ВИЯВЛЕННЯ АНОМАЛІЙ В ACTIVE DIRECTORY ДЛЯ ВИЯВЛЕННЯ APT-АТАК: МЕТОДИ, ЕФЕКТИВНІСТЬ ТА ОБМЕЖЕННЯ

Анотація

У статті представлено огляд, аналіз та порівняння методів машинного навчання для виявлення загроз в середовищі Active Directory. Оскільки сучасні методи атак все краще обходять традиційні інструменти захисту і все краще мімікрують під легітимну активність, способом виявлення загроз було обрано виявлення аномалій. Для дослідження було обрано 4 типу алгоритмів: кластерні, класифікатори, нейронні мережі та алгоритми на основі графів. Експеримент проводився на прикладі віртуального середовища яке симулювало Active Directory. Модель машинного навчання навчались на типовій роботі симульованого середовища. Атаки, для тестування, симулювались в тому ж середовищі одночасно з відтворенням середньостатистичної активності, для відображення умов ближчих до реальних. Дослідження показало, що кожен алгоритм має свої переваги та недоліки і що не існує надійного ріщення, здатного повноцінно здатного виявляти усі загрози. Так LSTM виявились найкращими в виявлення аномалій в поведінці користувачів, Autoencoders показали себе найкраще у виявленні аномалій в командному рядку, а алгоритм на основі графів  був найкращим в виявленні аномалій а мережевому трафіку. Одночасно з цим результати висвітлюють обмеження класнерних алгоритмів в сценаріях з високою варіантивністю випадків, а також обмеження в можливості виявлення невідомих та мімікруючих під легітимну активність загроз для алгоритмів класифікації. Результати дослідження підтверджують необхідність побудови комплексних систем захисту інформації, які базуються на принципах глибокого захисту, що поєднують у собі усі сильність сторони різних методів для ефективного виявдлення загроз. Крім того, воно підкреслює, що практична цінність цих моделей максимізується, коли вони використовуються для покращення можливостей існуючих платформ безпеки.