IceWall
T abajo de Fin de G ado
Cu so 2023–2024
Au o
San iago Mou enza Ri e o
Di ec o
Jose Luis Vazquez-Pole i
Juan Ca los Fabe o Jiménez
G ado en Ingenie ía In o má ica
Facul ad de In o má ica
Uni e sidad Complu ense de Mad id
IceWall
T abajo de Fin de G ado en Ingenie ía In o má ica
Au o
San iago Mou enza Ri e o
Di ec o
Jose Luis Vazquez-Pole i
Juan Ca los Fabe o Jiménez
Con oca o ia: Junio 2024
G ado en Ingenie ía In o má ica
Facul ad de In o má ica
Uni e sidad Complu ense de Mad id
14 de Mayo de 2024
Dedica o ia
A mi amigo Miguel Ángel po es a siemp e
cuándo lo he necesi ado, incluso en la e isión
de es e abajo. Y a Claudia po lee se es e
documen o y acompaña me mien as lo
edac aba.

Ag adecimien os
A mis pad es po apoya me du an e es os 5 años de ca e a, incluso en los mo-
men os dónde aguan a me ue una a dua a ea. A mi he mano po ene que sopo a
a un compañe o de piso que pasa de can an e a o ganizado de e en os sociales en
un segundo. A mis amigos po da me momen os en los que deja de pensa en odo
el abajo que enía que hace y da me ánimos pa a con inua . Y po úl imo a mí,
que incluso con odo en con a y mil dudas he conseguido llega has a aquí que, al
in y al cabo, es sólo el inicio de lo que me queda po consegui .
ii
Resumen
IceWall
En es e documen o se an a abo da cues iones ela i as a la segu idad in o má-
ica pa a consegui c ea un modelo basado en in eligencia a i icial que ayude en
la a ea de de ec a y ena a aques en edes. Pa a consegui es e obje i o, se a a
u iliza un conjun o de da os pa a en ena un modelo que di á qué ipo de a aque
es á ocu iendo pa a elegi un pos p oceso adecuado pa a ena dicho a aque.
Palab as cla e
Segu idad, Redes, Sklea n, Po Scan, Bo ne , DDoS, CICIDS2017
ix

Índice de igu as
3.1. Mé odoConnec ............................. 6
3.2. Mé odoS eal h .............................. 6
3.3. Mé odoACK ............................... 7
3.4. Mé odoFIN................................ 8
3.5. Mé odoNULL............................... 8
3.6. Mé odoXMAS .............................. 9
3.7. Handshake 3 ías en e TCP SYN looding . . . . . . . . . . . . . . 10
3.8. A aqueDDoS............................... 11
3.9. Co a uegos Fil ado . . . . . . . . . . . . . . . . . . . . . . . . . . . 13
3.10. Co a uegos p oxy ............................. 13
3.11. P oxy web................................. 14
3.12. Conexión TCP con SOCKS . . . . . . . . . . . . . . . . . . . . . . . 15
4.1. Di isión de paque es . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
4.2. G upo pequeño de a aques . . . . . . . . . . . . . . . . . . . . . . . . 24
4.3. G upo medio de a aques . . . . . . . . . . . . . . . . . . . . . . . . . 25
4.4. G upo g ande de a aques . . . . . . . . . . . . . . . . . . . . . . . . . 25
4.5. Ma iz de con usión después del en enamien o. . . . . . . . . . . . . 33
4.6. Ma iz de con usión pa a un a aque Po Scan. . . . . . . . . . . . . . 34
4.7. Ma iz de con usión pa a un a aque DDoS. . . . . . . . . . . . . . . . 34
A.1. Ca ac e ís icas del conjun o de da os 1 . . . . . . . . . . . . . . . . . 45
A.2. Ca ac e ís icas del conjun o de da os 2 . . . . . . . . . . . . . . . . . 46
B.1. Ca ac e ís icas de all_da a ........................ 47
B.2. Ca ac e ís icas de bo ........................... 48
x ii
B.3. Ca ac e ís icas de DDoS ......................... 48
B.4. Ca ac e ís icas de DoS GoldenEye .................... 49
B.5. Ca ac e ís icas de DoS Hulk ....................... 49
B.6. Ca ac e ís icas de DoS Slowh p es ................... 50
B.7. Ca ac e ís icas de DoS slowlo is ..................... 50
B.8. Ca ac e ís icas de FTP-Pa a o ..................... 51
B.9. Ca ac e ís icas de Hea bleed ....................... 51
B.10.Ca ac e ís icas de In il a ion ...................... 52
B.11.Ca ac e ís icas de Po Scan ....................... 52
B.12.Ca ac e ís icas de SSH-Pa a o ..................... 53
B.13.Ca ac e ís icas de Web A ack ...................... 53
C.1. Accu acy p omedio po A aque . . . . . . . . . . . . . . . . . . . . . 55
C.2. F1-sco e p omedio po A aque . . . . . . . . . . . . . . . . . . . . . . 56
C.3. P ecisión p omedio po A aque . . . . . . . . . . . . . . . . . . . . . 56
C.4. Recall p omedio po A aque . . . . . . . . . . . . . . . . . . . . . . . 57
C.5. Accu acy p omedio en all_da a ..................... 58
C.6. F1-sco e p omedio en all_da a ...................... 59
C.7. P ecisión p omedio en all_da a ..................... 59
C.8. Recall p omedio en all_da a ....................... 60
C.9. Accu acy p omedio en all_da a ..................... 61
C.10.F1-sco e p omedio en all_da a ...................... 62
C.11.P ecisión p omedio en all_da a ..................... 62
C.12.Recall p omedio en all_da a ....................... 63
C.13.Accu acy p omedio en all_da a ..................... 64
C.14.F1-sco e p omedio en all_da a ...................... 65
C.15.P ecisión p omedio en all_da a ..................... 65
C.16.Recall p omedio en all_da a ....................... 66
Índice de ablas
3.1. Fi ewall y NIDS/NIPS . . . . . . . . . . . . . . . . . . . . . . . . . . 16
4.1. Ca ac e ís icas CICIDS2017 . . . . . . . . . . . . . . . . . . . . . . . 22
4.2. Mejo es algo i mos po cada a aque pa a la mé ica accu acy ..... 29
4.3. Mejo es algo i mos po cada a aque pa a la mé ica F1-Sco e ..... 30
4.4. Mejo es algo i mos po cada a aque pa a la mé ica p ecision ..... 30
4.5. Mejo es algo i mos po cada a aque pa a la mé ica ecall ...... 31
4.6. Mejo es algo i mos en e odas las mé icas. . . . . . . . . . . . . . . 31
4.7. Da os del modelo inal con AdaBoos . . . . . . . . . . . . . . . . . . . 32
xix
Cap´
ı ulo 1
In oducción y obje i os
“No i e el que no i e segu o”
— F ancisco de Que edo
En el mundo de la segu idad y las edes, hay in inidad de p ocesos que los usua ios
no comp enden pe o asumen que uncionan co ec amen e y hacen uso de ellos sin
pa a se a pensa en la can idad de cosas que pod ían alla o las ulne abilidades
que pe sonas con in enciones maliciosas pueden explo a . A aques como el DDoS
(Dis ibu ed Denial o Se ice) se cob an íc imas a dia io haciendo que di e en es
emp esas, como en idades banca ias, su an una denegación de se icio. A aques de
es e ipo cons an de una ase p e ia dónde se in ec an di e en es equipos (bo ne )
pa a hace un a aque coo dinado consiguiendo así p i a de se icio a la en idad
a acada. Gene almen e el usua io del equipo in ec ado no es conscien e de que su
disposi i o o ma pa e de una bo ne .
En es e ejemplo, y en an os o os, no deja de se el desconocimien o el causan e
de que el a aque sea exi oso. Es á cla o que pa imos de la p emisa de que no an a
deja de exis i es os a aques, po lo que la idea es consegui una de ensa lo su icien-
emen e buena pa a e i a que sean lle ados a cabo. Pa a ello exis en he amien as
como co a uegos o IDS (In usion De ec ion Sys ems) que nos pe mi en il a a a-
ques de ed de mane a que, po mucho que se in en e, no dejan pasa los paque es
que consegui ían el obje i o del a aque.
