án này sử dụng một sự kết hợp mạnh mẽ của phương pháp định lượng bao gồm:

  1. Mô phỏng dựa trên mô hình điều khiển: Để phân tích ảnh hưởng của tấn công tuyến tính lên hệ thống và đánh giá khả năng phát hiện của các phương pháp thống kê (CHI2, CUSUM, WL CUSUM, FMA). Lý do kết hợp là để hiểu sâu sắc cơ chế của tấn công và hiệu quả của các giải pháp phòng thủ cơ bản trong một môi trường được kiểm soát.
  2. Thực nghiệm học máy trên dữ liệu thực tế: Để phát triển và đánh giá mô hình nhận dạng các dạng tấn công tính toàn vẹn trên bộ dữ liệu đường ống dẫn khí Turnipseed [25]. Lý do kết hợp này là để xây dựng một giải pháp thực tiễn, có khả năng tổng quát hóa, đối phó với sự phức tạp và đa dạng của các cuộc tấn công trong thế giới thực, nơi các mô hình lý thuyết đơn giản có thể không đủ.

Sự kết hợp này cho phép nghiên cứu vừa có được sự hiểu biết sâu sắc về các nguyên lý cơ bản của tấn công và phòng thủ, vừa phát triển các giải pháp mạnh mẽ, có hiệu suất cao và có thể áp dụng trong thực tế.

Multi-level design với levels clearly defined: Thiết kế nghiên cứu có thể được xem xét ở nhiều cấp độ:

  • Cấp độ 1 (Phân tích tấn công và khả năng phát hiện): Tập trung vào cấp độ tín hiệu và hệ thống điều khiển, sử dụng mô hình không gian trạng thái để phân tích tác động của tấn công tuyến tính lên hiệp phương sai của sai số ước lượng và khả năng phát hiện của các phương pháp thống kê.
  • Cấp độ 2 (Phát triển mô hình học máy): Hoạt động ở cấp độ dữ liệu lớn, nơi các mô hình học máy được huấn luyện để phân loại các dạng tấn công dựa trên các đặc trưng của dữ liệu mạng và hệ thống.

Sample size và selection criteria EXACT:

  • Đối với nghiên cứu tấn công tuyến tính: Các đối tượng thử nghiệm được lựa chọn là "mô hình không gian trạng thái trong miền rời rạc với các thông số chưa biết và nhiễu ngẫu nhiên." Cụ thể, nghiên cứu khảo sát trên "đối tượng thứ nhất - hệ thống MIMO" và "đối tượng thứ hai – bình trộn nhiệt" (thermal mixing tank) để kiểm chứng đa dạng. Các mô phỏng được thực hiện trên các khoảng thời gian cụ thể (ví dụ: T1=20, T2=40, T3=60, T4=80, T5=100, T6=120) để đánh giá tác động của tấn công và khả năng phát hiện. Mặc dù số lượng "samples" không được định lượng rõ ràng cho mỗi lần mô phỏng, các kết quả được trình bày dưới dạng đường đặc tính theo thời gian (Hình 2.6, 2.7, 2.8, 2.9), ngụ ý một chuỗi dữ liệu dài để phân tích.
  • Đối với nghiên cứu học máy: Dựa trên "bộ dữ liệu đường ống dẫn khí Turnipseed" [25]. Bảng 4.2 mô tả các dạng tấn công khác nhau trong tập dữ liệu (8 loại nhãn), và Bảng 4.3 hiển thị "Ba dòng đầu bộ dữ liệu thô với 17 trường đặc trưng và 2 loại nhãn." Bảng 4.1 mô tả "Các thuộc tính của mỗi mẫu trong tập dữ liệu [25]". Bộ dữ liệu này chứa các cuộc tấn công làm sai lệch dữ liệu trong các hệ thống mạng truyền thông công nghiệp. Kích thước mẫu (sample size) không được nêu chính xác trong đoạn trích nhưng ngụ ý là lớn do sử dụng các kiến trúc mạng nơ-ron học sâu [21], [22], [23], [24] và được mô tả là "bộ dữ liệu quốc tế lớn."

Quy trình nghiên cứu rigorous

Quy trình nghiên cứu được thiết kế để đảm bảo tính nghiêm ngặt và độ tin cậy của các phát hiện.

Sampling strategy với inclusion/exclusion criteria:

  • Đối với mô phỏng tấn công tuyến tính: Sử dụng các mô hình hệ thống điều khiển được xác định rõ ràng (ví dụ: hệ thống Scalar ổn định với A=0.2, Q=1, R=1; hệ thống Scalar không ổn định với A=1.02, C=1.2, Q=1, R=1). Các loại tấn công (từ chối dịch vụ, tuyến tính, phân bố chuẩn) được đưa vào mô hình tại các khoảng thời gian cụ thể, cho phép kiểm soát biến độc lập và đánh giá tác động của chúng lên hệ thống.
  • Đối với học máy: Sử dụng toàn bộ bộ dữ liệu Turnipseed [25]. Tiêu chí bao gồm dữ liệu mạng và hệ thống được thu thập từ một hệ thống SCADA đường ống dẫn khí thực tế, có gắn nhãn các loại tấn công. Không có tiêu chí loại trừ rõ ràng nào được đề cập, cho thấy sự bao hàm tối đa các mẫu dữ liệu có sẵn.

Data collection protocols với instruments described:

  • Đối với mô phỏng tấn công tuyến tính: Dữ liệu được tạo ra thông qua mô phỏng toán học của các mô hình không gian trạng thái trong miền rời rạc. "Phương pháp tạo phần dư truyền thống (bộ lọc Kalman) cũng được sử dụng" để tạo ra chuỗi phần dư ($z_k$) từ tín hiệu đầu ra của cảm biến ($y_k$) và ước lượng đầu ra ($C x̂_k^-$). Các tín hiệu này là đầu vào cho các phương pháp phát hiện bất thường (CHI2, CUSUM, WL CUSUM, FMA).
  • Đối với học máy: Dữ liệu được thu thập từ "bộ dữ liệu đường ống dẫn khí của Turnipseed" [25]. Đây là dữ liệu được thu thập thực tế từ phòng thí nghiệm SCADA của Đại học bang Mississippi, Hoa Kỳ. Dữ liệu bao gồm "17 trường đặc trưng và 2 loại nhãn" (phân loại nhị phân) hoặc "8 loại nhãn" (phân loại đa lớp), được tổ chức trong các bảng (Bảng 4.1, 4.2, 4.3).

Triangulation (data/method/investigator/theory): Nghiên cứu áp dụng đa dạng hóa phương pháp và dữ liệu.

