В статье рассматривается проблема повышения проактивности защиты информационных систем за счет прогнозирования кибератак. Основная цель исследования заключается в разработке и валидации модели прогнозирования инцидентов информационной безопасности, основанной на анализе гетерогенных данных, собираемых центром управления информационной безопасностью (Security Operation Center – SOC). Авторами предложена многоуровневая архитектура модели, интегрирующая методы предобработки больших объемов операционных данных (логи SIEM, NetFlow, алерты IDS/IPS, данные EDR), выделения значимых признаков и применения ансамблевых алгоритмов машинного обучения, включая градиентный бустинг и рекуррентные нейронные сети, для выявления прекурсоров атак. Экспериментально подтверждена эффективность модели на реальных исторических данных SOC, продемонстрировавшая снижение времени обнаружения (MTTD) угроз на 35% и повышение точности (precision) прогноза до 0.87. Результаты исследования имеют значительный практический потенциал для совершенствования процессов мониторинга и реагирования в SOC.
The article discusses the problem of increasing the proactivity of information system protection by predicting cyber attacks. The main purpose of the research is to develop and validate an information security incident forecasting model based on the analysis of heterogeneous data collected by the Information Security Management Center (SOC). The authors propose a multi-level model architecture that integrates methods for preprocessing large amounts of operational data (SIEM logs, NetFlow, IDS/IPS alerts, EDR data), identifying significant features, and using ensemble machine learning algorithms, including gradient boosting and recurrent neural networks, to identify attack precursors. The effectiveness of the model based on real historical SOC data has been experimentally confirmed, demonstrating a 35% reduction in threat detection time (MTTD) and an increase in forecast accuracy to 0.87. The results of the study have significant practical potential for improving the monitoring and response processes in SOC.