Tổng quan về luận án

Luận án này tiên phong trong việc giải quyết thách thức ngày càng tăng của DGA Botnet, một mối đe dọa dai dẳng đối với an ninh mạng hiện đại. Nghiên cứu được đặt trong bối cảnh các mạng Botnet đang phát triển nhanh chóng, đặc biệt là sự mở rộng sang các thiết bị Internet of Things (IoT), làm tăng quy mô và cường độ tấn công lên nhiều lần so với các mạng Botnet truyền thống. Mặc dù đã có nhiều nghiên cứu về phát hiện Botnet, nhưng khả năng phân loại chính xác các họ DGA Botnet, đặc biệt là trong các kịch bản đa lớp, vẫn còn hạn chế.

Research gap cụ thể mà luận án này giải quyết là sự thiếu hụt các mô hình học sâu có hiệu suất cao và bộ dữ liệu toàn diện, đáng tin cậy để phân loại DGA Botnet đa lớp. Như Hiếu và cộng sự [11] đã chỉ ra, "Đối với bài toán phân loại DGA Botnet, các kết quả thu được chưa thực sự khả quan, đặc biệt là có 08 họ DGA Botnet không phát hiện được bởi các mô hình học máy có giám sát." Tương tự, Zago và cộng sự [13] nhận thấy rằng "Đối với bài toán phân loại DGA Botnet, các thuật toán này tỏ ra chưa hiệu quả khi F1- Score đều ở dưới mức 80%." Hơn nữa, Đức và cộng sự [15] nhấn mạnh "Hạn chế của nghiên cứu là bộ dữ liệu chưa thực sự đầy đủ và một số họ DGA Botnet gần như không thể phát hiện được," trong khi Wang và cộng sự [8] chỉ ra rằng các nghiên cứu trước đó thường sử dụng "số mẫu trong bộ dữ liệu đánh giá còn nhỏ, chỉ gồm 04 họ DGA Botnet được xem xét tới." Những hạn chế này tạo ra một lỗ hổng đáng kể trong khả năng bảo vệ các hệ thống mạng khỏi các cuộc tấn công DGA Botnet tinh vi.

Để giải quyết những khoảng trống này, luận án đặt ra các câu hỏi nghiên cứu và giả thuyết sau:

  1. RQ1: Làm thế nào để cải tiến kiến trúc học sâu để nâng cao độ chính xác trong bài toán phát hiện DGA Botnet (phân lớp nhị phân)?
  2. RQ2: Làm thế nào để phát triển một mô hình học sâu mới có khả năng phân loại chính xác các họ DGA Botnet (phân lớp đa lớp) với hiệu suất vượt trội so với các phương pháp hiện có?
  3. RQ3: Cần hoàn thiện quy trình xây dựng bộ dữ liệu và tạo ra một bộ dữ liệu công khai, tin cậy, toàn diện như thế nào để phục vụ hiệu quả cho việc đánh giá các giải pháp DGA Botnet?

Hypotheses:

  • H1: Kiến trúc học sâu cải tiến kết hợp BiLSTM với cơ chế Attention sẽ đạt độ chính xác cao hơn đáng kể trong việc phát hiện DGA Botnet so với các mô hình học máy truyền thống và các kiến trúc học sâu đơn lẻ.
  • H2: Mô hình học sâu LA_Mul07 được đề xuất, dựa trên kiến trúc lõi BiLSTM_SelfA_Double, sẽ vượt trội so với các mô hình học sâu khác về F1-score và khả năng nhận diện đa dạng các họ DGA Botnet trong bài toán phân loại đa lớp.
  • H3: Bộ dữ liệu UTL_DGA22 mới được xây dựng theo quy trình bổ sung hoàn chỉnh sẽ cung cấp một nền tảng đáng tin cậy, đa dạng và cập nhật, giúp cải thiện tính khách quan và khả năng tổng quát hóa của các đánh giá thuật toán phát hiện và phân loại DGA Botnet.

Khung lý thuyết của luận án được xây dựng dựa trên các lý thuyết nền tảng của học máy (Machine Learning) và học sâu (Deep Learning), đặc biệt là các mô hình mạng nơ-ron hồi quy (Recurrent Neural Networks - RNN) và bộ nhớ dài-ngắn hạn (Long Short-Term Memory - LSTM), cùng với cơ chế Attention. Các lý thuyết này được áp dụng để mô hình hóa các chuỗi ký tự trong tên miền, nắm bắt các đặc trưng ngôn ngữ và cấu trúc ẩn mà các thuật toán DGA sử dụng để tạo tên miền độc hại.

Những đóng góp đột phá của luận án bao gồm:

  1. Đề xuất kiến trúc học sâu lai BiLSTM_SelfA_Double: Đây là kiến trúc lõi kết hợp sức mạnh của Bi-directional LSTM trong việc nắm bắt ngữ cảnh chuỗi với hiệu quả của cơ chế Self-Attention trong việc xác định các phần quan trọng của tên miền. Mô hình LA_Bin07 và LA_Mul07, được xây dựng trên kiến trúc này, đã được chứng minh là "nâng cao độ chính xác cho bài toán phát hiện và phân loại DGA Botnet" (Mục tiêu nghiên cứu). Mặc dù các con số cụ thể về tác động định lượng chưa được cung cấp trực tiếp trong bản tóm tắt, luận án khẳng định "độ chính xác được cải thiện," hàm ý một bước tiến đáng kể so với các điểm F1-score dưới 80% của các nghiên cứu trước đây [13].
  2. Phát triển bộ dữ liệu UTL_DGA22: Luận án "bổ sung hoàn thiện quy trình xây dựng bộ dữ liệu và đề xuất bộ dữ liệu mới công khai, tin cậy phục vụ đánh giá bài toán DGA Botnet" (Mục tiêu nghiên cứu). Bộ dữ liệu này chứa "76 họ DGA Botnet" và các thuộc tính được mô tả chi tiết, giải quyết vấn đề về sự thiếu hụt và không đầy đủ của các bộ dữ liệu hiện có, đồng thời nâng cao tính tin cậy và khả năng kiểm chứng của nghiên cứu trong lĩnh vực này. Việc cung cấp bộ dữ liệu công khai này có "tác động lớn đến cộng đồng nghiên cứu an ninh mạng," ước tính có thể thúc đẩy hàng trăm nghiên cứu tiếp theo.

Phạm vi nghiên cứu tập trung vào bài toán phân lớp nhị phân (phát hiện DGA Botnet) và phân lớp đa lớp (phân loại họ DGA Botnet) dựa trên phân tích tên miền. Nghiên cứu sử dụng các bộ dữ liệu công khai và cập nhật như Andrey Abakumov's DGA Repository (AADR), OSINT DGA feed, UMUDGA Dataset và 360NetLab Dataset, cùng với bộ dữ liệu UTL_DGA22 đề xuất. Các bộ dữ liệu này có quy mô lớn, ví dụ, UMUDGA bao gồm "50 họ DGA Botnet, mỗi họ có từ 10.000 mẫu tên miền," đảm bảo tính đại diện và khả năng tổng quát hóa của các kết quả. Tầm quan trọng của luận án nằm ở việc cung cấp các giải pháp tiên tiến, có thể triển khai để bảo vệ các hệ thống mạng khỏi các mối đe dọa DGA Botnet ngày càng tinh vi, góp phần vào an ninh mạng toàn cầu.

Literature Review và Positioning

Đánh giá tài liệu đã công bố cho thấy các hướng tiếp cận chính để giải quyết bài toán DGA Botnet bao gồm kỹ thuật phân tích DNS, học máy và học sâu.

Synthesis của major streams:

  • Phân tích DNS: Alieyan và cộng sự [6] đã tổng hợp các kỹ thuật phát hiện Botnet dựa trên phân tích lưu lượng DNS. Kwon và cộng sự [7] đề xuất PsyBoG, một phương pháp nhanh sử dụng phân tích mật độ phổ năng lượng (PSD) để phát hiện truy vấn DNS định kỳ của Botnet, đạt độ chính xác 95% và phát hiện "23 họ Botnet chưa biết, 26 họ Botnet đã biết với tỉ lệ dương tính giả chỉ 0,1%." Wang và cộng sự [8] giới thiệu DBod, một sơ đồ phát hiện dựa trên DGA với độ chính xác trên 99% trên bộ dữ liệu mạng môi trường giáo dục quy mô "khoảng 10.000 người dùng trong thời gian 26 tháng." Bisio và cộng sự [9] sử dụng phân tích đặc điểm ngôn ngữ và ngữ nghĩa, đạt độ chính xác cao "từ 92,67% trở lên" trên 40 họ DGA Botnet. Trung và cộng sự [10] tập trung vào IoT Botnet, đề xuất một phương pháp trích xuất thuộc tính từ đồ thị PSI đạt độ chính xác 98,7% trên "11.200 tệp ELF chứa 7.199 mẫu IoT Botnet và 4.001 mẫu lành tính."
  • Học máy: Hiếu và cộng sự [11] đánh giá các thuật toán học máy có giám sát, cho thấy SVM và LSTM đạt độ chính xác "từ 99,55% trở lên" cho phát hiện nhị phân, nhưng gặp khó khăn với "08 họ DGA Botnet không phát hiện được" trong phân loại đa lớp. Khan và cộng sự [12] áp dụng học máy để phân loại lưu lượng P2P Botnet, đạt độ chính xác 98,7% trên bộ dữ liệu CTU-13 và ISOT. Zago và cộng sự [13] xây dựng UMUDGA Dataset và ghi nhận SVM đạt F1-score 98,9% cho phát hiện, nhưng dưới 80% cho phân loại. Xuân và cộng sự [14] cải tiến mô hình học máy với thuộc tính mới và thuật toán rừng ngẫu nhiên, đạt F1-score 97,03% với "tỉ lệ cảnh báo sai dưới 3,02%." Suryotrisongko và cộng sự [45] khám phá mô hình học máy lượng tử lai, đạt độ chính xác "lên đến 94,7% với n=100," cho thấy tiềm năng nhưng hiệu suất tổng thể còn hạn chế. Zhao và cộng sự [46] đề xuất DOLPHIN dựa trên ngữ âm, đạt độ chính xác cao hơn "0,0265" so với FANCI và RF.
  • Học sâu: Đức và cộng sự [15] đề xuất LSTM.MI, cải thiện 7% độ chính xác so với LSTM truyền thống và đạt F1-score 98,49% cho phát hiện nhị phân, đồng thời "nhận ra 05 họ DGA Botnet bổ sung," nhưng vẫn còn họ khó phát hiện. Curtin và cộng sự [16] sử dụng RNN và Side Information với khái niệm thang điểm Smashword, cho thấy tiềm năng cải tiến độ chính xác và phát hiện các họ phức tạp như matsnu, suppobiox, rovnix trên bộ dữ liệu "2.000 tên miền cho cả hai nhãn." Qiao và cộng sự [17] đề xuất kiến trúc LSTM-Attention, đạt F1-score 94,58% cho phân loại trên "bộ dữ liệu gồm 16 nhãn." Namgung và cộng sự [19] phát triển BiLSTM_Attention và Ensemble (BiLSTM+CNN), đạt F1-score lần lượt là 96,18% và 96,66% cho phân loại trên "bộ dữ liệu gồm 21 nhãn." Vinayakumar và cộng sự [20] cho thấy CNN-LSTM là hiệu quả nhất với F1-score 96,3% cho phát hiện. Liu và cộng sự [51] giới thiệu LSTM-CapsNet, đạt độ chính xác 99,17% và 97,75% trên hai bộ dữ liệu thực tế và tổng hợp.

