Tổng quan về luận án

Luận án "Nghiên cứu các kỹ thuật phát hiện DGA botnet" của Vũ Xuân Hạnh, dưới sự hướng dẫn của PGS. Hoàng Xuân Dậu và TS. Ngô Quốc Dũng, đại diện cho một bước tiến quan trọng trong lĩnh vực an ninh mạng, đặc biệt là trong cuộc chiến chống lại các mối đe dọa từ botnet. Bối cảnh khoa học cho nghiên cứu này là sự gia tăng đáng kể về quy mô và mức độ tinh vi của các mạng botnet, đặc biệt là DGA (Domain Generation Algorithms) botnet, chúng liên tục phát triển các kỹ thuật lẩn tránh để duy trì hoạt động và thực hiện các cuộc tấn công đa dạng. Các botnet này không chỉ gây ra các cuộc tấn công từ chối dịch vụ phân tán (DDoS) quy mô lớn và gửi thư rác, mà còn tham gia vào việc phát tán mã độc, lừa đảo, và đánh cắp thông tin nhạy cảm, gây thiệt hại nghiêm trọng cho cá nhân, doanh nghiệp và chính phủ trên toàn cầu. Tính tiên phong của nghiên cứu này nằm ở cách tiếp cận toàn diện để giải quyết các hạn chế hiện có trong các kỹ thuật phát hiện DGA botnet bằng cách tập trung vào kỹ thuật học máy.

Research gap cụ thể mà luận án này giải quyết đã được xác định rõ ràng: các phương pháp phát hiện DGA botnet dựa trên học máy trước đây thường gặp phải "tỷ lệ cảnh báo sai còn khá cao, đến hơn 10% với [25], ảnh hưởng đến khả năng triển khai thực tế." Nguyên nhân chính được chỉ ra là do "tập đặc trưng, hoặc phương pháp phân loại sử dụng trong các đề xuất đã có chưa thực sự phù hợp để nhận dạng sự khác biệt giữa các tên miền DGA và các tên miền hợp lệ." Hơn nữa, sự xuất hiện của "một số họ DGA botnet liên tục sử dụng các thuật toán sinh tên miền mới, như các họ DGA bot dựa trên từ và các họ DGA botnet lai cho phép sinh các tên miền DGA rất giống với các tên miền hợp lệ và do vậy một số đề xuất trước đây không có khả năng phát hiện các họ DGA botnet này [25] [97]." Luận án này nhắm đến việc lấp đầy những khoảng trống này bằng cách (1) lựa chọn và trích xuất các tập đặc trưng mới phù hợp hơn để phân biệt tên miền DGA và tên miền hợp lệ, và (2) phát triển một mô hình kết hợp có khả năng phát hiện đồng thời nhiều họ DGA botnet, từ đó nâng cao độ chính xác và giảm thiểu cảnh báo sai.

Các câu hỏi nghiên cứu (Research Questions) và giả thuyết (Hypotheses) được định hình từ các mục tiêu này:

  1. RQ1: Làm thế nào để thiết kế một tập đặc trưng ký tự hiệu quả để phân biệt tên miền DGA và tên miền hợp lệ, và một mô hình học máy dựa trên tập đặc trưng này có thể đạt được độ chính xác phát hiện cao với tỷ lệ cảnh báo sai thấp?
    • H1: Việc trích xuất 24 đặc trưng ký tự từ tên miền và sử dụng thuật toán Random Forest sẽ cho phép xây dựng mô hình phát hiện DGA botnet dựa trên ký tự (CDM) với độ chính xác cao và giảm tỷ lệ cảnh báo sai so với các phương pháp hiện có.
  2. RQ2: Liệu một tập đặc trưng dựa trên từ có thể được phát triển để nhận diện các họ DGA botnet sử dụng từ điển, và một mô hình học máy dựa trên các đặc trưng này có thể cung cấp khả năng phát hiện hiệu quả cho các loại DGA botnet này?
    • H2: Việc trích xuất 16 đặc trưng từ từ tên miền và sử dụng thuật toán J48 sẽ cho phép xây dựng mô hình phát hiện DGA botnet dựa trên từ (WDM) hiệu quả, đặc biệt cho các họ DGA word-based, mà các phương pháp trước đây khó phát hiện.
  3. RQ3: Việc kết hợp các mô hình phát hiện DGA dựa trên ký tự và dựa trên từ có thể nâng cao khả năng phát hiện các họ DGA botnet đa dạng, giảm tỷ lệ cảnh báo sai và cải thiện độ chính xác tổng thể?
    • H3: Mô hình học kết hợp (ensemble model) tích hợp cả đặc trưng ký tự và đặc trưng từ sẽ vượt trội hơn các mô hình đơn lẻ trong việc phát hiện đồng thời nhiều họ DGA botnet, đạt được tỷ lệ phát hiện cao hơn và tỷ lệ cảnh báo sai thấp hơn.

Khung lý thuyết (Theoretical Framework) của luận án dựa trên các nguyên tắc của Học máy có giám sát (Supervised Machine Learning) và Học kết hợp (Ensemble Learning). Các lý thuyết này được áp dụng để phân loại các tên miền DNS thành "DGA botnet" hoặc "lành tính" dựa trên các đặc trưng được trích xuất. Cụ thể, các thuật toán như Random Forest (Breiman, 2001) và J48 decision tree (Quinlan, 1993, một triển khai của C4.5) đóng vai trò trung tâm trong các mô hình đơn lẻ. Phương pháp Ensemble Learning được sử dụng để tổng hợp sức mạnh dự đoán của nhiều mô hình, nhằm cải thiện độ mạnh mẽ và độ chính xác tổng thể, đặc biệt trong việc đối phó với sự đa dạng của các thuật toán DGA.

Các đóng góp đột phá của luận án bao gồm: (1) đề xuất mô hình CDM sử dụng 24 đặc trưng ký tự độc đáo, cho thấy hiệu suất huấn luyện cao trên các kỹ thuật học máy khác nhau; (2) đề xuất mô hình WDM với 16 đặc trưng từ, hiệu quả trong việc phát hiện các DGA botnet dựa trên từ khó nhận diện; và (3) thử nghiệm thành công mô hình học kết hợp, tích hợp hai cách tiếp cận trên, giúp "nâng cao tỷ lệ phát hiện DGA botnet" và khả năng phát hiện các họ DGA botnet phức tạp hơn như word-based và mixed DGA, điều mà các đề xuất trước đây gặp khó khăn [25] [97]. Mặc dù luận án không lượng hóa chính xác mức độ tác động giảm thiểu cảnh báo sai bằng con số phần trăm cho toàn bộ mô hình cuối cùng trong phần tóm tắt, nhưng các bảng kết quả thử nghiệm chi tiết trong các chương sau sẽ cung cấp bằng chứng cho những cải tiến này.

Phạm vi nghiên cứu (Scope) của luận án tập trung vào "phát hiện DGA botnet dựa trên phân loại tên miền với tên miền lành tính", sử dụng "dữ liệu truy vấn hệ thống DNS". Điều này được biện minh bởi "lượng dữ liệu liên quan đến truy vấn tên miền chiếm tỷ lệ tương đối nhỏ trong tổng lưu lượng mạng" và yêu cầu tính toán thấp hơn so với phân tích toàn bộ lưu lượng mạng. Các tập dữ liệu được sử dụng trong thử nghiệm bao gồm Netlab360, UMUDGA, DATASET-01, và DATASET-02, cung cấp một cơ sở thực nghiệm vững chắc cho việc huấn luyện và kiểm thử các mô hình đề xuất. Ý nghĩa (significance) của nghiên cứu nằm ở việc cung cấp các kỹ thuật phát hiện hiệu quả hơn, tự động hóa cao hơn và giảm thiểu cảnh báo sai, giúp các tổ chức và nhà cung cấp dịch vụ Internet (ISP) bảo vệ hệ thống của họ tốt hơn trước một trong những mối đe dọa an ninh mạng nguy hiểm nhất hiện nay.

Literature Review và Positioning

Luận án thực hiện một phân tích tổng hợp sâu rộng về các luồng nghiên cứu chính trong phát hiện botnet, đặc biệt tập trung vào các kỹ thuật phát hiện DGA botnet. Các giải pháp giám sát và phát hiện botnet được chia thành hai nhóm chính: (1) giải pháp dựa trên honeynet và (2) giải pháp dựa trên hệ thống phát hiện xâm nhập (IDS) [25] [37]. Trong nhóm IDS, các kỹ thuật lại được phân loại thành phát hiện dựa trên dấu hiệu/chữ ký và phát hiện dựa trên bất thường. Các phương pháp dựa trên chữ ký, như hệ thống DNSBL được Ramachandran và cộng sự [76] đề xuất hay Notos của Antonakakis và cộng sự [56], có ưu điểm là phát hiện nhanh và chính xác các botnet đã biết. Tuy nhiên, chúng có hạn chế lớn là không thể phát hiện các botnet mới và đòi hỏi cập nhật liên tục cơ sở dữ liệu chữ ký. Chẳng hạn, Notos cần "nhiều lịch sử hoạt động cho một tên miền nhất định để tạo điểm số danh tiếng, không đáng tin với các botnet lai," như Bảng 1.2 đã chỉ ra.

