Khóa luận tốt nghiệp An toàn thông tin: Nghiên cứu trình phát hiện xâm nhập dựa trên Few-shot learning

TÓM TẮT KHÓA LUẬNTrước bồi cảnh luôn thay đổi của các phương thức tấn công và tinh chất phức tạp của môi trường mạng, các hệ thống áp dụng biện pháp phát hiện xâm nhập sử dụng các mô hìn

TRAN DAI DUONG - 20521226 NGO TRAN THAI SON - 20521841

KHOA LUAN TOT NGHIEP

NGHIEN CUU HE THONG PHAT HIEN XAM NHAP

MANG FEW-SHOT DUA TREN KHUNG

META-LEARNING

A STUDY ON FEW-SHOT NETWORK INTRUSION DETECTION SYSTEM BASED ON META-LEARNING

FRAMEWORK

KY SU NGANH AN TOAN THONG TIN

GIẢNG VIÊN HƯỚNG DAN:

TS Phạm Văn Hậu ThS Nghi Hoang Khoa

TP.Hồ Chí Minh - 2024

LỜI CẢM ƠN

Trong quá trình nghiên cứu và hoàn thành khóa luận tốt nghiệp, chúng tôi

đã nhận được sự giúp đỡ, các ý kiến, đóng góp tận tình từ các giảng viên hướngdẫn Chúng tôi xin gửi lời tri ân và cảm ơn đến TS Phạm Văn Hau, ThS PhanThế Duy và ThS Nghi Hoàng Khoa đã tận tình trực tiếp hướng dan, gắn bó

giúp đỡ chúng tôi hoàn thành tốt khóa luận nghiên cứu này.

Chúng tôi cũng xin chân thành cảm ơn đến Ban giám hiệu cùng Quý Thầy

Cô trường Đại học Công nghệ Thông tin - ĐHQG TP.HCM nói chung, và Quý Thầy Cô khoa Mạng máy tính và Truyền thông nói riêng Quý Thầy Cô không

chỉ truyền đạt cho chúng tôi những kiến thức, bài học bổ ích trong suốt quá

trình học đại học mà còn luôn mang đến cho chúng tôi những không khí, môi

trường học tập vui vẻ, lành mạnh và đầy nhiệt huyết

Trần Đại Dương Ngô Trần Thái Sơn

MUC LUC

LỜI CẢM ƠN eee i

MỤC LUC 0 va ii

DANH MỤC CÁC KÝ HIỆU, CAC CHU VIET TAT v

DANH MỤC CÁC HÌNH VE vi

DANH MUC CAC BANG BIEU vii

TOM TAT KHOA LUẬN 1

CHƯƠNG 1 TONG QUAN 2 11 Giới thiéu van dé 2 v2 2 1.2 Mục tiêu, đối tượng, phạm vi nghiên cứu và cấu trúc đề tai 3

1.21 Mục tiêu nghiên ctu 0.0 4 1.2.2 Đối tượng nghiên cứu 4

1.2.3 Phạm vi nghiên cứu 4

12.4 Cấu trúcđềtài 5

CHƯƠNG 2 CƠ SỞ LÝ THUYET 6 21 Hệ Thống phát hiện xâm nhập - 6

2.2 Tổng quan về Meta-learning 9

2.2.1 Meta-learning là gì QC 9 2.2.2 Đặc điểm của Meta-learning 10

2.2.3 Phương pháp được ap dụng trong Meta-learning 11

2.3 Tổng quan về Few-shot learning (FSL) 15

23.1 ESLUIàgBìÌ Quy va 15 2.3.2 Phuong pháp FSL 2.000050 15 2.4 Tổng quan về Class Incremental Learning 17

2.4.1 Class Incremental Learning lagi 17

2.6

2.7

11

2.4.2 Phương pháp Class Incremental Learning 17

Tong quan mô hình mang học sâu (deep neural network) 20

2.5.1 DNN lgì 2.2.2.0 0 00000000004 20 2.5.2 Cấu trúc của mô hình DNN 20

Phương pháp cân bang số lượng mẫu trong tập dữ liệu 22

2.6.1 Phương pháp tăng mẫu tổng hợp các lớp thiểu số 22

2.6.2 Kỹ thuật giảm mau cho các lớp đasố 25

Các nghiên cứu liên quan ee ee 27 2.71 Phương pháp Incremental Learning 27

2.7.2 Hệ thống phát hiện xâm nhập sử dụng học tiệm tiến 28

CHƯƠNG 3 MÔ HÌNH HE THONG PHÁT HIỆN XÂM NHẬP 32 3.1 Phương pháp triển khai 32

3.1.1 Mô hình tổng quan 32

3.1.2 Giai đoạn đào tạo bình thường 33

3.1.3 Học tiệm tiến giai đoạn ban đầu 35

3.1.4 Học tiệm tiến giai đoạn tổng hợp 39

CHƯƠNG 4 THÍ NGHIỆM VÀ ĐÁNH GIÁ 41 4.1 Môi trường thiết lap thí nghiệm và thư viện sử dụng 41

411 <XÁÁ 0 ee eee 42 4.1.2 Thông số của mô hình và thuật toán MAML 49

4.2 Kịch bản triển khai ee 52 4.3 Kết quả thí nghiệm 2.00000 53 4.3.1 Kết quả độ chính xác của mô hình MAML + DNN trong giai đoạn tổng hợp co 54 4.3.2 Kết quả độ mat mát của mô hình MAML + DNN trong giai đoạn học các lớp mối 56

£ ^

CHƯƠNG 5 KET LUẬN 59

5.1 Kếtluận

5.2 Hướng phát triển

lv

5.2.1 Mô hình MAMLU+DNN

DANH MỤC CÁC KÝ HIỆU, CÁC CHỮ VIET TAT

CNN Convolutional Neural Network

DNN Deep Neural Network

FSL Few-Shot learning IDS Intrusion Detection System LSTM Long Short-Term Memory MAML ~~ Model-Agnostic Meta-learning

ProtoNet Prototypical Networks

ReLu Rectified Linear unit RNN Recurrent Neural Network

tanh tang hyperbol

2.2

2.3

2.4

2.5

2.6

2.7

2.8

2.9

2.10

2.11

2.12

3.1

3.2

3.3

3.4

3.9

4.1

4.2

4.3

vì

DANH MỤC CÁC HÌNH VE

Hình minh họa hệ thống phát hiện xâm nhập 7

Ví dụ về meta-learning 2.2 0.20.0 00220 eee 9 Prototypical Networks (ProtoNet) 11

