Luận án tiến sĩ kỹ thuật nghiên cứu các kỹ thuật phát hiện dga botnet

Botnet là mạng lưới các máy tính bị lây nhiễm. Máy tính này bị kiểm soát bởi kẻ tấn công. Chúng thực hiện các hoạt động độc hại mà không có sự cho phép. Các hoạt động bao gồm tấn công từ chối dịch vụ (DDoS), gửi thư rác, lừa đảo. Botnet gây ra tổn thất lớn cho doanh nghiệp và người dùng. Kỹ thuật phát hiện botnet truyền thống thường dựa vào chữ ký. Các kỹ thuật này có hạn chế khi đối mặt với botnet biến đổi. Cần có cách tiếp cận mới để nhận diện botnet DGA. Phân tích dữ liệu mạng là trọng tâm. Hiểu rõ cấu trúc và phương thức hoạt động botnet. Đây là bước đầu để xây dựng hệ thống phòng thủ hiệu quả. Nghiên cứu này đặt nền tảng cho việc phát hiện bất thường trong lưu lượng mạng.

Các kỹ thuật phát hiện botnet truyền thống đã được nghiên cứu. Các kỹ thuật này bao gồm phát hiện dựa trên chữ ký, phát hiện dựa trên host. Chúng có những ưu điểm nhất định. Tuy nhiên, chúng cũng tồn tại nhiều hạn chế đáng kể. Phát hiện dựa trên chữ ký dễ dàng bị qua mặt bởi các biến thể mới. Phát hiện dựa trên host đòi hỏi cài đặt trên từng máy. Điều này gây khó khăn trong triển khai quy mô lớn. Cần các phương pháp linh hoạt hơn. Học máy và học sâu mang lại tiềm năng lớn. Chúng có khả năng thích nghi với các mối đe dọa mới. Nghiên cứu này đánh giá kỹ lưỡng các phương pháp hiện tại. Từ đó, xác định hướng phát triển cho kỹ thuật phát hiện DGA botnet hiệu quả hơn. Giảm thiểu rủi ro từ các dị vật độc hại.

DGA botnet sử dụng các thuật toán phức tạp. Chúng tạo ra tên miền giả mạo một cách ngẫu nhiên. Các tên miền này được sử dụng để liên lạc với máy chủ điều khiển (C&C). Cơ chế này giúp botnet tránh bị chặn bởi các blacklist truyền thống. Tên miền DGA thường có cấu trúc bất thường. Chúng khác biệt so với tên miền hợp lệ. Việc phân tích dữ liệu tên miền là chìa khóa. Hiểu rõ cơ chế này rất quan trọng. Nó giúp phát triển kỹ thuật phát hiện dựa trên đặc trưng. Các hệ thống an ninh cần khả năng phát hiện bất thường mạnh mẽ. Đặc biệt là trong lưu lượng truy vấn DNS. Đây là điểm yếu mà DGA botnet thường khai thác. Nghiên cứu tập trung vào việc nhận diện các dấu hiệu này.

Nhiều kỹ thuật phát hiện DGA botnet đã được đề xuất. Chúng bao gồm phương pháp dựa trên danh sách đen/trắng. Các phương pháp dựa trên phân tích lưu lượng mạng. Các phương pháp dựa trên ngữ cảnh DNS. Tuy nhiên, các phương pháp này thường có nhược điểm. Chúng không thể nhận diện các DGA mới. Chúng cũng có thể tạo ra nhiều lỗi sai. Cần một giải pháp linh hoạt hơn. Học máy là một hướng tiếp cận đầy hứa hẹn. Nó cho phép mô hình tự học từ dữ liệu. Mô hình có khả năng nhận diện các mẫu phức tạp. Nghiên cứu này xây dựng trên những tiến bộ đó. Mục tiêu là cải thiện độ chính xác của kỹ thuật phát hiện.

Mô hình CDM được thiết kế để phát hiện DGA botnet. Nó tập trung vào các đặc trưng cấp ký tự. Mỗi tên miền được chuyển đổi thành một tập hợp các thuộc tính số. Các thuộc tính này bao gồm chỉ số Shannon entropy. Chỉ số này đo lường mức độ ngẫu nhiên của chuỗi ký tự. Các thuộc tính khác như độ dài tên miền. Tỷ lệ các loại ký tự (số, chữ cái, ký tự đặc biệt). Tỷ lệ nguyên âm, phụ âm cũng được tính. Các đặc trưng này được đưa vào mô hình học máy. Mô hình được huấn luyện trên tập dữ liệu lớn. Tập dữ liệu chứa cả tên miền DGA và tên miền hợp lệ. Mục tiêu là học được ranh giới phân loại. Mô hình đạt được khả năng phát hiện bất thường mạnh mẽ. Giúp nhận diện dị vật độc hại một cách chính xác.

