audit

IDS/IPS ML Audit Framework (Lynis-like)

Проект-скелет для научной работы по машинному обучению в области IDS/IPS. Идея похожа на Lynis: запуск локального аудита системы, сбор артефактов и вычисление метрик/признаков, после чего — применение ML‑моделей для обнаружения аномалий или классификации состояний системы.

Основные цели

• Исследовательская платформа: удобно добавлять новые признаки и модели.
• Lynis‑подобный CLI: один скрипт для запуска набора “тестов/проверок”.
• Повторяемые эксперименты: конфигурации и пайплайны зафиксированы в коде.

Структура проекта (черновик)

• src/ids_ips/cli.py — точка входа CLI (по типу lynis audit system).
• src/ids_ips/config.py — базовая конфигурация, пути, параметры аудита.
• src/ids_ips/collector/ — сбор данных:
  • system_audit.py — примеры проверок: системная информация, процессы и т.п.
• src/ids_ips/features/ — извлечение признаков из «сырых» данных аудита.
  • basic_features.py — примеры простых фич.
• src/ids_ips/models/ — ML‑модели и загрузка/сохранение.
  • baseline.py — простой baseline (напр. IsolationForest / RandomForest).

Быстрый старт

1. Создать и активировать виртуальное окружение (пример для Windows PowerShell):

python -m venv .venv
.\.venv\Scripts\Activate.ps1

2. Установить зависимости:

pip install -r requirements.txt

3. Запустить базовый аудит:

python -m ids_ips.cli audit system

4. Собрать небольшой датасет аудитов и обучить baseline‑модель:

# Собрать N аудитов в artifacts/dataset
python -m ids_ips.cli collect_dataset --runs 20

# Обучить IsolationForest на собранных фичах
python -m ids_ips.cli train_baseline

# Оценить последний одиночный аудит
python -m ids_ips.cli audit system
python -m ids_ips.cli score

Идеи для научной работы

• Типы данных:
  • логи ОС/сервисов, сетевой трафик (pcap), конфигурации, процессы, открытые порты;
  • результаты Lynis/ аналогичных тулов как дополнительный источник фич.
• Фичи:
  • статистики (счётчики, частоты, энтропия);
  • графовые признаки (связность процессов/сокетов);
  • временные признаки (скользящие окна, тренды).
• Модели:
  • аномалия‑детекторы (Isolation Forest, One‑Class SVM, Autoencoder);
  • супервизия (RandomForest, XGBoost, LightGBM) при наличии размеченных данных.

Далее можно расширять каждую директорию по мере развития исследования.

Исходный код · AGPL-3.0