Đồ thị tính toán MAML 13

Few-Shot learning trong meta-learning 16

Cấu trúc cơ ban của mạng nơ-ron sâu (DNN) 20

Hình minh họa quá trình tạo mẫu SMOTE 22

Hình ảnh về thuật toán SMOTE 24

Hình minh họa kỹ thuật lấy mẫu 26

Hình ảnh chuyển từ dữ liệu thô thành dạng ma trận 29

Hình ảnh ví dụ chuyển từ dạng ma trận thành hình ảnh 64x64 của tập dữ liệu CICIDS2017 30

Hình ảnh mô hình TDENN 31

Tong quan mô hình triển khai - 32

Hình anh minh hoa mô hình DNN trước và sau khi Dropout 35

Quá trình tao ra 1 tác vụ trong phương pháp Few-shot Meta Learning kg ee 37 Phương pháp meta-learning dùng để đào tạo mô hình DNN 39

Hình ảnh chia tập huấn luyện va tập đánh giá 40

Quá trình bổ sung và giảm mẫu với CICIDS2017 47

Số lượng các mẫu trước và sau khi thực hiện bổ sung và giảm mẫu 48 Biểu đồ cột thể hiện sự so sánh kết quả đào tạo mô hình trong

các trường hợp N-way K-shot trong giai đoạn học tiệm tiến tổng

Độ mất mát của mô hình khi sử dụng 2-way trong giai đoạn học

thêm ban đầu SỐ

Độ mất mát của mô hình khi sử dụng 4-way trong giai đoạn học

Độ mất mát của mô hình khi sử dụng ð-way trong giai đoạn học

thêm ban đầu cv

DANH MUC CAC BANG BIEU

Bảng 4.1 Tập dữ liệu được chọn 42 Bảng 42 Bang tập dữ liệu co 43

Bảng 4.3 Các nhãn được chọn dùng để tăng và giảm mẫu 48

Bảng 4.4 Bảng so sánh các mô hình có số lượng nút khác nhau trong

lớp an khi thực hiện 5-way 5shot 49

Bang 4.5 Cấu trúc của mô hình DNN 50 Bảng 4.6 Bảng giá trị và giải thích các tham số 51

TÓM TẮT KHÓA LUẬN

Trước bồi cảnh luôn thay đổi của các phương thức tấn công và tinh chất phức

tạp của môi trường mạng, các hệ thống áp dụng biện pháp phát hiện xâm nhập

sử dụng các mô hình áp dụng học máy truyền thống thường gặp phải một số

bất cập nhất định trong việc phan ứng kịp thời vì kiến thức cũ mà các mô hình

đã học không còn phù hợp nhằm có thể phát hiện những cuộc tấn công mạng

mới Hơn nữa, cho dù hệ thống có học được những loại tấn công gần đây, việcquên đi những cuộc tấn công cũ là điều đang cần được nghiên cứu nhằm tránhkhỏi hiện trạng này Các mô hình siêu học đã chứng td tiềm năng của chúng

trong việc thích ứng với nhiều lĩnh vực khác nhau và học hỏi từ các bộ dữ liệu

đa dạng Điều này đặc biệt rõ ràng khi mô hình bị ép vào ngữ cảnh phải đối

mặt với những thách thức bảo mật mới nổi, chang hạn như các cuộc tấn công Zero-day, trong đó sự sẵn có hạn chế của các mẫu có thể học được gây ra trở ngại đáng kể.

Trong đề tài lần này, chúng tôi đề xuất phương pháp Few-shot Class mental Learning sử dụng meta-learning kết hợp với phương pháp Incremental

Incre-Learning cho mô hình học sau DNN nhằm thích nghi được những cuộc tấn công

mới, đồng thời cũng học các phương thức cũ để tránh trường hợp mô hình quên

đi sau khi học được từ những kiến thức cũ, từ đó có thể mở rộng được danh mục

các cuộc tấn công Kết quả thu được từ nghiên cứu của chúng tôi cho thấy mô

hình này có được khả năng như phát hiện và cùng với đó là phân loại được các

kỹ thuật xâm nhập cũ và mới thông qua các mẫu trên tập dữ liệu CIC-IDS2017.

CHƯƠNG 1 TONG QUAN

Tom tắt chương

Chương này giới thiệu về vấn đề mục tiêu, đối tượng, phạm vi và cấu trúc

của Khóa luận.

1.1 Giới thiệu vấn đề

Trong những nghiên cứu gần đây, học máy đã đạt được tiến bộ vượt bậc trong

việc phát hiện sự xâm nhập trái phép, bảo vệ mạng, phát hiện sự bất thường và

các van đề khác trong không gian mạng Dién hình như các nghiên cứu [11], [18]

đã đề xuất áp dụng học máy truyền thống và đạt thành công cho hệ thống phát

hiện xâm nhập Thêm vào đó, trong nghiên cứu [16], nhóm tác giả đã sử dụng

mô hình học sâu Recurrent Neural Networks (RNN) cho tập dữ liệu NSL-KDD

để phát hiện hành vi bất thường trên lưu lượng mạng, đồng thời phân biệt 4 loại tấn công cụ thể từ hành vi bất thường đó Tuy nhiên, các thuật toán hiện

đang sử dụng học máy truyền thống này thường yêu cầu nhiều dữ liệu để học

và có tỷ lệ nhận dạng thấp đối với các cuộc tấn công chưa xác định Van đề khógiải quyết hơn trong an ninh không gian mạng là các kỹ thuật tấn công ngày

càng được cập nhật và thay đổi Khi một cuộc tấn công mới xuất hiện, có cực

kỳ ít hoặc thậm chí theo thực tế là không có mẫu để giúp các mô hình này có thể học được.

