Details

Объектом исследования являются процессы обработки событий безопасности в центрах обеспечения информационной безопасности (SOC). Цель работы — разработка системы обнаружения ложных срабатываний в SOC на основе композиционных моделей машинного обучения. В работе проанализирован процесс обработки событий безопасности и проблема ложных срабатываний, выполнен обзор существующих методов их выявления. Формализованы и реализованы композиционные модели Neural Attention Forest (NAF) и two-level Attention Random Forest (wLARF), объединяющие ансамбли решающих деревьев с механизмом внимания, а также специализированные методы интерпретации на основе SHAP-анализа и поиска прецедентов. Экспериментальная оценка проведена на реальных данных промышленного GSOC компании «Газинформсервис». Модель wLARF достигла значения 𝐹2-меры 0,668, модель NAF — 0,706 при доле ложных срабатываний 4%. Показано преимущество композиционных моделей над градиентным бустингом по адаптивности к дрейфу данных и интерпретируемости. Разработанная система SOMA внедрена в промышленном SOC, обеспечивает снижение нагрузки на аналитиков и сокращение времени обработки инцидентов. Результаты применимы в центрах обеспечения информационной безопасности, использующих системы класса SIEM/SOAR.

The object of research is the processing of security events in security operations centers (SOC). The aim of the work is the development of a false positive detection system in a SOC based on composite machine learning models. The work analyzes the security event processing pipeline and the false positive problem and reviews the existing detection methods. The composite models Neural Attention Forest (NAF) and two-level Attention Random Forest (wLARF), which combine decision tree ensembles with an attention mechanism, are formalized and implemented, together with dedicated interpretation methods based on SHAP analysis and precedent retrieval. The experimental evaluation was carried out on real-world data from the industrial monitoring center GSOC of the Gazinformservice company. The wLARF model achieved an 𝐹2-score of 0.668 and the NAF model 0.706 at a false positive rate of 4%. The composite models are shown to outperform gradient boosting in terms of adaptability to data drift and interpretability. The developed SOMA system has been deployed in an industrial SOC and reduces the analysts’ workload and the incident processing time. The results are applicable in information security monitoring centers that use SIEM/SOAR systems.