КРИТЕРІЇ РИЗИКУ ТА АЛГОРИТМИ ML ДЛЯ РОЗПІЗНАВАННЯ НЕБЕЗПЕКИ У ХМАРНОМУ СЕРЕДОВИЩІ

Анотація

У статті запропоновано та експериментально перевірено ML-орієнтований конвеєр виявлення небезпечних подій в API/HTTP-трафіку хмарних сервісів. Підхід поєднує два числові канали: (i) керований канал на структурованих ознаках події для стабільного розділення на нормальні або атаки, та (ii) додатковий канал нетипової поведінки, який підсилює реакцію на рідкісні або нові сценарії, слабко представлені у розмічених даних. Ключовою методологічною ідеєю є уніфікація різнорідних виходів моделей у спільну ймовірнісну шкалу ризику за допомогою калібрування, температурного масштабування та корекції на апріорну частку атак, що забезпечує порівнюваність оцінок між моделями різної природи. Для керованого контролю хибно-позитивних спрацювань застосовано вибір порогу за FPR-бюджетом, а для стабілізації групових оцінок використано ансамблювання, зокрема усереднення в адитивній шкалі відношення шансів. Після об’єднання сигналів каналів фінальне рішення стабілізується політиками керованості (зокрема гістерезисом), щоб уникати частих перемикань стану спрацювання в потоковому режимі. Окремо, якість моделей верифіковано як табличними метриками, так і візуально через аналіз розподілів оцінок ризику для нормальних подій та атак, що дозволяє інтерпретувати зону перекриття та вплив порогу на хибні сповіщення про небезпеку. Експерименти на тестовій вибірці показали високу якість керованого каналу: для основного ML-ансамблю отримано ROC-AUC=0.9843, PR-AUC=0.9511 та F1=0.8400 при FPR близько 0.051, тоді як базова лінійна модель має суттєво нижчі значення F1. Додатковий канал нетипової поведінки формує практично корисний сигнал, який доповнює керований канал при контрольованому рівні хибних сповіщень про небезпеку. Запропонована постановка придатна до масштабування на інші типи API та профілі навантаження, оскільки розділяє політики (пороги, ваги, параметри калібрування) від основного потоку обробки подій. Отримані результати підтверджують придатність підходу для інтеграції в інфраструктуру моніторингу та реагування у хмарному середовищі з керованими політиками порогів і оновленням моделей.