Способ выявления нарушений безопасности (на примере вирусов-шифровальщиков) OC Astra Linux с использованием машинного обучения

Предложен использующий машинное обучение (МО) и учитывающий специфику работы средств защиты (в первую очередь механизма мандатного контроля целостности – МКЦ) ОС Astra Linux способ выявления нарушений ее безопасности на примере детектирования активности вирусов-шифровальщиков. Способ базируется на гранулярном анализе средствами МО потоков событий системных вызовов, сбор и обработка параметров которых (включая параметры МКЦ) осуществляется разработанной авторами системой мониторинга. В качестве входных данных используемой в этой системе модели МО применяются: типы системных вызовов, их аргументы и специфичные для МКЦ параметры (уровни целостности процессов, файлов, каталогов, их специальные флаги). При этом включенный в систему мониторинга синтезированный классификатор на базе двунаправленной рекуррентной нейронной сети BiGRU продемонстрировал высокую эффективность в выявлении признаков деструктивного поведения нарушителя, в том числе в сценариях попыток обхода МКЦ, сопровождаемых многочисленными отказами в доступе. Практическая апробация системы мониторинга подтвердила возможность оперативного обнаружения активности вирусов-шифровальщиков на ранних стадиях компрометации данных при минимальном уровне ложноположительных срабатываний. Результаты исследования показали перспективность применения методов МО для автоматизации процессов мониторинга и обеспечения безопасности защищенных отечественных ОС с учетом специфики их средств защиты.

1. He Z., Davila D., Bi S., Wang T., Hou T. Machine Learning for Cybersecurity: A Survey of Applications, Adversarial Challenges, and Future Research Directions. Electronics, 2025, vol. 14, issue 23: 4563, 28 p.

2. Ozkan-Okay M., Akin E., Aslan Ö., Kosunalp S., Iliev T., Stoyanov I., Beloev I. A Comprehensive Survey: Evaluating the Efficiency of Artificial Intelligence and Machine Learning Techniques on Cyber Security Solutions. IEEE Access, 2024, vol. 12, pp. 12229-12256.

3. Pinto A., Herrera L.-C., Donoso Y., Gutierrez J. A. Survey on Intrusion Detection Systems Based on Machine Learning Techniques for the Protection of Critical Infrastructure. Sensors, 2023, vol. 23, issue 5: 2415, 18 p.

4. ML IDS: сетевая система обнаружения вторжений с применением машинного обучения. Доступно по ссылке: https://www.ispras.ru/technologies/ml_ids/, 09.09.2026. / ML IDS: Network Intrusion Detection System Using Machine Learning. Available at: https://www.ispras.ru/technologies/ml_ids/, accessed 09.09.2026. (in Russian).

5. Ferdous J., Islam R., Mahboubi A., Islam M. Z. A Survey on ML Techniques for Multi-Platform Malware Detection: Securing PC, Mobile Devices, IoT, and Cloud Environments. Sensors, 2025, vol. 25, issue 4: 1153, 38p.

6. Модуль поведенческого анализа Behavioral Anomaly Detection для SIEM-системы MaxPatrol. Доступно по ссылке: https://ptresearch.media/articles/modul-bad-kak-ml-algoritmy-pomogayut-otslezhivat-hakerov, 09.09.2026. / Behavioral Anomaly Detection module for MaxPatrol SIEM. Available at: https://ptresearch.media/articles/modul-bad-kak-ml-algoritmy-pomogayut-otslezhivat-hakerov, accessed 09.09.2026. (in Russian).

7. Обзор Ankey ASAP 2.4, средства расширенного анализа событий по безопасности. Доступно по ссылке: https://www.anti-malware.ru/reviews/Ankey-ASAP, 09.09.2026. / Ankey ASAP 2.4 Review: Advanced Security Event Analysis Tool. Available at: https://www.anti-malware.ru/reviews/Ankey-ASAP, accessed 09.09.2026. (in Russian).

