Сравнительный анализ оценки принадлежности индикаторов компрометации к целевым кибератакам злоумышленников на основе Байесовского подхода

Аннотация

Лавлинский В.В., Душко Д.С., Швецов А.С.

Дата поступления статьи: 19.12.2025

Статья посвящена методу формализации индикаторов компрометации (IoC) с использованием байесовского подхода для осуществления их классификации и ранжирования на основе вероятностного вывода. Проблема детектирования вредоносных индикаторов из большого объема данных, находящихся в различного рода источниках информации по угрозам, является критически важной для оценки современных систем кибербезопасности. Традиционные эвристические подходы, основанные на простом агрегировании или экспертной оценке IoC, не обеспечивают достаточную формализацию и дальнейшее ранжирование их достоверности о принадлежности к той или иной вредоносной кампании из-за неполноты и неопределённости поступающей информации из различных источников.
Предложенная модель основывается на теореме Байеса и позволяет последовательно обновлять апостериорную вероятность принадлежности индикатора к вредоносной кампании при получении информации от нескольких независимых источников. Ключевыми преимуществами метода являются: формализация процесса принятия решений; учёт различной надёжности источников через параметры истинно-положительных и ложно-положительных срабатываний; возможность установления порогового значения вероятности для автоматической классификации.
В работе представлена математическая постановка задачи, обоснование выбора параметров модели на основе эмпирических данных, описание алгоритма последовательного байесовского обновления. Экспериментальная проверка проведена на выборке из 520 реальных индикаторов компрометации, полученных из открытых источников информации по угрозам. Кроме того, представлены сравнительные результаты оценок байесовской модели и метода простого голосования: точность классификации – 0.84 против 0.71, полнота – 0.79 против 0.64, F1-мера – 0.81 против 0.67. Представленная модель позволяет снизить долю ложноположительных срабатываний на 30-35%.

Ключевые слова: системный анализ, статистические данные, математическая оценка тренда, прогнозная оценка, доверительный интервал, метод прогнозных границ

2.3.1 - Системный анализ, управление и обработка информации

2.3.6 - Методы и системы защиты информации, информационная безопасность