{"id":78318,"date":"2020-04-18T13:42:43","date_gmt":"2020-04-18T11:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki"},"modified":"2020-04-18T13:42:43","modified_gmt":"2020-04-18T11:42:43","slug":"analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","title":{"rendered":"An\u00e1lisis de tr\u00e1fico cifrado sin su descifrado","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Sistema para el an\u00e1lisis de tr\u00e1fico sin su descifrado. Este m\u00e9todo se llama simplemente \"aprendizaje autom\u00e1tico\". Resulta que, si a un clasificador especial se le proporciona una gran cantidad de tr\u00e1fico diverso, el sistema puede detectar con una alta probabilidad las actividades de c\u00f3digo malicioso dentro del tr\u00e1fico cifrado.<\/p>\n

<\/p>\n

\"An\u00e1lisis<\/p>\n

<\/a><\/noindex><\/p>\n

Las amenazas en la red han cambiado y se han vuelto m\u00e1s \"inteligentes\". Recientemente, la propia concepci\u00f3n de ataque y defensa ha cambiado. El n\u00famero de eventos en la red ha aumentado exponencialmente. Los ataques se han vuelto m\u00e1s sofisticados y los hackers tienen un rango m\u00e1s amplio de ataques.<\/p>\n

<\/p>\n

Seg\u00fan las estad\u00edsticas de Cisco, los delincuentes han triplicado en el \u00faltimo a\u00f1o el n\u00famero de programas maliciosos que utilizan para sus actividades, espec\u00edficamente para su ocultaci\u00f3n \u2014 cifrado. Te\u00f3ricamente, se sabe que un algoritmo de cifrado \"correcto\" no puede ser vulnerado. Para entender lo que se oculta dentro del tr\u00e1fico cifrado, es necesario o bien descifrarlo conociendo la clave, o intentar descifrarlo mediante diversos trucos, o atac\u00e1ndolo directamente, o utilizando alguna vulnerabilidad en los protocolos de criptograf\u00eda.<\/p>\n

<\/p>\n

\"An\u00e1lisis
\nEl panorama de las amenazas en la red de nuestra \u00e9poca<\/em><\/p>\n

<\/p>\n

Aprendizaje autom\u00e1tico<\/h3>\n

<\/p>\n

\u00a1Conoce la tecnolog\u00eda de frente! Antes de hablar sobre c\u00f3mo funciona la t\u00e9cnica de descifrado basada en el aprendizaje autom\u00e1tico, es necesario analizar c\u00f3mo funcionan las redes neuronales.<\/p>\n

<\/p>\n

El aprendizaje autom\u00e1tico (Machine Learning) es una amplia subdivisi\u00f3n de la inteligencia artificial que estudia los m\u00e9todos para construir algoritmos capaces de aprender. Esta ciencia est\u00e1 dirigida a la creaci\u00f3n de modelos matem\u00e1ticos de \"aprendizaje\" para la computadora. El objetivo del aprendizaje es la predicci\u00f3n de algo. En t\u00e9rminos humanos, llamamos a este proceso \"sabidur\u00eda\". \u00absabidur\u00eda\u00bb<\/em>. La sabidur\u00eda se manifiesta en personas que han vivido suficientes a\u00f1os (un ni\u00f1o de 2 a\u00f1os no puede ser sabio). Al solicitar consejo a nuestros mayores, les proporcionamos cierta informaci\u00f3n sobre el evento (datos de entrada) y pedimos ayuda. Ellos, a su vez, recuerdan todas las situaciones de la vida que est\u00e1n de alguna manera relacionadas con su problema (base de conocimientos) y, sobre la base de esos conocimientos (datos), nos brindan lo que ser\u00eda una especie de predicci\u00f3n (consejo). Esta clase de consejo se ha denominado predicci\u00f3n porque la persona que ofrece el consejo no sabe con certeza qu\u00e9 suceder\u00e1, sino que solo lo presume. La experiencia de vida muestra que una persona puede tener raz\u00f3n, pero tambi\u00e9n puede equivocarse.<\/p>\n

<\/p>\n

No se debe comparar las redes neuronales con el algoritmo de ramificaci\u00f3n (if-else). Son cosas diferentes y tienen diferencias clave. El algoritmo de ramificaci\u00f3n tiene una clara \"comprensi\u00f3n\" de qu\u00e9 hacer. Lo demostrar\u00e9 con ejemplos.<\/p>\n

