ntvНаучно-технический вестник информационных технологий, механики и оптикиScientific and Technical Journal of Information Technologies, Mechanics and Optics2226-14942500-0373Университет ИТМО10.17586/2226-1494-2026-26-2-287-294ntv-590Research ArticleКОМПЬЮТЕРНЫЕ СИСТЕМЫ И ИНФОРМАЦИОННЫЕ ТЕХНОЛОГИИCOMPUTER SCIENCEМетод автоматического формирования информативного пространства для выявления событий информационной безопасности в корпоративных компьютерных сетяхMethod of automatic generation of the informative space for identifying information security events in corporate computer networkshttps://orcid.org/0009-0001-1058-9125БучаевА. Я.BuchaevA. Y.

Бучаев Абдулхамид Яхьяевич — аспирант, преподаватель 

Санкт-Петербург, 197101

sc 57219568840  

Abdulhamid Y. Buchaev — PhD Student, Lecturer 

Saint Petersburg, 197101 

sc 57219568840 

abdulhamid0055@yandex.ruУниверситет ИТМОРоссияITMO UniversityRussian Federation202620042026262287294Copyright © Бучаев А.Я., 20262026Бучаев А.Я.Buchaev A.Y.Данная работа распространяется под лицензией Creative Commons Attribution 4.0.This work is licensed under a Creative Commons Attribution 4.0 License.https://ntv.elpub.ru/jour/article/view/590

Введение. Важной частью обеспечения непрерывности функционирования сложных систем является мониторинг информационной безопасности, который является непрерывным процессом, неотделимым от контекста функционирования объекта защиты. Оперативное использование результатов мониторинга требует интерпретируемости полученных данных и представления ключевых причинно-следственных связей в формальном и доказуемом виде. Если объект защиты обладает статистической, поведенческой и процессной регулярностями, то появляется возможность формирования информативного пространства для выявления событий информационной безопасности. В работе формируются и подтверждаются гипотезы о возможности выявления событий информационной безопасности при нарушении перечисленных видов регулярности и о поиске рационального интервала формирования состояния. Научная новизна результатов определяется адаптацией формальных методов построения информативного пространства для выявления событий информационной безопасности, введением и экспериментальным подтверждением гипотез о влиянии события информационной безопасности на статистическую, поведенческую и процессную регулярности и поиске рационального интервала анализа. Предложен качественно новый метод построения информативного пространства для автоматического выявления событий информационной безопасности. Исследован процесс мониторинга состояния информационной безопасности корпоративной компьютерной сети. Рассмотрены эвристические методы формирования информативного пространства для выявления событий информационной безопасности на основе статистического анализа ретроспективных данных в реальном масштабе времени. Метод. Представлен метод автоматического формирования информативного пространства для выявления событий информационной безопасности в корпоративных компьютерных сетях, основанный на динамике двух соседних состояний конечных устройств, определенных за дискретные промежутки времени. Множество таких переходов состояний по всем устройствам формирует матрицу состояния исследуемой компьютерной сети. Основные результаты. Определено информативное пространство для вычисления динамики полученных векторов состояний и найден рациональный интервал формирования состояния устройства при исследовании зависимости разницы векторов двух соседних состояний от интервала анализа в различных информативных пространствах. Выполнен анализ набора сетевых данных в формате PCAP (Packet CAPture), включающий в себя легитимную и ботнет активности устройств интернета вещей. Графическая интерпретация полученного результата позволяет определить время подготовки и начала атаки, что существенно упрощает задачу мониторинга информационной безопасности на этапе анализа входных данных и сокращает количество данных, анализируемых аналитиком информационной безопасности. Обсуждение. Отличительными особенностями предложенного метода является работа в режиме реального времени, отсутствие этапа предобработки входных данных и интерпретируемость выявленных событий информационной безопасности. Явно выделяющиеся тенденции динамики состояния устройств позволяют сократить объем анализируемой информации и обратить внимание на нарушения регулярностей, характеризующие возможные события информационной безопасности. Область применения метода включает в себя задачи мониторинга событий и выявление инцидентов информационной безопасности, а также обнаружение вторжений в корпоративных компьютерных сетях.