El p oblema que ienen es as he amien as es que, has a cie o pun o, no son au-
ónomas ya que iene que habe expe os que e isen an o que las eglas de il ado
son co ec as como los egis os de azas. Es o puede ocasiona que se come an
algunos e o es que pod ían se solucionados con algún ipo de au oma ización, ya
sea po la e iciencia del mé odo aplicado o po simpli ica la de ección de a aques
pa a así ayuda al a amien o a pos e io i de los da os de un a aque. Es os e o es
pueden se de múl iples ipos, desde que el expe o pueda no da se cuen a de de alles
c uciales que e minen gene ando ulne abilidades en un sis ema, has a allos en las
he amien as di ícilmen e p e isibles.
1

2Capí ulo 1. In oducción y obje i os
1.1. Obje i os
En es e abajo amos a limi a nos a busca la mane a de mejo a la de ensa
en e a di e en es a aques de ed. Pa a ello se á impo an e conoce da os, como los
a aques, sus ca ac e ís icas, así como mane as de de ende se pa a e i a que esul en
c í icos. Es a ma e ia es algo que se lle a es udiando desde hace mucho iempo pe o
siemp e es posible da nue os en oques de ca a a mejo a lo que ya exis e. Es po
ello po lo que como obje i os p incipales se a a busca :
Re isa y analiza los ipos de a aques y o mas de mi iga los.
En ena un modelo de machine lea ning que pe mi a iden i ica qué ipo de
a aque se es á p oduciendo.
C ea códigos de pos p ocesado que pe mi an de ende de uno o dos de los
posibles a aques.
Comp oba la u ilidad o no de una he amien a de es e es ilo, en caso de se
posible.
1.2. Plan de abajo
Pa a llega a los obje i os p opues os se a a segui un plan basado en di e en es
ases de desa ollo. Es as ases son las siguien es:
Fase 1 - Da os y p ep oceso: Du an e es a e apa se escoge un conjun o de
da os y se le hace un p ep oceso pa a que sea co ec o de ca a a pode en ena
un modelo con algo i mos de MachineLea ning u ilizando la libe ía Sklea n.
Fase 2 - En enamien o y decisiones de pa áme os: En es a segunda
e apa se p e ende hace di e sos en enamien os median e el conjun o de da os
p ep ocesado pa a e qué pa áme os son los que mejo modelo p edic i o
gene an. Una ez con ello se gua da á dicho en enamien o pa a pode hace
p edicciones de a aques basados en nue os conjun os de da os.
Fase 3 - Pos p oceso de Po Scan y DDoS: Una ez de ec ado el ipo
de a aque se le ha á un pos p oceso pa a mi iga el a aque. En es e caso se
an a implemen a dos códigos de pos p oceso, uno pa a Po Scan y o o pa a
DDoS.
Se han elegido es os dos ipos de a aque po se ejemplos sencillos que si en
pa a ejempli ica la idea que se p e ende implemen a de o ma in eg al. En el caso
de Po Scan o explo ación de pue os se espe a de ec a qué máquina in en ando
comp oba el es ado de los pue os y bloquea le la posibilidad de acceso a es a
in o mación. Po o o lado en DDoS o denegación de se icio dis ibuída se espe a
ena la llegada de múl iples paque es pa a e i a que el se icio colapse.
Chap e 2
In oduc ion and Objec i es
“One does no uly li e i one does no li e secu ely”
— F ancisco de Que edo
In he ealm o secu i y and ne wo king, he e a e coun less p ocesses ha use s
may no ully unde s and bu o en ake o g an ed, assuming hey will wo k co -
ec ly. Wi hou conside ing he nume ous po en ial ailu es o ulne abili ies, use s
unknowly expose hemsel es o isks ha malicious ac o s can exploi . One such
isk in ol es Dis ibu ed Denial o Se ice (DDoS) a acks, which occu daily and
ha e se e e impac s on a ious en i ies, including banks, by dis up ing hei se -
ices. These a acks usually s a wi h a p elimina y phase whe e mul iple de ices
a e in ec ed o o m a bo ne . This bo ne hen ca ies ou a coo dina ed a ack,
c ippling he a ge ed se ice. Typically, he owne s o hese in ec ed de ices a e
unawa e ha hei de ices a e being used in such a manne .
In his case, and many o he s, he success o an a ack is o en due o a lack
o knowledge. We ope a e unde he assump ion ha such a acks will no cease.
The e o e, he s a egy is o de elop a de ense obus enough o s op hese a acks.
Tools like i ewalls and In usion De ec ion Sys ems (IDS) a e c ucial o his pu -
pose. They help il e ne wo k a acks in such a way ha , no ma e he e o
pe o med, hey p e en he ansmission o packe s ha could ul ill he a ack’s
objec i e.
These ools ha e, o a ce ain ex en , a lack o au onomy because hey equi e
expe s o e i y he accu acy o il e ing ules and o e iew ace logs. Such
eliance can lead o e o s ha migh be mi iga ed h ough au oma ion, which
would enhance he me hod’s e iciency o simpli y he p ocess o a ack de ec ion,
hus imp o ing pos -a ack da a analysis. The ypes o e o s encoun e ed can a y
widely, om expe s missing c i ical de ails ha in oduce sys em ulne abili ies,
o unp edic able ool ailu es.
3
4Chap e 2. In oduc ion and Objec i es
2.1. Requi emen s
In his s udy, we will explo e me hods o imp o e de enses agains a ious ne -
wo k a acks. I will be c ucial o collec in o ma ion abou he ypes o a acks,
hei cha ac e is ics, and de ensi e me hods o p e en hese om escala ing. While
his opic has been ex ensi ely s udied, he e is always oom o inno a i e pe spec-
i es o enhance cu en me hodologies. The main objec i es o his explo a ion will
be:
Re iew and analyze he a ious ypes o ne wo k a acks and explo e me hods
o mi iga e hem.
T ain a machine lea ning model o accu a ely iden i y he ype o a ack as i
occu s.
De elop pos -p ocessing codes aimed a de ending agains one o wo speci ic
po en ial a acks.
E alua e he u ili y and e ec i eness o such a ool, i possible.
2.2. Wo kplan
To achie e he p oposed objec i es, a plan based on di e en de elopemen
phases will be ollowed. These phases a e as ollows:
Phase 1 - Da a and P ep ocessing: Du ing his s age, a da ase is p e-
p ocessed o ensu e i is sui able o aining a model using Machine Lea ning
algo i hms wi h he Sklea n lib a y.
Phase 2 - T aining and Pa ame e Selec ion: In his second s age, a -
ious aining sessions a e conduc ed using he p ep ocessed da ase o de e -
mine which pa ame e s p oduce he bes p edic i e model. Once de e mined,
his aining will be sa ed o make p edic ions on new da ase s.
Phase 3 - Pos -p ocesing o Po Scan and DDoS: A e de ec ing he
ype o a ack, pos -p ocessing will be pe o med o mi iga e he a ack. In
his case, wo pos -p ocessing codes will be implemen ed, one o Po Scan
and ano he o DDoS.
The wo ypes o a acks selec ed, Po Scan and DDoS, can be used as examples
o illus a e he b oade concep planned o implemen a ion. Fo Po Scan a acks,
he objec i e is o iden i y which machine is a emp ing o inspec he s a us o po s
and subsequen ly block i s access o his in o ma ion. In con as , o Dis ibu ed
Denial o Se ice (DDoS) a acks, he goal is o p e en he in lux o mul iple packe s
simul aneously o a oid se ice dis up ion.
Cap´
ı ulo 3
Es ado de la cues ión
En es e capí ulo se a a explica en qué es ado se encuen an acualmen e las
ecnologías asociadas a la de ensa de a aques de ed y po qué la idea que se p esen a
es necesa ia.
3.1. A aques
En es a sección amos a comen a los di e en es a aques más impo an es pa a
así comp ende en un u u o cómo pueden se bloqueados o busca con amedidas
más e icien es.
