Розробка методу ідентифікації стану комп'ютерної системи на основі алгоритму "Isolation Forest"

Abstract

Актуальність. Розглянуто задачу ідентифікації стану комп’ютерної системи. Об’єктом дослідження є процес ідентифікації стану комп’ютерної системи. Предметом дослідження є методи та засоби ідентифікації стану комп’ютерної системи. Мета. Метою роботи є розробка методу ідентифікації стану комп’ютерної системи. Метод. Розроблено метод ідентифікації стану комп’ютерної системи на основі комплексного використання процедури групування нерозмічених вихідних даних та технології машинного навчання на основі алгоритму «Isolation Forest», який надає можливість ідентифікувати стан комп’ютерної системи і виділити назву процесу, який спричинив аномальний стан. Для цього запропоновано процедуру та розроблено програмний додаток для збору статистичних даних у вигляді подій функціонування операційної системи та виконано їх аналіз. Отримано, що найбільш інформативними є операції читання та запису. Для формування єдиного датасету, операції читання та запису зіставлено з назвою процесу та об’єднано в один масив груп подій, що надалі дозволяє виділити процес, який спричиняє аномальний стан комп’ютерної системи. За результатами дослідження, у якості складової методу ідентифікації стану комп’ютерної системи використано ансамблевий алгоритм «Isolation Forest». Проведено оцінку точності та оперативності розробленого методу ідентифікації стану комп’ютерної системи. Результати. Розроблений метод реалізований програмно і досліджений під час розв’язання задачі ідентифікації аномалій функціонування комп’ютерної системи. Висновки. Проведені експерименти підтвердили працездатність запропонованого методу, що надає можливість рекомендувати його для практичного використання з метою підвищення оперативності ідентифікації стану комп’ютерної системи та використання його у якості експрес-методу. Перспективи подальших досліджень можуть полягати в розробці ансамблю нечітких дерев рішень на основі запропонованого методу, оптимізації його програмних реалізації.

Context. The problem of identification a computer system state was investigated. The object of the research is the identification process of the computer system state. The subject of the research is computer system state identifying means and methods. Objective. The purpose of the work is to develop a method for identifying the computer system state. Method. The method has been developed for identifying a computer system state based on integrated use the procedure for grouping unlabeled initial data and using machine learning technology based on the «Isolation Forest» algorithm, which provides to identify a computer system state and to distinguished the process name that initiated the abnormal state. Therefore, for collecting statistical data in the form of operating system functioning events, data method has been proposed and developed along with software. The analysis of functioning events has been performed. The result of analysis showed that the most informative are read and write operations. To set up a single dataset, read and write operations compared with the process name and combined into one array of event groups, so that it is possible to single out the process that causes the abnormal state of the computer system. As a result of the research, the «Isolation Forest» algorithm has been selected as a component of the method for identifying the computer system state. An accuracy and efficiency assessment of the developed method of identifying a computer system state has been carried out. Results. The developed method is implemented and investigated when solving the problem of identifying anomalies in the functioning of computer systems. Conclusions. The experiments carried out confirmed the efficiency of the proposed method. It allows us recommended the method for practical use in order to improve efficiency of identifying the computer system state and use it as an express method. Areas for further research may lie in the creation of the ensemble of fuzzy trees based on the proposed method and optimization of this software implementation.