ALGORITMO PARA DOTAR DE PROACTIVIDAD A UN SISTEMA DE RESPUESTA AUTOMÁTICO A INTRUSIONES EN REDES INFORMÁTICAS USANDO MODELOS OCULTOS DE MARKOV Y PROGRAMACIÓN EVOLUTIVA

Abstract

La seguridad de la información dentro de una organización se ha convertido en una necesidad importante y cada vez más creciente. Debido al continuo incremento en la complejidad y sofisticación de los ataques cibernéticos y actividades maliciosas, el aumento de su velocidad de difusión y la lentitud de reacción frente a las intrusiones existentes en la actualidad, surge la necesidad de implementar mecanismos de detección y respuesta a intrusiones, que detecten y además sean capaces de bloquear el ataque, y mitiguen su impacto en la medida de lo posible. Muchos componentes de seguridad se pueden instalar como parte de la arquitectura de una red informática (IDS, IPS, IRS, firewall, etc.) de tal manera que se pueda monitorear todos los eventos en la red. Uno de los componentes de seguridad de mayor investigación en los últimos años son los Sistemas de Respuesta Automática frente a Intrusiones (AIRS), cuya característica deseable es la proactividad la cual consiste en la capacidad del sistema de reaccionar frente a una intrusión antes de que está comprometa al recurso objetivo llegando incluso a la capacidad de prever la ocurrencia de la intrusión y actuar en consecuencia intentando controlarlo y prevenirlo mediante la ejecución de una acción de respuesta, sin embargo esta característica aun es deseable en los IRS existentes. Este trabajo de tesis hace frente al problema existente y propone una arquitectura proactiva para un AIRS, basado en el consumo de ancho de banda de red utilizado en la Municipalidad Distrital de Chongoyape. Se determina en primera instancia el modelo de comportamiento normal del consumo de ancho de banda, de acuerdo a los datos obtenidos en el centro de cómputo de dicha entidad. El modelo generado se utiliza en la detección de anomalías o variaciones en el consumo de ancho de banda de la red. La presencia de una anomalía indicara si se está haciendo mal uso de la red (presencia de virus, gusanos, denegación de servicio, etc.), para su diseño se propone el uso de Modelos Ocultos de Markov (HMM), los cuales serán optimizados de manera automática utilizando la programación evolutiva, las variables a utilizar principalmente serán la de consumo de ancho de banda de red de entrada y la de consumo de ancho de red de salida, pero cabe destacar que el sistema está diseñado para analizar dos o más métricas del comportamiento del sistema. Los resultados preliminares del experimento indican que la arquitectura propuesta es eficiente para el monitoreo de anomalías o intrusiones en tiempo real y que identifica perfectamente anomalías que puedan poner en peligro la red.