Determination of Parameters of Hidden Threats of Early Detection in Information Systems for Machine Learning Tasks

Full Text

ВВЕДЕНИЕ

Все предприятия оснащены модульными сервисами обработки, анализа и выдачи данных. Управление ресурсами компании осуществляется через системы класса ERP, такие как SAP, 1C и многие другие. SAP строит стратегию для модулей закупкой товаров, введением базы клиентов, складским учетом, финансовой отчетностью, управлением инвестиций и т.д. В отличие от SAP, 1C основательно управляет документооборотом организации и на основе этого составляет бизнес – сценарий. От данных применяемых и обрабатываемых корпоративными системами зависят отчетности, прибыль, производительность, логистика и оборудование [1]. Но из-за неисправностей внутренние ресурсы останавливаются, часто возникают ошибки и есть риск потери данных. Так страдают более 75% предприятий и становятся не конкурентно способны в своей области.

Один из ключевых аспектов при обзоре литературы в области исследования методов и алгоритмов интеллектуального анализа, обнаружения признаков являются: анализ известных методов обнаружения, анализ методов и алгоритмов интеллектуальных инструментов. Остановимся на разработках, специализирующихся в области анализа угроз с помощью искусственных нейронных сетей. Такие средства поиска скрытых атак в информационных системах распределены на составляющие обработки данных, применения алгоритма и методики обнаружения во внутренних процессах информационных систем. Интеллектуальная система мониторинга уязвимостей безопасности сети беспроводной связи с машинным обучением разработана в Московском техническом университете связи и информатики [2]. Данная система создана для решения проблем низкой точности мониторинга и трудоемкость. Эффективность данной системы, как написали авторы, повышается за счет использования алгоритмов машинного обучения. Также алгоритмы направлены только на увеличение производительности в целом.

Описанные критерии использования технологий искусственного интеллекта позволяют его внедрять в методики обнаружения, например [3]:

• улучшение аутентификации;
• предотвращение фишинговых атак;
• обнаружение атак социальной инженерии;
• предиктивная аналитика;
• идентификация интеллектуальных атак и др.

Аналитико-интеллектуальные системы для обнаружения интеллектуальных атак предусматривают анализ признаков в информационных системах с учетом периодичности их появления.

В данной статье «Кибербезопасность в контексте искусственного интеллекта» четко поставлены границы использования новых методик для обнаружения в системах и локализации угроз [4]. Данные технологии позволяют усовершенствовать поиск сценариев скрытых зависимостей, а также признаков. Само признаковое пространство строиться на основе сценария атак.

Главной проблемой в усовершенствовании методов и алгоритмов для систем распознавания угроз является не использование и не принятия во внимания важных факторов исследования скрытых угроз, обработки главных компонент признакового пространства и изменения составляющих используемых методов интеллектуального анализа. Соответственно целью исследования является исследование параметров скрытых угроз преимущественно для подготовки датасета и базы знаний. Которые в свою очередь применяется для новых алгоритмов и методики интеллектуального анализа параметров скрытых угроз.

Таким образом задачи исследования для анализа параметров состоят из:

• разработки сценария анализа параметров;
• разработки пространственной среды;
• создания модели обработки данных;
• сбора и анализа признаков, описывающих неисправности.

В целом, кибератаки могут вызывать различные неисправности в информационных системах, в то время как неисправности в системе могут создавать уязвимости и приводить к угрозам кибератак. Поэтому важно уделять должное внимание обнаружению и устранению неисправностей в системе, а также обеспечению надежной защиты от возможных угроз. Это включает в себя использование механизмов защиты, таких как антивирусное программное обеспечение, системы обнаружения вторжений и средства интеллектуального анализа данных для устранения уязвимостей.

Безопасность информационных систем требует комплексного подхода, который включает в себя идентификацию и устранение неисправностей, анализ рисков и угроз, применение соответствующих мер безопасности и обучение сотрудников основам кибербезопасности. Это поможет снизить вероятность кибератак и минимизировать возможные последствия неисправностей в системе.

