Сценарий: работа с ML-моделями

В этом разделе приводится последовательность действий, которые требуется выполнять при работе с ML-моделями.

Функциональность доступна после добавления лицензионного ключа.

Сценарий работы с ML-моделями состоит из следующих этапов:

1. Добавление разметок

   Создайте разметки для отбора интервалов времени, на которых требуется выполнить инференс и/или обучение ML-модели.

2. Добавление ML-модели

   Вы можете добавить ML-модель в Kaspersky MLAD одним из следующих способов:

   • Создать ML-модель вручную.

     Функциональность доступна после добавления лицензионного ключа для коммерческой лицензии с конструктором моделей.

   • Создать ML-модель по шаблону. Предварительно создайте шаблон по нужной ML-модели. Если ML-модель создается по шаблону импортированной ML-модели, вы не можете изменять состав элементов этой ML-модели.

     Функциональность доступна после добавления лицензионного ключа для коммерческой лицензии с конструктором моделей.

   • Импортировать ML-модель, созданную специалистами "Лаборатории Касперского" или сертифицированным интегратором в рамках Услуги построения модели и внедрения Kaspersky MLAD. Если такая ML-модель использует разметки, они будут импортированы в тот же актив вместе с ML-моделью. После импорта ML-модель нужно активировать.
   • Скопировать ранее добавленную ML-модель. Если ML-модель была скопирована с импортированной ML-модели или создана по шаблону импортированной ML-модели, вы не можете изменять состав элементов этой ML-модели.
3. Работа с элементами ML-модели

   Вы можете добавлять элементы в состав ML-модели и управлять ими в следующий случаях:

   • ML-модель создана вручную.
   • ML-модель создана по шаблону ML-модели, созданной вручную.
   • ML-модель скопирована с ML-модели, созданной вручную или по шаблону ML-модели, созданной вручную.

   В состав ML-модели вы можете добавить следующие элементы:

   • элементы на основе диагностического правила;
   • элементы на основе эллиптического конверта;
   • предиктивные элементы.

   Управление элементами ML-моделей доступно после добавления лицензионного ключа для коммерческой лицензии с конструктором моделей.

   Изучите рекомендации по использованию элементов ML-модели, добавьте необходимые элементы в ML-модель и задайте их параметры.

   Для проведения инференса ML-модель должна быть обучена. Для этого требуется предварительно обучить все предиктивные элементы и элементы на основе эллиптического конверта в составе ML-модели. Элементы на основе диагностических правил в составе ML-модели обучать не требуется, поэтому они всегда считаются обученными.

   После обучения элементов изучите результаты обучения и оцените их. При необходимости скорректируйте параметры индикатора обучения и/или элементов ML-модели и обучите нужные элементы заново.

   ML-модель, импортированная в Kaspersky MLAD, предварительно обучена специалистами "Лаборатории Касперского" или сертифицированным интегратором. ML-модели, созданные по шаблону импортированной ML-модели или созданные путем копирования импортированной ML-модели, также считаются обученными. При необходимости вы можете изменить параметры обучения элементов в составе импортированной ML-модели, указать другие разметки для обучения и обучить элементы заново.

4. Инференс ML-модели

   Запустите инференс ML-модели. Вы можете запустить инференс ML-модели на исторических данных и/или данных, поступающих в Kaspersky MLAD в режиме реального времени.

5. Анализ результатов инференса ML-модели

   Изучите инциденты и артефакты, сформированные элементами ML-модели в результате инференса, в следующих разделах:

   • Мониторинг или История, если для ML-модели запущен потоковый инференс.
   • История, если для ML-модели был запущен исторический инференс.

   Для отображения прогнозируемых значений тегов и индивидуальных ошибок прогнозов, сформированных предиктивными элементами ML-модели, на единичных графических областях в нужном разделе необходимо предварительно настроить отображение графиков.

   Если запускался исторический инференс, оцените его результаты. Если требуется улучшить качество работы ML-модели, скорректируйте параметры ML-модели, разметок и/или элементов ML-модели. Если ML-модель была импортирована в Kaspersky MLAD, создана по шаблону импортированной ML-модели или скопирована с импортированной ML-модели, вы также можете изменить некоторые параметры ее элементов.

   При необходимости повторно обучите элементы ML-модели. Проведите повторный инференс ML-модели. При повторном запуске инференса на данных, на которых он ранее был проведен, предыдущие результаты инференса на этих данных будут удалены. В случае проведения быстрого исторического инференса будут удалены только инциденты, зарегистрированные ранее на выбранном интервале времени, и для формирования новых инцидентов будут использованы уже существующие артефакты.

6. Публикация ML-модели

   Если ML-модель протестирована и готова к продуктивной работе, вы можете опубликовать ее. После публикации ML-модели вы не сможете изменить ее параметры, параметры ее элементов, состав элементов в ML-модели, а сформированные ML-моделью инциденты станут учетными. В отличие от инцидентов, сформированных в процессе инференса неопубликованной ML-моделью, учетные инциденты предполагают принятие мер и ведение отчетности по ним в рамках производственного процесса.

   Если публикация ML-модели не требуется, пропустите этап 6.

   После завершения обучения и проверки результатов инференса ML-модели подготовьте ML-модель к публикации.

   После подготовки ML-модели к публикации сообщите сотруднику, ответственному за публикацию ML-моделей, о ее готовности, или, если у вас есть необходимые права, опубликуйте ML-модель. Системный администратор может создать роль, которой предоставлено право для публикации ML-моделей, и назначить ее нужному сотруднику.

   При выполнении повторного инференса опубликованной ML-модели на данных, на которых он ранее был проведен, инциденты от предыдущего инференса удалены не будут.

   Вы также можете настроить отправку уведомлений об инцидентах, зарегистрированных опубликованной ML-моделью. Для этого при создании или изменении ранее созданной подписки на уведомления об инцидентах необходимо включить переключатель Отправлять уведомления только об учетных инцидентах.

7. Инференс готовой ML-модели

   Запустите инференс ML-модели. В процессе инференса ML-модель, анализируя исторические или потоковые данные, формирует артефакты и регистрирует инциденты.