ANEXO

ANEXO

Herramienta de visualización y trazado de un ciberataque

1. Objeto.

En este documento se describe la línea de I+D sobre «Herramienta de visualización y trazado de un ciberataque» a desarrollar en este convenio MCCD-UPM, conforme a lo planteado en [1].

2. Introducción.

El concepto de «Visual Analytics» se refiere a la ciencia de razonamiento analítico soportado por interfaces visuales interactivos. Hoy en día, se producen datos a una velocidad increíble, y en muchos casos la naturaleza compleja de problemas hace imprescindible la inclusión de inteligencia humana para los procesos de análisis de datos. Los métodos de «Visual Analytics» permiten a las personas combinar la flexibilidad, creación y conocimiento humano con las capacidades de almacenamiento y procesado proporcionados por los ordenadores. De esta forma, las personas pueden interactuar directamente con las capacidades de análisis de los ordenadores, utilizando interfaces visuales avanzadas, permitiendo tomar decisiones con información suficiente en situaciones complejas [2].

Figura 1: Visual Analytics

El área de la Seguridad en Redes y Sistemas, y más concretamente, los aspectos de Detección de Intrusiones es uno de los campos más atractivos para la aplicación de los métodos de Visual Analytics, de forma que es posible representar visualmente aquellos parámetros que se consideren convenientes de una forma visual para que un administrador de seguridad de un dominio pueda tener de una forma sencilla y fácil distintas visiones gráficas (desde las más detalladas a las más generales) del estado de seguridad de las redes, servicios y sistemas en su dominio.

3. Objetivos.

De acuerdo con lo establecido en [1], la presente línea de trabajo se centra en el desarrollo de una herramienta que permita visualizar y trazar un ciberataque así como determinar probabilísticamente su evolución, de forma que se permita el apoyo a la toma de decisiones. La herramienta debería mostrar:

Nivel de compromiso: en base a los dispositivos vulnerados por un atacante (camino seguido) y/o en base a indicadores de compromiso reconocidos o a desarrollar.

Características del compromiso: Cada ataque tiene una serie de características que lo diferencia del resto (tipo de vulnerabilidades explotadas, tiempos empleados, velocidad, magnitud, virulencia, persistencia, etc.).

Técnicas utilizadas: tanto las de éxito como las que no (pruebas, intentos).

Origen potencial del ataque.

Además, debe incluir interfaces de navegación basadas en estratificación por capas para que la información se muestre para su empleo por personal estratégico, operacional y táctico. De esta manera, se pueda ir de la información más general (nivel estratégico) al dato más detallado (nivel táctico).

Con objeto de facilitar la obtención temprana de resultados, se considerará la existencia de software de código libre que pueda ser reutilizado en las herramientas a desarrollar. Así mismo, el software desarrollado servirá como modelo, sobre el que se realizarán las pruebas pertinentes y extraerán lecciones aprendidas

4. Plan de trabajo.

En este apartado se detallan y planifican las tareas a realizar por UPM en esta línea de trabajo.

4.1 Tarea 1.–Análisis del Estado del Arte en Herramientas de Visualización aplicadas a la Seguridad.

En esta tarea se realizará una prospección tecnológica sobre las propuestas, desarrollos y soluciones existentes en el área general de Visual Analytics y, específicamente, en su aplicación a la visualización de incidentes de seguridad y ciberataques recibidos en Redes y Sistemas de comunicaciones propios.

Asimismo, se realizará una valoración crítica de su aplicabilidad a distintos escenarios relacionados con el contexto de la propuesta, de los que el MCCD podrá valorar su relevancia para sus propósitos. Como consecuencia de este análisis y valoración, se enumerarán las propuestas identificadas que se consideren adecuadas para un potencial uso en fases posteriores en cuanto a:

Parámetros y fuentes de datos a visualizar.

Interfaces de navegación eficaces basadas en estándares existentes.

Escenarios de visualización.

4.2. Tarea 2.–Definición de los Parámetros y Niveles de Visualización.

En esta tarea, se definirán los parámetros y fuentes de datos a visualizar, así como la distribución de parámetros de visualización en distintas categorías, de forma que se dé cumplimiento a los requisitos de definición y desarrollo de interfaces de navegación basadas en estratificación por capas para que la información se muestre para su empleo por personal estratégico, operacional y táctico. Estos requisitos vendrán definidos por la primera tarea, pero deberán ser aprobados por el MCCD, partiendo de los propuestos en la tarea 1 sin tener que circunscribirse exclusivamente a éstos (el MCCD tendrá la posibilidad de añadir y/o modificar).

