Повышение полноты обнаружения скоординированных кибератак на основе межхостовой корреляции поведенческих аномалий в open-source SIEM-системах

Готовая работа не предполагает план (Содержание)

Весь текст будет доступен после покупки

Введение. Постановка проблемы и актуальность
Современные open-source SIEM-системы (Wazuh, ELK) эффективно детектирует инциденты на уровне отдельных хостов, но не способны выявить скоординированные атаки, распределенные между несколькими узлами инфраструктуры. Злоумышленники целенаправленно разделяют активность (разведку, горизонтальное перемещение, сбор данных) между разными хостами, маскируя ее под легитимные операции. Каждое отдельное событие на одном хосте остается ниже порога срабатывания правил, а существующие механизмы корреляции работают только с явными совпадениями событий.
Научная и практическая актуальность подтверждена развитием методов группового анализа поведения хостов и выраженной потребностью open-source SIEM в детектировании угроз для SOC корпоративного уровня.
Цель, задачи и гипотеза
Цель исследования: Разработка модуля межхостовой корреляции поведенческих аномалий для open-source SIEM (Wazuh, ELK), повышающего полноту обнаружения скоординированных киберугроз в корпоративной инфраструктуре.
Научная задача: повысить полноту обнаружения распределенных инцидентов за счет формализации модели группового поведения хостов и алгоритма корреляции их временных аномалий.
Задачи исследования:
1) Проанализировать архитектурные ограничения open-source SIEM в контексте межхостовой корреляции + разработать модель данных для агрегации поведенческих метрик хостов.
2) Предложить алгоритм детектирования и корреляции аномалий на основе статистических порогов и анализа совпадения отклонений в группах хостов, с дальнейшей реализацией прототипа модуля Cross-Host Behavioral Correlation (CHBC) в качестве тестирования для Wazuh + провести сравнительное тестирование на искусственно созданных лабораторных данных и открытых датасетах (DETT&CT), оценив интерпретируемость результатов.
Гипотеза. Учёт не только аномалий на отдельных узлах, но и совпадения временных отклонений базовых поведенческих метрик на группе хостов, принадлежащих одной логической зоне, позволит повысить полноту обнаружения скоординированных атак по сравнению со статическими правилами SIEM.

Весь текст будет доступен после покупки

A1. Практическая применимость модуля CHBC (пример детектирования)
Суть атаки:
Злоумышленник, скомпрометировав одну машину, пытается «перепрыгнуть» на другие хосты в сети, используя украденные учётные данные.
Как это выглядит в событиях:
Хост A (с которого идёт атака): В 11:00 фиксируется небольшой всплеск создания процессов cmd.exe / powershell.exe (например, +25% от нормы для этого времени). Это подготовка инструментов.
Хост B (первая цель): В 11:02 на нём немного повышается процент неудачных попыток аутентификации по сети (SMB, RDP) — к примеру, с 1% до 5%.
Хост C (вторая цель): В 11:03 на нём также повышается процент неудачных попыток аутентификации (с 0.5% до 4%). Атака идёт параллельно.
Хост D (успешное проникновение): В 11:05 на этом хосте, после успешного входа с украденным паролем, немного увеличивается количество исходящих соединений на нестандартные порты, при этом на хосте A наблюдается всплеск исходящего трафика (выгрузка данных).
Почему open-source SIEM пропустит такой alert:
1) На каждом хосте по отдельности не будет достигнут порог для правила «Множественные неудачные аутентификации».
2) Создание процессов на хосте A выглядит как легитимная активность админа.
3) События размазаны по разным хостам и по времени.
Как это обнаружит модуль CHBC (Cross-Host Behavioral Correlation):
Модуль, зная, что хосты B, C, D относятся к одной логической группе «серверы внутренней сети», построит для них групповой профиль нормы по метрике auth_fail_rate. Обнаружив, что у трёх и более хостов этой группы в одном временном диапазоне (?t = 5 мин) этот показатель значительно отклонился от нормы, он сгенерирует alert: «Скоординированная аномалия аутентификации в группе «internal_servers». Возможна попытка горизонтального перемещения (MITRE TA0008 – тактика Lateral Movement)».

Весь текст будет доступен после покупки

без списка литературы

Весь текст будет доступен после покупки