Причинно-ориентированная система обнаружения атак показала точность 98,34% на тестовом наборе сетевого трафика UNSW-NB15. Значение F1 составило 97,91%, а доля ложных срабатываний — 1,62%.
Модель объединяет поведенческие признаки, структурные причинные связи и контрфактическую проверку. Идея состоит в том, чтобы не только отметить подозрительный поток, но и показать, какие изменения признаков повлияли бы на решение.
Авторы также проверили систему на наборе CICIDS2017 и сообщили более чем о 12-процентном росте устойчивости в тестах с намеренными возмущениями и малозаметными атаками. Точная переносимость зависит от того, насколько реальный трафик похож на учебные данные.
Публичные наборы полезны для сравнения методов, но не отражают все облачные конфигурации, новые техники злоумышленников и ошибки телеметрии. Поэтому показатели нельзя напрямую обещать для работающей инфраструктуры.
Для команд информационной безопасности результат интересен как способ сделать тревоги объяснимее и проверять причинные связи. Перед эксплуатацией нужны испытания на собственном трафике, оценка задержки, разбор ложных тревог и независимые атаки красной команды.
Пока никто не ответил. Начните обсуждение.