Модель расследования компьютерных инцидентов на основе машинного обучения

Написать диплом по теме «Модель расследования компьютерных инцидентов на основе машинного обучения»

Работа по теме «Модель расследования компьютерных инцидентов на основе машинного обучения» требует глубокого понимания киберугроз, анализа логов и применения алгоритмов ML. В этом руководстве — структура ВКР, примеры диаграмм, код на Python, чек-листы и советы по защите. Подходит для студентов Финансового университета по специальности 10.03.01 «Информационная безопасность».

Нужен разбор вашей темы Модель расследования компьютерных инцидентов на основе машинного обучения? Получите бесплатную консультацию: @Diplomit | +7 (987) 915-99-32 (WhatsApp)

Актуальность темы

Количество кибератак в финансовой сфере выросло на 47% за 2024 год (источник: ФСТЭК РФ, Отчёт о состоянии ИБ-2024). Банки и кредитные организации теряют в среднем 5,2 млн руб. на одну утечку данных. При этом 68% инцидентов обнаруживаются спустя более 72 часов — слишком поздно для эффективного реагирования.

Здесь и вступает в игру машинное обучение. Традиционные SIEM-системы (например, Splunk, ELK) анализируют события по жёстким правилам. Но ML-модели способны выявлять аномалии, которые не попадают под известные сигнатуры. Например, поведенческий анализ пользователей (UEBA) позволяет обнаружить внутренние угрозы — сотрудников, чьи действия отклоняются от нормы.

По нашему опыту анализа 50+ ВКР по направлению 10.03.01 в Финансовом университете, студенты часто недооценивают практическую часть. Они описывают теорию, но не строят реальную модель. А ведь именно работа с набором данных, обучение классификатора и интерпретация результатов — основа темы.

Цель и задачи

Цель ВКР: разработка и апробация модели расследования компьютерных инцидентов с использованием методов машинного обучения для автоматизированного анализа логов и выявления аномалий.

Задачи:

1. Проанализировать современные подходы к расследованию инцидентов (NIST SP 800-61 Rev.2, MITRE ATT&CK).
2. Исследовать применимость алгоритмов ML (Isolation Forest, XGBoost, LSTM) для детекции аномалий в логах.
3. Спроектировать архитектуру модели, включающую этапы: сбор данных → предобработка → обучение → интерпретация.
4. Реализовать прототип на Python с использованием библиотек: pandas, scikit-learn, TensorFlow.
5. Оценить эффективность модели по метрикам: precision, recall, F1-score.
6. Оформить экономический расчёт: снижение времени реагирования на инциденты, сокращение затрат на SOC.

Задачи соответствуют структуре методички Финансового университета: анализ → проектирование → разработка → экономика.

Объект и предмет исследования

• Объект: процесс расследования компьютерных инцидентов в отделе информационной безопасности банка.
• Предмет: применение алгоритмов машинного обучения для автоматизации анализа логов и выявления аномалий.

Ожидаемые результаты и практическая значимость

• Снижение времени обнаружения инцидента с 72 до 4 часов.
• Сокращение нагрузки на SOC-аналитиков на 30% за счёт автоматизации рутинных проверок.
• Повышение точности детекции до 92% (по F1-score).
• Разработанный прототип может быть интегрирован в существующую SIEM-систему.

Рекомендуемая структура дипломной работы

Пример введения для Финансовый университет

Современные финансовые организации сталкиваются с растущим количеством кибератак, включая целевые атаки (APT), фишинг и атаки на учётные данные. Традиционные средства защиты не справляются с новыми угрозами, требующими оперативного реагирования. В этой связи актуальна разработка моделей расследования инцидентов, основанных на машинном обучении, способных выявлять аномалии в режиме реального времени. Целью работы является создание модели, автоматизирующей анализ логов и повышающей точность детекции инцидентов. Практическая значимость заключается в снижении времени реагирования и нагрузки на команду SOC.

Этапы разработки модели

Пример кода: обнаружение аномалий с Isolation Forest

import pandas as pd
from sklearn.ensemble import IsolationForest
from sklearn.preprocessing import StandardScaler

# Загрузка логов (пример: логи аутентификации)
df = pd.read_csv('auth_logs.csv')
df['timestamp'] = pd.to_datetime(df['timestamp'])
df['hour'] = df['timestamp'].dt.hour

# Признаки: количество попыток входа, уникальные IP, время сессии
features = df.groupby('user').agg({
    'ip': 'nunique',
    'session_duration': 'mean',
    'hour': lambda x: (x == 3).sum()  # ночные попытки
}).reset_index()

# Нормализация
scaler = StandardScaler()
X_scaled = scaler.fit_transform(features[['ip', 'session_duration', 'hour']])

# Обучение модели
iso_forest = IsolationForest(contamination=0.05, random_state=42)
anomalies = iso_forest.fit_predict(X_scaled)

# Добавление результата
features['anomaly'] = anomalies
print(features[features['anomaly'] == -1])  # Показать аномалии
  

Как написать заключение по Информационная безопасность

В ходе работы была разработана модель расследования инцидентов на основе машинного обучения. Проанализированы существующие подходы, выбран алгоритм Isolation Forest, реализован прототип на Python. Модель показала точность детекции 91,4% на тестовом наборе данных. Экономический расчёт подтвердил целесообразность внедрения: срок окупаемости — 8 месяцев. Работа соответствует требованиям ГОСТ 34.602-2020 и методичке Финансового университета. Рекомендуется дальнейшее развитие модели с использованием LSTM для анализа временных последовательностей.

Требования к списку литературы Финансовый университет

Источники должны быть оформлены по ГОСТ Р 7.0.100-2018. Включите:

• Официальные документы: ФСТЭК, NIST SP 800-61 Rev.2.
• Научные статьи: CyberLeninka: «Системы обнаружения вторжений с использованием машинного обучения».
• Документация: scikit-learn: Isolation Forest.

Вопросы, которые часто задают студенты

• Можно ли использовать готовую модель из Kaggle? Да, но обязательно адаптируйте под задачу, измените архитектуру, добавьте пояснения.
• Какой объём должен быть у экономического расчёта? 15–20 страниц с таблицами, диаграммами, расчётами NPV и ROI.

✅ Чек-лист перед защитой Модель расследования компьютерных инцидентов на основе машинного обучения