Trong thực tế, những hệ thống phát hiện xâm nhập cần được trang bị một

mô hình có thể học được các dạng tấn công mới và giữ lại các dạng tấn công cũ

nhanh để phan ứng lại càng sớm càng tốt trước càng mối de doa và phương pháp

Incremental Learning được áp dụng để nhằm giúp mô hình có thể học được các

kiến thức mới Tuy nhiên, các IDS truyền thống sử dung mô hình tĩnh, có nghĩa

rằng các mô hình đã được cài đặt các tham số riêng để phục vụ cho việc nhận

dang các dang tấn công riêng trong dữ liệu có sẵn, khi áp dung Incremental

Learning những mô hình này sẽ phải thay đổi để có thể học được các kiến thức

mới nhưng như vậy có thể dẫn tới việc mô hình quên đi các kiến thức cũ và

dẫn tới không còn phù hợp với tài nguyên sẵn có Nghiên cứu của|5| nhóm tác

giả đã sử dụng phương pháp Incremental Learning kết hợp với học máy, họ đã

có những đóng góp khi đưa ra các thuật toán học máy để có thể phân loại các

nhãn mới và nhãn cũ Nhưng vẫn còn những bất cập khi xử lý vấn đề về mất

cân bằng dit liệu trong tập dữ liệu van chưa có và việc quên đi các nhãn là vẫntồn tại

Trong ngữ cảnh đó, meta-learning xuất phát từ việc áp dụng các phương

pháp để nhằm giải quyết vấn đề của con người, vì con người có thể học hỏi một

cách nhanh chóng những điều chưa biết dựa trên các kiến thức mà họ đã học

Vậy nên mục đích của phương pháp này là nhanh chóng có được một mô hình

có độ chính xác cao và khả năng dat được tính khái quát hóa mạnh mẽ thông qua việc đào tạo ít dữ liệu hơn.

Do đó, chúng tôi đề xuất phương pháp Few-shot Class Incremental Learning

sử dụng meta-learning kết hợp với phương pháp Incremental Learning cho môhình học sâu DNN nhằm thích nghi nhanh chóng được với những cuộc tấn công

mới và giữ lại được các kiến thức cũ.

1.2 Mục tiêu, đối tượng, phạm vi nghiên cứu và cau trúc

đề tài

Chúng tôi xây dựng một mô hình học sâu phù hợp với các mô hình phân loại

có thể được sử dụng lại Huấn luyện với tập dữ liệu nhỏ nhưng hiệu xuất cao

và ổn định nhằm có khả năng phát hiện các cuộc tấn công dang zero-day Ứng

dụng học Few-shot và Meta-learning cùng với mạng no-ron (NNs).

1.2.1 Mục tiêu nghiên cứu

Ứng dụng học few-shot learning trên khung meta-learning để thiết lập, cải

tiến hệ thống phát hiện xâm nhập mạng giúp cải thiện hiệu suất và mở rộngtầm thu thập các loại tấn công mạng

1.2.2 Đối tượng nghiên cứu

Đề xuất một mô hình dùng để phát hiện xâm nhập nhằm giải quyết tình huống không đủ mẫu có thể học được Mô hình này áp dụng ý tưởng về siêu

học tập và chia quá trình đào tạo thành hai lớp dựa trên siêu học tập bất khả tri theo mô hình Mục đích của nó là đào tạo một mô hình mang tính tương đối

chung bằng cách sử dụng đữ liệu luồng mạng độc hại của nhiều chế độ tấn công

đã biết khác nhau

1.2.3 Pham vi nghién cứu,

Đề xuất sử dung một mô hình phát hiện xâm nhập dựa trên framework MAML được áp dụng trên mô hình DNN Khác với các phương phấp siêu học

dựa trên mô hình và số liệu hiện có được áp dụng cho IDS, chúng tôi chọn siêuhọc tập dựa trên tối ưu hóa Phương pháp của chúng tôi đề xuất sẽ sử dụng chỉ

một lượng nhỏ đào tạo để có thể điều chỉnh một cách chính xác các thông số

của mô hình thông qua phương pháp thích nghi của thuật toán MAML được

xây dựng dựa trên bộ dữ liệu là CIC-IDS2017.

1.2.4 Cấu trúc đề tài

Chúng tôi xin trình bày nội dung của Đồ án theo cấu trúc như sau:

e Chương 1: Giới thiệu tổng quan về đề tài của Đồ án và những nghiên cứu

liên quan.

e Chương 2: Trình bay cơ sở lý thuyết và kiến thức nền tang liên quan đến

đề tài

e Chương 3: Trình bày mô hình hệ thống network IDS.

e Chương 4: Trình bày thực nghiệm và đánh giá.

e Chương 5: Kết luận và hướng phát triển của đề tài.

CHƯƠNG 2 CƠ SỞ LÝ THUYET

Tóm tắt chương

Chương này trình bày về cơ sở lý thuyết của nghiên cứu: Bao gồm hệ thống

phát hiện xâm nhập, Meta-learning, Few-shot learning và mô hình hoc sâu.

2.1 Hệ Thống phát hiện xâm nhập

Hệ thống phát hiện xâm nhập - IDS (Intrusion Detection Systems) là phần

mềm hoặc công cụ giúp bảo mật hệ thống và cảnh báo lỗi khi có các hành vi đáng ngờ xâm nhập vào hệ thống Mục đích chính của IDS là khám phá và phát hiện những hành động phá hoại tính bảo mật của hệ thống hoặc những hành vi

như dò tìm, quét các cổng Hình 2.1 minh họa cho một hệ thống phát hiện xâm

nhập cơ bản:

Hình 2.1: Hình minh hoa hệ thống phát hiện xâm nhập

Có nhiều loại IDS khác nhau, mỗi loại có một chức năng và nhiệm vụ riêngchúng bao gồm:

e NIDS (Network Intrusion Detection Systems): Thường được bồ tri

tại những điểm dé bi tấn công trong hệ thống mang NIDS được sử dung để

giám sát lưu lượng mạng đến (inbound) và di (outbound) từ tất cả các thiết

bị trên mạng Điểm cộng lớn nhất của NIDS là có thể quét tất cả traffic inbound và outbound, nhưng việc này có thể làm giảm tốc độ chung của

mạng.

e HIDS (Host Intrusion Detection Systems): Hệ thống phát hiện xâm

nhập này hoạt động trên tất cả các thiết bị trong hệ thống có thé kết nối

Internet HIDS chỉ giám sát các gói dit liệu inbound va outbound từ thiết

bị hoặc những hành động đáng ngờ tại cấp truy cập nội bộ

e Signature-Based IDS: Dây là các IDS hoạt động dựa trên dấu hiệu đã

học được, giám sát các gói tin trên mạng tương tự như cách phần mềm diệt

virus hoạt động Tuy nhiên Signature-Based có thể không phát hiện đượcnhững mối đe dọa mới, khi dấu hiệu để nhận biết nó chưa được IDS cập

nhật.

e Anomaly-Based IDS: IDS này được sử dung để phát hiện mối đe dọa dựa

trên sự bất thường Anomaly-Based sẽ giám sát traffic mạng và so sánh vớiđường cơ sở (baseline) đã được thiết lập từ trước Baseline sẽ xác định đâu

là mức bình thường của mạng và cảnh báo cho quản trị viên mạng hoặc người dùng khi phát hiện traffic truy cập bất thường hoặc khác biệt so với baseline.

