Миллионы событий WAF в одну аномалию: как PT AF Cloud замечает смену характера атак

Значимый прорыв формирует отрасль ИИ: Меня зовут Даниил Лопаткин, я ML-инженер в группе машинного обучения Positive Technologies. Расскажу, как в PT Cloud Application Firewall работает обнаружение аномалий в профиле трафика и зачем мы его сделали.

Межсетевой экран уровня веб-приложений (WAF) записывает каждое срабатывание правила защиты. У крупного клиента за сутки набираются десятки и сотни тысяч таких событий.

Технические детали

Большая часть из них — привычный фон: боты, сканеры, перебор типовых путей, превышения лимита запросов. Следит за ними обычно небольшая команда центра мониторинга безопасности (SOC), и отвечает она сразу за много приложений.

Просматривать события безопасности каждого вручную она не успевает. Начало целенаправленного сканирования или эксплуатация недавно опубликованной уязвимости теряются среди остальных событий, и их замечают с опозданием.

Этот прогресс даёт важные сигналы о будущем отрасли, и технологический мир внимательно наблюдает.