Метод автоматизованого виявлення атак у мережевому трафіку

Abstract

Кваліфікаційна робота присвячена розробці методу автоматизовано-го виявлення атак у мережевому трафіку з метою підвищення ефективності кіберзахисту в умовах зростання обсягів зашифрованого та високошвидкі-сного передавання даних. Актуальність дослідження зумовлена обмеже-ною ефективністю традиційних сигнатурних і контент-орієнтованих підхо-дів до аналізу мережевого трафіку, які не забезпечують належного рівня виявлення сучасних, зокрема малопомітних та раніше невідомих, мереже-вих атак. У роботі проаналізовано сучасні типи мережевих атак, їх характерні прояви у трафіку та існуючі системи виявлення вторгнень (IDS/IPS, NIDS, ML-IDS). Особливу увагу приділено проблемам виявлення атак у зашиф-рованому трафіку та в умовах високої пропускної здатності мереж, де ви-користання глибокої інспекції пакетів є обмеженим або неможливим. Розг-лянуто нормативно-правові та стандартні вимоги до забезпечення безпеки мережевого трафіку відповідно до міжнародних стандартів ISO/IEC та ре-комендацій NIST. Запропонований у роботі метод ґрунтується на аналізі поведінкових і стохастичних характеристик мережевих потоків, зокрема ентропійних по-казників, міжпакетних часових інтервалів, темпу зміни статистичних мет-рик та транспортних патернів. Поєднання цих ознак з алгоритмами ма-шинного навчання дозволяє здійснювати автоматизоване виявлення ано-мальної активності без доступу до корисного навантаження пакетів, що за-безпечує сумісність методу з сучасними криптографічно захищеними про-токолами. Експериментальні дослідження підтвердили доцільність застосування запропонованого методу для виявлення як інтенсивних, так і прихованих мережевих атак у режимі реального часу. Отримані результати свідчать про підвищення ефективності виявлення атак та зменшення кількості хиб-нопозитивних спрацювань порівняно з традиційними підходами. Практич-на цінність роботи полягає у можливості впровадження розробленого ме-тоду в корпоративні мережі, системи IDS/IPS та платформи управління ін-цидентами інформаційної безпеки.This qualification thesis is devoted to the development of a method for automated attack detection in network traffic aimed at improving cybersecurity effectiveness in environments characterized by high-speed and encrypted data transmission. The relevance of the research is driven by the limited effective-ness of traditional signature-based and content-oriented traffic analysis ap-proaches, which are unable to reliably detect modern, stealthy, and previously unknown network attacks. The thesis provides an analysis of contemporary network attack types, their manifestations in network traffic, and existing intrusion detection sys-tems, including IDS/IPS, NIDS, and ML-based IDS. Particular attention is paid to the challenges of attack detection in encrypted traffic and high-throughput networks, where deep packet inspection is restricted or infeasible. Regulatory and standardization aspects of network traffic security are also considered in accordance with ISO/IEC standards and NIST recommendations. The proposed method is based on the analysis of behavioral and sto-chastic characteristics of network flows, including entropy metrics, inter-packet time intervals, the rate of change of statistical features, and transport-level patterns. The combination of these features with machine learning algo-rithms enables automated detection of anomalous activity without accessing packet payloads, ensuring compatibility with modern cryptographically pro-tected protocols. Experimental results confirm the feasibility and effectiveness of the pro-posed method in detecting both high-intensity and stealthy network attacks in real-time conditions. The obtained results demonstrate improved detection per-formance and a reduction in false-positive rates compared to conventional ap-proaches. The practical value of the thesis lies in the applicability of the devel-oped method to corporate networks, intrusion detection and prevention sys-tems, and security operations center (SOC) platforms.