🚨 Детектор Мережевих Вторгнень — Оцінка Аномалій Наживо

Сигнатурні системи, такі як Snort чи Suricata, звіряють трафік із базою даних відомих патернів атак — конкретна послідовність байтів, відомо шкідлива IP-адреса, певна форма пакета — і можуть виявити лише атаки, які вже були побачені й каталогізовані раніше. Виявлення на основі аномалій натомість будує статистичний профіль того, як виглядає «нормальний» трафік для даної мережі — типова швидкість пакетів, тривалість з'єднань, порти, до яких звертаються, — і позначає все, що сильно відхиляється від цього профілю, незалежно від того, чи бачили точну атаку раніше. Це дозволяє детекторам аномалій виявляти нові або нульового дня патерни атак ціною вищого рівня хибних спрацювань, оскільки незвична, але легітимна поведінка (завдання резервного копіювання, новий сервіс) також може викликати позначення. Реальні розгортання зазвичай накладають обидва підходи.

Кожне симульоване з'єднання описане чотирма ознаками: пакети за секунду (pps), байти на пакет (bpp), тривалість з'єднання в секундах та кількість унікальних портів призначення, до яких звернулися протягом сесії. Ці чотири були обрані, бо вони чисто розділяють дві родини атак, змодельовані тут, без потреби в глибокій інспекції пакетів: сканування портів проявляється як багато унікальних портів, до яких звернулися за дуже короткий час із малими пакетами (bpp низький, pps високий), тоді як ексфільтрація даних проявляється як сесія тривалого часу, що переміщує незвично великі байти на пакет через дуже мало портів. Реальні системи виявлення мережевих вторгнень використовують від десятків до сотень таких ознак рівня потоку (дисперсія часу між приходами, співвідношення TCP-прапорців, ентропія байтів), але чотирьох достатньо, щоб зробити базову статистику — і компроміс хибних спрацювань/пропусків — повністю видимими.

Кожна з чотирьох ознак перетворюється на z-оцінку: zᵢ = (xᵢ − середнєᵢ) / стдᵢ, використовуючи середнє й стандартне відхилення, оцінені наживо з ковзного вікна найновіших з'єднань, які наразі не позначені як аномальні. Бал аномалії тоді — це евклідова норма вектора z-оцінок, бал = √(z₁² + z₂² + z₃² + z₄²) — еквівалент відстані Махаланобіса за спрощувального припущення, що чотири ознаки некорельовані (діагональна матриця коваріації), а не повна матриця коваріації, яку оцінила б виробнича система. З'єднання позначається в момент, коли його бал перевищує поріг чутливості, встановлений повзунком.

Щойно бал перевищує поріг, симуляція дивиться, які окремі z-оцінки спричиняють аномалію. Якщо z-оцінка унікальних портів сильно позитивна, а z-оцінка тривалості сильно негативна, сигнатура відповідає багатьом портам, до яких звернулися за дуже малий час, — класифікується як сканування портів. Якщо z-оцінки байтів на пакет і тривалості обидві сильно позитивні, а унікальні порти залишаються низькими, сигнатура відповідає великій, стійкій, вузькій передачі даних — класифікується як ексфільтрація. Все позначене, що чітко не відповідає жодній сигнатурі, позначається як загальна аномалія. Це відображає те, як реальні аналітики SOC тріажують сповіщення: сирий бал аномалії каже, що щось незвичне, а розбивка ознак каже, яка саме це незвичність.

Зниження порогу позначає більше з'єднань: повнота зростає (менше реальних вторгнень прослизає як хибні пропуски), але точність падає (більше звичайного трафіку хибно позначається як хибне спрацювання — ефект, який аналітики звуть втомою від сповіщень). Підвищення порогу робить протилежне — менше сповіщень, вища точність, але зростаюча ймовірність, що реальні сканування чи сесії ексфільтрації залишаться непозначеними. Немає універсально правильного налаштування: SOC банку може миритися з вищим рівнем хибних спрацювань, щоб виявити більше реальних загроз, тоді як сервіс із невеликою командою безпеки може підняти поріг просто тому, що не може тріажувати потік сповіщень.

Реальний мережевий трафік постійно дрейфує — розгортається новий застосунок, змінюється розклад резервного копіювання, віддалена робота зсуває профіль трафіку за часом доби — явище, зване дрейфом концепції. Детектор, навчений один раз на минулому місячному трафіку й ніколи не оновлюваний, повільно втратить калібрування: або позначаючи дедалі більше нормальної, але нової поведінки як хибні спрацювання, або (гірше) сприймаючи повільну, навмисну атаку як нову норму, бо вона повзла поступово. Переобчислення середнього й стандартного відхилення з ковзного вікна нещодавно непозначених з'єднань дозволяє базовому рівню відстежувати легітимний дрейф, водночас чинячи опір атакам, що прибувають раптовим сплеском, ціною вразливості до зловмисників, які навмисно нарощують поступово настільки повільно, щоб бути поглинутими базовим рівнем, — добре відома вада, іноді звана отруєнням «вареної жаби».

Розгляд чотирьох ознак як некорельованих (сумування незалежних z-оцінок) ігнорує реальні кореляції — наприклад, висока швидкість пакетів і низькі байти на пакет природно мають тенденцію співіснувати в нормальних коротких запитах, тож повна матриця коваріації намалювала б нахилену, еліптичну нормальну область замість вирівняної по осях цієї симуляції й позначала б менше таких природно корельованих точок як аномальні. Виробничі системи йдуть ще далі: ізоляційні ліси, автокодувальники та інші моделі машинного навчання захоплюють нелінійну структуру вищого порядку в десятках ознак і зазвичай поєднуються із сигнатурними правилами, потоками аналітики загроз і людською перевіркою аналітиків, а не покладаються на єдиний статистичний бал ізольовано.

Хибний пропуск — пропущене вторгнення — може означати, що дані справді покидають мережу або точка опори залишається невиявленою, з витратами, що вимірюються в усуненні наслідків витоку, регуляторному впливі та репутаційній шкоді. Хибне спрацювання коштує часу аналітика: комусь доводиться відкрити сповіщення, витягти журнали й дійти висновку, що воно було безпечним. Оскільки час аналітика скінченний, а кожен реальний SOC отримує набагато більше сповіщень, ніж може повністю розслідувати, детектор, налаштований лише на повноту (виявити все), може бути самозгубним, якщо ховає справжні сповіщення під потоком хибних, — саме тому компроміс точності/повноти, який розкриває повзунок порогу цієї симуляції, є центральним операційним рішенням у реальному виявленні вторгнень, а не просто статистичною цікавинкою.