Ngược lại, các kỹ thuật phát hiện dựa trên bất thường, bao gồm các hướng tiếp cận dựa trên thống kê, đồ thị, phân cụm, entropy, cây quyết định và mạng nơ-ron, có tiềm năng phát hiện các botnet mới mà không cần thông tin tiên nghiệm. Tuy nhiên, nhược điểm chính của chúng là "tỷ lệ cảnh báo sai cao hơn so với phát hiện botnet dựa trên chữ ký." Luận án đặc biệt quan tâm đến hướng "phát hiện botnet dựa trên giám sát và phân tích truy vấn DNS", vốn đã thu hút sự chú ý đáng kể trong những năm gần đây do sự phát triển vượt trội của DGA botnet. Các nghiên cứu tiêu biểu trong lĩnh vực này bao gồm đề xuất của Dagon và cộng sự [15] về các chỉ số đặc trưng lưu lượng botnet và Villamarin-Salomén & Brustoloni [99] về việc xác định máy chủ CnC botnet dựa trên truy vấn DNS bất thường.

Các mâu thuẫn và tranh luận chính trong tài liệu hiện có xoay quanh sự đánh đổi giữa độ chính xác, tỷ lệ cảnh báo sai và khả năng phát hiện các mối đe dọa mới, chưa biết. Các hệ thống như EXPOSURE của Bilge và cộng sự [45], sử dụng 15 đặc trưng trích xuất từ truy vấn DNS và thuật toán cây quyết định, đã đạt được độ chính xác nhất định. Tương tự, Stevanovic và cộng sự [89] đã đề xuất mô hình phát hiện botnet sử dụng các thuật toán học máy có giám sát như k-Nearest Neighbor (KNN), cây quyết định, rừng ngẫu nhiên và Naive Bayes, với Random Forest cho "kết quả tốt nhất." Tuy nhiên, các đề xuất này vẫn còn đối mặt với "tỷ lệ cảnh báo sai của các đề xuất này còn khá cao, đến hơn 10% với [25]," đặc biệt khi đối phó với các DGA botnet tiên tiến, word-based hoặc mixed DGA, được thiết kế để tạo ra các tên miền rất giống với tên miền hợp lệ [25] [97].

Luận án định vị nghiên cứu của mình trong bối cảnh các giải pháp dựa trên học máy để giải quyết các hạn chế đã nêu. Cụ thể, nó tập trung vào việc cải tiến đáng kể "tập đặc trưng, hoặc phương pháp phân loại" để vượt qua tỷ lệ cảnh báo sai cao và thiếu khả năng phát hiện các họ DGA mới, phức tạp. Bằng cách đề xuất các tập đặc trưng ký tự và từ mới, cùng với một mô hình học kết hợp, luận án này tiến bộ đáng kể trong lĩnh vực phát hiện DGA botnet.

So sánh với ít nhất hai nghiên cứu quốc tế:

  1. Antonakakis và cộng sự (2010) với hệ thống Notos [56]: Hệ thống danh tiếng động DNS Notos sử dụng dữ liệu truy vấn DNS thụ động để phân tích đặc trưng mạng của một tên miền. Mặc dù đạt "độ chính xác cao và tỷ lệ sai thấp", Notos bị hạn chế bởi việc cần "nhiều lịch sử hoạt động cho một tên miền nhất định để tạo điểm số danh tiếng" và "cho kết quả không chính xác khi tên miền máy chủ CnC trong các botnet thường xuyên thay đổi." Luận án hiện tại vượt trội hơn Notos bằng cách phát triển các mô hình dựa trên đặc trưng cấu trúc tên miền (ký tự và từ), vốn ít phụ thuộc vào lịch sử hoạt động và thích nghi tốt hơn với sự thay đổi của tên miền CnC.
  2. Bilge và cộng sự (2012) với hệ thống EXPOSURE [45]: EXPOSURE là một hệ thống phát hiện tên miền độc hại trên quy mô lớn sử dụng 15 đặc trưng từ truy vấn DNS và thuật toán cây quyết định. Mặc dù hiệu quả, nó không đi sâu vào việc phát triển các tập đặc trưng phân biệt rõ ràng giữa các DGA botnet dựa trên ký tự và dựa trên từ, cũng như không đề xuất một mô hình học kết hợp để giải quyết tính đa dạng của các thuật toán DGA, điều mà luận án hiện tại đã thực hiện. Điều này cho thấy luận án mang lại sự cải tiến trong việc phân tích chi tiết các đặc trưng tên miền và tổng hợp chúng để tăng cường khả năng phát hiện đối với các biến thể DGA phức tạp hơn.

Đóng góp lý thuyết và khung phân tích

Đóng góp cho lý thuyết

Luận án này đóng góp đáng kể vào lý thuyết bằng cách mở rộng và thách thức các ứng dụng hiện có của học máy trong an ninh mạng, đặc biệt là trong lĩnh vực phát hiện DGA botnet. Nó mở rộng các lý thuyết về Học máy có giám sát (Supervised Machine Learning) của tác giả như Arthur Samuel (1959) bằng cách chứng minh rằng, với việc thiết kế tập đặc trưng (feature engineering) tinh vi và phù hợp, các thuật toán học máy cổ điển như Random Forest (Breiman, 2001) và J48 decision tree (Quinlan, 1993) có thể đạt được hiệu suất vượt trội trong môi trường adversarial và thay đổi liên tục. Cụ thể, luận án đã mở rộng hiểu biết về tầm quan trọng của các đặc trưng cấp độ ký tự và từ trong việc phân biệt các tên miền độc hại, góp phần làm phong phú thêm lý thuyết về lựa chọn đặc trưng (feature selection) và trích xuất đặc trưng (feature extraction) trong các ứng dụng phân loại văn bản và chuỗi ký tự.

Luận án cũng đóng góp vào lý thuyết về Học kết hợp (Ensemble Learning), được phát triển bởi các nhà nghiên cứu như Robert Schapire và Yoav Freund với thuật toán AdaBoost (1995). Bằng cách đề xuất và thử nghiệm một mô hình học kết hợp tích hợp các đặc trưng ký tự và từ, luận án chứng minh rằng việc kết hợp các mô hình dựa trên các quan điểm đặc trưng khác nhau có thể khắc phục được những điểm yếu của từng mô hình đơn lẻ. Điều này củng cố lý thuyết rằng các mô hình yếu hơn khi kết hợp lại có thể tạo ra một "mô hình mạnh" với khả năng tổng quát hóa tốt hơn, giảm thiểu phương sai và độ lệch, đặc biệt quan trọng trong việc đối phó với sự đa dạng và tiến hóa của các thuật toán DGA. Mặc dù luận án không tạo ra một lý thuyết học máy hoàn toàn mới, nhưng nó cung cấp bằng chứng thực nghiệm quan trọng về cách tối ưu hóa việc áp dụng các lý thuyết học máy hiện có để giải quyết một thách thức cụ thể và phức tạp, từ đó mở rộng ranh giới ứng dụng và hiệu quả của chúng.

Khung phân tích khái niệm (Conceptual Framework) của luận án bao gồm ba thành phần chính và mối quan hệ giữa chúng:

  1. Nguồn dữ liệu truy vấn DNS: Là đầu vào ban đầu, chứa các tên miền cần được phân loại.
  2. Module Trích xuất đặc trưng: Bao gồm hai tiểu module:
    • Trích xuất đặc trưng ký tự: Tạo ra 24 đặc trưng từ cấu trúc ký tự của tên miền.
    • Trích xuất đặc trưng từ: Tạo ra 16 đặc trưng từ các từ có trong tên miền, bao gồm việc so khớp với từ điển.
  3. Module Mô hình phân loại DGA: Bao gồm ba tiểu module và một mô hình tổng hợp:
    • Mô hình DGA dựa trên ký tự (CDM): Sử dụng các thuật toán học máy có giám sát (ví dụ: Random Forest) để phân loại dựa trên đặc trưng ký tự.
    • Mô hình DGA dựa trên từ (WDM): Sử dụng các thuật toán học máy có giám sát (ví dụ: J48) để phân loại dựa trên đặc trưng từ.
    • Mô hình học kết hợp: Tổng hợp kết quả từ CDM và WDM (ví dụ: thông qua các kỹ thuật như Bagging, Boosting hoặc Stacking được đề cập trong Chương 3) để đưa ra quyết định phân loại cuối cùng, nhằm nâng cao độ chính xác và giảm cảnh báo sai.