МАТЕРИАЛЫ И МЕТОДЫ

Проблема заключается в невозможности обнаружить на ранней стадии угрозу в системе и спрогнозировать отказ ресурсов. Для этого потребуется оценить обстановку изнутри системы, провести анализ внутренних и внешних параметров. Определить величины входящих и исходящих данных для проведения аналитической статистики. Статистика выводов благотворно влияет на дальнейший анализ неисправностей и их следственных событий в рамках одной организации. Задача на втором уровне исследования состоит в построении имитационной модели предприятия или отдельного его модуля для выявления статистической цепочки значений [5].

Разные компании, множество направлений бизнеса и различные распределения обязанностей на предприятиях привели к использованию модульной системы. Это значит, что все запросы определены в группы по классификации объектов работы организации. Такое распределение разгрузило производственную деятельность и уменьшило внутренние ошибки [6]. Сама функция управления предприятием имеет методологию координирования в виде MRP, JIT, SCM, ERP. Планирование ресурсами заключается в применении конкретных модулей [7]:

• управление цепочкой поставок;
• модуль автоматизации продаж;
• модуль конфигурирования системы;
• интеллект бизнеса, OLAP-технологии;
• модуль электронной коммерции;
• управление данными об изделии.

Теперь каждый модуль предоставлен определенному отделу, следовательно, данный отдел отвечает за функционирование внутренней системы. Такой разноплановый подход к организации несет трудности в идентификации неисправностей. Человеческий фактор во многом влияет на работоспособность информационных систем, а именно работа с ПО, ввод и отправление данных, и т.д. Так один из критериев внешних уязвимостей присутствующих на предприятии – является человеческий фактор. Внутренние уязвимости ПО имеют вид вредоносного файла направленного на выведение из строя информационного модуля, например: вирусы. Чтобы идентифицировать такого злоумышленника в системе необходимо квалифицировать признаки уязвимости или скрытых атак. Для глубоко интеллектуального анализа необходимо установить корреляцию диагностических данных [8; 9]. Такие данные имеют признаки и зависимости определенных неисправностей в информационных структурах предприятия. Информационные системы распределяются на внешние категории для проведения исследований:

• неисправности в корпоративных информационных системах относятся к проблемам с доступом к данным, сбоям программного обеспечения, ошибкам в конфигурации системы или неполадкам в аппаратном обеспечении;
• неисправности в SCADA-системах включают проблемы коммуникации с устройствами и сенсорами, ошибок программного обеспечения, отказы в работе и потенциальных уязвимостей в системе безопасности;
• финансовые системы включают в себя банковские системы, системы управления рисками, торговые платформы. Анализ неисправностей в финансовых информационных системах исследует на наличие ошибок в расчетах, проблемы с безопасностью финансовых транзакций, сбои в системе или проблемы с соответствием регуляторным требованиям;
• анализ неисправностей в мобильных информационных системах предоставляет проверку совместимости с различными устройствами и операционными системами, обнаружение ошибок в пользовательском интерфейсе, проблем с производительностью или проблемами взаимодействия с серверами и другими сервисами;
• анализ неисправностей в облачных системах дает возможность исследовать доступность сервисов, проблемы с производительностью, нарушении безопасности или конфликтов ресурсов между клиентами.

Методология исследования заключается в анализе корреляции благоприятных и неблагоприятных событий с учетом временного диапазона, также использования моделей обработки данных. Каждая задача требует определенного типа обучающей выборки и настройки параметров для эффективного обучения нейронной сети.

Главными задачами машинного обучения являются:

• двоичная классификация: требуется прогнозировать классификацию данных на две категории. Целью алгоритма двоичной классификации будет являться создание классификатора, который способен предсказывать класс для новых неотмеченных экземпляров данных;
• многоклассовая классификация предсказывает распределение данных на несколько классов. Нейронная сеть обучается на такой выборке для того, чтобы научиться правильно классифицировать новые, ранее неизвестные объекты;
• регрессия – предсказание числового значения (непрерывной переменной) на основе входных данных. Обучающая выборка для регрессии содержит пары входных данных и соответствующих целевых значений;
• кластеризация: обучающая выборка для кластеризации содержит только входные данные без явно заданных меток классов. Нейронная сеть обучается на такой выборке для того, чтобы научиться выявлять скрытые закономерности и группировать объекты в кластеры.

