Detecció d'Amenaces

Professorat

Responsable

• René Serral Gracià (rserral@ac.upc.edu)

Hores setmanals

Competències

Objectius

1. Identificar els actors d'amenaces i caracteritzar la metodologia de les APT (Advanced Persistent Threats), determinant els factors que incideixen negativament en la seguretat dels sistemes per tal de minimitzar-ne els efectes.
   Competències relacionades: CT7.3,
2. Administrar, analitzar i monitorar els registres (logs) propis dels Sistemes Operatius (syslog/journalctl en Linux, Event Viewer en Windows), demostrant coneixement de la seva estructura per mantenir els sistemes i detectar anomalies.
   Competències relacionades: CTI2.2, CT6.3,
3. Aplicar eines d'emmagatzematge, processament i accés a la informació de seguretat mitjançant plataformes SIEM i l'ús de regles YARA per centralitzar i correlacionar grans volums d'esdeveniments.
   Competències relacionades: CT7.3, CT2.4,
4. Comprendre el funcionament intern dels sistemes de detecció (signatures, heurística, comportament i IA), llegint i utilitzant eficaçment manuals i especificacions de productes de ciberseguretat escrits en anglès.
   Competències relacionades: G3.1, CT2.3,
5. Avaluar i comparar diferents solucions de maquinari i programari de defensa (Antivirus, EPP, EDR i XDR) d'acord amb criteris de qualitat i eficàcia tècnica per seleccionar la millor opció segons l'entorn.
   Competències relacionades: CT7.2,
6. Configurar i mantenir aplicacions i sistemes de detecció avançada a l'endpoint (EDR/XDR), entenent-ne les funcionalitats, gestionant els nivells d'alerta i assegurant els serveis operatius de la infraestructura.
   Competències relacionades: CTI2.2, CT6.3,
7. Dirigir i planificar la gestió de la seguretat de la infraestructura informàtica mitjançant el disseny de Plans de Ciberseguretat formals, assegurant-ne la fiabilitat d'acord amb principis ètics i la normativa vigent.
   Competències relacionades: CTI2.1, CT2.3,
8. Desenvolupar estratègies de resposta automàtica i orquestració (SOAR), prenent decisions tecnològiques basades en criteris objectius i dades experimentals extretes dels incidents.
   Competències relacionades: CT7.2, G7.2,
9. Analitzar la presència de bretxes de seguretat a través dels logs del sistema
   Competències relacionades: G3.2, G6.1,
10. Executar les pràctiques i tasques de laboratori de l'assignatura en els terminis establerts, aplicant de forma progressiva l'aprenentatge guiat i dirigit, i avaluant de forma crítica el propi progrés, fortaleses i debilitats tècniques en l'anàlisi d'incidents.
    Competències relacionades: G7.1, G7.2,

Continguts

1. Introducció a CyberThreat Intelligence
   Aquest tema estableix els fonaments de la Intel·ligència d'Amenaces Cibernètiques (CTI). S'hi analitza el cicle de vida de la intel·ligència per transformar dades crues en coneixement accionable, permetent a les organitzacions passar d'una defensa reactiva a una de proactiva.
   
   S'hi estudien els nivells d'intel·ligència (estratègica, operacional, tàctica i tècnica) i com conceptes clau com els Indicadors de Compromís (IoC) i les Tàctiques, Tècniques i Procediments (TTP) s'integren en les eines de seguretat (com SIEM o EDR). L'objectiu final és aprendre a anticipar-se als atacs, perfilar els actors maliciosos i agilitzar la resposta a incidents.
2. Anàlisi de Logs
   Aquest tema aprofundeix en l'Anàlisi de Logs, una peça fonamental per a la visibilitat i la detecció d'amenaces. L'estudiant aprendrà a extreure, interpretar i correlacionar els registres dels sistemes operatius per rastrejar atacs i detectar anomalies.
   
