Пространственно-временные закономерности и предсказуемость кибератак

Относительно малоизученным вопросом в науке и инженерии кибербезопасности является существование внутренних закономерностей кибератак. Согласно общепринятому мнению, такие закономерности отсутствуют из-за чрезвычайной сложности современного киберпространства. Однако детальный анализ обширного набора данных, содержащего зависящие от времени частоты атак в относительно широком диапазоне последовательных IP-адресов, позволил выявить внутренние пространственно-временные закономерности, лежащие в основе кибератак; при этом термин «пространственные» относится к пространству IP-адресов. В частности, мы сосредоточились на анализе макроскопических свойств потоков атакующего трафика и выявили два основных типа закономерностей с различными пространственно-временными характеристиками: детерминированный и стохастический. Примечательно, что за почти все атаки отвечает очень небольшое число групп основных атакующих, поскольку их «отпечатки» атак и схемы выбора целей могут быть однозначно идентифицированы по весьма ограниченному числу уникальных пространственно-временных характеристик, каждая из которых существует только в пределах последовательного региона IP-адресов и существенно отличается от остальных. Для всесторонней характеристики закономерностей атак мы использовали ряд количественных показателей, включая закон флуктуаций потока, матрицу вероятностей переходов между состояниями Маркова и показатели предсказуемости. Общий вывод заключается в том, что закономерности атак обладают высокой степенью предсказуемости, что потенциально открывает путь к прогнозированию и, следовательно, смягчению последствий или даже предотвращению крупномасштабных кибератак с помощью макроскопических подходов.