Seguridad defensiva vs ofensiva: IA en la detección y prevención de amenazas

La ciberseguridad es un juego del gato y el ratón desde 1995.

Los humanos escriben una regla de firewall. El hacker la sortea. Crean una nueva regla. El hacker se adapta.

Es reacción contra acción. La defensa siempre va atrás.

La IA cambia esa dinámica. Ya no es "reaccionar" — es anticipar.

La realidad: la defensa tradicional falla

Tu SIEM (Security Information and Event Management) genera 10.000+ eventos/día. Un analista humano logra revisar quizás 100.

¿El resto? Queda invisible.

Es allí donde el hacker se esconde.

Ejemplos de ataques que pasan desapercibidos

1. Lateral Movement lento

   • El hacker entra en el servidor A
   • Cada día, intenta acceder a 1 servidor diferente
   • 30 días después: tiene acceso a 30 servidores
   • Detection rate con reglas simples: 0%

2. Data Exfiltration en pequeñas dosis

   • 1GB de datos = anomalía obvia
   • 100MB/hora por 10 horas = puede pasar desapercibido

3. Credential Compromise

   • El hacker roba una contraseña
   • Espera 2 semanas
   • Accede con credencial legítima en horario normal
   • El sistema ve un login normal, no un ataque

IA en seguridad: enfoque ofensivo

Mientras tú defiendes, el hacker ataca. La IA acelera la defensa.

1. Comportamiento anómalo de usuario

Tradicional:

IF login_hora > 22:00 THEN alert("Login nocturno")

Problema: el legítimo trabaja de noche.

IA:

Histórico del usuario X:
- Siempre loguea 9am-6pm
- Siempre desde IP corporativo
- Accede a 5-10 recursos por día

Evento anómalo:
- Logueó 3am (nunca lo hizo)
- Desde IP residencial de China (nunca)
- Accedió a 500 recursos en 5 min (nunca)

Score anómalo: 0.98 (criterio de alerta)
Acción: MFA challenge automático / lock account provisorio

Ganancia: Detecta el compromiso de credencial en minutos

2. Threat Intelligence + ML

No son solo tus logs. Es el conocimiento del ecosistema:

• ¿Qué malware está activo ahora?
• ¿Qué exploit fue descubierto ayer?
• ¿Qué rango de IP fue identificado como C&C (comando y control)?

IA: Correlaciona la inteligencia externa con tus eventos

Evento local: conexión outbound hacia IP X.X.X.X puerto 443
Threat intelligence: IP X.X.X.X fue visto en botnet Emotet ayer
Correlación automática: "Tu servidor puede estar comprometido con Emotet"
Acción: Aislamiento inmediato de red, malware scan

3. Detección de patrón de ataque (Kill Chain)

Un ataque rara vez es un acto único. Es una secuencia:

1. Reconnaissance (escaneo)
2. Initial access (explotación)
3. Persistence (backdoor)
4. Privilege escalation
5. Lateral movement
6. Data exfiltration

La IA puede detectar la cadena:

Día 1: Port scan detectado (normal, ignorado)
Día 2: Exploit intentado (sospechoso)
Día 3: New process ejecutado como admin (sospechoso)
Día 4: Acceso a 10 servidores diferentes (sospechoso)
Día 5: Gran volumen outbound de datos (¡alertón!)

IA conecta los puntos: "Esto es kill chain. Grado de confianza: 0.95. Riesgo: CRÍTICO"
Humano: "Confirmado. Aislar toda la subnet ahora"

Arquitectura: defensa + ataque

Capa 1: seguridad perimetral

Responsable de: Bloquear lo obvio

• Firewall, WAF (Web Application Firewall)
• DDoS mitigation
• Bot detection
• Intrusion Detection System (IDS)

IA aquí: Aprender el patrón de tráfico legítimo vs malicioso

Firewall tradicional:

BLOCK port 4444 (conocidamente malicioso)

Firewall con IA:

¿Si el patrón de tráfico en puerto 4444 combina con 95% de los botnet Mirai?
BLOCK, aunque nunca se haya visto antes

Capa 2: seguridad de identidad

Responsable de: ¿Quién está accediendo y es quien dice ser?