An important part of ensuring the continuity of operation of complex systems is information security monitoring which is a continuous process inseparable from the context of the functioning of the protected object. The operational use of monitoring results requires the interpretability of the obtained data and the presentation of key cause-andeffect relationships in a formal and provable form. If the protected object exhibits statistical, behavioral, and process regularities, it becomes possible to form an informative space for identifying information security events. This paper formulates and validates hypotheses regarding the possibility of identifying information security events when the abovementioned types of regularity are violated as well as the search for a rational interval for the formation of a state. The scientific novelty of the results is determined by the adaptation of formal methods for constructing an informative space for identifying information security events, the introduction and experimental confirmation of hypotheses regarding the impact of an information security event on statistical, behavioral, and process regularities, and the search for a rational analysis interval. The goal of this paper is to provide a qualitatively new method for constructing an informative space for the automatic detection of information security events. The object of the study is the process of monitoring the information security status of a corporate computer network. The subject of this study is heuristic methods for forming an informative space for identifying information security events based on the statistical analysis of retrospective data in real time. This paper proposes a method for automatically forming an informative space for identifying information security events in corporate computer networks. This method is based on the dynamics of two adjacent states of end devices determined over discrete time intervals. The set of such state transitions across all devices forms the state matrix of the computer network under study. This study defined an informative space for calculating the dynamics of the obtained state vectors and found a rational interval for forming the device state when studying the dependence of the difference in the vectors of two adjacent states on the analysis interval in various informative spaces. To experimentally confirm the operability of the proposed solution, a set of network data in the PCAP (Packet CAPture) format was analyzed, including legitimate and botnet activity of Internet of Things devices. Graphical interpretation of the obtained result allows one to determine the attack preparation and attack start times, which significantly simplifies the task of information security monitoring at the input data analysis stage and reduces the amount of data analyzed by the information security analyst. Distinguishing features of the proposed method include real-time operation, the absence of a preprocessing stage for input data, and the interpretability of detected information security events. Clearly discernible trends in device status dynamics allow for a reduction in the volume of analyzed information and the focus on irregularities that characterize potential information security events. The scope of application of the proposed method includes monitoring information security events, identifying information security incidents, and detecting intrusions in corporate computer networks.

