Цель работы — разработка политики в модуле поведенческого анализа событий информационной безопасности для реагирования на инциденты ИБ. Предметом исследования является методика конфигурирования параметров для планомерного машинного обучения, достижения оптимальных значений ложных срабатываний. Задачи, решаемые в ходе исследования: 1. Проработать схему инфраструктуры. 2. Описать стандартное поведение привилегированного пользователя и злоумышленника. 3. Описать проблему при расследовании инцидента безопасности. 4. Внедрить модуль поведенческого анализа событий информационной безопасности. 5. Разработать политику по контролю действий системных администраторов. В результате работы был внедрен модуль поведенческого анализа событий информационной безопасности. К модулю были подключены инсталляции систем по контролю действий системных администраторов, развернутых в разных регионах. Модуль поведенческого анализа начал получать данные от систем по контролю действий системных администраторов. Полученные результаты могут быть использованы в качестве основы для контроля действий системных администраторов с последующей регистрацией инцидентов информационной безопасности.

The goal of the work is to develop a policy within the behavioral analysis module for information security events to respond to security incidents. The subject of the study is the methodology for configuring parameters for systematic machine learning to achieve optimal false-positive rates. Tasks to be solved during the study: 1. Develop the infrastructure scheme. 2. Describe the standard behavior of a privileged user and a potential attacker. 3. Describe the problem of investigating security incidents. 4. Implement the behavioral analysis module for information security events. 5. Develop a policy for monitoring the actions of system administrators. As a result of the work, a behavioral analysis module for information security events was implemented. The module was connected to installations of systems for monitoring the actions of system administrators deployed in different regions. The behavioral analysis module started receiving data from these systems. The obtained results can be used as a basis for monitoring the actions of system administrators with subsequent registration of information security incidents.