Анализ методов обнаружения подозрительной активности программных процессов в целях обеспечения информационной безопасности

Введение

Защита рабочих станций традиционно опирается на сигнатурные методы, которые эффективны для известных образцов вредоносного кода, но плохо справляются с новыми угрозами и модификациями известных [2, с. 207-244]. Поэтому развиваются методы обнаружения аномалий, основанные на описании нормального поведения и поиске отклонений от него. Авторы работы [1, с. 823-830] видят в них перспективное направление по трём причинам: такие методы позволяют строить индивидуальную защиту пользователя, не требуют частого обновления баз и способны обнаруживать как известные, так и ранее неизвестные угрозы. Это оценка авторов указанной работы, подтверждённая на их собственных данных, а не общепризнанный результат.

Важно различать два понятия. Отклонение от нормального поведения процесса фиксирует система мониторинга, и оно ещё не означает нарушения безопасности. Не каждое аномальное поведение является атакой: например, сетевой администратор, запуская диагностические утилиты, порождает активность, которую системы обнаружения аномалий могут принять за подозрительную [2, с. 207-244]. Компьютерный инцидент, напротив, связан с установленным фактом нарушения и является предметом процедур, описанных в серии национальных стандартов по управлению компьютерными инцидентами, в частности в ГОСТ Р 59709–2022 [7]. Поэтому далее используются формулировки «потенциально подозрительная активность», «отклонение от нормального поведения» и «необходимость дополнительного анализа».

Цель статьи – выполнить аналитическое сравнение методов обнаружения подозрительной активности программных процессов и обосновать направление исследования, связанное с индивидуальными профилями нормального поведения процессов, построенными по характеристикам, доступным на обычном персональном компьютере.

Задачи:

1. Выделить особенности задачи и показать ограниченность анализа единичных значений ресурсных характеристик;
2. Описать принципы работы пороговых, статистических и поведенческих методов, а также методов анализа системных вызовов;
3. Выполнить сравнительный анализ методов и выявить их ограничения;
4. Обосновать целесообразность исследования динамических характеристик и сформулировать требования к программному прототипу;
5. Наметить план экспериментальной проверки.

1. Особенности обнаружения подозрительной активности программных процессов

Процесс операционной системы можно наблюдать на разных уровнях. На уровне ресурсов фиксируются загрузка процессора, объём занятой памяти, интенсивность дисковых и сетевых операций, число потоков. На уровне взаимодействия с ядром фиксируются системные вызовы. Для изменения состояния системы (работы с файлами, сетью, другими процессами) поток исполнения обращается к сервисам ядра через системные вызовы [1, с. 823-830], поэтому их последовательность отражает поведение программы подробнее, чем агрегированные ресурсные метрики. Однако сбор системных вызовов требует привилегированных механизмов: в работе [1, с. 823-830] для этого был разработан драйвер режима ядра для Windows.

Общая схема обнаружения аномалий выглядит так: по данным мониторинга строится текущий профиль активности, он сравнивается с шаблоном нормального поведения, при существенном расхождении фиксируется аномалия, в противном случае шаблон уточняется [2, с. 207-244]. Поведенческие методы имеют два типичных недостатка: ложноположительные срабатывания, вызванные трудностью полного описания множества легитимных действий, и необходимость этапа предварительной настройки, который, по оценке авторов [2, с. 207-244], может занимать недели и даже месяцы. Оценка относится к сетевым системам обнаружения, и для процессов отдельной рабочей станции длительность обучения требует отдельной проверки.

Почему единичные значения CPU, RAM, диска и сети неоднозначны

Это положение вытекает из логики задачи и приведённых выше свойств поведенческих методов. Собственных экспериментальных подтверждений у автора пока нет, поэтому его следует считать рабочей гипотезой.

• Легитимные всплески. Высокая загрузка процессора может быть вызвана архивацией, индексированием, сборкой проекта, антивирусной проверкой или обновлением. Рост сетевой активности может означать синхронизацию данных или загрузку файла.
• Зависимость от процесса. Одно и то же значение может быть нормой для браузера и отклонением для текстового редактора. Это обосновывает индивидуальный, а не общий профиль.
• Зависимость от контекста. Нормальный уровень активности зависит от времени суток, действий пользователя и режима работы системы. Поскольку сетевой трафик меняется изо дня в день, а цикличность и сезонность такого поведения трудно отследить, механическое применение методов интеллектуального анализа данных приводит к большому числу ложных срабатываний и пропусков [2, с. 207-244].
• Скрытое поведение. Вредоносная активность может не приводить к резким всплескам. Описана возможность постепенного приучения адаптивного детектора ко всё более вредоносной активности (так называемый эффект «кипячёной лягушки»), для защиты от которого предлагается ограничивать скорость расширения области нормальных значений [2, с. 207-244].

