Модель виявлення багатопрофільних загроз нульового дня в умовах обмежених ресурсів

Анотація

У статті наведено результати дослідження, спрямованого на створення ефективної моделі виявлення багатопрофільних загроз нульового дня в умовах обмежених ресурсів, характерних для періоду дії воєнного стану. Актуальність теми зумовлена зростанням інтенсивності кібератак під час воєнних дій, коли критично важливо забезпечити безпеку інформаційних систем навіть за наявності дефіциту обчислювальних потужностей, людських ресурсів і фінансування. Особливу увагу надано загрозам нульового дня, які становлять одну з найнебезпечніших форм кіберзагроз через свою непередбачуваність, відсутність публічної інформації й значний потенціал шкоди для об’єктів критичної інфраструктури та оборонних систем. Мета статті. На основі аналізу методик до виявлення багатопрофільних загроз нульового дня в умовах дії воєнного стану з нестачею фінансування, потрібної інфраструктури, кваліфікованого персоналу, розробити авторську багаторівневу модель виявлення таких загроз з урахуванням поєднання попередньої фільтрації, поведінкового аналізу та локального самонавчання для забезпечення ефективного реагування на кіберзагрози в умовах обмежених ресурсів.

Методи дослідження. Під час написання статті застосовано комплекс теоретичних і прикладних методів дослідження. До теоретичних методів належить аналіз й узагальнення наукових джерел, що дало змогу систематизувати підходи до виявлення загроз нульового дня та визначити їх переваги і недоліки в умовах обмежених ресурсів. Метод порівняльного аналізу було використано для зіставлення ефективності традиційних та інноваційних методів кіберзахисту за критеріями ресурсозалежності, автономності й точності виявлення. З прикладних методів використано метод поведінкового моделювання, який дав змогу побудувати базову структуру системи, орієнтованої на фіксацію аномальної активності. Для валідації запропонованої моделі застосовано метод комп’ютерного експерименту, в межах якого проводилось тестування ефективності алгоритмів класифікації аномалій (на прикладі автоенкодера та алгоритму Isolation Forest) у змодельованому ізольованому середовищі. Метод моделювання та прототипування став основою для побудови архітектури адаптивного евристичного моніторингу та формування багаторівневої структури виявлення аномальних подій у реальному часі. Зазначений методичний підхід дав змогу розкрити особливості роботи моделей у середовищах з обмеженою обчислювальною потужністю, піддати аналізу точність виявлення загроз нульового дня порівняно з традиційними підходами, а також провести симуляційний експеримент для перевірки гіпотези щодо ефективності легковагової самонавчальної системи в умовах воєнного стану.

Отримані результати дослідження. У результаті проведеного дослідження здійснено ґрунтовний аналіз сучасних підходів до виявлення багатопрофільних загроз нульового дня, з урахуванням специфіки функціонування інформаційних систем в умовах дії воєнного стану та обмеженості ресурсів. Виявлено обмеження традиційних засобів кіберзахисту (зокрема, SIEM-систем), які виявляються малоефективними за умов ізоляції, нестачі обчислювальної потужності та кваліфікованого персоналу. Розроблено авторську модель виявлення загроз нульового дня, що поєднує попередню фільтрацію, поведінковий аналіз та локальне самонавчання за допомогою легковагових алгоритмів класифікації аномалій (зокрема, автоенкодера та Isolation Forest). Модель формалізовано у вигляді багаторівневої архітектури, здатної до автономного функціонування, локального оновлення та швидкого реагування на аномальні події в режимі реального часу. Запропоновано концепцію адаптивного евристичного моніторингу, яка дає змогу виявляти ознаки експлуатації вразливостей нульового дня навіть без попередніх знань про саму загрозу. Сформульовано механізм ризик-орієнтованої ізоляції процесів, що передбачає тимчасове блокування потенційно небезпечних дій зі збереженням працездатності критичних служб. Проведено експериментальне тестування моделі в умовах, наближених до реального середовища кіберконфлікту. За результатами тестування доведено ефективність моделі у виявленні багатопрофільних аномалій із високою точністю, водночас, забезпечується низький рівень помилкових спрацювань, навіть на застарілому або малопотужному обладнанні. Отримані результати засвідчують, що запропонована модель може бути впроваджена в системи кіберзахисту, які функціонують в умовах воєнного конфлікту, обмежених ресурсів або автономного розгортання, що суттєво розширює можливості забезпечення інформаційної безпеки в критичних галузях.

Теоретична й практична значущість викладеного у статті зводиться до науково обґрунтованого підходу стосовно оцінювання класичних інструментів кіберзахисту в умовах обмежених ресурсів, коли критично важливими є автономність, швидкість реагування та низька залежність від зовнішніх джерел оновлень. Практичною значущістю – є можливість застосування розробленої моделі для реалізації гібридного підходу, який буде поєднувати переваги кількох методів та дасть змогу забезпечити багаторівневий, гнучкий і масштабований захист. Це сприятме забезпеченню надійного рівня захисту від загроз нульового дня в умовах обмежених ресурсів.