Интеллектуальное обнаружение сетевых вторжений в инфраструктуру управления автономными системами на основе методов машинного обучения

Аннотация

Оконные решающие правила на основе машинного обучения переносятся в сегменты управления автономными объектами без отдельной проверки того, как их сравнительное качество зависит от строения штатного обмена и от поведения нарушителя. Работа отвечает на вопрос, как меняются в модели качество обнаружения, доля ложных подтверждений и задержка подтверждённого решения при двухрежимном профиле командного обмена, при маскировке воздействия под штатный профиль и при разной насыщенности потока всплесками. Материалом служит синтетический поток окон агрегированного управляющего и телеметрического обмена, порождаемый раскрытым генератором с девятью параметрами; единица моделирования – окно длительностью одна секунда. Сопоставлены гауссовский наивный байесовский классификатор, логистическая регрессия с L2-регуляризацией и ансамбль решающих деревьев, обученные на модельном потоке по методу удержанной выборки. Оценка проведена на 1000 модельных эпизодах по 40 окон, каждый параметр пересчитан в низкой и высокой точке диапазона. При базовых параметрах наименьшая F1-мера равна 0,827, наибольшая F1-мера равна 0,898, а разность F1-меры АРД и ГНБ составляет -0,1 п. п. Отставание логистической регрессии сохраняется при раздельной подстановке границ каждого из девяти параметров. Расчётное качество ансамбля при переходе от редких всплесков к частым проходит пределы 0,153-0,932. Правило накопления с порогом три окна из пяти даёт в модельном потоке долю ложных подтверждений 0,00% при доле обнаруженных всплесков 91,6% и средней задержке подтверждения 3,31 окон. В модельном сегменте управления качество определяется не сложностью обучаемой схемы, а соответствием её допущений строению потока и насыщенностью обучающей выборки положительными примерами.