Tổng quan về luận án

Luận án "Nghiên cứu cải tiến một số mô hình học máy và học sâu áp dụng cho bài toán phân loại DGA Botnet" của Tống Anh Tuấn đại diện cho một bước tiến quan trọng trong lĩnh vực an ninh mạng, đặc biệt là trong cuộc chiến chống lại các mối đe dọa từ Botnet sử dụng Thuật toán sinh tên miền tự động (DGA). Trong bối cảnh các cuộc tấn công mạng ngày càng tinh vi và quy mô lớn, với Botnet có khả năng gây thiệt hại tài chính và danh tiếng nghiêm trọng, nghiên cứu này giải quyết một vấn đề cấp thiết: Phát hiện và phân loại DGA Botnet với độ chính xác cao hơn. Các Botnet hiện đại, như Mirai [2], đã chứng minh khả năng lây nhiễm trên các thiết bị Internet of Things (IoT) và tạo ra các cuộc tấn công từ chối dịch vụ phân tán (DDoS) với băng thông kỷ lục, ví dụ như cuộc tấn công vào OVH đạt 1,5Tbps [5]. Điều này cho thấy sự cần thiết của các giải pháp phát hiện DGA Botnet hiệu quả và toàn diện.

Nghiên cứu xác định rõ hai research gap chính trong các công trình hiện có: Thứ nhất, mặc dù các phương pháp phân tích lưu lượng, học máy và học sâu đã đạt được độ chính xác cao (từ 96,3% trở lên) trong bài toán phát hiện DGA Botnet (phân lớp nhị phân), "các kết quả này hoàn toàn có thể được cải tiến thêm và đánh giá toàn diện hơn trên các bộ dữ liệu mới đầy đủ hơn." Thứ hai, một lỗ hổng đáng kể nằm ở bài toán phân loại hay nhận diện họ DGA Botnet (phân lớp đa lớp), nơi "các nghiên cứu còn hạn chế, ít được đề cập hoặc độ chính xác đạt được chưa cao (LSTM đạt 53%, LSTM.MI đạt 49%), một số họ DGA Botnet khả năng nhận diện kém." Hơn nữa, việc đánh giá trên các bộ dữ liệu chính thức còn hạn chế, thiếu tính cập nhật và đa dạng.

Để giải quyết các lỗ hổng này, luận án đề ra các câu hỏi nghiên cứu và giả thuyết cụ thể:

  1. Câu hỏi 1: Đối với bài toán phát hiện DGA Botnet, các hướng tiếp cận mới bao gồm sử dụng thuật toán phân cụm trên tập mờ (Neutrosophic C-Means - NCM), sử dụng mô hình học máy kết hợp (Ensemble Learning) có hiệu quả hay không?
  2. Câu hỏi 2: Mạng Long Short-Term Memory (LSTM) có thể được cải tiến để nâng cao hiệu quả của việc phát hiện và phân loại DGA Botnet không và giải pháp cụ thể là gì? Trọng tâm là giải pháp để phân loại DGA Botnet.
  3. Câu hỏi 3: Các bộ dữ liệu về DGA Botnet hiện nay có những đặc điểm gì gây hạn chế cho việc thử nghiệm thuật toán, đối sánh các kết quả nghiên cứu hay tính cập nhật? Có thể xây dựng bộ dữ liệu mới để giải quyết các hạn chế trên hay không?

Khung lý thuyết của luận án được xây dựng trên nền tảng của các lý thuyết học máy truyền thống như Support Vector Machines (SVM), Random Forests (RF), Logistic Regression (LR), Naive Bayes (NB), k-Nearest Neighbour (kNN), Decision Trees (DT), và Adaptive Boosting (AB), cùng với các mô hình học sâu tiên tiến như Recurrent Neural Network (RNN) và LSTM. Đặc biệt, luận án mở rộng khung lý thuyết này bằng cách tích hợp lý thuyết tập mờ (Neutrosophic Set) thông qua thuật toán Neutrosophic C-Means (NCM) và giới thiệu cơ chế Attention vào kiến trúc LSTM để tạo ra các mô hình học sâu LA_Bin07 và LA_Mul07.

Các đóng góp đột phá của luận án bao gồm:

  1. Đề xuất ba giải pháp phát hiện và phân loại DGA Botnet mới (NCM, LA_Bin07, LA_Mul07) với mục tiêu nâng cao độ chính xác, đặc biệt trong phân loại đa lớp. Mô hình LA_Mul07 được kỳ vọng sẽ vượt trội đáng kể so với mức 49-53% F1-score hiện tại của các giải pháp dựa trên LSTM.
  2. Công bố bộ dữ liệu mới UTL_DGA22, chuyên dụng cho bài toán DGA Botnet, giải quyết các hạn chế về tính cập nhật và đa dạng của các bộ dữ liệu hiện có. Bộ dữ liệu này bao gồm các thuộc tính cấu trúc (structural features) và ngữ pháp (grammatical features), cùng với các thuộc tính dựa trên ngữ nghĩa và TF-IDF, được thiết kế để trở thành một nền tảng đánh giá chung.

Phạm vi nghiên cứu bao gồm hai bài toán chính: phân lớp nhị phân (phát hiện DGA Botnet) và phân lớp đa lớp (phân loại họ DGA Botnet). Các giải pháp được đánh giá trên 04 bộ dữ liệu tiêu chuẩn quốc tế (AADR, OSINT, UMUDGA, 360NetLab) và bộ dữ liệu UTL_DGA22 mới đề xuất. Mức độ tác động tiềm năng là đáng kể, cung cấp các công cụ và tri thức mới để tăng cường an ninh mạng toàn cầu, bảo vệ hệ thống thông tin khỏi các cuộc tấn công DDoS, phát tán phần mềm độc hại, và các hoạt động gián điệp mạng.

Literature Review và Positioning

Nghiên cứu về DGA Botnet đã phát triển theo nhiều hướng tiếp cận, từ phân tích DNS truyền thống đến các kỹ thuật học máy và học sâu. Luận án này tổng hợp và định vị các công trình hiện có, đồng thời chỉ ra các khoảng trống quan trọng.

Các dòng nghiên cứu chính có thể được phân loại như sau:

  • Kỹ thuật phân tích DNS: Alieyan và cộng sự [7] đã cung cấp một cái nhìn tổng quan về các kỹ thuật phát hiện Botnet thông qua phân tích lưu lượng DNS. Kwon và cộng sự giới thiệu PsyBoG [8], một giải pháp nhanh chóng dựa trên phân tích mật độ phổ năng lượng (PSD) để phát hiện hành vi độc hại từ lưu lượng DNS lớn, đạt độ chính xác 95% và phát hiện 23 họ Botnet chưa biết với tỉ lệ dương tính giả chỉ 0,1%. Wang và cộng sự đề xuất DBod [9] sử dụng phân tích hành vi truy vấn DNS, đạt độ chính xác trên 99% trên một bộ dữ liệu nhỏ (04 họ DGA Botnet: Kraken, Conficker, Cycbot, Murofet) trong môi trường giáo dục với 10.000 người dùng trong 26 tháng. Tuy nhiên, hạn chế của DBod là phạm vi đánh giá hạn chế và thiếu sự nghiên cứu rộng rãi trên các bộ dữ liệu tiêu chuẩn.
  • Hướng tiếp cận dựa trên học máy: Hiếu và cộng sự [12] đã sử dụng học có giám sát với SVM và LSTM để phát hiện DGA Botnet, đạt độ chính xác từ 99,55% trở lên nhưng khả năng phân loại còn hạn chế. Khan và cộng sự [13] phát hiện các mạng Botnet ngang hàng với độ chính xác trung bình 98,7% trên CTU-13 và ISOT Dataset. Xuân và cộng sự [14] đạt F1-score 97,03% với tỉ lệ cảnh báo sai dưới 3,02%. Các nghiên cứu này cho thấy tiềm năng của học máy trong phát hiện nhị phân, nhưng thường bỏ ngỏ hoặc đạt hiệu quả thấp trong phân loại đa lớp.
  • Hướng tiếp cận dựa trên học sâu: Đức và cộng sự [15] đề xuất giải pháp LSTM.MI, đạt F1-score 98,49% trong phát hiện DGA Botnet nhưng chỉ đạt 49% trong phân loại họ DGA Botnet. Curtin và cộng sự [16] cũng sử dụng mạng RNN với kết quả tương tự. Vinayakumar và cộng sự [17] sử dụng CNN-LSTM để phát hiện tên miền độc hại, đạt F1-score 96,3%. Mặc dù các mô hình học sâu đạt hiệu quả cao trong phát hiện nhị phân, hiệu suất phân loại đa lớp vẫn là một thách thức lớn, với các con số như 53% cho LSTM truyền thống và 49% cho LSTM.MI được trích dẫn trong luận án.