Отсюда следует, что решение о подозрительности нужно принимать не по мгновенному значению одного показателя, а по его отношению к профилю конкретного процесса и по характеру изменения во времени. Итогом работы системы должен быть сигнал о необходимости дополнительного анализа, а не вывод об атаке.

2. Пороговые методы

Принцип

Для наблюдаемого параметра задаётся допустимый диапазон, и выход за него считается признаком аномалии. Простейшая модификация, снижающая число ложных срабатываний, добавляет счётчик «выпадений» из диапазона: аномалия фиксируется при превышении счётчиком заданного значения [2, с. 207-244].

Преимущества [2, с. 207-244]: простота реализации и настройки, отсутствие этапа обучения, понятная интерпретация результата.

Ограничения [2, с. 207-244]: необходимость тонкого задания порога, требующего знаний эксперта и напрямую влияющего на качество обнаружения; отсутствие адаптивных механизмов для автоматического выбора порога; возможные пропуски и ложные срабатывания. В работе [3, с. 172-180] простейшие проверки выхода показателей за заранее заданные границы признаны несостоятельными для сетей с большим числом узлов и высокой степенью агрегации потоков, поскольку такие потоки обладают выраженной периодичностью и инерцией тенденций. Эти выводы получены для сетевых показателей. Для характеристик процессов рабочей станции они требуют экспериментальной проверки, но указывают на вероятные ограничения статических порогов. В прототипе пороговый метод целесообразно использовать как базовый (baseline) для сравнения.

3. Статистические методы

Принцип

Статистический анализ называют ядром методов обнаружения сетевых аномалий. К нему относят цепи Маркова, критерий χ², метод среднеквадратических отклонений, анализ распределений, анализ временных рядов и пороговый анализ [2, с. 207-244]. Для процессов наиболее близки следующие подходы.

Доверительный интервал. По n предыдущим значениям параметра строится интервал [m − k·s, m + k·s], где m – математическое ожидание, s – среднеквадратическое отклонение, k – регулируемый коэффициент. Событие считается аномальным, если значение лежит вне интервала [2, с. 207-244]. Преимущество метода – способность подстраиваться под изменения окружения. Недостатки: возможность постепенного переобучения системы злоумышленником и необходимость репрезентативной выборки, содержащей только легитимные данные [2, с. 207-244].

Анализ временных рядов. Строится прогноз значений показателя (экспоненциальное сглаживание, скользящее среднее, авторегрессия). Это позволяет прогнозировать тренды и обнаруживать постепенные, но значительные отклонения. Недостатки: сложность выбора прогнозирующей функции, усложнение модели при учёте сезонности и низкая эффективность для нестационарных рядов [2, с. 207-244].

Профиль нормального функционирования (ПНФ). В работе [3, с. 172-180] метод состоит в следующем: для показателя формируется профиль как набор функций, описывающих его поведение без аномалий; по новым значениям строится краткосрочный прогноз, который сравнивается с профилем; затем фактические значения сравниваются с профилем и прогнозом, а профиль корректируется в зависимости от того, были ли значения признаны аномальными. Ряд представляется в виде тренда, сезонной, циклической и случайной компонент [3, с. 172-180]. Авторы показали на данных мониторинга канала связи, что профиль, построенный итерационным методом Шискина–Эйзенпресса, точнее описывает показатель, чем простое среднее исторических значений [3, с. 172-180]. Вывод получен на сетевых данных, и его перенос на показатели процессов не подтверждён.

В упрощённом виде для прототипа можно оценивать отклонение как zₜ = (xₜ − μ̂ₜ) / σ̂ₜ, где μ̂ₜ и σ̂ₜ – скользящие или экспоненциально взвешенные оценки среднего и разброса показателя для данного процесса. Это рабочий вариант для проверки, а не заимствованный результат.

4. Поведенческий анализ программных процессов

Под поведенческими методами понимают методы, использующие информацию о нормальном поведении системы и сравнивающие с ней наблюдаемое поведение [2, с. 207-244]. Для процессов в отечественной литературе встречаются несколько направлений.

Модели процессов по трассам вызовов. В системе КОДА строится модель «здорового» процесса по последовательностям системных вызовов его потоков, затем оценки схожести наблюдаемого процесса с моделью сводятся к вектору из 11 характеристик, который классифицируется нейронной сетью [1, с. 823-830]. Авторы сообщают, что при доле ложных срабатываний менее 0,05 доля обнаруженных вредоносных процессов составила 0,9074 [1, с. 823-830]. Эти показатели нельзя переносить на другие условия: модель обучалась на 30 минутах работы одной системы, штатно отработали лишь 33,13% запущенных образцов, вредоносные процессы размечались по имени переименованного исполняемого файла, а тестовая выборка была сильно несбалансирована (642 легитимных вектора против 28506 вредоносных) [1, с. 823-830]. Сами авторы отмечают, что такая разметка не учитывает заражение других процессов, и планируют расширять набор легитимных трасс [1, с. 823-830].

