COMPARISON OF MACHINE LEARNING MODELS FOR ACTIVE DIRECTORY ATTACK DETECTION USING WINDOWS SECURITY EVENT LOGS

Аннотация

Active Directory (AD) является ключевым компонентом большинства корпоративных доменов, обеспечивающим процессы аутентификации и авторизации, что делает его важной целью для злоумышленников. Атаки на AD часто реализуются за счёт компрометации учётных данных, что позволяет выполнять боковое перемещение и повышение привилегий. Журналы событий безопасности Windows содержат большое количество структурированных данных, полезных для обнаружения угроз. Однако почти все корреляционные и сигнатурные правила дают слишком много ложных срабатываний, плохо обобщаются и часто не способны выявлять сложные зависимости между несколькими признаками.

В данной работе проводится сравнение пяти семейств моделей машинного обучения с учителем для выявления вредоносной активности в событиях, связанных с AD: логистическая регрессия, линейная модель метода опорных векторов (SVM), случайный лес, градиентный бустинг и XGBoost. Все модели обучаются в рамках единой схемы предобработки данных, что обеспечивает корректность и сопоставимость результатов.

Эксперименты показывают, что ансамблевые методы на основе деревьев решений превосходят линейные модели на собранном датасете и демонстрируют наилучшие значения ROC-AUC и PR-AUC. Также рассматриваются вопросы интерпретируемости результатов, развертывания моделей и эксплуатационных ограничений в условиях центра мониторинга безопасности (SOC).