В Московском техническом университете связи и информатики разработали систему на базе искусственного интеллекта, способную самостоятельно перестраивать параметры сетевой защиты при возникновении угроз. Программа анализирует состояние инфраструктуры и подбирает конфигурацию оборудования без постоянного вмешательства администратора.
Разработку создали сотрудники факультета информационных технологий под руководством профессора Юрия Леохина и доцента Тимура Фатхулина. Система работает с разнородными сетями связи, где одновременно функционируют устройства, протоколы и сервисы разных типов. Вместо использования заранее установленного набора правил алгоритм выбирает параметры на основе текущего состояния сети и характера выявленных угроз.
По данным разработчиков, новая архитектура сократила время обучения с 82 до 30 минут. Метрика F1, которая оценивает точность обнаружения угроз и долю выявленных атак, увеличилась на 5,4 процентного пункта и составила 94,8%. При выявлении внутренних угроз, связанных с действиями пользователей, имеющих законный доступ к инфраструктуре, результат улучшился на 9,4 процентного пункта.
Система объединяет три метода машинного обучения. Алгоритм Double Dueling DQN применяет обучение с подкреплением, позволяя системе оценивать последствия своих решений и выбирать более эффективные стратегии. Графовая нейросеть GATv2 исследует связи между узлами инфраструктуры. Байесовская оптимизация подбирает параметры без полного перебора всех вариантов.
Для обучения исследователи использовали имитационную модель сети. Алгоритм проверяет различные настройки в виртуальной среде, оценивает результаты и корректирует дальнейшие действия. Разработчики добавили шесть модификаций базовой архитектуры, включая анализ топологии сети, изменение функции вознаграждения и механизм противодействия дрейфу данных, когда характеристики сетевого трафика постепенно меняются.
Отдельную сложность представляла безопасность автоматических решений. Нейросеть, которая самостоятельно управляет оборудованием, может выбрать конфигурацию, нарушающую работу сервисов или создающую новые возможности для атак. Авторы указывают, что предусмотрели ограничения, исключающие недопустимые настройки. Насколько эффективно эти ограничения действуют в реальной инфраструктуре, пока неизвестно.
Для проверки использовали независимые наборы данных TON_IoT, созданные в Университете Нового Южного Уэльса в Австралии. Наборы содержат информацию о сетевом трафике, работе операционных систем и подключённых устройств, включая примеры нормальной активности и различных кибератак. Такой материал позволяет оценивать способность защитных алгоритмов распознавать вредоносную активность в неоднородной инфраструктуре.
Разработчики утверждают, что модель распознаёт даже классы атак, которых не было в обучающей выборке. Такая устойчивость интересна для защиты от ранее неизвестных угроз, но результаты лабораторных проверок не гарантируют, что программа обнаружит любую новую атаку. Результаты независимых испытаний в действующих сетях операторов связи пока не представлены.
Программу предполагается устанавливать на физические и виртуальные контроллеры программно-определяемых сетей. В такой архитектуре централизованный контроллер управляет маршрутизацией и обработкой трафика, поэтому изменение параметров защиты не требует отдельной настройки каждого устройства. Разработчики также рассматривают интеграцию алгоритма с существующими системами сетевого администрирования.
На данный момент МТУСИ представил результаты исследования, а не готовый коммерческий продукт. Информация о сроках внедрения, поддерживаемых устройствах и скорости реакции на реальные инциденты пока отсутствует. Следующим этапом авторы называют применение алгоритмов в телекоммуникационной отрасли. Систему также планируют использовать в подготовке студентов и повышении квалификации ИТ-специалистов.
