Abstract
Active Directory (AD) является ключевым компонентом боль-шинства корпоративных сетей, обеспечивающим процессы аутентификации и авторизации, и поэтому представляет собой приоритетную мишень для ком-прометации учётных данных, бокового перемещения и повышения привилегий. Журналы событий безопасности Windows содержат подробные структуриро-ванные данные о таких действиях, однако сигнатурно-корреляционные правила по-прежнему уязвимы: они дают избыток ложных срабатываний и не улавлива-ют закономерности, охватывающие сразу несколько полей журнала. В данной работе пять семейств моделей машинного обучения с учителем — логистическая регрессия, линейная модель метода опорных векторов (SVM), случайный лес, градиентный бустинг и XGBoost — сравниваются на 23 268 событиях Windows, связанных с AD и собранных из десяти открытых сценариев имитации атаки (OTRF Security-Datasets). Все модели обучаются по единому пайплайну предо-бработки, который явно проверяет каждое поле журнала на утечку уровня сессии и отбрасывает 108 из 235 исходных столбцов до кодирования. Каждая модель оценивается по трём взаимодополняющим протоколам: стратифицированное 60/40 разбиение (H), стратифицированная 5-кратная кросс-валидация (CV5) и leave-one-scenario-out (LOSO), в котором модель тестируется на целом сценарии имитации атаки, не встречавшемся при обучении. Под стандартными протокола-ми все пять семейств выглядят сильными (ROC-AUC более 0,85 и PR-AUC более 0,95 в CV5), однако под LOSO те же модели деградируют до ROC-AUC в диапа-зоне 0,15–0,45 и коэффициента корреляции Мэтьюса, близкого к нулю. Получен-ный на одинаковых признаках и гиперпараметрах разрыв между протоколами количественно характеризует специфичный для датасета сигнал, который любое одиночное разбиение скрывает. Обсуждаются следствия этого разрыва для смещения датасета, интерпретируемости, стоимости инференса, развёртывания в SOC и анализа многошаговых цепочек атак, которые классификатор отдельных событий по построению не может охватить.