3.1.1. Po Scan o explo ación de pue os
El a aque Po Scan o explo ación de pue os consis e en que el a acan e en ía
paque es a un conjun o de pue os de la íc ima. La espues a a dichos paque es
da in o mación al a acan e del es ado del pue o. Con es o puede ap ende sob e
el sis ema y de ec a así ulne abilidades. Hay di e en es ipos de explo ación de
pue os, dependiendo de cómo se e ec úen (Mo eno Vozmediano, 2023c) (Fyodo ,
2005) (Kos as, 2018).
Mé odo connec : Es e mé odo consis e en es ablece una conexión TCP con
la íc ima pa a después se ce ada con un RST. Las posibles espues as de la
íc ima son las siguien es:
•Acep a la conexión, es deci , de uel e SYN-ACK. Es o nos indica que el
pue o es á abie o.
•Rechaza la conexión, es deci , de uel e RST. Es o nos indica que el pue o
es á ce ado.
•No esponde nada o esponde con ICMP des ino inalcanzable, es deci ,
el pue o es á il ado po un co a uegos.
5
12 Capí ulo 3. Es ado de la cues ión
De ed: Es a implemen ación p o ege oda una ed median e un disposi i o
ubicado en e la ed in e na e in e ne , que es el que con ola el á ico. La
o ma de implemen a se es o bien un so wa e ins alado en un equipo con un
sis ema ope a i o con encional o con un apa a o ha dwa e dedicado con un
sis ema ope a i o básico.
O a in o mación impo an e a des aca son los ipos de co a uegos, como son
los de il ado y p oxy. Vamos a comen a los dando da os sob e ellos, así como da
ejemplos pa a que sea más sencillo en ende el concep o:
Fil ado
Fil an los paque es basándose en las cabece as de los p o ocolos de ed (s a e-
less) o en el es ado de la conexión (s a e ul). Solamen e pe mi e en a /sali paque es
de in e ne hacia/desde el se ido . No il a comunicaciones con máquinas in e nas,
dado que no e el a ico de la in ane . En la Figu a 3.9, podemos e un diag ama.
S a eless
Es e ipo de co a uegos se basa en la con igu ación de una lis a de eglas que se
aplican a cada paque e que pasa po el mismo. El obje i o es comp oba los campos
de las cabece as de los p o ocolos pa a deja pasa o bloquea los paque es. En la
con igu ación, las eglas an a es a en o den y se a a i con as ando con los campos
del paque e pa a e si coinciden, en caso de no se así, el co a uegos end á una
polí ica po de ec o que acep a o bloquea el paque e. Pa a la con igu ación de es as
eglas u iliza emos n ables más adelan e (Fabe o Jiménez, 2023).
La polí ica po de ec o suele segui una de dos es a egias. Una de ellas es
denega po de ec o odo paque e que no es é pe mi ido, es deci , al inal de la
cadena de eglas, de no habe coincidencia con ninguna, se desca a el paque e. La
o a es pe mi i po de ec o. Po lo gene al siemp e se u iliza la de echaza po
de ec o po se más segu a y es ic i a con el á ico desconocido.
S a e ul
Es e ipo de co a uegos compa e odas las ca ac e ís icas del an e io pe o
añade algo undamen al, iene en cuen a el es ado de las conexiones. Pa a ello se
c ea una abla de en ada po cada conexión en es ado es ablished. Con es o se
puede pe mi i el á ico hacia pue os e íme os únicamen e si hay una conexión
es ablecida p e iamen e con dichos pue os. A su ez ambién se iden i ican paque es
elacionados con conexiones es ablecidas p e iamen e. Es impo an e deci que pa a
UDP ambién unciona aunque no se es ablezca una conexión como al. Es o se
suele hace median e ablas de es ado que man ienen in o mación de las conexiones
ealizadas ecien emen e, así aunque no es é la conexión es ablecida se conside a
como al.

3.2. Con amedidas 13
Figu a 3.9: Uso del co a uegos de il ado. Fuen e: Mo eno Vozmediano (2023a)
página 10.
P oxy
Ac úan como in e media ios en e o igen y des ino, c eando conexiones de ans-
po e dis in as (in e na y ex e na). In e cep a paque es y los inspecciona an es de
en ia los al des ino.
Complemen a a un co a uegos de il ado como podemos e en la Figu a 3.10.
Las máquinas in e nas pueden conec a se a se ido es ex e nos de o ma indi ec a
median e el se ido p oxy. Los hay de dos ipos, de aplicación y de ci cui o.
Figu a 3.10: Uso del co a uegos p oxy complemen a io. Fuen e: Mo eno Vozme-
diano (2023a) página 10.
14 Capí ulo 3. Es ado de la cues ión
Aplicación
Es un in e media io ela i o a aplicación, po ejemplo pa a solici a el acceso a
una web. En es e ejemplo el clien e solicia al p oxy el acceso a la web, es e edi ige la
pe ición al se ido web, el cual en ía de uel a la in omación solici ada. Es en onces
cuando, inalmen e, el p oxy en ía al clien e los da os de la web. Con un diag ama
como el de la Figu a 3.11 se en iende mejo el uncionamien o.
Figu a 3.11: Ejemplo de solici ud a se ido p oxy web. Fuen e: Dha aji (2021).
Las ca ac e ís icas p incipales de es e co a uegos son:
El il ado del con enido no deseado o comandos pelig osos.
El pe miso o no del acceso a se ido es ex e nos.
La posibilidad de implemen ación de au en icación de usua ios.
Se pe mi e el uso de caché pa a acele a las espues as.
Es más segu o que el il ado de paque es, pe o in oduce sob eca ga en cada
conexión.
Especí ico de cada po ocolo de aplicación.
Rela i o a ci cui o
Tiene la unción de se un in e media io en la capa de anspo e. No pe mi e una
conexión TCP de ex emo a ex emo, la comunicación en e el clien e y el se ido
eales se hace a a és del p oxy de o ma indi ec a. Es conocido a su ez como
co a uegos p oxy anspa en e1ya que no modi ica la solici ud o espues a más allá
de lo necesa io pa a la au en icación e iden i icación de p oxy. Un ejemplo conocido
de es e ipo de co a uegos es SOCKS como podemos e en la Figu a 3.12.
1Es e é mino se de ine en la página de IBM poniendo de ejemplo SOCKS
3.2. Con amedidas 15
Figu a 3.12: Ejemplo de es ablecimien o de conexión TCP con p oxy ela i o a
ci cui o SOCKS. Fuen e: S ephen Huang y Cao (2020) página 4.
3.2.2. Sis emas de de ección y p e ención de in usiones
De inimos una in usión como cualquie acceso no au o izado a un sis ema o a la
u ilización maliciosa de sus ecu sos de in o mación. El obje i o de una in usión es
consegui el acceso al sis ema pa a causa daños, ob ene in o mación o u iliza el
sis ema pa a ealiza o os a aques. Pa a ello amos a e sis emas que nos ayuden a
de e ne o p e eni es as in usiones. Podemos clasi ica los como In ude De ec ion
Sys em (IDS) o In ude P e en ion Sys em (IPS) (Mo eno Vozmediano, 2023b).
Sis emas de de ección de in usos : IDS pasi o
Es un disposi i o o aplicación so wa e que se enca ga de moni o iza un sis ema
o una ed pa a de ec a cualquie ipo de ac i idad maliciosa y de ale a o no i ica
cuando se de ec en es as ac i idades. Hay dos ipos de IDS:
HIDS (Hos -based IDS): Moni o iza la ac i idad de un único sis ema.
NIDS (Ne wo k-based IDS): Moni o iza la ac i idad de una ed.
3.2.3. Sis emas de p e ención de in usos: IPS o IDS ac i o
Con el iempo, además de moni o iza y en ia ale as, los IDS empeza on a
e ec ua acciones cuando se de ec a una in usión. Vamos a habla de dos ipos:
16 Capí ulo 3. Es ado de la cues ión
NIPS (Ne wo k-based IPS): p o ege una ed u ilizando de ección basada en
i mas. La de ección basada en i mas busca pa ones almacenados en una base
de da os pa a comp oba de qué ipo de a aque es á ocu iendo. Po ejemplo
se busca si la combinación de lags TCP coincide con los usados du an e una
explo ación de pue os.