Ресурсные характеристики процессов. По описанию в обзоре [1, с. 823-830], в российских работах предлагалась искусственная иммунная система для Windows XP, использующая помимо сигнатурных техник статистику потребления ресурсов процессами и сетевого трафика; в [1, с. 823-830] указаны и другие отечественные работы по аномальной активности процессов. В работе [6] для Windows разработана программа сбора данных о процессах с интервалом в 1 секунду, а модель случайного леса обучена на данных с 10 реальных и виртуальных машин. Приведённые в тезисах показатели получены авторами на собственных данных, а полный текст с описанием методики недоступен, поэтому здесь они не воспроизводятся.

Машинное обучение на метриках и профилях. В обзоре [5, с. 149-164] для контейнеризованных приложений описана типовая архитектура: сбор метрик ресурсов, журналов и событий ядра (Prometheus, cAdvisor, eBPF), агрегация во временные ряды и векторы признаков, затем алгоритмы без учителя (Isolation Forest, Local Outlier Factor), обучение на норме (One-Class SVM) и глубокое обучение (автоэнкодеры, LSTM). В работе [4, с. 426-437] для контейнеров предложено профилирование процессов по частотному анализу дизассемблированных машинных инструкций с построением гистограмм фиксированного размера и обучением гибридной модели «автоэнкодер – LSTM». Обе работы выполнены для контейнерных сред, их применимость к обычному ПК нуждается в проверке.

Для практики существенно замечание [2, с. 207-244]: применяемые «из коробки» методы интеллектуального анализа данных ищут активность, похожую на ранее встречавшуюся в обучающей выборке, что не равнозначно обнаружению новых атак. Кроме того, такой детектор является «чёрным ящиком», что затрудняет объяснение причины тревоги. Это обосновывает требование интерпретируемости результата.

5. Анализ системных вызовов

Принцип

Для процесса или потока записывается последовательность номеров системных вызовов. Из неё извлекаются шаблоны, например, все встретившиеся непрерывные последовательности фиксированной длины с учётом частоты, а модель процесса состоит из множества таких шаблонов. Во время атаки в трассах появляются ранее не встречавшиеся шаблоны [1, с. 823-830]. Затем были предложены шаблоны переменной длины, которые в приведённом обзоре показали более точные результаты, чем шаблоны фиксированной длины [1, с. 823-830].

Расширения и стоимость

Учёт адреса команды и стека возвратов (построение конечного автомата) снижал долю ложных срабатываний на ряде сетевых сервисов, но требует существенных накладных расходов при записи; учёт аргументов вызовов занимает заметно больше времени, чем запись одних номеров [1, с. 823-830]. В реализации [1, с. 823-830] драйвер замедлял работу процессов не более чем на 10% при порядка 10000 обращений к ядру в секунду. В Windows 7 вызовы генерировались с частотой около 20 тысяч в минуту в режиме простоя и могли достигать сотен тысяч при интенсивной работе [1, с. 823-830]. Эти цифры относятся к конкретной реализации и версии ОС.

Ограничения

Метод требует привилегированного сбора данных (драйвер, трассировка ядра), порождает большие объёмы данных и в части отечественных работ испытывался в основном на сервисах Linux: автор [1, с. 823-830] отмечает, что подавляющее большинство исследований связано с сетевыми сервисами Linux, а для Windows и современных вредоносных программ такие системы изучались мало. Для магистерского прототипа на обычном ПК без специального оборудования этот путь выглядит более трудоёмким, чем анализ ресурсных характеристик.

6. Сравнительный анализ методов

Сравнение выполнено автором по описаниям в рассмотренных источниках. Оценки сложности реализации и требований к ресурсам качественные, количественных замеров для рассматриваемой задачи не проводилось.

Таблица

Сравнение методов обнаружения подозрительной активности процессов

Из таблицы видно, что методы различаются прежде всего по детальности наблюдения и по стоимости сбора данных. Ресурсные методы дешевле и доступнее, но дают менее подробную картину поведения. Утверждать превосходство одного подхода нельзя: в рассмотренных работах использованы разные данные, среды и метрики качества, поэтому результаты несопоставимы напрямую.

7. Перспективы применения динамических характеристик процессов

Индивидуальный профиль

Основание для индивидуального профиля вытекает из свойств, описанных выше: нормальные значения зависят от процесса и контекста, а общие правила приводят к ложным срабатываниям. В работе [1, с. 823-830] также выбрана идея профилей процессов конкретного пользователя, а не обобщённой базы. Эта идея не нова. Новизна возможна только в конкретной комбинации признаков и способе учёта динамики, и её нужно доказывать отдельным обзором и экспериментом.

