La señalización es una de las señales más importantes de la ciberseguridad: el tráfico que se envía a intervalos regulares desde la red interna a una infraestructura controlada por un adversario, una señal de una infección de malware o una exfiltración de datos en curso. El problema: esta señal se ahoga en enormes volúmenes de registros de proxy, imposibles de detectar manualmente. Los equipos de seguridad no disponían de ninguna herramienta que pudiera clasificar automáticamente los millones de conexiones diarias para aislar los comportamientos sospechosos y denunciarlos a los expertos para que los verificaran.
Detección de balizas
El equipo de seguridad de un grupo grande necesitaba identificar las señales de balizamiento, es decir, el tráfico de red regular enviado por máquinas potencialmente comprometidas a los servidores controlados por los atacantes. El volumen de registros hacía imposible la detección manual. Creamos un sistema de detección de anomalías capaz de procesar estos datos a gran escala.
Problema
Solución
Lo que construimos
Desplegamos a 2 científicos de datos para diseñar un sistema de detección de balizas con aprendizaje automático, capaz de procesar un enorme volumen de datos de red.
Paso 1 — Extracción e ingeniería de funciones Análisis y limpieza de registros de proxy para extraer funciones utilizables. Dos niveles de granularidad: agregaciones diarias por cliente, anfitrión y fecha, y agregaciones a lo largo de un período histórico por anfitrión para capturar los patrones de regularidad característicos de las balizas.
Paso 2 — Modelado mediante detección de anomalías Las funciones sirvieron como datos de entrenamiento para varios modelos de detección de anomalías. Era necesario adoptar un enfoque no supervisado: por definición, los casos de señalización no se incluyen en los datos históricos.
Paso 3 — Sistema de evaluación realista Implementación de un protocolo de evaluación que simule las condiciones reales de uso por parte del equipo de seguridad, para medir la relevancia de las alertas en un contexto operativo.
Paso 4 — Mejora continua con expertos Trabajo iterativo con expertos en seguridad para perfeccionar la ingeniería de las funciones y reducir la tasa de falsos positivos, de modo que el volumen de alertas siga siendo tratable desde el punto de vista humano.
Proyectos de la misma categoría
