Las redes se han convertido en una infraestructura crítica en entornos corporativos, ya que sobre ellas recae el envío de información entre los terminales empleados por los usuarios y los servidores corporativos u otros recursos como el acceso a Internet. Sin el acceso a estos recursos, la actividad de la empresa resulta, en la mayoría de los casos, imposible, con el consiguiente perjuicio económico derivado. Por otra parte, los ciberataques son cada vez más frecuentes y con efectos más relevantes. Baste recordar la crisis provocada por el ransomware “Wannacry”.

Para abordar estos problemas, se tiende al despliegue de sistemas de monitorización en forma de SIEM (Security Information and Event Management) o NSM (Network Security Monitoring) [1] que incorporan y procesan información de múltiples fuentes y diversa naturaleza, como los flujos de tráfico, las alertas generadas por los sistemas de detección de intrusiones (IDS) desplegados [2] o las trazas de los servicios de interés. El objetivo último de estos sistemas es proporcionar conciencia situacional al oficial de ciberseguridad (CSO), que es quien, en última instancia, debe determinar la existencia de incidentes y tomar decisiones respecto de las respuestas a los mismos. Los SIEM o NSM constituyen, por tanto, un sistema de apoyo a la decisión que debe considerar infinidad de variables y fuentes de información. Precisamente, el procesamiento y priorización de la enorme cantidad de eventos recibidos constituye uno de los retos más relevantes en la actualidad. En este sentido, la mayoría de los NSM se limitan a presentar la información procedente de los diversos sensores desplegados de forma que se facilite su visualización y acceso por parte del operador, no estableciéndose ningún procesamiento más allá de relacionar temporalmente los diferentes eventos. Otros sistemas más avanzados establecen mecanismos de correlación de las alertas. No obstante, la correlación suele ser muy básica y realizarse en base a conocimiento propietario. Por otra parte, estos sistemas generan habitualmente un elevado número de alarmas que deben ser supervisadas a fin de descartar falsos positivos, evaluar la importancia del incidente y tomar las correspondientes acciones correctivas. Debido al crecimiento exponencial de las amenazas y del tráfico en las redes corporativas durante los últimos años, el modelo anterior resulta poco efectivo y escalable por el alto número de alertas generadas, muchas de las cuales corresponden a falsos positivos o no resultan relevantes para el sistema monitorizado.

Sería de interés, por tanto, contar con mecanismos y técnicas que permitiesen procesar de forma automática los ingentes volúmenes de datos recibidos con la finalidad de determinar, en el menor tiempo posible, la existencia real de incidentes, agrupando y relacionando entre sí todos los eventos/indicadores asociados a un mismo ataque, de cara a facilitar la supervisión y toma de decisiones. De esta forma, se generaría un único evento a monitorizar asociado a cada incidente, tras determinarse su relevancia para la seguridad. Así se minimizarían los costes de operación y se reduciría el tiempo de reacción e impacto de los incidentes, dado que se podrían desplegar las contramedidas necesarias con mayor celeridad.

La problemática planteada resulta de interés en entornos corporativos, tanto empresariales como de administraciones públicas. A modo de ejemplo, considérese como escenario el centro de ciberseguridad de un hospital moderno en el que los historiales, pruebas médicas y gestión de pacientes y recursos se procesan y acceden mediante sistemas en red. En este escenario, la indisponibilidad de un servicio de red puede derivar en demoras inaceptables, con el consiguiente coste económico, e incluso en daños personales graves.

A modo de resumen, en el contexto planteado se buscan soluciones que mejoren el estado del arte respecto a los siguientes retos de la ciberseguridad publicados en [3]:

– Disminución del tiempo de respuesta ante incidentes de ciberseguridad a partir de la mejora de la capacidad de detección y la reducción de falsos positivos, para lo cual se propone la detección temprana de ataques a partir de su modelado, determinando su tipología, su evolución y los recursos potencialmente afectados.

– Identificación y caracterización de eventos relacionados con el contexto que, aunque no estén a priori relacionados con los ataques, aporten información que puede resultar relevante para mejorar la detección y el modelado de algunos incidentes de ciberseguridad.

