La Gestión de Eventos e Información de Seguridad (Security Information and Event Management - SIEM) está cada vez más implantada en las organizaciones, debido a la importancia que en los últimos años está adquiriendo la seguridad en los Sistemas Informáticos. Estos sistemas proporcionan información muy útil sobre eventos relacionados con la seguridad y con potenciales amenazas de riesgos y vulnerabilidades, ayudando en la detección de conductas inusuales, generando alertas, y siendo capaces de monitorizar e incluso predecir comportamientos futuros. La Gestión de Eventos de Seguridad (SEM) tiene que ver con la monitorización y correlación de eventos de seguridad en tiempo real, mientras que la Gestión de Información de Seguridad (SIM) procesa esos datos, almacena, analiza y genera informes. Cuando los datos provienen de múltiples fuentes es fundamental gestionar adecuadamente el proceso de extracción, transformación y carga (ETL). Este proceso es crítico, ya que es muy posible que se utilicen varias soluciones, desde diferentes perspectivas de seguridad.

1. EXTRACCIÓN DE CONOCIMIENTO A PARTIR DE FUENTES DE DATOS
PROCEDENTES DE LA MONITORIZACIÓN DE EVENTOS DE SEGURIDAD
Andrés Caro
1

2. $whoami
Andrés Caro
2
• Profesor Titular de Universidad – Universidad de Extremadura
• Área Lenguajes y Sistemas Informáticos
• Doctor e Ingeniero en Informática
• Director Cátedra ViewNext‐UEx Seguridad y Auditoría de Sistemas Software
• Grados de Ingeniería en Informática
• Ingeniería de Computadores
• Ingeniería del Software
• Máster en Ingeniería Informática
• Organización de cursos / jornadas
• I Foro CIBER (noviembre 2016) y II Foro CIBER (marzo 2018)
• Curso Experto Profesional Derecho Tecnológico e Informática Forense
• Hacking ético – Seguridad informática
• LOPD – ENS
• Peritaje – Informática forense
• Cibercooperante
@_AndresCaro_
andresc@unex.es 2

3. SOC (CENTRO DE OPERACIONES DE CIBERSEGURIDAD)
3
3
01
SOC
Desarrollo
02
03

4. SIEM (Security Information and Event Management)
Necesidad: Gestión de Eventos e Información de Seguridad
Servidores
Antivirus
Firewall
Red
Proxy
Acceso remoto
WiFi
LDAP
SIEM
¿Qué monitoriza un SIEM?
4

5. SIEM COMERCIALES
5

6. STRIDE
Suplantación de Identidad (autenticación de sistemas)
Manipulación de información (integridad de datos)
Repudio
Divulgación de Información
Denegación de Servicio
Escalada de Privilegios
6

7. SISTEMA DE EXTRACCIÓN DE CONOCIMIENTO SIEM
7

8. STRIDE
8

9. FASE 1: PREPROCESADO Y FORMATEO DE DATOS
Empresa media:
1.000 eventos/segundo
86 millones de eventos/día
ANONIMIZACIÓN
10.000 TUPLAS/ARCHIVO
Formato CSV y subestructura interna SYSLOG
9

10. AMENAZAS
AMENAZAS AMENAZAS
AMENAZAS AMENAZAS
AMENAZAS AMENAZAS
AMENAZAS AMENAZAS
AMENAZAS AMENAZAS
AMENAZAS
FASE 2: CATEGORIZACIÓN Y CLASIFICACIÓN DE AMENAZAS
S T IR D E
Intentos de login fallido en
PC, WiFi, correo, etc.
X X
Falsificar mensaje correo
electrónico
X X
Miles de peticiones a un
recurso no autorizado
intentando obtener
privilegios de administrador
X X X

11. FASE 3: ANÁLISIS DE DATOS
Árboles de Decisión
J48 / C4.5
Random Forest
Random Tree
Modelos Bayesianos
Naive Bayes
Bayes Net
Redes Neuronales
LibSVM
Agrupamiento (Clustering)
SimpleKMeans
11

12. FASE 3: ANÁLISIS DE DATOS
12

13. FASE 3: ANÁLISIS DE DATOS
86millones
DE EVENTOS/DIA
POR SIEM
Filtrados + Clasificados STRIDE
Minería de datos
J48
Naive Baye
Random Forest
Random Tree
Bayes Net
LibSVM
SimpleKMeans
13

14. FASE 3: ANÁLISIS DE DATOS
Minería de datos
J48
Naive Baye
Random Forest
Random Tree
Bayes Net
LibSVM
SimpleKMeans
Conductas extrañas
Clustering
=
=
Predicción
Clasificación
14

15. FASE 4: VALIDACIÓN DE RESULTADOS
PREDECIR FUTURAS AMENAZAS
PREDECIR FALSOS POSITIVOS
ANTICIPARSE A CIBERATAQUES
15

16. FASE 4: VALIDACIÓN DE RESULTADOS
Efectividad entre la criticidad propuesta (STRIDE) y la del proveedor de Antivirus
16

17. FASE 4: VALIDACIÓN DE RESULTADOS
Efectividad entre la categorías de STRIDE de Antivirus
17

18. FASE 4: VALIDACIÓN DE RESULTADOS
Efectividad entre la categorías de STRIDE balanceadas de Antivirus
18

19. CONCLUSIONES
Completo Sistema
• Monitorización de Eventos e Información de Seguridad
Mismas fuentes de datos que SIEM Q-Radar
• resultados similares
Modelo propuesto:
• completar y complementar la monitorización proporcionada
por modelos comerciales
• permite la predicción de conductas de riesgo para anticipar
respuestas ante estas situaciones
19

20. GRACIAS POR SU ATENCIÓN
20
@_AndresCaro_
andresc@unex.es 20