Contradictions/Debates: Một điểm tranh luận chính nằm ở sự đánh đổi giữa độ chính xác trong phát hiện nhị phân và khả năng phân loại đa lớp. Các mô hình hiện tại thường ưu tiên phát hiện DGA tổng thể, nhưng lại gặp khó khăn trong việc xác định họ DGA Botnet cụ thể. Ví dụ, trong khi Wang và cộng sự [9] đạt độ chính xác trên 99% trong phát hiện nhị phân, các mô hình học sâu như LSTM.MI của Đức và cộng sự [15] chỉ đạt 49% F1-score trong phân loại đa lớp. Điều này tạo ra một khoảng trống đáng kể.

Positioning trong literature: Luận án này định vị mình ở giao điểm của các hướng nghiên cứu học sâu tiên tiến và kỹ thuật phân tích tập mờ, nhằm khắc phục những hạn chế hiện có. Cụ thể, nó tập trung vào việc: (1) Cải tiến độ chính xác của các mô hình phát hiện nhị phân, (2) Đột phá hiệu quả của bài toán phân loại đa lớp DGA Botnet, (3) Giải quyết vấn đề thiếu bộ dữ liệu toàn diện và cập nhật cho đánh giá.

How this advances field:

  • Bằng cách đề xuất các mô hình LA_Bin07 và LA_Mul07 với cải tiến từ LSTM, luận án kỳ vọng nâng cao đáng kể khả năng phân loại họ DGA Botnet, vượt xa các kết quả hiện tại như 53% của LSTM hay 49% của LSTM.MI.
  • Việc giới thiệu bộ dữ liệu UTL_DGA22 sẽ cung cấp một chuẩn mực mới, đầy đủ và cập nhật cho cộng đồng nghiên cứu, cho phép so sánh công bằng và phát triển các giải pháp mạnh mẽ hơn.
  • Đánh giá toàn diện trên 04 bộ dữ liệu quốc tế tiêu chuẩn (AADR, OSINT, UMUDGA, 360NetLab) và UTL_DGA22 đảm bảo tính tổng quát và độ tin cậy của các phát hiện.

So sánh với ÍT NHẤT 2 international studies:

  1. So sánh với PsyBoG của Kwon và cộng sự [8]: PsyBoG đạt 95% độ chính xác trong phát hiện Botnet nói chung và có khả năng xử lý lưu lượng DNS lớn. Nghiên cứu này tập trung vào kỹ thuật xử lý tín hiệu. Luận án của Tống Anh Tuấn, mặc dù cũng phân tích lưu lượng DNS (thông qua tên miền), lại sử dụng học máy và học sâu tiên tiến hơn, đặc biệt tập trung vào DGA Botnet và khả năng phân loại họ. Sự kết hợp các mô hình học sâu và tập mờ có tiềm năng vượt qua giới hạn của phương pháp xử lý tín hiệu đơn thuần trong việc nhận diện các mẫu DGA phức tạp và tinh vi.
  2. So sánh với LSTM.MI của Đức và cộng sự [15]: LSTM.MI đạt F1-score 98,49% trong phát hiện DGA Botnet (nhị phân) nhưng chỉ đạt 49% trong phân loại họ DGA Botnet. Luận án này trực tiếp giải quyết điểm yếu của LSTM.MI bằng cách đề xuất các cải tiến cho LSTM (LA_Mul07), với mục tiêu nâng cao "đáng kể độ chính xác so với các giải pháp trước đó" trong bài toán phân loại đa lớp, đây là một thách thức lớn mà LSTM.MI chưa giải quyết hiệu quả. Hơn nữa, việc đánh giá trên bộ dữ liệu UMUDGA Dataset [18] chứa 50 họ DGA Botnet, cùng với bộ UTL_DGA22 mới, sẽ cung cấp một đánh giá toàn diện hơn so với các nghiên cứu chỉ dùng một vài họ.

Đóng góp lý thuyết và khung phân tích

Đóng góp cho lý thuyết

Luận án này mang lại những đóng góp đáng kể cho lý thuyết trong lĩnh vực an ninh mạng và học máy thông qua việc mở rộng và thách thức các lý thuyết hiện có.

  • Extend/challenge WHICH specific theories (name theorists):

    • Lý thuyết tập mờ (Fuzzy Set Theory) của Zadeh (1965) và các mở rộng như Neutrosophic Set: Luận án mở rộng ứng dụng của lý thuyết này bằng cách đề xuất thuật toán Neutrosophic C-Means (NCM) cho bài toán phát hiện DGA Botnet. NCM, một thuật toán phân cụm trên tập Neutrosophic, cung cấp một cách tiếp cận mới để xử lý sự không chắc chắn và mơ hồ trong dữ liệu tên miền, vốn là đặc trưng của các tên miền DGA (ví dụ, tên miền có thể "hơi giống" DGA và "hơi giống" lành tính). Điều này khác biệt so với các phương pháp phân cụm cứng truyền thống (ví dụ, K-Means) vốn yêu cầu mỗi điểm dữ liệu thuộc về một cụm duy nhất.
    • Lý thuyết mạng Neural Hồi quy (Recurrent Neural Networks - RNN) và Long Short-Term Memory (LSTM) của Hochreiter & Schmidhuber (1997): Luận án đã cải tiến mạng LSTM truyền thống bằng cách tích hợp các cơ chế mới, đặc biệt là cơ chế Attention. Các mô hình LA_Bin07 và LA_Mul07 không chỉ kế thừa khả năng xử lý chuỗi tuần tự của LSTM (quan trọng cho việc phân tích cấu trúc tên miền) mà còn cải thiện khả năng tập trung vào các phần quan trọng nhất của tên miền thông qua Attention. Điều này giúp khắc phục hạn chế về khả năng nhận diện kém của một số họ DGA Botnet và nâng cao độ chính xác trong phân loại đa lớp, vốn là điểm yếu của các giải pháp LSTM trước đây (ví dụ, LSTM chỉ đạt 53%, LSTM.MI đạt 49% trong phân loại đa lớp).

  • Conceptual framework với components và relationships: Khung khái niệm của luận án xoay quanh việc xử lý và phân tích tên miền DGA để phân loại chúng. Các thành phần chính bao gồm:

    1. Dữ liệu đầu vào: Tên miền (DNS queries).
    2. Trích xuất thuộc tính: Bao gồm các thuộc tính cấu trúc (structural features), ngữ pháp (grammatical features), thống kê dựa trên ngữ nghĩa (semantic-based statistics) và TF-IDF.
    3. Các mô hình phân tích:
      • Thuật toán phân cụm mờ (NCM)
      • Mô hình học máy kết hợp (VEA, HEA)
      • Mô hình học sâu cải tiến (LA_Bin07, LA_Mul07 dựa trên LSTM với Attention).
    4. Đầu ra: Nhãn phân lớp nhị phân (lành tính/DGA Botnet) và nhãn phân lớp đa lớp (họ DGA Botnet cụ thể). Mối quan hệ là tuyến tính từ thu thập dữ liệu, tiền xử lý, trích xuất thuộc tính, đến áp dụng các mô hình học máy/học sâu để đưa ra dự đoán phân loại. Khung này nhấn mạnh việc tích hợp nhiều loại thuộc tính và sự đa dạng của các phương pháp mô hình hóa để đạt được hiệu quả phân loại tối ưu.

  • Theoretical model với propositions/hypotheses numbered: Mô hình lý thuyết được đề xuất dựa trên giả định rằng các đặc trưng cấu trúc và ngữ pháp của tên miền DGA khác biệt rõ rệt so với tên miền lành tính, và các mô hình học sâu cải tiến có thể học được những đặc trưng tinh vi này để phân loại chính xác.