  • Đa dạng hóa phương pháp (Methodological Triangulation): Kết hợp các phương pháp dựa trên lý thuyết điều khiển (Bộ lọc Kalman, phân tích hiệp phương sai) với các phương pháp thống kê phát hiện bất thường (CHI2, CUSUM) và các kỹ thuật học máy tiên tiến (Mô hình xếp chồng với RF, LightGBM, XGBoost, MLP).
  • Đa dạng hóa dữ liệu (Data Triangulation): Sử dụng cả dữ liệu mô phỏng được tạo ra một cách có kiểm soát để phân tích chi tiết tấn công tuyến tính và dữ liệu thực tế (bộ dữ liệu Turnipseed) để kiểm định các mô hình học máy trong bối cảnh phức tạp hơn.
  • Đa dạng hóa lý thuyết (Theoretical Triangulation): Tổng hợp các lý thuyết từ điều khiển tự động, thống kê và học máy để xây dựng một khung phân tích toàn diện.

Validity (construct/internal/external) và reliability (α values):

  • Tính hợp lệ cấu trúc (Construct Validity): Các thuật ngữ và khái niệm như "tấn công tuyến tính," "hiệp phương sai của sai số ước lượng," "phần dư tín hiệu" được định nghĩa rõ ràng và sử dụng nhất quán trong suốt luận án.
  • Tính hợp lệ nội bộ (Internal Validity): Các thiết kế mô phỏng được kiểm soát để xác định tác động của các biến tấn công lên hệ thống. Các kết quả mô phỏng (ví dụ: Hình 2.7 cho thấy sự gia tăng P̃k) cung cấp bằng chứng trực tiếp về tác động của các loại tấn công khác nhau. Các mô hình học máy được đánh giá bằng các tiêu chí rõ ràng (accuracy, confusion matrix).
  • Tính hợp lệ bên ngoài (External Validity): Việc sử dụng bộ dữ liệu quốc tế Turnipseed [25] giúp tăng khả năng tổng quát hóa của mô hình học máy cho các hệ thống SCADA đường ống dẫn khí tương tự. Tuy nhiên, các điều kiện biên về ngữ cảnh/mẫu/thời gian được xác định rõ ràng để tránh tổng quát hóa quá mức.
  • Độ tin cậy (Reliability): Các quy trình nghiên cứu được mô tả chi tiết, bao gồm các phương trình toán học và các bước mô phỏng, nhằm đảm bảo khả năng tái tạo. Các giá trị $\alpha$ (alpha) không được báo cáo trực tiếp trong phần trích dẫn, nhưng các phương pháp thống kê như CUSUM, CHI2 vốn dựa trên các ngưỡng và độ tin cậy được định lượng. Đối với các mô hình học máy, "Kết quả của từng bộ phân loại... thông qua đánh giá mô hình cross-validation (CV) và tìm kiếm ngẫu nhiên" (Hình 4.9, 4.10) cho thấy các biện pháp đã được thực hiện để đảm bảo tính ổn định và tin cậy của mô hình.

Data và phân tích

Luận án áp dụng một cách tiếp cận đa dạng và tinh vi trong việc thu thập, xử lý và phân tích dữ liệu.

Sample characteristics với demographics/statistics:

  • Đối tượng mô phỏng tấn công tuyến tính: Bao gồm các hệ thống Scalar ổn định và không ổn định, và một hệ thống bình trộn nhiệt. Các thông số hệ thống được xác định rõ ràng (ví dụ: A=0.2, Q=1, R=1 cho hệ thống Scalar ổn định). Dữ liệu được tạo ra theo phân bố Gaussian cho nhiễu quá trình ($w_k$) và nhiễu cảm biến ($v_k$).
  • Đối tượng học máy (Bộ dữ liệu Turnipseed): Gồm dữ liệu từ "đường ống dẫn khí" với "17 trường đặc trưng và 2 loại nhãn" (có/không tấn công) hoặc "8 loại nhãn" (các loại tấn công cụ thể). Bảng 4.1 và Bảng 4.2 cung cấp chi tiết về các thuộc tính và mô tả các dạng tấn công, ví dụ: "Bảng 4.2. Mô tả các dạng tấn công khác nhau của tập dữ liệu."

Advanced techniques (SEM/multilevel/QCA etc.) với software: Luận án sử dụng các kỹ thuật phân tích tiên tiến.

  • Phân tích Thống kê Chuỗi Thời gian: Các phương pháp CHI2, CUSUM, WL CUSUM, FMA được áp dụng để phân tích chuỗi phần dư từ Bộ lọc Kalman nhằm phát hiện sự thay đổi thống kê. Điều này đòi hỏi các công cụ phân tích dữ liệu và thống kê mạnh mẽ, thường được thực hiện bằng MATLAB hoặc Python với các thư viện thống kê.
  • Mô hình Xếp chồng Học máy (Stacking Ensemble Learning): Đây là một kỹ thuật học máy nâng cao, kết hợp nhiều mô hình cơ sở (base learners) để cải thiện hiệu suất dự đoán. Các base learners được sử dụng bao gồm Random Forest, Light Boosting Gradient Machine (LightGBM), và eXtreme Gradient Boosting (XGBoost). Lớp meta-classifier là một Mạng Đa Tầng Perceptron (MLP). Các kỹ thuật này thường được triển khai bằng các thư viện học máy trong Python như scikit-learn, TensorFlow, Keras, LightGBM, XGBoost. "Tác giả dùng một mạng đa tầng MLP làm lớp phân loại meta cho mô hình."
  • Đánh giá mô hình Cross-validation (CV) và tìm kiếm ngẫu nhiên (Random Search): Các kỹ thuật tối ưu hóa siêu tham số này được sử dụng để tinh chỉnh các mô hình học máy và đảm bảo tính mạnh mẽ của chúng, như thể hiện trong Hình 4.9, 4.10.

Robustness checks với alternative specifications: Luận án thực hiện các kiểm tra độ vững chắc (robustness checks) thông qua nhiều cách tiếp cận.

  • Thay đổi đối tượng mô phỏng: Các phương pháp phát hiện tấn công tuyến tính được kiểm chứng trên cả hệ thống Scalar ổn định, Scalar không ổn định và hệ thống bình trộn nhiệt, cho thấy khả năng ứng dụng của chúng trong các kịch bản hệ thống khác nhau.
  • Phân tích ảnh hưởng của tham số: Nghiên cứu phân tích "ảnh hưởng của các trọng số $\gamma$ và khoảng thời gian tấn công L đến khả năng phát hiện tấn công tuyến tính của phương pháp FMA" (Hình 3.10, 3.11, 3.17, 3.18, 3.19), điều này giúp hiểu rõ giới hạn và điều kiện hoạt động tối ưu của phương pháp.
  • So sánh đa dạng mô hình học máy: Mặc dù tập trung vào mô hình xếp chồng, luận án cũng "Kết quả của từng bộ phân loại (mạng nơ ron) trong trường hợp phát hiện tấn công hai nhãn" (Bảng 4.5) và "kết quả của từng bộ phân loại trong trường hợp phát hiện tấn công 8 nhãn" (Bảng 4.6), cung cấp một điểm so sánh với hiệu suất của các mô hình đơn lẻ.

