ПОБУДОВА АДАПТИВНИХ ПОРОГОВИХ СТРАТЕГІЙ ДЛЯ ВИЯВЛЕННЯ ГІБРИДНИХ АТАК У МЕРЕЖАХ ЕЛЕКТРОННИХ КОМУНІКАЦІЙ ІЗ ЗАСТОСУВАННЯМ ПОТОКОВИХ МЕТОДІВ І КАЛІБРУВАННЯ ПІКІВ

С. В. Флоров; О. В. Черкаський; Д. О. Черкаський; М. В. Білан; Д. О. Переметчик

doi:10.26661/2786-6254-2025-2-14

С. В. Флоров Університет митної справи та фінансів https://orcid.org/0000-0002-4682-7666
О. В. Черкаський Університет митної справи та фінансів https://orcid.org/0009-0006-3105-5217
Д. О. Черкаський Університет митної справи та фінансів https://orcid.org/0009-0003-8516-6252
М. В. Білан Університет митної справи та фінансів https://orcid.org/0009-0005-5875-4950
Д. О. Переметчик Університет митної справи та фінансів https://orcid.org/0009-0006-1978-5858

DOI: https://doi.org/10.26661/2786-6254-2025-2-14

Ключові слова: адаптивні порогові механізми, потокова обробка даних, статистичні моделі, виявлення аномалій, мережевий трафік, архітектура нульової довіри, системи безпеки

Анотація

Метою статті є створення адаптивних порогових механізмів для систем виявлення вторгнень, які здатні залишатися чутливими до рідкісних, але критичних подій у мережах електронних комунікацій і водночас зменшувати кількість хибних спрацювань у складних умовах, коли дані мають «важкі хвости» розподілу та змінюють свої характеристики із часом. Запропоновано підхід, що поєднує сучасні методи оцінювання високих квантилів у потоці даних, робастні статистичні показники масштабу та спеціальні моделі для обробки рідкісних піків. Для контролю змін у даних використано алгоритми, які автоматично виявляють і реагують на дрейф, не зупиняючи процес обробки. Розроблені механізми впроваджуються в конвеєр обробки подій безпеки. Вони працюють з різними видами ознак: байтові послідовності перетворюються на зображення, з яких згорткові нейронні мережі виділяють просторові закономірності, а рекурентні нейронні мережі аналізують часові залежності. Альтернативно застосовується автоенкодер для виявлення відхилень через похибку відновлення даних. Отриманий аномальний бал поєднує два джерела інформації: відхилення від нормальної моделі та статистичне перевищення порога. Це дозволяє зменшити вплив сезонних змін та випадкових коливань у трафіку. Експерименти на відкритих наборах даних показали, що розроблені методи зменшують кількість хибнопозитивних спрацювань майже на третину та підвищують точність виявлення атак на сканування, розподілені відмови в обслуговуванні й прихований витік даних. Стійкість алгоритмів зберігається навіть за наявності складних аномалій та під час атак на захищені протоколи й мережеве обладнання. Запропонований підхід відповідає принципам архітектури «нульової довіри», адже дозволяє ухвалювати локальні рішення про доступ та реагування на загрози у вузлах мережі. Практичні висновки включають рекомендації щодо розміру структур для потокової обробки, вибору рівня квантиля для оцінювання ризиків та інтеграції із правилами керування подіями безпеки з метою швидшого аналізу інцидентів.

