ЗАСТОСУВАННЯ МЕТОДІВ МАШИННОГО НАВЧАННЯ ДЛЯ ВИЯВЛЕННЯ АТАК У КОРПОРАТИВНІЙ МЕРЕЖІ НА ОСНОВІ FLOW-ОЗНАК

Анотація

Виявлення шкідливої мережевої активності в корпоративних інформаційних ресурсах на основі статистичних характеристик потоків трафіку є практично значущим завданням, оскільки ефективність детектування визначається не лише загальною точністю, а й співвідношенням хибних спрацювань і пропусків атак, що безпосередньо впливає на навантаження на операторів безпеки та рівень залишкового ризику для організації. У статті подано підхід до виявлення атак у потоці мережевих з’єднань за flow-ознаками з використанням деревоподібних методів машинного навчання та аналізом їх поведінки для різних класів загроз у межах єдиного відтворюваного експериментального протоколу. Для експериментального дослідження використано набір даних CSE-CIC-IDS2018 з ознаками, сформованими CICFlowMeter, та побудовано бінарну постановку benign проти attack для трьох сценаріїв шкідливої активності, що охоплюють botnet-активність, volumetric-атаки типу DDoS (HOIC, LOIC-UDP) і web-атаки (Brute Force-Web, Brute Force-XSS, SQL Injection). Реалізовано порівняння моделей Decision Tree та Random Forest із балансуванням класів та фіксованими параметрами розбиття даних на навчальну і тестову вибірки, що забезпечує коректне зіставлення якості на різних типах атак. Оцінювання виконано за матрицею помилок і похідними показниками для класу атаки, включно з precision і recall, а також аналізом абсолютних значень FP і FN, які є найбільш інформативними у випадку рідкісних атак. Отримані результати демонструють майже повне відокремлення benign і attack для Bot та DDoS, що узгоджується з наявністю виражених патернів у потоці трафіку та високою відокремлюваністю класів у просторі ознак. Для web-атак виявляється принципово різний профіль помилок: Decision Tree забезпечує вищу повноту виявлення за рахунок збільшення кількості хибних тривог і зниження точності спрацювань, тоді як Random Forest формує істотно точніші спрацювання при збільшенні числа пропусків. Показано, що вибір методу детектування доцільно здійснювати з урахуванням типу атаки, дисбалансу класів і допустимого балансу між хибними спрацюваннями та пропусками, а інтерпретація результатів має спиратися на показники, які відображають експлуатаційні наслідки для систем моніторингу корпоративної мережі.