<\/p>\n

Tarea. Determinar la distancia de frenado de un autom\u00f3vil seg\u00fan su marca y a\u00f1o de fabricaci\u00f3n.<\/p>\n

<\/p>\n

Ejemplo de funcionamiento del algoritmo de ramificaci\u00f3n. Si el autom\u00f3vil es de la marca 1 y fue producido en 2012, su distancia de frenado es de 10 metros; de lo contrario, si el autom\u00f3vil es de la marca 2 y fue producido en 2011, y as\u00ed sucesivamente.<\/p>\n

<\/p>\n

Ejemplo de funcionamiento de una red neuronal. Reunimos datos sobre las distancias de frenado de autom\u00f3viles de los \u00faltimos 20 a\u00f1os. Seg\u00fan la marca y el a\u00f1o, hacemos una tabla del tipo \"marca-a\u00f1o de fabricaci\u00f3n-distancia de frenado\". Le damos esta tabla a la red neuronal y comenzamos a entrenarla. El entrenamiento se realiza de la siguiente manera: introducimos datos en la red neuronal, pero sin la distancia de frenado. La red intenta predecir cu\u00e1l ser\u00e1 la distancia de frenado, basada en la tabla que se le ha cargado. Predice algo y le pregunta al usuario: \"\u00bfTengo raz\u00f3n?\". Antes de la pregunta, crea una cuarta columna: la columna de adivinanzas. Si tiene raz\u00f3n, anota un 1 en la cuarta columna; si se equivoca, un 0. La red neuronal pasa al siguiente evento (incluso si cometi\u00f3 un error). As\u00ed es como la red aprende, y cuando el entrenamiento ha terminado (se alcanza un criterio de convergencia determinado), introducimos datos sobre el autom\u00f3vil que nos interesa y finalmente obtenemos una respuesta.<\/p>\n

<\/p>\n

Para aclarar la cuesti\u00f3n sobre el criterio de convergencia, explicar\u00e9 que es una f\u00f3rmula matem\u00e1ticamente derivada para estad\u00edsticas. Un ejemplo claro de 2 f\u00f3rmulas diferentes de convergencia. La roja es convergencia binaria, la azul es convergencia normal.<\/p>\n

<\/p>\n

\"An\u00e1lisis
\nDistribuciones binomial y normal de probabilidad<\/em><\/p>\n

<\/p>\n

Para que sea m\u00e1s claro, haga la pregunta: \u00ab\u00bfCu\u00e1l es la probabilidad de encontrar un dinosaurio?\u00bb. Hay 2 posibles respuestas. Opci\u00f3n 1: muy baja (gr\u00e1fico azul). Opci\u00f3n 2: puede haber un encuentro o no (gr\u00e1fico rojo).<\/p>\n

<\/p>\n

Por supuesto, una computadora no es un ser humano y se entrena de manera diferente. Se distinguen 2 tipos de aprendizaje para el 'caballo de hierro' \u2013 aprendizaje por precedentes<\/strong> y aprendizaje deductivo<\/strong>.<\/p>\n

<\/p>\n

El aprendizaje por precedentes es un m\u00e9todo de formaci\u00f3n basado en leyes matem\u00e1ticas. Los matem\u00e1ticos recopilan tablas estad\u00edsticas, hacen conclusiones y cargan los resultados en la red neuronal: una f\u00f3rmula para el c\u00e1lculo.<\/p>\n

<\/p>\n

El aprendizaje deductivo ocurre completamente dentro de la red neuronal (desde la recopilaci\u00f3n de datos hasta su an\u00e1lisis). Aqu\u00ed se forma una tabla sin una f\u00f3rmula, pero con estad\u00edsticas.<\/p>\n

<\/p>\n

Un amplio panorama de la tecnolog\u00eda requerir\u00eda un par de docenas m\u00e1s de art\u00edculos. Por ahora, esto es suficiente para una comprensi\u00f3n general.<\/p>\n

