Выбор технологий Data Mining для систем обнаружения вторжений в корпоративную сетьУДК 004.056.53

Выбор технологий Data Mining для систем обнаружениявторжений в корпоративную сеть© Т.И. Булдакова, А.Ш. ДжалоловМГТУ им. Н.Э. Баумана, Москва, 105005, Россия
Рассмотрена задача обнаружения вторжений в корпоративную сеть. Выделеныосновные компоненты системы обнаружения вторжений и описаны их функции.
Выполнен анализ различных подходов к выявлению нарушений информационной
безопасности. С этой целью дана характеристика основных методов обнаружения вторжений, выделены их достоинства и недостатки. Показано, что для повышения эффективности выявления ситуаций, связанных с возможным вторжением, необходимо использовать современные технологии интеллектуального анализа данных. Поэтому были исследованы особенности технологий Data Mining дляприменения в системах обнаружения вторжений, по результатам их сравнительного анализа предложены гибридные средства для выявления атак. Показано, чтонаиболее перспективным для рассматриваемой задачи является использование
нейро-нечетких методов. Предложена архитектура нейро-нечеткой системы дляобнаружения вторжений в сеть.
Ключевые слова: информационная безопасность, вторжения, корпоративнаясеть, интеллектуальный анализ данных, нейро-нечеткая система.

Введение. Системы защиты корпоративной сети должны обеспечивать не только пассивное блокирование несанкционированного доступа извне к ее внутренним ресурсам, но и осуществлять обнаружение успешных атак, анализировать причины возникновения угрозинформационной безопасности (ИБ) и, по мере возможности, устранять их в автоматическом режиме. Для повышения эффективности
выявления ситуаций, связанных с возможным вторжением, предлагается использовать современные технологии интеллектуального анализа данных – технологии Data Mining.
Основные компоненты системы обнаружения вторжений.
Процесс обнаружения вторжений является процессом оценки подозрительных действий, которые происходят в корпоративной сети. Другими словами, обнаружение вторжений – это процесс идентификациии реагирования на подозрительную деятельность, направленную навычислительные или сетевые ресурсы. Главная задача систем обнаружения вторжений (СОВ) заключается в автоматизации функций пообеспечению ИБ корпоративной сети и обеспечении «прозрачности»функций ИБ для неспециалистов в области защиты информации. Поэтому СОВ – это системы, собирающие информацию из различныхточек корпоративной сети (защищаемой компьютерной системы) ианализирующие эту информацию для выявления не только попыток,но и реальных нарушений защиты (вторжений) [1–3].
1Т.И. Булдакова, А.Ш. ДжалоловПусть имеем множество ситуаций нарушения ИБ X = { X 1 , K , X l } ,каждое(i-есобытие)описываетсявектором

признаков

Xi == x1i , x2i , K , xni , где l – количество угроз ИБ; n – количество при-знаков. По результатам анализа этих признаков происходит идентификация подозрительной деятельности, и СОВ выполняет определенные защитные действия из множества возможных вариантов
Y = { y1 , K , ym } , где m – количество защитных мер.
Для реализации функций по защите от вторжений современнаяСОВ должна содержать следующие основные элементы (рис. 1):
подсистему сбора информации;подсистему анализа;модуль управления;модуль реагирования.