Более всего подходит данная задача в виде кластеризации, т.к. данные распределены в признаки и в системы.

Задача обнаружения аномалий заключается в выделении аномальных случаев от стандартных. Аномалии являются редкими явлениями, и обучающих примеров для обучения модели на их выявление очень мало. Методы классификации не могут эффективно решить эту задачу. Для применения к обнаруживаемым признакам в данном исследовании подходит задача обнаружения аномалий в машинном обучении.

Обучающая выборка включает в себя дополнительные параметры:

• размер выборки: объем данных в обучающей выборке может варьироваться от небольшого количества до огромного набора данных, в зависимости от сложности задачи и доступных ресурсов;
• размерность признакового пространства: обучающая выборка содержит признаки различных размерностей, которые характеризуют каждый объект данных. Это может быть одномерный вектор или многомерный массив.

Тем самым разобрав главные задачи машинного обучения можно сделать выбор в пользу эффективного метода обучения и создание обучающей выборки.

РЕЗУЛЬТАТЫ

Для решения поставленной задачи необходимо собрать модель обработки данных информационной системы и провести анализ выявление характеристик возможных неисправностей. В имитационной модели нет смысла ставить блоки управления, т.к. задача состоит в создании непрерывного потока данных и неисправностей в виде помех принятия сообщений, т.е. наличие нестабильного интернет-соединения или отключение питания. Для качественного анализа проблемы необходимо построить имитационную модель процесса передачи потока запросов и входных параметров [10]. Была выбрана среда Anylogic, благодаря возможности проведения статистических экспериментов, данное ПО подходит более всего. Поток сообщений и сервер имеют блоки в виде source и delay, также в модель встроено обслуживающее устройство. В основном элементами модели являются входной поток информации на обслуживание, буфер, обслуживающее устройство, выходной поток обслуженных данных, показано на рис. 1 [11]. Задача состоит в анализе составляющих неисправностей в процессе обработки и принятия данных.

 

Рис. 1. Простая модель запущена

 

Чтобы увидеть влияние скрытой атаки, смоделируем неисправность в виде запуска параллельного потока и запустим модель с новым агентом. На рис. 2 видно, как второй поток заполняет собой все пространство уменьшая при этом время работы основного потока. Для уменьшения влияния дефектов в потоке данных, в имитационной модели ставиться предохранитель или переключатель потока, который либо уменьшает поток неблагоприятных событий, либо восстанавливает предыдущий процесс обработки.

 

Рис. 2. Влияние неисправности на поток заявок, запущенная модель

 

Чтобы решить проблему в реалиях предприятия необходимо идентифицировать признаки. Предположим, уязвимости классифицируются по следующим критериям:

• не качественное обслуживание сервисов;
• степени учета времени при работе ПО;
• появление ответвлений в системах логистики, обработки и анализа компонент;
• редкое обновление систем.

Тогда это требует отдельного исследования так, как в каждой категории можно определить соответствующий класс параметров, при которых условия работы системы изменяться. Важно рассмотреть степень угрозы с каждой стороны, также и стадии обнаружения следует использовать разнопланово. Например, если принять, что среднее время между поступлением информации равно Т, а интенсивность поступления запросов g = 1/T, среднее время обслуживания потока запросов равно b, а интенсивность обслуживания s = 1/b, то среднее время ожидания заявки составит (1).

$w=\frac{db}{1-d}$ (1)

где d = g/s.

Параметр d называют коэффициентом использования обслуживающего элемента. Подставим параметры и получим график, показанный на рис. 3, увеличение среднего времени процесса потока обработки данных. Это можно считать одним из признаков присутствующей скрытой атаки. Следовательно, уменьшение времени обработки является, также неблагоприятным знаком.

 

Рис. 3. График зависимости времени от количества принятых данных в стандартных условиях работы

 

Совокупность неисправностей из одной области подразумевает одни и те же признаки определения их в системах. Данной областью будет являться один из критериев, например, тип программного обеспечения. Так как их множество остановимся на самых востребованных ПО, используемых на предприятиях. ПО на предприятиях в основном распределяется на подструктуры систем обработки данных, ввод и вывод команд, загрузка и выгрузка, и т.д. На каждую область может производится внутренняя и внешняя атака. Итак, уязвимости распределяются на имеющиеся недостатки в информационных системах, незащищенный доступ и на умышленное внедрение неисправностей, что подразумевает человеческий фактор.