NBA (Ne wo k Beha iou s Analysis): p o ege una ed u ilizando de ección de
anomalías. La de ección de anomalías busca des iaciones del compo amien o
no mal, clasi icando como anómala o no mal la ac i idad de los di e en es
usua ios. Un ejemplo de ac i idad anómala es el consumo excesi o de ancho
de banda.
Una ez de inidos es os sis emas amos a e qué acciones ealizan los NIDS/
NIPS. Pa a pode de ec a o p e eni a aques es necesa io que es én con inuamen e
analizando el á ico de ed, en pa icula en NIDS unciona como un as eado
de ed (sni e ) pa a hace es o. Con la idea de no sob eca ga la he amien a se
u ilizan il os pa a no ene que analiza en b u o odo el á ico. Una ez hecho
es o se aplican eglas pa a de ec a anomalías en el á ico y po úl imo gene a
ale as cuando algún paque e o secuencia de paque es coincide con las eglas. En
pa icula , NIPS puede desca a el á ico en ez de no i ica lo.
3.2.4. NIDS/NIPS y Co a uegos : ¿Di e en es o compa i-
bles?
Fi ewall NIDS/NIPS
Limi a el acceso en e edes, p e iniendo
in usiones.
Iden i ica cuándo una in usión es á
eniendo luga , gene ando una ale a
(NIPS puede desca a ).
No iden i ica cuándo un a aque es á ocu-
iendo en la ed.
Es capaz de de ec a a aques en iempo
eal.
Se basa en eglas simples; il ado po IP,
pue o o igen, e c.
Se basa en eglas complejas como la de-
ección de anomalías o la de ección ba-
sada en i mas.
Limi ada a las eglas con igu adas. Puede de ec a a aques desconocidos
median e análisis de compo amien o.
Puede ope a en modo de es ado y sin
es ado.
Ope ación en iempo eal pa a de ec a
in usiones.
Tabla 3.1: Compa ación en e un Fi ewall y un NIDS/NIPS
3.3. Al e na i as sin in eligencia a i icial 17
3.3. Al e na i as sin in eligencia a i icial
En es a sección amos a e algunas he amien as simila es a Icewall que exis en
ac ualmen e en el me cado y que no u ilizan in eligencia a i icial pa a lle a a cabo
su obje i o.
3.3.1. Sno
Desc ipción
Sno (Cisco, 2024) es una he amien a de código abie o pa a análisis de á ico.
Puede unciona como as eado o egis ado de ed, NIDS o NIPS. La simili ud
que iene con el sis ema que plan eamos es que dado un lujo de paque es gene a
ale as sob e posibles a aques de ed.
Ca ac e ís icas
Sno u iliza un mo o de de ección basado en eglas que se ac ualiza de mane a
egula pa a pode econoce las úl imas ulne abilidades y écnicas de a aque.
3.3.2. Su ica a
Desc ipción
Al igual que Sno ,Su ica a (OISF, 2024) es o a solución que pe mi e la de ec-
ción de in usiones y la p e ención de amenazas de ed. Es capaz de moni o iza el
á ico de ed a iempo eal y clasi ica lo en benigno y maligno basándose en eglas
p ede inidas.
Ca ac e ís icas
Des aca po su capacidad de ealiza análisis con mul i h eading, lo que pe mi e
maneja mucho á ico de o ma simul ánea con écnicas de de ección basadas en
anomalías y i mas.
3.3.3. Zeek
Desc ipción
Zeek (The Zeek P ojec , 2024) (an e io men e llamado B o) es un amewo k de
análisis de segu idad en edes que se cen a en el análisis de compo amien os y el
egis o de ac i idades en ed, en ez de las soluciones basadas en i mas (Sno y
Su ica a).

18 Capí ulo 3. Es ado de la cues ión
Ca ac e ís icas
Es ideal pa a en o nos de ed a anzados ya que pe mi e una g an pe sonalización
pa a de ec a anomalías especí icas.
3.3.4. Al e na i as con in eligencia a i icial
Pa a comple a la sección an e io amos a e unas he amien as que exis en en
el me cado pe o que en es e caso sí u ilizan in eligencia a i icial pa a su obje i o,
es po ello que se ap oxima aún más a la idea que se busca en Icewall.
3.3.5. Cisco Fi epowe
Desc ipción
Cisco Fi epowe (Cisco Fi epowe , 2018) es un sis ema de i ewall de p óxima
gene ación que in eg a múl iples capas de de ensa de segu idad en una sola pla a o -
ma. U iliza un en oque basado en amenazas, p opo cionando isibilidad y con ol de
aplicaciones, usua ios y u l a a és de sus capacidades de p e ención de in usiones
y il ado de con enido. Los disposi i os Fi epowe ope an con el so wa e Cisco Fi-
epowe Th ea De ense, que incluye p o ección a anzada con a malwa e (AMP),
p e ención de in usiones de siguien e gene ación (NGIPS) y capacidades de il ado
de u l.
Ca ac e ís icas
Cons a de un endimien o excepcional, incluso con unciones a anzadas de de en-
sa de amenazas ac i as, una ges ión e icien e y la capacidad de escala pa a cumpli
con las demandas de di e en es en o nos, desde pequeñas o icinas has a g andes cen-
os de da os. Además, su a qui ec u a modula pe mi e adap a se a necesidades
especí icas de endimien o y segu idad. U iliza la in eligencia a i icial en AMP y
NGIPS, es o ayuda en el análisis y la de ección au omá ica de amenazas, pe mi ien-
do una espues a más ápida y e ec i a a inciden es de segu idad.
3.3.6. Palo Al o Ne wo ks Nex -Gene a ion Fi ewall
Desc ipción
Al igual que la al e na i a de Cisco,Palo Al o Ne wo ks (Palo Al o Ne wo ks,
2024) combina co a uegos, p e ención de in usiones además de unciones de segu-
idad basadas en la nube.
3.4. Compa a i a con IceWall 19
Ca ac e ís icas
El uncionamien o de es os NGFW se cen a en la p e ención de amenazas me-
dian e el uso in eg ado de in eligencia de segu idad gene ada a pa i de una g an
can idad de in o mación de clien es. Es o pe mi e de ec a amenazas conocidas y
desconocidas, incluso en á ico enc ip ado. Además, con el sopo e de ap endiza-
je au omá ico in eg ado, los i ewalls pueden adap a y mejo a con inuamen e sus
capacidades de de ección y espues a an e amenazas eme gen es.
3.3.7. Da k ace
Desc ipción
Den o de las ya is as, Da k ace (Da kT ace, 2023) es la solución más a an-
zada ya que u iliza la in eligencia a i icial pa a de ec a a aques a iempo eal. La
pla a o ma de segu idad Ac i eAI se especializa en la isibilidad con inua de odo
el en o no digi al de una o ganización, pe mi iendo una espues a adap ada a las
necesidades p opias del en e no.
Ca ac e ís icas
El sis ema de Da k ace ap ende de mane a con inua en base a los pa ones de
cada disposi i o y usua io den o de una ed pa a así de ec a compo amien os
anómalos. U iliza ap endizaje no supe isado, lo que pe mi e de ec a a aques sin
necesidad de da os de en enamien o p e ios o modelos especí icos.
3.4. Compa a i a con IceWall
El obje i o que iene IceWall es u iliza in eligencia a i icial pa a de ec a a a-
ques que es án ocu iendo en una ed pa a pode aplica écnicas conc e as pa a el
a aque de ec ado y así ena la ac i idad maliciosa de una o ma pe sonalizada y
e icien e.
Hemos podido e que en el me cado encon amos soluciones en las que se u iliza
in eligencia a i icial pa a lle a es a a ea a cabo. No obs an e, al se desa olladas
po emp esas que come cializan su uso, nos impide ene acceso a las implemen-
aciones y po ello a no comp ende su uncionamien o in e no. Vamos a in en a
comp ende de qué mane a uncionan los modelos p edic i os de de ección de a a-
ques median e el econocimien o de pa ones dependiendo el ipo de a aque. En los
capí ulos pos e io es se i á explicando más en p o undidad el uncionamien o de la
implemen ación, pe o es necesa io una compa ación con al e na i as ya exis en es.
