Ứng dụng mạng nơron nhân tạo trong phát hiện xâm nhập mạng dựa vào tần suất lời gọi hệ thống với bộ dữ liệu ADFA-LD

h báo sai và giúp người quản trị xác định các lỗ
hổng bảo mật trong hệ thống. Tuy nhiên, phương pháp này có nhược điểm là không
phát hiện được các kiểu tấn công mới không có trong cơ sở dữ liệu. Do vậy, hệ thống
luôn phải cập nhật các mẫu tấn công mới dẫn đến tình trạng cơ sở dữ liệu trở nên rất
lớn. Hơn nữa dấu hiệu càng cụ thể thì càng ít gây cảnh báo nhầm nhưng lại gây khó
khăn cho việc phát hiện các biến thể, hệ thống sẽ khó phát hiện được các kiểu tấn công
mới.
- Phát hiện xâm nhập dựa vào bất thường: Phương pháp này mô tả sơ lược những
hoạt động bình thường của hệ thống. Các cuộc tấn công sẽ có những hành động khác
so với trạng thái bình thường do đó có thể nhận dạng được chúng. Ưu điểm lớn nhất
của phát hiện xâm nhập dựa vào bất thường là không dựa vào dấu hiệu đã được định
nghĩa hay những cuộc tấn công đã được biết trước nên có thể phát hiện ra các cuộc
tấn công mới mà phương pháp phát hiện dựa vào dấu hiệu không phát hiện được. Tuy
nhiên, phương pháp này có nhược điểm là thường tạo ra một số lượng các cảnh báo sai
làm giảm hiệu suất hoạt động của hệ thống.
2. Giới thiệu bộ dữ liệu ADFA-LD và phương pháp tiền xử lý dữ liệu
Một trong những khó khăn nhất của những nhóm nghiên cứu về phát hiện xâm nhập
là sự thiếu hụt của những bộ dữ liệu an ninh mạng được thu thập từ thực tế. Bộ dữ
liệu KDD99 được hầu hết các nhóm nghiên cứu về phát hiện xâm nhập sử dụng trong
thời gian qua [4]; tuy nhiên với sự phát triển rất nhanh của các phương pháp, kỹ thuật
tấn công, xâm nhập mạng, bộ dữ liệu này đã bộc lộ những hạn chế nhất định. Bộ dữ
liệu an ninh mạng ADFA do Học viện quốc phòng Úc xây dựng năm 2013 với những
phương thức tấn công hiện đại, hiện nay được coi là bộ dữ liệu an ninh mạng mới thay
thế cho bộ dữ liệu KDD99 [3].
ADFA bao gồm cả dữ liệu được thu thập trên máy trạm chạy hệ điều hành Linux
(ADFA-LD) và và hệ điều hành Window (ADFA-WD). Trong đó ADFA-LD được tạo
trên hệ điều hành Linux với các phương thức tấn công, xâm nhập hiện đại vào hệ điều
hành này. Trong bảng 1, chúng ta có thể thấy các kỹ thuật tấn công khác nhau được sử
dụng để tấn công vào các máy trạm chạy hệ điều hành Ubutu.
Các phương pháp tấn công này được lựa chọn vì đó là các phương thức được sử dụng
bởi các chuyên gia bảo mật khi phát hiện lỗ hổng của hệ thống, cũng như được các
19
Chuyên san Công nghệ thông tin và Truyền thông - Số 10 (06-2017)
Bảng 2. Chi tiết tập dữ liệu ADFA-LD
Kiểu dữ liệu Số bản ghi Nhãn
Huấn luyện 833 Normal
Xác thực 4373 Normal
Tấn công
Hydra-FTP 162 Attack
Hydra-SSH 148 Attack
Adduser 91 Attack
Java-Meterpreter 125 Attack
Meterpreter 75 Attack
Webshell 118 Attack
hacker sử dụng hiện nay trong thực tế [4].
