🚨 Detector de Intrusiones en Red — Puntuación de Anomalías en Vivo

Cuando la puntuación supera el umbral, la simulación observa qué puntuaciones z individuales están impulsando la anomalía. Si la puntuación z de puertos distintos es fuertemente positiva mientras que la de duración es fuertemente negativa, la firma coincide con muchos puertos tocados en muy poco tiempo — se clasifica como escaneo de puertos. Si las puntuaciones z de bytes por paquete y de duración son ambas fuertemente positivas mientras que los puertos distintos se mantienen bajos, la firma coincide con una transferencia de datos grande, sostenida y estrecha — se clasifica como exfiltración. Cualquier marca que no coincida claramente con ninguna de las dos firmas se etiqueta como anomalía genérica. Esto refleja cómo los analistas de un SOC real clasifican una alerta: la puntuación de anomalía en bruto dice que algo es inusual, pero el desglose por características dice qué tipo de inusual es.

Bajar el umbral marca más conexiones: la exhaustividad sube (menos intrusiones reales pasan como falsos negativos) pero la precisión baja (más tráfico ordinario se marca erróneamente como falso positivo, un efecto que los analistas llaman fatiga de alertas). Subir el umbral hace lo contrario — menos alertas, mayor precisión, pero una probabilidad creciente de que escaneos o sesiones de exfiltración reales pasen desapercibidos. No existe un ajuste universalmente correcto: el SOC de un banco podría tolerar una tasa de falsos positivos más alta para detectar más amenazas reales, mientras que un servicio con un equipo de seguridad pequeño podría subir el umbral simplemente porque no puede clasificar una avalancha de alertas.

El tráfico de red real cambia constantemente — se lanza una nueva aplicación, cambia un horario de copias de seguridad, el trabajo remoto desplaza el perfil de tráfico por hora del día — un fenómeno llamado deriva de concepto. Un detector entrenado una sola vez con el tráfico del mes pasado y nunca actualizado se irá descalibrando poco a poco: o bien marcará cada vez más comportamiento normal-pero-nuevo como falso positivo, o (peor aún) tratará un ataque lento y deliberado como el nuevo estado normal porque se coló gradualmente. Recalcular la media y la desviación estándar a partir de una ventana móvil de conexiones recientemente no marcadas permite que la línea base siga la deriva legítima mientras sigue resistiendo ataques que llegan como un estallido repentino, a costa de ser vulnerable a atacantes que aumentan deliberadamente su actividad con la suficiente lentitud como para ser absorbidos en la línea base — una limitación bien conocida a veces llamada envenenamiento de la rana hervida.

Tratar las cuatro características como no correlacionadas (sumando puntuaciones z independientes) ignora correlaciones reales — por ejemplo, una tasa de paquetes alta y unos bytes por paquete bajos tienden a coexistir de forma natural en peticiones cortas normales, así que una matriz de covarianza completa dibujaría una región normal elíptica e inclinada en lugar de la alineada con los ejes de esta simulación, y marcaría menos de esos puntos naturalmente correlacionados como anómalos. Los sistemas de producción van todavía más lejos: los bosques de aislamiento, los autoencoders y otros modelos de aprendizaje automático capturan estructura no lineal y de orden superior a través de docenas de características, y normalmente se combinan con reglas de firmas, fuentes de inteligencia de amenazas y revisión de analistas humanos en lugar de depender de una única puntuación estadística aislada.

Un falso negativo — una intrusión no detectada — puede significar que los datos realmente salen de la red o que un punto de apoyo del atacante pasa desapercibido, con costes medidos en remediación de brechas, exposición regulatoria y daño reputacional. Un falso positivo cuesta tiempo de analista: alguien tiene que abrir la alerta, extraer los registros y concluir que era benigna. Como el tiempo de los analistas es finito y todo SOC real recibe muchas más alertas de las que puede investigar por completo, un detector ajustado solo para maximizar la exhaustividad (detectarlo todo) puede resultar contraproducente si entierra las alertas genuinas bajo una avalancha de falsas — precisamente por eso el equilibrio entre precisión y exhaustividad que expone el control deslizante del umbral de esta simulación es la decisión operativa central en la detección de intrusiones real, no una simple curiosidad estadística.