Метод EWMA (Exponentially Weighted Moving Average)

В основе метода EWMA лежит экспоненциальное сглаживание первого порядка [20, 21]:

где 0<�л?1 — константа сглаживания.

В роли начального значения может быть взято математическое ожидание по предварительным данным, т. е.

z₀ =.

Если раскрыть z_i-1, получается:

Рекурсивно, для z_i-j, j=2, 3, …, t получается:

уязвимость приложение нейросетевой интернет.

Вес элемента уменьшается геометрически, с ростом порядкового номера. Сумма весов стремится к 1, так как:

Если, к примеру, л=0.2, то вес, назначенный текущему элементу, равен 0.2, а веса, назначенные предыдущим элементам, равны 0.04, 0.128, 0.1024 и так далее.

Изменение веса образца в ходе работы EWMA.

Контрольные пределы для EWMA рассчитываются следующим образом (ВКП — верхний контрольный предел, НКП — нижний контрольный предел):

Где у2 — дисперсия, а мx — математическое ожидание случайной величины xi.

В этих формулах L является шириной контрольного диапазона.

На практике часто используемыми значениями константы сглаживания являются л=0.05, л=0.10 и л=0.25. При меньших значениях л на значение статистики z_i влияет большее количество значений x_i, при больших — меньшее, что позволяет параметризовать формулу расчёта z_i (5.2.1) для учёта краткосрочных или долгосрочных тенденций.

В общем случае формирование профиля нормального поведения производится следующим образом.

Получается набор учебных данных. Далее высчитывается математическое ожидание для анализируемой случайной величины, оно принимается в качестве начального значения статистики z₀ (согласно формуле (5.2.2)). Затем по формуле (5.2.1) для каждого i-го значения случайной величины из тестового набора рассчитывается значение статистики z_i. После этого высчитывается дисперсия для x_i и контрольные пределы по формулам (5.2.3) и (5.2.4). Полученные данные сохраняются в профиле нормального поведения.

В режиме обнаружения аномалий поступающие значения используются для пересчёта статистики z_i. Получаемые значения z_i сравниваются с контрольными пределами, зафиксированными в профиле нормального поведения. В случае, если очередное значение выходит за контрольные пределы — фиксируется аномалия.

В контексте предложенного метода обнаружения уязвимостей метод может быть использован следующим образом.

Рассматриваемый статистический метод является одномерным, следовательно, статистика будет высчитываться для каждой операции из набора операций по её значению.

На этапе построения профилей нормального поведения наборы значений операций группируются по наборам HTTP-параметров. Далее, для каждой допустимой операции каждого набора HTTP-параметров по общей схеме, приведённой выше, высчитываются контрольные пределы и сохраняются в профиле нормального поведения.

В режиме обнаружения аномалий поступающие значения операций используются для расчёта значения статистики по формуле (5.2.1), статистика считается для каждой допустимой операции каждого набора HTTP-параметров. При выходе значения статистики за контрольные пределы, указанные в профиле нормального поведения — фиксируется аномалия и предполагается уязвимость в веб-приложении, которому поступил запрос.