Generación automática de eventos de ciberinteligencia en MISP a partir del análisis heurístico avanzado de correos capturados en un honeypot

Abstract

[ES] El acelerado incremento de la era digital ha traído consigo una ingente cantidad de datos e información personal muy valiosa para los ciberdelicuentes. Es por ello por lo que muchos ciberdelicuentes emplean diversas técnicas de ataque, ya sea mediante ingeniería social, phishing o el envío de correos que contienen algún tipo de malware (malspam). El objetivo de este trabajo es la detección y aprendizaje de estas técnicas de ataque realizadas a una cuenta de correo electrónico honeypot, registrada en Internet. La idea principal del proyecto es el análisis de correos electrónicos recibidos en esta cuenta, mediante un script escrito en Python, que permita el análisis y clasificación automática de los correos recibidos. Asimismo, en el caso de que el correo sea clasificado como malicioso, el programa realiza una extracción de los indicadores de compromiso (IOCs). Los IOCs extraídos serán utilizados para la generación de eventos de inteligencia en la plataforma MISP (Malware Information Sharing Platform), con el objetivo de poder utilizar esta inteligencia durante el análisis de alertas e incidentes de seguridad, así como su compartición con otros organismos y organizaciones interconectadas.

[EN] The rapid increase of the digital age has brought with it an enormous amount of data and personal information that is very valuable to cybercriminals. This is why many cybercriminals use various attack techniques, either through social engineering, phishing or sending emails containing some kind of malware (malspam). The aim of this work is the detection and learning of these attack techniques carried out on a honeypot email account, registered on the Internet. The main idea of the project is the analysis of e-mails received in this account, by means of a script written in Python, which allows the analysis and automatic classification of the e-mails received. Also, in the event that the mail is classified as malicious, the programme extracts the indicators of compromise (IOCs). The extracted IOCs will be used to generate intelligence events in the MISP (Malware Information Sharing Platform), with the aim of being able to use this intelligence during the analysis of alerts and security incidents, as well as sharing it with other interconnected bodies and organisations.