Обнаружение и устранение сетевых аномалий в корпоративных сетях: комплексный анализ методов, средств и решений с учетом российской специфики

В современном цифровом мире, где границы между физическим и виртуальным мирами стираются, корпоративные сети стали жизненно важной артерией любого предприятия. Однако их сложность и взаимосвязанность с каждым днем делают их все более уязвимыми. Статистика безжалостна: за период с июля 2024 года по июнь 2025 года 70% реализуемых векторов атак на российские организации относились к программам с вредоносной нагрузкой, причем эта доля неуклонно растет, достигнув 74% к I-II кварталам 2025 года. Эти цифры красноречиво свидетельствуют о беспрецедентном росте киберугроз, способных парализовать бизнес, привести к колоссальным финансовым потерям и подорвать репутацию компании. Именно поэтому игнорирование проблемы сетевых аномалий может обернуться катастрофическими последствиями, ставя под угрозу само существование предприятия.

На этом фоне тема обнаружения и устранения сетевых аномалий приобретает критическое значение, формируя фундамент для построения устойчивой и безопасной корпоративной инфраструктуры. Данная дипломная работа ставит своей целью не просто систематизировать существующие знания, но и предоставить всесторонний, глубокий и практически применимый анализ концепций, методов, средств и подходов к обеспечению безопасности корпоративных сетей. Мы рассмотрим не только теоретические основы, но и проанализируем актуальные решения, а также разработаем предложения по их внедрению с учетом специфики конкретного предприятия и требований российского законодательства.

Работа охватывает следующие ключевые цели:

• Раскрыть фундаментальные концепции сетевых аномалий и угроз информационной безопасности, их классификацию и влияние на корпоративные сети.
• Представить современные методологии и инструментарий для эффективного обнаружения сетевых аномалий, акцентируя внимание на продвинутых подходах, таких как машинное обучение.
• Провести обзор и сравнительный анализ существующих программно-аппаратных решений для защиты корпоративных сетей от аномалий, включая системы IDS/IPS, SIEM и NAD.
• Предложить методологию разработки и реализации технических решений, основанных на моделировании угроз, с учетом специфики предприятия.
• Представить методику экономического обоснования внедрения систем обнаружения и устранения сетевых аномалий и оценки их окупаемости.
• Обобщить и проанализировать ключевые нормативно-правовые акты и стандарты Российской Федерации, регулирующие вопросы обнаружения и устранения сетевых аномалий.

Значимость этой работы для обеспечения информационной безопасности предприятий заключается в предоставлении комплексного инструментария, который позволит не только выявлять и нейтрализовывать существующие угрозы, но и адаптироваться к постоянно меняющемуся ландшафту киберрисков, обеспечивая непрерывность бизнес-процессов и защиту критически важных данных.

Теоретические основы информационной безопасности и сетевых аномалий

Понимание основ информационной безопасности и сущности сетевых аномалий является отправной точкой для построения эффективной системы защиты. Это подобно изучению анатомии перед тем, как лечить болезнь – без четкого понимания нормального состояния невозможно распознать патологию. Отсюда вытекает необходимость глубокого погружения в эти фундаментальные концепции, чтобы адекватно реагировать на угрозы.

Определения и классификация сетевых аномалий

Представьте себе оживленную улицу города: автомобили движутся по своим полосам, пешеходы пересекают дорогу по зебре, светофоры регулируют движение. Это нормальная, предсказуемая картина. Но если вдруг автомобиль начинает ехать по встречной полосе, или пешеход идет прямо по проезжей части, игнорируя сигналы, это становится аномалией – отклонением от установленных правил и ожидаемого поведения. В контексте компьютерных сетей сетевая аномалия – это любое отклонение от нормального, ожидаемого поведения сетевого трафика, которое может сигнализировать о потенциальной угрозе или неисправности.

Классификация сетевых аномалий помогает систематизировать их и выбрать адекватные методы обнаружения:

• По характеру отклонения:
  • Точечные аномалии: Единичные события, которые значительно отличаются от обычного паттерна. Например, внезапное, кратковременное увеличение интернет-трафика от одной рабочей станции до десятков гигабайт за несколько минут, когда обычно она генерирует лишь мегабайты.
  • Контекстные аномалии: События, которые являются нормальными в одном контексте, но становятся аномальными в другом. Например, подключение сотрудника к корпоративной VPN из домашней сети — это нормально. Но то же самое подключение в 3 часа ночи из страны с высоким риском кибератак, да еще и после серии неудачных попыток входа, уже является контекстной аномалией, требующей незамедлительного расследования.
  • Коллективные аномалии: Совокупность отдельных, порой незначительных действий, которые вместе указывают на подозрительную активность. Например, медленное и последовательное сканирование портов различными источниками в течение нескольких дней, которое само по себе не превышает пороговых значений, но в комплексе может указывать на подготовку к масштабной атаке.
• По причине возникновения:
  • Нечеловеческая ошибка: Технические сбои, аппаратные отказы, ошибки в конфигурации оборудования. Например, неправильно настроенный маршрутизатор, вызывающий петли маршрутизации, или вышедший из строя сетевой адаптер, генерирующий аномальный объем широковещательного трафика.
  • Человеческая ошибка: Ошибки пользователей или администраторов, например, неправильное использование сетевых ресурсов, установка несанкционированного ПО, случайное удаление важных файлов.
  • Злонамеренная человеческая деятельность: Целенаправленные действия злоумышленников, такие как DDoS-атаки, попытки взлома, распространение вредоносного ПО, кража данных.

Рассмотрим конкретные примеры сетевых аномалий, которые служат индикаторами угроз:

• Внезапное увеличение интернет-трафика рабочей станции: Сотрудник, обычно использующий интернет для офисных задач, вдруг начинает генерировать терабайты трафика, что может указывать на утечку данных, активность ботнета или использование прокси-сервера.
• Изменение структуры трафика: Резкий рост зашифрованного SSL-трафика там, где его обычно мало, может свидетельствовать о скрытой передаче данных или коммуникации с командно-контрольными серверами вредоносного ПО.
• Подозрительные подключения из необычных геолокаций: Попытка входа в корпоративную сеть из страны, где у компании нет представительств, или из IP-адреса, известного как источник кибератак.
• Попытки сканирования сети: Злоумышленник исследует открытые порты и сервисы на сетевых узлах в поисках уязвимостей.
• Нестандартные порты или протоколы: Использование редко применяемых портов для коммуникации или передача данных по протоколу, не характерному для данной службы.
• Передача большого объема данных вне расписания: Резервное копирование данных в облачное хранилище в рабочее время — нормально. Но если аналогичный объем данных передается в выходной день с неизвестного сервера — это аномалия.

Обнаружение аномалий часто строится на установлении так называемых пороговых значений. Например, система может быть настроена так, чтобы фиксировать аномалию, если количество соединений с базой данных от одного пользователя превышает 50 в час, или если объем трафика к облачным хранилищам, таким как Dropbox или Яндекс Диск, внезапно превышает 1 ГБ в течение 10 минут, при норме в несколько мегабайт. Эти пороги могут быть статическими или динамическими, адаптирующимися к изменяющемуся поведению сети.

Классификация угроз информационной безопасности

Сетевые аномалии – это лишь симптом, указывающий на более глубокую проблему: угрозу информационной безопасности. Угроза информационной безопасности (ИБ) – это потенциально возможное событие, действие, процесс или явление, реализация которых может привести к нарушению безопасности информации, то есть к потере ее доступности, целостности или конфиденциальности.

Угрозы ИБ могут быть:

• Целенаправленными (умышленными): Действия злоумышленников с конкретной целью – хищение данных, саботаж, шпионаж.
• Непреднамеренными: Возникающие из-за неосторожности, невнимательности, незнания или случайных факторов (например, сбой оборудования, ошибки персонала).

Для построения надежной системы защиты необходимо обеспечить три основополагающих принципа ИБ:

1. Доступность: Авторизованные пользователи должны иметь возможность получать доступ к информации и связанным с ней активам по мере необходимости.
2. Целостность: Информация должна быть точной, полной и неизменной, а также должна быть защищена от несанкционированного изменения.
3. Конфиденциальность: Информация должна быть доступна только авторизованным лицам, процессам или системам.

Классификация угроз ИБ осуществляется по различным критериям, что позволяет более глубоко анализировать риски:

• По объекту воздействия: Данные, программное обеспечение, аппаратное обеспечение, коммуникационное оборудование, персонал.
• По способам воздействия: Вредоносное ПО, несанкционированный доступ, социальная инженерия, DoS/DDoS-атаки, перехват данных.
• По расположению источника:
  • Внутренние угрозы: Исходят от сотрудников, подрядчиков или партнеров, имеющих доступ к внутренней сети.
  • Внешние угрозы: Исходят от внешних злоумышленников (хакеров, киберпреступных группировок, конкурентов).
• По компонентам, подверженным угрозам: Сетевые устройства, серверы, рабочие станции, мобильные устройства.
• По характеру возникновения: Техногенные, природные, антропогенные (связанные с человеческой деятельностью).

