Luận án tiến sĩ - Nghiên cứu xây dựng hệ thống V-Sandbox trong phân tích và phát hiện mã độc IoT Botnet

BỘ GIÁO DỤC VÀ ĐÀO TẠO VIỆN HÀN LÂM KHOA HỌC VÀ CÔNG NGHỆ VIỆT NAM HỌC VIỆN KHOA HỌC VÀ CÔNG NGHỆ ----------------------------- LÊ HẢI VIỆT NGHIÊN CỨU XÂY DỰNG HỆ THỐNG V-SANDBOX TRONG PHÂN TÍCH VÀ PHÁT HIỆN MÃ ĐỘC IOT BOTNET LUẬN ÁN TIẾN SĨ NGÀNH MÁY TÍNH HÀ NỘI – 2022 VIỆN HÀN LÂM KHOA BỘ GIÁO DỤC VÀ ĐÀO TẠO HỌC VÀ CÔNG NGHỆ VIỆT NAM HỌC VIỆN KHOA HỌC VÀ CÔNG NGHỆ ----------------------------- Lê Hải Việt NGHIÊN CỨU XÂY DỰNG HỆ THỐNG V-SANDBOX TRONG PHÂN TÍCH VÀ PHÁT HIỆN MÃ ĐỘC IOT BOTNET Chuyên ngành: Hệ thống thông tin Mã số: 9 48 01 04 LUẬN ÁN TIẾN SĨ NGÀNH MÁY TÍNH NGƯỜI HƯỚNG DẪN KHOA HỌC: 1. Ngô Quốc Dũng 2. Vũ Đức Thi Hà Nội – Năm 2022 LỜI CAM ĐOAN Tôi xin cam đoan Luận án Tiến sĩ với tiêu đề “Nghiên cứu xây dựng hệ thống V- Sandbox trong phân tích và phát hiện mã độc IoT Botnet” là một công trình nghiên cứu của riêng tôi, dưới sự hướng dẫn khoa học của TS. Ngô Quốc Dũng và GS.

Vũ Đức Thi, trừ những kiến thức tham khảo từ các tài liệu liên quan ở trong nước và quốc tế đã được trích dẫn trong luận án. Các kết quả, số liệu được trình bày trong luận án là hoàn toàn trung thực, một phần kết quả đã được công bố trên các Tạp chí và Kỷ yếu Hội thảo khoa học chuyên ngành (tại Danh mục công trình của tác giả), phần còn lại chưa từng được công bố trong bất kỳ công trình nào khác. Hà Nội, Ngày tháng Năm 2022 Tác giả luận án LỜI CẢM ƠN Luận án này được nghiên cứu sinh (NCS) thực hiện trong quá trình học tập Tiến sĩ tại Học viện Khoa học và Công nghệ thuộc Viện Hàn lâm Khoa học và Công nghệ Việt Nam. Tại đây, NCS đã được các thầy, cô trong Học viện Khoa học và Công nghệ, Viện Công nghệ thông tin chỉ dạy và trang bị những kiến thức nền tảng cần thiết trong suốt quá trình thực hiện luận án, đồng thời NCS có cơ hội tiếp xúc chuyên sâu về lĩnh vực mới và cấp thiết trong an toàn thông tin liên quan tới phát hiện mã độc nói chung và mã độc Botnet nói riêng trên các thiết bị IoT dân sự.

Trước hết, xin trân trọng cảm ơn hai Thầy đã hướng dẫn nghiên cứu sinh là TS. Ngô Quốc Dũng và GS. Vũ Đức Thi, các Thầy đã tận tình hướng dẫn nghiên cứu sinh trong quá trình nghiên cứu cũng như hoàn thành luận án. Tiếp đó, NCS muốn gửi lời cảm ơn tới TS.

Trần Nghi Phú, người đồng nghiệp và là người anh cả gợi mở các ý tưởng cho phương phướng phát triển nghiên cứu khoa học của NCS. Bên cạnh đó, NCS cũng muốn gửi lời cảm ơn chân thành đến các cộng sự TS. Nguyễn Huy Trung, Lê Văn Hoàng, Nguyễn Doãn Hiếu, Lương Đức Tuấn Đạt đã có nhiều hỗ trợ và giúp đỡ NCS trong quá trình thực hiện luận án. NCS xin gửi lời cảm ơn tới Ban Giám đốc, Lãnh đạo Khoa An ninh thông tin và các Phòng ban liên quan của Học viện An ninh nhân dân đã tạo điều kiện để NCS có thể tập trung nghiên cứu và thực hiện luận án này.

