암호화된 트래픽을 복호화하지 않고 분석

트래픽을 복호화하지 않고 분석하는 시스템입니다. 이 방법을 간단히 "머신러닝"이라고 합니다. 매우 많은 양의 다양한 트래픽이 특수 분류기의 입력으로 공급되면 시스템은 매우 높은 확률로 암호화된 트래픽 내부의 악성 코드 활동을 탐지할 수 있는 것으로 나타났습니다.

온라인 위협은 변화하고 더욱 스마트해졌습니다. 최근에는 공격과 방어의 개념 자체가 바뀌었습니다. 네트워크의 이벤트 수가 크게 증가했습니다. 공격은 더욱 정교해졌고 해커의 범위는 더욱 넓어졌습니다.

Cisco 통계에 따르면 지난 3년 동안 공격자들은 활동에 사용하거나 오히려 이를 숨기기 위해 암호화하는 데 사용하는 악성 코드의 수를 XNUMX배로 늘렸습니다. "올바른" 암호화 알고리즘은 깨질 수 없다는 것이 이론을 통해 알려져 있습니다. 암호화된 트래픽 내부에 무엇이 숨겨져 있는지 이해하려면 키를 알고 복호화하거나 다양한 트릭을 사용하거나 직접 해킹하거나 암호화 프로토콜의 일종의 취약점을 사용하여 복호화해야 합니다.

우리 시대의 네트워크 위협에 대한 그림

기계 학습

기술을 직접 만나보세요! 머신러닝 기반 복호화 기술 자체가 어떻게 작동하는지 이야기하기 전에 신경망 기술이 어떻게 작동하는지 먼저 이해할 필요가 있다.

기계 학습은 학습할 수 있는 알고리즘을 구성하는 방법을 연구하는 인공 지능의 광범위한 하위 섹션입니다. 이 과학은 컴퓨터를 "훈련"하기 위한 수학적 모델을 만드는 것을 목표로 합니다. 학습의 목적은 무언가를 예측하는 것입니다. 인간의 이해에서는 이 과정을 단어라고 부릅니다. "지혜". 지혜는 꽤 오랫동안 살았던 사람들에게 나타납니다 (2 살짜리 아이는 현명 할 수 없습니다). 선배 동지들에게 조언을 구하면 이벤트에 대한 정보(입력 데이터)를 제공하고 도움을 요청합니다. 그들은 차례로 당신의 문제(지식 기반)와 관련된 삶의 모든 상황을 기억하고 이 지식(데이터)을 기반으로 우리에게 일종의 예측(조언)을 제공합니다. 이러한 유형의 조언은 조언을 하는 사람이 무슨 일이 일어날지 확실히 모르고 단지 가정만 하기 때문에 예측이라고 불리기 시작했습니다. 인생 경험은 사람이 옳을 수도 있고 틀릴 수도 있음을 보여줍니다.

신경망을 분기 알고리즘(if-else)과 비교하면 안 됩니다. 이것들은 서로 다르며 중요한 차이점이 있습니다. 분기 알고리즘에는 수행할 작업에 대한 명확한 "이해"가 있습니다. 예시를 들어 설명하겠습니다.

일. 제조사와 제조 연도를 기준으로 자동차의 제동 거리를 결정하세요.

분기 알고리즘의 예. 자동차가 브랜드 1이고 2012년에 출시된 경우 제동 거리는 10미터이고, 브랜드 2이고 2011년에 출시된 자동차인 경우 등등입니다.

신경망의 예. 우리는 지난 20년 동안 자동차 제동 거리에 대한 데이터를 수집합니다. 제조업체와 연도별로 "제조 거리-제동 거리" 형식의 테이블을 작성합니다. 우리는 이 테이블을 신경망에 발행하고 가르치기 시작합니다. 훈련은 다음과 같이 수행됩니다. 신경망에 데이터를 공급하지만 제동 경로는 없습니다. 뉴런은 로드된 테이블을 기반으로 제동 거리를 예측하려고 합니다. 무언가를 예측하고 사용자에게 "내가 맞나요?"라고 묻습니다. 질문 전에 그녀는 추측 열인 네 번째 열을 만듭니다. 그녀가 맞다면 네 번째 열에 1을 쓰고, 틀리면 0을 씁니다. 신경망은 (실수하더라도) 다음 이벤트로 이동합니다. 이것이 네트워크가 학습하는 방식이며 훈련이 완료되면(특정 수렴 기준에 도달) 관심 있는 자동차에 대한 데이터를 제출하고 최종적으로 답변을 얻습니다.

