Нейронные сети

Нейронная сеть, обучена множеством последовательных команд защищаемой системы или одной из ее подсистем, представляет собой «образ» нормального поведения.

Процесс обнаружения аномалий представляет собой определение показателя неправильно предсказанных команд, то есть фактически обнаруживается отличие в поведение объекта.

Концептуальная схема нейронных сетей СОВ

Преимущества и недостатки

Преимущества:

успех данного подхода не зависит от природы исходных данных;

нейронные сети легко справляются с зашумленными данными;

автоматически учитываются связи между различными измерениями, которые, несомненно, влияют на результат оценки.

Недостатки:

Длительный процесс обучения;размер окна – еще одна величина, которая имеет огромное

значение при разработке; если сделать окно маленьким то сеть будет не достаточно производительной, слишком большим – будет страдать от неуместных данных.

Генерация паттернов

«Образ» составляет множество правил, создаваемых индуктивно во время наблюдения работы пользователя, а функционирование представляется в виде последовательности событий или состояний.

Аномалия регистрируется в том случае, если наблюдаемая последовательность событий соответствует левой части правила выведенного ранее, а события, которые имели место в системе после этого, отличаются от тех, которые должны были наступить по правилу.

Е1->Е2->Е3 => (Е4 = 95%,Е5=5%)

где Е1… Е5 - события безопасности.

Преимущества и недостатки

Недостатокнеузнаваемые паттерны поведения могут быть не приняты за

аномальные из-за того, что они не соответствуют ни одной из левых частей всех правил.

Преимуществалучшая обработка пользователей с большим колебанием

поведения, но с четкой последовательностью паттернов;возможность обратить внимание на некоторые важные

события безопасности, а не на всю сессию, которая помечена как подозрительная;

лучшая чувствительность к обнаружению нарушений: правила содержат в себе семантику процессов, что позволяет гораздо проще заметить злоумышленников, которые пытаются обучить систему в своих целях.

Обнаружение злоупотреблений

В отличие от обнаружения аномалии, где образ – это модель нормального поведения системы, при обнаружении злоупотребления образ необходим для представления несанкционированных действий злоумышленника.

Методы обнаружения злоупотреблений

Используемые для обнаружения аномалий

Наблюдение за нажатием клавиш

Основанные на моделировании поведения злоумышленника