Модель проактивного виявлення та запобігання кіберзагроз на основі машинного навчання

Нечипоренко І. П. Модель проактивного виявлення та запобігання кіберзагроз на основі машинного навчання : пояснювальна записка кваліфікаційної роботи : 125 Кібербезпека та захист інформації / наук. кер. Л. Мирутенко. Київ, 2025. 114 с.

Пояснювальна записка до кваліфікаційної роботи «Модель проактивного виявлення та запобігання кіберзагроз на основі машинного навчання» містить 105 сторінок (без додатків), 51 рисунок та 2 таблиці. Використано 52 літературних джерел.
Об’єкт дослідження — процес виявлення та протидії кіберзагрозам у корпоративних середовищах з використанням служби Active Directory.
Предмет дослідження — методи логування, аналізу та машинного навчання для виявлення аномалій.
Мета роботи — створення моделі виявлення та запобігання складним кібератакам у середовищі Active Directory з використанням методів машинного навчання, реалізованих у стеку Elastic Stack.
Методи дослідження — аналіз технічної документації, поведінкове моделювання, застосування емуляції атак (Kerberoasting, Golden Ticket), побудова моделі поведінкового аналізу.
У роботі досліджено особливості виявлення атак у доменному середовищі Active Directory, які не потребують доставки шкідливого ПЗ на цільові хости. На основі цього реалізовано централізований збір подій, розгорнуто лабораторне середовище GOAD v3, здійснено симуляцію складних атак та побудовано модель виявлення аномальної активності за допомогою модуля Anomaly Detection Elastic Stack.
Наукова новизна: вперше реалізовано модель виявлення атак на основі подій автентифікації, які здійснюються в рамках легітимних протоколів Active Directory, без застосування інструментів взлому на хостах. Запропоновано сценарії симуляцій атак та побудовано відповідну модель виявлення на основі рідкісних відхилень у поведінці користувачів.
Актуальність теми: у сучасних умовах корпоративні мережі стають основною ціллю для складних атак, зокрема через компрометацію механізмів автентифікації в Active Directory. Традиційні антивірусні та EDR-рішення не здатні виявити атаки, що виконуються з використанням штатних протоколів та інструментів. Це вимагає побудови поведінкових моделей, здатних виявити аномалії без залучення сигнатур або агентів. Представлена в роботі модель дозволяє суттєво підвищити рівень захищеності корпоративної інфраструктури.