NMS (Network Monitoring Systems)
Los ciberataques son cada vez más frecuentes y con efectos más relevantes, haciendo que la seguridad de las redes adquiera una importancia crítica. Una buena defensa pasa, necesariamente, por el conocimiento del estado de la red y los sistemas y la rápida detección de los incidentes. Para ello los oficiales de ciberseguridad (CSO) recurren a los denominados sistemas de monitorización de la seguridad (NSM, del inglés Network Security Monitoring), cuya finalidad última es operar como sistema de apoyo a la decisión y proporcionar conciencia situacional al CSO.
Los NSM procesan información de múltiples fuentes y diversa naturaleza, como los flujos de tráfico, o las alertas generadas por los sistemas de detección de intrusiones (IDS, del inglés Intrusion Detection Systems) desplegados. De esta forma, en un escenario típico, los NSM deben gestionar una enorme cantidad de eventos, lo que se suele traducir en un elevado número de alarmas que deben ser supervisadas. Lamentablemente, muchas de las alertas suelen corresponder a falsos positivos, a un mismo incidente o no resultan relevantes para el sistema monitorizado. Por ello, se suelen desplegar técnicas de correlación de alertas que intentan relacionar y agrupar todas las alertas asociadas a un mismo ataque. En la literatura hay numerosas propuestas en esta línea, la mayoría en base a la información de las propias alertas y a relaciones temporales entre ellas. Sin embargo, estas adolecen de importantes limitaciones, siendo necesario mejorar sus capacidades tanto en capacidad de detección de ataques como en relación al número de alertas y falsos positivos generados.
Por otra parte, la mayoría de los ciberataques responden a una secuencia de acciones, que suelen dar lugar a múltiples alertas. Por ello, sería interesante la incorporación de modelos secuenciales asociados a cada tipo de ataque en el proceso de detección y, particularmente, en la correlación de alertas, con el objetivo final de generar una única alerta por cada ataque/incidente. Estos modelos pueden ser aprendidos a partir de la aplicación de técnicas de aprendizaje automático, aunque para ello se requieren grandes volúmenes de datos asociados a ataques, lo que resulta extremadamente complejo. Alternativamente, se pueden usar como punto de partida modelos de fases de ataques propuestos previamente. Tal es el caso del modelo ATT&CK de Mitre (Adversarial Tactics Techniques & Common Knowledge), que establece un marco de trabajo basado en ataques reales para la descripción de los ataques como una secuencia de fases (tácticas) y los posibles métodos para su ejecución (técnicas).
Otro aspecto de interés está relacionado con la usabilidad de los NMS. Habitualmente se asume que tasas de FP en torno al 1-2% son aceptables y que el rendimiento de los sistemas se mide adecuadamente mediante métricas que combinan las tasas de FP y TP, como es el caso del F-Score, ampliamente utilizado en el contexto de los IDS y, por extensión, en los NMS.
Sin embargo, la naturaleza fuertemente desbalanceada del problema, donde el número de ataques es varios órdenes de magnitud inferior al volumen de tráfico normal (del orden de 1 a 10000 e incluso inferior), hace que esas métricas resulten claramente inadecuadas. Las tasas de FP resultan un factor determinante, produciéndose un elevado número de falsas alertas por cada alerta verdadera. Como resultado, los NMS carecen de utilidad práctica. Se necesitan, por tanto, procedimientos que reduzcan aún más el número de FP y métricas que tengan en cuenta las tasas de acierto en las alertas generadas.
Líneas de trabajo
Detección de ataques multietapa
Correlación de alertas generadas por los IDS
Análisis de prestaciones (tasas de FP/TP) y usabilidad
- Modelado de ataques para su detección e identificación
Técnicas / métodos
-
Correlación de eventos
-
Autómatas de estados finitos probabilísticos
-
Técnicas de agrupamiento
-
Análisis de series temporales
Métricas de clasificación para conjuntos fuertemente desbalanceados
Resultados relevantes
-
Demostrador de sistema NSM en aplicaciones de iluminación inteligente
-
Varios datasets de tráfico reales etiquetadas (ground-truth)
- Colaboraciones con empresas destacadas del sector
Publicaciones destacadas
Anomaly-based Intrusion Detection System for smart lighting Artículo de revista
En: Internet of Things, vol. 28, pp. 101427, 2024, ISSN: 2542-6605.
A Flexible Multilevel System for Mitre ATT&CK Model-driven Alerts and Events Correlation in Cyberattacks Detection Artículo de revista
En: JUCS – Journal of Universal Computer Science, vol. 30, no 9, pp. 1184-1204, 2024, ISSN: 0948-695X.
Insights into anomaly-based intrusion detection systems usability. A case study using real http requests Proceedings Article
En: Proc. European Interdisciplinary Cybersecurity Conference (EICC 2024), pp. 82–89, 2024, ISBN: 9798400716515.
Multistep Cyberattacks Detection using a Flexible Multilevel System for Alerts and Events Correlation Proceedings Article
En: Proc. European Interdisciplinary Cybersecurity Conference (EICC 2023), pp. 6, 2023.
Proyectos destacados
A-TIC-224-UGR20 – Modelado de Ataques y Detección de Incidentes de Ciberseguridad (MADINCI)
Entidad financiadora: Universidad de Granada – Junta de Andalucía – Proyectos I+D+i del Programa Operativo FEDER 2020
Entidad/es participantes: Univ. Granada y Univ. Sevilla – N. invest.: 6
Periodo: 01/01/2022 a 30/06/2023
PID2020-115199RB-I00 – Detección de ciberataques en “industria conectada” e IoT mediante integración y correlación de alertas multifuente (COINCYDE)
Entidad financiadora: Ministerio de Ciencia e Innovación – MICIN/AEI/10.13039/50110 0 011033
Entidad/es participantes: Universidad de Granada / Universidad de Sevilla – N. invest.: 8
Periodo: 01/09/2021 a 31/08/2024