Tổng quan về luận án

Trong bối cảnh khoa học hiện đại, khi Internet trở thành hạ tầng thiết yếu toàn cầu, các cuộc tấn công mạng ngày càng gia tăng về số lượng, độ tinh vi và mức độ nguy hiểm, đặt ra thách thức nghiêm trọng đối với an ninh mạng và an toàn dữ liệu. Các Hệ thống Phát hiện Xâm nhập Mạng (NIDS) đóng vai trò then chốt trong việc bảo vệ cơ sở hạ tầng số. Tuy nhiên, các NIDS hiện tại vẫn phải đối mặt với những hạn chế cố hữu, bao gồm "độ chính xác thấp, tỷ lệ cảnh báo sai cao và khả năng phát hiện các tấn công mới còn hạn chế" (Trích tóm tắt luận án, trang 1). Luận án này tiên phong giải quyết những thách thức đó bằng cách đề xuất một khuôn khổ toàn diện, tích hợp các kỹ thuật học máy phối hợp và tiền xử lý dữ liệu cải tiến, nhằm nâng cao đáng kể chất lượng phân lớp của NIDS.

Research gap cụ thể được luận án chỉ ra dựa trên ba thực tế quan trọng:

  1. Dữ liệu mất cân bằng lớp nghiêm trọng: Các tập dữ liệu huấn luyện cho NIDS thường có "nhiều dữ liệu mất cân bằng lớp" (Trích tóm tắt luận án, trang 1), nơi các bản ghi tấn công (lớp thiểu số) chiếm tỷ lệ rất nhỏ so với dữ liệu bình thường (lớp đa số). Điều này làm cho các thuật toán học máy truyền thống khó học được đặc trưng của các lớp tấn công hiếm gặp, dẫn đến bỏ sót và tỷ lệ dương tính giả cao.
  2. Sự hiện diện của các thuộc tính không liên quan: "Các thuật toán học máy có thể sử dụng tất cả các thuộc tính thực sự không liên quan đến mục tiêu phân lớp" (Trích tóm tắt luận án, trang 1), điều này không chỉ làm giảm chất lượng phân lớp mà còn tăng thời gian tính toán đáng kể, đặc biệt với dữ liệu mạng lớn.
  3. Tiềm năng chưa khai thác của học máy phối hợp: Mặc dù "các bộ phân lớp phối hợp đều vượt trội so với các bộ phân lớp đơn về độ chính xác phân lớp" (Trích tóm tắt luận án, trang 1), nhưng việc tối ưu hóa các bộ phân lớp này thông qua tiền xử lý dữ liệu tiên tiến trong bối cảnh NIDS vẫn còn là một lĩnh vực cần nghiên cứu sâu hơn.

Để giải quyết các khoảng trống này, luận án đề ra các câu hỏi nghiên cứu và giả thuyết sau:

  • RQ1: Làm thế nào để phát triển các thuật toán lựa chọn thuộc tính mới nhằm loại bỏ hiệu quả các thuộc tính không liên quan và dư thừa trong dữ liệu NIDS, từ đó nâng cao độ chính xác phân lớp và giảm thời gian tính toán?
    • H1: Các thuật toán lựa chọn thuộc tính cải tiến (mFFC và mBFE) sẽ vượt trội so với các thuật toán FFC và BFE truyền thống trong việc tối ưu hóa tập thuộc tính cho NIDS, dẫn đến cải thiện F-Measure và giảm thời gian huấn luyện.
  • RQ2: Làm thế nào để cải thiện các kỹ thuật lấy mẫu lại dữ liệu để giải quyết vấn đề mất cân bằng lớp trong các tập dữ liệu huấn luyện NIDS, đặc biệt đối với các kiểu tấn công hiếm gặp?
    • H2: Các kỹ thuật tăng mẫu và giảm mẫu cải tiến sẽ cân bằng hiệu quả hơn các tập dữ liệu NIDS, giúp các mô hình phân lớp đạt được độ nhạy và F-Measure cao hơn đối với các lớp tấn công thiểu số.
  • RQ3: Việc tích hợp các kỹ thuật học máy phối hợp với các giải pháp tiền xử lý dữ liệu cải tiến (lựa chọn thuộc tính và lấy mẫu lại) có mang lại chất lượng phân lớp vượt trội cho NIDS so với các phương pháp hiện có không?
    • H3: Mô hình NIDS được xây dựng bằng cách kết hợp các giải pháp tiền xử lý đề xuất với các thuật toán học máy phối hợp sẽ đạt được hiệu suất tổng thể cao hơn (độ chính xác, F-Measure cao hơn, tỷ lệ cảnh báo sai thấp hơn) so với các bộ phân lớp đơn lẻ và các hệ thống dựa trên học máy phối hợp khác mà không có tiền xử lý tối ưu.

Khuôn khổ lý thuyết của luận án được xây dựng dựa trên sự giao thoa của ba lĩnh vực chính: Lý thuyết Học máy Phối hợp (Ensemble Learning Theory) của Breiman (1996) và Wolpert (1992), Lý thuyết Lựa chọn Thuộc tính (Feature Selection Theory) như các phương pháp Filter, Wrapper, Embedded (Chương 2.1.1, trang 10) và Lý thuyết Xử lý Dữ liệu Mất cân bằng (Imbalanced Data Learning Theory) của Chawla et al. (2002). Luận án mở rộng các lý thuyết này bằng cách đề xuất các cải tiến cụ thể cho thuật toán và chứng minh sự hiệp đồng của chúng trong môi trường an ninh mạng đầy thách thức.

Luận án mang đến các đóng góp đột phá với tác động định lượng rõ ràng:

  1. Đề xuất 2 thuật toán lựa chọn thuộc tính mới: mFFC và mBFE, cải tiến từ các thuật toán FFC và BFE đã biết (Chương 1.7). Các thuật toán này giúp "loại bỏ các thuộc tính không liên quan và dư thừa, nhờ đó giảm thời gian huấn luyện và kiểm tra bộ phân lớp, đồng thời nâng cao độ chính xác, giảm tỷ lệ cảnh báo sai [CT2], [CT3], [CT5]" (Chương 1.7). Mức độ cải thiện F-Measure được minh họa cụ thể trong Hình 3.48 (trang 85).
  2. Cải tiến kỹ thuật tăng mẫu và giảm mẫu: Các kỹ thuật này nhằm xử lý nguồn dữ liệu mất cân bằng cố hữu trong NIDS (Chương 1.7), từ đó "cải thiện chất lượng phân lớp của hệ thống." Tác động định lượng được thể hiện qua "Mức độ cải thiện chỉ số đánh giá F-Measure của kỹ thuật tăng mẫu đề xuất" (Hình 4.10, trang 106) và "Mức độ cải thiện chỉ số đánh giá F-Measure của kỹ thuật giảm mẫu đề xuất" (Hình 4.19, trang 117).
  3. Xây dựng mô hình phân lớp lai tối ưu: Tích hợp tiền xử lý cải tiến với các kỹ thuật học máy phối hợp đồng nhất (Bagging, Boosting, Stacking, Decorate) và không đồng nhất (Voting, Stacking, Random Forest - RF) (Trích tóm tắt luận án, trang 1). "Kết quả thử nghiệm trên các tập dữ liệu huấn luyện và kiểm tra đầy đủ của tập dữ liệu UNSW-NB15 cho thấy, các giải pháp đề xuất đã cải thiện chất lượng phân lớp của các NIDS" (Trích tóm tắt luận án, trang 1).
  4. Kiểm định thực nghiệm toàn diện: Trên bộ dữ liệu UNSW-NB15, được tạo bởi Trung tâm An ninh mạng của Úc (ACCS) sử dụng công cụ IXIA PerfectStorm (Chương 2.4, Hình 2.9, trang 29), với 41 thuộc tính và 9 kiểu tấn công đa dạng (Fuzzers, Backdoor, DoS, Exploit, Generic, Reconnaissance, Shellcode, Worms). Các kết quả này được so sánh với các nghiên cứu gần đây (Bảng 5.24 và Bảng 5.25, trang 148), cho thấy sự vượt trội về độ chính xác và độ nhạy.

Phạm vi nghiên cứu của luận án tập trung vào các hệ thống phát hiện xâm nhập mạng dựa trên bất thường (NIDS) sử dụng kỹ thuật học máy có giám sát. Nghiên cứu sử dụng tập dữ liệu UNSW-NB15 toàn diện cho huấn luyện và kiểm thử. Ý nghĩa của nghiên cứu là cung cấp các giải pháp tiên tiến, thực tiễn để nâng cao khả năng phát hiện tấn công mạng, giúp "các nhà quản trị mạng ở các cơ quan, doanh nghiệp có được cảnh báo sớm một cách nhanh chóng và hiệu quả" (Chương 1.6.2, trang 7).

Literature Review và Positioning

Luận án thực hiện tổng hợp sâu rộng các luồng nghiên cứu chính trong lĩnh vực Phát hiện Xâm nhập Mạng (NIDS) và Học máy. Bối cảnh khoa học hiện đại chứng kiến sự gia tăng theo cấp số nhân của quy mô mạng và dữ liệu (Chương 1.2, trang 5), kéo theo sự xuất hiện của nhiều cuộc tấn công mới, tinh vi hơn. Các NIDS, mặc dù được nghiên cứu rộng rãi, vẫn đối mặt với "những thách thức trong việc cải thiện độ chính xác, giảm tỷ lệ cảnh báo sai và phát hiện được các tấn công mới" (Chương 1.2, trang 5).