수렴기준에 대한 의문을 없애기 위해 수학적으로 도출된 통계 공식임을 설명하겠습니다. 두 가지 서로 다른 수렴 공식의 놀라운 예입니다. 빨간색 – 이진 수렴, 파란색 – 일반 수렴.

이항 및 정규 확률 분포

더 명확하게 하기 위해 “공룡을 만날 확률은 얼마나 되나요?”라는 질문을 던져보세요. 여기에는 2가지 가능한 답변이 있습니다. 옵션 1 - 매우 작습니다(파란색 그래프). 옵션 2 – 회의 여부(빨간색 그래프).

물론 컴퓨터는 사람이 아니며 다르게 학습합니다. 철마 훈련에는 2가지 유형이 있습니다. 사례 기반 학습 и 연역적 학습.

선례에 의한 교육은 수학적 법칙을 사용하여 가르치는 방법입니다. 수학자들은 통계표를 수집하고 결론을 도출하며 그 결과를 계산 공식인 신경망에 로드합니다.

연역적 학습 - 학습은 전적으로 뉴런에서 발생합니다(데이터 수집부터 분석까지). 여기에 공식은 없지만 통계가 포함된 테이블이 구성됩니다.

기술에 대한 광범위한 개요를 살펴보려면 수십 개의 기사가 더 필요합니다. 지금은 이것이 우리의 일반적인 이해에 충분할 것입니다.

신경가소성

생물학에는 신경가소성이라는 개념이 있습니다. 신경가소성은 “상황에 따라” 행동하는 뉴런(뇌세포)의 능력입니다. 예를 들어, 시력을 잃은 사람은 소리를 듣고 냄새를 맡고 물체를 더 잘 감지합니다. 이는 시력을 담당하는 뇌 부분(뉴런의 일부)이 자신의 작업을 다른 기능에 재분배한다는 사실로 인해 발생합니다.

삶의 신경가소성의 놀라운 예는 BrainPort 막대사탕입니다.

2009년 매디슨 위스콘신 대학교는 "언어 디스플레이" 아이디어를 개발한 새로운 장치인 BrainPort를 출시했다고 발표했습니다. BrainPort는 다음 알고리즘에 따라 작동합니다. 비디오 신호는 카메라에서 확대/축소, 밝기 및 기타 사진 매개변수를 제어하는 ​​프로세서로 전송됩니다. 또한 디지털 신호를 전기 자극으로 변환하여 본질적으로 망막의 기능을 대신합니다.

안경과 카메라가 포함된 BrainPort 롤리팝

직장에서의 BrainPort

컴퓨터도 마찬가지입니다. 신경망은 프로세스의 변화를 감지하면 이에 적응합니다. 이것이 다른 알고리즘에 비해 신경망의 주요 장점인 자율성입니다. 일종의 인류.

암호화된 트래픽 분석

암호화된 트래픽 분석은 Stealthwatch 시스템의 일부입니다. Stealthwatch는 기존 네트워크 인프라의 엔터프라이즈 원격 측정 데이터를 활용하는 Cisco의 보안 모니터링 및 분석 솔루션입니다.

Stealthwatch Enterprise는 Flow Rate 라이선스, Flow Collector, 관리 콘솔 및 Flow Sensor 도구를 기반으로 합니다.

Cisco Stealthwatch 인터페이스

훨씬 더 많은 트래픽이 암호화되기 시작했기 때문에 암호화 문제는 매우 심각해졌습니다. 이전에는 (대부분) 코드만 암호화되었지만 이제는 모든 트래픽이 암호화되어 "깨끗한" 데이터를 바이러스에서 분리하는 것이 훨씬 더 어려워졌습니다. 눈에 띄는 예는 Tor를 사용하여 온라인 존재를 숨긴 WannaCry입니다.