Quá trình tiền xử lý dữ liệu rất quan trọng. Tên miền thô được làm sạch và chuẩn hóa. Các đặc trưng ký tự được trích xuất. Dữ liệu sau tiền xử lý sẵn sàng cho việc huấn luyện mô hình. Tập dữ liệu bao gồm Netlab360 và các nguồn khác. Đây là tập hợp lớn các tên miền DGA và hợp lệ. Mô hình CDM được huấn luyện và kiểm thử. Các chỉ số hiệu suất như độ chính xác, độ nhạy, độ đặc hiệu được đánh giá. Kết quả thử nghiệm cho thấy mô hình hoạt động hiệu quả. Nó có thể phát hiện DGA botnet với tỷ lệ chính xác cao. Phương pháp này giảm thiểu lỗi dương tính giả. Nó cung cấp một kỹ thuật phát hiện đáng tin cậy. Góp phần vào phân tích dữ liệu an ninh mạng. Cải thiện năng lực phòng thủ.

Một số kỹ thuật phát hiện DGA đã sử dụng đặc trưng từ. Chúng cố gắng xác định xem một tên miền có mang ý nghĩa. Hay nó chỉ là một chuỗi ký tự ngẫu nhiên. Các phương pháp này thường dựa vào từ điển. Chúng kiểm tra xem các phần của tên miền có phải là từ tiếng Anh hợp lệ hay không. Tuy nhiên, một số DGA tiên tiến tạo ra các chuỗi gần giống từ. Hoặc chúng sử dụng từ điển riêng. Điều này làm giảm hiệu quả của các phương pháp truyền thống. Học máy cung cấp khả năng vượt qua giới hạn này. Nó học được các mẫu phức tạp hơn. Các mẫu này liên quan đến cấu trúc từ và ngữ nghĩa. Phân tích dữ liệu sâu hơn về cấu trúc từ là cần thiết. Để nâng cao độ chính xác trong phát hiện DGA botnet.

Mô hình WDM tập trung vào phát hiện DGA botnet dựa trên đặc trưng từ. Nó phân tích tên miền ở cấp độ từ vựng. Đặc trưng bao gồm tỷ lệ các từ có trong từ điển. Các độ đo ngữ pháp hoặc n-gram. Ví dụ, tần suất xuất hiện của các cặp ký tự hoặc ba ký tự liên tiếp. Mô hình này đánh giá tính 'ngôn ngữ' của tên miền. Tên miền DGA thường có chỉ số ngôn ngữ thấp. Các đặc trưng này sau đó được sử dụng bởi các thuật toán học máy. Các thuật toán như Naive Bayes, Decision Tree được thử nghiệm. Mô hình WDM cung cấp một góc nhìn khác. Nó bổ sung cho phương pháp dựa trên ký tự. Điều này tăng cường khả năng phát hiện bất thường tổng thể. Đây là một kỹ thuật phát hiện mạnh mẽ.

Tiền xử lý dữ liệu cho mô hình WDM bao gồm việc token hóa tên miền. Tên miền được phân tách thành các 'từ' hoặc 'chuỗi' nhỏ hơn. Các đặc trưng từ vựng sau đó được trích xuất. Tập dữ liệu huấn luyện tương tự như CDM. Chúng bao gồm tên miền DGA và tên miền hợp lệ. Thử nghiệm được tiến hành để đánh giá hiệu suất của WDM. Các chỉ số như độ chính xác, độ phủ, F1-score được sử dụng. Kết quả cho thấy WDM có khả năng phát hiện DGA botnet tốt. Nó đặc biệt hiệu quả với các loại DGA tạo ra chuỗi ngẫu nhiên. Mô hình này giúp tăng cường kỹ thuật phát hiện DGA. Nó đóng góp vào phân tích dữ liệu cho an ninh mạng. Cải thiện khả năng nhận diện các dị vật tiềm ẩn.