Актуальные угрозы информационной безопасности постоянно эволюционируют, но некоторые из них остаются наиболее критичными для корпоративных сетей:

• Нежелательный контент:
  • Вредоносный код (вредоносное ПО): Вирусы, трояны, черви, шпионское ПО, программы-вымогатели (ransomware). По данным за июль 2024 года – июнь 2025 года, 70% реализуемых векторов атак на российские организации относились к программам с вредоносной нагрузкой, причем их доля увеличилась до 74% в I-II кварталах 2025 года. Майнеры криптовалют (37%), атаки, управляемые человеком (15%), и бэкдоры (14%) были среди наиболее критичных инцидентов.
  • Спам и фишинг: Массовая рассылка нежелательных писем с целью обмана пользователей и получения конфиденциальной информации.
• Несанкционированный доступ (НСД): Попытки проникновения в системы без соответствующих прав. К концу 2024 года доля инцидентов, связанных с компрометацией учетных записей, выросла до 35%. Это подчеркивает важность контроля доступа и мониторинга аутентификации.
• Утечки информации: Несанкционированная передача, раскрытие или утрата конфиденциальных данных. В 2024 году утечки баз данных стали одной из главных киберугроз для российского бизнеса. За первое полугодие 2024 года общее число инцидентов ИБ в России составило примерно 675 тысяч, из них около 13% были критическими.
• Потеря данных: Результат сбоев оборудования, ошибок персонала или вредоносного ПО.
• Мошенничество: Обманные действия с использованием информационных технологий.
• Кибервойны и кибертерроризм: Целенаправленные атаки государственного уровня или крупными группировками.
• Эксплуатация уязвимостей: Использование слабостей в программном обеспечении или конфигурации систем. В первом полугодии 2024 года 34% атак использовали этот метод.
• Социальная инженерия: Манипулирование людьми для получения доступа к информации или системам. Этот метод остается крайне популярным – 52% атак на организации и 85% на частных лиц в первом полугодии 2024 года использовали социальную инженерию.

Понимание этих угроз и их актуальности для российского бизнеса (таблица 1) является краеугольным камнем для построения эффективной системы обнаружения и устранения сетевых аномалий.

Таблица 1: Актуальные киберугрозы для российского бизнеса (2024-2025 гг.)

Категория угрозы	Тип угрозы	Доля инцидентов / Динамика (2024-2025)	Примечания
Вредоносное ПО	Программы с вредоносной нагрузкой	70% (июль 2024 — июнь 2025), рост до 74% (I-II кв. 2025)	Включает майнеры криптовалют (37%), бэкдоры (14%)
	Программы-вымогатели	Рост на 44% (2024 к 2023)	Одна из главных киберугроз для российского бизнеса
Несанкционированный доступ	Компрометация учетных записей	Рост до 35% (к концу 2024)	Постоянно растущая угроза из-за слабости паролей и фишинга
Утечки информации	Утечки баз данных	Одна из главных киберугроз (2024)	За первое полугодие 2024 года ~675 тыс. инцидентов, ~13% критических
Методы атак	Социальная инженерия	52% (организации), 85% (частные лица) (I пол. 2024)	Чрезвычайно эффективный метод для получения доступа
	Эксплуатация уязвимостей	34% (I пол. 2024)	Использование слабостей в ПО и конфигурациях
	Сетевые атаки	10% (по данным Solar JSOC за 2024)	Традиционные сетевые атаки, такие как сканирование и DoS
	Веб-атаки	8% (по данным Solar JSOC за 2024)	Атаки на веб-приложения и сервисы

Архитектуры корпоративных сетей и их уязвимости

Современная корпоративная сеть — это не просто набор компьютеров, соединенных кабелями. Это сложнейшая экосистема, включающая сотни и даже тысячи устройств: от традиционных рабочих станций и серверов до мобильных гаджетов, IoT-устройств, облачных сервисов и удаленных офисов. Эта сложность делает ручной контроль практически невозможным, а каждый новый элемент инфраструктуры становится потенциальной точкой входа для злоумышленников. Например, корпоративные сети могут варьироваться от нескольких десятков до сотен тысяч устройств, включая компьютеры, серверы, мобильные устройства, а также интеграцию с многочисленными облачными сервисами (Microsoft 365, Google Workspace, частные облака).

Прежде чем говорить об обнаружении аномалий, необходимо понять, как устроена эта сеть и какие уязвимости в ней могут существовать. Любой информационный комплекс, будь то локальная сеть малого предприятия или глобальная инфраструктура крупной корпорации, может быть структурирован вертикально на семь уровней, каждый из которых имеет свои специфические угрозы и методы защиты:

1. Физический уровень: Кабели, роутеры, коммутаторы, серверы, рабочие станции, системы кондиционирования и электропитания. Угрозы: несанкционированный физический доступ, кража оборудования, саботаж, стихийные бедствия.
2. Сетевой уровень: Протоколы TCP/IP, VPN, межсетевые экраны. Угрозы: перехват трафика, DoS/DDoS-атаки, сканирование портов, подмена IP-адресов.
3. Уровень сетевых приложений: DNS, DHCP, HTTP/HTTPS, FTP, SMTP. Угрозы: атаки на DNS-серверы, подмена сертификатов, уязвимости веб-приложений.
4. Уровень операционных систем: Windows, Linux, macOS. Угрозы: эксплуатация уязвимостей ОС, вредоносное ПО, несанкционированный доступ к файловой системе.
5. Уровень СУБД (систем управления базами данных): SQL, Oracle, PostgreSQL. Угрозы: SQL-инъекции, несанкционированный доступ к базам данных, утечки конфиденциальной информации.
6. Уровень приложений: CRM, ERP, бухгалтерские программы, специализированное ПО. Угрозы: уязвимости в коде приложений, логические ошибки, инсайдерские угрозы через функционал приложений.
7. Уровень бизнес-процессов: Взаимодействие между отделами, регламенты, политики безопасности. Угрозы: социальная инженерия, нарушение регламентов, человеческий фактор, приводящий к утечкам или сбоям.

В российском регуляторном поле классификация информационных систем (например, государственных информационных систем) также осуществляется по классам защищенности (К1, К2, К3) согласно Приказу ФСТЭК России № 17 от 11.02.2013 г. Эти классы зависят от уровня значимости обрабатываемой информации (высокий, средний, низкий) и масштаба системы (федеральный, региональный, объектовый), что напрямую влияет на выбор методов защиты и необходимость обнаружения аномалий.

Источники угроз могут быть как внешними, так и внутренними:

• Внешние источники: Распространители вирусов, вредоносных программ, хакерские группировки, конкуренты, кибертеррористы. По данным InfoWatch за 2024 год, 76,9% утечек информации в российских компаниях произошли в результате действий внешних нарушителей. В 2023-2024 годах 73% всех атак на страны СНГ пришлось на Россию, причем преобладают социальная инженерия (56%) и вредоносное ПО (в каждой второй атаке).
• Внутренние источники: Сотрудники, реализующие угрозы в рамках или за пределами своих полномочий (инсайдеры). Хотя внешние угрозы доминируют, доля инцидентов, связанных с действиями сотрудников, составила 15,1% в 2024 году. Более того, каждый третий случай утечки информации (33%) был результатом гибридной атаки, включающей совместные действия внутренних и внешних нарушителей. Это подчеркивает, что инсайдерские угрозы остаются крайне опасными и требуют особого внимания.

Определение угроз безопасности информации всегда должно учитывать структурно-функциональные характеристики конкретной информационной системы, применяемые в ней информационные технологии и особенности ее функционирования. Только такой комплексный подход позволяет разработать адекватные и эффективные решения по обнаружению и устранению сетевых аномалий.

Методы и алгоритмы обнаружения сетевых аномалий: глубокий анализ

Эффективное обнаружение сетевых аномалий – это сложная, многоступенчатая задача, требующая постоянного мониторинга и анализа огромных объемов сетевых данных. Подобно тому, как врач внимательно следит за показателями здоровья пациента, системы безопасности непрерывно отслеживают «пульс» сети, чтобы выявить малейшие отклонения от нормы. Чем раньше будет обнаружена аномалия, тем меньше вреда она нанесет, поэтому скорость и точность здесь имеют решающее значение.

Пассивный и активный мониторинг сети

Прежде чем анализировать, что происходит в сети, нужно научиться собирать эти данные. В сфере обнаружения аномалий выделяют два основных подхода к мониторингу:

• Пассивный мониторинг: Представьте себе постового, который стоит на перекрестке и просто наблюдает за движением транспорта, не вмешиваясь в него. Пассивные системы (сенсоры) получают и оценивают данные из сети, не генерируя дополнительного трафика и не влияя на производительность. Они анализируют копии пакетов (например, через SPAN-порт или TAP-устройство), журналы событий, NetFlow/IPFIX записи, данные SNMP. Преимуществами пассивного мониторинга являются минимальное воздействие на производительность сети, возможность анализа реального трафика и низкий риск генерации ложных срабатываний из-за собственного трафика. Недостаток – ограниченность в обнаружении аномалий, которые требуют активного взаимодействия или проверки доступности сервисов.
  • Ключевые метрики для обнаружения сетевых аномалий в пассивном режиме:
    • Использование пропускной способности: Всплески или провалы, выходящие за пределы типичных значений.
    • Задержка (latency): Увеличение времени задержки между узлами, указывающее на перегрузку или атаку.
    • Потеря пакетов: Необычно высокий процент потерянных пакетов.
    • Количество уникальных соединений: Внезапный рост числа уникальных IP-адресов, с которыми взаимодействует узел.
    • Объем трафика к определенным ресурсам: Например, к облачным хранилищам, внешним серверам.
    • Изменения в распределении пакетов и протоколов: Необычное соотношение HTTP/HTTPS, DNS-запросов, использование редких протоколов.
• Активный мониторинг: В отличие от постового, активный мониторинг похож на группу инженеров, которые регулярно проводят испытания на дорогах, отправляя тестовые автомобили и замеряя их скорость, время в пути и другие параметры. Сенсоры активного мониторинга генерируют дополнительный трафик, который они отправляют через сеть. С помощью этого трафика можно постоянно определять доступность или общие параметры тестируемых сервисов, сетевых линий и устройств. Примеры: отправка ICMP-запросов (ping), запросы к портам (telnet, nmap), проверка веб-сервисов (HTTP GET). Преимущества – возможность тестирования доступности и производительности в реальном времени, выявление проблем до того, как они затронут пользователей. Недостатки – генерация дополнительного трафика, который сам по себе может быть воспринят как аномалия, потенциальное влияние на производительность сети.

