1. Введение

Корпоративная инфраструктура сегодня практически целиком построена на сетевом взаимодействии различных узлов в эту инфраструктуру входящих. Из-за этого обнаружение сетевых атак стало одной из ключевых задач защиты информации. Вопрос о необходимости обнаружения сетевых атак подтверждает и статистика, так, по данным Check Point Research

[1][2][3][4]

Из этого вытекают две связанные между собой проблемы. Первая — нагрузка на детекторы атак растет быстрее, чем железо организаций успевает за ней, задача ускорения принятия решений становится как никогда актуальной. Вторая — атаки меняются, и любой жестко зафиксированный набор сигнатур стареет за считанные месяцы. Отсюда нужен метод, который одновременно накапливает актуальную библиотеку профилей атак сам и использует ее для ускорения работы на повторяющемся трафике.

2. Анализ предметной области

Анализ работ по профилированию сетевых атак показывает, что существующие решения делятся на три ключевых семейства, и у каждого есть свои ограничения:

1) подходы с участием оператора. Типичный пример

—[5]—

2) подходы с автоматической инкрементальной кластеризацией. Сюда относятся AECID

[6][7][9][10][11]—

3) подходы на основе больших языковых моделей (LLM). Свежий пример

—[8]——

4) ещё один смежный класс работ

—[12][13][14][15]——

Анализ показал, что ни один из существующих подходов не сочетает сразу двух желаемых свойств: компактного масштабно-инвариантного представления аномалий и автоматической выбраковки устаревших профилей без аналитика и необходимости обращения к ресурсоемким языковым моделям. Именно отсюда и возникла задача разработать метод, обладающий всеми этими свойствами разом.

3. Метод профилирования сетевых аномалий на основе тернарного знакового представления и автоматического жизненного цикла профилей

Разработанный метод сам выделяет, оценивает и держит в актуальном состоянии библиотеку профилей сетевых атак. От рассмотренных в разделе 2 решений он отличается тем, что не требует ни ручной разметки, ни LLM. Метод не привязан к конкретному базовому детектору: на вход ему достаточно предоставить вектор признаков, бинарную отметку об аномальности и оценку аномальности.

Общая схема метода такая:

1) на вход поступают результаты работы базового детектора аномалий: 35-мерный вектор признаков сетевого трафика, бинарное решение об аномальности и оценка аномальности;

2) наблюдение проходит через тернарное знаковое кодирование относительно скользящего benign-эталона;

3) полученная сигнатура сравнивается с библиотекой профилей через информационно-взвешенное ядро;

4) если набралось достаточно несвязанных сигнатур, запускается спектральная кластеризация и в библиотеку добавляются новые кандидаты;

5) по результатам совпадений и согласованности с другими активными профилями каждый профиль автоматически меняет состояние в жизненном цикле;

6) арбитр и вето-движок принимают итоговое решение об аномальности с учетом найденных профилей.

Подробнее остановимся на этапах 2–6

—

Этап 2. Тернарное знаковое кодирование. Метод использует скользящие оценки среднего μ_f и стандартного отклонения σ_f. Для каждого признака f строится тернарная сигнатура наблюдения по формуле (1):

где k = 1.5

—

Получаемый 35-мерный вектор фиксирует отклонения свыше 1.5σ и сохраняет их знак

——

Этап 3. Сравнение через информационно-взвешенное ядро. Сходство двух тернарных сигнатур s_i и s_j считается по формуле (2):

где a_f равен +1 при совпадении ненулевых знаков, -1 при противоположных и 0, если хотя бы один из векторов нулевой в этой позиции; e_f

——

Ядро возвращает значение из [–1; +1]: K = +1 – это идентичные плотные сигнатуры, K = –1

———

Этап 4. Спектральная кластеризация и формирование кандидатов. Сигнатуры аномалий копятся в буфере. Как только буфер достигает порога (100 сигнатур) или с предыдущего запуска прошло 30 минут, начинается спектральная кластеризация. Из попарных значений ядра строится матрица аффинности A_ij = (K_ij + 1) / 2, после чего считаются собственные значения нормированного лапласиана. Число кластеров определяется автоматически

——

Этап 5. Жизненный цикл профилей. Каждый профиль в библиотеке проходит конечный автомат из пяти состояний. «Кандидат»

—————

———

Этап 6. Принятие решения арбитром и вето. Для нового наблюдения сначала считается его тернарная сигнатура, потом ищутся top-K (K = 5) ближайших профилей в библиотеке. Арбитр выносит вердикт по правилу консенсуса. Если совпали два и более активных профиля с близкими метками

————

IDEF0-диаграмма метода показана на рисунке 2.