    • Proposition 1: Việc tích hợp lý thuyết tập mờ (thông qua NCM) có thể nâng cao hiệu quả phát hiện DGA Botnet so với các phương pháp phân cụm cứng truyền thống, do khả năng xử lý tốt hơn sự mơ hồ và chồng lấn giữa các lớp tên miền.
    • Proposition 2: Các mô hình học sâu dựa trên LSTM, đặc biệt khi được cải tiến với cơ chế Attention, sẽ vượt trội so với LSTM truyền thống và các mô hình học máy cổ điển trong việc phân loại họ DGA Botnet, do khả năng nắm bắt phụ thuộc ngữ cảnh dài hạn và tập trung vào các phần quan trọng trong chuỗi ký tự tên miền.
    • Hypothesis 1.1: LA_Bin07 sẽ đạt độ chính xác cao hơn trong phát hiện DGA Botnet (phân lớp nhị phân) so với các thuật toán học máy kết hợp và NCM trên các bộ dữ liệu tiêu chuẩn.
    • Hypothesis 1.2: LA_Mul07 sẽ đạt độ chính xác phân loại đa lớp (phân loại họ DGA Botnet) cao hơn đáng kể so với các giải pháp học sâu hiện có (ví dụ: LSTM.MI 49%) trên bộ dữ liệu UMUDGA và UTL_DGA22.
    • Hypothesis 1.3: Bộ dữ liệu UTL_DGA22 mới, với các thuộc tính được thiết kế chuyên biệt, sẽ cung cấp nền tảng đánh giá hiệu quả hơn và phản ánh chính xác hơn hiệu suất của các thuật toán DGA Botnet so với các bộ dữ liệu hiện có.

  • Paradigm shift với EVIDENCE từ findings: Mặc dù không tuyên bố một "paradigm shift" hoàn toàn, luận án đóng góp vào một sự thay đổi trong cách tiếp cận bài toán DGA Botnet từ việc chỉ tập trung vào phát hiện nhị phân sang việc ưu tiên và nâng cao khả năng phân loại họ DGA Botnet. Các bằng chứng từ các nghiên cứu trước đây cho thấy sự thiếu hiệu quả trong phân loại đa lớp (LSTM đạt 53%, LSTM.MI đạt 49%), điều này đã được luận án chỉ ra là một lỗ hổng nghiên cứu quan trọng. Bằng việc đề xuất LA_Mul07 với cải tiến đáng kể, luận án thúc đẩy một "shift" trong việc coi phân loại họ DGA là một mục tiêu khả thi và cần thiết, cung cấp thông tin chi tiết hơn cho các biện pháp phòng thủ.

Khung phân tích độc đáo

  • Integration của theories (name 3+ specific theories): Khung phân tích của luận án thể hiện sự tích hợp độc đáo của ít nhất ba lý thuyết/hướng tiếp cận chính:

    1. Học sâu (Deep Learning): Đặc biệt là RNN và LSTM, được sử dụng để xây dựng các mô hình LA_Bin07 và LA_Mul07, tận dụng khả năng của mạng để học các mẫu phức tạp từ dữ liệu chuỗi tên miền.
    2. Lý thuyết tập mờ (Fuzzy Set Theory): Được áp dụng thông qua thuật toán Neutrosophic C-Means (NCM), cho phép xử lý các tình huống mà tên miền không hoàn toàn thuộc về một lớp duy nhất, mà có thể có mức độ thành viên trong nhiều lớp.
    3. Học máy truyền thống và học cộng đồng (Ensemble Learning): Các thuật toán như SVM, Random Forests, cùng với các mô hình học cộng đồng (VEA, HEA), được sử dụng để cung cấp một cơ sở so sánh và cũng là một hướng tiếp cận độc lập trong giai đoạn đầu của nghiên cứu. Sự tích hợp này cho phép luận án khai thác ưu điểm của từng hướng: khả năng học đặc trưng cấp cao từ học sâu, khả năng xử lý bất định từ tập mờ, và hiệu quả đã được chứng minh của học máy truyền thống.

  • Novel analytical approach với justification: Phương pháp phân tích nổi bật là việc kết hợp các kiến trúc học sâu tiên tiến (LSTM với Attention) với quy trình trích xuất thuộc tính đa dạng (Base-Features, TF-IDF Features, Structural, Grammatical) và một bộ dữ liệu mới (UTL_DGA22) được xây dựng chuyên biệt.

    • Justification: Cách tiếp cận này được biện minh bởi nhu cầu giải quyết hai hạn chế chính: (1) Các mô hình hiện có thiếu hiệu quả trong phân loại họ DGA Botnet, và (2) Các bộ dữ liệu hiện tại không đủ cập nhật hoặc toàn diện để đánh giá đúng mức các giải pháp tiên tiến. Bằng cách thiết kế các mô hình học sâu có khả năng "chú ý" (Attention) đến các phần quan trọng của tên miền, và kiểm tra chúng trên một bộ dữ liệu giàu đặc trưng và cập nhật, luận án hướng tới việc đạt được độ chính xác chưa từng có trong cả phát hiện và phân loại DGA Botnet.

  • Conceptual contributions với definitions:

    • LA_Bin07: Mô hình học sâu cải tiến dựa trên LSTM cho bài toán phân lớp nhị phân DGA Botnet. Định nghĩa: Một kiến trúc mạng neural hồi quy được thiết kế để phân biệt giữa tên miền lành tính và tên miền DGA Botnet, tích hợp các cải tiến của LSTM để nâng cao hiệu suất phát hiện.
    • LA_Mul07: Mô hình học sâu cải tiến dựa trên LSTM cho bài toán phân lớp đa lớp DGA Botnet. Định nghĩa: Một kiến trúc mạng neural hồi quy được tối ưu hóa để xác định họ (chủng loại) cụ thể của DGA Botnet từ tên miền đầu vào, giải quyết bài toán phân loại phức tạp với nhiều nhãn.
    • UTL_DGA22: Bộ dữ liệu chuyên dụng, cập nhật cho bài toán DGA Botnet. Định nghĩa: Một kho lưu trữ các tên miền DGA Botnet và tên miền lành tính được thu thập và xây dựng một cách có hệ thống, bao gồm nhiều họ DGA Botnet và các thuộc tính đa dạng (Base-Features, TF-IDF Features), được thiết kế để trở thành một chuẩn mực cho việc đánh giá thuật toán.

  • Boundary conditions explicitly stated:

    • DGA Focus: Nghiên cứu tập trung vào DGA Botnet và các cơ chế sinh tên miền tự động. Các loại Botnet không sử dụng DGA hoặc các phương thức C&C khác nằm ngoài phạm vi.
    • Data Type: Đầu vào chính là tên miền DNS. Việc phân tích lưu lượng mạng toàn diện (ví dụ, packet payloads) không phải là trọng tâm chính, mặc dù lưu lượng DNS là một phần của tổng thể lưu lượng mạng.
    • Language Dependency: Các thuộc tính ngữ pháp có thể có mức độ phụ thuộc vào ngôn ngữ, mặc dù tên miền thường là tiếng Anh hoặc các chuỗi ký tự ngẫu nhiên.
    • Evolving Threat Landscape: Các thuật toán DGA và Botnet liên tục phát triển. Bộ dữ liệu UTL_DGA22 được xây dựng để cập nhật, nhưng cần có sự cập nhật liên tục để duy trì tính hiệu quả trong tương lai.

Phương pháp nghiên cứu tiên tiến

Luận án áp dụng một phương pháp nghiên cứu nghiêm ngặt và toàn diện, kết hợp các triết lý nghiên cứu, thiết kế đa phương pháp và quy trình phân tích dữ liệu tiên tiến để đảm bảo tính tin cậy và giá trị của các phát hiện.

Thiết kế nghiên cứu

  • Research philosophy: Luận án thể hiện một triết lý nghiên cứu chủ yếu là Thực chứng (Positivism). Mục tiêu của nghiên cứu là "nâng cao độ chính xác", "đánh giá hiệu quả", và "so sánh, đánh giá với các nghiên cứu liên quan," điều này nhấn mạnh việc tìm kiếm các kết quả có thể đo lường, khách quan và có thể khái quát hóa. NCS sử dụng các phương pháp định lượng như tính toán Accuracy, Precision, Recall, F1-score, ROC Curve, AUC, và Ma trận nhầm lẫn để kiểm tra các giả thuyết và xác nhận hiệu quả của các mô hình.

  • Mixed methods với SPECIFIC combination rationale: Mặc dù nghiên cứu có tính chất định lượng cao, việc xây dựng bộ dữ liệu UTL_DGA22 mới có thể được xem là một thành phần mang tính chất phát triển/thiết kế. Sự kết hợp này (chủ yếu là định lượng/thực nghiệm nhưng có yếu tố thiết kế dữ liệu) cho phép không chỉ kiểm tra các giả thuyết mà còn tạo ra một công cụ nghiên cứu mới. Rationale: Việc thiếu bộ dữ liệu toàn diện và cập nhật là một rào cản cho nghiên cứu hiện có. Do đó, việc tự xây dựng bộ dữ liệu chất lượng cao là cần thiết để đảm bảo tính phù hợp và toàn diện cho các thử nghiệm mô hình.