Системы обнаружения аномалий, как правило, охватывают сценарий, когда обнаруживается что-то неожиданное, и система оценивает это как аномалию, о которой немедленно сообщается сетевому администратору, часто с высокой степенью детализации.

Традиционные методы обнаружения вторжений (IDS)

Исторически первыми и до сих пор широко используемыми методами обнаружения вторжений являются те, что лежат в основе систем IDS (Intrusion Detection System). Они делятся на две основные категории:

• Сигнатурный анализ (обнаружение злоупотреблений): Этот метод основан на сравнении сетевого трафика с базами данных известных атак, или «сигнатур». Сигнатура – это уникальный паттерн, последовательность байтов, или определенная комбинация событий, характерная для конкретного типа атаки. Если система обнаруживает в трафике последовательность, совпадающую с одной из сигнатур в базе, она фиксирует вторжение.
  • Преимущества: Высокая точность обнаружения известных атак, низкий уровень ложных срабатываний для четко определенных угроз.
  • Недостатки: Главный и самый существенный недостаток сигнатурных IDS заключается в их неспособности обнаруживать новые, ранее неизвестные атаки («zero-day» атаки). База сигнатур требует постоянного обновления, а злоумышленники постоянно изобретают новые методы обхода. Это делает сигнатурный анализ реактивным, а не проактивным, что является значительным ограничением в условиях современного ландшафта угроз.
• Обнаружение аномалий: Этот подход радикально отличается от сигнатурного. Вместо поиска известных паттернов, системы обнаружения аномалий строят «нормальный» профиль поведения сети или пользователя, а затем выявляют любые значимые отклонения от этого профиля. Этот «нормальный» профиль создается и постоянно обновляется с помощью обучения и статистического анализа.
  • Преимущества: Способность обнаруживать новые, неизвестные атаки и скрытые угрозы, не имеющие четких сигнатур. Проактивный подход к безопасности.
  • Недостатки: Потенциально высокий уровень ложных срабатываний, если «нормальный» профиль некорректно построен или сеть часто меняет свое поведение. Требует длительного периода обучения для формирования адекватного профиля.

Статистические и поведенческие методы

Эти методы являются основой для большинства систем обнаружения аномалий, позволяя формировать тот самый «нормальный» профиль трафика.

• Статистические методы: Анализ отклонений от статистических характеристик нормального поведения сети. Это может быть похоже на метеоролога, который знает типичные значения температуры и давления для данного региона и бьет тревогу, если они резко отклоняются.
  • Примеры статистических методов:
    • Анализ отклонений от среднего значения: Если среднее количество DNS-запросов в час составляет 1000, а вдруг становится 10000, это может быть аномалией.
    • Построение доверительных интервалов: Определение диапазона значений, в котором обычно находится метрика (например, использование CPU). Выход за эти границы – аномалия.
    • Оценка стандартных отклонений (правило трех сигм): Если значение метрики отклоняется от среднего более чем на три стандартных отклонения, оно считается выбросом. Например, для метрики X со средним значением μ и стандартным отклонением σ, аномалией будет считаться значение, если оно > (μ + 3σ) или < (μ — 3σ).
    • Временной анализ: Изучение поведения метрик во времени. Например, анализ трафика в зависимости от времени суток или дня недели.
    • Сезонная декомпозиция: Выявление долгосрочных трендов и циклических колебаний в сетевом трафике (например, увеличение трафика в рабочее время, снижение ночью), что позволяет отфильтровывать естественные изменения и фокусироваться на истинных аномалиях.
• Поведенческие методы: Изучение ожидаемого поведения пользователей, устройств или приложений и определение отклонений от него. Это аналог поведенческого психолога, который знает, как обычно ведет себя человек, и замечает любые необычные поступки.
  • Мониторинг поведения отдельных пользователей (User Behavior Analytics, UBA): Отслеживание обычных действий пользователя (время входа, используемые ресурсы, объем загружаемых/выгружаемых данных, посещаемые веб-сайты). Если менеджер, обычно работающий с документами, начинает внезапно скачивать большие объемы данных с FTP-сервера или обращаться к базам данных, к которым ранее не имел доступа, это будет считаться поведенческой аномалией, сигнализирующей о потенциальной угрозе.
  • Мониторинг поведения устройств/приложений: Анализ типичного взаимодействия сервера с другими узлами, его нагрузки, используемых портов. Отклонения могут указывать на компрометацию.

Методы машинного обучения для обнаружения аномалий

Самый современный и динамично развивающийся подход к обнаружению аномалий — это применение методов машинного обучения (ML). Они позволяют не только выявлять нетипичные события и новые типы атак, но и адаптироваться к постоянно меняющейся инфраструктуре и непостоянному характеру сетевого трафика. ML-модели способны учиться на огромных объемах данных, выявлять сложные, неочевидные взаимосвязи и принимать решения с высокой точностью. Возможно ли эффективно бороться с киберугрозами, не используя преимущества машинного обучения?

Классификация алгоритмов ML для обнаружения аномалий:

1. Кластеризация: Алгоритмы группируют схожие точки данных в кластеры. Точки, которые не принадлежат ни к одному кластеру или находятся на значительном удалении от ближайшего кластера, считаются аномалиями.
   • k-means: Разделяет данные на k кластеров. Аномалии – это точки, удаленные от центров всех кластеров.
   • DBSCAN: Выявляет кластеры любой формы на основе плотности точек. Аномалии – это «шумовые» точки, находящиеся в областях низкой плотности.
2. Методы на основе плотности: Определяют аномалии как точки, имеющие значительно более низкую плотность, чем их соседи.
   • Local Outlier Factor (LOF): Вычисляет «локальный фактор выброса» для каждой точки, сравнивая ее плотность с плотностью ее соседей. Высокий LOF указывает на аномалию.
3. Методы на основе изоляции: Эти алгоритмы эффективно выделяют аномалии, поскольку они легче «изолируются» от нормальных данных.
   • Isolation Forest: Строит деревья решений, случайно разделяя данные. Аномалии быстро изолируются в меньшем количестве разбиений.
4. One-Class SVM (Support Vector Machine): Строит гиперплоскость, которая разделяет нормальные данные от начала координат, эффективно выделяя область, содержащую большинство нормальных точек. Любые точки вне этой области считаются аномалиями.
5. Глубокое обучение (Deep Learning): Использует многослойные нейронные сети для выявления сложных паттернов в данных.
   • Сверточные нейронные сети (CNN): Эффективны для анализа пространственных признаков в данных трафика (например, для распознавания изображений, где каждый пиксель – это характеристика пакета).
   • Рекуррентные нейронные сети (RNN) и их варианты (LSTM, GRU): Идеальны для анализа временных рядов, так как способны запоминать последовательности событий, что критично для сетевого трафика. Задача анализа временных рядов успешно решается с использованием этих методов.
   • Скрытые марковские модели (HMM): Моделируют последовательности наблюдаемых событий и скрытых состояний, что позволяет выявлять аномалии в поведении, когда текущее состояние системы не соответствует ожидаемой последовательности.

Обучение без учителя (Unsupervised Learning):

Одним из ключевых преимуществ ML-методов, особенно в контексте обнаружения аномалий, является возможность обучения без учителя. Это означает, что модели могут обучаться на неразмеченных данных, где заранее неизвестно, какие из них являются «нормальными», а какие – «аномальными».

• Преимущества обучения без учителя для обнаружения аномалий:
  • Выявление атак «нулевого дня» (zero-day attacks): Поскольку система не полагается на заранее известные сигнатуры, она может обнаружить совершенно новые, ранее неизвестные угрозы.
  • Автоматическая адаптация к инфраструктуре: Модель самостоятельно изучает уникальные паттерны конкретной сети, минимизируя ручную настройку.
  • Работа с неразмеченными данными: В реальных сетях очень сложно получить размеченный набор данных с образцами всех возможных аномалий. Обучение без учителя обходит эту проблему.
  • Обнаружение неизвестных угроз: Модели могут выявлять аномалии, которые не соответствуют ни одному из известных типов атак, но при этом явно отклоняются от нормы.

Сравнительный анализ эффективности ML-алгоритмов для различных типов сетевых аномалий:

Таблица 2: Сравнительный анализ эффективности ML-алгоритмов для различных типов сетевых аномалий

Алгоритм ML	Тип аномалий	Сильные стороны	Слабые стороны	Применимость
k-means, DBSCAN (Кластеризация)	Точечные, коллективные	Простота реализации, наглядность, хорошо для групп схожих аномалий. DBSCAN хорошо работает с кластерами неправильной формы.	Чувствительность к размерности данных и шуму (k-means). Требует определения количества кластеров (k-means) или параметров плотности (DBSCAN).	Обнаружение групп необычных подключений, кластеров вредоносного трафика, анализ логов.
Local Outlier Factor (LOF)	Точечные, контекстные	Эффективен для обнаружения локальных аномалий, не требует глобальных порогов.	Чувствителен к параметру количества соседей, может быть вычислительно затратным для больших объемов данных.	Выявление необычного поведения отдельного пользователя или устройства, аномалий в потоках данных.
Isolation Forest	Точечные, контекстные	Высокая скорость работы, хорошо масштабируется, эффективен для больших и высокоразмерных данных, не требует много памяти.	Менее эффективен для коллективных аномалий, может быть чувствителен к наличию большого количества шума.	Быстрое обнаружение отдельных подозрительных событий (например, всплески трафика, сканирование портов).
One-Class SVM	Точечные, контекстные	Хорошо справляется с высокоразмерными данными, эффективен, когда доступен только набор «нормальных» данных.	Чувствителен к выбору параметров ядра, может быть медленным для очень больших объемов данных.	Обнаружение отклонений от нормального профиля сетевого трафика, выявление аномалий в поведении серверов.
RNN (LSTM, GRU)	Коллективные, временные	Отлично подходят для анализа временных рядов и последовательностей, способны улавливать долгосрочные зависимости.	Высокая вычислительная сложность, требуют больших объемов данных для обучения, сложность интерпретации.	Обнаружение аномалий в динамике сетевого трафика, DDoS-атак, поведенческих аномалий, развивающихся во времени.
CNN	Точечные, контекстные, коллективные	Эффективны для выявления пространственных паттернов в данных, могут работать с различными представлениями трафика.	Требуют преобразования сетевых данных в матричный вид, высокая вычислительная сложность.	Анализ заголовков пакетов, выявление специфических паттернов в структуре трафика.
Скрытые марковские модели (HMM)	Коллективные, временные	Хорошо моделируют последовательности событий и скрытые состояния, позволяют выявлять аномалии в динамическом поведении.	Сложность настройки и интерпретации, могут быть неэффективны для очень больших или быстро меняющихся систем.	Обнаружение сложных поведенческих аномалий, когда несколько событий в определенной последовательности указывают на атаку.