2.2 Tổng quan về Meta-learning

2.2.1 Meta-learning là gi

Training Testing

ypeannennssnessn Train dataset #1: “cat-bird” p5 N

Meta-learning hay còn được gọi là "learning to learn", là một lĩnh vực tương

đối mới của học máy liên quan đến việc phát triển các thuật toán có thể học

và thích nghi từ các nhiệm vụ mới được tiếp nhận một cách nhanh chóng và

hiệu quả, ngay cả khi tập dữ liệu chỉ có một lượng dit liệu đào tạo nhỏ

Meta-learning được sử dụng trong nhiều lĩnh vực, bao gồm thị giác máy tính, xử lýngôn ngữ tự nhiên và học máy có tính động hoá Các phương pháp chính trong

meta-learning bao gồm model-based, optimization-based và metric-based, mỗi

phương pháp riêng đều có những ưu điểm riêng nhưng đều có hướng tới việc tối

ưu hoá tốt nhất trong việc tăng cường khả năng học và thích nghi của mô hình

Chúng tôi cũng đã nhận thấy một số tiềm năng của meta-learning trongnhiều ứng dụng quan trọng như few-shot learning, continual learning và transfer

learning No đã mang lại rất nhiều lợi ích đáng kể như giảm nhu cầu về dữ liệu

lớn, tăng tốc độ học và nhằm cải thiện hơn khả năng tổng quát hóa của mô

hình Tuy nhiên, lĩnh vực này cũng đang và đã đối mặt với nhiều thách thức khó khăn, bao gồm như việc thiết kế kiến trúc meta-learning hiệu quả, cân bằng

giữa khả năng thích nghi nhanh và hiệu suất tổng thể Xu hướng hiện tại trong

nghiên cứu meta-learning bao gồm việc kết hợp nó với các kỹ thuật học sâu tiên

tiên.

2.2.2 Đặc điểm của Meta-learning

Meta-learning có một số đặc điểm chính:

e Dữ liệu Meta-training: Meta-learning thường sử dụng một tập dữ liệu

đào tạo lớn bao gồm các tập mang dữ liệu nhỏ, mỗi tập dữ liệu này được

xem như là nhiệm vụ khác nhau Tập dữ liệu này được sử dụng để đào tạo

các mô hình được ap dụng phương pháp meta-learning, những mô hình này

sau khi thích nghi có thể được sử dung để học các nhiệm vụ mới mà chúng

chưa từng gặp trước đó.

e Dữ liệu Meta-testing: Sau khi đã huấn luyện, mô hình có thể được đánh

giá trên các tập dữ liệu mới, Mô hình cố gắng áp dụng những kiến thức đã

được học được từ meta-training set để nhanh chóng thích ứng với và hoạt

động hiệu quả trên các nhiệm vụ mới này.

e Thích nghi nhanh: Meta-learning sẽ cho phép các mô hình học được

những nhiệm vụ mới một cách nhanh chóng hơn và hiệu quả cho dù lượng

đữ liệu đào tạo nhỏ.

2.2.3 Phương phap được ap dung trong Meta-learning

Meta-learning áp dụng hai phương pháp phổ biến nhatla:

e Prototypical Networks (ProtoNet): là một trong những phương phấp

thuộc lĩnh vực Meta-learning được sử dụng để giải quyết các nhiệm vụ phân

loại và hoạt động giống như thuật toán K-nearest neighbor ProtoNet giúp

mô hình học máy có thể học được các nhiệm vụ phân loại một cách nhanh

hơn và hiệu quả, cho dù được học trên một dữ liệu đào tạo nhỏ ProtoNet[12]

hoạt động bằng cách sử dụng các prototypes dé đại điện cho mỗi lớp Mỗi prototype được tính toán bằng cách tính trung bình của các biểu diễn của

các mẫu từ cùng một lớp Khi một nhiệm vụ phân loại mới được cung cấp,

mô hình sẽ tính khoảng cách giữa các điểm dữ liệu mới trong tập hỗ trợ và

các nhãn đại diện cho các lớp và từ đó điểm dữ liệu này sẽ từ đó tính toán

khoảng cách giữa nó và các điểm đại diện để tìm ra khoảng cách gần nhất

Hành 2.3: Prototypical Networks (ProtoNet)

Hình 2.3 biểu diễn cho phương pháp ProtoNet, chữ x và dấu chấm màu trắng sẽ đại diện cho 1 mẫu để mô hình phân loại, các dấu chấm đen là

nhãn đại diện hay còn gọi là prototypes của lớp đó Phương pháp này sé

tính toán khoảng cách gần nhất của điểm mẫu với các điểm nhãn để từ đó

ra được kết quả điểm màu trắng thuộc lớp nào.

Model-Agnostic Meta-Learning (MAML): là một phương pháp

meta-learning phổ biến Trong MAML|6][1], mô hình được thiết kế để có khả năng nhanh chóng thích nghi với các nhiệm vụ mới bằng cách thay đổi độ tối

ưu hóa các tham số sao cho sự thay đổi của chúng đối với một tập hợp các

nhiệm vụ là tối thiểu Điều này giúp mô hình trở nên linh hoạt và có khả

năng chuyển đổi tốt hơn.

Outer

Hình 2.4: Do thi tính toán MAML

Chú thích từ hình 2.4:

e xg: mẫu trong tập hỗ trợ.

e yg: nhãn.

e 0 = 69: khởi tạo tham chiếu.

e 0;_¡: các trong số hiện tai.

