sibsutisВестник СибГУТИThe Herald of the Siberian State University of Telecommunications and Information Science1998-6920СибГУТИ10.55648/1998-6920-2024-18-1-3-15sibsutis-825Research ArticleСтатьиМорфологический метод обнаружения аномальных состояний сервераMorphological Method for Detecting Abnormal Server Stateshttps://orcid.org/0009-0007-9546-8544ПетровА. Д.PetrovA. D.

Петров Антон Денисович, магистрант кафедры информационной безопасности Московского политехнического университета; разработчик направления анализа защищённости ООО «Безопасная информационная зона»

107023, Москва, ул. Большая Семёновская, д. 38,

105066, Москва, ул. Ольховская, д. 4, корп. 2

Anton D. Petrov, Master’s Degree Student of the Department of Information Security, Mos-cow Polytechnic University; Developer of the Security Analysis Direction, «BiZone» Limited Liability Company («BiZone» LLC

107023, Moscow, B. Semenovskaya St. 38,

105066, Moscow, Olkhovskaya St., Bld. 2, 4

antonp2@yandex.ruhttps://orcid.org/0000-0002-5082-4564ХарченкоЕ. А.KharchenkoE. A.

Харченко Елена Алексеевна, старший преподаватель кафедры инфокогнитивных технологий 

107023, Москва, ул. Большая Семёновская, д. 38

Elena A. Kharchenko, Senior Lecturer of the Department of Infocognitive Technologies

107023, Moscow, B. Semenovskaya St. 38

elenakhaa@yandex.ruМосковский политехнический университет; ООО «Безопасная информационная зона»РоссияMoscow Polytechnic University; «BiZone» Limited Liability CompanyRussian FederationМосковский политехнический университетРоссияMoscow Polytechnic UniversityRussian Federation202417122023181315Copyright © Петров А.Д., Харченко Е.А., 20242024Петров А.Д., Харченко Е.А.Petrov A.D., Kharchenko E.A.Данная работа распространяется под лицензией Creative Commons Attribution 4.0.This work is licensed under a Creative Commons Attribution 4.0 License.https://vestnik.sibsutis.ru/jour/article/view/825

В работе предложен вычислительно простой алгоритм выявления выбросов и аномалий на основе морфологического анализа внутренней структуры многомерных данных. Важным преимуществом метода является возможность одновременной работы как с качественными, так и с количественными признаками. От аналогов его также отличает простота представления и интерпретации результатов. Доверительная область значений изучаемых объектов аппроксимируется объединением доверительных областей значений качественно однородных объектов (кластеров). Принадлежность объектов одному кластеру обуславливается характерными для предметной области причинно-следственными связями между признаками. В основе метода лежит построение конечного вероятностного пространства, каждый элемент которого (двоичный вектор) однозначно ставится в соответствие объектам выборки. На основании неравенства Чебышёва за выбросы принимаются маломощные кластеры. За аномалии принимаются объекты, не принадлежащие совокупной доверительной области. Проработаны основанные на расстоянии Хэмминга механизмы сравнения: 1) кластера и кластера; 2) кластера и объекта; 3) объекта и объекта. Для демонстрации действенности метода разработан программный модуль для обнаружения аномальных состояний сервера на базе операционной системы семейства Linux. Он также может быть использован в качестве вспомогательного в профессиональных системах обнаружения вторжений.

The paper proposes a computationally simple algorithm for detecting outliers and anomalies based on morphological analysis of the internal structure of multidimensional data. An important advantage of the method is the possibility of simultaneous work with qualitative and quantitative signs. It is also distinguished from its analogues by the simplicity of presentation and interpretation of the results. The values’ confidence range of the studied objects is approximated by combining the values’ confidence ranges of qualitatively homogeneous objects (clusters). The belonging of objects to one cluster is determined by the causal relationships between the features characteristic of the subject area. The method is based on the construction of a finite probability space and each element of binary vector is uniquely assigned to the objects of the sample. Based on the Chebyshev inequality, low-power clusters are taken as emissions. Objects that do not belong to the aggregate confidence area are taken as anomalies. Comparison mechanisms based on the Hamming distance have developed: 1) cluster and cluster; 2) cluster and object; 3) object and object. To demonstrate the effectiveness of the method a software module for detecting abnormal server states based on the Linux operating system has been developed. It can also be used as an auxiliary in professional intrusion detection systems.