Cuối cùng, NCS xin gửi lời cảm ơn chân thành đến gia đình, luôn luôn là nguồn động lực phấn đấu, khuyến khích và động viên NCS trong quá trình thực hiện luận án. Luận án này có một phần đóng góp to lớn của sự ủng hộ, động viên và giúp đỡ của gia đình. Xin chân thành cảm ơn! MỤC LỤC LỜI CAM ĐOAN i LỜI CẢM ƠN iv MỤC LỤC v DANH MỤC CÁC KÝ HIỆU, CÁC CHỮ VIẾT TẮT ix DANH MỤC CÁC BẢNG x DANH MỤC CÁC HÌNH VẼ, ĐỒ THỊ xi MỞ ĐẦU 1 1. Tính cấp thiết của luận án 1 2.

Mục tiêu nghiên cứu của luận án 2 3. Đối tượng và phạm vi nghiên cứu 2 3. Đối tượng nghiên cứu 2 3. Phạm vi nghiên cứu 3 4.

Nội dung và phương pháp nghiên cứu 3 4. Nội dung nghiên cứu 3 4. Phương pháp nghiên cứu 4 4. Nghiên cứu lý thuyết 4 4.

Nghiên cứu thực nghiệm 4 5. Các đóng góp chính của luận án 5 6. Bố cục của luận án 5 CHƯƠNG 1. TỔNG QUAN VỀ THIẾT BỊ IOT VÀ MÃ ĐỘC IOT BOTNET 7 1.

Tổng quan về thiết bị IoT 7 1. Khái niệm thiết bị IoT 7 1. Phân loại thiết bị IoT 9 1. Các vấn đề bảo mật tồn tại trên thiết bị IoT hạn chế tài nguyên 11 1.

Tổng quan về mã độc IoT Botnet 12 1. Khái niệm mã độc IoT Botnet 12 1. Đặc điểm của mã độc IoT Botnet 14 1. Quy trình phát hiện mã độc IoT Botnet 19 1.

Thu thập dữ liệu 23 1. Tiền xử lý dữ liệu 30 1. Tiền xử lý dữ liệu luồng mạng 30 1. Tiền xử lý dữ liệu lời gọi hệ thống 33 1.

Tiền xử lý dữ liệu tương tác với tài nguyên của hệ thống 39 1. Phân tích và phát hiện 41 1. Ứng dụng học máy trong phát hiện mã độc IoT Botnet 41 1.2 Ứng dụng học sâu trong phát hiện mã độc IoT Botnet 43 1. Kết luận Chương 1 45 CHƯƠNG 2.

XÂY DỰNG MÔI TRƯỜNG SANDBOX THU THẬP HIỆU QUẢ DỮ LIỆU HÀNH VI CỦA MÃ ĐỘC IOT BOTNET 47 2. Phát biểu bài toán 47 2. Kiến trúc tổng quan mô hình đề xuất 48 2. Các thành phần chính 50 2.

Trích xuất thông tin thuộc tính cơ bản của ELF (EME) 50 2. Sinh cấu hình hoạt động Sandbox (SCG) 53 2. Môi trường Sandbox (SE) 54 2. Tiền xử lý dữ liệu thô thu thập được (RDP) 57 2.

Tính toán khả năng thực thi lại Sandbox (SR) 58 2. Giả lập máy chủ C&C (C&C simulator) 59 2. Cơ sở dữ liệu thư viện liên kết động (Share Object DB) 60 2. Sinh báo cáo tự động (Report) 61 2.

Thử nghiệm và đánh giá 61 2. Bộ dữ liệu thử nghiệm 61 2. Triển khai thử nghiệm 62 2. Kết quả kiểm nghiệm V-Sandbox 63 2.

So sánh hiệu quả V-Sandbox với các IoT Sandbox khác 66 2. Kết luận Chương 2 69 CHƯƠNG 3. ĐẶC TRƯNG ĐỒ THỊ LỜI GỌI HỆ THỐNG CÓ HƯỚNG TRONG PHÁT HIỆN MÃ ĐỘC IOT BOTNET 71 3. Phát biểu bài toán 71 3.

Lựa chọn nguồn dữ liệu động phục vụ tiền xử lý và phân tích 71 3. Bài toán xây dựng đặc trưng từ lời gọi hệ thống 72 3. Sơ đồ và ý tưởng phương pháp đề xuất 73 3. Đồ thị lời gỌi hệ thống có hướng DSCG 75 3.

Khái niệm đồ thị lời gọi hệ thống có hướng DSCG 75 3. Xây dựng đồ thị lời gọi hệ thống có hướng DSCG 76 3. Tiền xử lý dữ liệu đồ thị DSCG 79 3. Thực nghiệm và đánh giá 81 3.

Bộ dữ liệu thực nghiệm 81 3. Triển khai thử nghiệm 82 3. Các chỉ số đánh giá 84 3. Kết quả thử nghiệm và đánh giá 85 3.

Kết luận Chương 3 88 CHƯƠNG 4. MÔ HÌNH HỌC MÁY CỘNG TÁC PHÁT HIỆN SỚM MÃ ĐỘC IOT BOTNET 90 4. Phát biểu bài toán 90 4. Vấn đề phát hiện sớm mã độc IoT Botnet 90 4.