® ƒ+.ø¿_1): dự đoán của mạng no-ron.

e L: hàm mất mát

© 6; =Øq_j — œ0 —1y bị: giá trị tham chiếu của task hiện tại

Dựa vào hình 2.4, chúng tôi sẽ ví dụ trong việc sử dụng MAML để giúp 1 mô

hình học sâu có khả năng thích nghi các tác vụ trong tập hỗ trợ trong quá trình

huấn luyện Về việc giải thích về tập hỗ trợ chúng tôi đã giải thích ở mục 2.3.2

mô hình đó fie, ai-1)- Cuối cùng, từ độ mat mát ở trên, thuật toán sẽ tự tính

toán thêm để cập nhật tham số mới cho mô hình học sâu cuối cùng của vòng

lặp đó 6; và sử dụng tham số này của mô hình hoc sâu cho vòng lặp kế tiếp nếu

số vòng lặp kế tiếp chưa bằng số vòng lặp huấn luyện yêu cầu N

2.3 Tổng quan về Few-shot learning (FSL)

2.3.1 FSL là gi

Few-Shot Learning (FSL) là một phương pháp về học máy tiên tiến, trong đó

mô hình được huấn luyện để thực hiện những nhiệm vụ như phân loại hoặc các

tác vụ khác trên dit liệu mới mà nó chưa từng gặp trước đó, dựa trên một số

lượng rất hạn chế các mẫu học Tầm quan trọng của FSL thể hiện rõ trong các

tình huống mà tập dữ liệu đào tạo bị giới hạn, hoặc khi việc thu thập dữ liệu

mới đòi hỏi chi phí cao hoặc gặp nhiều khó khăn Điểm mạnh của FSL là khả

năng giúp mô hình thích nghi nhanh chóng với những khái niệm mang ngữ cảnh

mới mà không cần phải đào tạo lại hoàn toàn trên một tập dữ liệu lớn Phương

pháp này đặc biệt hữu ích đối với các ứng dụng mang tính thực tế, nơi dữ liệu có

thể khan hiếm hoặc thay đổi nhanh chóng, như trong lĩnh vực y tế, nhận dạng

đối tượng mới, hoặc trong các hệ thống AT cần liên tục học hỏi những cái mới

và thích nghi với môi trường FSL không chỉ nhằm giải quyết được các van đề

về mặt dữ liệu hạn chế mà còn nâng cao khả năng khái quát hóa của mô hình,cho phép nó ứng phó hiệu quả với các tình huống mới và không được biết đến

trước.

2.3.2 Phương pháp FSL

Few-Shot Learning (FSL) trong meta-learning sử dụng một phương pháp

phân loại đặc biệt gọi là phân loại N-way-K-shot, trong đó N đại diện cho số

lượng nhãn lớp và K là số lượng ví dụ cho mỗi lớp Cách tiếp cận này đã được

thiết kế để mô hình có thể mô phỏng các tình huống học tập trong thế giới thực,

nơi dữ liệu bị hạn chế Trong quá trình meta-learning, mỗi nhiệm vụ được cấu

trúc theo mô hình N-way K-shot, tạo ra cái gọi là tập hỗ trợ (support sets) Tập

hỗ trợ đóng vai trò quan trọng trong công việc giúp mô hình học cách giải quyết

và thích nghi với các nhiệm vụ mới Song song với tập hỗ trợ, còn có tập truy

vấn (query set), tập này bao gồm những ví dụ khác thuộc cùng các lớp trong

tập hỗ trợ Tập truy vấn này được sử dụng để đánh giá hiệu suất và khả năng

thích nghi của mô hình đối với nhiệm vụ vừa học Cơ chế này cho phép mô hìnhkhông chỉ học từ một số lượng nhỏ ví dụ mà còn có khả năng sử dụng kiến thức

đó vào các tình huống mới, thể hiện bản chất "học cách học" của meta-learning.

Qua đó, FSL trong meta-learning tạo ra những hệ thống học tập mang tính linh

hoạt và hiệu quả, có khả năng đối phó với sự đa dạng và hạn chế của dữ liệu

trong các ứng dụng thực tế

1 Meta-training 2 Meta-testing

Hinh 2.5: Few-Shot learning trong meta-learning

2.4 Tổng quan về Class Incremental Learning

2.4.1 Class Incremental Learning là gi

Class Incremental Learning là một phương pháp quan trọng trong học may,nghiên cứu vào khả năng của mô hình để học liên tục từ một dòng dữ liệu dang

phát triển Phương pháp này được thiết kế ra nhằm giải quyết các thách thức

của việc cập nhật mô hình với kiến thức mới mà không làm mất đi những gì đã

học trước đó Cụ thể, khi mô hình nhận được dữ liệu mới, thay vì phải huấn

luyện lại một lần nữa trên toàn bộ tập dữ liệu, nó chỉ cập nhật dựa trên các

mẫu mới này Cách tiếp cận mới đã mang lại nhiều lợi ích đáng kể, bao gồm việc giảm đáng kể tài nguyên tính toán cần thiết và tiết kiệm thời gian xử lý.

Một trong những ưu điểm chính của Class Incremental Learning là khả năng duy trì hiệu suất trên các lớp đã học trong khi vẫn có thể học và thích nghĩ với

các lớp mới Điều này đặc biệt quan trọng trong ngữ cảnh các ứng dụng thực tế,

nơi dữ liệu thường xuyên thay đổi và có thể mở rộng theo thời gian thực Bằng cách này, mô hình có thể liên tục cải thiện và mở rộng tiềm năng của mình mà

nhất thiết phải xây dựng lại từ đầu mỗi khi có thông tin mới

Nhưng vẫn có vấn đề trong việc huấn luyện dữ liệu mới nhưng lại làm cho mô

hình quên đi kiến thức cũ (Catastrophic Forgetting) từ đó các nghiên cứu về khía

cạnh này được sinh ra để cải tiến mô hình được thực hiện, Loại đầu tiên là

Dy-namic architecture-based [15] [17], Replay memory-based [3] [7], based [9] [4].

