Введение 4
1. Обзор литературы 6
1.1. Системы обнаружения подозрительной активности 6
1.1.1. Подсистема анализа 6
1.1.2. Недостатки современных систем обнаружения вторжений 7
1.2. Задача обнаружения аномалий в системных журналах 8
1.3. Алгоритм обработки данных системных журналов 9
1.3.1. Выделение признаков 10
1.3.2. Обнаружение аномалий 12
1.3.3. Трудности при обнаружении аномалий 14
1.3.4. Природа входных данных 15
1.3.5. Типы аномалий 16
1.3.6. Метки данных 20
1.3.7. Результат обнаружения аномалий 22
1.4. Прогнозирование временных рядов 23
1.4.1. Нейронные сети 23
1.4.2. Рекуррентные нейронные сети 24
1.4.3. Проблема долгосрочных зависимостей 25
1.4.4. LSTM нейросети 25
2. Разработка системы обнаружения подозрительной активности . . . . 28
2.1. Анализ журнала действий пользователя 28
2.1.1. Структура журнала 28
2.1.2. Метод обработки данных журнала 28
2.2. Подсистема подсчёта частот событий 29
2.3. Обнаружение аномалий в данных 30
2.3.1. Визуализация временного ряда 30
2.3.2. Обучение LSTM нейросети 31
Заключение 33
Список литературы

Купить

Актуальность работы обусловлена высокой значимостью информационной безопасности в работе современных предприятий. Защита информационных систем это всегда состязательный процесс, где противником выступает потенциальный злоумышленник, то есть другой человек, а значит здесь не может быть безусловно надёжных и проверенных решений.
Злоумышленник постоянно пытается придумать новый способ обойти существующие системы защиты, и для предотвращения вредоносных действий необходимо рассчитывать его поведение на несколько шагов вперёд и рассматривать контекст поведения пользователя, чтобы выявить не только уже известные признаки вредоносного поведения, но и такие, с которыми система защиты ещё не сталкивалась.
При разработке системы обнаружения подозрительной активности пользователей также необходимо учитывать специфику рабочих процессов конкретной организации и функционал конкретного программного продукта, в рамках которого пользователь осуществляет свою деятельность, что сильно затрудняет использование универсальных решений и создаёт для компании необходимость разработки собственной системы выявления подозрительной активности. Дополнительным фактором является очень высокая цена предлагаемых на рынке систем.
Объектом в данной работе является обнаружение аномалий в данных, представляющих собой историю действий пользователя.
Предметом работы является система обнаружения аномальных действий пользователей.
Целью работы является разработка системы обнаружения подозрительной активности пользователей на основании системного журнала действий в отсутствие информации о сути этих действий.
Исходя из цели работы, были поставлены следующие задачи:
1. Исследование существующих методов и подходов к обнаружению аномалий в поведении пользователей;
2. Проектирование и разработка подсистемы формирования выборки набора данных системного журнала действий пользователей по произвольным параметрам;
3. Обогащение данных дополнительной информацией;
4. Выбор и реализация алгоритма обнаружения аномалий в данных системного журнала;
5. Проектирование и реализация прототипа системы обнаружения подозрительной активности.
Купить