Тема: Модуль анализа поведения пользователей в SIEM-системах с целью выявления вредоносного ПО

В информационной безопасности анализ поведения пользователей используется для обнаружения внутренних угроз или вредоносных атак, целью которых является причинение вреда или получение несанкцио­нированного доступа к внутренним ресурсам.
Ежедневно создаются десятки тысяч вредоносных программ, а так­же совершенствуются уже существующие. Атаки становятся не слу­чайными, а целенаправленными, организованными и мотивированны­ми. Обнаружение и дальнейшее предотвращение таких атак является непростой и актуальной на сегодня задачей информационной безопас­ности.
SIEM-системы обеспечивают анализ в реальном времени событий безопасности, исходящих от сетевых устройств и приложений. Они ис­пользуются для журналирования данных, их агрегации, а также хра­нения. Объемы хранимой информации очень велики, но ее большая часть описывает обычное поведение пользователей, которое не являет­ся вредоносным. Лишь малый процент этих данных - это информация о разного рода нарушениях безопасности: вторжениях, внедрении вре­доносного ПО. Таким образом, проблему обнаружения угроз безопас­ности можно свести к задаче выявления аномалий или отклонений от нормального поведения пользователей и системы в целом.
Выявление аномалий в Data Mining - это процесс нахождения эле­ментов, событий или наблюдений, которые не соответствуют ожидае­мым паттернам или значительно отличаются от других элементов во множестве данных. Аномалии в разных источниках могут упоминаться как отклонения, выбросы, шум или исключения.
В машинном обучении существуют различные подходы к решению данной проблемы [7]. Выбор конкретного алгоритма зависит от специ­фичности данных, их размеров и других факторов.
В рамках данной работы было рассмотрено несколько методов машинного обучения без учителя, проведено сравнение этих методов на размеченном наборе данных и выбран лучший метод в качестве алгоритма выявления аномалий, используемого в модуле по умолчанию. Также были исследованы различные методы обработки данных и оцен­ки точности алгоритмов, описан подход обогащения данных и реализо­ван модуль анализа поведения пользователей.
Купить

В данной работе был реализован модуль анализа поведения пользователей, выявляющий вредоносные соединения. Для достижения по­ставленной цели были выполнены следующие задачи:
1. Проведен анализ методов машинного обучения без учителя для выявления аномалий сетевых соединений.
2. Проведено сравнение методов на размеченном наборе данных KDD соревнования.
3. Реализовано обогащение реальных исходных данных с помощью внешней системы VirusTotal.
4. На основе проведенных исследований и экспериментов реализо­ван конфигурируемый модуль анализа поведения пользователей, позволяющий выявлять вредоносные соединения на основе логов сетевых соединений NGFW Palo-Alto.
В дальнейших планах рассматривается внедрение реализованного модуля в промышленную эксплуатацию.
Купить