Аналитический обзор подходов к обнаружению вторжений, основанных на федеративном обучении: преимущества использования и открытые задачи

To provide an accurate and timely response to different types of attacks, intrusion detection systems collect and analyze a large amount of data, which may include information with limited access, such as personal data or trade secrets. Consequently, such systems can be seen as an additional source of risks associated with handling sensitive information and breaching its security. Applying the federated learning paradigm to build analytical models for attack and anomaly detection can significantly reduce such risks because locally generated data is not transmitted to any third party, and model training is done locally - on the data sources. Using federated training for intrusion detection solves the problem of training on data that belongs to different organizations, and which, due to the need to protect commercial or other secrets, cannot be placed in the public domain. Thus, this approach also allows us to expand and diversify the set of data on which machine learning models are trained, thereby increasing the level of detectability of heterogeneous attacks. Due to the fact that this approach can overcome the aforementioned problems, it is actively used to design new approaches for intrusion and anomaly detection. The authors systematically explore existing solutions for intrusion and anomaly detection based on federated learning, study their advantages, and formulate open challenges associated with its application in practice. Particular attention is paid to the architecture of the proposed systems, the intrusion detection methods and models used, and approaches for modeling interactions between multiple system users and distributing data among them are discussed. The authors conclude by formulating open problems that need to be solved in order to apply federated learning-based intrusion detection systems in practice.Для обеспечения точного и своевременного реагирования на различные типы атак системы обнаружения вторжений собирают и анализируют большое количество данных, которые могут включать в том числе и информацию с ограниченным доступом, например, персональные данные или данные, представляющие коммерческую тайну. Следовательно, такие системы могут быть рассмотрены как источник рисков, связанных с обработкой конфиденциальной информации и нарушением ее безопасности. Применение парадигмы федеративного обучения для построения аналитических моделей обнаружения атак и аномалий может значительно снизить такие риски, поскольку данные, генерируемые локально, не передаются какой-либо третьей стороне, а обучение модели осуществляется локально – на источниках данных. Использование федеративного обучения для обнаружения вторжений позволяет решить проблему обучения на данных, которые принадлежат различным организациям, и которые в силу необходимости обеспечения защиты коммерческой или другой тайны, не могут быть выложены в открытый доступ. Таким образом, данный подход позволяет также расширить и разнообразить множество данных, на которых обучаются аналитические модели анализа и повысить тем самым уровень детектируемости разнородных атак. Благодаря тому, что этот подход способен преодолеть вышеупомянутые проблемы, он активно используется для проектирования новых подходов к обнаружению вторжений и аномалий. Авторы систематизировано исследуют существующие решения для обнаружения вторжений и аномалий на основе федеративного обучения, изучают их преимущества, а также формулируют открытые проблемы, связанные с его применением на практике. Особое внимание уделяется архитектуре предлагаемых систем, применяемым методам и моделям обнаружения вторжений, а также обсуждаются подходы к моделированию взаимодействия между множеством пользователей системы и распределению данных между ними. В заключении авторы формулируют открытые задачи, требующие решения для применения систем обнаружения вторжений, основанных на федеративном обучении, на практике