Spanish (pdf)
Article in xml format
Article references
Automatic translation
Send this article by e-mail
Cited by SciELO 
Similars in
SciELO 
uBio 
Permalink
1. Introducción
El crecimiento de las comunicaciones, la popularización de los dispositivos móviles e inteligentes y el avance de las tecnologías como el internet de las cosas (IoT), han aumentado su importancia y complejidad, es allí donde la ciencia de datos surge con una opción de mejorar los mecanismos de análisis de requerimientos de los sistemas cibernéticos y hacer un mejor frente a los distintos tipos de riesgos de seguridad que existen en la actualidad. La ciencia de datos puede ayudar a la seguridad de la información como también puede mantener la dinámica de análisis y desarrollo de nuevas estrategias que garanticen el mejoramiento continuo de la ciberseguridad [1].
Actualmente, se genera y recopila una gran cantidad de datos con la implementación de tecnologías en auge, como internet de las cosas (IoT) y la computación en la nube. Aunque los datos se pueden utilizar para satisfacer mejor las necesidades comerciales correspondientes, los ataques cibernéticos a menudo plantean desafíos importantes. Un ciberataque suele ser un intento malicioso y concertado por parte de una persona u organización para violentar el sistema de información de un individuo u organización. Los ataques de malware, ransomware, Denial of Service (DoS) o denegación de servicio, phishing o ingeniería social, ataques de inyección SQL, Man-in-the-Middle (MitM) o hombre en el medio, Exploit de Zero-day o exploit de día cero; son amenazas comunes hoy en día en el área del ciberespacio. Estos tipos de incidentes de seguridad o delitos cibernéticos pueden afectar a empresas e individuos, causar interrupciones y pérdidas financieras devastadoras. Por ejemplo, según el informe de la empresa multinacional de software IBM, una violación de información puede llegar a costar 8,19 millones de dólares para los Estados Unidos [2].
El programa Cibersecurity Ventures proporciona datos y estadísticas sobre seguridad cibernética, el cual prevé que los costos mundiales de la ciberdelincuencia crezcan en un 15 % anual en los próximos cinco años, pudiendo alcanzar los 10,5 billones de dólares en 2025, frente a los 3 billones de dólares en el 2015. El crimen cibernético se ha incrementado entre un 30 % y 40 % en los últimos años en América Latina [3]. Por lo tanto, proteger de manera eficaz e inteligente un sistema de información, de las diversas amenazas cibernéticas, ataques, daños o accesos no autorizados, es un tema clave que debe resolverse con urgencia, siendo objeto de este estudio.
En general, la ciberseguridad se caracteriza como una colección de tecnologías y procesos diseñados para proteger computadoras, redes, programas y datos contra actividades maliciosas, ataques, daños o acceso no autorizados [4]. De acuerdo con las numerosas necesidades actuales, las soluciones de seguridad convencionales conocidas, como antivirus, firewall, autenticación de usuarios, cifrado, etc., pueden no ser efectivas, el problema con estos sistemas es que normalmente son operados por unos pocos analistas de seguridad, donde la gestión de datos se lleva a cabo de manera ad hoc, sin trabajar inteligentemente de acuerdo a las necesidades [5]. Por otro lado, la necesidad de operar de manera inteligente para la gestión de la ciberseguridad con técnicas de aprendizaje basadas en datos, cada vez es más común su uso en las empresas, y evoluciona rápidamente con el pasar de los años.
La seguridad inteligente combina aspectos del aprendizaje automático e inteligencia artificial, con aplicación a la seguridad tradicional; tendencia innovadora en estos últimos tiempos. Las herramientas son más capaces de adaptarse a nuevas amenazas y asegurar nuevos tipos de aplicaciones tal como lo expresa Panda Security [6]. Como fortaleza aprende en tiempo real y permite desarrollar los nuevos criterios de clasificación sin intervención humana. Por ejemplo, se aplica contra el malware y el fraude online, debido a los cibercriminales que evolucionan rápidamente generando amenazas capaces de adaptarse a la seguridad de los sistemas. Por consiguiente, Deep Learning es capaz de detectar y clasificar dichas amenazas y poner una solución de forma eficiente y veloz [6].
