Avanzando en la seguridad de redes con un nuevo modelo predictivo

Detectar actividades dañinas en una Red de computadoras es clave para mantener la seguridad. Una forma de lograr esto es predecir conexiones futuras basándonos en comunicaciones pasadas entre diferentes computadoras. En pocas palabras, observamos cómo se comunican las computadoras a lo largo del tiempo y tratamos de adivinar qué conexiones podrían pasar después. Sin embargo, los métodos tradicionales a menudo se quedan cortos cuando se trata de monitorear estas redes porque no consideran los patrones únicos de Actividad que pueden cambiar rápidamente.

En muchos entornos de oficina, la actividad de la red puede cambiar drásticamente en un corto período. Por ejemplo, los patrones de comunicación pueden variar mucho de día a noche o cuando los empleados están en sus descansos. Para crear un mejor modelo para estos cambios, sugerimos descomponer la actividad de la red en diferentes Fuentes que representen varios tipos de acciones, como comunicaciones entre empleados, tareas de mantenimiento o funciones automatizadas del sistema. Cada tipo de actividad tiene su propio impacto en cómo se comporta la red.

#El Problema con los Métodos Actuales

Los métodos actuales para predecir conexiones futuras principalmente utilizan técnicas desarrolladas para analizar redes sociales. Estas redes sociales suelen tener patrones de interacción diferentes a los que vemos en redes empresariales. En un entorno laboral, las actividades pueden variar mucho en poco tiempo, lo que a menudo lleva a predicciones engañosas si solo nos basamos en estos Modelos de redes sociales.

Por ejemplo, durante las horas laborales, puede haber mucha comunicación interna, mientras que fuera de esas horas, el tráfico puede caer drásticamente. Esta fluctuación requiere un enfoque diferente para analizar estas redes de manera precisa. Nuestra hipótesis es que en cualquier momento dado, la actividad observada en la red es en realidad una combinación de varias fuentes, y la forma en que estas fuentes interactúan puede cambiar con el tiempo.

#Enfoque de Separación de Fuentes

Basándonos en esta idea, introducimos un método donde tratamos la actividad de la red de computadoras como un problema de separación de fuentes. En lugar de solo mirar las redes en su conjunto, nuestro objetivo es identificar fuentes individuales de actividad y cómo contribuyen a la imagen general. Esto significa que nuestro modelo aprenderá no solo cómo se mezclan las diferentes actividades, sino también cómo su importancia cambia con el tiempo.

Creemos que usar menos fuentes de actividad, pero más definidas, hace que nuestro modelo sea más simple y fácil de manejar. Esta simplicidad podría beneficiarnos en varias formas, incluyendo mayor confiabilidad y una mejor comprensión de los patrones de actividad que observamos.

#Introduciendo el Modelo

Hemos desarrollado un modelo llamado Factorización de Matrices No Negativas Superpuestas (SNMF). Este modelo descompone la actividad de la red en varias fuentes, permitiendo una visión más clara de cómo diferentes actividades contribuyen a los patrones de comunicación generales. Nuestro modelo también predice la actividad futura al enfocarse en un conjunto más pequeño de parámetros que reflejan la significancia de cada fuente.

Este enfoque puede llevar a un mejor rendimiento en dos áreas: predecir qué conexiones futuras se formarán y detectar cualquier actividad inusual que pueda señalar una amenaza a la seguridad.

#Cómo Funciona el Modelo

Para entrenar nuestro modelo, usamos datos del mundo real de una red de computadoras. Estos datos están organizados en un conjunto de gráficos, donde cada gráfico representa conexiones dentro de un marco de tiempo específico. El objetivo es entrenar el modelo para reconocer patrones normales de comunicación e identificar cualquier anomalía que podría indicar un evento de seguridad.

