Becaria de ciberseguridad y análisis de comportamiento

El problema

Amplía construye plataformas de IoT industrial. Las prácticas se enmarcaban en SecBluRed, un proyecto de I+D con cofinanciación nacional sobre seguridad del tráfico IoT industrial, donde el equipo había entrenado dos familias de detectores de anomalías —Isolation Forest y autoencoders profundos— sobre tráfico de red real.

Mi tarea era responder a la pregunta que viene después del entrenamiento: ¿debería alguien fiarse de ellos?

Qué hice

El método evidente no servía. No existía ninguna etiqueta de referencia para lo «normal». Nadie podía darme un conjunto de tráfico que se supiera limpio y otro de ataques identificados, así que no se podía calcular la precisión supervisada: no había con qué compararla.

La sustituí, por tanto, por cosas que sí se pueden medir sin etiquetas:

• Consistencia de detección: ¿marca el modelo el mismo tráfico cuando se le vuelve a presentar?
• Varianza ante perturbaciones: ¿cuánto mueve la puntuación un pequeño cambio en la entrada?
• Estabilidad entre condiciones: ¿se mantiene el comportamiento al cambiar las condiciones de operación?

En paralelo hice el trabajo que más me interesó: mantener los modelos interpretables. Un equipo de seguridad no puede actuar sobre una puntuación de anomalía sin explicación. Necesita ver qué variables dispararon la detección, porque su siguiente paso es justificar una intervención ante otra persona.

Qué me enseñó

Fue mi primer contacto con el problema que ha marcado todo lo que he hecho después: decidir cuánto fiarse de unos datos antes de analizarlos.

También me enseñó que «no podemos medir la precisión» no es el final de una evaluación, sino el principio de diseñarla: buscas las propiedades que un buen modelo debe tener y compruebas esas.

Mi aportación fue la validación y la explicabilidad de modelos que construía el equipo, no la autoría principal de esos modelos. La distinción importa y la mantengo.