네트워크의 트래픽 암호화 증가 시각화

거시경제학의 암호화

암호화된 트래픽을 해독하지 않고 작업하려면 암호화된 트래픽 분석(ETA) 시스템이 필요합니다. 공격자는 똑똑하고 암호화에 강한 암호화 알고리즘을 사용하므로 이를 깨는 것은 문제일 뿐만 아니라 조직에 막대한 비용을 초래합니다.

시스템은 다음과 같이 작동합니다. 회사에 약간의 트래픽이 발생합니다. TLS(전송 계층 보안)에 속합니다. 트래픽이 암호화되었다고 가정해 보겠습니다. 우리는 어떤 종류의 연결이 이루어졌는지에 대한 여러 질문에 답하려고 노력하고 있습니다.

암호화된 트래픽 분석(ETA) 시스템 작동 방식

이러한 질문에 답하기 위해 우리는 이 시스템에서 기계 학습을 사용합니다. Cisco에서 조사한 내용을 바탕으로 악의적인 트래픽과 "양호한" 트래픽이라는 2가지 결과로 표가 생성되었습니다. 물론, 현재 시점에서 어떤 종류의 트래픽이 시스템에 직접 유입되었는지는 확실하지 않지만, 세계 무대의 데이터를 활용하여 회사 내부와 외부의 트래픽 이력을 추적할 수 있습니다. 이 단계가 끝나면 데이터가 포함된 거대한 테이블을 얻게 됩니다.

연구 결과를 바탕으로 특징적인 특징, 즉 수학적 형식으로 기록할 수 있는 특정 규칙이 식별됩니다. 이러한 규칙은 전송된 파일의 크기, 연결 유형, 트래픽이 발생하는 국가 등 다양한 기준에 따라 크게 달라집니다. 작업의 결과로 거대한 테이블은 일련의 수식 더미로 바뀌었습니다. 그 수가 적지 만 편안한 작업에는 충분하지 않습니다.

다음으로, 기계 학습 기술이 적용됩니다(수식 수렴). 수렴의 결과에 따라 데이터가 출력될 때 올라가거나 내려간 위치에 스위치(플래그)가 생기는 스위치인 트리거를 얻습니다.

결과 단계에서는 트래픽의 99%를 처리하는 트리거 세트를 획득합니다.

ETA의 트래픽 검사 단계

작업의 결과로 내부로부터의 공격이라는 또 다른 문제가 해결되었습니다. 더 이상 중간에 있는 사람들이 수동으로 트래픽을 필터링할 필요가 없습니다. (이 시점에서 저는 빠져들고 있습니다.) 첫째, 더 이상 유능한 시스템 관리자에게 많은 돈을 쓸 필요가 없습니다(저는 계속해서 빠져들고 있습니다). 둘째, 내부에서 (적어도 부분적으로) 해킹의 위험이 없습니다.

시대에 뒤떨어진 중간자 개념

이제 시스템의 기반이 무엇인지 알아 보겠습니다.

시스템은 TCP/IP – 인터넷 데이터 전송 프로토콜, DNS – 도메인 이름 서버, TLS – 전송 계층 보안 프로토콜, SPLT(SpaceWire Physical Layer Tester) – 물리적 통신 계층 테스터의 4가지 통신 프로토콜에서 작동합니다.

ETA와 함께 작동하는 프로토콜

비교는 데이터를 비교하여 이루어집니다. TCP/IP 프로토콜을 사용하여 사이트의 평판(방문 기록, 사이트 생성 목적 등)을 확인하고, DNS 프로토콜 덕분에 "불량" 사이트 주소를 삭제할 수 있습니다. TLS 프로토콜은 사이트의 지문과 함께 작동하며 컴퓨터 긴급 대응 팀(인증서)에 대해 사이트를 확인합니다. 연결 확인의 마지막 단계는 물리적 수준에서 확인하는 것입니다. 이 단계의 세부 사항은 지정되지 않았지만 요점은 다음과 같습니다. 오실로그래픽 설치에서 데이터 전송 곡선의 사인 및 코사인 곡선을 확인합니다. 물리 계층의 요청 구조 덕분에 우리는 연결의 목적을 결정합니다.