Какие динамические характеристики можно рассматривать

Предварительно предлагается проверить три группы признаков:

1. Скорость изменения параметров (разности соседних отсчётов, скользящий наклон). Резкий рост памяти или сетевой активности может быть информативнее абсолютного значения. Связь с подходом на основе прогноза и сравнения с профилем [3, с. 172-180] очевидна.
2. Продолжительность отклонения. Кратковременный выброс и устойчивое отклонение имеют разную природу. Идея близка к счётчику «выпадений» из диапазона в пороговом методе [2, с. 207-244], но в предлагаемом варианте длительность выступает самостоятельным признаком.
3. Совместное изменение нескольких характеристик (CPU, память, диск, сеть, потоки). Одновременный рост нескольких показателей может быть значимее изолированного. Многомерные модели на ресурсных метриках уже применяются для контейнеров [5, с. 149-164], поэтому для обычного ПК требуется проверка.

Нельзя утверждать, что существующие методы не учитывают временную динамику: анализ временных рядов, прогнозирование и ПНФ [2, с. 207-244; 3, с. 172-180] именно её и используют. Вопрос в том, насколько подробно эти подходы исследованы для процессов персонального компьютера. Ответа на него в проанализированных источниках не найдено, и он требует дополнительного поиска в базах eLIBRARY.RU и научных электронных библиотеках.

Требования к прототипу на Python:

1. Сбор по каждому процессу с фиксированным интервалом (в рассмотренных работах использовались интервалы 1-2 с [1, с. 823-830; 6]): загрузка CPU, память, дисковый ввод-вывод, сетевая активность, число потоков. Кроссплатформенная библиотека psutil подходит как кандидат; возможность корректного измерения сетевой активности отдельного процесса необходимо проверить заранее по документации библиотеки, а при отсутствии прямых счётчиков использовать косвенные признаки (например, число соединений).
2. Устойчивая идентификация процесса (имя и путь исполняемого файла, учёт повторного использования PID) для привязки профиля.
3. Фаза обучения профиля на нормальной работе и настраиваемое окно истории.
4. Модульные детекторы: пороговый (baseline), статистический (скользящий интервал, z-оценка), ряд/ПНФ, а при необходимости модель без учителя, чтобы сравнивать их на одних данных.
5. Защита профиля от постепенного дрейфа: ограничение скорости адаптации и хранение «снимков» профиля [2, с. 207-244].
6. Объяснимый результат: какая характеристика отклонилась, насколько и как долго.
7. Автономная работа без подключения к Интернету, измеряемые накладные расходы самого прототипа.
8. Реакция ограничивается регистрацией и оповещением (сигнал «необходим дополнительный анализ»), без автоматического завершения процессов.

План экспериментальной проверки

Нормальное поведение записывается на персональном компьютере в течение нескольких дней в типичных сценариях работы. Отклонения моделируются безопасными тестовыми нагрузками: контролируемый рост CPU или памяти, интенсивная дисковая запись, сетевая передача, рост числа потоков, с известными моментами начала и конца. Вредоносное ПО для этого не требуется, но синтетические отклонения не заменяют реальные угрозы, что нужно оговорить как ограничение.

Метрики: Precision = TP/(TP + FP); Recall = TP/(TP + FN); F1 = 2·Precision·Recall/(Precision + Recall); доля ложных срабатываний FPR = FP/(FP + TN), а также число ложных тревог в час; время обнаружения как интервал от начала отклонения до тревоги; накладные расходы (CPU и память самого прототипа). Метрики вычисляются для каждого из базовых детекторов и для детектора с динамическими признаками, что позволит сопоставить подходы на единых данных.

Заключение

Анализ показал, что пороговые методы просты и интерпретируемы, но не адаптивны, статистические методы и методы временных рядов позволяют учитывать профиль и динамику показателей, а методы на основе системных вызовов дают наиболее детальное описание поведения ценой привилегированного сбора данных и значительных накладных расходов. Единичные значения ресурсных характеристик не позволяют однозначно определить угрозу, так как зависят от процесса и контекста, а обнаруженное отклонение требует дополнительного анализа и само по себе не является подтверждённым инцидентом.

Обоснованным направлением дальнейшей работы является исследование индивидуальных профилей процессов с учётом скорости изменения параметров, длительности отклонения и совместного изменения нескольких характеристик. Научная новизна такого подхода по результатам обзора не доказана и требует дополнительного поиска и эксперимента. Практическая значимость связана с возможностью создания прототипа, выполнимого на обычном ПК и обеспечивающего объяснимые сигналы о потенциально подозрительной активности. Следующим шагом является реализация прототипа и экспериментальная проверка по описанному плану.