Рис. 1. Общая структура системы обнаружения вторжений

Подсистема сбора информации аккумулирует данные о работе
защищаемой системы. Для сбора информации используются автономные модули-датчики. Количество используемых датчиков различно и зависит от специфики защищаемой системы.
Подсистема анализа (обнаружения) осуществляет поиск атак ивторжений в защищаемую систему. Она структурно состоит из одного или более модулей анализа – анализаторов. Каждый анализатор
выполняет поиск атак или вторжений определенного типа. Входными
данными для анализатора является информация из подсистемы сбора
информации или от другого анализатора. Результат работы подсистемы представляется в виде индикации о состоянии защищаемой
системы и другой необходимой информации.
Модуль управления позволяет управлять компонентами СОВ, атакже следить за состоянием защищаемой системы.
2Выбор технологий Data Mining для систем обнаружения вторжений в корпоративную сетьМодуль реагирования предназначен для выполнения предопределенных действий в случае установления факта атаки.
Характеристика основных методов обнаружения вторжений.
Одним из самых сложных компонентов СОВ является подсистема
анализа (выявления нарушений безопасности), от свойств которойфактически зависит безопасность защищаемой корпоративной сети.
Эффективность этой подсистемы в значительной степени определяется возможностями используемого метода анализа данных о состоянии защищаемой системы [4, 5]. Поэтому были исследованы наиболее распространенные методы выявления нарушений ИБ (табл. 1).
Таблица 1Достоинства и недостатки основных методов выявления нарушений ИБМетод

Анализ журналов регистрацииДостоинства

Недостаткипростота реализации

ухудшение скорости работы дляжурналов большого объема;необходима помощь специалистов;нет унифицированного формата
хранения журналов;анализ не в реальном времени;на каждый анализируемый узелнеобходим свой агент
Статистичеиспользование уже разра- не чувствительны к порядку слеские методы ботанного и зарекомендо- дования событий;вавшего себя аппарата
трудность задания пороговых
математической статисти- значений характеристик событий;ки«статистические» системы могут
быть «обучены» нарушителями
повышенные требования к аппаАнализ «наодин агент СОВ можетлету»просматривать целый сег- ратному обеспечению (особенно ввысокоскоростных сетях);мент сети;определение атак в реаль- неэффективность работы в коммутируемых сетях и сетях с каном масштабе времени;невозможность злоумыш- нальным шифрованием
леннику скрыть следысвоей деятельностиПрофили
обнаружение малейшихбольшая сложность построения«нормального отклонений от «нормаль- профиляповедения»ного» поведенияИспользовапростота реализации;неспособность выявления новыхние сигнатур определение конкретной атак и вторжений;атаки с высокой точнонеобходимость оперативногостью и малой долей лож- обновления баз данных сигнатур;ных срабатыванийпропуски модификаций известных атак3Т.И. Булдакова, А.Ш. ДжалоловВ последнее время в СОВ стали использовать также технологии
интеллектуального анализа данных (Data Mining), позволяющие решать слабоструктурированные и плохо формализуемые задачи, к которым относятся и задачи выявления нарушений ИБ.
Основными целями интеллектуального анализа данных являются
поиск функциональных и логических закономерностей в накопленной информации, построение моделей и правил, которые объясняют
найденные аномалии и/или прогнозируют развитие некоторых процессов, а также обнаружение скрытых знаний в виде корреляций,тенденций и взаимосвязей, которые аналитик не в состоянии выявитьи обобщить самостоятельно. Технологии Data Mining, в отличие оттрадиционных методов обработки данных, позволяют более эффективно выполнять оценку состояния наблюдаемых процессов, выявлять и ранжировать причины значимых изменений, прогнозироватьразвитие процессов и вырабатывать рекомендации по подготовке
возможных вариантов решений с прогнозом их последствий [6].
Применение технологий Data Mining в СОВ способствует учету
профессионального опыта специалистов в области ИБ, принятию решений в условиях неопределенности, адаптации их при появленииновых угроз или их модификаций [7, 8]. С этой целью наиболее часто
применяют экспертные системы, нечеткую логику, искусственныенейронные сети.
Особенности технологий Data Mining для обнаружения атак. Вэкспертной системе знания специалистов-экспертов формализуются ввиде набора правил, позволяющих принимать решения в сложных ситуациях. Структурированием знаний экспертов в виде базы знаний занимается аналитик (инженер по знаниям). Основанная на правилах экспертная система состоит из базы знаний, механизма логического вывода, блока объяснения результатов и пользовательского интерфейса.
Общая структура экспертной системы (ЭС) приведена на рис. 2.

