Стремительная эволюция киберугроз и их возрастающая сложность обусловливают критическую необходимость интеграции методов машинного обучения в системы защиты веб-приложений. Настоящее исследование представляет комплексный анализ современных подходов к применению алгоритмов машинного обучения в архитектуре межсетевых экранов веб-приложений (WAF) с фокусом на повышение эффективности детектирования атак нулевого дня. Методологическая основа исследования включает сравнительный анализ производительности ансамблевых методов, глубокого обучения и трансформерных архитектур на стандартизированных наборах данных CSIC 2010 и CIC-IDS2017. Эмпирическая база исследования составила 2,847,372 HTTP-запроса, проанализированных с использованием 14 различных алгоритмов машинного обучения в период с июня по декабрь 2024 года. Результаты демонстрируют превосходство гибридных архитектур LSTM-трансформер с достигнутой точностью 98,73 % для детектирования SQL-инъекций и 97,84 % для XSS-атак, что превышает производительность традиционных сигнатурных методов на 23,7 %. Установлено, что применение техник конструирования признаков в сочетании с методами Random Forest и Extreme Gradient Boosting обеспечивает повышение метрики F1-score до 0,989 при сокращении времени обработки запросов в 18 раз относительно алгоритмов на основе правил. Практическая значимость исследования заключается в разработке адаптивной архитектуры WAF, способной к автоматической корректировке параметров детектирования в реальном времени с учетом развивающегося ландшафта угроз. Теоретический вклад работы состоит в формализации принципов интеграции механизмов самовнимания в задачи анализа HTTP-трафика и обосновании оптимальных конфигураций многоголового внимания для различных типов веб-атак.
The rapid evolution of cyber threats and their increasing sophistication necessitate the critical integration of machine learning methods into web application protection systems. This study presents a comprehensive analysis of modern approaches to applying machine learning algorithms within Web Application Firewall (WAF) architectures, with a focus on enhancing zero-day attack detection efficacy. The methodological framework of the research involves a comparative performance analysis of ensemble methods, deep learning, and transformer architectures on standardized datasets CSIC 2010 and CIC-IDS2017. The empirical basis of the study comprised 2,847,372 HTTP requests analyzed using 14 different machine learning algorithms between June and December 2024. The results demonstrate the superiority of hybrid LSTM-Transformer architectures, achieving an accuracy of 98.73% for SQL injection detection and 97.84% for XSS attacks, which exceeds the performance of traditional signature-based methods by 23.7%. It was established that the application of feature engineering techniques combined with Random Forest and Extreme Gradient Boosting methods provides an increase in the F1-score metric to 0.989 while reducing request processing time by a factor of 18 compared to rule-based engines. The practical significance of the research lies in the development of an adaptive WAF architecture capable of automatic real-time adjustment of detection parameters in response to the evolving threat landscape. The theoretical contribution of the work consists of the formalization of principles for integrating self-attention mechanisms into HTTP traffic analysis tasks and the justification of optimal multi-head attention configurations for different types of web attacks.
The authors declare that there are no conflicts of interest present.