Метод зниження хибних спрацювань у системах виявлення вторгнень на основі порогової фільтрації та GRADIENT BOOSTING

Abstract

Зростання кількості та складності кіберзагроз зумовлює необхідність підвищення ефективності систем виявлення вторгнень. Практичне використання таких систем суттєво ускладнюється високим рівнем хибних спрацювань, який призводить до перевантаження фахівців з безпеки. Метою роботи є розробка методу зниження хибних спрацювань у системах виявлення мережевих вторгнень, що забезпечує оптимальний баланс між точністю класифікації, обчислювальною ефективністю та практичною придатністю для розгортання у реальних мережевих середовищах. Запропонований метод базується на поєднанні алгоритму градієнтного бустингу LightGBM із механізмом адаптивної порогової фільтрації з fallback-класом. В роботі розроблено мікросервісну архітектуру системи на базі контейнеризації Docker, яка включає п'ять основних компонентів: CICFlowMeter для формування потоків, Converter для конвертації форматів, Agent для батчування подій, API Server для класифікації та Dashboard для візуалізації результатів. Ключовою науковою новизною є алгоритм адаптивної порогової фільтрації, що використовує індивідуальні порогові значення для кожного класу атак та механізм автоматичного повернення до класу BENIGN у разі недостатньої впевненості моделі. Експериментальні дослідження, виконані на публічному датасеті CIC-IDS2017, показали що запропонований метод забезпечує точність класифікації на рівні F1-score = 0.949 при рівні хибних спрацювань 2.1%, що становить зниження на 74% порівняно з базовою моделлю LightGBM без постобробки. У порівнянні з багатошаровою нейронною мережею MLP запропоноване рішення забезпечує вищу точність при чотириразовому скороченні часу навчання та майже вдвічі швидшому інференсі. Також досліджено внесок кожного компонента запропонованої системи у точність виявлення кібератак. Результати тестування на різних типах атак показали найкращу ефективність виявлення для DDoS, PortScan та DoS-атак. Практична значущість роботи полягає у можливості застосування запропонованого методу в реальних системах виявлення вторгнень без потреби у графічних прискорювачах, що робить його придатним для організацій з обмеженими обчислювальними ресурсами.