Hace treinta años James P. Anderson¹ estableció el concepto de Sistema de Deteccion de Intrusos, hoy más conocido como IDS, en su artículo “Computer Security Threat, Monitoring and Surveillance”. En él se invitaba a que se registrase el acceso de los usuarios al sistema, para así poder saber qué es lo que había ocurrido en él. La detección de intrusos² es el acto de percibir acciones que persiguen o puedan comprometer la confidencialidad, integridad o disponibilidad de una fuente o servicio de información. La detección puede hacerse manualmente o de modo automático y cuando es el sistema el que toma medidas reactivas sin necesitar de la intervención humana, entonces hablamos de un Sistema de Prevención de Intrusiones (IPS).
En 1986, Dorothy E. Denning y Peter G. Neumann publicaron un modelo³ de IDS que constituye todavía hoy la base de muchos de los que rondan por el mercado. Su esencia es estadística y consiste en la detección de anomalías⁴ o comportamientos no homogéneos que son patrones que aparecen en un conjunto de datos y que no son compatibles con lo que se define como un “comportamiento normal”. Hay tres enfoques distintos en la detección de anomalías. Por un lado, las técnicas de detección supervisada, en las que al sistema detector se le enseña con ejemplos qué es normal y qué no es normal o anómalo, y luego éste se dedica a etiquetar comportamientos similares cuando los ve. También hay sistemas semi-supervisados en los que, a partir de un conjunto de entrenamiento, se construye un modelo de lo que es normal y luego se mide el grado de ajuste que hay entre lo que se detecta y el modelo de normalidad. Por último, también hay sistemas no supervisados, en los que anomalía es cualquier cosa que se desvíe demasiado del comportamiento mayoritario.

Treinta años de IDSs han sido suficientes para ver qué dan de sí las reglas lógicas, los modelos de normalidad, los sistemas expertos, las redes de neuronas y demás instrumentos de la Inteligencia Artificial. Lo que realmente se ha conseguido son sistemas reales demasiado nerviosos y que saltan por cualquier cosa, sistemas que, cuando se les exige un poco, desarrollan comportamientos paranoicos y psicóticos.

El modelo de Denning dio lugar a un IDS primigenio que se llamó Intrusion Detection Expert System (IDES) y que se basaba en un sistema experto definido por reglas, que perseguía detectar tipos conocidos de intrusión, y en un componente estadístico basado en perfiles de ususarios y sistemas. Más tarde se propuso incluir las redes de neuronas como tercer componente. En 1993 esa misma idea continuó con el Next-generation Intrusion Detection Expert System (NIDES)⁵.
Ademas de esta iniciativa hubo muchas otras, como son el Multics Intrusion Detection and Alerting System (MIDAS), desarrollado en 1988; el Haystack⁶, o el Wisdom & Sense⁷ desarrollado en Los Alamos National Laboratory. En el año 1990, la Time-based Inductive Machine (TIM) introduce el aprendizaje inductivo⁸ a partir de ejemplos en el mundo de los IDSs.
Por otra parte, el Network Security Monitor (NSM) utilizaba matrices de acceso para detectar anomalías, y el Information Security Officer’s Assistant⁹ (ISOA) fue un prototipo que reunía una amplia variedad de estrategias estadísticas, de identificación de perfiles y de sistemas expertos. El ComputerWatch¹⁰ de AT&T utilizaba estadísticas y reglas para reducir los datos primarios y para la detección de intrusiones, y de esa misma época son el Distributed Intrusion Detection System (DIDS), y el Network Anomaly Detection and Intrusion Reporter (NADIR).
Treinta años de IDSs han sido suficientes para ver qué dan de sí las reglas lógicas, los modelos de normalidad, los sistemas expertos, las redes de neuronas y demás instrumentos de la Inteligencia Artificial. Lo que realmente se ha conseguido son sistemas reales demasiado nerviosos y que saltan por cualquier cosa, sistemas que, cuando se les exige un poco desarrollan comportamientos paranoicos y psicóticos. Quizás estas propuestas puedan detectar eficientemente disfunciones en el sistema, pero lo que no logran distinguir son las pautas de ataque de operadores humanos pacientes y bien entrenados. La alta tasa de falsos positivos ha llevado a muchos IDSs a pasarse más tiempo apagados o en mantenimiento que en operación, pero siempre ajustados en niveles de alerta muy bajos para no molestar demasiado.