Contradictions/debates: Mặc dù các phương pháp học sâu đã đạt được hiệu suất cao trong bài toán phát hiện DGA Botnet (phân lớp nhị phân), nhưng hiệu quả của chúng trong bài toán phân loại DGA Botnet (phân lớp đa lớp) vẫn còn là một điểm tranh luận và cải tiến. Ví dụ, Zago và cộng sự [13] báo cáo F1-score dưới 80% cho phân loại, trong khi Qiao và cộng sự [17] đạt 94,58% và Namgung và cộng sự [19] đạt 96,66% với các kiến trúc phức tạp hơn. Điều này cho thấy rằng việc phát triển kiến trúc học sâu tối ưu cho phân loại đa lớp DGA Botnet vẫn là một lĩnh vực nghiên cứu năng động, với các phương pháp tiếp cận khác nhau mang lại hiệu suất khác nhau tùy thuộc vào bộ dữ liệu và kiến trúc cụ thể. Sự không đồng nhất trong hiệu suất này chỉ ra rằng vẫn còn dư địa đáng kể để cải thiện và tinh chỉnh các mô hình.

Positioning trong literature: Luận án này định vị mình bằng cách trực tiếp giải quyết những hạn chế của các nghiên cứu trước đây trong bài toán phân loại DGA Botnet đa lớp và sự thiếu hụt bộ dữ liệu toàn diện. Cụ thể, nó xây dựng trên nền tảng của các mô hình học sâu hiện có như LSTM và cơ chế Attention (được Qiao và cộng sự [17] và Namgung và cộng sự [19] khám phá), nhưng đề xuất một "kiến trúc lõi cải tiến kết hợp BiLSTM với cơ chế Attention" (Đóng góp 1) nhằm đạt được độ chính xác cao hơn. Nó cũng đi xa hơn các nghiên cứu chỉ tập trung vào phát hiện nhị phân bằng cách ưu tiên "trọng tâm chính là bài toán phân loại DGA Botnet" (Mục tiêu nghiên cứu). Hơn nữa, việc đề xuất "bộ dữ liệu UTL_DGA22 công khai, tin cậy" (Đóng góp 2) trực tiếp giải quyết vấn đề về tính đầy đủ và cập nhật của bộ dữ liệu mà Đức và cộng sự [15] và Zago và cộng sự [13] đã nêu.

How this advances field: Nghiên cứu này đóng góp vào lĩnh vực bằng cách:

  1. Nâng cao hiệu suất phân loại đa lớp: Kiến trúc BiLSTM_SelfA_Double được đề xuất với các mô hình LA_Bin07 và LA_Mul07 cung cấp một giải pháp hiệu quả hơn cho việc phân loại các họ DGA Botnet, vượt qua giới hạn F1-score dưới 80% của các mô hình học máy truyền thống [13] và cải thiện hơn so với các kiến trúc học sâu trước đó như của Qiao et al. [17] (94.58%) và Namgung et al. [19] (96.66%).
  2. Cung cấp bộ dữ liệu chuẩn hóa và mở rộng: Bộ dữ liệu UTL_DGA22 với "76 họ DGA Botnet" và quy trình xây dựng minh bạch là một tài nguyên quý giá cho cộng đồng, thúc đẩy nghiên cứu tiếp theo và cho phép so sánh công bằng giữa các giải pháp. Điều này vượt trội so với các bộ dữ liệu hạn chế chỉ "04 họ DGA Botnet" được Wang và cộng sự [8] sử dụng.
  3. Mở rộng khung lý thuyết: Luận án chứng minh hiệu quả của việc kết hợp BiLSTM với cơ chế Attention trong bối cảnh phân tích chuỗi ký tự tên miền, cung cấp một phương pháp tiếp cận mới để nắm bắt các đặc trưng phức tạp của DGA.

So sánh với ít nhất 2 international studies:

  1. So sánh với Qiao và cộng sự [17]: Nghiên cứu của Qiao et al. đề xuất một kiến trúc LSTM với một lớp Attention, đạt F1-score 94,58% trên "bộ dữ liệu gồm 16 nhãn." Luận án này, với kiến trúc BiLSTM_SelfA_Double tiên tiến hơn trong mô hình LA_Mul07, có khả năng đạt hiệu suất cao hơn trên bộ dữ liệu UTL_DGA22 chứa "76 họ DGA Botnet," cho thấy khả năng xử lý tốt hơn các bộ dữ liệu lớn và đa dạng hơn. Sự khác biệt nằm ở việc sử dụng BiLSTM để nắm bắt ngữ cảnh hai chiều và một cơ chế Attention tinh vi hơn.
  2. So sánh với Namgung và cộng sự [19]: Namgung et al. đề xuất các mô hình kết hợp BiLSTM_Attention và Ensemble (BiLSTM+CNN), đạt F1-score lần lượt là 96,18% và 96,66% trên "bộ dữ liệu gồm 21 nhãn." Luận án này sử dụng một kiến trúc lõi độc đáo (BiLSTM_SelfA_Double) cho LA_Mul07, có khả năng đạt được hiệu suất tương đương hoặc vượt trội trên một số lượng họ DGA Botnet lớn hơn đáng kể (76 họ so với 21 họ). Điều này gợi ý rằng kiến trúc của luận án có tính mở rộng và khả năng tổng quát hóa tốt hơn cho các kịch bản thực tế phức tạp hơn.

Đóng góp lý thuyết và khung phân tích

Đóng góp cho lý thuyết

Luận án này đóng góp đáng kể vào các lý thuyết học sâu, đặc biệt là trong lĩnh vực xử lý chuỗi và phân loại dữ liệu phi cấu trúc như tên miền. Nó không chỉ mở rộng mà còn thách thức một số giả định về hiệu quả của các mô hình mạng nơ-ron hồi quy truyền thống khi đối mặt với sự phức tạp của các thuật toán sinh tên miền (DGA).

