Малые информационные системы – корпоративные сети малого и среднего бизнеса, ведомственные локальные сети, специализированные автоматизированные системы управления – уязвимы к автоматизированным атакам подбора учетных данных по протоколам FTP и SSH, поскольку располагают ограниченными вычислительными ресурсами и кадровым потенциалом для развертывания полноценных средств защиты. В работе предложен частично надзорный метод обнаружения аномалий сетевого трафика с минимальными требованиями к разметке, моделирующий нормальное поведение пользователей через поведенческие микропрофили – робастные статистические описания типовых режимов сетевой активности, получаемые адаптивной кластеризацией TCP-потоков алгоритмом K-Means. Каждый профиль задается парой «медиана – масштабированное медианное абсолютное отклонение», а аномальность нового потока оценивается взвешенным Z-показателем относительно профиля ближайшего кластера. Веса признаков определяются по статистике Колмогорова-Смирнова, число кластеров – по критерию насыщения площади под ROC-кривой. Экспериментальная проверка на общедоступном наборе данных CICIDS2017 для атак FTP-Patator и SSH-Patator показала, что предложенный метод существенно превосходит классические безнадзорные детекторы – Isolation Forest, Local Outlier Factor и One-Class SVM – как по ранжирующей способности, так и по доле истинных тревог. Ключевым практическим результатом является работоспособность метода в режиме развертывания, не требующем разметки на целевой системе, так как отбор признаков выполняется однократно по публично доступным данным об атаках, после чего построение профилей и выбор порога обходятся без меток. В этих условиях метод обнаруживает более трех четвертей попыток перебора учетных данных, тогда как конкурирующие методы в аналогичных условиях практически не срабатывают.
Small information systems – corporate networks of small and medium-sized enterprises, departmental local area networks, and specialized automated control systems – are vulnerable to automated credential brute-force attacks over FTP and SSH protocols, as they possess limited computational resources and personnel capacity to deploy full-scale security solutions. This paper proposes a semi-supervised network traffic anomaly detection method with minimal labelling requirements, which models normal user behavior through behavioral microprofiles – robust statistical descriptions of typical network activity modes derived by adaptive K-Means clustering of TCP flows. Each profile is defined by a median and scaled median absolute deviation pair, while the anomaly score of a new flow is computed as a weighted Z-score relative to the profile of its nearest cluster. Feature weights are determined using the Kolmogorov–Smirnov statistic, and the number of clusters is selected by a ROC-curve area saturation criterion. Experimental evaluation on the publicly available CICIDS2017 dataset for FTP-Patator and SSH-Patator attacks demonstrated that the proposed method substantially outperforms classical unsupervised detectors – Isolation Forest, Local Outlier Factor, and One-Class SVM – both in ranking ability and in the proportion of true alarms. The key practical finding is the method's effectiveness in a deployment mode that requires no labelling on the target system: feature selection is performed once using publicly available attack data, after which profile construction and threshold calibration proceed without any labels. Under these conditions, the method detects more than three quarters of credential brute-force attempts, whereas competing methods under identical conditions produce virtually no detections.
The authors declare that there are no conflicts of interest present.