8. Операционная система специального назначения Astra Linux Special Edition. Доступно по ссылке: https://astra.ru/software-services/os/, 09.09.2026. / Astra Linux Special Edition operating system. Available at: https://astra.ru/software-services/os/, accessed 09.09.2026. (in Russian).

9. Девянин П.Н., Тележников В.Ю., Третьяков С.В. Основы безопасности операционной системы Astra Linux Special Edition. Управление доступом. Учебное пособие. М., Горячая линия – Телеком, 2022, 148 с. / Devyanin P.N., Telezhnikov V.Y., Tret’yakov S.V. Astra Linux Special Edition security basics. Access control. Hotline-Telecom, 2022, 148 p. (in Russian).

10. Девянин П.Н., Старостин А.А., Панов Д.С., Усачев С.В. Проектирование и развитие механизма мандатного контроля целостности в операционной системе Astra Linux // Труды ИСП РАН, том 37, вып. 2, 2025, С. 61-78 / Devyanin P.N., Starostin A.A., Panov D.S., Usachev S.V. Design and Development of a Mandatory Integrity Control Mechanism in the Astra Linux Operating System. Trudy ISP RAN/Proc. ISP RAS, 2025, vol. 37, issue 2, pp. 61-78 (in Russian).

11. Девянин П.Н., Горбатов В.В., Трубников А.А. Подход к применению мандатного контроля целостности в ОС Astra Linux для управления доступом к пользовательским данным // Труды ИСП РАН, 2026, том 38, вып. 3, часть 1, стр. 71–86 / Devyanin P.N. Gorbatov V.V., Trubnikov A.A. Implementing Mandatory Integrity Control in Astra Linux OS for Access Control of User Data. Trudy ISP RAN/Proc. ISP RAS, 2026, vol. 38, issue 3, part 1, pp. 71-86 (in Russian).

12. Выписка из Требований по безопасности информации, утвержденных приказом ФСТЭК России от 2 июня 2020 г. N 76. Доступно по ссылке: https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/trebovaniya-po-bezopasnosti-informatsii-utverzhdeny-prikazom-fstek-rossii-ot-2-iyunya-2020-g-n-76, 09.09.2026 / Excerpts from Requirements for information security approved by FSTEK Russia order #76 of 2nd June 2020. Available at: https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/trebovaniya-po-bezopasnosti-informatsii-utverzhdeny-prikazom-fstek-rossii-ot-2-iyunya-2020-g-n-76, accessed 09.09.2026. (in Russian).

13. Аветисян А.И. Доверенный искусственный интеллект. Вестник Российской академии наук, 2024, том 94, № 3, с. 200-209 / Avetisyan A.I. Trusted artificial intelligence. Bulletin of the Russian Academy of Sciences, 2024, vol. 94, № 3, pp. 200-209 (in Russian).

14. Девянин П.Н., Тележников В.Ю., Хорошилов А.В. Формирование методологии разработки безопасного системного программного обеспечения на примере операционных систем. Труды ИСП РАН, 2021, том 33, вып. 5, С. 25-40 / Devyanin P.N., Telezhnikov V.Y., Khoroshilov A.V. Building a methodology for secure system software development on the example of operating systems. Trudy ISP RAN/Proc. ISP RAS, 2021, vol. 33, issue 5, pp. 25-40 (in Russian).

15. Sekar A., Kulkarni S.G., Kuri J. LeARN: Leveraging eBPF and AI for Ransomware Nose Out. 2025 17th International Conference on COMmunication Systems and NETworks (COMSNETS), 2025, pp. 1323-1328.

16. Kharraz A., Arshad S., Mulliner C., Robertson W., Kirda E. UNVEIL: A Large-Scale, Automated Approach to Detecting Ransomware. Proceedings of the 25th USENIX Security Symposium, 2016, pp. 757-772.