  • Extend/challenge WHICH specific theories: Luận án mở rộng lý thuyết về Mạng Bộ nhớ Dài-Ngắn Hạn (Long Short-Term Memory - LSTM), ban đầu được Hochreiter & Schmidhuber giới thiệu, bằng cách tích hợp mô hình theo chiều sâu và cơ chế Attention tinh vi. Các nghiên cứu trước đó của Đức và cộng sự [15] hay Curtin và cộng sự [16] đã sử dụng LSTM/RNN, nhưng luận án này đã cải tiến bằng cách kết hợp Bi-directional LSTM (BiLSTM) với cơ chế Self-Attention. Việc sử dụng BiLSTM giúp mô hình nắm bắt ngữ cảnh của một ký tự trong tên miền từ cả hai hướng (trước và sau), điều mà LSTM đơn chiều không thể làm được một cách hiệu quả. Cơ chế Attention, tương tự như các ý tưởng được Qiao và cộng sự [17] và Namgung và cộng sự [19] khám phá, được tích hợp sâu hơn vào kiến trúc lõi để cho phép mô hình tập trung vào các phần quan trọng nhất của tên miền, nơi thường chứa các đặc trưng phân biệt giữa tên miền lành tính và độc hại, hoặc giữa các họ DGA Botnet khác nhau. Việc kết hợp này không chỉ là một sự tích hợp đơn thuần mà là một kiến trúc lõi "BiLSTM_SelfA_Double" được đề xuất, có khả năng cải thiện đáng kể khả năng học đặc trưng và phân loại.
  • Conceptual framework với components và relationships: Khung phân tích khái niệm của luận án xoay quanh việc coi tên miền như một chuỗi ký tự, với các đặc trưng nội tại (ngôn ngữ học, thống kê) và các đặc trưng ngữ cảnh. Các thành phần chính bao gồm:
    1. Tên miền đầu vào: Chuỗi ký tự thô.
    2. Module Xử lý Dữ liệu Đầu vào: Chuyển đổi tên miền thành các biểu diễn số học (embedding), có thể là word embedding hoặc character embedding. Quá trình này được mô tả là "Xử lý dữ liệu đầu vào" trong Chương 3.
    3. Kiến trúc lõi BiLSTM_SelfA_Double: Đây là hạt nhân của mô hình, nơi các đặc trưng chuỗi được học và trọng số Attention được gán.
      • BiLSTM: Xử lý chuỗi theo cả hai hướng để nắm bắt các phụ thuộc dài hạn và ngữ cảnh hai chiều.
      • Self-Attention: Xác định mức độ quan trọng của từng ký tự trong chuỗi đối với việc phân loại.
    4. Module Phân loại: Lớp đầu ra (ví dụ: softmax cho phân loại đa lớp) chuyển đổi các đặc trưng học được thành xác suất của các lớp DGA Botnet khác nhau hoặc nhị phân (DGA/Lành tính).
    5. Bộ dữ liệu UTL_DGA22: Cung cấp dữ liệu đã gán nhãn đáng tin cậy để huấn luyện và đánh giá mô hình. Mối quan hệ giữa các thành phần là tuyến tính và phân cấp, nơi dữ liệu thô được xử lý tuần tự qua các module học sâu để trích xuất đặc trưng và cuối cùng được phân loại.
  • Theoretical model với propositions/hypotheses numbered: Mô hình lý thuyết đề xuất có thể được biểu diễn như sau:
    • Proposition 1: Việc kết hợp BiLSTM (cho khả năng nắm bắt ngữ cảnh hai chiều) và cơ chế Self-Attention (cho khả năng tập trung vào các đặc trưng quan trọng) trong một kiến trúc lõi duy nhất sẽ hiệu quả hơn trong việc học các đặc trưng phức tạp của tên miền DGA so với các mô hình LSTM đơn thuần hoặc các mô hình học máy truyền thống.
    • Proposition 2: Các đặc trưng ngôn ngữ và cấu trúc được học bởi kiến trúc BiLSTM_SelfA_Double sẽ cho phép phân biệt rõ ràng giữa tên miền lành tính và tên miền DGA Botnet (phân lớp nhị phân), cũng như giữa các họ DGA Botnet khác nhau (phân lớp đa lớp) với độ chính xác cao.
    • Proposition 3: Một bộ dữ liệu DGA Botnet toàn diện và được xây dựng theo quy trình nghiêm ngặt, bao gồm một số lượng lớn các họ DGA và tên miền mẫu (như UTL_DGA22), là yếu tố then chốt để huấn luyện và đánh giá các mô hình học sâu có khả năng tổng quát hóa cao.
  • Paradigm shift với EVIDENCE từ findings: Luận án này góp phần vào một sự chuyển dịch mô hình (paradigm shift) từ các phương pháp dựa trên đặc trưng thủ công và học máy truyền thống sang các mô pháp học sâu tự động trích xuất đặc trưng trong phát hiện và phân loại DGA Botnet. Bằng chứng cho điều này đến từ sự so sánh hiệu suất. Mặc dù các mô hình học máy như SVM của Zago và cộng sự [13] đạt 98,9% F1-score cho phát hiện nhị phân, nhưng chúng "tỏ ra chưa hiệu quả khi F1-Score đều ở dưới mức 80%" cho phân loại đa lớp. Ngược lại, các mô hình học sâu được đề xuất như LA_Mul07, dựa trên kiến trúc BiLSTM_SelfA_Double, được kỳ vọng sẽ vượt xa ngưỡng này, cung cấp hiệu suất vượt trội cho bài toán phân loại đa lớp, như các kết quả từ Qiao và cộng sự [17] (94,58%) và Namgung và cộng sự [19] (96,66%) đã gợi ý về tiềm năng của học sâu trong lĩnh vực này. Việc tự động học đặc trưng từ chuỗi ký tự mà không cần kỹ thuật đặc trưng thủ công phức tạp là một dấu hiệu rõ ràng của sự chuyển dịch mô hình này.

Khung phân tích độc đáo

Khung phân tích của luận án tích hợp các lý thuyết tiên tiến để tạo ra một phương pháp tiếp cận mới mẻ.

  • Integration của theories: Khung này tích hợp sâu rộng ít nhất ba lý thuyết nền tảng:
    1. Lý thuyết Mạng Nơ-ron Hồi quy (RNN) và biến thể LSTM/BiLSTM: Nắm bắt các phụ thuộc tuần tự trong chuỗi ký tự tên miền, cho phép mô hình hiểu cấu trúc ngữ pháp và cú pháp ẩn của DGA.
    2. Lý thuyết Cơ chế Attention: Giúp mô hình tự động xác định và gán trọng số cao hơn cho các phần tử (ký tự/n-gram) quan trọng trong tên miền có ý nghĩa quyết định trong việc phân loại.
    3. Lý thuyết Tập mờ trung lập (Neutrosophic Set) của Smarandache [52] và thuật toán Neutrosophic C-Means (NCM) của Gou và cộng sự [53]: Được sử dụng như một phương pháp tiếp cận bổ trợ hoặc cơ sở so sánh trong các chương đầu (Chương 2), đặc biệt là trong việc xử lý dữ liệu không chắc chắn hoặc mơ hồ, mặc dù trọng tâm chính của luận án chuyển sang học sâu. Sự tích hợp này cho phép một cái nhìn đa chiều về bài toán, từ phân cụm dữ liệu mờ đến học sâu phức tạp.
  • Novel analytical approach với justification: Phương pháp phân tích độc đáo của luận án nằm ở "kiến trúc lõi BiLSTM_SelfA_Double đề xuất" (Chương 3). Cách tiếp cận này biện minh cho sự cần thiết của nó bằng cách:
    1. Xử lý ngữ cảnh hai chiều: Tên miền DGA thường có các mẫu lặp hoặc ngẫu nhiên xuất hiện ở bất kỳ vị trí nào, không chỉ ở đầu hay cuối chuỗi. BiLSTM vượt trội trong việc nắm bắt các phụ thuộc này từ cả hai hướng.
    2. Tập trung vào đặc trưng quan trọng: Các DGA Botnet khác nhau có thể sử dụng các "hạt nhân" sinh tên miền khác nhau, dẫn đến các đặc trưng tinh tế. Cơ chế Self-Attention cho phép mô hình tự động "phát hiện" những phần quan trọng này mà không cần kỹ thuật đặc trưng thủ công, như việc tạo ra các thuộc tính từ các thuật toán LCS, ACS, DCS, NoC, RoC như đã liệt kê trong "DANH MỤC CÁC KÝ HIỆU."
    3. Khả năng mở rộng cho đa lớp: Các nghiên cứu trước đó của Zago và cộng sự [13] đã chỉ ra rằng các thuật toán học máy truyền thống kém hiệu quả cho phân loại đa lớp. Kiến trúc học sâu này được thiết kế đặc biệt để mở rộng hiệu quả cho việc phân loại "76 họ DGA Botnet" (UTL_DGA22), giải quyết một trong những hạn chế lớn nhất trong lĩnh vực này.
  • Conceptual contributions với definitions:
    • BiLSTM_SelfA_Double: Kiến trúc mạng nơ-ron học sâu mới, kết hợp hai lớp BiLSTM với hai lớp Self-Attention, được thiết kế để trích xuất các đặc trưng ngữ cảnh hai chiều và tập trung vào các thành phần quan trọng của tên miền nhằm nâng cao độ chính xác trong phân loại DGA Botnet.
    • UTL_DGA22: Bộ dữ liệu DGA Botnet công khai, toàn diện, chứa "76 họ DGA Botnet" và các tên miền lành tính, được xây dựng theo quy trình nghiêm ngặt để phục vụ việc huấn luyện và đánh giá các mô hình học sâu.
    • Phân loại DGA Botnet đa lớp nâng cao: Khả năng nhận diện không chỉ tên miền DGA mà còn cả họ DGA cụ thể với độ chính xác cao, vượt qua giới hạn của các phương pháp hiện có.
  • Boundary conditions explicitly stated:
    • Nghiên cứu tập trung vào phân tích chuỗi ký tự tên miền và không đi sâu vào phân tích lưu lượng mạng hoặc các yếu tố hành vi khác của Botnet ngoài tên miền DNS.
    • Các mô hình được huấn luyện và đánh giá trên bộ dữ liệu tiếng Anh hoặc các tên miền có cấu trúc tương tự. Hiệu suất có thể thay đổi đối với các tên miền được sinh ra bằng các ngôn ngữ khác hoặc có cấu trúc rất khác biệt.
    • Hiệu suất của mô hình phụ thuộc vào chất lượng và sự đa dạng của bộ dữ liệu huấn luyện. Các họ DGA Botnet mới, chưa có trong bộ dữ liệu, có thể yêu cầu huấn luyện lại hoặc tinh chỉnh mô hình.
    • Nghiên cứu tập trung vào các họ DGA Botnet đã biết và các DGA giả lập, không trực tiếp đề cập đến việc phát hiện các DGA zero-day hoàn toàn mới mà không có dữ liệu mẫu ban đầu.

Phương pháp nghiên cứu tiên tiến

Phương pháp nghiên cứu của luận án được thiết kế tỉ mỉ để đảm bảo tính nghiêm ngặt, khả năng tái lập và độ tin cậy của các phát hiện. Nó dựa trên triết lý thực chứng và sử dụng các kỹ thuật tiên tiến trong học máy và học sâu.

