COMPARISON OF MACHINE LEARNING MODELS FOR ACTIVE DIRECTORY ATTACK DETECTION USING WINDOWS SECURITY EVENT LOGS

Аңдатпа

Active Directory (AD) көптеген корпоративтік домендердегі аутентификация және авторизация үдерістерінің негізгі бөлігі болып табылады, сондықтан ол шабуылдаушылар үшін маңызды мақсатқа айналады. AD-ге бағытталған шабуылдар көбінесе есептік жазба деректерін бұзу арқылы іске асырылады, бұл желі ішінде көлденең қозғалыс жасауға және артықшылықтарды арттыруға мүмкіндік береді. Windows қауіпсіздік оқиғалары журналдары қауіптерді анықтауға пайдалы көптеген құрылымдалған деректерді қамтиды. Алайда ережеге негізделген корреляциялық тәсілдер көбіне жалған оң нәтижелердің көп болуына, нашар жалпылауға және бірнеше белгілер арасындағы күрделі тәуелділіктерді анықтай алмауына әкеледі.
Бұл жұмыста AD-ге қатысты оқиғалардағы зиянды белсенділікті анықтау үшін машиналық оқытудың бес қадағаланатын модельдер тобы салыстырылады: логистикалық регрессия, сызықтық тірек векторлар әдісі (SVM), кездейсоқ орман, градиенттік бустинг және XGBoost. Барлық модельдер бірдей деректерді алдын ала өңдеу құбыры арқылы оқытылып, нәтижелердің дәлдігі мен салыстырмалылығы қамтамасыз етіледі.
Эксперимент нәтижелері шешім ағаштарына негізделген ансамбльдік әдістердің сызықтық модельдерден жоғары нәтиже көрсететінін және ROC-AUC пен PR-AUC көрсеткіштері бойынша ең жақсы өнімділік беретінін көрсетті. Сонымен қатар нәтижелердің интерпретациялануы, модельдерді енгізу және қауіпсіздік операциялық орталығы (SOC) жағдайындағы эксплуатациялық шектеулер қарастырылады.