Las ases de uncionamien o de Icewall se án: p ep ocesado de da os, en e-
namien o pa a encon a pa ones, de ección de a aques, pos p ocesado
y mi igación.
Cap´
ı ulo 4
P oceso de en enamien o
En es e capí ulo amos a abo da oda la pa e ela i a al en enamien o del
modelo. Comenza emos con un p ep ocesado de los da os, elección de los algo i mos
conc e os, análisis de los esul ados y en enamien o del modelo inal. Con es o
ob end emos un modelo con una con igu ación óp ima pa a de ec a qué a aque
es á ocu iendo en un á ico especí ico.
4.1. In oducción al conjun o de da os CICIDS2017
El conjun o de da os CICIDS2017 (Canadian Ins i u e o Cibe secu i y In u-
sion De ec ion Sys ems) ue c eado po el Ins i u o de Cybe segu idad de la Uni e -
sidad de Nue o B unswick en Canadá. Es e conjun o de da os consis e en el á ico
gene ado en e los días 3 y 7 de Julio de 2017. Toda la in o mación con enida en los
da os se esume en el con enido de la Tabla 4.1.
Figu a 4.1: Po cen aje de paque es malignos y benignos.
21
28 Capí ulo 4. P oceso de en enamien o
Recall: Lo de inimos como la acción
Recall =
T P
T P +F N
donde TP ep esen a los e dade os posi i os y FN los alsos nega i os. El
mejo alo de ecall es el 1 y el peo es 0.5
F1 Sco e: Es a medida se puede in e p e a como una media a mónica de la
p ecisión y el ecall, dónde alcanza su mejo alo en el 1 y el peo en el 0. La
ó mula es
F1 = 2·T P
2·T P +F P +F N
donde TP ep esen a los e dade os posi i os, FP los alsos posi i os y FN los
alsos nega i os.6
Accu acy: La de inimos como la acción
Accu acy =
T N +T P
F P +T N +T P +F N
donde TP ep esen a los e dade os posi i os, FP los alsos posi i os, TN los
e dade os nega i os y FN los alsos nega i os.7
Se an a gua da es os da os en un a chi o llamado esul s_1.cs que po
columnas iene el a aque, algo i mo, accu acy, p ecisión, ecall,F1-Sco e y iempo.
Es o se á u ilizado después de habe comple ado odos los en enamien os pa a
comp oba que algo i mo debe emos u iliza pa a el en enamien o inal. Vamos a
c ea un a chi o de las mismas ca ac e ís icas pa a los siguien es en enamien os.
4.5.2. En enamien o sob e la unción de en ada de odos
los da os
En es a pa e amos a en ena de di e sas mane as el a chi o all_da a.cs pa a
ex ae da os dependiendo de ca ac e ís icas y algo i mos (Kos as, 2018).
P ime En enamien o: Es e en enamien o a a u iliza los mismos algo-
i mos que el apa ado an e io , en cambio a a u iliza las ca ac e ís icas
esul an es de combina las cua o p ime as de cada a aque y como son 12
a aques enemos un o al de 48 que, eliminando epe iciones, esul a en 18
más el “Label”. Los esul ados se gua da án en el a chi o esul s_2.cs .
Segundo En enamien o: Es e en enamien o a a segui combinando los
mismos algo i mos pe o con o as ca ac e ís icas. Aho a amos a oma las
ca ac e ís icas sob e el iche o de odos los a aques. Se an a escoge sie e ca-
ac e ís icas más ele an es de en e en enamien o jun o con el campo “Label”.
Los da os esul an es se án gua dados en el a chi o esul s_3.cs .
5La in o mación sob e el ecall es á en la documen ación de sciki -lea n.
6La in o mación sob e el F1 Sco e es á en la documen ación de sciki -lea n.
7La in o mación sob e el accu acy es á en la documen ación de sciki -lea n.

4.5. En enamien o con Machine Lea ning 29
Te ce En enamien o: En es a e sión se an a oma pa a los algo i mos
Nai e Bayes, QDA y MLP unas ca ac e ís icas de e minadas a endiendo a los
da os p e iamen e calculados que ienen un peso ele an e pa a el en ena-
mien o. En cambio, pa a Random Fo es , ID3, AdaBoos y Nea es Neighbo s
se conside a que han de ene una misma lis a de ca ac e ís icas de 7 elemen os
ex aídos de las ca ac e ís icas del conjun o de odos los da os. Los esul ados
se gua da án en un a chi o llamado esul s_Final.cs .
4.5.3. Análisis de los esul ados del en enamien o
Una ez e minadas las ases de en enamien o amos a analiza los a chi os
esul an es pa a pode e la e iciencia de cada algo i mo pa a elegi el mejo de
en e odos pa a en enamien o inal. C eamos pa a es a a ea di e en es g á icas
pa a pode obse a los alo es de las mé icas y así compa a dichos algo i mos.
Pa a c ea es as g á icas, ha emos un p omedio de las ca ac e ís icas po a aque y
algo i mo, podemos e el esul ado en el Anexo B.
Una ez c eadas amos a e po cada mé ica qué algo i mos esul an mejo es
pa a cada a aque. T as es a clasi icación, amos a hace un esumen gene al dónde
ex ae emos el algo i mo más e icien e pa a los da os y en enamien os dados.
Bo AdaBoos
DDoS ID3
DoS GoldenEye Random Fo es
DoS Hulk AdaBoos / ID3
DoS Slowh p es AdaBoos
DoS slowlo is AdaBoos
FTP-Pa a o Random Fo es
Hea bleed AdaBoos /ID3/Nai e Bayes/Nea es Neighbo s/
QDA/Random Fo es
In il a ion Random Fo es
Po Scan Nea es Neighbo s
SSH-Pa a o AdaBoos
Web A ack Random Fo es
Tabla 4.2: Mejo es algo i mos po cada a aque pa a la mé ica accu acy
30 Capí ulo 4. P oceso de en enamien o
Bo AdaBoos
DDoS ID3
DoS GoldenEye Random Fo es
DoS Hulk ID3
DoS Slowh p es AdaBoos
DoS slowlo is AdaBoos
FTP-Pa a o AdaBoos /ID3/MLP/Nea es Neighbo s/
Random Fo es
Hea bleed AdaBoos /ID3/Nai e Bayes/Nea es Neighbo s/
QDA/Random Fo es
In il a ion Random Fo es
Po Scan ID3/Nea es Neighbo s/Random Fo es
SSH-Pa a o AdaBoos /ID3/Random Fo es
Web A ack Ada Boos
Tabla 4.3: Mejo es algo i mos po cada a aque pa a la mé ica F1-Sco e
Bo AdaBoos
DDoS ID3
DoS GoldenEye Random Fo es
DoS Hulk AdaBoos
DoS Slowh p es AdaBoos
DoS slowlo is AdaBoos /ID3
FTP-Pa a o AdaBoos /ID3/MLP/Nea es Neighbo s/
Random Fo es
Hea bleed AdaBoos /ID3/Nai e Bayes/Nea es Neighbo s/
QDA/Random Fo es
In il a ion Random Fo es
Po Scan ID3/Nea es Neighbo s/Random Fo es
SSH-Pa a o AdaBoos /ID3/Random Fo es
Web A ack Random Fo es
Tabla 4.4: Mejo es algo i mos po cada a aque pa a la mé ica p ecision
4.5. En enamien o con Machine Lea ning 31
Bo AdaBoos
DDoS ID3
DoS GoldenEye Random Fo es
DoS Hulk ID3/Nea es Neighbo s
DoS Slowh p es AdaBoos
DoS slowlo is AdaBoos
FTP-Pa a o AdaBoos /ID3/MLP/Nea es Neighbo s/
Random Fo es
Hea bleed AdaBoos /ID3/Nai e Bayes/Nea es Neighbo s/
QDA/Random Fo es
In il a ion Random Fo es
Po Scan ID3/Nea es Neighbo s
SSH-Pa a o ID3
Web A ack AdaBoos
Tabla 4.5: Mejo es algo i mos po cada a aque pa a la mé ica ecall
Aho a amos a hace una abla que si a de esumen de las que acabamos de
e como son la Tabla 4.2,Tabla 4.3,Tabla 4.4 yTabla 4.5. En es e esumen
que ecogemos en la Tabla 4.6 podemos e que el algo i mo que más eces ha
esul ado se el mejo es AdaBoos , po lo que es e a a se con el que en enemos
el modelo con el que nos se i á pa a p edeci los a aques. Nos ijamos en que, po
ejemplo, DDoS y Po Scan ienen di e en es algo i mos óp imos, no obs an e más
adelan e obse a emos que el compo amien o de AdaBoos es bueno pa a p edeci
es os a aques.