Regularization-2.4.2 Phuong phap Class Incremental Learning

Nhu đã liệt kê các nghiên cứu về cách để mô hình có thể giải quyết vấn dé

tránh quên đi dữ liệu cũ ở mục 2.4.1 trên, thì ở mục này chúng tôi sẽ giải thích

về các phương pháp này Học tập tiệm tiến các lớp là một trong những phương

pháp đang được tập trung nghiên cứu do nó làm mô hình phát hiện tấn công trở

nên linh động hơn Nó xoay quanh vấn đề giải quyết sự hoà hợp giữa các nhãn

mới và nhãn cũ để làm cho mô hình phân loại có thể sử dụng lại hoặc thay đổi

theo một cách nào đó chứ không phải hoàn toàn không thể tái sử dụng lại mô

hình Có một vấn đề trong các mô hình học máy rằng các mô hình này có xu hướng học quá khớp và quên đi dự liệu cũ làm cho nó trở nên khó khăn trong

việc có thể tiếp thu các kiến thức mới gọi là quên lãng tàn khốc (Catastrophic

Forgetting) làm cho mô hình gặp khó khăn trong việc thích nghi giữa các nhân

mới và cũ Có nhiều nghiên cứu được đề ra đã giải quyết vấn đề này nhưng sẽthuộc vào ba loại sau Loại đầu tiên là phương pháp tiếp cận dựa trên cấu trúcđộng, cách áp dụng này còn được gọi là dựa trên kiến trúc hoặc dựa trên tham

số Ở phương pháp này thông số nút của kiến trúc mạng sẽ được điều chỉnh lạisau moi lần có các lớp mới nhằm đáp ứng được các nhu cầu về việc phát hiện

mới của mô hình, nghiên cứu của các tác giả Yoon et al [17] đã làm khi có thêm

các cuộc tấn công mới đó chính là tăng thêm mat độ của các lớp an của mô

hình nhằm tăng thêm độ phức tap để làm cho mô hình có thể thích nghi được

Loại thứ hai là phương phát sử dụng việc phát lại bộ nhớ liên quan đến việc lưumột phần mẫu đầu vào và nhãn của chúng trong kịch bản học có giám sát vào

bộ nhớ đệm trong quá trình đào tạo Bộ nhớ có thể là cơ sở dữ liệu, hệ thống

tệp cục bộ hoặc chi là một đối tượng trong RAM Nó sử dụng những dữ liệu cũ

đã được mang đi huấn luyện rồi cùng với dữ liệu mới để củng cố kiến thúc cho

mô hình Cuối cùng là phương pháp sử dụng chính quy hoá , phương pháp này

được sử dụng bằng cách sau khi đã huấn luyện dữ liệu cũ của mô hình dùng để

phân loại trước đó đã lưu giữ các tham số và được lấy làm mốc, sau khi các lớp

mới đi vào nếu như quá chênh lệch với các mốc thông số đã được quy định thì

sẽ bị trừng phạt nhằm không loại bỏ các kiến thúc cũ.

Mô hình của chúng tôi sử dụng phương pháp phát lại bộ nhớ, chúng tôi sẽ

đưa các nhãn ở giai đoạn đào tạo bình thường chúng tôi ký hiệu là Dog và nhãn

ở giai đoạn học tiệm tiến ký hiệu là 2„«„ Chúng tôi sẽ gọi giá trị tổng sau khi

kết hợp hay nhãn này là Dy Chúng tôi đưa D,y vào quá trình cho mô hình

tổng hợp.

Mục tiêu cho việc làm này làm cho mô hình có thể thích nghi được trên Dạy.

Tổng kết lại mục đích cuối cùng là đánh giá lại độ tối ưu của hàm mất mát dựa

trên tham số của mô hình

2.5 Tổng quan mô hình mạng học sâu (deep neural

net-work)

2.5.1 DNN là gi

Mô hình mạng nơ-ron sâu (DNN) là một loại mạng nơ-ron nhân tạo được

thiết kế với 1 vài lớp ẩn ở giữa 2 lớp đầu vào và lớp đầu ra DNN được lấy ý

tưởng từ những mạng thần kinh trong sinh học Hơn nữa, mô hình này được mang đi áp dụng trong thực tế, đặc biệt về các lĩnh vực như việc nhận dạng hình ảnh, chăm sóc ngôn ngữ sức khỏe, v.v

2.5.2 Cấu trúc của mô hành DNN

Inputlayer Hiddenlayer1 Hiddenlayer2 Output layer

Hình 2.6: Cấu trúc cơ ban của mang no-ron sâu (DNN)

Từ hình 2.6, về co bản, một mạng DNN có dạng như sau:

e Lớp đầu vào (Input layer): là lớp đầu tiên trong 1 mạng nơ-ron nhận các

đặc trưng của 1 mau trong tập dữ liệu, số lượng của các nút trong lớp đầu

vào tương ứng với số lượng của các đặc trưng của 1 mẫu trong tập dữ liệu

Sau khi nhận dữ liệu, lớp đầu vào sẽ chuyển đến lớp an đầu tiên.

e Lớp an (Hidden layer): là lớp nhận các đầu vào từ các nút của lớp trước

và thực hiện tính toán để phát hiện các mẫu và độ phức tạp trong đữ liệu Các lớp này được gọi là "lớp ẩn" vì giá trị của chúng không thể quan sát

trực tiếp được

e Lớp đầu ra (Output layer): là lớp tạo ra các tiên đoán cuối cùng dựa trên

các đặc trưng đã được sử dụng để trích xuất từ các lớp ẩn Số lượng của

các nút trong lớp đầu ra tùy thuộc vào ngữ cảnh cần giải quyết Ví dụ nếu

chúng ta cần giải quyết 1 vấn đề "CÓ" hoặc "KHÔNG", thì số lượng của

các nút trong lớp đầu ra là 2, hoặc nếu chúng ta muốn giải quyết 1 bài toán

phân loại, thì số lượng các nút trong lớp đầu ra sẽ phụ thuộc vào số lượng

của các đối tượng mà ta cần phân loại

2.6 Phương pháp cân bằng số lượng mẫu trong tập dữ

liệu

2.6.1 Phương pháp tăng mau tổng hợp các lớp thiểu số

Trong việc cân bằng lại dữ liệu của bộ dữ liệu CICIDS2017 được chúng tôi sử

dụng, kỹ thuật Synthetic Minority Over-sampling TEchnique gọi tắt là SMOTE

là kỹ thuật trong việc tiền xử lý dữ liệu nhằm giải quyết sự mất cân bằng giữa

các mẫu giữa các lớp trong bộ dữ liệu SMOTE thực hiện việc tạo ra các mẫu

tổng hợp ở các lớp mang mẫu thiểu số nhằm giảm thiểu độ chênh lệch các mẫu

tránh dẫn tới tình trạng học quá khớp Hình 2.7 miêu tả quá trình tạo mẫu SMOTE

Synthetic Minority Oversampling Technique

0riginal Dataset Generating Samples Resampled Dataset

Hình 2.7: Hình minh hoa quá trình tạo mẫu SMOTE

Ngữ cảnh hoạt động của SMOTE sẽ được chia ra theo 2 trường hợp như sau.

