Tecnología: red de sensores e IA
Cómo NetProtector recopila datos de una red mundial de sensores y detecta, clasifica y bloquea ataques mediante varias capas de IA.
La red de sensores
NetProtector recopila datos allí donde los ataques se hacen visibles: en los propios clientes, en los grandes nodos de intercambio de Internet, en señuelos desplegados de forma específica y en los socios.
Entre otros, se analizan:
- Deep Packet Inspection en las capas 2 a 7 del modelo OSI,
- flujos de datos NetFlow/IPFIX para el análisis del tráfico,
- consultas y respuestas DNS (DNS pasivo),
- metadatos del establecimiento de conexiones TLS y SSH, sin descifrado,
- datos Syslog y registros de eventos.
En conjunto, esto supone millones de eventos por segundo. Ninguna persona puede revisar semejante volumen: es precisamente aquí donde entra en juego la IA.
Análisis de IA en cuatro capas
El análisis se realiza en varias etapas, cada una de las cuales combina distintos métodos de aprendizaje automático. De este modo, la gran masa de eventos se reduce a unas pocas alertas priorizadas y a reglas de protección concretas.
Capa 1: detección de anomalías
Los autoencoders aprenden sin reglas predefinidas (de forma no supervisada) cómo es el tráfico de datos normal. Los patrones normales pueden comprimirse y reconstruirse de forma eficiente; las anomalías, en cambio, destacan. Las redes LSTM (Long Short-Term Memory) analizan secuencias temporales y detectan patrones sospechosos a lo largo de horas o días, como la fase de reconocimiento progresiva de un ataque APT (Advanced Persistent Threat).
Capa 2: clasificación
Los métodos de ensemble, como Random Forest y Gradient Boosting, asignan las anomalías detectadas a tipos de ataque: DDoS, comunicación de malware con servidores de Command-and-Control, Lateral Movement o exfiltración de datos. Los modelos Transformer analizan registros y mensajes de error en su contexto, de forma similar a como los modelos de lenguaje comprenden textos, pero aquí especializados en eventos de seguridad.
Capa 3: fusión de Threat Intelligence
Una Graph Neural Network modela las relaciones entre direcciones IP, dominios, muestras de malware y atacantes en forma de grafo de conocimiento. Así, la IA detecta conexiones que permanecen invisibles para las personas o para las bases de datos clásicas; por ejemplo, que varios ataques aparentemente independientes proceden del mismo grupo.
Capa 4: correlación y decisión
El Correlation Engine reúne las señales de todos los sensores y evalúa cada evento según su probabilidad, el posible daño y su urgencia. De ello resultan alertas priorizadas y reglas de protección que se distribuyen a todos los appliances.
Aprender sin revelar datos
Con el Federated Learning, la IA aprende también de las redes de los clientes, sin que los contenidos de datos sensibles salgan de la red correspondiente. Solo se comparten las mejoras aprendidas del modelo. Así, la experiencia práctica se incorpora a la protección de todos.
Las personas siguen formando parte del ciclo de aprendizaje
Allí donde se evalúan muchas señales, también se producen falsas alarmas. Por ello, los analistas de seguridad confirman o corrigen las evaluaciones de la IA (Supervised Learning); en los casos dudosos, el sistema realiza consultas específicas (Active Learning). Los nuevos modelos se prueban de forma controlada antes de su despliegue. El objetivo es una tasa de error en constante descenso y predicciones cada vez más precisas.
Encontrará información sobre cómo se integra NetProtector en su red y sus herramientas en Integración y operación.