Обнаружение вторжений в компьютерные сети на основе аномалий с помощью методов машинного обучения

Аннотация

Актуальность данной работы основана на необходимости обнаружения вредоносной активности и вторжений в сеть или устройство в рамках мер противодействия и пресечения кибератак и киберпреступлений. Предлагаемое авторами программное обеспечение является системой обнаружения вторжений на сетевом уровне, использующей аномальный подход к интерпретации сетевого трафика и пассивные режимы реагирования и поиска данных. Архитектура предлагаемой сетевой системы обнаружения вторжений содержит в себе модуль прослушивания передаваемых и получаемых пакетов данных и сохранения данных в виде датасета, модуль анализа и реагирования и модуль пользовательского интерфейса. В ходе разработки были подготовлены данные для дальнейшего обучения системы, определены механизмы формирования данных в выбранном обучающем датасете, исходя из изученных механизмов реализован алгоритм по прослушиванию сетевых пакетов и формированию нового тестового датасета. В модуле анализа и реагирования применялись распространенные алгоритмы машинного обучения. Данный модуль также содержит обработчик и дает возможность пользователю выбрать и запустить нужный ему алгоритм машинного обучения. Для оценки качества алгоритмов классификации были смоделированы сетевые атаки на защищаемые компьютерные сети. Тестирование проводилось на сбалансированном датасете, в сети без сетевых атак, а дообученные алгоритмы тестировались в сети без сетевых атак и с сетевыми атаками. Дообученные алгоритмы показали приемлемо высокие результаты точности.