En este documento, se toma en cuenta varias redes neuronales populares y técnicas de aprendizaje profundo, que incluyen aprendizaje supervisado, semi-supervisado y no supervisado en el contexto de la ciberseguridad; siendo estos los más utilizados para el desarrollo de algoritmos en seguridad de la información, estos son perceptrón multicapa (MLP), red neuronal convolucional (CNN o ConvNet), red neuronal recurrente (RNN) o memoria a corto plazo (LSTM) y transferencia profunda aprendizaje (DTL o TL profundo). Estas técnicas de aprendizaje de redes neuronales profundas y enfoques híbridos, se pueden utilizar para resolver de manera inteligente diferentes problemas de ciberseguridad, tales como detección de intrusos, identificación de malware o botnet, phishing, predicción de ciberataques, DoS, detección de fraude o ciberanomalías. El aprendizaje profundo tiene beneficios en la construcción de modelos de seguridad, debido a su alta precisión para aprender con grandes cantidades de conjuntos de datos de seguridad [7].
La contribución de esta investigación, contiene en la sección dos un detalle de las técnicas en redes neuronales artificiales (RNA) y deep learning (DL), siendo estos parte de la inteligencia artificial (IA) para el funcionamiento oportuno, automatizado e inteligente en el contexto de ciberseguridad, siendo estos parte de las tecnologías de Cuarta Revolución Industrial (Industria 4.0) [8]. En la sección tres se revisa y discute varias redes neuronales populares y técnicas de aprendizaje profundo, incluido el aprendizaje supervisado, no supervisado en el contexto de la seguridad cibernética, así como la aplicabilidad y alcance. Finalmente, se destaca varios temas de investigación y direcciones futuras dentro del alcance de este estudio para el desarrollo y la investigación en temas de la ciberseguridad.
En efecto, el objetivo final de esta investigación fue servir como punto de referencia a profesionales e industrias de la seguridad cibernética desde el punto de vista del aprendizaje profundo.
2. Materiales y métodos
2.1. Marco teórico y referencial
Deep learning y redes neuronales artificiales
El aprendizaje profundo (DL) suele considerarse parte de una familia más amplia de métodos de aprendizaje automático, así como de la inteligencia artificial (IA); estos tienen su origen en las redes neuronales artificiales (RNA) [9]. La principal ventaja del aprendizaje profundo frente a los métodos tradicionales de aprendizaje automático, es el alto rendimiento en variedad de casos, especialmente en el aprendizaje a partir de grandes cantidades de conjuntos de datos de seguridad [7]. A continuación, analizamos cuatro técnicas populares de redes neuronales y de aprendizaje profundo, en el contexto de la ciberseguridad. Estas técnicas y sus modelos de seguridad híbridos pueden utilizarse para abordar de forma inteligente diferentes problemas de ciberdelitos, como la detección de intrusiones, el análisis de malware, el análisis de amenazas de seguridad, la predicción de ciberataques o anomalías, etc.
Perceptrón multicapa (MLP MultiLayer Perceptron)
Es un algoritmo de aprendizaje supervisado, también se considera como una arquitectura base del aprendizaje profundo o redes neuronales profundas (DNN). Una MLP típica es una red totalmente conectada, que consiste en una capa de entrada que recibe los datos; una capa de salida para tomar una decisión o predicción sobre la señal de entrada; y una o más capas ocultas entre estas dos [10], al que se considera como el verdadero motor computacional de la red, tal como se muestra en la Figura 1.
MLP está totalmente enlazado, cada nodo de una capa se conecta con un determinado peso a cada nodo de la capa siguiente. Se utilizan varias funciones de activación como ReLU (Rectified Linear Unit) que determinan la salida de una red. Estas funciones de activación, también conocidas como funciones de transferencia, introducen propiedades no lineales en la red para aprender mapas funcionales complejos a partir de los datos [11]. Además, MLP utiliza una técnica de aprendizaje supervisado para el entrenamiento, llamado BackPropagation, este bloque de construcción es fundamental en una red neuronal; este algoritmo es ampliamente utilizado para el entrenamiento de redes neuronales feedf orward [ 12]. El objetivo del algoritmo BackPropagation es optimizar los pesos de la red para asignar con precisión las entradas a las salidas objetivo.
