Ser analista de ciberseguridad en una gran empresa hoy en día se parece un poco a buscar una aguja en un pajar, si ese pajar se abalanzara sobre ti a la velocidad de la fibra óptica.
Cada día, los empleados y los clientes generan enormes cantidades de datos que establecen un conjunto normal de comportamientos. Un atacante también genera datos mientras utiliza diversas técnicas para infiltrarse en el sistema; el objetivo es encontrar esa «aguja» y detenerla antes de que cause algún daño.
La naturaleza intensiva en datos de esta tarea se presta bien a la capacidad de cálculo del aprendizaje automático, y en los últimos años una avalancha de sistemas basados en IA ha inundado, efectivamente, el mercado de la ciberseguridad. Sin embargo, estos sistemas pueden presentar problemas propios, en concreto un flujo interminable de falsos positivos que puede hacer que consuman más tiempo del que ahorran a los analistas de seguridad.
La startup del MIT PatternEx parte de la premisa de que los algoritmos no pueden proteger un sistema por sí solos. La empresa ha desarrollado un enfoque de bucle cerrado en el que los modelos de aprendizaje automático señalan posibles ataques y los expertos humanos aportan sus comentarios. Esta retroalimentación se incorpora después a los modelos, mejorando su capacidad para señalar en el futuro solo la actividad que interesa a los analistas.
«La mayoría de los sistemas de aprendizaje automático en ciberseguridad se han dedicado a la detección de anomalías», afirma Kalyan Veeramachaneni, cofundador de PatternEx y científico investigador principal del MIT. «El problema de eso es, en primer lugar, que se necesita una referencia [de la actividad normal]. Además, el modelo suele ser no supervisado, por lo que acaba mostrando muchas alertas, y las personas terminan desactivándolo. La gran diferencia es que PatternEx permite al analista informar al sistema y, a continuación, utiliza esa retroalimentación para filtrar los falsos positivos».
El resultado es un aumento de la productividad de los analistas. En comparación con un programa genérico de detección de anomalías, la Plataforma de Analista Virtual de PatternEx identificó con éxito 10 veces más amenazas con el mismo número de alertas diarias, y su ventaja se mantuvo incluso cuando el sistema genérico generó cinco veces más alertas al día.
Desplegado por primera vez en 2016, el sistema de la empresa es utilizado hoy en día por analistas de seguridad de grandes empresas de diversos sectores, así como por compañías que ofrecen la ciberseguridad como servicio.
Combinar los enfoques humano y automático en ciberseguridad
Veeramachaneni llegó al MIT en 2009 como investigador posdoctoral y actualmente dirige un grupo de investigación en el Laboratorio de Sistemas de Información y Decisión. Su trabajo en el MIT se centra principalmente en la ciencia de datos masivos y el aprendizaje automático, pero no reflexionó en profundidad sobre la aplicación de estas herramientas a la ciberseguridad hasta una sesión de lluvia de ideas con los cofundadores de PatternEx Costas Bassias, Uday Veeramachaneni y Vamsi Korrapati, en 2013.
Ignacio Arnaldo, que trabajó con Veeramachaneni como investigador posdoctoral en el MIT entre 2013 y 2015, se incorporó a la empresa poco después. Veeramachaneni y Arnaldo sabían, por su experiencia desarrollando herramientas para investigadores de aprendizaje automático en el MIT, que una solución eficaz debía integrar a la perfección el aprendizaje automático con la experiencia humana.
«Muchos de los problemas que la gente tiene con el aprendizaje automático surgen porque la máquina tiene que trabajar codo con codo con el analista», afirma Veeramachaneni, y señala que los ataques detectados deben presentarse a las personas de forma comprensible para su posterior investigación. «No puede hacerlo todo por sí sola. La mayoría de los sistemas, incluso para algo tan simple como conceder un préstamo, son una ampliación, no un aprendizaje automático que simplemente quita decisiones a los humanos».
La primera alianza de la empresa fue con un gran minorista en línea, lo que permitió a los fundadores entrenar sus modelos para identificar comportamientos potencialmente maliciosos utilizando datos del mundo real. Uno a uno, entrenaron sus algoritmos para detectar distintos tipos de ataques utilizando fuentes como los registros de acceso Wi-Fi, los registros de autenticación y otros comportamientos de los usuarios en la red.
