{"id":3030,"date":"2024-12-11T11:29:45","date_gmt":"2024-12-11T10:29:45","guid":{"rendered":"https:\/\/dtstc.ugr.es\/neus-cslab\/?page_id=3030"},"modified":"2025-07-28T17:36:51","modified_gmt":"2025-07-28T15:36:51","slug":"nms","status":"publish","type":"page","link":"https:\/\/dtstc.ugr.es\/neus-cslab\/lineas-de-investigacion\/nms\/","title":{"rendered":"NMS"},"content":{"rendered":"\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

NMS (Network Monitoring Systems)<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\"\"\n

Los ciberataques son cada vez m\u00e1s frecuentes y con efectos m\u00e1s relevantes, haciendo que la seguridad de las redes adquiera una importancia cr\u00edtica. Una buena defensa pasa, necesariamente, por el conocimiento del estado de la red y los sistemas y la r\u00e1pida detecci\u00f3n de los incidentes. Para ello los oficiales de ciberseguridad (CSO) recurren a los denominados sistemas de monitorizaci\u00f3n de la seguridad (NSM, del ingl\u00e9s Network Security Monitoring<\/em>), cuya finalidad \u00faltima es operar como sistema de apoyo a la decisi\u00f3n y proporcionar conciencia situacional al CSO.<\/p>\n

Los NSM procesan informaci\u00f3n de m\u00faltiples fuentes y diversa naturaleza<\/strong>, como los flujos de tr\u00e1fico, o las alertas <\/strong>generadas por los sistemas de detecci\u00f3n de intrusiones (IDS, del ingl\u00e9s Intrusion Detection Systems) desplegados. De esta forma, en un escenario t\u00edpico, los NSM deben gestionar una enorme cantidad de eventos, lo que se suele traducir en\u00a0un elevado n\u00famero de alarmas<\/strong> que deben ser supervisadas. Lamentablemente, muchas de las alertas suelen corresponder a falsos positivos, a un mismo incidente o no resultan relevantes para el sistema monitorizado. Por ello, se suelen desplegar t\u00e9cnicas de correlaci\u00f3n de alertas <\/strong>que intentan relacionar y agrupar todas las alertas asociadas a un mismo ataque. En la literatura hay numerosas propuestas en esta l\u00ednea, la mayor\u00eda en base a la informaci\u00f3n de las propias alertas y a relaciones temporales entre ellas. Sin embargo, estas adolecen de importantes limitaciones<\/strong>, siendo necesario mejorar sus capacidades tanto en capacidad de detecci\u00f3n de ataques como en relaci\u00f3n al n\u00famero de alertas y falsos positivos generados.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t\t\t\t\t\t
Arquitectura de un NSM con m\u00faltiples sensores y correlaci\u00f3n de eventos<\/figcaption>\n\t\t\t\t\t\t\t\t\t\t<\/figure>\n\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\"\"<\/strong>\n

Por otra parte, la mayor\u00eda de los ciberataques responden a una secuencia de acciones<\/strong>, que suelen dar lugar a m\u00faltiples alertas. Por ello, ser\u00eda interesante la incorporaci\u00f3n de modelos<\/strong> secuenciales asociados a cada tipo de ataque en el proceso de detecci\u00f3n y, particularmente, en la correlaci\u00f3n de alertas, con el objetivo final de generar una \u00fanica alerta por cada ataque\/incidente<\/strong>. Estos modelos pueden ser aprendidos a partir de la aplicaci\u00f3n de t\u00e9cnicas de aprendizaje autom\u00e1tico, aunque para ello se requieren grandes vol\u00famenes de datos asociados a ataques, lo que resulta extremadamente complejo. Alternativamente, se pueden usar como punto de partida modelos de fases de ataques propuestos previamente. Tal es el caso del modelo ATT&CK<\/strong> de Mitre (Adversarial Tactics Techniques & Common Knowledge<\/em>), que establece un marco de trabajo basado en ataques reales para la descripci\u00f3n de los ataques como una secuencia de fases (t\u00e1cticas) y los posibles m\u00e9todos para su ejecuci\u00f3n (t\u00e9cnicas).<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t\t\t\t\t\t
Modelo de ataque multietapa basado en FSA<\/figcaption>\n\t\t\t\t\t\t\t\t\t\t<\/figure>\n\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t\t\t\t\t\t
Ejemplo de modelo de ataque observado siguiendo el modelo ATT&CK<\/figcaption>\n\t\t\t\t\t\t\t\t\t\t<\/figure>\n\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Otro aspecto de inter\u00e9s est\u00e1 relacionado con la usabilidad <\/b>de los NMS. Habitualmente se asume que tasas de FP en torno al 1-2% son aceptables y que el rendimiento de los sistemas se mide adecuadamente mediante m\u00e9tricas que combinan las tasas de FP y TP, como es el caso del F-Score, ampliamente utilizado en el contexto de los IDS y, por extensi\u00f3n, en los NMS.<\/p>\n

\nSin embargo, la naturaleza fuertemente desbalanceada<\/b> del problema, donde el n\u00famero de ataques es varios \u00f3rdenes de magnitud inferior al volumen de tr\u00e1fico normal (del orden de 1 a 10000 e incluso inferior), hace que esas m\u00e9tricas resulten claramente inadecuadas. Las tasas de FP resultan un factor determinante, produci\u00e9ndose un elevado n\u00famero de falsas alertas<\/b> por cada alerta verdadera. Como resultado, los NMS carecen de utilidad pr\u00e1ctica. Se necesitan, por tanto, procedimientos que reduzcan a\u00fan m\u00e1s el n\u00famero de FP y m\u00e9tricas que tengan en cuenta las tasas de acierto en las alertas generadas.<\/p>\n

<\/strong><\/p>\n<\/strong>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

L\u00edneas de trabajo<\/span><\/h3>