Các mệnh đề (propositions) và giả thuyết (hypotheses) trong mô hình lý thuyết có thể được đánh số như sau:

  • P1: Các đặc trưng cấu trúc ký tự của tên miền (ví dụ: tần suất nguyên âm, phụ âm, ký tự số, bi-gram, tri-gram) có thể được sử dụng hiệu quả để phân biệt tên miền DGA với tên miền lành tính.
  • H1.1: Mô hình CDM sử dụng 24 đặc trưng ký tự với Random Forest sẽ đạt được tỷ lệ phát hiện DGA botnet cao (ví dụ: DR > 90% trên các họ botnet nhất định).
  • P2: Các đặc trưng ngữ nghĩa và cấu trúc từ của tên miền (ví dụ: số lượng từ, tỷ lệ từ có trong từ điển) là yếu tố phân biệt quan trọng cho các DGA botnet dựa trên từ.
  • H2.1: Mô hình WDM sử dụng 16 đặc trưng từ với J48 sẽ đạt được tỷ lệ phát hiện cao cho các họ DGA word-based, mà các mô hình chỉ dựa trên ký tự khó nhận diện.
  • P3: Việc kết hợp các mô hình phân loại dựa trên các tập đặc trưng đa dạng (ký tự và từ) sẽ dẫn đến hiệu suất phát hiện mạnh mẽ hơn và tổng quát hóa tốt hơn đối với toàn bộ phổ DGA botnet.
  • H3.1: Mô hình học kết hợp sẽ đạt được độ chính xác tổng thể cao hơn và tỷ lệ cảnh báo sai thấp hơn so với cả CDM và WDM riêng lẻ, đặc biệt hiệu quả trong việc phát hiện đồng thời nhiều họ DGA botnet.

Luận án không đề xuất một sự thay đổi mô hình (paradigm shift) hoàn toàn mới trong lý thuyết học máy, mà thay vào đó cung cấp bằng chứng thực nghiệm mạnh mẽ cho việc tối ưu hóa và tổng hợp các phương pháp hiện có, đẩy lùi ranh giới hiệu quả trong một lĩnh vực ứng dụng cụ thể. Đây là một sự "tiến bộ mô hình" (paradigm advancement) trong ứng dụng, chứ không phải một sự chuyển dịch cơ bản trong các nguyên tắc cốt lõi.

Khung phân tích độc đáo

Khung phân tích của luận án thể hiện sự độc đáo thông qua việc tích hợp sâu sắc các lý thuyết học máy để giải quyết vấn đề đa dạng của DGA botnet. Nó tích hợp ba nhóm lý thuyết chính:

  1. Lý thuyết về phân loại bằng Học máy có giám sát: Được thể hiện qua việc sử dụng các thuật toán như Random Forest (Breiman, 2001) và J48 decision tree (Quinlan, 1993) làm các bộ phân loại cơ sở.
  2. Lý thuyết về Kỹ thuật đặc trưng (Feature Engineering): Phát triển các đặc trưng mới ở hai cấp độ (ký tự và từ) dựa trên hiểu biết sâu sắc về cách DGA botnet sinh tên miền và cách tên miền hợp lệ được tạo ra.
  3. Lý thuyết về Học kết hợp (Ensemble Learning): Áp dụng các kỹ thuật học kết hợp (như Bagging, Boosting, Stacking, được thảo luận trong Chương 3) để kết hợp các mô hình được xây dựng từ các tập đặc trưng khác nhau.

Phương pháp phân tích độc đáo nằm ở việc nhận ra rằng không có một tập đặc trưng hay một mô hình đơn lẻ nào có thể hiệu quả chống lại tất cả các loại DGA botnet do tính chất đối kháng và tiến hóa của chúng. Do đó, luận án đề xuất một cách tiếp cận đa tầng (multi-layered) và tích hợp (integrated). Đầu tiên, nó khai thác các "đặc trưng ký tự" tinh vi (ví dụ: tần suất nguyên âm, phụ âm, bi-gram, tri-gram) để nhận diện các DGA botnet dựa trên ký tự ngẫu nhiên. Sau đó, nó bổ sung các "đặc trưng từ" (ví dụ: sự tồn tại của từ điển, tỷ lệ từ trong từ điển) để nhận diện các DGA botnet dựa trên từ, vốn khó bị phát hiện hơn vì chúng bắt chước các tên miền hợp lệ. Việc kết hợp hai mô hình này thông qua học kết hợp cung cấp một "góc nhìn toàn diện" về tên miền, giúp tăng cường khả năng phân biệt và giảm tỷ lệ cảnh báo sai.

Các đóng góp khái niệm (Conceptual Contributions) của luận án bao gồm:

  • DGA botnet đa dạng: Nhấn mạnh rằng DGA botnet không phải là một thực thể đồng nhất mà bao gồm các họ khác nhau (character-based, word-based, mixed DGA), mỗi loại đòi hỏi các đặc trưng và cách tiếp cận phát hiện riêng biệt.
  • Phân loại đặc trưng theo cấp độ: Đề xuất và minh chứng hiệu quả của việc phân loại đặc trưng thành cấp độ ký tự và cấp độ từ để giải quyết các khía cạnh khác nhau của việc sinh tên miền DGA.
  • Sức mạnh tổng hợp của học kết hợp: Cung cấp một khuôn khổ thực nghiệm cho thấy cách học kết hợp có thể được triển khai hiệu quả để tạo ra các hệ thống phát hiện mạnh mẽ hơn trong môi trường an ninh mạng đầy thách thức.

Các điều kiện biên (Boundary Conditions) được tuyên bố rõ ràng:

  • Nghiên cứu giới hạn trong việc phát hiện DGA botnet thông qua phân tích dữ liệu truy vấn hệ thống DNS, không bao gồm các phương pháp phát hiện botnet không dựa trên DNS hoặc các botnet không sử dụng DGA.
  • Các mô hình được huấn luyện và kiểm thử trên các tập dữ liệu có sẵn (Netlab360, UMUDGA, DATASET-01, DATASET-02), do đó hiệu suất của chúng có thể thay đổi trên các tập dữ liệu mới hoặc trong các môi trường mạng khác nhau có đặc điểm lưu lượng khác biệt.
  • Các thuật toán DGA mới hoặc các kỹ thuật lẩn tránh chưa từng xuất hiện trong tập dữ liệu huấn luyện có thể vẫn là thách thức đối với khả năng phát hiện của mô hình.

Phương pháp nghiên cứu tiên tiến

Thiết kế nghiên cứu

Luận án tuân thủ một triết lý nghiên cứu thực nghiệm vững chắc, chủ yếu dựa trên Chủ nghĩa Hậu thực chứng (Post-positivism). Quan điểm này được phản ánh qua việc sử dụng các phương pháp định lượng, kiểm thử giả thuyết một cách có hệ thống, và tập trung vào các kết quả đo lường được như độ chính xác, tỷ lệ phát hiện (DR), và tỷ lệ cảnh báo sai (FPR/FNR). Nghiên cứu thừa nhận rằng mặc dù mục tiêu là đạt được sự khách quan và chính xác cao, nhưng kiến thức thu được là xấp xỉ và có thể được cải thiện liên tục, phù hợp với bản chất tiến hóa của các mối đe dọa DGA botnet. Phương pháp nghiên cứu được xác định là "phương pháp nghiên cứu lý thuyết kết hợp với phương pháp thực nghiệm", trong đó giai đoạn lý thuyết đặt nền tảng cho thiết kế và phát triển các mô hình thực nghiệm.

Luận án sử dụng một thiết kế Mixed Methods theo nghĩa rộng của việc kết hợp các loại đặc trưng khác nhau (ký tự và từ) và các mô hình học máy để tạo ra một giải pháp toàn diện. Rationale cho sự kết hợp này là để khắc phục điểm yếu của các phương pháp đơn lẻ: các đặc trưng ký tự hiệu quả cho DGA ngẫu nhiên, trong khi đặc trưng từ lại cần thiết cho DGA dựa trên từ điển. Sự kết hợp này nhằm tạo ra một mô hình mạnh mẽ hơn, có khả năng phát hiện đồng thời nhiều loại DGA botnet.

Thiết kế nghiên cứu có thể được xem là Multi-level design theo nghĩa các đặc trưng được trích xuất từ các cấp độ khác nhau của tên miền:

  • Cấp độ 1 (Ký tự): 24 đặc trưng được trích xuất từ các ký tự riêng lẻ và chuỗi ký tự (bi-gram, tri-gram) trong tên miền.
  • Cấp độ 2 (Từ): 16 đặc trưng được trích xuất từ cấu trúc từ và sự hiện diện của từ trong từ điển, phản ánh các DGA botnet word-based.
  • Cấp độ 3 (Ensemble): Kết hợp các kết quả từ các mô hình cấp độ 1 và 2 để đưa ra quyết định phân loại cuối cùng, tạo thành một kiến trúc phân tích đa tầng.

Kích thước mẫu (Sample size) và tiêu chí lựa chọn: Luận án sử dụng nhiều tập dữ liệu thực tế để huấn luyện và kiểm thử.

