Ciberseguridad cognitiva aplicada al phishing

Ciberseguridad Cognitiva aplicada al Phishing Jos´ e Mariano Velo , ´ Angel Jes´ us Varela-Vaca ,y Rafael M. Gasca IDEA Research Group, Universidad de Sevilla {josvelmor2, ajvarela, gasca}@us.es Abstract—Los Sistemas cognitivos son sistemas informaticos que emplean las teor´ ıas, m´ etodos y herramientas de diversas disciplinas de computaci´ on para modelar tareas o procesos cognitivos emulando a la cognici´ on humana. Una de las aplicaciones de ´ estos sistemas es en el campo de la Ciberseguridad es la detecci´ on de t´ ecnicas de phishing. Se reciben diariamente miles o millones de correos electr´ onicos, que son procesados por los distintos filtros de seguridad para catalogarlos en diferentes clases, correos leg´ ıtimos, con malware, o phishing. A pesar de todas las medidas que se toman, siempre hay un porcentaje de correos electr´ onicos maliciosos que por diversos motivos pasan dichos filtros. Por ello vamos a definir una propuesta para mejorar la detecci´ on de dichos ataques, basada en una aproximaci´ on cognitiva. La propuesta se centra en definir el proceso, las potenciales t´ ecnicas y m´ etricas usando motores para toma de decisiones ampliada basada en modelos de decisi´ on. Index Terms—Phishing, Sistema Cognitivo, Deep Learning, IA, Machine Learning Tipo de contribuci´ on: Investigaci´ on original I. INTRODUCCI ´ ON La Computaci´ on Cognitiva [1] es un campo emergente producto de la confluencia de varias “ciencias” como la ciencia cognitiva, la neurociencia, la ciencia de los datos y otras tecnolog´ ıas de la computaci´ on. La uni´ on de dichas ciencias y de las nuevas tecnolog´ ıas de computaci´ on como Inteligencia Artificial (IA), Big Data, Machine Learning (ML), Cloud Computing y otras, deber´ ıan hacer posible modelar artificialmente el proceso de cognici´ on humana. La computaci´ on cognitiva incluye en sus procesos el modelado de la cognici´ on humana para proporcionar un mejor entendimiento del entorno a los sistemas que analizan grandes cantidades de datos y as´ ı poder generar resultados y predicciones que mejoren la toma de decisiones [2][3][4][5][6]. Hasta ahora con las tecnolog´ ıas existentes, era posible analizar grandes vol´ umenes de datos y aplicar t´ ecnicas de IA, de Machine Learning o incluso t´ ecnicas basadas en modelos estad´ ısticos que proporcionaban buenos resultados [7][8][9]. La pregunta ser´ ıa, ¿es posible a˜ nadir una capa m´ as abstracta que refleje nuestra manera de pensar y decidir? Aqu´ ı es donde interviene la computaci´ on cognitiva, ya que dichos sistemas a˜ naden conceptos m´ as abstractos como el contexto y la sem´ antica, lo cual permite que los mismos sean capaces de resolver problemas similares o an´ alogos de manera m´ as eficaz y en algunos casos sin recibir entrenamiento espec´ ıfico. Hoy en d´ ıa se empieza a aplicar la computaci´ on cognitiva en algunos ´ ambitos, como los de IoT, Cloud Computing, Criptomonedas, entre otros [1][8][10][11][12]. Y aunque a´ un se encuentra poco extendida, su uso en el ´ ambito de la Ciberseguridad [10] est´ a surgiendo y en pr´ oximos a˜ nos reportar´ a grandes beneficios. Los Sistemas cognitivos son sistemas inform´ aticos que emplean las teor´ ıas, m´ etodos y herramientas de diversas disciplinas de computaci´ on para modelar tareas o procesos cognitivos emulando a la cognici´ on humana [1]. En ellas, el cerebro humano se contempla como un procesador de informaci´ on altamente paralelizado desde el punto de vista de la computaci´ on cognitiva [1]. Son sistemas diferentes a los tradicionales ya que son adaptativos y aprenden y evolucionan con el tiempo, incorporando adem´ as el contexto en la computaci´ on. Pueden “sentir” el ambiente, pensar y actuar independientemente y especialmente tratar con informaci´ on incierta, ambigua e incompleta, as´ ı como retener en su memoria datos importantes para futuros usos. Podemos citar algunos casos reales de uso actuales como Watson [13], que es capaz de procesar lenguaje natural, incorporar el contexto a sus decisiones, razonar con datos incompletos o inciertos, razonar temporal o espacialmente, entre otras capacidades. IBM, empresa pionera en campos de la IA, tiene otros proyectos como Truenorth [14] y otras compa˜ n´ ıas como Google cuentan con sus API de procesado de lenguaje natural Speech API [15], Translate API [16], Vision API [17]); y otro ejemplo cada vez m´ as presente, son los asistentes cognitivos, como Google Now, Siri, Cortana o Alexa. Cada vez son m´ as habituales los ciberataques centrados en los endpoints, donde el correo electr´ onico sigue siendo uno de los mayores vectores de ataque. Los sistemas que filtran el correo tratan de verificar si los e-mails que entran son leg´ ıtimos o no en base a una serie de caracter´ ısticas intr´ ınsecas de los mismos. A saber, dominios de las direcciones de origen, direcciones IP desde las que se env´ ıan, encabezados, URLs en el cuerpo del e-mail y archivos adjuntos son ejemplos de algunos par´ ametros analizados para determinar si son leg´ ıtimos o por contra se trata de spam, phishing, malware, etc. Se realizan an´ alisis b´ asicamente comprobando los dominios e IPs presentes en listas negras. Estos sistemas suelen funcionar bien con correos que pertenecen a campa˜ nas globales e indiscriminadas de phishing y spam, ya que los datos de inteligencia asociados a los mismos suelen ser compartidos a partir de la primera detecci´ on e incorporados a las listas negras o de reputaci´ on mencionadas, como Cisco Talos [18], para su uso posterior y consulta por parte de otros sistemas. Pero suelen fallar generalmente cuando analizan correos con spear phishing o phishing dirigidos, ya que se han preparado minuciosamente para sortear los filtros y provienen generalmente de dominios “limpios”. Para mejorarlo se han realizado propuestas por parte de algunos autores que aplican t´ ecnicas de ML [9][6] y de Deep Learning (DL) [19]. Estas ISBN:978-84-8158-970-2VBVF:JNIC2023,119 t´ ecnicas proporcionan una mejora en la detecci´ on de correos que cumplen ciertas caracter´ ısticas comunes con los que anteriormente han sido catalogados como maliciosos y se consigue, como coment´ abamos antes, un ratio de detecci´ on del 95 por ciento [19]. Pero el sistema falla cuando los datos de los correos analizados no “encajan” con los par´ ametros aprendidos. En casos como los de correos enviados desde remitentes leg´ ıtimos cuyas cuentas o cuyo sistema ha sido comprometido por alg´ un ciberdelincuente. O los casos en los cuales los dominios maliciosos usados son tan recientes que a´ un no han sido catalogados por los sistemas de filtrado ni por tanto incorporados a ninguna lista negra, por citar algunos de los casos m´ as evidentes. Fig. 1. Flujo general en el an´ alisis de correos entrantes. Proponemos, por tanto, un sistema cognitivo que nos permita mejorar el an´ alisis realizado por el sistema de detecci´ on de correo leg´ ıtimo o malicioso y que llegado el caso deje en manos del analista humano la ´ ultima decisi´ on. Esto es, pretendemos mejorar el an´ alisis de correos electr´ onicos con phishing elaborados y para ello lo haremos desde una aproximaci´ on cognitiva. Algunos autores [11] llaman CAI (Cognitive Artificial Intelligence) a este tipo de aproximaciones. En la Figura 1 aparece un esquema del sistema cognitivo que proponemos dentro del flujo de correos de entrada en una organizaci´ on cualquiera, pudiendo observarse como un correo con spear phishing (representado con color morado) que ha sido capaz de evitar el filtro inicial, es finalmente descartado tras ser analizado por el sistema propuesto. Las contribuciones principales de ´ este trabajo