Kaspersky MLAD: Модуль Event Processor (EP)

1.            Назначение документа

Данный документ предназначается для общего ознакомления с функционалом модуля Процессор События программного продукта Kaspersky MLAD и его основными инструментами. При этом данный документ не описывает детальную настройку Процессора Событий и процесс работы с событийными данными для решения конкретных задач.

2.            Kaspersky MLAD - типы входных данных

Вне зависимости от того, какой тип коннектора или интерфейса вы используете для передачи данных в Kaspersky MLAD, в общем и целом, система предполагает работу с двумя принципиально разными типами входных данных

Во-первых, это непрерывные данные от промышленного оборудования (временные ряды). По сути, речь идет о текущих значениях технологических параметров, которые описывают работу промышленной установки, например, температура, вибрация, давление, расход и прочие. И именно с такими данными работает модуль выявления аномалий Kaspersky MLAD, включая обучение моделей и потоковый инференс. При этом речь не обязательно идет об аналоговых величинах – модуль выявления аномалий также поддерживает работу с дискретными сигналами (например, для разметки или диагностических правил).

Но в любом случае, речь выше идет о данных вида «метка времени» - «значение».

Что если вам необходимо выявлять аномалии не во временных рядах, но в потоке событий от одного или множества источников? Например, от POS-терминалов, банкоматов, потребителей электроэнергии, систем SIEM и так далее. Очевидно, что в данном случае мы имеем дело уже с другим типом данных, а именно с событийными данными. Такие данные помимо метки времени могут содержать (и обычно содержат) несколько дополнительных параметров и свойств. Например, событие от POS-терминала может содержать идентификатор события, ID терминала, номер транзакции, результат операции, дополнительный контекст и т.д.

Для работы с событийными данными и последовательностями событий в Kaspersky MLAD есть отдельный модуль, который называется Процессор Событий (Event Processor). Данный модуль входит в состав базовой поставки, но для его работы требуется отдельная лицензия.

3.            Описание работы модуля EP

Как было указано выше, основным предназначением Процессора Событий является работа с событийными данными и последовательностями событий.

Очевидно, что для работы с типом данных, которые содержат большое количество важных полей и метаданных, не подходят классические нейронные сети, которые применяются в модуле выявления аномалий. Поэтому в Процессоре Событий используется особый тип нейросетей, которые называются нейросемантические сети, а также продвинутые методы статистического анализа. Для их работы не требуется предварительное обучение или загрузка, скажем, всего перечня POS-терминалов из примера выше в систему. Обучение происходит «на лету».

За анализ событий и выявление аномалий в событийных данных в Процессоре Событий отвечают так называемые Мониторы Данных. Тип используемого Монитора зависит от решаемой задачи. Основные типы уже включены в состав модуля.

Предположим, что у нас есть поток событий о действиях пользователей в системе, и мы хотим выявлять вход пользователей в систему с необычного для них хоста.

Если бы мы писали правила корреляции в SIEM для решения этой задачи, нам бы потребовалось где-то хранить и постоянно обновлять список ранее используемых хостов для каждого пользователя и каждый раз производить сверку с этим списком. Если количество пользователей исчисляется сотнями и тысячами, данная задача становится очень трудоемкой, если вообще разрешимой.

В EP для решения подобных задач (задач выявления необычных или аномальных событий) существует базовый монитор.

Вы можете настроить для данного монитора параметры активации по факту возникновения новых событий по определенному полю события.

Теперь каждый раз, когда у нас будет прилетать новое событие с новым для нас значением поля UserHost, мы будем получать срабатывание монитора.

При этом, некоторые задачи и некоторые мониторы требуют фильтрации параметров событий и фокуса на определенных параметрах процесса.

Предположим, перед нами стоит задача выявления необычной активности по событиям в разрезе времени суток. Для простоты, пусть это будет выявление активности пользователей некой доменной группы в необычное для них время.

Для решения подобного класса задач существует свой тип монитора:

При работе данного монитора (и большинства других) обычно требуется сфокусироваться на определенном параметре события, например на доменной группе, в разрезе которой мы мониторим активность, или на IP хостов, которые проявляют активность. Также может потребоваться отфильтровать не нужные параметры событий и работать только с важными параметрами.

Для этого в EP существуют дополнительные сущности, которые называются Головы Внимания. Они позволяют задать предмет внимания, на котором будет фокусироваться монитор, и условия по отдельным параметрам события.

На скриншоте выше мы создаем новую голову внимания, которая фокусируется на IP адресе хоста и фильтрует события по вердикту системы контроля доступа. При этом в перечень обрабатываемых параметров события так же попадает IP адрес узла назначения.

Далее при создании Монитора мы указываем голову внимания, с которой он будет работать.

После активации монитор будет мониторить входящий поток событий и выявлять аномалии по времени активности для каждого хоста.

Большая часть мониторов (за исключением разве что монитора, выявляющего эксфильтрацию данных по DNS) является универсальной и может быть использована для решения широкого спектра задач.

К примеру, Монитор, выявляющий статистические аномалии может быть использован для выявления майнеров в электрической сети.

Для этого мы создаем голову внимания, которая фокусируется на потребителях и изучает данные об их электропотреблении.

И далее создаем монитор для выявления статистических аномалий с использованием данной головы внимания

После активации данного монитора, ему на вход можно подавать получасовые данные потребления ЭЭ по десяткам или даже сотням тысяч потребителей, и он будет выявлять сложные статистические аномалии в потреблении ЭЭ по каждому из них.

4.            Заключение

Инструменты процессора событий позволяют решать предметные задачи, стоящие перед пользователями системы. Функционал Мониторов событий и голов внимания не ограничивает их применение определенным кругом задач, так что они могут использоваться в абсолютно разных сценариях. В дальнейшем перечень мониторов внимания будет расширяться, в том числе под требования Заказчиков.