Рис. 2. Структурная схема экспертной системы4Выбор технологий Data Mining для систем обнаружения вторжений в корпоративную сетьРешение задач реализуется с помощью логических выводов наосновании знаний, хранящихся в базе знаний. Знания в ЭС организованы в виде системы правил вида:IF (условие) THEN (следствие).
Система логического вывода осуществляет сравнение данных ореальном событии и об эталонной ситуации, хранимой в базе знанийи описывающей наличие вторжений, и в случае совпадения этих данных выполняются заданные действия. Результаты работы ЭС доступны пользователю через диалоговый интерфейс, который позволяетознакомиться также с ходом логических «рассуждений» системы, которые привели к получению данного результата.
Использование ЭС представляет собой распространенный методобнаружения атак, при котором информация об атаках формулируется в виде правил. Эти правила могут быть записаны, например, в виде последовательности действий или в виде сигнатуры. При выполнении любого из этих правил принимается решение о наличии несанкционированной деятельности [4]. Важным достоинством такогоподхода является практически полное отсутствие ложных тревог.
База данных (БД) экспертной системы должна содержать сценарии большинства известных на сегодняшний день атак. Для того чтобы оставаться актуальными, экспертные системы требуют постоянного обновления БД, так как даже небольшое изменение уже известной атаки может стать серьезным препятствием для функционирования системы обнаружения атак.
Другим подходом является использование нечеткой логики, которая позволяет применить концепцию неопределенности в логических выводах. Нечеткая логика позволяет описывать правила в незавершенном, «размытом» режиме на основе знаний и весов событий,позволяющих предположить вероятность атаки. В результате можноработать не с конкретными значениями параметров, а с их качественными описаниями.
Степень принадлежности элемента x ∈ X к нечеткому множествуА описывается его функцией принадлежности μA(x): X→[0, 1]. Приэтом можно выделить три случая:1) μA(x) = 1 означает полную принадлежность элемента x к нечеткому множеству А, т.е. x ∈ A ;2) μA(x) = 0 означает отсутствие принадлежности элемента x к нечеткому множеству А, т.е. x ∉ A ;3) 0 < μA(x) < 1 означает частичную принадлежность элемента x кнечеткому множеству А.
Если полное множество X состоит из конечного числа элементов,т. е. X = { x1 , x2, K , xn } , то нечеткое множество А можно представитьв следующем виде:5Т.И. Булдакова, А.Ш. Джалоловμ A ( xn ) n μ A ( xi )μ A ( x1 ) μ A ( x2 )++K +=∑.
A=x1x2xnxi
i =1Приведенная запись имеет символьный характер. Знак «+» ознаμ (x )чает не сложение, а скорее объединение. Запись A i , i = 1,K , n,xiозначает, что μA(xi) относится к элементу xi, а не означает деление.
μ A ( xi ), i = 1,K , n, означает пару {xi, μA(xi)},Фактически записьxi
i = 1, …, n.
Для формализации неточных утверждений типа «x почти равноy» или «x значительно больше, чем y» применяют нечеткие отношения. Нечетким отношением R между двумя непустыми множествами(четкими) X и Y называется нечеткое подмножество прямого декартова произведения X × Y , определяемое следующим образом:μ R ( x, y ).
x, y
X ×YR ⊆ X ×Y = ∑Если знания представлены с помощью нечетких множеств и нечетких отношений, то для реализации логических выводов в нечеткой среде необходимо применять совокупность правил. Поэтому системы нечеткой логики имеют следующие основные особенности:– правила принятия решений являются условными высказываниями типа «IF …, THEN …», которые реализуются с помощью механизма логического вывода;– вместо одного четкого обобщенного правила нечеткая логикаоперирует со множеством частных правил для каждого локального
набора данных, для каждой регулируемой величины, для каждой цели управления;– правила типа «IF …, THEN …» позволяют решать задачи выбора решения итерационно, в режиме диалога с пользователем, чтоспособствует повышению эффективности этого процесса.
Процесс обработки нечетких правил вывода в системе состоит изчетырех этапов:1) вычисление степени истинности левых частей правил (между«IF» и «THEN») – определение степени принадлежности входныхзначений нечетким подмножествам, указанным в левой части правилвывода;2) модификация нечетких подмножеств, указанных в правой части правил вывода (после «THEN»), в соответствии со значениямиистинности, полученными на первом этапе;6Выбор технологий Data Mining для систем обнаружения вторжений в корпоративную сеть3) объединение (суперпозиция) модифицированных подмножеств;4) скаляризация результата суперпозиции – переход от нечеткихподмножеств к скалярным значениям.
К основным преимуществам нечеткой логики относятся [9]:– возможность оперирования нечеткими входными данными;– возможность нечеткой формализации критериев оценки и сравнения;– возможность проведения качественных оценок как входныхданных, так и выходных результатов;– возможность проведения быстрого моделирования сложныхдинамических систем и их сравнительный анализ с заданной степенью точности.
Недостатком нечетких систем является то, что с увеличением
входных переменных сложность вычислений увеличивается экспоненциально, в результате увеличивается база правил, что приводит ктрудному ее восприятию.
Если структура области решения
заранее неизвестна, а известны только отдельные точки области решения, то целесообразно для интеллектуальной обработки информации
применить нейронные сети, элемен- Рис. 3. Схематическое изобратарной составляющей которых явля- жение нейропроцессора с N вхоется искусственный нейрон. В функ- дами и одним выходом
циональном отношении его можно
представить либо как специализированный процессорный элемент,либо как нелинейный динамический информационный элемент с памятью. Каждый такой элемент (или узел) связан с большим числомдругих элементов. Особенность этих связей состоит в том, что навход элемента поступает несколько сигналов Uin(i), i = 1, ..., N, а наего выходе формируется только один Uout (рис. 3).
Сигнал Uout передается нескольким другим нейронам и так далее.
Входные сигналы могут иметь синаптические веса wi, i = 1, ..., N. Математически такой нейропроцессор описывается уравнением⎡N⎤
U out = f ⎢ ∑ wiU in ( i ) − Q ⎥ ,⎣ i =1⎦