son: •Definir el proceso cognitivo completo para el caso de phishing elaborados. •Estudiar las m´ etricas y par´ ametros para la fase de procesado de informaci´ on. •Definir nuevas m´ etricas y par´ ametros para analizar emails. •Propuesta de sistema de toma de decisiones basados en modelos de decisi´ on. Desarrollaremos nuestra propuesta en las secciones siguientes. II. BACKGROUND: EL ENFOQUE COGNITIVO A. Proceso cognitivo Aunque hay muchas definiciones, podemos adoptar la de la Universidad de Carlemany [12] que afirma que, un proceso cognitivo es aquel que nos permite procesar la informaci´ on que nos llega a trav´ es de los sentidos. Esto es, una forma de decodificar esos datos para que signifiquen algo para nosotros. Ahora bien, es relevante se˜ nalar que no todos los procesos tienen la misma complejidad. Algunos procesos los compartimos con los animales, mientras que otros son exclusivos de nuestra especie. Esto es relevante porque es ah´ ı donde se marca la diferencia. En consecuencia, se realiza una clasificaci´ on entre procesos de cognici´ on b´ asicos y superiores. Entre los procesos de cognici´ on b´ asicos tenemos la sensaci´ on, la percepci´ on y la memoria entre otros. Mientras que como ejemplos de los procesos de cognici´ on superiores tenemos la inteligencia, el lenguaje y el pensamiento. En nuestro caso vamos a entender el proceso cognitivo como el proceso seguido por un analista humano para determinar la existencia de una amenaza a la seguridad inform´ atica en base a determinados datos, par´ ametros y an´ alisis. B. Modelo y modelado cognitivo Seg´ un M. Johnson (1987), un modelo o esquema cognitivo es un patr´ on recurrente, una forma y una regularidad en las actividades de ordenamiento de las experiencias. Estos patrones surgen como estructuras significativas principalmente a partir de nuestros movimientos corporales en el espacio, nuestras manipulaciones de objetos y nuestras interacciones f´ ısicas. Si lo aplicamos al ´ ambito de la tecnolog´ ıa y de manera m´ as espec´ ıfica en el ´ ambito de las tecnolog´ ıas de la informaci´ on, podr´ ıamos decir que el modelo cognitivo es la representaci´ on del proceso cognitivo necesario para llevar a cabo una determinada tarea o provocar un determinado comportamiento. Y por tanto, el modelado cognitivo es el proceso de implementaci´ on de dicho modelo en un esquema que permita una posterior aplicaci´ on en el ´ ambito deseado. El modelado cognitivo se considera que supera al an´ alisis estad´ ıstico de los datos y guarda mucho parecido con el modelado de comportamiento. En aplicaciones tecnol´ ogicas de dicho modelado, se emplean t´ erminos recogidos en [3] como el de “cyberepidemiology” y se propone el estudio del comportamiento de defensores y atacantes para conseguir los objetivos. C. Computaci´ on Cognitiva. Sistemas Cognitivos Los sistemas cognitivos [1] son el resultado de unir un modelo cognitivo con una arquitectura de computaci´ on cognitiva. Y en base a ello se define la siguiente clasificaci´ on de arquitecturas cognitivas: •La arquitectura “cognitivista” en la que prima el modelado cognitivo. Representa la informaci´ on usando m´ etodos simb´ olicos expl´ ıcitos que usan una ontolog´ ıa absoluta. Dichas representaciones son sintetizadas por dise˜ nadores humanos y desplegadas en sistemas cognitivos artificiales. Se les llama tambi´ en arquitecturas simb´ olicas y aproximaciones a la IA. Estos sistemas son muy eficientes resolviendo problemas espec´ ıficos pero pierden efectividad al ampliarse o generalizarse el dominio de uso. Como ejemplos de estas arquitecturas tenemos ACT-R [20] , Soar [21], Mala [22] y GOMS [23]. 