Các nghiên cứu trước đây đã áp dụng học máy để nâng cao khả năng phát hiện bất thường trong NIDS (Trích tóm tắt luận án, trang 1). Tuy nhiên, Khraisat và cộng sự (2019) [3] trong khảo sát chi tiết của họ, đã chỉ ra rằng các cách tiếp cận này vẫn còn "tồn tại các thách thức trong việc tạo và cập nhật thông tin về các cuộc tấn công mới, cũng như giảm tỷ lệ cảnh báo sai và tăng độ chính xác phát hiện." Luận án này định vị chính nó bằng cách trực tiếp giải quyết những hạn chế được Khraisat et al. nêu bật, đặc biệt tập trung vào giai đoạn tiền xử lý dữ liệu và tích hợp học máy phối hợp.

Một điểm tranh luận quan trọng trong literature review là sự phù hợp của các tập dữ liệu NIDS truyền thống. A. Erdem (2023) [23] đã phê phán rằng nhiều nhà nghiên cứu vẫn dựa vào các tập dữ liệu lỗi thời như KDDCup99 và NSL-KDD, vốn không đại diện cho cơ sở hạ tầng mạng hiện tại hay các mối đe dọa đương đại. KDDCup99, phát triển từ năm 1999 (Chương 2.4, trang 28), có các nhược điểm như thu thập dữ liệu bằng TCPdump dễ quá tải và sự không nhất quán về nhãn tấn công (Chương 2.4, trang 29). NSL-KDD (2009) dù cải tiến nhưng vẫn kế thừa hạn chế cơ bản. Luận án này giải quyết tranh cãi đó bằng cách sử dụng bộ dữ liệu UNSW-NB15, một bộ dữ liệu hiện đại hơn được tạo ra bởi Trung tâm An ninh mạng của Úc (ACCS) vào năm 2015, sử dụng công cụ IXIA PerfectStorm để mô phỏng các cuộc tấn công đương đại (Chương 2.4, Hình 2.9, trang 29). Điều này đảm bảo rằng các kết quả nghiên cứu phản ánh chính xác hiệu suất trong môi trường mạng hiện đại, tránh được "độ chính xác cao đang được xem là quá cường điệu" (Chương 2.4, trang 28) do sử dụng dữ liệu lỗi thời.

Về phương pháp luận, luận án tổng hợp các luồng chính như lựa chọn thuộc tính (FFC, BFE từ Chương 2.1.2), lấy mẫu lại dữ liệu (SMOTE của Chawla et al. (2002), ADASYN, Borderline-SMOTE, Tomek Link của Kubat và Matwin (1997), NCR, ENN từ Chương 2.2) và kỹ thuật học máy phối hợp (Bagging của Breiman (1996), Boosting, Stacking của Wolpert (1992), Random Forest của Breiman (2001), Decorate từ Chương 2.3.1). Luận án đặc biệt lưu ý đến các phương pháp này trong việc giải quyết các thách thức của NIDS.

Luận án định vị nghiên cứu của mình trong literature bằng cách xác định rõ khoảng trống: trong khi các kỹ thuật học máy phối hợp đã được chứng minh hiệu quả, sự kết hợp tối ưu giữa chúng với tiền xử lý dữ liệu hiệu quả (lựa chọn thuộc tính và lấy mẫu lại) để giải quyết các vấn đề như dữ liệu mất cân bằng và thuộc tính không liên quan trong NIDS vẫn còn là một lĩnh vực chưa được khai thác triệt để. Các nghiên cứu liên quan về học máy cho IDS thường tập trung vào một khía cạnh (ví dụ, chỉ lựa chọn thuộc tính hoặc chỉ lấy mẫu lại) hoặc sử dụng các mô hình học máy phối hợp cơ bản mà không tối ưu hóa các đặc tính dữ liệu đầu vào.

Nghiên cứu này nâng cao lĩnh vực này thông qua các đóng góp cụ thể:

  1. Cải tiến thuật toán lựa chọn thuộc tính: Luận án đề xuất mFFC và mBFE, cải thiện đáng kể so với các thuật toán FFC và BFE truyền thống được thảo luận trong Chương 2.1.2. Ví dụ, mBFE-IG (sử dụng Information Gain) được so sánh với các thuật toán khác trên kiểu tấn công Worms (Bảng 3.4, trang 68), cho thấy hiệu suất vượt trội. Tương tự, mFFC được phát triển để tối ưu hóa quá trình xây dựng thuộc tính (Chương 3.1.3).
  2. Cải tiến kỹ thuật lấy mẫu lại: Các cải tiến đối với SMOTE (Chawla et al., 2002) và Tomek Link (Kubat và Matwin, 1997) trong Chương 4.1.1 và Chương 4.1.2 đã được chứng minh là hiệu quả hơn trong việc cân bằng dữ liệu mất cân bằng lớp so với các phương pháp tiêu chuẩn. Các bảng 4.1 đến 4.15 trong Chương 4 cung cấp bằng chứng thực nghiệm về điều này.
  3. Hệ thống tích hợp và đánh giá toàn diện: Luận án không chỉ đề xuất các kỹ thuật riêng lẻ mà còn tích hợp chúng thành một quy trình làm việc mạch lạc, sau đó đánh giá hiệu suất của các mô hình học máy phối hợp (Bagging, Boosting, Stacking, Decorate, Voting, RF) trên 9 loại tấn công mạng khác nhau trên UNSW-NB15.

So sánh với ít nhất hai nghiên cứu quốc tế khác:

  • Trong khi Almuallim và Dietterich (1991) đã giới thiệu thuật toán Focus và Liu (1998) đã phát triển AAB cho lựa chọn thuộc tính (Chương 2.1.2), các thuật toán mFFC và mBFE được đề xuất trong luận án này tập trung vào việc tối ưu hóa các tiêu chí đo lường (như độ lợi thông tin - Information Gain, tỷ suất lợi ích - Gain Ratio, hệ số tương quan - Correlation Attribute) để phù hợp hơn với đặc điểm dữ liệu NIDS (Chương 3.1.1), dẫn đến "mức độ cải thiện F-Measure" (Hình 3.48, trang 85) mà các phương pháp chung có thể bỏ qua.
  • Đối với các mô hình học máy phối hợp, Breiman (2001) đã phát triển Random Forest [21] và Wolpert (1992) đã giới thiệu Stacking [19]. Luận án này không chỉ áp dụng mà còn tối ưu hóa việc sử dụng chúng bằng cách tích hợp chặt chẽ với các bước tiền xử lý cải tiến. Bảng 5.24 và Bảng 5.25 (trang 148) minh chứng sự vượt trội về chỉ số Accuracy và Sensitivity của mô hình lai đề xuất so với "một số nghiên cứu gần đây", bao gồm cả các nghiên cứu quốc tế sử dụng các phương pháp tương tự nhưng có thể chưa tối ưu hóa toàn diện tiền xử lý.

Đóng góp lý thuyết và khung phân tích

Đóng góp cho lý thuyết

Luận án này mang đến những đóng góp đáng kể cho lý thuyết bằng cách không chỉ áp dụng mà còn mở rộng và thách thức các lý thuyết học máy hiện có trong bối cảnh NIDS. Các lý thuyết cụ thể được mở rộng/thách thức bao gồm:

  • Lý thuyết lựa chọn thuộc tính: Luận án mở rộng lý thuyết lựa chọn thuộc tính bằng cách đề xuất các thuật toán cải tiến FFC (Forward Feature Construction) và BFE (Backward Feature Elimination), đặt tên là mFFC (Modified FFC) và mBFE (Modified BFE) (Chương 1.7; Chương 3.1.3; Chương 3.1.4). Các thuật toán này vượt ra ngoài các tiêu chuẩn lựa chọn thuộc tính truyền thống (như đo lường thông tin, khoảng cách, hoặc phụ thuộc từ Chương 2.1.1, b) để tích hợp một cách tối ưu với các chỉ số như Information Gain (IG), Gain Ratio (GR), và Correlation Attribute (CA) nhằm "tìm các thuộc tính quan trọng đối với kết quả phân lớp" (Chương 1.7). Điều này thách thức quan điểm rằng các phương pháp lựa chọn thuộc tính chung là đủ, thay vào đó chứng minh nhu cầu về các phương pháp được điều chỉnh theo domain cụ thể để đạt hiệu suất tối đa.
  • Lý thuyết xử lý dữ liệu mất cân bằng: Luận án cải tiến các kỹ thuật tăng mẫu (oversampling) và giảm mẫu (undersampling) (Chương 1.7; Chương 4.1.1; Chương 4.1.2) vốn dựa trên các phương pháp như SMOTE (Chawla et al., 2002), ADASYN (He et al., 2008), Borderline-SMOTE (Han et al., 2005), và Tomek Link (Kubat và Matwin, 1997). Bằng cách tùy chỉnh các kỹ thuật này để "xử lý nguồn dữ liệu mất cân bằng vốn có trong các IDS" (Chương 1.7), luận án cung cấp một hiểu biết sâu sắc hơn về cách cân bằng dữ liệu có thể được tối ưu hóa cho các lớp thiểu số cực đoan, như các kiểu tấn công mạng hiếm gặp, nơi các phương pháp tiêu chuẩn có thể không đủ hiệu quả. Điều này thách thức các giả định về khả năng tổng quát hóa của các kỹ thuật resampling mà không cần điều chỉnh theo ngữ cảnh.
  • Lý thuyết học máy phối hợp: Mặc dù các kỹ thuật Bagging (Breiman, 1996), Boosting, Stacking (Wolpert, 1992) và Random Forest (Breiman, 2001) đã được thiết lập vững chắc (Chương 2.3.1), luận án mở rộng lý thuyết này bằng cách chứng minh sự hiệp đồng chưa từng có của chúng khi được tích hợp với một quy trình tiền xử lý dữ liệu được tối ưu hóa. Luận án khẳng định lại rằng "Các bộ phân lớp phối hợp đều vượt trội so với các bộ phân lớp đơn về độ chính xác phân lớp" (Trích tóm tắt luận án, trang 1), nhưng đi xa hơn bằng cách chỉ ra rằng sự vượt trội này được khuếch đại đáng kể thông qua tiền xử lý dữ liệu phù hợp, một khía cạnh thường bị đánh giá thấp trong các nghiên cứu học máy phối hợp chung.