  • Multi-level design với levels clearly defined: Mặc dù không phải là một nghiên cứu đa cấp điển hình theo nghĩa xã hội học, luận án có thể được xem là đa cấp về mặt phân tích dữ liệu:

    • Level 1: Phân lớp nhị phân (Binary Classification): Phát hiện DGA Botnet (tên miền lành tính vs. tên miền độc hại).
    • Level 2: Phân lớp đa lớp (Multi-class Classification): Phân loại họ DGA Botnet cụ thể (ví dụ, alureon, cryptolocker, ramdo, v.v.). Mỗi cấp độ yêu cầu các mục tiêu và kỹ thuật phân loại khác nhau, nhưng đều dựa trên cùng một cơ sở dữ liệu tên miền.

  • Sample size và selection criteria EXACT: Luận án sử dụng tổng cộng 05 bộ dữ liệu để đánh giá, bao gồm 04 bộ dữ liệu tiêu chuẩn và 01 bộ dữ liệu mới đề xuất. Các bộ dữ liệu này có quy mô mẫu và tiêu chí lựa chọn được nêu rõ:

    • AADR (Andrey Abakumov’s DGA Repository): Kho lưu trữ "bao gồm mã nguồn các thuật toán tạo tên miền tự động và các tên miền DGA độc hại." Bổ sung "1.000.000 tên miền phổ biến của Alexa cũng được sử dụng và gán nhãn là lành tính." (Sample size: >1 triệu DGA + >1 triệu lành tính).
    • OSINT DGA feed (OSINT): "một khối lượng lớn các tên miền độc hại được thu thập và tổng hợp" bởi Bambenek.
    • UMUDGA Dataset (UMUDGA): "đầy đủ nhất hiện nay, khi tổng hợp được 50 họ DGA Botnet. Mỗi họ có từ 10.000 mẫu tên miền." (Tổng cộng khoảng 500.000 tên miền DGA).
    • 360NetLab Dataset (360NetLab): "gồm các tên miền độc hại thu thập từ thế giới thực" bởi nhóm nghiên cứu 360NetLab. (Hạn chế: "thiếu tính ổn định khi liên tục thay đổi theo thời gian thực.")
    • UTL_DGA22: Bộ dữ liệu mới được đề xuất, với mục tiêu "đảm bảo tính cập nhật, chính xác, dễ tiếp cận." Tiêu chí lựa chọn tên miền và họ DGA sẽ được mô tả chi tiết trong Chương 4.

Quy trình nghiên cứu rigorous

  • Sampling strategy với inclusion/exclusion criteria:
    • Inclusion: Tên miền DGA được sinh ra bởi các thuật toán DGA thực tế hoặc được thu thập từ các nguồn uy tín như các feed công khai về DGA. Tên miền lành tính được lấy từ các danh sách tên miền phổ biến, hợp pháp (ví dụ, Alexa top 1 triệu).
    • Exclusion: Tên miền có định dạng không hợp lệ, tên miền trùng lặp không cần thiết, hoặc tên miền từ các họ DGA quá cũ/không còn hoạt động (đối với bộ UTL_DGA22).
  • Data collection protocols với instruments described:
    • Thu thập dữ liệu DGA: Từ các kho lưu trữ công khai như AADR, OSINT, UMUDGA, 360NetLab. Đối với UTL_DGA22, quy trình xây dựng bao gồm việc thu thập "các họ DGA Botnet" và "Các thuộc tính đề xuất" dựa trên cấu trúc, ngữ pháp, và thống kê ngữ nghĩa của tên miền.
    • Thu thập dữ liệu lành tính: Từ các nguồn như Alexa top domains để đảm bảo tính hợp lệ và đa dạng.
    • Trích xuất thuộc tính: Sử dụng các thuật toán như LCS (Longest Common Subsequence), ACS (Average Common Subsequence), DCS (Difference Common Subsequence), NoC (Number of Characters), RoC (Ratio of Characters), và TF-IDF để định lượng các đặc trưng của tên miền.
  • Triangulation (data/method/investigator/theory):
    • Data Triangulation: Sử dụng nhiều bộ dữ liệu (04 tiêu chuẩn + UTL_DGA22 mới) để đánh giá các mô hình, đảm bảo rằng các kết quả không chỉ phụ thuộc vào một tập dữ liệu cụ thể.
    • Methodological Triangulation: Áp dụng đa dạng các phương pháp từ học máy truyền thống (SVM, RF), học cộng đồng (VEA, HEA), lý thuyết tập mờ (NCM) đến học sâu (LSTM, RNN, LA_Bin07, LA_Mul07) để so sánh và xác nhận hiệu quả của các giải pháp đề xuất.
  • Validity (construct/internal/external) và reliability (α values):
    • Construct Validity: Đảm bảo rằng các thuộc tính được trích xuất (ví dụ: thuộc tính cấu trúc, ngữ pháp) thực sự đo lường các đặc điểm phân biệt giữa DGA và tên miền lành tính.
    • Internal Validity: Kiểm soát các yếu tố gây nhiễu trong quá trình thử nghiệm (ví dụ: sử dụng cùng một bộ dữ liệu chia tách thành tập huấn luyện/kiểm tra, cài đặt tham số nhất quán) để đảm bảo rằng sự thay đổi trong kết quả là do các mô hình khác nhau.
    • External Validity: Đánh giá trên nhiều bộ dữ liệu đa dạng và quốc tế (AADR, OSINT, UMUDGA, 360NetLab) nhằm tăng cường khả năng khái quát hóa của các phát hiện ra các bối cảnh thực tế.
    • Reliability: Quy trình nghiên cứu được mô tả chi tiết, bao gồm các bước xây dựng bộ dữ liệu, thuật toán và môi trường đánh giá, cho phép các nhà nghiên cứu khác có thể tái tạo và kiểm chứng kết quả. Các giá trị F1-score, Accuracy, Precision, Recall và các ma trận nhầm lẫn được sử dụng để định lượng độ tin cậy của các mô hình, mặc dù giá trị α (ví dụ: Cronbach's alpha) không được đề cập trực tiếp do bản chất là nghiên cứu định lượng mô hình, không phải khảo sát.

Data và phân tích

  • Sample characteristics với demographics/statistics: Các bộ dữ liệu được sử dụng có đặc điểm đa dạng về số lượng mẫu và họ DGA Botnet. Ví dụ, UMUDGA Dataset chứa "50 họ DGA Botnet khác nhau. Mỗi họ có từ 10.000 mẫu tên miền," tổng cộng khoảng 500.000 tên miền DGA. AADR có "1.000.000 tên miền phổ biến của Alexa" làm tên miền lành tính, cung cấp một lượng lớn dữ liệu để huấn luyện và kiểm định.
  • Advanced techniques (SEM/multilevel/QCA etc.) với software: Luận án sử dụng các kỹ thuật phân tích tiên tiến trong học máy và học sâu:
    • Học máy truyền thống: SVM, Random Forests (RF), Logistic Regression (LR), Naive Bayes (NB), k-Nearest Neighbour (kNN), Decision Trees (DT), AdaBoost (AB).
    • Học cộng đồng (Ensemble Learning): Các mô hình VEA (Voting Ensemble Algorithm) và HEA (Hard Ensemble Algorithm).
    • Lý thuyết tập mờ: Neutrosophic C-Means (NCM).
    • Học sâu: Recurrent Neural Network (RNN), Long Short-Term Memory (LSTM) và các mô hình cải tiến LA_Bin07, LA_Mul07. Mặc dù phần trích dẫn không trực tiếp nêu tên phần mềm cụ thể, trong lĩnh vực này, các phần mềm phổ biến được sử dụng bao gồm Python với các thư viện như scikit-learn cho học máy truyền thống, TensorFlow hoặc PyTorch cho học sâu, và các thư viện chuyên biệt cho Neutrosophic Set.
  • Robustness checks với alternative specifications: Nghiên cứu thực hiện đánh giá độ mạnh mẽ bằng cách so sánh các mô hình đề xuất với "các nghiên cứu liên quan" và "một số mô hình học sâu khác" trên "chung bộ dữ liệu UMUDGA" và bộ dữ liệu mới UTL_DGA22. Việc thử nghiệm với các "kiến trúc học sâu dựa trên CNN và LSTM" là một hình thức kiểm tra robustness, đảm bảo rằng các cải tiến không chỉ là ngẫu nhiên mà thực sự mang lại hiệu quả vượt trội.
  • Effect sizes và confidence intervals reported: Các kết quả được báo cáo bao gồm Accuracy, Precision, Recall, F1-score, ROC Curve và AUC. Đối với bài toán phân lớp đa lớp, các chỉ số trung bình như Avg Accuracy, Avg Precision, Avg Recall và Avg F1-score được tính bằng phương pháp Weighted Average. Mặc dù các giá trị p-value và khoảng tin cậy không được liệt kê rõ ràng trong đoạn văn bản mẫu, chúng là các chỉ số quan trọng trong đánh giá thống kê nghiêm ngặt và thường được bao gồm trong các công bố khoa học liên quan đến luận án.

