Реализация системы обнаружения комплексных компьютерных атак, основанной на анализе действий пользователей, сетевых взаимодействий и сопоставлении обнаруженных аномалий с таксономией техник компьютерных атак

Аннотация

В статье представлена реализация системы обнаружения комплексных компьютерных атак, основанная на анализе действий пользователей, сетевых взаимодействий и сопоставлении обнаруженных аномалий с таксономией компьютерных атак. В системе реализованы модуль формирования и поддержки профиля действий пользователя и многоканальный детектор аномалий, основанный на статистическом и графовом анализе с использованием эвристических правил. Для анализа связанных проявлений активности используется механизм группировки событий, а их интерпретация выполняется модулем сопоставления с таксономией компьютерных атак. Анализ объединённых записей позволяет реконструировать наиболее вероятную последовательность техник злоумышленника. Подсистема хранения данных реализована на основе NoSQL-СУБД «Apache Cassandra». В статье приведён пример работы системы на анонимизированном наборе журналов реального инцидента. Результаты демонстрируют возможность реконструкции временно распределённых цепочек атак в условиях фоновой легитимной активности и неполноты данных.