В этом пункте объясняется, почему обнаружение кибератак стало актуальной задачей для пользователей, организаций и цифровых сервисов. Формулируются проблема проекта, его цель, задачи и предполагаемый результат; обозначаются объект и предмет изучения. Также уточняется, что исследование носит учебный характер и использует безопасные данные, а не проверку реальных систем без разрешения.

Раздел знакомит с основными угрозами, которые могут затрагивать компьютерные системы и данные: вредоносными программами, фишингом, подбором паролей и подозрительной сетевой активностью. Для каждой угрозы описываются типичные признаки и возможные последствия. Это необходимо, чтобы понимать, какие события может искать автоматизированная система и почему отдельный признак не всегда доказывает наличие атаки.

В пункте рассматриваются базовые понятия искусственного интеллекта и машинного обучения, необходимые для понимания проекта. Объясняется разница между обучением на размеченных примерах и поиском аномалий, а также описывается роль признаков и данных. Раздел помогает оценить, какие задачи можно поручить модели, а какие требуют проверки человеком и знания контекста.

В этом разделе описывается, какие сведения могут использоваться для распознавания подозрительных событий: характеристики сетевых соединений, журналы и частота действий. Объясняется, почему важно знать происхождение данных, проверять разметку и исключать лишнюю или чувствительную информацию. Отдельно рассматриваются подготовка выборок и необходимость разделять данные для обучения и независимой проверки.

Пункт посвящён планированию практической части: выбору безопасного набора данных, способа анализа и доступного инструмента для создания модели. Определяются входные данные, категории результата и порядок обработки примеров. Описываются требования к прототипу, включая воспроизводимость действий, отсутствие доступа к чужим системам и понятное объяснение того, что именно означает предупреждение модели.

В разделе приводится последовательность практической работы: загрузка и проверка учебных данных, подготовка признаков, обучение выбранного классификатора и получение прогнозов. Указывается, как фиксировать настройки и этапы, чтобы результат можно было повторить. Цель пункта — показать работу прототипа на примерах, не представляя его как готовое средство защиты реальной сети.

Здесь описывается проверка модели на примерах, которые не использовались при обучении, и сопоставление её прогнозов с известной разметкой. Рассматриваются верные обнаружения, пропуски угроз и ложные тревоги; результаты представляются в удобной таблице или схеме. Такой анализ позволяет не ограничиваться единичным удачным примером и определить, в каких ситуациях прототип ошибается.

Пункт формулирует правила осторожного использования ИИ в задачах информационной безопасности. Обсуждаются необходимость проверки предупреждений специалистом, обновления данных, защиты персональной информации и учёта последствий автоматической блокировки. Также объясняется, почему учебный прототип нельзя считать гарантией защиты и почему разрешение владельца системы необходимо для любых испытаний на реальной инфраструктуре.

В заключении кратко сопоставляются поставленные задачи и полученные результаты: что удалось изучить, как работал прототип и какие ошибки были обнаружены при проверке. Формулируются обоснованные выводы о возможностях машинного обучения при анализе подозрительной активности. Отдельно отмечаются ограничения учебного эксперимента и направления дальнейшего изучения темы без утверждений, которые не подтверждаются данными.

В список включаются источники, использованные для изучения киберугроз, машинного обучения и безопасной работы с данными: учебные издания, документация, публикации профильных организаций и описание набора данных. Для каждого электронного ресурса указываются название, автор или организация и дата обращения, если она требуется. Список помогает проверить факты и отличить сведения из источников от результатов собственного учебного эксперимента.