Юлия Алексеевна Андрусенко – старший преподаватель
д. 1, ул. Пушкина, Ставрополь, 355017
Yulia A. Andrusenko – Senior Lecturer
1, Pushkin St., Stavropol, 355017
Дмитрий Сергеевич Шавло – студент
д. 1, ул. Пушкина, Ставрополь, 355017
Dmitry S. Shavlo – Student
1, Pushkin St., Stavropol, 355017
Алексей Павлович Плетухин – студент
д. 1, ул. Пушкина, Ставрополь, 355017
Alexey P. Pletukhin – Student
1, Pushkin St., Stavropol, 355017
Елена Романовна Семиколеннова – студент
д. 1, ул. Пушкина, Ставрополь, 355017
Elena R. Semikolennova – Student
1, Pushkin St., Stavropol, 355017
Михаил Ильич Кондрашов – студент
д. 78, пр. Вернадского, Москва, 119454
Mikhail I. Kondrashov – Student
78, Vernadsky Ave., Moscow, 119454
В условиях растущей сложности киберугроз и увеличения частоты кибератак актуальность разработки эффективных инструментов для автоматического обнаружения вторжений в информационные системы неуклонно возрастает. Традиционные методы защиты, основанные на сигнатурном анализе, часто не справляются с новыми, неизвестными атаками, что стимулирует исследование альтернативных подходов, в том числе методов машинного обучения (ML). В статье рассматривается применение ML для решения задачи бинарной классификации сетевой активности на нормальную и аномальную (кибератаку) с использованием программной платформы KNIME, ориентированной на визуальное проектирование аналитических пайплайнов.Исследование проводилось на общедоступном датасете Cybersecurity Intrusion Detection, включающем 11 признаков, характеризующих сетевой трафик и пользовательское поведение (время активности, протокол передачи данных, размер пакетов, количество подключений, частота запросов и т.д.). Целью работы стало сравнительное изучение эффективности пяти алгоритмов ML: Decision Trees (деревья решений), Naive Bayes (наивный байесовский классификатор), Random Forest (случайный лес), Gradient Boosted Trees (градиентный бустинг на деревьях) и Simple Regression Tree (простое регрессионное дерево). Выбор моделей обусловлен их распространенностью в задачах обнаружения аномалий и различиями в принципах работы: от простых решающих правил (Decision Trees) до ансамблевых методов (Random Forest, Gradient Boosted Trees), объединяющих несколько "слабых" моделей для повышения точности.Для подготовки данных к обучению применялся метод главных компонент (PCA), позволивший сократить размерность признакового пространства с 11 до 3 компонент без существенной потери информации. Это важный шаг, так как избыточность или коррелированность признаков может негативно влиять на качество моделей. Настройка гиперпараметров (например, глубины деревьев, количества деревьев в Random Forest, скорости обучения в Gradient Boosted Trees) и борьба с переобучением осуществлялись через кроссвалидацию, что обеспечило стабильность результатов на новых данных. Эксперименты показали, что наибольшую точность (83.055%) и площадь под ROC-кривой (AUC = 0.811) продемонстрировали алгоритмы Random Forest и Gradient Boosted Trees. Эти результаты объясняются способностью ансамблевых методов учитывать нелинейные зависимости в данных и устойчивостью к шуму, что критично для задач кибербезопасности, где атаки могут маскироваться под нормальную активность. Модели Decision Trees и Simple Regression Tree показали более низкие метрики (точность ~75-78%), что связано с их склонностью к переобучению на небольших датасетах. Naive Bayes, предполагающий независимость признаков, также уступил ансамблевым методам, что подтверждает ограниченность предположения о независимости в контексте сетевых данных. Особое внимание уделено этапам работы: от загрузки и визуализации данных (анализ распределения классов, корреляций между признаками) до обучения моделей и интерпретации результатов. Использование KNIME упростило реализацию пайплайна: платформа предоставляет визуальные инструменты для предобработки данных, настройки моделей и оценки их качества, что делает подход доступным для специалистов в области кибербезопасности без глубоких знаний программирования.Результаты исследования вносят вклад в развитие практических приложений ML для защиты информационных систем. Они демонстрируют, что ансамблевые методы, такие как Random Forest и Gradient Boosted Trees, могут эффективно применяться для обнаружения кибератак в режиме реального времени, особенно в условиях ограниченного набора данных. Перспективными направлениями дальнейших работ являются расширение датасета за счет включения новых типов атак (например, Advanced Persistent Threats, IoT-атак, атак на криптографические протоколы), а также интеграция методов глубокого обучения (например, рекуррентных нейронных сетей для анализа последовательностей сетевых событий) для повышения точности и адаптивности систем обнаружения вторжений.
