Вестник УрФО. Безопасность в информационной сфере

Марковское моделирование последовательности действий как источник дополнительных признаков для детектирования автоматизированных средств подмены пользователя

Наталья Сергеевна Афанасьева — 2026-10-30

Предложенное ранее автором признаковое пространство для детектирования автоматизированных средств подмены пользователя (ботов) описывает непрерывную геометрическую форму траектории движения мыши, но не рассматривает последовательность типов действий (перемещение, клик, прокрутка) как самостоятельный источник признаков. В настоящей работе последовательность действий смоделирована марковской цепью первого порядка. На ее основе построено отдельное признаковое пространство, сопоставленное с траекторным и их объединением. Показано, что признаки на основе действий сами по себе дают низкое качество классификации (F1-мера по классу «бот» – 0,319, у траекторных признаков – 0,837), однако их добавление к траекторным признакам дает прирост полноты (recall) с 0,937 до 0,947 и F1-меры с 0,837 до 0,844. При этом независимое ранжирование важности признаков методом SHAP в объединенном пространстве показывает, что верхние позиции занимают именно признаки на основе кликов, а не траекторные. Анализ параметров марковской цепи объясняет эту особенность – вероятность повторного клика подряд у скриптов на основе Selenium составляет 43,6–65,5%, когда у реальных пользователей и прежде изученных ботов это значение колеблется в пределах16,0–21,5%.

Современные методы федеративного обучения: сравнительный анализ эффективности и устойчивости

Вера Аркадьевна Частикова — 2026-10-30

В данной статье рассматриваются методы и алгоритмы в модели федеративного обучения, а также проводится сравнительный анализ при условии наличия во время обучения гетерогенных данных. Особое внимание уделяется таким алгоритмам и их расширениям, как FedAvg, FedProx, SCAFFOLD, FedNova, FedOpt, FLTrust и LoRA-FL. При работе были использованы следующие метрики: точность обучения, скорость сходимости, устойчивость к атакам типа Byzantine и эффективность работы при гетерогенных данных. Результатом работы является выявление преимуществ алгоритмов, а также перспективные направления развития модели федеративного обучения.

Реализация системы обнаружения комплексных компьютерных атак, основанной на анализе действий пользователей, сетевых взаимодействий и сопоставлении обнаруженных аномалий с таксономией техник компьютерных атак

Дмитрий Юрьевич Мельников — 2026-10-30

В статье представлена реализация системы обнаружения комплексных компьютерных атак, основанная на анализе действий пользователей, сетевых взаимодействий и сопоставлении обнаруженных аномалий с таксономией компьютерных атак. В системе реализованы модуль формирования и поддержки профиля действий пользователя и многоканальный детектор аномалий, основанный на статистическом и графовом анализе с использованием эвристических правил. Для анализа связанных проявлений активности используется механизм группировки событий, а их интерпретация выполняется модулем сопоставления с таксономией компьютерных атак. Анализ объединённых записей позволяет реконструировать наиболее вероятную последовательность техник злоумышленника. Подсистема хранения данных реализована на основе NoSQL-СУБД «Apache Cassandra». В статье приведён пример работы системы на анонимизированном наборе журналов реального инцидента. Результаты демонстрируют возможность реконструкции временно распределённых цепочек атак в условиях фоновой легитимной активности и неполноты данных.

Комплексный подход к оценке защищенности информационной инфраструктуры на базе Astra Linux: от анализа ОС до динамического тестирования веб приложений с ИИ

Дмитрий Алексеевич Кожемяков — 2026-10-30

В статье предложен комплексный подход к оценке защищённости информационной инфраструктуры на базе Astra Linux Special Edition, в основанный на результатах анализа нормативно-правовой базы, архитектурных механизмов защиты ОС (мандатного управления доступом PARSEC, контроля недекларированных возможностей), методов динамического тестирования угроз веб-приложений, в том числе, использующие генеративные ИИ-модели. В предложенном подходе ИТ-инфраструктура рассматривается как единая система, для защиты которой совместно используются результаты сравнительного и структурно-функционального анализа нормативных требований, учитываются архитектурные особенности используемой ОС, а также особенности методов оценки защищённости ИТ-инфраструктуры и соответствующих программно-аппаратных средств , что отличает его от других известных подходов, которые ориентированы либо на формальную верификацию механизмов доверенных ОС, либо на обнаружение в сетевом трафике и веб-приложениях признаков компьютерных атак. Можно ожидать, что предложенный подход окажется востребованным при разработке специализированных средств оценки защищённости и визуализации рисков для государственных информационных систем и объектов критической информационной инфраструктуры.

Архитектура биометрической авторизации в информационных системах

Никита Александрович Южаков — 2026-10-30

Обеспечение надёжного контроля доступа остаётся фундаментальной задачей информационной безопасности. Эволюция архитектуры программного обеспечения в сторону микросервисов увеличивает поверхность атаки и требует внедрения новых архитектурных паттернов разграничения дoступа. В то же время классическая парольная аутентификация демонстрирует недостаточную устойчивость к современным угрозам, уступая место биометрическим технологиям. В работе проведён систематический анализ недостатков существующих архитектурных паттернов авторизации (децентрализованный, централизованный с удалённым PDP, централизованный со встроенным PDP) применительно к интеграции биометрических методов. Выявлены конкретные разрывы: отсутствие метрик обновления биометрических политик, незащищённость от replay-атак в веб-среде, нeадаптированность обманных сценариев к микросервисной архитектуре. Для каждого недостатка предложен способ устранения: метрика Policу Update Cost (PUС), протокол привязки биометрического семпла к TLS-сессии, распределённый honeypattern-механизм. Сформулированы практические рекомендации для архитекторов ИБ, позволяющие реализовать принцип defensе in depth.

Таксономия Corsar: классификация методов обхода ограничений в языковых моделях по механизму воздействия

Кирилл Романович Смирнов — 2026-10-30

Атаки, направленные на обход встроенных механизмов безопасности больших языковых моделей с целью получения ответов на запрещенные запросы, известные также как «jailbreak-атаки», являются критически актуальной и быстро развивающейся угрозой. С переходом цифровой индустрии к использованию сложных ИИ-агентов, опасность таких атак значительно возросла. Простая генерация запрещенного текста сменилась риском компрометации информационных систем. Для совершенствования механизмов защиты необходимо структурирование методов реализации атак. Существующие таксономии атак рассматривают запрос как неделимую единицу, классифицируя его исключительно по внешним признакам, что приводит к пересечению категорий и не объясняет механизмов обхода защиты. Целью работы является разработка новой классификации атак на большие языковые модели. Предложена таксономия CORSAR, основанная на декомпозиции атак на атомарные приемы по механизму воздействия на модель. Если выполняемая атака сочетает несколько приемов, то она раскладывается на части, каждая из которых рассматривается как самостоятельная единица анализа. Группировки основана на природе работы техники. Использование в качестве основы классификации применяемых атакующим приемов минимизирует пересечения между категориями и делает их близкими к ортогональным. В рамках таксономии выделено шесть независимых категорий, разделенных на 20 подкатегорий, каждая из которых содержит набор конкретных техник. Предложенная классификация позволит формировать профиль угрозы для большой языковой модели, что даст возможность создания более гибких механизмов защиты.