<\/p>\n

Neuroplasticidad<\/h3>\n

<\/p>\n

En biolog\u00eda existe el concepto de neuroplasticidad. La neuroplasticidad es la capacidad de las neuronas (c\u00e9lulas del cerebro) de actuar 'seg\u00fan la situaci\u00f3n'. Por ejemplo, una persona que ha perdido la vista escucha mejor los sonidos, percibe olores y siente objetos. Esto se debe a que una parte del cerebro (parte de las neuronas) responsable de la visi\u00f3n redistribuye su trabajo hacia otras funcionalidades.<\/p>\n

<\/p>\n

Un ejemplo brillante de neuroplasticidad en la vida es el caramelo BrainPort.<\/p>\n

<\/p>\n

En 2009, la Universidad de Wisconsin en Madison anunci\u00f3 el lanzamiento de un nuevo dispositivo que desarrolla las ideas del 'pantalla de lengua', llamado BrainPort. BrainPort opera seg\u00fan este algoritmo: la se\u00f1al de video se env\u00eda desde la c\u00e1mara al procesador, que gestiona el zoom, el brillo y otros par\u00e1metros de la imagen. Tambi\u00e9n convierte las se\u00f1ales digitales en impulsos el\u00e9ctricos, asumiendo efectivamente las funciones de la retina.<\/p>\n

<\/p>\n

\"An\u00e1lisis
\nCaramelo BrainPort con gafas y c\u00e1mara<\/em><\/p>\n

<\/p>\n

\"An\u00e1lisis
\nBrainPort en acci\u00f3n<\/em><\/p>\n

\n

\r\n \"Reproducir\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Tambi\u00e9n es as\u00ed con la computadora. Si la red neuronal siente un cambio en el proceso, se ajusta a \u00e9l. Esta es la clave de la ventaja de las redes neuronales sobre otros algoritmos: la autonom\u00eda. Es una especie de humanidad.<\/p>\n

<\/p>\n

An\u00e1lisis de tr\u00e1fico encriptado<\/h3>\n

<\/p>\n

Encrypted Traffic Analytics es parte del sistema Stealthwatch. Stealthwatch es un desarrollo de Cisco en el sector de soluciones para la supervisi\u00f3n y anal\u00edtica de seguridad, que utiliza datos de telemetr\u00eda de la infraestructura de red existente.<\/p>\n

<\/p>\n

La base de Stealthwatch Enterprise est\u00e1 compuesta por herramientas como Flow Rate License, Flow Collector, Management Console y Flow Sensor.<\/p>\n

<\/p>\n

\"An\u00e1lisis
\nInterfaz de Cisco Stealthwatch<\/em><\/p>\n

<\/p>\n

El problema del cifrado se ha vuelto muy agudo debido al aumento del tr\u00e1fico cifrado. Antes, solo se cifraba el c\u00f3digo (principalmente), pero ahora, todo el tr\u00e1fico est\u00e1 cifrado, lo que hace much\u00edsimo m\u00e1s dif\u00edcil separar los datos 'limpios' de los virus. Un claro ejemplo es WannaCry, que utiliz\u00f3 Tor para ocultar su presencia en la red.<\/p>\n

<\/p>\n

\"An\u00e1lisis
\nVisualizaci\u00f3n del crecimiento del tr\u00e1fico cifrado en la red<\/em><\/p>\n

<\/p>\n

\"An\u00e1lisis
\nCifrado en la macroeconom\u00eda<\/em><\/p>\n

<\/p>\n

El sistema Encrypted Traffic Analytics (ETA) es necesario precisamente para trabajar con tr\u00e1fico cifrado sin necesidad de descifrarlo. Los delincuentes son inteligentes y utilizan algoritmos de cifrado robustos, y romperlos no solo es problem\u00e1tico, sino que tambi\u00e9n implica enormes costos para las organizaciones.<\/p>\n

<\/p>\n

El sistema funciona de la siguiente manera. Cualquier tr\u00e1fico llega a la empresa. Este tr\u00e1fico entra en TLS (transport layer security \u2014 protocolo de seguridad de la capa de transporte). Supongamos que el tr\u00e1fico est\u00e1 cifrado. Intentamos responder una serie de preguntas sobre qu\u00e9 conexi\u00f3n se ha establecido.<\/p>\n

<\/p>\n

\"An\u00e1lisis
\nPrincipio de funcionamiento del sistema Encrypted Traffic Analytics (ETA)<\/em><\/p>\n

