Модель и метод диагностирования компьютерных инцидентов в информационно-коммуникационных системах, основанные на глубоком машинном обучении

Аннотация

Введение: модели и методы диагностирования компьютерных инцидентов, фиксируемых в информационно-коммуникационных системах, являются важнейшими компонентами математического обеспечения систем защиты информации. Основным требованием, предъявляемым к процессу диагностирования, является оперативность выявления характеристик нарушения безопасности. Сложность этой задачи обусловлена объемностью и вариативностью исходных данных о нарушении безопасности информации. Цель: разработка модели диагностирования компьютерного инцидента и метода, позволяющего оперативно определять значения характеристик нарушения безопасности. Результаты: определение значений характеристик нарушения безопасности, важных для принятия решения по реагированию на выявленный компьютерный инцидент, осуществляется с использованием глубоких искусственных нейронных сетей. Особенностью структуры предложенной глубокой искусственной нейронной сети является то, что она объединяет кодирующую часть автоэнкодера и многослойный персептрон. Кроме того, метод реализует параллельный режим обработки информативных событий, произошедших в информационно-коммуникационной системе д о обнаружения компьютерного инцидента, путем использования для каждой вторичной характеристики нарушения безопасности отдельной предложенной искусственной нейронной сети. Метод определения значений вторичных характеристик нарушения безопасности позволяет достигнуть достаточно высокого значения показателя оперативности диагностирования при приемлемых значениях показателей точности и полноты для искомых характеристик нарушения безопасности. Исследована зависимость значений показателей полноты и точности классификации от числа нейронов скрытого слоя. Экспериментально определено достаточное число нейронов скрытого слоя для достижения требуемой оперативности обучения. Практическая значимость: разработанные модель и метод могут быть реализованы на типовых программно-аппаратных средствах (серверах) информационно-коммуникационной системы организации. Их совместное использование с существующими моделями и методами мониторинга и диагностирования позволяет значительно повысить эффективность системы защиты информации.