Systém pro detekci anomálií a automatizace reakce na incidenty v netypických informačních systémech

Kód výsledku v IS VaVaI

<a href="https://www.isvavai.cz/riv?ss=detail&h=RIV%2F25543415%3A_____%2F26%3AN0000001" target="_blank" >RIV/25543415:_____/26:N0000001 - isvavai.cz</a>

Výsledek na webu

—

DOI - Digital Object Identifier

—

Jazyk výsledku

čeština

Název v původním jazyce

Systém pro detekci anomálií a automatizace reakce na incidenty v netypických informačních systémech

Popis výsledku v původním jazyce

Výsledkem projektu realizovaného příjemcem VISITECH a.s. ve spolupráci s VŠE v Praze a ELEBRO CZ s.r.o. je softwarový systém ANDET určený pro pokročilou detekci anomálií a podporu řízení bezpečnostních incidentů v nestandardních informačních systémech. Systém byl vyvinut se zaměřením zejména na individuálně vyvíjené a technologicky specifické informační systémy, které zpravidla nejsou dostatečně pokryty standardními bezpečnostními nástroji. Funkčnost řešení byla ověřována na prostředí univerzitního informačního systému VŠE. Vytvořena byla vícevrstvá architektura, která využívá metody datové analytiky a strojového učení, zejména algoritmus Isolation Forest, k průběžné analýze chování uživatelů, systémových procesů a síťové komunikace a k identifikaci odchylek od standardního provozu. Detekované anomálie jsou předávány do bezpečnostní infrastruktury SIEM/SOAR, kde je podporována jejich korelace, tvorba bezpečnostních incidentů a následné řízené zpracování. Funkčnost systému byla ověřena v testovacím i provozním prostředí, přičemž byly identifikovány konkrétní anomálie, například opakované automatizované spouštění funkcí, využívání proxy přístupů z více zemí nebo neobvyklé aktivity uživatelů v nestandardních časových obdobích.

Název v anglickém jazyce

Anomaly Detection and Incident Response Automation System for Non-Standard Information Systems

Popis výsledku anglicky

The result of the project implemented by VISITECH a.s. in cooperation with the Prague University of Economics and Business (VŠE) and ELEBRO CZ s.r.o. is the ANDET software system, designed for advanced anomaly detection and support for security incident management in non-standard information systems. The system was developed primarily with a focus on individually developed and technologically specific information systems, which are generally not sufficiently covered by standard security tools. The functionality of the solution was verified in the environment of VŠE’s university information system. A multi-layer architecture was developed, using data analytics and machine learning methods, particularly the **Isolation Forest algorithm**, for continuous analysis of user behavior, system processes, and network communication, as well as for identifying deviations from standard operation. Detected anomalies are forwarded to the **SIEM/SOAR security infrastructure**, where their correlation, the creation of security incidents, and subsequent controlled processing are supported. The system’s functionality was verified in both test and operational environments, where specific anomalies were identified, including repeated automated execution of functions, the use of proxy access from multiple countries, and unusual user activities occurring during non-standard time periods.

Druh

R - Software

CEP obor

—

OECD FORD obor

10201 - Computer sciences, information science, bioinformathics (hardware development to be 2.2, social aspect to be 5.8)

Projekt

<a href="/cs/project/EI22_002%2F0000535" target="_blank" >EI22_002/0000535: VISITECH a.s. - Aplikace 1 - Detekce anomálií a automatizace reakce na incidenty v netypických informačních systémech</a><br>

Návaznosti

P - Projekt vyzkumu a vyvoje financovany z verejnych zdroju (s odkazem do CEP)

Rok uplatnění

2026

Kód důvěrnosti údajů

S - Úplné a pravdivé údaje o projektu nepodléhají ochraně podle zvláštních právních předpisů

Interní identifikační kód produktu

ANDET

Technické parametry

Modulární vícevrstvá architektura: Systém zahrnuje datovou, analytickou a aplikační vrstvu a je koncipován jako škálovatelný a integračně otevřený. Zpracování provozních a bezpečnostních dat: Sběr a vyhodnocování dat z různých zdrojů, zejména aplikačních a systémových logů a bezpečnostních událostí. Detekce anomálií pomocí strojového učení: Jako hlavní provozní metoda je využíván algoritmus Isolation Forest. Behaviorální analýza uživatelů: Hodnoceny jsou využívané funkce systému, četnost a čas použití, geografická lokalita a způsob připojení. Aplikace APL a APR: APL slouží pro učení modelů, APR pro provozní predikci a detekci abnormalit. Vyhodnování v časových řadách: Systém pracuje s hodinovými, denními a týdenními charakteristikami anomálií. Integrace s IBM QRadar SIEM a SOAR: Slouží pro další pokročilé zpracování detekovaných bezpečnostních událostí. Standardizované předávání alertů: Předávání probíhá ve formátu CEF prostřednictvím Syslogu, včetně údajů o typu abnormality, uživateli, IP adresách, čase detekce a míře odchylky. Reakce na incidenty: Automatická tvorba offense a incidentů, využití korelačních pravidel a spouštění workflow a playbooků v prostředí SOAR. Řízená automatizace (Human-in-the-loop): Část zpracování je automatizována, konečné posouzení a případná eskalace zůstávají v kompetenci operátora SOC. Parametrizovatelnost a přenositelnost: Systém je navržen tak, aby mohl být po konfiguraci použit i pro jiné informační systémy poskytující odpovídající provozní logy. Ověřená detekční schopnost: Při validaci dosáhl algoritmus Isolation Forest detekční přesnosti 95,37 % na neoznačených datech. Provozní ověření: Potvrdilo příjem a normalizaci logů, generování offense, integraci SIEM/SOAR, spuštění playbooků a funkčnost automatizačních skriptů a úloh.

Ekonomické parametry

Řešení přispělo k rozšíření detekčních schopností dohledového centra SOC365 společnosti VISITECH o monitoring bezpečnosti netypických informačních systémů a k rozšíření produktového portfolia společnosti, čímž podporuje zvýšení její konkurenceschopnosti. Společnost současně pokračovala ve spolupráci s akademickým sektorem prostřednictvím partnerství s VŠE a získala řešení rozšiřující analytické a detekční schopnosti, včetně možnosti identifikovat nové a dosud neznámé formy bezpečnostních incidentů. Prodej bude realizován formou licencí, SW jako služby ve spojení se službami dohledového centra SOC365 nebo samostatně jako SaaS. Propagace bude probíhat prostřednictvím webových stránek, produktových listů a evangelizace zahrnující účast na konferencích a seminářích a pořádání vlastních seminářů a workshopů. Uplatnění je plánováno zejména u podniků a organizací využívajících netypické informační systémy, například ve zdravotnictví, veřejné správě, školství, výrobě, dopravě či e-commerce.

IČO vlastníka výsledku

25543415

Název vlastníka

VISITECH a.s.