Kaspersky представила MLEP для виявлення аномалій та інвентаризації в промислових мережах

У промислових мережах зловмисники нерідко використовують легітимні інструменти та техніку Living-off-the-Land, через що шкідлива активність може використовувати дозволені протоколи й не мати сигнатурних ознак атаки. Для своєчасного виявлення аномалій потрібна актуальна інвентаризація пристроїв, однак дані про обладнання часто неповні. У версії Kaspersky Industrial CyberSecurity (KICS) for Networks 5.0 зʼявився компонент Machine Learning Event Processor (MLEP), покликаний уточнювати категорії пристроїв і знаходити відхилення в їхній поведінці.

Агрегація трафіку та архітектура моделі

Для аналізу поведінки MLEP не зберігає кожен мережевий пакет. Сесії розбиваються на короткі 15-секундні фрагменти, що фіксують IP, MAC-адреси, порти, напрямок обміну, протокол, кількість і розмір пакетів. Сукупність цих даних утворює подію з часовою міткою. Відтак система не відтворює точний порядок пакетів або вміст команд, проте аналізує стабільні зв'язки та інтенсивність трафіку.

Модель MLEP побудована на спайковій нейросемантичній мережі (Neurosemantic Network, NSN), яка структує інформацію у вигляді багатошарового впорядкованого графа:

• Шар 0: зберігає унікальні значення параметрів (порт, IP тощо) як окремі нейрони.
• Шар 1: формує подію. Якщо комбінація зʼявляється вперше, механізм нейрогенезу створює новий нейрон зі зв'язками до параметрів нульового шару. Повторна подія активує вже наявний нейрон і оновлює базову статистику.
• Шар 2 і вище: відповідають за збереження послідовностей подій. Історія зберігається тимчасово в межах епізоду (за замовчуванням 30 000 агрегованих подій).
• Шар -1: містить нейрони-слухачі, на базі яких працюють голови уваги (attention heads) та монітори.

Принцип роботи голів уваги та моніторів

Голови уваги підписуються на події за допомогою потокових запитів із суб'єктом уваги (наприклад, конкретними пристроями) та умовами (протокол, розмір пакета тощо). За наявності багатьох суб'єктів голова створює дочірні вузли під кожен пристрій. Інформація передається у вигляді спайка активації.

Монітори накопичують ці сигнали та реалізують сценарії виявлення. Статистичні монітори відстежують відхилення середньої кількості подій або обсягів трафіку, а монітори схожої поведінки шукають спільні параметри серед активностей різних хостів. Це дозволяє поширювати відомі категорії пристроїв (отримані через пасивний аналіз Asset Discovery чи активні опитування) на нерозпізнані вузли з аналогічним поведінковим профілем.

Типи моніторів аномалій

Перша версія сервісу містить шість попередньо налаштованих моніторів для фіксації відхилень від типового профілю пристрою:

• зʼєднання з новим зовнішнім хостом;
• нова комбінація адреси призначення та порту;
• нетипово великий обсяг переданих даних;
• активність у незвичний для пристрою час;
• використання нового протоколу;
• активність з ознаками сканування сусідніх вузлів.

У загальному переліку подій інциденти, виявлені компонентом MLEP, позначаються міткою AI та містять джерело, призначення, часову мітку й ідентифікатор сценарію.