Diseño de un Sistema de Detección de Intrusiones basado en Machine Learning para tráfico de red real

Durante los últimos años, el aumento de ataques informáticos y la gravedad de las repercusiones que estos tienen en sus víctimas ha creado la necesidad de desarrollar sistemas de Ciberseguridad para defender a los usuarios de dispositivos informáticos frente a posibles ciberataques. Los sistemas de detección de intrusiones (IDS) escanean las conexiones que se realizan en una red o con un dispositivo con el objetivo de detectar actividad maliciosa. Hay dos tipos de IDS, aquellos basados en el reconocimiento de patrones de ataque y los que se basan en la detección de tráfico anómalo; como inconvenientes, los sistemas del primer tipo tienen que estar actualizándose constantemente para poder ser una defensa efectiva contra ataques actuales y los sistemas del segundo tipo confunden fácilmente conexiones normales con ataques si estas no se habían registrado con anterioridad. El objetivo de este trabajo es el diseño de un sistema de detección de intrusiones basado en Aprendizaje Automático que funcione utilizando el tráfico de una red en tiempo real y que pueda detectar los diferentes tipos de ataques modernos con un número bajo de falsas alarmas. Para ello se plantea el uso de una herramienta de captura de tráfico de red y la plataforma Apache Kafka que permite el envío de los datos obtenidos de las conexiones. La elección de la herramienta de captura de tráfico se ha realizado evaluando las diferentes herramientas disponibles que nos proporcionasen las características necesarias para entrenar el modelo de Aprendizaje Automático, decidiéndose finalmente por la utilización de Zeek para dicha función. Los datos capturados son procesados y clasificados en tiempo real utilizando Spark y su librería de aprendizaje automático MLlib. Esta librería ofrece un gran número de algoritmos de Aprendizaje Automático, que se han entrenado con el dataset UNSW-NB15 y se han evaluado para escoger aquél que proporcionase mejores resultados. Tras la evaluación, se ha decidido utilizar el algoritmo de Random Forest para crear un modelo que clasifique las conexiones según estas sean conexiones normales o ataques y de qué tipo de ataque se trata si ese fuera el caso, el cual será utilizado en el IDS. Para evaluar el IDS se han utilizado tres capturas de paquetes de ataques modernos. Los resultados de esta evaluación han demostrado que el sistema diseñado ha podido clasificar cada uno de los ataques correctamente con un porcentaje de falsas alarmas bajo al ser aplicado en un tráfico normal. Este trabajo demuestra que es posible diseñar e implementar un sistema de detección de intrusiones basado en Aprendizaje Automático para el tráfico de red real que obtenga buenos resultados a la hora de detectar y clasificar diferentes tipos de ataques en tiempo real y que no produzcan un gran número de falsas alarmas