GIỚI THIỆU

Trong bối cảnh chuyển đổi số diễn ra mạnh mẽ, hạ tầng công nghệ thông tin của các tổ chức ngày càng phức tạp, phân tán và liên thông đa miền (on-premise, cloud, hybrid). Cùng với đó, các cuộc tấn công mạng không còn mang tính cơ hội đơn lẻ mà chuyển sang hình thức có chủ đích, được tổ chức bài bản và kéo dài trong thời gian dài nhằm đạt được mục tiêu chiến lược như gián điệp công nghiệp, phá hoại hệ thống hoặc đánh cắp dữ liệu nhạy cảm. Nhóm tấn công này thường được gọi là APT.

Hình 1. Kiến trúc tổng quát của GNN. Đồ thị đầu vào được xử lý qua cơ chế lan truyền thông điệp (message passing), trong đó biểu diễn của mỗi nút được cập nhật dựa trên thông tin từ các nút lân cận để tạo ra biểu diễn mới giàu ngữ cảnh hơn

Khác với các cuộc tấn công truyền thống, APT không gây ra tác động tức thời mà tiến hành theo nhiều giai đoạn liên tiếp: trinh sát, khai thác lỗ hổng ban đầu, thiết lập điểm bám trụ, leo thang đặc quyền, di chuyển ngang hàng trong hệ thống mạng nội bộ và cuối cùng là thu thập thông tin hoặc rò rỉ dữ liệu. Mô hình vòng đời tấn công (cyber kill chain) do Lockheed Martin đề xuất đã nhấn mạnh tính chuỗi, tính liên kết và sự phụ thuộc lẫn nhau giữa các hành vi trong một chiến dịch tấn công. Điều này cho thấy việc phát hiện APT không thể chỉ dựa vào một sự kiện đơn lẻ, mà cần xem xét mối quan hệ và ngữ cảnh của các sự kiện theo thời gian.

Các hệ thống phát hiện xâm nhập truyền thống (IDS/IPS) chủ yếu dựa trên chữ ký (signature-based detection) hoặc các đặc trưng thống kê được thiết kế thủ công. Mặc dù hiệu quả đối với các mẫu tấn công đã biết, các phương pháp này gặp hạn chế khi đối mặt với tấn công zero-day hoặc hành vi biến thể. Trong khi đó, các mô hình học máy cổ điển như SVM, Random Forest hay kNN thường xử lý dữ liệu dưới dạng vector đặc trưng tĩnh, khó biểu diễn đầy đủ mối quan hệ phụ thuộc giữa các thực thể như tiến trình, tệp tin, địa chỉ IP, tài khoản người dùng và các sự kiện tương tác giữa chúng. Việc tách rời các sự kiện khỏi cấu trúc liên kết của hệ thống làm suy giảm khả năng phát hiện các chuỗi hành vi bất thường phân tán nhưng có liên quan logic.

Thực tế cho thấy dữ liệu an ninh mạng mang bản chất quan hệ (relational) rõ rệt. Các log hệ thống, lưu lượng mạng và sự kiện bảo mật có thể được mô hình hóa tự nhiên dưới dạng đồ thị, trong đó các nút đại diện cho thực thể và các cạnh biểu diễn tương tác hoặc phụ thuộc nhân quả. Cách tiếp cận dựa trên đồ thị cho phép khai thác cấu trúc liên kết, luồng thông tin và mô hình lan truyền trong hệ thống, những yếu tố cốt lõi của APT.

Trong những năm gần đây, học sâu trên đồ thị (Graph-based Deep Learning), đặc biệt là GNN đã nổi lên như một hướng tiếp cận đầy tiềm năng. Các công trình nền tảng như [1], [2] đã đặt cơ sở lý thuyết cho việc mở rộng học sâu sang dữ liệu phi Euclid, cho phép học biểu diễn (representation learning) trực tiếp từ cấu trúc đồ thị thông qua cơ chế lan truyền thông điệp. Nhờ khả năng tích hợp thông tin từ các nút lân cận và khai thác cấu trúc toàn cục, GNN cho phép mô hình hóa các quan hệ phức tạp giữa các thực thể trong hệ thống. Gần đây, nhiều nghiên cứu đã áp dụng GNN trong phát hiện xâm nhập, phân tích provenance graph và nhận diện APT đa giai đoạn [5-8], cho thấy tiềm năng đáng kể của hướng tiếp cận này.

