ỨNG DỤNG BLOCKCHAIN TRONG HỆ THỐNG PHÁT HIỆN XÂM NHẬP

Abstract

Trong bối cảnh các hệ thống mạng và môi trường IoT ngày càng đối mặt với nhiều hình thức tấn công phức tạp, hệ thống phát hiện xâm nhập đóng vai trò quan trọng trong việc giám sát lưu lượng, phát hiện hành vi bất thường và sinh cảnh báo an ninh. Các mô hình học sâu có thể hỗ trợ IDS trong việc phân loại lưu lượng mạng thành Normal hoặc Attack. Tuy nhiên, sau khi cảnh báo được sinh ra, log cảnh báo thường chỉ được lưu trong file hoặc cơ sở dữ liệu thông thường, dẫn đến nguy cơ bị chỉnh sửa, xóa bỏ hoặc thay thế, gây khó khăn cho quá trình kiểm chứng và điều tra sự cố. Luận văn đề xuất hệ thống IDS dùng mô hình học sâu MLP kết hợp với blockchain nhằm bổ sung cơ chế lưu vết và kiểm chứng tính toàn vẹn của log cảnh báo. Dữ liệu BoTIoT dạng CSV/flow được sử dụng để huấn luyện và đánh giá mô hình IDS. Khi mô hình phát hiện bản ghi Attack, hệ thống gom cảnh báo thành batch, lưu log chi tiết ở off-chain dưới dạng JSON/JSONL, tính hash Keccak-256 và ghi hash lên smart contract. Khi cần kiểm chứng, hệ thống tính lại hash từ log off-chain và so sánh với hash đã lưu on-chain. Kết quả thực nghiệm cho thấy blockchain không làm tăng độ chính xác phân loại của mô hình IDS, nhưng đóng vai trò là lớp audit giúp truy vết và kiểm chứng log sau phát hiện. Mô hình MLP đạt Attack Recall 100%, tuy nhiên vẫn còn nhiều cảnh báo nhầm ở lớp Normal. Các thí nghiệm blockchain cho thấy cơ chế gom nhiều hash trong một transaction giúp giảm số lượng giao dịch và giảm gas trung bình trên mỗi hash so với cách ghi từng hash riêng lẻ. Kết quả của luận văn chứng minh tính khả thi của hướng tích hợp blockchain vào hệ thống IDS dùng học sâu. Hệ thống vừa phát hiện tấn công bằng mô hình MLP, vừa tạo được mốc kiểm chứng on-chain cho log cảnh báo, hỗ trợ phát hiện log bị chỉnh sửa và nâng cao khả năng truy vết trong quá trình điều tra an ninh mạng. In the context of increasingly complex cyber threats, especially in Internet of Things environments and large-scale network infrastructures, Intrusion Detection Systems play an important role in monitoring network traffic, detecting abnormal behaviors, and generating security alerts. Deep learning models can support IDSs in classifying network traffic as Normal or Attack. However, after alerts are generated, alert logs are often stored in conventional files or databases, which may be modified, deleted, or replaced. This creates challenges for log verification, traceability, and incident investigation. This thesis proposes a blockchain-integrated IDS using a deep learning MLP model to provide an additional mechanism for alert log auditing and integrity verification. The BoT-IoT CSV/flow dataset is used for training and evaluating the IDS model. When Attack records are detected, the system groups alerts into batches, stores detailed logs off-chain in JSON/JSONL format, computes Keccak-256 hashes, and records the hashes on a smart contract. During verification, the system recomputes the hash from the offchain log and compares it with the on-chain hash. Experimental results show that blockchain does not directly improve the classification accuracy of the IDS model, but it provides an audit layer for traceability and post-detection log integrity verification. The MLP model achieves 100% Attack Recall, although it still produces a considerable number of false positives for the Normal class. Blockchain experiments also show that grouping multiple hashes into one transaction reduces the number of transactions and the average gas cost per hash compared with storing each hash separately. The thesis demonstrates the feasibility of integrating blockchain into a deep learning-based IDS. The proposed system can detect attacks using an MLP model while creating on-chain verification evidence for alert logs, helping detect log tampering and improve traceability during cybersecurity incident investigation.