Trường hợp đầu tiên khi ta gọi N là số lượng mau trong 1 lớp nhỏ hơn 100 thi

SMOTE sẽ thực hiện chọn ngẫu nhiên một hang từ các lớp thiểu số được chon

để bắt đầu quá trình việc này giúp đa dạng hoá quá trình tạo mẫu mới Với

trường hợp thứ hai khi N >= 100 , SMOTE sẽ bắt đầu từ hàng đầu tiên của dữ

liệu lớp thiểu số vì hàng đầu tiên đủ đại diện và mang tính hiệu quả cao.

Cách tạo ra mẫu tổng hợp chi tiết của SMOTE có thể được trình bày như sau Giả sử chúng ta có 7 lớp được cho là thiểu số và được đưa vào nhằm cải

thiện mẫu 7 lớp này sẽ được quy tụ thành một tập dữ liệu nhỏ mà ở đây công

việc sẽ bắt đầu Thuật toán ở hình 2.8 miêu tả quá trình tăng mẫu dựa trên 2

ngữ cảnh.

k = Number of nearest neighbors

numattrs = Number of attributes Sample| |[ |: array for original minority class samples

newindex: keeps a count of number of synthetic samples generated, initialized to 0

Synthetic| || |: array for synthetic samples

(+ Compute k nearest neighbors for each minority class sample only *)

Choose a random number between 1 and k, call it nn This step chooses one of

the k nearest neighbors of i.

for attr — 1 to numattrs

Compute: dif = Sample|nnarray{nn]] [attr] — Sample[il[aHr|

Compute: gap = random number between () and 1

Synthetic|newindez]|attr| = Sample[il|attr| + gap + dif

Đầu tiên chọn một mẫu trong các lớp thiểu số sau đó chọn ngẫu nhiên một

láng giềng trong K láng giềng được chọn tuỳ theo mô hình Sau đó tính toán

vector chênh lệch giữa 2 mau này, sau đó ta sẽ nhân kết quả của vector này với

một số đã được chọn ngẫu nhiên trong khoảng từ [0,1] để tạo ra một điểm trên đoạn thang nối giữa mẫu gốc và mẫu | láng giềng cùng với việc chọn khoảng sẽ

làm cho mẫu tạo ra sẽ nội suy có nghĩa rằng nằm giữa các mẫu chứ không phải

đi qua xa Thêm lý do phải chọn ngẫu nhiên vì nếu chúng ta lựa chọn một số

làm ngưỡng trước thì sẽ không đảm bảo tính ngẫu nhiên cho các mẫu tổng hợp được sinh ra và từ đó có thể vô tình tạo ra các bản sao của 2 mẫu được chọn từ

đó có thể làm cho mô hình học quá khớp Ngoài ra nó cũng diễn tả đúng tính chất phân bổ thực tế của dữ liệu trong không gian đặc trưng Sau khi đã nhân

xong với số ngẫu nhiên này ta sẽ lặp lại nhiệm vụ với N/100 lần Với giả sử số

lượng tăng mau cần là N = 400 với 8 láng giềng xung quanh Chúng ta sé lặp lại 4 lần có nghĩa rằng chúng sẽ chỉ chọn 4 làng giềng gần nhất Và từ đó từ

một mẫu gốc chúng ta sẽ có 4 mẫu tổng hợp, cuối cùng đến với mẫu tiếp theo

và chọn 4 láng giềng tiếp theo để tiếp tục sinh mẫu tổng hợp mới cho đến lúc

kết thúc công việc

2.6.2 Kỹ thuật giảm mẫu cho các lớp đa số

Ngoài việc sử dụng kỹ thuật tăng mẫu tổng hợp các lớp thiểu số để có thể

tăng số lượng mẫu nhằm lấy thêm dữ liệu nhằm tránh gây ra hiện tượng học quákhớp do các lớp chiếm đa số quá nhiều Nhưng công việc này vẫn chưa đủ, lý dorằng nếu như chúng ta chỉ dựa dam phương pháp tăng mẫu cũng sẽ gây ra ảnhhưởng đến độ chính xác cho mình Giả sử chúng ta cần phân biệt giữa 2 nhãn

Benign có 2.000.000 mẫu và một nhãn Web-Attack-XSS với 57 mẫu Phải tăng

bao nhiêu mới có thể đáp ứng và bao nhiêu mới hợp lý là một vấn đề rất khó nếu

chỉ áp dụng một phương pháp Nếu như ta tăng mẫu cho nhãn Web-Attack-XSSlên 2.000.000 mẫu điều này sẽ làm cho việc phân loại rất dễ, nhưng điều này cơban là không đúng tạo ra nhiều mẫu nhân tạo như này không dam bảo rằng nó

sẽ đúng với các nhãn tấn công thực tế và từ đó làm cho mô hình không có kiến

thức tổng quát về nhãn và đưa ra độ chính xác sai lệch Do đó chúng tôi đã để

xuất thêm phương pháp giảm mẫu để nhằm cân bằng lại lượng dt liệu của tập

dữ liệu mà không làm cho dữ liệu của mô hình trở nên không đúng với ngữ cảnh

thực tế

Về phương pháp để giảm mẫu ở các lớp đa số có rất nhiều như lựa chọn nguyên mẫu, Sinh ra các nguyên mẫu, Kỹ thuật lấy dưới mẫu có kiểm soát,.

Chúng tôi sử dụng một kỹ thuật trong kỹ thuật lấy dưỡi mẫu có kiểm soát đó

là RandomUnderSampler hay còn gọi là kỹ thuật lấy mẫu dưới mức ngẫu nhiên Hình 2.9 minh hoạ cho quá trình lấy mẫu này.

