Anomaly Detection and Incident Response Automation System for Non-Standard Information Systems

Result code in IS VaVaI

<a href="https://www.isvavai.cz/riv?ss=detail&h=RIV%2F25543415%3A_____%2F26%3AN0000001" target="_blank" >RIV/25543415:_____/26:N0000001 - isvavai.cz</a>

Result on the web

—

DOI - Digital Object Identifier

—

Result language

čeština

Original language name

Systém pro detekci anomálií a automatizace reakce na incidenty v netypických informačních systémech

Original language description

Výsledkem projektu realizovaného příjemcem VISITECH a.s. ve spolupráci s VŠE v Praze a ELEBRO CZ s.r.o. je softwarový systém ANDET určený pro pokročilou detekci anomálií a podporu řízení bezpečnostních incidentů v nestandardních informačních systémech. Systém byl vyvinut se zaměřením zejména na individuálně vyvíjené a technologicky specifické informační systémy, které zpravidla nejsou dostatečně pokryty standardními bezpečnostními nástroji. Funkčnost řešení byla ověřována na prostředí univerzitního informačního systému VŠE. Vytvořena byla vícevrstvá architektura, která využívá metody datové analytiky a strojového učení, zejména algoritmus Isolation Forest, k průběžné analýze chování uživatelů, systémových procesů a síťové komunikace a k identifikaci odchylek od standardního provozu. Detekované anomálie jsou předávány do bezpečnostní infrastruktury SIEM/SOAR, kde je podporována jejich korelace, tvorba bezpečnostních incidentů a následné řízené zpracování. Funkčnost systému byla ověřena v testovacím i provozním prostředí, přičemž byly identifikovány konkrétní anomálie, například opakované automatizované spouštění funkcí, využívání proxy přístupů z více zemí nebo neobvyklé aktivity uživatelů v nestandardních časových obdobích.

Czech name

Systém pro detekci anomálií a automatizace reakce na incidenty v netypických informačních systémech

Czech description

—

Type

R - Software

CEP classification

—

OECD FORD branch

10201 - Computer sciences, information science, bioinformathics (hardware development to be 2.2, social aspect to be 5.8)

Project

<a href="/en/project/EI22_002%2F0000535" target="_blank" >EI22_002/0000535: VISITECH a.s. - Application 1 - Anomaly detection and incident response automation in atypical information systems</a><br>

Continuities

P - Projekt vyzkumu a vyvoje financovany z verejnych zdroju (s odkazem do CEP)

Publication year

2026

Confidentiality

S - Úplné a pravdivé údaje o projektu nepodléhají ochraně podle zvláštních právních předpisů

Internal product ID

ANDET

Technical parameters

Modulární vícevrstvá architektura: Systém zahrnuje datovou, analytickou a aplikační vrstvu a je koncipován jako škálovatelný a integračně otevřený. Zpracování provozních a bezpečnostních dat: Sběr a vyhodnocování dat z různých zdrojů, zejména aplikačních a systémových logů a bezpečnostních událostí. Detekce anomálií pomocí strojového učení: Jako hlavní provozní metoda je využíván algoritmus Isolation Forest. Behaviorální analýza uživatelů: Hodnoceny jsou využívané funkce systému, četnost a čas použití, geografická lokalita a způsob připojení. Aplikace APL a APR: APL slouží pro učení modelů, APR pro provozní predikci a detekci abnormalit. Vyhodnování v časových řadách: Systém pracuje s hodinovými, denními a týdenními charakteristikami anomálií. Integrace s IBM QRadar SIEM a SOAR: Slouží pro další pokročilé zpracování detekovaných bezpečnostních událostí. Standardizované předávání alertů: Předávání probíhá ve formátu CEF prostřednictvím Syslogu, včetně údajů o typu abnormality, uživateli, IP adresách, čase detekce a míře odchylky. Reakce na incidenty: Automatická tvorba offense a incidentů, využití korelačních pravidel a spouštění workflow a playbooků v prostředí SOAR. Řízená automatizace (Human-in-the-loop): Část zpracování je automatizována, konečné posouzení a případná eskalace zůstávají v kompetenci operátora SOC. Parametrizovatelnost a přenositelnost: Systém je navržen tak, aby mohl být po konfiguraci použit i pro jiné informační systémy poskytující odpovídající provozní logy. Ověřená detekční schopnost: Při validaci dosáhl algoritmus Isolation Forest detekční přesnosti 95,37 % na neoznačených datech. Provozní ověření: Potvrdilo příjem a normalizaci logů, generování offense, integraci SIEM/SOAR, spuštění playbooků a funkčnost automatizačních skriptů a úloh.

Economical parameters

Řešení přispělo k rozšíření detekčních schopností dohledového centra SOC365 společnosti VISITECH o monitoring bezpečnosti netypických informačních systémů a k rozšíření produktového portfolia společnosti, čímž podporuje zvýšení její konkurenceschopnosti. Společnost současně pokračovala ve spolupráci s akademickým sektorem prostřednictvím partnerství s VŠE a získala řešení rozšiřující analytické a detekční schopnosti, včetně možnosti identifikovat nové a dosud neznámé formy bezpečnostních incidentů. Prodej bude realizován formou licencí, SW jako služby ve spojení se službami dohledového centra SOC365 nebo samostatně jako SaaS. Propagace bude probíhat prostřednictvím webových stránek, produktových listů a evangelizace zahrnující účast na konferencích a seminářích a pořádání vlastních seminářů a workshopů. Uplatnění je plánováno zejména u podniků a organizací využívajících netypické informační systémy, například ve zdravotnictví, veřejné správě, školství, výrobě, dopravě či e-commerce.

Owner IČO

25543415

Owner name

VISITECH a.s.