Clasificador de logs de acceso para detección de incidentes de ciberseguridad

espanolRecientemente los sitios web de los gobiernos en el mundo han sido objeto de ataques informaticos. Por ello urge una solucion que asista a los analistas de ciberseguridad a detectar los incidentes con rapidez. Para optimizar el tiempo de deteccion en el proyecto se desarrollo un clasificador que filtre lineas de logs de servidores web en formato CLF (Combined Log Format) que indican comportamiento anomalo. Para ello, se codifican los logs de acceso en representacion vectorial y luego se usa el algoritmo de aprendizaje automatico K-NN ponderado (K vecinos mas proximos) para filtrar los logs. Los datos de entrada fueron provistos por el CERTuy (Equipo de Respuesta ante Emergencias Informaticas) y el SOC (Centro de Operaciones de Seguridad). De las pruebas realizadas sobre el servicio de clasificacion, se detecto el 82% de ofensas de ciberseguridad de un conjunto de datos asociado, se logro filtrar el 80% de logs que indican comportamiento normal y se disminuyo el tiempo de deteccion de logs que indican comportamiento anomalo de 13 horas a 15 minutos. EnglishThe number of attacks on government websites has escalated in the last years. In order to assist in the detection process conducted by cybersecurity analysts, this document suggests implementing machine learning techniques over web server access logs. The overall objective is to optimize the detection time using a customized classifier which selects traces corresponding to anomalous activity. Specifically, web server combined log format (CLF) access logs coded as real vectors are an input to a weighted K-NN nearest neighbors’ model. The methodology was tested on datasets and premises provided by the CERTuy (National Cybersecurity Event Response Team) and the SOC (Security Operations Center). According to evaluations 82% of cybersecurity offenses have been detected, 80% of normal behavior has been filtered and the reduction time has been reduced from 13 hours to 15 minutes.