Original dataset Resampling with RandomOverSampler

1i ọ ® GOR Seed 14 56 @o GOR ah 06%

ee 88 Boe of °Q Sogo? 08 © gue œ

04° 6 Be 8 yw os ae que 2 6 ®œoe eee

Hình 2.9: Hình minh hoa kỹ thuật lay mẫu

Kỹ thuật này sẽ xoá ngẫu nhiên các hàng của các lớp đa số theo chiến lược

tuỳ theo cài đặt sao cho hợp lý của bài toán Chúng tôi cũng tham khảo từ

nghiên cứu [19] nhằm có thể tìm ra được chiến lược hợp lý với mô hình sử dụng

CICIDS2017 của chúng tôi

2.7 Các nghiên cứu liên quan

2.7.1 Phương phap Incremental Learning

Học tập tiệm tiến là một vấn đề van đang được nghiên cứu vì ngày các mô hình đang ngày càng có xu hướng học thêm từ luồng dit liệu mới Nhu ta đã

biết con người có thể học thêm theo thời gian và theo lượng kiến thức mới được

tiếp thu, như cách ta lúc nhỏ đã biết đi sau đó là biết chạy nhưng vốn không

quên đi cách đi như nào Nhưng mô hình nhân tạo hiện tại vẫn có khoảng cách

so với con người về mặt học tập gia tăng như vay No không thể cứ liên tục học

kiến thức mới và kiến thúc cũ được, van đề như đã đề cập được gọi là lãng quêntàn khốc

Theo nghiên cứu [14], trong những năm gần đây học tiệm tiến đã và dang

nhanh chóng hướng về mục đích thúc day tiềm năng của của phương pháp này.

Các nghiên cứu cũng chỉ ra sẽ có ba ngữ cảnh cho mô hình học tiệm tiến tuỳ

theo nhiệm vụ mới hay phân phối dữ liệu hoặc nó phải thực hiện như nào Ngữ

cảnh đầu tiên chính là học tiệm tiến theo nhiệm vụ, nó là một mô hình học tập

mà trong đó thuật toán phải học nhiều sự riêng biệt của từng nhiệm vụ Nóđược học nhằm thích ứng với công việc rằng bản thân sẽ phải thực hiện nhiệm

vụ nào Ở ngữ cảnh này, sẽ có hai thứ cần biệt rõ ràng rằng thứ nhất khi môhình được giao làm một nhiệm vụ rõ ràng, việc này giống như gắn nhãn cho dữ

liệu, thứ hai là lỡ như có nhiều công việc khác nhau giống như việc ép nó phải

đưa ra sự lựa chọn, ở đây nó phải tự xác định được dựa trên dữ liệu được phân

phối cho nó Ngữ cảnh thứ hai chính là học tiệm tiến theo miền, có nghĩa rằng

nó vẫn thực hiện một nhiệm vụ như ban đầu nhưng trên một bối cảnh dữ liệu

khác Giả sử, mô hình chúng ta phải thực hiện phân loại, nó sẽ vẫn tiếp tục côngviệc tuy nhiên sẽ có khác biệt về bối cảnh hoặc phân phối dữ liệu của nó Nghe

có vẻ nó có nét tương đồng với học tiệm tiến theo nhiệm vụ nhưng khác biệt là

vô cùng to lớn, khi bản thân học tiệm tiến theo nhiệm vụ bản thân thuật toán

đã được thông báo hoặc tự phân biệt được nhiệm vụ cần thực hiện, nhưng học

tập tiệm tiến theo miền lại khác khi bản thân nó không thể biết được kiến thức

nó học đang ở miền nào mà phải dựa vào giai đoạn kiểm tra mới có thể thực

hiện Việc không miền cũng có lý do vì vốn chúng ta không cần phải làm thế bởi

vì công việc cuối cùng van là thứ ban đầu mô hình đang thực hiện Ñgữ cảnhcuối cùng là học tập tiệm tiến theo lớp, như cái tên nhiệm vụ của nó là phân

biệt được việc các lớp mới ngày càng gia tăng đáng kể Giả sử trong trường hợp

phân loại, khi thuật toán phải xử lý các tập dữ liệu, trong các tập là các lớp cần

được phân loại N6 cần phải học cách phân biệt tất cả các lớp đó N6 một điểm

khác biệt của nó so với học tăng tiệm tiến theo nhiệm vụ đó là nó đã biết trước

nó phải làm gì Học tập tiệm tiến theo nhiệm vụ phải xác định nó đang phânloại, rút gọn văn bản hay gì công việc gì khác nhưng học tập tiệm tiến theo lớp

thì vẫn xác định cho dù gì thì nó vẫn đang thực hiện phân loại như mục đích

ban đầu

2.7.2 Hệ thống phát hiện xâm nhập sử dung học tiệm tiễn,

Mặc dù học máy và học sâu được rộng rãi sử dụng cho hệ thống phát hiện

xâm nhập mạng như các nghiên cứu [11][18][16][13], nhưng các mô hình van còn

hạn chế về vấn đề về việc yêu cầu 1 lượng dữ liệu cho việc học có giám sát để có

thể phát hiện các cuộc tấn công mới, không chỉ vậy mà còn phát sinh ra thêm các vấn đề như giảm thiểu tài nguyên tiêu thu và tiết kiệm chi phí Vì vậy đã có

1 số bài nghiên cứu nhằm đưa ra các phương pháp nhằm giúp mô hình học thêmcác kiến thức mới hoặc có tiềm năng thích nghi sau khi học được 1 vài mẫu với

1 lượng dữ liệu nhỏ, chẳng hạn như bài nghiên cứu [10] đã sử dụng phương pháp

meta-learning sử dụng thuật toán MAML nhằm giúp mô hình CNN có khả năng

thích nghi với các mẫu mới trong các nhiệm vụ, ở đây nhóm tác giả đã sử dụng

trên 5 tập dữ liệu là NSL-KDD, UNSW-NB15, CIC-IDS2017, CSE-CIC-IDS2018

và CIC-DDo$2019 và thực hiện công việc chuyển đổi các dữ liệu thô thành các dạng ma trận, và từ ma trận chuyển đổi thành các dạng hình ảnh 64x64 để có

thể đưa vào mô hình mạng nơ-ron tích chập để xử lý Hình 2.10 và 2.11 hiển thị