Обнаружение аномалий

Обнаружение аномалий — подход к анализу телеметрии, журналов событий или сетевого поведения, при котором система отмечает значения и последовательности, отличающиеся от нормального состояния по статистическому критерию или модели. Аномалия не равна инциденту: она требует проверки контекста и возможного влияния на сервис или безопасность. Система строит базовый профиль по историческим данным либо использует заданные статистические границы, сезонные модели или алгоритмы машинного обучения. Качество результата зависит от полноты исходных данных, длительности обучения, учёта суточной и недельной цикличности, а также от настройки чувствительности. Слишком низкий порог увеличивает число ложных срабатываний, слишком высокий — вероятность пропуска значимых отклонений. Метод применяется в SIEM, системах мониторинга инфраструктуры, сетевой аналитике и контроле производительности: для выявления необычной нагрузки, нетипичных входов, скачков сетевого трафика, изменений задержек или ошибок. Для закупки важны поддерживаемые источники данных, масштаб обработки, хранение истории, объяснимость срабатываний и интеграция с процессами реагирования. В отличие от порогового мониторинга, обнаружение аномалий может учитывать динамическую норму, а не фиксированное значение метрики. В отличие от сигнатурного обнаружения атак, оно способно заметить неизвестное отклонение, но обычно не определяет его причину и не подтверждает факт атаки без дополнительных правил или расследования.