Wykrywanie zagrożeń i włamań

Threat and intrusion detection · id threatdetection · aliases: intrusion detection, threat detection, detection engineering with ML, wykrywanie intruzów, IDS

Modele wykrywające ataki w ruchu sieciowym, logach systemów i poczcie: klasyfikacja znanych wzorców i wykrywanie odstępstw od normy.

Models that detect attacks in network traffic, system logs and email: classifying known patterns and flagging departures from normal behaviour.

In one sentence

Systemy, które obserwują sieć, serwery i skrzynki pocztowe i podnoszą alarm, gdy dzieje się coś podobnego do ataku.

Systems that watch networks, servers and mailboxes and raise an alarm when something looks like an attack.

Problem it solves

Włamanie potrafi tygodniami ukrywać się wśród miliardów zwykłych połączeń i wpisów, których żaden człowiek nie przejrzy.

An intrusion can hide for weeks among billions of ordinary connections and log lines that no person could read.

What it does

Jak czujnik dymu, który zna zapach zwykłego gotowania: milczy przy codziennym ruchu i reaguje na to, co odbiega od normy.

Like a smoke detector that knows the smell of everyday cooking: stays quiet at normal activity and reacts to what is out of line.

Everyday example

Firmowy serwer o trzeciej w nocy zaczyna wysyłać gigabajty danych na nieznany adres; system blokuje połączenie i budzi dyżurnego.

A company server starts sending gigabytes of data to an unknown address at 3 a.m.; the system blocks the connection and wakes the on-call engineer.

This concerns you if you…

zarządzasz siecią lub serwerami w firmie
dostajesz alerty z systemów bezpieczeństwa
budujesz detektory anomalii
run a network or servers at a company
receive alerts from security tools
build anomaly detectors

Subtopics

Analiza zachowań użytkowników i zagrożenia wewnętrzne (UEBA) (User and entity behaviour analytics (UEBA) and insider threat detection): Modelling the typical behaviour of accounts, users and devices in an organisation and detecting deviations that suggest a hijacked account or a malicious insider.
Wykrywanie anomalii w logach systemów (Log anomaly detection): Learning models of event sequences from system and application logs to detect unusual runs that signal failures or attacks.
- Parsowanie logów do szablonów zdarzeń (Automated log parsing): Automatically splitting raw log messages into a fixed event template and variable parameters, as the first step in anomaly detection and diagnostics.
Wykrywanie ataków na grafach pochodzenia zdarzeń systemowych (Provenance-graph-based intrusion detection): Detecting long-running stealthy attacks by analysing dependency graphs between processes, files and network connections in an operating system.
Wykrywanie losowo generowanych domen (DGA) (Detection of algorithmically generated domains (DGA detection)): Classifying domain names as algorithmically generated by malware to reach its command server, often from the character string alone.
Wykrywanie phishingu (Phishing detection): Classifying messages, URLs and webpages as phishing from their content, URL representation and visual similarity to legitimate brands.
Wykrywanie włamań w ruchu sieciowym (Machine-learning network intrusion detection): Classifiers and anomaly detectors trained on network flows and packets, separating normal traffic from attacks.

Sources

Large Language Models for Cyber Security: A Systematic Literature Review · Hanxiang Xu, Shenao Wang, Ningke Li, Kailong Wang, Yanjie Zhao, Kai Chen, Ting Yu, Yang Liu, Haoyu Wang
Outside the Closed World: On Using Machine Learning for Network Intrusion Detection · Robin Sommer, Vern Paxson