XÂY DỰNG ỨNG DỤNG PHÁT HIỆN HÀNH VI WEB SHELL TRÊN MÁY CHỦ WEB DỰA TRÊN PHÂN TÍCH DỮ LIỆU ĐO LƯỜNG ĐIỂM CUỐI BẰNG HỌC MÁY

Abstract

Trong bối cảnh các cuộc tấn công nhằm vào máy chủ Web ngày càng gia tăng với nhiều kỹ thuật tinh vi, việc phát hiện sớm hành vi Web Shell đóng vai trò quan trọng trong bảo vệ hệ thống thông tin. Các phương pháp phát hiện truyền thống chủ yếu dựa trên tập luật hoặc chữ ký nhận dạng nên còn hạn chế khi đối mặt với các kỹ thuật tấn công mới hoặc các biến thể chưa từng xuất hiện. Do đó, việc khai thác dữ liệu đo lường điểm cuối kết hợp với các mô hình học máy là một hướng tiếp cận tiềm năng nhằm hỗ trợ phát hiện các hành vi bất thường liên quan đến Web Shell. Luận văn tập trung xây dựng ứng dụng phát hiện hành vi Web Shell trên máy chủ Web dựa trên phân tích dữ liệu đo lường điểm cuối bằng mô hình học máy đã được xây dựng. Ứng dụng sử dụng Wazuh và Sysmon làm nền tảng thu thập dữ liệu đo lường điểm cuối từ máy chủ Web, đồng thời sử dụng webhook để truyền dữ liệu gần theo thời gian thực đến Web API được xây dựng bằng Flask để tiếp nhận và xử lý. Dữ liệu sau khi được tiếp nhận sẽ được trích xuất đặc trưng và tiền xử lý theo yêu cầu đầu vào của mô hình học máy, sau đó được chuyển đến mô hình để thực hiện dự đoán. Kết quả dự đoán được trả về ứng dụng nhằm hỗ trợ phát hiện hành vi Web Shell trên máy chủ Web. Trên cơ sở đó, luận văn xây dựng kiến trúc tích hợp giữa Wazuh, Sysmon, Flask và mô hình học máy, giúp tự động hóa quá trình tiếp nhận, xử lý và phân tích dữ liệu đo lường điểm cuối gần theo thời gian thực. Kết quả thực nghiệm cho thấy ứng dụng có khả năng tiếp nhận dữ liệu từ Wazuh, thực hiện các bước xử lý cần thiết, chuyển dữ liệu đến mô hình học máy và nhận kết quả dự đoán, qua đó hỗ trợ phát hiện hành vi Web Shell trên máy chủ Web. Kết quả đạt được góp phần xây dựng quy trình ứng dụng dữ liệu đo lường điểm cuối vào bài toán phát hiện Web Shell và tạo nền tảng cho việc mở rộng, phát triển ứng dụng trong các nghiên cứu tiếp theo.With the increasing sophistication of attacks targeting Web servers, the timely detection of Web Shell behavior is essential for protecting information systems. Traditional detection approaches primarily rely on predefined rules and signature-based techniques, which have limitations when facing emerging attack techniques and previously unseen variants. Therefore, the utilization of endpoint telemetry in combination with machine learning models represents a promising approach for supporting the detection of anomalous behaviors associated with Web Shell attacks. This thesis focuses on developing an application for detecting Web Shell behavior on Web servers through the analysis of endpoint telemetry using a pre-trained machine learning model. The application employs Wazuh and Sysmon as the foundation for collecting endpoint telemetry from the Web server and uses a webhook to transmit the collected data in near real time to a Web API developed with Flask for data reception and processing. Upon reception, the data undergoes feature extraction and preprocessing according to the input requirements of the machine learning model before being forwarded to the model for prediction. The prediction results are returned to the application to support the detection of Web Shell behavior on the Web server. Based on this approach, an integrated architecture incorporating Wazuh, Sysmon, Flask, and the machine learning model is developed to automate the reception, processing, and analysis of endpoint telemetry in near real time. Experimental results demonstrate that the developed application can receive data from Wazuh, perform the required processing steps, forward the processed data to the machine learning model, and obtain prediction results, thereby supporting the detection of Web Shell behavior on Web servers. The results contribute to establishing a practical workflow for applying endpoint telemetry to Web Shell detection and provide a foundation for further development and enhancement of the application in future research.