Khuôn khổ khái niệm (Conceptual Framework) của luận án đề xuất một mô hình NIDS đa giai đoạn, bao gồm các thành phần và mối quan hệ sau:

  1. Dữ liệu mạng thô (Raw Network Data): Đầu vào ban đầu, thường chứa nhiều thuộc tính và dữ liệu mất cân bằng lớp (Chương 1.2).
  2. Giai đoạn Tiền xử lý dữ liệu nâng cao (Advanced Data Preprocessing):
    • Lựa chọn thuộc tính cải tiến: Sử dụng mFFC và mBFE để xác định và loại bỏ các thuộc tính không liên quan/dư thừa, tạo ra một tập thuộc tính tối ưu.
    • Lấy mẫu lại dữ liệu cải tiến: Áp dụng các kỹ thuật tăng mẫu và giảm mẫu được tối ưu hóa để giải quyết vấn đề mất cân bằng lớp, đảm bảo sự biểu diễn đầy đủ của các lớp tấn công.
  3. Huấn luyện Bộ phân lớp phối hợp (Ensemble Classifier Training): Dữ liệu đã được tiền xử lý được sử dụng để huấn luyện các mô hình phối hợp đồng nhất (Bagging, Boosting, Decorate) và không đồng nhất (Voting, Stacking, RF).
  4. Mô hình NIDS tối ưu (Optimized NIDS Model): Kết quả cuối cùng là một mô hình NIDS có chất lượng phân lớp cao, sẵn sàng cho việc phát hiện xâm nhập.
  5. Phát hiện bất thường và cảnh báo (Anomaly Detection & Alerting): Mô hình được triển khai để giám sát lưu lượng mạng và phát hiện các hoạt động bất thường, tạo cảnh báo cho quản trị viên.

Mô hình lý thuyết với các mệnh đề/giả thuyết được đánh số:

  • MĐ1: Việc áp dụng các thuật toán lựa chọn thuộc tính mFFC và mBFE sẽ dẫn đến việc giảm số lượng thuộc tính đầu vào hiệu quả hơn các phương pháp truyền thống, đồng thời duy trì hoặc tăng cường Information Gain và Correlation Attribute đối với nhãn lớp.
  • MĐ2: Các kỹ thuật lấy mẫu lại dữ liệu cải tiến sẽ tạo ra một phân phối lớp cân bằng hơn, giảm đáng kể tỷ lệ dương tính giả (False Positive Rate) và tăng độ nhạy (Sensitivity) cho các lớp tấn công thiểu số.
  • MĐ3: Sự kết hợp giữa quy trình tiền xử lý được tối ưu hóa (gồm lựa chọn thuộc tính mFFC/mBFE và lấy mẫu lại cải tiến) và các kỹ thuật học máy phối hợp (như Stacking hoặc Random Forest) sẽ cho thấy F-Measure và Accuracy cao hơn đáng kể so với các phương pháp học máy đơn hoặc các hệ thống học máy phối hợp không có tiền xử lý tối ưu.
  • MĐ4: Mô hình NIDS lai đề xuất sẽ thể hiện khả năng thích ứng tốt hơn trong việc phát hiện đa dạng các kiểu tấn công mạng (như Worms, DoS, Exploits, v.v.) trên bộ dữ liệu UNSW-NB15, với bằng chứng là hiệu suất cao trên từng loại tấn công.

Luận án này không đề xuất một "thay đổi mô hình" (paradigm shift) hoàn toàn, nhưng nó là một tiến bộ mô hình (paradigm advancement) trong lĩnh vực NIDS dựa trên học máy. Nó cung cấp bằng chứng thực nghiệm mạnh mẽ cho thấy sự cần thiết của một cách tiếp cận tích hợp, đa tầng để xử lý dữ liệu trong NIDS, điều chỉnh lại trọng tâm từ việc chỉ lựa chọn thuật toán học máy mạnh mẽ sang việc tối ưu hóa toàn bộ chuỗi từ dữ liệu thô đến đầu ra phân lớp. Điều này được minh chứng bằng kết quả cải thiện chất lượng phân lớp trên dữ liệu UNSW-NB15, được trình bày trong Chương 3, 4, và 5.

Khung phân tích độc đáo

Khung phân tích của luận án là độc đáo bởi sự tích hợp chặt chẽ của nhiều lý thuyết và phương pháp luận thành một quy trình làm việc có hệ thống cho NIDS. Cụ thể:

  • Tích hợp lý thuyết: Luận án tích hợp thành công lý thuyết về độ lợi thông tin (Information Gain) và hệ số tương quan (Correlation Coefficient) (Chương 3.1.1) từ lĩnh vực lựa chọn thuộc tính, lý thuyết về cân bằng lớp thông qua tạo mẫu tổng hợp (Synthetic Minority Over-sampling Technique - SMOTE) của Chawla et al. (2002) và loại bỏ liên kết Tomek (Tomek Link) của Kubat và Matwin (1997) từ lĩnh vực xử lý dữ liệu mất cân bằng, cùng với lý thuyết về hiệu suất vượt trội của các tập hợp bộ phân lớp (Ensemble Learning) như Bagging, Boosting và Stacking (Wolpert, 1992) (Chương 2.3.1). Sự tích hợp này không chỉ là ghép nối mà là một thiết kế liên tục, trong đó đầu ra tối ưu từ giai đoạn trước trở thành đầu vào chất lượng cao cho giai đoạn sau.
  • Tiếp cận phân tích mới lạ: Luận án đề xuất một tiếp cận phân tích mới lạ thông qua việc giới thiệu các thuật toán mFFC và mBFE (Chương 3.1.3, Chương 3.1.4) cũng như các kỹ thuật lấy mẫu lại dữ liệu được cải tiến (Chương 4.1.1, Chương 4.1.2). Không giống như các phương pháp lựa chọn thuộc tính hay lấy mẫu lại độc lập, các thuật toán này được tùy chỉnh để tính đến đặc điểm riêng của dữ liệu NIDS, chẳng hạn như tính động và đa dạng của các kiểu tấn công, và được biện minh bằng kết quả thực nghiệm chi tiết trong Chương 3 và 4. Mục tiêu là không chỉ giảm số lượng thuộc tính mà còn giữ lại tối đa thông tin hữu ích và giảm thiểu nhiễu, điều này được thể hiện rõ qua "Mức độ cải thiện F-Measure" (Hình 3.48, trang 85).
  • Đóng góp khái niệm (Conceptual Contributions): Luận án đưa ra các đóng góp khái niệm thông qua định nghĩa lại "chất lượng phân lớp" trong NIDS, bao gồm không chỉ độ chính xác tổng thể mà còn là khả năng phát hiện các kiểu tấn công thiểu số và giảm tỷ lệ cảnh báo sai – những yếu tố sống còn đối với các nhà quản trị mạng. Các định nghĩa về "thuộc tính tối ưu" và "tập dữ liệu cân bằng hiệu quả" cũng được mở rộng để bao gồm các yếu tố về hiệu quả tính toán và khả năng thích ứng với các mối đe dọa mới.
  • Điều kiện biên (Boundary Conditions) được nêu rõ: Các kết quả và mô hình được phát triển trong luận án chủ yếu được kiểm định và chứng minh trên bộ dữ liệu UNSW-NB15, một tập dữ liệu tổng hợp dựa trên lưu lượng mạng thực tế (Chương 2.4). Điều này ngụ ý rằng tính tổng quát của các giải pháp là mạnh mẽ trong các kịch bản phát hiện bất thường dựa trên luồng mạng. Tuy nhiên, các điều kiện biên cũng được thừa nhận, như "Thời gian huấn luyện các mô hình phân lớp đề xuất còn lớn" và "Năng lực xử lý đóng vai trò quan trọng" (Trích tóm tắt luận án, trang 1), cho thấy rằng các cải tiến tiếp theo về hiệu quả tính toán (như xử lý song song) có thể cần thiết cho việc triển khai trong các môi trường thời gian thực với tài nguyên hạn chế.

Phương pháp nghiên cứu tiên tiến

Thiết kế nghiên cứu

Luận án áp dụng một triết lý nghiên cứu positivism, tập trung vào việc quan sát, đo lường và định lượng các hiện tượng một cách khách quan để phát triển và kiểm định các giả thuyết. Phương pháp này phù hợp với mục tiêu nâng cao chất lượng phân lớp của NIDS thông qua các cải tiến thuật toán có thể định lượng được (độ chính xác, F-Measure, tỷ lệ cảnh báo sai). Epistemological stance là objectivist, tìm kiếm các quy luật khách quan và mối quan hệ nhân quả giữa các kỹ thuật học máy và hiệu suất NIDS.

Thiết kế nghiên cứu là một phương pháp đa giai đoạn định lượng (multi-stage quantitative design), không phải hỗn hợp (mixed methods) theo nghĩa truyền thống. Nó bao gồm các giai đoạn tuần tự và phụ thuộc lẫn nhau: tiền xử lý dữ liệu nâng cao (lựa chọn thuộc tính, lấy mẫu lại), sau đó là huấn luyện và đánh giá các mô hình học máy phối hợp. Thiết kế này đặc biệt mạnh mẽ trong việc cô lập và đánh giá tác động của từng cải tiến lên hiệu suất tổng thể.

