HuntGPT: интеграция обнаружения аномалий на основе машинного обучения и объяснимого искусственного интеллекта с большими языковыми моделями (LLM)

Методы машинного обучения (ML) для обнаружения сетевых аномалий становятся эффективными проактивными стратегиями поиска угроз, существенно сокращая время, необходимое для обнаружения угроз и реагирования на них. Однако сложности обучения и сопровождения моделей ML в сочетании с частыми ложными срабатываниями снижают их приемлемость и надежность. В ответ были внедрены методы объяснимого искусственного интеллекта (XAI), позволяющие командам эксплуатации средств кибербезопасности с большей уверенностью оценивать оповещения, генерируемые системами искусственного интеллекта. Несмотря на эти достижения, инструменты XAI получили ограниченное признание среди специалистов по реагированию на инциденты и не смогли в полной мере удовлетворить потребности в принятии решений как аналитиков, так и специалистов, сопровождающих модели. Большие языковые модели (LLM) предлагают уникальный подход к решению этих проблем. Благодаря дообучению LLM способны выявлять закономерности в огромных объемах информации и удовлетворять различные функциональные требования. В данном исследовании представлена разработка HuntGPT — специализированной панели мониторинга обнаружения вторжений, предназначенной для реализации классификатора Random Forest, обученного на наборе данных KDD99. Инструмент интегрирует такие фреймворки XAI, как SHAP и Lime, повышая удобство использования и интуитивность модели. В сочетании с диалоговым агентом GPT-3.5 Turbo HuntGPT предназначен для представления обнаруженных угроз в легко объяснимом формате, ориентированном на понимание пользователем и обеспечивающем плавное интерактивное взаимодействие. Мы исследуем комплексную архитектуру системы и ее различные компоненты, оцениваем техническую точность прототипа с использованием практических экзаменационных тестов Certified Information Security Manager (CISM), а также анализируем качество читаемости ответов по шести уникальным метрикам. Результаты показывают, что диалоговые агенты на основе технологии LLM и интегрированные с XAI способны обеспечить надежный механизм формирования объяснимых и практически применимых решений на базе искусственного интеллекта, особенно в области систем обнаружения вторжений.