2. АНАЛИЗ МЕТОДОВ ОБНАРУЖЕНИЯ ВТОРЖЕНИЙ В

КОРПОРАТИВНЫХ СЕТЯХ НА ОСНОВЕ МАШИННОГО ОБУЧЕНИЯ

Аннотация.

В статье рассматриваются современные подходы к обнаружению

вторжений в корпоративных сетях с применением методов машинного

обучения. Проводится сравнительный анализ сигнатурных и аномальных

систем обнаружения, оценивается эффективность алгоритмов классификации

применительно к задаче выявления сетевых атак. Особое внимание уделяется

проблеме

дисбаланса

классов

и

снижению

ложноположительных

срабатываний.

Ключевые слова: обнаружение вторжений, машинное обучение,

информационная безопасность, аномалии, классификация, сетевой трафик,

ложноположительные срабатывания.

Стремительное

развитие

корпоративных

информационных

инфраструктур и повсеместное внедрение облачных сервисов формируют

качественно

новую

киберугрозу.

Традиционные

сигнатурные

системы

обнаружения вторжений (Signature-based IDS), долгое время остававшиеся

основным инструментом защиты периметра, демонстрируют ограниченную

эффективность при противодействии неизвестным (zero-day) атакам и

полиморфным угрозам. Злоумышленники постоянно модифицируют тактики,

применяют обфускацию и легитимные инструменты администрирования для

маскировки вредоносной активности. В этих условиях возрастает роль

систем обнаружения аномалий (Anomaly-based IDS), построенных на методах

машинного обучения, способных выявлять отклонения от нормального

профиля поведения без заранее заданных сигнатур.

Следует отметить, что задача обнаружения вторжений в терминах

машинного

обучения

формулируется

как

задача

бинарной

или

многоклассовой классификации сетевых соединений. Входными признаками

выступают

характеристики

трафика:

длительность

соединения,

объём

переданных байтов, количество пакетов, тип протокола, флаги TCP,

статистические показатели временных окон и ряд производных метрик. Для

обучения моделей широко используются эталонные наборы данных, среди

которых

наиболее

известны NSL-KDD,

UNSW-NB15

и

CICIDS2017.

Несмотря на определённую устареваемость, эти датасеты остаются базовыми

для сравнительной оценки алгоритмов.

Многообразие применяемых алгоритмов можно условно разделить на

несколько групп. К первой относятся классические методы: логистическая

регрессия, метод опорных векторов (SVM), деревья решений и случайный

лес. Они демонстрируют приемлемую точность на сбалансированных

выборках, однако чувствительны к масштабированию признаков и требуют

тщательной предварительной обработки. Вторая группа — ансамблевые

методы, такие как градиентный бустинг (XGBoost, LightGBM, CatBoost),

показывающие

высокие

результаты

на

табличных

данных

за

счёт

последовательного исправления ошибок слабых моделей. Третья группа —

глубокие нейронные сети, включая многослойные перцептроны, свёрточные

(CNN) и рекуррентные (LSTM) архитектуры, применяемые для анализа

временных последовательностей сетевых пакетов. Отдельное направление

образуют автоэнкодеры и вариационные автоэнкодеры, используемые в

парадигме

обучения

без

учителя

для

выявления

аномалий

через

реконструкционную ошибку.

Ключевой проблемой практического применения методов машинного

обучения в данной предметной области является дисбаланс классов. Доля

вредоносного трафика в реальных корпоративных сетях, как правило, не

превышает долей процента, тогда как обучающие выборки зачастую содержат

десятки тысяч нормальных соединений на единичные примеры атак.

Подобная

асимметрия

приводит

к

смещению

модели

в

сторону

мажоритарного класса: классификатор, помечающий все соединения как

легитимные, формально демонстрирует высокую accuracy, но оказывается

бесполезным на практике. Для борьбы с этим явлением применяются методы

ресемплинга (SMOTE,

ADASYN,

Random

Under-Sampling), взвешивание

классов в функции потерь, а также использование метрик, устойчивых к

дисбалансу — precision, recall, F1-мера и площадь под ROC-кривой (AUC-

ROC), а также AUC-PR для сильно несбалансированных задач.

Второй

существенной

проблемой

остаётся

высокий

уровень

ложноположительных

срабатываний.

Каждое

ошибочное

срабатывание

требует внимания аналитика SOC, что при больших объёмах трафика

приводит к «усталости от алертов» и, как следствие, к игнорированию

действительно

значимых

инцидентов.

Снижение

данного

показателя

достигается за счёт ансамблирования разнородных моделей, применения

пороговой оптимизации, калибровки вероятностей и постобработки с учётом

контекста. Перспективным направлением является гибридная архитектура, в

которой сигнатурный модуль отсекает известные угрозы, а ML-компонент

занимается анализом остаточного трафика.

Отдельного

внимания

заслуживает

проблема

интерпретируемости

моделей. В задачах информационной безопасности недостаточно получить

бинарный ответ «атака/норма» — аналитику необходимо понимание того,

какие

именно

признаки

обусловили

решение.

Методы

объяснимого

искусственного интеллекта (XAI), в частности SHAP и LIME, позволяют

построить локальные объяснения и повысить доверие к системе со стороны

специалистов. Это особенно важно при расследовании инцидентов и

формировании доказательной базы.

Перспективы дальнейших исследований связаны с адаптацией моделей к

дрейфу данных (concept drift), поскольку профиль нормального трафика в

корпоративной сети непрерывно меняется. Актуальны также федеративное

обучение,

позволяющее

строить

общие

модели

без

передачи

конфиденциальных

данных

между

организациями,

и

применение

трансформерных архитектур для анализа сетевых последовательностей.

Таким образом, синтез методов машинного обучения с классическими

подходами к обеспечению безопасности представляет собой наиболее

перспективный вектор развития систем обнаружения вторжений.

Список использованной литературы:

1. Axelsson S. The Base-Rate Fallacy and the Difficulty of Intrusion

Detection // ACM Transactions on Information and System Security. – 2000. – Vol.

3, № 3. – P. 186-205.

2. Buczak A.L., Guven E. A Survey of Data Mining and Machine Learning

Methods for Cyber Security Intrusion Detection // IEEE Communications Surveys

& Tutorials. – 2016. – Vol. 18, № 2. – P. 1153-1176.

3. Lashkari A.H. et al. Toward Developing a Systematic Approach to Generate

Benchmark Android Malware Datasets // Proceedings of the 16th Annual

Conference on Privacy, Security and Trust. – 2018. – P. 1-7.

4. Sharafaldin I., Lashkari A.H., Ghorbani A.A. Toward Generating a New

Intrusion Detection Dataset and Intrusion Traffic Characterization // Proceedings of

the 4th International Conference on Information Systems Security and Privacy. –

2018. – P. 108-116.