Học kết hợp là một nhánh của học máy. Nó tập hợp nhiều thuật toán học để giải quyết một vấn đề. Mục đích là tạo ra một mô hình mạnh hơn. Các kỹ thuật phổ biến bao gồm Bagging (ví dụ: Random Forest). Boosting (ví dụ: AdaBoost, Gradient Boosting). Stacking (xếp chồng các mô hình). Mỗi kỹ thuật có cách tiếp cận riêng. Chúng đều nhằm giảm phương sai và độ lệch. Tăng cường độ chính xác tổng thể. Kỹ thuật phát hiện DGA có thể hưởng lợi từ học kết hợp. Nó giúp giải quyết sự phức tạp và đa dạng của DGA. Trí tuệ nhân tạo đã chứng minh hiệu quả. Đặc biệt trong việc phát triển các hệ thống mạnh mẽ hơn. Học kết hợp là một ví dụ điển hình.

Nghiên cứu đề xuất một phương pháp phát hiện DGA botnet mới. Phương pháp này sử dụng học kết hợp. Nó tích hợp các mô hình dựa trên đặc trưng ký tự và đặc trưng từ. Các mô hình cơ sở được huấn luyện độc lập. Sau đó, một mô hình siêu học (meta-learner) được sử dụng. Nó kết hợp các dự đoán từ các mô hình cơ sở. Phương pháp này tận dụng thế mạnh của từng mô hình. Nó giảm thiểu khuyết tật và tăng cường độ tin cậy. Mô hình học kết hợp có khả năng phát hiện bất thường mạnh mẽ hơn. Đặc biệt đối với các DGA tinh vi. Đây là một kỹ thuật phát hiện tiên tiến. Nó cung cấp giải pháp toàn diện cho phân tích dữ liệu DNS.

Mô hình học kết hợp được thiết kế để tối ưu hóa phát hiện DGA botnet. Mô hình này sử dụng các kỹ thuật Stacking hoặc Voting. Các mô hình CDM và WDM đóng vai trò là mô hình cơ sở. Một bộ phân loại Logistic Regression hoặc XGBoost được dùng làm meta-learner. Tập dữ liệu lớn được sử dụng để huấn luyện và kiểm thử. Kết quả thử nghiệm chứng minh hiệu suất vượt trội. Mô hình học kết hợp đạt độ chính xác cao nhất. Nó giảm thiểu cả lỗi dương tính giả và âm tính giả. Đây là một bước tiến quan trọng trong kỹ thuật phát hiện DGA. Nó thể hiện tiềm năng của trí tuệ nhân tạo. Mô hình này có thể triển khai thực tế. Nó giúp tăng cường an ninh mạng. Đồng thời chống lại các dị vật DGA phức tạp.

Luận án đã đóng góp vào kỹ thuật phát hiện DGA botnet. Thứ nhất, nó phát triển các mô hình dựa trên đặc trưng ký tự và từ. Các mô hình này có khả năng phát hiện bất thường cao. Thứ hai, nó đề xuất một phương pháp học kết hợp. Phương pháp này tích hợp ưu điểm của nhiều mô hình. Nó cải thiện đáng kể độ chính xác và độ bền. Các kết quả này đã được kiểm chứng bằng thực nghiệm. Chúng cho thấy hiệu suất vượt trội so với các phương pháp hiện có. Về mặt thực tiễn, các mô hình có thể triển khai. Chúng giúp các tổ chức bảo vệ hệ thống của mình. Bảo vệ khỏi các cuộc tấn công DGA. Giảm thiểu thiệt hại do dị vật gây ra. Đây là những đóng góp có giá trị cho an ninh mạng.

Mặc dù đạt được nhiều thành công, luận án vẫn có những hạn chế. Các mô hình học máy cổ điển có thể không xử lý tốt dữ liệu quá lớn. Hoặc các DGA mới có cấu trúc rất tinh vi. Hướng nghiên cứu trong tương lai sẽ tập trung vào học sâu. Đặc biệt là các kiến trúc mạng nơ-ron hồi quy (RNN) hoặc Transformer. Các kiến trúc này có khả năng nắm bắt ngữ cảnh tốt hơn. Chúng phù hợp để phân tích dữ liệu tuần tự như tên miền. Cũng cần nghiên cứu về kỹ thuật phát hiện DGA trong môi trường thực tế. Bao gồm việc xử lý dữ liệu động và tối ưu hóa tài nguyên. Hướng khác là kết hợp với các kỹ thuật phát hiện khác. Ví dụ, phân tích hành vi mạng. Điều này sẽ tạo ra một hệ thống phòng thủ đa lớp. Giảm thiểu mọi khuyết tật còn tồn tại.