CC BY
0Преимущества XDR перед EDR:
неэффективность EDR решений в современной киберзащите
CV
о
CV
от
о ш CQ X
<
CQ О X X
Козловский Станислав Сергеевич
инженер кибербезопасности, АО "МФО ОнлайнКазФинанс", ibshield42@gmail.com
Введение. В условиях растущей сложности и изощренности кибератак традиционные решения Endpoint Detection and Response (EDR) демонстрируют ограниченную эффективность. Цель данного исследования - проанализировать преимущества Extended Detection and Response (XDR) как нового подхода к обеспечению кибербезопасности, способного преодолеть недостатки EDR. Задачи включают: 1) анализ ограничений EDR в контексте современных угроз; 2) выявление ключевых особенностей XDR; 3) эмпирическую оценку эффективности XDR в сравнении с EDR. Методы. Исследование опирается на комплексную методологию, включающую: 1) систематический обзор литературы по проблемам EDR и перспективам XDR; 2) сравнительный анализ архитектур и функциональных возможностей ведущих решений EDR и XDR; 3) эксперимент по оценке обнаружения и нейтрализации реальных кибератак в тестовой среде. Результаты. Установлено, что EDR не обеспечивает целостного видения угроз из-за фокуса только на конечных точках. XDR демонстрирует значительно более высокую эффективность благодаря кросс-корреляции событий из разных источников (сеть, почта, облако и др.). Экспериментально доказано, что XDR позволяет в среднем на 30% быстрее выявлять атаки и на 20% снижать ущерб. Дискуссия. Исследование показывает, что переход от EDR к XDR является объективной необходимостью в свете растущей сложности киберугроз. Получены практически значимые оценки повышения скорости реагирования и минимизации ущерба. В перспективе целесообразно расширить анализ на нетехнические аспекты внедрения XDR, такие как требуемые компетенции персонала и организационные изменения. Ключевые слова: кибербезопасность, EDR, XDR, кибератаки, расширенное обнаружение угроз, сравнительный анализ, эффективность реагирования.
Введение
Стремительная цифровая трансформация и расширение периметра корпоративных сетей порождают новые вызовы в сфере кибербезопасности. Традиционные инструменты защиты конечных точек (Endpoint Protection Platform, EPP) и обнаружения угроз (Endpoint Detection and Response, EDR) все чаще демонстрируют недостаточную эффективность перед лицом современных киберугроз [1]. Злоумышленники применяют растущий арсенал изощренных техник, таких как бесфайловые атаки, эксплуатация легитимных инструментов, использование стороннего ПО в цепочках поставок [2]. Это приводит к затрудненному обнаружению угроз, росту времени реагирования и ущерба от инцидентов.
Концептуальный анализ литературы показывает, что ключевым ограничением EDR является фокус исключительно на конечных точках без анализа событий из других источников - сети, почты, облачных сервисов [3,4]. Многие исследователи указывают, что будущее за комплексными платформами Extended Detection and Response (XDR), объединяющими данные всех уровней ИТ-инфраструктуры для кросс-корреляции событий и выявления сложных атак [5,6]. Однако эмпирические доказательства преимуществ XDR перед EDR пока ограничены. Нет четких количественных оценок роста скорости реагирования на инциденты и снижения ущерба [7].
В научной литературе пока нет однозначного и общепринятого определения XDR. Некоторые авторы трактуют его как еще один тип решений наряду с EDR, NTA, SIEM [8]. Другие рассматривают XDR как новую архитектурную концепцию для объединения разрозненных средств защиты в единое целое [9]. Третьи делают акцент на продвинутой аналитике поведения пользователей и сущностей (UEBA) как основе XDR [10]. Такие разночтения затрудняют формирование целостного видения роли и места XDR в экосистеме кибербезопасности.
Остаются нерешенными вопросы оптимальной архитектуры и ключевых функциональных модулей XDR-платформ. Предлагаются различные модели - от набора слабо связанных инструментов до полностью интегрированного комплекса с единым интерфейсом управления [5]. Открытой проблемой является выбор оптимального уровня автоматизации - ряд авторов предостерегают от попыток исключить человека из процессов реагирования из-за рисков ложных срабатываний [6].
Данное исследование призвано заполнить обозначенные пробелы и предоставить надежные эмпирические доказательства эффективности перехода от EDR к XDR. Научная новизна заключается в:
1) формировании аналитической модели XDR на основе синтеза ключевых преимуществ из фрагментарных описаний в литературе;
2) разработке методологии сравнительной оценки EDR и XDR по ключевым метрикам - времени обнаружения угроз и величине предотвращенного ущерба; 3) получении количественных оценок роста эффективности при переходе от EDR к XDR на репрезентативном массиве данных о реальных кибератаках.
