ПОСТОЯННОЕ ОБУЧЕНИЕ ДЛЯ ОБНАРУЖЕНИЯ ВТОРЖЕНИЯ

1. Способ обеспечения безопасности онлайновой услуги посредством модели с постоянным обучением, содержащий:
сбор набора сигналов безопасности от онлайновой услуги, причем набор сигналов безопасности собирают в скользящем окне времени;
идентификацию того, является ли каждый сигнал безопасности из набора сигналов безопасности вредоносным или безвредным;
обеспечение баланса вредоносных сигналов из набора сигналов безопасности с безвредными сигналами из набора сигналов безопасности, чтобы создать сбалансированный обучающий набор данных; и
создание предсказательной модели на основе сбалансированного обучающего набора данных, причем предсказательная модель сконфигурирована для идентификации того, является ли сигнал безопасности вредоносным или безвредным.
2. Способ по п. 1, в котором идентификация того, является ли каждый сигнал безопасности из набора сигналов безопасности вредоносным или безвредным, дополнительно содержит:
исследование каждого сигнала безопасности в рабочей модели, причем рабочая модель создается посредством блока обучения модели в соответствии со сбалансированным обучающим набором данных и сконфигурирована, чтобы давать результат обнаружения того, является ли конкретный сигнал безопасности вредоносным или безвредным;
передачу результата обнаружения пользователю-аналитику; и
в ответ на прием действия от пользователя-аналитика относительно результата обнаружения, обновление результата обнаружения, чтобы указать, является ли упомянутый конкретный сигнал безопасности вредоносным или безвредным.
3. Способ по п. 2, в котором автоматизированный источник атаки имитирует атаку на онлайновую услугу, при этом идентификация того, является ли каждый сигнал безопасности из набора сигналов безопасности вредоносным или безвредным, дополнительно содержит:
прием от автоматизированного источника атаки уведомления, идентифицирующего сигналы безопасности, сгенерированные в ответ на атаку; и
интерпретацию сигналов безопасности, сгенерированных в ответ на атаку, как вредоносных независимо от результата обнаружения.
4. Способ по п. 2, в котором идентификация того, является ли каждый сигнал безопасности из набора сигналов безопасности вредоносным или безвредным, дополнительно содержит:
выделение признаков из упомянутого конкретного сигнала безопасности;
определение того, удовлетворяют ли эти признаки, выделенные из конкретного сигнала безопасности, набору признаков, обозначенному административным пользователем как определяющий тип атаки;
в ответ на определение того, что выделенные признаки удовлетворяют набору признаков, обозначение упомянутого конкретного сигнала безопасности как вредоносного; и
в ответ на определение того, что выделенные признаки не удовлетворяют набору признаков, обозначение упомянутого конкретного сигнала безопасности как безвредного.
5. Способ по п. 4, в котором обеспечение баланса вредоносных сигналов с безвредными сигналами дополнительно содержит:
идентификацию типа атаки каждого из вредоносных сигналов;
обеспечение баланса относительного числа типов атаки для набора типов атак, наблюдаемых для вредоносных сигналов, посредством по меньшей мере одного из:
увеличения относительного количества недостаточно представленных типов атаки в наборе типов атак; и
уменьшения относительного количества чрезмерно представленных типов атак в наборе типов атак.
6. Способ по п. 4, в котором наборы признаков идентифицируются в структурированном документе, подаваемом административным пользователем, причем структурированный документ предписывает типы признаков и поля данных для наблюдения в сигналах безопасности, и признаки из наборов признаков динамически выделяются из сигналов безопасности на основе структурированного документа без необходимости модифицировать код.
7. Способ по п. 1, в котором сигналы данных предыстории включаются в набор сигналов безопасности.
8. Способ по п. 1, в котором обеспечение баланса вредоносных сигналов с безвредными сигналами дополнительно содержит:
идентификацию устройства в онлайновой услуге, от которого был собран по меньшей мере один вредоносный сигнал в рамках скользящего окна; и
удаление безвредных сигналов, связанных с этим устройством, из набора сигналов безопасности.