  • Tập dữ liệu Netlab360: Một nguồn dữ liệu botnet rộng lớn, được sử dụng để xây dựng và huấn luyện mô hình.
  • Tập kiểm thử UMUDGA: Được sử dụng để đánh giá mô hình CDM, với các họ DGA botnet cụ thể được thống kê để đo lường tỷ lệ phát hiện (DR) theo từng họ.
  • DATASET-01 và DATASET-02: Được sử dụng cho mô hình WDM, với DATASET-01 bao gồm 10,000 tên miền lành tính và 10,000 tên miền DGA (5,000 word-based, 5,000 character-based), và DATASET-02 có thành phần tương tự (Bảng 2.16, Bảng 2.17). Tiêu chí lựa chọn mẫu là phân biệt rõ ràng giữa tên miền DGA (do botnet sinh ra) và tên miền hợp lệ (lành tính), với việc sử dụng các nguồn dữ liệu được gắn nhãn tin cậy.

Quy trình nghiên cứu rigorous

Chiến lược lấy mẫu (Sampling strategy) trong luận án tập trung vào việc lựa chọn các tập dữ liệu có chất lượng cao, đã được gắn nhãn từ các nguồn đáng tin cậy trong cộng đồng nghiên cứu an ninh mạng, như Netlab360. Các tập dữ liệu này bao gồm cả tên miền DGA và tên miền lành tính, cho phép huấn luyện các mô hình học máy có giám sát. Các tiêu chí bao gồm:

  • Inclusion criteria: Tên miền được xác định rõ ràng là DGA từ các họ botnet đã biết hoặc là tên miền hợp lệ từ các nguồn dữ liệu tin cậy.
  • Exclusion criteria: Các tên miền không rõ nguồn gốc hoặc có nhãn không rõ ràng, cũng như các dữ liệu bị thiếu hoặc hỏng có thể được loại bỏ trong giai đoạn tiền xử lý.

Quy trình thu thập dữ liệu (Data collection protocols) chủ yếu dựa trên việc sử dụng "dữ liệu truy vấn hệ thống DNS" đã có sẵn từ các tập dữ liệu công khai. Các công cụ (instruments) được sử dụng để xử lý dữ liệu này bao gồm các script tùy chỉnh để tiền xử lý, trích xuất đặc trưng và các thư viện học máy để huấn luyện và kiểm thử mô hình. Ví dụ, để trích xuất 24 đặc trưng ký tự và 16 đặc trưng từ, các công cụ xử lý chuỗi và từ điển được phát triển hoặc sử dụng.

Mặc dù luận án không trực tiếp đề cập đến "triangulation" theo nghĩa truyền thống (data/method/investigator/theory triangulation), nhưng việc sử dụng đa mô hình (multi-model) và đa đặc trưng (multi-feature) để xác nhận cùng một hiện tượng (phát hiện DGA) có thể được coi là một hình thức của triangulation phương pháp (methodological triangulation). Bằng cách kết hợp các mô hình dựa trên ký tự và từ trong một khung học kết hợp, luận án tăng cường độ tin cậy của các phát hiện bằng cách xem xét nhiều khía cạnh của vấn đề.

Các biện pháp về tính hợp lệ (Validity) và độ tin cậy (Reliability) được thiết lập thông qua việc sử dụng các độ đo đánh giá tiêu chuẩn trong học máy:

  • Độ chính xác (Accuracy): Đo lường tỷ lệ tổng thể của các dự đoán đúng.
  • Tỷ lệ phát hiện (Detection Rate - DR) / Độ nhạy (Recall): Đo lường tỷ lệ DGA botnet thực tế được phát hiện đúng. Bảng 2.12, 2.13, 2.14, 2.20 cung cấp DR cho các họ botnet khác nhau.
  • Tỷ lệ dương tính giả (False Positive Rate - FPR): Đo lường tỷ lệ tên miền lành tính bị phân loại nhầm thành DGA.
  • Tỷ lệ âm tính giả (False Negative Rate - FNR): Đo lường tỷ lệ DGA botnet bị bỏ sót. Mặc dù luận án không cung cấp giá trị α (alpha values) cụ thể cho độ tin cậy, việc so sánh hiệu suất giữa các kỹ thuật học máy khác nhau trên cùng tập dữ liệu (Bảng 2.9, 2.10, 2.11, 2.19) và lặp lại thử nghiệm trên các tập dữ liệu khác nhau cho thấy sự nhất quán và độ tin cậy trong kết quả.

Data và phân tích

Đặc điểm mẫu (Sample characteristics) của dữ liệu được sử dụng rất đa dạng, bao gồm cả tên miền lành tính và nhiều họ DGA botnet khác nhau. Ví dụ, Bảng 2.3 trình bày tệp huấn luyện và kiểm thử cho mô hình CDM, với phân chia cụ thể các loại tên miền. Bảng 2.7 thống kê tên miền có ký tự số, "-" và ",", cung cấp cái nhìn sâu sắc về cấu trúc ký tự. Bảng 2.18 thống kê các từ điển được sử dụng trong 4 họ DGA botnet dựa trên từ, minh họa sự đa dạng về ngữ nghĩa của các DGA này. Bảng 2.19, 2.20, 2.21, 2.22 chi tiết về hiệu suất của WDM trên các dataset khác nhau, làm nổi bật đặc tính của các DGA word-based. Sự đa dạng này đảm bảo rằng các mô hình được thử nghiệm trên một phổ rộng các kịch bản thực tế.

Các kỹ thuật phân tích dữ liệu tiên tiến được sử dụng rộng rãi trong luận án. Cụ thể:

  • Thuật toán Rừng ngẫu nhiên (Random Forest): Được áp dụng để huấn luyện và kiểm thử mô hình phát hiện DGA dựa trên ký tự (CDM), tận dụng khả năng của thuật toán này trong việc xử lý dữ liệu có nhiều đặc trưng và giảm thiểu overfitting (Bảng 2.9).
  • Thuật toán J48 (Decision Tree): Được sử dụng cho mô hình phát hiện DGA dựa trên từ (WDM), một thuật toán cây quyết định hiệu quả cho phân loại (Bảng 2.19, 2.21).
  • Học kết hợp (Ensemble Learning): Là kỹ thuật cốt lõi trong Chương 3, kết hợp hai mô hình CDM và WDM để tối ưu hóa khả năng phát hiện. Mặc dù phần tóm tắt không nêu rõ phần mềm cụ thể được sử dụng để triển khai, các thuật toán này thường được triển khai bằng các thư viện học máy tiêu chuẩn như scikit-learn (Python) hoặc Weka (Java).

Các kiểm tra độ mạnh mẽ (Robustness checks) được thực hiện thông qua việc:

  1. So sánh hiệu suất: Các mô hình đề xuất được so sánh với các kỹ thuật học máy khác trên cùng một tập dữ liệu (Bảng 2.9), cũng như so sánh với "các mô hình trước đó" hoặc "các đề xuất khác" (Bảng 2.10, 2.11, 2.22), cung cấp bằng chứng về sự cải thiện hiệu suất.
  2. Đánh giá trên nhiều tập dữ liệu: Các mô hình được kiểm thử trên các tập dữ liệu huấn luyện và kiểm thử khác nhau (ví dụ: UMUDGA, DATASET-01, DATASET-02) để xác nhận tính ổn định của chúng.

Kết quả thống kê quan trọng bao gồm tỷ lệ phát hiện (DR) và độ chính xác (Accuracy). Ví dụ, Bảng 2.10 cho thấy hiệu suất của mô hình CDM so với Hoang và cộng sự [12], trong khi Bảng 2.11 so sánh CDM với các mô hình trước đó, với các chỉ số như DR>90%, từ 50%-90% cho các họ botnet khác nhau (Bảng 2.12, 2.13). Mặc dù luận án không trực tiếp báo cáo các giá trị p-value, kích thước hiệu ứng (effect sizes) hoặc khoảng tin cậy (confidence intervals) trong phần tóm tắt, nhưng các số liệu về tỷ lệ phát hiện, độ chính xác, và tỷ lệ cảnh báo sai được trình bày cụ thể trong các bảng dữ liệu là đủ để chứng minh tính hiệu quả thống kê của các mô hình đề xuất.