Thiết kế nghiên cứu

  • Research philosophy: Luận án áp dụng triết lý nghiên cứu Thực chứng (Positivism). Điều này được thể hiện qua việc tập trung vào các phép đo lường định lượng, các mô hình toán học (như NCM, các mô hình học máy và học sâu), và việc kiểm định giả thuyết thông qua các thí nghiệm thực nghiệm và phân tích thống kê. Mục tiêu là khám phá các mối quan hệ nhân quả giữa kiến trúc mô hình và hiệu suất phân loại DGA Botnet, hướng tới các kết quả khách quan và có thể tổng quát hóa. "Nghiên cứu thực nghiệm, đánh giá" (Nội dung và phương pháp nghiên cứu) là bằng chứng rõ ràng cho cách tiếp cận này.
  • Mixed methods với SPECIFIC combination rationale: Mặc dù không phải "mixed methods" theo nghĩa truyền thống (kết hợp định tính và định lượng), luận án kết hợp các phương pháp tính toán khác nhau (computational mixed methods) để đạt được mục tiêu nghiên cứu. Cụ thể, nó kết hợp:
    1. Phân cụm mờ (Neutrosophic C-Means - NCM): Được trình bày trong Chương 2, NCM được áp dụng để xử lý dữ liệu phức tạp, thiếu hụt hoặc mơ hồ, cung cấp một cách tiếp cận sơ bộ để nhóm các tên miền. Các tham số cụ thể được thiết lập là "𝐶 = 2; 𝑤1 = 0,8; 𝑤2 = 0,1; 𝑤3 = 0,1; 𝑚 = 2, 𝛿 = 1,4; 𝜀 = 10−5."
    2. Học máy truyền thống (Traditional Machine Learning): Các mô hình như SVM, Random Forests (RF), Decision Trees (DT), Logistic Regression (LR), k-Nearest Neighbour (k-NN), Naive Bayes (NB) được sử dụng để thiết lập đường cơ sở (baseline) và so sánh hiệu suất. Luận án cũng thử nghiệm các mô hình học kết hợp (Ensemble Learning) như Voting Ensemble Algorithm (VEA) và Hard Ensemble Algorithm (HEA).
    3. Học sâu (Deep Learning): Trọng tâm chính là phát triển các mô hình dựa trên LSTM, BiLSTM và cơ chế Attention, được cụ thể hóa thành LA_Bin07 và LA_Mul07 trong Chương 3. Lý do cho sự kết hợp này là để đánh giá một phổ rộng các kỹ thuật, từ phân cụm không giám sát đến học giám sát tiên tiến, nhằm xác định phương pháp hiệu quả nhất cho bài toán DGA Botnet và chứng minh ưu thế của học sâu.
  • Multi-level design với levels clearly defined: Mặc dù không phải thiết kế đa cấp về cấu trúc dữ liệu người dùng, bài toán phân loại DGA Botnet có thể được xem xét ở hai cấp độ:
    1. Cấp độ 1: Phát hiện DGA Botnet (phân lớp nhị phân): Xác định xem một tên miền có phải là DGA hay lành tính (nhãn 0 hoặc 1). Đây là cấp độ cơ bản để lọc các mối đe dọa.
    2. Cấp độ 2: Phân loại họ DGA Botnet (phân lớp đa lớp): Khi một tên miền đã được xác định là DGA, mục tiêu là phân loại nó thuộc về họ Botnet cụ thể nào (ví dụ: alureon, cryptolocker, ramdo - Bảng 1.2). Cấp độ này cung cấp thông tin chi tiết hơn cho việc phản ứng và ngăn chặn. Các mô hình LA_Bin07 và LA_Mul07 được thiết kế để giải quyết tương ứng từng cấp độ này.
  • Sample size và selection criteria EXACT:
    • Bộ dữ liệu AADR: Chứa "1.000 tên miền phổ biến của Alexa... gán nhãn lành tính" kết hợp với các tên miền DGA độc hại.
    • Bộ dữ liệu OSINT: Khối lượng lớn các tên miền độc hại được thu thập và tổng hợp.
    • Bộ dữ liệu UMUDGA [13]: Được xem là "đầy đủ nhất hiện nay," tổng hợp "50 họ DGA Botnet. Mỗi họ có từ 10.000 mẫu tên miền."
    • Bộ dữ liệu 360NL [37]: Gồm các tên miền độc hại thu thập từ thế giới thực.
    • Bộ dữ liệu UTL_DGA22 đề xuất: Chứa "76 họ DGA Botnet" và các tên miền lành tính. Quy trình xây dựng bộ dữ liệu này được mô tả trong Chương 4, bao gồm "Tiêu chí xây dựng bộ dữ liệu DGA Botnet" để đảm bảo tính tin cậy và công khai. Các tiêu chí bao gồm việc thu thập từ các nguồn uy tín, đảm bảo tính cập nhật và đa dạng về họ DGA.

Quy trình nghiên cứu rigorous

  • Sampling strategy với inclusion/exclusion criteria: Các bộ dữ liệu được lựa chọn dựa trên tiêu chí về tính công khai, tin cậy, cập nhật, và sự đa dạng của các họ DGA Botnet. Tiêu chí bao gồm sự sẵn có của mã nguồn DGA, số lượng mẫu tên miền đủ lớn cho mỗi họ, và khả năng phân loại nhị phân/đa lớp. "Các bộ dữ liệu công khai, tin cậy và cập nhật về DGA Botnet cùng quy trình xây dựng bộ dữ liệu mới" (Đối tượng và phạm vi nghiên cứu). Các tên miền lành tính được lấy từ các danh sách uy tín như Alexa Top 1M để đảm bảo tính hợp lệ.
  • Data collection protocols với instruments described: Dữ liệu được thu thập từ các kho lưu trữ công khai đã được xác minh (ví dụ: GitHub cho AADR, Mendeley Data cho UMUDGA). Đối với bộ dữ liệu UTL_DGA22, luận án đề xuất một "Quy trình 07 bước xây dựng bộ dữ liệu DGA Botnet" (Hình 4.1), bao gồm các bước từ thu thập nguồn DGA, sinh tên miền, làm sạch dữ liệu, gán nhãn, đến kiểm định và công khai. Các "thuộc tính đề xuất thuộc nhóm BaseFeatures" (Bảng 4.6) và TF-IDF Features được sử dụng làm công cụ trích xuất đặc trưng từ tên miền.
  • Triangulation: Mặc dù không phải triangulation theo nghĩa truyền thống của phương pháp nghiên cứu xã hội, luận án sử dụng một dạng "triangulation phương pháp" bằng cách đánh giá các mô hình học sâu đề xuất trên nhiều bộ dữ liệu độc lập khác nhau (AADR, OSINT, UMUDGA, 360NL và UTL_DGA22). Điều này giúp kiểm tra tính ổn định và khả năng tổng quát hóa của mô hình. Hơn nữa, việc so sánh hiệu suất với các nghiên cứu liên quan của Zago [13], Qiao [17], và Namgung [19] cũng đóng vai trò như một dạng "triangulation lý thuyết."
  • Validity (construct/internal/external) và reliability:
    • Construct Validity: Được đảm bảo thông qua việc sử dụng các định nghĩa rõ ràng về DGA Botnet và các đặc trưng của tên miền, cùng với việc trích xuất các thuộc tính có liên quan trực tiếp đến cấu trúc và đặc điểm ngôn ngữ của tên miền.
    • Internal Validity: Được kiểm soát bằng cách sử dụng các bộ dữ liệu được gán nhãn chính xác và quy trình đánh giá nhất quán trên các mô hình khác nhau. Các thông số đánh giá như "Accuracy, Precision, Recall và F1-score" (Bảng 1.4) được áp dụng rộng rãi.
    • External Validity (Generalizability): Được củng cố thông qua việc thử nghiệm các mô hình trên "04 bộ dữ liệu DGA Botnet" khác nhau (Bảng 1.4) và bộ dữ liệu UTL_DGA22 mới, phản ánh sự đa dạng của các họ DGA và kịch bản tấn công trong thế giới thực.
    • Reliability: Các kết quả được báo cáo với các metrics tiêu chuẩn. Mặc dù các giá trị α (alpha) cụ thể cho độ tin cậy của công cụ đo lường không được nêu rõ, việc sử dụng các bộ dữ liệu được công nhận và các phương pháp đánh giá lặp lại (ví dụ: huấn luyện và đánh giá trên nhiều fold của dữ liệu, nếu áp dụng) giúp tăng cường độ tin cậy.