где f – некоторая функция активации, определенная для каждого типанейрона; Q – порог.
Функция активации определяет зависимость выходного сигналанейрона от входных сигналов. Эта зависимость может быть выражена с помощью известных функций, например, линейной, кусочнолинейной, сигмоидальной или гауссовой функции (рис. 4).
7

Т.И. Булдакова, А.Ш. ДжалоловабвгРис. 4. Различные виды функций активации:а – линейная функция, б – кусочно-линейная функция, в – сигмоидальная функция, г – функция ГауссаНа практике чаще всего применяют сигмоидальные функции активации. Стандартная сигмоидальная функция определяется какy ( x) =1,1 + e −βxгде β – параметр наклона, который всегда положителен.
Сигмоидальная функция обладает свойством усиливать слабые
сигналы и предотвращает насыщение от больших сигналов, так какони соответствуют тем областям аргументов, где сигмоид имеет пологий наклон.
Нейроподобный функциональный элемент (нейропроцессор) является основным процессорным элементом искусственной нейроннойсети (ИНС). Фактически ИНС представляет собой адаптивную систему, жизненный цикл которой состоит из двух независимых фаз – фазыобучения сети и фазы работы сети. Обучение считается законченным,когда сеть правильно выполняет преобразование на тестовых примерах и дальнейшее обучение не вызывает значительного изменения
настраиваемых весовых коэффициентов. Далее сеть выполняет преобразование ранее неизвестных ей данных на основе сформированнойею в процессе обучения нелинейной модели процесса [9]. Применениенейронных сетей в СОВ позволяет максимально использовать имеющуюся информацию при ограниченном количестве экспериментальных данных.
Если ИНС представляет собой отдельную систему обнаруженияатак, то она обрабатывает трафик и анализирует информацию наналичие в нем злоупотреблений. Любые случаи, которые идентифицируются с указанием на атаку, перенаправляются администраторуИБ или используются модулем автоматического реагирования наатаки.
Важным преимуществом ИНС при обнаружении злоупотреблений является их способность «изучать» характеристики умышленных
атак и идентифицировать элементы, которые не похожи на те, что8Выбор технологий Data Mining для систем обнаружения вторжений в корпоративную сетьнаблюдались в сети прежде. Недостатком нейронных сетей, не позволяющим исследовать процесс формирования классификационных
заключений об атаках, является не вполне «прозрачное» представление знаний в информационном поле ИНС и неочевидность процесса
формирования результатов их работы.
Сравнительный анализ подходов к интеллектуальному анализу
данных показывает, что в каждом из них имеются как сильные, так ислабые стороны. Это отражено в табл. 2, где баллами обозначено: 1 –плохо, 2 – удовлетворительно, 3 – хорошо.
Таблица 2Сравнительная характеристика интеллектуальных методованализа вторженийЭкспертныесистемыНечеткиесистемыНейронныесетиПредставление знаний231Нечеткие выводы133

Адаптируемость