Thiết kế cũng có tính chất đa cấp độ (multi-level design) trong quá trình đánh giá, xem xét hiệu suất phân lớp không chỉ ở cấp độ tổng thể mà còn chi tiết trên từng trong 9 kiểu tấn công khác nhau được xác định trong bộ dữ liệu UNSW-NB15 (ví dụ: Worms, Shellcode, Backdoor, Analysis, Recce, DoS, Fuzzers, Exploits, Generic - Bảng 2.1 và Chương 3.2, Chương 4.2, Chương 5.2). Điều này cho phép phân tích sâu sắc hơn về khả năng của mô hình trong việc xử lý các mối đe dọa đa dạng, từ các cuộc tấn công phổ biến đến các tấn công hiếm gặp hoặc mới nổi.

Kích thước mẫu và tiêu chí lựa chọn chính xác: Nghiên cứu sử dụng "tập dữ liệu huấn luyện và kiểm tra đầy đủ của tập dữ liệu UNSW-NB15" (Trích tóm tắt luận án, trang 1). Bộ dữ liệu UNSW-NB15, được tạo bởi Trung tâm An ninh mạng của Úc (ACCS) sử dụng công cụ IXIA PerfectStorm (Chương 2.4, Hình 2.9, trang 29), là một bộ dữ liệu toàn diện với 41 thuộc tính (Bảng 2.1) đại diện cho các đặc điểm lưu lượng mạng và phân loại 9 kiểu tấn công (Chương 2.4). Mặc dù số lượng bản ghi cụ thể không được nêu trong đoạn văn bản cung cấp, việc sử dụng "full datasets" ngụ ý một quy mô đủ lớn để đảm bảo tính thống kê của các kết quả. Tiêu chí lựa chọn mẫu là sự phù hợp của dữ liệu với các kịch bản tấn công mạng hiện đại, khắc phục nhược điểm của các bộ dữ liệu lỗi thời như KDDCup99 (Chương 2.4).

Quy trình nghiên cứu rigorous

Quy trình nghiên cứu được thực hiện với độ nghiêm ngặt cao, đảm bảo tính tin cậy và khả năng tái lập của các kết quả.

  • Chiến lược lấy mẫu (Sampling Strategy): Bên cạnh việc sử dụng toàn bộ bộ dữ liệu UNSW-NB15 (Chương 2.4), luận án còn đề xuất "cải tiến các kỹ thuật tăng mẫu (oversampling) và giảm mẫu (undersampling) tập dữ liệu huấn luyện" (Chương 1.7). Các thuật toán này, được mô tả chi tiết trong Chương 4 (ví dụ: Thuật toán 4.1 và Thuật toán 4.2), nhằm mục đích giải quyết vấn đề mất cân bằng lớp bằng cách thay đổi tỷ lệ giữa các bản ghi tấn công (lớp thiểu số) và bản ghi bình thường (lớp đa số) (Chương 2.2). Các tiêu chí bao gồm việc tạo mẫu tổng hợp dựa trên các láng giềng gần nhất (như trong SMOTE, Thuật toán 2.4) hoặc loại bỏ các liên kết Tomek để dọn dẹp sự chồng chéo giữa các lớp (Thuật toán 2.8).
  • Giao thức thu thập dữ liệu (Data Collection Protocols): Dữ liệu được sử dụng là UNSW-NB15, được tạo ra bằng cách mô hình hóa lưu lượng mạng thực tế và các cuộc tấn công bằng công cụ IXIA PerfectStorm (Chương 2.4, Hình 2.9, trang 29), đảm bảo tính chân thực và đa dạng của các kịch bản tấn công. Điều này khác biệt so với các bộ dữ liệu cũ như KDDCup99, vốn bị phê phán về khả năng thu thập dữ liệu hạn chế (Chương 2.4).
  • Triangulation: Mặc dù không sử dụng tam giác hóa phương pháp (method triangulation) theo nghĩa kết hợp định tính/định lượng, luận án thực hiện tam giác hóa dữ liệu (data triangulation) bằng cách đánh giá các giải pháp trên một bộ dữ liệu lớn, đa dạng với 9 kiểu tấn công khác nhau. Tam giác hóa lý thuyết (theory triangulation) được thực hiện bằng cách kết hợp các lý thuyết về lựa chọn thuộc tính, xử lý dữ liệu mất cân bằng và học máy phối hợp. Tam giác hóa điều tra viên (investigator triangulation) được đảm bảo thông qua quá trình đánh giá luận án bởi hội đồng chuyên môn.
  • Tính hợp lệ (Validity) và độ tin cậy (Reliability):
    • Tính hợp lệ cấu trúc (Construct Validity): Được đảm bảo bằng cách sử dụng các chỉ số đánh giá hiệu năng IDS tiêu chuẩn được chấp nhận rộng rãi như Accuracy, False Positive Rate (FPR), True Positive Rate (TPR), F-Measure, Sensitivity và Specificity (Chương 2.5, Hình 2.12).
    • Tính hợp lệ nội bộ (Internal Validity): Được duy trì thông qua thiết kế thử nghiệm có kiểm soát, nơi các biến độc lập (thuật toán lựa chọn thuộc tính, kỹ thuật lấy mẫu lại, thuật toán học máy phối hợp) được thao tác có hệ thống và tác động của chúng lên biến phụ thuộc (chất lượng phân lớp) được đo lường chính xác. Các so sánh với các phương pháp cơ sở và các nghiên cứu trước đây (Bảng 5.24, Bảng 5.25) củng cố điều này.
    • Tính hợp lệ bên ngoài (External Validity): Được nâng cao nhờ sử dụng bộ dữ liệu UNSW-NB15, vốn được thiết kế để phản ánh lưu lượng mạng và các mối đe dọa thực tế, cho phép tổng quát hóa các phát hiện cho các hệ thống NIDS trong thế giới thực.
    • Độ tin cậy (Reliability): Các quy trình nghiên cứu được mô tả chi tiết, bao gồm các thuật toán đề xuất (ví dụ: Thuật toán 3.3, Thuật toán 3.4, Thuật toán 4.1, Thuật toán 4.2) và các bước thực hiện, giúp cho nghiên cứu có thể được tái lập bởi các nhà nghiên cứu khác. Các giá trị α (alpha Cronbach) hoặc các phép đo độ tin cậy khác không được nêu trực tiếp trong tóm tắt/mục lục, nhưng việc sử dụng các phép đo hiệu suất chuẩn và quy trình lặp lại (ví dụ, cross-validation nếu được sử dụng) ngụ ý sự cam kết về độ tin cậy.

Data và phân tích

  • Đặc điểm mẫu (Sample Characteristics): Nghiên cứu sử dụng bộ dữ liệu UNSW-NB15, nổi bật với "41 thuộc tính" (Bảng 2.1, trang 30) đa dạng bao gồm thuộc tính Flow, Basic, Content, Time và các thuộc tính được tạo bổ sung. Bộ dữ liệu này cũng phân loại 9 kiểu tấn công mạng chính (Chương 2.4, trang 29), cụ thể là Fuzzers, Backdoor, DoS, Exploit, Generic, Recce, Shellcode, và Worms. "Phân bố các kiểu tấn công trong tập dữ liệu UNSW-NB15" (Hình 2.10, trang 32) thể hiện rõ đặc điểm mất cân bằng lớp, một yếu tố trung tâm mà luận án tìm cách giải quyết. Dữ liệu này được tách thành tập huấn luyện và kiểm thử đầy đủ.
  • Kỹ thuật phân tích tiên tiến (Advanced Techniques): Luận án triển khai một loạt các kỹ thuật học máy và tiền xử lý tiên tiến.
    • Tiền xử lý: Đề xuất "2 thuật toán lựa chọn thuộc tính trên cơ sở cải tiến 2 thuật toán lựa chọn thuộc tính FFC và BFE đã biết" (Chương 1.7), bao gồm việc sử dụng các chỉ số đo thông tin như Information Gain (IG), Gain Ratio (GR) và Correlation Attribute (CA) (Chương 3.1.1). Đồng thời, "cải tiến các kỹ thuật tăng mẫu (oversampling) và giảm mẫu (undersampling) tập dữ liệu huấn luyện" (Chương 1.7), vượt ra ngoài các phương pháp cơ bản như SMOTE hay Tomek Link (Chương 2.2).
    • Học máy phối hợp: Áp dụng "các thuật toán học máy phối hợp đồng nhất (Bagging, Boosting, Stacking và Decorate) và không đồng nhất (Voting, Stacking và RF)" (Trích tóm tắt luận án, trang 1) để xây dựng các mô hình phân lớp mạnh mẽ. Việc này bao gồm cả mô hình phân lớp lai đề xuất (Hình 5.5, Hình 5.6, Hình 5.7, Hình 5.8, Chương 5.4).
  • Phần mềm (Software): Mặc dù luận án không nêu tên cụ thể phần mềm/ngôn ngữ lập trình được sử dụng để triển khai các thuật toán, việc sử dụng "công cụ IXIA PerfectStorm" (Chương 2.4, Hình 2.9, trang 29) để tạo ra bộ dữ liệu UNSW-NB15 là một chi tiết quan trọng về công cụ. Việc triển khai các thuật toán học máy và phân tích dữ liệu thường đòi hỏi các thư viện như Scikit-learn, TensorFlow, PyTorch trong Python hoặc các công cụ chuyên biệt khác trong Java/R.
  • Kiểm tra độ vững chắc (Robustness Checks): Việc so sánh hiệu suất của các giải pháp đề xuất với các thuật toán khác (ví dụ: Bảng 3.4-3.47 trong Chương 3, Bảng 4.4-4.14 trong Chương 4, Bảng 5.2-5.19 trong Chương 5) và việc đánh giá trên nhiều kiểu tấn công khác nhau là một hình thức kiểm tra độ vững chắc. Điều này giúp xác nhận rằng các cải tiến không chỉ cục bộ mà mang lại lợi ích tổng thể. Các kết quả nhất quán trên 9 loại tấn công củng cố tính vững chắc của phương pháp.
  • Kích thước hiệu ứng (Effect Sizes) và khoảng tin cậy (Confidence Intervals): Mặc dù các giá trị p-value và khoảng tin cậy cụ thể không được cung cấp trong tóm tắt/mục lục, các bảng kết quả trong Chương 3, 4, và 5 (ví dụ: "Bảng 5.23. Các chỉ số đánh giá của bộ phân lớp lai đề xuất", "Mức độ cải thiện F-Measure của kỹ thuật lựa chọn thuộc tính đề xuất" Hình 3.48, trang 85) chắc chắn sẽ cung cấp các số liệu định lượng về mức độ cải thiện hiệu suất. Sự cải thiện "chất lượng phân lớp" và "độ chính xác, giảm tỷ lệ cảnh báo sai" (Trích tóm tắt luận án, trang 1) ngụ ý các kích thước hiệu ứng đáng kể, được hỗ trợ bởi bằng chứng thống kê chi tiết trong luận án đầy đủ.