120J.M.Velo,Á.J.VarelaVaca,R.M.Gasca •La arquitectura “Conexionista” en la que prima el modelado f´ ısico de las conexiones biol´ ogicas entre neuronas. Est´ an inspirados en el procesamiento de la informaci´ on que ocurre en sistemas neuronales biol´ ogicos. La informaci´ on se procesa por neuronas que act´ uan como las biol´ ogicas, con sus sinapsis y otras caracter´ ısticas similares, que permiten procesar de manera no lineal y en paralelo desde y hacia m´ ultiples neuronas conectadas. Se les suelen llamar arquitecturas conexionistas o emergentes. Y como ejemplos de ellos tenemos ANN [24], NEF [25] y Deep Learning [26]. •La arquitectura “h´ ıbrida” como combinaci´ on de las dos anteriores, incluyendo aproximaciones basadas en el “neocortex”. Se modelan sistemas neuronales sencillos como el citado neocortex y adicionalmente se les aplica un modelado cognitivo que sea ´ util para esos sistemas. Como ejemplos de arquitecturas h´ ıbridas tenemos LIDA [27], SIGMA [28], HTM [29], IBM Watson [13], etc. La tendencia futura es la de que se impongan estos sistemas h´ ıbridos, que a´ unan lo mejor de las dos primeras arquitecturas, haciendo que se complementen entre ellas. D. Ciberseguridad cognitiva La Ciberseguridad cognitiva (Cognitive Cybersecurity) es el t´ ermino, acu˜ nado por autores de la literatura [30][10][31], que podemos usar cuando usamos un sistema cognitivo en el ´ ambito de la Ciberseguridad. La Ciberseguridad cognitiva es un campo de investigaci´ on muy novedoso, dado que promueve usar sistemas cognitivos para resolver problemas de Ciberseguridad, proporcionando un enfoque nuevo con el que abordar problemas ya conocidos, de modo que se persiga y consiga una mejora sustancial a la hora de resolverlos o mitigarlos. Abre un campo muy amplio que permite abarcar numerosos casos de uso, dado que hay bastantes problemas de seguridad que pueden ser resueltos mediante computaci´ on cognitiva, por ejemplo los problemas derivados del uso masivo de elementos IoT [32] as´ ı como los avances y retos emergentes en ese mismo campo [33]. Igualmente la aplicaci´ on en el campo de la detecci´ on de Malware (Worms en ´ este caso) [8], o la gesti´ on de la seguridad en Smart Cities [10]. III. PROPUESTA DE SISTEMA COGNITIVO PARA CIBERSEGURIDAD Nuestra propuesta de sistema cognitivo, como se puede ver en la Figura 2, consta de tres partes o fases fundamentales divididas cada una de ellas, a su vez, en dos sub-fases y todas ellas relacionadas con el modelado del proceso cognitivo. Sus detalles y diferentes fases se explicar´ an a continuaci´ on. A. Percepci´ on Se corresponde con la fase de recolecci´ on de los datos y preparaci´ on de los mismos. En esta fase se “observa” el entorno y se extraen los datos, prepar´ andolos adem´ as para su an´ alisis posterior en la fase siguiente mediante el prepreprocesado. Esta fase representar´ ıa el equivalente al uso de los distintos sentidos en el ser humano, como parte inicial de la cognici´ on. La fase se compone de dos sub-fases. La primera denominada “Collect” y la segunda, llamada “Pre- Process”. La primera de ellas, “Collect” es la sub-fase en la que extraemos los datos de los distintos sensores o fuentes de datos del entorno, en bruto aunque de manera controlada. Como podemos ver en la figura 2, hay varias fuentes de entrada a un almac´ en de datos donde se recolectan. En funci´ on de a que apliquemos el sistema, podremos establecer que tipos de datos extraer del entorno y cuales no. O bien podemos extraer todos los disponibles y posteriormente discriminar cuales son v´ alidos para una determinada tarea o proceso. La segunda de ellas, la sub-fase de “Pre-Process” es la que procesa los datos de entrada para limpiarlos, ordenarlos y clasificarlos de cara a la siguiente fase del sistema. La misi´ on de ´ esta segunda subfase es la de eliminar lo que no sirve y aparte generar nuevos datos en base a c´ alculos y consultas realizadas, sencillas todas ellas, de modo que podamos presentar a la siguiente fase un conjunto de datos lo m´ as amplio y