Registration Number
0826U005285, PhD dissertation
Status
Доктор філософії
Date
01-10-2026
popup.evolution
.
Title
Methods for the Collection, Processing, and Analysis of Information in Computer Systems for Security Event Management under Conditions of Limited Observability
Author
Roman Drahuntsov,
popup.head Vitalii Y. Zubok
popup.opponent Oleksandr H. Korchenko
popup.opponent Andrii A. Yefimenko
popup.review Hryhorii O. Kravtsov
popup.review Serhii Y. Hilhurt
popup.rada
Institute of Problems of Modeling in Energy named after GE Pukhov of the National Academy of Sciences of Ukraine
Description
У дисертації розв’язано науково-прикладну задачу підвищення спостережності інформаційних систем у процесах моніторингу та реагування на інциденти кібербезпеки за умов обмеженої спостережності, спричиненої воєнними впливами і деградацією інфраструктури, зокрема масовими відключеннями електропостачання та зв’язку. Розроблено методологічний апарат формалізації «втрати спостережності» як вимірюваної властивості активу; запропоновано методи атрибутивного профілювання активів і контролю на основі метрик; сформовано високорівневі вимоги та архітектуру технічної реалізації методів.
Метою роботи є підвищення ефективності процесів збору та аналізу інформації в комп’ютерних системах управління подіями безпеки шляхом їх удосконалення в умовах деградації інфраструктури інформаційно-комунікаційних систем.
Об’єктом дослідження є процеси збору, аналізу інформації про події та інциденти, а також прийняття рішень в операційних центрах кіберзахисту в розподілених інформаційних системах, які зазнають деградації доступності та спостережності внаслідок зовнішніх впливів.
Предметом дослідження є методи збору та аналізу інформації в операційних центрах кіберзахисту, спрямовані на підвищення спостережності інформаційних систем.
Вперше розроблено формалізовану постановку задачі підвищення спостережності інформації у контексті деградації інфраструктури, у якій «втрата спостережності» визначається як стан системи, за якого зменшується повнота та/або достовірність телеметрії до рівня, що порушує коректність виконання щонайменше одного класу процедур операційного центру кіберзахисту, а перехід у такий стан описується вимірюваними ознаками доступності джерел подій і узгодженості інвентарних даних.
Дістав подальшого розвитку метод атрибутивного профілювання активів, у якому для кожного активу формується вектор атрибутів, релевантних для оцінювання спостережності та ризиків інтерпретації телеметрії за умов деградації інфраструктури.
Виконано проєктування архітектури прототипу технічного рішення підвищення спостережності, в якій виділено контури інвентаризації та злиття даних про активи, аналітики подій/інцидентів, активного реагування, атрибутивного профілювання та обчислення правил/метрик, візуалізації та звітності.
Розроблено методологію корекції процесів обробки сигналів в операційних центрах кіберзахисту, спрямовану на виявлення та врахування деградації спостережності як умови коректної інтерпретації сигналів про кіберзагрози за умов воєнних впливів.
Розділ 1 присвячено аналізу впливу сучасних умов функціонування інформаційно-комунікаційних систем на спостережність інформації. Систематизовано фактори військового часу, що порушують повноту, своєчасність і достовірність телеметрії, та визначено їх вплив на процеси виявлення, аналізу і реагування.
Розділ 2 присвячено розробці методів підвищення спостережності інформації в умовах деградації інфраструктури. Побудовано дескриптивну модель впливу деградації електроживлення, каналів зв’язку, джерел телеметрії та інвентаризаційного контексту. Запропоновано атрибутивне профілювання активів і злиття інвентарних даних, визначено правила та метрики оцінювання втрати спостережності, введено атрибути динамізму активу і дескриптора загроз та сформовано принципи побудови контролів для розрізнення технічної деградації й потенційної активності агента загроз.
Розділ 3 присвячено розробці вимог, архітектури та прототипу технічного рішення. Сформовано проєкт відкритої модульної архітектури, визначено склад її підсистем і модулів, вимоги до інтеграції та даних, а також сформовано склад експериментального стенду.
Розділ 4 присвячено експериментальній перевірці ефективності розроблених методів. Виконано порівняння базового режиму обробки подій і режиму із застосуванням запропонованої методології на сценаріях масової втрати електроживлення, деградації каналів зв’язку, відновлення після деградації та накладання зловмисної активності на тлі технічної недоступності. Результати підтвердили зменшення кількості хибних інтерпретацій, підвищення точності класифікації, зниження операційного шуму та покращення пріоритезації подій.
Актуальність тематики визначається залежністю процесів обробки, аналізу та реагування на події та інциденти безпеки від безперервного збору телеметрії та стабільності інфраструктурних компонентів, тоді як у воєнних умовах знижується доступність джерел журналювання, деградують канали доставлення подій та зростає динамічність інфраструктури. Це зумовлює потребу формалізації «якості спостережності» як вимірюваної величини.
Практична значимість полягає у можливості безпосереднього впровадження запропонованих методів у процеси операційних центрів кібербезпеки шляхом інтеграції модулів інвентаризації та злиття даних про активи, атрибутивного профілювання та обчислення контролів/метрик з наявними компонентами технологічних платформ обробки та аналізу подій безпеки.
Registration Date
2026-09-21
popup.nrat_date
2026-09-21 / 2026-10-16