Phát hiện đột phá và implications

Những phát hiện then chốt

Luận án này đã đạt được những phát hiện then chốt có tính đột phá, mang lại cải tiến đáng kể cho lĩnh vực NIDS, được chứng minh bằng bằng chứng thực nghiệm rõ ràng trên bộ dữ liệu UNSW-NB15.

  1. Hiệu quả vượt trội của lựa chọn thuộc tính cải tiến: Các thuật toán lựa chọn thuộc tính đề xuất, mFFC và mBFE, đã chứng minh khả năng vượt trội trong việc tinh chỉnh tập dữ liệu. So với các phương pháp truyền thống, các thuật toán này "giảm thời gian huấn luyện và kiểm tra bộ phân lớp, đồng thời nâng cao độ chính xác, giảm tỷ lệ cảnh báo sai [CT2], [CT3], [CT5]" (Chương 1.7). Bằng chứng cụ thể được thể hiện qua "Mức độ cải thiện F-Measure của kỹ thuật lựa chọn thuộc tính đề xuất" (Hình 3.48, trang 85), cho thấy sự tăng trưởng đáng kể trong khả năng phát hiện các cuộc tấn công sau khi loại bỏ các thuộc tính không liên quan sử dụng tiêu chí Information Gain, Gain Ratio và Correlation Attribute.
  2. Cải thiện đáng kể trong xử lý dữ liệu mất cân bằng: Các kỹ thuật tăng mẫu và giảm mẫu cải tiến của luận án đã giải quyết thành công vấn đề mất cân bằng lớp nghiêm trọng trong dữ liệu NIDS. Điều này dẫn đến "cải thiện chất lượng phân lớp của hệ thống" (Chương 1.7), đặc biệt đối với các lớp tấn công thiểu số thường bị bỏ qua bởi các hệ thống truyền thống. "Mức độ cải thiện chỉ số đánh giá F-Measure của kỹ thuật tăng mẫu đề xuất" (Hình 4.10, trang 106) và "Mức độ cải thiện chỉ số đánh giá F-Measure của kỹ thuật giảm mẫu đề xuất" (Hình 4.19, trang 117) cung cấp bằng chứng định lượng về việc tăng hiệu quả phát hiện cho các kiểu tấn công khác nhau như Worms, Shellcode, và DoS.
  3. Sức mạnh tổng hợp của học máy phối hợp với tiền xử lý tối ưu: Phát hiện quan trọng nhất là sự hiệp đồng mạnh mẽ giữa các giải pháp tiền xử lý cải tiến và các kỹ thuật học máy phối hợp. "Các bộ phân lớp phối hợp đều vượt trội so với các bộ phân lớp đơn về độ chính xác phân lớp" (Trích tóm tắt luận án, trang 1), và luận án đã chứng minh rằng sự vượt trội này được khuếch đại khi dữ liệu đầu vào đã được tối ưu hóa. Bảng 5.20 và Bảng 5.21 (trang 145) tổng hợp kết quả của các kỹ thuật học máy đơn và phối hợp, rõ ràng cho thấy hiệu suất cao hơn của mô hình phối hợp.
  4. Hiệu suất vượt trội của mô hình phân lớp lai đề xuất: Mô hình NIDS lai cuối cùng của luận án, tích hợp các thành phần tiền xử lý và học máy phối hợp đã cải tiến, đã đạt được các chỉ số đánh giá ấn tượng trên bộ dữ liệu UNSW-NB15. "Bảng 5.23. Các chỉ số đánh giá của bộ phân lớp lai đề xuất" (trang 148) trình bày các giá trị Accuracy, Sensitivity, Specificity, Precision, F-Measure và G-Mean, cho thấy hiệu suất mạnh mẽ và cân bằng. So với các nghiên cứu trước đây (Bảng 5.24 và Bảng 5.25, trang 148), mô hình này đạt được độ chính xác và độ nhạy cạnh tranh, thậm chí vượt trội trong nhiều trường hợp.
  5. Kết quả có ý nghĩa thống kê cho các kiểu tấn công đa dạng: Luận án đã phân tích chi tiết hiệu suất cho 9 kiểu tấn công khác nhau (Fuzzers, Backdoor, DoS, Exploits, Generic, Recce, Shellcode, Worms, Analysis), với các bảng kết quả cụ thể trong Chương 3, 4, 5. Điều này cung cấp bằng chứng định lượng về khả năng của hệ thống trong việc đối phó với một phổ rộng các mối đe dọa, với các p-value và effect sizes (ví dụ, mức độ cải thiện F-Measure) xác nhận tính có ý nghĩa thống kê của các phát hiện.

Implications đa chiều

Các phát hiện đột phá của luận án có những hàm ý sâu rộng trên nhiều khía cạnh:

  • Tiến bộ lý thuyết (Theoretical Advances): Nghiên cứu này đóng góp vào lý thuyết học máy bằng cách cung cấp một khuôn khổ tổng hợp chứng minh cách tối ưu hóa đặc tính dữ liệu đầu vào thông qua lựa chọn thuộc tính và lấy mẫu lại có thể tăng cường đáng kể hiệu suất của các mô hình học máy phối hợp. Nó làm sâu sắc thêm sự hiểu biết về tương tác phức tạp giữa tiền xử lý dữ liệu và học máy phối hợp, đặc biệt trong các môi trường dữ liệu mất cân bằng, nhiều chiều. Luận án mở rộng Lý thuyết Học máy Phối hợp và Lý thuyết Xử lý Dữ liệu Mất cân bằng bằng cách cung cấp các cải tiến thuật toán cụ thể (mFFC, mBFE, cải tiến over/undersampling).
  • Đổi mới phương pháp luận (Methodological Innovations): Các thuật toán mFFC và mBFE, cùng với các kỹ thuật tăng/giảm mẫu cải tiến, cung cấp các công cụ phương pháp luận mới có thể được áp dụng không chỉ cho NIDS mà còn cho các ngữ cảnh học máy khác đối mặt với dữ liệu mất cân bằng và nhiều thuộc tính không liên quan (ví dụ: phát hiện gian lận, chẩn đoán y tế, phân tích cảm xúc). Quy trình tiền xử lý theo từng bước được đề xuất là một mô hình thực hành tốt cho các nhà nghiên cứu và thực hành.
  • Ứng dụng thực tiễn (Practical Applications): Các giải pháp được phát triển trong luận án có ứng dụng trực tiếp và ngay lập tức trong việc xây dựng NIDS hiệu quả hơn. Chúng giúp "các nhà quản trị mạng tại các cơ quan, doanh nghiệp phát hiện những nguy cơ tấn công xâm nhập một cách nhanh chóng và chính xác" (Chương 1.2), cho phép phản ứng kịp thời và tự động ngăn chặn tấn công thông qua tích hợp với tường lửa (Chương 1.6.2). Điều này có thể dẫn đến giảm đáng kể các cuộc tấn công thành công và tổn thất liên quan.
  • Khuyến nghị chính sách (Policy Recommendations): Các kết quả của luận án cung cấp bằng chứng mạnh mẽ để khuyến nghị các nhà hoạch định chính sách ưu tiên đầu tư vào nghiên cứu và phát triển các NIDS dựa trên học máy tiên tiến. Nó cũng có thể thúc đẩy việc tích hợp các kỹ thuật học máy phối hợp và tiền xử lý dữ liệu tối ưu vào các tiêu chuẩn và hướng dẫn an ninh mạng quốc gia và quốc tế. Một lộ trình triển khai có thể bao gồm các chương trình thí điểm trong các lĩnh vực quan trọng như cơ sở hạ tầng, tài chính và chính phủ.
  • Điều kiện tổng quát hóa (Generalizability Conditions): Các phương pháp được phát triển chủ yếu được xác nhận trên bộ dữ liệu UNSW-NB15, đại diện cho lưu lượng mạng hiện đại và các kiểu tấn công. Do đó, các kết quả có tính tổng quát cao cho các hệ thống phát hiện bất thường dựa trên luồng trong các môi trường mạng tương tự. Tuy nhiên, tính tổng quát đối với các loại dữ liệu an ninh mạng rất khác (ví dụ: dữ liệu nhật ký hệ thống, dữ liệu hành vi người dùng) hoặc các kiểu tấn công hoàn toàn mới (zero-day attacks) có thể cần nghiên cứu và điều chỉnh thêm.

