ПОРІВНЯЛЬНИЙ АНАЛІЗ МОДЕЛЕЙ МАШИННОГО НАВЧАННЯ RANDOM FOREST ТА XGBOOST У ЗАДАЧІ КЛАСИФІКАЦІЇ ІНЦИДЕНТІВ БЕЗПЕКИ

Анотація

У статті представлено порівняльне дослідження ефективності моделей машинного навчання Random Forest та XGBoost у задачі багатокласової класифікації інцидентів безпеки в інформаційних системах.  
У процесі дослідження побудовано дві моделі класифікації інцидентів на основі алгоритмів Random Forest та XGBoost. Окрім емпіричної оцінки якості моделей, у роботі описано їх принципи роботи та подано математичне обґрунтування. Для Random Forest сформульовано ймовірнісну модель ансамблю дерев, використано індикаторні функції, проаналізовано функцію відступу та узагальнену помилку моделі. Для XGBoost детально розглянуто процедуру побудови дерева на кожній ітерації, оптимізацію функціоналу втрат з регуляризаційним компонентом, використання градієнтів другого порядку та критерій приросту. Така формалізація забезпечує глибше теоретичне розуміння механізмів роботи алгоритмів і пояснює їх поведінку в реальних умовах. 
Проведено порівняльний аналіз ефективності моделей за ключовими метриками класифікації: точністю (accuracy), повнотою (recall), точністю позитивних прогнозів (precision) та F1-мірою. Визначено, що модель Random Forest показала дещо вищу загальну точність (91.97%) та кращу здатність виявляти хибнопозитивні інциденти, що є важливою перевагою в умовах перевантаження SOC великою кількістю сигналів. У свою чергу, модель XGBoost продемонструвала стабільну класифікацію справжніх загроз (TruePositive), що є критичним для оперативного реагування в системах інформаційної безпеки. 
Результати дослідження можуть бути ефективно використані в інтеграції розроблених моделей у системи SIEM, SOAR та інші платформи інформаційної безпеки для автоматизованої попередньої класифікації подій.