Mô hình học máy cộng tác trong phát hiện sớm mã độc 91 4. Khảo sát và đánh giá các nghiên cứu liên quan 93 4. Mô hình học máy cộng tác trong phát hiện mã độc 93 4. Các mô hình phát hiện sớm trong nghiên cứu mã độc 95 4.

Bài toán phát hiện sớm mã độc IoT Botnet 98 4. Mô hình đề xuất 98 4. Kiến trúc tổng quan 98 4. Môi trường Sandbox (SC) 100 4.

Tiền xử lý dữ liệu (PPDC) 100 4. Chuẩn hóa dữ liệu tiền xử lý (DNC) 103 4. Trích chọn đặc trưng phù hợp 104 4. Bộ phân lớp học máy (MLC) 105 4.

Hàm hợp nhất (FC) 105 4. Thực nghiệm và đánh giá 106 4. Tập mẫu thực nghiệm 106 4. Triển khai thử nghiệm 106 4.

Kết quả thử nghiệm 107 4. Đánh giá kết quả thử nghiệm 112 4. Kết luận Chương 4 113 KẾT LUẬN 114 DANH MỤC CÔNG TRÌNH CỦA TÁC GIẢ 117 TÀI LIỆU THAM KHẢO 119 DANH MỤC CÁC KÝ HIỆU, CÁC CHỮ VIẾT TẮT Ký hiệu, chữ Từ nguyên gốc Nghĩa tiếng Việt đầy đủ viết tắt IoT Internet of Things Vạn vật kết nối Internet Linux Executable and Định dạng tệp tin thực thi và liên ELF Linkable Format kết động trong Linux DSCG Directed System Call Graph Đồ thị lời gọi hệ thống có hướng Cơ quan chuyên trách về công nghệ International ITU thông tin và truyền thông của Liên Telecommunication hiệp quốc Union Supervisory Control And Hệ thống giám sát và điều khiển SCADA Data Acquisition tập trung P2P Peer to Peer network Mạng ngang hàng Distributed Denial of Tấn công từ chối dịch vụ phân tán DDoS Service attack CPU Central Processing Unit Bộ xử lý trung tâm C&C Command and Control server Máy chủ ra lệnh và điều khiển server KNN K-nearest neighbors Thuật toán K điểm gần nhất SVM Support vector machines Thuật toán học máy vector hỗ trợ DT Decision Tree Thuật toán cây quyết định FR Random Forest Thuật toán rừng cây ngẫu nhiên DANH MỤC CÁC BẢNG Bảng 1.1 So sánh đặc điểm Botnet truyền thống và IoT Botnet 15 Bảng 1.2 So sánh đặc điểm các phương pháp phát hiện mã độc IoT Botnet 22 Bảng 1.3 Các nguồn dữ liệu động được thu thập cho phát hiện mã độc IoT Botnet 26 Bảng 1.4 Tóm tắt chức năng các IoT Sandbox 29 Bảng 1.5 So sánh đặc điểm các IoT Sandbox hiện có 30 Bảng 1.6 Các nghiên cứu liên quan sử dụng đồ thị lời gọi hệ thống 36 Bảng 2.1 Các tham số cấu hình mặc định cho SE 53 Bảng 2.2 Thống kê kết quả chạy V-Sandbox 63 Bảng 2.3 Thống kê kết quả chạy LiSa Sandbox 67 Bảng 2.4 So sánh các chức năng của các IoT Sandbox 67 Bảng 2.5 Các mẫu được lựa chọn ngẫu nhiên từ dataset 67 Bảng 2.6 Kết quả so sánh giữa LiSa, Cuckoo và V-Sandbox 68 Bảng 3.1 Mô tả chi tiết về Dataset 81 Bảng 3.2 Các tham số mô hình học máy được điều chỉnh 82 Bảng 3.3 Kịch bản phân chia tập dữ liệu thử nghiệm 84 Bảng 3.4 Giá trị các chỉ số đánh giá mô hình đề xuất 86 Bảng 3.5 So sánh mô hình đề xuất và các nghiên cứu liên quan 88 Bảng 4.1 Khảo sát các nghiên cứu về phát hiện sớm mã độc 97 Bảng 4.2 Mô tả chi tiết về Dataset 106 Bảng 4.3 Các tham số thuật toán học máy được sử dụng 107 Bảng 4.4 Độ chính xác các mô hình học máy đơn lẻ huấn luyện trên Dataset 109 Bảng 4.5 Các mô hình học máy sau khi tối ưu trên Dataset 109 Bảng 4.6 Kết quả thử nghiệm với các mẫu nằm ngoài Dataset 111 Bảng 4.7 So sánh với các nghiên cứu liên quan 112 DANH MỤC CÁC HÌNH VẼ, ĐỒ THỊ Hình 1.1 Số lượng các thiết bị được kích hoạt trên toàn cầu 8 Hình 1.