<\/p>\n

Para responder a estas preguntas, utilizamos el aprendizaje autom\u00e1tico en este sistema. Se toman investigaciones de Cisco y, bas\u00e1ndose en estas investigaciones, se crea una tabla con 2 resultados: tr\u00e1fico malicioso y 'bueno'. Por supuesto, no sabemos con certeza qu\u00e9 tr\u00e1fico lleg\u00f3 al sistema en un momento dado, pero podemos rastrear la historia del tr\u00e1fico tanto dentro de la empresa como fuera de ella, utilizando datos de la arena mundial. Al final de esta etapa, obtenemos una enorme tabla de datos.<\/p>\n

<\/p>\n

Como resultado del estudio, se identifican caracter\u00edsticas distintivas: ciertas reglas que pueden ser expresadas en forma matem\u00e1tica. Estas reglas variar\u00e1n ampliamente seg\u00fan diferentes criterios, como el tama\u00f1o de los archivos transmitidos, el tipo de conexi\u00f3n, el pa\u00eds desde el cual se origina el tr\u00e1fico, etc. Como resultado del trabajo, una gigantesca tabla se ha traducido en un conjunto de f\u00f3rmulas. Se ha reducido su n\u00famero, pero esto no es suficiente para un trabajo c\u00f3modo.<\/p>\n

<\/p>\n

A continuaci\u00f3n, se aplica la tecnolog\u00eda de aprendizaje autom\u00e1tico: la convergencia de la f\u00f3rmula, y a partir de esta convergencia obtenemos un disparador: un interruptor, donde al recibir datos, obtenemos un conmutador (flag) en posici\u00f3n elevada o baja.<\/p>\n

<\/p>\n

La etapa resultante es obtener un conjunto de disparadores que cubran el 99% del tr\u00e1fico.<\/p>\n

<\/p>\n

\"An\u00e1lisis
\nEtapas de verificaci\u00f3n del tr\u00e1fico en ETA<\/em><\/p>\n

<\/p>\n

Como resultado del trabajo, se resuelve otro problema: el ataque interno. Ya no se requieren personas en medio que filtran el tr\u00e1fico manualmente (en este punto me estoy comprometiendo). En primer lugar, ya no es necesario gastar mucho dinero en un administrador de sistemas competente (sigo comprometi\u00e9ndome). En segundo lugar, se elimina el riesgo de hackeo desde dentro (al menos, parcialmente).<\/p>\n

<\/p>\n

\"An\u00e1lisis
\nConcepto obsoleto de Man-in-the-Middle<\/em><\/p>\n

<\/p>\n

Ahora, vamos a analizar sobre qu\u00e9 se basa el sistema.<\/p>\n

<\/p>\n

El sistema opera sobre 4 protocolos de comunicaci\u00f3n: TCP\/IP \u2013 protocolo de transferencia de datos en Internet, DNS \u2013 servidor de nombres de dominio, TLS \u2013 protocolo de protecci\u00f3n de nivel de transporte, SPLT (SpaceWire Physical Layer Tester) \u2013 tester de la capa f\u00edsica de comunicaci\u00f3n.<\/p>\n

<\/p>\n

\"An\u00e1lisis
\nProtocolos que trabajan con ETA<\/em><\/p>\n

<\/p>\n

La comparaci\u00f3n se realiza mediante la correlaci\u00f3n de datos. A trav\u00e9s de los protocolos TCP\/IP, se verifica la reputaci\u00f3n de los sitios (historia de visitas, objetivo de creaci\u00f3n del sitio, etc.), gracias al protocolo DNS, podemos eliminar direcciones de sitios \"malos\". El protocolo TLS trabaja con las \"huellas\" del sitio (fingerprint) y verifica el sitio en la base del grupo de respuesta a emergencias cibern\u00e9ticas (cert). La \u00faltima etapa de verificaci\u00f3n de la conexi\u00f3n es la comprobaci\u00f3n a nivel f\u00edsico. Los detalles de esta etapa no se detallan, pero la idea es la siguiente: verificaci\u00f3n de las sinusoidales y cosenoidales de las curvas de transmisi\u00f3n de datos en instalaciones oscilogr\u00e1ficas, es decir, gracias a la estructura de la solicitud a nivel f\u00edsico, definimos el objetivo de la conexi\u00f3n.<\/p>\n