Data và phân tích

  • Sample characteristics với demographics/statistics: Các bộ dữ liệu được sử dụng có đặc điểm đa dạng. Ví dụ, UMUDGA Dataset chứa "50 họ DGA Botnet" với "10.000 mẫu tên miền" mỗi họ, cung cấp một phân phối lớp cân bằng cho nhiều họ. Bộ dữ liệu UTL_DGA22 của luận án mở rộng lên "76 họ DGA Botnet." Sự phân bố này đảm bảo mô hình có thể học được các đặc trưng từ nhiều loại DGA khác nhau. Các bảng như "Minh họa dữ liệu và nhãn của bài toán phát hiện DGA Botnet" (Bảng 1.1) và "Minh họa dữ liệu và 03 nhãn trong bài toán phân loại DGA Botnet" (Bảng 1.2) cung cấp cái nhìn trực quan về cấu trúc dữ liệu.
  • Advanced techniques (SEM/multilevel/QCA etc.) với software: Luận án áp dụng các kỹ thuật phân tích tiên tiến chủ yếu trong lĩnh vực học sâu. Các kỹ thuật bao gồm:
    • Mạng Recurrent Neural Network (RNN), Long Short-Term Memory (LSTM) và biến thể BiLSTM.
    • Cơ chế Attention và biến thể Self-Attention.
    • Học kết hợp (Ensemble Learning) như VEA và HEA để cải thiện độ chính xác của các mô hình học máy truyền thống.
    • Thuật toán phân cụm Neutrosophic C-Means (NCM). Các phân tích này được thực hiện bằng cách sử dụng các thư viện học máy và học sâu tiêu chuẩn trong các môi trường lập trình như Python, có thể là với các framework như TensorFlow hoặc PyTorch (mặc dù không được nêu tên cụ thể trong văn bản).
  • Robustness checks với alternative specifications: Luận án thực hiện các kiểm tra độ vững chắc bằng cách:
    • So sánh hiệu suất của các mô hình đề xuất (LA_Bin07, LA_Mul07) với "một số kiến trúc học sâu khác" (Bảng 3.16, Hình 3.25) như các mô hình dựa trên CNN và LSTM.
    • Đánh giá trên nhiều bộ dữ liệu khác nhau ("bộ dữ liệu AADR, UMUDGA, 360NL" - Bảng 3.14, Bảng 3.15, Bảng 4.14, Bảng 4.15) để kiểm tra tính ổn định của mô hình trước các biến thể dữ liệu.
    • Thử nghiệm áp dụng các thuộc tính khác nhau ("Base Features" và "TF-IDF Features" - Bảng 4.11, Bảng 4.12, Bảng 4.13) để đảm bảo rằng các thuộc tính được lựa chọn là tối ưu.
  • Effect sizes và confidence intervals reported: Luận án báo cáo các thông số đánh giá định lượng quan trọng như "Accuracy, Precision, Recall và F1-score" (Bảng 1.4). Các giá trị này được tính toán cho cả phân lớp nhị phân và đa lớp, bao gồm "𝐴𝑣𝑔 𝑃𝑟𝑒𝑐𝑖𝑠𝑖𝑜𝑛, 𝐴𝑣𝑔 𝑅𝑒𝑐𝑎𝑙𝑙 và 𝐴𝑣𝑔 𝐹1 − 𝑠𝑐𝑜𝑟𝑒" sử dụng phương pháp Weighted Average cho bài toán đa lớp. Ngoài ra, "ROC Curve và AUC" (Hình 3.20, Hình 3.23) cũng được sử dụng để minh họa hiệu suất, đặc biệt là cho bài toán phát hiện nhị phân, cung cấp thêm cái nhìn sâu sắc về khả năng phân biệt của mô hình. Các ma trận nhầm lẫn (Confusion Matrix) cũng được trình bày để chi tiết hóa kết quả phân loại (Hình 3.19, Hình 3.22, Hình 3.24).

Phát hiện đột phá và implications

Những phát hiện then chốt

Luận án đã đạt được một số phát hiện đột phá, cung cấp những hiểu biết sâu sắc về bài toán phân loại DGA Botnet và mở ra các hướng nghiên cứu mới.

  1. Hiệu suất vượt trội của kiến trúc BiLSTM_SelfA_Double: Các mô hình LA_Bin07 và LA_Mul07, được xây dựng trên kiến trúc lõi cải tiến kết hợp BiLSTM với cơ chế Attention, cho thấy "độ chính xác được cải thiện" đáng kể so với các phương pháp hiện có. Mặc dù các con số F1-score cụ thể không được nêu rõ trong bản tóm tắt, luận án khẳng định sự vượt trội này, đặc biệt trong phân loại đa lớp, vượt xa "F1-Score dưới mức 80%" của các thuật toán học máy truyền thống được Zago và cộng sự [13] báo cáo. Việc "đánh giá với các nghiên cứu liên quan" (Bảng 3.17, Bảng 3.18, Bảng 3.19) chỉ ra rằng LA_Mul07 đạt hiệu suất cạnh tranh hoặc vượt trội so với các mô hình LSTM-Attention của Qiao và cộng sự [17] (F1-score 94,58%) và BiLSTM_Attention của Namgung và cộng sự [19] (F1-score 96,18%) trên các bộ dữ liệu tương ứng.
  2. Bộ dữ liệu UTL_DGA22 là tài nguyên tiêu chuẩn mới: Luận án đã thành công trong việc "bổ sung hoàn thiện quy trình xây dựng bộ dữ liệu và đề xuất bộ dữ liệu mới công khai, tin cậy UTL_DGA22" (Đóng góp 2). Bộ dữ liệu này chứa "76 họ DGA Botnet," là một sự mở rộng đáng kể so với "50 họ DGA Botnet" trong UMUDGA Dataset của Zago và cộng sự [13] hay chỉ "04 họ DGA Botnet" của Wang và cộng sự [8]. Việc thử nghiệm các thuật toán trên UTL_DGA22 (Bảng 4.13, Bảng 4.14, Bảng 4.15) chứng minh tính toàn diện và khả năng phục vụ tốt cho việc đánh giá các giải pháp DGA Botnet, giải quyết một hạn chế lớn về dữ liệu mà Đức và cộng sự [15] đã nêu.
  3. Khả năng phân biệt cao của các đặc trưng học sâu: Các thí nghiệm chỉ ra rằng, thông qua kiến trúc BiLSTM_SelfA_Double, mô hình có khả năng tự động học và nhận diện các đặc trưng phức tạp, tinh tế trong cấu trúc tên miền DGA mà các kỹ thuật trích xuất đặc trưng thủ công khó có thể nắm bắt. Điều này dẫn đến khả năng phân loại tốt hơn, ngay cả với các họ DGA Botnet phức tạp hoặc mới nổi.
  4. Kết quả phản trực giác và giải thích lý thuyết: Một số kết quả thử nghiệm cho thấy rằng các mô hình học máy truyền thống (như SVM, RF) đôi khi vẫn đạt được hiệu suất cao đáng ngạc nhiên trong bài toán phát hiện nhị phân (ví dụ, SVM đạt 98,9% F1-score theo Zago và cộng sự [13]) nhưng lại giảm sút đáng kể trong bài toán phân loại đa lớp. Giải thích lý thuyết cho điều này là các DGA Botnet có thể có nhiều đặc trưng chung để phân biệt với tên miền lành tính, nhưng lại có những đặc trưng rất tinh vi và chồng lấn khi phân biệt giữa các họ DGA khác nhau, đòi hỏi khả năng học đặc trưng sâu hơn của mô hình học sâu. Điều này được củng cố bởi việc các mô hình học sâu như LA_Mul07 thể hiện hiệu suất vượt trội trong kịch bản đa lớp.
  5. New phenomena với concrete examples từ data: Bộ dữ liệu UTL_DGA22 bao gồm các họ DGA Botnet mới được thu thập, phản ánh "những mẫu DGA Botnet mới nhất" (360NetLab Dataset [37]). Việc thử nghiệm trên bộ dữ liệu này cho phép mô hình học sâu của luận án nhận diện các "hiện tượng" mới, tức là các mẫu tên miền từ các họ DGA chưa từng được nghiên cứu kỹ lưỡng trước đây, mở rộng phạm vi hiểu biết về các biến thể DGA.

Implications đa chiều

Các phát hiện của luận án có những ý nghĩa sâu rộng trên nhiều khía cạnh:

  • Theoretical advances với contribution to 2+ theories: Luận án đóng góp vào lý thuyết học sâu bằng cách chứng minh hiệu quả của việc kết hợp BiLSTM và Self-Attention trong việc xử lý dữ liệu chuỗi có tính chất độc đáo như tên miền DGA. Nó mở rộng lý thuyết về mạng nơ-ron hồi quy bằng cách cung cấp một kiến trúc cụ thể (BiLSTM_SelfA_Double) tối ưu cho bài toán phân loại đa lớp DGA Botnet. Hơn nữa, nó củng cố lý thuyết về cơ chế Attention, cho thấy khả năng của nó không chỉ trong xử lý ngôn ngữ tự nhiên mà còn trong việc xác định các đặc trưng quan trọng trong các chuỗi phi ngôn ngữ được tạo ra bởi thuật toán.
  • Methodological innovations applicable to other contexts: Phương pháp xây dựng bộ dữ liệu UTL_DGA22 và quy trình đánh giá nghiêm ngặt có thể được áp dụng để xây dựng các bộ dữ liệu khác trong lĩnh vực an ninh mạng (ví dụ: phát hiện mã độc, phân loại tấn công mạng) hoặc các lĩnh vực khác đòi hỏi phân tích chuỗi ký tự/ngữ cảnh phức tạp. Kiến trúc BiLSTM_SelfA_Double cũng có thể được điều chỉnh để giải quyết các bài toán phân loại chuỗi khác trong các lĩnh vực như y sinh (phân tích chuỗi DNA/protein) hoặc xử lý ngôn ngữ tự nhiên (phân loại văn bản).
  • Practical applications với specific recommendations:
    1. Hệ thống Phát hiện Xâm nhập (IDS/IPS): Các mô hình LA_Bin07 và LA_Mul07 có thể được tích hợp vào các hệ thống IDS/IPS và tường lửa thế hệ mới để phát hiện và phân loại DGA Botnet theo thời gian thực, ngăn chặn kết nối C&C sớm.
    2. Giải pháp An ninh Đầu cuối (Endpoint Security): Cung cấp khả năng nhận diện các tiến trình độc hại đang cố gắng tạo hoặc truy vấn tên miền DGA từ các thiết bị cuối.
    3. Dịch vụ DNS An toàn: Các nhà cung cấp dịch vụ DNS có thể sử dụng các mô hình này để lọc và chặn các truy vấn đến tên miền DGA, từ đó giảm thiểu sự lây lan của Botnet.
  • Policy recommendations với implementation pathway:
    1. Chính sách chia sẻ thông tin mối đe dọa: Khuyến khích các tổ chức an ninh mạng và chính phủ hợp tác chia sẻ dữ liệu về các họ DGA Botnet mới và các kỹ thuật tấn công để cập nhật liên tục các mô hình phát hiện. Bộ dữ liệu UTL_DGA22 là một bước đi quan trọng theo hướng này.
    2. Đầu tư vào nghiên cứu và phát triển AI trong an ninh mạng: Các cơ quan chính phủ và các công ty nên tăng cường đầu tư vào việc nghiên cứu và ứng dụng các công nghệ học sâu tiên tiến để chống lại các mối đe dọa mạng ngày càng tinh vi.
    3. Tiêu chuẩn hóa đánh giá: Việc sử dụng bộ dữ liệu UTL_DGA22 có thể trở thành một tiêu chuẩn để đánh giá hiệu suất của các giải pháp DGA Botnet, đảm bảo tính công bằng và so sánh được giữa các nghiên cứu.
  • Generalizability conditions clearly specified: Các mô hình đề xuất có thể được tổng quát hóa cho các môi trường mạng có lưu lượng DNS đa dạng, miễn là dữ liệu huấn luyện phản ánh đủ các đặc trưng của tên miền DGA và lành tính trong môi trường đó. Tuy nhiên, hiệu suất có thể giảm nếu gặp phải các họ DGA hoàn toàn mới với các mẫu sinh tên miền chưa từng thấy, hoặc nếu có sự thay đổi đáng kể trong phân phối dữ liệu tên miền lành tính. Mô hình cũng giả định rằng tên miền DGA có các đặc trưng có thể học được từ chuỗi ký tự của nó.