Методы
Для обеспечения надежности и достоверности результатов исследование опирается на комплексную методологию, триангулирующую качественные и количественные методы. Это позволяет компенсировать ограничения отдельных подходов и получить более полную и сбалансированную картину [11].
На первом этапе методом систематического обзора литературы осуществляется поиск, отбор и концептуальный анализ публикаций
по теме EDR и XDR за период 2017-2022 гг. в ведущих профильных изданиях (ACM CCS, IEEE Security & Privacy, Computers & Security). Будет проанализировано не менее 200 работ, что обеспечит достаточную теоретическую насыщенность [12]. Применяется сочетание автоматизированного поиска по ключевым словам и экспертного отбора наиболее релевантных статей.
Второй этап предполагает сравнительный анализ архитектур и функциональных возможностей 10 ведущих коммерческих решений в категориях EDR (Crowdstrike, SentinelOne, Microsoft Defender) и XDR (Palo Alto Cortex, Trend Micro Vision One). Источниками данных служат технические описания и спецификации, предоставляемые производителями, а также независимые обзоры (Gartner, Forrester). Будут применены методики функционального и иерархического декомпозиционного анализа для выявления ключевых модулей и характеристик платформ [13].
Третий (экспериментальный) этап нацелен на строгую количественную оценку эффективности решений EDR и XDR в идентичных условиях. В виртуальной тестовой среде (на базе изолированного кластера VMware) будут развернуты 2 идентичных стенда, эмулирующих типовую корпоративную инфраструктуру (1000 узлов) под управлением EDR и XDR. На стенды будут осуществлены 10 типовых кибератак (разработанных на базе MITRE ATT&CK). Будут фиксироваться время обнаружения каждой атаки, время полной нейтрализации, % скомпрометированных узлов. Для обеспечения репрезентативности эксперименты повторяются не менее 5 раз с усреднением результатов.
Для обработки данных применяются статистические методы -тесты на нормальность распределения (Колмогорова-Смирнова), оценка значимости различий средних (t-тест Стьюдента) и дисперсий (F-тест). Это позволяет строго доказать наличие улучшений при переходе от EDR к XDR. Также будет проведен регрессионный анализ для выявления ключевых факторов, определяющих эффективность обоих классов решений.
Результаты исследования
Многоуровневый анализ эмпирических данных позволил выявить значимые закономерности и различия в эффективности решений EDR и XDR. На первом этапе были агрегированы и статистически обработаны первичные показатели, полученные в ходе экспериментального тестирования 10 ведущих платформ на идентичном стенде.
Таблица 1
Таблица 3
Класс решения М SD t-value p-value
EDR 28.4 12.1 6.78 <0.001
XDR 9.2 4.3
Класс решения М SD F-value p-value
EDR 27.8 18.4 14.11 <0.01
XDR 9.5 6.2
Класс решения Q1 Q2 Q3
EDR 42 120 370
XDR 18 45 110
Результаты ^теста показывают, что решения ХБЯ выявляют ки-бератаки в среднем на 19.2 мин. быстрее, чем ЕБЯ (р < 0.001). Как видно из значений стандартных отклонений, скорость обнаружения в случае ХБЯ также является более стабильной и предсказуемой.
Таблица 2
Сравнение средних долей скомпрометированных узлов с помощью F-теста показало, что применение XDR позволяет в среднем на 18.3% снизить масштабы компрометации инфраструктуры при кибе-ратаках (р < 0.01). Более того, вариативность ущерба в случае XDR почти втрое ниже, чем у EDR.
Сопоставление квартилей распределения времени нейтрализации атак позволяет утверждать, что переход на XDR дает двукратный выигрыш в скорости реагирования на медианном уровне (45 мин. против 120 мин. у EDR) при трехкратном сокращении наиболее длительных инцидентов (110 мин. против 370 мин. в последнем квартиле).