Los primeros modelos funcionaban mejor en el comercio minorista, pero Veeramachaneni conocía, a partir de sus numerosas conversaciones con directivos de empresas en el MIT, lo mucho que a las empresas de otros sectores les costaba aplicar el aprendizaje automático en sus operaciones (un tema sobre el que PatternEx publicó recientemente un artículo).
«El MIT ha hecho un trabajo increíble desde que llegué hace 10 años, al abrir sus puertas a la industria», afirma Veeramachaneni. Calcula que, en los últimos seis años como miembro del Programa de Enlace Industrial del MIT, ha mantenido 200 reuniones con representantes del sector privado para hablar de los problemas a los que se enfrentan. También ha utilizado esas conversaciones para asegurarse de que las investigaciones de su laboratorio aborden problemas relevantes.
Además de a los clientes empresariales, la empresa comenzó a ofrecer su plataforma a proveedores de servicios de seguridad y a equipos especializados en la detección de ciberataques no identificados en las redes.
Hoy en día, los analistas pueden crear modelos de aprendizaje automático a través de la plataforma de PatternEx sin escribir una sola línea de código, lo que facilita que las personas utilicen el aprendizaje automático como parte de una tendencia más amplia del sector hacia lo que Veeramachaneni denomina la democratización de la IA.
«En ciberseguridad no hay tiempo suficiente; no puede llevar horas, o incluso días, entender por qué se está produciendo un ataque», afirma Veeramachaneni. «Por eso, que el analista pueda crear y ajustar modelos de aprendizaje automático es el aspecto más esencial de nuestro sistema».
Dotar a los analistas de seguridad de un ejército
La Plataforma de Analista Virtual de PatternEx está diseñada para que los analistas de seguridad sientan que disponen de un ejército de asistentes que revisan los registros de datos y les presentan los comportamientos más sospechosos de su red.
La plataforma utiliza modelos de aprendizaje automático para analizar más de 50 flujos de datos e identificar comportamientos sospechosos. Después, presenta esa información al analista para que la valore, junto con gráficos y otras visualizaciones de datos que le ayudan a decidir cómo proceder. Una vez que el analista determina si el comportamiento constituye o no un ataque, esa retroalimentación se incorpora de nuevo a los modelos, que se actualizan en toda la base de clientes de PatternEx.
«Antes del aprendizaje automático, alguien detectaba un ataque, probablemente con cierto retraso, quizá le ponía un nombre y después lo anunciaba, y todas las demás empresas llamaban para enterarse y revisaban sus datos», afirma Veeramachaneni. «En nuestro caso, si hay un ataque, tomamos esos datos y, como tenemos varios clientes, debemos transferirlos en tiempo real a los datos de otros clientes para comprobar si también les está ocurriendo a ellos. Lo hacemos de forma muy eficiente a diario».
En cuanto el sistema se pone en funcionamiento con nuevos clientes, es capaz de identificar 40 tipos diferentes de ciberataques mediante 170 modelos de aprendizaje automático prediseñados. Arnaldo señala que, a medida que la empresa trabaja para aumentar estas cifras, los clientes también enriquecen la base de modelos de PatternEx al crear en la plataforma soluciones que abordan las amenazas específicas a las que se enfrentan.
Incluso si los clientes no crean sus propios modelos en la plataforma, pueden desplegar el sistema de PatternEx tal cual, sin ningún conocimiento de aprendizaje automático, y observar cómo mejora automáticamente.
Al ofrecer esa flexibilidad, PatternEx pone las herramientas más avanzadas de inteligencia artificial en manos de las personas que mejor conocen sus sectores. Todo ello responde al principio fundacional de la empresa: potenciar a las personas con la inteligencia artificial en lugar de sustituirlas.
«Los usuarios a los que se dirige el sistema no son científicos de datos cualificados ni expertos en aprendizaje automático, perfiles que a los equipos de ciberseguridad les resulta difícil contratar, sino expertos en la materia que ya forman parte de su plantilla y que tienen el conocimiento más profundo de sus datos y casos de uso», afirma Arnaldo.
