Защита лабораторной работы_ AI Security Monitor

1.

ЗАЩИТА ЛАБОРАТОРНОЙ РАБОТЫ
AI Security Monitor
Двухмодульный сквозной конвейер выявления сетевых аномалий и веб-атак на основе машинного
обучения
Модуль 1
Модуль 2
Network Traffic Analytics
NLP HTTP-Request Inspector

2.

АРХИТЕКТУРА СИСТЕМЫ
Конвейер обработки данных и сквозной поток
1. Данные
2. Модели ML
3. Единая схема
4. Мониторинг
Загрузка сетевых дампов и HTTP-
Isolation Forest, Random Forest, TF-IDF
Стандартизация алертов (event_id,
Сводный Dashboard и безопасный
логов, очистка от дублей и NaN.
+ Logistic Regression.
module, status, review_flag).
экспорт CSV (Anti-Formula Injection).

3.

МОДУЛЬ 1: СЕТЕВОЙ ТРАФИК
Двухуровневое выявление аномалий и атак
Isolation Forest (Unsupervised)
Random Forest (Supervised)
• Обучается только на легитимном трафике (BENIGN).
• Обучается на размеченных классах угроз.
• Выделяет неизвестные статистические аномалии.
• Использует подбор гиперпараметров GridSearchCV.
• Результат: 100% обнаружение PortScan.
• Результат: Точная классификация известных сигнатур.

4.

АНАЛИЗ ОШИБОК
Ложные срабатывания и пропуски (IF vs RF)
Ложные тревоги (False Positives)
Пропуски атак (False Negatives)
Isolation Forest помечает «тяжелую» норму как аномалию при передачи пакетов
DoS и SSH-брутфорс, маскирующиеся под стандартный поток, пропускаются
> 100 единиц.
моделью без учителя.
Гибридный регламент проверки (needs_review)
При разногласии прогнозов Isolation Forest и Random Forest событие автоматически получает флаг needs_review=True и отправляется на ручной анализ оператору SOC.

5.

МОДУЛЬ 2: АНАЛИЗ HTTP-ЗАПРОСОВ
Детекция веб-атак: SQL Injection & XSS
TF-IDF по char_wb (2–5)
Векторизация подстрок с сохранением спецсимволов. Очищается только
стандартный URL-шум.
// Пример нормализации запроса:
- /item?id=5%2520UNION%2520SELECT
+ /item?id=5 UNION SELECT
Выбор модели
Логистическая регрессия опережает Наивный Байес по устойчивости и качеству
(F1 ≥ 0.90).
// Объяснение вердикта (Explainability):
Признаки атаки: 'UNION', 'SELECT', "' OR '1'='1"

6.

НАДЕЖНОСТЬ МОДЕЛЕЙ
Устойчивость к обфускации и «трудная» норма
100%
100%
100%
Устойчивость к ВЕРХНЕМУ РЕГИСТРУ
Устойчивость к URL-кодированию
Устойчивость к лишним пробелам
Тестирование на датасете Hard-Benign (24 запроса)
Проведена оценка FPR на сложной легитимной норме (запросы с техническими терминами, спецсимволами и брендами). Уровень ложных срабатываний Логистической
Регрессии удовлетворяет условию ≤ 25%.

7.

ЦЕНТР МОНИТОРИНГА
Консолидированная панель и инциденты
Метрика KPI
Значение
Всего обработано событий
12 000+
Безопасный экспорт (N5)
Экспорт данных защищен от атак Formula Injection. Символы, запускающие
исполнение кода в Excel, автоматически экранируются:
Сформировано алертов
Высокое
Требует ручной проверки
needs_review
Статус прогноза
Не подтверждено
=cmd|' /C calc'!A0 → '=cmd|' /C calc'!A0
+1+1 → '+1+1

8.

РЕЗУЛЬТАТЫ
Выполнение критериев приемки ТЗ
№
Критерий ТЗ
Показатель
Статус
1
Random Forest macro-F1 ≥ 0.85
~0.99
Выполнено
2
Isolation Forest FPR на BENIGN ≤ 0.20
≤ 0.20
Выполнено
3
Logistic Regression macro-F1 ≥ 0.90
~0.99
Выполнено
4
LogReg ≥ Naive Bayes по качеству
Да
Выполнено
5
FPR на hard-benign ≤ 25%
Выполнено
Выполнено

9.

Лабораторная работа готова к защите
Система AI Security Monitor продемонстрировала высокую эффективность в обнаружении сетевых аномалий и веб-атак,
полностью выполнив все требования ТЗ.
Все результаты признаны предварительным прогнозом модели