Гібридний метод виявлення аномалій у логічних кластерах кібервразливостей з використанням ансамблю моделей машинного навчання

Анотація

У роботі запропоновано гібридний метод виявлення аномалій, заснований на логічній кластеризації вразливостей та застосуванні методів машинного навчання. Вихідні дані містять інформацію про вразливість програмного забезпечення, включаючи метрики CVSS, рівні критичності, типи CWE, тимчасові характеристики та приналежність до логічних груп, сформованих на основі OWASP Top Ten.
На першому етапі проводиться аналіз даних та формування додаткових тимчасових характеристик. Далі виконується логічна кластеризація вразливостей, що дозволяє розділити дані на семантично однорідні групи, такі як Broken Access Control, Injection, Cryptography & Data Protection, Configuration & Design Weaknesses, Authentication and Mishandling Failures та Software Failures. Такий підхід дозволяє знизити гетерогенність даних та підвищити якість подальшого аналізу.
На другому етапі застосовується метод виявлення аномалій Isolation Forest, який використовується для виявлення нетипових вразливостей всередині кожного кластера. Отримані результати використовуються як псевдо-мітки для навчання ансамблевих моделей машинного навчання, включаючи Decision Tree, Random Forest та Gradient Boosting. Дані моделі використовуються для класифікації аномалій та оцінки їх передбачуваності на основі простору ознак, що включає CVSS-метрики, оцінку експлуатаційності, оцінку впливу та часові характеристики.
Для оцінки якості моделей використовувалися метрики Accuracy, Precision, Recall, F1-score та Log Loss. Результати експериментів показали, що Gradient Boosting демонструє найкращу якість на великих вибірках, тоді як Random Forest показує стабільніші результати на малих кластерах. Decision Tree має високу інтерпретованість, але схильний до перенавчання та має погану здатність до узагальнення даних у порівнянні з іншими моделями.
Запропонований гібридний метод дозволяє підвищити точність виявлення аномалій завдяки запропонованим семантично однорідним кластерам та використанню ансамблю моделей.
Результати дослідження можуть бути використані у системах моніторингу інформаційної безпеки та управління інцидентами, а також при розробці інтелектуальних систем прогнозування, спрямованих на виявлення аномальних подій та моделювання динаміки поширення вразливостей.