O serie temporală de 60 de zile de telemetrie de securitate SIEMBIOT a fost analizată pentru a prognoza volumele estimate de ingestie a evenimentelor și pentru a evalua tiparele recurente zilnice și săptămânale de activitate.
Telemetria de securitate istorică colectată prin SIEMBIOT a fost utilizată pentru a evalua dacă tiparele recurente ale seriilor temporale ar putea oferi o estimare fiabilă a volumelor viitoare de ingestie a evenimentelor.
Obiectivul nu a fost de a prezice un anumit atac cibernetic. Cercetarea s-a concentrat pe prognozarea comportamentului estimat al telemetriei monitorizate și pe stabilirea unei baze de referință viitoare măsurabile, în raport cu care activitatea observată ulterior poate fi comparată.
Setul de date și sursa telemetriei
Sursă: telemetrie de securitate SIEMBIOT
Metrică: Numărul de evenimente de securitate ingerate
Interval de agregare: 1 oră
Perioada de observație: 60 de zile
Observații istorice: 1.440 de intervale orare
Fereastra de observație: 20 iun. 2026 - 19 aug. 2026, până la ora 14:00, ora locală a platformei
Orizont de prognoză: Următoarele 24 de ore
Setul de date analizat a conținut câte o observație pentru fiecare interval orar din perioada de 60 de zile.
Nu au fost identificate intervale orare lipsă, marcaje temporale duplicate sau intervale cu zero evenimente.
Volumul de telemetrie observat a variat între 62.516 și 1.934.749 de evenimente pe oră, cu o medie generală de aproximativ 900.542 de evenimente pe oră.
Pregătirea datelor și contextul operațional
Numărul de evenimente a fost menținut pe o grilă temporală orară continuă înainte de prognozare.
S-a făcut o distincție importantă între activitatea reală redusă a evenimentelor și perioadele în care volumul telemetriei a fost afectat de activitatea operațională.
O reducere semnificativă a ingestiei evenimentelor observată pe 22 iul. 2026 a corespuns unui eveniment cunoscut de mentenanță planificată.
Deoarece această reducere nu reprezenta comportamentul normal al telemetriei, perioada de mentenanță a fost identificată în timpul preprocesării și nu a fost tratată ca un tipar reprezentativ de volum redus pentru ajustarea și evaluarea modelului.
Această distincție este importantă deoarece evenimentele de mentenanță, erorile de ingestie, întreruperile colectoarelor și alte condiții operaționale cunoscute pot influența baza de referință estimată învățată din telemetria istorică.
Tiparul seriei temporale
Seria istorică a evidențiat un comportament temporal recurent clar.
Ingestia evenimentelor a fost, în general, mai ridicată în perioadele active de lucru și mai redusă în timpul nopții și în weekend.
Cea mai puternică caracteristică repetabilă a fost un tipar sezonier săptămânal.
Activitatea observată la o anumită oră a prezentat o similaritate semnificativă cu activitatea înregistrată la aceeași oră cu o săptămână înainte. Corelația dintre seria temporală și decalajul său de 168 de ore a fost de aproximativ 0,78.
Acest lucru a indicat că sezonalitatea săptămânală a reprezentat un semnal important de prognoză în cadrul telemetriei SIEMBIOT analizate.
Metodologia de prognoză
Au fost evaluate mai multe abordări de prognoză, în loc să fie selectat un model în avans.
Au fost comparate următoarele modele:
Seasonal Naive 24h - prognozează o oră utilizând valoarea observată la aceeași oră în ziua precedentă;
Seasonal Naive 168h - prognozează o oră utilizând valoarea observată la aceeași oră cu o săptămână înainte;
Holt-Winters 24h - netezire exponențială utilizând sezonalitate zilnică;
Holt-Winters 168h - netezire exponențială utilizând sezonalitate săptămânală.
Modelele Holt-Winters au fost incluse pentru a determina dacă un model mai complex, care combină nivelul, tendința și sezonalitatea, ar îmbunătăți acuratețea prognozei față de bazele de referință sezoniere istorice simple.
Deoarece setul de date conține aproximativ 8,5 cicluri săptămânale complete, modelul Holt-Winters de 168 de ore a fost considerat exploratoriu, iar rezultatele sale au fost evaluate în raport cu baza de referință sezonieră săptămânală mai simplă.
Evaluarea prognozei
Acuratețea prognozei a fost evaluată utilizând validarea rolling-origin.