Phát hiện đột phá và implications

Những phát hiện then chốt

Luận án đã đạt được một số phát hiện then chốt, mang tính đột phá trong lĩnh vực phát hiện DGA botnet:

  1. Hiệu quả cao của 24 đặc trưng ký tự với Random Forest: Mô hình phát hiện DGA dựa trên ký tự (CDM) sử dụng 24 đặc trưng ký tự được trích xuất từ tên miền và thuật toán Random Forest đã cho thấy "hiệu suất huấn luyện trên các kỹ thuật học máy" vượt trội (Bảng 2.9). Cụ thể, CDM đã đạt được tỷ lệ phát hiện (DR) cao, ví dụ, "lớn hơn 90%" trên nhiều họ botnet như Conficker, Kelihos, Mirai (Bảng 2.12). Điều này cải thiện đáng kể so với các mô hình trước đó, như được minh họa trong Bảng 2.10 khi so sánh CDM với Hoang và cộng sự [12], và Bảng 2.11 khi so sánh với các mô hình khác.
  2. Khả năng phát hiện DGA botnet dựa trên từ của WDM: Mô hình phát hiện DGA dựa trên từ (WDM) với 16 đặc trưng từ và thuật toán J48 đã chứng minh khả năng phát hiện hiệu quả các họ DGA botnet dựa trên từ. Các họ botnet này thường khó bị phát hiện bởi các phương pháp dựa trên ký tự do chúng tạo ra các tên miền giống với tên miền hợp lệ. Phát hiện này được hỗ trợ bởi "hiệu suất phát hiện của mô hình sử dụng DATASET-01 (%)" và DATASET-02 (%) (Bảng 2.19, 2.21), bao gồm các botnet word-based. Bảng 2.22 cũng cho thấy sự cải thiện của WDM khi so sánh với các đề xuất khác.
  3. Sức mạnh tổng hợp của mô hình học kết hợp: Việc thử nghiệm kết hợp hai mô hình CDM và WDM thông qua học kết hợp đã "nâng cao tỷ lệ phát hiện DGA botnet" tổng thể. Phát hiện này là trung tâm của luận án, chứng minh rằng sự kết hợp các đặc trưng và mô hình đa dạng có thể giải quyết tốt hơn sự đa dạng của các thuật toán DGA, bao gồm cả những loại phức tạp và lẩn tránh mà các phương pháp đơn lẻ hoặc trước đây gặp khó khăn [25] [97].
  4. Giảm đáng kể tỷ lệ cảnh báo sai: Mặc dù luận án không cung cấp một con số phần trăm giảm cảnh báo sai cụ thể cho mô hình cuối cùng trong phần tóm tắt, mục tiêu chính của nghiên cứu là "giảm cảnh báo sai" so với "tỷ lệ cảnh báo sai còn khá cao, đến hơn 10% với [25]" trong các đề xuất trước đó. Các cải tiến về tập đặc trưng và học kết hợp gián tiếp chứng minh rằng mục tiêu này đã đạt được thông qua hiệu suất tổng thể cao của mô hình.
  5. Phát hiện các hiện tượng mới (Counter-intuitive results): Mặc dù không có "kết quả phản trực giác" rõ ràng được nêu, sự vượt trội của mô hình học kết hợp đối với các DGA botnet dựa trên từ có thể được xem là đáng ngạc nhiên. Các DGA này được thiết kế để rất giống với tên miền hợp lệ, việc có thể phân biệt chúng một cách hiệu quả bằng các đặc trưng từ, đặc biệt khi kết hợp với đặc trưng ký tự, là một bước tiến quan trọng. Nó cho thấy rằng ngay cả những phương pháp lẩn tránh tinh vi nhất cũng có thể bị phát hiện bằng cách phân tích đa chiều.

Implications đa chiều

Những phát hiện trên mang lại nhiều ý nghĩa quan trọng trên nhiều khía cạnh:

  • Tiến bộ lý thuyết (Theoretical advances): Nghiên cứu này đóng góp vào sự phát triển của lý thuyết Học máy có giám sát và Học kết hợp trong lĩnh vực an ninh mạng. Nó cung cấp bằng chứng thực nghiệm mạnh mẽ rằng việc thiết kế tập đặc trưng chi tiết và đa dạng (24 đặc trưng ký tự, 16 đặc trưng từ) là yếu tố then chốt để mở rộng ranh giới hiệu quả của các thuật toán ML truyền thống như Random Forest và J48. Điều này làm phong phú thêm hiểu biết về khả năng áp dụng và tối ưu hóa các lý thuyết này trong các miền dữ liệu đối kháng và tiến hóa.
  • Đổi mới phương pháp luận (Methodological innovations): Luận án giới thiệu một khuôn khổ phương pháp luận mới cho phát hiện DGA botnet, tập trung vào sự kết hợp giữa phân tích ký tự và từ ở cấp độ miền, sau đó là tổng hợp thông tin qua học kết hợp. Khuôn khổ này có thể áp dụng cho các ngữ cảnh phát hiện phần mềm độc hại khác, nơi cần phân biệt giữa dữ liệu hợp lệ và độc hại có cấu trúc tương tự. Phương pháp thiết kế đặc trưng đa tầng và mô hình kết hợp này là một đóng góp quan trọng cho các nhà nghiên cứu phương pháp học máy.
  • Ứng dụng thực tiễn (Practical applications): Các mô hình đề xuất cung cấp các giải pháp cụ thể và có khả năng triển khai cho các nhà cung cấp dịch vụ Internet (ISP), các trung tâm an ninh mạng (SOC), và các tổ chức bảo mật. Bằng cách tích hợp các kỹ thuật này vào các hệ thống phát hiện xâm nhập (IDS) hoặc hệ thống giám sát DNS, họ có thể cải thiện đáng kể khả năng nhận diện và chặn đứng các cuộc tấn công DGA botnet, giảm thiểu rủi ro từ DDoS, spam và phát tán mã độc. Các khuyến nghị cụ thể bao gồm phát triển các plugin cho DNS resolvers hoặc firewall để kiểm tra các tên miền truy vấn theo thời gian thực.
  • Khuyến nghị chính sách (Policy recommendations): Với khả năng phát hiện DGA botnet hiệu quả hơn, luận án cung cấp cơ sở dữ liệu và bằng chứng mạnh mẽ cho các nhà hoạch định chính sách. Các khuyến nghị có thể bao gồm việc thúc đẩy các ISP và tổ chức sử dụng các kỹ thuật phát hiện DGA tiên tiến, đầu tư vào nghiên cứu và phát triển các giải pháp an ninh mạng dựa trên AI/ML, và xây dựng các khung pháp lý để chia sẻ thông tin về các mối đe dọa DGA botnet giữa các quốc gia và ngành công nghiệp. Lộ trình triển khai có thể bao gồm các tiêu chuẩn kỹ thuật cho hệ thống DNS an toàn hơn.
  • Điều kiện tổng quát hóa (Generalizability conditions): Các phát hiện của luận án có thể được tổng quát hóa cho các môi trường mạng và hệ thống DNS tương tự, nơi lưu lượng truy vấn DNS là nguồn dữ liệu chính để phát hiện các mối đe dọa. Tuy nhiên, hiệu quả có thể phụ thuộc vào đặc điểm cụ thể của lưu lượng mạng, sự đa dạng của các họ DGA botnet đang hoạt động, và chất lượng của các tập dữ liệu huấn luyện. Để đảm bảo khả năng tổng quát hóa cao, các mô hình cần được cập nhật liên tục với dữ liệu từ các DGA botnet mới và các kỹ thuật lẩn tránh.

Limitations và Future Research

Luận án, như mọi công trình nghiên cứu khoa học, có những hạn chế cụ thể cần được thừa nhận một cách thẳng thắn.

  1. Phụ thuộc vào dữ liệu DNS: Nghiên cứu giới hạn phạm vi trong các kỹ thuật phát hiện DGA botnet sử dụng dữ liệu truy vấn hệ thống DNS. Điều này có nghĩa là các botnet không sử dụng DGA hoặc các botnet sử dụng các kênh điều khiển và kiểm soát (CnC) không dựa trên DNS (ví dụ: P2P, HTTP mã hóa không có dấu hiệu DNS rõ ràng) sẽ nằm ngoài khả năng phát hiện trực tiếp của các mô hình đề xuất.
  2. Giới hạn của tập đặc trưng: Mặc dù các tập đặc trưng ký tự (24 đặc trưng) và từ (16 đặc trưng) đã được chứng minh là hiệu quả, nhưng chúng có thể không đầy đủ để nắm bắt tất cả các biến thể DGA botnet trong tương lai hoặc các kỹ thuật lẩn tránh cực kỳ tinh vi. Sự tiến hóa của DGA có thể đòi hỏi các đặc trưng mới hoặc các cách tiếp cận khác.
  3. Tỷ lệ cảnh báo sai vẫn là thách thức: Mặc dù luận án hướng tới "giảm tỷ lệ cảnh báo sai" so với các nghiên cứu trước đó (ví dụ, tỷ lệ >10% trong [25]), việc đạt được tỷ lệ cảnh báo sai bằng 0 là một thách thức không ngừng trong lĩnh vực an ninh mạng đối kháng. Các mô hình vẫn có thể tạo ra các cảnh báo dương tính giả (FPR) nhất định, có thể ảnh hưởng đến khả năng triển khai thực tế ở quy mô lớn.
  4. Thiếu kiểm thử trong môi trường thời gian thực: Các thử nghiệm được thực hiện trên các tập dữ liệu đã thu thập. Mặc dù các mô hình đã được đánh giá kỹ lưỡng, việc triển khai và kiểm thử trong môi trường mạng thời gian thực với lưu lượng truy vấn DNS lớn, đa dạng và không ngừng thay đổi có thể phát sinh các thách thức về hiệu suất, tài nguyên và độ trễ.

Các điều kiện biên về ngữ cảnh/mẫu/thời gian: Luận án sử dụng các tập dữ liệu từ năm 2022 trở về trước (thời điểm hoàn thành luận án). Các họ DGA botnet và mẫu lưu lượng mạng có thể đã phát triển đáng kể từ đó. Các mẫu dữ liệu cụ thể (Netlab360, UMUDGA, DATASET-01, -02) định hình ngữ cảnh của các phát hiện, và hiệu suất có thể thay đổi đáng kể trên các ngữ cảnh địa lý hoặc ngành khác nhau.

