AI-POWERED SYSTEM FOR NETWORK ACTIVITY MONITORING AND DETECTION OF SQL INJECTION ATTACKS USING ZABBIX AND GRAFANA

Аннотация

Своевременное и точное обнаружение SQL-инъекций — непростая задача. По сути, это задача онлайн-сопоставления шаблонов, требующая постоянного мониторинга огромных объемов сетевого трафика и быстрого выявления мельчайших аномалий. Чтобы автоматизировать эту задачу, мы разработали и внедрили интеллектуальную систему мониторинга, которая комбинаторно использует Zabbix для сбора данных, Grafana для визуального интерактивного анализа и модели машинного обучения для классификации активности. Архитектура системы непрерывно пропускает необработанные сетевые потоки через агентов Zabbix в стратегических точках входа и выхода. Собранные метрики (шаблоны HTTP-запросов, энтропия полезной нагрузки запроса, аномальная задержка ответа и т. д.) затем передаются в дополнительный модуль предварительной обработки, который применяет методы проектирования признаков и снижения размерности.

Ансамбль из дерева решений с градиентным усилением и рекуррентной нейронной сети присваивает каждому сеансу вероятностную оценку риска SQL-инъекции в режиме реального времени. События с оценкой выше заданного порогового значения одновременно регистрируются в Zabbix, отображаются на панелях управления Grafana и направляются для выполнения в сценарии оркестровки безопасности. Замкнутый цикл обратной связи значительно сокращает среднее время обнаружения (MTTD) и среднее время реагирования (MTTR), благодаря чему аналитики безопасности активно реагируют на высокорисковые события, а неопасные события автоматически отфильтровываются. Экспериментальная проверка на наборе данных с маркировкой 5,2 млн HTTP-транзакций выявила 97,3% полноты и 1,8% ложных срабатываний, что более чем на 12 процентных пунктов превышает показатели базовых мониторов на основе сигнатур по шкале F1. Тесты развертывания в промышленной среде также подтверждают отсутствие дополнительных затрат (<2% ресурсов ЦП, <50 МБ ОЗУ) на отслеживаемых хостах. Таким образом, предлагаемая система представляет собой эффективное, масштабируемое и адаптивное решение для защиты предприятий от атак с использованием SQL-инъекций с помощью мониторинга на основе ИИ.