Au fost evaluate șapte ferestre consecutive de prognoză de câte 24 de ore. La fiecare punct de prognoză, a fost utilizată doar telemetria istorică disponibilă înainte de începutul ferestrei respective.
Aceasta reproduce scenariul operațional de prognoză mai precis decât împărțirea aleatorie a unei serii temporale în observații de antrenare și testare.
Rezultatele medii pentru ferestrele de prognoză evaluate au fost:
ModelMAERMSEMAPEWAPESeasonal Naive 168h67.45594.7997,18%7,69%Holt-Winters 168h80.10090.8929,46%8,96%Seasonal Naive 24h114.262185.05412,47%13,28%Holt-Winters 24h233.581263.47028,58%27,36%
Modelul Seasonal Naive de 168 de ore a produs cele mai mici valori medii pentru MAE, MAPE și WAPE și a fost, prin urmare, selectat pentru prognoza finală pe 24 de ore.
Holt-Winters cu sezonalitate săptămânală a produs un RMSE ușor mai mic, indicând o performanță mai bună în cazul unora dintre erorile individuale mai mari, însă erorile sale absolute și procentuale medii au rămas mai ridicate.
Rezultatul demonstrează, de asemenea, un principiu important al prognozării: un model mai complex nu oferă automat o prognoză mai precisă.
Pentru acest set de date, tiparul săptămânal recurent al telemetriei a oferit o bază de prognoză mai puternică decât configurațiile Holt-Winters evaluate.
Rezultatul prognozei pe 24 de ore
În urma evaluării modelelor, modelul sezonier săptămânal selectat a fost aplicat pentru a prognoza ingestia evenimentelor SIEMBIOT pentru următoarele 24 de ore.
Perioada de prognoză: 19 aug. 2026 14:00 - 20 aug. 2026 14:00
Volumul prognozat de evenimente: 22.148.246 de evenimente
Volumul mediu prognozat: 922.844 de evenimente pe oră
Volumul maxim prognozat: 1.278.860 de evenimente pe oră
Vârful estimat: 20 aug. 2026, aproximativ ora 09:00
A fost calculat, de asemenea, un interval empiric de prognoză pe baza reziduurilor istorice ale prognozei.
La vârful estimat, intervalul empiric aproximativ de 95% a fost:
1.148.162 - 1.457.092 de evenimente pe oră
Intervalul reprezintă gama de volume de telemetrie care ar fi în mod rezonabil compatibilă cu erorile recente de prognoză.
Valorile din afara acestui interval nu ar trebui clasificate automat drept activitate malițioasă, dar pot furniza un semnal util pentru investigații operaționale sau de securitate suplimentare.
Abaterea față de prognoză și contextul de securitate
Prognozarea seriilor temporale creează un punct de referință dinamic pentru evaluarea telemetriei observate ulterior.
Procesul poate fi reprezentat astfel:
Telemetrie istorică -> Prognozarea activității estimate -> Observarea activității reale -> Măsurarea abaterii față de prognoză -> Investigarea schimbărilor semnificative
De exemplu:
Prognoză: 920.000 de evenimente/oră
Real: 1.450.000 de evenimente/oră
Rezultat: Activitate semnificativ peste baza de referință estimată
O abatere mare poate avea mai multe explicații, inclusiv:
activitate crescută a endpoint-urilor sau utilizatorilor;
integrarea unor noi surse de telemetrie;
modificări ale configurației de logging;
scanarea vulnerabilităților;
activitate externă automatizată;
implementarea de software;
degradarea ingestiei;
probleme de infrastructură;
sau activitate legată de securitate.
Abaterile sub intervalul estimat sunt, de asemenea, relevante.
O reducere persistentă a volumului de evenimente poate indica probleme ale colectoarelor, parsere nefuncționale, surse de log indisponibile sau alte condiții care afectează acoperirea monitorizării.
Prin urmare, prognoza oferă context pentru investigație, în loc să determine în mod independent dacă a avut loc un incident de securitate cibernetică.
Relația cu detecția anomaliilor
Prognozarea și detecția anomaliilor abordează întrebări complementare.
Prognozarea seriilor temporale estimează ce activitate a telemetriei este de așteptat să apară în viitor.
Detecția anomaliilor identifică activitatea observată care diferă semnificativ de un tipar estimat sau stabilit anterior.