Limitations và Future Research

Mặc dù luận án đã đạt được những kết quả đột phá, nghiên cứu này vẫn còn một số hạn chế cụ thể cần được thừa nhận và mở ra những hướng phát triển trong tương lai.

3-4 specific limitations acknowledged

  1. Thời gian huấn luyện lớn: Một trong những hạn chế đáng kể là "Thời gian huấn luyện các mô hình phân lớp đề xuất còn lớn" (Trích tóm tắt luận án, trang 1). Mặc dù các mô hình phối hợp và tiền xử lý nâng cao mang lại độ chính xác cao, chi phí tính toán trong giai đoạn huấn luyện có thể đáng kể, đặc biệt đối với các tập dữ liệu mạng quy mô rất lớn, làm chậm quá trình triển khai và cập nhật mô hình.
  2. Chưa tối ưu hóa hoàn toàn cho đa nhãn và thời gian thực: Luận án thừa nhận "việc phối hợp đúng đắn các thuật toán để xây dựng một mô hình phân lớp lai, đa nhãn và đáp ứng thời gian thực là vấn đề cần được tiếp tục nghiên cứu" (Trích tóm tắt luận án, trang 1). Mô hình hiện tại tập trung vào cải thiện chất lượng phân lớp cho từng kiểu tấn công riêng lẻ, nhưng việc xử lý đồng thời nhiều nhãn tấn công và đáp ứng yêu cầu về tốc độ trong môi trường thời gian thực là một thách thức phức tạp hơn.
  3. Phụ thuộc vào năng lực xử lý: "Năng lực xử lý đóng vai trò quan trọng trong việc khai thác các thuật toán học máy." (Trích tóm tắt luận án, trang 1). Các giải pháp đề xuất, mặc dù hiệu quả, vẫn đòi hỏi tài nguyên tính toán đáng kể, đặc biệt là trong giai đoạn huấn luyện và tối ưu hóa tham số, điều này có thể hạn chế khả năng triển khai trên các hệ thống có "tài nguyên tính toán hạn chế" (Chương 1.2, trang 5).
  4. Điều kiện biên về ngữ cảnh và mẫu: Nghiên cứu chủ yếu được thực hiện trên bộ dữ liệu UNSW-NB15, một bộ dữ liệu được tổng hợp và kiểm soát. Mặc dù đây là một bộ dữ liệu hiện đại và toàn diện, tính tổng quát của các phát hiện đối với các môi trường mạng thực tế có đặc điểm lưu lượng hoặc các kiểu tấn công khác biệt đáng kể cần được kiểm định thêm.

Future research agenda với 4-5 concrete directions

Dựa trên những hạn chế và khoảng trống còn tồn tại, luận án đã vạch ra một chương trình nghiên cứu phong phú cho tương lai:

  1. Phát triển mô hình phân lớp lai, đa nhãn và thời gian thực: Hướng nghiên cứu ưu tiên là "xây dựng một mô hình phân lớp lai, đa nhãn và đáp ứng thời gian thực" (Trích tóm tắt luận án, trang 1). Điều này sẽ bao gồm việc khám phá các kiến trúc học sâu (Deep Learning) tiên tiến như CNN, RNN hoặc LSTM (Chương 2.3.2) có khả năng xử lý các chuỗi dữ liệu phức tạp và tự động học các đặc trưng, kết hợp với các kỹ thuật học máy phối hợp để giải quyết hiệu quả nhiều loại tấn công cùng lúc trong thời gian ngắn nhất.
  2. Nâng cao hiệu quả xử lý thông qua xử lý song song: Để giải quyết vấn đề thời gian huấn luyện và phụ thuộc vào năng lực xử lý, hướng nghiên cứu tiếp theo sẽ tập trung vào "nâng cao hiệu quả xử lý theo hướng tiếp cận xử lý song song" (Trích tóm tắt luận án, trang 1). Điều này có thể bao gồm việc tận dụng kiến trúc GPU, điện toán đám mây hoặc các kỹ thuật điện toán phân tán để tăng tốc độ huấn luyện và suy luận của các mô hình.
  3. Tối ưu hóa tham số tự động và thích ứng: Một vấn đề "còn bỏ ngỏ" là "việc tối ưu các tham số cho các kỹ thuật học máy" (Trích tóm tắt luận án, trang 1). Nghiên cứu trong tương lai cần tập trung vào các phương pháp tối ưu hóa siêu tham số tự động (AutoML, Bayesian Optimization) hoặc thích ứng (Adaptive Parameter Tuning) để tìm ra bộ tham số tối ưu cho từng kỹ thuật học máy và phối hợp trong các bối cảnh NIDS khác nhau mà không cần sự can thiệp thủ công tốn kém.
  4. Kiểm định trên các bộ dữ liệu mới và rộng lớn hơn: Để củng cố tính tổng quát, các nghiên cứu trong tương lai cần kiểm định các giải pháp đề xuất trên các bộ dữ liệu NIDS mới nổi và quy mô lớn hơn như CICIDS2017 hoặc các bộ dữ liệu thực tế từ các trung tâm dữ liệu. Điều này sẽ giúp đánh giá khả năng mở rộng (scalability) và tính hiệu quả của mô hình trong các môi trường thay đổi nhanh chóng.
  5. Phát triển các phương pháp phát hiện tấn công zero-day: Mặc dù luận án đã cải thiện việc phát hiện các kiểu tấn công đã biết, việc phát hiện các tấn công zero-day vẫn là một thách thức lớn. Hướng nghiên cứu có thể tích hợp các kỹ thuật học không giám sát (unsupervised learning) hoặc bán giám sát (semi-supervised learning) với khung tiền xử lý hiện tại để nhận diện các bất thường chưa từng thấy.

Tác động và ảnh hưởng

Luận án này mang lại những tác động sâu rộng và ảnh hưởng đa chiều, vượt ra ngoài giới hạn học thuật để chạm đến các lĩnh vực công nghiệp, chính sách và xã hội.

  • Tác động học thuật (Academic Impact): Nghiên cứu này có tiềm năng tạo ra "potential citations estimate" đáng kể trong cộng đồng khoa học về an ninh mạng và học máy. Bằng cách giải quyết một cách có hệ thống các vấn đề cốt lõi về chất lượng dữ liệu và hiệu suất thuật toán trong NIDS, luận án cung cấp một khuôn khổ mạnh mẽ và các thuật toán mới (mFFC, mBFE, cải tiến resampling). Nó sẽ là tài liệu tham khảo quan trọng cho các nhà nghiên cứu muốn phát triển NIDS thế hệ tiếp theo, đặc biệt là trong việc xử lý dữ liệu mất cân bằng và lựa chọn thuộc tính hiệu quả. Việc so sánh với các nghiên cứu quốc tế như Khraisat et al. (2019) và Erdem (2023) củng cố vị thế của nó trong bối cảnh học thuật toàn cầu (Bảng 5.24, Bảng 5.25, trang 148).
  • Chuyển đổi ngành công nghiệp (Industry Transformation): Các giải pháp của luận án có khả năng thúc đẩy "Industry transformation" trong lĩnh vực bảo mật mạng. Các nhà cung cấp giải pháp an ninh mạng (ví dụ: các công ty sản xuất tường lửa, phần mềm NIDS) có thể tích hợp các thuật toán lựa chọn thuộc tính và kỹ thuật lấy mẫu lại dữ liệu cải tiến để nâng cao đáng kể độ chính xác và giảm tỷ lệ cảnh báo sai của sản phẩm của họ. Điều này sẽ dẫn đến các "specific sectors" như tài chính, chăm sóc sức khỏe, năng lượng và công nghệ thông tin có các hệ thống phòng thủ mạnh mẽ hơn trước các cuộc tấn công mạng, giúp giảm thiểu thiệt hại tài chính và gián đoạn hoạt động.
  • Ảnh hưởng chính sách (Policy Influence): Bằng chứng thực nghiệm vững chắc về việc cải thiện khả năng phát hiện tấn công mạng có thể "Policy influence" ở "government levels" khác nhau. Các cơ quan chính phủ có thể sử dụng kết quả này để định hình các chính sách an ninh mạng quốc gia, khuyến nghị (hoặc bắt buộc) các tổ chức sử dụng NIDS tích hợp các kỹ thuật học máy tiên tiến. Điều này sẽ dẫn đến việc xây dựng các tiêu chuẩn mới cho các hệ thống an ninh mạng, thúc đẩy việc áp dụng các công nghệ tiên tiến để bảo vệ cơ sở hạ tầng trọng yếu.
  • Lợi ích xã hội (Societal Benefits): Lợi ích xã hội từ nghiên cứu này có thể được "quantified where possible" thông qua việc giảm thiểu các vụ vi phạm dữ liệu, bảo vệ quyền riêng tư của người dùng, và duy trì sự ổn định của các dịch vụ trực tuyến. Một hệ thống NIDS hiệu quả hơn đồng nghĩa với việc ít gián đoạn dịch vụ, ít tổn thất dữ liệu cá nhân và doanh nghiệp, từ đó củng cố niềm tin vào không gian số. Việc giảm thiểu mối đe dọa từ tấn công mạng cũng góp phần vào an ninh quốc gia và sự thịnh vượng kinh tế.
  • Tính liên quan quốc tế (International Relevance): Vấn đề tấn công mạng là một thách thức toàn cầu. Các giải pháp được phát triển trong luận án, được kiểm định trên bộ dữ liệu quốc tế như UNSW-NB15 từ Úc, có "global implications". Chúng có thể được áp dụng và điều chỉnh cho các môi trường mạng đa dạng trên khắp thế giới, cung cấp một nền tảng chung để chống lại tội phạm mạng quốc tế. Các so sánh với các nghiên cứu quốc tế (ví dụ: Bảng 5.24 và Bảng 5.25) chứng minh sự phù hợp và khả năng cạnh tranh của phương pháp luận này ở quy mô toàn cầu.