<\/p>\n

Como resultado del funcionamiento del sistema, podemos extraer datos de tr\u00e1fico encriptado. A trav\u00e9s del an\u00e1lisis de los paquetes, podemos leer la informaci\u00f3n m\u00e1xima de los campos no encriptados en el paquete. Mediante la inspecci\u00f3n del paquete a nivel f\u00edsico, conoceremos las caracter\u00edsticas del paquete (parcial o completamente). Adem\u00e1s, no debemos olvidar la reputaci\u00f3n de los sitios. Si la solicitud proviene de alguna fuente .onion, no debemos confiar en ella. Para facilitar el trabajo con este tipo de datos, se ha creado un mapa de riesgos.<\/p>\n

<\/p>\n

\"An\u00e1lisis
\nResultado del trabajo de ETA<\/em><\/p>\n

<\/p>\n

Y todo parece estar bien, pero hablemos sobre el despliegue de la red.<\/p>\n

<\/p>\n

Implementaci\u00f3n f\u00edsica de ETA<\/h3>\n

<\/p>\n

Aqu\u00ed surgen una serie de matices y sutilezas. En primer lugar, al crear este tipo de
\nred con software de alto nivel, es necesario recopilar datos. Recoger datos manualmente es completamente
\nexhaustivo, y llevar a cabo un sistema de respuesta resulta ya m\u00e1s interesante. En segundo lugar, los datos
\ndeben ser abundantes, lo que significa que los sensores instalados en la red deben funcionar
\nno solo de manera aut\u00f3noma, sino tambi\u00e9n en un modo finamente ajustado, lo que crea una serie de complejidades.<\/p>\n

<\/p>\n

\"An\u00e1lisis
\nSensores y sistema Stealthwatch<\/em><\/p>\n

<\/p>\n

Instalar un sensor es una cosa, pero configurarlo es una tarea completamente diferente. Para la configuraci\u00f3n de los sensores, existe un conjunto que opera bajo la siguiente topolog\u00eda: ISR = enrutador con integraci\u00f3n de servicios de Cisco (Cisco Integrated Services Router); ASR = enrutador con agregaci\u00f3n de servicios de Cisco (Cisco Aggregation Services Router); CSR = enrutador de servicios en la nube de Cisco (Cisco Cloud Services Router); WLC = controlador de redes LAN inal\u00e1mbricas de Cisco (Cisco Wireless LAN Controller); IE = conmutador industrial Ethernet de Cisco (Cisco Industrial Ethernet); ASA = dispositivo de seguridad adaptativa de Cisco (Cisco Adaptive Security Appliance); FTD = soluci\u00f3n de defensa contra amenazas Cisco Firepower Threat Defense; WSA = dispositivo de protecci\u00f3n del tr\u00e1fico web (Web Security Appliance); ISE = m\u00f3dulo de servicios de identidad (Identity Services Engine)<\/p>\n

<\/p>\n

\"An\u00e1lisis
\nMonitoreo integral teniendo en cuenta cualquier dato de telemetr\u00eda<\/em><\/p>\n

<\/p>\n

Los administradores de red comienzan a tener arritmias por la cantidad de palabras \"Cisco\" en el p\u00e1rrafo anterior. El precio de esta maravilla no es bajo, pero no de eso se trata hoy...<\/p>\n