4.3. Tarea 3.–Definición de los Escenarios de Visualización.

En esta tarea, se definirán los diferentes casos de uso que serán demostrados por la herramienta de visualización. En esta tarea, será necesario definir un conjunto de actividades, legítimas o ilegítimas, que podrán dar lugar a eventos de visualización en el modelo. Igualmente, se definirán los modelos de visualización correspondientes a las actividades seleccionadas.

Al menos existirán los escenarios suficientes que, en base a un hecho o conjunto de hechos, permitan representar visualmente las amenazas internas y externas ampliamente reconocidas: DoS, DDoS, fuga de información, ataques a nivel aplicación, explotación de vulnerabilidades, intrusiones, etc., en base a correlación de logs, comportamientos anómalos, etc.

4.4. Tarea 4.–Desarrollo de un modelo de Visualización.

De acuerdo a la valoración de algoritmos y herramientas realizadas en la tarea 1, se desarrollará un modelo de sistema de visualización que permita la visualización gráfica de los distintos elementos definidos en la tarea 2, y con la granularidad y clasificación necesaria según los requisitos de dicha tarea.

4.5. Tarea 5.–Desarrollo de batería de pruebas.

De acuerdo a los escenarios de visualización definidos en la tarea 3, se desarrollará un simulador de actividades, basado en una batería de pruebas que deberá aprobar el MCCD, que permita alimentar el modelo de visualización de una forma simple y modular, para que pueda ser ampliado o modificado fácilmente con otro tipo de actividades.

4.6. Tarea 6.–Integración de modelo y realización de pruebas.

En esta tarea se procederá a la integración de los diversos módulos software desarrollados en las distintas tareas para la obtención de un modelo.

Una vez obtenido el modelo, se llevarán a cabo las pruebas funcionales de las herramientas desarrolladas, así como demostraciones básicas de ejercicios de visualización de acuerdo a los escenarios definidos.

4.7. Tarea 7.–Entrega y presentación del modelo y documentación asociada.

Entrega al MCCD del modelo. El formato de entrega y presentación permitirá la ejecución del modelo en una plataforma virtualizada (en VMware (ESX)).

Además estará acompañada de una documentación que permita comprender el modelo, el contexto desarrollado y las conclusiones extraídas. Para ello se entregaran los siguientes documentos:

• • Descripción técnica del modelo y sus funcionalidades.
• • Resultados de las pruebas.
• • Documentación de los componentes o módulos que componen el modelo, su configuración y/o los desarrollos realizados.
• • Informe de conclusiones y próximos pasos (evolución del modelo).

La tabla 1 refleja la planificación temporal de las tareas definidas en el anterior apartado. Los hitos y entregas correspondientes a dichas tareas se detallan en la tabla 2.

Tabla 1.- Plan de trabajo (meses)

5. Hitos y entregas.

Teniendo en cuenta el plan de trabajo detallado en el epígrafe anterior, en la tabla 2 se refleja la planificación de hitos y entregas del proyecto.

Tabla 2.-Hitos y entregas

Hito	Descripción	Fecha	Entrega
H1	Análisis del Estado del Arte en Herramientas de Visualización aplicadas a la Seguridad.	Mes 3.	Documento de prospección tecnológica de la tarea 1.
H2	Definición de Requisitos.	Mes 4.	Documento con los requisitos de parámetros y escenarios de las tareas 2 y 3.
H3	Modelo básico y primeros tests de funcionalidad.	Mes 7.	Modelo y primeros tests: Corrección temprana de desviaciones del objetivo y requisitos (H2)
H4	Desarrollo e integración de modelo final.	Mes 10.	Software con la implementación del modelo y batería de pruebas desarrollado en tareas 4 y 5.
H5	Batería de pruebas formal.	Mes 11.	Ejecución de la batería de pruebas.
H6	Entrega modelo final y documentación asociada.	Mes 12.	Entrega de software y documentos relativos a la tarea 7

6. Referencias.

[1] Acuerdo de colaboración MCCD-UPM. «Línea de trabajo sobre Herramienta de visualización y trazado de un ciberataque». Junio 2013.

[2] Thomas, J., Cook, K.: «Illuminating the Path: Research and Development Agenda for Visual Analytics». IEEE-Press, 2005.