Автоматизированные ответные действия:

Для предотвращения атак, помимо обнаружения, системы часто реализуют автоматизированные ответные действия. В случае подозрительного поведения, помимо оповещения администратора, могут быть предприняты следующие меры:

• Отключение учетной записи: Если система фиксирует аномальные попытки входа или необычную активность пользователя.
• Блокировка вредоносного трафика: IPS-системы (системы предотвращения вторжений) могут автоматически отбрасывать или фильтровать пакеты, соответствующие известным атакам или аномальному поведению.
• Ограничение или отключение подозрительных соединений: Временное или постоянное прекращение связи с источником аномалии.
• Автоматическая настройка правил фильтрации трафика: Обновление правил межсетевого экрана для блокировки IP-адресов или портов, связанных с атакой.
• Помещение подозрительных файлов в карантин: Изоляция потенциально вредоносного ПО для дальнейшего анализа.

Эффективная система обнаружения и устранения аномалий – это не только сложный алгоритмический аппарат, но и тщательно настроенный процесс мониторинга и реагирования, постоянно адаптирующийся к новым вызовам кибербезопасности.

Средства обеспечения безопасности корпоративных сетей и обнаружения аномалий

В арсенале современного специалиста по информационной безопасности имеется целый набор программно-аппаратных средств, предназначенных для обнаружения и предотвращения сетевых аномалий. Эти инструменты, под��бно многослойной обороне средневековой крепости, дополняют друг друга, создавая комплексную систему защиты.

Системы обнаружения и предотвращения вторжений (IDS/IPS)

Когда речь заходит о первой линии обороны от сетевых угроз, часто вспоминают о системах обнаружения и предотвращения вторжений.

Системы обнаружения вторжений (IDS – Intrusion Detection System):

IDS – это система мониторинга, которая неусыпно отслеживает сетевой трафик и активность в сети, чтобы выявить подозрительные действия или отклонения от нормального поведения. Ее роль – это роль дозорного, который сигнализирует о любой опасности, но не вмешивается в ситуацию напрямую.

• Принцип работы: IDS анализирует сетевые пакеты, журналы событий и действия пользователей, ища признаки потенциальных угроз или аномалий. Например, если обнаруживается повышенное количество запросов к базе данных в нерабочее время, система регистрирует это как аномалию.
• Реагирование: Главное отличие IDS – она определяет угрозы и оповещает администратора, но дальнейшие действия (например, блокировка трафика) остаются за человеком.
• Типы IDS по месту установки:
  • Сетевые IDS (NIDS – Network-based IDS): Контролируют весь сетевой сегмент, анализируя проходящий через него трафик. Часто устанавливаются на периметре сети (между корпоративной сетью и интернетом) для защиты от внешних вторжений и обнаружения внутренней угрозы.
  • Хостовые IDS (HIDS – Host-based IDS): Устанавливаются на отдельные устройства (серверы, рабочие станции) и анализируют их локальный трафик, файловую систему, системные вызовы и журналы событий. Они могут обнаружить атаки, которые уже проникли внутрь хоста.
  • Виртуализированные IDS (VMIDS): Используют технологии виртуализации, работают в виде виртуальных машин или контейнеров, что позволяет развертывать их без установки на физические устройства, обеспечивая гибкость и масштабируемость в виртуальных средах.
• Возможности обнаружения: IDS способны обнаруживать широкий спектр угроз, включая сетевые атаки (сканирование портов, попытки брутфорса), попытки несанкционированного доступа к данным, активность вредоносов, использование бот-сетей и нарушения политик безопасности.

Системы предотвращения вторжений (IPS – Intrusion Prevention System):

IPS – это эволюция IDS, работающая по тому же принципу обнаружения, но с одним критически важным дополнением: она активно вмешивается, автоматически блокируя или фильтруя вредоносный трафик в режиме реального времени. IPS – это уже не просто дозорный, а боец, способный дать отпор нарушителю.

• Функции IPS:
  • Блокировка атак в процессе их выполнения: IPS может прервать подозрительное соединение или отбросить вредоносные пакеты еще до того, как они достигнут цели.
  • Ограничение или отключение вредоносных соединений: Например, временно заблокировать IP-адрес источника атаки.
  • Автоматическая настройка правил фильтрации трафика: IPS может динамически обновлять правила межсетевого экрана для предотвращения аналогичных атак в будущем.
  • Фильтрация пакетов: На основе сигнатур или анализа аномалий.
  • Предотвращение DoS/DDoS атак: Путем фильтрации или ограничения подозрительного трафика.
• Взаимодействие с IDS: IDS и IPS часто работают в тандеме, дополняя друг друга. IDS может обнаруживать и оповещать о широком спектре аномалий, а IPS – активно предотвращать наиболее критичные угрозы.

Примеры популярных решений:

• Open-source IDS/IPS: Snort, Suricata – мощные, гибкие решения, требующие глубоких знаний для настройки.
• Коммерческие комплексные решения с IPS: Cisco Firepower, Palo Alto Networks, Fortinet – предлагают интегрированные межсетевые экраны нового поколения (NGFW) с функционалом IPS, VPN, антивируса и других средств защиты.

Системы управления информацией и событиями безопасности (SIEM)

Если IDS/IPS – это стражи, защищающие периметр и внутренние рубежи, то SIEM – это центральный командный пункт, куда стекается вся разведывательная информация со всех уголков корпоративной империи. SIEM (Security Information and Event Management) – это подход к управлению безопасностью, который объединяет функции управления информацией о безопасности (SIM) и управления событиями безопасности (SEM) в единую, централизованную систему.

• Архитектура и сбор данных: SIEM-система собирает, агрегирует и анализирует огромные объемы данных из самых разнообразных источников в ИТ-инфраструктуре предприятия:
  • Хост-системы: Журналы операционных систем (Windows Event Log, Syslog Linux).
  • Приложения: Логи веб-серверов, баз данных, бизнес-приложений.
  • Сетевые устройства: Маршрутизаторы, коммутаторы (NetFlow, IPFIX).
  • Брандмауэры (межсетевые экраны): Записи о разрешенных/запрещенных соединениях.
  • Антивирусные фильтры, IDS/IPS-системы: Оповещения и события.
• Цель SIEM: Выявить подозрительное поведение или потенциальные кибератаки, предоставляя централизованную и консолидированную картину событий безопасности. Это позволяет администраторам видеть лес за деревьями – то есть, распознавать скрытые атаки, состоящие из множества разрозненных, на первый взгляд, событий.
• Функции SIEM:
  • Агрегация и хранение данных: Сбор логов и событий со всех источников в единое хранилище.
  • Аналитика угроз: Объединение внутренних данных с аналитическими данными об актуальных атаках, угрозах и уязвимостях (Threat Intelligence).
  • Корреляция событий и оповещения: Это сердце SIEM. Система ищет взаимосвязи между, казалось бы, несвязанными событиями. Например, если в течение короткого промежутка времени фиксируется множество неудачных попыток входа в систему для одной учетной записи, а затем успешный вход с географически удаленной локации (например, логин пользователя из Москвы, а через 5 минут – из Нью-Йорка), SIEM генерирует критическое оповещение о потенциальной компрометации. Типичные пороги для таких срабатываний могут быть настроены индивидуально: например, предупреждение о брутфорс-атаке при десятках или сотнях неудачных попыток пароля в минуту.
  • Обнаружение аномалий: SIEM использует статистические модели и методы машинного обучения для выявления отклонений от «нормального» поведения, о чем мы говорили в предыдущем разделе.
  • Управление уязвимостями и конфигурациями (частично): Может интегрироваться с системами управления уязвимостями для получения контекста.
  • Соответствие нормативным требованиям (Compliance): SIEM-системы автоматизируют сбор данных о соответствии и создают отчеты, необходимые для соблюдения стандартов (HIPAA, HITECH, GDPR, а в РФ – ФЗ №187, Приказы ФСТЭК №17, 21, 239, ГОСТ Р ИСО/МЭК 27002-2021 и ГОСТ Р 57580.1).
• Важное замечание: SIEM-системы не предпринимают самостоятельных действий по предотвращению угроз. Их основная роль – сбор, анализ и выдача информации для принятия решений. Для автоматизированного реагирования на инциденты применяются SOAR-системы (Security Orchestration, Automation and Response), которые могут быть интегрированы с SIEM.

Системы обнаружения сетевых аномалий (NAD)

NAD (Network Anomaly Detection) – это специализированные системы, фокусирующиеся на непрерывном мониторинге проприетарной сети на предмет необычных событий или тенденций. Они представляют собой дополнительный, часто поведенческий, уровень безопасности, который дополняет и усиливает традиционные решения, такие как межсетевые экраны, антивирусы и даже IDS/IPS.

