Search

L'objectiu d'aquest projecte és proporcionar una eina amb una interfície fàcil d'utilitzar que puga ajudar als dissenyadors i desenvolupadors web a identificar els punts febles de les seves webs. El objetivo de este proyecto es proporcionar una herramienta con una interfaz fácil de usar que pueda ayudar a los diseñadores y desarrolladores web a identificar los puntos débiles de sus webs. The aim of this project is to provide a small product with a user friendly interface that will help web designers and developers identify the weak points of their websites.

El creciente uso de las Tecnologías de la Información, y específicamente de la navegación web, conlleva también un incremento en el número de criminales que tratan de obtener beneficio ilegal a costa de los usuarios. Con el fin de frenar este tipo de ataques, se ponen muchos esfuerzos en la implementación de productos de seguridad como firewalls o programas antivirus, pero, sin embargo, el protocolo DNS es comúnmente dejado de lado. Debido a que este protocolo se utiliza en prácticamente todas las interacciones de la navegación web, se propone el estudio e implementación de un firewall DNS. Mediante el uso de información de IPs y nombres de dominio maliciosos extraídos de fuentes públicas, se filtran las peticiones maliciosas a un servidor web que alerta de este hecho. Inicialmente, se realiza un estudio del estado del arte, así como de las tecnologías implicadas. Dentro de esta fase se realiza un análisis de viabilidad de implementación de un motor de aprendizaje automático para detectar posibles ataques de phishing. Adicionalmente se propone en este estudio una arquitectura en alta disponibilidad y con una plataforma de recogida y visualización de métricas, con aplicación a entornos empresariales y domésticos y que aportan información relevante para el estudio futuro de las métricas. Tras las pruebas realizadas sobre el producto se concluye la viabilidad y utilidad de la implementación de un firewall DNS como una herramienta adicional de protección frente a posibles ataques. The increasing use of Information Technologies, and more specifically of the web navigation, leads also to an increment of the number of criminals that try to get illegal profit from these users. To try to stop this kind of attackers, a lot of efforts are made by the implementation of cybersecurity products as firewalls of antivirus software. On the other hand, the DNS protocol is commonly excluded on the scope of these products. Due to the highly use of this protocol in almost every web navigation interaction, it is proposed a study and implementation of a DNS firewall. By using malicious IP and domain open-source information, all the malicious requests are filtered out and redirected to an alert web server alerting about this behavior. First, a state of art and related technologies studies are made. Inside this phase, the implementation viability of a Machine Learning engine to detect phishing attacks is studied. It is proposed in this study a highly available architecture with a metrics recollection and visualization platform applicable to enterprise or homes and that provides relevant information for the future study of the metrics. After all the tests done for the final product, it is concluded the viability and usefulness of the implementation of a DNS firewall as an additional tool to protect users against cyberattacks. El creixent ús de les Tecnologies de la Informació, i específicament de la navegació web, comporta també un increment en el nombre de criminals que tracten d'obtenir benefici il·legal a costa dels usuaris. Amb la finalitat de frenar aquest tipus d'atacs, es posen molts esforços en la implementació de productes de seguretat com firewalls o programes antivirus, però, no obstant això, el protocol DNS és comunament deixat de costat. Pel fet que aquest protocol s'utilitza en pràcticament totes les interaccions de la navegació web, es proposa l'estudi i implementació d'un firewall DNS. Mitjançant l'ús d'informació de IPs i noms de domini maliciosos extrets de fonts públiques, es filtren les peticions malicioses a un servidor web que alerta d'aquest fet. Inicialment, es realitza un estudi de l'estat de l'art, així com de les tecnologies implicades. Dins d'aquesta fase es realitza una anàlisi de viabilitat d'implementació d'un motor d'aprenentatge automàtic per a detectar possibles atacs de phishing. Addicionalment es proposa en aquest estudi una arquitectura en alta disponibilitat i amb una plataforma de recollida i visualització de mètriques, amb aplicació a entorns empresarials i domèstics i que aporten informació rellevant per a l'estudi futur de les mètriques. Després de les proves realitzades sobre el producte es conclou la viabilitat i utilitat de la implementació d'un firewall DNS com una eina addicional de protecció enfront de possibles atacs.