Effect sizes và confidence intervals reported: Mặc dù không trực tiếp báo cáo các giá trị thống kê cụ thể như effect sizes hay confidence intervals cho tất cả các phát hiện, luận án cung cấp các chỉ số định lượng quan trọng.

  • Độ chính xác (Accuracy): Đối với mô hình học máy, độ chính xác được báo cáo là 99,72% (phân loại nhị phân) và 99,62% (phân loại đa lớp), là các chỉ số mạnh mẽ về hiệu suất.
  • P-values: Các phương pháp phát hiện thống kê như CHI2 và CUSUM vốn dựa trên việc so sánh giá trị thống kê với một ngưỡng dựa trên p-value hoặc phân vị của phân bố (Bảng 2.1, 2.2). "Statistical significance (p-values, effect sizes)" được ngụ ý thông qua việc sử dụng các tiêu chuẩn này.
  • Hiệp phương sai sai số ước lượng: "Với tấn công tuyến tính minh họa ở trường hợp 3 thì làm tăng hiệp phương sai ước lượng sai một lượng 3Δ (lớn nhất)", đây là một chỉ số định lượng về tác động của tấn công.

Phát hiện đột phá và implications

Những phát hiện then chốt

Luận án đã đưa ra những phát hiện then chốt có ý nghĩa sâu rộng cho an toàn thông tin trong các hệ thống điều khiển công nghiệp.

  1. Phát hiện khả năng vượt qua K-L của tấn công tuyến tính và khả năng phát hiện bởi các phương pháp khác: Mặc dù nhóm nghiên cứu tại Đại học Công nghệ Hồng Kông đã chỉ ra rằng thuật toán phát hiện tấn công K-L "hoàn toàn có thể bị vượt qua" bởi tấn công tuyến tính [5], luận án này là nghiên cứu đầu tiên chứng minh rằng các phương pháp phát hiện bất thường khác như CHI2, CUSUM, WL CUSUM, và FMA vẫn có khả năng phát hiện kiểu tấn công này. Cụ thể, "các phân tích trong chương này đã chỉ ra rằng tồn tại khả năng phát hiện tấn công tuyến tính của phương pháp WL CUSUM, FMA, CUSUM và CHI2, khi kiểu tấn công này vượt qua phương pháp độ chênh K – L."
  2. Xác định FMA là phương pháp hiệu quả nhất: Trong số các phương pháp thống kê được khảo sát (CHI2, CUSUM, WL CUSUM, FMA), FMA cho thấy hiệu suất vượt trội trong việc phát hiện tấn công tuyến tính. "Phân tích các kết quả mô phỏng cũng cho thấy khả năng phát hiện tấn công tuyến tính của phương pháp FMA tốt hơn so với phương pháp CHI2, CUSUM, WL CUSUM."
  3. Tác động định lượng của tấn công tuyến tính lên hiệp phương sai: Nghiên cứu định lượng được mức độ thiệt hại do tấn công tuyến tính gây ra. "Với tấn công tuyến tính minh họa ở trường hợp 3 thì làm tăng hiệp phương sai ước lượng sai một lượng 3Δ (lớn nhất), đây là điểm tấn công tối ưu, gây ra thiệt hại nhiều nhất cho hệ thống." Phát hiện này được minh họa rõ ràng trong Hình 2.7 và 2.9, cho thấy sự tăng vọt của $P̃_k$ khi có tấn công tuyến tính ($z̃_k = -z_k$).
  4. Hiệu suất đột phá của mô hình học máy xếp chồng: Mô hình học máy xếp chồng được đề xuất đạt độ chính xác "99,72% và 99,62%" tương ứng cho phân loại nhị phân và đa lớp các dạng tấn công tính toàn vẹn trên bộ dữ liệu Turnipseed. "Các kết quả so sánh mô hình đề xuất với các công trình khác gần đây" (Bảng 4.11) và (Hình 4.11, 4.12) cho thấy sự cải thiện đáng kể về hiệu suất, vượt trội so với các giải pháp hiện có.
  5. Phát hiện các yếu tố ảnh hưởng đến khả năng phát hiện của FMA: Luận án cũng phân tích "ảnh hưởng của các trọng số $\gamma$ và khoảng thời gian tấn công L đến khả năng phát hiện tấn công tuyến tính của phương pháp FMA" (Hình 3.10, 3.11, 3.17, 3.18, 3.19). Đây là một phát hiện quan trọng giúp tinh chỉnh và tối ưu hóa việc triển khai thực tế của FMA.

Implications đa chiều

Những phát hiện này có ý nghĩa quan trọng trên nhiều khía cạnh.

Theoretical advances với contribution to 2+ theories: Các phát hiện đóng góp vào Lý thuyết Điều khiển An toàn (Secure Control Theory) bằng cách cung cấp một cái nhìn sâu sắc hơn về các giới hạn và khả năng của các phương pháp phát hiện bất thường đối với các tấn công tinh vi. Nó mở rộng Lý thuyết Phát hiện Xâm nhập (Intrusion Detection Theory) bằng cách đề xuất một chiến lược phòng thủ đa tầng, nơi các phương pháp thống kê truyền thống có thể phục vụ như một "tầng phát hiện phía sau" bổ trợ, kết hợp với các kỹ thuật học máy tiên tiến để nhận dạng các kiểu tấn công phức tạp. Điều này giúp phát triển một lý thuyết phòng thủ toàn diện hơn chống lại các mối đe dọa mạng trong ICS.

Methodological innovations applicable to other contexts: Mô hình học máy xếp chồng với các base-learner và meta-classifier MLP có tính ứng dụng cao. Kiến trúc này có thể được áp dụng để phát hiện và phân loại các loại tấn công khác không chỉ trong ICS mà còn trong các lĩnh vực an ninh mạng khác (ví dụ: phát hiện mã độc, phân loại lưu lượng mạng bất thường) hoặc các hệ thống giám sát khác cần phân tích dữ liệu chuỗi thời gian để phát hiện điểm bất thường. Phương pháp phân tích tác động của tấn công lên hiệp phương sai cũng có thể được áp dụng để đánh giá độ vững chắc của các hệ thống điều khiển khác trước các mối đe dọa tương tự.