Посилання

1. Dunning T., Ertl O. Computing extremely accurate quantiles using t-digest. Proceedings of the VLDB Endowment. 2019. Vol. 12. № 12. P. 195–2205. DOI: 10.14778/3352063.3352135
2. Karnin Z., Lang K., Liberty E. Optimal quantile approximation in streams. Proceedings of the 48th Annual ACM Symposium on Theory of Computing (STOC’16). ACM, 2016. P. 745–758. DOI: 10.1145/2897518.2897528
3. Greenwald M., Khanna S. Space-efficient online computation of quantile summaries. Proceedings of the 001 ACM SIGMOD International Conference on Management of Data. ACM, 2001. P. 58–66. DOI: 10.1145/375663.375670
4. Ma Q., Sun S. Frugal streaming for estimating quantiles. Proceedings of the 014 IEEE International Conference on Big Data (Big Data). IEEE, 2014. P. 956–965. DOI: 10.1109/BigData.2014.7004306
5. Gama J., Žliobaitė I., Bifet A., Pechenizkiy M., Bouchachia A. A survey on concept drift adaptation. ACM Computing Surveys. 2014. Vol. 46. № 4. Article 44. DOI: 10.1145/2523813
6. Bifet A., Gavalda R. Learning from time-changing data with adaptive windowing. Proceedings of the 007 SIAM International Conference on Data Mining (SDM). SIAM, 2007. P. 443–448. DOI: 10.1137/1.9781611972771.42
7. Rockafellar R. T., Uryasev S. Optimization of conditional value-at-risk. Journal of Risk. 2000. № 3. P. 1–41. DOI: 10.21314/JOR.2000.038
8. Hampel F. R. The influence curve and its role in robust estimation. Journal of the American Statistical Association. 1974. Vol. 69. № 346. P. 383–393. DOI: 10.1080/01621459.1974.10482962
9. Sharafaldin I., Lashkari A. H., Ghorbani A. A. Toward generating a new intrusion detection dataset (CICIDS2017). Proceedings of the 018 International Conference on Information Systems Security and Privacy (ICISSP). SciTePress, 2018. P. 108–116. DOI: 10.5220/0006639801080116
10. Moustafa N., Slay J. UNSW-NB15: A comprehensive data set for network intrusion detection systems. Proceedings of the 015 Military Communications and Information Systems Conference (MilCIS). IEEE, 2015. P. 1–6. DOI: 10.1109/MilCIS.2015.7348942
11. Mirsky Y., Doitshman T., Elovici Y., Shabtai A. Kitsune: An ensemble of autoencoders for online network intrusion detection. Proceedings of the 018 Network and Distributed System Security Symposium (NDSS). Internet Society, 2018. DOI: 10.14722/ndss.2018.23259
12. Shone N., Ngoc T. N., Phai V. D., Shi Q. A deep learning approach to network intrusion detection. IEEE Transactions on Emerging Topics in Computational Intelligence. 2018. № 1. P. 41–50. DOI: 10.1109/TETCI.2017.2772792
13. Yin C., Zhu Y., Fei J., He X. A deep learning approach for intrusion detection using recurrent neural networks. IEEE Access. 2017. Vol. 5. P. 1954–21961. DOI: 10.1109/ACCESS.2017.2762418
14. Nataraj L., Karthikeyan S., Jacob G., Manjunath B. Malware images: visualization for classification. Proceedings of the 8th International Symposium on Visualization for Cyber Security (VizSec’11). ACM, 2011. Article 4. DOI: 10.1145/2016904.2016908
15. Coles S. An introduction to statistical modeling of extreme values. London : Springer, 2001. 208 p. DOI: 10.1007/978-1-4471-3675-0
16. Ferriyan A., Thamrin A. H., Takeda K., Murai J. Generating network intrusion detection dataset based on real and encrypted synthetic attack traffic. Applied Sciences. 2021. Vol. 11. № 17. DOI: 10.3390/app11177868
17. Damasevicius R., Venckauskas A., Grigaliūnas S., Toldinas J., Morkevičius N., Aleliūnas T., Smuikys P. Litnet-2020: An annotated real-world network flow dataset for network intrusion detection. Electronics. 2020. Vol. 9. № 5. DOI: 10.3390/electronics9050800
18. Mondragon J. C., Branco P., Jourdan G.-V., Gutiérrez-Rodríguez A. E. Advanced IDS: a comparative study of datasets and machine learning algorithms for network flow-based intrusion detection systems. Applied Intelligence. 2025. Vol. 55. Article 608. DOI: 10.1007/s10489-025-06422-4
19. Goldschmidt P. Network intrusion datasets: a survey, limitations, and recommendations. Computers & Security. 2025. Vol. 156. DOI: 10.1016/j.cose.2025.104510
20. A survey of streaming data anomaly detection in network security / P. Zhou et al. PeerJ – Computer Science. 2025. URL: https://peerj.com/articles/cs-3066/
21. Xu Z., Wu Y., Wang S., Gao J., Qiu T., Wang Z., Wan H., Zhao X. Deep Learning-based Intrusion Detection Systems: A Survey. arXiv. 2025. URL: https://arxiv.org/abs/2504.07839
22. Maseer Z. K., Yusof R., Al-Bander B., Saif A., Kanaan Q. K. Meta-Analysis and Systematic Review for Anomaly Network Intrusion Detection Systems: Detection Methods, Dataset, Validation Methodology, and Challenges. arXiv. 2023. URL: https://arxiv.org/abs/2308.02805
23. Herzalla D., Lunardi W. T., Lopez M. A. TII-SSRC-23 Dataset: Typological Exploration of Diverse Traffic Patterns for Intrusion Detection. arXiv. 2023. URL: https://arxiv.org/abs/2310.10661
24. A Systematic and Comprehensive Survey of Recent Advances in Intrusion Detection Systems Using Machine Learning: Deep Learning, Datasets, and Attack Taxonomy. Engineering Technology & Applied Science Research (ETASR). 2023. URL: https://onlinelibrary.wiley.com/doi/10.1155/2023/6048087
25. A review on intrusion detection datasets: tools, processes and open challenges / D. Pinto et al. Computer Networks. 2025. URL: https://www.sciencedirect.com/science/article/pii/S1389128625001458
26. Leveraging hybrid model for IoT anomaly detection / S. Vashisht et al. Future Internet / PMC. 2025. URL: https://pmc.ncbi.nlm.nih.gov/articles/PMC11996210/
27. Miguel-Diez A., Campazas-Vega A., Guerrero-Higueras Á. M., Álvarez-Aparicio C., Matellán-Olivera V. Anomaly detection in network flows using unsupervised online machine learning. arXiv. 2025. URL: https://arxiv.org/abs/2509.01375