PHÁT HIỆN VÀ PHÂN LOẠI TẤN CÔNG MẠNG SỬ DỤNG CÁC MÔ HÌNH HỌC SÂU MỜ (PHÂN HỆ 2)

Abstract

Luận văn tập trung nghiên cứu hệ thống phát hiện và phân loại đa lớp tấn công mạng bằng cách kết hợp logic mờ với các mô hình học máy và học sâu. Nghiên cứu khảo sát bộ dữ liệu NF-UQ-NIDS-v2 và dữ liệu thế hệ NF3. Từ bốn bộ dữ liệu NF3 thành phần, nghiên cứu xây dựng tập dữ liệu hợp nhất NF3-Merged để phục vụ quá trình khảo sát và thực nghiệm. Sau quá trình đối chứng, NF3-Merged được lựa chọn và tiếp tục loại bỏ 07 lớp tấn công có số lượng mẫu quá thấp, hình thành không gian phân loại gồm 15 lớp. Quy trình xử lý mất cân bằng dữ liệu được triển khai theo ba phân hệ gồm HDBSCAN + SMOTE, phân cụm cục bộ + SMOTE và phân cụm toàn cục + SMOTE. Kết quả cho thấy phân cụm toàn cục đạt sự cân bằng tốt nhất giữa hiệu quả phân loại và thời gian xử lý nên được lựa chọn cho giai đoạn huấn luyện tiếp theo. Trên dữ liệu này, 16 mô hình thuộc ba phân được thực nghiệm theo hai chiến lược phân loại: một giai đoạn (1-stage) và hai giai đoạn (2-stage), đồng thời tích hợp các kỹ thuật mờ gồm mờ hóa đầu vào (Fuzzy Input), trích xuất đặc trưng mờ (Fuzzy Extraction), tự chú ý mờ (Fuzzy Self-Attention), cổng thặng dư mờ (Fuzzy Residual Gate) và hệ suy luận mờ dựa trên mạng thích ứng (Adaptive Network-Based Fuzzy Inference System – ANFIS) và các cấu trúc lai giữa những cơ chế này. Kết quả tổng hợp cho thấy kiến trúc 2-stage đạt hiệu quả ổn định và cao hơn 1-stage trên cả ba phân hệ. Cấu hình tốt nhất toàn hệ thống là LightGBM kết hợp Fuzzy Input theo 2-stage, đạt độ chính xác tổng thể (Accuracy) 96,72% và Macro F1-score 85,89%. Riêng Phân hệ 2, NODE kết hợp Fuzzy Input đạt Accuracy 93,22% và Macro F1-score 79,32%. Kết quả cho thấy việc kết hợp xử lý mất cân bằng, logic mờ và kiến trúc phân loại phân tầng có tiềm năng nâng cao khả năng phát hiện và phân loại tấn công trên dữ liệu NetFlow quy mô lớn. Đồng thời, sự chênh lệch còn tồn tại giữa Accuracy và Macro F1-score cho thấy khả năng nhận diện đồng đều các lớp tấn công thiểu số vẫn là thách thức cần tiếp tục nghiên cứu, qua đó tạo cơ sở cho việc phát triển các hệ thống phát hiện xâm nhập có khả năng thích ứng và tổng quát hóa tốt hơn trong môi trường mạng thực tế. This thesis investigates a multi-class network intrusion detection and classification system by integrating fuzzy logic with machine learning and deep learning models. The study examines the NF-UQ-NIDS-v2 dataset and the NF3 generation of datasets. Based on four constituent NF3 datasets, an integrated dataset, referred to as NF3-Merged, is constructed for data analysis and experimentation. Following comparative evaluation, NF3- Merged is selected, and seven attack classes with insufficient sample sizes are subsequently removed, resulting in a final classification space of 15 classes. To address class imbalance, three data-balancing approaches are investigated across three subsystems: HDBSCAN combined with SMOTE, Local Clustering combined with SMOTE, and Global Clustering combined with SMOTE. The experimental results show that Global Clustering provides the best balance between classification performance and processing time; therefore, it is selected for subsequent model training. On the resulting dataset, 16 models across the three subsystems are evaluated under two classification strategies: one-stage (1-stage) and two-stage (2-stage). In addition, several fuzzy techniques are integrated, including Fuzzy Input, Fuzzy Extraction, Fuzzy Self-Attention, Fuzzy Residual Gate, and the Adaptive Network-Based Fuzzy Inference System (ANFIS), together with hybrid combinations of these mechanisms. The overall results indicate that the 2-stage strategy achieves more stable and generally higher performance than the 1-stage strategy across all three subsystems. The best-performing configuration in the entire system is LightGBM combined with Fuzzy Input under the 2-stage strategy, achieving an Accuracy of 96.72% and a Macro F1-score of 85.89%. In Subsystem 2, NODE combined with Fuzzy Input achieves an Accuracy of 93.22% and a Macro F1-score of 79.32%. These results demonstrate that combining classimbalance handling, fuzzy logic, and hierarchical classification has the potential to improve network attack detection and classification on large-scale NetFlow data. However, the remaining gap between Accuracy and Macro F1-score indicates that achieving balanced recognition across minority attack classes remains a significant challenge. This provides a basis for further research toward intrusion detection systems with improved adaptability and generalization in real-world network environments.