PHÁT HIỆN VÀ PHÂN LOẠI TẤN CÔNG MẠNG SỬ DỤNG CÁC MÔ HÌNH HỌC SÂU MỜ PHÂN HỆ 3

Abstract

Trong kỷ nguyên số hiện nay, các hệ thống phát hiện xâm nhập mạng (NIDS) luôn phải đối mặt với các hành vi tấn công quy mô lớn và ngày càng tinh vi. Tuy nhiên, các kiến trúc học sâu (DL) truyền thống dựa trên logic nhị phân biên cứng thường bộc lộ nhiều hạn chế trước tính bất định, nhiễu loạn và hiện tượng chồng lấn nhãn của dữ liệu lưu lượng luồng mạng. Điều này dẫn đến tỷ lệ cảnh báo giả cao tại các ‘vùng xám’ của biên quyết định, để giải quyết thách thức này luận văn tập trung nghiên cứu giải pháp học sâu mờ (FDL) theo hướng tiếp cận tích hợp các tầng mờ thích nghi có khả năng học được thông qua hệ thống hàm thuộc Gaussian. Trong phạm vi của Phân hệ 3, nghiên cứu đề xuất một quy trình xử lý dữ liệu và tối ưu hóa hệ thống an ninh mạng toàn diện qua chuỗi đối chứng ba giai đoạn nghiêm ngặt là đánh giá cơ sở, đánh giá sau xử lý cân bằng và đánh giá học sâu mờ. Về mặt dữ liệu, luận văn thực hiện khảo sát và so sánh chéo hiệu năng trên hai bộ dữ liệu luồng mạng thế hệ mới là NetFlow-v2 và NetFlow-v3 (được làm giàu bằng các đặc trưng thời gian IAT). Bộ dữ liệu tối ưu NetFlow-v3 sau đó được tinh lọc thông qua bộ lọc ngưỡng kép để loại bỏ hoàn toàn 07 lớp tấn công cực hiếm, cô đọng không gian nhãn về 15 lớp hành vi ổn định (gồm 01 lớp Benign và 14 lớp tấn công). Để xử lý triệt để bài toán mất cân bằng dữ liệu nghiêm trọng, Phân hệ 3 đề xuất giải pháp phân cụm toàn cục (global clustering) sử dụng thuật toán MinibatchKMeans tích hợp song song với kỹ thuật nhân bản mẫu SMOTE theo ngưỡng có kiểm soát. Phương pháp này giúp mở rộng không gian đặc trưng bằng các khoảng cách tâm cụm vĩ mô, làm mịn biên quyết định đa lớp và định hình cấu trúc mờ hóa tối ưu. Giải pháp học sâu mờ đề xuất được triển khai và đánh giá thực nghiệm đồng bộ trên 05 kiến trúc mạng nơ-ron từ nền tảng đến hiện đại, bao gồm: Mạng truyền thẳng nhiều tầng (MLP), mạng hồi quy dài – ngắn hạn (LSTM), mạng LSTM hai chiều (BiLSTM), kiến trúc LSTM hồi quy tự chú ý (SA – LSTM) và kiến trúc chuyên biệt cho dữ liệu bảng tiên tiến nhất hiện nay là TabM. Toàn bộ hệ thống mô hình này được vận hành và kiểm thử chéo qua hai chiến lược phân loại cốt lõi là phân loại đa lớp trực tiếp một giai đoạn (1-stage) và phân loại phân tầng nhị phân – đa lớp hai giai đoạn (2-stage). Kết quả nghiên cứu chứng minh ưu thế vượt trội của các mô hình FDL thuộc Phân hệ 3 trong việc bóc tách hiệu quả các phân vùng biên phức tạp, triệt tiêu sai số tích lũy giữa các giai đoạn phân tầng, giảm thiểu tối đa tỷ lệ cảnh báo sai (FPR) và duy trì tính ổn định tối đa cho pipeline. In the current digital era, Network Intrusion Detection Systems (NIDS) are constantly confronted with large-scale and increasingly sophisticated cyber-attacks. However, traditional Deep Learning (DL) architectures based on crisp binary logic often exhibit significant limitations when dealing with uncertainty, noise and label overlap inherent in network flow traffic. This frequently results in high False Positive Rates within the ‘gray zones’ of decision boundaries. To address this challenge, this thesis focuses on researching Fuzzy Deep Learning (FDL) solutions, utilizing an integrated approach of adaptive fuzzy layers capable of learning through Gaussian membership functions. Within the scope of Module 3, the research proposes a comprehensive data processing and cybersecurity system optimization workflow through a rigorous three-stage evaluation chain is baseline evaluation, post-balancing evaluation and fuzzy deep learning evaluation. Regarding data, the thesis performs a comparative performance analysis on two next-generation flow datasets: NetFlow-v2 and NetFlow-v3 (enriched with Inter-Arrival Time – IAT features). The optimal NetFlow-v3 dataset is subsequently refined using a dual-threshold filter to completely remove seven extremely rare attack classes. Condensing the label space into 15 stable behavioral classes (comprising 01 Benign and 14 Attack classes). To resolve severe data imbalance, Module 3 proposes a Global Clustering solution using the MiniBatchKMeans algorithm integrated with controlled threshold-based SMOTE. This method expands the feature space with macrocentroid distances, smoothing multi-class decision boundaries and defining an optimal fuzzification structure. The proposed FDL solution is implemented and experimentally evaluated across five diverse neural network architectures, ranging from foundational to state-of-the-art: Multilayer Perceptron (MLP), Long Short-Term Memory (LSTM),