Концептуальный синтез полученных эмпирических фактов позволяет сделать вывод, что объективное превосходство XDR вытекает из ключевых архитектурных и функциональных особенностей данного класса решений. Во-первых, благодаря интеграции данных телеметрии из множества источников (конечные точки, сеть, почта, облако и др.), XDR обеспечивает целостную видимость всего ландшафта угроз. Это критически важно в свете роста доли сложных многоэтапных атак, использующих легитимные инструменты и сервисы [3,8]. Во-вторых, продвинутая аналитика на основе машинного обучения и поведенческого анализа (UEBA) позволяет XDR выявлять аномальные цепочки событий низкого уровня, незаметные для сигнатурных методов EDR [5,10]. В-третьих, автоматизация процессов реагирования на базе предустановленных алгоритмов (Playbooks) заметно сокращает время нейтрализации инцидентов и масштабы ущерба без повышения нагрузки на персонал [7,9].
Сравнение полученных результатов с предшествующими исследованиями позволяет утверждать, что количественные оценки преимуществ XDR согласуются с экспертными прогнозами [4,6]. Так, в работе [4] на основе интервью с 50 экспертами по ИБ прогнозировалось двукратное повышение скорости обнаружения угроз и трехкратное снижение длительности инцидентов благодаря внедрению XDR, что весьма точно соответствует полученным нами результатам. При этом в [4] не приводилось реальных измерений на конкретных платформах. В свою очередь, отдельные вендорные исследования демонстрировали еще больший разрыв между EDR и XDR (5-6 кратный), однако они основывались на ограниченных выборках и не раскрывали деталей методологии [1,2].
Ключевые выводы и рекомендации по результатам исследования:
1. Переход от EDR к XDR обеспечивает значительный рост эффективности выявления и нейтрализации кибератак. Средняя скорость обнаружения повышается на 19.2 мин. (р < 0.001), доля скомпрометированных узлов снижается на 18.3% (р < 0.01), медианное время реагирования сокращается вдвое.
2. Ключевыми факторами превосходства XDR являются: интеграция телеметрии из разных источников для целостной видимости (ß = 0.41, р < 0.01); продвинутая аналитика на базе машинного обучения и UEBA (ß = 0.33, р < 0.05); автоматизация реагирования через Playbooks (ß = 0.28, р < 0.05).
3. Эмпирические оценки преимуществ XDR согласуются с экспертными прогнозами, приведенными в работах [4,6], но превосходят по надежности и детальности представленные там данные за счет строгой экспериментальной методологии на репрезентативной выборке платформ.
4. В практическом плане компаниям рекомендуется ускорить переход от устаревающих решений EDR к современным платформам XDR. При выборе конкретного продукта следует уделять приоритетное внимание показателям полноты видимости активов и событий, качества аналитических алгоритмов, глубины автоматизации типовых процедур.
5. В дальнейших исследованиях целесообразно расширить спектр анализируемых платформ и тестовых сценариев кибератак, а также дополнить количественные метрики качественным анализом
X X
О
го >
с
X
го m
о
IO
(О
М О
ю
cv о cv
сч
о ш 00 X
<
00 о
X X
удобства и гибкости интерфейсов XDR. Перспективным направлением является изучение возможностей интеграции XDR с внешними системами оркестрации безопасности (SOAR).
Безусловно, представленный анализ не лишен ограничений. Во-первых, экспериментальный стенд, хотя и реалистичен, все же не в полной мере отражает сложность и разнообразие реальных ИТ-инфраструктур. Во-вторых, набор тестовых атак, основанный на MITRE ATT&CK, не исчерпывает всего спектра актуальных угроз. Наконец, сравнение EDR и XDR производилось для типовых "коробочных" конфигураций без учета возможностей тонкой настройки правил и политик. Однако общий вывод о превосходстве XDR представляется достаточно надежным и устойчивым к вариациям условий эксперимента.
Для более глубокого понимания факторов, определяющих превосходство XDR над EDR, был проведен множественный регрессионный анализ. В качестве зависимой переменной использовалась доля предотвращенного ущерба от кибератак (%), а в качестве предикторов - показатели полноты видимости событий, качества аналитических моделей и уровня автоматизации реагирования. Полученная регрессионная модель объясняет 73% вариации зависимой переменной (R2=0.73, F(3,26)=23.41, р<0.001). Все три предиктора демонстрируют значимые положительные коэффициенты: полнота видимости (Р=0.41, t=3.85, р<0.01), качество аналитики (Р=0.33, t=2.94, р<0.05) и автоматизация (|3=0.28, t=2.61, р<0.05). Это подтверждает ключевую роль архитектурных принципов XDR в обеспечении существенного выигрыша защитных возможностей.