• MFA (Multi-Factor Authentication)
• UEBA (User and Entity Behavior Analytics)
• Risk-based access

IA aquí: Aprender el patrón de cada user/sistema

Ejemplo:

Jenkins pipeline normalmente trae código de GitHub
Hoy: Jenkins intentando acceder a RH database

Risk score: HIGH
Acción automática: Bloquea acceso, notifica DevSecOps
Posible causa: Jenkins comprometido, hacker intentando robar datos de empleados

Capa 3: detección de amenaza interna (Insider Threat)

Responsable de: Detener a quien ya está dentro intentando robar

• Monitoreo de acceso a datos
• Detección de uso anómalo de privilegio
• Data loss prevention (DLP)

IA aquí: Aprender el patrón de acceso legítimo

Ejemplo:

Dev X siempre trae código del repo principal
Hoy: Dev X está descargando el database dump entero (50GB)

Histórico: nunca lo hizo en 2 años
Contexto: ¿preparando renuncia la semana que viene?

IA score: HIGH insider threat
Acción: Alert para InfoSec, posible investigación

Capa 4: respuesta automática

Responsable de: Actuar rápido

Algunas respuestas son lo suficientemente seguras para ser automáticas:

Low-risk:

• Bloquear IP malicioso
• Terminar sesión sospechosa
• Reset de credencial
• Disable account

Medium-risk:

• Aislamiento de red de servidor comprometido
• Kill de proceso sospechoso
• Rollback de cambio de config

High-risk (Humano siempre):

• Restore de backup (puede ser antiguo)
• Shutdown de servidor (pérdida de datos)
• Forensics (destruir evidencia si es automático)

Ejemplo: ransomware detectado antes de cifrar

Escenario: Ransomware entra en el datacenter

Defensa tradicional:

1. Archivo cifrado → el backup detecta la corrupción
2. Los admins se despiertan (si es de noche)
3. Aíslan el servidor → damage already done
4. Recovery: horas a días
5. Data loss: significativa

Con IA:

1. Un proceso nuevo (ransomware) empieza a cifrar
2. Patrón de I/O anómalo: escribe 100x más de "random data" que lo normal
3. Accede a files en un directorio crítico que nunca accede
4. IA: "Esto es ransomware con 0.99 de confianza"
5. Acción automática: aislamiento de red + kill del proceso
6. Total time: 2 minutos
7. Data loss: 0.5% (de los 2 min antes del aislamiento)

Implementación: 6 meses

Mes 1-2: baseline + instrumentación

• Deploy SIEM/EDR (Endpoint Detection and Response)
• Centralizar logs (todos los sistemas)
• Integrar threat intelligence feed
• Crear ground truth: "¿Qué eventos son anomalía?"

Mes 3: ML para comportamiento

• Entrenar modelo de anomalía de usuario
• Entrenar modelo de anomalía de sistema
• Validar con el security team

Mes 4: inteligencia de amenaza

• Integrar feeds externos de malware/IPs maliciosos
• Correlación automática con eventos internos
• A/B testing: alertas tradicionales vs ML

Mes 5-6: respuesta automática

• Implementar playbooks low-risk
• Orquestación de respuesta
• Pruebas de incidente (red team vs blue team)

Riesgos: la IA en seguridad también los tiene

1. Adversarial Attacks

El hacker aprende tu modelo de detección e intenta engañarlo:

El modelo detecta pattern A = ransomware
Hacker: "Voy a hacer lo mismo, pero randomizar el timing para no parecer pattern A"
Resultado: nuevo tipo de ransomware no detectado

Defensa: Defensive ML, ensemble de modelos, monitoreo de drift

2. False Positives a escala

Si el modelo detecta 1000 anomalías/día pero el 90% son falsos positivos:

• El operador ignora las alertas (alert fatigue)
• La amenaza real pasa desapercibida

Defensa: Tuning riguroso, threshold calibrado, business context

3. Dependencia de la IA

Si el sistema de seguridad es 100% IA-driven:

• ¿Ataque al modelo? Toda la seguridad cae
• ¿Error sistemático? Afecta todo al mismo tiempo

Defensa: Defense in depth, múltiples layers, human review para decisiones críticas

Conclusión

La IA en seguridad no es un "nice to have". Es una necesidad.

Los adversarios usan IA para sofisticar los ataques. Tu defensa necesita ser igualmente sofisticada.

Empieza con la detección: ¿dónde están los puntos ciegos? Implementa IA allí.

Después escala hacia la previsión y la respuesta automática.

Tu datacenter es un objetivo. Defiéndelo bien.