Practical applications với specific recommendations: Các kết quả nghiên cứu dẫn đến các khuyến nghị thực tiễn cụ thể:

  • Các nhà vận hành ICS có thể triển khai các phương pháp CHI2, CUSUM, WL CUSUM, hoặc FMA như một lớp phòng thủ bổ sung để phát hiện tấn công tuyến tính, đặc biệt là khi các hệ thống K-L có thể bị vượt qua. FMA được ưu tiên do hiệu suất vượt trội.
  • Việc phát triển và tích hợp các mô hình học máy xếp chồng vào các hệ thống phát hiện xâm nhập (IDS) hiện có sẽ giúp nâng cao đáng kể khả năng nhận dạng và phân loại các dạng tấn công tính toàn vẹn dữ liệu, giảm thiểu thời gian phản ứng và thiệt hại.

Policy recommendations với implementation pathway: Chính phủ và các cơ quan quản lý cần xem xét việc cập nhật các tiêu chuẩn an ninh mạng cho ICS, bao gồm các yêu cầu về khả năng phát hiện các dạng tấn công tinh vi như tấn công tuyến tính.

  • Lộ trình triển khai: Khuyến khích đầu tư vào nghiên cứu và phát triển các giải pháp IDS dựa trên học máy cho ICS. Các chính sách có thể bao gồm việc cung cấp tài trợ cho việc xây dựng các bộ dữ liệu công khai, đa dạng hơn về các cuộc tấn công ICS để thúc đẩy đổi mới. Đồng thời, cần có các hướng dẫn cụ thể về việc triển khai các "tầng phát hiện phía sau" để củng cố an ninh cho các hệ thống điều khiển quan trọng.

Generalizability conditions clearly specified: Các kết quả về tấn công tuyến tính có thể tổng quát hóa cho các hệ thống điều khiển công nghiệp sử dụng mô hình không gian trạng thái tuyến tính rời rạc và Bộ lọc Kalman để ước lượng trạng thái. Các kết quả của mô hình học máy được chứng minh trên bộ dữ liệu Turnipseed, vì vậy khả năng tổng quát hóa trực tiếp là mạnh mẽ đối với các hệ thống SCADA đường ống dẫn khí hoặc các hệ thống tương tự có đặc điểm dữ liệu mạng và tấn công tương đương. Việc áp dụng cho các ngữ cảnh khác (ví dụ: nhà máy điện, hệ thống nước) sẽ cần kiểm chứng thêm trên các bộ dữ liệu cụ thể của từng lĩnh vực.

Limitations và Future Research

Nghiên cứu nào cũng có những giới hạn nhất định. Luận án này cũng đã thẳng thắn nhìn nhận các hạn chế của mình, đồng thời vạch ra một lộ trình rõ ràng cho các hướng nghiên cứu trong tương lai.

3-4 specific limitations acknowledged:

  1. Phạm vi tấn công hạn chế: Nghiên cứu tập trung chủ yếu vào "tấn công tuyến tính" và một số dạng tấn công tính toàn vẹn dữ liệu điển hình trong bộ dữ liệu Turnipseed. Các loại tấn công mạng khác, đặc biệt là các tấn công phức tạp, đa giai đoạn hoặc tấn công vật lý-mạng phối hợp, không được khám phá sâu sắc.
  2. Dữ liệu mô phỏng và dữ liệu thực tế: Đối với tấn công tuyến tính, việc kiểm chứng chủ yếu dựa trên mô phỏng toán học trên các mô hình hệ thống điều khiển đơn giản (Scalar, bình trộn nhiệt). Mặc dù dữ liệu Turnipseed là thực tế, nó vẫn là một bộ dữ liệu đã được thu thập ở một phòng thí nghiệm cụ thể [25], không phải là dữ liệu trực tiếp từ một nhà máy vận hành thực tế ở quy mô lớn với đầy đủ sự phức tạp và nhiễu loạn.
  3. Khả năng triển khai thời gian thực: Mặc dù mô hình học máy đạt độ chính xác cao, luận án chưa đi sâu vào các thách thức về tài nguyên tính toán và độ trễ để triển khai các mô hình stacking phức tạp này trong môi trường ICS thời gian thực, nơi yêu cầu về độ trễ là rất nghiêm ngặt.
  4. Thiếu cơ chế phòng ngừa: Nghiên cứu tập trung vào việc "phát hiện" tấn công, nhưng chưa đề xuất các giải pháp hoặc cơ chế "phòng ngừa" hoặc "phản ứng" chủ động, tự động sau khi tấn công được phát hiện.

Boundary conditions về context/sample/time: Các phát hiện được báo cáo trong luận án có những điều kiện biên rõ ràng. Các kết quả về tấn công tuyến tính được kiểm chứng trên các "mô hình không gian trạng thái trong miền rời rạc" và các thông số cụ thể (ví dụ: A=0.2, Q=1, R=1). Mô hình học máy được đánh giá trên "bộ dữ liệu đường ống dẫn khí Turnipseed" [25] có các đặc tính dữ liệu và dạng tấn công riêng. Khả năng tổng quát hóa cho các loại ICS khác hoặc các bộ dữ liệu khác cần được kiểm chứng thêm. Khía cạnh thời gian của các cuộc tấn công và khoảng thời gian phân tích cũng được chỉ định cụ thể (ví dụ: khoảng thời gian tấn công L trong FMA).

Future research agenda với 4-5 concrete directions:

  1. Nghiên cứu các dạng tấn công phức tạp hơn: Mở rộng nghiên cứu sang các tấn công đa giai đoạn, tấn công lẩn tránh tinh vi hơn, hoặc tấn công phối hợp giữa vật lý và mạng, đòi hỏi các mô hình phát hiện tiên tiến hơn.
  2. Phát triển hệ thống IDS thời gian thực: Nghiên cứu các kiến trúc học máy nhẹ hơn, tối ưu hơn hoặc sử dụng các kỹ thuật nén mô hình để đảm bảo khả năng triển khai hiệu quả trong các ICS với yêu cầu độ trễ thấp.
  3. Xây dựng bộ dữ liệu toàn diện hơn: Hợp tác với các đối tác công nghiệp để thu thập hoặc tạo ra các bộ dữ liệu tấn công ICS đa dạng, lớn hơn, phản ánh chính xác các mối đe dọa trong môi trường vận hành thực tế, bao gồm cả các thông tin về cấu trúc mạng và giao thức cụ thể.
  4. Tích hợp cơ chế phòng ngừa và phản ứng: Phát triển các mô hình không chỉ phát hiện mà còn tự động phản ứng hoặc đưa ra các khuyến nghị hành động để giảm thiểu tác động của tấn công, hướng tới một hệ thống phòng thủ chủ động và thông minh.
  5. Ứng dụng học tăng cường (Reinforcement Learning): Khám phá việc sử dụng học tăng cường để tối ưu hóa các chiến lược phòng thủ và phản ứng trong ICS, cho phép hệ thống tự động học cách đối phó với các mối đe dọa mới.