• Преимущества NAD: NAD-системы особенно эффективны в обнаружении вредоносной активности, которую пропускают стандартные средства защиты. К ним относятся:
  • Неизвестные вредоносные программы.
  • APT-атаки (Advanced Persistent Threats) – сложные, долгосрочные и целенаправленные атаки.
  • Уязвимости «нулевого дня» (zero-day attacks).
  • Угрозы, которые обходят традиционные сигнатурные системы.
• Метрики, отслеживаемые NAD: NAD-системы могут отслеживать широкий спектр аномалий на разных уровнях:
  • Сетевые аномалии: Необычные паттерны трафика, изменение объема, протоколов, портов.
  • Аномалии производительности приложений: Неожиданное замедление работы, повышение нагрузки.
  • Аномалии безопасности веб-приложений: Подозрительные запросы к веб-серверам, попытки эксплуатации уязвимостей.
  • Поведение отдельных пользователей: Отклонения от нормального профиля активности, как обсуждалось ранее (UBA).
• Базовый уровень нормального поведения: Для оптимальной эффективности NAD-системам необходимо установить базовый уровень нормального поведения сети или пользователя. Любое значительное отклонение от этого базового уровня будет отмечено как аномалия и приведет к генерации тревоги.
• Примеры решений:
  • Глобальные AI-решения для поведенческого анализа: Darktrace, Vectra AI – используют передовые алгоритмы машинного обучения для построения профилей и выявления аномалий.
  • Российские NAD-системы: Positive Technologies PT NAD, «Гарда Монитор» и «Сириус» (разработка «Фобос-НТ», сертифицирована ФСТЭК России по 4-му классу защиты СОВ уровня сети). Эти решения активно развиваются и предлагают функционал, соответствующий высоким требованиям российского рынка.

В таблице 3 представлен сравнительный анализ различных систем, помогающих в обнаружении и предотвращении сетевых аномалий.

Таблица 3: Сравнительный анализ средств обеспечения безопасности корпоративных сетей

Характеристика	IDS (Intrusion Detection System)	IPS (Intrusion Prevention System)	SIEM (Security Information and Event Management)	NAD (Network Anomaly Detection)
Основная функция	Обнаружение и оповещение	Обнаружение и предотвращение	Агрегация, корреляция, анализ событий, оповещение	Непрерывный поведенческий мониторинг, обнаружение аномалий
Реагирование	Пассивное (оповещение)	Активное (блокировка, фильтрация)	Пассивное (оповещение), интеграция с SOAR	Пассивное (оповещение), возможно автоматическое действие (зависит от настроек)
Источники данных	Сетевой трафик, логи хостов	Сетевой трафик	Логи со всех ИТ-систем, сетевых устройств, приложений	Сетевой трафик, потоки данных, поведенческие паттерны
Методы анализа	Сигнатурный, аномальный	Сигнатурный, аномальный	Статистический, корреляционный, ML, UBA	ML (кластеризация, LOF, Isolation Forest, нейросети), статистический, поведенческий
Выявление «Zero-day»	Ограниченно (через аномалии)	Ограниченно (через аномалии)	Ограниченно (через аномалии, UBA)	Высокая эффективность
Централизация	Локальный или сегментный контроль	Локальный или сегментный контроль	Высокая, централизованное управление инцидентами	Локальный или централизованный мониторинг аномалий
Примеры решений	Snort, Suricata (open-source)	Cisco Firepower, Palo Alto, Fortinet	MaxPatrol SIEM, Splunk, ArcSight, RuSIEM	Positive Technologies PT NAD, Darktrace, Vectra AI, «Гарда Монитор», «Сириус»
Соответствие регуляторам РФ	Частично	Частично	Высокое (для УП №250, ФЗ №187, Приказов ФСТЭК)	Высокое (для УП №250, ФЗ №187, Приказов ФСТЭК)

Комбинированное использование этих систем позволяет создать многоуровневую систему безопасности, которая способна эффективно обнаруживать и устранять сетевые аномалии, защищая корпоративную инфраструктуру от постоянно эволюционирующих угроз.

Моделирование угроз и разработка предложений по обнаружению и устранению аномалий

Разработка эффективной системы обнаружения и устранения сетевых аномалий начинается не с выбора конкретных продуктов, а с глубокого понимания того, от чего именно мы собираемся защищаться. Этот процесс называется моделированием угроз – фундаментальным этапом, который определяет всю дальнейшую стратегию информационной безопасности.

Модель угроз информационной безопасности предприятия

Модель угроз информационной безопасности – это не просто список возможных атак. Это стратегический подход к выявлению актуальных векторов действий злоумышленников, оценка степени их опасности для компании, а также документ, содержащий структурированные данные о вероятных атаках, потенциальных точках входа, возможном ущербе и планируемых мерах противодействия. Она является краеугольным камнем для любой системы защиты, позволяя перейти от абстрактных рисков к конкретным, измеримым опасностям.

Этапы построения модели угроз по методике ФСТЭК России, изложенной в «Методике оценки угроз безопасности информации» от 5 февраля 2021 года, включают:

1. Инвентаризация всех элементов информационной системы (ИС): Подробное описание аппаратного и программного обеспечения, сетевой инфраструктуры, информационных ресурсов, бизнес-процессов. Это включает в себя идентификацию всех активов, подлежащих защите, их ценности и взаимосвязей.
2. Выделение ресурсов, для которых актуальны угрозы: Определение критически важных данных, систем и сервисов, нарушение доступности, целостности или конфиденциальности которых нанесет наибольший ущерб.
3. Определение источников угроз (внешние/внутренние): Идентификация потенциальных злоумышленников, их мотивов, ресурсов и возможностей.
   • Внешние источники: Хакеры, киберпреступные группировки, конкуренты, спонсируемые государством акторы.
   • Внутренние источники: Недобросовестные сотрудники (инсайдеры), случайные ошибки персонала.
     • Особое внимание к инсайдерам: При создании модели угроз обязательно следует учесть наиболее серьезную опасность – привилегированных пользователей-инсайдеров. По данным за 2024 год, 15,1% утечек информации в российских компаниях произошли в результате действий сотрудников. При этом 44% организаций считают неумышленные, а 37% – умышленные действия персонала основными причинами утечек. Более того, каждый третий случай утечки информации (33%) был результатом гибридной атаки, включающей совместные действия внутренних и внешних нарушителей. Это подчеркивает, что сотрудники, имеющие легальный доступ к данным, могут быть как источником случайных ошибок, так и целенаправленных злонамеренных действий, что требует специальных мер контроля и обнаружения аномалий в их поведении.
4. Оценка границ угроз: Определение объектов воздействия (например, серверы, базы данных, рабочие станции), процессов (например, аутентификация, передача файлов), и потенциального ущерба (финансовые потери, репутационные издержки, юридические последствия).
5. Формирование перечня угроз на основе Банка данных угроз безопасности информации ФСТЭК России (БДУ ФСТЭК): БДУ ФСТЭК (bdu.fstec.ru) – это общедоступная база данных угроз и уязвимостей, которая постоянно обновляется. Например, в июне 2025 года ФСТЭК впервые за пять лет внесла в него новые угрозы. На этом этапе происходит выборка релевантных угроз из БДУ и их адаптация под специфику конкретной организации, ее бизнес-процессы и используемые технологии.

Оценка угроз и разработка сценариев реагирования

Для каждой выявленной угрозы необходимо оценить её опасность, то есть определить вероятность реализации и потенциальные последствия для информационной системы и бизнеса в целом. Этот процесс проводится согласно «Методике оценки угроз безопасности информации», утвержденной ФСТЭК России 5 февраля 2021 года.

• Этапы оценки угроз:
  1. Определение негативных последствий: Какие конкретные потери понесет организация в случае реализации угрозы (финансовые, репутационные, юридические, операционные).
  2. Инвентаризация систем и сетей, определение возможных объектов воздействия: Какие конкретные элементы ИС могут быть затронуты угрозой.
  3. Определение источников угроз и оценка возможностей нарушителей: Насколько вероятно, что определенный тип злоумышленника (например, хактивист или инсайдер) сможет реализовать эту угрозу.
  4. Оценка способов реализации угроз: Какие методы и инструменты будут использованы для атаки.
  5. Оценка возможности реализации угроз и определение их актуальности: Учитывается распространенность угрозы, сложность ее реализации (требуемые ресурсы, знания, время) и потенциальный ущерб. Например, угроза, требующая уникальной уязвимости и высокой квалификации злоумышленника, может иметь низкую вероятность, но высокий ущерб.
  6. Оценка сценариев реализации угроз: Формирование подробных описаний, как конкретная угроза может быть реализована, какие системы будут затронуты, и какие аномалии будут при этом наблюдаться.

На основе этой оценки разрабатываются типовые сценарии обнаружения и устранения наиболее актуальных сетевых аномалий. Эти сценарии должны описывать:

• Индикаторы компрометации (IOC): Какие аномалии (например, всплеск трафика, подозрительный логин, нестандартные запросы) будут указывать на реализацию угрозы.
• Действия по обнаружению: Какие системы (IDS, SIEM, NAD) и методы (сигнатурный, ML, статистический) будут использоваться для выявления этих IOC.
• Действия по устранению: Какие автоматизированные (блокировка IPS, отключение учетной записи) и ручные (изоляция узла, сброс паролей, расследование) шаги необходимо предпринять для нейтрализации угрозы.
• Минимизация последствий: Послеинцидентные действия, направленные на восстановление работоспособности, устранение ущерба и предотвращение повторных инцидентов (например, резервное копирование, восстановление данных, анализ первопричин).