Tập dữ liệu ADFA-LD bao gồm ba nhóm dữ liệu khác nhau là dữ liệu tấn công,
dữ liệu huấn luyện và dữ liệu xác thực (Attack_Data_Master, Training_Data_Master,
Validation_Data_Master). ADFA-LD được xây dựng bằng cách ghi lại log các lời gọi
hệ thống khi các tiến trình trong hệ điều hành thực thi. Các nhãn của file log sẽ được
gán tùy theo tiến trình đó được ghi khi có hoặc không có tấn công. Bảng 2 mô tả chi
tiết tập dữ liệu ADFA-LD.
Các tiến trình đặc quyền (liên quan đến quản lý quyền hạn người sử dụng, cho phép
kết nối, truy cập từ xa, tiến trình ngầm. . . v.v) thường bị các hacker lợi dụng và khai
thác. Việc phân biệt các tiến trình đặc quyền bình thường và bất thường (do hacker
thực thi) có thể sử dụng đặc trưng của chuỗi lời gọi hệ thống do tiến trình đó gọi khi
thực thi. Trong các công trình nghiên cứu phát hiện xâm nhập mạng sử dụng lời gọi
hệ thống, các tác giả thường sử dụng hai phương pháp: dựa vào thứ tự lời gọi hệ thống
(sequence-based) [7, 9, 10] và dựa vào tần suất lời gọi hệ thống (frequency-based) [3,4].
Ý tưởng của phương pháp dựa vào thứ tự lời gọi hệ thống (sequence-based) là phân
tích chuỗi lời gọi hệ thống của một tiến trình thành các đoạn có độ dài bằng nhau; sau
đó so sánh chúng với những đoạn lời gọi hệ thống “bình thường” đã được lưu trong cơ
sở dữ liệu. Nếu đoạn lời gọi hệ thống nào quá “khác biệt” so cơ sở dữ liệu thì sẽ bị
đánh giá là bất thường. Nhược điểm của phương pháp này là độ phức tạp tính toán cao
do các tiến trình gồm rất nhiều lời gọi hệ thống nên số đoạn cần so sánh rất lớn [7, 9,
10].
Phương pháp thứ hai được sử dụng là dựa vào tần suất của các lời gọi hệ thống.
Phương pháp này vừa có khả năng trích chọn đặc trưng của chuỗi lời gọi hệ thống,
vừa chuẩn hóa được dữ liệu thành các vector có chiều dài bằng nhau. Trong bài báo
này, chúng tôi sẽ tiến hành xây dựng thuật toán, thử nghiệm và so sánh kết quả với các
thuật toán khác được xây dựng dựa trên tần suất lời gọi hệ thống.
Dữ liệu ADFA-LD được thu thập bằng cách ghi lại các lời gọi hệ thống trong từng
tiến trình của hệ điều hành. Chuỗi lời gọi hệ thống là chuỗi các số nguyên rời rạc có
giá trị là thứ tự của lời gọi hệ thống được gọi trong tiến trình. Các giá trị trong các
chuỗi nằm trong khoảng [1. . . n], trong đó n là số hiệu lớn nhất của lời gọi hệ thống -
được xác định bởi hệ điều hành. Vì các máy trạm được sử dụng để ghi dữ liệu chạy hệ
20
Tạp chí Khoa học và Kỹ thuật - Học viện KTQS - Số 184 (06-2017)
điều hành Linux 2.6.38 với tổng cộng 325 lời gọi hệ thống nên bộ dữ liệu ADFA-LD
có n = 325. Gọi s là 1 chuỗi lời gọi hệ thống, các phần tử của vectơ tần suất của s
được định nghĩa.
fi =
fi
|s| (1)
Trong đó:
• fi là số lần xuất hiện của lời gọi hệ thống được đánh số i trong chuỗi s, i = 1, 2...n;
• |s| là độ dài của chuỗi lời gọi hệ thống s;
• fi giá trị của thành phần thứ i trong vector tần suất của lời gọi hệ thống s.
Phương pháp xây dựng vector tần suất từ chuỗi lời gọi hệ thống s làm mất đi tính
thứ tự của các lời gọi hệ thống nên mất đi đặc trưng thứ tự hành động của một số hành
động tấn công. Tuy nhiên, đặc trưng về tần suất vẫn là đặc trưng có giá trị để phân biệt
các tiến trình là bình thường hay bất thường [3,4].
