POR QUÉ LA DETECCIÓN BASADA EN DATOS NO ES SUFICIENTE PARA LAS EMPRESAS
Los algoritmos de aprendizaje automático y detección basados en firmas identifican códigos maliciosos y amenazas. Aquí explicamos cómo ambas técnicas protegen las redes y los puntos finales.
La detección de código y comportamiento malicioso es la primera línea de defensa contra piratas informáticos y ciberdelincuentes. Se puede dividir en dos técnicas principales: técnicas basadas en firmas y técnicas basadas en anomalías. La detección basada en firmas es la tecnología más antigua, que data de la década de 1990, y es muy eficaz para identificar amenazas conocidas. Cada firma es una cadena de código o patrón de acciones que corresponde a un ataque conocido o código malicioso. El tráfico de red y los archivos se pueden comparar con una base de datos de dichas firmas para ver si hay amenazas conocidas; si las hay, se emite una alerta y se inician los procesos de mitigación. El gran problema de esta detección basada en el conocimiento es que no puede detectar código malicioso o eventos que no tienen firmas y el panorama de amenazas hace que sea más difícil mantener actualizadas las listas de dichas firmas. Según Symantec, cada día se lanzan casi un millón de nuevas amenazas.
El programa Einstein, desarrollado por la Dirección Nacional de Protección y Programas, la división de ciberseguridad del Departamento de Seguridad Nacional, ha sido criticado recientemente por depender demasiado de este tipo de firma para detectar y bloquear el tráfico malicioso. Los desarrolladores de malware pueden cambiar constantemente su código o la forma en que está empaquetado para asegurarse de que no produzca la misma firma que las versiones anteriores, cuya detección puede haberse añadido a las listas de firmas existentes de código malicioso conocido. Por ejemplo, se puede cambiar la forma en que se escriben las instrucciones en el código o alterar la sintaxis, conservando su funcionalidad. El malware metamórfico es aún más sofisticado, ya que es capaz de cambiarse a una instancia completamente nueva con cada nueva infección, mientras que el malware polimórfico se encripta a sí mismo cada vez con una clave de encriptación diferente. Esta mutación del código hace que la generación de firmas únicas sea extremadamente difícil.
Cómo pueden ayudar los algoritmos de aprendizaje automático
Para combatir las deficiencias del enfoque clásico de detección basada en firmas, la mayoría de los productos antimalware con todas las funciones utilizan ahora una combinación de técnicas complementarias, que incluyen la detección de comportamiento basada en anomalías y el análisis heurístico. Esto mejora las tasas generales de detección, en particular de malware o comportamiento desconocido. Las técnicas basadas en el comportamiento observan el comportamiento del programa para determinar si es dañino o no. Las técnicas heurísticas utilizan principalmente algoritmos de aprendizaje automático y métodos de minería de datos para identificar indicadores maliciosos integrados en el programa en ejecución.
Los algoritmos de aprendizaje automático tienen la capacidad de aprender y adaptarse cuando se exponen a los datos. Al analizar la actividad conocida de malware, un programa puede desarrollar la capacidad de encontrar y detectar nuevos patrones de amenazas y determinar la probabilidad de que un programa desconocido sea, de hecho, malware. A diferencia de la detección clásica basada en firmas, los métodos de aprendizaje automático pueden detectar malware que muta para cambiar su firma, ya que la clasificación se basa en la ejecución y el comportamiento de un programa, no solo en el código estático. El uso de aprendizaje automático basado en la nube, así como técnicas avanzadas de agrupamiento y minería de datos, también aumenta la velocidad y la eficiencia del análisis de malware. Sin embargo, los expertos en malware y los ingenieros de detección deben verificar nuevas entradas, interpretaciones y clasificaciones; de lo contrario, puede producirse un ciclo de retroalimentación inestable que puede crear falsos positivos o reducir el nivel de detección positiva.
El aprendizaje automático permite un tipo de firma más sofisticado y eficaz, capaz de detectar y clasificar una gama más amplia de amenazas. Los hashes todavía se utilizan para detectar binarios maliciosos específicos, pero las firmas de ADN (como las llama la empresa de software antivirus y de seguridad ESET) proporcionan definiciones más complejas del comportamiento malicioso y las características del malware. El comportamiento del malware es mucho más difícil de cambiar que su código y, mediante el uso de un análisis de código profundo, los indicadores de compromiso responsables de su comportamiento se pueden utilizar para construir una firma. Esto se puede utilizar para identificar nuevas variantes de una familia de malware conocida, o incluso malware nunca antes visto o desconocido que contenga ADN indicativo de comportamiento malicioso. Estos datos también se pueden reintroducir en algoritmos de aprendizaje automático para identificar genes maliciosos adicionales y patrones de comportamiento. Parte del Proyecto Cyber Genome de DARPA está utilizando el aprendizaje automático para extraer información del malware y puntuar nuevas muestras de malware en la red.
Conclusión
Ningún sistema de seguridad debería depender de un único método para detectar código o actividad maliciosa. La seguridad siempre se basa en la defensa en profundidad y la diversidad, y lo que cuenta es la eficacia general de los controles y técnicas de seguridad que trabajan en conjunto. Una combinación de métodos de detección crea la solución antimalware más eficaz. A pesar de las deficiencias, la detección basada en firmas sigue desempeñando un papel fundamental para mantener seguras las redes y los puntos finales. En su forma clásica, son un impedimento directo para las amenazas identificadas previamente. Con una tecnología de firmas más evolucionada, su inteligencia añadida convierte a las firmas en una línea de defensa seria, incluso contra nuevas amenazas.
Por: Javier Vargas Guarategúa