113Способность обучения113Описание результата331Простота обслуживания123ХарактеристикиИз таблицы видно, что целесообразно использовать гибридныесредства, в которых сочетаются достоинства отдельных интеллектуальных методов. Сравнение экспертных систем, нечетких систем инейронных сетей позволяет сделать вывод, что в подсистеме анализавторжений предпочтительнее сочетать ИНС либо с экспертными системами, либо с подходом нечеткой логики. Поэтому можно выделить следующие варианты применения ИНС в системах обнаруженияатак:1) дополнение нейронной сетью существующих экспертных систем для снижения числа ложных срабатываний, присущих ЭС;2) нейро-нечеткие методы для обнаружения вторжений.
Нейросетевая экспертная система во многом организована аналогично ЭС. Однако база знаний нейро-экспертной системы организована в виде нейронной сети, знания в которой представлены в форменечеткого адаптивного распределенного информационного поля. Таккак ЭС получает от ИНС данные только о событиях, которые рассматриваются в качестве подозрительных, чувствительность системывозрастает. Если обученная ИНС получила возможность идентифицировать новые атаки, то экспертную систему также следует обно9Т.И. Булдакова, А.Ш. Джалоловвить. В противном случае новые атаки будут игнорироваться ЭС,прежние правила которой не описывают данную угрозу.
Использование нейросетевой базы знаний позволяет устранить
один из основных недостатков экспертных систем, основанных направилах, – невозможность оперирования с не вполне достовернойинформацией.
Более перспективным подходом для обнаружения атак является
объединение возможностей нейронных сетей и нечеткой логики, поскольку нечеткие ИНС объединяют достоинства ИНС и нечеткой логики, опирающейся на опыт экспертов в области ИБ. Именно нечеткая логика наилучшим образом дополняет нейронные сети, компенсируя две основные «непрозрачности» ИНС: в представлении знанийи объяснений результатов работы интеллектуальной системы. Нечеткие ИНС позволяют решать не только отдельно взятые задачи идентификации угроз, сопоставления поведения пользователей с имеющимися в системе шаблонами, но и автоматически формировать новые правила при изменении угроз.
Нейро-нечеткая система для обнаружения вторжений в сеть.
Применение нечетких нейронных сетей в СОВ обеспечивает: функциональную устойчивость; возможность классификации угроз; описание соответствия «угрозы – механизмы защиты» в виде системынечетких предикатных правил; адаптивность нейро-нечетких системзащиты информации (системы нечетких правил).
Пусть существует неизвестная целевая зависимость – отображение y* : X → Y , значения которой известны только на объектах обучающей выборки X r = ⎡⎣( x1 , y1 ) , K , ( xr , yr ) ⎤⎦ размерностью r. Применение нейро-нечеткой системы позволяет аппроксимировать неизвестное отображение в виде алгоритма а : X → Y , способного идентифицировать событие ИБ по вектору его признаков и определить
защитные действия. Для этого используется множество нечетких
правил R = { R1 , K , Rk } вида:R1 : если x1 ∈ A11 и K xn ∈ A1n , то Y есть y1 ,R2 : если x1 ∈ A11 и K xn ∈ A2n , то Y есть y2 ,LRk : если x1 ∈ Ak11 и K xn ∈ Aknn , то Y есть ym ,где Ai j – соответствующие нечеткие множества, k = k1 , K , kn .
Структурная модель СОВ, включающая нейро-нечеткую системудля идентификации события ИБ, показана на рис. 5.
10Выбор технологий Data Mining для систем обнаружения вторжений в корпоративную сетьРис. 5. Структурная модель системы обнаружения вторжений