Thử nghiệm cho thấy rằng, hầu hết các vectơ tần suất được chuẩn hóa theo phương
pháp này đều rất thưa, cho nên chiều của chúng có thể được giảm xuống mà không
ảnh hưởng tới sự phân biệt của các vectơ. Gọi m là tổng số của chuỗi các lời gọi hệ
thống. Bộ dữ liệu dùng để huấn luyện có thể được biểu diễn bằng ma trận Amxn. Sử
dụng phương pháp phân tích thành phần chính (PCA) ta có thể làm giảm kích thước
của ma trận A xuống mà không ảnh hưởng nhiều đến kết quả phân lớp [2].
Phân tích thành phần chính (Principal Component Analysis - PCA) là một trong
những phương pháp phân tích dữ liệu nhiều biến đơn giản và hiệu quả. Mục tiêu của
PCA là tìm một không gian mới với số chiều nhỏ hơn không gian cũ để biểu diễn
dữ liệu. Các trục tọa độ trong không gian mới được xây dựng sao cho trên mỗi trục,
độ biến thiên của dữ liệu trên đó là lớn nhất có thể. Với bộ dữ liệu ADFA-LD, sau
khi chuẩn hóa dựa vào tần suất lời gọi hệ thống, các vector đặc trưng của chuỗi lời
gọi hệ thống sẽ có chiều dài 325. Qua thử nghiệm, số chiều của vector có thể giảm
xuống nhiều lần mà đặc trưng phân tách các lớp của dữ liệu không bị ảnh hưởng nhiều.
Trong phần 3, chúng tôi đã tiến hành thử nghiệm giảm số chiều của vector xuống 10,
12, 14,16,18, 20... Kết quả cho thấy, với số chiều 14 trở lên, kết quả phân lớp với các
phương pháp máy học khác nhau không đáng kể. Vì vậy, chúng tôi sử dụng phương
pháp phân tích thành phần chính để giảm số chiều của dữ liệu xuống còn 14 chiều.
3. Phát hiện xâm nhập sử dụng mạng nơron nhân tạo
Mạng nơron nhân tạo (ANN) cho phép chúng ta thiết kế các hệ thống phi tuyến với
một số lượng lớn các tín hiệu vào - ra. ANN thích hợp với các ứng dụng trong môi
trường động bằng cách tự thay đổi các thông số của mạng thích ứng với sự thay đổi của
môi trường [5]. Vì vậy, ANN đã được ứng dụng rộng rãi trong rất nhiều lĩnh vực khác
nhau. Có nhiều cấu trúc mạng nơron nhân tạo khác nhau như mạng hồi qui (feedback),
mạng tự tổ chức (self-organizing), mạng truyền thẳng (feedforward). Trong bài báo này,
21
Chuyên san Công nghệ thông tin và Truyền thông - Số 10 (06-2017)
chúng tôi sử dụng mạng truyền thẳng nhiều lớp với thuật toán lan truyền ngược (back
propagation) [5]. Hình 1 mô tả mô hình mạng nơron nhiều lớp truyền thẳng với vector
đầu vào x có p chiều, vector đầu ra y có q chiều.
Hình 1. Mạng nơron nhân tạo nhiều lớp truyền thẳng
3.1. Kiến trúc mạng
Kiến trúc của mạng nơron sử dụng trong phát hiện xâm nhập mạng là mạng nhiều
lớp truyền thẳng có số đầu vào tương ứng với số chiều của vector đặc trưng trong
không gian PCA, 1 lớp ẩn và 6 nơron đầu ra. Số lượng nơron lớp ẩn sẽ được xác định
trong quá trình thử nghiệm để có cấu hình tối ưu. Vector đầu ra sẽ là vector có 6 chiều
O(o1, o2, o3, o4, o5, o6) với oi nhận giá trị nhị phân 0 hoặc 1. Vector O sẽ được sử dụng
để phân lớp dữ liệu bình thường và dữ liệu của 6 loại tấn công. Dữ liệu bình thường sẽ
có đầu ra mong muốn là vector Obt(0, 0, 0, 0, 0, 0); dữ liệu tấn công kiểu thứ i(i = 1÷6)
sẽ có đầu ra mong muốn O(0, .., oi = 1, .., 0) trong đó oi = 1, oj 6=i = 0. Mạng được
huấn luyện theo phương pháp lan truyền ngược sai số với thuật toán gradient liên hợp.
