Исследование механизмов детектирования кибератак с помощью технологий машинного обучения

В условиях растущей сложности киберугроз и увеличения частоты кибератак актуальность разработки эффективных инструментов для автоматического обнаружения вторжений в информационные системы неуклонно возрастает. Традиционные методы защиты, основанные на сигнатурном анализе, часто не справляются с новыми, неизвестными атаками, что стимулирует исследование альтернативных подходов, в том числе методов машинного обучения (ML). В статье рассматривается применение ML для решения задачи бинарной классификации сетевой активности на нормальную и аномальную (кибератаку) с использованием программной платформы KNIME, ориентированной на визуальное проектирование аналитических пайплайнов.Исследование проводилось на общедоступном датасете Cybersecurity Intrusion Detection, включающем 11 признаков, характеризующих сетевой трафик и пользовательское поведение (время активности, протокол передачи данных, размер пакетов, количество подключений, частота запросов и т.д.). Целью работы стало сравнительное изучение эффективности пяти алгоритмов ML: Decision Trees (деревья решений), Naive Bayes (наивный байесовский классификатор), Random Forest (случайный лес), Gradient Boosted Trees (градиентный бустинг на деревьях) и Simple Regression Tree (простое регрессионное дерево). Выбор моделей обусловлен их распространенностью в задачах обнаружения аномалий и различиями в принципах работы: от простых решающих правил (Decision Trees) до ансамблевых методов (Random Forest, Gradient Boosted Trees), объединяющих несколько "слабых" моделей для повышения точности.Для подготовки данных к обучению применялся метод главных компонент (PCA), позволивший сократить размерность признакового пространства с 11 до 3 компонент без существенной потери информации. Это важный шаг, так как избыточность или коррелированность признаков может негативно влиять на качество моделей. Настройка гиперпараметров (например, глубины деревьев, количества деревьев в Random Forest, скорости обучения в Gradient Boosted Trees) и борьба с переобучением осуществлялись через кроссвалидацию, что обеспечило стабильность результатов на новых данных. Эксперименты показали, что наибольшую точность (83.055%) и площадь под ROC-кривой (AUC = 0.811) продемонстрировали алгоритмы Random Forest и Gradient Boosted Trees. Эти результаты объясняются способностью ансамблевых методов учитывать нелинейные зависимости в данных и  устойчивостью  к  шуму,  что   критично   для   задач   кибербезопасности,  где   атаки   могут маскироваться под нормальную активность. Модели Decision Trees и Simple Regression Tree показали более низкие метрики (точность ~75-78%), что связано с их склонностью к переобучению на небольших датасетах. Naive Bayes, предполагающий независимость признаков, также уступил ансамблевым методам, что подтверждает ограниченность предположения о независимости в контексте сетевых данных. Особое внимание уделено этапам работы: от загрузки и визуализации данных (анализ распределения классов, корреляций между признаками) до обучения моделей и интерпретации результатов. Использование KNIME упростило реализацию пайплайна: платформа предоставляет визуальные инструменты для предобработки данных, настройки моделей и оценки их качества, что делает подход доступным для специалистов в области кибербезопасности без глубоких знаний программирования.Результаты исследования вносят вклад в развитие практических приложений ML для защиты информационных систем. Они демонстрируют, что ансамблевые методы, такие как Random Forest и Gradient Boosted Trees, могут эффективно применяться для обнаружения кибератак в режиме реального времени, особенно в условиях ограниченного набора данных. Перспективными направлениями дальнейших работ являются расширение датасета за счет включения новых типов атак (например, Advanced Persistent Threats, IoT-атак, атак на криптографические протоколы), а также интеграция методов глубокого обучения (например, рекуррентных нейронных сетей для анализа последовательностей сетевых событий) для повышения точности и адаптивности систем обнаружения вторжений.

1. Kemmerer R. A. Cybersecurity // 25th International Conference on Software Engineering, 2003. Proceedings. IEEE, 2003. P. 705–715.

2. Biju J. M., Gopal N., Prakash A. J. Cyberattacks and its different types // International Research Journal of Engineering and Technology. 2019. Vol. 6. No. 3. P. 4849–4852.

3. Sabillon R., Cano M. J. J., Serra-Ruiz J., Cavaller V. Cybercrime and cybercriminals: A comprehensive study // International Journal of Computer Networks and Communications Security. 2016. Vol. 4. No. 6. P. 165–176.

