เจาะลึกระบบตรวจจับภัยคุกคาม 3 ชั้น เลิกบวกคะแนนแต่ใช้ค่าสูงสุดเพื่อความแม่นยำ
เผยสถาปัตยกรรมระบบตรวจจับความผิดปกติที่ใช้ 3 ชั้นอิสระทำงานร่วมกัน โดยเลือกใช้ค่าสูงสุด (Max) แทนการรวมคะแนน เพื่อลดผลบวกซ้ำซ้อนและรักษาความโปร่งใสในการตรวจสอบ
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
- ระบบใช้การให้คะแนนหน้าต่างข้อมูล 3 รูปแบบอิสระต่อกัน
- ใช้การเลือกค่าสูงสุด (Max) แทนการรวมคะแนนเพื่อป้องกันการนับซ้ำ
- โมเดล Machine Learning ถูกล็อกค่าหลังฝึกฝนเพื่อป้องกันการถูกโจมตี
การแปลงเวกเตอร์ข้อมูลต่อหน้าต่าง (Window) ให้กลายเป็นผู้ตัดสินใจถือเป็นโจทย์สำคัญในการออกแบบระบบ ระบบนี้ทำการให้คะแนนทุกหน้าต่างข้อมูลด้วยวิธีอิสระ 3 แนวทาง และเลือกกรณีที่ชัดเจนที่สุดเพียงกรณีเดียว โดยแต่ละชั้นถูกออกแบบมาเพื่อปิดจุดอ่อนของกันและกัน
ระบบนี้ทำงานโดยไม่มีเกณฑ์พื้นฐานตายตัว และจงใจละเว้นเรื่องความแตกต่างของจำนวนไอดี (Cardinality) ออกไป เนื่องจากมักจะเกิดการแจ้งเตือนผิดพลาด (False Positive) กับการดึงข้อมูลจำนวนมากที่ถูกต้องตามกฎหมาย แม้ว่าเกรตเวย์จะมีกฎจำกัดอยู่ที่ 150 รายการต่อนาทีเพื่อหยุดยั้งการท่วมของข้อมูลก่อนหน้าต่างแรกจะปิดลงก็ตาม
สำหรับการคำนวณในแต่ละไคลเอนต์ ฟีเจอร์ และขนาดหน้าต่าง ระบบจะเก็บบันทึกประวัติที่มีขอบเขตและให้คะแนนค่าใหม่ด้วยมัธยฐาน (Median) และค่าเบี่ยงเบนสัมบูรณ์มัธยฐาน (MAD robust z-score) แทนการใช้ค่าเฉลี่ยและส่วนเบี่ยงเบนมาตรฐาน (Standard Deviation) เนื่องจากค่าเฉลี่ยและค่าเบี่ยงเบนมาตรฐานมักจะถูกบิดเบือนด้วยค่าผิดปกติ (Outliers) ที่ระบบกำลังตามล่าอยู่ ยกตัวอย่างเช่น หน้าต่างที่มีคำขอ 5,000 ครั้ง จะดึงค่าเฉลี่ยให้ผิดเพี้ยนจนทำให้หน้าต่างถัดไปดูเหมือนปกติทันที
การเลือกใช้ Median และ MAD แทน Mean และ Standard Deviation ถือเป็นแนวทางปฏิบัติที่สำคัญในการจัดการข้อมูลที่มีความผันผวนสูง เพราะช่วยป้องกันไม่ให้กลุ่มข้อมูลที่มีขนาดใหญ่ผิดปกติเข้ามาทำลายความถูกต้องของเกณฑ์มาตรฐานความปลอดภัย ทำให้ระบบยังคงมองเห็นความผิดปกติที่แท้จริงได้ท่ามกลางข้อมูลจำนวนมาก
มีองค์ประกอบ 3 อย่างที่ทำให้วิธีนี้ใช้งานได้จริงในทางปฏิบัติ ซึ่งแต่ละอย่างถูกเพิ่มเข้ามาหลังจากพบพฤติกรรมผิดพลาดของระบบ ได้แก่:
- พื้นผิวมาตราส่วนต่อฟีเจอร์ (Scale floor) เพื่อป้องกันการหารด้วยศูนย์เมื่อค่า MAD เข้าใกล้ศูนย์
- ประตูและเพดานจำกัด (Gate and cap) โดยการเบี่ยงเบนต่ำกว่า |z| = 2.5 จะไม่ถูกนับ และจะหยุดเพิ่มขึ้นเมื่อเกิน 8
- เพดานจำกัดฟีเจอร์เดี่ยว (Single-feature cap) หากมีความผิดปกติเพียงฟีเจอร์เดียว คะแนนรวมจะถูกจำกัดไม่ให้ถึงระดับยกระดับความรุนแรง
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
ในส่วนของการวิเคราะห์มิติที่สาม ระบบได้เลือกใช้ Extended Isolation Forest (Hariri et al.) แทนอัลกอริทึม Isolation Forest แบบดั้งเดิม เนื่องจากแบบดั้งเดิมไม่สามารถแยกแยะความแตกต่างในกรณีนี้ได้เนื่องจากข้อจำกัดเชิงโครงสร้าง คะแนนจาก Isolation Forest ไม่มีค่าสัมบูรณ์ตายตัว แต่จะถูกอ่านค่าจากเปอร์เซ็นต์ไทล์ที่ 99 ของคะแนนการฝึกฝนโมเดล โดยมีพื้นฐานอยู่ที่ 0.5
ที่มา: Dev.to
พบข้อมูลผิดพลาดในบทความนี้? แจ้งปัญหาบทความนี้
ความคิดเห็น
แสดงความคิดเห็น