Extracción de variables para caracterización multi-clase de la severidad de IPs

Abstract

[ES] Determinar la severidad de un incidente de ciberseguridad es fundamental para establecer medidas efectivas contra el mismo. En este contexto, el aprendizaje automático es utilizado para crear modelos capaces de clasificar y predecir la peligrosidad de los eventos de ciberseguridad. Uno de los aspectos más importantes en el uso de este tipo de técnicas es la extracción de variables que permitan obtener modelos eficientes. El objetivo de este trabajo es construir un conjunto de variables o features que caracterice la maliciosidad de una dirección IP de manera multi-clase. La configuración final son 23 variables: 18 de ellas obtenidas mediante series temporales y listas de reputación, y 5 relacionadas con la geolocalización de la IP. No solo se han extraído las features, sino que se ha realizado un análisis estadístico para estudiar su adecuación y optimización. En el caso de las variables de geolocalización, por los posibles cambios que pueden sufrir en el tiempo. En el caso de las series temporales, por los hiper-parámetros inherentes a la construcción de las variables.