시스템 작동의 결과로 우리는 암호화된 트래픽으로부터 데이터를 얻을 수 있습니다. 패킷을 검사함으로써 패킷 자체의 암호화되지 않은 필드에서 가능한 많은 정보를 읽을 수 있습니다. 물리 계층에서 패킷을 검사함으로써 패킷의 특성(부분 또는 전체)을 알아냅니다. 또한 사이트의 평판을 잊지 마십시오. 요청이 일부 .onion 소스에서 나온 경우 이를 신뢰해서는 안 됩니다. 이러한 종류의 데이터를 보다 쉽게 ​​사용할 수 있도록 위험 지도가 만들어졌습니다.

ETA 작업 결과

모든 것이 괜찮은 것 같지만 네트워크 배포에 대해 이야기해 보겠습니다.

ETA의 물리적 구현

여기에서 많은 뉘앙스와 미묘함이 발생합니다. 첫째, 이런 종류의 제품을 만들 때
높은 수준의 소프트웨어가 있는 네트워크에서는 데이터 수집이 필요합니다. 완전히 수동으로 데이터 수집
거칠지만 응답 시스템을 구현하는 것이 이미 더 흥미롭습니다. 둘째, 데이터
많아야 합니다. 이는 설치된 네트워크 센서가 작동해야 함을 의미합니다.
자율적으로뿐만 아니라 미세 조정 모드에서도 많은 어려움을 겪습니다.

센서 및 Stealthwatch 시스템

센서를 설치하는 것과 설정하는 것은 완전히 다른 작업입니다. 센서를 구성하려면 다음 토폴로지에 따라 작동하는 컴플렉스가 있습니다. ISR = Cisco 통합 서비스 라우터; ASR = Cisco 집합 서비스 라우터; CSR = Cisco 클라우드 서비스 라우터; WLC = Cisco 무선 LAN 컨트롤러; IE = Cisco 산업용 이더넷 스위치; ASA = Cisco 적응형 보안 어플라이언스; FTD = Cisco Firepower 위협 방어 솔루션; WSA = 웹 보안 어플라이언스; ISE = ID 서비스 엔진

모든 원격 측정 데이터를 고려한 포괄적인 모니터링

네트워크 관리자는 이전 단락의 "Cisco"라는 단어의 수로부터 부정맥을 경험하기 시작합니다. 이 기적의 대가는 적지 않지만 오늘 우리가 이야기하는 것은 그것이 아닙니다...

해커의 행동은 다음과 같이 모델링됩니다. Stealthwatch는 네트워크에 있는 모든 장치의 활동을 주의 깊게 모니터링하고 정상적인 동작 패턴을 생성할 수 있습니다. 또한 이 솔루션은 알려진 부적절한 행동에 대한 깊은 통찰력을 제공합니다. 이 솔루션은 스캐닝, 호스트 경보 프레임, 무차별 로그인, 의심되는 데이터 캡처, 의심되는 데이터 유출 등과 같은 다양한 유형의 트래픽 동작을 해결하는 약 100가지의 다양한 분석 알고리즘 또는 경험적 방법을 사용합니다. 나열된 보안 이벤트는 높은 수준의 논리적 경보 범주에 속합니다. 일부 보안 이벤트는 자체적으로 경보를 트리거할 수도 있습니다. 따라서 시스템은 격리된 여러 변칙 사고의 상관관계를 파악하고 이를 종합하여 가능한 공격 유형을 판단할 수 있을 뿐만 아니라 이를 특정 장치 및 사용자에 연결할 수 있습니다(그림 2). 앞으로는 관련 원격 측정 데이터를 고려하여 시간이 지남에 따라 사건을 연구할 수 있습니다. 이는 최상의 상황 정보를 구성합니다. 무엇이 잘못되었는지 이해하기 위해 환자를 진찰하는 의사는 증상만 따로 살펴보지 않습니다. 그들은 진단을 내리기 위해 큰 그림을 봅니다. 마찬가지로 Stealthwatch는 네트워크의 모든 비정상적인 활동을 캡처하고 이를 전체적으로 검사하여 상황 인식 알람을 보내므로 보안 전문가가 위험의 우선순위를 정하는 데 도움이 됩니다.