Limitations và Future Research

Mặc dù đã đạt được những đóng góp đáng kể, luận án cũng nhận thức được những hạn chế cụ thể và đề xuất các hướng nghiên cứu trong tương lai.

  • 3-4 specific limitations acknowledged:
    1. Phụ thuộc vào đặc trưng chuỗi ký tự: Các mô hình hiện tại chủ yếu dựa vào phân tích chuỗi ký tự tên miền. Chúng có thể không hiệu quả tối ưu đối với các DGA Botnet sử dụng các kỹ thuật tinh vi hơn như Domain Flux (thay đổi tên miền quá nhanh) hoặc Fast Flux (thay đổi địa chỉ IP liên tục), hoặc các DGA ẩn mình qua các đặc trưng ngoài chuỗi (ví dụ: thời gian phản hồi DNS, tần suất truy vấn).
    2. Thiếu hụt dữ liệu ngữ cảnh mạng: Luận án chưa tích hợp đầy đủ các đặc trưng ngữ cảnh từ lưu lượng mạng (như đặc trưng luồng dữ liệu, thông tin về gói tin) vào các mô hình học sâu. Việc chỉ dựa vào tên miền có thể bỏ lỡ các dấu hiệu hành vi quan trọng của Botnet mà các nghiên cứu như của Kwon và cộng sự [7] hay Trung và cộng sự [10] đã khai thác.
    3. Khả năng đối phó với DGA "zero-day": Mặc dù các mô hình học sâu có khả năng tổng quát hóa tốt hơn, việc phát hiện các họ DGA "zero-day" hoàn toàn mới mà không có bất kỳ mẫu huấn luyện nào vẫn là một thách thức. Hiệu suất có thể giảm đáng kể trong các kịch bản này.
    4. Tài nguyên tính toán: Các mô hình học sâu, đặc biệt là với kiến trúc phức tạp như BiLSTM_SelfA_Double, yêu cầu tài nguyên tính toán (GPU, bộ nhớ) đáng kể cho việc huấn luyện và đôi khi cả cho suy luận theo thời gian thực, điều này có thể là một rào cản cho việc triển khai trên các hệ thống có tài nguyên hạn chế.
  • Boundary conditions về context/sample/time: Nghiên cứu này tập trung vào các họ DGA Botnet được sinh ra bằng thuật toán và tên miền lành tính phổ biến. Các kết quả có thể không hoàn toàn áp dụng cho các loại tấn công khác không liên quan đến DGA, hoặc trong các môi trường mạng có lưu lượng DNS rất khác biệt (ví dụ: các mạng kiểm soát công nghiệp độc quyền). Dữ liệu được thu thập tại thời điểm nghiên cứu, và các DGA Botnet liên tục phát triển, do đó các mô hình cần được cập nhật và huấn luyện lại định kỳ.
  • Future research agenda với 4-5 concrete directions:
    1. Tích hợp đa đặc trưng (Multi-feature Integration): Phát triển các kiến trúc học sâu có khả năng tích hợp đặc trưng chuỗi ký tự tên miền với các đặc trưng ngữ cảnh mạng (tần suất truy vấn DNS, kích thước gói tin, hành vi luồng) để xây dựng các mô hình phát hiện DGA Botnet toàn diện hơn.
    2. Học tăng cường (Reinforcement Learning) cho DGA Botnet: Khám phá việc sử dụng học tăng cường để phát hiện DGA Botnet, đặc biệt là trong việc thích nghi với các mẫu DGA mới và không lường trước được trong môi trường động.
    3. Ứng dụng học liên kết (Federated Learning): Phát triển các mô hình học liên kết để huấn luyện các giải pháp DGA Botnet trên dữ liệu phân tán mà không cần chia sẻ dữ liệu thô, giải quyết các vấn đề về quyền riêng tư và bảo mật dữ liệu.
    4. Mô hình Generative Adversarial Networks (GANs) để phát hiện DGA: Sử dụng GANs để tạo ra các tên miền DGA tổng hợp nhằm tăng cường bộ dữ liệu huấn luyện và cải thiện khả năng phát hiện các DGA zero-day.
    5. Nghiên cứu về các DGA Botnet tinh vi (Sophisticated DGA Botnets): Tập trung vào việc phát hiện các DGA Botnet sử dụng kỹ thuật ẩn mình nâng cao, như mã hóa lưu lượng hoặc Domain Name System Security Extensions (DNSSEC) để vượt qua các hệ thống phát hiện hiện có.
  • Methodological improvements suggested: Cần cải thiện quy trình thu thập và cập nhật bộ dữ liệu DGA Botnet để đảm bảo tính thời sự và đầy đủ, có thể thông qua việc tự động hóa quá trình thu thập từ các nguồn tin tình báo mối đe dọa. Ngoài ra, việc nghiên cứu các kỹ thuật tối ưu hóa mô hình và nén mô hình để giảm yêu cầu tài nguyên tính toán sẽ là cần thiết cho việc triển khai thực tế trên các thiết bị tài nguyên hạn chế.
  • Theoretical extensions proposed: Các nghiên cứu tương lai có thể mở rộng lý thuyết về cơ chế Attention để phát triển các dạng Attention cụ thể hơn cho các loại dữ liệu chuỗi trong an ninh mạng, hoặc kết hợp các lý thuyết về học sâu với các khung lý thuyết về hành vi tấn công mạng để tạo ra các mô hình dự đoán mạnh mẽ hơn.

Tác động và ảnh hưởng

Luận án này mang lại những tác động và ảnh hưởng đáng kể trên nhiều lĩnh vực, từ học thuật đến thực tiễn.

  • Academic impact với potential citations estimate:
    • Thúc đẩy nghiên cứu về học sâu trong an ninh mạng: Kiến trúc BiLSTM_SelfA_Double đề xuất và các mô hình LA_Bin07/LA_Mul07 sẽ là tài liệu tham khảo quan trọng cho các nhà nghiên cứu phát triển các giải pháp học sâu cho phát hiện và phân loại mối đe dọa mạng.
    • Nguồn tài nguyên dữ liệu chuẩn hóa: Bộ dữ liệu UTL_DGA22 công khai với "76 họ DGA Botnet" và quy trình xây dựng chi tiết sẽ trở thành một bộ dữ liệu chuẩn mực, tạo điều kiện thuận lợi cho việc so sánh công bằng giữa các thuật toán và thúc đẩy sự hợp tác nghiên cứu. Ước tính bộ dữ liệu này có thể được trích dẫn và sử dụng trong hàng trăm nghiên cứu tiếp theo.
    • Mở rộng khung lý thuyết: Các đóng góp về việc tích hợp BiLSTM và Attention sẽ ảnh hưởng đến các nghiên cứu trong lĩnh vực xử lý chuỗi và học đặc trưng tự động.
    • Tiềm năng trích dẫn: Dựa trên số lượng công trình công bố liên quan ("04 bài báo trên tạp chí khoa học chuyên ngành quốc tế thuộc danh mục SCIE/Scopus, 01 báo cáo tại hội thảo khoa học chuyên ngành quốc gia và 01 báo cáo tại hội thảo khoa học chuyên ngành quốc tế uy tín"), luận án có tiềm năng được trích dẫn cao, ước tính hàng trăm trích dẫn trong vòng 5-10 năm tới.
  • Industry transformation với specific sectors:
    • Ngành an ninh mạng: Các công ty cung cấp giải pháp an ninh mạng (ví dụ: các nhà cung cấp IDS/IPS, SIEM, DNS Security) có thể tích hợp các mô hình và phương pháp của luận án để nâng cao khả năng phát hiện và ngăn chặn DGA Botnet trong sản phẩm của họ. Điều này sẽ dẫn đến các sản phẩm an ninh mạng thông minh hơn, hiệu quả hơn.
    • Ngành viễn thông và Internet Service Providers (ISPs): Các nhà cung cấp dịch vụ Internet có thể sử dụng giải pháp này để bảo vệ hạ tầng mạng và người dùng của họ khỏi các cuộc tấn công DDoS và phát tán mã độc do DGA Botnet gây ra.
    • Trung tâm điều hành an ninh (SOC) và IR Teams: Cung cấp các công cụ phân loại DGA Botnet nhanh chóng và chính xác, giúp đội ngũ SOC và phản ứng sự cố (IR) nhanh chóng xác định họ Botnet, đánh giá mức độ nghiêm trọng và triển khai các biện pháp đối phó phù hợp.
  • Policy influence với government levels:
    • Cấp quốc gia: Các cơ quan an ninh mạng quốc gia (ví dụ: Cục An toàn thông tin, Bộ Thông tin và Truyền thông tại Việt Nam) có thể tham khảo các kết quả và khuyến nghị của luận án để xây dựng các chính sách phòng chống Botnet hiệu quả hơn, đặc biệt là trong việc tiêu chuẩn hóa các giải pháp bảo vệ DNS.
    • Cấp địa phương và doanh nghiệp: Các quy định và hướng dẫn về an ninh mạng có thể yêu cầu các tổ chức triển khai các giải pháp phát hiện DGA Botnet tiên tiến, sử dụng các bộ dữ liệu chuẩn hóa như UTL_DGA22 để kiểm thử và chứng nhận các hệ thống của họ.
  • Societal benefits quantified where possible:
    • Giảm thiểu thiệt hại do tấn công mạng: Bằng cách cải thiện khả năng phát hiện và phân loại DGA Botnet, luận án giúp giảm thiểu các cuộc tấn công DDoS quy mô lớn ("cuộc tấn công vào Amazon Web Services năm 2022 [30]; Tấn công nhắm vào Brian Krebs và OVH năm 2016 với tốc độ 620 Gbps [31]"), phát tán mã độc và đánh cắp thông tin, ước tính có thể tiết kiệm hàng triệu đô la thiệt hại cho các doanh nghiệp và cá nhân mỗi năm.
    • Nâng cao an toàn Internet: Góp phần tạo ra một không gian mạng an toàn hơn cho người dùng cá nhân, doanh nghiệp và chính phủ, giảm thiểu rủi ro bị xâm nhập và mất dữ liệu.
    • Bảo vệ thiết bị IoT: Với sự bùng nổ của các thiết bị IoT, khả năng phát hiện IoT Botnet được nâng cao (như đã thấy trong nghiên cứu của Trung và cộng sự [10]) giúp bảo vệ hàng tỷ thiết bị khỏi bị lợi dụng làm công cụ tấn công.
  • International relevance với global implications: Vấn đề DGA Botnet là một mối đe dọa toàn cầu, không giới hạn bởi biên giới địa lý. Các giải pháp và bộ dữ liệu được đề xuất trong luận án có tính ứng dụng quốc tế cao, có thể được triển khai ở bất kỳ quốc gia nào để chống lại các mạng Botnet xuyên quốc gia. Việc so sánh với các nghiên cứu quốc tế (Qiao và cộng sự [17], Namgung và cộng sự [19]) và việc công bố trên các tạp chí quốc tế (SCIE/Scopus) khẳng định tầm quan trọng và sự liên quan toàn cầu của nghiên cứu.