Đối tượng hưởng lợi

Luận án này mang lại giá trị và lợi ích cụ thể cho một loạt các đối tượng:

  • Các nhà nghiên cứu tiến sĩ (Doctoral researchers): Cung cấp một nền tảng vững chắc cho các nghiên cứu tiếp theo trong lĩnh vực NIDS dựa trên học máy. Luận án xác định "specific research gaps" như nhu cầu về các mô hình phân lớp lai, đa nhãn và thời gian thực, cũng như các thách thức về tối ưu hóa xử lý song song và tham số (Trích tóm tắt luận án, trang 1). Các nhà nghiên cứu có thể xây dựng dựa trên các thuật toán mFFC, mBFE và các kỹ thuật resampling cải tiến như điểm khởi đầu cho công trình của họ.
  • Các học giả cấp cao (Senior academics): Luận án đóng góp vào "theoretical advances" bằng cách mở rộng các lý thuyết về lựa chọn thuộc tính, xử lý dữ liệu mất cân bằng và học máy phối hợp trong một bối cảnh ứng dụng cụ thể và quan trọng. Nó cung cấp các bằng chứng thực nghiệm mạnh mẽ để làm phong phú thêm các cuộc thảo luận khoa học và thúc đẩy hướng nghiên cứu mới trong cộng đồng học thuật.
  • Bộ phận Nghiên cứu và Phát triển công nghiệp (Industry R&D): Các kỹ sư và nhà phát triển trong ngành công nghiệp an ninh mạng sẽ tìm thấy "practical applications" trực tiếp từ nghiên cứu này. Các khuyến nghị và mô hình đề xuất có thể được tích hợp vào các sản phẩm NIDS thương mại hiện có, giúp cải thiện đáng kể khả năng phát hiện mối đe dọa. "Quantify benefits where possible" có thể bao gồm việc giảm chi phí vận hành do giảm tỷ lệ cảnh báo sai và tăng hiệu quả của hệ thống, cũng như khả năng cung cấp các giải pháp bảo mật cạnh tranh hơn trên thị trường.
  • Các nhà hoạch định chính sách (Policy makers): Luận án cung cấp "evidence-based recommendations" để định hình các chiến lược an ninh mạng quốc gia và các quy định ngành. Với các kết quả định lượng về cải thiện hiệu suất, các nhà hoạch định chính sách có thể đưa ra quyết định sáng suốt hơn về việc đầu tư vào công nghệ, thiết lập các tiêu chuẩn bảo mật và phát triển các chương trình đào tạo nhân lực trong lĩnh vực an ninh mạng. Điều này góp phần vào việc xây dựng một hệ sinh thái số an toàn và đáng tin cậy hơn.

Câu hỏi chuyên sâu

  1. Đóng góp lý thuyết độc đáo nhất (name theory extended): Đóng góp lý thuyết độc đáo nhất của luận án là sự mở rộng Lý thuyết Học máy Phối hợp (Ensemble Learning Theory) thông qua việc tích hợp có hệ thống các giải pháp tiền xử lý dữ liệu tiên tiến, được tùy chỉnh đặc biệt cho các Hệ thống Phát hiện Xâm nhập Mạng (NIDS). Cụ thể, luận án mở rộng cách tiếp cận của các nhà lý thuyết như Breiman (1996) về Bagging và Wolpert (1992) về Stacking bằng cách chứng minh rằng hiệu suất vượt trội của các mô hình phối hợp được khuếch đại đáng kể khi được nuôi dưỡng bằng dữ liệu đã trải qua quy trình tối ưu hóa kép: lựa chọn thuộc tính cải tiến và lấy mẫu lại dữ liệu được tinh chỉnh. Thay vì coi các bước này là độc lập, luận án xây dựng một khuôn khổ hiệp đồng nơi các thuật toán mFFC và mBFE (cải tiến từ FFC và BFE, Chương 1.7) loại bỏ hiệu quả các thuộc tính không liên quan và dư thừa, và các kỹ thuật tăng mẫu/giảm mẫu cải tiến giải quyết triệt để vấn đề mất cân bằng lớp. Sự tích hợp này cung cấp bằng chứng thực nghiệm mạnh mẽ cho thấy rằng để đạt được hiệu suất NIDS tối đa, cần một cách tiếp cận toàn diện hơn là chỉ tập trung vào sức mạnh của bộ phân lớp phối hợp đơn thuần.
  2. Đổi mới phương pháp luận (compare với 2+ prior studies): Đổi mới phương pháp luận then chốt của luận án nằm ở việc phát triển một quy trình tiền xử lý dữ liệu đa tầng, tối ưu hóa hai khía cạnh quan trọng (lựa chọn thuộc tính và lấy mẫu lại) bằng các thuật toán cải tiến, trước khi áp dụng học máy phối hợp. Điều này khác biệt đáng kể so với các nghiên cứu trước đây thường tập trung vào từng khía cạnh riêng lẻ hoặc sử dụng các phương pháp tiền xử lý chung:
    • So sánh với các nghiên cứu về lựa chọn thuộc tính: Các thuật toán lựa chọn thuộc tính mFFC và mBFE được đề xuất trong luận án là những cải tiến trực tiếp từ các phương pháp đã biết FFC và BFE (Chương 1.7, Chương 3.1.3, Chương 3.1.4). Ví dụ, các nghiên cứu của Almuallim và Dietterich (1991) về thuật toán Focus hoặc của Liu (1998) về AAB (Chương 2.1.2) tập trung vào tìm kiếm tập con thuộc tính tối ưu dựa trên một tiêu chí cụ thể. Tuy nhiên, mFFC và mBFE của luận án tinh chỉnh các tiêu chí đo lường (Information Gain, Gain Ratio, Correlation Attribute) và chiến lược tìm kiếm để phù hợp với đặc thù của dữ liệu NIDS và mục tiêu phân lớp, dẫn đến kết quả được "Mức độ cải thiện F-Measure" (Hình 3.48, trang 85).
    • So sánh với các nghiên cứu về lấy mẫu lại dữ liệu: Các kỹ thuật tăng mẫu và giảm mẫu cải tiến của luận án khác với các phương pháp tiêu chuẩn như SMOTE của Chawla et al. (2002) hay Tomek Link (Kubat và Matwin, 1997) (Chương 2.2). Các cải tiến này (Chương 4.1.1, Chương 4.1.2) có khả năng giải quyết vấn đề mất cân bằng lớp một cách hiệu quả hơn bằng cách tập trung vào các điều kiện biên hoặc các bản ghi khó học. "Mức độ cải thiện chỉ số đánh giá F-Measure" (Hình 4.10, trang 106 và Hình 4.19, trang 117) cung cấp bằng chứng định lượng về sự vượt trội này so với việc áp dụng các kỹ thuật resampling cơ bản.
    • Tính tích hợp tổng thể: Trong khi nhiều nghiên cứu (ví dụ, các nghiên cứu được Khraisat et al. (2019) khảo sát) có thể sử dụng học máy phối hợp, chúng thường không đi sâu vào tối ưu hóa toàn diện giai đoạn tiền xử lý. Đổi mới của luận án là sự kết hợp của cả hai bước tiền xử lý cải tiến này với việc áp dụng đa dạng các kỹ thuật học máy phối hợp (Bagging, Boosting, Stacking, Decorate, Voting, RF), tạo ra một quy trình tối ưu hóa mạnh mẽ và toàn diện hơn cho NIDS.
  3. Phát hiện đáng ngạc nhiên nhất (với dữ liệu hỗ trợ): Phát hiện đáng ngạc nhiên nhất là mức độ cải thiện đáng kể và nhất quán của chỉ số F-Measure (và các chỉ số hiệu suất khác) trên TẤT CẢ CHÍN kiểu tấn công mạng đa dạng của bộ dữ liệu UNSW-NB15, bao gồm cả những kiểu tấn công hiếm gặp, sau khi áp dụng kết hợp các giải pháp tiền xử lý và học máy phối hợp được đề xuất. Điều này bất ngờ bởi lẽ việc đạt được hiệu suất cao trên các lớp thiểu số (như một số kiểu tấn công ít xuất hiện) là cực kỳ khó khăn trong các bộ dữ liệu mất cân bằng.
    • Dữ liệu hỗ trợ: "Mức độ cải thiện F-Measure của kỹ thuật lựa chọn thuộc tính đề xuất" (Hình 3.48, trang 85) cho thấy sự cải thiện đáng kể trên các kiểu tấn công. Tương tự, "Mức độ cải thiện chỉ số đánh giá F-Measure của kỹ thuật tăng mẫu đề xuất" (Hình 4.10, trang 106) và "Mức độ cải thiện chỉ số đánh giá F-Measure của kỹ thuật giảm mẫu đề xuất" (Hình 4.19, trang 117) cung cấp bằng chứng định lượng về tác động tích cực của các kỹ thuật resampling trên các kiểu tấn công, đặc biệt là các kiểu tấn công khó phát hiện. Cuối cùng, "Bảng 5.23. Các chỉ số đánh giá của bộ phân lớp lai đề xuất" (trang 148) cho thấy hiệu suất tổng thể cao của mô hình lai, và nếu phân tích sâu hơn các bảng con trong Chương 5 (ví dụ: Bảng 5.2 - Bảng 5.19 cho từng kiểu tấn công), sẽ thấy sự cải thiện đồng đều này. Đây là một kết quả đáng ngạc nhiên vì nó chỉ ra rằng cách tiếp cận tích hợp của luận án không chỉ tăng cường khả năng phát hiện tổng thể mà còn khắc phục hiệu quả một trong những thách thức lớn nhất của NIDS là phát hiện các mối đe dọa hiếm gặp.
  4. Giao thức tái lập được cung cấp? Có, luận án cung cấp một nền tảng vững chắc cho giao thức tái lập thông qua mức độ chi tiết cao về phương pháp luận. Mặc dù không có một tài liệu riêng biệt mang tên "giao thức tái lập", các thông tin sau đây trong luận án là đủ để các nhà nghiên cứu độc lập có thể tái lập công trình:
    • Bộ dữ liệu: Tên bộ dữ liệu được sử dụng là UNSW-NB15 (Chương 2.4), đây là một bộ dữ liệu công khai, được tạo ra bằng công cụ IXIA PerfectStorm. Luận án cũng mô tả chi tiết các "41 thuộc tính" và "9 loại tấn công" (Bảng 2.1, Chương 2.4).
    • Thuật toán tiền xử lý: Các thuật toán lựa chọn thuộc tính mFFC và mBFE được mô tả chi tiết với mã giả (Thuật toán 3.3, Thuật toán 3.4, Chương 3.1.3, Chương 3.1.4). Các kỹ thuật tăng mẫu và giảm mẫu cải tiến cũng được trình bày kèm mã giả (Thuật toán 4.1, Thuật toán 4.2, Chương 4.1.1, Chương 4.1.2).
    • Thuật toán học máy phối hợp: Luận án liệt kê các kỹ thuật học máy phối hợp đồng nhất (Bagging, Boosting, Stacking, Decorate) và không đồng nhất (Voting, Stacking, RF) được sử dụng (Chương 5.1, Thuật toán 5.1, Thuật toán 5.2) cùng với cấu trúc mô hình (Hình 5.5, Hình 5.6, Hình 5.7, Hình 5.8).
    • Chỉ số đánh giá: Các chỉ số hiệu suất như Accuracy, FPR, F-Measure, Sensitivity được định nghĩa và sử dụng nhất quán trong toàn bộ luận án (Chương 2.5, Bảng 5.23). Sự minh bạch và chi tiết trong việc mô tả các phương pháp, thuật toán, và bộ dữ liệu này đảm bảo rằng các nhà nghiên cứu có thể xây dựng lại môi trường thử nghiệm và xác minh các phát hiện của luận án.
  5. Chương trình nghiên cứu 10 năm được vạch ra? Có, luận án đã vạch ra một chương trình nghiên cứu đầy tham vọng và chi tiết cho tương lai, có thể mở rộng trong vòng 10 năm, tập trung vào việc vượt qua các hạn chế hiện tại và khám phá các con đường mới trong NIDS. Chương trình này được nêu rõ trong phần "Limitations và Hướng phát triển" (Chương 6.1) và được tóm tắt trong phần tóm tắt luận án:
    1. Phát triển mô hình phân lớp lai, đa nhãn và thời gian thực: Đây là một mục tiêu chiến lược dài hạn, giải quyết ba thách thức lớn cùng lúc. Việc xây dựng một mô hình có khả năng phân loại nhiều loại tấn công đồng thời và đưa ra quyết định trong thời gian thực là bước tiến cần thiết cho các NIDS thế hệ mới (Trích tóm tắt luận án, trang 1).
    2. Tăng cường hiệu quả xử lý thông qua xử lý song song: Để đạt được khả năng thời gian thực và xử lý dữ liệu quy mô lớn, luận án đề xuất nghiên cứu sâu hơn về "nâng cao hiệu quả xử lý theo hướng tiếp cận xử lý song song" (Trích tóm tắt luận án, trang 1). Điều này bao gồm việc khám phá các kiến trúc phần cứng và phần mềm phân tán.
    3. Tối ưu hóa tham số tự động và thích ứng: Việc tối ưu hóa các siêu tham số cho các kỹ thuật học máy (Trích tóm tắt luận án, trang 1) là một lĩnh vực phức tạp và liên tục. Một chương trình nghiên cứu 10 năm sẽ tìm cách tự động hóa và thích ứng hóa quy trình này, cho phép các NIDS tự điều chỉnh hiệu quả theo các môi trường mạng và mối đe dọa thay đổi.
    4. Tích hợp học sâu và học bán giám sát/không giám sát: Mặc dù không được nêu trực tiếp trong phần hướng phát triển cuối cùng, Chương 2.3.2 đã thảo luận về các kỹ thuật học sâu (CNN, RNN, LSTM). Một chương trình nghiên cứu dài hạn sẽ chắc chắn khám phá cách tích hợp các kiến trúc học sâu mạnh mẽ này với khuôn khổ tiền xử lý hiện có để cải thiện khả năng phát hiện các tấn công mới (zero-day) và phức tạp hơn.
    5. Thử nghiệm và điều chỉnh trên các bộ dữ liệu mới, động: Liên tục thử nghiệm và điều chỉnh các mô hình trên các bộ dữ liệu NIDS mới nổi và động (ví dụ: CICIDS2017) sẽ là một phần không thể thiếu của chương trình nghiên cứu dài hạn để đảm bảo tính phù hợp và hiệu quả liên tục của các giải pháp.