Cuando aplicamos nuestro modelo a nuevos datos, calculamos puntuaciones para cada conexión potencial basadas en lo que el modelo aprendió durante el entrenamiento. Las conexiones que se consideran inusuales o inesperadas recibirán una puntuación más alta, señalando así la posibilidad de actividad maliciosa.

#Validando Nuestro Modelo

Para probar qué tan bien funciona nuestro modelo, realizamos una serie de experimentos. El primero tenía como objetivo evaluar si nuestra idea sobre fuentes distintas de actividad es válida. Usamos un conjunto de datos que simulaba el tráfico de red en una empresa. Al analizar las fuentes que el modelo identificó, pudimos determinar si se alineaban con nuestro entendimiento de las funciones de la red.

Los resultados fueron prometedores. Descubrimos que nuestro modelo podía identificar con éxito diferentes patrones de actividad que correspondían con el comportamiento del mundo real en la red. Por ejemplo, observamos un cambio claro en los patrones de comunicación antes y después de un ataque a la red, confirmando su capacidad para detectar eventos significativos.

#Evaluación del Rendimiento

Luego, probamos qué tan bien funcionó nuestro modelo en detectar Anomalías y predecir conexiones futuras. Para esto, utilizamos un conjunto de datos recopilado de una red empresarial durante varias semanas. El conjunto de datos incluía varios incidentes donde atacantes intentaron vulnerar la seguridad de la red.

Al comparar nuestro modelo con otros métodos existentes, SNMF superó constantemente a los demás, especialmente en la detección de actividades inusuales. Esto es importante porque identificar acciones maliciosas es el objetivo principal de cualquier sistema de seguridad.

También analizamos cómo nuestro modelo sobresalió en distinguir entre conexiones normales y aquellas que no eran típicas. Quedó claro que cuanto más específicas eran nuestras fuentes de actividad, mejor podía nuestro modelo predecir y evaluar el estado de seguridad de la red.

#Perspectivas Obtenidas

A partir de nuestros hallazgos, hemos sacado varias conclusiones clave. Primero, las redes de computadoras muestran patrones específicos que son distintos de las redes sociales u otros tipos de datos. Estas dinámicas únicas resaltan la necesidad de modelos personalizados que se adapten mejor a las complejidades del comportamiento de la red.

Además, encontramos que modelos más simples podrían, a menudo, producir resultados más confiables. Esta simplicidad permite que el modelo evite el sobreajuste, donde se vuelve demasiado complejo y, por lo tanto, lucha por generalizar a nuevos datos.

#Direcciones Futuras

Aunque nuestro modelo ha mostrado un gran potencial, todavía hay áreas para mejorar. Por ejemplo, las redes de computadoras generan una rica variedad de datos más allá de solo registros de comunicación. Trabajos futuros podrían incorporar factores adicionales, como cuentas de usuario o tipos de protocolos utilizados.

Además, en este momento, nuestro modelo se enfoca principalmente en cambios a corto plazo en la red. Sin embargo, reconocemos que los patrones a largo plazo también juegan un papel crucial en el análisis de la red. Abordar esto podría involucrar actualizar regularmente el modelo para tener en cuenta el comportamiento en evolución de la red o incorporar factores externos como nuevas aplicaciones o cambios en los roles de los usuarios.

Al refinar nuestro enfoque e integrar más tipos de datos, podemos mejorar aún más nuestra capacidad para monitorear y asegurar redes de computadoras de manera efectiva.

#Conclusión

En conclusión, nuestro enfoque para modelar la actividad de la red de computadoras como una combinación de fuentes distintas ha mostrado resultados prometedores. A través del uso del modelo SNMF, podemos predecir mejor las conexiones futuras y detectar actividades inusuales que podrían comprometer la seguridad. Nuestros hallazgos subrayan la importancia de modelos personalizados al monitorear entornos complejos y sugieren que la simplicidad puede llevar a resultados más efectivos en la detección de anomalías. El futuro del monitoreo de redes se ve brillante, con muchas avenidas aún por explorar y mejorar.