NGHIÊN CỨU VÀ XÂY DỰNG HỆ THỐNG PHÁT HIỆN XÂM NHẬP MẠNG SỬ DỤNG MÔ HÌNH TABNET KẾT HỢP EXPLAINABLE AI

Abstract

Sự phát triển của lưới điện thông minh và các hệ thống SCADA làm gia tăng nguy cơ bị tấn công mạng, đặc biệt đối với các giao thức công nghiệp như IEC 104. Các hệ thống phát hiện xâm nhập dựa trên học sâu tuy đạt hiệu quả cao nhưng thường hoạt động như “hộp đen”, khiến người vận hành khó hiểu được lý do đằng sau các cảnh báo. Luận văn xây dựng một hệ thống phát hiện xâm nhập có khả năng giải thích được, kết hợp mô hình TabNet với kỹ thuật Explainable AI (XAI) hai tầng, thử nghiệm trên bộ dữ liệu SANDI-2024/IEC 104. Tầng 1 khai thác cơ chế Attention nội tại của TabNet để xác định đặc trưng mô hình tập trung khi dự đoán; Tầng 2 sử dụng SHAP KernelExplainer để định lượng mức độ ảnh hưởng của từng đặc trưng. Mức độ nhất quán giữa hai tầng được đánh giá bằng hệ số tương quan Spearman và Feature Overlap@K. LIME được bổ sung để đối sánh chéo độ tin cậy của giải thích cục bộ. Để xử lý mất cân bằng dữ liệu, kỹ thuật SMOTE được áp dụng cho các lớp thiểu số; độ ổn định mô hình được kiểm chứng bằng 5-fold Stratified Cross Validation, đồng thời TabNet được so sánh với 14 mô hình học máy truyền thống và biến thể TabNet kết hợp SMOTE (tổng cộng 16 mô hình). Kết quả cho thấy TabNet không chỉ đạt hiệu quả cao trong phát hiện và phân loại tấn công mà còn cung cấp giải thích rõ ràng, có ý nghĩa ở cả mức tổng quan lẫn cục bộ, góp phần nâng cao tính minh bạch và độ tin cậy của hệ thống. Đóng góp chính của luận văn gồm: xây dựng pipeline XAI hai lớp phù hợp môi trường mạng công nghiệp, đề xuất phương pháp đánh giá đồng thuận giữa các kỹ thuật giải thích, và phân tích chi tiết theo từng loại tấn công nhằm làm rõ các đặc trưng lưu lượng IEC 104 ảnh hưởng lớn đến quá trình phát hiện xâm nhập. The rapid digitalization of critical infrastructure, especially smart power grids and SCADA systems, has increased the exposure of industrial protocols such as IEC 104 to cyber threats. Deep learning-based Network Intrusion Detection Systems (NIDS) achieve high detection accuracy but often operate as black boxes, limiting operator trust and effective decision-making. This thesis proposes an explainable NIDS framework combining TabNet, a deep learning architecture with an intrinsic sequential attention mechanism, with a two-layer Explainable Artificial Intelligence (XAI) approach, evaluated on the SANDI-2024/IEC 104 dataset. The first XAI layer uses TabNet's built-in attention mechanism to identify the features the model attends to during inference; the second layer employs SHAP KernelExplainer to quantify each feature's contribution to the model's predictions. Agreement between the two layers is assessed using Spearman rank correlation and Feature Overlap@K, while LIME is additionally employed as an independent local explanation method to cross-validate this agreement. To address severe class imbalance, SMOTE oversampling is applied to minority classes, and model stability is verified through 5-fold stratified cross-validation; TabNet is further benchmarked against 14 traditional machine learning models and a SMOTE-augmented TabNet variant, for a total of 16 models. Experimental results show that the proposed framework achieves strong multi class intrusion detection performance while providing interpretable, consistent, and actionable explanations at both global and local levels. The contributions of this thesis are threefold: a two-layer XAI pipeline tailored to industrial control system (ICS) network traffic, a quantitative approach for evaluating agreement between explanation methods, and per-class feature analysis revealing distinctive traffic characteristics of various IEC 104 attack scenarios.