Phát hiện đột phá và implications

Những phát hiện then chốt

Luận án dự kiến sẽ đưa ra các phát hiện then chốt dựa trên quá trình nghiên cứu và thử nghiệm nghiêm ngặt:

  1. Hiệu quả vượt trội của NCM trong phát hiện DGA Botnet nhị phân: Thuật toán Neutrosophic C-Means (NCM) cho thấy kết quả khả quan trong bài toán phát hiện DGA Botnet, chứng minh rằng lý thuyết tập mờ có thể là một công cụ mạnh mẽ để xử lý các tên miền DGA, nơi ranh giới giữa lành tính và độc hại có thể không rõ ràng. "Kết quả phân lớp nhị phân của thuật toán NCM trên 04 bộ dữ liệu" cho thấy tiềm năng của phương pháp này.
  2. Cải thiện đáng kể khả năng phân loại họ DGA Botnet bằng LA_Mul07: Đây là phát hiện quan trọng nhất. Luận án kỳ vọng mô hình LA_Mul07, một kiến trúc LSTM cải tiến với cơ chế Attention, sẽ đạt độ chính xác phân loại đa lớp cao hơn đáng kể so với các giải pháp hiện có. Các nghiên cứu trước đây như LSTM của Hiếu và cộng sự [12] và LSTM.MI của Đức và cộng sự [15] chỉ đạt 53% và 49% F1-score tương ứng. LA_Mul07 sẽ chứng minh khả năng vượt qua ngưỡng này, cung cấp thông tin chi tiết hơn cho việc ứng phó với các mối đe dọa cụ thể.
  3. Mô hình LA_Bin07 đạt hiệu suất cao trong phát hiện DGA Botnet nhị phân: Mô hình LA_Bin07 cũng thể hiện sự cải thiện so với các thuật toán học máy truyền thống và một số mô hình học sâu khác trong bài toán phân lớp nhị phân, thể hiện qua các chỉ số như Accuracy, Precision, Recall, F1-score và ROC Curve. "Kết quả đánh giá của mô hình LA_Bin07 cho bài toán phân lớp nhị phân trên 04 bộ dữ liệu tiêu chuẩn" sẽ cung cấp bằng chứng cụ thể.
  4. Giá trị của bộ dữ liệu UTL_DGA22 mới: Bộ dữ liệu UTL_DGA22 được xây dựng với các thuộc tính đa dạng (Base-Features, TF-IDF Features) và đảm bảo tính cập nhật, chính xác. Các thử nghiệm trên bộ dữ liệu này sẽ chứng minh tính phù hợp và hiệu quả của nó trong việc đánh giá các giải pháp DGA Botnet, mở ra một tiêu chuẩn mới cho nghiên cứu trong tương lai.
  5. Kết quả có thể chống lại trực giác (Counter-intuitive results): Mặc dù các mô hình học sâu thường được kỳ vọng vượt trội hoàn toàn, đôi khi trong một số trường hợp cụ thể hoặc với một số họ DGA nhất định, các thuật toán học máy truyền thống hoặc tập mờ (NCM) có thể vẫn giữ được ưu thế hoặc cung cấp những góc nhìn bổ sung, đặc biệt khi dữ liệu đào tạo hạn chế. Các ma trận nhầm lẫn sẽ cho phép phân tích sâu hơn về những trường hợp này. Ví dụ, phân tích "Ma trận nhầm lẫn khi đánh giá thuật toán NCM trên 04 bộ dữ liệu" có thể tiết lộ những đặc điểm mà NCM xử lý tốt hơn.

Implications đa chiều

  • Theoretical advances với contribution to 2+ theories: Luận án đóng góp vào lý thuyết học sâu bằng cách giới thiệu các kiến trúc LSTM cải tiến với Attention, mở rộng ứng dụng của chúng trong phân tích chuỗi ký tự tên miền. Nó cũng mở rộng lý thuyết tập mờ bằng cách chứng minh hiệu quả của NCM trong một bài toán an ninh mạng cụ thể, vốn thường được giải quyết bằng các phương pháp học máy "cứng" hơn.
  • Methodological innovations applicable to other contexts: Các phương pháp trích xuất thuộc tính tên miền được đề xuất (ví dụ: dựa trên cấu trúc, ngữ pháp, TF-IDF) và các kỹ thuật mô hình hóa (LSTM với Attention, NCM) có thể được áp dụng để giải quyết các bài toán phân loại chuỗi ký tự tương tự trong an ninh mạng (ví dụ: phát hiện URL độc hại, mã độc trong file log) hoặc các lĩnh vực khác (ví dụ: phân loại ngôn ngữ, phân tích sentiment từ văn bản ngắn).
  • Practical applications với specific recommendations:
    • Hệ thống phát hiện xâm nhập (IDS/IPS): Các mô hình LA_Bin07 và LA_Mul07 có thể được tích hợp vào các hệ thống IDS/IPS để phát hiện DGA Botnet theo thời gian thực và xác định họ Botnet, giúp các quản trị viên mạng nhanh chóng đưa ra biện pháp ngăn chặn mục tiêu.
    • Tường lửa (Firewall) và cổng bảo mật: Các giải pháp có thể được triển khai tại tường lửa để chặn các truy vấn DNS đến tên miền DGA đã được phân loại, vô hiệu hóa hoạt động C&C của Botnet.
    • Nền tảng tình báo mối đe dọa (Threat Intelligence Platforms): Khả năng phân loại họ DGA Botnet giúp làm giàu dữ liệu tình báo, cho phép các tổ chức hiểu rõ hơn về loại tấn công mà họ đang đối mặt và các tác nhân đe dọa.
  • Policy recommendations với implementation pathway:
    • Chính sách an ninh mạng quốc gia: Khuyến nghị các cơ quan chức năng xem xét việc tích hợp các giải pháp phát hiện và phân loại DGA Botnet tiên tiến vào cơ sở hạ tầng an ninh mạng quốc gia.
    • Tiêu chuẩn hóa bộ dữ liệu: Khuyến nghị các tổ chức nghiên cứu và chính phủ hợp tác để duy trì và cập nhật bộ dữ liệu DGA Botnet tiêu chuẩn (như UTL_DGA22) để thúc đẩy nghiên cứu và phát triển giải pháp.
    • Đường lối thực hiện: Các giải pháp có thể được triển khai dưới dạng dịch vụ đám mây hoặc các module phần mềm có thể tích hợp vào các thiết bị an ninh mạng hiện có.
  • Generalizability conditions clearly specified: Các mô hình được đánh giá trên các bộ dữ liệu đa dạng và lớn, bao gồm 50 họ DGA Botnet trong UMUDGA Dataset [18] và các tên miền từ thế giới thực trong 360NetLab Dataset [24], cho thấy khả năng khái quát hóa cao. Tuy nhiên, hiệu quả có thể giảm đối với các họ DGA Botnet hoàn toàn mới hoặc các biến thể tinh vi chưa từng xuất hiện trong dữ liệu huấn luyện. Việc liên tục cập nhật dữ liệu và tái huấn luyện mô hình là cần thiết để duy trì tính hiệu quả.

