ПРОЕКТ

1.

Промежуточная презентация
ТулГУ 2026
AI-анализатор
логов для поиска
подозрительной
активности
тут должны
быть наши
фио

2.

Наша команда
Алексей
Кто и чем занят?
Станислав
Максти
Антон
Руководитель
проекта, архитектор,
ML-инженер
Системный
разработчик (C)
WEB-инженер.
Разработчик логики
обнаружения
Инженер по данным
Контракт данных,
интеграция блоков,
эксперимент, демо.
Эталонный сборщик
на Python на старте;
затем бейзлайны,
нейросеть, метрики
Живой сборщик
сетевых событий на
C: WinAPI,
перечисление
соединений, привязка
к процессам, вывод в
формат проекта (.exe
+ исходники)
Создание, настройка,
тестирование веб
интерфейсов.
Признаки, отпечатки правила, CLI -пайплайн;
позже — модуль
обратной связи и
память решений
Датасеты атак:
загрузка, очистка,
приведение к
формату;

3.

Проблема
Классическая защита (антивирусы,
фаерволы) ловит известные угрозы по
сигнатурам. Поведенческие аномалии —
неизвестная программа стучится на
незнакомый адрес каждые 60 секунд, с
компьютера вдруг утекает большой
объём данных, кто -то перебирает адреса
локальной сети — остаются
незамеченными, пока не станет поздно.
Готовые корпоративные решения
(EDR/NDR) дороги и сложны для обычного
пользователя.

4.

Идея
Система наблюдает за сетевой активностью
компьютера, превращает её в числовые
признаки, находит совпадения с «отпечатками
странности» (новый адресат, периодические
соединения, сканирование портов) и
оценивает вероятность аномалии небольшой
нейросетью, обученной на публичных
датасетах реальных атак. Уведомление
объясняет человеку, какие признаки
сработали; кнопки «Игнорировать /
Подтвердить» формируют обратную связь
—
система перестаёт ругаться на легитимные
вещи вроде VPN и ZeroTier.

5.

Обоснование
Каждый признак в отдельности нормален
— подозрительна комбинация. Это
соответствует подходу индустриальных
систем (Zeek, Suricata, MITRE ATT&CK),
но в учебном масштабе и с
исследовательским вопросом: насколько
полезна обратная связь человека в данном
вопросе?

6.

Заинтересованные
стороны
Кому это надо? И зачем?
Участники команды
Учебное заведение /
преподаватель
Выполнение проектной
деятельности, освоение
командной разработки и
основ ИИ
Навыки
Python/ML/сетевой
безопасности,
проект в портфолио
для стажировок
Открытое
сообщество
Конечные пользователи
(домашние ПК, малые сети,
геймеры с
VPN/ZeroTier/Radmin)
Бесплатный простой монитор
«что происходит в моей сети»
без ложной паники
Проект публикуется
с открытым кодом;
датасеты и
методика
воспроизводимы

7.

Цели проекта
Главная цель: исследовать, позволяет ли комбинация
детерминированных правил, небольшой нейросети и
обратной связи пользователя обнаруживать
сетевые аномалии с меньшим числом ложных
срабатываний, чем чисто правило
-ориентированный
детектор.
Измеримые подцели
Работающий
прототип: живой сбор
событий → признаки →
правила → модель →
уведомления (к концу
недели 8).
Эксперимент на
публичном датасете
(CIC-IDS2017 / UNSWNB15): сравнить три
режима — «правила»,
«правила + нейросеть»,
«+ обратная связь» — по
precision, recall и чису
ложных срабатываний.
Демонстрация
«обучения» на своём
компьютере:
игнорирование
приложения снижает
его оценку риска.
Каждый
участник
осознаёт и
защищает свой
блок (обучающая
цель).

8.

иерархическая структура
работ
AI-анализатор логов
для поиска
подозрительной
активности
Эксперимен
т и защита
Сравнение
режимов A/B/C,
графики
Демо-сценарий,
отчёт,
презентация
Обнаружение
Модуль признаков
(окна по
процесс/адресат)
Отпечатки правила:
NEW_DESTINATI
ON, BEACONING,
SCAN, ...
CLI-пайплайн:
события →
алерты
Данные
Выбор и загрузка
публичных
датасетов атак
Загрузчик
датасета →
поток событий
проекта
Подвыборка
для обучения
Живой
сборщик
Эталонный
сборщик
сетевых
соединений
(Python, psutil) —
эталон и
страховка
Версия
сборщика на C
(WinAPI) —
основной путь
Организация
Интеграция
и интерфейс
Репозиторий
, окружение,
README
Сквозной прогон
живого трафика,
заморозка ядра
Единый
формат
события
(JSON) +
валидатор
Веб-интерфейс
(FastAPI +
браузер)
Обратная связь:
Игнорировать/Подт
вердить, память
решений
Машинное
обучение
Бейзлайны
(логистическая
регрессия, дерево)
Нейросеть
(MLP) +
метрики

9.

иерархическая структура
работ
AI-анализатор логов
для поиска
подозрительной
активности
Обнаружение
Эксперимен
т и защита
Модуль признаков
(окна по
процесс/адресат)
Отпечатки правила:
NEW_DESTINATI
ON, BEACONING,
SCAN, ...
CLI-пайплайн:
события →
алерты
Сравнение
режимов A/B/C,
графики
Демо-сценарий,
отчёт,
презентация
Данные
Выбор и загрузка
публичных
датасетов атак
Загрузчик
датасета →
поток событий
проекта
Подвыборка
для обучения
Живой
сборщик
Эталонный
сборщик
сетевых
соединений
(Python, psutil) —
эталон и
страховка
Версия
сборщика на C
(WinAPI) —
основной путь
Интеграция
и интерфейс
Машинное
обучение
Организация
Репозиторий
, окружение,
README
Единый
формат
события
(JSON) +
валидатор
Сквозной прогон
живого трафика,
заморозка ядра
Бейзлайны
(логистическая
регрессия, дерево)
Нейросеть
(MLP) +
метрики
Веб-интерфейс
(FastAPI +
браузер)
Обратная связь:
Игнорировать/Подт
вердить, память
решений

10.

сетевой график

11.

диаграмма ганта