Оптимізація XAI для швидкодійних нейромережевих систем виявлення аномалій у трафіку

Анотація

Актуальність. У сучасних мережевих середовищах системи виявлення вторгнень (IDS), що базуються на технологіях глибокого навчання, демонструють значні переваги у виявленні складних і динамічних кіберзагроз. Однак їх широке практичне застосування суттєво обмежене обчислювальною складністю, високими затримками та низькою інтерпретованістю ухвалених рішень, відомою як проблема «чорної скриньки». Інтеграція методів пояснюваного штучного інтелекту (XAI) у нейромережеві системи IDS є необхідною умовою для забезпечення прозорості ухвалення рішень, довіри операторів та ефективності оперативного реагування на кіберінциденти в режимі реального часу.

Мета. Основною метою дослідження є розроблення та оптимізація методів XAI для нейромережевих систем виявлення аномалій у мережевому трафіку, що здатні функціонувати з низькими затримками в реальному часі, забезпечуючи баланс між прозорістю ухвалених рішень, обчислювальною ефективністю та точністю класифікації загроз.

Методи дослідження. У роботі здійснено системний огляд і порівняльний аналіз сучасних моделей глибокого навчання (CNN, LSTM, GRU, автоенкодери, гібридні моделі CNN-LSTM) та найбільш поширених методик XAI (SHAP, LIME, Integrated Gradients, DeepLIFT, Grad-CAM, Anchors). Розроблено оптимізаційні підходи, які включають апаратне прискорення, застосування спрощених методів пояснення на основі градієнтів, створення гібридних архітектур із вбудованими механізмами інтерпретації (наприклад, CNN-LSTM із механізмами уваги) та вибіркове пояснення рішень. Емпірична перевірка запропонованих рішень проведена на загальновідомих наборах даних (CICIDS2017, NSL-KDD, UNSW-NB15).

Результати. За результатами аналізу встановлено, що градієнтні методи пояснення (Integrated Gradients, DeepLIFT) найбільш придатні для інтеграції у високошвидкісні IDS завдяки мінімальному часу генерації пояснень і високій точності. Гібридні архітектури з вбудованими механізмами пояснення (ELAI framework на основі CNN-LSTM із механізмами уваги) продемонстрували високу ефективність: точність виявлення перевищила 98%, а час прийняття рішення не перевищував 10 мс. Оптимізовані методики дозволили істотно підвищити ефективність виявлення атак типу «нульового дня» до рівня 91,6%.

Висновки. У результаті проведеного дослідження запропоновано практичні підходи щодо інтеграції пояснюваності в нейромережеві системи IDS, які функціонують у режимі реального часу, що дозволяє суттєво підвищити якість виявлення загроз, прозорість рішень та довіру до систем з боку операторів кібербезпеки. Перспективи подальших досліджень пов’язані зі стандартизацією оцінювання пояснюваності, вдосконаленням архітектур на основі механізмів уваги та розширенням цих підходів на інші завдання кібербезпеки.