Los SEMs se distinguen de los simples gestores y recolectores de logs en que aquellos permiten un mayor detalle en el análisis del evento al acompañarlo de información contextual, como pueden ser los datos de la máquina, la información sobre la identidad de cuentas, usuarios y procesos... En principio, la existencia de este contexto haría posible que, de saber cómo hacerlo, se estableciesen mejores correlaciones que permitirían componer mejores y más precisos informes de situación.

SEM

Como evolución de la misma idea que representan los IDS aparecen los Security Event Managers (SEM), que son herramientas colocadas en las redes empresariales y que se encargan de centralizar el almacenamiento e interpretación de logs o eventos generados por otras aplicaciones software, ejecutándose en esa misma red. La idea de los SEMs apareció en 1999 y todavía hoy está en evolución. En origen se llamaron Security Information Managers (SIMs) y hoy también se les conoce como Security Information and Event Managers (SIEMs). Un mercado adyacente a éste es el de la gestión de logs, y ambos, obviamente, están muy relacionados. Tradicionalmente, la gestión de logs se centra en la recolección y almacenamiento de los datos, mientras que los SEM se centran más en su análisis.
Las colecciones de logs son listas cronológicas de apuntes textuales describiendo algunas de las actividades que acaecen en la ejecución del software. Las acciones que se apuntan en los logs se eligen entre una amplia panoplia de posibilidades y dependen del criterio de configurador del sistema. Los logs por sí mismos no aportan nada, es la imagen que dibujan y que evoluciona con el tiempo la que tiene alguna realidad.
La calidad de un sistema de logs depende esencialmente de la elección de operaciones registradas. Además de esto, hay protocolos como Syslog y SNMP que permiten llevar esos apuntes, en el momento en que ocurren, a otro lugar en el que serán añadidos en su correspondiente lista. Esta operación no necesariamente tiene que ocurrir donde se produjo el hecho, sino que conviene que sea en otro sistema independiente, especializado y distante.
Hay que tener en cuenta que la existencia de los SEMs como productos informáticos está muy relacionada con el cumplimiento de normas regulatorias como pueden ser la Sarbanes-Oxley¹¹, PCI-DSS¹², o la Ley 25/2007 “de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones”¹³, por mencionar algunas. Como permiten monitorizar y analizar la actividad informática de las compañías, los SEMs son componentes muy útiles para generar los informes que sí son necesarios para ello; sin embargo, la mera posesión de un SEM no asegura el cumplimiento de ninguna norma. Para conocer algunos ejemplos comerciales y otras informaciones sobre los SEMs baste con referirnos a un artículo anterior publicado en esta revista¹⁴.
Uno de los problemas prácticos que plantean los SEM se traduce en la dificultad que hay en el uso y análisis de sus datos sobre eventos. Cada fabricante, e incluso cada producto, utiliza protocolos de comunicación y tipos de datos diferentes, propietarios, por lo que, con esta abigarrada oferta, no hay información para que los desarrolladores sepan integrarlos, o para que los administradores sepan cómo tratarlos correctamente e incluso para que los usuarios sepan utilizarlos correcta y eficazmente. Hoy por hoy, no hay iniciativas vivas que apunten hacia una próxima estandarización de estos productos, por lo que su futuro es, al menos, incierto.
El hecho de centralizar la gestión de logs aporta beneficios como el de tener una única interfaz de acceso a los mismos, disfrutar de un almacenamiento seguro y verificable, disponer de herramientas que extraigan de ellos información útil para la confección de informes, poder montar un sistema de alertas en tiempo más o menos real, detectar hechos que suceden concurrentemente en distintos sistemas y, en el caso de un desastre, que los datos de log sobrevivan incluso al sistema que los generó. Sin embargo, ese mismo centralismo también crea un punto crítico del sistema, ya que en él se almacena casi toda la información sensible, o potencialmente sensible, de la empresa.