3.2. Thử nghiệm, kết quả và đánh giá
Trong thử nghiệm, chúng tôi chia dữ liệu tấn công của bộ ADFA-LD làm 3 phần, 2
phần dùng cho huấn luyện và 1 phần dùng để đánh giá mô hình. Ngoài các dữ liệu tấn
công, chúng tôi sử dụng thêm số lượng tương đương các dữ liệu bình thường vì các
trọng số mạng cần được huấn luyện theo cả dữ liệu bình thường và bất thường.
Như đã phân tích ở trên, phương pháp phát hiện xâm nhập dựa vào bất thường thường
có thể có các cảnh báo nhầm cao hơn phương pháp phát hiện xâm nhập dựa vào dấu
hiệu. Chính vì vậy, để đánh giá hiệu quả của thuật toán phát hiện xâm nhập, các nghiên
cứu trong lĩnh vực này thường đánh giá tỉ lệ nhận dạng chính xác (accuracy - acc) và
tỉ lệ phát hiện nhầm (false positive - fp). Để đánh giá hiệu quả của các thuật toán phát
hiện xâm nhập, biểu đồ ROC (Receiver Operating Characteristic) thường được sử dụng.
Hình 2 biểu diễn biểu đồ ROC của thuật toán đề xuất. So sánh các biểu đồ ROC có
thể nhận thấy mô hình mạng nơron nhân tạo cho kết quả phát hiện và phân loại xâm
nhập tốt hơn các thuật toán đã được sử dụng trước đây [3,4] (Các tác giả trong bài báo
[9,10,11] không sử dụng các biểu đồ ROC để biểu diễn kết quả).
22
Tạp chí Khoa học và Kỹ thuật - Học viện KTQS - Số 184 (06-2017)
Hình 2. Biểu đồ ROC của thuật toán đề xuất chạy với bộ dữ liệu ADFA-LD
Hình 3. Kết quả so sánh tỉ lệ fp giữa các thuật toán
Nhận xét rằng, khi kết quả phân loại tấn công/không tấn công chính xác cao (tỉ lệ
acc đạt trên 80%) thì tỉ lệ nhận dạng nhầm của các thuật toán cũng tăng lên (fp xấp xỉ
50%) với các độ đo được sử dụng. Trong khi đó, kết quả phân loại sai của mạng nơron
nhân tạo cho kết quả thấp hơn nhiều - khoảng 10%. So với các thuật toán dựa vào
sequence-based như SVM và Extreme Learning Machine [9,10], mô hình của chúng
23
Chuyên san Công nghệ thông tin và Truyền thông - Số 10 (06-2017)
tôi cho kết quả gần tương đương; và theo phân tích ở trên độ phức tạp tính toán của
phương pháp sử sequence-based lớn hơn nhiều nên phạm vi của bài báo này chỉ so sánh
với các thuật toán dựa vào vector tần suất. Theo đó, các tác giả trong [3][4] sử dụng
thuật toán Kmean và kNN cho kết quả khá tốt, nhưng tỉ lệ nhận dạng nhầm cũng tăng
khi tỉ lệ nhận dạng đúng cao. Hình 3 biểu diễn kết quả so sánh giữa mạng nơron nhân
tạo với các thuật toán này này khi tỉ lệ nhận dạng chính xác là 85%.
Từ kết quả trên, có thể nhận thấy phương pháp sử dụng mạng nơron nhân tạo cho
kết quả nhận dạng chính xác cao với tỉ lệ nhận nhầm nhỏ hơn so với các thuật toán
được so sánh. Từ đó, có thể đưa ra nhận định phương pháp phát hiện bất thường dựa
vào tần suất lời gọi hệ thống và mô hình mạng nơron nhân tạo có thể áp dụng trong
thực tế.