Durante el proceso de entrenamiento se utilizan varias técnicas de optimización, como el descenso gradiente estocástico. Estas redes neuronales son aplicables, por ejemplo, en la construcción de un modelo de detección de intrusiones [13 ], el análisis de amenazas a la seguridad [14], así como la construcción de sistemas de IoT confiables [ 15 ]MLP es muy sensible al escalado de características y necesita una serie de hiperparámetros, como el número de capas ocultas, las neuronas y las iteraciones que hay que ajustar; esto es lo que hace al modelo computacionalmente costoso para resolver problemas de seguridad complejas.
Red neuronal convolucional (CNN Convolutional Neural Networks)
Es un modelo de red de aprendizaje profundo que aprende directamente de los datos, sin necesidad de extracción manual de características. Una CNN típica consta de una capa de entrada, capas convolucionales, capas de agrupación, capas totalmente conectadas y una capa de salida, como se muestra en la Figura 2.
Cada una de las capas de la CNN considera parámetros optimizados para obtener resultados significativos, así como para reducir la complejidad. Las redes neuronales convolucionales están diseñadas específicamente para tratar la variabilidad de imágenes en formas 2D. En términos de áreas de aplicación, las CNN se utilizan ampliamente en el reconocimiento de imágenes y vídeos, el análisis de imágenes médicas, los sistemas de recomendación, la clasificación de imágenes, la segmentación de imágenes, el procesamiento del lenguaje natural, las series temporales financieras, etc. Esta arquitectura se aplica más comúnmente en el análisis de imágenes visuales, estas redes también pueden utilizarse en el ámbito de la ciberseguridad. Por ejemplo, el modelo de aprendizaje profundo basado en CNN que se utiliza para la detección de intrusiones, o en el ataques de denegación de servicio (DoS), redes IoT [16], detección de malware [ 17], detección de malware en Android[ 18], etc. Esta red neuronal artificial tiene una mayor carga computacional, pero tiene la ventaja de detectar automáticamente las características importantes sin ninguna supervisión humana, por lo que se considera que la CNN es una buena alternativa para generar soluciones de seguridad informática aplicadas.
Red neuronal recurrente de memoria a corto plazo (LSTM Long Short Term Memory - RNN Recurrent Neural Networks)
Es una red neuronal artificial, capaz de procesar una secuencia de entradas en el aprendizaje profundo y retener su estado mientras procesa la siguiente secuencia de entradas. Todas las RNN tienen bucles de retroalimentación en la capa recurrente, lo que les permite mantener la información en la ”memoria.a lo largo del tiempo. Las redes de memoria a corto plazo (LSTM) son un tipo de RNN que utiliza unidades especiales, además de las unidades estándar, que pueden hacer frente al problema del gradiente de fuga. Las unidades LSTM tienen una çelda de memoria”que puede almacenar datos durante largos períodos en la memoria, donde ’forget gate’, ’input gate’ y ’output gate’ trabajan de forma cooperativa para controlar el flujo de información en una unidad LSTM.
Las redes LSTM son muy adecuadas para el aprendizaje y el análisis de datos secuenciales, como la clasificación, el procesamiento y la realización de predicciones basadas en datos de series temporales; lo que la diferencia de otras redes convencionales. Sin embargo, la LSTM se aplica comúnmente en el área de predicción de series temporales, detección de anomalías en series temporales, procesamiento de lenguaje natural, chatbots de respuesta a preguntas, traducción automática, reconocimiento de voz, etc.
Dado que en la actualidad se genera una gran cantidad de datos secuenciales de seguridad, como flujos de tráfico de red, actividades maliciosas dependientes del tiempo, etc., un modelo LSTM también puede ser aplicable en el ámbito de la ciberseguridad, debido al estudiado de varias soluciones de seguridad basadas en este, como la detección y clasificación de aplicaciones maliciosas [17], y la detección de phishing [19]. Aunque la principal ventaja de una red recurrente sobre una red tradicional es la capacidad de modelar la secuencia de datos, puede requerir muchos recursos y tiempo para ser entrenada. Por consiguiente, teniendo en cuenta la ventaja mencionada, una red LSTM-RNN eficaz puede mejorar los modelos de seguridad para detectar las amenazas, en particular, cuando los patrones de procedimiento de las amenazas muestran un comportamiento dinámico temporal, Figura 3.