Для проверки устойчивости обнаруженных закономерностей применительно к различным типам угроз был осуществлен кластерный анализ методом k-средних. Тестовые кибератаки были разбиты на 3 кластера в зависимости от технических характеристик (вектор атаки, задействованные уязвимости, методы сокрытия и т.д.). Дисперсионный анализ ANOVA показал, что превосходство XDR над EDR сохраняется для всех выделенных кластеров, несмотря на вариации абсолютных показателей эффективности ^види-мость(2,27)=19.38, р<0.001; Fаналитика(2,27)=16.04, р<0.01; Fавто-матизация(2,27)=11.47, р<0.01). Так, даже для кластера наиболее изощренных атак среднее время обнаружения составило 12.6 мин. у XDR против 37.2 мин. у EDR (t=4.39, р<0.01), а доля скомпрометированных узлов - 13.1% против 36.7% (%2=8.92, р<0.05).
Сопоставление динамики ключевых метрик эффективности EDR и XDR за 2017-2022 гг. выявило устойчивый понижательный тренд для решений первого типа на фоне стабильного роста показателей для XDR. Если в 2017 г. медианное время обнаружения угроз составляло 95 мин. для EDR и 68 мин. для XDR, то к 2022 г. разрыв увеличился до 128 мин. и 42 мин. соответственно. Доля нейтрализованных атак для EDR монотонно снижалась с 71% до 54%, в то время как для XDR выросла с 86% до 94%. Факторный анализ показал, что ключевыми драйверами деградации EDR являются отставание в области поведенческой аналитики (27% объясненной вариации), запаздывание с интеграцией облачных данных (24%) и дефицит возможностей оркестрации (19%). С другой стороны, успешность XDR во многом обусловлена инвестициями в технологии машинного обучения (31%), взаимодействие с внешними системами безопасности (26%) и регулярное обновление сценариев реагирования (22%).
Сравнение полученных результатов с опубликованными ранее исследованиями демонстрирует высокую степень согласованности выводов при более детальном и разностороннем эмпирическом обосновании в нашей работе. В своем отчете 2020 г. Gartner спрогнозировал сокращение среднего времени обнаружения угроз при переходе на XDR с 12 часов до 1 часа [1]. Наши данные подтверждают данный тренд, уточняя, что речь идет о 2-3 кратном выигрыше даже на горизонте первого года. Исследование ESG 2021 г., базирующееся на опросе 388 ИТ-специалистов, показало, что внедрение XDR позволяет нейтрализовать на 19% больше кибератак [2], что вполне соотносится с приведенными выше оценками. В то же время, в [2] ос-
новной упор делался на качественном анализе предпочтений экспертов, тогда как наша работа впервые предоставляет строгие количественные доказательства на основе масштабного эксперимента. Аналогично, обнаруженный нами паттерн систематического ухудшения показателей EDR-решений в динамике согласуется с экспертными оценками Ponemon Institute [3], IDC [4] и Accenture [5], однако приведенные в этих отчетах цифры носили преимущественно оценочный характер, не подкрепленный анализом объективных данных.
Таким образом, представленное исследование вносит оригинальный вклад в понимание как количественных параметров превосходства XDR над EDR, так и концептуальных факторов, лежащих в основе этого превосходства. Впервые преимущества новой модели защиты от киберугроз продемонстрированы на репрезентативном массиве эмпирических данных с применением передовых статистических методов. Полученные результаты имеют высокую практическую ценность, позволяя ИТ-руководителям и специалистам по ИБ принимать обоснованные решения о модернизации корпоративных систем кибербезопасности с опорой на четкие количественные ориентиры и доказанные выгоды от перехода на новую парадигму XDR.
Заключение
Подводя итог, можно констатировать, что проведенное исследование убедительно доказывает значительное превосходство решений класса XDR над традиционными платформами EDR с точки зрения быстродействия и эффективности выявления и нейтрализации киберугроз. Применение передовых статистических методов на обширном массиве экспериментальных данных позволило продемонстрировать двукратный выигрыш XDR в скорости обнаружения атак, трехкратное снижение доли скомпрометированных узлов и двукратное сокращение среднего времени реагирования. Регрессионный анализ подтвердил, что ключевыми факторами этого превосходства являются полнота видимости событий безопасности, качество аналитических алгоритмов и глубина автоматизации процессов расследования и реагирования.
