Xây dựng dataset điện từ để phát hiện mã độc trên thiết bị IoT

Dataset điện từ cho mã độc IoT là gì?

Đây là tập hợp các vệt phát xạ điện từ được thu khi thiết bị IoT thực thi những hành vi phần mềm đã biết, kèm nhãn và metadata của từng lần chạy. Mục tiêu không phải nhận dạng tên tệp mã độc bằng tín hiệu RF, mà học các mẫu hoạt động vật lý do CPU, bộ nhớ, ngoại vi và mạng tạo ra khi mã lành tính hoặc mã độc thực thi. Một mẫu dữ liệu có thể là vệt thời gian, spectrogram hoặc một cửa sổ đa kênh gắn với sự kiện.

Nhãn “malware” quá rộng nếu không mô tả hành vi và giai đoạn thực thi. Dataset hữu ích cần tách tải xuống, giải nén, tạo tiến trình, quét cổng, mã hóa tệp, beacon mạng hoặc tải CPU; đồng thời có các tác vụ lành tính tương tự. Nếu mẫu lành chỉ ở trạng thái nhàn rỗi còn mẫu độc luôn tải cao, mô hình sẽ học mức công suất thay vì đặc trưng hành vi.

Nguyên lý nhận dạng hành vi từ phát xạ EM

Chuỗi lệnh và luồng dữ liệu khác nhau làm thay đổi hoạt động chuyển mạch của vi xử lý. Qua nhiều khoảng quan sát, sự khác biệt xuất hiện dưới dạng năng lượng theo băng tần, chu kỳ lặp, transient khi gọi hàm hoặc quan hệ thời gian giữa các khối. Mô hình CNN một chiều có thể học mẫu cục bộ trên waveform; CNN hai chiều học cấu trúc thời gian–tần số; mô hình tuần tự khai thác tiến triển của hành vi trong một phiên dài.

Tuy nhiên, EM cũng phản ánh firmware, tần số đồng hồ, nguồn cấp, vị trí probe và tải nền. Do đó bài toán thực chất là tách tín hiệu hành vi khỏi các biến gây nhiễu. Dataset phải chủ động thay đổi ngày đo, thiết bị, vị trí nhỏ của probe và tải lành tính. Nếu train/test chứa các cửa sổ lân cận từ cùng một phiên, kết quả cao có thể chỉ là nhận dạng điều kiện phiên đo.

Quy trình xây dựng dataset hoạt động ra sao?

Mỗi kịch bản bắt đầu từ trạng thái khởi động có thể tái tạo, firmware và cấu hình mạng đã ghi nhận. Hệ thống điều khiển phát lệnh chạy, đánh dấu thời gian bắt đầu/kết thúc, thu EM cùng log hệ thống hoặc packet capture để tạo ground truth. Waveform thô được lưu trước mọi xử lý. Sau đó pipeline căn chỉnh, lọc có kiểm soát, cắt cửa sổ và tạo representation mà vẫn giữ liên kết tới phiên gốc.

Việc chia tập phải thực hiện theo session, ngày hoặc thiết bị trước khi cắt window. Train dùng một nhóm phiên; validation điều chỉnh mô hình trên phiên khác; test cuối giữ riêng thiết bị hoặc ngày chưa từng xuất hiện. Đánh giá gồm precision, recall, F1 theo lớp, ma trận nhầm lẫn, false alarm theo giờ, độ trễ phát hiện và độ bền khi vị trí đầu dò thay đổi.

• Lưu waveform thô, nhãn hành vi, timestamp và metadata chuỗi đo.
• Chia dữ liệu theo phiên/thiết bị trước khi sinh cửa sổ.
• Đánh giá cả báo giả, độ trễ và khả năng tổng quát hóa ngoài phiên thu.

Ứng dụng và hướng triển khai thực tế

Một bộ phát hiện EM có thể giám sát firmware trên gateway, camera, router hoặc bo điều khiển công nghiệp mà không sửa phần mềm đích. Nó phù hợp với phòng kiểm định, dây chuyền kiểm tra hoặc thiết bị cố định nơi có thể giữ vị trí probe ổn định. Hệ thống cũng có thể phát hiện firmware sai phiên bản, tiến trình bất thường hoặc thay đổi hoạt động sau cập nhật.

Đây chưa phải giải pháp thay thế hoàn toàn antivirus hoặc giám sát mạng. Đầu dò cần ở gần thiết bị, mô hình dễ chịu domain shift và kẻ tấn công có thể làm hành vi chậm hoặc xen tải gây nhiễu. Hướng khả thi là kết hợp EM với telemetry mạng, dùng self-supervised learning trên dữ liệu chưa nhãn và thiết kế calibration nhanh cho từng thiết bị mới.