El objetivo principal planteado era la evaluación de la capacidad de una herramienta IDS como Zeek combinada con un entorno de visualización y explotación de datos como ELK Stack para analizar actividades sospechosas en la red. Adicionalmente se han integrado distintas fuentes de inteligencia de amenazas y se han correlacionado a través de ELK Stack con los datos obtenidos de Zeek IDS. Este documento describe todo el proceso llevado a cabo para diseñar, planificar, desplegar la solución y, posteriormente, analiza los resultados obtenidos. Adicionalmente incluye el código fuente de los distintos «scripts», «playbooks» de Ansible y ficheros de configuración de las distintas aplicaciones utilizadas. La metodología de gestión de proyectos en cascada ha permitido mantener un control constante del proyecto al mismo tiempo que ha facilitado su gestión. Las principales conclusiones que se han obtenido es que es totalmente posible y viable disponer de un sistema de detección de intrusos utilizando como base Zeek IDS y el conjunto ELK Stack. Además también se ha confirmado que este tipo de soluciones se puede desarrollar mediante herramientas de código abierto y manteniendo un bajo presupuesto. Por último también se ha concluido que es sencillo integrar fuentes de información sobre amenazas y que están sean correlacionadas con la información obtenida de Zeek. The main objective was to assess the ability of an IDS tool like Zeek combined with a data visualization and exploitation environment like ELK Stack to analyze suspicious activity on the network. Additionally, different sources of threat intelligence have been integrated and correlated through ELK Stack with the data obtained from Zeek IDS. This document describes the entire process carried out to design, plan, deploy the solution and then analyze the results obtained. It also includes the source code of the different scripts, Ansible playbooks and configuration files of the different applications used. The waterfall project management methodology has allowed to maintain a constant control of the project while facilitating its management. The main conclusions obtained are that it is totally possible and viable to have an intrusion detection system using Zeek IDS and the ELK Stack as a base. It has also been confirmed that this type of solution can be developed using open source tools and maintaining a low budget. Finally, it has also been concluded that it is easy to integrate sources of information on threats and that they are correlated with the information obtained from Zeek. L'objectiu principal plantejat era l'avaluació de la capacitat d'una eina IDS com Zeek combinada amb un entorn de visualització i explotació de dades com ELK Stack per a analitzar activitats sospitoses en la xarxa. Addicionalment s'han integrat diferents fonts d'intel·ligència d'amenaces i s'han correlacionat a través de ELK Stack amb les dades obtingudes de Zeek IDS. Aquest document descriu tot el procés dut a terme per a dissenyar, planificar, desplegar la solució i, posteriorment, analitza els resultats obtinguts. Addicionalment inclou el codi font dels diferents «scripts», «playbooks» de Ansible i fitxers de configuració de les diferents aplicacions utilitzades. La metodologia de gestió de projectes en cascada ha permès mantenir un control constant del projecte al mateix temps que ha facilitat la seva gestió. Les principals conclusions que s'han obtingut és que és totalment possible i viable disposar d'un sistema de detecció d'intrusos utilitzant com a base Zeek IDS i el conjunt ELK Stack. A més també s'ha confirmat que aquest tipus de solucions es pot desenvolupar mitjançant eines de codi obert i mantenint un baix pressupost. Finalment també s'ha conclòs que és senzill integrar fonts d'informació sobre amenaces i que estan siguin correlacionades amb la informació obtinguda de Zeek.

Amb la creixent necessitat de protegir la informació (confidencialitat, integritat i disponibilitat), la finalitat d'aquest treball és detectar diferents problemes de seguretat d'una xarxa local mitjançant un sistema de detecció d'intrusos (IDS) i mostrar-los en uns panells de control (dashboards) per permetre una reacció precoç a les amenaces detectades. En aquest treball s'estudien no solament les capacitats de detecció que ofereix Zeek IDS (atacs de força bruta, injecció SQL, etc.), sinó que juntament amb la integració amb ELK Stack (Elasticsearch, Logstash i Kibana), som capaços d'enriquir les dades, permetent la detecció de connexions a llocs web fraudulents o la descàrrega de fitxers perillosos en temps real, amb fonts de detecció actualitzades gràcies a les integracions amb Intel Critical Stack i les consultes in-line a VirusTotal. Per a l'elaboració del projecte, s'ha realitzat la implantació de Zeek IDS en una Raspberry Pi 4 i la instal·lació d'ELK Stack en un servidor virtual Ubuntu Server, a més de la creació de quatre dashboards de seguretat. Mitjançant unes proves de funcionament, es demostra que la instal·lació d'un IDS conjuntament amb ELK, eleva considerablement el nivell de seguretat de qualsevol xarxa. Finalment, les conclusions han sigut satisfactòries, ja que s'assoleix la detecció en temps real de diferents activitats sospitoses a la xarxa, i que gràcies als dashboards de seguretat permetran veure les amenaces i realitzar una intervenció en el casos necessaris. Con la creciente necesidad de proteger la información (confidencialidad, integridad y disponibilidad), la finalidad de este trabajo es detectar diferentes problemas de seguridad de una red local mediante un sistema de detección de intrusos (IDS) y mostrarlos en unos paneles de control (dashboards) para permitir una reacción precoz a las amenazas detectadas. En este trabajo se estudian no sólo las capacidades de detección que ofrece Zeek IDS (ataques de fuerza bruta, inyección SQL, etc.), sino que junto con la integración con ELK Stack (Elasticsearch, Logstash y Kibana), somos capaces de enriquecer los datos, permitiendo la detección de conexiones a sitios web fraudulentos o la descarga de archivos peligrosos en tiempo real, con fuentes de detección actualizadas gracias a las integraciones con Intel Critical Stack y las consultas in-line a VirusTotal. Para la elaboración del proyecto, se