МЕТОД ВИЯВЛЕННЯ АНОМАЛІЙ У ПОВЕДІНЦІ КОРИСТУВАЧА ВЕБСАЙТУ

Анотація

Об’єктом дослідження є підхід до виявлення аномальної поведінки користувачів у веб середовищі на основі аналізу журналів веб-активності. Предметом дослідження є методи поведінкового аналізу веб-сесій користувачів та їх поєднання з алгоритмами глибинного навчання для побудови інтелектуальних систем виявлення аномалій. У роботі розглядається задача формування та аналізу набору даних, побудованого на основі проксі-журналів, що містять інформацію про часові характеристики веб-сесій, тривалість активності та послідовність відвіданих доменних імен. Особливу увагу приділено попередній обробці даних, зокрема формуванню веб-сесій, виділенню часових і поведінкових ознак, побудові індикаторів характерних ресурсів користувача та часовому поділу вибірки на навчальну і тестову частини з метою запобігання витоку інформації. Для моделювання динамічної поведінки користувача використано послідовне представлення даних, що дозволяє враховувати порядок дій у межах сесії. З урахуванням обмеженої кількості прикладів аномальної поведінки та відсутності повної інформації про можливі типи порушень, обґрунтовано доцільність застосування підходу виявлення аномалій у one-class постановці, заснованої на навчанні моделі виключно на даних нормальної поведінки конкретного користувача. Для розв’язання поставленої задачі запропоновано використання LSTM-autoencoder, здатного моделювати часові та поведінкові залежності веб-сесій та виявляти відхилення від профілю нормальної поведінки шляхом аналізу помилки реконструкції. Запропоновано підхід до визначення порогу аномальності на основі статистичних характеристик помилки реконструкції. Ефективність методу оцінено за допомогою стандартних метрик якості класифікації, зокрема precision, recall та F1-score. Отримані результати підтверджують здатність запропонованого підходу ефективно відокремлювати поведінку цільового користувача від сторонньої активності без використання інформації про типи аномалій. Практична значущість роботи полягає у можливості застосування розробленого методу для задач поведінкової ідентифікації користувачів, виявлення несанкціонованого доступу та підвищення рівня безпеки веб-інформаційних систем.