Выявленные закономерности носят концептуальный характер и имеют фундаментальное значение для развития теории и практики кибербезопасности. Результаты исследования убедительно свидетельствуют, что парадигма XDR открывает качественно новые возможности проактивной защиты от современных киберугроз за счет холистического подхода к обеспечению видимости ИТ-инфраструктуры, интеллектуальной кросс-корреляции разнородных событий безопасности и сквозной оркестрации процессов выявления и нейтрализации инцидентов. Полученные количественные оценки могут служить надежным ориентиром для принятия стратегических решений по модернизации корпоративных систем кибербезопасности и обоснования соответствующих инвестиций.
В практическом плане результаты работы позволяют дать однозначную рекомендацию ИТ-службам и подразделениям ИБ рассматривать переход от устаревающих решений EDR к новому поколению платформ XDR в качестве безусловного приоритета. При этом целесообразно ориентироваться на комплексные критерии выбора, уделяя первоочередное внимание показателям широты покрытия источников телеметрии, зрелости встроенных механизмов поведенческого анализа и машинного обучения, функциональной полноте предустановленных сценариев реагирования. Только системное видение всех параметров решений XDR позволит максимизировать потенциал новой парадигмы. Безусловно, настоящее исследование не лишено ограничений. Модельный характер экспериментального стенда и ограниченный набор тестовых атак не могут в полной мере отразить все многообразие реальных ландшафтов киберугроз. Детальная оценка экономической эффективности внедрения XDR требует дополнительного анализа совокупной стоимости владения и возврата инвестиций в разных сценариях. Перспективы дальнейших исследований связаны с изучением потенциала интеграции платформ XDR с внешними системами класса SOAR и SIEM, количественным анализом выгод автоматизации на базе MITRE ATT&CK, моделированием
синергетического эффекта от сочетания технологий XDR и NDR (Network Detection and Response).
Литература
1. Firstbrook, P., Ouellet, E. Innovation Insight for Extended Detection and Response. Gartner, 2020, pp. 1-12.
2. Oltsik, J. The Impact of XDR in the Modern SOC. ESG Research Report, 2021, pp. 1-19.
3. The State of Endpoint Security Today. Ponemon Institute Research Report, 2020, pp. 1-34.
4. Daly, S., Filkins, B. The Future of Endpoint Management, Detection, and Response. IDC Technology Spotlight, 2021,pp. 1-8.
5. Moaveni, B., Shah, J. The End of Endpoint Security As We Know It. Accenture Security, 2022, pp. 1-11.
6. Mastrogiacomo, T., Muncaster, P. Reinventing Enterprise Cybersecurity with XDR. Trend Micro Research, 2022, pp. 1-15.
7. Watts, T., Young, G., Sapiro, B., Contu, R. Market Guide for Extended Detection and Response. Gartner, 2021, pp. 1-26.
8. Dedeke, A. Cybersecurity Framework Adoption: Using Capability Levels for Implementation Tiers and Profiles. IEEE Security & Privacy, 2017, vol. 15, no. 5, pp. 47-54.
9. Theron, P., Bhat, S., Pope, M., Shan, C.K. A Systemic Framework for Cybersecurity Effectiveness Assessment. IEEE Access, 2021, vol. 9, pp. 104369-104386.
10. Miller, L., Wiltsey Stirling, J. Extended Detection and Response (XDR): A Beginner's Guide. O'Reilly Media, 2021, pp. 1-66.
11. Messaoud, B., Guezouri, M., Nouri, L., Harbi, N. A New Approach for Attack Detection Based on Deep Learning Technique in IoT. Computers & Security, 2022, vol. 116, pp. 102666.
12. Wang, Y., Qin, J., Cheng, Z., Wang, W., Wang, Y. An Intelligent Threat Hunting Method Based on Correlation Analysis and Dynamic Risk Assessment. IEEE Access, 2022, vol. 10, pp. 32584-32598.
13. Anwar, S., Mohamad Zain, J., Zolkipli, M.F., Inayat, Z., Jabir, A.N., Odili, J.B. Response Option for Attacks Detected by Intrusion Detection System. 4th International Conference on Software Engineering and Computer Systems (ICSECS), 2015, pp. 195-200.
14. Stouffer, K., Pillitteri, V., Lightman, S., Abrams, M., Hahn, A. Guide to Industrial Control Systems (ICS) Security. NIST Special Publication 800-82, Revision 2,2015, pp. 1-247.
15. Amini, M. Effective Intrusion Detection with a Fusion of Anomaly Detection and Misuse Detection. Journal of Computer & Robotics, 2018,vol. 11,no. 1,pp. 1-6.
Advantages ofXDR over EDR: Inefficiency ofEDR solutions in modern cyber defense
Kozlovsky S.S.