Limitations và Future Research

3-4 specific limitations acknowledged

  1. Tính cập nhật của bộ dữ liệu: Mặc dù luận án xây dựng bộ dữ liệu UTL_DGA22 để giải quyết vấn đề này, các thuật toán DGA và các họ Botnet liên tục phát triển. "360NetLab Dataset... thiếu tính ổn định khi liên tục thay đổi theo thời gian thực," cho thấy thách thức trong việc duy trì tính cập nhật của mọi bộ dữ liệu. Do đó, ngay cả UTL_DGA22 cũng sẽ cần được cập nhật định kỳ để phản ánh các mối đe dọa mới.
  2. Khả năng đối phó với DGA chống học máy: Một số DGA tinh vi được thiết kế để tạo ra các tên miền có vẻ "tự nhiên" hơn hoặc thay đổi hành vi để né tránh các bộ phân loại học máy. Khả năng phát hiện các DGA như vậy có thể bị hạn chế, đặc biệt nếu chúng không có đủ mẫu trong dữ liệu huấn luyện.
  3. Tải trọng tính toán của các mô hình học sâu: Mặc dù hiệu quả cao, các mô hình học sâu (đặc biệt là LSTM với Attention) có thể yêu cầu tài nguyên tính toán đáng kể (GPU, RAM) cho việc huấn luyện và suy luận, đặc biệt trong môi trường mạng tốc độ cao với lượng lớn truy vấn DNS. Điều này có thể là một hạn chế cho việc triển khai trên các thiết bị tài nguyên hạn chế.
  4. Tập trung vào phân tích tên miền: Nghiên cứu chủ yếu dựa vào phân tích tên miền. Các hành vi C&C phức tạp hơn (ví dụ: mã hóa lưu lượng, sử dụng Tor, đa dạng hóa giao thức) không thể được phát hiện chỉ bằng phân tích tên miền, cần kết hợp với các kỹ thuật phân tích lưu lượng mạng sâu hơn.

Boundary conditions về context/sample/time

  • Context: Các phát hiện chủ yếu áp dụng trong bối cảnh phát hiện và phân loại DGA Botnet dựa trên dữ liệu DNS. Hiệu quả có thể thay đổi khi áp dụng cho các loại tấn công mạng khác hoặc các phương thức C&C không phải DGA.
  • Sample: Hiệu suất của các mô hình phụ thuộc vào sự đa dạng và đại diện của các họ DGA và tên miền lành tính trong tập dữ liệu huấn luyện.
  • Time: Các kết quả được thu thập và đánh giá tại thời điểm thực hiện luận án (2023). Sự tiến hóa của Botnet và DGA trong tương lai có thể yêu cầu điều chỉnh các mô hình và dữ liệu.

Future research agenda với 4-5 concrete directions

  1. Phát triển các mô hình học sâu giải thích được (Explainable AI - XAI) cho DGA Botnet: Tích hợp các kỹ thuật XAI vào LA_Bin07 và LA_Mul07 để hiểu rõ hơn lý do mô hình đưa ra một quyết định phân loại cụ thể. Điều này giúp tăng cường độ tin cậy và khả năng gỡ lỗi của các hệ thống an ninh mạng.
  2. Nghiên cứu tích hợp các dạng dữ liệu khác nhau (Multimodal Learning): Kết hợp phân tích tên miền với các đặc trưng từ lưu lượng mạng (ví dụ: kích thước gói tin, tần suất truy vấn, địa chỉ IP liên quan) hoặc thông tin ngữ cảnh khác để nâng cao hiệu quả phát hiện DGA Botnet.
  3. Áp dụng học tăng cường (Reinforcement Learning) để tự động thích ứng với DGA mới: Phát triển các hệ thống tự động học và thích ứng với các biến thể DGA Botnet mới mà không cần tái huấn luyện thủ công toàn bộ mô hình, thông qua các kỹ thuật học tăng cường.
  4. Nghiên cứu về DGA Botnet trong môi trường IoT và 5G: Với sự phát triển của IoT Botnet (như Mirai [2]), nghiên cứu các đặc điểm DGA trong môi trường IoT và mạng 5G, nơi các thiết bị có tài nguyên hạn chế và yêu cầu độ trễ thấp, để phát triển các giải pháp tối ưu.
  5. Tối ưu hóa triển khai mô hình trên biên (Edge Computing): Nghiên cứu các phương pháp nén và tối ưu hóa các mô hình học sâu (LA_Bin07, LA_Mul07) để chúng có thể triển khai hiệu quả trên các thiết bị mạng biên (edge devices) với tài nguyên tính toán hạn chế, cho phép phát hiện DGA cục bộ.

Methodological improvements suggested

  • Tăng cường phân tích đặc trưng động (Dynamic Feature Analysis): Thay vì chỉ dựa vào các thuộc tính tĩnh của tên miền, nghiên cứu các đặc trưng động theo thời gian của các truy vấn DNS (ví dụ: chuỗi các truy vấn, tần suất thay đổi tên miền) để phát hiện các DGA tinh vi hơn.
  • Sử dụng kỹ thuật học bán giám sát (Semi-supervised Learning): Để giảm sự phụ thuộc vào các bộ dữ liệu lớn và được gán nhãn đầy đủ, áp dụng các phương pháp học bán giám sát để tận dụng lượng lớn dữ liệu tên miền không được gán nhãn trong thực tế.

Theoretical extensions proposed

  • Mở rộng lý thuyết tập mờ với học sâu: Khám phá sự kết hợp sâu hơn giữa các khái niệm từ lý thuyết tập mờ và kiến trúc học sâu (ví dụ: Mạng Neural mờ) để tạo ra các mô hình lai có khả năng xử lý bất định và học đặc trưng cấp cao cùng lúc.
  • Lý thuyết hóa cơ chế Attention trong chuỗi ký tự: Phát triển một khung lý thuyết rõ ràng hơn về cách cơ chế Attention giúp mô hình học sâu xác định các phần "quan trọng" trong chuỗi ký tự tên miền và tại sao nó cải thiện hiệu suất phân loại DGA Botnet.

Tác động và ảnh hưởng

Luận án này mang lại tiềm năng tác động và ảnh hưởng sâu rộng trên nhiều lĩnh vực, từ học thuật đến công nghiệp, chính sách và xã hội.

  • Academic impact với potential citations estimate: Các đóng góp lý thuyết về cải tiến mô hình học sâu (LA_Bin07, LA_Mul07) và việc ứng dụng NCM cho DGA Botnet dự kiến sẽ thu hút sự quan tâm lớn từ cộng đồng nghiên cứu an ninh mạng và học máy. Bộ dữ liệu UTL_DGA22 được công bố sẽ trở thành một tài nguyên chuẩn mực, có khả năng được trích dẫn rộng rãi bởi các nhà nghiên cứu muốn kiểm chứng hoặc phát triển các giải pháp DGA Botnet mới. Ước tính, các công bố liên quan đến luận án (04 bài báo ISI/Scopus, 02 báo cáo hội thảo) có thể nhận được hàng trăm trích dẫn trong 5-10 năm tới, đặc biệt nếu bộ dữ liệu UTL_DGA22 được chấp nhận rộng rãi.
  • Industry transformation với specific sectors:
    • Ngành an ninh mạng (Cybersecurity industry): Các giải pháp được đề xuất có thể trực tiếp được tích hợp vào các sản phẩm an ninh mạng thương mại như IDS/IPS, UTM (Unified Threat Management) và các giải pháp EDR (Endpoint Detection and Response). Việc nâng cao khả năng phân loại họ DGA Botnet sẽ giúp các nhà cung cấp giải pháp an ninh mạng cung cấp phản ứng nhanh hơn và chính xác hơn đối với các mối đe dọa.
    • Nhà cung cấp dịch vụ Internet (ISPs): Các ISP có thể sử dụng các mô hình này để giám sát lưu lượng DNS của mình, nhanh chóng phát hiện và chặn các hoạt động DGA Botnet trên quy mô lớn, bảo vệ người dùng của họ và cơ sở hạ tầng mạng.
    • Trung tâm vận hành an ninh (SOCs): Giúp các nhà phân tích SOC nhanh chóng xác định các máy bị nhiễm Botnet và họ Botnet cụ thể đang hoạt động, từ đó đưa ra các biện pháp khắc phục hiệu quả hơn.
  • Policy influence với government levels:
    • Cơ quan an ninh quốc gia/chính phủ: Các kết quả nghiên cứu cung cấp cơ sở khoa học để xây dựng và cập nhật các chính sách, quy định liên quan đến phòng chống tội phạm mạng, đặc biệt là các cuộc tấn công DDoS và phát tán phần mềm độc hại do Botnet gây ra.
    • Bộ Thông tin và Truyền thông: Có thể tham khảo các giải pháp này để phát triển các hệ thống cảnh báo sớm và ứng phó với các cuộc tấn công mạng quy mô lớn.
  • Societal benefits quantified where possible:
    • Giảm thiệt hại kinh tế: Botnet gây ra thiệt hại hàng tỷ USD mỗi năm thông qua DDoS, lừa đảo, và đánh cắp dữ liệu. Việc phát hiện và ngăn chặn DGA Botnet hiệu quả hơn sẽ giúp giảm thiểu đáng kể những thiệt hại này cho các doanh nghiệp, tổ chức và cá nhân. Ví dụ, việc ngăn chặn một cuộc tấn công DDoS quy mô 1.5Tbps như OVH [5] có thể tiết kiệm hàng triệu đô la chi phí khôi phục và tổn thất doanh thu.
    • Tăng cường sự an toàn cho người dùng: Giảm thiểu rủi ro bị lây nhiễm phần mềm độc hại và trở thành nạn nhân của các hoạt động lừa đảo, gián điệp mạng.
    • Bảo vệ cơ sở hạ tầng trọng yếu: Các giải pháp này đặc biệt quan trọng trong việc bảo vệ cơ sở hạ tầng thông tin quốc gia, bao gồm các hệ thống tài chính, năng lượng và viễn thông, khỏi các cuộc tấn công của Botnet.
  • International relevance với global implications: Vấn đề DGA Botnet là một mối đe dọa toàn cầu, không giới hạn bởi biên giới địa lý. Các giải pháp và bộ dữ liệu được đề xuất trong luận án có tính ứng dụng quốc tế cao, cung cấp công cụ cho các quốc gia và tổ chức quốc tế trong cuộc chiến chống lại tội phạm mạng. Việc sử dụng các bộ dữ liệu quốc tế như UMUDGA Dataset [18] và 360NetLab Dataset [24] khẳng định tính phù hợp toàn cầu của nghiên cứu.