행동 모델링을 이용한 이상 탐지

네트워크의 물리적 배포는 다음과 같습니다.

지점 네트워크 구축 옵션(간소화)

지점 네트워크 구축 옵션

네트워크가 배포되었지만 뉴런에 대한 질문은 여전히 ​​열려 있습니다. 그들은 데이터 전송 네트워크를 구성하고 임계값에 센서를 설치하고 정보 수집 시스템을 시작했지만 뉴런은 이 문제에 참여하지 않았습니다. 안녕.

다층 신경망

시스템은 사용자 및 장치 동작을 분석하여 악성 감염, 명령 및 제어 서버와의 통신, 데이터 유출, 조직의 인프라에서 실행되는 잠재적으로 원치 않는 응용 프로그램을 감지합니다. 인공 지능, 기계 학습 및 수학적 통계 기술을 결합하여 네트워크가 정상적인 활동을 자체 학습하여 악의적인 활동을 탐지할 수 있도록 돕는 여러 계층의 데이터 처리가 있습니다.

암호화된 트래픽을 포함하여 확장된 네트워크의 모든 부분에서 원격 측정 데이터를 수집하는 네트워크 보안 분석 파이프라인은 Stealthwatch의 고유한 기능입니다. 이는 "변칙적"이 무엇인지에 대한 이해를 점진적으로 발전시킨 다음 "위협 활동"의 실제 개별 요소를 분류하고 마지막으로 장치 또는 사용자가 실제로 손상되었는지 여부에 대한 최종 판단을 내립니다. 자산 손상 여부에 대한 최종 결정을 내리기 위해 증거를 형성하는 작은 조각들을 함께 엮는 능력은 매우 신중한 분석과 상관관계를 통해 나옵니다.

일반적인 비즈니스에서는 매일 엄청난 수의 경보를 받을 수 있고 보안 전문가의 리소스가 제한되어 있기 때문에 모든 경보를 조사하는 것은 불가능하기 때문에 이 기능이 중요합니다. 머신 러닝 모듈은 방대한 양의 정보를 거의 실시간으로 처리하여 높은 수준의 확신을 갖고 중요한 사건을 식별하고 신속한 해결을 위한 명확한 조치 과정을 제공할 수도 있습니다.

Stealthwatch에서 사용하는 수많은 머신러닝 기술을 자세히 살펴보겠습니다. 사고가 Stealthwatch의 기계 학습 엔진에 제출되면 감독 및 비지도 기계 학습 기술을 조합하여 사용하는 보안 분석 퍼널을 거칩니다.

다단계 머신러닝 기능

레벨 1. 이상 탐지 및 신뢰 모델링

이 수준에서는 통계적 이상 탐지기를 사용하여 트래픽의 99%가 삭제됩니다. 이러한 센서는 함께 무엇이 정상이고 무엇이 비정상인지에 대한 복잡한 모델을 형성합니다. 그러나 비정상적인 것이 반드시 해로운 것은 아닙니다. 네트워크에서 발생하는 많은 일들은 위협과 관련이 없으며 단지 이상할 뿐입니다. 위협적인 행동에 관계없이 그러한 프로세스를 분류하는 것이 중요합니다. 이러한 이유로, 설명할 수 있고 신뢰할 수 있는 이상한 행동을 포착하기 위해 이러한 탐지기의 결과를 추가로 분석합니다. 궁극적으로 가장 중요한 스레드와 요청 중 극히 일부만이 레이어 2와 3에 도달합니다. 이러한 기계 학습 기술을 사용하지 않으면 신호와 잡음을 분리하는 데 드는 운영 비용이 너무 높아집니다.