4. Najafabadi M. M., Khoshgoftaar T. M., Kemp C., Seliya N., Zuech R. Machine learning for detecting brute force attacks at the network level // 2014 IEEE International Conference on Bioinformatics and Bioengineering. Boca Raton: IEEE, 2014. P. 379–385.

5. Kim J., Song M., Seo M., Jin Y., Shin S. PassREfinder: Credential stuffing risk prediction by representing password reuse between websites on a graph // 2024 IEEE Symposium on Security and Privacy (SP). San Francisco: IEEE, 2024. P. 1385–1404.

6. Doshi R., Apthorpe N., Feamster N. Machine learning ddos detection for consumer internet of things devices // 2018 IEEE Security and Privacy Workshops (SPW). IEEE, 2018. P. 29–35.

7. Jonas M. A., Hossain M. S., Islam R., Narman H. S., Atiquzzaman M. An intelligent system for preventing ssl stripping-based session hijacking attacks // MILCOM 2019-2019 IEEE Military Communications Conference (MILCOM). Norfolk: IEEE, 2019. P. 1–6.

8. Al-Juboori S. A. M., Hazzaa F., Jabbar Z. S., Salih S., Gheni H. M. Man-in-the-middle and denial of service attacks detection using machine learning algorithms // Bulletin of Electrical Engineering and Informatics. 2023. Vol. 12. No. 1. P. 418–426.

9. Stone G., Talbert D., Eberle W. Using Using AI/Machine Learning for Reconnaissance Activities During Network Penetration Testing // International Conference on Cyber Warfare and Security. Academic Conferences International Limited, 2021. P. 541–XIV.

10. Santoso R., Gunawan A. A. S. Detecting Account Takeover (ATO) in Fintech Companies Using Machine Learning // 2024 6th International Conference on Cybernetics and Intelligent System (ICORIS). Surakarta: IEEE, 2024. P. 1–6.

11. Ghafir I., Hammoudeh M., Prenosil V., Han L., Hegarty R., Rabie K., Aparicio-Navarro F. J. Detection of advanced persistent threat using machine-learning correlation analysis // Future Generation Computer Systems. 2018. Vol. 89. P. 349–359.

12. Nath H. V., Mehtre B. M. Static malware analysis using machine learning methods // International Conference on Security in Computer Networks and Distributed Systems. Berlin, Heidelberg: Springer Berlin Heidelberg, 2014. P. 440–450.

13. Zahra F., Jhanjhi N. Z., Khan N. A., Brohi S. N., Masud M., Aljahdali S. Protocol-specific and sensor network-inherited attack detection in IoT using machine learning // Applied Sciences. 2022. Vol. 12. No. 22. P. 11598.

14. Samudrala D. N. K. Cybersecurity Intrusion Detection Dataset // Kaggle. [Electronic resource]. URL: https://www.kaggle.com/datasets/dnkumars/cybersecurity-intrusion-detection-dataset (accessed: 15.03.2025).

15. Mackiewicz A., Ratajczak W. Principal components analysis (PCA) // Computers and Geosciences. 1993. Vol. 19. No. 3. P. 303–342.

16. Nahm F. S. Receiver operating characteristic curve: overview and practical use for clinicians // Korean journal of anesthesiology. 2022. Vol. 75. No. 1. P. 25–36.

17. Charbuty B., Abdulazeez A. Classification based on decision tree algorithm for machine learning // Journal of applied science and technology trends. 2021. Vol. 2. No. 1. P. 20–28.

18. Rigatti S. J. Random forest // Journal of Insurance Medicine. 2017. Vol. 47. No. 1. P. 31–39.

19. Loh W. Y. Classification and regression trees // Wiley interdisciplinary reviews: data mining and knowledge discovery. 2011. Vol. 1. No. 1. P. 14–23.

20. Ye J., Chow J. H., Chen J., Zheng Z. Stochastic gradient boosted distributed decision trees // Proceedings of the 18th ACM conference on Information and knowledge management. 2009. P. 2061–2064.

21. Webb G. I., Keogh E., Miikkulainen R. Naïve Bayes // Encyclopedia of machine learning. 2010. Vol. 15. No. 1. P. 713–714.

22. Berrar D. Cross-validation. Encyclopedia of Bioinformatics and Computational Biology. 2019. Vol. 1. P. 542–545.