Methodological improvements suggested: Cần cải thiện các phương pháp bằng cách: (1) Sử dụng các kỹ thuật học sâu tiên tiến hơn (như CNN-LSTM kết hợp) cho việc trích xuất đặc trưng và phân loại; (2) Kết hợp các kỹ thuật phát hiện anomaly không giám sát hoặc bán giám sát để đối phó với sự thiếu hụt dữ liệu tấn công được gắn nhãn trong môi trường thực; (3) Áp dụng các phương pháp giải thích học máy (Explainable AI - XAI) để làm rõ lý do đưa ra quyết định của các mô hình, tăng cường sự tin cậy và khả năng chấp nhận của người vận hành.

Theoretical extensions proposed: Các mở rộng lý thuyết có thể bao gồm việc phát triển một khung lý thuyết thống nhất cho các tấn công vật lý-mạng (cyber-physical attacks) trong ICS, kết hợp các mô hình động lực học hệ thống với các mô hình tấn công mạng. Ngoài ra, cần phát triển lý thuyết về "khả năng lẩn tránh" của các tấn công mới, không chỉ giới hạn ở việc vượt qua một phương pháp cụ thể như K-L, mà còn đánh giá khả năng né tránh nhiều lớp phòng thủ cùng lúc.

Tác động và ảnh hưởng

Luận án này hứa hẹn mang lại tác động và ảnh hưởng sâu rộng trên nhiều lĩnh vực, từ học thuật đến công nghiệp và chính sách.

Academic impact với potential citations estimate: Nghiên cứu này có tiềm năng tạo ra tác động học thuật đáng kể. Việc là nghiên cứu đầu tiên định lượng khả năng phát hiện "tấn công tuyến tính" bằng các phương pháp thống kê truyền thống sẽ mở ra một hướng nghiên cứu mới trong Lý thuyết Điều khiển An toàn và Lý thuyết Phát hiện Xâm nhập, khuyến khích các nhà nghiên cứu khác đi sâu hơn vào các dạng tấn công tinh vi. Mô hình học máy xếp chồng với hiệu suất vượt trội trên bộ dữ liệu Turnipseed sẽ trở thành một tiêu chuẩn mới để so sánh, có thể dẫn đến một lượng lớn trích dẫn từ các công trình nghiên cứu sau này tìm cách cải thiện hoặc áp dụng các kỹ thuật tương tự. Ước tính, luận án có thể nhận được hàng trăm trích dẫn trong vòng 5-10 năm tới, đặc biệt từ các tạp chí và hội nghị hàng đầu về an ninh mạng và hệ thống điều khiển.

Industry transformation với specific sectors: Các giải pháp được đề xuất có thể thúc đẩy sự chuyển đổi đáng kể trong các ngành công nghiệp phụ thuộc vào ICS.

  • Ngành năng lượng: Các nhà máy điện, hệ thống lưới điện thông minh, và đường ống dẫn dầu khí (như hệ thống được mô phỏng bởi bộ dữ liệu Turnipseed [25]) sẽ được hưởng lợi trực tiếp từ khả năng phát hiện tấn công tính toàn vẹn dữ liệu nâng cao, giảm thiểu rủi ro sự cố hoạt động và thiệt hại tài chính.
  • Ngành sản xuất và công nghiệp chế biến: Các nhà máy sản xuất tự động hóa cao sẽ có thể triển khai các hệ thống IDS mạnh mẽ hơn, bảo vệ dây chuyền sản xuất khỏi các cuộc tấn công làm sai lệch dữ liệu, duy trì tính toàn vẹn của sản phẩm và tối ưu hóa hoạt động.
  • Ngành giao thông vận tải: Hệ thống điều khiển giao thông, đường sắt, và hàng không cũng có thể ứng dụng các mô hình này để đảm bảo an toàn vận hành, giảm thiểu nguy cơ tai nạn do tấn công mạng.
  • Specific sectors: Đặc biệt là các doanh nghiệp trong lĩnh vực cơ sở hạ tầng trọng yếu như điện lực, dầu khí, và hóa chất, nơi một cuộc tấn công mạng có thể dẫn đến hậu quả nghiêm trọng về môi trường và an toàn công cộng.

Policy influence với government levels: Nghiên cứu có thể ảnh hưởng đến các chính sách an ninh mạng ở nhiều cấp độ chính phủ.

  • Cấp quốc gia: Các cơ quan quản lý an ninh mạng quốc gia có thể sử dụng các phát hiện này để xây dựng hoặc cập nhật các quy định, tiêu chuẩn và hướng dẫn về bảo mật ICS, yêu cầu các nhà khai thác cơ sở hạ tầng quan trọng phải triển khai các giải pháp phát hiện tấn công tiên tiến, bao gồm cả các kỹ thuật đa tầng và học máy.
  • Cấp ngành: Các bộ ngành liên quan (ví dụ: Bộ Công Thương, Bộ Giao thông Vận tải) có thể ban hành các chính sách khuyến khích đầu tư vào công nghệ IDS mới và đào tạo nhân lực chuyên sâu về an ninh mạng ICS.
  • Cấp địa phương: Các tổ chức quản lý hạ tầng đô thị (ví dụ: hệ thống cấp nước, xử lý nước thải) cũng có thể áp dụng các khuyến nghị để tăng cường bảo mật cho các hệ thống điều khiển của mình.

Societal benefits quantified where possible: Những lợi ích xã hội từ việc nâng cao an toàn thông tin trong ICS là rất lớn và có thể định lượng được ở một mức độ nào đó.

  • Giảm thiểu thiệt hại kinh tế: Các cuộc tấn công mạng vào ICS đã gây ra thiệt hại đáng kể, ví dụ, vụ tấn công vào TSMC năm 2018 gây thiệt hại ước tính 170 triệu USD, và Norsk Hydro năm 2019 với 52 triệu USD thiệt hại. Việc ngăn chặn hiệu quả các cuộc tấn công này có thể tiết kiệm hàng tỷ USD cho nền kinh tế toàn cầu.
  • Bảo vệ tính mạng và sức khỏe: Đảm bảo an toàn cho các nhà máy điện hạt nhân, nhà máy hóa chất, và hệ thống cung cấp nước, giảm thiểu nguy cơ các sự cố nghiêm trọng có thể đe dọa tính mạng con người và gây ô nhiễm môi trường.
  • Duy trì sự ổn định của cơ sở hạ tầng: Đảm bảo hoạt động liên tục và ổn định của các dịch vụ thiết yếu (điện, nước, giao thông), nâng cao lòng tin của công chúng vào hệ thống công nghệ.
  • An ninh quốc gia: ICS là một phần của cơ sở hạ tầng quan trọng quốc gia; việc bảo vệ chúng là yếu tố then chốt để duy trì an ninh và ổn định quốc gia.