4. Kết luận và hướng phát triển
Kể từ khi ra đời, bộ dữ liệu ADFA đã bắt đầu được các nhóm nghiên cứu về phát
hiện xâm nhập mạng quan tâm và sử dụng trong thử nghiệm mô hình. Bài báo đã trình
bày phương pháp phát hiện xâm nhập dựa vào đặc trưng tần suất của lời gọi hệ thống
với mạng nơron nhân tạo và thử nghiệm trên bộ dữ liệu ADFA-LD. Kết quả cho thấy
phương pháp sử dụng cho kết quả phát hiện nhầm tốt hơn các phương pháp khác khi
tỉ lệ phát hiện đúng bằng nhau.
Phương pháp trích chọn đặc trưng dựa vào tần suất có nhược điểm làm mất tính thứ
tự của các lời gọi hệ thống, dẫn đến khả năng bỏ qua các thông tin quan trọng liên
quan đến chuỗi các lời gọi hệ thống liên tiếp. Trong hướng phát triển, chúng tôi sẽ
nghiên cứu phương pháp trích chọn khác để giữ được đặc trưng tính thứ tự của các lời
gọi hệ thống, nhằm nâng cao kết quả phát hiện bất thường.
Tài liệu tham khảo
[1] Ali A. Ghorbani, Wei Lu, Mahbod Tavallaee Network Intrusion Detection and Prevention, Springer, 2010.
[2] Jolliffe, I. Principal component analysis. Wiley - 2005.
[3] Adamu I Abubakar, Haruna Chiroma, et.al.A Review of the Advances in Cyber Security Benchmark Datasets
for Evaluating Data-Driven Based Intrusion Detection Systems - The 2015 International Conference on Soft
Computing and Software Engineering (SCSE 2015) - 221-227.
[4] G. Creech, J. Hu Generation of a new IDS Test Dataset: Time to Retire the KDD Collection IEEE WCNC. 2013.
[5] S. Haykin Neural Networks and Learning Machines (3rd Edition) - Prentice Hall, 2009
[6] Xie, M., Hu, J., Yu, X. and Chang, E. Evaluating Host-Based Anomaly Detection Systems: Application of
the Frequency-Based Algorithms to ADFA-LD Proceedings of 8th International Conference on Network and
System Security (NSS 2014), 542-549.
[7] Steven A. Hofmeyr. Stephanie Forrest. Anil Somayaji Intrusion detection using sequences of system calls -
Journal of Computer Security - Volume 6 Issue 3, August 1998.
[8] Ali A. Ghorbani, Wei Lu, Mahbod Tavallaee Network Intrusion Detection and Prevention Springer, 2010.
[9] M.Anandapriya, B.Lakshmanan Anomaly Based Host Intrusion Detection System Using Semantic Based System
Call Patterns IEEE Sponsored 9th International Conference on Intelligent Systems and Control (ISCO), 2015
[10] Sandeep A.M, Thaksen.J.P Advanced anomaly intrusion detection technique for host based system using system
call patterns International Conference on Inventive Computation Technologies (ICICT), 2016
24
Tạp chí Khoa học và Kỹ thuật - Học viện KTQS - Số 184 (06-2017)
[11] R. Vijayanand, D. Devaraj, B. Kannapiran Support Vector Machine Based Intrusion Detection System with
Reduced Input Features for Advanced Metering Infrastructure of Smart Grid International Conference on
Advanced Computing and Communication Systems, 2017
Ngày nhận bài 10-1-2017; Ngày chấp nhận đăng 21-9-2017.

Nguyễn Việt Hùng tốt nghiệp cử nhân (2006) và cao học (2008) trường Đại học Vật lý kĩ
thuật Matxcova chuyên ngành "Máy tính nơron và mạng nơron"; bảo vệ thành công luận án
TS năm 2012 tại LB Nga, ngành "Phân tích hệ thống, điều khiển và xử lý thông tin". Các
hướng nghiên cứu chính: Mạng nơron nhân tạo và các ứng dụng; An toàn thông tin.
25