Нейро-нечеткая система представляет собой ИНС (рис. 6), которая является адаптивным функциональным эквивалентом нечеткой
модели вывода [7]. Знания квалифицированных специалистов в области ИБ, представленные в форме нечетких переменных и нечеткихправил, отражаются в структуре нейро-нечеткой сети.
Слой 1Слой 2Слой 3Слой 4Слой 5Четкие входныезначения

Приведение кнечеткостиНечеткие правилаКомпозициязаключенийнечетких правилВыходной слойR1


R2B1



R3


R4


B2


R5



R6

Рис. 6. Нейро-нечеткая сетьОсновные этапы нечеткого логического вывода распределены послоям ИНС и реализуются, к примеру, для сети с двумя входами x1, x2
и одним выходом y следующим образом:11

Т.И. Булдакова, А.Ш. Джалолов1) введение нечеткости выполняется слоем входных функций
принадлежности μ A1 − μ A1 , μ A2 − μ A2 , осуществляющих преобразо1313

вание каждого из четких входных значений x1 и x2 в степень истинности соответствующей предпосылки для каждого правила;2) нечеткому логическому выводу соответствует слой нечетких
правил R1 − R6 , который по степени истинности предпосылок μ A1 ,iμ A2 , i = 1, 2, 3 формирует заключения по каждому из правил;i3) композиция заключений нечетких правил R1 − R6 проводится
слоем выходных функций принадлежности μ B1 , μ B2 (output membership functions) с целью формирования нечетких подмножеств B1, B2;4) композиция нечетких подмножеств B1, B2 и приведение к четкости выполняется в выходном слое и приводит к формированиювыходного четкого значения y.
Так как в архитектуре нейро-нечеткой системы используются нечеткие правила, основанные на знании экспертов в области защитыинформации, то для обучения целесообразно выбрать метод обучения с учителем, например, метод минимизации среднеквадратичной
ошибки [9]. Его преимущества состоят в возможности широкого использования и математической простоте. В качестве функций активации нейронов предпочтительнее выбрать сигмоидальные, а в качестве функций принадлежности можно выбрать, например, Zобразные и S-образные функции.
Обучение нечеткой ИНС позволяет не только настроить веса связей (т. е. откорректировать достоверность отдельных нечетких правил), но и устранить противоречивость системы нечетких правил вцелом. В случае отсутствия априорной информации по данной предметной области, но при достаточном объеме обучающей выборкинейро-нечеткая сеть автоматически преобразует скрытые в данныхобучающей выборки закономерности в систему правил нечеткого логического вывода.
Таким образом, применение нейро-нечеткой системы являетсянаилучшим вариантом построения одного из модулей СОВ, которыйбудет проводить анализ данных, полученных от подсистемы сбораинформации, и сообщать об обнаружении несанкционированныхдействий, подтверждая факт наличия вторжения или атаки.
Заключение. Выполнен анализ существующих подходов для решения задачи обнаружения вторжений в корпоративную сеть. Показано, что перспективным направлением при разработке средств обнаружения атак является использование технологий Data Mining.
