Защита корпоративных информационных систем авиапредприятий от атак нулевого дня: подход к обнаружению вторжений на основе глубокого неконтролируемого обучения

Введение

Цифровая трансформация авиационной отрасли привела к формированию сложных, высокоинтегрированных корпоративных информационных систем авиапредприятий, обеспечивающих как управление полетной деятельностью, бронирование и продажу билетов, техническое обслуживание воздушных судов, так и взаимодействие с пассажирами и внешними контрагентами [1]. Рост степени автоматизации и взаимосвязанности данных систем сопровождается существенным расширением поверхности атаки, что делает авиапредприятия привлекательной целью для злоумышленников.

Реальный инцидент, произошедший в июле 2025 года с ПАО «Аэрофлот», наглядно продемонстрировал уязвимость корпоративных ИТ-инфраструктур авиационных компаний: в результате целенаправленной хакерской атаки была нарушена работоспособность значительного числа серверов и рабочих станций, что привело к дестабилизации операционной деятельности и отмене рейсов¹. Подобные инциденты подтверждают, что последствия кибератак в авиационной отрасли выходят за рамки информационной безопасности и напрямую затрагивают вопросы устойчивости бизнеса и безопасности полетов.

Традиционные системы обнаружения вторжений (IDS), основанные на сигнатурном анализе, демонстрируют ограниченную эффективность в условиях атак нулевого дня, а также при сложных целенаправленных атаках (APT) [2–4]. Указанные типы угроз характеризуются высокой степенью адаптивности, скрытности и использованием ранее неизвестных векторов воздействия, что делает невозможным их своевременное выявление средствами традиционного сигнатурного анализа. Дополнительным ограничением является специфика авиационной отрасли, связанная со строгими регламентами, сертификационными требованиями и необходимостью обеспечения непрерывности бизнес-процессов, что затрудняет частое обновление программных компонентов и сигнатурных баз данных средств защиты.

В ответ на такие вызовы Международная организация гражданской авиации (ICAO) в стратегических документах по кибербезопасности подчеркивает необходимость перехода от реактивных методов защиты к проактивным аналитическим подходам, ориентированным на выявление аномалий и неизвестных угроз на ранних стадиях².

Расширение аналитических возможностей систем защиты связано с применением методов машинного обучения. Однако значительная часть существующих решений в области IDS опирается на обучение с учителем и предполагает наличие размеченных выборок атак. Подобные модели ориентированы преимущественно на классификацию заранее известных сценариев вторжений и, несмотря на высокие показатели точности в лабораторных условиях, демонстрируют ограниченную способность к выявлению принципиально новых типов аномалий. В связи с этим особую актуальность приобретают методы машинного обучения без учителя, позволяющие формировать модель нормального функционирования информационной системы и обнаруживать статистически значимые отклонения без использования размеченных данных [5][6]. Развитие данного направления отражено в работах по одноклассовой классификации на основе нейронных сетей [7], а также в исследованиях, направленных на повышение устойчивости моделей без учителя к шуму и выбросам в данных [8]. В обзоре современных подходов к глубокому обнаружению аномалий [9] подчеркивается преимущество нелинейных представлений при анализе сложных многомерных распределений.

В области сетевой кибербезопасности предложены различные архитектуры IDS на основе глубокого обучения, включая сверточные и рекуррентные нейронные сети [10][11]. Тем не менее проблема обнаружения ранее неизвестных сценариев вторжений остается открытой, что подтверждается результатами сравнительного анализа методов неконтролируемого выявления аномалий в многомерных данных [12].

Среди методов неконтролируемого обучения перспективным направлением является применение глубоких автоэнкодеров, способных выявлять аномальное поведение на основе анализа ошибок реконструкции входных данных [8][13]. Для корпоративных сетей авиапредприятий такой подход представляет практический интерес, поскольку в условиях появления атак нулевого дня и постоянно модифицируемых сценариев вторжений формирование полной базы известных атак является концептуально недостижимой задачей.

Основная научная задача исследования заключается в разработке и валидации методологии обнаружения атак нулевого дня в корпоративных информационных системах авиапредприятий на основе глубокого неконтролируемого обучения.

Целью работы является экспериментальная оценка способности модели глубокого автоэнкодера к обнаружению аномалий, то есть к выявлению признаков несанкционированного воздействия в сетевом трафике корпоративных сетей авиапредприятий. В качестве критериев эффективности используются количественные метрики качества классификации, включая F1‑меру, точность и полноту.