9. Система для обеспечения безопасности онлайновой услуги при посредстве модели с постоянным обучением, содержащая:
процессор; и
запоминающее устройство, включающее в себя команды, которые при их исполнении процессором приспособлены, чтобы:
принимать сигналы безопасности от устройств в рамках онлайновой услуги;
выделять векторы признаков из каждого из сигналов безопасности, причем конкретный вектор признаков обеспечивает числовые значения, представляющие состояние конкретного устройства, от которого принимается упомянутый конкретный сигнал безопасности;
получать результаты обнаружения для каждого из векторов признаков посредством соответствующих предсказательных моделей, причем конкретный результат обнаружения идентифицирует, является ли упомянутый конкретный сигнал безопасности указывающим вредоносную или безвредную активность на упомянутом конкретном устройстве;
задавать скользящее окно, причем скользящее окно включает в себя множество сигналов безопасности и соответствующие результаты обнаружения, которые были приняты во временном интервале от текущего момента времени;
создавать сбалансированный обучающий набор данных для скользящего окна, причем для создания сбалансированного обучающего набора данных система дополнительно выполнена с возможностью:
идентифицировать тип атаки для каждого сигнала из сигналов безопасности в скользящем окне, идентифицированного указывающим вредоносную активность;
увеличивать количество сигналов безопасности, идентифицированных с недостаточно представленными типами атаки, в скользящем окне относительно сигналов безопасности, идентифицированных с чрезмерно представленными типами атаки; и
выполнять перекрестное соединение сигналов безопасности, идентифицированных указывающими вредоносную активность, с сигналами безопасности, идентифицированными указывающими безвредную активность, чтобы создать сценарии атаки для скользящего окна; и
обновлять, согласно алгоритму машинного обучения, упомянутые соответствующие предсказательные модели на основе сбалансированного обучающего набора данных.
10. Система по п. 9, в которой обновление соответствующих предсказательных моделей включает в себя замену рабочих моделей, используемых для получения результатов обнаружения, моделями стадии разработки, разработанными на основе сбалансированного обучающего набора данных согласно алгоритму машинного обучения, в ответ на указание алгоритмом машинного обучения того, что модели стадии разработки более точно идентифицируют то, являются ли сигналы безопасности указывающими вредоносную или безвредную активность на устройствах, согласно сбалансированному обучающему набору данных.
11. Система по п. 9 , в которой сигналы предыстории включаются в скользящее окно, причем сигналы предыстории включают в себя сигналы безопасности, собранные вне временного интервала.
12. Система по п. 9, в которой сигналы безопасности, принятые от устройств в рамках онлайновой услуги, включают в себя сигналы безопасности, сгенерированные в ответ на выполнение автоматизированным источником атаки известных вредоносных активностей в онлайновой услуге, при этом результаты обнаружения, создаваемые для сигналов безопасности, сгенерированных в ответ на выполнение автоматизированным источником атаки известных вредоносных активностей, устанавливаются, чтобы указывать, что упомянутый конкретный сигнал безопасности является указывающими вредоносную активность, на основе уведомления от автоматизированного источника атаки.
13. Система по п. 9, при этом для создания сбалансированного обучающего набора данных система дополнительно выполнена с возможностью удалять сигналы безопасности, идентифицированные указывающими безвредную активность, из скользящего окна в ответ на идентификацию того, что конкретное устройство, от которого были приняты сигналы безопасности, идентифицированные указывающими безвредную активность, связано с одним или более сигналами безопасности, идентифицированными указывающими вредоносную активность, в скользящем окне.
14. Система по п. 9, при этом для создания сбалансированного обучающего набора данных система дополнительно выполнена с возможностью:
идентифицировать тип устройства, от которого был принят каждый сигнал из сигналов безопасности в скользящем окне, идентифицированный указывающим безвредную активность; и
увеличивать количество сигналов безопасности, идентифицированных с недостаточно представленными типами устройств в скользящем окне относительно сигналов безопасности, идентифицированных с чрезмерно представленными типами устройств.
15. Машиночитаемое запоминающее устройство, включающее в себя исполняемые процессором команды для обеспечения безопасности онлайновой услуги посредством модели с постоянным обучением, содержащие:
сбор набора сигналов безопасности от онлайновой услуги, причем набор сигналов безопасности собирается в скользящем окне по времени;
исследование каждого сигнала безопасности из набора сигналов безопасности посредством предсказательных моделей, чтобы идентифицировать, является ли каждый сигнал безопасности вредоносным или безвредным, причем предсказательные модели сконфигурированы, чтобы давать результат обнаружения того, является ли конкретный сигнал безопасности вредоносным или безвредным, на основе вектора признаков, определяемого административным пользователем;
связывание сигналов безопасности с результатами обнаружения, чтобы идентифицировать сигналы безопасности как вредоносные сигналы или безвредные сигналы;
обеспечение баланса вредоносных сигналов с безвредными сигналами, чтобы создавать сбалансированный обучающий набор данных, включающее в себя:
идентификацию типа атаки для каждого сигнала из вредоносных сигналов;
идентификацию типа устройства, от которого был собран каждый сигнал из безвредных сигналов;
выравнивание относительных чисел вредоносных сигналов в скользящем окне на основе идентифицированных типов атак, чтобы создать набор примеров атак;
выравнивание относительных чисел безвредных сигналов в скользящем окне на основе идентифицированных типов устройств, чтобы создать набор идентифицированных безвредных примеров; и
перекрестное соединение набора примеров атаки с, по меньшей мере, частью набора безвредных примеров, чтобы обеспечить баланс числа примеров атаки в наборе примеров атаки относительно числа безвредных примеров в наборе безвредных примеров; и
уточнение предсказательных моделей на основе сбалансированного обучающего набора данных и алгоритма машинного обучения.