Los futuros SEMs serán instrumentos para buscar cualquier cosa dentro de océanos de logs; en principio buscarán ataques, fallos y delitos, pero pronto podrán buscar cualquier cosa. Y en ese momento, la empresa que fabricó esos logs pasará de ser dueña de su destino a víctima de sus propios SEMs. Cualquier “inteligencia” se obtendrá a través de ellos, y no está claro quién se beneficiará de tal situación.

INTELIGENCIA Y MINERÍA

Los SEMs se distinguen de los simples gestores y recolectores de logs en que aquellos permiten un mayor detalle en el análisis del evento al acompañarlo de información contextual, como pueden ser los datos de la máquina, la información sobre la identidad de cuentas, usuarios y procesos, etc. En principio, la existencia de este contexto permitiría que, de saber cómo hacerlo, se estableciesen mejores correlaciones que permitirían componer mejores y más precisos informes de situación; es decir, los SEMs aportan “inteligencia” a quienes los controlan y los usan. Esa “inteligencia” es toda información discrecional o secreta que tenga relevancia y valor, y toda abstracción, evaluación y comprensión de tales informaciones básicas respecto a su valor y precisión. La inteligencia se refiere comúnmente a los planes corrientes, decisiones y acciones de gente y grupos de personas, cuyo conocimiento tiene cierta urgencia o es considerada, por cualquier motivo, como valiosa por quien la persigue.
La inteligencia activa es un componente en permanente cambio, que entra como variable en una ecuación aún mayor, que permite la comprensión de lo secreto, oculto y privado que puede haber en un oponente, en un competidor o en uno mismo. Esa comprensión permite responder preguntas y obtener avisos sobre hechos futuros, así como detectar movimientos que puedan terminar siendo importantes o relevantes para el que observa.
Los SEMs, como herramientas de análisis que son, extraen “inteligencia” de la empresa y tanto sus resultados, como su propio funcionamiento, deben considerarse “sensibles” y “críticos”; tanto para hacerse con informaciones secretas y sensibles, como para equivocar a nuestro contrincante, los mismos SEMs son un buen punto de ataque. Recopilar y custodiar registros de logs es, además de todo lo que ya se ha escrito, preparar el terreno para que otros, con orden judicial o sin ella, pero con experiencia en la tarea, sepan realmente extraer lo que esos datos dicen.
Los buenos SEMs, que están por llegar, pueden terminar relacionados con lo que, en términos más comunes se suele llamar Business Intelligence¹⁵. Con este nombre se engloban técnicas informáticas que pueden detectar, identificar, profundizar y analizar datos empresariales propios, y generar datos sobre cosas tales como los retornos de inversión por producto, por departamento o por trabajador, o que permiten relacionarlo todo con los costes, ingresos y riesgos. Cuando los datos estudiados son ajenos, lo que realmente hacemos es cruzar las lindes del espionaje y se suele denominar Competitive Intelligence¹⁶. Todas estas técnicas proporcionan datos históricos y actuales para la confección de informes de situación o prospectivos que son la materia prima para ayudar en la toma de decisiones (Decision Support Systems o DSS).
En su calidad de analizadores de cantidades ingentes de datos en bruto, los SEMs son otro ejemplo de lo que se denomina Minería de Datos, y por tal se entiende el proceso de extraer patrones y características de los datos. La minería de datos es la herramienta que transforma los datos en información y se utiliza en la extracción de perfiles para el marketing, la vigilancia o la detección del fraude, entre otras. Este tipo de minería suele trabajar con “muestras” de datos y no con todos los datos. Los procesos de extracción o minería realmente no son efectivos si los datos elegidos para la muestra no son una buena representación del conjunto universal del que han sido extraídos. La minería de datos no es infalible y sólo puede ser útil si se recogen suficientes muestras muy representativas; pero, aún así, la detección de un patrón en esas muestras no necesariamente significa que ese patrón esté en el conjunto general de los datos. Cualquier cosa que diga un proceso de minería de datos requiere una verificación y validación posteriores, que no son sencillas y sí muy estrictas, para que el resultado sea de alguna utilidad.
La investigacion de patrones, la detección de anomalías y, a fin de cuentas, cualquier investigación, son tareas muy delicadas que pueden fracasar fácilmente si los procesos experimentales, los de obtención de datos, no son suficientemente precisos, exactos e imparciales. También deben ser correctas las hipótesis o las leyes que se vayan a aplicar, ya que un error en ellas va a dejar sin descubrir lo que se buscaba, y se va a favorecer la aparición de fantasmas y conclusiones fatuas que alimentarán nuestro engaño.

