¿Cómo estableces una línea base de lo normal y cómo te ayuda a detectar anomalías?
Respuesta breve
Una línea base es un modelo del comportamiento normal de un host, usuario, cuenta o segmento de red: qué procesos se ejecutan, quién inicia sesión desde dónde y cuándo, los volúmenes de datos típicos, los intervalos normales de beaconing. Una vez que conoces lo normal, las anomalías (pares de procesos padre-hijo raros, binarios vistos por primera vez, inicios de sesión a horas extrañas, salida de datos inusual) se vuelven detectables como desviaciones. Establecer una línea base es el fundamento de la detección de anomalías, pero requiere suficiente historial limpio y un manejo cuidadoso del cambio legítimo para no ahogarte en falsos positivos.
La detección de anomalías solo funciona si sabes qué es lo normal. Establecer una línea base es la disciplina de construir esa imagen de lo normal para que lo anormal — donde viven los adversarios — destaque de forma visible.
Qué incluyes en la línea base
- Comportamiento de procesos — qué ejecutables corren en un host, sus padres típicos y los patrones de línea de comandos. Un
winword.exeque engendra unpowershell.exees una desviación que merece una mirada. - Identidad — cuándo y desde dónde inicia sesión cada usuario, qué sistemas toca, cómo es su actividad de rol normal.
- Red — destinos típicos, volúmenes de datos y cadencia de conexiones por host.
- Frecuencia / rareza — análisis de « visto por primera vez » y de menor frecuencia: un binario o dominio visto exactamente una vez en toda la flota es interesante precisamente porque es raro.
Convertir la línea base en detección
Con una línea base, las anomalías se vuelven consultas: binarios vistos por primera vez esta semana, inicios de sesión fuera del horario histórico de un usuario, un host que de repente saca 50 veces su volumen normal, o una nueva relación de proceso padre-hijo. Estas son hipótesis que un cazador pone a prueba.
La trampa: el cambio también es normal
Los entornos evolucionan: software nuevo, nuevas contrataciones, nuevos horarios de trabajo. Un detector de anomalías ingenuo marca cada cambio legítimo y entrena a los analistas para ignorarlo. Una buena línea base tiene en cuenta la estacionalidad, se mantiene a lo largo del tiempo y combina la rareza estadística con el contexto antes de alertar.
Por qué importa
Los entrevistadores quieren oír que entiendes tanto el poder como el modo de fallo de la detección de anomalías: hace aflorar amenazas desconocidas, pero sin una línea base mantenida y consciente del contexto se convierte en una máquina de falsos positivos.
Posibles preguntas de seguimiento
- ¿Qué hace que la detección basada en anomalías sea propensa a falsos positivos?
- ¿Qué duración de ventana de línea base necesitas y por qué?
- Da un ejemplo de una anomalía de tipo « visto por primera vez » que valga la pena cazar.