Предложения по реализации системы обнаружения и устранения аномалий

Разработка предложений по внедрению системы обнаружения и устранения аномалий должна быть гибкой и учитывать уникальные условия каждого предприятия:

1. Выбор и интеграция решений:
   • IDS/IPS: Выбор между open-source (Snort, Suricata) и коммерческими (Cisco Firepower, Palo Alto Networks) решениями зависит от бюджета, квалификации персонала и требований к функционалу. Важно обеспечить их интеграцию с межсетевыми экранами и другими средствами защиты.
   • SIEM: Внедрение SIEM-системы (например, MaxPatrol SIEM, RuSIEM) для централизованного сбора и корреляции событий. Обязательна тонкая настройка правил корреляции и пороговых значений для минимизации ложных срабатываний.
   • NAD: Дополнительное внедрение специализированных NAD-систем (например, Positive Technologies PT NAD, «Гарда Монитор») для поведенческого анализа и обнаружения «zero-day» угроз, которые могут быть пропущены традиционными средствами.
2. Настройка и адаптация:
   • Кастомизация моделей ML: Использование алгоритмов машинного обучения (как кластеризация, Isolation Forest, One-Class SVM для точечных аномалий, так и RNN/LSTM для временных рядов) для создания уникальных профилей нормального поведения сети и пользователей предприятия.
   • Динамические пороги: Внедрение динамических пороговых значений, которые адаптируются к естественным изменениям в сетевом трафике и поведении пользователей, снижая количество ложных срабатываний.
   • Обучение системы: Первоначальный период сбора данных для обучения моделей нормальному поведению, с последующим постоянным дообучением.
3. Организационные меры:
   • Разработка регламентов: Четкие инструкции для ИБ-специалистов по реагированию на различные типы аномалий.
   • Обучение персонала: Повышение осведомленности сотрудников о киберугрозах и правилах безопасного поведения.
   • Регулярные аудиты: Периодическая оценка эффективности системы, проверка актуальности модели угроз и сценариев реагирования.
4. Адаптация к меняющемуся ландшафту угроз: Система должна быть построена с учетом возможности легкого обновления правил, сигнатур и моделей машинного обучения, чтобы противостоять новым видам атак. Интеграция с сервисами Threat Intelligence (базы данных угроз) позволит получать актуальную информацию о киберугрозах.

Таким образом, разработка решений по обнаружению и устранению аномалий – это не единичный проект, а непрерывный процесс, требующий глубокого анализа, гибкости и постоянного совершенствования.

Экономическое обоснование и оценка эффективности

Внедрение любой системы информационной безопасности, особенно такой сложной, как система обнаружения и устранения сетевых аномалий, требует значительных инвестиций. Поэтому критически важно не только продемонстрировать ее техническую эффективность, но и обосновать экономическую целесообразность. Руководство предприятия должно понимать, как эти инвестиции повлияют на финансовое состояние компании и какова будет их окупаемость.

Методы расчета ROI для инвестиций в системы ИБ

Расчет ROI (Return on Investment), или коэффициента окупаемости инвестиций, является ключевым инструментом для экономического обоснования. Он показывает, какую прибыль получит предприятие от вложенных средств. Для систем ИБ ROI часто рассчитывается не как прямая прибыль, а как предотвращенный ущерб и снижение рисков.

Формула ROI:

ROI = (Чистая прибыль от инвестиций / Стоимость инвестиций) * 100%

В контексте ИБ «Чистая прибыль от инвестиций» часто интерпретируется как «Предотвращенный ущерб — Стоимость инвестиций».

Таким образом, для ИБ:

ROI = ((Предотвращенный ущерб - Стоимость внедрения) / Стоимость внедрения) * 100%

Где:

• Стоимость внедрения: Включает в себя стоимость программного обеспечения, аппаратного обеспечения, услуг по установке и настройке, обучения персонала, лицензий, ежегодного обслуживания.
• Предотвращенный ущерб: Это сумма потенциальных потерь, которые удалось избежать благодаря внедрению системы ИБ. Для его оценки необходимо сначала определить возможный ущерб от инцидентов.

Подходы к оценке возможного ущерба от инцидентов ИБ

Оценка ущерба — это сложная задача, так как инциденты могут вызывать как прямые, так и косвенные потери.

1. Прямые потери:
   • Финансовые потери: Прямые расходы на устранение последствий атаки (восстановление систем, найм экспертов, штрафы за утечку данных, выплата выкупов за расшифровку данных при программах-вымогателях).
   • Потери от простоя: Упущенная выгода из-за недоступности сервисов и систем (например, остановка производства, невозможность обработки заказов). Рассчитывается как: (Ежедневный доход / Рабочие часы в день) * Время простоя в часах.
   • Стоимость восстановления данных: Расходы на восстановление информации из резервных копий или на сбор новых данных.
   • Юридические и регуляторные штрафы: Штрафы за несоблюдение требований по защите персональных данных (например, ФЗ №152) или критической информационной инфраструктуры (ФЗ №187).
2. Косвенные потери:
   • Репутационные издержки: Потеря доверия клиентов, партнеров, инвесторов, что может привести к долгосрочному снижению доходов.
   • Потеря интеллектуальной собственности: Ущерб от хищения патентов, ноу-хау, торговых секретов.
   • Снижение производительности: Необходимость переключения сотрудников на устранение последствий инцидента вместо выполнения основных задач.
   • Ущерб бренду: Негативное освещение в СМИ, снижение рыночной стоимости компании.
   • Потеря конкурентных преимуществ: Утечка конфиденциальной информации может дать преимущество конкурентам.

Для оценки общего потенциального ущерба можно использовать формулу:

Ожидаемый годовой ущерб (ALE) = Вероятность реализации угрозы (ARO) * Единичный ожидаемый ущерб (SLE)

Где:

• SLE (Single Loss Expectancy): Единичный ожидаемый ущерб от одного инцидента.
• ARO (Annualized Rate of Occurrence): Годовая вероятность реализации угрозы (например, если угроза реализуется раз в 5 лет, ARO = 0.2).

После оценки потенциального ущерба и стоимости внедрения системы ИБ, можно рассчитать ROI. Положительный ROI покажет, что инвестиции в безопасность окупаются за счет предотвращения потерь.

Метрики и методы оценки эффективности внедренных систем

Эффективность внедренных систем обнаружения и устранения аномалий должна оцениваться не только по экономическим показателям, но и по ряду технических метрик.

1. Количество ложных срабатываний (False Positives Rate — FPR): Доля ложных тревог от общего числа срабатываний. Высокий FPR приводит к «усталости от тревог» у ИБ-специалистов и снижает оперативность реагирования на реальные угрозы.

   FPR = (Количество ложных срабатываний / Общее количество срабатываний) * 100%
   

2. Время обнаружения (Mean Time To Detect — MTTD): Среднее время от момента возникновения аномалии до ее обнаружения системой. Чем ниже MTTD, тем быстрее система выявляет угрозу.
3. Время реагирования (Mean Time To Respond — MTTR): Среднее время от момента обнаружения аномалии до ее полного устранения и восстановления нормальной работы. Включает время на анализ, принятие решения и выполнение действий.
4. Количество инцидентов безопасности: Снижение общего числа инцидентов после внедрения системы является прямым показателем ее эффективности.
5. Коэффициент обнаружения угроз (True Positive Rate — TPR или Sensitivity): Доля реальных угроз, которые система смогла обнаружить, от общего числа реальных угроз.

   TPR = (Количество обнаруженных угроз / Общее количество реальных угроз) * 100%
   

6. Уровень предотвращения угроз: Доля атак, которые были успешно предотвращены системой (IPS), от общего числа атак.
7. Соответствие нормативным требованиям (Compliance Score): Увеличение процента соответствия требованиям регуляторов (ФСТЭК, ФСБ, GDPR и т.д.) после внедрения SIEM-системы.

Пример оценки эффективности:

Предположим, компания внедрила SIEM-систему стоимостью 10 000 000 рублей. До внедрения, по оценкам, компания несла ежегодный ущерб от киберинцидентов в размере 5 000 000 рублей. После внедрения системы, благодаря раннему обнаружению и оперативному реагированию, удалось предотвратить инциденты, которые могли бы принести ущерб на 4 000 000 рублей в год. Операционные расходы на поддержание SIEM составляют 1 000 000 рублей в год.

• Предотвращенный ущерб за первый год = 4 000 000 рублей
• Стоимость внедрения (инвестиции) = 10 000 000 рублей
• Операционные расходы за первый год = 1 000 000 рублей

Расчет чистого предотвращенного ущерба за первый год:

Чистый предотвращенный ущерб = Предотвращенный ущерб - Операционные расходы = 4 000 000 - 1 000 000 = 3 000 000 рублей

Расчет ROI за первый год:

ROI = (3 000 000 / 10 000 000) * 100% = 30%

Это означает, что за первый год инвестиции окупились на 30%. Для полной окупаемости потребуется примерно 3-4 года, после чего система начнет приносить «чистую» экономию.

Экономическое обоснование и постоянная оценка эффективности – это не просто формальность, а неотъемлемая часть жизненного цикла системы информационной безопасности, позволяющая демонстрировать ее ценность и принимать обоснованные решения о дальнейшем развитии.

Нормативно-правовая база в области информационной безопасности

В Российской Федерации вопросы обеспечения информационной безопасности, включая обнаружение и устранение сетевых аномалий, строго регламентированы рядом законодательных актов и стандартов. Понимание и соблюдение этой нормативно-правовой базы является обязательным условием для любого предприятия, особенно для критической информационной инфраструктуры (КИИ) и государственных информационных систем (ГИС).

Роль Указа Президента РФ от 01.05.2022 г. № 250

Одним из ключевых документов последнего времени, значительно повлиявшим на сферу ИБ в России, является Указ Президента РФ от 01.05.2022 г. № 250 «О дополнительных мерах по обеспечению информационной безопасности Российской Федерации». Этот указ направлен на усиление защиты информационных систем и ресурсов страны в условиях возрастающих киберугроз.