Распространение неблагоприятных событий после угрозы можно рассмотреть на графиках имитационной модели. На рис. 4 поток обрабатываемых данных имеет изменчивую структуру в исследуемом промежутке времени от 120 до 140 с, в большей степени чем на рис. 5, данное явление связано с присутствием внешнего раздражителя. Плотность вероятности имеет показатель в 39% от составляющего потока, что говорит о зашумленности графика на 0,4.

 

Рис. 4. Поток данных в информационной системе (имитационная модель) с неблагоприятным событием: a – зависимость количества заявок от времени; b – вероятность плотности каждого блока данных от общего потока

 

Рис. 5. Поток данных за отдельный промежуток времени

 

Также отсутствие каких либо, внешних не благоприятных событий в имитационной модели демонстрируется условием не изменяемого участка в промежутке времени от 120 до 140 с. Из сравнений двух графиков путем наложения, можно сделать вывод об отсутствии в системе вредоносного события. Зашумленность графика строиться на внутреннем подсчете количества выходных значений.

Применив формулу (1) к имитационной модели с параметрами без учета неисправности получим: величина g задана 10 в мин, b = 1 мин, s = 1, следовательно, d = 10, расчет показал среднее время процесса обработки данных 1,11. При расчете W2 показатели модели взяты с учетом дефекта, следовательно, результат – это уменьшение среднего времени обработки данных, а именно 1,07. 39% содержащихся в общем потоке заявок имитационной модели не маленький показатель, но при этом идет медленное снижение времени обработки [12]. При достижении в 20% снижается интенсивность подачи основного потока, следовательно, резкое снижение найденного параметра до 0.5. Изменчивость данного критерия и его корреляция с потоковыми значениями имитационной модели говорит о наличии дефекта, созданного внешним фактором.

Следующий этап анализа признаков ведется уже с учетом взаимосвязи с обнаруженным дефектом в системе. Уменьшение времени обработки данных в информационных системах способствует проявлению следующих неисправностей и последствий:

Потеря данных: если время обработки данных сокращается, существует риск потери данных из-за сбоев или неправильной обработки. Недостаточное время для сохранения и проверки данных может привести к их случайному удалению или перезаписи.

Ошибки в обработке: более быстрая обработка данных может увеличить вероятность ошибок, особенно при сложных операциях. Если система не успевает корректно обрабатывать данные в сжатые сроки, это может привести к ошибкам в расчетах, некорректным результатам или неправильной обработке запросов.

Перегрузка системы: уменьшение времени обработки данных может привести к перегрузке системы из-за более высокой нагрузки. Если процессоры и другие ресурсы не могут обрабатывать данные достаточно быстро, система может стать нестабильной, медленной или даже отказываться работать.

Снижение производительности: время обработки данных сокращается без оптимизации процессов, это приводит к общему снижению производительности системы. Быстрое выполнение операций создает узкие места и задержки в других компонентах системы, что отрицательно сказывается на общей производительности.

Увеличение ошибок связи: данные обрабатываются слишком быстро, следовательно, появляются ошибки в передаче и связи между различными системами и компонентами. Перегрузка сети или неправильная синхронизация данных могут привести к потере связи, некорректной передаче или сбоям в коммуникации.

Уязвимости безопасности: уменьшение времени обработки данных оказывает негативное влияние на безопасность системы. Более быстрая обработка данных усложняет обнаружение и предотвращение кибератак, поскольку система может быть более уязвима к внедрению вредоносного кода.

Все исследуемые характеристики неисправностей ведут к уязвимостям, привлекающим злоумышленников в информационные среды.

ОБСУЖДЕНИЕ

Проведенный анализ внутренних и внешних скрытых атак предполагает в дальнейшем использование нейронных сетей и машинного обучения [13]. Модель машинного обучения строиться на данных, которые разделяются на обучающую выборку и тестовую, либо являются пространственными данными с пометками параметров неисправностей. Применение прогностических моделей требует соответствующих параметров объекта исследования, тем самым задавая проблематику анализа неисправностей в информационных системах. Определение области зависимости количества обрабатываемой информации от среднего времени процесса обработки потока данных дает ясность параметров для разработки аналитико-прогностического метода, а именно возможность использовать новый признак, как степень влияния и обнаружения неисправности в ПО на предприятии и тем самым устранить все последующие события.

