Correlación de eventos de seguridad en redes de computadores basada en un enfoque de integración

Abstract

El despliegue de sistemas de detección de intrusos de red o host distribuidos ha provocado que la gestión de las alertas producidas sea un problema crítico, dando lugar a la aparición de diferentes técnicas de correlación de alertas. En este artículo se presenta un enfoque basado en la integración de los resultados de múltiples métodos de correlación de eventos, para el análisis de las alertas de seguridad producidas por distintos dispositivos o mecanismos de seguridad distribuidos. El objetivo del trabajo es mejorar los resultados o rendimiento de los métodos de correlación de alertas tradicionales a través del empleo de múltiples técnicas complementarias y de la integración de sus resultados. Se propone un modelo general de detección de intrusos y se lleva a cabo un estudio comparativo de los distintos métodos actuales junto con el enfoque basado en integración. Los resultados muestran las bondades del enfoque de integración mediante la obtención de los mejores resultados de la comparativa.