priborИзвестия высших учебных заведений. ПриборостроениеJournal of Instrument Engineering0021-34542500-0381Национальный исследовательский университет ИТМО10.17586/0021-3454-2022-65-11-833-841pribor-306Research ArticleМАТЕМАТИЧЕСКОЕ И ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ ИНФОРМАЦИОННЫХ СИСТЕМMATHEMATICAL AND SOFTWARE SUPPORT OF INFORMATION SYSTEMSМодель комбинированного применения интеллектуальных методов корреляции событий информационной безопасностиModel of combined application of intelligent methods of information security events correlationЛевшунД. А.LevshunD. A.

Диана Альбертовна Левшун — аспирант; лаборатория проблем компьютерной безопасности; мл. научный сотрудник

Санкт-Петербург

Diana A. Levshun — Post-Graduate Student; St. Petersburg Institute for Informatics and Automation of the RAS, Laboratory of Computer Security Problems; Junior Researcher

St. Petersburg

gaifulina@comsec.spb.ruСанкт-Петербургский федеральный исследовательский центр Российской академии наукSt. Petersburg Federal Research Center of the RAS2022031220246511833841Copyright © Национальный исследовательский университет ИТМО, 20242024Национальный исследовательский университет ИТМОНациональный исследовательский университет ИТМОhttps://pribor.ifmo.ru/jour/about/submissions#copyrightNoticehttps://pribor.ifmo.ru/jour/article/view/306

Для решения задачи корреляции событий информационной безопасности предложена модель комбинированного применения интеллектуальных методов корреляции. Интеллектуальные методы корреляции событий безопасности способны анализировать как объемные исторические данные, так и события в реальном времени, а также автоматически обнаруживать изменяющиеся пороговые значения. Предложенная модель содержит два уровня обработки данных: уровень представления знаний и уровень корреляции событий безопасности. На уровне представления знаний осуществляется структурный и семантический анализ событий. На уровне корреляции для обработки событий применяются оценка подобия элементов векторов событий безопасности, нейросетевой графо-ориентированный метод и анализ данных при помощи рекуррентных нейронных сетей. Результатами работы модели являются последовательность взаимосвязанных событий безопасности, тип текущего состояния безопасности системы и прогнозируемые состояния. Эффективность подхода на основе предложенной модели проиллюстрирована результатами эксперимента по прогнозированию событий безопасности системы, показывающими низкие значения показателя ошибок.

To solve the problem of information security event correlation, a model for the combined use of intelligent correlation methods is proposed. Intelligent security event correlation methods are able to analyze both historical data and real-time events and automatically detect changing thresholds. The proposed model contains two levels of data processing: the level of knowledge representation and the level of security event correlation. At the level of knowledge representation, structural and semantic analysis of events is carried out. At the correlation level, the similarity assessment of elements of security event vectors, a graph-oriented neural network method and data analysis using recurrent neural networks are used for event processing. The results of the model are the sequence of interrelated security events, the type of the current security state of the system and the predicted states. The performance of the approach based on the proposed model is illustrated by results of an experiment on predicting system security events, showing low values of the error indicator.

