Seguimos del lado defensor. Las firmas detectan lo que ya conocemos; el threat hunting busca lo que todavía no tiene firma. Y ahí la IA no supervisada brilla: en lugar de describir cada ataque, le enseñamos a un modelo cómo es lo normal y dejamos que marque lo que se desvía. Este artículo aterriza dos técnicas estrella —Isolation Forest y Autoencoders— sobre tráfico de red y comportamiento de usuarios (UEBA).
Enfoque. Artículo técnico-defensivo: cómo construir detección de anomalías para tu Blue Team, con sus trampas (falsos positivos, envenenamiento del baseline) incluidas.
1. La idea: aprender “lo normal”
La detección de anomalías no clasifica “ataque vs. no ataque”: aprende la distribución de lo habitual y señala lo que se aleja de ella. Es no supervisada —no necesita ejemplos etiquetados de cada ataque—, lo que la hace apta para amenazas nuevas. El precio: señala lo raro, y no todo lo raro es malicioso (de ahí la lucha contra el falso positivo).
2. Isolation Forest: aislar lo raro
La intuición de Isolation Forest (Liu, Ting & Zhou, 2008) es elegante: si haces cortes aleatorios en los datos, un punto anómalo queda aislado en muy pocos cortes (está lejos del grueso), mientras que uno normal necesita muchos. Promediando sobre muchos árboles, obtienes un anomaly score. Es ligero, escala a grandes volúmenes y rinde bien con features numéricas (bytes, paquetes/s, duración de flujo, puertos).
from sklearn.ensemble import IsolationForest
# X = features de flujos de red (solo tráfico NORMAL para el baseline)
iso = IsolationForest(contamination="auto", random_state=42)
iso.fit(X_train)
# -1 = anómalo, 1 = normal
pred = iso.predict(X_live)
scores = iso.score_samples(X_live) # cuanto más bajo, más anómalo3. Autoencoders: reconstruir lo normal
Un autoencoder es una red neuronal que aprende a comprimir y reconstruir sus entradas. Si lo entrenas solo con tráfico/comportamiento normal, reconstruye bien lo normal y mal lo anómalo: el error de reconstrucción alto es tu señal. Captan no linealidades y relaciones complejas que un modelo tabular pierde, y suelen ser mejores con features faltantes o categóricas —útil frente a ataques novedosos (posibles zero-days)—. A cambio: más cómputo y más ajuste.
4. ¿Cuál? Mejor, combinarlos
No es uno u otro. La evidencia comparativa es consistente:
- Isolation Forest destaca en atributos numéricos y es rapidísimo.
- Autoencoders capturan lo categórico / las features ausentes y generalizan mejor a lo desconocido.
- Híbrido: pasar la representación comprimida del autoencoder a un Isolation Forest mejora la detección en datos de alta dimensión.
Regla práctica. Empieza con Isolation Forest (barato, interpretable por *score*) como primera línea; suma un autoencoder para lo que el bosque no ve. Y evalúa con datos realistas, no solo con datasets viejos tipo KDD'99 —el sobreajuste a un benchmark es el autoengaño clásico.
5. UEBA: del paquete a la persona
El mismo motor, aplicado a entidades (usuarios, cuentas de servicio, hosts), es UEBA (User and Entity Behavior Analytics). La clave es el baseline por entidad: cada usuario es su propia normalidad.
Features típicas por entidad:
- Temporales: horario de actividad, días laborables vs. 3 AM del domingo.
- Volumen: datos subidos/descargados, nº de archivos tocados.
- Acceso: sistemas y recursos habituales, geolocalización/IP de login.
- Relacionales: comparación con el peer group (su equipo/rol).
Qué cazas con esto: cuentas comprometidas (login imposible, pico de descargas), insiders (acceso masivo atípico antes de renunciar), movimiento lateral (una cuenta que de pronto toca hosts que nunca visita).
6. Llevarlo a producción (donde se gana o se pierde)
- Ingeniería de features y normalización: el 80% del resultado está aquí, no en el modelo.
- El umbral y el falso positivo: una anomalía no es un incidente. Calibra el umbral, agrupa alertas y prioriza; un modelo que grita por todo no se usa.
- Humano + IA: el modelo prioriza la cola; el hunter investiga y confirma. Ideal: encadenar con un LLM que resuma y triage la alerta.
- Feedback loop: lo que el analista marca como falso positivo reentrena/ajusta el baseline.
- Deriva (drift): lo “normal” cambia (nuevo software, teletrabajo); reentrena periódicamente.
7. Riesgos propios de la IA defensiva
- Envenenamiento del baseline. Si un atacante actúa “lento y bajo” durante el entrenamiento, el modelo aprende su actividad como normal. Es el data poisoning aplicado a tu detección.
- Evasión. Adversarios que se mimetizan con el tráfico legítimo para quedar bajo el umbral.
- Caja negra. Un score sin explicación cuesta de accionar; prioriza modelos/estrategias que expliquen por qué algo es anómalo.
Todo esto encaja en la gobernanza de ISO 42001 / NIST AI RMF: tu detector de anomalías es un sistema de IA más, que hay que medir, versionar y proteger.
8. Conclusión
El threat hunting con IA no reemplaza al cazador: le da un mapa de calor de dónde mirar. Isolation Forest y Autoencoders —solos o combinados— convierten montañas de tráfico y logs en un puñado de desviaciones que un humano sí puede revisar. La diferencia entre un detector útil y uno que nadie mira está en las features, el umbral y el feedback, no en el algoritmo de moda. Aprende lo normal, vigila lo raro y mantén al analista al mando.
Fuentes
- scikit-learn — IsolationForest (documentación)
- Liu, Ting & Zhou — Isolation Forest (paper, IEEE ICDM 2008)
- Comparing Autoencoder and Isolation Forest in Network Anomaly Detection (ResearchGate)
- Detecting Anomalous Packets in Network Transfers (OSTI)
- Ejemplo práctico: Isolation Forest + Autoencoder sobre tráfico (GitHub)