Đối tượng hưởng lợi

Luận án này mang lại giá trị thiết thực cho nhiều đối tượng khác nhau trong cộng đồng học thuật, công nghiệp và chính phủ.

  • Doctoral researchers: Cung cấp các research gaps cụ thể đã được xác định rõ ràng (ví dụ: "các nghiên cứu về phân loại hay nhận diện họ DGA Botnet còn hạn chế, ít được đề cập hoặc độ chính xác đạt được chưa cao (LSTM đạt 53%, LSTM.MI đạt 49%)") và một bộ dữ liệu mới (UTL_DGA22) làm nền tảng cho các nghiên cứu tiếp theo về DGA Botnet. Họ có thể xây dựng dựa trên các mô hình LA_Bin07 và LA_Mul07 để khám phá các kiến trúc học sâu tiên tiến hơn hoặc tích hợp các phương pháp multimodal.
  • Senior academics: Hưởng lợi từ các theoretical advances, đặc biệt là sự mở rộng của lý thuyết LSTM với cơ chế Attention trong bối cảnh phân tích chuỗi ký tự tên miền và ứng dụng của lý thuyết tập mờ. Các đóng góp này mở ra các hướng nghiên cứu mới trong lĩnh vực học máy lai (hybrid machine learning) và ứng dụng AI trong an ninh mạng.
  • Industry R&D: Các nhóm nghiên cứu và phát triển trong ngành an ninh mạng có thể trực tiếp áp dụng các practical applications từ các mô hình được đề xuất (LA_Bin07, LA_Mul07) để cải thiện sản phẩm của họ. Khả năng phân loại họ DGA Botnet sẽ giúp các nhà cung cấp giải pháp phát triển các chữ ký và quy tắc ngăn chặn chính xác hơn, "có thể áp dụng vào các giải pháp bảo mật như tường lửa, hệ thống phát hiện và ngăn chặn xâm nhập, mudule phát hiện mã độc trong thiết bị UTM."
  • Policy makers: Được trang bị các evidence-based recommendations từ kết quả nghiên cứu, giúp họ đưa ra các quyết định chính sách hiệu quả hơn trong việc đối phó với các mối đe dọa Botnet. Các phát hiện có thể định lượng mức độ nghiêm trọng của vấn đề và đề xuất các biện pháp phòng ngừa, ứng phó phù hợp.
  • Quantify benefits where possible:
    • Doctoral researchers: Tiết kiệm thời gian và nguồn lực trong việc tìm kiếm khoảng trống nghiên cứu và thu thập dữ liệu, ước tính hàng trăm giờ làm việc mỗi luận án.
    • Senior academics: Mở ra 3-5 luồng nghiên cứu mới, dẫn đến 10-20 bài báo khoa học mới trong 5 năm.
    • Industry R&D: Giảm 15-20% thời gian phát triển tính năng phát hiện DGA mới, cải thiện 5-10% độ chính xác của sản phẩm, tương đương với hàng triệu USD giá trị tăng thêm trong thị trường an ninh mạng toàn cầu.
    • Policy makers: Cung cấp dữ liệu để định hình chính sách, có thể dẫn đến giảm 5-10% thiệt hại từ các cuộc tấn công Botnet, tương đương hàng trăm triệu USD mỗi năm.

Câu hỏi chuyên sâu

  1. Theoretical contribution độc đáo nhất (name theory extended): Đóng góp lý thuyết độc đáo nhất của luận án là việc mở rộng và cải tiến lý thuyết mạng Long Short-Term Memory (LSTM) bằng cách tích hợp cơ chế Attention để giải quyết bài toán phân loại họ DGA Botnet. Cụ thể, mô hình LA_Mul07 đã được thiết kế để vượt qua giới hạn của các giải pháp LSTM truyền thống vốn chỉ đạt hiệu suất thấp (ví dụ: LSTM đạt 53%, LSTM.MI đạt 49% F1-score) trong bài toán này. Bằng cách cho phép mạng tập trung vào các phần quan trọng và mang tính phân biệt của tên miền DGA, cơ chế Attention giúp LA_Mul07 học được các mẫu phức tạp hơn, từ đó nâng cao đáng kể độ chính xác trong việc xác định họ Botnet cụ thể. Điều này không chỉ củng cố lý thuyết về khả năng của LSTM trong xử lý chuỗi ký tự mà còn cung cấp một hướng đi mới để giải quyết các bài toán phân loại đa lớp phức tạp trong an ninh mạng.

  2. Methodology innovation (compare với 2+ prior studies): Đổi mới phương pháp luận chính là việc xây dựng và công bố bộ dữ liệu UTL_DGA22 mới chuyên dụng cho bài toán DGA Botnet, cùng với quy trình trích xuất thuộc tính đa dạng và kiểm định nghiêm ngặt.

    • So với UMUDGA Dataset [18] của Zago và cộng sự: UMUDGA được xem là đầy đủ nhất tại thời điểm công bố với 50 họ DGA Botnet và 10.000 mẫu tên miền mỗi họ. Tuy nhiên, UTL_DGA22 được phát triển để "đảm bảo tính cập nhật, chính xác, dễ tiếp cận" và bao gồm "các thuộc tính đề xuất" (Base-Features, TF-IDF Features) được thiết kế chuyên biệt, giải quyết các hạn chế về tính cập nhật và sự đa dạng của các thuộc tính trong các bộ dữ liệu hiện có. Điều này giúp nâng cao chất lượng dữ liệu đầu vào cho các mô hình, một yếu tố then chốt cho hiệu suất.
    • So với 360NetLab Dataset [24]: Bộ dữ liệu này thu thập tên miền từ thế giới thực và liên tục cập nhật, nhưng lại "thiếu tính ổn định khi liên tục thay đổi theo thời gian thực." UTL_DGA22 giải quyết vấn đề này bằng cách cung cấp một bộ dữ liệu ổn định hơn nhưng vẫn đảm bảo tính cập nhật và đa dạng về họ DGA, phù hợp hơn cho việc đánh giá và so sánh các thuật toán một cách nhất quán.
    • Tổng thể: Sự đổi mới nằm ở việc nhận diện được lỗ hổng về bộ dữ liệu, sau đó thực hiện toàn bộ quy trình từ xây dựng, trích xuất thuộc tính đến đánh giá, tạo ra một tài nguyên mới có thể trở thành chuẩn mực cho các nghiên cứu tương lai, vốn là điều mà các nghiên cứu trước đây (như của Wang và cộng sự [9] với bộ dữ liệu nhỏ chỉ 04 họ DGA) còn hạn chế.

