ОЦЕНКА ПОВЕДЕНЧЕСКИХ РИСКОВ ДЛЯ НЕЙТРАЛИЗАЦИИ УГРОЗ СО СТОРОНЫ ИНСАЙДЕРОВ В КОРПОРАТИВНЫХ СЕТЯХ С АРХИТЕКТУРОЙ ZERO TRUST

Аннотация

Внутренние угрозы остаются сложной проблемой, поскольку авторизованные пользователи могут злоупотреблять законными привилегиями, а корпоративные среды постоянно генерируют разнородную телеметрию, касающуюся идентификации, конечных точек, приложений и сети. В этом исследовании разработан прикладной конвейер оценки поведенческих рисков, который преобразует события, ограниченные временными рамками, из набора данных CERT Insider Threat Test Dataset в сигнал с временным индексом, предназначенный для принятия решений о доступе в рамках концепции «нулевого доверия» и сортировки аналитиками. Метод сочетает в себе агрегацию признаков только на основе метаданных, базовые модели логистической регрессии и HistGradientBoosting, оценку по временным окнам пользователей, ранжирование по K лучшим вариантам и явное сопоставление уровней риска с разрешением, усилением многофакторной аутентификации или ограничительными действиями. Ежедневная и еженедельная агрегация оценивается с использованием 30 стратифицированных разбиений на обучающую и тестовую выборки в соотношении 70/30 при сильном дисбалансе классов. Особое внимание уделяется метрикам ранжирования, поскольку они более непосредственно соответствуют фиксированному бюджету аналитиков на проверку, чем единый порог классификации. В представленном тематическом исследовании еженедельная агрегация показала значения Recall@10 = 1,0000 и Recall@1000 = 1,0000, тогда как ежедневная агрегация показала значения Recall@10 = 0,2667 ± 0,1729 и Recall@1000 = 0,4667 ± 0,2249. Вклад заключается скорее в операционной интеграции, чем в создании нового классификатора: поведенческие данные преобразуются в непрерывное, подлежащее проверке состояние риска и связываются с обратимыми механизмами контроля «нулевого доверия», при этом явно указывается временной компромисс между стабильностью ранжирования и задержкой реакции.