International relevance với global implications: Vấn đề an ninh ICS là một mối quan ngại toàn cầu. Các cuộc tấn công như Stuxnet (2010), Industroyer (2022) [29], hay Triton/Trisis (2017) [32] đã chứng minh rằng không một quốc gia hay ngành công nghiệp nào miễn nhiễm với các mối đe dọa này. Nghiên cứu này, bằng cách giải quyết các thách thức chung (như tấn công tuyến tính) và sử dụng bộ dữ liệu quốc tế (Turnipseed [25]), có giá trị liên quan cao trên phạm vi toàn cầu. Các giải pháp và phương pháp được đề xuất có thể được áp dụng và điều chỉnh cho các ICS trên khắp thế giới, góp phần vào nỗ lực chung nhằm xây dựng một cơ sở hạ tầng kỹ thuật số an toàn và mạnh mẽ hơn.

Đối tượng hưởng lợi

Luận án này mang lại giá trị và lợi ích thiết thực cho nhiều đối tượng khác nhau trong cộng đồng học thuật, công nghiệp và chính sách.

Doctoral researchers: specific research gaps

  • Đối với các nghiên cứu sinh tiến sĩ: Luận án cung cấp một nền tảng vững chắc và định hướng nghiên cứu rõ ràng. Nó xác định các khoảng trống nghiên cứu cụ thể về "khả năng phát hiện tấn công tuyến tính" và hiệu quả của các mô hình học máy trong ICS, mở ra các cơ hội cho các nghiên cứu tiếp theo. Ví dụ, các nghiên cứu sinh có thể tiếp tục khám phá các kỹ thuật phát hiện tấn công tuyến tính trong môi trường đa dạng hơn, hoặc phát triển các mô hình học máy kết hợp với cơ chế phòng ngừa tự động, hoặc tập trung vào các dạng tấn công vật lý-mạng phức tạp hơn. Luận án cũng là một ví dụ điển hình về việc tích hợp nhiều phương pháp (điều khiển, thống kê, học máy) để giải quyết một vấn đề phức tạp.

Senior academics: theoretical advances

  • Đối với các học giả cấp cao: Luận án đóng góp vào các tiến bộ lý thuyết quan trọng trong Lý thuyết Điều khiển An toàn (Secure Control Theory) và Lý thuyết Phát hiện Xâm nhập (Intrusion Detection Theory). Việc chứng minh khả năng phát hiện tấn công tuyến tính của các phương pháp thống kê khác khi K-L bị vượt qua, và đề xuất mô hình xếp chồng hiệu suất cao, làm phong phú thêm kho tàng tri thức hiện có. Các học giả có thể sử dụng các kết quả này để phát triển các khung lý thuyết mới về an ninh mạng ICS, hoặc làm cơ sở cho các dự án nghiên cứu lớn hơn, đa ngành, nhằm giải quyết các thách thức an ninh mạng phức tạp.

Industry R&D: practical applications

  • Đối với bộ phận Nghiên cứu & Phát triển (R&D) trong công nghiệp: Luận án cung cấp các giải pháp có thể áp dụng trực tiếp để nâng cao an ninh cho các hệ thống điều khiển công nghiệp. "Các kết quả nghiên cứu chỉ ra rằng, có thể sử dụng phương pháp CHI2, CUSUM, WL CUSUM hay FMA như một tầng phát hiện phía sau trong chuỗi các kỹ thuật được áp dụng, để đảm bảo tính toàn vẹn dữ liệu của các hệ thống điều khiển công nghiệp." Mô hình học máy xếp chồng với độ chính xác 99,72% và 99,62% là một ứng cử viên mạnh mẽ để tích hợp vào các sản phẩm IDS thương mại. Các kỹ sư R&D có thể sử dụng kiến trúc mô hình và các phân tích hiệu suất để thiết kế và triển khai các hệ thống IDS thế hệ mới cho các nhà máy, lưới điện và hạ tầng quan trọng khác, giảm thiểu rủi ro từ các cuộc tấn công mạng và tối ưu hóa hoạt động.

Policy makers: evidence-based recommendations

  • Đối với các nhà hoạch định chính sách: Luận án cung cấp bằng chứng khoa học vững chắc để đưa ra các khuyến nghị chính sách dựa trên thực tiễn. Việc định lượng được tác động của tấn công tuyến tính và hiệu quả của các giải pháp phát hiện cung cấp dữ liệu cần thiết để xây dựng các quy định và tiêu chuẩn an ninh mạng cho ICS. Các nhà hoạch định chính sách có thể sử dụng thông tin này để ban hành các yêu cầu về việc triển khai công nghệ IDS tiên tiến, khuyến khích hợp tác giữa học viện và công nghiệp, và đầu tư vào nghiên cứu an ninh mạng, từ đó bảo vệ cơ sở hạ tầng quan trọng quốc gia khỏi các mối đe dọa mạng ngày càng gia tăng.

Quantify benefits where possible: Các lợi ích định lượng bao gồm:

  • Cải thiện độ chính xác phát hiện: Nâng cao độ chính xác phát hiện tấn công lên tới 99,72%, giảm thiểu đáng kể số lượng tấn công không bị phát hiện hoặc cảnh báo sai.
  • Giảm thiểu thiệt hại kinh tế: Bằng cách ngăn chặn các cuộc tấn công làm sai lệch dữ liệu, các nhà khai thác ICS có thể tránh được các tổn thất kinh tế lớn, tương tự như các thiệt hại đã được ghi nhận ở TSMC (170 triệu USD) và Norsk Hydro (52 triệu USD).
  • Tăng cường độ tin cậy hệ thống: Các hệ thống ICS được bảo vệ tốt hơn sẽ có độ tin cậy hoạt động cao hơn, giảm thiểu thời gian ngừng hoạt động và chi phí bảo trì.

Câu hỏi chuyên sâu

  1. Theoretical contribution độc đáo nhất (name theory extended): Đóng góp lý thuyết độc đáo nhất của luận án là việc mở rộng Lý thuyết Phát hiện Bất thường (Anomaly Detection Theory) trong bối cảnh các hệ thống điều khiển công nghiệp, đặc biệt là đối với các dạng tấn công tinh vi. Luận án đã điền vào khoảng trống nghiên cứu bằng cách chứng minh rằng, mặc dù thuật toán phát hiện Kullback-Leibler (K-L) được chỉ ra là có thể bị tấn công tuyến tính vượt qua [5], các phương pháp phát hiện bất thường dựa trên thống kê khác như CHI2, CUSUM, WL CUSUM và FMA vẫn có khả năng phát hiện kiểu tấn công này. Điều này làm sâu sắc thêm hiểu biết về khả năng chống chịu của các công cụ phát hiện truyền thống và cung cấp một chiến lược phòng thủ đa tầng hiệu quả hơn, thách thức giả định về sự không thể phát hiện hoàn toàn của các cuộc tấn công tinh vi.

