---

Итоговая аттестационная работа

AI-SOC: Интеллектуальная система поддержки принятия решений и автоматизированного реагирования на инциденты информационной безопасности

Введение

В настоящее время информационные системы организаций ежедневно подвергаются большому количеству кибератак различного уровня сложности. Традиционные методы мониторинга безопасности основаны на ручном анализе журналов событий, сетевого трафика и уведомлений средств защиты информации. Такой подход требует значительных временных затрат и не позволяет оперативно реагировать на возникающие угрозы.

Для решения данной проблемы предлагается разработка интеллектуальной системы поддержки принятия решений и автоматизированного реагирования на инциденты информационной безопасности AI-SOC (Artificial Intelligence Security Operations Center). Система использует современные методы искусственного интеллекта, машинного обучения и обработки естественного языка для анализа больших объемов данных в режиме реального времени, выявления аномалий и автоматического формирования рекомендаций по реагированию на угрозы.

---

1. Архитектура системы

Общая архитектура

Предлагаемая система строится по микросервисному принципу и включает несколько функциональных уровней:

1. Уровень сбора данных.
2. Уровень обработки и хранения данных.
3. Уровень искусственного интеллекта.
4. Уровень автоматического реагирования.
5. Уровень визуализации и взаимодействия с пользователем.

Источниками данных выступают системные журналы операционных систем, журналы межсетевых экранов, системы обнаружения вторжений, средства антивирусной защиты, сетевой трафик и базы данных известных уязвимостей.

Все данные поступают в централизованный конвейер обработки через брокер сообщений Apache Kafka. Использование Kafka позволяет обеспечить высокую пропускную способность системы и устойчивость к отказам отдельных компонентов.

После поступления данные обрабатываются средствами Apache Spark Streaming. На данном этапе осуществляется очистка данных, нормализация форматов событий, удаление дубликатов и подготовка признаков для дальнейшего анализа моделями искусственного интеллекта.

Подготовленные данные сохраняются в двух типах хранилищ.

Data Lake реализуется на основе MinIO и предназначен для хранения необработанных логов, сетевых пакетов и архивной информации. Такой подход позволяет сохранить исходные данные для последующего анализа и переобучения моделей.

Для хранения агрегированных данных, признаков моделей и информации об инцидентах используется PostgreSQL. Данное решение обеспечивает быстрый доступ к структурированной информации и поддержку сложных аналитических запросов.

Конвейер обработки данных

Процесс обработки данных состоит из следующих этапов:

Сбор данных → Kafka → Spark Streaming → Нормализация → Хранилище данных → Модели ИИ → Система реагирования.

На этапе нормализации данные различных источников приводятся к единому формату. Это позволяет использовать общие алгоритмы анализа независимо от происхождения информации.

Интеграция через API

Для взаимодействия с внешними системами безопасности реализуется REST API.

Основные методы:

POST /incident – регистрация нового инцидента;

POST /response – выполнение действия реагирования;

GET /threats – получение списка обнаруженных угроз;

GET /statistics – получение статистической информации.

API обеспечивает интеграцию с SIEM, EDR, IDS/IPS и другими корпоративными средствами защиты информации.

Безопасность самой системы

Для защиты компонентов системы используются следующие механизмы:

- шифрование данных посредством TLS 1.3;
- аутентификация через OAuth 2.0;
- авторизация на основе ролевой модели RBAC;
- журналирование действий пользователей;
- резервное копирование данных;
- сегментация сетевой инфраструктуры.

Применение перечисленных механизмов позволяет минимизировать риск компрометации самой системы мониторинга безопасности.

---

2. Продвинутые модели искусственного интеллекта и методы оптимизации

Моделирование данных

Для обучения моделей используются несколько категорий данных.

Первая категория представляет собой последовательности событий безопасности. Например, успешные и неуспешные попытки входа пользователей в систему.

Вторая категория включает числовые характеристики сетевого трафика:

- количество пакетов;
- объем переданных данных;
- продолжительность соединения;
- число подключений.

Третья категория состоит из текстовых данных:

- описания уязвимостей CVE;
- отчеты аналитиков;
- сведения из баз знаний угроз.

Модель обнаружения аномалий

Для обнаружения аномалий предлагается использовать нейронную сеть LSTM (Long Short-Term Memory).

Выбор данной модели обусловлен тем, что журналы событий представляют собой временные последовательности. LSTM хорошо выявляет отклонения от нормального поведения пользователей и информационных систем.

Например, если пользователь обычно работает из определенного региона, а затем внезапно выполняет вход из другой страны, модель определяет это событие как потенциальную угрозу.

Преимущества модели:

- высокая точность анализа последовательностей;
- способность учитывать долгосрочные зависимости;
- эффективность при работе с потоковыми данными.

Модель классификации атак

Для определения типа обнаруженной атаки предлагается использовать алгоритм XGBoost.

В качестве входных параметров используются характеристики сетевого трафика и события безопасности.