Cele două abordări pot fi, prin urmare, combinate:
Telemetrie istorică -> Bază de referință prognozată -> Telemetrie reală -> Abatere față de prognoză -> Investigarea anomaliei
Prognozarea poate oferi o bază de referință dinamică suplimentară pentru cercetarea anomaliilor SIEMBIOT, păstrând în același timp distincția dintre un tipar neașteptat al telemetriei și un incident de securitate confirmat.
Valoare operațională
Prognozarea volumului de ingestie a evenimentelor poate oferi un context util atât pentru monitorizarea SOC, cât și pentru operațiunile SIEM.
Utilizările operaționale potențiale includ:
monitorizarea proactivă a comportamentului telemetriei;
identificarea volumelor de ingestie neașteptat de mari sau mici;
stabilirea unei baze de referință dinamice estimate;
validarea continuității telemetriei;
detectarea unei posibile degradări a ingestiei;
planificarea infrastructurii și a resurselor;
compararea activității de securitate prognozate cu cea reală.
Pentru planificarea infrastructurii, prognoza punctuală medie nu ar trebui utilizată ca singura referință pentru capacitate.
Intervalele superioare ale prognozei sunt mai utile atunci când se evaluează cantitatea de capacitate de ingestie care ar putea fi necesară în perioadele cu volum mai ridicat.
De asemenea, este important să se facă distincția între numărul de evenimente și metricile de infrastructură precum evenimente pe secundă (EPS) sau volumul de date.
Numărul de evenimente pe oră nu evidențiază vârfurile scurte de ingestie, iar numărul de evenimente nu se traduce direct în gigabytes deoarece dimensiunea evenimentelor variază între sursele de telemetrie.
Prin urmare, pentru dimensionarea detaliată a infrastructurii SIEM ar fi necesară o prognozare separată bazată pe intervale de timp mai scurte sau pe numărul de bytes ingerați.
Limitări
Cercetarea are mai multe limitări.
Perioada de observație. Setul de date acoperă 60 de zile și, prin urmare, nu poate surprinde tipare lunare, trimestriale sau anuale pe termen mai lung.
Dependența săptămânală. Modelul selectat presupune că activitatea din perioada următoare va rămâne similară cu orele corespunzătoare din săptămâna precedentă.
Schimbări ale mediului. Noile surse de loguri, implementările de agenți, modificările de configurație sau sistemele dezafectate pot modifica baza de referință a telemetriei și pot necesita recalibrarea prognozei.
Evenimente operaționale cunoscute. Perioadele de mentenanță și întreruperile de ingestie trebuie identificate astfel încât să nu fie interpretate în mod incorect drept comportament normal al telemetriei.
Agregarea orară. Vârfurile scurte de evenimente care apar în interiorul unei ore nu sunt reprezentate de prognoza orară și pot necesita prognozare la o rezoluție mai fină.
Orizontul de prognoză. Evaluarea se aplică în mod specific unui orizont de prognoză de 24 de ore. Prognozele pe termen mai lung ar necesita o validare separată.
Concluzie
Un set de date de 60 de zile care conține 1.440 de observații orare privind ingestia evenimentelor SIEMBIOT a fost analizat pentru a determina dacă telemetria de securitate istorică ar putea fi utilizată pentru a prognoza activitatea viitoare estimată.
Analiza a identificat un tipar săptămânal recurent puternic, cu o corelație de aproximativ 0,78 la un decalaj de 168 de ore.
Patru abordări de prognoză au fost comparate prin validare continuă pe ferestre de 24 de ore.
Pentru setul de date analizat, prognoza sezonieră de 168 de ore a produs cea mai bună performanță generală, obținând un MAE mediu de aproximativ 67.455 de evenimente pe oră și un MAPE de aproximativ 7,18%.
Modelul selectat a prognozat aproximativ 22,15 milioane de evenimente de securitate în următoarea perioadă de 24 de ore, cu o medie estimată de aproximativ 922.844 de evenimente pe oră.
Cercetarea demonstrează că telemetria istorică SIEMBIOT poate fi utilizată nu doar pentru a analiza activitatea observată anterior, ci și pentru a stabili o bază de referință a telemetriei viitoare estimate.
Compararea acestei baze de referință cu activitatea observată ulterior poate oferi context suplimentar pentru monitorizarea SOC, validarea telemetriei, planificarea capacității și investigarea anomaliilor.
Prognoza în sine nu prezice un atac cibernetic și nu identifică în mod independent un comportament malițios. Aceasta oferă o referință estimată în raport cu care telemetria viitoare poate fi măsurată și investigată.
