Гибридный подход к обнаружению аномальной сетевой активности на основе ансамблевых моделей машинного обучения, оптимизированного отбора признаков и методов XAI

Аннотация

В статье рассматривается гибридный подход к автоматизированному обнаружению аномальной сетевой активности в корпоративных сетях. Предложена концептуальная модель программного модуля AI-IDS Engine, объединяющего модуль предварительной обработки и отбора признаков, ядро обнаружения угроз на основе ансамблевых алгоритмов машинного обучения (Random Forest / XGBoost) и модуль интерпретации результатов на базе методов объяснимого искусственного интеллекта (SHAP). Проведён многофакторный эксперимент по плану 2³ на наборе данных UNSW-NB15. Исследовано влияние архитектуры детектора, состава признаков и профиля трафика на показатель F1-score. Экспериментально показано преимущество Random Forest над простым правилом (ΔF1 = 0,1739), а также влияние расширения набора признаков на баланс Precision и Recall. Полученные результаты подтверждают целесообразность гибридной архитектуры, сочетающей высокую полноту обнаружения атак с возможностью интерпретации решений модели.

Ключевые слова: обнаружение аномалий, машинное обучение, Random Forest, отбор признаков, XAI, SHAP, UNSW-NB15, факторный эксперимент, SIEM, кибербезопасность

References

1. Козлова Н. Ш., Довгаль В. А. Анализ применения искусственного интеллекта и машинного обучения в кибербезопасности // Вестник Адыгейского государственного университета. – 2023. – Вып. 3 (326). – С. 65–72.
2. Damanik H. A., Anggraeni M. Experimental Analysis of Random Forest-Based Classification for Adaptive Network Attack Detection // ICAR-T1 2025. – Kuala Lumpur, 2026. – P. 128–145.
3. Бекматов А. К. Глубокое обучение для повышения эффективности обнаружения вторжений в сетевых системах // Экономика и социум. – 2024. – № 5(120). – С. 1977–1982.
4. Ичетовкин Е. А. Исследование устойчивости систем обнаружения вторжений с компонентами машинного обучения к состязательным атакам // Вестник Астраханского государственного технического университета. – 2025. – С. 76–87.
5. Ankalaki S. et al. Cyber Attack Prediction: From Traditional Machine Learning to Generative Artificial Intelligence // IEEE Access. – 2025. – Vol. 13. – P. 44662–44706.
6. Сымагулов А. и др. Методы интерпретации черных ящиков машинного обучения и их применение для создания систем поддержки принятия решений // Academic Scientific Journal of Computer Science. – 2021. – № 5. – С. 91–99.
7. Karim M. R. et al. Interpreting Black-box Machine Learning Models for High Dimensional Datasets // IEEE DSAA. – Thessaloniki, 2023. – P. 1–10.
8. Molnar C. Interpretable Machine Learning. A Guide for Making Black Box Models Explainable. – Munich, 2019. – 317 p.
9. Machine Learning for Cybersecurity: Threat Detection and Mitigation / ed. by A. Elhanashi, P. Dini. – Basel, 2024. – 308 p.
10. Kucharavy A. et al. Large Language Models in Cybersecurity. Threats, Exposure and Mitigation. – Zurich, 2024. – 247 p.
11. Приказ Министра информации и коммуникаций Республики Казахстан от 20 марта 2018 года № 112 «Об утверждении Правил проведения мониторинга обеспечения информационной безопасности...».
12. Moustafa N., Slay J. UNSW-NB15: a comprehensive data set for network intrusion detection systems // Military Communications and Information Systems Conference. – 2015.

How to cite

Рурак П.А., Ситников В.А., Сарсенгалиев И.А. Гибридный подход к обнаружению аномальной сетевой активности на основе ансамблевых моделей машинного обучения, оптимизированного отбора признаков и методов XAI // Central Asian Scientific Journal. – 2026. – №4(32), Т. 2. – С. 299–303.