17. Scaife N., Carter H., Traynor P., Butler K.R.B. CryptoLock (and Drop It): Stopping Ransomware Attacks on User Data. 2016 IEEE 36th International Conference on Distributed Computing Systems (ICDCS), 2016, pp. 303-312.

18. Wu Y.-C., Chang Y.-L. Ransomware Detection on Linux Using Machine Learning with Random Forest Algorithm. TechRxiv, 2024.

19. Brodzik A., Malec-Kruszyński T., Niewolski W., Tkaczyk M., Bocianiak K., Loui S.-Y. Ransomware Detection Using Machine Learning in the Linux Kernel. arXiv preprint, 2024. DOI: 10.48550/arXiv.2409.06452.

20. Higuchi K., Kobayashi R. Real-Time Defense System using eBPF for Machine Learning-Based Ransomware Detection Method. 2023 Eleventh International Symposium on Computing and Networking Workshops (CANDARW), 2023, pp. 213-219.

21. von der Assen J., Feng C., Celdrán A.H., Oleš R., Bovet G., Stiller B. GuardFS: A file system for integrated detection and mitigation of Linux-based ransomware. Journal of Information Security and Applications, 2025, vol. 93, 104078, 14 p.

22. Sánchez P.M.S., Celdrán A.H., Bovet G., Pérez M.G., Pérez G.M. Transfer Learning in Pre-Trained Large Language Models for Malware Detection Based on System Calls. arXiv preprint, 2024. DOI: 10.48550/arXiv.2405.09318.

23. Огнев И.А., Никрошкин И.В., Медведев М.А., Красников А.Д. Исследование встроенных средств защиты информации Unix-систем на примере заражения вредоносным программным обеспечением. Доклады ТУСУР, 2023, т. 26, № 4, c. 29–34 / Ognev I.A., Nikroshkin I.V., Medvedev M.A., Krasnikov A.D. Study of built-in information protection tools of Unix systems on the example of malware infection. Reports TSUCSR, 2023, vol. 26, №. 4, pp. 29-34 (in Russian).

24. Kaspersky Endpoint Security 10 Service Pack 1 Maintenance Release 1 for Linux: Hardware and software requirements. Available at: https://support.kaspersky.com/kes4linux/10.1.1/en-US/180377.htm, accessed 09.09.2026.

25. Kaspersky Endpoint Security for Linux 11 for Linux: Hardware and software requirements. Available at: https://support.kaspersky.com/kes11linux/245117, accessed 09.09.2026.

26. Dr.Web Workstation for Linux: System Requirements and Compatibility. Available at: https://cdn-download.drweb.com/pub/drweb/unix/workstation/11.1/business/documentation/html/en/dw_8_sysrequirements.htm, accessed 09.09.2026.

27. Dr.Web Enterprise Security Suite: Anti-virus Network Quick Installation Guide. Available at: https://cdn-download.drweb.com/pub/drweb/esuite/13.0.1/documentation/drweb-13.0.1-esuite-quick-install-en.pdf, accessed 09.09.2026.

28. Калинкин А.О., Голуб С.А., Коркин И.Ю., Пятовский Д.Н. Обнаружение программ-шифровальщиков на основе данных механизма трассировки событий и применения метода машинного обучения // Безопасность информационных технологий, 2022, т. 29, № 3, c. 82-93 / Kalinkin A.O. et al. Ransomware detection based on machine learning models and Event Tracing for Windows. IT Security, 2022, vol. 29, №. 3, pp. 82–93 (in Russian).

29. Gregg B. BPF Performance Tools. Addison-Wesley Professional, 2019, 880 p.

30. Девянин П.Н., Жиляков С.С., Смирнов А.И. Тестирование подсистемы безопасности ОС Astra Linux на основе формализованного описания модели управления доступом. Труды ИСП РАН, 2025, том 37, вып. 6, часть 2, c. 21-36 / Devyanin P.N., Zhiliakov S.S., Smirnov A.I. Testing the Astra Linux OS security subsystem based on a formalized description of the access control model. Trudy ISP RAN/Proc. ISP RAS, 2025, vol. 37, issue 6, part 2, pp. 21-36 (in Russian).