<\/p>\n

La modelizaci\u00f3n del comportamiento de un hacker se llevar\u00e1 a cabo de la siguiente manera. Stealthwatch rastrea cuidadosamente la actividad de cada dispositivo en la red y es capaz de crear un patr\u00f3n de comportamiento normal. Adem\u00e1s, esta soluci\u00f3n proporciona una comprensi\u00f3n profunda del comportamiento indebido conocido. En el marco de esta soluci\u00f3n se utilizan alrededor de 100 diferentes algoritmos de an\u00e1lisis o reglas heur\u00edsticas que abordan distintos tipos de comportamiento del tr\u00e1fico, como el escaneo, la transmisi\u00f3n de cuadros de alarma desde un nodo, el ingreso al sistema mediante fuerza bruta, la captaci\u00f3n sujeta de datos, la posible fuga de datos, etc. Los eventos de seguridad enumerados caen bajo la categor\u00eda de alerta l\u00f3gica de alto nivel. Algunos eventos de seguridad tambi\u00e9n pueden disparar una alarma por s\u00ed mismos. As\u00ed, el sistema es capaz de correlacionar numerosos incidentes an\u00f3malos aislados y reunirlos para determinar el posible tipo de ataque, as\u00ed como asociarlo a un dispositivo espec\u00edfico y a un usuario (figura 2). Posteriormente, el incidente puede ser estudiado en din\u00e1mica y considerando los datos de telemetr\u00eda relacionados. Esto constituye informaci\u00f3n contextual en su mejor forma. Los m\u00e9dicos que examinan a un paciente para entender qu\u00e9 ocurri\u00f3 no consideran los s\u00edntomas de manera aislada. Estudian el panorama general para llegar a un diagn\u00f3stico. De manera similar, Stealthwatch registra cada actividad anormal en la red y la analiza en conjunto para emitir se\u00f1ales de alarma considerando el contexto, ayudando as\u00ed a los especialistas en seguridad a priorizar los riesgos.<\/p>\n

<\/p>\n

\"An\u00e1lisis
\nDetecci\u00f3n de anomal\u00edas mediante modelizaci\u00f3n del comportamiento<\/em><\/p>\n

<\/p>\n

El despliegue f\u00edsico de la red se ve as\u00ed:<\/p>\n

<\/p>\n

\"An\u00e1lisis
\nOpci\u00f3n de despliegue de red para una red de sucursal (simplificada)<\/em><\/p>\n

<\/p>\n

\"An\u00e1lisis
\nOpci\u00f3n de despliegue de red para una red de sucursal<\/em><\/p>\n

<\/p>\n

La red est\u00e1 desplegada, pero queda la cuesti\u00f3n abierta sobre la red neuronal. Se organiz\u00f3 una red de transmisi\u00f3n de datos, se instalaron sensores en los umbrales y se puso en marcha un sistema de recopilaci\u00f3n de informaci\u00f3n, pero la red neuronal no particip\u00f3 en el proceso. Por ahora.<\/p>\n

<\/p>\n

Red neuronal de m\u00faltiples capas<\/h3>\n

<\/p>\n

El sistema analiza el comportamiento del usuario y del dispositivo para detectar infecciones maliciosas, comunicaciones con servidores de comando, filtraciones de datos y aplicaciones potencialmente no deseadas que operan en la infraestructura de la organizaci\u00f3n. Existen varios niveles de procesamiento de datos en los que la combinaci\u00f3n de m\u00e9todos de inteligencia artificial, aprendizaje autom\u00e1tico y estad\u00edstica matem\u00e1tica ayuda a la red a autoaprender su actividad normal, para que pueda identificar actividades maliciosas.<\/p>\n

<\/p>\n

El pipeline de an\u00e1lisis de seguridad de la red, que recopila datos de telemetr\u00eda de todas las partes de la red ampliada, incluyendo el tr\u00e1fico cifrado, es una caracter\u00edstica \u00fanica de Stealthwatch. Formulando gradualmente una comprensi\u00f3n de lo que es 'an\u00f3malo', luego clasifica los elementos individuales de 'actividad amenazante' y, finalmente, toma una decisi\u00f3n final respecto a si el dispositivo o el usuario han sido realmente comprometidos. La capacidad de reunir peque\u00f1as piezas que, juntas, forman evidencia para tomar una decisi\u00f3n final sobre el compromiso del objeto se logra gracias a un an\u00e1lisis y correlaci\u00f3n muy cuidadosos.<\/p>\n

<\/p>\n

Esta capacidad es muy importante, ya que una empresa est\u00e1ndar puede recibir una enorme cantidad de alertas diariamente, y no es posible investigar cada una de ellas, dado que los recursos de los especialistas en seguridad son limitados. El m\u00f3dulo de aprendizaje autom\u00e1tico procesa una cantidad inmensa de informaci\u00f3n pr\u00e1cticamente en tiempo real para identificar incidentes cr\u00edticos con un alto nivel de confianza, y tambi\u00e9n es capaz de sugerir un orden claro de acciones para una respuesta r\u00e1pida.<\/p>\n