Научная новизна и вклад работы заключаются в следующем.

1. Разработана методология обнаружения атак нулевого дня в корпоративных сетях авиапредприятий на основе глубокого автоэнкодера, реализующая парадигму обучения без учителя, ориентированная на обучение исключительно на данных легитимного трафика.
2. Предложен подход к интеграции системы обнаружения аномалий в существующую инфраструктуру центров обеспечения кибербезопасности (SOC) авиапредприятий, сочетающий преимущества сигнатурных и неконтролируемых методов анализа.
3. Сформирован метод оценки эффективности системы обнаружения, согласованный с принципами проактивной кибербезопасности, рекомендованными ICAO, и требованиями операционной устойчивости авиационных организаций.

Предлагаемый подход имеет практическое значение для повышения уровня защищенности корпоративных информационных систем авиапредприятий и может быть использован в качестве компонента интеллектуальных систем мониторинга безопасности авиационного сектора.

Методология

Архитектура математической модели автоэнкодера

В основе предлагаемого подхода лежит глубокий автоэнкодер – нейронная сеть, целью обучения которой является реконструкция входных данных на выходе. Архитектура автоэнкодера (AE), представленная на рис. 1, включает две симметричные функциональные части: энкодер и декодер.

Энкодер осуществляет отображение входного вектора признаков через серию скрытых слоев нейронной сети в низкоразмерное латентное представление:

(1)

где  – нелинейное отображение, реализуемое последовательностью скрытых слоев нейронной сети,  – размерность латентного представления, , N – общее число слоев нейронной сети.

Декодер выполняет функцию обратного преобразования и формирует восстановленный вектор , где  – отображение, аппроксимирующее обратную функцию энкодера.

Обучение модели заключается в минимизации функции потерь реконструкции, в качестве которой используется среднеквадратичная ошибка (MSE). Для отдельного вектора x ошибка определяется как

(2)

где n – размерность вектора.

Для мини-батча из m образцов используется усреднение

(3)

Ключевым свойством, используемым для обнаружения аномалий, является то, что модель, обученная исключительно на легитимном трафике, минимизирует ошибку (2) для данных, выбранных из того же распределения. Таким образом, происходит обучение эффективного реконструирования только тех данных, которые соответствуют нормальному поведению сети. Аномальные образцы (например, векторы атак) статистически отличаются от легитимного распределения, что приводит к значительному росту ошибки реконструкции (2). Этот рост служит детектирующим признаком: если , где  – оптимально выбранный порог, то образец классифицируется как аномалия. Таким образом, архитектура автоэнкодера позволяет реализовать детектор, не требующий данных об атаках на этапе обучения, что критически важно для предметной области с отсутствием размеченных векторов атак.

Набор данных и предобработка

В ходе исследования для тестирования экспериментальной оценки предложенной модели использовался публичный набор данных CICIDS2018, сформированный Канадским институтом кибербезопасности и широко применяемый для моделирования сетевого трафика корпоративных информационных систем [14]. Этот набор данных содержит как легитимный сетевой трафик, так и различные типы сетевых атак, что позволяет применять его для задач обнаружения аномалий или вторжений.

С целью повышения обобщающей способности модели и устойчивости процесса обучения была реализована поэтапная процедура предобработки данных. На первом этапе осуществлен отбор признаков, в ходе которого были исключены низкоинформативные и избыточные признаки, включая служебные метаданные (например, временные метки), а также производные признаки с высокой степенью взаимной корреляции. Это позволило снизить размерность входного пространства и уменьшить риск переобучения модели. Далее проведена семантическая группировка портов назначения: вместо абсолютных числовых значений порты были классифицированы по трем взаимодополняющим категориям:

1) функциональное назначение сервиса (web, mail, база данных);

2) категория в соответствии с диапазонами IANA (well-known, registered, ephemeral);

3) контекст безопасности (например, категория suspicious для портов, часто ассоциируемых с вредоносной активностью).

Такая группировка позволяет модели оперировать обобщенными типами сетевых сервисов, что повышает ее интерпретируемость и устойчивость к изменениям в сетевой инфраструктуре. На заключительном этапе для устранения асимметрии распределений и статистических выбросов, характерных для сетевого трафика, применен трехступенчатый конвейер нормализации k данных. Он включал использование устойчивого масштабирования на основе межквартильного размаха (RobustScaler), последующее преобразование распределений с использованием метода Яо – Джонсона (PowerTransformer), а также ограничение значений признаков в диапазоне [−4, 4] для обеспечения численной устойчивости обучения нейронной сети. Принципиально важно, что все параметры преобразователей оценивались исключительно на подвыборке легитимного трафика обучающего набора данных, что полностью исключает информационную утечку и корректно моделирует условия реальной эксплуатации системы обнаружения аномалий.