Aprendizaje profundo por transferencia (DTL Deep Transfer Learning) o Deep TL
Este método permite resolver problemas fundamentales de datos de entrenamiento inadecuados. De esta forma, elimina la necesidad de entrenar modelos de inteligencia artificial (IA), esto permite entrenar redes neuronales con cantidades relativamente pequeñas de datos. En el campo de la ciencia de datos, es actualmente muy común su uso, considerando que en la mayoría de los problemas del mundo real no suelen tener millones de puntos de datos etiquetados para entrenar modelos tan complejos. El aprendizaje profundo por transferencia (DTL) puede clasificarse en tres sub-configuraciones:
Aprendizaje por transferencia inductiva
Aprendizaje por transferencia transductiva
Aprendizaje de transferencia no supervisado
En la Figura 4 se muestra una gráfica del funcionamiento de un aprendizaje profundo por transferencia.
El aprendizaje profundo por transferencia es aplicable en varias áreas tales como: la visión por computadora, la clasificación de imágenes, el reconocimiento del habla, las imágenes médicas y el filtrado de spam, etc. En el ámbito de la ciberseguridad, también desempeña un papel importante debido a sus diversas ventajas en el modelado, como el ahorro de tiempo de entrenamiento, la mejora de la precisión de los resultados y la necesidad de menos datos de entrenamiento. Por ejemplo, los autores Wu y Guo (2019) presentan un modelo ConvNet que utiliza el aprendizaje de transferencia para la detección de intrusiones en la red [20].Nahamias (2020), proponen un método de generación de firmas basado en el aprendizaje de transferencia de características profundas que reduce drásticamente el tiempo de generación y distribución de firmas [21]. En este método se ha conseguido una precisión de clasificación superior al 99,5 % [22]. Los autores abordaron el aprendizaje de transferencia para la identificación de ataques de red desconocidos en donde presentan un enfoque de aprendizaje de transferencia basado en características, utilizando una transformación lineal [23]. El sistema de aprendizaje de transferencia acelera significativamente el entrenamiento de redes neuronales profundas al tiempo que conserva una alta eficiencia en el campo de la seguridad cibernética, incluso en conjuntos de datos más pequeños. Por lo tanto, en lugar de entrenar la red neuronal desde cero, los profesionales de la ciberseguridad pueden tener un modelo de aprendizaje profundo de código abierto previamente entrenado y ajustarlo a su propósito.
2.2. Materiales y Métodos
La metodología de esta investigación se centró en la aplicación del método analítico-sintético para abordar de forma detallada, el estudio de cuatro algoritmos de aprendizaje profundo.
Estas alternativas de redes neuronales artificiales y aprendizaje profundo fueron analizadas con el fin de adecuar una solución óptima en el campo de la ciberseguridad. Para ello, se parte de la revisión funcional de varios algoritmos utilizados en ambientes de trabajo donde se han detectado vulnerabilidades de la seguridad de la información, tales como: detección de intrusos, identificación de malware o botnets, phishing, predicción de ciberataques, denegación de servicio, ciberanomalías. Además, del estado del arte con recopilación de datos realizados por diversos autores referenciados en este artículo.
En base a la revisión de la literatura realizada, se plantea la recomendación clave en el uso de algoritmos aplicables, según el área de estudio e investigación en la seguridad cibernética.
3. Discusión y resultados
3.1. Estudio de modelos
En esta sección, se resume y discute los retos a los que se enfrenta el mundo y las posibles oportunidades de investigaciones futuras para hacer que las redes y los sistemas de información sean seguros, automatizados e inteligentes.
La eficacia y la eficiencia de una solución de seguridad basada en redes neuronales artificiales y aprendizaje profundo dependen de la naturaleza y las características de los datos de seguridad, así como del rendimiento de los algoritmos de aprendizaje. El lograr recoger los datos de seguridad en el ámbito de la ciberseguridad no es un trabajo sencillo. Por lo tanto, es necesario investigar más a fondo los métodos de recopilación de datos cuando se trabaja con registros relacionados con la ciberseguridad. Los datos históricos de seguridad recolectados en un análisis podrían contener muchos valores ambiguos, valores perdidos, valores atípicos y datos sin sentido.
