Разработка методики снижения количества ложноположительных событий корреляции в системе мониторинга с использованием методов машинного обучения

Содержание

Введение

Глава 1. Теоретические аспекты функционирования SIEM-систем и проблема ложноположительных срабатываний

1.1. Обзор современных SIEM-систем: архитектура и функциональные возможности

1.2. Ложноположительные события в системах мониторинга безопасности

1.3. Обзор и сравнительный анализ существующих подходов использования алгоритмов машинного обучения в SIEM

1.4. Вывод по первой главе

Глава 2. РАЗРАБОТКА МЕТОДИКИ СНИЖЕНИЯ ЛОЖНОПОЛОЖИТЕЛЬНЫХ СОБЫТИЙ КОРРЕЛЯЦИИ НА ОСНОВЕ МАШИННОГО ОБУЧЕНИЯ

2.1. Формализация требований к разрабатываемой методики

2.2. Выбор алгоритма машинного обучения для снижения ложноположительных событий

2.3. Описание разработанной методики

2.4. Вывод по второй главе

Глава 3. Программная реализация и экспериментальная оценка предложенной методики

3.1. Программная реализация модуля обнаружения ложноположительных событий

3.2. Экспериментальная оценка качества разработанной модели

3.3. Сравнительный анализ разработанной методики с существующими подходами

Заключение

Список использованной литературы

ВЫПУСКНАЯ КВАЛИФИКАЦИОННАЯ РАБОТА

Разработка методики снижения количества ложноположительных событий корреляции в системе мониторинга с использованием методов машинного обучения

ВВЕДЕНИЕ

Актуальность темы выпускной квалификационной работы обусловлена стремительным ростом числа и сложности кибератак, нацеленных на информационные системы российских организаций, объекты критической информационной инфраструктуры (КИИ) и государственные информационные системы. Согласно аналитическому отчёту Positive Technologies «Актуальные киберугрозы — 2024: итоги года», количество целевых атак на российскую инфраструктуру выросло на 47% по сравнению с 2023 годом, при этом доля инцидентов, связанных с компрометацией данных и нарушением функционирования критически важных информационных систем, увеличилась в 1,8 раза. «Лаборатория Касперского» отмечает, что особую опасность представляют атаки на объекты КИИ топливно-энергетического комплекса, транспортной инфраструктуры и систем здравоохранения, где реализация угроз безопасности информации может привести к критическим последствиям для жизнедеятельности населения и национальной безопасности Российской Федерации. В этих условиях системы мониторинга информационной безопасности класса SIEM (Security Information and Event Management) становятся ключевым элементом защиты объектов информатизации, обеспечивая централизованный сбор, корреляцию и анализ событий безопасности в режиме реального времени.

Однако внедрение SIEM-систем в российских организациях сталкивается с серьёзной проблемой высокого уровня ложноположительных срабатываний правил корреляции событий безопасности. По данным исследования «РТК-Солар», в среднем до 85-92% инцидентов информационной безопасности, генерируемых SIEM-системами на этапе первичного внедрения, являются ложноположительными, что приводит к перегрузке аналитиков центров мониторинга и реагирования на инциденты информационной безопасности (SOC), снижению эффективности обнаружения реальных угроз и увеличению времени реагирования на критические инциденты. В условиях дефицита квалифицированных специалистов по информационной безопасности данная проблема приобретает особую остроту, поскольку значительная часть ресурсов аналитиков SOC расходуется на обработку ложных тревог вместо расследования действительных инцидентов безопасности. Традиционные подходы к настройке правил корреляции, основанные на экспертной разработке сигнатур и пороговых значений, не обеспечивают необходимой точности в условиях динамично меняющегося ландшафта угроз и специфики инфраструктуры конкретного объекта информатизации.

Применение методов машинного обучения для снижения количества ложноположительных событий корреляции в SIEM-системах представляет собой перспективное направление развития технологий мониторинга информационной безопасности. Алгоритмы машинного обучения способны автоматически выявлять сложные закономерности в потоках событий безопасности, адаптироваться к особенностям инфраструктуры защищаемого объекта информатизации и обучаться на основе обратной связи от аналитиков SOC, что позволяет существенно повысить точность обнаружения реальных инцидентов и снизить нагрузку на специалистов по информационной безопасности. Разработка научно обоснованной методики снижения ложноположительных срабатываний с использованием методов машинного обучения имеет важное значение для повышения эффективности функционирования SIEM-систем на объектах информатизации российских организаций, обеспечения выполнения требований Федерального закона от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», Приказа ФСТЭК России от 25.12.2017 № 239 «Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации», Доктрины информационной безопасности Российской Федерации, утверждённой Указом Президента Российской Федерации от 05.12.2016 № 646, а также Указа Президента Российской Федерации от 01.05.2022 № 250 «О дополнительных мерах по обеспечению информационной безопасности Российской Федерации».

Степень разработанности проблемы. Вопросы построения систем мониторинга информационной безопасности класса SIEM рассматриваются в работах российских учёных и специалистов-практиков в области информационной безопасности — Лукацкого А.В., Щеглова А.Ю., Мельникова В.П., Клейменова С.А., Домарева В.В., Петракова А.В. Теоретические основы применения методов машинного обучения для обнаружения аномалий и инцидентов информационной безопасности исследованы в трудах учёных МГТУ им. Н.Э. Баумана, ИТМО, ИПИБ МГУ им. М.В. Ломоносова. Практические аспекты внедрения и эксплуатации SIEM-систем на российских предприятиях освещены в аналитических материалах Positive Technologies, «Лаборатории Касперского», «РТК-Солар», BI.ZONE. Однако комплексная методика снижения ложноположительных срабатываний корреляционных правил SIEM с применением алгоритмов машинного обучения, адаптированная к требованиям российских регуляторов в области информационной безопасности, в настоящее время отсутствует, что определяет научно-практическую значимость данного исследования.

Целью выпускной квалификационной работы является разработка методики снижения количества ложноположительных событий корреляции в системе мониторинга с использованием методов машинного обучения для повышения эффективности обнаружения реальных инцидентов информационной безопасности на объектах информатизации российских организаций.

Для достижения поставленной цели необходимо решить следующие задачи:

• провести анализ современных SIEM-систем, исследовать их архитектуру, функциональные возможности и роль в обеспечении информационной безопасности объектов информатизации;
• изучить природу и классификацию ложноположительных событий в системах мониторинга безопасности, определить причины их возникновения и влияние на эффективность функционирования центров мониторинга и реагирования на инциденты информационной безопасности;
• выполнить обзор и

…