ha realizado la implantación de Zeek IDS en una Raspberry Pi 4 y la instalación de ELK Stack en un servidor virtual Ubuntu Server, además de la creación de cuatro dashboards de seguridad. Mediante unas pruebas de funcionamiento, se demuestra que la instalación de un IDS conjuntamente con ELK, eleva considerablemente el nivel de seguridad de cualquier red. Finalmente, las conclusiones han sido satisfactorias, ya que se logra la detección en tiempo real de diferentes actividades sospechosas en la red, y que gracias a los dashboards de seguridad permitirán ver las amenazas y realizar una intervención en el casos necesarios. With the growing need to protect information (confidentiality, integrity and availability), the purpose of this work is to detect different security problems in a local network by using an intrusion detection system (IDS) and display them in dashboards to allow an early reaction to detected threats. In this work we study not only the detection capabilities offered by Zeek IDS (brute force attacks, SQL injection, etc.), but together with the integration with ELK Stack (Elasticsearch, Logstash and Kibana), we are also able to enrich the data, in order to detect the connections to fraudulent websites or downloads of dangerous files in real time, with up-to-date detecting sources thanks to the integrations with Intel Critical Stack and in-line queries to VirusTotal. To develop this project, the implementation of Zeek IDS was made on a Raspberry Pi 4 and the installation of ELK Stack was on a virtual Ubuntu Server, additionally the creation of four security dashboards. Through performance tests, it is shown that the installation of an IDS combined with ELK, significantly raises the level of security in any network. Finally, the results have been satisfactory, as it achieves the detection in real time of different suspicious activities in the network, and that, thanks to the security dashboards, will allow us to see the threats and carry out an intervention when necessary.

Con el desarrollo de este trabajo de fin de máster se pretende realizar el estudio de diferentes herramientas de seguridad, y, su posterior explotación, para mostrar al lector cómo proceder para crear un sistema de seguridad pasivo, mediante el cual, se va a poder llevar a cabo una monitorización, en tiempo real de los ataques, detectados por diversas herramientas de seguridad informática. Para llevar a cabo dicho sistema de seguridad se desarrollará un laboratorio virtual, en el que se van a usar herramientas OpenSource de seguridad como: Zeek IDS y ELK. La primera de ellas será el sistema encargado de la detección de intrusiones, el cual, su función principal es analizar el tráfico red e interceptar posibles anomalías. La segunda tecnología, empleará sus distintos módulos para lograr recibir los eventos enviados por el IDS, realizar el procesado de dichos eventos y, por último, exponer los datos más importantes en un informe ejecutivo a modo de dashboard. Dicho sistema de seguridad se verá directamente relacionado con un servidor de aplicaciones web vulnerable, que, será el utilizado para realizar diferentes ataques web y, el posterior desarrollo y activación de firmas de IDS personalizadas y por defecto para su detección por parte del IDS y visualización en ELK. De esta manera, se pretende simular tráfico ilegítimo, el cual, tienen comúnmente muchos servidores web expuestos a la red de internet y presentar una posible solución pasiva para llevar a cabo su monitorización. With the development of this work, the aim is to carry out a study of different security tools, and their subsequent exploitation, to show the reader how to proceed to create a passive security system, in order to monitor, in real time, the anomalies detected by different security tools. To carry out this security system, a virtual laboratory will be developed, in which OpenSource security tools such as Zeek IDS and ELK will be deploy. The first of these will be the system responsible for intrusion detection, which, its main function is to analyze network traffic and intercept possible anomalies. The second technology will use its different modules to receive the events sent by the IDS, process these events and, finally, present the most important data in an executive report as a dashboard. Said security system will be directly related to a vulnerable web application server, which will be used to carry out different web attacks and the subsequent development and activation of personalized and default IDS signatures for detection by the IDS and display at ELK. In this way, it is simulated illegitimate traffic, which, commonly, many web servers have exposed to the internet network and present a possible passive solution to carry out their monitoring. Amb el desenvolupament d'aquest treball de fi de màster es pretén realitzar l'estudi de diferents eines de seguretat, i, la seva posterior explotació, per a mostrar al lector com procedir per a crear un sistema de seguretat passiu, mitjançant el qual, es podrà dur a terme un monitoratge, en temps real dels atacs, detectats per diverses eines de seguretat informàtica. Per a dur a terme aquest sistema de seguretat es desenvoluparà un laboratori virtual, en el qual s'usaran eines OpenSource de seguretat com: Zeek IDS i ELK. La primera d'elles serà el sistema encarregat de la detecció d'intrusions, el qual, la seva funció principal és analitzar el trànsit xarxa i interceptar possibles anomalies. La segona tecnologia, emprarà els seus diferents mòduls per a aconseguir rebre els esdeveniments enviats pel IDS, realitzar el processament d'aquests esdeveniments i, finalment, exposar les dades més importants en un informe executiu a manera de dashboard. Aquest sistema de seguretat es veurà directament relacionat amb un servidor d'aplicacions web vulnerable, que, serà l'utilitzat per a realitzar diferents atacs web i, el posterior desenvolupament i activació de signatures de IDS personalitzades i per defecte per a la seva detecció per part del IDS i visualització en ELK. D'aquesta manera, es pretén simular trànsit il·legítim, el qual, tenen comunament molts servidors web exposats a la xarxa d'internet i presentar una possible solució passiva per a dur a terme el seu monitoratge.