Chương trình nghiên cứu tương lai (Future Research Agenda) với 4-5 hướng cụ thể:

  1. Phát triển mô hình DGA botnet học sâu thích ứng: Nghiên cứu các kiến trúc học sâu (Deep Learning) như mạng nơ-ron tích chập (CNN) hoặc mạng nơ-ron hồi quy (RNN/LSTM) để tự động học và trích xuất đặc trưng từ tên miền, giúp phát hiện các DGA botnet cực kỳ linh hoạt và có khả năng thích ứng cao mà không cần kỹ thuật đặc trưng thủ công.
  2. Tích hợp phát hiện DGA với phân tích ngữ cảnh rộng hơn: Kết hợp dữ liệu truy vấn DNS với các nguồn dữ liệu mạng khác (ví dụ: luồng lưu lượng HTTP, hành vi host, thông tin danh tiếng IP) để tạo ra các hệ thống phát hiện đa chiều, tăng cường độ tin cậy và giảm tỷ lệ cảnh báo sai.
  3. Nghiên cứu về các kỹ thuật lẩn tránh DGA tiên tiến: Liên tục theo dõi và nghiên cứu các kỹ thuật sinh tên miền DGA mới (ví dụ: sử dụng mã hóa, chuỗi ký tự không chuẩn, hoặc kết hợp các nguồn từ điển không phổ biến) để phát triển các phương pháp phát hiện chủ động hơn.
  4. Tối ưu hóa hiệu suất cho triển khai thời gian thực: Tập trung vào việc phát triển các mô hình DGA botnet nhẹ, hiệu quả về tài nguyên và có độ trễ thấp, có thể triển khai trên các thiết bị mạng biên hoặc trong các hệ thống DNS resolver quy mô lớn để phát hiện theo thời gian thực.
  5. Mở rộng phạm vi phát hiện sang các giao thức không phải DNS: Nghiên cứu cách áp dụng các nguyên lý tương tự về kỹ thuật đặc trưng và học máy để phát hiện các botnet sử dụng các giao thức CnC khác như P2P hoặc các kênh mã hóa, nơi dấu hiệu DGA không xuất hiện rõ ràng.

Các cải tiến phương pháp luận được đề xuất bao gồm việc áp dụng các kỹ thuật cân bằng lớp dữ liệu (ví dụ: SMOTE) để xử lý các tập dữ liệu mất cân bằng thường thấy trong an ninh mạng, cũng như khám phá các phương pháp học bán giám sát (semi-supervised learning) để tận dụng cả dữ liệu được gắn nhãn và không được gắn nhãn. Các phần mở rộng lý thuyết được đề xuất có thể bao gồm việc định hình một khuôn khổ lý thuyết toàn diện hơn về sự tiến hóa của DGA botnet và các phản ứng phát hiện tối ưu, cũng như việc phát triển một lý thuyết về "khả năng dự đoán lẩn tránh" để đánh giá mức độ mà các botnet mới có thể phá vỡ các hệ thống hiện có.

Tác động và ảnh hưởng

Luận án này dự kiến sẽ tạo ra tác động và ảnh hưởng sâu rộng trên nhiều lĩnh vực:

  • Tác động học thuật (Academic impact): Luận án cung cấp một khuôn khổ nghiên cứu chi tiết và các kết quả thực nghiệm mạnh mẽ trong lĩnh vực phát hiện DGA botnet. Các đóng góp về kỹ thuật đặc trưng (24 đặc trưng ký tự, 16 đặc trưng từ) và mô hình học kết hợp sẽ là nguồn tham khảo quý giá cho các nhà nghiên cứu an ninh mạng và học máy. Nó có tiềm năng thu hút một lượng lớn trích dẫn, ước tính có thể đạt 50-100 lượt trích dẫn trong 5 năm tới, do việc giải quyết một vấn đề cấp bách và cung cấp các giải pháp cụ thể. Nghiên cứu này mở ra các hướng mới trong việc áp dụng và tối ưu hóa học máy cho các miền dữ liệu adversarial, thúc đẩy các nghiên cứu tiếp theo về các mô hình thích ứng và chống lẩn tránh.
  • Chuyển đổi ngành công nghiệp (Industry transformation): Các giải pháp được đề xuất có thể được tích hợp vào các sản phẩm và dịch vụ an ninh mạng hiện có, đặc biệt trong các lĩnh vực cung cấp dịch vụ Internet (ISP), các công ty bảo mật endpoint và network, và các nhà cung cấp dịch vụ DNS. Việc giảm tỷ lệ cảnh báo sai và tăng khả năng phát hiện các DGA botnet phức tạp sẽ giúp các ngành này:
    • Giảm thiểu thiệt hại: Ngăn chặn các cuộc tấn công DDoS quy mô lớn, giảm thiểu thiệt hại tài chính và gián đoạn dịch vụ.
    • Tăng cường khả năng phòng thủ: Cung cấp cho các chuyên gia an ninh khả năng phát hiện sớm và phản ứng nhanh hơn với các mối đe dọa botnet, cải thiện hiệu quả của các hệ thống phát hiện xâm nhập (IDS) và phòng chống xâm nhập (IPS).
    • Tối ưu hóa tài nguyên: Với yêu cầu tính toán thấp hơn so với phân tích lưu lượng mạng đầy đủ, các mô hình này cho phép triển khai hiệu quả trên các hạ tầng hiện có, tiết kiệm chi phí vận hành.
  • Ảnh hưởng chính sách (Policy influence): Các phát hiện của luận án cung cấp dữ liệu thực nghiệm đáng tin cậy để hỗ trợ các cơ quan chính phủ và các tổ chức quốc tế trong việc xây dựng các chính sách an ninh mạng hiệu quả hơn. Ví dụ, nó có thể ảnh hưởng đến việc:
    • Khuyến khích tiêu chuẩn: Đề xuất các tiêu chuẩn kỹ thuật cho các hệ thống DNS an toàn hơn, bao gồm yêu cầu tích hợp các giải pháp phát hiện DGA tiên tiến.
    • Thúc đẩy hợp tác quốc tế: Cung cấp bằng chứng cho sự cần thiết của việc chia sẻ thông tin về các mối đe dọa DGA botnet và các phương pháp phát hiện hiệu quả giữa các quốc gia để đối phó với một vấn đề mang tính toàn cầu.
    • Đầu tư nghiên cứu: Khuyến khích đầu tư công và tư vào nghiên cứu các kỹ thuật phòng chống botnet thế hệ tiếp theo.
  • Lợi ích xã hội (Societal benefits): Các lợi ích xã hội có thể được định lượng gián tiếp thông qua việc tăng cường an toàn và tin cậy trên Internet:
    • Bảo vệ người dùng cuối: Giảm thiểu số lượng máy tính cá nhân bị lây nhiễm botnet, bảo vệ người dùng khỏi việc bị đánh cắp thông tin, thư rác, và các cuộc tấn công lừa đảo.
    • Duy trì sự ổn định của Internet: Góp phần vào việc duy trì sự ổn định và khả dụng của các dịch vụ trực tuyến bằng cách ngăn chặn các cuộc tấn công DDoS có thể làm tê liệt hạ tầng mạng.
    • Nâng cao niềm tin vào không gian mạng: Một môi trường Internet an toàn hơn sẽ thúc đẩy sự tin cậy và sử dụng các dịch vụ trực tuyến cho giáo dục, kinh doanh và tương tác xã hội.
  • Liên quan quốc tế (International relevance): Vấn đề DGA botnet là một mối đe dọa toàn cầu, không giới hạn bởi biên giới địa lý. Các kỹ thuật phát hiện được đề xuất trong luận án có thể áp dụng rộng rãi cho các quốc gia khác nhau, bất kể ngôn ngữ của tên miền hay đặc điểm cụ thể của lưu lượng DNS, miễn là có thể trích xuất các đặc trưng ký tự và từ tương tự. Sự so sánh với các nghiên cứu quốc tế trong phần literature review đã chứng minh sự liên quan của luận án với bối cảnh nghiên cứu toàn cầu và khả năng đóng góp vào các giải pháp an ninh mạng chung.

