Phát triển mô hình phát hiện bất thường mạng: Học sâu và Tổng hợp dữ liệu (Luận án TS)

HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG BÙI CÔNG THÀNH PHÁT TRIỂN MỘT SỐ MÔ HÌNH PHÁT HIỆN BẤT THƯỜNG MẠNG DỰA TRÊN HỌC SÂU VÀ TỔNG HỢP DỮ LIỆU LUẬN ÁN TIẾN SĨ KỸ THUẬT HÀ NỘI – 2021 HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG BÙI CÔNG THÀNH PHÁT TRIỂN MỘT SỐ MÔ HÌNH PHÁT HIỆN BẤT THƯỜNG MẠNG DỰA TRÊN HỌC SÂU VÀ TỔNG HỢP DỮ LIỆU CHUYÊN NGÀNH: HỆ THỐNG THÔNG TIN MÃ SỐ: : 9.04 LUẬN ÁN TIẾN SĨ NGƯỜI HƯỚNG DẪN KHOA HỌC: 1. NGUYỄN QUANG UY HÀ NỘI – 2021 i TÓM TẮT Sự phát triển nhanh của mạng máy tính và IoT (sau đây gọi là mạng) cả về dịch vụ và hạ tầng đã kéo theo những thách thức rất lớn trong vấn đề bảo đảm an ninh mạng. Tìm kiếm giải pháp phát hiện các tấn công mạng là nhiệm vụ trọng tâm cho bảo vệ an ninh mạng, trong đó phát hiện bất thường mạng (Network Anomaly Detection -NAD) được rất nhiều các học giả quan tâm nghiên cứu trong những năm qua. NAD là lĩnh vực nghiên cứu để tìm ra các giải pháp hiệu quả trong phân tách giữa trạng thái bình thường và bất thường mạng.

Học máy được biết như phương pháp chủ yếu cho xây dựng các thuật toán phát hiện bất thường. Các mô hình học máy được huấn luyện chỉ với dữ liệu bình thường hay còn gọi là các bộ phân đơn lớp (One-class Classification - OCC) được cho là sự lựa chọn phù hợp và đang cho thấy các kết quả phát hiện bất thường rất hiệu quả. Những năm gần đây, phát triển các kỹ thuật học sâu (deep learning) đã mạng lại nhiều thành tựu trong các lĩnh vực, học sâu dựa trên kiến trúc AutoEncoders (AE) được công nhận rộng rãi là phương pháp tiên tiến, có khả năng giải quyết các vấn đề phức tạp của phát hiện bất thường mạng, tiêu biểu trong đó là SAE (Shrink AutoEncoder). Mặc dù vậy, các phương pháp NAD cần phải liên tục được nghiên cứu cải tiến để có thể đáp ứng tốt hơn khi mà các nguy cơ đe doạ an ninh mạng ngày càng tăng.

Thêm vào đó, các phương pháp NAD đơn lẻ dựa trên OCC nhìn chung đang phải đối mặt với một số thách thức khác như: mỗi phương pháp đơn được cho là chỉ hiệu quả trên một điều kiện môi trường mạng cụ thể; các phương pháp OCC vẫn cần sự hỗ trợ của chuyên gia để đưa ra ngưỡng quyết định, đây là yêu cầu đối với một mô hình phát hiện tấn công khi được triển khai trong thực tế. Luận án hướng tới mục tiêu nghiên cứu cải tiến phương pháp phát hiện bất thường mạng theo hướng giải quyết một số vấn đề đặt ra trên. Kết quả một số ii nội dung chính đã được thực hiện gồm. (i) Đã đề xuất được giải pháp cho cải tiến một số hạn chế của phương pháp học sâu NAD tiêu biểu, các thuật toán cải tiến cho phép xây dựng mô hình NAD hiệu quả hơn trong điều kiện dữ liệu của đối tượng quan sát có tính phân cụm cao, tồn tại ở dạng nhiều cụm; có thể phát hiện hiệu quả hơn đối với nhóm tấn công mạng mà mô hình tiêu biểu dựa trên học sâu AutoEncoder gặp khó.

(ii) Luận án đã đề xuất được mô hình khung tổng hợp dữ liệu, có tên OFuseAD, cho bài toán phát hiện bất thường. Mô hình đạt được từ kết quả cải tiến lý thuyết Dempster-Shafer, giải quyết các thách thức trong kết hợp các phương pháp OCC như xác định ngưỡng, trọng số cho kết hợp, cơ sở chọn lựa phương pháp đơn tham gia mô hình tổng hợp. Kết quả thử nghiệm mô hình OFuseAD trên mười tập dữ liệu phổ biến trong lĩnh vực an ninh mạng cho thấy mô hình hoạt động khả thi, cho hiệu quả phát hiện bất thường hiệu quả, ổn định hơn so với các phương pháp đơn OCC trong đa số tập dữ liệu (9/10 tập dữ liệu thực nghiệm). Ngoài ra, mô hình OFuseAD có thể hoạt động mà không cần sự can thiệp cuả chuyên gia trong thiết lập ngưỡng quyết định.