La finalidad de este proyecto es implementar la herramienta Zeek IDS para el análisis de anomalías de seguridad en el tráfico de red, e integrarlo con la solución ELK (Elasticsearch, Logstash y Kibana), a través de las cuales se realizará el envío de las detecciones realizadas por el sistema de detección de intrusiones, así como el almacenado, indexado y representación de estos datos. Además, se incluye a la funcionalidad de Zeek la integración del proyecto BZAR de Mitre ATT&CK, a través del cual, se amplía la información de las detecciones de Zeek, añadiendo la tipificación del ataque de seguridad detectado. Por último, con la integración de ambas tecnologías en el entorno de trabajo preparado, se construyó un sistema de alertas a través del cual, se generan notificaciones siempre y cuando se detecten en los datos generados por Zeek IDS conexiones hacia sitios web maliciosos de tipo botnet. Además, se incluye a la funcionalidad de Zeek la integración del proyecto BZAR de Mitre ATT&CK, a través del cual, se amplía la información de las detecciones de Zeek, añadiendo la categorización del ataque de seguridad detectado. Toda esta funcionalidad ha sido posible conseguirla a través de una metodología de trabajo de investigación de los productos y posterior aplicación de los conocimientos adquiridos a la práctica. Finalmente, las conclusiones obtenidas son muy positivas, debido al grado de aprendizaje obtenido en este proyecto, así como la utilidad de la solución desarrollada, la cual podría ser aplicada en entornos reales de pequeñas y medianas empresas que deseen añadir una capa más de seguridad a sus entornos. The purpose of this project is to implement the Zeek IDS tool for the analysis of security anomalies in network traffic, and to integrate it with the ELK solution (Elasticsearch, Logstash and Kibana), through which the detections made by the intrusion detection system will be sent, as well as the storage, indexing and representation of this data. Once both technologies are integrated into the prepared work environment, the intention is to include an alert system through which, notifications are generated whenever connections to malicious botnet-type websites are found in the data generated by Zeek IDS. In addition to Zeek's functionality, the integration of Mitre ATT&CK's BZAR project have been made, through which, the information of Zeek's detections is extended, adding the categorization of the security attack which was detected. All this functionality has been possible to achieve through a working methodology of product research and subsequent application of the knowledge acquired to practice. Finally, the conclusions obtained are very positive, due to the degree of learning obtained in this project, as well as the usefulness of the solution developed, which could be applied in real environments, like small and medium enterprises that wish to add an extra layer of security to their environments. La finalitat d'aquest projecte és implementar l'eina Zeek IDS per a l'anàlisi d'anomalies de seguretat en el trànsit de xarxa, i integrar-lo amb la solució ELK (Elasticsearch, Logstash i Kibana), a través de les quals es realitzarà l'enviament de les deteccions realitzades pel sistema de detecció d'intrusions, així com l'emmagatzemat, indexat i representació d'aquestes dades. A més, s'inclou a la funcionalitat de Zeek la integració del projecte BZAR de Mitre ATT&CK, a través del qual, s'amplia la informació de les deteccions de Zeek, afegint la tipificació de l'atac de seguretat detectat. Finalment, amb la integració de totes dues tecnologies a l'entorn de treball preparat, es va construir un sistema d'alertes a través del qual, es generen notificacions sempre que es detectin en les dades generades per Zeek IDS connexions cap a llocs web maliciosos de tipus xarxa de zombis. A més, s'inclou a la funcionalitat de Zeek la integració del projecte BZAR de Mitre ATT&CK, a través del qual, s'amplia la informació de les deteccions de Zeek, afegint la categorització de l'atac de seguretat detectat. Tota aquesta funcionalitat ha estat possible aconseguir-la a través d'una metodologia de treball de recerca dels productes i posterior aplicació dels coneixements adquirits a la pràctica. Finalment, les conclusions obtingudes són molt positives, a causa del grau d'aprenentatge obtingut en aquest projecte, així com la utilitat de la solució desenvolupada, la qual podria ser aplicada en entorns reals de petites i mitjanes empreses que desitgin afegir una capa més de seguretat als seus entorns.