  2. Methodology innovation (compare với 2+ prior studies): Đổi mới phương pháp luận chính nằm ở cách tiếp cận kép và tích hợp (hybrid and integrated approach) để phát hiện tấn công mạng trong ICS, cụ thể là mô hình học máy xếp chồng (stacking ensemble model) và phương pháp phân tích khả năng phát hiện tấn công tuyến tính.

    • Mô hình xếp chồng: Trong khi nhiều nghiên cứu trước đây (ví dụ, các công trình được so sánh trong Bảng 4.11) thường sử dụng các mô hình học máy độc lập (như SVM, Decision Tree, Naive Bayes) hoặc các mạng nơ-ron đơn lẻ (MLP, CNN, LSTM) để phát hiện xâm nhập trong ICS, luận án này đề xuất một kiến trúc stacking độc đáo. Nó kết hợp sức mạnh của nhiều mô hình cơ sở hiệu quả cao (Random Forest, Light Boosting Gradient Machine, eXtreme Gradient Boosting) với một mạng Đa Tầng Perceptron (MLP) làm bộ phân loại meta. Kiến trúc này đã đạt được độ chính xác vượt trội (99.72% và 99.62%) trên bộ dữ liệu Turnipseed, "vượt trội so với các công trình khác gần đây" (Hình 4.11, 4.12), cho thấy sự cải thiện đáng kể so với các giải pháp đơn lẻ hoặc ensemble đơn giản hơn.
    • Phân tích khả năng phát hiện tấn công tuyến tính: Phương pháp này là một đổi mới khi so sánh với các nghiên cứu về tấn công tuyến tính từ Đại học Công nghệ Hồng Kông [5,6,7]. Các nghiên cứu đó chủ yếu tập trung vào việc mô tả cơ chế tấn công và chứng minh khả năng vượt qua K-L. Luận án này mở rộng bằng cách hệ thống hóa việc kiểm chứng các phương pháp phát hiện bất thường truyền thống (CHI2, CUSUM, WL CUSUM, FMA) đối với kiểu tấn công này, sử dụng các mô hình hệ thống cụ thể (Scalar, bình trộn nhiệt) và phân tích định lượng tác động lên hiệp phương sai ($P̃_k$).

  3. Most surprising finding (với data support): Phát hiện đáng ngạc nhiên nhất là khả năng của các phương pháp phát hiện bất thường truyền thống như CHI2, CUSUM, WL CUSUM và FMA trong việc phát hiện tấn công tuyến tính, ngay cả khi kiểu tấn công này đã được thiết kế để vượt qua phương pháp K-L. Điều này mâu thuẫn với nhận định ban đầu về sự tinh vi của tấn công tuyến tính và khả năng lẩn tránh hoàn hảo của nó.

    • Data Support: "Các phân tích trong chương này đã chỉ ra rằng tồn tại khả năng phát hiện tấn công tuyến tính của phương pháp WL CUSUM, FMA, CUSUM và CHI2, khi kiểu tấn công này vượt qua phương pháp độ chênh K – L." Các kết quả mô phỏng trong Chương 3, đặc biệt là các đồ thị như Hình 3.5, 3.6, 3.7, 3.8, 3.12, 3.13 cho thấy các phương pháp này đều cảnh báo được tấn công, mặc dù K-L bị vượt qua. Điều này gợi ý rằng một chiến lược phòng thủ đa tầng, kết hợp các phương pháp khác nhau, có thể hiệu quả hơn nhiều so với việc dựa vào một phương pháp duy nhất.

  4. Replication protocol provided? Luận án không cung cấp một "giao thức tái tạo" (replication protocol) chi tiết theo nghĩa một tài liệu hướng dẫn từng bước để tái tạo toàn bộ nghiên cứu. Tuy nhiên, luận án cung cấp đầy đủ các chi tiết cần thiết để một nhà nghiên cứu có chuyên môn trong lĩnh vực này có thể tái tạo các kết quả chính:

    • Mô hình toán học: Các phương trình mô tả hệ thống điều khiển (Eq. 1.1, 2.2), bộ lọc Kalman (Eq. 2.3, 2.10), và mô hình tấn công tuyến tính (Eq. 2.13) được trình bày rõ ràng.
    • Tham số hệ thống: Các thông số cụ thể cho các hệ thống mô phỏng (ví dụ: A=0.2, Q=1, R=1 cho hệ thống Scalar ổn định) được cung cấp.
    • Phương pháp phát hiện: Các phương pháp CHI2, CUSUM, WL CUSUM, FMA được mô tả khái quát.
    • Bộ dữ liệu: Việc sử dụng "bộ dữ liệu đường ống dẫn khí của Turnipseed" [25] là một yếu tố quan trọng cho khả năng tái tạo của phần học máy, vì đây là một bộ dữ liệu công khai và được biết đến rộng rãi.
    • Kiến trúc mô hình học máy: "Kiến trúc mô hình stacking kết hợp các mạng nơ ron" (Hình 4.3) và "Kiến trúc mô hình stacking áp dụng kỹ thuật học máy cơ bản" (Hình 4.7) cùng với các thành phần base-learner và meta-classifier được mô tả, cho phép tái tạo kiến trúc mô hình. Mặc dù không có một "giao thức tái tạo" chính thức, mức độ chi tiết về phương pháp và dữ liệu đủ để một nhà nghiên cứu có thể tái tạo hoặc kiểm chứng các phát hiện quan trọng.

