Импульс вместо сервера: как нейросети на коммутаторе защитят банки

Финансовый университет при Правительстве РФ представил результаты исследования, которое может изменить подход к защите финансовой инфраструктуры. Учёные предлагают перенести обнаружение атак с серверов прямо на сетевое оборудование — в интеллектуальный коммутатор, оснащённый импульсной нейронной сетью.

Почему это важно

Сегодня системы обнаружения вторжений работают по одной схеме: трафик сначала проходит через сеть, а уже потом анализируется на отдельном сервере. Между моментом атаки и реакцией на неё возникает задержка. Для банков это критично: процессинговые системы, автоматизированные банковские системы и платёжные шлюзы не могут ждать. Секунды промедления оборачиваются прямыми финансовыми потерями и репутационными рисками.

Исследовательская группа Финуниверситета предложила решение: встроить анализ трафика непосредственно в коммутатор. Для этого используется ансамбль импульсных нейросетей — моделей, которые обрабатывают информацию в виде последовательности сигналов, подобно тому, как работает мозг.

Как это работает

В основе разработки — LIF-нейроны (Leaky Integrate-and-Fire), которые накапливают сигнал и срабатывают только при достижении порога. Входные данные трафика преобразуются в последовательность импульсов, а решения нескольких моделей объединяются методом коллективного голосования.

Такая архитектура принципиально отличается от классических «тяжёлых» моделей глубокого обучения. Она энергоэффективна, работает с событийным представлением трафика и может быть встроена прямо в сетевое оборудование — без выделенного сервера анализа.

Что показали испытания

Прототип интеллектуальной системы поддержки принятия решений прошёл проверку на реальных наборах данных — UNSW-NB15, CIC-IDS-2017 и TON_IoT. Лучшая конфигурация ансамбля показала высокую сбалансированную точность и выявляла более 90% атак. При проверке на других наборах данных полнота обнаружения оставалась стабильно высокой — от 92 до 99% в зависимости от условий.

Это означает, что модель сохраняет работоспособность при смене сетевой инфраструктуры. Для организаций с разветвлённой филиальной сетью это особенно важно: решение не требует перенастройки под каждое отделение. Тестирование модуля успешно прошло на оборудовании ГК «Эксара».

Отдельное внимание уделено подсистеме управления доступом. Она детектирует аномалии аутентификации и несанкционированные обращения к внешним программным интерфейсам партнёров и подрядчиков — одному из самых уязвимых мест современной финансовой экосистемы.

Комментарий эксперта

«Перенос интеллектуального анализа трафика на уровень коммутатора — это переход от реактивной к проактивной модели защиты, — отмечает доцент кафедры информационных технологий факультета информационных технологий и анализа больших данных (ИТиАБД) Финансового университета при Правительстве РФ Будаев Е.С. — Для финансовых организаций это означает не просто более быстрое обнаружение атаки, а возможность останавливать вредоносный трафик до того, как он достигнет критичных систем — процессинга, АБС, платёжных шлюзов. Импульсные нейросети здесь выступают не как модная замена классическому машинному обучению, а как технологически обоснованное решение: событийная природа спайкового кодирования естественным образом соответствует природе сетевого трафика, а низкое энергопотребление делает модель применимой на периферийном оборудовании без значительных затрат на вычислительные ресурсы. Это особенно актуально в контексте требований регуляторов к обеспечению непрерывности и устойчивости объектов критической информационной инфраструктуры финансового сектора».

Что дальше

Результаты исследования закладывают основу для создания отечественных решений класса «интеллектуальный коммутатор». Такие устройства смогут встраиваться в контур информационной безопасности финансовых организаций и сокращать время до локализации инцидента — особенно когда речь идёт о компрометации учётных данных или несанкционированном доступе.

Разработка ведётся в рамках научной школы Финансового университета при Правительстве РФ по направлению проактивной защиты объектов критической информационной инфраструктуры.