preciso posible. B. Comprensi´ on En ´ esta fase se procesan los datos adquiridos en la fase anterior de acuerdo con los par´ ametros establecidos y el modelo definido para una determinada amenaza o problema de Ciberseguridad. Tiene igualmente dos sub-fases como en la fase anterior. La primera se denomina “Model” y modela y ordena la entrada de datos pre-procesados con el “Threat Model” que queremos aplicar. Aqu´ ı se llevan a cabo una serie de c´ alculos y consultas m´ as elaboradas de cara a presentar un dataset de entrada discretizado lo m´ as completo posible a la siguiente sub-fase. La segunda sub-fase, que denominamos ”Process” es la que procesa esa entrada proporcionada y puede incorporar adem´ as los datos de retro-alimentaci´ on obtenidos en iteraciones anteriores, as´ ı como datos de fuentes externas como STIX, Yara rules y otras que puedan ser necesarias para complementar y enriquecer el “Threat Model” elegido. Hay que observar que estos datos no pueden incorporarse en la etapa de percepci´ on dado que aportan un esquema, ontolog´ ıa o conocimiento de nivel superior a los datos de entrada. En ´ esta segunda sub-fase tiene lugar lo que hemos denominado An´ alisis M´ ultiple Paralelo (AMP) y por ello es una de las m´ as importantes de todo el proceso. Aqu´ ı intervienen distintas t´ ecnicas que ser´ an ejecutadas en paralelo mediante el an´ alisis m´ ultiple para producir las distintas salidas en un bloque de resultados, como IA/ML, NLP, an´ alisis visual, etc. Por hacer una comparaci´ on con la cognici´ on humana, aqu´ ı es donde el cerebro procesa toda la informaci´ on que ha obtenido de los diferentes sentidos, complement´ andolo con procesos de nivel superior como el lenguaje, la inteligencia y otros para poder entender lo que sucede en el entorno. C. Cognici´ on En ´ esta ´ ultima y definitiva fase los resultados obtenidos de la fase anterior, se someten inicialmente a decisi´ on en base a un sistema de soporte a la toma de decisiones basado en Decision Model Notation (DMN) para obtener una primera respuesta. Dicha respuesta es la decisi´ on del sistema sobre la CiberseguridadCognitivaaplicadaalPhishing121 Fig. 2. Modelo general con las tres fases y sus sub-fases. usabilidad en t´ erminos del an´ alisis realizado en fase previas y es un valor que indica la probabilidad de que un determinado correo analizado sea phishing o no. En funci´ on del porcentaje obtenido, se valora a continuaci´ on en la sub-fase de decisi´ on para los posibles valores del mismo, llegando incluso a solicitar la intervenci´ on humana en el proceso en lo que se denomina como HITL (Human In The Loop) [34]. La decisi´ on final deber´ a retroalimentar el sistema para su aprendizaje y uso en casos futuros. IV. APROXIMACI ´ ON COGNITIVA AL PROBLEMA DEL PHISHING Como ya comentamos, nuestra propuesta se centra en analizar los e-mails con amenazas de spear phishing, dado que son correos que han logrado pasar los controles de seguridad corporativos y que pueden ser identificados por un humano. Este “gap” es el que queremos cubrir y por ello proponemos nuestro sistema cognitivo. A. Percepci´ on Tenemos por una parte la recolecci´ on de datos y por otra el pre-procesado de los mismos. Proponemos para la primera de ellas, la recogida de datos de los correos en bruto, tal cual salen de la oficina postal o sistema de correo, siguiendo el est´ andar RFC 822 [35] correspondiente a correo tradicional, MIME (RFC 2045-2049) [36] o incluso S/MIME (RFC 8551) [37]. Aunque son MIME y S/MIME los que se usan habitualmente. Usaremos el est´ andar MIME [36] como base de la explicaci´ on del modelo propuesto, al ser el m´ as usado. La recolecci´ on de datos se implementar´ ıa como una cola o pool de los correos que van pasando el filtro y que se almacenan en una localizaci´ on temporal a la espera de ser procesados (ver Figura 