ИИ-защита NSIDE

NSIDE Lab разработала экспериментальный прототип ИИ-защиты для анализа серверных событий и выявления отклонений в активности API.

Испытания проводятся на инфраструктуре Flowtence с разрешения компании.

Исследовательская задача

Цель проекта — исследовать, как машинное обучение выделяет отклонения в событиях инфраструктуры и формирует оценку риска. Для разбора события важны входные признаки, результат модели и отдельная логика дальнейших действий.

Два потока событий

В прототипе предусмотрены отдельные наборы признаков серверной телеметрии и активности API. Первый описывает состояние ресурсов и ошибки приложения. Второй — характеристики запросов и использования функций сервиса. Для каждого набора реализована своя модель оценки.

Ансамбль моделей и признаки отклонений

Для оценки аномалий использовали ансамбль Isolation Forest и ковариационной модели. Перед оценкой признаки приводятся к общей шкале. Результаты двух моделей дополняются детерминированными индикаторами риска.

В ответе прототипа предусмотрены оценка события и список наиболее заметных отклонений от опорного профиля. Этот список служит материалом для разбора события и интерпретации оценки.

Наблюдение отдельно от реакции

Логику оценки отделили от сценариев реакции. В прототипе предусмотрены наблюдение за событиями, фиксация инцидентов и формирование решения для дальнейшей обработки. Такой подход позволяет исследовать поведение моделей и правила реагирования по отдельности.

Результат исследовательского этапа

Разработана программная реализация прототипа: обработка признаков, ансамбль ML-моделей, оценка риска и подготовка события к разбору. Проект остаётся на исследовательском этапе. Качество обнаружения и устойчивость к ложным срабатываниям требуют отдельной валидации.