Для визуальной оценки результатов предобработки и анализа структуры признакового пространства была выполнена проекция данных на первые три главные компоненты методом PCA. На рис. 2 представлена трехмерная визуализация, из которой видно, что легитимный трафик формирует сложную структуру, состоящую из нескольких пересекающихся кластеров, в то время как аномальные наблюдения распределены более диффузно и частично перекрываются с областями нормальной активности. Такое распределение подтверждает отсутствие простой линейной разделимости между классами и обосновывает применение нелинейных методов обнаружения аномалий, в частности автоэнкодеров.

Контрольные методы для сравнительного анализа

Для объективной оценки эффективности предложенного глубокого автоэнкодера были выбраны два классических алгоритма обнаружения аномалий, функционирующих в парадигме обучения без учителя.

1. One-Class SVM (OC-SVM) [15] – метод, основанный на построении разделяющей гиперплоскости в пространстве признаков, охватывающей основную массу наблюдений, соответствующих нормальному режиму функционирования системы. Алгоритм обучается исключительно на данных легитимной активности и широко применяется для задач обнаружения аномалий в условиях отсутствия размеченных примеров атак.
2. Isolation Forest (IF) [16] – ансамблевый алгоритм, использующий принцип изоляции аномальных наблюдений. Метод основан на построении набора случайных деревьев решений, в которых аномальные объекты, как правило, изолируются на меньшей глубине по сравнению с нормальными данными. Isolation Forest является одним из наиболее распространенных методов неконтролируемого обнаружения аномалий.

Оба контрольных алгоритма были обучены и протестированы на одном и том же наборе данных с применением идентичной процедуры предобработки, описанной в «набор данных и предобработка». Настройка гиперпараметров моделей (включая коэффициент контаминации для Isolation Forest, а также тип ядра и параметр ν для OC-SVM) осуществлялась на валидационной выборке, содержащей исключительно легитимный сетевой трафик. Такой подход обеспечивает корректность и сопоставимость результатов сравнительного анализа, представленного в разделе экспериментальных исследований.

Процедура обучения и оценки

Целями экспериментальной процедуры являлись оценка способности предложенной модели на основе автоэнкодера выявлять аномальные состояния сетевого трафика, а также анализ устойчивости и воспроизводимости полученных результатов. Все вычислительные эксперименты были реализованы с использованием языка программирования Python версии 3.13. Для построения и обучения нейронной сети применялась библиотека PyTorch, для предобработки данных и расчета метрик качества – библиотека scikit-learn, для работы с массивами данных – NumPy и Pandas.

Архитектура автоэнкодера подбиралась эмпирически на основе серии предварительных экспериментов. В итоговой конфигурации использовалась симметричная структура, включающая шесть скрытых слоев в энкодере с размерностями [ 256, 192, 144, 108, 81, 64] и латентным представлением размерностью 32. Декодер имел зеркальную архитектуру. Обучение модели осуществлялось исключительно на подвыборке легитимного сетевого трафика с использованием оптимизатора Adam. В качестве функции потерь использовалась среднеквадратичная ошибка реконструкции (MSE). Анализ кривых обучения (рис. 3) свидетельствует о стабильной сходимости модели и отсутствии признаков переобучения.

Ключевым этапом настройки детектора аномалий являлось определение порогового значения функции потерь реконструкции τ, используемого для принятия решения о наличии аномалии. Значение порога определялось на отдельной валидационной выборке, содержащей исключительно данные нормальной сетевой активности, по критерию максимизации индекса Юдена (Youden’s J statistic). Такой подход соответствует реальным условиям эксплуатации систем обнаружения вторжений, при которых информация о возможных атаках на этапе конфигурации системы отсутствует.

На рис. 4 представлено распределение ошибок реконструкции автоэнкодера для легитимного трафика и атакующих воздействий в логарифмическом масштабе. Видно, что ошибки реконструкции нормального трафика преимущественно сконцентрированы в области малых значений ошибки реконструкции, тогда как для атак характерны существенно большие значения ошибки и более сложная, многомодальная структура распределения в силу разнообразности классов атак.

