Triage de IOCs con Suricata, ML y Docker

Los honeypots generan enormes cantidades de registros ruidosos. El reto es identificar rápidamente que direcciones IP merecen atención y cuales son solo ruido de fondo. En este artículo explico cómo diseñé un pipeline de triage de IOCs que ingiere telemetria de Suricata y Zeek, puntua direcciones IP sospechosas, aplica aprendizaje no supervisado y genera listas de bloqueo accionables.

El problema. Si has desplegado un honeypot como T-Pot sabes la situacion: gigabytes de alertas de Suricata y Zeek, miles de IP origen unicas y falsos positivos constantes. Revisar todo manualmente no escala. Se necesitaba una canalizacion automatizada que haga lo siguiente: agregar actividad por IP, puntuar cada IP segun comportamiento sospechoso, usar ML para detectar anomalías y generar informes y listas de bloqueo legibles por humanos.

Arquitectura del pipeline. Desarrollé una herramienta en Python llamada ioc_triage.py que procesa registros NDJSON y produce salidas estructuradas. Caracteristicas principales: ingesta de logs Suricata Zeek T-Pot, agregacion de caracteristicas por IP como flujos por minuto, puertos unicos, entropia de puertos y burstiness, conteo de firmas, reglas configurables mediante config.yaml, y deteccion de anomalías usando modelos no supervisados.

Agregacion y scoring. Por cada IP origen se calculan metricas utiles como flujos por minuto, puertos destino unicos, puertos origen unicos, varianza de actividad que refleja burstiness, entropia de puertos y numero de firmas disparadas. El scoring combina reglas ponderadas configurables para generar una puntuacion inicial que ayuda a priorizar analistas.

Modelos de machine learning. Para detectar comportamientos atipicos se emplean tecnicas no supervisadas como IsolationForest, LocalOutlierFactor y OneClassSVM. Opcionalmente se pueden integrar metodos de la libreria PyOD como HBOS y COPOD. Las puntuaciones de ML se normalizan y se combinan en una puntuacion ML con su confianza asociada.

Fusion y decision final. Las reglas y ML se fusionan para asignar una etiqueta operativa por IP entre observe, investigate y block_candidate. Esto permite generar salidas accionables: CSV enriquecidos por IP, casefiles en JSON con contexto para analistas y listas de bloqueo por IP y por prefijo agregadas en /24 o /48.

Salida de ejemplo. Un resumen tipico contiene columnas como ip score ml_score tier ml_tier tier_combined reason. Por ejemplo una IP con puntuacion alta, ml_score cercano a 1 y evidencia de high flows y high burstiness puede clasificarse como block_candidate y aparecer en blocklist_combined.tsv y blocklist_combined_prefix.tsv.

Uso y despliegue. Ejemplo de ejecucion en una maquina con Python: ejecutar scripts/ioc_triage.py con parametro input apuntando al NDJSON de Suricata y un rango de horas. Existe soporte opcional para Docker para facilitar despliegues repetibles y aislar dependencias. El pipeline permite ajustar pesos de reglas y tasas de contaminacion del ML para afinar alertas segun el entorno.

Por que importa. Este proyecto transforma el ruido de honeypots en inteligencia util: los analistas enfocan su tiempo en amenazas de alta confianza, las listas de bloqueo se actualizan automaticamente y el sistema es ideal para mostrar integracion practica de ML y ciberseguridad en portafolios profesionales.

Sobre Q2BSTUDIO. En Q2BSTUDIO somos una empresa de desarrollo de software especializada en aplicaciones a medida y software a medida. Ofrecemos soluciones completas que combinan inteligencia artificial, ciberseguridad y servicios cloud a medida en AWS y Azure. Nuestro equipo crea pipelines de deteccion y respuesta, integracion de ML y visualizacion de datos para casos de uso reales. Si buscas servicios de auditoria, pentesting y proteccion para tus entornos puedes conocer nuestras opciones en servicios de ciberseguridad y pentesting. Si te interesa integrar modelos de IA en procesos de negocio visita nuestros servicios de inteligencia artificial.

Palabras clave y beneficios. Este pipeline aporta valor en areas como aplicaciones a medida, software a medida, inteligencia artificial para empresas, ciberseguridad, servicios cloud aws y azure, servicios inteligencia de negocio, ia para empresas, agentes IA y power bi. Podemos enriquecer la canalizacion con consultas WHOIS, VirusTotal y AbuseIPDB, y exponer resultados en tableros con Power BI para mejorar la investigacion y el seguimiento.

Proximos pasos. Entre las mejoras posibles estan probar modelos deep learning como autoencoders y transformers, integrar enriquecimiento activo de amenazas, y construir dashboards para triage en tiempo real. Si quieres que implementemos una version a medida para tu entorno habla con Q2BSTUDIO y diseñaremos una solucion que incluya despliegue en la nube, integracion con herramientas SIEM y automatizacion de procesos.

Contacta. Si trabajas con honeypots, deteccion de intrusiones o inteligencia de amenazas y quieres una demostracion o un proyecto a medida ponte en contacto con nuestro equipo y elevemos juntos la capacidad de respuesta de tu organizacion.