이상 탐지. 이상 탐지의 첫 번째 단계는 통계적 기계 학습 기술을 사용하여 통계적으로 정상 트래픽과 이상 트래픽을 구분합니다. 70개 이상의 개별 탐지기가 Stealthwatch가 네트워크 경계를 통과하는 트래픽에서 수집한 원격 측정 데이터를 처리하여 내부 DNS(Domain Name System) 트래픽을 프록시 서버 데이터(있는 경우)에서 분리합니다. 각 요청은 70개 이상의 감지기에 의해 처리되며, 각 감지기는 자체 통계 알고리즘을 사용하여 감지된 이상 징후에 대한 평가를 구성합니다. 이러한 점수는 결합되며 여러 통계 방법을 사용하여 각 개별 쿼리에 대한 단일 점수를 생성합니다. 그런 다음 이 집계 점수를 사용하여 정상 트래픽과 비정상 트래픽을 구분합니다.

신뢰를 모델링합니다. 다음으로 유사한 요청을 그룹화하고 해당 그룹에 대한 집계된 이상 점수를 장기 평균으로 결정합니다. 시간이 지남에 따라 더 많은 쿼리가 분석되어 장기 평균을 결정하므로 거짓양성과 거짓음성이 줄어듭니다. 신뢰 모델링 결과는 이상 점수가 동적으로 결정된 일부 임계값을 초과하는 트래픽의 하위 집합을 선택하여 다음 처리 수준으로 이동하는 데 사용됩니다.

2 단계. 이벤트 분류 및 객체 모델링

이 수준에서는 이전 단계에서 얻은 결과를 분류하여 특정 악성 이벤트에 할당합니다. 이벤트는 기계 학습 분류자가 할당한 값을 기준으로 분류되어 90% 이상의 일관된 정확도를 보장합니다. 그 중에는:

• Neyman-Pearson 보조 정리(기사 시작 부분의 그래프에 있는 정규 분포 법칙)를 기반으로 한 선형 모델
• 다변량 학습을 사용한 지원 벡터 머신
• 신경망과 랜덤 포레스트 알고리즘.

이러한 격리된 보안 이벤트는 시간이 지남에 따라 단일 엔드포인트와 연결됩니다. 이 단계에서는 관련 공격자가 어떻게 특정 결과를 달성했는지에 대한 완전한 그림이 생성되는 위협 설명이 형성됩니다.

이벤트 분류. 이전 수준의 통계적으로 비정상적인 하위 집합은 분류기를 사용하여 100개 이상의 범주로 분산됩니다. 대부분의 분류자는 개인 행동, 그룹 관계 또는 글로벌 또는 로컬 규모의 행동을 기반으로 하는 반면, 다른 분류자는 매우 구체적일 수 있습니다. 예를 들어 분류자는 C&C 트래픽, 의심스러운 확장 프로그램 또는 승인되지 않은 소프트웨어 업데이트를 나타낼 수 있습니다. 이 단계의 결과를 바탕으로 특정 범주로 분류된 보안 시스템의 일련의 변칙 이벤트가 형성됩니다.

객체 모델링. 특정 개체가 유해하다는 가설을 뒷받침하는 증거의 양이 중요성 임계값을 초과하는 경우 위협으로 판단됩니다. 위협의 정의에 영향을 준 관련 이벤트는 해당 위협과 연관되어 있으며 개체의 개별 장기 모델의 일부가 됩니다. 시간이 지남에 따라 증거가 축적됨에 따라 시스템은 중요성 임계값에 도달하면 새로운 위협을 식별합니다. 이 임계값은 동적이며 위협 위험 수준 및 기타 요인에 따라 지능적으로 조정됩니다. 그 후 해당 위협은 웹 인터페이스의 정보 패널에 나타나고 다음 레벨로 이동됩니다.

레벨 3. 관계 모델링

관계 모델링의 목적은 해당 사건의 지역적 맥락뿐만 아니라 글로벌 맥락을 고려하여 이전 수준에서 얻은 결과를 글로벌 관점에서 종합하는 것입니다. 이 단계에서는 해당 공격이 특별히 귀하를 겨냥한 것인지 아니면 글로벌 캠페인의 일부인지를 이해하기 위해 그러한 공격에 직면한 조직의 수를 확인할 수 있습니다.