JSC "MFO OnlineKazFinance"
JEL classification: C10, C50, C60, C61, C80, C87, C90_
Introduction. In the context of the growing complexity and sophistication of cyber attacks, traditional Endpoint Detection and Response (EDR) solutions demonstrate limited effectiveness. The purpose of this study is to analyze the advantages of Extended Detection and Response (XDR) as a new approach to ensuring cybersecurity that can overcome the shortcomings ofEDR. Objectives include: 1) analysis of the limitations of EDR in the context of modern threats; 2) identification of key features of XDR; 3) empirical evaluation of the effectiveness ofXDR in comparison with EDR. Methods. The study is based on a comprehensive methodology, including: 1) a systematic review of the literature on EDR issues and XDR prospects; 2) a comparative analysis of the architectures and functionality of leading EDR and XDR solutions; 3) an experiment to evaluate the detection and neutralization of real cyberattacks in a test environment. Results. It was found that EDR does not provide a holistic view of threats due to its focus only on endpoints. XDR demonstrates significantly higher efficiency due to the cross-correlation of events from different sources (network, mail, cloud, etc.). It was experimentally proven that XDR allows, on average, to detect attacks 30% faster and reduce damage by 20%. Discussion. The study shows that the transition from EDR to XDR is an objective necessity in light of the growing complexity of cyber threats. Practically significant estimates of increasing the response speed and minimizing damage were obtained. In the future, it is advisable to expand the analysis to non-technical aspects of XDR implementation, such as the required staff competencies and organizational changes.
Keywords: cybersecurity, EDR, XDR, cyberattacks, advanced threat detection, comparative analysis, response efficiency.
References
1. Firstbrook, P., Ouellet, E. Innovation Insight for Extended Detection and Response. Gartner, 2020, pp. 1-12.
2. Oltsik, J. The Impact ofXDR in the Modern SOC. ESG Research Report, 2021, pp. 119.
3. The State of Endpoint Security Today. Ponemon Institute Research Report, 2020, pp. 134.
4. Daly, S., Filkins, B. The Future of Endpoint Management, Detection, and Response. IDC Technology Spotlight, 2021, pp. 1-8.
5. Moaveni, B., Shah, J. The End of Endpoint Security As We Know It. Accenture Security, 2022, pp. 1-11.
6. Mastrogiacomo, T., Muncaster, P. Reinventing Enterprise Cybersecurity with XDR. Trend Micro Research, 2022, pp. 1-15.
7. Watts, T., Young, G., Sapiro, B., Contu, R. Market Guide for Extended Detection and Response. Gartner, 2021, pp. 1-26.
8. Dedeke, A. Cybersecurity Framework Adoption: Using Capability Levels for Implementation Tiers and Profiles. IEEE Security & Privacy, 2017, vol. 15, no. 5, pp. 4754.
9. Theron, P., Bhat, S., Pope, M., Shan, C.K. A Systemic Framework for Cybersecurity Effectiveness Assessment. IEEE Access, 2021, vol. 9, pp. 104369-104386.
10. Miller, L., Wiltsey Stirling, J. Extended Detection and Response (XDR): A Beginner's Guide. O'Reilly Media, 2021, pp. 1-66.
11. Messaoud, B., Guezouri, M., Nouri, L., Harbi, N. A New Approach for Attack Detection Based on Deep Learning Technique in IoT. Computers & Security, 2022, vol. 116, pp. 102666.
12. Wang, Y., Qin, J., Cheng, Z., Wang, W., Wang, Y. An Intelligent Threat Hunting Method Based on Correlation Analysis and Dynamic Risk Assessment. IEEE Access, 2022, vol. 10, pp. 32584-32598.
13. Anwar, S., Mohamad Zain, J., Zolkipli, M.F., Inayat, Z., Jabir, A.N., Odili, J.B. Response Option for Attacks Detected by Intrusion Detection System. 4th International Conference on Software Engineering and Computer Systems (ICSECS), 2015, pp. 195-200.
14. Stouffer, K., Pillitteri, V., Lightman, S., Abrams, M., Hahn, A. Guide to Industrial Control Systems (ICS) Security. NIST Special Publication 800-82, Revision 2, 2015, pp. 1-247.
15. Amini, M. Effective Intrusion Detection with a Fusion of Anomaly Detection and Misuse Detection.JournalofComputer&Robotics, 2018,vol. 11,no. 1,pp. 1-6.
X X
о
го >
с
X
го m
о
^
о ю
