Аналіз підходів до мінімізації хибних результатів у процесі виявлення аномалій системами кіберзахисту

Анотація

У контексті дослідження проблеми виявлення невідомих (нових) кібератак на інформаційно-комунікаційні системи (ІКС) обґрунтовано доцільність застосування підходу на основі виявлення аномалій, який демонструє найбільший потенціал серед альтернативних методів. Розглянуто типи помилок, які виникають під час виявлення аномалій найбільш поширеними методами, а також причини їх виникнення: низька якість та неповнота даних, концепт‑дрейф, дисбаланс класів, контекстні чинники експлуатації. Представлено порівняльний аналіз підходів, спрямованих на зменшення кількості хибних результатів у процесі виявлення аномалій системами кіберзахисту, описано їх переваги та недоліки. Запропоновано доменно‑орієнтовану схему оцінювання загрозливості аномалій: подія аналізується у відповідності до релевантного домену (пам’ять, файлова система, мережа, доступ, база даних) із наперед визначеними пулами ознак Оцінюються три складові: прогнозна відповідність ланцюга подій (розбіжність між очікуваною та фактичною траєкторією), контекстна відповідність за архітектурою «суб’єкт-дія-об’єкт» і зміни стану ІКС до аномалії та після. Поєднання прогнозної, семантичної та інформації про стан системи дає змогу обґрунтовано відрізняти технічні збої від цілеспрямованих впливів і зменшувати ймовірність хибних висновків у сценаріях із невідомими кібератаками. Додатково підтримується контекстна історія підозрілих подій з метою відслідковування потенційних розподілених у часі кібератак. Запропонована схема розглядається як основа для формалізації критеріїв, алгоритмів вибору доменів і відповідних їм ознак, правил ухвалення рішень та процедур верифікації, спрямованих на розвиток інтелектуальних систем кіберзахисту критично важливих ІКС