   En entorns Linux, s'explorarà la gestió i anàlisi de registres mitjançant eines clau com syslog i journalctl. Pel que fa a Windows, l'estudi se centrarà en dominar l'Event Viewer per identificar esdeveniments crítics de seguretat, com ara inicis de sessió sospitosos o alteracions del sistema. Aquest domini tècnic base és el pas previ i essencial per a la posterior centralització en sistemes SIEM.
3. Evolució de la detecció d'amenaces
   Aquest tema traça l'evolució tecnològica de les eines de defensa, començant pels primers Antivirus basats en signatures. S'hi analitza la transició cap a l'Antivirus Next Generation (NGAV) i les plataformes EPP, centrades a maximitzar la prevenció als equips.
   
   Seguidament, s'aborda el canvi de paradigma cap a la monitoratge i resposta contínua amb l'aparició de l'EDR (Endpoint Detection and Response). Finalment, s'estudia la culminació d'aquest procés: l'XDR (eXtended Detection and Response), una tecnologia que trenca les sitges d'informació integrant dades d'endpoint, xarxa, núvol i identitat per oferir una visibilitat holística i una resposta automatitzada davant d'atacs complexos.
4. Antivirus
   Aquest tema aprofundeix en el funcionament detallat dels Antivirus, històricament la primera línia de defensa als *endpoints*. S'hi analitza l'evolució dels seus motors per fer front a codi maliciós cada cop més avançat.
   
   Començarem estudiant la detecció basada en signatures, eficaç contra programari maliciós conegut, però insuficient davant noves variants. Per cobrir aquestes mancances, s'exploraran enfocaments més proactius: l'anàlisi heurística i la detecció per comportament, capaces d'identificar accions sospitoses en temps real sense coneixement previ. Finalment, s'abordarà la integració de la Intel·ligència Artificial, utilitzant l'aprenentatge automàtic per predir i bloquejar amenaces desconegudes (Zero-Day) abans de la seva execució.
5. EDR/XDR
   Aquest tema aprofundeix en les tecnologies avançades de detecció i resposta: EDR i XDR. L'estudiant explorarà les **funcionalitats** clau de l'EDR, dissenyat per monitorar contínuament l'activitat als *endpoints*, detectar comportaments anòmals i facilitar l'aïllament i contenció d'amenaces eludides pels antivirus tradicionals.
   
   A continuació, s'ampliarà la perspectiva cap a l'XDR, que unifica la telemetria de múltiples vectors (xarxa, núvol, correu i identitat) per a una visió global de l'atac. Finalment, s'aprendrà a classificar i gestionar els diferents nivells d'alerta, una habilitat crítica per prioritzar incidents, reduir la fatiga d'alertes i optimitzar l'eficiència dels equips de resposta.
6. Resposta a Incidents
   Aquest tema se centra en la Resposta a Incidents, abordant com les organitzacions han d'actuar de manera estructurada un cop detectada una bretxa de seguretat. S'hi estudiarà el disseny de plans de ciberseguretat, establint protocols clars i metòdics per a la contenció, erradicació i recuperació de l'entorn afectat.
   
   A més, es posarà un èmfasi especial en la modernització d'aquesta capacitat mitjançant l'automatització. L'estudiant comprendrà el valor i el funcionament de les solucions SOAR (Security Orchestration, Automation, and Response), eines clau per orquestrar defenses, automatitzar tasques repetitives i reduir dràsticament els temps de reacció davant dels atacs.

Activitats

Activitat Acte avaluatiu

Metodologia docent

Mètode d'avaluació

Bibliografia

Bàsic

• Cyber Threat Intelligence: The No-Nonsense Guide for CISOs and Security Managers - Roberts, Aaron, Apress, ISBN: 978-1484272190
  https://www.amazon.es/Cyber-Threat-Intelligence-No-Nonsense-Security/dp/1484272196#detailBullets_feature_div

Capacitats prèvies