Tuy nhiên, việc ứng dụng GNN trong an toàn thông tin vẫn đặt ra nhiều vấn đề cần được hệ thống hóa và phân tích sâu, bao gồm: phương pháp xây dựng đồ thị từ dữ liệu log thô, xử lý đồ thị động quy mô lớn, bài toán mất cân bằng dữ liệu, khả năng giải thích mô hình và yêu cầu triển khai thời gian thực trong môi trường SOC.

Xuất phát từ nhu cầu đó, bài báo này thực hiện một tổng quan hệ thống về ứng dụng GNN trong phát hiện tấn công đa giai đoạn, với các nội dung chính: Trình bày cơ sở lý thuyết của GNN và các mô hình biểu diễn đồ thị trong an toàn thông tin; Tổng hợp và phân tích các hướng nghiên cứu ứng dụng GNN trong phát hiện APT; Thảo luận các thách thức kỹ thuật và đề xuất các định hướng nghiên cứu tiềm năng trong thời gian tới.

Thông qua việc hệ thống hóa các kết quả nghiên cứu hiện có, bài báo nhằm cung cấp một cái nhìn toàn diện về xu hướng kết hợp học sâu và phân tích đồ thị trong phát hiện tấn công có chủ đích, qua đó góp phần định hướng nghiên cứu và ứng dụng trong lĩnh vực an toàn thông tin tại Việt Nam.

NỀN TẢNG LÝ THUYẾT VỀ BIỂU DIỄN ĐỒ THỊ VÀ GNN TRONG AN TOÀN THÔNG TIN

Dữ liệu an ninh mạng, xét về bản chất, không phải là các bản ghi độc lập mà là tập hợp các sự kiện có quan hệ phụ thuộc lẫn nhau. Mỗi hành vi trong hệ thống, chẳng hạn một tiến trình tạo ra tiến trình con, một tệp tin được đọc hoặc ghi, một kết nối mạng được thiết lập đều tồn tại trong một ngữ cảnh nhất định và có liên hệ với các thực thể khác. Chính đặc trưng quan hệ này khiến cho cách biểu diễn dữ liệu dưới dạng đồ thị trở thành một lựa chọn tự nhiên và phù hợp trong phân tích an toàn thông tin.

Về mặt hình thức, một hệ thống có thể được mô hình hóa dưới dạng đồ thị (G=(V, E)), trong đó tập nút (V) biểu diễn các thực thể như tiến trình (process), tệp tin (file), địa chỉ IP, người dùng hoặc máy chủ; còn tập cạnh (E) biểu diễn các tương tác hoặc quan hệ nhân quả giữa các thực thể này. Trong bối cảnh phát hiện tấn công đa giai đoạn, một trong những dạng biểu diễn quan trọng là provenance graph - đồ thị thể hiện luồng thông tin và quan hệ phụ thuộc giữa các sự kiện trong hệ thống. Provenance graph cho phép truy vết nguồn gốc của một hành vi bất thường, từ đó hỗ trợ phân tích nguyên nhân và xác định phạm vi ảnh hưởng của sự cố an ninh.

Hình 2. Minh họa đồ thị quan hệ giữa các thực thể trong hệ thống. Các nút (màu sắc khác nhau theo loại thực thể) biểu diễn tiến trình, tệp tin, địa chỉ IP. Các cạnh biểu diễn quan hệ nhân quả như "tạo ra", "đọc/ghi", "kết nối"

Khác với dữ liệu dạng bảng truyền thống, đồ thị là cấu trúc phi Euclid, không tồn tại khái niệm lưới cố định như trong ảnh hoặc chuỗi tuyến tính như trong văn bản. Điều này đặt ra thách thức đối với các mô hình học sâu cổ điển vốn dựa trên phép tích chập hoặc tuần tự hóa dữ liệu. gnn ra đời nhằm mở rộng khả năng học sâu sang miền dữ liệu đồ thị. Ý tưởng cốt lõi của GNN là cơ chế lan truyền thông điệp, trong đó biểu diễn của mỗi nút được cập nhật thông qua việc tổng hợp thông tin từ các nút lân cận theo cấu trúc liên kết của đồ thị.