Các vấn đề trên đã được luận án nghiên cứu, giải quyết. Các đóng góp của luận án đã được công bố trong các công trình khoa học có uy tín. Trong hiểu biết của nghiên cứu sinh, đóng góp của luận án mới và không trùng với các kết quả nghiên cứu đã công bố trong và ngoài nước. iii LỜI CAM ĐOAN Tôi xin cam đoan rằng nội dung luận án là kết quả nghiên cứu đã được thực hiện bởi tác giả dưới sự hướng dẫn của các thầy hướng dẫn khoa học.

Luận án sử dụng các trích dẫn thông tin từ nhiều nguồn khác nhau và có nguồn gốc rõ ràng. Những đóng góp trong luận án đã được công bố trong các bài báo của tác giả và chưa được công bố trên bất kỳ công trình khoa học nào khác. Hà Nội, ngày.năm 2021 iv LỜI CẢM ƠN Thực hiện luận án Tiến sĩ đòi hỏi nghiên cứu sinh phải tập trung cao độ, trong thời gian dài. Kết quả nghiên cứu của NCS là sự góp sức rất lớn từ các thầy hướng dẫn khoa học, cơ sở đào tạo, cơ quan công tác, đồng nghiệp và đặc biệt là gia đình.

Tôi muốn bày tỏ lòng biết ơn đối với họ. Nghiên cứu sinh xin được bày tỏ lòng biết ơn sâu sắc đến Thầy giáo PGS. Hoàng Minh và PGS. Nguyễn Quang Uy đã tận tình hướng dẫn, trang bị kiến thức khoa học và phương pháp nghiên cứu để tôi hoàn thành nội dung nghiên cứu luận án.

Tôi xin cảm ơn TS. Cao Văn Lợi về những góp ý rất hữu ích, giúp tôi thêm động lực trong nghiên cứu. Nghiên cứu sinh xin bày tỏ lòng biết ơn chân thành tới Học viện Công nghệ Bưu chính Viễn thông, Khoa Sau đại học, các thầy cô giáo đã giúp đỡ tôi trong suốt quá trình tham gia học tập. Nghiên cứu sinh xin bày tỏ lòng biết ơn đến BTL Thông tin liên lạc, các Thủ trưởng và đồng chí tại Trung tâm Kỹ thuật thông tin công nghệ cao đã giúp đỡ, tạo điều kiện thời gian cho tôi.

Cuối cùng, nghiên cứu sinh vô cùng biết ơn đến gia đình bạn bè và người thân, bố mẹ hai bên đã luôn động viên khích lệ tôi, vợ tôi Đặng Thị Bích đã luôn cổ vũ động viên, chăm sóc gia đình và các con để tôi yên tâm nghiên cứu hoàn thành luận án. Bùi Công Thành v MỤC LỤC TÓM TẮT. i LỜI CAM ĐOAN. iii LỜI CẢM ƠN.

iv MỤC LỤC. v DANH MỤC CÁC KÝ HIỆU, CÁC CHỮ VIẾT TẮT. viii DANH MỤC CÁC BẢNG BIỂU. xii DANH MỤC CÁC HÌNH VẼ.

xii PHẦN MỞ ĐẦU 1 1. Tính cấp thiết của luận án. Phát biểu bài toán. Mục tiêu của luận án.

Đối tượng và Phạm vi luận án. Phương pháp nghiên cứu. Đóng góp của luận án. Bố cục luận án.

TỔNG QUAN VỀ PHÁT HIỆN BẤT THƯỜNG MẠNG 13 1.1 Hệ thống phát hiện bất thường mạng .2 Mô hình phát hiện bất thường mạng .4 Đầu ra của mô hình NAD .2 Một số phương pháp đơn cho phát hiện bất thường mạng .1 Một số phương pháp OCC truyền thống .2 Phương pháp OCC học sâu .3 Phát hiện bất thường dựa trên tổng hợp, kết hợp .1 Tổng hợp theo lai ghép .2 Tổng hợp theo học cộng đồng .3 Tổng hợp dữ liệu .4 Tổng hợp dữ liệu dựa trên lý thuyết Dempster-Shafer .4 Đánh giá giải pháp .1 Bộ dữ liệu cho kiểm thử .2 Các chỉ số đánh giá. PHÁT HIỆN BẤT THƯỜNG DỰA TRÊN HỌC SÂU AUTOENCODER 56 2.2 Giải pháp đề xuất .1 Giải pháp Clustering-Shrink AutoEncoder .2 Giải pháp Double-shrink AutoEncoder .1 Dữ liệu thực nghiệm .2 Phương pháp xác định số cụm tối ưu .3 Thiết lập tham số thực nghiệm .4 Kết quả và đánh giá. PHÁT HIỆN BẤT THƯỜNG DỰA TRÊN TỔNG HỢP DỮ LIỆU 82 3.2 Giải pháp đề xuất .1 Các thành phần của phương pháp OFuseAD .2 Cơ chế hoạt động của OFuseAD .1 Dữ liệu thực nghiệm .2 Thiết lập tham số thực nghiệm .4 Kết quả và đánh giá. Một số kết quả chính của luận án.

Một số giới hạn của luận án. Hướng nghiên cứu trong tương lai .