La finalidad de este trabajo es desplegar un sistema de detección de intrusiones y otros eventos anómalos en la red. El objetivo es detectar anomalías en tiempo real pero también disponer de una base de datos de información histórica para la investigación de ataques, intrusiones y sus consecuencias y gravedad. Se despliega Zeek-IDS como sensor de captura de trafico de red y Elasticsearch como base de datos de información y esta combinación se ha mostrado de enorme potencial y versatilidad. Por un lado, se consigue la captura pasiva de la información de los protocolos de red y, de esta forma, sin impacto en las operaciones y, por otro, se asegura su almacenamiento en un sistema escalable y flexible que permite acceso a la información en tiempo real, su procesamiento y análisis, pero también, el acceso a algoritmos de Machine Learning para detección de anomalías de forma desatendida. Hoy, la gestión continua de eventos ha sustituido el análisis de respuesta a incidentes, de ayer, y la solución desplegada, mediante Kibana y Elastic SIEM proporcionan el interfaz, herramientas y funcionalidades necesarios para la monitorización de la actividad de red y gestión de incidentes. La configuración de reglas de detección y también de ElastAlert, como sistema de notificación, ha creado un entorno óptimo para supervisión de la red de forma autónoma y con gestión integrada de la investigación de incidentes. The purpose of this work is to deploy an intrusion detection system and other anomalous events on the network. The objective is to detect anomalies in real-time but also to have a database of historical information for the investigation of attacks, intrusions, and their consequences and severity. Zeek-IDS is deployed as a network traffic capture sensor and Elasticsearch as an information database and this combination has shown enormous potential and versatility. On the one hand, passive capture of information from network protocols is achieved and, thus, without impact on operations and, on the other, its storage is ensured in a scalable and flexible system that allows access to information in real-time, its processing and analysis, but also, access to machine learning algorithms for detecting anomalies unattended. Today, continuous event management has replaced yesterday's incident response analysis, and the solution deployed, using Kibana and Elastic SIEM, provides the interface, tools and functionalities necessary for monitoring network activity and incident management. The configuration of detection rules and also of ElastAlert, as a notification system, has created an optimal environment for autonomous network monitoring and with integrated management of incident investigation. La finalitat d'aquest treball és desplegar un sistema de detecció d'intrusions i altres esdeveniments anòmals en la xarxa. L'objectiu és detectar anomalies en temps real però també disposar d'una base de dades d'informació històrica per a la recerca d'atacs, intrusions i les seves conseqüències i gravetat. Es desplega Zeek-IDS com a sensor de captura de trafico de xarxa i Elasticsearch com a base de dades d'informació i aquesta combinació s'ha mostrat d'enorme potencial i versatilitat. D'una banda, s'aconsegueix la captura passiva de la informació dels protocols de xarxa i, d'aquesta manera, sense impacte en les operacions i, per un altre, s'assegura el seu emmagatzematge en un sistema escalable i flexible que permet accés a la informació en temps real, el seu processament i anàlisi, però també, l'accés a algorismes de Machine Learning per a detecció d'anomalies de forma desatesa. Avui, la gestió contínua d'esdeveniments ha substituït l'anàlisi de resposta a incidents, d'ahir, i la solució desplegada, mitjançant Kibana i Elastic SIEM proporcionen la interfície, eines i funcionalitats necessaris per al monitoratge de l'activitat de xarxa i gestió d'incidents. La configuració de regles de detecció i també de ElastAlert, com a sistema de notificació, ha creat un entorn òptim per a supervisió de la xarxa de manera autònoma i amb gestió integrada de la recerca d'incidents.