Несмотря на частичное перекрытие распределений в области малых значений MSE, между ними наблюдается выраженный статистический сдвиг, что подтверждает информативность ошибки реконструкции в качестве признака аномального поведения. Вертикальной пунктирной линией на рис. 4 обозначено выбранное пороговое значение τ.

Окончательная оценка эффективности разработанной модели проводилась на тестовой выборке, включающей 14 различных типов атак. Для всестороннего анализа использовался набор стандартных метрик качества классификации: макроусредненная F1‑мера, площадь под ROC-кривой (ROC-AUC), точность (precision) и полнота (recall). Применение нескольких метрик позволило объективно оценить как общую эффективность детектирования, так и баланс между ошибками первого и второго рода.

Результаты и обсуждение

Экспериментальная оценка предложенного автоэнкодера на тестовой выборке, содержащей 14 типов атак, показала его устойчивую и сбалансированную эффективность при решении задачи обнаружения аномалий. В частности, модель продемонстрировала макроусредненную F1‑меру 0,81 и значение площади под ROC-кривой (ROC-AUC), равное 0,844.

Анализ показателей по классам свидетельствует о сопоставимом качестве детектирования легитимного трафика и атакующих воздействий. Для легитимного трафика значения точности и полноты составили 0,84 и 0,78 соответственно, тогда как для атак – 0,78 и 0,81. Такое соотношение метрик указывает на сбалансированный характер принимаемых решений и отсутствие выраженного смещения в сторону ошибок первого либо второго рода. Дополнительно стабильная сходимость функции потерь в процессе обучения, а также отчетливое разделение распределений ошибок реконструкции (рис. 4) подтверждают корректность обучения модели и обоснованность выбранного порога детектирования.

Для оценки относительной эффективности предложенного подхода было проведено сравнение с классическими методами неконтролируемого обнаружения аномалий – Isolation Forest и One-Class SVM [15]. Результаты сравнительного анализа представлены в табл. 1. Как видно из полученных данных, автоэнкодер демонстрирует более высокие значения макроусредненной F1‑меры и ROC‑AUC по сравнению с контрольными алгоритмами. Превышение составляет порядка 5–8 процентных пунктов по F1‑score.

Данное преимущество может быть объяснено способностью глубокой нейронной архитектуры эффективно моделировать сложные нелинейные зависимости в многомерном пространстве признаков и формировать более точное представление нормального поведения сетевого трафика. В отличие от методов, основанных на геометрических предположениях или локальной изоляции наблюдений, автоэнкодер адаптируется к статистической структуре данных, что особенно важно в условиях высокой вариативности и шумности сетевого трафика.

Заключение

В рамках проведенного исследования показано, что автоэнкодер, обучаемый в парадигме неконтролируемого обучения, может эффективно использоваться для обнаружения аномальных состояний сетевого трафика и выявления ранее неизвестных атак в корпоративных информационных системах авиапредприятий. Полученные экспериментальные результаты подтверждают возможность применения данного подхода в качестве проактивного аналитического модуля в составе гибридных систем обнаружения вторжений, функционирующих в центрах мониторинга безопасности (SOC).

Ключевым преимуществом предложенного решения является отсутствие необходимости в использовании размеченных данных атак и регулярного обновления сигнатурных баз данных. Это обстоятельство имеет принципиальное значение для авиационной отрасли, характеризующейся жесткими регламентами эксплуатации, высокими требованиями к отказоустойчивости и ограниченными возможностями оперативного обновления программных компонентов. Интеграция оценки аномальности, формируемой автоэнкодером, в существующие SIEM-системы позволяет дополнять традиционные сигнатурные оповещения поведенческим контекстом, что способствует более точной приоритизации инцидентов.

Вместе с тем следует отметить ограничения проведенного исследования: экспериментальная оценка модели выполнялась с использованием синтетического набора данных CICIDS2018, который, несмотря на широкое распространение в научных исследованиях, не в полной мере отражает особенности трафика и эксплуатационные условия информационных систем авиационной отрасли. В связи с этим практическое внедрение предложенного подхода требует дополнительной валидации на реальных операционных данных.

Перспективными направлениями дальнейших исследований являются повышение интерпретируемости моделей автоэнкодеров за счет разработки методов анализа вклада отдельных признаков в формирование ошибки реконструкции, а также адаптация предложенной методологии к условиям промышленной эксплуатации в составе действующих SOC. Реализация указанных направлений позволит сократить время анализа инцидентов и повысить доверие специалистов информационной безопасности к результатам, формируемым методами машинного обучения.