Основные положения, касающиеся обеспечения ИБ:

• Назначение ответственных: Указ предписывает федеральным органам исполнительной власти, государственным фондам, корпорациям и субъектам КИИ возложить полномочия по ИБ на заместителя руководителя, что подчеркивает высокий уровень ответственности и значимость этой функции.
• Создание структурных подразделений: Обязательство создать структурные подразделения по ИБ свидетельствует о необходимости централизации и профессионализации процессов защиты информации.
• Запрет на использование иностранного ПО: С 1 января 2025 года запрещается использование средств защиты информации, произведенных в недружественных государствах. Это стимулирует переход на отечественные решения, включая SIEM-системы и NAD-системы, что напрямую влияет на выбор средств обнаружения аномалий.

Наличие SIEM-систем позволяет соответствовать требованиям Указа №250, так как они обеспечивают централизованный мониторинг, сбор и анализ событий безопасности, необходимый для демонстрации выполнения предписанных мер.

Требования федеральных законов и приказов ФСТЭК России

Основу нормативно-правовой базы составляют федеральные законы и подзаконные акты, разработанные Федеральной службой по техническому и экспортному контролю (ФСТЭК России) и Федеральной службой безопасности (ФСБ России).

1. Федеральный закон №149-ФЗ «Об информации, информационных технологиях и о защите информации»: Является базовым законом, определяющим правовые основы обращения с информацией и устанавливающим общие требования к ее защите.
2. Федеральный закон №187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации»: Этот закон имеет критическое значение для предприятий, относящихся к субъектам КИИ (например, энергетика, транспорт, связь, банки). Он устанавливает требования к обеспечению безопасности значимых объектов КИИ, включая необходимость построения систем обнаружения, предупреждения и ликвидации компьютерных атак (СОПКА). SIEM-системы и NAD-решения играют ключевую роль в выполнении этих требований.
3. Приказ ФСТЭК России №17 от 11.02.2013 г. «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах»: Регулирует защиту ГИС, устанавливая классы защищенности (К1, К2, К3) в зависимости от уровня значимости информации и масштаба системы. Для каждого класса определен свой набор мер защиты, включая требования к системам обнаружения вторжений и мониторингу событий безопасности.
4. Приказ ФСТЭК России №21 от 18.02.2013 г. «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»: Определяет меры по защите персональных данных, обработка которых регулируется Федеральным законом №152-ФЗ. SIEM-системы помогают обеспечивать соответствие, отслеживая несанкционированный доступ к ПДн и попытки их утечки.
5. Приказ ФСТЭК России №239 от 25.12.2017 г. «Об утверждении требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации»: Конкретизирует требования к обеспечению безопасности значимых объектов КИИ, дополняя ФЗ №187. Он включает детальные требования к системам мониторинга и реагирования на инциденты.
6. ГОСТ Р ИСО/МЭК 27002-2021 и ГОСТ Р 57580.1: Это национальные стандарты, основанные на международных практиках и рекомендациях по управлению информационной безопасностью и обеспечению безопасной разработки программного обеспечения. Они предоставляют рекомендации по внедрению различных мер защиты, включая обнаружение аномалий.

Банк данных угроз безопасности информации ФСТЭК России (БДУ ФСТЭК)

Актуальный перечень угроз ИБ, необходимый для построения модели угроз предприятия, содержится в Банке данных угроз безопасности информации ФСТЭК России (БДУ ФСТЭК). Это общедоступный ресурс (bdu.fstec.ru), который постоянно пополняется и корректируется. Использование БДУ ФСТЭК является обязательным элементом при создании модели угроз, поскольку он содержит официальную, утвержденную регулятором информацию об угрозах и их идентификаторах. В июне 2025 года ФСТЭК вносила в БДУ новые угрозы, что подчеркивает его актуальность.

Согласование модели угроз с ФСБ России и ФСТЭК России

Помимо использования БДУ ФСТЭК, разработанная модель угроз информационной безопасности для большинства государственных информационных систем, объектов критической информационной инфраструктуры и систем, обрабатывающих конфиденциальную информацию, должна быть согласована с ФСБ России и ФСТЭК России. Этот процесс подтверждает, что модель адекватно отражает актуальные угрозы и соответствует всем регуляторным требованиям. Ключевым методическим документом для построения модели угроз является «Методика оценки угроз безопасности информации», утвержденная ФСТЭК России 5 февраля 2021 года, которая детализирует порядок и содержание работ по определению актуальных угроз.

Таким образом, нормативно-правовая база в России предоставляет комплексный инструментарий для формирования политики безопасности, выбора адекватных средств защиты, а также для эффективного обнаружения и устранения сетевых аномалий, обеспечивая высокий уровень защиты государственных и корпоративных информационных ресурсов.

Заключение

В условиях стремительно развивающегося цифрового ландшафта, где киберугрозы становятся все более изощренными и многочисленными, обеспечение безопасности корпоративных сетей превратилось из второстепенной задачи в критически важный элемент устойчивого развития любого предприятия. Данная дипломная работа представила собой комплексное исследование, охватывающее теоретические основы, методологические подходы, современные программно-аппаратные средства и нормативно-правовую специфику обнаружения и устранения сетевых аномалий.

Мы углубились в сущность сетевых аномалий, их классификацию и многообразие угроз информационной безопасности, подкрепляя анализ актуальными статистическими данными по инцидентам в России. Детально рассмотрены архитектуры корпоративных сетей и присущие им уязвимости, что является отправной точкой для построения эффективной защиты. Особое внимание было уделено методам и алгоритмам обнаружения аномалий, от традиционного сигнатурного анализа до передовых методов машинного обучения, включая кластеризацию, изоляционные леса и нейронные сети, а также их сравнительный анализ в контексте выявления различных типов аномалий.

Представленный обзор средств обеспечения безопа��ности – IDS/IPS, SIEM и NAD – подчеркнул их взаимодополняющую роль в создании многоуровневой системы защиты, способной как детектировать, так и активно предотвращать угрозы. Важнейшим аспектом работы стало подробное рассмотрение методологии моделирования угроз в соответствии с требованиями ФСТЭК России, с акцентом на учет угрозы со стороны инсайдеров и разработку сценариев реагирования.

Одним из ключевых вкладов работы является детальная проработка экономического обоснования внедрения систем ИБ, включая методики расчета ROI и оценки ущерба, что позволяет руководству предприятий принимать взвешенные решения об инвестициях в безопасность. Наконец, анализ российской нормативно-правовой базы, включающий Указ Президента РФ №250, федеральные законы и приказы ФСТЭК, подчеркнул важность соблюдения регуляторных требований и использования отечественных решений.

Таким образом, все поставленные цели дипломной работы были достигнуты. Представленный материал не только систематизирует знания в области обнаружения и устранения сетевых аномалий, но и предлагает практические рекомендации для разработки и внедрения эффективных систем защиты, адаптированных к специфике российских предприятий.

Дальнейшие исследования могут быть направлены на более глубокую проработку автоматизированных систем реагирования (SOAR) в контексте российских реалий, разработку специализированных моделей машинного обучения для детектирования конкретных типов APT-атак, а также на создание интерактивных платформ для моделирования угроз, интегрированных с БДУ ФСТЭК, что позволит предприятиям оперативно адаптировать свои системы защиты к изменяющемуся ландшафту киберугроз.