Программная среда Anylogic использовалась как узкоспециализированная платформа для моделирования агентов, имеющих свою собственную логику поведения и принимающих решения на основе своего окружения и состояния. Плюсом данной имитационной среды являются инструменты для моделирования процессов и ресурсов, позволяющие создавать детальные операционные процессы в системе. Соответственно, разработка траектории принятия решения с различными этапами, очередями и взаимодействием с ресурсами, такими как рабочая сила, оборудование или материалы.

Также обеспечение интеграции с базами данных способствует обработке данных в режиме реального времени. Следовательно, использование их для создания динамических моделей, которые отражают текущее состояние системы, тем самым помогая определить неисправности и угрозы.

Экспериментальная часть программной среды дает возможность анализировать параметры не- исправностей.

Высокопроизводительная система Anylogic, где каждый агент имеет свою собственную логику и поведение позволяет решить проблемы увеличения нагрузки числовых операций, что уменьшает время обработки запросов.

ЗАКЛЮЧЕНИЕ

Необходимо проводить исследования в области пространственных признаков и узкоспециализированных критериев скрытых угроз для предотвращения их и раннего обнаружения. Анализ представленных в статье параметров в большей степени указывают на высокий процент присутствия скрытой угрозы. Следовательно, использование данного признака позволит повысить качество выходных данных в прогностической модели и дать ответ на возможное пребывание в модуле неблагоприятных событий [14].

Имитационная модель обработки поступающих заявок показала изменения в процессе обработки во время присутствия второго потока – это указывает на важность исследования выбранного способа идентификации. Найденная зависимость при содержании потока 2 в 39% и менее от общего числа запросов дает возможность зафиксировать сбой в программе и быстрее справиться с ее устранением. Из-за долгого пребывания неисправности в системе теряется ее цифровой след в объеме используемых данных и даже после анализа ключевых моментов нет полного представления о природе объекта исследования [15].

Углубленный интеллектуальный анализ вероятностей дефектов, создаваемых угрозами в ПО кластеризует их по ячейкам базы знаний [16; 17]. Отсюда можно судить об актуальности и применимости данных методик, направления исследования и результатах.

Также важно проводить адекватный анализ и тестирование системы, чтобы определить ее предельные возможности и установить оптимальное время обработки данных, которое обеспечивает стабильную и надежную работу системы без снижения производительности или рисков нарушений. Также необходимо осуществлять мониторинг и контроль процессов обработки данных, чтобы своевременно выявлять и устранять любые неисправности или проблемы, связанные с уменьшением времени обработки данных. Регулярное обслуживание и оптимизация системы также могут помочь предотвратить возникновение неисправностей, связанных с этим аспектом.

Созданная дискретно-событийная имитационная модель потока заявок, которая позволяет изучать и анализировать поток заявок в системах таких как банковских систем, логистических структур в ИС и сетевые системы, учитывая дискретные события и время их возникновения, благодаря данному исследованию были обнаружены признаки аномалий для такого рода обработки информации. Для такого рода потока заявок были сформированы признаки, приближающие их к аналогичным событиям.

Обозначенные признаки входят в главные составляющие датасета для реализации аналитико-прогностической модели на основе алгоритмов машинного обучения и задач искусственных нейронных сетей.

About the authors

Maria A. Zolotukhina

Russian Technological University – MIREA

Author for correspondence.
Email: rtu_mary@mail.ru
ORCID iD: 0000-0001-9819-7435

graduate student

Russian Federation, Moscow

Sergey V. Zykov

Russian Technological University – MIREA; Higher School of Economics

Email: szykov@hse.ru
ORCID iD: 0000-0002-2115-5461
SPIN-code: 4149-8264

Doctor of Engineering, Associate Professor; Professor, Chief Researcher at the Department of Business Informatics of the Graduate School of Business

Russian Federation, Moscow; Moscow

References

Supplementary files