Российские исследователи разработали гибридную нейросетевую архитектуру, которая отслеживает развитие кибератак во времени на масштабах от микросекунд до месяцев и выявляет неизвестные угрозы с точностью до 99%.

Кибератака сегодня — это не взрыв, а тлеющий процесс. Вместо одного яркого удара злоумышленники всё чаще действуют по принципу «тише едешь — дальше будешь»: неделями и даже месяцами изучают систему, прощупывают слабые места и только затем переходят к активной фазе. Именно поэтому классические системы безопасности, которые проверяют сеть через равные промежутки времени — словно делают снимки происходящего, — всё чаще опаздывают: они просто не видят длительной подготовки и резких всплесков активности, когда атака наконец запускается.

Аспирант Национального исследовательского ядерного университета МИФИ Роджер-Ник Анаедевха под руководством доцента кафедры кибернетики, кандидата технических наук Александра Трофимова предложил принципиально иной подход. Вместо дискретной фиксации событий исследователи создали гибридную архитектуру TA‑BN‑ODE, которая воспринимает сетевую активность как непрерывный процесс, развивающийся во времени на самых разных масштабах — от микросекунд до нескольких месяцев.

В основе архитектуры лежат два мощных математических аппарата. Первый — нейронные дифференциальные уравнения (Neural ODE) — позволяют моделировать динамику сетевых событий в непрерывном времени, без привязки к фиксированным интервалам. Второй — глубокие пространственно-временные точечные процессы — анализируют последовательности событий и оценивают вероятность появления подозрительных действий в будущем. Благодаря такому сочетанию система способна улавливать не только сами аномалии, но и их временную структуру: один подозрительный запрос может быть случайностью, а вот цепочка таких запросов с определёнными интервалами — уже явный признак разведки.

Особое внимание разработчики уделили двум «болевым точкам» современных систем киберзащиты. Первая — проблема неопределённости. Большинство алгоритмов выдают бинарный ответ: «атака» или «не атака», не сообщая, насколько они уверены в своём решении. В реальных центрах мониторинга, где ежедневно регистрируются миллионы предупреждений, это приводит к тому, что специалисты тонут в ложных тревогах. Авторы TA‑BN‑ODE интегрировали в архитектуру байесовские методы, которые позволяют модели оценивать степень собственной уверенности. Оператор получает не просто сигнал тревоги, а ранжированный список инцидентов по степени риска — и может начинать проверку с самых опасных случаев, не распыляя внимание на шум.

Вторая проблема — обнаружение новых, ранее неизвестных типов атак (так называемых атак нулевого дня). Традиционные сигнатурные методы, основанные на поиске известных шаблонов, здесь бессильны: они могут выявить лишь то, что уже видели. Чтобы преодолеть это ограничение, исследователи добавили в архитектуру большую языковую модель, которая анализирует последовательности событий в текстовой форме и выполняет рассуждения, аналогичные действиям эксперта по кибербезопасности. Результат оказался впечатляющим: на бенчмарке CIC‑IoT‑2023 точность обнаружения атак нулевого дня достигла 87,6%, тогда как традиционные методы показали лишь около 42%. Это не просто количественный рост — это смена парадигмы: система переходит от реактивной защиты («ищем известные угрозы») к проактивной («распознаём аномалии, которых никогда не видели»).

Масштабные эксперименты подтвердили эффективность разработки. Исследователи протестировали систему на нескольких открытых наборах данных, содержащих в общей сложности почти 19 миллионов записей сетевой активности. В этих тестах TA‑BN‑ODE показала точность обнаружения атак до 99%. При этом модель оказалась на 80% компактнее современных аналогов на основе трансформеров, не уступая им по точности. Благодаря лёгкости (всего 9,2 МБ оперативной памяти) она способна анализировать более 12 миллионов событий в секунду с задержкой менее одной десятой секунды — характеристики, которые позволяют внедрять её в системы защиты, работающие в реальном времени, без необходимости в дорогостоящих вычислительных кластерах.

Как отмечают сами авторы, предложенная архитектура демонстрирует, что объединение непрерывных нейронных моделей, пространственно-временных точечных процессов, байесовского вывода и больших языковых моделей в рамках единой системы даёт не просто аддитивный, а синергетический эффект. Такая конструкция позволяет не только повысить точность обнаружения, но и сделать системы безопасности быстрее, экономичнее, прозрачнее для специалистов и, что критически важно, устойчивее к угрозам, которых ещё нет в учебных выборках. В мире, где каждая кибератака уникальна, это свойство становится не преимуществом, а необходимым условием выживания.

Михаил Петровски