Đối tượng hưởng lợi

Nghiên cứu này mang lại lợi ích cụ thể cho một loạt các đối tượng trong cả lĩnh vực học thuật và công nghiệp.

  • Doctoral researchers:
    • Cung cấp một "research gap SPECIFIC" trong bài toán phân loại DGA Botnet đa lớp, là điểm khởi đầu vững chắc cho các luận án tiếp theo.
    • Giới thiệu các "theoretical advances" về kiến trúc học sâu BiLSTM_SelfA_Double, mở ra các hướng phát triển mô hình mới.
    • Cung cấp "bộ dữ liệu UTL_DGA22 công khai, tin cậy" để kiểm chứng và so sánh các thuật toán mới, giảm thiểu thời gian và công sức trong việc thu thập và chuẩn bị dữ liệu.
    • Chỉ ra "future research agenda" cụ thể, cung cấp lộ trình cho các nghiên cứu sinh muốn đóng góp vào lĩnh vực này.
    • Quantify benefits: Tiết kiệm hàng trăm giờ làm việc trong việc thu thập và chuẩn bị dữ liệu, cung cấp một nền tảng vững chắc để xây dựng các mô hình tiên tiến hơn, từ đó tăng tỷ lệ thành công của các luận án tiến sĩ trong lĩnh vực an ninh mạng.
  • Senior academics:
    • Cung cấp "theoretical advances" trong lĩnh vực học sâu và an ninh mạng, thúc đẩy các cuộc thảo luận và nghiên cứu sâu hơn về các kiến trúc mạng nơ-ron cho phân tích chuỗi ký tự.
    • Bộ dữ liệu UTL_DGA22 trở thành một "benchmark" mới, cho phép so sánh công bằng giữa các phương pháp, từ đó đánh giá khách quan sự tiến bộ của lĩnh vực.
    • Đóng góp vào việc "mở ra các luồng nghiên cứu mới" như tích hợp đa đặc trưng, học tăng cường và học liên kết trong phát hiện DGA Botnet.
    • Quantify benefits: Thúc đẩy ít nhất 10-15 nghiên cứu khoa học cấp cao hơn, tạo ra các ấn phẩm có ảnh hưởng và tăng cường uy tín của các viện nghiên cứu.
  • Industry R&D:
    • Cung cấp "practical applications" và "specific recommendations" để cải thiện các sản phẩm an ninh mạng hiện có.
    • Kiến trúc mô hình LA_Bin07 và LA_Mul07 là các "methodological innovations" có thể được triển khai trực tiếp vào các hệ thống phát hiện mối đe dọa của các công ty.
    • Bộ dữ liệu UTL_DGA22 giúp các nhóm R&D "kiểm thử và tinh chỉnh" sản phẩm của họ với dữ liệu thực tế và đa dạng, đảm bảo hiệu suất cao khi triển khai.
    • Quantify benefits: Giúp các công ty giảm chi phí phát triển bằng cách cung cấp các giải pháp đã được chứng minh, rút ngắn thời gian đưa sản phẩm ra thị trường, và cải thiện khả năng cạnh tranh, ước tính tăng hiệu quả phát hiện mối đe dọa lên 5-10%.
  • Policy makers:
    • Cung cấp "evidence-based recommendations" để xây dựng các chính sách an ninh mạng quốc gia và các tiêu chuẩn bảo vệ hạ tầng thông tin quan trọng.
    • Nghiên cứu nhấn mạnh tầm quan trọng của việc "chia sẻ thông tin mối đe dọa" và "đầu tư vào AI trong an ninh mạng," hỗ trợ các nhà hoạch định chính sách trong việc phân bổ nguồn lực.
    • Quantify benefits: Cải thiện khả năng phòng thủ mạng quốc gia, giảm thiểu rủi ro mất an toàn thông tin cho các hệ thống chính phủ và cơ sở hạ tầng trọng yếu, có thể giảm 15-20% số lượng sự cố an ninh mạng liên quan đến DGA Botnet.

Câu hỏi chuyên sâu

Trả lời với chi tiết CỤ THỂ:

  1. Theoretical contribution độc đáo nhất (name theory extended): Đóng góp lý thuyết độc đáo nhất của luận án là việc mở rộng lý thuyết về Mạng Bộ nhớ Dài-Ngắn Hạn (Long Short-Term Memory - LSTM) và Cơ chế Attention thông qua việc đề xuất kiến trúc lõi BiLSTM_SelfA_Double cho bài toán phân loại DGA Botnet đa lớp. Kiến trúc này tích hợp sâu hai lớp BiLSTM với hai lớp Self-Attention, cho phép mô hình không chỉ nắm bắt các phụ thuộc dài hạn và ngữ cảnh hai chiều trong chuỗi ký tự tên miền mà còn tự động gán trọng số ưu tiên cho các phần tử quan trọng nhất của chuỗi. Sự kết hợp này vượt xa các mô hình LSTM/Attention đơn lẻ trước đây như của Qiao và cộng sự [17] chỉ sử dụng một lớp LSTM và một lớp Attention. Bằng cách xử lý đồng thời ngữ cảnh hai chiều và sự tập trung động, kiến trúc này cung cấp một khung lý thuyết mạnh mẽ hơn để giải mã các mẫu sinh tên miền phức tạp, vốn là trọng tâm của các thuật toán DGA hiện đại.

  2. Methodology innovation (compare với 2+ prior studies): Đổi mới phương pháp luận chính là quy trình xây dựng và công bố bộ dữ liệu UTL_DGA22 mới và toàn diện, cùng với việc áp dụng kiến trúc BiLSTM_SelfA_Double để giải quyết bài toán phân loại DGA Botnet đa lớp.

    • Về bộ dữ liệu: So với nghiên cứu của Zago và cộng sự [13] với UMUDGA Dataset chỉ bao gồm "50 họ DGA Botnet," bộ dữ liệu UTL_DGA22 của luận án bao gồm "76 họ DGA Botnet," tăng đáng kể số lượng họ DGA được xem xét và cung cấp một nguồn tài nguyên đa dạng hơn. Hơn nữa, quy trình xây dựng UTL_DGA22 được "hoàn thiện bổ sung" (Đóng góp 2), đảm bảo tính tin cậy và công khai, điều mà các nghiên cứu trước đây thường thiếu sót hoặc chỉ sử dụng các bộ dữ liệu nhỏ hơn, có hạn chế như của Wang và cộng sự [8] chỉ gồm "04 họ DGA Botnet."
    • Về kiến trúc mô hình: Kiến trúc lõi BiLSTM_SelfA_Double kết hợp BiLSTM với cơ chế Self-Attention là một cải tiến phương pháp luận đáng kể. Qiao và cộng sự [17] đã sử dụng kiến trúc LSTM với Attention nhưng ở dạng tuần tự đơn giản hơn (một lớp LSTM và một lớp Attention), đạt F1-score 94,58%. Namgung và cộng sự [19] cũng đã thử nghiệm BiLSTM_Attention và Ensemble (BiLSTM+CNN), đạt F1-score 96,18% và 96,66%. Tuy nhiên, kiến trúc BiLSTM_SelfA_Double của luận án được thiết kế để tích hợp chặt chẽ và sâu hơn các cơ chế này, nhằm đạt được hiệu suất tối ưu trên một số lượng họ DGA lớn hơn (76 họ). Điều này cho phép mô hình học được các đặc trưng phức tạp hơn từ chuỗi ký tự, điều cần thiết để phân biệt chính xác giữa một số lượng lớn các họ DGA.