Actualmente, la mayoría de las corporaciones ofrecen servicios que dependen de sitios web y aplicaciones basadas en internet. Esto provoca que los riegos para la privacidad y seguridad a los que están expuestos aumenten considerablemente. Los ciberataques han aumentado estando al alcance de personas con conocimientos escasos. Lo que anteriormente se hacía por diversión, reconocimiento o ganas de aprender, ahora se ha convertido en uno de los negocios que mueve más cantidad de dinero. Para solucionar estos riegos, las empresas utilizan sistemas de protección que generan un volumen de datos enorme, siendo muy difícil de analizar rápidamente y filtrado en alertas procesables. La finalidad de este proyecto reside en la implementación de un sistema, compuesto por un IDS integrado en un SIEM, que proporciona un análisis exhaustivo de la red de la organización, vigilando y monitorizando el tráfico y detectando posibles eventos maliciosos. Mediante este sistema, el equipo de seguridad contará con un método efectivo para automatizar procesos y centralizar la gestión de la seguridad. Además, se realizará una estandarización de datos, transformando los datos provenientes de diferentes fuentes a un formato común utilizado para ejecutar el análisis y correlación reduciendo la carga de trabajo del equipo. El proyecto aportará un grado de seguridad de tipo preventivo ante cualquier actividad sospechosa haciendo que el equipo de seguridad reciba alertas anticipadas y puedan actuar con antelación suficiente para mitigar el problema y minimizar la afectación. Currently, most corporations offer services that rely on internet-based websites and applications. This situation causes that the privacity and security risks increase considerably. Cyber attacks have increased being available to people with limited knowledge. What was previously done for fun, recognition or desire to learn, has become in one of the businesses that move more money. To solve these risks, companies use protection systems that generate huge volumen of data, being very difficult to analyze it quickly and filter it in actionable alerts. The project aims to alleviate this situation by implementing a system consisting of an Instruction Detection System (IDS) integrated in a Security Information and Event Management (SIEM) that provides an exhaustive analysis of the organization¿s network, monitoring traffic and detecting posible malicious events. By using this system, security teams will have an effective method to automate processes and centralize security management. In addition, data standardization is perfomed, transforming the data from different sources into a common format used to run análisis and correlation, reducing the team's workload. This project will provide a degree of preventive security against any suspicious activity, making the security team receive early alerts and be able to act quickly enough to mitigate the problem and minimize the impact. Actualment, la majoria de les corporacions ofereixen serveis que depenen de llocs web i aplicacions basades en internet. Això provoca que els regs per a la privacitat i seguretat als quals estan exposats augmentin considerablement. Els ciberatacs han augmentat estant a l'abast de persones amb coneixements escassos. El que anteriorment es feia per diversió, reconeixement o ganes d'aprendre, ara s'ha convertit en un dels negocis que mou més quantitat de diners. Per a solucionar aquests regs, les empreses utilitzen sistemes de protecció que generen un volum de dades enorme, sent molt difícil d'analitzar ràpidament i filtrat en alertes procesables. La finalitat d'aquest projecte resideix en la implementació d'un sistema, compost per un IDS integrat en un SIEM, que proporciona una anàlisi exhaustiva de la xarxa de l'organització, vigilant i monitorant el trànsit i detectant possibles esdeveniments maliciosos. Mitjançant aquest sistema, l'equip de seguretat comptarà amb un mètode efectiu per a automatitzar processos i centralitzar la gestió de la seguretat. A més, es realitzarà una estandardització de dades, transformant les dades provinents de diferents fonts a un format comú utilitzat per a executar l'anàlisi i correlació reduint la càrrega de treball de l'equip. El projecte aportarà un grau de seguretat de tipus preventiu davant qualsevol activitat sospitosa fent que l'equip de seguretat rebi alertes anticipades i puguin actuar amb antelació suficient per a mitigar el problema i minimitzar l'afectació.

La finalidad principal de este trabajo es valorar qué ventajas nos ofrece la implementación de un sistema de detección de intrusiones en combinación con herramientas de transformación de logs, para su almacenaje en bases de datos NoSQL y su posterior explotación mediante el uso de herramientas avanzadas de creación de distintas gráficas ,que nos ayuden a la detección de comportamientos anómalos en nuestra red dentro del ámbito laboral y a coste reducido, aprovechando los recursos disponibles. La particularidad de nuestro entorno laboral hace que estén conectados a la red muchos equipos electromédicos con Windows embebido y, dada la dificultad de aplicación de parches de seguridad, suponen una importante amenaza para la seguridad de la información y, más concretamente, para la seguridad del paciente. Para ello, se ha utilizado Zeek como Sistema de Detección de Intrusiones en Red (NIDS), ELK Stack para la transformación de logs (Beats), como almacén de datos (Elastic Search) y para la posterior explotación y visualización gráfica de la información, Machine Learning y SIEM (Kibana). Se ha utilizado hardware virtualizado para ELK Stack en Windows Server 2012 R2 y PCs, cuyo valor residual es 0 para instalar Zeek en Linux como Sniffer de Red utilizando configuración de puertos espejo en switch gestionado. Se ha podido visualizar varias anomalías, con lo que no ha sido necesaria la simulación de ataques o infecciones. The main purpose of this work is to assess the advantages offered by the implementation of an Intrusion Detection System in combination with log transformation tools for storage in NoSQL Databases and its subsequent exploitation through the use of advanced tools for creating different graphs that help us to detect anomalous behaviors in our network within the workplace and at reduced cost, taking advantage of the available resources. The particularity of our work environment means that many electromedical devices with embedded Windows are connected to the network and, given the difficulty of applying security patches, pose a significant threat to information security and, more specifically, to the security of the patient. For this, Zeek has been used as a Network Intrusion Detection System (NIDS) and ELK Stack