Реєстраційний номер
0826U005285, Дисертація доктора філософії
На здобуття
Доктор філософії
Дата захисту
01-10-2026
Статус
Захищена
Назва роботи
МЕТОДИ ЗБОРУ, ОБРОБКИ ТА АНАЛІЗУ ІНФОРМАЦІЇ В КОМП'ЮТЕРНИХ СИСТЕМАХ УПРАВЛІННЯ ПОДІЯМИ БЕЗПЕКИ В УМОВАХ ОБМЕЖЕНОЇ СПОСТЕРЕЖНОСТІ
Здобувач
Драгунцов Роман Ігорович,
Керівник Зубок Віталій Юрійович
Опонент Корченко Олександр Григорович
Опонент Єфіменко Андрій Анатолійович
Рецензент Кравцов Григорій Олексійович
Рецензент Гільгурт Сергій Якович
Установа, організація, у вченій раді якої відбудеться/відбувся захист
Інститут проблем моделювання в енергетиці ім. Г. Є. Пухова Національної академії наук України
Опис
У дисертації розв’язано науково-прикладну задачу підвищення спостережності інформаційних систем у процесах моніторингу та реагування на інциденти кібербезпеки за умов обмеженої спостережності, спричиненої воєнними впливами і деградацією інфраструктури, зокрема масовими відключеннями електропостачання та зв’язку. Розроблено методологічний апарат формалізації «втрати спостережності» як вимірюваної властивості активу; запропоновано методи атрибутивного профілювання активів і контролю на основі метрик; сформовано високорівневі вимоги та архітектуру технічної реалізації методів.
Метою роботи є підвищення ефективності процесів збору та аналізу інформації в комп’ютерних системах управління подіями безпеки шляхом їх удосконалення в умовах деградації інфраструктури інформаційно-комунікаційних систем.
Об’єктом дослідження є процеси збору, аналізу інформації про події та інциденти, а також прийняття рішень в операційних центрах кіберзахисту в розподілених інформаційних системах, які зазнають деградації доступності та спостережності внаслідок зовнішніх впливів.
Предметом дослідження є методи збору та аналізу інформації в операційних центрах кіберзахисту, спрямовані на підвищення спостережності інформаційних систем.
Вперше розроблено формалізовану постановку задачі підвищення спостережності інформації у контексті деградації інфраструктури, у якій «втрата спостережності» визначається як стан системи, за якого зменшується повнота та/або достовірність телеметрії до рівня, що порушує коректність виконання щонайменше одного класу процедур операційного центру кіберзахисту, а перехід у такий стан описується вимірюваними ознаками доступності джерел подій і узгодженості інвентарних даних.
Дістав подальшого розвитку метод атрибутивного профілювання активів, у якому для кожного активу формується вектор атрибутів, релевантних для оцінювання спостережності та ризиків інтерпретації телеметрії за умов деградації інфраструктури.
Виконано проєктування архітектури прототипу технічного рішення підвищення спостережності, в якій виділено контури інвентаризації та злиття даних про активи, аналітики подій/інцидентів, активного реагування, атрибутивного профілювання та обчислення правил/метрик, візуалізації та звітності.
Розроблено методологію корекції процесів обробки сигналів в операційних центрах кіберзахисту, спрямовану на виявлення та врахування деградації спостережності як умови коректної інтерпретації сигналів про кіберзагрози за умов воєнних впливів.
Розділ 1 присвячено аналізу впливу сучасних умов функціонування інформаційно-комунікаційних систем на спостережність інформації. Систематизовано фактори військового часу, що порушують повноту, своєчасність і достовірність телеметрії, та визначено їх вплив на процеси виявлення, аналізу і реагування.
Розділ 2 присвячено розробці методів підвищення спостережності інформації в умовах деградації інфраструктури. Побудовано дескриптивну модель впливу деградації електроживлення, каналів зв’язку, джерел телеметрії та інвентаризаційного контексту. Запропоновано атрибутивне профілювання активів і злиття інвентарних даних, визначено правила та метрики оцінювання втрати спостережності, введено атрибути динамізму активу і дескриптора загроз та сформовано принципи побудови контролів для розрізнення технічної деградації й потенційної активності агента загроз.
Розділ 3 присвячено розробці вимог, архітектури та прототипу технічного рішення. Сформовано проєкт відкритої модульної архітектури, визначено склад її підсистем і модулів, вимоги до інтеграції та даних, а також сформовано склад експериментального стенду.
Розділ 4 присвячено експериментальній перевірці ефективності розроблених методів. Виконано порівняння базового режиму обробки подій і режиму із застосуванням запропонованої методології на сценаріях масової втрати електроживлення, деградації каналів зв’язку, відновлення після деградації та накладання зловмисної активності на тлі технічної недоступності. Результати підтвердили зменшення кількості хибних інтерпретацій, підвищення точності класифікації, зниження операційного шуму та покращення пріоритезації подій.
Актуальність тематики визначається залежністю процесів обробки, аналізу та реагування на події та інциденти безпеки від безперервного збору телеметрії та стабільності інфраструктурних компонентів, тоді як у воєнних умовах знижується доступність джерел журналювання, деградують канали доставлення подій та зростає динамічність інфраструктури. Це зумовлює потребу формалізації «якості спостережності» як вимірюваної величини.
Практична значимість полягає у можливості безпосереднього впровадження запропонованих методів у процеси операційних центрів кібербезпеки шляхом інтеграції модулів інвентаризації та злиття даних про активи, атрибутивного профілювання та обчислення контролів/метрик з наявними компонентами технологічних платформ обробки та аналізу подій безпеки.
Дата реєстрації
2026-09-21
Додано/оновлено в НРАТ
2026-09-21 / 2026-10-16