In the context of the growing complexity of cyber threats and the increasing frequency of cyberattacks, the relevance of developing effective tools for automatic detection of intrusions into information systems is steadily increasing. Traditional protection methods based on signature analysis often fail to cope with new, unknown attacks, which stimulates the study of alternative approaches, including machine learning (ML) methods. The article discusses the use of ML to solve the problem of binary classification of network activity into normal and abnormal (cyberattack) using the KNIME software platform, which is focused on the visual design of analytical pipelines. The study was conducted on the publicly available Cybersecurity Intrusion Detection dataset, which includes 11 features characterizing network traffic and user behavior (activity time, data transfer protocol, packet size, number of connections, request frequency, etc.). The aim of the work was a comparative study of the efficiency of five ML algorithms: Decision Trees, Naive Bayes, Random Forest, Gradient Boosted Trees, and Simple Regression Tree. The choice of models is due to their prevalence in anomaly detection problems and differences in operating principles: from simple decision rules (Decision Trees) to ensemble methods (Random Forest, Gradient Boosted Trees) that combine several "weak" models to improve accuracy. To prepare the data for training, the principal component analysis (PCA) was used, which allowed us to reduce the dimensionality of the feature space from 11 to 3 components without significant loss of information. This is an important step, since redundancy or correlation of features can negatively affect the quality of the models. Tuning hyperparameters (e.g. tree depth, number of trees in Random Forest, learning rate in Gradient Boosted Trees) and combating overfitting were performed through cross-validation, which ensured the stability of the results on new data. Experiments showed that the highest accuracy (83.055%) and area under the ROC curve (AUC = 0.811) were demonstrated by the Random Forest and Gradient Boosted Trees algorithms. These results are explained by the ability of ensemble methods to take into account nonlinear dependencies in data and their resistance to noise, which is critical for cybersecurity tasks, where attacks can be disguised as normal activity. Decision Trees and Simple Regression Tree models showed lower metrics (accuracy ~75-78%), which is due to their tendency to overfitting on small datasets. Naive Bayes, which assumes independence of features, also gave way to ensemble methods, which confirms the limitations of the independence assumption in the context of network data. Particular attention is paid to the stages of work: from loading and visualizing data (analysis of class distribution, correlations between features) to training models and interpreting the results. The use of KNIME simplified the implementation of the pipeline: the platform provides visual tools for data preprocessing, model tuning and assessing their quality, which makes the approach accessible to cybersecurity specialists without deep programming knowledge. The results of the study contribute to the development of practical applications of ML for protecting information systems. They demonstrate that ensemble methods such as Random Forest and Gradient Boosted Trees can be effectively used to detect cyberattacks in real time, especially in conditions of a limited data set. Promising areas for further work include expanding the dataset to include new types of attacks (e.g. Advanced Persistent Threats, IoT attacks, attacks on cryptographic protocols), as well as integrating deep learning methods (e.g. recurrent neural networks for analyzing network event sequences) to improve the accuracy and adaptability of intrusion detection systems.
The authors declare that there are no conflicts of interest present.