Поскольку системы нечеткой логики компенсируют основные «не12Выбор технологий Data Mining для систем обнаружения вторжений в корпоративную сетьпрозрачности» ИНС в представлении знаний и объяснении результатов работы интеллектуальной системы, то для построения модуляанализа информации в СОВ предложена нейро-нечеткая система. Более того, включение нечеткой логики в состав нейросетевых средствобнаружения атак на корпоративную сеть позволяет учитывать априорный опыт экспертов ИБ, реализовать присущее нейронным сетямнечеткое представление информации, извлекать знания из входныхнеполных и не вполне достоверных данных.
ЛИТЕРАТУРА
[1] Шаньгин В.Ф. Информационная безопасность компьютерных систем исетей. Москва, ИД «ФОРУМ»: ИНФРА-М, 2008, 416 с.
[2] Мельников В.В. Защита информации в компьютерных системах. Москва,Финансы и статистика, 1997, 368 с.
[3] Allen J., Christie A., Fithen W. et al. State of Practice of intrusion detection
technologies. Technical Report CMU/SEI-99-TR-028. Carnegie Mellon Software
Engineering Institute, 2000.
[4] Лукацкий А.В. Обнаружение атак. 2-е изд. СПб.; БХВ-Петербург, 2003,596 с.
[5] Булдакова Т.И., Миков Д.А. Метод повышения адекватности оценокинформационных рисков. Инженерный журнал: наука и инновации, 2012,вып. 3. URL: http://engjournal.ru/catalog/it/security/127.html[6] Булдакова Т.И., Джалолов А.Ш. Анализ информационных процессов ивыбор технологий обработки и защиты данных в ситуационных центрах.
Научно-техническая информация. Серия 1, 2012, № 6, с. 16–22.
[7] Нестерук Ф.Г., Осовецкий Л.Г., Нестерук Г.Ф., Воскресенский С.И. К моделированию адаптивной системы информационной безопасности. Перспективные информационные технологии и интеллектуальные системы, 2004,№ 4, с. 25–31.
[8] Negnevitsky М. Artificial intelligence: a guide to intelligent systems. 2ndedition. Harlow, England: Addison-Wesley, 2005, 415 p.
[9] Круглов В.В., Дли М.И., Голунов Р.Ю. Нечеткая логика и искусственныенейронные сети. Москва, Физматлит, 2001, 224 с.

Статья поступила в редакцию 28.06.2013Ссылку на эту статью просим оформлять следующим образом:Булдакова Т.И., Джалолов А.Ш. Выбор технологий Data Mining для систем обнаружения вторжений в корпоративную сеть. Инженерный журнал:наука и инновации, 2013, вып. 11. URL: http://engjournal.ru/catalog/it/security/987.html
Булдакова Татьяна Ивановна окончила МВТУ им. Н.Э. Баумана в 1980 г. Д-ртехн. наук, профессор кафедры «Информационная безопасность» МГТУ им. Н.Э. Баумана. Автор около 150 опубликованных работ. Область научных интересов: информационно-аналитические системы, интеллектуальные технологии, системный анализ, моделирование. e-mail: buldakova@bmstu.ru

13

Т.И. Булдакова, А.Ш. ДжалоловДжалолов Ахмад Шарофиддинович окончил Финансовую академию приПравительстве Российской Федерации в 2010 г. Аспирант кафедры «Информационная безопасность» МГТУ им. Н.Э. Баумана. Автор шести опубликованных работ.
Область научных интересов: информатизация органов государственного управления, ситуационные центры, системы поддержки принятия решений.

14