Wykrywanie oparte na anomaliach to metoda identyfikacji zagro\u017ce\u0144 cybernetycznych, kt\u00f3ra rozpoznaje nietypowe zachowanie lub dzia\u0142ania w systemie. Technika ta skupia si\u0119 na identyfikacji nietypowych wzorc\u00f3w odbiegaj\u0105cych od ustalonych norm, wskazuj\u0105c w ten spos\u00f3b potencjalne zagro\u017cenia cybernetyczne.<\/p>\n
Koncepcja wykrywania w oparciu o anomalie pojawi\u0142a si\u0119 po raz pierwszy w dziedzinie bezpiecze\u0144stwa komputerowego pod koniec lat 80-tych. Dorothy Denning, pionierka w tej dziedzinie, wprowadzi\u0142a model wykrywania w\u0142ama\u0144 oparty na profilowaniu zachowa\u0144 u\u017cytkownik\u00f3w. Model opiera si\u0119 na za\u0142o\u017ceniu, \u017ce ka\u017cde dzia\u0142anie znacz\u0105co odbiegaj\u0105ce od standardowego zachowania u\u017cytkownika mo\u017ce zosta\u0107 potencjalnie sklasyfikowane jako w\u0142amanie. By\u0142o to pierwsze znacz\u0105ce badanie w zakresie wykrywania opartego na anomaliach.<\/p>\n
Na przestrzeni lat wykrywanie oparte na anomaliach ewoluowa\u0142o wraz z rozwojem sztucznej inteligencji (AI) i uczenia maszynowego (ML). W miar\u0119 jak zagro\u017cenia cybernetyczne stawa\u0142y si\u0119 coraz bardziej z\u0142o\u017cone, zwi\u0119ksza\u0142y si\u0119 tak\u017ce mechanizmy przeciwdzia\u0142ania im. Opracowano zaawansowane algorytmy umo\u017cliwiaj\u0105ce rozpoznawanie wzorc\u00f3w i rozr\u00f3\u017cnianie dzia\u0142a\u0144 normalnych od potencjalnie szkodliwych.<\/p>\n
Wykrywanie oparte na anomaliach to technika cyberbezpiecze\u0144stwa, kt\u00f3ra identyfikuje i \u0142agodzi zagro\u017cenia poprzez analiz\u0119 odchyle\u0144 od typowego zachowania systemu. Polega na stworzeniu punktu odniesienia dla \u201enormalnych\u201d zachowa\u0144 i ci\u0105g\u0142ym monitorowaniu dzia\u0142a\u0144 systemu pod k\u0105tem ustalonej normy. Jakakolwiek rozbie\u017cno\u015b\u0107 mi\u0119dzy zaobserwowanym zachowaniem a warto\u015bci\u0105 bazow\u0105 mo\u017ce oznacza\u0107 potencjalne zagro\u017cenie cybernetyczne i wywo\u0142a\u0107 alert w celu dalszej analizy.<\/p>\n
W przeciwie\u0144stwie do wykrywania opartego na sygnaturach, kt\u00f3re wymaga znanego wzorca zagro\u017ce\u0144 w celu zidentyfikowania potencjalnych atak\u00f3w, wykrywanie oparte na anomaliach mo\u017ce identyfikowa\u0107 ataki nieznane lub ataki typu zero-day, koncentruj\u0105c si\u0119 na nietypowym zachowaniu.<\/p>\n
Wykrywanie oparte na anomaliach dzia\u0142a g\u0142\u00f3wnie w dw\u00f3ch fazach \u2014 uczenia si\u0119 i wykrywania.<\/p>\n
W fazie uczenia si\u0119 system ustanawia model statystyczny reprezentuj\u0105cy normalne zachowanie na podstawie danych historycznych. Model uwzgl\u0119dnia r\u00f3\u017cne czynniki behawioralne, takie jak wzorce ruchu sieciowego, wykorzystanie systemu lub wzorce aktywno\u015bci u\u017cytkownik\u00f3w.<\/p>\n
W fazie wykrywania system na bie\u017c\u0105co monitoruje i por\u00f3wnuje aktualne zachowanie z ustalonym modelem. Je\u015bli zaobserwowane zachowanie znacz\u0105co odbiega od modelu \u2013 przekraczaj\u0105c zdefiniowany pr\u00f3g \u2013 uruchamiany jest alert wskazuj\u0105cy potencjaln\u0105 anomali\u0119.<\/p>\n
Istniej\u0105 trzy typy metod wykrywania opartych na anomaliach:<\/p>\n