사건이 확인되거나 발견되었습니다. 검증된 사고는 관련 기술 및 도구가 이전에 더 큰(글로벌) 규모로 실행되는 것으로 관찰되었기 때문에 99~100% 신뢰도를 의미합니다. 감지된 사고는 귀하에게 고유하며 고도로 타겟팅된 캠페인의 일부를 구성합니다. 과거 조사 결과는 알려진 조치 과정과 공유되므로 대응에 소요되는 시간과 리소스가 절약됩니다. 공격한 사람이 누구인지, 캠페인이 디지털 비즈니스를 표적으로 삼은 정도를 이해하는 데 필요한 조사 도구가 함께 제공됩니다. 상상할 수 있듯이 확인된 사고의 수는 감지된 사고의 수를 훨씬 초과합니다. 그 이유는 확인된 사고의 경우 공격자에게 큰 비용이 들지 않는 반면 감지된 사고의 경우 비용이 많이 발생하기 때문입니다.
새롭고 맞춤화되어야 하기 때문에 비용이 많이 듭니다. 확인된 사건을 식별하는 능력을 개발함으로써 게임의 경제 구조는 마침내 방어자에게 유리하게 바뀌어 뚜렷한 이점을 제공했습니다.

ETA 기반 신경 연결 시스템의 다단계 훈련

글로벌 위험 지도

글로벌 위험 지도는 업계 최대 규모의 데이터 세트 중 하나에 기계 학습 알고리즘을 적용한 분석을 통해 생성됩니다. 이는 알려지지 않은 경우에도 인터넷상의 서버와 관련된 동작에 대한 광범위한 통계를 제공합니다. 이러한 서버는 공격과 연관되어 있으며 향후 공격의 일부로 연루되거나 사용될 수 있습니다. 이는 "블랙리스트"가 아니라 보안 관점에서 문제의 서버에 대한 포괄적인 그림입니다. 이러한 서버의 활동에 대한 상황별 정보를 통해 Stealthwatch의 머신 러닝 탐지기 및 분류기는 해당 서버와의 통신과 관련된 위험 수준을 정확하게 예측할 수 있습니다.

사용 가능한 카드를 볼 수 있습니다. 여기에.

460억 XNUMX천만 개의 IP 주소를 보여주는 세계 지도

이제 네트워크가 학습하여 네트워크를 보호합니다.

드디어 만병통치약이 발견됐다?

불행하게도, 아니. 시스템 작업 경험을 통해 두 가지 글로벌 문제가 있다고 말할 수 있습니다.

문제 1. 가격. 전체 네트워크는 Cisco 시스템에 구축됩니다. 이것은 좋은 점이기도 하고 나쁜 점이기도 합니다. 좋은 점은 D-Link, MikroTik 등과 같은 여러 플러그를 귀찮게 설치하지 않아도 된다는 것입니다. 단점은 시스템 비용이 엄청나다는 것입니다. 러시아 기업의 경제 상황을 고려할 때 현재로서는 대기업이나 은행의 부유한 소유주만이 이러한 기적을 감당할 수 있습니다.

문제 2: 훈련. 기사에 신경망 훈련 기간을 쓰지 않았지만 신경망이 없어서가 아니라 항상 학습하고 있어서 언제 학습할지 예측할 수 없기 때문입니다. 물론 수학적 통계 도구(Pearson 수렴 기준과 동일한 공식화)가 있지만 이는 절반 정도의 측정값입니다. 우리는 트래픽을 필터링할 확률을 얻습니다. 심지어 공격이 이미 마스터되고 알려진 조건에서만 가능합니다.

이 두 가지 문제에도 불구하고 우리는 정보보안 전반, 특히 네트워크 보호 분야에서 큰 도약을 이루었습니다. 이 사실은 현재 매우 유망한 방향인 네트워크 기술과 신경망 연구에 동기를 부여할 수 있습니다.

출처 : habr.com