4. Экспериментальное исследование

Программная реализация метода написана на Python 3.10. Из библиотек задействованы numpy и scipy (численные расчеты и линейная алгебра), scikit-learn (спектральная кластеризация и базовые детекторы), pyod (расширенные реализации COPOD и HBOS).

Для проверки метода взяты два эталонных набора данных, охватывающих разные сегменты сетевой инфраструктуры:

1) CIC-IDS2017

[18]—[17]

2) Gotham-2025

[19]—,

Такая пара наборов нужна, чтобы проверить метод и в традиционных корпоративных сетях, и в сетях с IoT-устройствами.

Поток аномалий в метод поставляли четыре базовых детектора разной природы:

1) kNN

—

2) COPOD (Copula-Based Outlier Detection)

—

3) HBOS (Histogram-Based Outlier Score)

—

4) OCSVM (One-Class Support Vector Machine)

—

Эти четыре детектора покрывают четыре непохожих семейства подходов к обнаружению аномалий

—

На первом этапе проверялось, насколько корректно метод выделяет профили атак из потока аномалий. Для каждой пары «базовый детектор + набор данных» фиксировались две вещи: распределение профилей по состояниям жизненного цикла на момент окончания эксперимента и изменение F1-меры базового детектора при подключении метода. Сводные числа

—

Из таблицы 1 видно несколько закономерностей. Начнем с того, что далеко не все профили доходят до состояния «активный»: в среднем 35–65% остаются в «кандидате» или «испытании». Это и есть консервативность жизненного цикла

—,——

На втором этапе оценивалось ускорение принятия решений благодаря режиму fast-path. Для каждой пары измерялось две величины: среднее время полного цикла принятия решения базовым детектором (t_детектор) и среднее время принятия решения при включенном методе (T_с_профилями). Результаты сведены в таблицу 2.

Полученные значения ускорения лежат в диапазоне 1

,,—,—

Чтобы сопоставить разработанный метод с известными решениями, проведено сравнение с двумя подходами: ITL-IDS на инкрементальной кластеризации

[7][6]—

Из таблицы 3 видно: известные подходы к профилированию заметно роняют F1 базового детектора

—[6][7]

Итого, метод одновременно ускоряет принятие решений на знакомом трафике и держит точность на уровне базового детектора. Ни один из рассмотренных аналогов этого вместе не делает.

5. Заключение

В работе разработан метод профилирования сетевых аномалий со следующими преимуществами:

1) метод сам строит, оценивает и поддерживает библиотеку профилей сетевых атак

—

2) тернарное знаковое представление дает масштабную инвариантность относительно различий между сегментами сети;

3) автоматический жизненный цикл из пяти стадий сам выбраковывает устаревшие профили и потому не дает библиотеке деградировать во времени;

4) метод не зависит от конкретной реализации базового детектора аномалий. Это подтверждено экспериментально на четырех детекторах разной природы.

Эксперименты на двух эталонных наборах данных (CIC-IDS2017 и Gotham-2025) и четырех базовых детекторах (kNN, COPOD, HBOS, OCSVM) показали ускорение принятия решений в 1.29–1.97 раза благодаря повторному использованию активных профилей. F1-мера базового детектора при этом меняется в пределах 0.02

—[6][7]—

В дальнейшем планируется расширить охватываемые методом классы атак за пределы сетевой разведки, рассмотренной здесь, а также применить тот же жизненный цикл к профилированию событий безопасности на уровне приложения.

The additional file for this article can be found as follows: