Aplicación de técnicas de Machine Learning al Threat Hunting

Abstract

[CA] Hui en dia per poder realitzar una seguretat proactiva front les amenaces es molt important disposar d’esepecialistes en el que es denomina com Threat Hunting (caça d’amenaces). En aquesta técnica de protecció es busca detectar patrons d’atac desconeguts f ins el moment, analitzar-los i mitigar l’impacte d’aquestos el máxim posible. Un dels majors inconvenients del Threat Hunting es que els analistes deuen processar gran quantitat de dades a l’hora per poder detectar una potencial amenaça. No únicament això, molts dels incidents de seguretat descartats son repetitius i segueixen un patró específ ic, el que pot ocasionar que l’analista automatitze el procés i quan arrive una amenaça reial molt pareguda a dit comportament la considere benigna pel simple fet de la similitus al comportament ja automatitzat. Donada aquesta problemàtica, es deuen buscar solucions que ajuden als especialistes a realitzar el seu treball. En aquest document es busca una forma de tractar el problema anteriorment detallat. En aquest cas en particular, serà neccesari que l’analista tinga unes nocions bàsiques de les distintes técniques de Machine Learning (ML, o aprenentage automàtic eb valencià). Aquesta solució es basa en una aplicació gràfica en la que, una volta s’han combinat un conjunt d’algoritmes de Machine Learning en un ordre específic, es consegueix automatitzar els procesos repetitius a realizar pels especialistes, conseguint que aquestos siguen capaços de centrar-se en la detecció de amenaçes potencials reials.

[ES] Hoy en día, para poder realizar una seguridad proactiva frente a las amenazas es muy importante disponer de especialistas en lo que se denomina como Threat Hunting (caza de amenazas). En esta técnica de protección se busca detectar patrones de ataque desconocidos hasta la fecha, analizarlos y mitigar el impacto de éste lo máximo posible. Uno de los mayores inconvenientes del Threat Hunting es que los analistas deben procesar gran cantidad de datos a la hora para poder detectar una amenaza potencial. No solo eso, muchos de los incidentes de seguridad descartados son repetitivos y siguen un patrón específico, con lo que el analista puede llegar a automatizar el proceso y cuando llegue una amenaza real muy parecida a dicho comportamiento considerarla benigna por el mero hecho de la similitud con dicho comportamiento ya automatizado. Dada esta problemática, se deben buscar soluciones que ayuden a los especialistas a realizar su trabajo. En este documento se busca una forma de tratar este problema. En este caso en particular, será necesario que el analista tenga unas nociones básicas de las distintas técnicas de Machine Learning (ML, o aprendizaje automático en castellano). Esta solución se basa en una aplicación gráfica en la que, tras haber combinado un conjunto de algoritmos de ML en un orden específico, se automatizan los procesos repetitivos a realizar por los especialistas, con lo que estos son capaces de centrarse en la detección de verdaderas amenazas potenciales.

[EN] Nowadays, in order to be able to provide proactive security against threats, it is very important to have specialists in what is known as threat hunting. This protection technique seeks to detect previously unknown attack patterns, analyze them and mitigate their impact as much as possible. One of the major drawbacks of threat hunting is that analysts must process a large amount of data per hour in order to detect a potential threat. Not only that, many of the discarded security incidents are repetitive and follow a specific pattern, so that the analyst can automate the process and when a real threat arrives which is very similar to this behavior, consider it benign just because of its similarity to the already automated behavior. Given this problem, solutions must be sought to help specialists do their job. This work looks for a way to deal with this problem. In this particular case, it will be necessary for the analyst to have some basic knowledge of the different machine learning techniques. This solution is based on a graphical application in which, after having combined a set of machine learning algorithms in a specific order, the repetitive processes to be performed by the specialists are automated, so that they are able to focus on the detection of real potential threats.