  5. 10-year research agenda outlined? Một "chương trình nghiên cứu 10 năm" cụ thể không được nêu rõ ràng. Tuy nhiên, phần "Limitations và Future Research" của luận án đã phác thảo một lộ trình nghiên cứu mở rộng trong tương lai, có thể được coi là nền tảng cho một chương trình dài hạn, bao gồm 4-5 hướng cụ thể:

    1. Nghiên cứu các dạng tấn công phức tạp hơn: Mở rộng sang tấn công đa giai đoạn, lẩn tránh, hoặc phối hợp vật lý-mạng, đây là xu hướng chính trong an ninh ICS.
    2. Phát triển hệ thống IDS thời gian thực: Tập trung vào các kiến trúc học máy tối ưu cho môi trường ICS với yêu cầu độ trễ thấp và tài nguyên hạn chế.
    3. Xây dựng bộ dữ liệu toàn diện hơn: Một nỗ lực dài hạn để tạo ra các bộ dữ liệu tấn công ICS lớn, đa dạng và thực tế hơn, thông qua hợp tác với công nghiệp.
    4. Tích hợp cơ chế phòng ngừa và phản ứng: Chuyển từ phát hiện sang các giải pháp phòng thủ chủ động và tự động, bao gồm cả việc sử dụng học tăng cường để tối ưu hóa chiến lược phản ứng.
    5. Ứng dụng học sâu giải thích được (Explainable Deep Learning): Để tăng cường sự minh bạch và tin cậy của các mô hình học máy trong các ứng dụng ICS, một yếu tố quan trọng cho việc chấp nhận và triển khai rộng rãi. Những hướng nghiên cứu này không chỉ giải quyết các giới hạn của luận án mà còn mở rộng lĩnh vực này theo các cách tiếp cận mới và mang tính ứng dụng cao, đảm bảo tính bền vững cho các nghiên cứu trong tương lai.

Kết luận

Luận án này đã hoàn thành một cách xuất sắc nhiệm vụ nghiên cứu các giải pháp nâng cao an toàn thông tin trong các hệ thống điều khiển công nghiệp, đóng góp những phát hiện quan trọng và mở ra các hướng đi mới cho lĩnh vực này.

5-6 SPECIFIC contributions (numbered):

  1. Định lượng khả năng phát hiện tấn công tuyến tính: Luận án là nghiên cứu tiên phong trong việc đánh giá và định lượng khả năng phát hiện "tấn công tuyến tính" (cyber linear attack) – một hình thức tấn công mới và nguy hiểm – bởi các phương pháp thống kê truyền thống như CHI2, CUSUM, WL CUSUM, và FMA, ngay cả khi tấn công này vượt qua K-L.
  2. Xác định phương pháp FMA tối ưu: Chứng minh rằng phương pháp FMA mang lại hiệu suất phát hiện tấn công tuyến tính vượt trội so với các phương pháp so sánh khác, cung cấp thông tin quý giá cho việc triển khai thực tế.
  3. Định lượng tác động của tấn công tuyến tính: Chỉ ra rằng tấn công tuyến tính có thể làm tăng hiệp phương sai ước lượng sai một lượng lên tới 3Δ, gây ra thiệt hại lớn nhất cho hệ thống.
  4. Đề xuất mô hình học máy xếp chồng đột phá: Phát triển một mô hình xếp chồng (stacking ensemble model) tiên tiến, tích hợp Random Forest, LightGBM, XGBoost và MLP, đạt độ chính xác ấn tượng 99,72% (phân loại nhị phân) và 99,62% (phân loại đa lớp) trên bộ dữ liệu Turnipseed, vượt trội so với các giải pháp hiện có.
  5. Thiết lập chiến lược phòng thủ đa tầng: Đề xuất sử dụng các phương pháp thống kê truyền thống như một "tầng phát hiện phía sau" trong chuỗi các kỹ thuật bảo mật, kết hợp với học máy để tạo nên một hệ thống phòng thủ toàn diện và mạnh mẽ hơn cho ICS.

Paradigm advancement với evidence: Nghiên cứu này không chỉ là một sự bổ sung kiến thức mà còn là một bước tiến trong cách tiếp cận phòng thủ an ninh mạng ICS. Nó thúc đẩy sự dịch chuyển từ các biện pháp bảo mật đơn lẻ, dựa trên một điểm yếu duy nhất, sang một mô hình phòng thủ đa tầng, linh hoạt và thông minh hơn. Bằng chứng là việc xác định các phương pháp phát hiện bổ sung cho tấn công tuyến tính (thách thức K-L [5]), và thành công của mô hình học máy xếp chồng (độ chính xác >99%), cho thấy một sự thay đổi mô hình trong việc xây dựng các hệ thống IDS mạnh mẽ, có khả năng thích ứng với các mối đe dọa ngày càng tinh vi.

3+ new research streams opened: Luận án này đã mở ra ít nhất ba dòng nghiên cứu mới tiềm năng:

  1. Phát triển các chiến lược phòng thủ chủ động chống lại tấn công tuyến tính: Nghiên cứu sâu hơn về cách các hệ thống điều khiển có thể chủ động phản ứng hoặc làm suy yếu hiệu quả của tấn công tuyến tính.
  2. Tối ưu hóa và triển khai học máy trong môi trường ICS thời gian thực: Tập trung vào các thách thức kỹ thuật để đưa các mô hình học máy phức tạp, hiệu suất cao vào các hệ thống ICS với yêu cầu nghiêm ngặt về độ trễ và tài nguyên.
  3. Xây dựng bộ dữ liệu tấn công ICS tiêu chuẩn quốc tế: Nỗ lực phát triển các bộ dữ liệu rộng lớn và đa dạng hơn để thúc đẩy nghiên cứu và kiểm định các giải pháp an ninh mạng trong tương lai.

Global relevance với international comparison: Với việc giải quyết các mối đe dọa mạng vào ICS – một vấn đề toàn cầu, và việc sử dụng các công trình nghiên cứu quốc tế từ Đại học Công nghệ Hồng Kông [5,6,7] cũng như bộ dữ liệu Turnipseed từ Đại học bang Mississippi [25], luận án này có giá trị quốc tế sâu sắc. Các phát hiện và giải pháp đề xuất có thể được áp dụng rộng rãi cho các cơ sở hạ tầng quan trọng trên khắp thế giới, góp phần vào nỗ lực chung nhằm tăng cường an ninh mạng cho các hệ thống điều khiển công nghiệp và giảm thiểu các tổn thất kinh tế toàn cầu, như vụ tấn công TSMC gây thiệt hại 170 triệu USD.

Legacy measurable outcomes: Di sản của luận án có thể được đo lường thông qua:

  • Chỉ số học thuật: Số lượng trích dẫn cao trong các công trình tương lai về an ninh ICS và học máy.
  • Ứng dụng công nghiệp: Tỷ lệ triển khai các giải pháp phát hiện tấn công dựa trên mô hình hoặc học máy được đề xuất trong các hệ thống ICS thực tế.
  • Tác động chính sách: Sự thay đổi trong các tiêu chuẩn và quy định an ninh mạng quốc gia và quốc tế để bao gồm các biện pháp phòng thủ tiên tiến.
  • Giảm thiểu thiệt hại: Giảm tỷ lệ các vụ tấn công mạng thành công vào ICS và giảm thiểu thiệt hại kinh tế, vận hành do các cuộc tấn công này gây ra.