Detección de actividad sospechosa en la red asociada con ataques cibernéticos en el ámbito ofimático

Abstract

Se desarrolla un programa de tipo modular con el objetivo de detectar actividad sospechosa en la red en función de los módulos utilizados. Consiste en un programa principal que contiene las funciones necesarias para analizar la actividad de red, como leer las trazas y su contenido, generar una serie de registros, y dar posibles avisos en caso de encontrar patrones de actividad de malware sin requerir intervención del usuario. La actividad por detectar queda definida en los módulos y se basa en ciertos paquetes y peticiones característicos de los ataques de red, así como en patrones y su frecuencia de repetición. Se han definido módulos para detección de cifrado de archivos compartidos por ransomware y escaneos de máquinas y puertos en red. Se comprueba su funcionamiento en una serie de pruebas experimentales configurando escenarios virtuales y simulando el cifrado de ficheros compartidos, o analizando capturas de paquetes de actividad de cifrado de distintas variedades de ransomware.

A modular program is developed with the aim of detecting suspicious activity on the network depending on the modules used. It consists of a main program, which after an analysis for efficient operation, contains the necessary functions to examine network activity, such as reading the traces and their contents, generating a series of logs, and giving warnings in case patterns of malware activity are found without requiring any user input. This activity is defined in the modules and is based on certain packets and requests characteristic of network attacks, as well as patterns and their repeat frequency. Modules have been defined for encryption detection of shared files by ransomware and scans of machines and ports. It is evaluated in a series of experimental tests by setting up virtual scenarios and simulating the encryption of shared files, as well as examining captures of encryption activity of different varieties of ransomware.