кибербезопасностьсобытия информационной безопасностивектор признаковстатистическая устойчивостьсетевой трафикмониторинг информационной безопасностистатистическое управление процессамиcybersecurityinformation security eventsfeature vectorstatistical stabilitynetwork trafficinformation security monitoringstatistical process controlReferencesRudie J.D., Katz Z., Kuhbander S., Bhunia S. Technical analysis of the NSO Group’s Pegasus Spyware // Proc. of the International Conference on Computational Science and Computational Intelligence (CSCI). 2021. P. 747–752. https://doi.org/10.1109/csci54926.2021.00188Rudie J.D., Katz Z., Kuhbander S., Bhunia S. Technical analysis of the NSO Group’s Pegasus Spyware // Proc. of the International Conference on Computational Science and Computational Intelligence (CSCI). 2021. P. 747–752. https://doi.org/10.1109/csci54926.2021.00188Chourasiya S., Samanta G., Sardar D.K., Sharma P., Kumar C.N.S.V. Pegasus Spyware: a vulnerable behaviour-based attack system // Proc. of the 2nd International Conference on Edge Computing and Applications (ICECAA). 2023. P. 287–292. https://doi.org/10.1109/icecaa58104.2023.10212163Chourasiya S., Samanta G., Sardar D.K., Sharma P., Kumar C.N.S.V. Pegasus Spyware: a vulnerable behaviour-based attack system // Proc. of the 2nd International Conference on Edge Computing and Applications (ICECAA). 2023. P. 287–292. https://doi.org/10.1109/icecaa58104.2023.10212163Babeshko I., Giandomenico F.D. Safety and cybersecurity assessment techniques for critical industries: a mapping study // IEEE Access. 2023. V. 11. P. 83781–83793. https://doi.org/10.1109/access.2023.3297446Babeshko I., Giandomenico F.D. Safety and cybersecurity assessment techniques for critical industries: a mapping study // IEEE Access. 2023. V. 11. P. 83781–83793. https://doi.org/10.1109/access.2023.3297446Abakumov A., Kharchenko V. Combining IMECA analysis and penetration testing to assess the cybersecurity of industrial robotic systems // Proc. of the 12th International Conference on Dependable Systems, Services and Technologies (DESSERT). 2022. P. 1–7. https://doi.org/10.1109/dessert58054.2022.10018823Abakumov A., Kharchenko V. Combining IMECA analysis and penetration testing to assess the cybersecurity of industrial robotic systems // Proc. of the 12th International Conference on Dependable Systems, Services and Technologies (DESSERT). 2022. P. 1–7. https://doi.org/10.1109/dessert58054.2022.10018823Tân S.-G., Liu I.-H., Li J.-S. Threat analysis of cyber security exercise for reservoir testbed based on attack tree // Proc. of the 10th International Symposium on Computing and Networking Workshops (CANDARW). 2022. P. 375–379. https://doi.org/10.1109/candarw57323.2022.00023Tân S.-G., Liu I.-H., Li J.-S. Threat analysis of cyber security exercise for reservoir testbed based on attack tree // Proc. of the 10th International Symposium on Computing and Networking Workshops (CANDARW). 2022. P. 375–379. https://doi.org/10.1109/candarw57323.2022.00023Guo H., Ding L., Xu W. Cybersecurity risk assessment of industrial control systems based on order-α divergence measures under an interval-valued intuitionistic fuzzy environment // IEEE Access. 2022. V. 10. P. 43751–43765. https://doi.org/10.1109/access.2022.3169133Guo H., Ding L., Xu W. Cybersecurity risk assessment of industrial control systems based on order-α divergence measures under an interval-valued intuitionistic fuzzy environment // IEEE Access. 2022. V. 10. P. 43751–43765. https://doi.org/10.1109/access.2022.3169133Boudermine A., Khatoun R., Choyer J.-H. Attack graph-based solution for vulnerabilities impact assessment in dynamic environment // Proc. of the 5th Conference on Cloud and Internet of Things (CIoT). 2022. P. 24–31. https://doi.org/10.1109/ciot53061.2022.9766588Boudermine A., Khatoun R., Choyer J.-H. Attack graph-based solution for vulnerabilities impact assessment in dynamic environment // Proc. of the 5th Conference on Cloud and Internet of Things (CIoT). 2022. P. 24–31. https://doi.org/10.1109/ciot53061.2022.9766588Wang W., Cammi A., Maio F.D., Lorenzi S., Zio E. A Monte Carlobased exploration framework for identifying components vulnerable to cyber threats in nuclear power plants // Reliability Engineering and System Safety. 2018. V. 175. P. 24–37. https://doi.org/10.1016/j.ress.2018.03.005Wang W., Cammi A., Maio F.D., Lorenzi S., Zio E. A Monte Carlobased exploration framework for identifying components vulnerable to cyber threats in nuclear power plants // Reliability Engineering and System Safety. 