Detección Ubicua de Ataques y Respuesta (de Intrusiones en Red) Pedro García Teodoro – Jesús E. Díaz Verdejo Área de Ingeniería Telemática Dpto. Teoría de la Señal, Telemática y Comunicaciones E.T.S. Ingeniería Informática Universidad de Granada XVI Reunión del Grupo de Coordinación IRIS-CERT (GT Málaga)

Detección Ubicua de Ataques y Respuesta XVI IRIS-CERT, Málaga-2005 © Pedro García Teodoro – Jesús E. Díaz Verdejo (DTSTC-UGR) Preliminares Contexto TIC actual necesidad de mejorar la seguridad en entornos de comunicaciones Contexto TIC actual necesidad de mejorar la seguridad en entornos de comunicaciones Herramienta (entre otras): IDS Herramienta (entre otras): IDS Tipos IDS: - HIDS vs. NIDS - SIDS vs. AIDS Tipos IDS: - HIDS vs. NIDS - SIDS vs. AIDS Limitaciones IDS: - Modelado y caracterización - Respuesta - Evaluación Limitaciones IDS: - Modelado y caracterización - Respuesta - Evaluación

Detección Ubicua de Ataques y Respuesta XVI IRIS-CERT, Málaga-2005 © Pedro García Teodoro – Jesús E. Díaz Verdejo (DTSTC-UGR) Objetivo desarrollo de un entorno IDS eficaz y eficiente Objetivo desarrollo de un entorno IDS eficaz y eficiente Nuestra aproximación ( sistema LAMBDA-R): NIDS: - Detección híbrida distribuida - Análisis estocástico en capas - Detección local + global Módulo dinámico de contramedidas Protocolo de comunicación Propuesta (coordinada) Acciones I+D relacionadas : EMERALD MINDS AAFID PRELUDE Acciones I+D relacionadas : EMERALD MINDS AAFID PRELUDE

Detección Ubicua de Ataques y Respuesta XVI IRIS-CERT, Málaga-2005 © Pedro García Teodoro – Jesús E. Díaz Verdejo (DTSTC-UGR) Sistema LAMBDA-R Arquitectura: Arquitectura: A A R E AE AE ( IDWG-IETF)

Detección Ubicua de Ataques y Respuesta XVI IRIS-CERT, Málaga-2005 © Pedro García Teodoro – Jesús E. Díaz Verdejo (DTSTC-UGR) Respuesta: - Reglas cortafuegos - ACL, … Respuesta: - Reglas cortafuegos - ACL, … Detección global vs. local: - Agentes distribuidos (locales) - Módulo central: data mining, … Detección global vs. local: - Agentes distribuidos (locales) - Módulo central: data mining, … Detección: - Híbrida: SIDS + AIDS - Procedimiento en capas LAND - Análisis estocástico Modelos de Markov Detección: - Híbrida: SIDS + AIDS - Procedimiento en capas LAND - Análisis estocástico Modelos de Markov A A A A Funcionalidad: Funcionalidad: Sistema LAMBDA-R R

Detección Ubicua de Ataques y Respuesta XVI IRIS-CERT, Málaga-2005 © Pedro García Teodoro – Jesús E. Díaz Verdejo (DTSTC-UGR) Funcionalidad (cont.): Funcionalidad (cont.): Marco de evaluación: Bases de datos de tráfico Marco de evaluación: Bases de datos de tráfico Protocolo comunicaciones: - IDXP - IDMEF Protocolo comunicaciones: - IDXP - IDMEF Sistema LAMBDA-R