💡 APT-LLM: защита от продвинутых киберугроз с помощью ИИ 🤖

🚀 Одна из самых сложных задач  ИБ — обнаружение Advanced Persistent Threats (APT) — скрытых атак, которые могут годами незаметно находиться в системах компаний. Исследователи из Нью-Йоркского университета, Университета Монреаля и Эдинбургского университета представили APT-LLM -  систему, которая использует большие языковые модели для обнаружения аномалий, указывающих на APT-атаки.

⚠️ Почему APT-атаки так опасны?

💀 APT (Advanced Persistent Threat) — это целевые атаки, при которых злоумышленники долго и незаметно проникают в систему, крадут данные или наносят ущерб. Они маскируются под легитимные процессы, из-за чего традиционные методы обнаружения их пропускают.

🌐 В реальных условиях такие атаки часто составляют менее 0,004% от всего трафика, что делает их крайне сложными для выявления стандартными системами безопасности.

🧠 Что такое APT-LLM и как оно работает?

APT-LLM — это комплексная система обнаружения аномалий, которая сочетает:
🧩 Большие языковые модели (LLM): BERT, ALBERT, DistilBERT, RoBERTa, MiniLM.
🧬 Автоэнкодеры: Baseline AE, Variational VAE и Denoising DAE.

👨‍💻 Как это работает:

📊 1. Сбор данных: Система собирает журналы активности процессов (открытие файлов, сетевые подключения и т.д.).

📜 2. Превращение в текст: Каждое событие описывается короткими текстовыми фразами. Например: “Процесс 123 открыл файл, записал данные и отправил по сети”.

💡 3. Создание эмбеддингов: LLM превращают текст в числовые векторы (эмбеддинги), которые описывают поведение процессов.

🧠 4. Поиск аномалий с помощью автоэнкодеров: Автоэнкодеры обучаются на нормальном поведении и выявляют отклонения — признаки атак.

💎 Какие LLM использовались и чем они отличаются?

🟡 BERT: Отлично выявляет контекст, но тяжел в вычислениях.
🟠 DistilBERT: Лёгкая версия BERT, быстрее, но чуть менее точна.
🟢 ALBERT: Уменьшенная модель с высокой точностью за счёт повторного использования параметров.
🔵 RoBERTa: Оптимизированная версия BERT с расширенной тренировкой.
🟣 MiniLM: Миниатюрная модель, подходящая для быстрых вычислений в реальном времени.

🛡️ Как работают автоэнкодеры для поиска угроз:

📌 Baseline AE (Стандартный автоэнкодер): Сжимает данные и восстанавливает их. Если восстановление слишком отличается от оригинала, значит, это аномалия.
📌 VAE (Вариационный автоэнкодер): Использует вероятностные модели для выявления даже скрытых аномалий.
📌 DAE (Денойзинг автоэнкодер): Устойчив к шуму и может находить аномалии в "зашумленных" данных.

📊 Результаты экспериментов:

🧪 Тестирование проводилось на реальных данных из программы DARPA Transparent Computing, включая атаки на ОС Android, Linux, BSD и Windows. В выборках атаки составляли менее 0,004% от всех событий — это крайне сложный случай для обнаружения.

🔥 Ключевые результаты:

✅ Лучший результат показала комбинация ALBERT + VAE — AUC 0.95, что значительно превосходит традиционные методы.
✅ APT-LLM превзошла классические методы: OC-SVM, DBSCAN, Isolation Forest, особенно на Windows и Linux.

🔗Подробнее про APT-LLM можно прочитать тут.

Stay secure and read SecureTechTalks 📚

#Кибербезопасность #APT #LLM #AI #Autoencoder #MachineLearning #SecureTechTalks #AnomalyDetection #ThreatIntelligence #CyberSecurity

🚀 RN-Loss: как новая математика помогает находить аномалии 💡

В кибербезопасности поиск аномалий стандартная задача. Злоумышленники стараются замаскироваться под обычную активность, и часто их действия настолько похожи на норму, что классические методы просто не видят разницы.

🔍 Что такое RN-Loss

RN-Loss — новый метод обучения моделей машинного обучения, который использует производную Радона-Никодима (не пугайтесь, сейчас объясню!). Эта производная — это способ измерить, насколько одно распределение данных отличается от другого. Проще говоря, она помогает лучше видеть редкие и нетипичные события в потоке данных — то есть те самые аномалии.

🔧 В чём фишка:

➖ RN-Loss корректирует функцию потерь (loss function), на основе которой обучаются модели. Она учитывает различие между нормальными и аномальными данными и заставляет модель сильнее реагировать на редкие отклонения.

➖ Она гибкая: RN-Loss работает и в контролируемом обучении (когда есть размеченные данные), и в неконтролируемом (когда мы не знаем, где аномалии, но хотим их найти).

➖ Она универсальна: метод можно применять в разных моделях — от LSTM (долгосрочная краткосрочная память, популярная в анализе временных рядов) до классических нейронных сетей.

💥 Преимущества над старыми методоми

Классические алгоритмы часто сталкиваются с проблемами:

➖ Высокий уровень ложных срабатываний — модель принимает нормальную активность за аномалию.

➖ Низкая чувствительность — аномалии, особенно сложные и редкие, просто проходят незамеченными.
RN-Loss решает эти проблемы, потому что:

✅ Точнее находит аномалии: исследования показали, что этот метод обходит существующие подходы по F1-скорингу в 68% случаев на многомерных данных и в 72% на временных рядах.
✅ Эффективнее обучает модели: за счёт корректировки функции потерь модели быстрее распознают закономерности и лучше обобщают данные.
✅ Меньше настроек: RN-Loss проще адаптировать к разным задачам, не возясь с подбором гиперпараметров.

📊 Где применяют

💻 Кибербезопасность:
Обнаружение сетевых атак: анализ логов и трафика, поиск аномального поведения устройств.
Выявление инсайдерских угроз: мониторинг действий пользователей и детекция отклонений от нормальных паттернов.
Поиск сложных многослойных атак: когда вредоносные действия замаскированы под обычную активность.

💰 Финансовый сектор:
Обнаружение мошенничества: отслеживание подозрительных транзакций и аномальных операций.
Анализ поведения клиентов: выявление нетипичных покупок или запросов.

🏥 Медицина:
Диагностика редких заболеваний: нахождение отклонений в медицинских данных, которые сложно заметить человеку.
Мониторинг пациентов: отслеживание показателей здоровья и предсказание возможных кризисов.

⚡ RN-Loss — реальный инструмент для решения сложных задач. Он помогает видеть то, что было незаметно, и делает модели машинного обучения более чуткими к отклонениям. Для кибербезопасности это значит меньше ложных срабатываний, ускоренное обнаружение атак и более надёжная защита.

Если вы работаете с анализом данных, машинным обучением или кибербезопасностью — обязательно обратите внимание на эту методику. Она уже показывает отличные результаты и имеет огромный потенциал.

🔗 Более подробно с RN-Loss можно ознакомиться в исследовании.

Stay secure and read SecureTechTalks 📚

#RN_Loss #Кибербезопасность #ОбнаружениеАномалий #MachineLearning #DataScience #AI #SecureTechTalks #AnomalyDetection #Infosec #NeuralNetworks