Моделі машинного навчання для виявлення аномалій мережевого трафіку: стан і перспективи

Abstract

Резюме. Безпека функціонування комп’ютерних мереж, напряму залежать від наявності засобів вчасного виявлення аномалій мережевому трафіку. Джерелами аномалій можуть бути різноманітні зловмисні дії: атаки типу "Відмова в обслуговуванні" (DoS/DDoS), несанкціонований доступ, сканування портів та зондування, спроби впровадження шкідливого коду, використання вразливостей захисту. Аномалії можуть створювати технічні збої чи нетипові закономірності в роботі обладнання. Традиційний захист брандмауери та системи IDS/IPS, сигнатурні системи виявлення атак мають суттєві обмеження, оскільки здебільшого орієнтовані на відомі патерни зловмисної активності. У цьому контексті машинне навчання та методи штучного інтелекту відкривають нові можливості для аналізу мережевого трафіку, виявлення невідомих типів атак і, що важливо, створення адаптивних систем безпеки комп’ютерних мереж. Статистичні методи аналізу трафіку ґрунтуються на статистичних показниках середніх значеннях, дисперсії, щільності розподілу. Аномалією вважається будь-яка подія, яка статистично значуще відхиляється від встановленого базового рівня. Методи прості в реалізації і не потребують значних обчислень, Деякі з них використовують часові ряди для прогнозування майбутніх рівнів трафіку та ідентифікації середньо- або довгострокових тенденцій. Недоліком методів слід вважати низьку стійкість до нестабільних умов роботи мережі, слабку здатність до виявлення складних атак із поступовою ескалацією.