Подходы к кластеризации системных журналов для приложений в области кибербезопасности: обзор

Файлы журналов предоставляют информацию о состоянии компьютерной системы и позволяют обнаруживать аномальные события, имеющие значение для кибербезопасности. Однако автоматический анализ данных журналов затруднён, поскольку они содержат огромные объёмы неструктурированных и разнородных сообщений, собранных из гетерогенных источников. Поэтому были предложены различные подходы к сжатию или обобщению данных журналов с помощью методов кластеризации. Однако выбор подходящего подхода для конкретной предметной области нетривиален, поскольку алгоритмы разрабатываются с учётом определённых целей и требований. В настоящей работе представлен обзор существующих подходов. Подходы сгруппированы по используемым методам кластеризации; рассмотрены их применимость и ограничения, обсуждены тенденции и выявлены пробелы. Обзор показывает, что подходы обычно преследуют одну или несколько из четырёх основных целей: получение общего представления и фильтрация, разбор и извлечение сигнатур, обнаружение статических выбросов, а также обнаружение аномалий в последовательностях и динамических аномалий. Наконец, в работе также изложены концепция и инструмент, поддерживающие выбор подходящих подходов на основе требований, заданных пользователем.