Modelowanie matematyczne adaptacyjnych strategii bezpieczeństwa informacji przy użyciu złożonych modeli zachowań

Dlaczego inteligentniejsza obrona cybernetyczna ma znaczenie

Od dokumentacji szpitalnej po sieci energetyczne — nasze życie coraz bardziej zależy od systemów cyfrowych, które są nieustannie atakowane. Przestępcy i sponsorowani przez państwa hakerzy nie stosują już pojedynczych, łatwych sztuczek; prowadzą długie, ukryte kampanie, które adaptują się w miarę reakcji obrońców. W artykule przedstawiono nowy sposób matematycznego modelowania tej gry kotka i myszki, mający dać obrońcom narzędzia, które dostosowują się w czasie rzeczywistym, zamiast polegać na stałych regułach czy jednorazowych modelach uczenia maszynowego.

Ograniczenia dzisiejszych zapór ochronnych

Większość istniejących narzędzi bezpieczeństwa szuka albo znanych sygnatur poprzednich ataków, albo prostych statystycznych anomalii w ruchu sieciowym. Inne sięgają po teorię gier lub uczenie maszynowe, by przewidywać zagrożenia. Każde z tych podejść uchwyca tylko wycinek rzeczywistości: mogą modelować atakującego lub obrońcę, ale rzadko oba jednocześnie, i często zakładają zachowania, które niewiele się zmieniają w czasie. Obszerne przeglądowe badanie w tej pracy, obejmujące 75 artykułów z lat 2018–2025, wykazało, że mniej niż jedna trzecia istniejących modeli próbuje łączyć różne wzorce zachowań, a jedynie około jedna czwarta wspiera prawdziwą adaptację w czasie rzeczywistym. Innymi słowy, większość modeli traktuje konflikt cybernetyczny jako statyczny i jednowymiarowy, podczas gdy prawdziwe włamania rozwijają się wieloetapowo i reagują na ruchy obrońców.

Ujednolicony obraz napastników i obrońców

Autorzy proponują złożony model zachowań, który splata wiele mniejszych modeli zarówno napastników, jak i obrońców w jednolity, dynamiczny obraz. Po stronie atakującego model reprezentuje etapy takie jak skanowanie sieci, włamanie, poruszanie się boczne między systemami oraz utrzymywanie ukrytej obecności. Po stronie obrońcy obejmuje komponenty takie jak wykrywanie anomalii, dostrajanie zapór ogniowych i przekierowywanie zasobów obliczeniowych tam, gdzie są najbardziej potrzebne. Wszystkie te elementy są powiązane równaniami matematycznymi opisującymi, jak stan całego systemu zmienia się w czasie, uwzględniając niepewność i losowe zakłócenia. Kluczowe jest to, że obrońca nie otrzymuje idealnego obrazu sytuacji; widzi zamiast tego zaszumione sygnały — jak niedoskonałe alerty i logi — i musi wnioskować, co prawdopodobnie robi atakujący, a następnie odpowiednio reagować.

Przekształcanie matematyki w ruchome mechanizmy obronne

Aby przetestować swoje pomysły, autorzy zbudowali szczegółowe środowisko symulacyjne wykorzystujące powszechne zbiory danych z cyberbezpieczeństwa (NSL-KDD i UNSW-NB15) oraz realistyczne, syntetyczne kampanie ataków inspirowane etapami „kill chain” stosowanymi przez współczesnych intruzów. Ataki przebiegają jako probabilistyczne ciągi zdarzeń, z losowym doborem czasu i szumem sensorycznym dodanym, by naśladować chaotyczne warunki prawdziwych sieci. Komponenty obronne używają reguł uczenia i sterowania zwrotnego do dostosowywania progów, rekonfiguracji zabezpieczeń i przydzielania zasobów w miarę napływu nowych dowodów. Model działa w pętli zamkniętej: napastnicy zmieniają taktykę w odpowiedzi na obronę, obrona ponownie się adaptuje i tak dalej, co pozwala badaczom analizować zachowanie całego systemu przez wiele tysięcy kroków czasowych.

Co ujawniają symulacje

W szerokim spektrum scenariuszy — od prostych włamań po złożone, powolne kampanie wymierzone przeciw symulowanym systemom sterowania przemysłowego — model złożony konsekwentnie przewyższał tradycyjne obrony nieadaptacyjne i kilka zaawansowanych punktów odniesienia. W warunkach niskiego poziomu szumu osiągał wskaźniki wykrywalności bliskie lub przekraczające 90 procent i utrzymywał się powyżej około 85 procent nawet wtedy, gdy atakujący stawali się bardziej wyrafinowani lub gdy dane monitoringu były silnie zanieczyszczone szumem. W porównaniu z bazowym modelem statycznym wykrywał więcej ataków, reagował szybciej na zmiany w zachowaniu napastników i bardziej efektywnie wykorzystywał zasoby obliczeniowe, zmniejszając liczbę fałszywych alarmów przy jednoczesnym unikaniu niekontrolowanych kosztów. Testy statystyczne potwierdziły, że te korzyści nie wynikały z przypadku, a wewnętrzna dynamika systemu pozostała stabilna zamiast popadać w chaos, gdy atakujący i obrońcy wzajemnie się dostosowywali.

Co to oznacza dla codziennego bezpieczeństwa

Dla osób niebędących specjalistami kluczowe przesłanie jest takie, że obrona cybernetyczna może być modelowana bardziej jak ewoluujące ekosystemy niż stała ściana. Poprzez matematyczne opisanie, jak różne zachowania napastników i obrońców wchodzą ze sobą w interakcje w czasie — oraz uwzględnienie niepewności i częściowej widoczności — proponowane ramy pokazują drogę do systemów bezpieczeństwa, które uczą się w trakcie ataku, a nie tylko przed nim. Takie złożone, adaptacyjne modele mogłyby stanowić podstawę przyszłych narzędzi, które dyskretnie przekształcają zabezpieczenia sieci w miarę rozwijania się zagrożeń, pomagając krytycznym usługom pozostać online i wiarygodnym, nawet gdy przeciwnicy stają się bardziej wytrwali i pomysłowi.

Cytowanie: Nuaim, A.A., Nuaim, A.A., Nadeem, M. et al. Mathematical modeling of adaptive information security strategies using composite behavior models. Sci Rep 16, 10755 (2026). https://doi.org/10.1038/s41598-026-45315-5

Słowa kluczowe: adaptacyjne cyberbezpieczeństwo, modelowanie zagrożeń behawioralnych, dynamika atak–obrona, stochastyczne systemy bezpieczeństwa, wykrywanie włamań