ПАО «Россети Кубань»: НИОКР «Автоматизированная классификация инцидентов на основе методов машинного обучения»
Описание проекта
По заказу ПАО «Россети Кубань» была выполнена НИОКР по направлению «Автоматизированная классификация инцидентов на основе методов машинного обучения». Разработанная система предназначена для автоматизации и анализа событий информационной безопасности путём конфигурирования и внедрения алгоритмов автоматической классификации поведения узлов ЛВС и действий пользователей. Проект реализован в рамках программы инновационного развития Группы «Россети» по направлению «Переход к комплексной эффективности бизнес-процессов и автоматизации систем управления». Результаты НИОКР были представлены на заседании Секции № 4 НТС ПАО «Россети» в апреле 2024 года.
Задача
Ручная обработка и классификация событий информационной безопасности в корпоративной сети требовала значительного времени и квалифицированных специалистов. Необходим был инструмент для автоматического выявления аномального поведения узлов ЛВС и действий пользователей без участия человека на первом этапе фильтрации.
Цели внедрения
-
Автоматизировать классификацию инцидентов информационной безопасности методами машинного обучения
-
Сократить время реагирования на инциденты за счёт автоматической первичной классификации
-
Снизить нагрузку на специалистов по ИБ при анализе событий в корпоративной сети
Результаты
-
Качество и эффективность
-
Разработана система для автоматизации анализа событий ИБ путём конфигурирования алгоритмов ML-классификации поведения узлов ЛВС
-
Система позволяет классифицировать поведение пользователей и узлов ЛВС без участия оператора на этапе первичной фильтрации
-
НИОКР завершена и доложена на НТС ПАО «Россети» (апрель 2024) Нагрузка и масштаб
-
Проект рассматривается как часть корпоративной программы цифровизации и повышения производственной безопасности Группы «Россети» Качественный эффект: Разработка открывает путь к созданию интеллектуального SOC-центра для электросетевого комплекса, где алгоритмы ML обеспечивают первичную сортировку инцидентов ИБ до передачи в работу аналитикам.