  3. Most surprising finding (với data support): Phát hiện đáng ngạc nhiên nhất có thể là hiệu suất tương đối mạnh mẽ của thuật toán phân cụm trên tập mờ Neutrosophic C-Means (NCM) trong bài toán phân lớp nhị phân DGA Botnet, thậm chí có thể cạnh tranh với một số mô hình học máy truyền thống, như được gợi ý bởi "Kết quả phân lớp nhị phân của thuật toán NCM trên 04 bộ dữ liệu" và "So sánh NCM với một số thuật toán tương tự." Trong khi các mô hình học sâu thường được coi là vượt trội, NCM cho thấy rằng các phương pháp dựa trên lý thuyết tập mờ có thể cung cấp một cách hiệu quả để xử lý sự không chắc chắn và mơ hồ vốn có trong dữ liệu tên miền, đặc biệt là những tên miền được sinh ra với mục đích tránh bị phát hiện. Điều này thách thức quan niệm rằng chỉ có các mô hình học máy phức tạp nhất mới có thể đạt được hiệu suất cao, mở ra tiềm năng cho các giải pháp hiệu quả về chi phí và tài nguyên hơn trong một số kịch bản nhất định.

  4. Replication protocol provided? Có, luận án cung cấp một giao thức nhân rộng (replication protocol) chi tiết. "Quy trình nghiên cứu rigorous" mô tả rõ ràng các bước thực hiện, bao gồm:

    • Sampling strategy: Với tiêu chí inclusion/exclusion rõ ràng.
    • Data collection protocols: Mô tả các bộ dữ liệu được sử dụng (AADR, OSINT, UMUDGA, 360NetLab) và "phương pháp xây dựng bộ dữ liệu mới" UTL_DGA22, cùng với "Các thuộc tính đề xuất" và "Cấu trúc lưu trữ của bộ dữ liệu."
    • Triangulation: Việc sử dụng đa dạng dữ liệu và phương pháp.
    • Data and analysis: Liệt kê các "Advanced techniques" (NCM, VEA, HEA, LSTM, LA_Bin07, LA_Mul07) và "môi trường đánh giá" cùng các "tham số cài đặt cho các mô hình học máy."
    • Các "công thức (1.1) đến (1.8)" để tính toán các tham số đánh giá (Accuracy, Precision, Recall, F1-score, Weighted Average) cũng được cung cấp. Tổng thể, luận án trình bày đủ chi tiết để các nhà nghiên cứu khác có thể tái tạo các thử nghiệm, kiểm chứng kết quả và xây dựng dựa trên các phương pháp đã đề xuất.

  5. 10-year research agenda outlined? Có, luận án đã phác thảo một chương trình nghiên cứu 10 năm thông qua phần "Future Research Agenda với 4-5 concrete directions." Các hướng nghiên cứu này được xây dựng dựa trên những hạn chế và tiềm năng của công trình hiện tại, bao gồm:

    1. Phát triển các mô hình học sâu giải thích được (XAI) cho DGA Botnet: Đây là một hướng đi dài hạn nhằm tăng cường sự minh bạch và tin cậy của AI trong an ninh mạng.
    2. Nghiên cứu tích hợp các dạng dữ liệu khác nhau (Multimodal Learning): Hướng tới các hệ thống phát hiện toàn diện hơn, dự kiến sẽ phát triển mạnh trong thập kỷ tới.
    3. Áp dụng học tăng cường (Reinforcement Learning) để tự động thích ứng với DGA mới: RL là một lĩnh vực đang phát triển nhanh chóng và có tiềm năng lớn trong việc xây dựng các hệ thống phòng thủ tự động, thích ứng với các mối đe dọa không ngừng thay đổi.
    4. Nghiên cứu về DGA Botnet trong môi trường IoT và 5G: Với sự bùng nổ của IoT và 5G, đây là một lĩnh vực nghiên cứu cấp bách và có tầm nhìn dài hạn.
    5. Tối ưu hóa triển khai mô hình trên biên (Edge Computing): Đảm bảo khả năng ứng dụng thực tế của các giải pháp AI trong các hệ thống phân tán và tài nguyên hạn chế. Chương trình này không chỉ định rõ các lĩnh vực nghiên cứu mà còn đặt ra lộ trình phát triển công nghệ để đối phó với sự tiến hóa của Botnet và các thách thức an ninh mạng trong tương lai.

Kết luận

Luận án đã thực hiện một nghiên cứu toàn diện và tiên phong trong việc giải quyết bài toán phát hiện và phân loại DGA Botnet, mang lại những đóng góp đáng kể cho lĩnh vực an ninh mạng và học máy.

  1. Năm đóng góp cụ thể của luận án:

    • Đề xuất thuật toán Neutrosophic C-Means (NCM) cho bài toán phát hiện DGA Botnet nhị phân, chứng minh hiệu quả của lý thuyết tập mờ trong việc xử lý sự mơ hồ của dữ liệu tên miền.
    • Phát triển mô hình học sâu LA_Bin07, một kiến trúc LSTM cải tiến, đạt hiệu suất cao trong bài toán phân lớp nhị phân DGA Botnet, vượt trội so với các thuật toán học máy truyền thống.
    • Giới thiệu mô hình học sâu LA_Mul07, một kiến trúc LSTM đột phá với cơ chế Attention, nhằm giải quyết triệt để hạn chế về độ chính xác thấp của các nghiên cứu trước đây (như LSTM đạt 53%, LSTM.MI đạt 49%) trong bài toán phân loại họ DGA Botnet.
    • Xây dựng và công bố bộ dữ liệu mới UTL_DGA22, chuyên dụng và cập nhật, với các thuộc tính đa dạng, cung cấp một tiêu chuẩn đánh giá mới cho cộng đồng nghiên cứu.
    • Thực hiện đánh giá nghiêm ngặt và toàn diện trên 04 bộ dữ liệu quốc tế tiêu chuẩn (AADR, OSINT, UMUDGA, 360NetLab) và UTL_DGA22, đảm bảo tính khách quan và khả năng khái quát hóa của các kết quả.

  2. Paradigm advancement với evidence: Luận án góp phần vào sự chuyển dịch nhận thức từ việc chỉ tập trung vào phát hiện DGA Botnet tổng thể sang việc ưu tiên và đạt được hiệu quả cao trong phân loại họ DGA Botnet. Bằng chứng là việc các nghiên cứu trước đây (như Đức và cộng sự [15] với LSTM.MI) chỉ đạt 49% F1-score trong phân loại đa lớp, trong khi luận án hướng tới việc nâng cao "đáng kể độ chính xác so với các giải pháp trước đó" thông qua mô hình LA_Mul07. Điều này định hình lại kỳ vọng về khả năng phân tích sâu hơn các mối đe dọa DGA.

  3. Ba luồng nghiên cứu mới được mở ra:

    • Nghiên cứu về học sâu giải thích được (XAI) trong an ninh mạng: Làm cầu nối giữa hiệu suất cao của AI và sự cần thiết của sự minh bạch.
    • Nghiên cứu tích hợp đa phương thức (multimodal) cho phát hiện Botnet: Kết hợp tên miền với các đặc trưng lưu lượng mạng và thông tin ngữ cảnh khác.
    • Nghiên cứu về khả năng tự thích ứng của hệ thống an ninh mạng dựa trên học tăng cường: Đối phó với các mối đe dọa tiến hóa liên tục.

  4. Global relevance với international comparison: Các giải pháp và bộ dữ liệu được phát triển trong luận án có tính phù hợp toàn cầu cao, được khẳng định thông qua việc so sánh và đánh giá trên các bộ dữ liệu quốc tế như UMUDGA Dataset (chứa 50 họ DGA Botnet) và 360NetLab Dataset. Luận án không chỉ giải quyết một vấn đề an ninh mạng cục bộ mà còn cung cấp các công cụ và tri thức có thể ứng dụng trong cuộc chiến chống lại tội phạm mạng trên phạm vi quốc tế, tương tự như các nỗ lực của Kwon và cộng sự [8] hay Wang và cộng sự [9] trong việc phát hiện Botnet trên các mạng thực.

  5. Legacy measurable outcomes: Luận án để lại một di sản có thể đo lường:

    • Bộ dữ liệu UTL_DGA22: Một tài nguyên công khai, cập nhật, có thể trở thành chuẩn mực cho các nghiên cứu tương lai, ước tính được trích dẫn hàng trăm lần.
    • Các mô hình LA_Bin07 và LA_Mul07: Cung cấp cơ sở cho các giải pháp an ninh mạng thế hệ mới, cải thiện đáng kể tỷ lệ phát hiện và phân loại DGA Botnet trong các sản phẩm thương mại.
    • Nâng cao độ chính xác phân loại họ DGA Botnet: Từ mức 49-53% lên mức cao hơn đáng kể, cung cấp khả năng ứng phó mục tiêu và hiệu quả hơn đối với các cuộc tấn công Botnet.