Исследователи представили новый подход к работе систем обнаружения вторжений (HIDS), основанный на анализе последовательностей системных вызовов. Традиционные методы обучения таких систем опираются на конкретные записи CVE (Common Vulnerabilities and Exposures), что ограничивает их эффективность при столкновении с новыми эксплойтами. Авторы работы предложили метод обобщения, позволяющий детектировать неизвестные угрозы, относящиеся к уже известным типам слабостей программного обеспечения.
В ходе эксперимента проверялась гипотеза о том, может ли детектор аномалий, обученный на нормальном поведении системы в рамках ограниченного набора CVE, эффективно выявлять атаки, использующие аналогичные механизмы эксплуатации. Результаты показывают, что использование трассировки системных вызовов позволяет модели выйти за рамки простого сопоставления с известными сигнатурами и перейти к выявлению фундаментальных паттернов вредоносной активности.
Данный подход значительно повышает гибкость систем кибербезопасности, позволяя им адаптироваться к изменяющемуся ландшафту угроз без необходимости переобучения на каждом новом инциденте. Переход от фиксации конкретных уязвимостей к классификации типов слабостей (CWE) через машинное обучение открывает путь к созданию более устойчивых систем защиты, способных распознавать принципиально новые методы атак на ранних стадиях.