корреляция событийинформационная безопасностьмониторинг состояния безопасностиинтеллектуальный анализ данныхevent correlationinformation securitysecurity monitoringdata miningработа выполнена при финансовой поддержке бюджетной темы FFZF-2022-0007.the work was carried out with the financial support of the budget theme FFZF-2022-0007.ReferencesКотенко И. В., Саенко И. Б., Коцыняк М. А., Лаута О. С. Оценка киберустойчивости компьютерных сетей на основе моделирования кибератак методом преобразования стохастических сетей // Информатика и автоматизация. 2017. Т. 6, № 55. С. 160—184.Kotenko I.V., Saenko I.B., Kotsynyak M.A., Lauta O.S. Informatics and Automation, 2017, no. 6(55), pp. 160–184. (in Russ.)Albasheer H., Siraj Md M., Mubarakali A., Elsier Tayfour O., Salih S., Hamdan M., Kamarudeen S. Cyber-Attack Prediction Based on Network Intrusion Detection Systems for Alert Correlation Techniques: A Survey // Sensors. 2022. Vol. 22, N 4. P. 1494 (1—15).Albasheer H., Siraj Md M., Mubarakali A., Elsier Tayfour O., Salih S., Hamdan M., Kamarudeen S. Sensors, 2022, no. 4(22), pp. 1494(1–15).Москвичев А. Д., Долгачев М. В. Алгоритмы корреляции событий информационной безопасности // Автоматизация процессов управления. 2020. № 3. С. 50—59.Moskvichev A.D., Dolgachev M. V. Automation of Control Processes, 2020, no. 3, pp. 50–59. (in Russ.)Гайфулина Д. А., Котенко И. В. Анализ моделей глубокого обучения для задач обнаружения сетевых аномалий интернета вещей // Информационно-управляющие системы. 2021. №. 1 (110). С. 28—37.Gaifulina D.A., Kotenko I.V. Information and Control Systems, 2021, no. 1(110), pp. 28–37. (in Russ.)Kovačević I., Groš S., Slovenec K. Systematic review and quantitative comparison of cyberattack scenario detection and projection / /Electronics. 2020. Vol. 9, N 10. P. 1722 (1—32).Kovačević I., Groš S., Slovenec K. Electronics, 2020, no. 10(9), pp. 1722(1-32).Kotenko I., Gaifulina D., Zelichenok I. Systematic Literature Review of Security Event Correlation Methods // IEEE Access. 2022. Vol. 10. P. 43387—43420.Kotenko I., Gaifulina D., Zelichenok I. IEEE Access., 2022, vol. 10, рр. 43387–43420.Охтилев М. Ю. Системы искусственного интеллекта и их применение в автоматизированных системах мониторинга состояния сложных организационно-технических объектов. СПб: СПбГУАП, 2018. 261 с.Okhtilev M.Yu. Sistemy iskusstvennogo intellekta i ikh primeneniye v avtomatizirovannykh sistemakh monitoringa sostoyaniya slozhnykh organizatsionno-tekhnicheskikh ob"yektov (Artificial Intelligence Systems and Their Application in Automated Systems for Monitoring the State of Complex Organizational and Technical Objects), St. Petersburg, 2018, 261 р. (in Russ.)Tanwar P., Prasad T. V., Aswal M. S. Comparative study of three declarative knowledge representation techniques // Intern. Journal on Computer Science and Engineering. 2010. Vol. 2, N 07. P. 2274—2281.Tanwar P., Prasad T.V., Aswal M.S. International Journal on Computer Science and Engineering, 2010, no. 07(2), pp. 2274–2281.Sikos L. F. AI in digital forensics: Ontology engineering for cybercrime investigations // Wiley Interdisciplinary Reviews: Forensic Science. 2021. Vol. 3, N 3. P. e1394 (1—11).Sikos L.F. Wiley Interdisciplinary Reviews: Forensic Science, 2021, no. 3(3), pp. e1394(1-11).Zeng J., Wu S., Chen Y., Zeng R., Wu C. Survey of attack graph analysis methods from the perspective of data and knowledge processing // Security and Communication Networks. 2019. Vol. 2019. P. 1—16.Zeng J., Wu S., Chen Y., Zeng R., Wu C. Security and Communication Networks, 2019, vol. 2019, рр. 1–16.Lallie H. S., Debattista K., Bal J. A review of attack graph and attack tree visual syntax in cyber security // Computer Science Review. 2020. Vol. 35. P. 100219 (1—41).Lallie H.S., Debattista K., Bal J. Computer Science Review, 2020, vol. 35, рр. 100219(1-41).Маликов А. В., Авраменко В. С., Саенко И. Б. Модель и метод диагностирования компьютерных инцидентов в информационно-коммуникационных системах, основанные на глубоком машинном обучении // Информационно-управляющие системы. 2019. № 6 (103). С. 32—42.Malikov A.V., Avramenko V.S., Saenko I.B. Information and Control Systems, 2019, no. 6(103), pp. 32–42. (in Russ.)Бутусов И. В., Романов А. А. Предупреждение инцидентов информационной безопасности в автоматизированных информационных системах // Вопр. кибербезопасности. 2020. № 5 (39). С. 45—51.Butusov I., Romanov A. Voprosy kiberbezopasnosti, 2020, no. 5(39), pp. 45–51. (in Russ.)Ala-Laurinaho R., Keski-Heikkilä T. Driving smart crane with various loads // IEEE Dataport [Электронный ресурс]: https://ieee-dataport.org/documents/driving-smart-crane-various-loads.Ala-Laurinaho R., Keski-Heikkilä T. Driving smart crane with various loads, https://ieee-dataport.org/documents/driving-smart-crane-various-loads.

The authors declare that there are no conflicts of interest present.