ПРИМЕНЕНИЕ БОЛЬШОЙ ЯЗЫКОВОЙ МОДЕЛИ ДЛЯ УМЕНЬШЕНИЯ ЛОЖНОПОЗИТИВНЫХ СРАБАТЫВАНИЙ В ЗАДАЧАХ ВЫЯВЛЕНИЯ АНОМАЛИЙ В СЕТЕВОМ ТРАФИКЕ

Аннотация

С каждым годом сетевые угрозы становятся все более изощренными и сложными, что требует от исследователей сферы сетевой безопасности искать и разрабатывать новые и более совершенные методы по обнаружению угроз безопасности. Несмотря на то, что ведутся постоянные исследования в данной области и исследователи совершенствуют алгоритмы машинного обучения, значительной проблемой остаются ложноположительные срабатывания систем обнаружения вторжений. В связи с этим разработка способов и подходов по уменьшению количества ложноположительных срабатываний является одной из наиболее актуальных задач. Цель исследования: изучить эффективность и возможности применения больших языковых моделей для снижения ложноположительных срабатываний систем обнаружения вторжений. Материалы и методы. Основное внимание в статье уделяется обучению рекуррентных нейронных сетей для обнаружения аномалий с использованием обучающей выборки сетевого трафика CIS-IDS2017. Особое внимание уделялось алгоритмам выбора ключевых значений в обучающей выборке для повышения точности обучения модели. В работе изучается архитектура рекуррентных сетей, а также их преимущества и недостатки в специфике решаемой задачи. Дальнейшее исследование проводилось с использованием большой языковой модели, в результате которого было произведено сравнение количества ложнопозитивных срабатываний с данным решением и без него. Результаты. Построена базовая модель нейронной сети на основе алгоритма LSTM для изначальной классификации сетевых угроз, а также обучена большая языковая модель. Проводится сравнительный анализ результатов обнаружения аномалий с большой языковой моделью и без нее. Эксперименты подтверждают эффективность предложенного решения. Заключение. Полученные результаты исследования могут быть использованы при разработке новых, современных интеллектуальных систем обнаружения вторжений для повышения точности обнаружения угроз или повышения эффективности существующих алгоритмов обнаружения вторжений.