Bài viết này đề cập các vấn đề phát hiện lưu lượng mạng bất thường trong điều kiện dữ liệu huấn luyện chứa ngoại lai và đề xuất một phương pháp cải tiến dựa trên thuật toán phân tích thành phần chính PCA gọi tên là dPCA. Kết quả thử nghiệm được đánh giá dựa trên tập dữ liệu Kyoto Honeypot. | Phát hiện lưu lượng mạng bất thường trong điều kiện dữ liệu huấn luyện chứa ngoại lai Nguyễn Hà Dương, Hoàng Đăng Hải PHÁT HIỆN LƯU LƯỢNG MẠNG BẤT THƯỜNG TRONG ĐIỀU KIỆN DỮ LIỆU HUẤN LUYỆN CHỨA NGOẠI LAI Nguyễn Hà Dương*, Hoàng Đăng Hải+ * Khoa Công nghệ thông tin, Trường Đại học Xây Dựng Hà Nội + Học viện Công nghệ Bưu chính Viễn thông Tóm tắt: Phát hiện lưu lượng mạng bất thường lưu lượng có sự biến đổi không bình thường, có đối mặt với nhiều khó khăn, thách thức như: xác những thăng giáng đáng kể so với lưu lượng bình định mức ngưỡng dùng để so sánh phát hiện bất thường của mạng. Sự biến đổi bất thường này có thường, trích chọn đặc trưng dữ liệu, giảm số dữ thể do nhiều nguyên nhân, ví dụ điển hình là tấn liệu cần xử lý, độ chính xác cần thiết. Ngoài công của tin tặc trên mạng (như DoS, Scan) và ra, ngoại lai có thể gây ra sai lệch đáng kể trong lỗi mạng. Ví dụ, tấn công DoS thường tạo ra một quá trình phát hiện. Bài báo này đề cập các vấn lượng lưu lượng đột biến so với lưu lượng bình đề phát hiện lưu lượng mạng bất thường trong thường trên mạng. điều kiện dữ liệu huấn luyện chứa ngoại lai và đề xuất một phương pháp cải tiến dựa trên thuật toán Phát hiện nhanh và sớm lưu lượng mạng bất phân tích thành phần chính PCA gọi tên là dPCA. thường có thể giúp sớm phát hiện dấu hiệu tấn Kết quả thử nghiệm được đánh giá dựa trên tập công mạng. So với các phương pháp truyền dữ liệu Kyoto Honeypot. thống phát hiện tấn công mạng dựa trên dấu hiệu (signature-based) thường dùng trong các hệ Từ khóa: Phát hiện lưu lượng mạng bất thường, thống phát hiện xâm nhập (Intrusion Detection phát hiện ngoại lai, an ninh System - IDS) [2,3,4], các phương pháp dựa trên sự kiện bất thường (anomaly-based detection) có I. MỞ ĐẦU ưu thế vì cho phép phát hiện được những kiểu tấn Tính mở và sự đa dạng của hạ tầng mạng, dịch vụ công mới. Nếu phát hiện chỉ dựa trên các mẫu và ứng dụng đã tạo ra biến động, thăng giáng đáng dấu hiệu tấn