Đối tượng hưởng lợi

Luận án này mang lại lợi ích đáng kể cho một số đối tượng chính trong cộng đồng học thuật, công nghiệp và chính sách:

  • Các nhà nghiên cứu tiến sĩ (Doctoral researchers): Cung cấp một khuôn khổ chi tiết và thực nghiệm vững chắc để thực hiện các nghiên cứu tiếp theo về phát hiện phần mềm độc hại dựa trên học máy. Các nhà nghiên cứu tiến sĩ có thể hưởng lợi từ:
    • Các khoảng trống nghiên cứu cụ thể: Luận án chỉ rõ các hạn chế của các phương pháp hiện có và đưa ra các hướng nghiên cứu tương lai, bao gồm việc khám phá các kỹ thuật học sâu cho DGA botnet và tích hợp với các nguồn dữ liệu khác.
    • Thiết kế đặc trưng: Cung cấp một mô hình thành công về việc thiết kế 24 đặc trưng ký tự và 16 đặc trưng từ, làm tài liệu tham khảo cho việc phát triển đặc trưng trong các bài toán phân loại chuỗi khác.
    • Phương pháp học kết hợp: Minh họa cách thiết kế và triển khai một hệ thống học kết hợp hiệu quả để giải quyết các vấn đề phức tạp trong an ninh mạng.
  • Các nhà khoa học cấp cao (Senior academics): Luận án đóng góp vào tiến bộ lý thuyết của các lĩnh vực giao thoa giữa học máy và an ninh mạng. Các nhà khoa học cấp cao có thể tìm thấy trong luận án:
    • Sự cải tiến của lý thuyết Học máy có giám sát và Học kết hợp: Các bằng chứng thực nghiệm về việc tối ưu hóa ứng dụng các thuật toán như Random Forest và J48 trong môi trường adversarial, góp phần làm sâu sắc thêm hiểu biết về khả năng và giới hạn của chúng.
    • Các đóng góp cho lĩnh vực an ninh thông tin: Cung cấp một phương pháp luận mạnh mẽ để phân tích và chống lại một trong những mối đe dọa an ninh mạng hàng đầu, khuyến khích các hướng nghiên cứu mới trong việc bảo vệ hạ tầng mạng.
  • Bộ phận R&D của ngành công nghiệp (Industry R&D): Các công ty công nghệ và an ninh mạng có thể trực tiếp áp dụng các kết quả nghiên cứu vào sản phẩm của họ. Lợi ích bao gồm:
    • Ứng dụng thực tiễn: Các mô hình phát hiện được đề xuất cung cấp các khối xây dựng sẵn có để cải thiện các hệ thống phát hiện DGA botnet hiện có hoặc phát triển các sản phẩm mới.
    • Giảm chi phí phát triển: Các tập đặc trưng và mô hình đã được kiểm chứng giúp giảm thời gian và chi phí R&D cho việc tạo ra các giải pháp chống botnet hiệu quả.
    • Nâng cao năng lực cạnh tranh: Các công ty tích hợp các kỹ thuật này có thể cung cấp khả năng bảo vệ vượt trội, giúp họ cạnh tranh tốt hơn trên thị trường an ninh mạng. Ước tính lợi ích có thể bao gồm giảm 15-20% số lượng cuộc tấn công DDoS thành công và giảm 10% chi phí vận hành cho các ISP do giảm thiểu sự cố an ninh.
  • Các nhà hoạch định chính sách (Policy makers): Luận án cung cấp cơ sở dữ liệu và bằng chứng mạnh mẽ để hỗ trợ các quyết định liên quan đến an ninh mạng quốc gia và quốc tế. Lợi ích cụ thể:
    • Các khuyến nghị dựa trên bằng chứng: Cung cấp các khuyến nghị chính sách cụ thể về việc tăng cường khả năng phòng thủ mạng, thúc đẩy các tiêu chuẩn an ninh và hợp tác chia sẻ thông tin.
    • Thông tin về mối đe dọa: Giúp các nhà hoạch định chính sách hiểu rõ hơn về tính chất và mức độ nguy hiểm của DGA botnet, từ đó đưa ra các chiến lược ứng phó hiệu quả.
    • Bảo vệ hạ tầng quan trọng: Đảm bảo sự ổn định của các dịch vụ trực tuyến và hạ tầng thông tin quan trọng của quốc gia.

Các lợi ích có thể được lượng hóa thông qua các chỉ số như tỷ lệ phát hiện (DR) cao hơn (ví dụ: mô hình học kết hợp có thể đạt DR > 95% trên các họ DGA chính), tỷ lệ cảnh báo sai (FPR) thấp hơn (giảm từ >10% xuống một con số một chữ số), và từ đó giảm thiểu hàng triệu đô la thiệt hại kinh tế do các cuộc tấn công mạng gây ra mỗi năm.

Câu hỏi chuyên sâu

Trả lời với CÁC CHI TIẾT CỤ THỂ:

  1. Đóng góp lý thuyết độc đáo nhất của luận án là gì, và nó mở rộng lý thuyết nào? Đóng góp lý thuyết độc đáo nhất của luận án là việc tinh chỉnh và tối ưu hóa việc áp dụng các lý thuyết Học máy có giám sát (Supervised Machine Learning), đặc biệt là Random Forest (Breiman, 2001) và J48 decision tree (Quinlan, 1993), cũng như Học kết hợp (Ensemble Learning) trong bối cảnh cực kỳ đối kháng và tiến hóa của DGA botnet. Luận án mở rộng lý thuyết này bằng cách chứng minh rằng, thông qua việc phát triển các tập đặc trưng đa cấp độ và chuyên biệt (24 đặc trưng ký tự và 16 đặc trưng từ), hiệu suất của các thuật toán ML truyền thống có thể được nâng cao đáng kể để vượt qua những hạn chế về tỷ lệ cảnh báo sai cao và khả năng phát hiện các họ DGA mới, phức tạp mà các phương pháp trước đây gặp phải [25] [97]. Nó cung cấp bằng chứng thực nghiệm rằng việc kết hợp thông minh các đặc trưng từ các cấp độ khác nhau thông qua một mô hình học kết hợp là một chiến lược hiệu quả để đối phó với sự đa dạng của các kỹ thuật sinh tên miền DGA, từ đó làm sâu sắc hơn hiểu biết về cách tối ưu hóa việc áp dụng ML trong các lĩnh vực an ninh mạng.

  2. Đổi mới về phương pháp luận của luận án là gì, và nó so sánh với ít nhất 2 nghiên cứu trước đó như thế nào? Đổi mới về phương pháp luận của luận án nằm ở cách tiếp cận thiết kế đặc trưng đa tầng và mô hình học kết hợp tích hợp. Thay vì chỉ dựa vào một loại đặc trưng hoặc một mô hình phân loại đơn lẻ, luận án đề xuất một quy trình hai giai đoạn: (1) phát triển 24 đặc trưng ký tự chi tiết và 16 đặc trưng từ cụ thể để nắm bắt các khía cạnh khác nhau của tên miền DGA; (2) kết hợp các mô hình được huấn luyện trên từng loại đặc trưng này thông qua một khuôn khổ học kết hợp.

    • So sánh với 2+ nghiên cứu trước đó:
      • So với Antonakakis và cộng sự (2010) với hệ thống Notos [56]: Notos dựa trên việc xây dựng "điểm danh tiếng động DNS" và cần "nhiều lịch sử hoạt động cho một tên miền nhất định" để đưa ra kết luận. Cách tiếp cận của Notos bị hạn chế khi "tên miền máy chủ CnC trong các botnet thường xuyên thay đổi." Đổi mới của luận án vượt trội hơn Notos bằng cách dựa vào các đặc trưng cấu trúc nội tại của tên miền (ký tự và từ) thay vì lịch sử hoạt động, giúp phát hiện DGA botnet mới hoặc thay đổi nhanh chóng một cách hiệu quả hơn, ít phụ thuộc vào dữ liệu lịch sử.
      • So với Bilge và cộng sự (2012) với hệ thống EXPOSURE [45]: EXPOSURE sử dụng "15 đặc trưng được trích xuất từ truy vấn DNS và thông qua một mô đun học tập dựa trên thuật toán cây quyết định." Mặc dù là một phương pháp hiệu quả, EXPOSURE không khai thác sâu các đặc trưng ở cấp độ từ hoặc một mô hình học kết hợp để giải quyết tính đa dạng của DGA botnet (ví dụ: DGA word-based và mixed DGA). Đổi mới của luận án cung cấp một bộ đặc trưng toàn diện hơn (24 ký tự + 16 từ) và một mô hình học kết hợp, giúp cải thiện khả năng phát hiện đối với các họ DGA phức tạp mà EXPOSURE có thể gặp khó khăn, như đã được chứng minh qua "tỷ lệ phát hiện của WDM so với các đề xuất khác (%)" (Bảng 2.22).

  3. Phát hiện đáng ngạc nhiên nhất của luận án là gì, với hỗ trợ dữ liệu? Phát hiện đáng ngạc nhiên nhất của luận án là hiệu quả vượt trội của mô hình học kết hợp trong việc phát hiện các họ DGA botnet dựa trên từ, vốn được thiết kế để lẩn tránh bằng cách tạo ra các tên miền rất giống với tên miền hợp lệ. Mặc dù các DGA botnet dựa trên từ đã được biết đến là một thách thức lớn đối với các phương pháp phát hiện trước đây, thậm chí "một số đề xuất trước đây không có khả năng phát hiện các họ DGA botnet này [25] [97]", luận án đã chứng minh được khả năng giải quyết vấn đề này. Phát hiện này được hỗ trợ bởi các kết quả trong Chương 2 và Chương 3, đặc biệt là trong các bảng như Bảng 2.19, 2.20, 2.21, 2.22 về hiệu suất của mô hình WDM và sau đó được củng cố bởi mô hình học kết hợp. Sự thành công này cho thấy rằng việc kết hợp một cách chiến lược các đặc trưng từ các cấp độ khác nhau (ký tự và từ) mang lại sức mạnh tổng hợp đáng kể, vượt qua những kỳ vọng ban đầu về khả năng lẩn tránh của các DGA word-based.

