Registration Number
0826U004826, PhD dissertation
Status
Доктор філософії
Date
25-08-2026
popup.evolution
.
Title
Application of Machine Learning for Detection and Investigation of Threats in Computer Networks.
Author
Roman V. Karpiuk,
popup.head Petro S. Venherskyi
popup.opponent Oleksandr H. Korchenko
popup.opponent Serhii Y. Hilhurt
popup.review Dmytro D. Peleshko
popup.review Bohdan M. Pavlyshenko
popup.rada
Ivan Franko National University of Lviv
Description
У дисертаційній роботі розв’язано актуальне наукове завдання підвищення ефективності функціонування центрів протидії кіберзагрозам (CSOC) шляхом розроблення методу формування кореляційних правил у системах SIEM на основі машинного навчання. На відміну від наявних підходів, метод застосовується не до низькорівневих журналів подій і не для покращення окремого засобу захисту, а як аналітична надбудова над готовими спрацюваннями різнорідних контролів кібербезпеки: систем виявлення вторгнень, засобів захисту кінцевих точок, підсистем автентифікації, поштового та мережевого моніторингу, служб каталогів. Проаналізовано сучасний стан систем виявлення аномалій і показано, що доступні на ринку рішення обмежені доменом конкретного виробника, закриті для модифікації та коштовні у володінні. Обґрунтовано архітектурні підходи до побудови системи моніторингу подій кібербезпеки, збирання телеметрії з кінцевих пристроїв, її агрегації та кореляції; сформовано перелік параметрів, придатних для виявлення аномалій; запропоновано методику експертного оцінювання ефективності архітектурного підходу. Здійснено класифікацію алгоритмів пошуку аномалій та обґрунтовано вибір DensityFunction як базового. Розроблено п’ятиетапний метод: постановка задачі та збирання початкової статистики; відокремлення штатного «шуму» з опрацюванням винятків; розрахунок додаткових корисних параметрів, зокрема грануляризації за часовими мітками; навчання базового алгоритму на очищеній вибірці; застосування навченої моделі до нових даних. Як компенсуючий контроль на випадок неспрацювання окремого кореляційного правила запропоновано механізм risk-based alerting. Розроблене програмне забезпечення впроваджено та функціонує на реальних даних у центрі протидії кіберзагрозам компанії SoftServe Inc., а також використовується в навчальному процесі Львівського національного університету імені Івана Франка. Результати впровадження підтверджують зниження кількості хибно-позитивних спрацювань і керованість показників часу на тріаж (TTT) та часу на закриття інцидентів (TTC). Ключові слова: аномалія, ризик, хибно-позитивні спрацювання, машинне навчання, функція густини, CSOC, SIEM, кореляційні правила, модель даних, додаткові корисні параметри.
Registration Date
2026-08-24
popup.nrat_date
2026-08-24 / 2026-08-30
