Abstract
В статье рассматривается задача классификации инцидентов информационной безопасности как ключевой этап процессов мониторинга и реагирования в центрах обеспечения безопасности (SOC) и командах реагирования на компьютерные инциденты (CSIRT). Под классификацией понимается процесс отнесения выявленных событий безопасности к заранее определённым категориям, а также определение их приоритета и потенциального воздействия. Предлагается структурированная таксономия существующих подходов к классификации инцидентов, основанная на двух осях: принципе детерминации (rule-based и data-driven) и уровне абстракции (сигнатурный, поведенческий и семантический уровни). В рамках предложенной таксономии систематизированы следующие группы методов: таксономические и стандарт-ориентированные подходы, сигнатурные методы, статистические и аномалийные модели, методы классического машинного обучения, подходы на основе глубокого обучения и обработки естественного языка, а также гибридные архитектуры. Для каждой группы методов проведён сравнительный анализ по ряду критериев, включая тип входных данных, используемые алгоритмы, метрики качества, а также сильные и слабые стороны. Особое внимание уделено проблемам практического применения, таким как нехватка размеченных данных, концепт-дрейф, интероперабельность между системами и устойчивость к враждебным воздействиям. Результаты работы могут быть использованы при проектировании систем мониторинга безопасности, автоматизации процессов triage (первичная обработка инцидентов) и повышения эффективности классификации инцидентов в современных SOC.