Bo AdaBoos
DDoS ID3
DoS GoldenEye Random Fo es
DoS Hulk ID3
DoS Slowh p es AdaBoos
DoS slowlo is AdaBoos
FTP-Pa a o Random Fo es
Hea bleed AdaBoos /ID3/Random Fo es
In il a ion Random Fo es
Po Scan Nea es Neighbo s
SSH-Pa a o ID3
Web A ack AdaBoos
Tabla 4.6: Mejo es algo i mos en e odas las mé icas.
32 Capí ulo 4. P oceso de en enamien o
4.5.4. En enamien o del modelo p edic o
Vamos a en ena con AdaBoos el a chi o all_da a.cs con las mismas ca ac-
e ís icas que hemos ob enido de los en enamien os an e io es. En es e caso amos
a cen a nos en dis ingui los a aques y analiza la ma iz de con usión esul an e.
De ca a a pode hace un código de pos p ocesado adecuado nos amos a cen a
en dis ingui : Benigno,DDoS,Po Scan yO os A aques.
Es o es muy p obable que gene e con usión al dis ingui la ca ego ía O os
A aques. Es o es no mal po que ienen peculia idades que es amos ag upando en
una misma clase, de ca a a mejo a la clasi icación end íamos que pode elegi
en e los di e en es a aques u ilizando un dicciona io más amplio, no obs an e es o
se ha ía pos e io men e cuando se quisiesen a a más a aques y no únicamen e los
dos que hemos elegido como ejemplo. Hemos ejecu ado es e código a ias eces pa a
ob ene el mejo esul ado posible pa a luego gua da el es ado de en enamien o
pa a pode hace p edicciones sob e o os conjun os de da os. Es e en enamien o
iene las mé icas que se obse an en la Tabla 4.7.
Accu acy F1-Sco e P ecisión Recall
0.84 0.66 0.75 0.73
Tabla 4.7: Da os del modelo inal con AdaBoos .
Vamos a analiza la ma iz de con usión de la Figu a 4.5 pa a e si se han
de ec ado co ec amen e los a aques:
Benigno: Obse amos que lo mejo clasi icado en es e modelo son los paque-
es benignos. Es ácil que es o ocu a debido a la al a densidad de paque es
benignos den o del da ase , incluso habiendo con olado la can idad de ellos
de ca a al en enamien o. Pod ía deci se que se con unde un poco con Po Scan,
pe o la di e encia en e los da os es muy g ande po lo que la con usión no es
ele an e.
DDoS: Del mismo modo es e a aque se clasi ica bas an e bien. Casi odos los
paque es DDoS se han iden i icado como al y hay una pa e que se con unde
con paque es benignos. No obs an e, se clasi ica lo su icien emen e bien.
Po Scan: Es e a aque p ác icamen e no iene con usión, es deci , el modelo
que hemos en enado es capaz de de ec a de mane a muy p ecisa cuando un
a aque se a a de un Po Scan.
O os A aques: Vemos que debido a las di e sas ca ac e ís icas de los a aques
es an es la con usión es o al. Se p e é que si iden i icamos co ec amen e los
a aques la con usión se educe.
4.5. En enamien o con Machine Lea ning 33
Aho a pa a comp oba un caso pa icula amos a ecupe a el modelo en enan-
do que dio luga a la an e io ma iz de con usión. Vamos a alimen a es e modelo
con da os que ep esen a an un a aque de explo ación de pue os. Una ez hecho es o
analizamos la nue a ma iz de con usión (Figu a 4.6) pa a e que ha uncionado
co ec amen e el modelo pa a un caso pa icula .
Del mismo modo amos a alimen a el modelo con da os de un a aque de ipo
DDoS. El esul ado podemos obse a lo en la Figu a 4.7. Dónde emos que la g an
mayo ía de los paque es de ec ados son co ec os aunque hay una pequeña con usión
con paque es benignos.
Aho a iendo que clasi ica co ec amen e podemos pasa a la implemen ación de
un código de pos p ocesado pa a bloquea , en casa caso, el a aque pe inen e.
Figu a 4.5: Ma iz de con usión después del en enamien o.

34 Capí ulo 4. P oceso de en enamien o
Figu a 4.6: Ma iz de con usión pa a un a aque Po Scan.
Figu a 4.7: Ma iz de con usión pa a un a aque DDoS.
4.6. Pos p ocesado y uncionamien o inal 35
4.6. Pos p ocesado y uncionamien o inal
Con odo lo que hemos hecho has a aho a sabemos que un conjun o de da os
es á siendo a acado o no y con que ipo de a aque en pa icula . Aho a enemos que
p ocesa los da os de mane a que se ene el a aque en que se ha de ec ado. Es e
p oceso iene que se pe sonalizado pa a cada a aque debido a sus peculia idades,
es po ello po lo que amos a cen a nos en Po Scan y DDoS.
4.6.1. Bloqueo de Po Scan
El código que bloquea el Po Scan u iliza á el a chi o que ep esen a al ie nes
po la a de dónde sabemos que ha habido un a aque de es e ipo, cosa que ha sido
con i mada con el modelo p edic o ob enido en el capí ulo 4.
Lo p ime o que amos a hace es il a po p o ocolo ya que en caso de no
se UDP oTCP sabemos que esos paque es no es án elacionados con un a aque
de explo ación de pue os. Una ez hemos hecho es o amos a queda nos con los
campos Sou ce IP,Des ina ion Po yTimeS amp po se los da os ele an es pa a
las eglas pe inen es.
Aho a amos a bloquea di e en es ip en base a dos pa áme os:
N:= Núme o de pue os.
K:= In e alo de iempo en minu os.
Tenemo que i con ando en in e alos de iempo de Kminu os. En el caso de
que en esas en anas de iempo de ec emos más de Npue os dis in os en onces
amos a asumi que las ip cumpliendo es as ca ac e ís icas son sospechosas. Una ez
e minado ese p oceso se a a bloquea con una egla n ables dichas ip. La egla es
la siguien e:
n add ule ip il e inpu ip sadd {ip} d op
Pa a en ende bien lo que hace es a egla expliquemos b e emen e en que con-
sis e. Como indica add ule ip es amos añadiendo una egla que se aplica á en la
capa ip. Aho a es necesa io indica que la egla se añadi á a la abla de il ado de
paque es pa a los que sean de ec ados como en an es, il e inpu . Aho a queda
po elegi el c i e io de coincidencia de la egla que, en es e caso, es la ip o igen;
sadd (sou ce add ess). En caso de que se cumpla en onces amos a desca a dicho
paque e, de ahí el d op (Fabe o Jiménez, 2023).
36 Capí ulo 4. P oceso de en enamien o
4.6.2. Bloqueo de DDoS
El código pa a bloquea el DDoS u iliza á el a chi o que ep esen a al ie nes
po la a de, en es e caso, al que egis a un a aque de es e ipo con i mado además
po el p edic o .
