Целью работы является обнаружение компьютерных атак на рабочие станции под управлением ОС семейства Windows. Предметом исследования являются современные методы интеллектуального анализа данных. Задачи, решаемые в ходе исследования: 1. Исследование видов и этапов проведения современных компьютерных атак. 2. Анализ возможных источников данных, используемых при анализе. 3. Исследование методов интеллектуального анализа событий безопасности, применяемых для обнаружения компьютерных атак. 4. Разработка подхода к обнаружению компьютерных атак на рабочие станции под управлением ОС семейства Windows. 5. Разработка системы обнаружения компьютерных атак на Windows-инфраструктуру на основе разработанного подхода и проведение экспериментального исследования точности обнаружения атак. В ходе работы были исследованы этапы проведения компьютерных атак, возможные источники событий безопасности. Были проанализированы современные методы интеллектуального анализа данных. В результате работы была разработана система обнаружения компьютерных атак на рабочие станции под управлением ОС семейства Windows на основе рекуррентной нейронной сети LSTM. Полученные результаты могут быть использованы в качестве основы для проектирования систем обнаружения компьютерных атак на Windows-инфраструктуру организаций.

The topic of the graduate qualification work is «Computer attacks detection based on data mining of security events». The purpose of the study is to detect computer attacks on workstations running Windows OS, using data mining methods of security events. The subject of the work is modern methods of data mining. The research set the following goals: 1. Studying of types and ways of carrying out modern computer attacks. 2. Analysis of possible data sources used in the analysis of security events. 3. Studying of data mining methods of security events used to detect computer attacks. 4. Development of an approach to detecting computer attacks on workstations running Windows OS family. 5. Software implementation of a system for detecting computer attacks on Windows infrastructure based on the developed approach and conducting an experimental study of the accuracy of attack detection. During the work the stages of computer attacks and possible sources of security events were investigated. Modern data mining methods for detecting computer attacks were analyzed. The work resulted in development of a system for detecting computer attacks on workstations running Windows OS based on a recurrent neural network LSTM was developed. The results could be used as a basis for designing systems for detecting computer attacks on the Windows infrastructure of organizations.

• РЕФЕРАТ
• Содержание
• Определения, обозначения и сокращения
• введение
• 1 ИССЛЕДОВАНИЕ ВИДОВ и этапов проведения современных компьютерных атак
  • 1.1 Виды компьютерных атак
    • 1.1.1 DoS и DDoS
    • 1.1.2 Фишинг
    • 1.1.3 Атака на цепочку поставок
    • 1.1.4 Заражение вредоносным программным обеспечением
    • 1.1.5 Man-in-the-middle
    • 1.1.6 Атаки на веб-приложения
    • 1.1.7 Целевые атаки
  • 1.2 Cyber-Kill Chain
  • 1.3 MITRE ATT&CK
  • 1.4 Выводы
• 2 Анализ возможных источников данных, используемых при анализе событий безопасности
  • 2.1 Возможные источники событий в ОС семейства Windows
  • 2.2 Журнал системного мониторинга (Sysmon)
  • 2.3 Журнал событий безопасности (Security Log)
  • 2.4 Журналы PowerShell
  • 2.5 Выводы
• 3 Исследование методов интеллектуального анализа событий безопасности, применяемых для обнаружения компьютерных атак
  • 3.1 Понятие интеллектуального анализа
  • 3.2 Интеллектуальный анализ данных в сфере информационной безопасности
  • 3.3 Системы обнаружения компьютерных атак
  • 3.4 Методы интеллектуального анализа, применяемые для обнаружения компьютерных атак
    • 3.4.1 Ассоциация
      • 3.4.1.1 Априорный алгоритм
      • 3.4.1.2 Алгоритм FP-Growth
    • 3.4.2 Классификация
      • 3.4.2.1 Наивный байесовский алгоритм
      • 3.4.2.2 Метод опорных векторов (SVM)
      • 3.4.2.3 Деревья решений
      • 3.4.2.4 Random Forest
    • 3.4.3 Кластеризация
      • 3.4.3.1 Алгоритм k-средних
      • 3.4.3.2 Иерархическая кластеризация
  • 3.5 Выводы
• 4 Разработка подхода к обнаружению компьютерных атак на рабочие станции под управлением операционных систем семейства Windows
  • 4.1 Описание предложенного подхода
  • 4.2 Рекуррентные нейронные сети LSTM
  • 4.3 Выводы
• 5 Разработка системы обнаружения компьютерных атак на Windows-инфраструктуру на основе разработанного подхода
  • 5.1 Архитектура разрабатываемой системы
  • 5.2 Реализация SIEM
  • 5.3 Реализация IRP
  • 5.4 Реализация модуля интеллектуального анализа
  • 5.5 Исследование точности разработанного метода обнаружения компьютерных атак
  • 5.6 Выводы
• заключение
• список использованных источников