CyberFold: análisis visual de ciberseguridad

Un equipo de seguridad que vigila una red recibe miles de alertas al día. La mayoría son falsas alarmas; unas pocas, no. Distinguirlas a mano es imposible.

CyberFold es un proyecto estratégico de INCIBE, financiado con fondos del Plan de Recuperación, en el que un grupo de investigación de la Universidad Rey Juan Carlos estudia cómo aplicar manifold learning a la detección de intrusiones y anomalías. La idea es aprender la forma que tiene el tráfico normal de una red, representándolo en pocas dimensiones, para ver qué se sale de ella.

Los resultados del grupo estaban en artículos científicos. Para validarlos fuera del laboratorio necesitaban algo que se pudiera usar, y ahí entramos nosotros: diseñar y construir la plataforma.

El reto

• Varias líneas de investigación, una herramienta. Anomalías en dispositivos conectados (IoT), en redes industriales y reducción de falsas alarmas en sistemas de detección de intrusiones.
• Personas que no son expertas en aprendizaje automático. Quien usa la herramienta conoce bien su red, pero no tiene por qué conocer los algoritmos. La interfaz tenía que explicar las cosas sin abrumar.
• Datos sensibles. El tráfico de red de una empresa no puede salir de sus instalaciones.

Qué hicimos

Empezamos por la interfaz. Con prototipos navegables, validamos con el grupo cada paso del flujo antes de escribir el producto. Después diseñamos y desarrollamos la plataforma completa:

• Preparar modelos a partir de tráfico de referencia de cada red.
• Monitorizar el tráfico y ver de un vistazo qué se aleja de lo normal y por qué.
• Revisar alertas para decidir cuáles merecen atención y cuáles son falsas alarmas.

También escribimos el guion del vídeo de demostración y la documentación de uso.

Resultados

• Una plataforma que reúne las líneas de investigación del proyecto en una sola herramienta.
• Una demo y un vídeo con los que el grupo enseña su trabajo a quien puede usarlo.
• Más información sobre el proyecto en cyberfold.es.