31. Liu M., Cen L., Ruta D. Gradient Boosting Models for Cybersecurity Threat Detection with Aggregated Time Series Features. 2023 18th Conference on Computer Science and Intelligence Systems (FedCSIS), 2023, pp. 1311-1315.

32. Landauer M., Onder S., Skopik F., Wurzenberger M. Deep learning for anomaly detection in log data: A survey. Machine Learning with Applications, 2023, vol. 12, 100470, 19p.

33. Девянин П.Н. Формальные модели управления доступом. Учебное пособие. М.: Горячая линия – Телеком, 2026. 424 с.: ил. / P.N. Devyanin. Formal access control models. Hotline-Telecom, 2026, 424 p. (in Russian).

34. GonnaCry Ransomware. Available at: https://github.com/tarcisio-marinho/GonnaCry, accessed 09.09.2026.

35. Ransomware-PoC. Available at: https://github.com/listinvest/Ransomware-PoC-1, accessed 09.09.2026.

36. Itssoeasy. Available at: https://github.com/bstnbuck/ItsSoEasy, accessed 09.09.2026.

37. Python-Ransomware. Available at: https://github.com/ncorbuk/Python-Ransomware, accessed 09.09.2026.

38. Kabbe J.-A. Security analysis of Docker containers in a production environment. Norwegian University of Science and Technology, 2017, 91 p.

39. Ke G., Meng Q., Finley T., Wang T., Chen W., Ma W., Ye Q., Liu T. Y. LightGBM: A Highly Efficient Gradient Boosting Decision Tree. Advances in Neural Information Processing Systems (NIPS), 2017, vol. 30, pp. 3146-3154.

40. Schuster M., Paliwal K. K. Bidirectional recurrent neural networks. IEEE Transactions on Signal Processing, 1997, vol. 45, no. 11, pp. 2673-2681.

41. Srivastava Nitish, Hinton Geoffrey, Krizhevsky Alex et al. Dropout: a simple way to prevent neural networks from overfitting. Journal of Machine Learning Research, 2014, vol. 15, no. 1, pp. 1929-1958.

42. Radford A., Wu J., Child R., Luan D., Amodei D., Sutskever I. Language Models are Unsupervised Multitask Learners. OpenAI Blog, 2019.

43. Lin T.-Y., Goyal P., Girshick R., He K., Dollar P. Focal Loss for Dense Object Detection. IEEE Transactions on Pattern Analysis and Machine Intelligence, 2020, vol. 42, issue 2, pp. 318-327.

44. Loshchilov I., Hutter F. Decoupled Weight Decay Regularization. International Conference on Learning Representations (ICLR), 2019, 15 p.

45. Kingma D.P., Ba J. Adam: A Method for Stochastic Optimization. The International Conference on

46. Learning Representations (ICLR), San Diego, 2015, 15 p.

47. Smith L.N., Topin N. Super-convergence: Very fast training of neural networks using large learning rates. In: Artificial Intelligence and Machine Learning for Multi-Domain Operations Applications, 2019, vol. 11006, pp. 369-386.

48. Albert R. G. System Logs Anomaly Detection. Are we on the right path? Applied Artificial Intelligence, 2025, vol. 39, issue 1: 2440692.

49. Lin Z., et al. Contrastive learning for intrusion detection system. IEEE Access, 2023, vol. 11, pp. 12345-12356.

50. Dunmore A., Jang-Jaccard J., Sabrina F., Kwak J. A Comprehensive Survey of Generative Adversarial Networks (GANs) in Cybersecurity Intrusion Detection. IEEE Access, 2023, vol. 11, pp. 76071-76094.