La inteligencia no está en los datos, sino en las preguntas que se les hacen, la minería de datos es un simple instrumento. Aunque los SEMs y sus descendientes llegasen a ser lo que todavía hoy cuesta vislumbrar, hay que tener en cuenta que, muchas veces, lo realmente difícil no es conocer las respuestas, sino saber hacer las preguntas correctas.

Análisis de eventos, una actividad muy delicada

El análisis de eventos debe verse como una actividad muy delicada que exige y merece la mayor seriedad y profesionalidad, ya que sus consecuencias escalan velozmente en la jerarquía empresarial. El análisis de eventos para obtener informaciones e inteligencia es el territorio clásico de las agencias de inteligencia y su historia puede poner de manifiesto grandes éxitos¹⁷ y grandes fracasos¹⁸. En cualquier caso, este tipo de operaciones no se pueden hacer simplemente con una máquina, ni siquiera con software: requieren equipos de personas adecuadamente entrenadas y conscientes de lo que están haciendo. Dado que pronto todo lo que ocurra en una empresa tendrá reflejo preciso y detallado en lo que acontece en su red, ésta debería ir pensando en incluir nuevas formaciones en sus recursos humanos si realmente quiere poner en pie “sistemas analizadores de eventos” que les permitan realmente saber dónde están, qué está ocurriendo y quiénes son. Cuanto más valiosa es la información, más riesgo corre, por lo que la protección y el correcto funcionamiento de esos sistemas se convierten en algo crítico y esencialmente independiente de la propia red.
A finales de 1868, John Barnes Linnett descubrió que pasando deprisa ante sus ojos una serie de fotos o dibujos prácticamente idénticos se percibía el movimiento y decidió patentarlo con el nombre de kineógrafo (o folioscopio en castellano). La idea cuajó y después de él vinieron el phenakistoscopio, el mutoscopio, el zoetropo y el zoopraxiscopio que, con el Kinetoscopio de William Kennedy Dickson, terminó por inventar la Cinematografía. Quizás el análisis hacia delante y hacia atrás, a la derecha y a la izquierda, de millones de registros de logs por parte de los futuros SEMs pondrá de manifiesto los patrones sutiles en los que se esconden los buenos ataques informáticos pilotados por humanos bien entrenados y motivados, pero no será sólo eso lo que pongan de manifiesto.
Los futuros SEMs serán instrumentos para buscar cualquier cosa dentro de océanos de logs; en principio buscarán ataques, fallos y delitos, pero pronto podrán buscar cualquier cosa. En ese momento la empresa que fabricó esos logs pasará de ser dueña de su destino a víctima de sus propios SEMs. Cualquier “inteligencia” se obtendrá a través de ellos, y no está claro quién se beneficiará de ello.
La inteligencia no está en los datos, sino en las preguntas que se les hacen, la minería de datos es un simple instrumento. Aunque los SEMs y sus descendientes llegasen a ser lo que todavía hoy cuesta vislumbrar, hay que tener en cuenta que, muchas veces, lo realmente difícil no es conocer las respuestas, sino saber hacer las preguntas correctas.