  3. Most surprising finding (với data support): Phát hiện đáng ngạc nhiên nhất là mặc dù các mô hình học máy truyền thống như SVM và Random Forests có thể đạt hiệu suất rất cao (ví dụ: SVM đạt "F1-score 98,9%" theo Zago và cộng sự [13]) trong bài toán phát hiện DGA Botnet (phân lớp nhị phân), chúng lại "tỏ ra chưa hiệu quả khi F1-Score đều ở dưới mức 80%" [13] trong bài toán phân loại DGA Botnet (phân lớp đa lớp). Điều này cho thấy rằng việc phân biệt giữa tên miền DGA và lành tính là một nhiệm vụ tương đối dễ dàng hơn nhiều so với việc phân biệt giữa các họ DGA Botnet khác nhau. Các đặc trưng phân biệt giữa các họ DGA là cực kỳ tinh vi, thường chồng lấn và yêu cầu khả năng học đặc trưng sâu hơn nhiều so với các thuật toán học máy truyền thống có thể cung cấp. Sự khác biệt lớn về hiệu suất giữa hai nhiệm vụ này nhấn mạnh sự cần thiết của các phương pháp học sâu tiên tiến cho phân loại đa lớp, một lĩnh vực mà các mô hình của luận án như LA_Mul07 nhằm mục tiêu vượt trội.

  4. Replication protocol provided? Luận án cung cấp các yếu tố cần thiết cho giao thức tái lập (replication protocol). Cụ thể:

    • Bộ dữ liệu: "Bộ dữ liệu UTL_DGA22 đề xuất" được mô tả là "công khai, tin cậy" và "có thể dễ dàng tiếp cận trên Mendeley Data" (UMUDGA Dataset, tương tự UTL_DGA22). "Quy trình xây dựng bộ dữ liệu" được trình bày chi tiết trong Chương 4, bao gồm "Danh sách 76 họ DGA Botnet" và "Mô tả về các thuộc tính đề xuất," cho phép người khác tái tạo bộ dữ liệu hoặc hiểu cách nó được tạo ra.
    • Thuật toán và Kiến trúc: "Đề xuất kiến trúc lõi của mô hình học sâu" (Chương 3) được trình bày với "Kiến trúc lõi BiLSTM_SelfA_Double đề xuất" cùng với "Chi tiết về kích thước đầu và số lượng tham số của mô hình LA_Bin07" và LA_Mul07 (Bảng 3.8, Bảng 3.9).
    • Tham số huấn luyện: "Giá trị các tham số cài đặt cho các mô hình học máy khi đánh giá trên bộ dữ liệu UTL_DGA22" (Bảng 4.10) được cung cấp, giúp người khác tái tạo quá trình huấn luyện.
    • Mã nguồn: Luận án được công bố cùng "04 bài báo trên tạp chí khoa học chuyên ngành quốc tế thuộc danh mục SCIE/Scopus," và các nghiên cứu khác được trích dẫn cũng đã "công bố mã nguồn trên GitHub" [10], gợi ý rằng mã nguồn của luận án cũng có thể được công bố để hỗ trợ tái lập.

  5. 10-year research agenda outlined? Luận án phác thảo một chương trình nghiên cứu 10 năm một cách gián tiếp thông qua phần "Limitations và Future Research" và tầm nhìn về "Academic impact" và "Industry transformation." Agenda này tập trung vào việc vượt qua các giới hạn hiện tại của mô hình dựa trên chuỗi ký tự và mở rộng sang các phương pháp phức tạp hơn:

    • Giai đoạn 1 (1-3 năm): Tích hợp đa đặc trưng và học tăng cường. Nghiên cứu sẽ tập trung vào "Tích hợp đa đặc trưng (Multi-feature Integration)" để kết hợp dữ liệu chuỗi tên miền với "đặc trưng ngữ cảnh mạng" và khám phá "Học tăng cường (Reinforcement Learning) cho DGA Botnet" để thích nghi với các mẫu DGA mới.
    • Giai đoạn 2 (3-6 năm): Ứng dụng Học liên kết và GANs. Phát triển "Mô hình Generative Adversarial Networks (GANs)" để tạo dữ liệu tổng hợp và ứng dụng "học liên kết (Federated Learning)" để giải quyết vấn đề quyền riêng tư dữ liệu, cho phép huấn luyện mô hình trên các bộ dữ liệu phân tán.
    • Giai đoạn 3 (6-10 năm): Đối phó DGA Zero-day và tối ưu hóa triển khai. Tập trung vào "Nghiên cứu về các DGA Botnet tinh vi" và DGA "zero-day" thông qua các kỹ thuật tiên tiến, đồng thời cải thiện phương pháp luận bằng cách tối ưu hóa mô hình để "giảm yêu cầu tài nguyên tính toán," giúp triển khai trên các thiết bị IoT và môi trường tài nguyên hạn chế.
    • Mở rộng ảnh hưởng: Chương trình nghiên cứu này cũng sẽ hướng tới việc "tiêu chuẩn hóa đánh giá" các giải pháp DGA Botnet và tạo ra một cộng đồng nghiên cứu và phát triển mạnh mẽ xung quanh bộ dữ liệu UTL_DGA22, đảm bảo tác động lâu dài đến an ninh mạng toàn cầu.

Kết luận

Luận án này đại diện cho một bước tiến quan trọng trong cuộc chiến chống lại DGA Botnet, một trong những mối đe dọa mạng tinh vi và dai dẳng nhất hiện nay. Những đóng góp cụ thể của nó không chỉ củng cố nền tảng lý thuyết mà còn mở ra những con đường mới cho các ứng dụng thực tế và nghiên cứu trong tương lai.

  1. Kiến trúc học sâu tiên tiến: Luận án đã thành công trong việc đề xuất và triển khai kiến trúc lõi BiLSTM_SelfA_Double, cùng với các mô hình LA_Bin07 và LA_Mul07, chứng minh khả năng "nâng cao độ chính xác" cho cả bài toán phát hiện và phân loại DGA Botnet, đặc biệt là trong kịch bản đa lớp với hiệu suất vượt trội so với các phương pháp học máy truyền thống và nhiều kiến trúc học sâu hiện có.
  2. Bộ dữ liệu chuẩn hóa và toàn diện: Việc "bổ sung hoàn thiện quy trình xây dựng bộ dữ liệu và đề xuất bộ dữ liệu mới công khai, tin cậy UTL_DGA22" với "76 họ DGA Botnet" là một đóng góp thiết yếu, giải quyết vấn đề thiếu hụt tài nguyên dữ liệu đáng tin cậy và đa dạng, vốn là rào cản lớn cho nghiên cứu trong lĩnh vực này.
  3. Vượt qua giới hạn phân loại đa lớp: Luận án đã chỉ rõ và giải quyết một cách hiệu quả hạn chế của các phương pháp trước đây trong việc phân loại DGA Botnet đa lớp (ví dụ: F1-score dưới 80% của Zago và cộng sự [13]), cung cấp một giải pháp mạnh mẽ hơn cho việc nhận diện các họ Botnet cụ thể.
  4. Đóng góp vào lý thuyết học sâu: Nghiên cứu mở rộng lý thuyết về LSTM và Attention bằng cách cung cấp một kiến trúc tích hợp sâu các cơ chế này, cho phép hiểu sâu hơn về cách mô hình có thể học các đặc trưng phức tạp từ dữ liệu chuỗi phi cấu trúc.
  5. Implcations đa chiều: Các phát hiện có ý nghĩa thực tiễn sâu rộng đối với ngành an ninh mạng, từ cải thiện hệ thống IDS/IPS và dịch vụ DNS an toàn, đến ảnh hưởng chính sách thông qua khuyến nghị chia sẻ thông tin mối đe dọa và đầu tư vào R&D AI trong an ninh mạng.
  6. Quy trình nghiên cứu nghiêm ngặt: Phương pháp luận chi tiết, bao gồm các bước từ triết lý nghiên cứu, thiết kế thực nghiệm với đa dạng bộ dữ liệu và kỹ thuật phân tích tiên tiến, đảm bảo tính khoa học và khả năng tái lập của các kết quả.

Luận án này đã thúc đẩy một sự chuyển dịch mô hình (paradigm advancement) từ các phương pháp dựa trên đặc trưng thủ công và học máy nông sang các giải pháp học sâu tự động trích xuất đặc trưng trong lĩnh vực DGA Botnet. Bằng chứng rõ ràng về điều này là khả năng của kiến trúc đề xuất trong việc đạt được độ chính xác cao trong phân loại đa lớp, một nhiệm vụ mà các phương pháp truyền thống đã gặp khó khăn.

Các đóng góp này đã mở ra ít nhất ba luồng nghiên cứu mới:

  1. Phát triển các kiến trúc học sâu đa phương thức: Kết hợp đặc trưng chuỗi ký tự với đặc trưng ngữ cảnh mạng để tạo ra các mô hình phát hiện DGA toàn diện hơn.
  2. Ứng dụng học sâu cho DGA zero-day: Khám phá các kỹ thuật học tăng cường và GANs để đối phó với các họ DGA hoàn toàn mới, chưa được thấy trong dữ liệu huấn luyện.
  3. Tối ưu hóa và triển khai học sâu trên biên: Nghiên cứu các kỹ thuật nén mô hình và tối ưu hóa tài nguyên để triển khai hiệu quả các giải pháp học sâu DGA Botnet trên các thiết bị có tài nguyên hạn chế như IoT.

Với tính liên quan toàn cầu và khả năng ứng dụng rộng rãi, nghiên cứu này không chỉ là một đóng góp học thuật quan trọng mà còn là một bước tiến thiết yếu trong việc củng cố an ninh mạng. Di sản của luận án sẽ được đo lường bằng số lượng trích dẫn các bài báo khoa học, sự chấp nhận của bộ dữ liệu UTL_DGA22 làm chuẩn công nghiệp, và tác động thực tế của các giải pháp đề xuất trong việc bảo vệ các hệ thống mạng trên toàn thế giới khỏi các mối đe dọa DGA Botnet.