Список использованной литературы

1. Люцарев, B.C. Безопасность компьютерных сетей на основе Windows NT / B.C. Люцарев, К.В. Ермаков, Е.Б. Рудный, И.В. Ермаков. – Москва : Русская редакция, 1998.
2. Ko, C. Execution Monitoring of Security-Critical Programs in Distributed Systems: A Specification-Based Approach / C. Ko, M. Ruschitzka, K. Levitt // Proc. 1997.
3. Хуотаринен, А.В. Технология физической защиты сетевых устройств / А.В. Хуотаринен, А.Ю. Щеглов // Экономика и производство. – 2002. – №4.
4. Щеглов, А.Ю. Технология защиты рабочих станций в сетевых архитектурах клиент-сервер / А.Ю. Щеглов, М.В. Дарасюк, А.А. Оголюк // ВУТЕ. – Россия, 2000. – №1.
5. Дружинин, Е.Л. Разработка методов и программных средств выявления аномальных состояний компьютерной сети : дис. … канд. техн. наук : 05.13.13, 05.13.11 / Дружинин Евгений Леонидович. – Москва, 2005. – 202 с.
6. Стандарт ISO 7498.
7. Шалаева, М.Б. Сравнение сложности алгоритмов для кратковременного спектрально-временного преобразования / М.Б. Шалаева // XI всероссийская научно-методическая конференция «Телематика-2005». – Санкт-Петербург : СПбГУ ИТМО, 2005. – С. 95-97.
8. Bliss, C.J. Biometriika / C.J. Bliss, W.G. Cochen, J.W. Tukey. – Boston, 1956. – 340 с.
9. Беляев, Ю.К. Вероятностные методы выборочного контроля / Ю.К. Беляев. – Москва : Наука, 1975. – 408 с.
10. Токарева, С.В. Обнаружение аномальных измерений в реализации нестационарного случайного процесса с мультикативной шумовой составляющей / С.В. Токарева // Радиолокация и навигация: Научно-техническая конференция. – Воронеж, 2007. – Т.1. – С.29-31.
11. Хеннан, Э. Анализ временных рядов / Э. Хеннан ; пер. с англ. – Москва : Мир, 1974. – 546 с.
12. Чесноков, М.Н. Оптимальный прием дискретных сообщений с переменными параметрами на фоне импульсных и флуктуационных помех / М.Н. Чесноков // Известия вузов. Радиоэлектроника. – 1983. – № 7. – С. 3-11.
13. Кириллов, Н.Е. Помехоустойчивая передача сообщения по линейным каналам со случайно изменяющимися параметрами / Н.Е. Кириллов. – Москва : Связь, 1971. – 256 с.
14. Финк, Л.К. Теория передачи дискретных сообщений / Л.К. Финк. – Москва : Советское радио, 1970. – 728 с.
15. Дуров, А.М. Многомерные статистические методы / А.М. Дуров. – Москва : Финансы и статистика, 2000. – 352 с.
16. SIEM — управление событиями и инцидентами информационной безопасности // Cloud Networks. – URL: https://cloud-networks.ru/knowledge-base/siem-upravlenie-sobytiyami-i-intsidentami-informatsionnoy-bezopasnosti (дата обращения: 24.10.2025).
17. Что такое SIEM-система и как ее внедрить // блог Innostage. – URL: https://innostage.com/blog/chto-takoe-siem-sistema-i-kak-ee-vnedrit/ (дата обращения: 24.10.2025).
18. Что такое SIEM? // Microsoft Security. – URL: https://www.microsoft.com/ru-ru/security/business/security-101/what-is-siem (дата обращения: 24.10.2025).
19. IDS IPS системы для обнаружения и предотвращения сетевых вторжений // Протокол. – URL: https://protocol.ua/ru/ids_ips_sistemi_dlya_obnarugeniya_i_predotvrascheniya_setevih_vtorjeniy/ (дата обращения: 24.10.2025).
20. Угрозы информационной безопасности // RTM Group. – URL: https://rtmtech.ru/library/ugrozy-informacionnoy-bezopasnosti/ (дата обращения: 24.10.2025).
21. SIEM (Security information and event management) // Энциклопедия «Касперского». – URL: https://www.kaspersky.ru/resource-center/definitions/siem (дата обращения: 24.10.2025).
22. Что такое SIEM — системы управления событиями информационной безопасности // Selectel. – URL: https://selectel.ru/blog/what-is-siem/ (дата обращения: 24.10.2025).
23. Определение угроз безопасности информации в информационной системе. – URL: http://www.pravo.gov.ru/proxy/ips/?doc_vrez=3240000000021612&bpa=0000000000000000&data_vrez=28032024 (дата обращения: 24.10.2025).
24. Сетевые аномалии. Что это и как их определить? // Security Lab. – URL: https://www.securitylab.ru/analytics/539656.php (дата обращения: 24.10.2025).
25. Угрозы информационной безопасности // Anti-Malware.ru. – URL: https://www.anti-malware.ru/threats/threats_information_security (дата обращения: 24.10.2025).
26. IPS/IDS — системы обнаружения и предотвращения вторжений // Академия Selectel. – URL: https://selectel.ru/blog/ids-ips-sistemy/ (дата обращения: 24.10.2025).
27. Что это такое, как создаются модели угроз информационной безопасности // SearchInform. – URL: https://searchinform.ru/blog/model-ugroz-informatsionnoy-bezopasnosti/ (дата обращения: 24.10.2025).
28. Как работает SIEM // CyberED. – URL: https://cybered.ru/blog/kak-rabotaet-siem (дата обращения: 24.10.2025).
29. Базовая модель угроз информационной безопасности ФСТЭК: что это такое? // РДТЕХ. – URL: https://rdtex.ru/blog/bazovaya-model-ugroz-informacionnoj-bezopasnosti-fstjek-chto-eto-takoe/ (дата обращения: 24.10.2025).
30. IPS/IDS — что это такое // Cloud4Y. – URL: https://cloud4y.ru/blog/ips-ids-chto-eto-takoe/ (дата обращения: 24.10.2025).
31. Угрозы безопасности информации // Центр безопасности данных. – URL: https://data-security.ru/terms/ugrozy_bezopasnosti_informatsii (дата обращения: 24.10.2025).
32. SIEM-системы: что это и как они помогают мониторить угрозы? // Ininsys. – URL: https://ininsys.ru/blog/siem-sistemy-chto-eto-i-kak-oni-pomogayut-monitorit-ugrozy/ (дата обращения: 24.10.2025).
33. Обнаружение и предотвращение вторжений (IDS/IPS): как это работает? // ИНФАРС. – URL: https://infars.ru/blog/obnaruzhenie-i-predotvrashhenie-vtorzhenij-ids-ips-kak-eto-rabotaet/ (дата обращения: 24.10.2025).
34. IPS/IDS-системы: что это такое, где они используются и какие функции выполняют // Хабр. – URL: https://habr.com/ru/companies/xcom_solutions/articles/785808/ (дата обращения: 24.10.2025).
35. Системы обнаружения и предотвращения вторжений (IPS/IDS) // Anti-Malware.ru. – URL: https://www.anti-malware.ru/glossary/ips-ids (дата обращения: 24.10.2025).
36. IPS/IDS – системы обнаружения и предотвращения вторжений и атак // Timeweb. – URL: https://timeweb.com/ru/community/articles/sistemy-obnaruzheniya-i-predotvrashcheniya-vtorzheniy-ips-ids (дата обращения: 24.10.2025).
37. Модель угроз информационной безопасности промышленных предприятий // КиберЛенинка. – URL: https://cyberleninka.ru/article/n/model-ugroz-informatsionnoy-bezopasnosti-promyshlennyh-predpriyatiy/viewer (дата обращения: 24.10.2025).
38. Шелухин, О.И. Сетевые аномалии. Обнаружение, локализация, прогнозирование. – Научно-техническое издательство «Горячая линия — Телеком», 2023. – URL: https://www.techbook.ru/catalog/books/anomalii/setevye_anomalii_obnaruzhenie_lokalizatsiya_prognozirovanie/ (дата обращения: 24.10.2025).
39. Микова, С.Ю. Сетевые аномалии и причины их возникновения в экономических информационных системах / С.Ю. Микова, В.С. Оладько // КиберЛенинка. – URL: https://cyberleninka.ru/article/n/setevye-anomalii-i-prichiny-ih-vozniknoveniya-v-ekonomicheskih-informatsionnyh-sistemah/viewer (дата обращения: 24.10.2025).
40. Сетевые аномалии и их обнаружение: как современные системы анализируют трафик // MTS Security. – URL: https://security.mts.ru/blog/setevye-anomalii-i-ih-obnaruzhenie-kak-sovremennye-sistemy-analiziruyut-trafik (дата обращения: 24.10.2025).
41. Обнаружение сетевых аномалий (NAD) // ЕВРААС. – URL: https://evraas.ru/detection-network-anomalies/ (дата обращения: 24.10.2025).
42. IPS IDS — система обнаружения вторжений // It-grad. – URL: https://it-grad.ru/blog/chto-takoe-ips-i-ids/ (дата обращения: 24.10.2025).
43. Мониторинг сетевой активности сервера: обнаружение аномалий // Ittelo. – URL: https://ittelo.ru/blog/server-network-monitoring-anomaly-detection/ (дата обращения: 24.10.2025).
44. Методики построения модели угроз информационной безопасности // Гладиаторы ИБ. – URL: https://gladiators.ru/articles/metodiki-postroeniya-modeli-ugroz-informatsionnoy-bezopasnosti/ (дата обращения: 24.10.2025).
45. Модель угроз информационной безопасности // Falcongaze. – URL: https://falcongaze.com/info/blog/model-ugroz-informatsionnoy-bezopasnosti/ (дата обращения: 24.10.2025).
46. Как выявлять аномалии в ИБ: стратегии, которые работают в реальных условиях // Cyber Media. – URL: https://cybermedia.ru/news/kak-vyyavlyat-anomalii-v-ib-strategii-kotorye-rabotayut-v-realnyh-usloviyah/ (дата обращения: 24.10.2025).
47. Методика обнаружения аномалий и кибератак на основе интеграции методов фрактального анализа и машинного обучения // Math-Net.Ru. – URL: https://www.mathnet.ru/php/archive.phtml?wshow=paper&jrnid=iu&paperid=1073&option_lang=rus (дата обращения: 24.10.2025).
48. Микова, С.Ю. Подход к классификации аномалий сетевого трафика / С.Ю. Микова, В.С. Оладько, М.А. Нестеренко // КиберЛенинка. – URL: https://cyberleninka.ru/article/n/podhod-k-klassifikatsii-anomaliy-setevogo-trafika/viewer (дата обращения: 24.10.2025).
49. Kurbanov, S.N. Алгоритмы обнаружения аномалий в сетевом трафике с использованием машинного обучения / S.N. Kurbanov // Scopus Academia. – 2024. – URL: https://scopusacademia.org/journal/jmea/article/207-algotitmy-obnarujeniya-anomaliy-v-setevom-trafike-s-ispolzovaniem-mashinnogo-obucheniya (дата обращения: 24.10.2025).
50. Развитие методов и алгоритмов систем обнаружения и предотвращения вторжений // КиберЛенинка. – URL: https://cyberleninka.ru/article/n/razvitie-metodov-i-algoritmov- sistem-obnaruzheniya-i-predotvrascheniya-vt/viewer (дата обращения: 24.10.2025).
51. Выявление аномалий в сетевом трафике моделями с машинным обучением // ITSec.Ru. – URL: https://itsec.ru/articles/vyyavlenie-anomalij-v-setevom-trafike-modelyami-s-mashinnym-obucheniem/ (дата обращения: 24.10.2025).
52. Как находить аномалии в трафике с помощью ML // Positive Research. – URL: https://www.ptsecurity.com/ru-ru/research/pt-nad-ml-anomalies/ (дата обращения: 24.10.2025).
53. Федорова, В.С. Решение одной задачи обнаружения аномалий сетевого трафика с помощью сверточной нейронной сети / В.С. Федорова, В.В. Стригунов // КиберЛенинка. – URL: https://cyberleninka.ru/article/n/reshenie-odnoy-zadachi-obnaruzheniya-anomaliy-setevogo-trafika-s-pomoschyu-svertochnoy-neyronnoy-seti/viewer (дата обращения: 24.10.2025).
54. Разработка системы обнаружения аномалий сетевого трафика // КиберЛенинка. – URL: https://cyberleninka.ru/article/n/razrabotka-sistemy-obnaruzheniya-anomaliy-setevogo-trafika/viewer (дата обращения: 24.10.2025).