2018. V. 175. P. 24–37. https://doi.org/10.1016/j.ress.2018.03.005Уилер Д., Чамберс Д. Статистическое управление процессами. Оптимизация бизнеса с использованием контрольных карт Шухарта. М.: Альпина Паблишер, 2016. 410 с.Wheeler D.J., Chambers D.S. Understanding Statistical Process Control. SPC Press, 2010, 406 p.Kotenko I., Saenko I., Bortniker P. Detecting attacks against industrial Internet of things by integrating wavelet and statistical analysis // Proc. of the International Conference on Industrial Engineering, Applications and Manufacturing (ICIEAM). 2025. P. 896–901. https://doi.org/10.1109/icieam65163.2025.11028572Kotenko I., Saenko I., Bortniker P. Detecting attacks against industrial Internet of things by integrating wavelet and statistical analysis // Proc. of the International Conference on Industrial Engineering, Applications and Manufacturing (ICIEAM). 2025. P. 896–901. https://doi.org/10.1109/icieam65163.2025.11028572Yu J., Guo J., Globa L., Li S., Zhang M., Li X., Liu J. Construction of a social security monitoring and early warning platform driven by big data // Pr oc. of the IEEE 4th Advanced Information Management, Communicates, Electronic and Automation Control Conference (IMCEC). 2021. P. 370–373. https://doi.org/10.1109/imcec51613.2021.9482215Yu J., Guo J., Globa L., Li S., Zhang M., Li X., Liu J. Construction of a social security monitoring and early warning platform driven by big data // Pr oc. of the IEEE 4th Advanced Information Management, Communicates, Electronic and Automation Control Conference (IMCEC). 2021. P. 370–373. https://doi.org/10.1109/imcec51613.2021.9482215Бучаев А.Я., Бегаев А.Н., Комаров И.И. Метод автоматического обнаружения аномалий в пространстве событий информационной безопасности // Промышленные АСУ и контроллеры. 2024. № 2. С. 31–41. https://doi.org/10.25791/asu.2.2024.1488Buchaev A.Ya., Begaev A.N., Komaro I.I. Method for automatic detection of anomalies in the information security event space. Industrial Automatic Control Systems and Controllers, 2024, no. 2, pp. 31–41. (in Russian). https://doi.org/10.25791/asu.2.2024.1488Senevirathna T., Siniarski B., Liyanage M., Wang S. Deceiving posthoc explainable AI (XAI) methods in network intrusion detection // Proc. of the IEEE 21st Consumer Communications & Networking Conference (CCNC). 2024. P. 107–112. https://doi.org/10.1109/ccnc51664.2024.10454633Senevirathna T., Siniarski B., Liyanage M., Wang S. Deceiving posthoc explainable AI (XAI) methods in network intrusion detection // Proc. of the IEEE 21st Consumer Communications & Networking Conference (CCNC). 2024. P. 107–112. https://doi.org/10.1109/ccnc51664.2024.10454633Barr J.R., Abu-Khzam F.N., Shaw P. Feature selection via independent domination // Proc. of the 5th International Conference on Transdisciplinary AI (TransAI). 2023. P. 197–200. https://doi.org/10.1109/transai60598.2023.00048Barr J.R., Abu-Khzam F.N., Shaw P. Feature selection via independent domination // Proc. of the 5th International Conference on Transdisciplinary AI (TransAI). 2023. P. 197–200. https://doi.org/10.1109/transai60598.2023.00048Scampicchio E. Arcari E., Zeilinger M.N. Error analysis of regularized trigonometric linear regression with unbounded sampling: a statistical learning viewpoint // IEEE Control Systems Letters. 2023. V. 7. P. 3066–3071. https://doi.org/10.1109/lcsys.2023.3291690Scampicchio E. Arcari E., Zeilinger M.N. Error analysis of regularized trigonometric linear regression with unbounded sampling: a statistical learning viewpoint // IEEE Control Systems Letters. 2023. V. 7. P. 3066–3071. https://doi.org/10.1109/lcsys.2023.3291690Guerra-Manzanares A., Medina-Galindo J., Bahsi H., Nõmm S. MedBIoT: Generation of an IoT botnet dataset in a medium-sized IoT network // Proc. of the 6th International Conference on Information Systems Security and Privacy. 2020. V. 1. P. 207–218. https://doi.org/10.5220/0009187802070218Guerra-Manzanares A., Medina-Galindo J., Bahsi H., Nõmm S. MedBIoT: Generation of an IoT botnet dataset in a medium-sized IoT network // Proc. of the 6th International Conference on Information Systems Security and Privacy. 2020. V. 1. P. 207–218. https://doi.org/10.5220/0009187802070218

The authors declare that there are no conflicts of interest present.