Модель классифицирует инциденты по следующим категориям:

- DDoS-атака;
- перебор паролей (Brute Force);
- сканирование портов;
- вредоносное программное обеспечение;
- фишинговая активность.

XGBoost выбран благодаря высокой скорости обучения, хорошей точности и возможности объяснения результатов.

Автоматическая настройка гиперпараметров

Для оптимизации параметров моделей применяется библиотека Optuna.

Автоматическая настройка позволяет подобрать оптимальные значения:

- глубины деревьев;
- скорости обучения;
- количества нейронов;
- размера обучающих выборок.

Использование автоматизированного подбора гиперпараметров повышает качество моделей и снижает вероятность ошибок настройки.

Интерпретируемость моделей

Для объяснения решений используется технология SHAP.

Данный метод позволяет определить, какие признаки оказали наибольшее влияние на итоговое решение модели.

Например, система может показать, что высокий риск атаки был определен из-за большого количества соединений, длительности сеанса и необычного IP-адреса.

Это повышает доверие специалистов к работе искусственного интеллекта и облегчает расследование инцидентов.

---

3. Применение специализированных направлений искусственного интеллекта

Использование больших языковых моделей

Большие языковые модели (LLM) используются для анализа текстовой информации.

Источниками данных выступают:

- отчеты аналитиков SOC;
- описания уязвимостей CVE;
- базы знаний MITRE ATT&CK;
- публикации о новых угрозах.

LLM автоматически извлекает ключевую информацию, определяет потенциальные риски и формирует рекомендации по устранению угроз.

Дополнительно модель способна генерировать краткие сводки для специалистов.

Пример автоматически сформированного отчета:

«За последние сутки зафиксировано 25 попыток перебора паролей. Основным источником угроз является IP-адрес из внешней сети. Рекомендуется временно заблокировать источник активности и провести аудит учетных записей пользователей».

Интеллектуальные агенты

Для автоматизации реагирования используются интеллектуальные агенты.

Агент получает решение модели искусственного интеллекта и выполняет заранее определенный сценарий действий.

Например, если вероятность вредоносной активности превышает 95 %, агент автоматически:

- блокирует IP-адрес на межсетевом экране;
- создает заявку в системе Service Desk;
- отправляет уведомление специалистам безопасности;
- сохраняет информацию в журнал аудита.

Использование агентов позволяет значительно сократить время реагирования на инциденты и уменьшить нагрузку на аналитиков.

---

4. Разработка и развертывание решения

Развертывание моделей в виде микросервисов

Каждая модель искусственного интеллекта реализуется как отдельный микросервис.

Основные сервисы:

- Anomaly Service;
- Attack Classification Service;
- LLM Service;
- Response Service.

Между сервисами осуществляется взаимодействие через REST API.

Такой подход обеспечивает независимое обновление и масштабирование компонентов.

Контейнеризация

Для упаковки приложений используются контейнеры Docker.

Контейнер содержит:

- программный код;
- зависимости;
- обученную модель;
- конфигурационные файлы.

Использование Docker обеспечивает переносимость решения между различными вычислительными средами.

Оркестрация и масштабирование

Для управления контейнерами используется Kubernetes.

Основные преимущества:

- автоматическое масштабирование;
- балансировка нагрузки;
- автоматический перезапуск отказавших сервисов;
- обеспечение высокой доступности системы.

При увеличении количества событий безопасности Kubernetes автоматически запускает дополнительные экземпляры сервисов анализа.

Мониторинг и логирование

Для мониторинга используется Prometheus.

Система собирает показатели:

- загрузка процессора;
- использование памяти;
- задержка ответа сервисов;
- точность моделей.

Визуализация показателей осуществляется через Grafana.

Для централизованного логирования применяется стек ELK (Elasticsearch, Logstash, Kibana).

Все действия пользователей и компонентов системы сохраняются для проведения аудита и расследования инцидентов.

Интерфейс аналитика

Для взаимодействия специалистов с системой реализуется веб-дашборд.

На панели отображаются:

- активные угрозы;
- статистика атак;
- уровень риска;
- рекомендации искусственного интеллекта;
- история инцидентов.

Наличие визуального интерфейса позволяет быстро оценивать текущую ситуацию и принимать управленческие решения.

---

Выводы и дальнейшее развитие

В результате выполнения проекта была разработана концепция интеллектуальной системы AI-SOC для мониторинга и предотвращения инцидентов информационной безопасности.

Предложенное решение обеспечивает автоматизированный сбор данных, интеллектуальный анализ событий, обнаружение аномалий, классификацию атак и выполнение действий по реагированию на угрозы.

Использование современных технологий машинного обучения, больших языковых моделей и интеллектуальных агентов позволяет существенно повысить эффективность работы подразделений информационной безопасности и сократить время реагирования на инциденты.

В дальнейшем возможно развитие системы за счет внедрения графовых нейронных сетей для анализа взаимосвязей между объектами инфраструктуры, применения методов обучения с подкреплением для выбора оптимальной стратегии реагирования и интеграции с международными платформами Threat Intelligence для получения актуальной информации о новых угрозах.