Se entiende que, los algoritmos de aprendizaje supervisado y no supervisado tienen un gran impacto en la calidad de los datos y en la calidad de la información. Además, de limpiar y preprocesar con precisión los diversos datos de seguridad recogidos de varias fuentes. Sin embargo, se requieren métodos de preprocesamiento existentes o proponer nuevas técnicas de preparación de datos para utilizar eficazmente los algoritmos de aprendizaje en el ámbito de la ciberseguridad.
Con lo argumentado, se puede entender que la selección de un algoritmo de aprendizaje adecuado para la aplicación especifica en el contexto de la ciberseguridad, es un reto como lo expresa Sarker (2021) [24]. La razón es que el resultado de diferentes algoritmos de aprendizaje puede variar dependiendo de las características de los datos tal como describen Sarker et al. (2019) [25]. Para la realización del estudio se considera varios puntos clave de estas técnicas ( Tabla 1), donde se detallan los cuatro métodos tratados en el documento. No obstante, la selección de un algoritmo de aprendizaje incorrecto daría lugar a resultados inesperados que podrían suponer una pérdida de esfuerzo, así como de eficacia y precisión del modelo. En la siguiente tabla se resumen cómo estas redes neuronales y aprendizaje profundo pueden ser aplicadas a la ciberseguridad.
Tabla 1: Resumen de las redes neuronales artificiales (RNA) y de las redes de aprendizaje profundo (DL)
Del mismo modo, se debe conocer que, si los datos de seguridad son malos, como características no representativas, de baja calidad o irrelevantes, o una cantidad insuficiente para el entrenamiento, los modelos de seguridad de aprendizaje profundo pueden resultar inútiles o producir una precisión menor. Por lo tanto, los datos de seguridad relevantes y de calidad son importantes, para obtener mejores resultados para la toma de decisiones en la empresa.
Se conoce que los algoritmos de DL supervisados tienen una amplia aplicación en el análisis de malware, pero menos en la detección de intrusiones; la detección de spam se basa únicamente en algoritmos de DL no supervisados.
Como era de esperar, el número total de algoritmos basados en Deep Learning (DL) es considerablemente menor que los basados en Machine Learning (ML); de hecho, las propuestas de aprendizaje profundo (DL) basadas en enormes redes neuronales son más recientes que los enfoques de ML; este vacío abre muchas oportunidades de investigación como lo sustentan Geetha y Thilagam [26 ], Tabla 2.
4. Conclusiones
El presente documento forja un estudio que permite conseguir una visión general de la ciberseguridad desde la perspectiva de las redes neuronales artificiales y los métodos de aprendizaje profundo. También se revisa estudios recientes de cuatro redes neuronales para llegar a un análisis y comparación especifica de este trabajo. Además, de acuerdo con el objetivo planteado, se ha discutido brevemente cómo varios tipos de redes neuronales y métodos de aprendizaje profundo pueden ser utilizados para soluciones de ciberseguridad en diversas condiciones.
Permite generar una apreciación más clara de que en toda solución de seguridad informática exitosa se puede aplicar al menos un modelado de aprendizaje profundo pertinente en función de las características de los datos. Los algoritmos de aprendizaje profundo deben ser entrenados a través de los datos de seguridad recogidos y el conocimiento relacionado con la aplicación para que pueda ayudar a tomar decisiones inteligentes.
Se logra entender que, el estudio sobre las redes neuronales y el análisis de seguridad basado en el aprendizaje profundo se convierte en una guía de referencia para la investigación y las aplicaciones potenciales, tanto para el mundo académico como para los profesionales de la industria en el ámbito de la ciberseguridad, tomando como bases cada una de las citas registradas que dan un ejemplo de la aplicabilidad en este ámbito.
En general, se concluye que el éxito de una solución de seguridad basada en datos depende tanto de la calidad de los datos de seguridad como del rendimiento de los algoritmos de aprendizaje. Finalmente, queda para futuros debates los retos y mejoras que proporcione este campo de la ciencia de datos que va evolucionando con el transcurso de los años.
