Abstract
Своевременное и точное обнаружение SQL-инъекций — непростая задача. По сути, это задача онлайн-сопоставления шаблонов, требующая постоянного мониторинга огромных объемов сетевого трафи-ка и быстрого выявления мельчайших аномалий. Чтобы автоматизировать эту задачу, мы разработали и внедрили интеллектуальную систему монито-ринга, которая комбинаторно использует Zabbix для сбора данных, Grafanaдля визуального интерактивного анализа и модели машинного обучения для классификации активности. Архитектура системы непрерывно пропускает необработанные сетевые потоки через агентов Zabbix в стратегических точках входа и выхода. Собранные метрики (шаблоны HTTP-запросов, энтропия по-лезной нагрузки запроса, аномальная задержка ответа и т.д.) затем передаются в дополнительный модуль предварительной обработки, который применяет методы проектирования признаков и снижения размерности.Ансамбль из дерева решений с градиентным усилением и рекуррентной нейронной сети присваивает каждому сеансу вероятностную оценку риска SQL-инъекции в режиме реального времени. События с оценкой выше заданного порогового значения одновременно регистрируются в Zabbix, отображаются на панелях управления Grafana и направляются для выполнения в сценарии оркестровки безопасности. Замкнутый цикл обратной связи значительно сокращает среднее время обнаружения (MTTD) и среднее время реагирования (MTTR), благодаря чему аналитики безопасности активно реагируют на высокорисковые события, а неопасные события автоматически отфильтровываются. Экспериментальная проверка на наборе данных с маркировкой 5,2 млн HTTP-транзакций выявила 97,3 % полноты и 1,8 % ложных срабатываний, что более чем на 12 процент-ных пунктов превышает показатели базовых мониторов на основе сигнатур по шкале F1. Тесты развертывания в промышленной среде также подтверждают отсутствие дополнительных затрат (<2 % ресурсов ЦП, <50 МБ ОЗУ) на отсле-живаемых хостах. Таким образом, предлагаемая система представляет собой эффективное, масштабируемое и адаптивное решение для защиты предприятий от атак с использованием SQL-инъекций с помощью мониторинга на основе ИИ.