for the transformation of logs (Beats), data warehouse (Elastic Search) and for the subsequent exploitation and graphic visualization of information, Machine Learning and SIEM (Kibana). Virtualized hardware has been used for ELK Stack on Windows Server 2012 R2 and PCs, whose residual value is 0, to install Zeek on Linux as a Network Sniffer using mirror port configuration on managed switch. It has been possible to visualize several anomalies, which has not been necessary to simulate attacks or infections, which has led us to the detection of two Wannacry infections. Concluding that the implemented environment helps us to detect network anomalies. La finalitat principal d'aquest treball és valorar les millores que ens ofereix la implementació d'un sistema de detecció d'intrusions en combinació amb eines de transformació de logs, per al seu emmagatzematge en bases de dades NoSQL i la seva posterior explotació mitjançant l'ús d'eines avançades de creació de diferents gràfiques, que ens ajudin a la detecció de comportaments anòmals a la nostra xarxa dins de l'àmbit laboral i ha cost reduït, aprofitant els recursos disponibles. La particularitat del nostre entorn laboral fa que estiguin connectats a la xarxa molts equips electromèdics amb Windows encastat i, donada la dificultat d'aplicació dels pegats de seguretat, suposen una important amenaça per a la seguretat de la informació i, més concretament, per a la seguretat del pacient. Per a això, s'ha utilitzat Zeek com a sistema de detecció d'intrusions a la xarxa (NIDS), ELK Stack per a la transformació de logs (Beats), com a magatzem de dades (Elastic Search) i per a la posterior explotació i visualització gràfica de la informació, Machine Learning i SIEM (Kibana). S'ha utilitzat maquinari virtualitzat per ELK Stack a Windows Server 2012 R2 i PC, el valor residual és 0 per instal·lar Zeek en Linux com Sniffer de Xarxa utilitzant configuració de ports mirall en switch gestionat. S'ha pogut visualitzar diverses anomalies, de manera que no ha calgut la simulació d'atacs o infeccions.

Cada vez es más habitual leer noticias sobre ataques de robo de datos, cifrado de ordenadores, etc en organizaciones y empresas de todos los tamaños. La seguridad es un pilar importante para la estabilidad de una organización o empresa. Por este motivo es necesario implementar todas las posibles medidas para identificar las amenazas. Una de las medidas más interesante a nivel de red son los NIDS. Los NIDS son herramientas de detección de intrusión de red que nos permiten analizar la red de la organización. Entre ellas se encuentran las herramientas Snort, Suricata y Zeek (anteriormente conocida como Bro IDS). Este trabajo analiza la herramienta Zeek para la detección temprana de amenazas y su posterior exploración mediante un panel de control que nos ofrece el stack de Elastic (Elasticsearch, Logstash y Kibana). Para detección de amenazas se realiza una consulta de fuentes externas de reputación mediante la herramienta IntelMQ que facilita la lista de ip de reputación a nuestro sistema. Como mejora para la detección se desarrollan mecanismos de alarma, para notificar posibles eventos de actividad maliciosa en la red. El método de trabajo seguido consiste en la definición de una serie de etapas y objetivos de investigación, implantación y entrega. El resultado obtenido es la implantación e integración de las herramientas Zeek y listas de reputación para su explotación posterior mediante un panel de control sencillo. En cuanto a las conclusiones, se puede afirmar que las herramientas NIDS son herramientas muy útiles para la detección temprana de anomalías en la red y que pueden ser clave para identificación de amenazas. News about attacks, data theft, computer encryption,... in organizations and companies is becoming more frequent. Security tasks are an important pillar for the stability of organizations and companies. For this reason it is necessary to implement all possible security measures to identify threats. One of the most interesting measures at the network level is the NIDS. NIDS are network intrusion detection tools that allow us to analyze the network of our organizations. Some NIDS tools are Snort, Suricata and Zeek tools (formerly known as Bro IDS). This Project analyzes the Zeek tool for the early detection of threats and their subsequent explotation through a control panel offered by the Elastic stack (Elasticsearch, Logstash and Kibana). I use IntelMQ as a tool of intelligence to add a reputation list to the system. Alarm mechanisms have been developed to notify of possible events of malicious activity in the network as an improvement to the detection I defined a series of stages, a general objective and the objectives of research, implementation and delivery of documentation. The result obtained from the Project is the implementation and integration of Zeek tools and reputation lists for later exploitation through a simple control panel. As for the conclusions of the Project, it can be affirmed that NIDS tools are very useful tools for the early detection of network anomalies and that they can be key to threat identification. Cada vegada és més habitual llegir notícies sobre atacs de robatori de dades, xifrat d'ordinadors,... a organitzacions i empreses de totes les mides. La seguretat és un pilar important per a l'estabilitat d'una organització o empresa. Per aquest motiu cal implementar totes les possibles mesures per identificar les amenaces. Una de les mesures més interessant pel que fa a la xarxa són els NIDS. Els NIDS són eines de detecció d'intrusió de xarxa que ens permeten analitzar la xarxa de l'organització. Entre elles es troben les eines Snort, Suricada i Zeek (anteriorment coneguda com Bro IDS). Aquest treball analitza l'eina Zeek per a la detecció d'amenaces i la seva posterior exploració mitjançant un panell de control que ens ofereix el stack de Elastic (Elasticsearch, Logstash i Kibana). Per a la detecció d'amenaces es realitza una consulta de fonts externes de reputació mitjançant l'eina IntelMQ, que facilita la llista de ip de reputació al nostre sistema. Com a millora per a la detecció es desenvolupen mecanismes d'alarma, per a notificar possibles esdeveniments d'activitat maliciosa a la xarxa. El mètode de treball seguit consisteix en la definició d'una sèrie d'etapes i objectius d'investigació, implantació i entrega. El resultat obtingut és la implantació i integració de les eines Zeek i les llistes de reputació per a la seva explotació posterior mitjançant un panell de control senzill. Pel que fa a les conclusions, es pot afirmar que les eines NIDS són eines molt útils per a la detecció d'anomalies a la xarxa i que poden ser clau per a identificació d'amenaces.

