Sistemas de detección de intrusos mediante modelado de URI

Abstract

Cada vez son más las actividades diarias que dependen del uso de las redes de computadoras, en especial del uso del Internet y sus servicios. El acceso a los datos y a la información cada vez cobra mayor relevancia, desde la lectura de los periódicos, hasta las compras de diversos productos y servicios por la red. Esto ha dado pie a que cada día surjan nuevas amenazas o ataques cibernéticos que pueden alcanzar elevados niveles de peligrosidad y con un potencial alto impacto. Así, acciones como el robo de datos, la suplantación de identidad, la intrusión a equipos de cómputo y redes de computadoras, al igual que otras de muy diversa naturaleza, ponen en riesgo las operaciones diarias de cualquier persona o institución. En este contexto se desarrollan herramientas informáticas y procedimientos cuya finalidad es mitigar o anular cualquier amenaza que ponga en riesgo las operaciones en la red y/o la seguridad de los sistemas y los usuarios. Entre estas podemos mencionar algunas como los analizadores de vulnerabilidades, los antivirus, los cortafuegos o los sistemas de detección de intrusos, que abordan la seguridad desde diferentes enfoques tanto preventivos, como de detección y respuesta. Motivados por ayudar a minimizar el riesgo asociado a las intrusiones o ataques a los recursos de una red de computadores, surge el presente trabajo, centrado en los sistemas de detección de intrusiones. Así, este tiene como objetivo principal el desarrollo de mejoras a un sistema de detección de intrusos en red basado en el modelado de los mensajes intercambiados por un protocolo de comunicaciones. Este sistema, denominado SSM (del inglés, Structural Stochastic Model), utiliza el modelado de Markov para representar las cargas útiles asociadas a protocolos basados en el paso de mensajes. En particular, sus autores mostraron su operación con éxito para la detección de ataques basados en web, es decir, que utilicen el protocolo HTTP para transportar cargas útiles maliciosas. El sistema resultante es un detector de intrusos basado en anomalías, ya que la detección se realiza a partir del análisis de las desviaciones de dichas cargas útiles respecto del modelo de normalidad establecido.