АДАПТИВНА МОДЕЛЬ ПРИЙНЯТТЯ РІШЕНЬ ДЛЯ ГІБРИДНИХ СИСТЕМ ВИЯВЛЕННЯ ВТОРГНЕНЬ

Анотація

Зростання складності кіберзагроз, а також обмеження традиційних систем виявлення вторгнень, заснованих виключно на сигнатурному аналізі або ймовірнісних моделях машинного навчання, зумовлюють необхідність розробки комплексних адаптивних моделей прийняття рішень. Незважаючи на те, що методи машинного навчання можуть забезпечувати високу чутливість до аномалій у мережевому трафіку, їх застосування може супроводжуватися хибними спрацюваннями та недостатньою інтерпретованістю результатів. Окремою проблемою є узгоджене об'єднання різнорідних індикаторів безпеки, які мають різну природу, рівень достовірності та критичності, зокрема криптографічних індикаторів, часових і поведінкових характеристик та історичних оцінок ризику.

У роботі запропоновано адаптивну модель прийняття рішень для гібридної системи виявлення вторгнень, що забезпечує об'єднання різнорідних ознак безпеки в єдиний механізм оцінювання ризику. Перший рівень моделі реалізовано на основі детермінованого криптографічного контролю, що забезпечує пріоритетне виявлення критичних порушень. У разі виявлення критичного криптографічного порушення система формує рішення про вторгнення незалежно від результатів інших компонентів. За відсутності такого порушення виконується адаптивне зважене об’єднання нормалізованої криптографічної оцінки, імовірнісної оцінки модуля машинного навчання на основі Random Forest та накопиченого історичного ризику з подальшим пороговим формуванням підсумкового рішення.

Розроблено програмний прототип та проведено серію експериментальних досліджень у розподіленому середовищі на вибірці з 1099 тестових сеансів, що охоплювали нормальні, підозрілі, атакуючі, комбіновані та раніше не представлені в навчанні сценарії. Отримані результати засвідчили, що інтегрована модель забезпечує макросереднє значення площі під ROC-кривою Macro AUC = 0,963, загальну точність класифікації 88,81 %, а значення Macro Precision, Macro Recall та Macro F1-score становлять відповідно 0,89, 0,88 та 0,88. При цьому жоден атакуючий сценарій не був класифікований як нормальний стан.

Запропонована модель розширює можливості традиційних систем виявлення вторгнень шляхом поєднання детермінованого криптографічного контролю з адаптивним оцінюванням ризику на основі машинного навчання та історії поведінки вузлів. Такий підхід дає змогу враховувати як критичні порушення цілісності, так і слабкі накопичувані аномалії, що визначає можливість застосування запропонованої моделі у розподілених інформаційно-комунікаційних та кіберфізичних системах із підвищеними вимогами до безпеки.