РОБАСТНИЙ АДАПТИВНИЙ МЕТОД ВИЯВЛЕННЯ АНОМАЛЬНИХ ТРАНЗАКЦІЙ У БАЗАХ ДАНИХ IOT-СИСТЕМ

Анотація

У роботі розглянуто виявлення аномалій безпосередньо в журналі аудиту системи керування базами даних, у якій накопичуються телеметрія, команди та службові події IoT-пристроїв. Запропоновано робастний адаптивний метод, що формує профіль нормальної поведінки окремого пристрою, шлюзу, облікового запису або прикладного сервісу за агрегованими характеристиками SQL-запитів і транзакцій. Інтегральну оцінку аномальності обчислено за регуляризованою робастною відстанню Махаланобіса з оцінюванням центра та коваріації методом Minimum Covariance Determinant. Порогове значення визначено на основі моделі Peaks Over Threshold із узагальненим розподілом Парето, а накопичення слабких тривалих відхилень реалізовано процедурою CUSUM. Експериментальний стенд охоплює детермінований генератор журналу, реляційне сховище агрегованих вікон, модуль виявлення та блок обчислення метрик. На синтетичному журналі з 60 суб’єктами та 28 800 п’ятихвилинними вікнами запропонований метод отримав Precision 86,48 %, Recall 72,32 % та F1 78,77 % за частоти хибних спрацьовувань 0,55 %. Для 16 сценаріїв повільного витоку даних подієва повнота становила 81,25 %, а медіанна затримка виявлення – шість часових вікон. Медіанний час побудови 60 профілів дорівнював 1,10 с; після формування ознак пакетне оцінювання 14 400 вікон тривало 19,90 мс, а 95-й процентиль потокової затримки одного вікна становив 23,3 мкс. Межі вимірювання явно відокремлюють час детектора від накладних витрат штатного аудиту конкретної промислової СУБД.