En p ime luga amos a il a de nue o po p o ocolo del mismo modo que en
explo ación de pue os. En es e caso es impo an e des aca que el a aque se ha á
sob e un único pue o que es al que se p e ende denega el se icio. Nos amos a
queda con los da os que ep esen an a la can idad de eces que una ip en ía un
da ag ama a un pue o en especí ico. Con es os da os amos a elegi cual de es os
pue os ha sido el más a acado. Una ez encon ado es e pue o amos a elegi las ip
que se con abilizan po encima de un umb al, en ese caso se conside a á sospechosa
y se bloquea á po cie o iempo.
Es os pa áme os de bloqueo se án el iempo que ep esen amos como Ty el
umb al de núme o de paque es en iados N. Po lo que gene amos la siguien e egla:
n add ule ip il e inpu ip sadd {ip} d op ip sadd {ip}
ime a e {T}h coun e d op
La única di e encia a la egla gene ada pa a escaneo de pue os es que en es e
caso se p e ende bloquea la ip du an e un iempo Tde e minado.
4.6.3. Funcionamien o de IceWall
Aho a que hemos implemen ado el modelo p edic o y los códigos de pos p o-
cesado, ya es posible de ec a y p e eni a aques, siemp e y cuando los da os de
en ada es én p ep ocesados como se espe a.
1 P ep ocesado de los da os
Del mismo modo que ya hemos hecho, en un nue o conjun o de da os se necesi a
un p ep ocesado pa a que el en enamien o pueda ealiza se. Es impo an e pa a
es a a ea que los da os de en ada engan la misma o ma que los que ya se han
u ilizado, es deci , las mismas cabece as. No es un p oblema si cambiase ya que lo
único que hab ía que hace es adap a el código de p ep oceso al ámbi o en el que se
es é abajando. Aho a con un a chi o de en ada que en ienda el modelo podemos
con inua .
2 P edicción del a aque
Aho a que enemos los da os de en ada y un modelo en enado enemos que
u iliza lo pa a que nos indique que a aque se es á p oduciendo. Pa a ello hay que
ol e a ca ga el a chi o que con iene al modelo e in oduci le los da os pa a obse -
a las p edicciones. Hemos ealizado p e iamen e con Po Scan y DDoS es a a ea,
4.6. Pos p ocesado y uncionamien o inal 37
donde hemos con i mado que el modelo p edice co ec amen e sob e conjun os de
da os dónde se es án p oduciendo es os a aques. Aho a sabiendo que a aque es á
ocu iendo pasamos a elegi el código de pos p ocesado adecuando.
3 Mi igación del a aque
Cuando el modelo p edic o nos de uel e el a aque que es á ocu iendo, en onces
se u iliza el código de pos p ocesado de dicho a aque pa a que lo bloquee de mane a
pe sonalizada. Con es o ya end íamos odo el p oceso de IceWall comple ado y
aho a ol e íamos a epe i odo pa a los nue os da os que se ayan leyendo.
En esumen, el p oceso de IceWall a a se un bucle que lea da os de una ed y
aya e ec uando los pasos p e iamen e comen ados pa a mi iga los a aques que an
ocu iendo. Es impo an e des aca que es necesa io apo a los a chi os de da os
que se p e enden p ep ocesa pa a su uncionamien o, es deci , no unciona a iempo
eal aunque la p e isión u u a es que así sea.
44 BIBLIOGRAFÍA
OISF. Su ica a ids/ips.
h ps://su ica a.io/ ea u es/, 2024.
Palo Al o Ne wo ks. Palo al o ne wo ks nex -gene a ion i ewall.
h ps://www.paloal one wo ks.com/ne wo k-secu i y/
nex -gene a ion- i ewall, 2024.
S ephen Huang, S.-H. yCao, Z. De ec ing malicious use s behind ci cui -based
anonymi y ne wo ks. 2020.
The Zeek P ojec . The zeek ne wo k secu i y moni o ing ool.
h ps://zeek.o g/, 2024.

Ap´
endice A
Lis a de ca ac e ís icas y explicaciones
Figu a A.1: Lis a de ca ac e ís icas y explicaciones del conjun o de da os CI-
CIDS2017 - P ime a Pa e.
45
46 Apéndice A. Lis a de ca ac e ís icas y explicaciones
Figu a A.2: Lis a de ca ac e ís icas y explicaciones del conjun o de da os CI-
CIDS2017 - Segunda Pa e.
Ap´
endice B
Impo ancia de ca ac e ís icas po a aque
Bwd Packe Leng h S d
Flow IAT Min
Fwd Packe Leng h S d
Flow IAT S d
To al Leng h o Bwd Packe s
Flow By es/s
Bwd Packe Leng h Max
To al Leng h o Fwd Packe s
Flow Du a ion
Flow IAT Mean
Fwd IAT To al
Fwd Packe Leng h Min
Fwd Packe Leng h Mean
Flow IAT Max
Flow Packe s/s
To al Backwa d Packe s
Bwd Packe Leng h Mean
Fwd Packe Leng h Max
To al Fwd Packe s
Bwd Packe Leng h Min
Fea u es
0.00
0.05
0.10
0.15
0.20
0.25
0.30
0.35
Impo ance
all_da a A ack - Fea u e Impo ance
impo ance
Figu a B.1: Ca ac e ís icas de all_da a
47
48 Apéndice B. Impo ancia de ca ac e ís icas po a aque
Bwd Packe Leng h Mean
Flow IAT Max
Flow Du a ion
Flow IAT Mean
Flow IAT Min
Flow By es/s
Flow IAT S d
Flow Packe s/s
Fwd IAT To al
Fwd Packe Leng h Mean
To al Backwa d Packe s
To al Leng h o Bwd Packe s
To al Leng h o Fwd Packe s
To al Fwd Packe s
Bwd Packe Leng h S d
Bwd Packe Leng h Max
Fwd Packe Leng h Max
Bwd Packe Leng h Min
Fwd Packe Leng h Min
Fwd Packe Leng h S d
Fea u es
0.00
0.05
0.10
0.15
0.20
0.25
0.30
0.35
Impo ance
Bo A ack - Fea u e Impo ance
impo ance
Figu a B.2: Ca ac e ís icas de bo
Fwd Packe Leng h Max
To al Leng h o Fwd Packe s
Bwd Packe Leng h Min
Flow IAT Min
Flow IAT Mean
Bwd Packe Leng h Mean
Flow Du a ion
To al Backwa d Packe s
Flow IAT Max
Flow By es/s
Fwd IAT To al
Flow IAT S d
Flow Packe s/s
Fwd Packe Leng h S d
Fwd Packe Leng h Mean
Bwd Packe Leng h Max
To al Leng h o Bwd Packe s
Fwd Packe Leng h Min
Bwd Packe Leng h S d
To al Fwd Packe s
Fea u es
0.0
0.1
0.2
0.3
0.4
0.5
0.6
Impo ance
DDoS A ack - Fea u e Impo ance
impo ance
Figu a B.3: Ca ac e ís icas de DDoS
49
Bwd Packe Leng h S d
Flow IAT Min
Fwd Packe Leng h Min
Flow IAT Mean
To al Backwa d Packe s
Flow IAT S d
Flow IAT Max
Fwd IAT To al
Flow Du a ion
Flow Packe s/s
Flow By es/s
Fwd Packe Leng h Max
Bwd Packe Leng h Mean
To al Leng h o Fwd Packe s
Fwd Packe Leng h Mean
To al Fwd Packe s
To al Leng h o Bwd Packe s
Bwd Packe Leng h Max
