Аналіз реалізації комбінованої системи виявлення вторгнень Suricata з моделлю машинного навчання

Анотація

Актуальність. У дослідженні представлено порівняльний аналіз роботи систем виявлення та запобігання вторгненням (IDS/IPS), які функціонують із використанням та без використання технологій штучного інтелекту (ШІ). Традиційні системи, засновані на сигнатурному підході, такі як Suricata, ефективно виявляють відомі загрози, однак часто не здатні розпізнавати нові або модифіковані типи атак. Тому інтеграція технологій ШІ є перспективним напрямом для підвищення адаптивності системи та зменшення кількості хибнопозитивних спрацювань.

Мета дослідження. Метою роботи була оцінка ефективність відкритої системи IDS Suricata у двох конфігураціях:  стандартному режимі з використанням сигнатурного виявлення та у модифікованій версії, доповненій модулем машинного навчання. Завданням було визначити, як саме застосування ШІ впливає на точність виявлення, час реагування та достовірність сповіщень за різних сценаріїв кібератак, зокрема DoS та brute-force. Експеримент проводився у віртуалізованому середовищі, що складалось з трьох вузлів: Kali Linux (зловмисник), Windows 10 (цільова машина) та Suricata (система моніторингу).

Методи дослідження. Застосовано методи статистичного моделювання та порівняльного аналізу. У базовій версії Suricata використовувала лише заздалегідь визначені правила, тоді як у варіанті з ШІ аналітичний модуль із застосуванням алгоритму Random Forest обробляв журнали подій для класифікації мережевої активності. Модель навчалась на розмічених наборах даних, що містили нормальний та шкідливий трафік, із використанням статистичних і протокольних ознак.

Результати. Аналіз показав, що базова версія Suricata забезпечила рівень виявлення 87–92% і точність 80–85%, при цьому генерувала надлишкову кількість сповіщень під час DoS-атак. Після інтеграції ШІ кількість сповіщень зменшилася більш ніж утричі, рівень виявлення зріс до 93–96%, а точність — до 90–94%. Середній час реагування скоротився до 1–1,5 секунди.

Висновки. Інтеграція алгоритмів машинного навчання до можливостей IDS Suricata суттєво підвищила ефективність її роботи, зменшила кількість хибних спрацьовувань і покращила здатність системи адаптуватись до нових кіберзагроз. Отримані результати підтверджують, що поєднання сигнатурного підходу з аналітикою на основі ШІ забезпечує більш надійний і розумний підхід до сучасної мережевої безпеки.