<\/p>\n

Analicemos m\u00e1s a fondo los numerosos m\u00e9todos de aprendizaje autom\u00e1tico utilizados por Stealthwatch. Cuando un incidente es enviado al m\u00f3dulo de aprendizaje autom\u00e1tico de Stealthwatch, pasa por un embudo de an\u00e1lisis de seguridad, donde se utiliza una combinaci\u00f3n de m\u00e9todos de aprendizaje autom\u00e1tico supervisado y no supervisado.<\/p>\n

<\/p>\n

\"An\u00e1lisis
\nCapacidades de aprendizaje autom\u00e1tico en m\u00faltiples niveles<\/em><\/p>\n

<\/p>\n

Nivel 1. Detecci\u00f3n de anomal\u00edas y modelado de confianza<\/h3>\n

<\/p>\n

En este nivel, se descarta el 99 % del tr\u00e1fico mediante detectores de anomal\u00edas estad\u00edsticos. Estos sensores juntos forman modelos complejos de lo que es normal y lo que, por el contrario, es an\u00f3malo. Sin embargo, lo an\u00f3malo no necesariamente es malicioso. Muchas de las actividades en su red no est\u00e1n relacionadas con una amenaza, simplemente son inusuales. Es importante clasificar tales procesos sin considerar el comportamiento amenazante. Por esta raz\u00f3n, los resultados de estos detectores pasan por un an\u00e1lisis adicional para registrar comportamientos extra\u00f1os que puedan explicarse y en los que se pueda confiar. Al final, solo una peque\u00f1a fracci\u00f3n de los flujos y solicitudes m\u00e1s importantes pasa a los niveles 2 y 3. Sin estos m\u00e9todos de aprendizaje autom\u00e1tico, los costos operativos para separar la se\u00f1al del ruido ser\u00edan demasiado altos.<\/p>\n

<\/p>\n

Detecci\u00f3n de anomal\u00edas.<\/strong> En la primera etapa de la detecci\u00f3n de anomal\u00edas, se utilizan m\u00e9todos estad\u00edsticos de aprendizaje autom\u00e1tico para separar el tr\u00e1fico estad\u00edsticamente normal del an\u00f3malo. M\u00e1s de 70 detectores separados procesan los datos de telemetr\u00eda recopilados por Stealthwatch sobre el tr\u00e1fico que pasa por el per\u00edmetro de su red, separando el tr\u00e1fico interno del sistema de nombres de dominio (DNS) y los datos de un servidor proxy, si los hay. Cada solicitud es procesada por m\u00e1s de 70 detectores, cada uno utilizando su propio algoritmo estad\u00edstico, generando una evaluaci\u00f3n de las anomal\u00edas detectadas. Estas evaluaciones se combinan, y como resultado de aplicar varios m\u00e9todos estad\u00edsticos, se obtiene una \u00fanica evaluaci\u00f3n para cada solicitud individual. Luego, esta evaluaci\u00f3n combinada se utiliza para separar el tr\u00e1fico normal del an\u00f3malo.<\/p>\n

<\/p>\n

Modelado de la confianza.<\/strong> A continuaci\u00f3n, se agrupan solicitudes similares y la evaluaci\u00f3n acumulativa de anomal\u00edas para dichos grupos se determina como el promedio a largo plazo. Con el tiempo, se analiza una mayor cantidad de solicitudes con la posterior determinaci\u00f3n del promedio a largo plazo, lo que permite reducir las falsas positivas y negativas. Los resultados de la modelizaci\u00f3n de la confianza se utilizan para seleccionar un subconjunto de tr\u00e1fico cuya evaluaci\u00f3n de anomal\u00edas supera un umbral din\u00e1micamente definido, para moverlo al siguiente nivel de procesamiento.<\/p>\n

<\/p>\n

Nivel 2. Clasificaci\u00f3n de eventos y modelado de objetos<\/h3>\n

<\/p>\n

En este nivel se realiza la clasificaci\u00f3n de los resultados obtenidos en las etapas anteriores, asignando estos a eventos maliciosos espec\u00edficos. La clasificaci\u00f3n de eventos se lleva a cabo seg\u00fan el valor asignado por los clasificadores de aprendizaje autom\u00e1tico con el fin de garantizar un \u00edndice de precisi\u00f3n constante superior al 90%. Estos incluyen:<\/p>\n

<\/p>\n