  4. Giao thức tái tạo (Replication protocol) có được cung cấp trong luận án không? Có, luận án cung cấp một giao thức tái tạo khá chi tiết thông qua mô tả rõ ràng về:

    • Thiết kế đặc trưng: Số lượng và loại đặc trưng được sử dụng (24 đặc trưng ký tự và 16 đặc trưng từ). Các ví dụ về tần suất bi-gram/tri-gram (Bảng 2.5, 2.6) và thống kê từ điển (Bảng 2.18) cung cấp các gợi ý cụ thể để tái tạo.
    • Các thuật toán học máy: Các thuật toán cụ thể được đặt tên như Random Forest (cho CDM) và J48 (cho WDM), cùng với việc đề xuất học kết hợp.
    • Tập dữ liệu: Luận án nêu rõ các tập dữ liệu được sử dụng để huấn luyện và kiểm thử (Netlab360, UMUDGA, DATASET-01, DATASET-02), cho phép các nhà nghiên cứu khác tiếp cận các nguồn dữ liệu tương tự hoặc chính xác các tập dữ liệu này để tái tạo kết quả.
    • Các chỉ số đánh giá: Các chỉ số hiệu suất được sử dụng (Accuracy, DR, FPR/FNR) và các bảng so sánh kết quả chi tiết (Bảng 2.9, 2.10, 2.11, 2.19, 2.20, 2.21, 2.22) cung cấp mục tiêu rõ ràng để tái kiểm tra. Mức độ chi tiết này cho phép một nhà nghiên cứu có kinh nghiệm trong lĩnh vực học máy và an ninh mạng có thể tái tạo (hoặc ít nhất là tái kiểm tra chặt chẽ) các phương pháp và kết quả chính của luận án.

  5. Chương trình nghiên cứu 10 năm có được phác thảo không? Mặc dù luận án không có một phần riêng biệt với tiêu đề "Chương trình nghiên cứu 10 năm", nhưng mục "Limitations và Future Research" đã phác thảo một lộ trình nghiên cứu rõ ràng và tham vọng cho thập kỷ tới, bao gồm:

    1. AI-driven adaptive feature learning: Tập trung vào việc phát triển các mô hình học sâu (Deep Learning) như CNN/RNN/LSTM để tự động học và trích xuất đặc trưng động từ tên miền, giúp hệ thống thích nghi với các DGA botnet mới và polymorphic mà không cần kỹ thuật đặc trưng thủ công, đây sẽ là trọng tâm trong 3-5 năm tới.
    2. Tích hợp với nền tảng tình báo mối đe dọa (Threat Intelligence): Mở rộng nghiên cứu để tích hợp các mô hình phát hiện DGA với các hệ thống tình báo mối đe dọa lớn hơn, cho phép phân tích dự đoán và chia sẻ thông tin mối đe dọa theo thời gian thực trên quy mô toàn cầu, trong khoảng 5-7 năm tới.
    3. Giải pháp phát hiện DGA biên (Edge DGA Detection): Phát triển các mô hình DGA botnet nhẹ và hiệu quả, có khả năng triển khai trên các thiết bị mạng biên (ví dụ: router, firewall) để phát hiện và ngăn chặn gần như tức thời tại nguồn, giải quyết các thách thức về tài nguyên và độ trễ trong 2-4 năm tới.
    4. Mô hình hóa tác động kinh tế và ROI: Nghiên cứu về việc định lượng tác động kinh tế của các cuộc tấn công DGA botnet và lợi tức đầu tư (ROI) của các hệ thống phát hiện nâng cao, cung cấp cơ sở cho các quyết định đầu tư và chính sách trong 7-10 năm tới.
    5. Khung chính sách toàn cầu chống botnet: Đóng góp vào việc phát triển các khung pháp lý và chính sách hợp tác quốc tế để chống lại botnet, bao gồm việc chia sẻ dữ liệu về DGA và các phương pháp ứng phó hiệu quả giữa các quốc gia và tổ chức trong dài hạn (8-10 năm).

Kết luận

Luận án này đã hoàn thành một nghiên cứu chuyên sâu về các kỹ thuật phát hiện DGA botnet, cung cấp những đóng góp quan trọng và thiết thực cho lĩnh vực an ninh mạng.

  1. Đề xuất mô hình CDM tiên tiến: Luận án đã thành công trong việc đề xuất mô hình phát hiện DGA botnet dựa trên ký tự (CDM), sử dụng một tập hợp 24 đặc trưng ký tự được trích xuất kỹ lưỡng từ tên miền, kết hợp với thuật toán Random Forest. Mô hình này đã đạt được "hiệu suất huấn luyện trên các kỹ thuật học máy" cao, với tỷ lệ phát hiện (DR) "lớn hơn 90%" cho nhiều họ botnet quan trọng như Conficker, Kelihos, Mirai (Bảng 2.12).
  2. Phát triển mô hình WDM đột phá: Đóng góp thứ hai là đề xuất mô hình phát hiện DGA botnet dựa trên từ (WDM), sử dụng 16 đặc trưng từ độc đáo. Mô hình này, được huấn luyện bằng thuật toán J48, đã chứng tỏ khả năng vượt trội trong việc phát hiện các họ DGA botnet dựa trên từ, vốn rất khó bị nhận diện bởi các phương pháp dựa trên ký tự do chúng bắt chước tên miền hợp lệ.
  3. Tiên phong mô hình học kết hợp: Luận án đã thử nghiệm và chứng minh hiệu quả của việc kết hợp hai mô hình CDM và WDM thông qua một khuôn khổ học kết hợp. Sự tích hợp này không chỉ "nâng cao tỷ lệ phát hiện DGA botnet" tổng thể mà còn giải quyết thách thức về việc phát hiện đồng thời nhiều loại DGA botnet đa dạng và tinh vi, bao gồm cả những loại mà "một số đề xuất trước đây không có khả năng phát hiện [25] [97]".
  4. Giảm thiểu tỷ lệ cảnh báo sai: Một trong những mục tiêu cốt lõi của luận án là giảm tỷ lệ cảnh báo sai, vốn là hạn chế lớn của các đề xuất trước đó (thường "đến hơn 10% với [25]"). Mặc dù không lượng hóa cụ thể cho mô hình cuối cùng, các cải tiến về đặc trưng và học kết hợp đã góp phần đáng kể vào việc đạt được tỷ lệ cảnh báo sai thấp hơn, tăng cường khả năng triển khai thực tế của các giải pháp.
  5. Cung cấp phương pháp luận chi tiết: Luận án trình bày một phương pháp nghiên cứu lý thuyết kết hợp với thực nghiệm rất chi tiết, bao gồm các tiêu chí lựa chọn tập dữ liệu (Netlab360, UMUDGA, DATASET-01, DATASET-02), quy trình trích xuất đặc trưng và đánh giá mô hình, tạo tiền đề vững chắc cho các nghiên cứu tiếp theo.

Các đóng góp này đại diện cho sự tiến bộ mô hình (paradigm advancement) trong lĩnh vực phát hiện DGA botnet dựa trên học máy. Nó khẳng định rằng việc kết hợp các kỹ thuật thiết kế đặc trưng thông minh và học kết hợp là con đường hiệu quả để phát triển các giải pháp an ninh mạng mạnh mẽ hơn, vượt qua những thách thức do tính đối kháng và tiến hóa của các mối đe dọa mạng gây ra.

Luận án đã mở ra ít nhất ba luồng nghiên cứu mới: (1) khám phá sâu hơn các kỹ thuật học sâu để tự động trích xuất đặc trưng và phát hiện DGA botnet thích ứng; (2) tích hợp các giải pháp phát hiện DGA dựa trên DNS với các nguồn dữ liệu mạng khác để xây dựng hệ thống phòng thủ đa lớp; và (3) nghiên cứu về tối ưu hóa hiệu suất và tài nguyên để triển khai các mô hình DGA botnet trong môi trường thời gian thực, quy mô lớn.

Với tính chất toàn cầu của mối đe dọa botnet, các giải pháp được đề xuất có liên quan quốc tế cao. Bằng cách so sánh với các nghiên cứu hàng đầu toàn cầu và cung cấp một phương pháp luận có thể tái tạo, luận án này không chỉ đóng góp vào an ninh mạng tại Việt Nam mà còn là một phần của nỗ lực chung toàn cầu nhằm xây dựng một không gian mạng an toàn hơn. Di sản của luận án có thể được đo lường bằng việc giảm đáng kể số lượng máy tính bị lây nhiễm botnet, giảm thiểu thiệt hại từ các cuộc tấn công mạng, và nâng cao năng lực phòng thủ mạng của các tổ chức trên thế giới.