El trabajo recoge el proceso de construcción de un sistema de monitorización que, a partir del tráfico de red, identifica actividades sospechosas que podrían indicar una vulneración de la seguridad de los sistemas informáticos en una red de comunicaciones. La finalidad del trabajo era la de disponer de un sistema completo de monitorización de bajo coste, capaz de detectar tráfico de red sospechoso a partir de listas de reputación. El trabajo se ha basado en el uso de Zeek IDS, como sistema de detección de intrusos, encargado del análisis del tráfico de red; el stack Elastic, para la monitorización activa del tráfico de red; y MineMeld como herramienta de gestión de listas de reputación. Para el desarrollo del trabajo se ha utilizado una metodología de tipo waterfall, dividida en diferentes fases propias de un proyecto de desarrollo de software: definición, análisis, construcción y entrega. Se han realizado además seguimientos periódicos de avance del trabajo. El resultado ha sido un sistema completo de monitorización, en el cual se ha simulado tráfico de red que ha quedado registrado en el dashboard de monitorización, cuyas actividades sospechosas, en base a las listas de reputación, han quedado identificadas para un posterior análisis. Se concluye que, con las herramientas utilizadas, se puede obtener un completo sistema de monitorización, fácilmente adaptable y extensible a las necesidades de cualquier ámbito de aplicación, tanto empresarial como particular, y que el uso de listas de reputación es clave para la identificación de actividades maliciosas en este tipo de sistemas. The work covers the process of building a full monitoring system that, based on network traffic, identifies suspicious activities that could indicate a breach of the security of computer systems in a communications network. The purpose of the work was to have a complete low-cost monitoring system capable of detecting suspicious network traffic from reputation lists. The work was based on the use of Zeek IDS, as an intrusion detection system, responsible for analyzing network traffic; the Elastic stack, for active monitoring of network traffic; and MineMeld as a reputation list management tool. For the development of the work, a waterfall type methodology has been used, divided into different phases of a software development project: definition, analysis, construction and delivery. In addition, periodic progress reporting has been carried out. The result has been a complete monitoring system, in which network traffic has been simulated and registered in the monitoring dashboard, whose suspicious activities, based on reputation lists, have been identified for later analysis. It is concluded that, with the tools used, a complete monitoring system can be obtained, easily adaptable and extensible to the needs of any field of application, both business and private, and that the use of reputation lists is key to the identification of malicious activities in this type of systems. El treball recull el procés de construcció d'un sistema de monitoratge que, a partir del tràfic de xarxa, identifica activitats sospitoses que podrien indicar una vulneració de la seguretat dels sistemes informàtics en una xarxa de comunicacions. La finalitat del treball era la de disposar d'un complet sistema de monitoratge de cost baix, capaç de detectar tràfic de xarxa sospitosa a partir de llistes de reputació. El treball s'ha basat en l'ús de Zeek IDS, com sistema de detecció d'intrusos, encarregat de l'anàlisi de tràfic de xarxa; el stack Elastic, per al monitoratge activu del tràfic de xarxa; i Minemeld com a eina de gestió de les llistes de reputació. Per al desenvolupament del treball s'ha aplicat una metodologia de tipus waterfall, dividida en diferents fases pròpies d'un projecte de desenvolupament de software: definició, anàlisi, construcció i entrega. S'han realitzat a més seguiments periòdics d'avanç del treball. El resultat ha estat un complet sistema de monitoratge, en el qual s'ha simulat tràfic de xarxa que ha quedat enregistrat en el dashboard de monitoratge, on les activitats sospitoses, basant-se en les llistes de reputació, han quedat identificades per a un posterior anàlisi. Es conclueix que, amb les eines utilitzades, es pot obtenir un complet sistema, fàcilment adaptable i extensible a les necessitats de qualsevol àmbit d'aplicació, siguin empreses com particulars, i que l'ús de llistes de reputació és clau per a la identificació d'activitats malicioses en aquest tipus de sistemes.