Details

Целью работы является обнаружение аномалий в пользовательской активности посредством применения поведенческого анализа. Предметом исследования являются методы обнаружения аномального поведения пользователей с применением поведенческого анализа. Задачи, решаемые в ходе исследования: 1. Определить вектор анализируемых внутренних угроз информационной безопасности и модель внутреннего нарушителя 2. Провести анализ подходов поведенческого анализа для обнаружения аномальной пользовательской активности. 3. Разработать программный прототип обнаружения инсайдерских угроз на основе поведенческого анализа. 4. Оценить результаты разработанного прототипа. В ходе работы были исследованы подходы поведенческого анализа и их применение в реализации систем обнаружения аномалий в современных исследованиях.  В результате работы был разработан программный компонент, определяющий отклонения в поведении пользователей и основывающийся на статистическом подходе поведенческого анализа. Данный компонент был протестирован на определение инсайдерских угроз по выявленным аномалиям. Полученные результаты могут быть использованы в качестве основы для проектирования систем обнаружения инсайдерских угроз.

The purpose of the study is to detect anomalies in user activity through the use of behavioral analysis. The subject of the work is methods for detecting abnormal user behavior using behavioral analysis. The research set the following goals: 1. Determine the vector of analyzed internal threats to information security and the model of the internal violator 2. Conduct an analysis of behavioral analysis methods to detect abnormal user activity. 3. To develop a software prototype for detecting insider threats based on behavioral analysis. 4. Evaluate the results of the developed prototype. During the work behavioral analysis approaches and their application in the implementation of anomaly detection systems in modern research were investigated. As a result of the work, a software component was developed that determines deviations in user behavior and is based on a statistical approach of behavioral analysis. This component has been tested to identify insider threats based on the identified anomalies. The results could be used as a basis for designing insider threat detection system.

• РЕФЕРАТ
• ABSTRACT
• Содержание
• оПРЕДЕЛЕНИЯ, ОБОЗНАЧЕНИЯ, СОКРАЩЕНИЯ
• ВВЕДЕНИЕ
• 1 Понятие нелигитимного поведения пользователя
  • 1.1 Рассматриваемый тип нарушителя
  • 1.2 Виды внутренних угроз
  • 1.3 Существующие подходы к выявлению внутренних угроз
    • 1.3.1 Классификация этапов применения мер противодействия
    • 1.3.2 Классификация систем обнаружения внутренних угроз
    • 1.3.3 Подходы, применимые для обнаружения аномалий
    • 1.3.4 Определение модели рассматриваемых угроз
• 2 ОСНОВЫ ПОВЕДЕНЧЕСКОГО АНАЛИЗА
  • 2.1 Понятие поведенческого анализа
  • 2.2 Подходы поведенческого анализа
    • 2.2.1 Статистический подход
    • 2.2.2 Энтропийный подход
    • 2.2.3 Фрактальный анализ
    • 2.2.4 Спектральный анализ
  • 2.3 Шаблоны поведения пользователей
  • 2.4 Системы, использующие поведенческий анализ
    • 2.4.1 Принцип работы систем класса UBA
    • 2.4.2 Анализ одного из решений класса UBA
  • 2.5 Оценка подходов поведенческого анализа
• 3 ИССЛЕДОВАНИЕ РЕАЛИЗОВАННЫХ методов c применением поведенческого анализа для обнаружения аномалий
  • 3.1 Исследовательские работы
  • 3.2 Сравнительная характеристика проанализированных подходов
  • 3.3 Обоснование выбора метода реализации
• 4 РАЗРАботка системы обнаружения АНОМАЛЬНОГО поведения
  • 4.1 Требования, которым должна соответствовать разработанная схема
  • 4.2 Набор данных
    • 4.2.1 Выбор набора данных
    • 4.2.2 Содержание набора данных
    • 4.2.3 Проблема несбалансированности набора данных
    • 4.2.4 Сбор данных и выделение признаков
    • 4.2.5 Уменьшение размерности признаков
      • 4.2.5.1 XGBoost
      • 4.2.5.2 Random Forest
    • 4.2.6 Решение проблемы несбалансированности данных
      • 4.2.6.1 SMOTE
      • 4.2.6.2 Проверка сгенерированных данных
  • 4.3 Выявление аномалий
  • 4.4 Результаты работы
• Заключение
• СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ
• ПРИЛОЖЕНИЕ. выделенные признаки пользователЬской активности