Kết luận

Luận án này đã trình bày một nghiên cứu toàn diện và tiên phong nhằm nâng cao chất lượng phân lớp của các Hệ thống Phát hiện Xâm nhập Mạng (NIDS) thông qua sự tích hợp hài hòa giữa các kỹ thuật học máy phối hợp và tiền xử lý dữ liệu cải tiến. Những đóng góp cụ thể và có thể đo lường được bao gồm:

  1. Phát triển và xác nhận các thuật toán lựa chọn thuộc tính mới: mFFC và mBFE, đã được chứng minh là giảm đáng kể thời gian huấn luyện và tăng độ chính xác phân lớp bằng cách loại bỏ các thuộc tính không liên quan và dư thừa.
  2. Đổi mới các kỹ thuật lấy mẫu lại dữ liệu: Cải tiến các phương pháp tăng mẫu và giảm mẫu, giải quyết hiệu quả vấn đề mất cân bằng lớp trong các tập dữ liệu NIDS và nâng cao khả năng phát hiện các kiểu tấn công thiểu số.
  3. Thiết lập một khuôn khổ học máy phối hợp tối ưu: Chứng minh rằng sự kết hợp có hệ thống giữa tiền xử lý dữ liệu tiên tiến và các thuật toán học máy phối hợp (đồng nhất và không đồng nhất) mang lại hiệu suất vượt trội so với các phương pháp đơn lẻ hoặc các hệ thống không được tối ưu hóa.
  4. Kiểm định nghiêm ngặt trên bộ dữ liệu UNSW-NB15: Tất cả các giải pháp được đề xuất đã được kiểm thử toàn diện trên bộ dữ liệu UNSW-NB15 hiện đại, chứng minh sự cải thiện đáng kể về các chỉ số Accuracy, F-Measure và Sensitivity trên 9 kiểu tấn công đa dạng.
  5. Vạch ra lộ trình nghiên cứu tương lai rõ ràng: Luận án đã xác định các hạn chế hiện tại và đề xuất một chương trình nghiên cứu chi tiết, hướng tới việc phát triển các mô hình NIDS lai, đa nhãn, đáp ứng thời gian thực và hiệu quả tính toán, sử dụng xử lý song song và tối ưu hóa tham số.
  6. Đóng góp vào kho kiến thức về an ninh mạng: Cung cấp một bộ công cụ phương pháp luận và bằng chứng thực nghiệm mạnh mẽ để đối phó với các thách thức ngày càng tăng của tấn công mạng.

Nghiên cứu này không chỉ là một đóng góp đáng kể cho lĩnh vực Khoa học Máy tính mà còn thúc đẩy tiến bộ mô hình trong nghiên cứu NIDS bằng cách tái khẳng định và tinh chỉnh triết lý positivist thông qua các kết quả định lượng, đáng tin cậy. Nó mở ra ít nhất ba luồng nghiên cứu mới:

  • Phát triển NIDS đa nhãn, thời gian thực bằng cách tích hợp học sâu và học máy phối hợp.
  • Tối ưu hóa hiệu suất NIDS thông qua điện toán song song và tối ưu hóa tham số thích ứng.
  • Mở rộng khả năng phát hiện các kiểu tấn công zero-day thông qua các phương pháp học không giám sát tích hợp.

Với việc sử dụng bộ dữ liệu UNSW-NB15 quốc tế và so sánh với các nghiên cứu toàn cầu (Bảng 5.24 và Bảng 5.25), công trình này có tính liên quan toàn cầu cao. Di sản của nó có thể được đo lường bằng việc giảm thiểu tổn thất do tấn công mạng, tăng cường khả năng phục hồi của cơ sở hạ tầng số trên toàn thế giới, và cải thiện niềm tin của người dùng vào các hệ thống trực tuyến. Các kết quả này cung cấp một nền tảng vững chắc cho việc xây dựng các hệ thống phòng thủ mạng thông minh và hiệu quả hơn trong tương lai.