Estado del arte

Algunos autores han abordado con resultados insuficientes el problema asociado al alto número de alertas y falsos positivos mediante técnicas de correlación orientadas a relacionar entre sí las alertas correspondientes al mismo incidente, mayoritariamente a partir de la información contenida en las propias alertas e información estática de otras fuentes (p.e. [4] [5]) y, en algunos casos, de modelos secuenciales para la aparición de las mismas (p.e. [6]). Un análisis efectivo de las alertas requeriría de la correlación, presumiblemente como una secuencia de eventos, de información procedente de las múltiples fases que tienen lugar en un ataque. A modo de ejemplo, un ataque cuyo objetivo sea la instalación del software de una botnet en un nodo de usuario podría implicar la explotación de una vulnerabilidad, que abrirá un Shell interactivo en el que el atacante conseguiría hacerse administrador y descargaría el software malicioso mediante una conexión FTP. No todos estos pasos generarán una alerta en los IDS, por lo que la información asociada a éstas será limitada. Sin embargo, las demás acciones habrán dejado trazas en los diferentes sensores que podrían relacionarse con las alertas y, por tanto, podrían utilizarse para modelar, categorizar y priorizar el ataque (incidente), agregando toda la información disponible. En este sentido existen varias iniciativas para categorizar los ataques en base a sus diferentes fases o estadios, como es el caso del denominado modelo ATT&CK de la organización Mitre (www.mitre.org), lo que podría ser utilizado para la correlación y agregación de las alarmas anteriormente mencionadas, así como para su priorización, que será mayor cuanto más certeza tengamos del tipo de ataque que se está llevando a cabo. Esta nueva aproximación será la utilizada por este proyecto, lo que permitirá detectar fases tempranas de un ataque determinado y mejorar así el tiempo de respuesta al mismo. En [7] se presenta un excelente estado del arte en cuanto a la detección de ataques multi-etapa, en el que se puede comprobar la novedad de la propuesta. Las técnicas de detección de ataques descritas se basan mayoritariamente en considerar únicamente las alertas generadas por los IDS (158 de 181 de las publicaciones, según [7]), mientras que sólo unos pocos trabajos (18) abordan otras fuentes de información en forma de eventos y únicamente 5 combinan el uso de trazas genéricas con alertas de IDS.  Por otra parte, las técnicas descritas se pueden clasificar en centradas en la similitud, basadas en la correlación causal, basadas en información estructural de la red, basadas en el uso de casos y algunas aproximaciones mixtas. Entre las basadas en la correlación causal, relacionada con la presente propuesta, se encuentran las que usan modelos de ataque (p.e. en [6] los autores basan su detección en tiempo real en modelos ocultos de Markov, a usar también en este proyecto), y las basadas en inferencia estadística [8]. Por otra parte, las técnicas basadas en la similitud se pueden categorizar en aquellas que utilizan clustering y aquellas que usan detección de anomalías. Entre las propuestas encontradas en la literatura basadas en la detección de anomalías podemos encontrar sólo una que utilice modelos de ataques y en la que la extracción del conocimiento es automatizada [9]. En esta, los modelos de ataques definidos se basan principalmente en la caracterización a nivel de dirección de red y no incluyen el comportamiento de los flujos, como se propone en este proyecto. Finalmente, en [7] se señalan como retos principales en la detección de este tipo de ataques: el alto volumen de alertas generadas, la inclusión de alertas falsas o no relevantes, y la heterogeneidad entre las propias alertas.

Dado que el número de alertas a supervisar resulta ingente en la mayoría de los casos, existe un gran interés en el desarrollo de técnicas que, en términos generales, permitan post-procesar las alertas generadas por los IDS para mejorar la percepción de los incidentes. En este sentido, se pueden encontrar numerosos trabajos en la bibliografía orientados a la reducción de falsos positivos y a la agregación de alertas, p.e. [4] [10], como evolución de la investigación en detectores de intrusiones. Las tendencias actuales se pueden agrupar, básicamente, en el modelado temporal de los ataques y en la incorporación de otras fuentes de información sobre eventos y vulnerabilidades en la red en el proceso. En el primero de estos grupos podemos mencionar el uso de árboles y grafos [4]. Al segundo grupo pertenecerían trabajos como [10], en el que se incorpora información sobre los flujos existentes para modelar ataques. Por otra parte, hemos de mencionar la existencia de numerosos trabajos orientados a evaluar el impacto de un posible incidente en el modelo de negocio de una corporación, si bien en la mayoría de los casos [11] esta evaluación se hace a priori y/o de forma independiente de la detección de ataques debido al elevado coste de realizar este tipo de análisis con alta periodicidad. En este contexto, el uso de información proveniente de la matriz de tráfico para inferir los activos y su importancia,  resulta una idea novedosa, tan sólo tratada de forma muy incipiente en un reciente trabajo [12].

Modelado de las fases de un ataque

El proyecto MITRE ATT&CK (https://attack.mitre.org) es una iniciativa para desarrollar una base de conocimiento accesible a nivel mundial con información sobre tácticas y técnicas utilizadas por los atacantes basadas en observaciones reales. Su objetivo es el desarrollo de modelos de amenazas específicos para su uso en diversos contextos, incluida la ciberseguridad. Por lo tanto, su objetivo está perfectamente alineado con este proyecto, ya que los modelos de incidentes a establecer podrían deducirse de los de las amenazas establecidas en ATT&CK. En este sentido, el uso de los modelos propuestos por MITRE ATT&CK puede proporcionar al menos dos ventajas relevantes: en primer lugar, facilita el análisis de los múltiples escenarios de ataque y tipologías existentes, acelerando el desarrollo de modelos y proporcionando una integridad que sería difícil de lograr de otra manera; en segundo lugar, proporciona un componente importante de normalización a los sistemas a desarrollar, al tiempo que permite su comparabilidad con otros productos similares.

ATT&CK establece un conjunto de tácticas y un conjunto de técnicas utilizadas por los atacantes que agrupa en 3 dominios diferentes. La relación entre técnicas y tácticas se recopila en forma de matrices ATT&CK. En este modelo, un ataque corresponde a una secuencia de tácticas correspondientes al dominio considerado, cada una de las cuales se ejecuta de acuerdo con una o más de las técnicas asociadas a esa táctica.

El modelo ATT&CK presenta algunas limitaciones en relación con este proyecto y que requerirán extensiones y/o propuestas adicionales, así como una revisión para su adaptación. En particular, ATT&CK no propone un modelo de los ataques, sino una taxonomía y un marco para su análisis. Por otro lado, considera un escenario post-intrusión, es decir, se supone que no se ha detectado una intrusión y, por lo tanto, está dirigido a detectar la actividad maliciosa una vez que el atacante ha obtenido acceso al sistema. En el contexto del modelo «cyber kill chain» [13] para los ataques, ATT&CK se centra en las últimas tres fases una vez que la fase de explotación ha terminado. Sin embargo, este modelo tiene la desventaja de que las primeras fases se producen fuera del perímetro de la red monitorizada, lo que dificulta la detección de las acciones correspondientes. De esta manera, ambos modelos son complementarios, habiéndose definido un modelo unificado (unified kill chain) que incorpora 18 fases de ataque únicas, que se pueden utilizar para analizar ataques.

Referencias