Các công trình nền tảng như Graph Convolutional Network (GCN) [1] đã đề xuất cách mở rộng phép tích chập sang đồ thị thông qua chuẩn hóa ma trận kề và lan truyền đặc trưng giữa các nút. Tiếp đó, GraphSAGE [3, 4] đưa ra cơ chế lấy mẫu lân cận (neighbor sampling), cho phép học biểu diễn theo cách quy nạp (inductive learning), phù hợp với đồ thị quy mô lớn hoặc môi trường có nút mới xuất hiện liên tục - một đặc trưng phổ biến trong hệ thống mạng thực tế. Graph Attention Network (GAT) [2] tiếp tục phát triển ý tưởng này bằng cách tích hợp cơ chế attention, cho phép mô hình học trọng số khác nhau cho từng nút lân cận, từ đó nhấn mạnh các quan hệ quan trọng và giảm ảnh hưởng của nhiễu.

Trong bối cảnh an toàn thông tin, đặc trưng của đồ thị thường không đồng nhất. Một hệ thống có thể bao gồm nhiều loại thực thể và nhiều loại quan hệ khác nhau, dẫn đến mô hình đồ thị dị thể (heterogeneous graph). Việc xử lý đồ thị dị thể đòi hỏi mở rộng kiến trúc GNN để học được biểu diễn phân biệt theo loại nút và loại cạnh. Bên cạnh đó, các cuộc tấn công APT diễn ra theo thời gian, khiến đồ thị thay đổi động. Điều này dẫn đến nhu cầu sử dụng các mô hình đồ thị động (dynamic graph) hoặc Temporal GNN, trong đó thông tin về thứ tự và thời điểm xảy ra sự kiện được tích hợp vào quá trình học biểu diễn.

Một vấn đề lý thuyết quan trọng khác là sự khác biệt giữa các mức độ học biểu diễn trong đồ thị: học biểu diễn ở mức nút (node-level), mức cạnh (edge-level) và mức đồ thị con hoặc toàn bộ đồ thị (graph-level). Trong phát hiện APT, bài toán có thể được đặt ở nhiều mức khác nhau: phát hiện nút bất thường (ví dụ một tiến trình nghi ngờ), phát hiện cạnh bất thường (kết nối bất thường), hoặc nhận diện một chuỗi sự kiện tạo thành đồ thị con đáng ngờ. Việc lựa chọn mức biểu diễn phù hợp có ảnh hưởng trực tiếp đến kiến trúc mô hình và tiêu chí đánh giá.

Hình 3. Ví dụ về provenance graph trong phát hiện tấn công APT. Các nút được tô màu đỏ biểu diễn các thực thể liên quan đến hành vi độc hại. Đồ thị cho phép truy vết toàn bộ chuỗi tấn công từ email lừa đảo đến kết nối C&C (Command & Control).

Ngoài ra, một khía cạnh lý thuyết cần lưu ý là hiện tượng “over-smoothing” trong GNN, khi số tầng lan truyền quá lớn có thể làm các biểu diễn nút trở nên tương đồng và mất khả năng phân biệt. Điều này đặc biệt quan trọng trong phát hiện bất thường, nơi sự khác biệt tinh vi giữa hành vi bình thường và hành vi tấn công cần được bảo toàn. Các biến thể GNN gần đây đã đề xuất nhiều kỹ thuật khắc phục như residual connection, normalization và attention phân cấp.

Tóm lại, nền tảng lý thuyết của việc ứng dụng GNN trong phát hiện tấn công đa giai đoạn dựa trên ba trụ cột chính: (i) mô hình hóa dữ liệu an ninh dưới dạng đồ thị quan hệ; (ii) học biểu diễn cấu trúc thông qua cơ chế lan truyền thông điệp; (iii) mở rộng mô hình cho đồ thị dị thể và động nhằm phản ánh đúng bản chất của hành vi tấn công. Việc hiểu rõ các cơ sở lý thuyết này là tiền đề để phân tích và đánh giá các hướng nghiên cứu ứng dụng GNN trong lĩnh vực an toàn thông tin, sẽ được trình bày trong các phần tiếp theo.

Còn tiếp!