МОДЕЛЬ ВЫЯВЛЕНИЯ СЕТЕВЫХ АНОМАЛИЙ В ИНФРАСТРУКТУРЕ ПРАВООХРАНИТЕЛЬНЫХ ОРГАНОВ

Аннотация

Целью данного исследования является разработка и обоснование гибридной модели обнаружения сетевых аномалий, ориентированной на специфические требования информационных систем правоохранительных органов. Ключевым требованием для таких систем является обеспечение максимально высокой достоверности мониторинга, что напрямую связано с необходимостью минимизации ложных положительных срабатываний, отвлекающих операторов и снижающих общую эффективность защиты. Методологическую основу исследования составляет предложенная автором каскадная архитектура, синтезирующая два различных подхода машинного обучения. На первом этапе для первичного анализа и оптимизации признакового пространства применяется метод опорных векторов, гиперпараметры которого настраиваются с использованием алгоритма роя частиц. Результатом работы данного этапа является не только предварительная классификация, но и формирование обогащенного вектора данных, содержащего метрику уверенности модели. Этот вектор поступает на вход второго этапа – одномерной сверточной нейронной сети, которая выполняет углубленный анализ локальных паттернов и нелинейных зависимостей в признаковом пространстве для финального и более точного выявления аномальной активности. В результате проведенного экспериментального исследования подтверждена эффективность предложенной гибридной модели. Компаративный анализ продемонстрировал ее статистически значимое превосходство над базовыми алгоритмами, применяемыми изолированно, по комплексу ключевых метрик, включая точность, полноту и, что наиболее важно, долю ложных срабатываний. Модель показала способность к надежному детектированию сложных аномалий, включая распределенные атаки. Область практического применения полученных результатов непосредственно связана с задачами обеспечения информационной безопасности силовых ведомств. Разработанное решение предназначено для интеграции в качестве ядра аналитического модуля в современные системы обнаружения вторжений и платформы управления событиями безопасности, используемые для мониторинга критической сетевой инфраструктуры.