Ứng dụng mô hình học sâu trong phát hiện tấn công trinh sát mạng

Tóm tắt

Tóm tắt— Ngày nay, cùng với sự phát triển nhanh chóng của Internet là thực trạng gia tăng các cuộc tấn công mạng cả về quy mô lẫn số lượng. Trong đó, tin tặc có thể sử dụng nhiều phương pháp tấn công khác nhau, nhưng tất cả thường diễn ra theo quy trình nhất định, bắt đầu từ bước trinh sát mạng. Chính vì vậy, để kịp thời phát hiện sớm các hành vi xâm nhập mạng trái phép, đặc biệt là từ giai đoạn trinh sát mạng, cần triển khai các giải pháp, hệ thống phát hiện xâm nhập ứng dụng với những kỹ thuật phát hiện tiên tiến. Trên thực tế, các hệ thống phát hiện xâm nhập mạng (Intrusion Detection System - IDS) thường dựa trên các dấu hiệu thông qua các luật đã được thiết lập trước. Kỹ thuật này còn nhiều hạn chế do không phát hiện được các cuộc tấn công mới hoặc biến thể của các cuộc tấn công đã biết. Nhằm khắc phục hạn chế này, nhiều kỹ thuật ứng dụng máy học đã được nghiên cứu và triển khai. Trong bài báo này, nhóm tác giả đề xuất hướng tiếp cận cải tiến mô hình mạng học sâu hai giai đoạn ứng dụng trong hệ thống phát hiện và phân loại các hình thức tấn công trinh sát mạng. Đề xuất sẽ được đánh giá, thử nghiệm với bộ dữ liệu tiêu chuẩn NSL-KDD, UNSW-NB15, CTU13.

Abstract— In recent years, the number of new types of attacks has increased dramatically. Although there are many types of attack techniques, all of them are following the similar chain of attack, beginning with network reconnaissance phase. Therefore, network reconnaissance attack detection problem is important for every Intrusion Detection System (IDS). In fact, network intrusion detection systems are based on pre-defined rules so they are not able to detect new attacks or variants of known attacks. Meanwhile, hackers have developed many automated toolkits that allow subtle changes to the attack  behavior sufficient for IDS to treat as a zero-day attack. To overcome this limitation, many machine learning models have been applied in IDS and implemented in a real network. In this paper, we propose a new approach that uses two stage AutoEncoder to detect network reconnaissance attacks. The proposed approach is evaluated on network security datasets: NSL-KDD, UNSW_NB15, four scenarios of the CTU13 datasets and compared to existing methods.