многомерные данныевыбросыаномалиикластеризациясегментациямашинное обучение без учителясистемы обнаружения вторженийmultidimensional dataoutliersanomalyclusteringsegmentationunsupervised learningintrusion detection systemReferencesЛевцов В. Анатомия таргетированной атаки [Электронный ресурс]. URL: https://www.kaspersky.ru/blog/targeted-attack-anatomy/4388 (дата обращения: 28.06.2023).Levtsov V. Anatomiya targetirovannoj ataki [The anatomy of a targeted attack], available at: https://www.kaspersky.ru/blog/targeted-attack-anatomy/4388 (accessed 28.06.2023).Лаврентьев А. MLAD: обнаружение аномалий методами машинного обучения [Электронный ресурс]. URL: https://icscert.kaspersky.ru/publications/reports/2018/01/16/mlad-machine-learningfor-anomaly-detection (дата обращения: 28.06.2023).Lavrentyev A. MLAD: obnaruzhenie anomalij metodami mashinnogo obucheniya [MLAD: Anomaly detection by machine learning methods], available at: https://icscert.kaspersky.ru/publications/reports/2018/01/16/mlad-machine-learning-foranomaly-detection (accessed 28.06.2023).Указ Президента Российской Федерации от 30.03.2022 № 166 ”О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации”[Электронный ресурс]. URL: http://publication.pravo.gov.ru/Document/View/0001202203300001 (дата обращения: 28.06.2023).Ukaz Prezidenta Rossijskoj Federacii ot 30.03.2022 № 166 ”O merah po obespecheniyu tekhnologicheskoj nezavisimosti i bezopasnosti kriticheskoj informacionnoj infrastruktury Rossijskoj Federacii” [Decree of the President of the Russian Federation No. 166 dated 30.03.2022 ”On Measures to ensure the Technological Independence and security of the Critical Information Infrastructure of the Russian Federation”], available at: http://publication.pravo.gov.ru/Document/View/0001202203300001 (accessed 28.06.2023).ГОСТ Р ИСО 16269-4-2017 ”Статистические методы. Статистическое представление данных. Часть 4. Выявление и обработка выбросов”. М.: Стандартинформ, 2017. 53 с.GOST R ISO 16269-4-2017 ”Statisticheskie metody. Statisticheskoe predstavlenie dannyh. CHast’ 4. Vyyavlenie i obrabotka vybrosovi” [ISO 16269-4-2017 ”Statistical methods. Statistical data presentation. Part 4. Detection and treatment of outliers”]. Moscow, Standartinform, 2017. 53 p.Дьяконов А. Г., Головина А. М. Выявление аномалий в работе механизмов методами машинного обучения // Аналитика и управление данными в областях с интенсивным использованием данных. 2017. С. 469–476.D’yakonov A. G., Golovina A. M. Vyyavlenie anomalij v rabote mekhanizmov metodami mashinnogo obucheniya [Anomaly detection in mechanisms using machine learning]. Analitika i upravlenie dannymi v oblastyah s intensivnym ispol’zovaniem dannyh, 2017, pp. 469-476.Han J., Kamber M., Pei J. Data Mining: Concepts and Techniques. Morgan Kaufmann, 2011. 740 p.Han J., Kamber M., Pei J. Data Mining: Concepts and Techniques. Morgan Kaufmann, 2011. 740 p.Tan P.-N., Steinbach M., Karpatne A., Kumar V. Introduction to Data Mining. Pearson, 2019. 839 p.Tan P.-N., Steinbach M., Karpatne A., Kumar V. Introduction to Data Mining. Pearson, 2019. 839 p.Харченко Е. А. Морфологический подход к принятию обоснованных решений по экспертным суждениям // Вестник ТвГУ. Серия: Прикладная математика. 2019. № 2. С. 42–56. https://doi.org/10.26456/vtpmk531.Kharchenko E. A. Morfologicheskij podhod k prinyatiyu obosnovannyh reshenij po ekspertnym suzhdeniyam [The morphological approach to making reasonable decisions based on expert judgements]. Vestnik TvGU. Seriya: Prikladnaya Matematika, 2019, no. 2, pp. 42-56. https://doi.org/10.26456/vtpmk531Харченко Е. А. Алгоритм морфологического метода экспертных оценок для решения задачи прогнозирования // Компьютерные инструменты в образовании. 2023. № 2. С. 5–20. https://doi.org/10.32603/2071-2340-2023-2-5-20.Kharchenko E. A. Algoritm morfologicheskogo metoda ekspertnyh ocenok dlya resheniya zadachi prognozirovaniya [Algorithm of the morphological method of expert estimates for solving the forecasting problem]. Computer tools in education, 2023, no. 2, pp. 5-20. https://doi.org/10.32603/2071-2340-2023-2-5-20.

The authors declare that there are no conflicts of interest present.