Bwd Packe Leng h Min
Fwd Packe Leng h S d
Fea u es
0.0
0.1
0.2
0.3
0.4
0.5
0.6
Impo ance
DoS GoldenEye A ack - Fea u e Impo ance
impo ance
Figu a B.4: Ca ac e ís icas de DoS GoldenEye
Bwd Packe Leng h S d
Flow Du a ion
Flow IAT Min
To al Backwa d Packe s
To al Leng h o Bwd Packe s
Flow IAT S d
Fwd IAT To al
Flow IAT Mean
Flow IAT Max
Flow Packe s/s
To al Fwd Packe s
Flow By es/s
Bwd Packe Leng h Max
Bwd Packe Leng h Mean
Bwd Packe Leng h Min
Fwd Packe Leng h Max
Fwd Packe Leng h Mean
Fwd Packe Leng h S d
To al Leng h o Fwd Packe s
Fwd Packe Leng h Min
Fea u es
0.0
0.1
0.2
0.3
0.4
0.5
0.6
Impo ance
DoS Hulk A ack - Fea u e Impo ance
impo ance
Figu a B.5: Ca ac e ís icas de DoS Hulk

50 Apéndice B. Impo ancia de ca ac e ís icas po a aque
Flow IAT Mean
Fwd Packe Leng h Min
Bwd Packe Leng h S d
Bwd Packe Leng h Mean
To al Leng h o Bwd Packe s
Bwd Packe Leng h Max
Flow IAT Min
To al Fwd Packe s
Flow IAT S d
Fwd Packe Leng h Mean
Bwd Packe Leng h Min
Fwd Packe Leng h S d
To al Leng h o Fwd Packe s
Fwd Packe Leng h Max
Flow Du a ion
Flow IAT Max
Fwd IAT To al
Flow By es/s
To al Backwa d Packe s
Flow Packe s/s
Fea u es
0.0
0.1
0.2
0.3
0.4
0.5
0.6
Impo ance
DoS Slowh p es A ack - Fea u e Impo ance
impo ance
Figu a B.6: Ca ac e ís icas de DoS Slowh p es
Flow IAT Mean
Bwd Packe Leng h Mean
To al Fwd Packe s
To al Leng h o Bwd Packe s
Bwd Packe Leng h S d
Flow IAT Min
Bwd Packe Leng h Max
Flow By es/s
Fwd Packe Leng h Max
To al Backwa d Packe s
Fwd IAT To al
Fwd Packe Leng h S d
To al Leng h o Fwd Packe s
Fwd Packe Leng h Mean
Flow IAT Max
Flow Du a ion
Flow IAT S d
Flow Packe s/s
Fwd Packe Leng h Min
Bwd Packe Leng h Min
Fea u es
0.0
0.1
0.2
0.3
0.4
Impo ance
DoS slowlo is A ack - Fea u e Impo ance
impo ance
Figu a B.7: Ca ac e ís icas de DoS slowlo is
51
Fwd Packe Leng h Max
Fwd Packe Leng h S d
Fwd Packe Leng h Mean
Bwd Packe Leng h Mean
To al Leng h o Bwd Packe s
Flow Du a ion
Bwd Packe Leng h Max
Flow IAT Min
Bwd Packe Leng h S d
To al Leng h o Fwd Packe s
Flow IAT Max
Fwd IAT To al
To al Backwa d Packe s
Fwd Packe Leng h Min
Flow IAT Mean
To al Fwd Packe s
Flow Packe s/s
Flow IAT S d
Flow By es/s
Bwd Packe Leng h Min
Fea u es
0.00
0.02
0.04
0.06
0.08
Impo ance
FTP-Pa a o A ack - Fea u e Impo ance
impo ance
Figu a B.8: Ca ac e ís icas de FTP-Pa a o
To al Backwa d Packe s
Bwd Packe Leng h Mean
Bwd Packe Leng h Max
To al Leng h o Bwd Packe s
To al Fwd Packe s
Bwd Packe Leng h S d
Flow Du a ion
Fwd IAT To al
To al Leng h o Fwd Packe s
Fwd Packe Leng h Max
Flow IAT Min
Fwd Packe Leng h S d
Fwd Packe Leng h Mean
Fwd Packe Leng h Min
Flow By es/s
Flow Packe s/s
Flow IAT Mean
Flow IAT S d
Flow IAT Max
Bwd Packe Leng h Min
Fea u es
0.00
0.01
0.02
0.03
0.04
0.05
Impo ance
Hea bleed A ack - Fea u e Impo ance
impo ance
Figu a B.9: Ca ac e ís icas de Hea bleed
52 Apéndice B. Impo ancia de ca ac e ís icas po a aque
To al Leng h o Fwd Packe s
Fwd Packe Leng h Mean
Fwd Packe Leng h Max
Flow Du a ion
Flow IAT Max
Flow IAT S d
Flow IAT Min
Bwd Packe Leng h S d
To al Backwa d Packe s
Flow By es/s
Bwd Packe Leng h Max
Fwd IAT To al
Bwd Packe Leng h Min
Flow IAT Mean
Fwd Packe Leng h S d
Flow Packe s/s
To al Fwd Packe s
Bwd Packe Leng h Mean
To al Leng h o Bwd Packe s
Fwd Packe Leng h Min
Fea u es
0.00
0.02
0.04
0.06
0.08
0.10
0.12
0.14
Impo ance
In il a ion A ack - Fea u e Impo ance
impo ance
Figu a B.10: Ca ac e ís icas de In il a ion
Flow By es/s
To al Leng h o Fwd Packe s
Bwd Packe Leng h S d
Flow IAT Mean
Flow IAT Max
Flow Du a ion
Fwd Packe Leng h Max
Bwd Packe Leng h Min
Fwd Packe Leng h S d
Fwd IAT To al
Bwd Packe Leng h Mean
To al Leng h o Bwd Packe s
Bwd Packe Leng h Max
To al Fwd Packe s
Fwd Packe Leng h Mean
Flow Packe s/s
To al Backwa d Packe s
Flow IAT Min
Flow IAT S d
Fwd Packe Leng h Min
Fea u es
0.00
0.05
0.10
0.15
0.20
0.25
0.30
Impo ance
Po Scan A ack - Fea u e Impo ance
impo ance
Figu a B.11: Ca ac e ís icas de Po Scan
53
Flow IAT Mean
Fwd Packe Leng h Max
Flow Du a ion
Flow IAT Max
To al Leng h o Fwd Packe s
Flow IAT S d
Fwd IAT To al
Flow Packe s/s
Flow IAT Min
Flow By es/s
Fwd Packe Leng h Mean
To al Backwa d Packe s
Fwd Packe Leng h S d
To al Fwd Packe s
To al Leng h o Bwd Packe s
Fwd Packe Leng h Min
Bwd Packe Leng h Max
Bwd Packe Leng h Mean
Bwd Packe Leng h S d
Bwd Packe Leng h Min
Fea u es
0.0000
0.0002
0.0004
0.0006
0.0008
Impo ance
SSH-Pa a o A ack - Fea u e Impo ance
impo ance
Figu a B.12: Ca ac e ís icas de SSH-Pa a o
To al Leng h o Fwd Packe s
Bwd Packe Leng h S d
Bwd Packe Leng h Max
Flow By es/s
Fwd Packe Leng h S d
Flow IAT Max
Fwd Packe Leng h Mean
Flow IAT Min
Fwd IAT To al
Fwd Packe Leng h Max
Flow Packe s/s
Flow IAT Mean
Flow Du a ion
To al Fwd Packe s
Flow IAT S d
Bwd Packe Leng h Mean
To al Backwa d Packe s
To al Leng h o Bwd Packe s
Bwd Packe Leng h Min
Fwd Packe Leng h Min
Fea u es
0.0000
0.0025
0.0050
0.0075
0.0100
0.0125
0.0150
0.0175
0.0200
Impo ance
Web A ack A ack - Fea u e Impo ance
impo ance
Figu a B.13: Ca ac e ís icas de Web A ack
60 Apéndice C. Resul ados de en enamien os
Figu a C.8: Recall p omedio en all_da a

C.1. Resul ados en odos los da os 61
C.1.2. Resul s_3
Figu a C.9: Accu acy p omedio en all_da a
62 Apéndice C. Resul ados de en enamien os
Figu a C.10: F1-sco e p omedio en all_da a
Figu a C.11: P ecisión p omedio en all_da a
C.1. Resul ados en odos los da os 63
Figu a C.12: Recall p omedio en all_da a
64 Apéndice C. Resul ados de en enamien os
C.1.3. Resul s_Final
Figu a C.13: Accu acy p omedio en all_da a
C.1. Resul ados en odos los da os 65
Figu a C.14: F1-sco e p omedio en all_da a
Figu a C.15: P ecisión p omedio en all_da a

66 Apéndice C. Resul ados de en enamien os
Figu a C.16: Recall p omedio en all_da a