3): •“Envoltorio” del correo: Contiene los datos necesarios para el env´ ıo del correo. Contiene generalmente datos, metadatos y propiedades del correo que pueden ser interesantes en el an´ alisis. As´ ı como etiquetas a˜ nadidas por los filtros de seguridad con datos interesantes como veremos m´ as adelante. •Cabeceras MIME: Conteniendo todos los datos de campos como “From”, “Sender”, “To”, etc. •Partes MIME: En el caso de contenidos MIME, se puede incluir texto plano, texto en html, adjuntos del correo como im´ agenes, archivos, etc. A continuaci´ on, practicaremos un pre-procesado de dichos datos de entrada para, entre otras cosas, limpiar y eliminar par´ ametros que no son de utilidad; se podr´ an agregar algunos datos que no vienen de manera expl´ ıcita en el correo pero de f´ acil obtenci´ on; tambi´ en se puede producir, si fuera necesaria, una decodificaci´ on (Base64 u otras) que pudiera contener el correo, para su an´ alisis posterior. Adem´ as ser´ a necesario discretizar en parte los datos obtenidos de modo que se puedan enviar a la siguiente fase en un formato entendible por el sistema. Nosotros proponemos obtener, calcular e incorporar al conjunto los siguientes par´ ametros (ver Figura 3): •SPF: Sender Policy Framework o Convenio de Remitentes en lo que podr´ ıa ser una traducci´ on a nuestro idioma. Consultando los registros DNS del dominio origen del correo, los servidores de correo actuales suelen marcar los correos entrantes con la etiqueta “Received- SPF” y a continuaci´ on el valor del resultado de la consulta, que suele ser “Pass” si el remitente es permitido y la IP desde la que llega es uno de los registros MX leg´ ıtimos del dominio o “None” en caso contrario. En nuestro caso asignaremos un valor booleano a este campo en funci´ on del valor encontrado. •URLs en formato IP: Valor booleano que indica para los dominios incluidos en el correo si existe alguno especificado de origen como IP en vez de como nombre de dominio [9][19]. Se analizar´ an las URLs encontradas dentro del cuerpo del correo y de las etiquetas href. •IP de los dominios: Valor num´ erico en formato IP de cada dominio incluido en las URL del correo (href). Se obtiene por simple resoluci´ on de nombre. 122J.M.Velo,Á.J.VarelaVaca,R.M.Gasca •Edad de los nombres de dominio usados: Valor num´ erico obtenido del registrador, para cada uno de lo dominios [9][19]. Este valor se propone como binario por parte de los autores citados, pero en nuestro caso, vamos a usar el valor num´ erico del n´ umero de d´ ıas de antig¨ uedad del dominio. •N´ umero de enlaces: Valor num´ erico del n´ umero de enlaces que aparecen en el cuerpo o contenido del correo. [9]. Se entienden como enlaces todas las etiquetas ¡a¿ con href, incluyendo los enlaces mailto: •N´ umero de dominios y sub-dominios: Valor num´ erico para cada dominio obtenido en el correo, tanto del remitente como de los enlaces [9]. •N´ umero de puntos en las URLs: valor num´ erico con el n´ umero de puntos para cada dominio, al igual que en el punto anterior [9]. •Longitud de la URL: Valor num´ erico con el total de caracteres de cada dominio del correo, incluyendo los de las propias direcciones de email [19]. •Pa´ ıs del dominio dominante: Valor num´ erico con el c´ odigo de pa´ ıs del dominio modal. •Pa´ ıs de los dominios/IPs: Valor num´ erico con el c´ odigo de pa´ ıs del resto de dominios o IPs. •Codificaci´ on Base64: Valor booleano que indica la presencia de este tipo de codificaci´ on, usado en ocasiones para ofuscar URLs, HTML, enlaces, texto y otros. •E-mails HTML: Valor booleano que indica si el cuerpo del e-mail contiene c´ odigo html, en cuyo caso es m´ as f´ acil esconder dominios y direcciones de e-mail a los ojos del receptor [9]. •Comprobaci´ on de resoluci´ on de dominios a IP as´ ı como existencia de los mismos: Valor Booleano en ambas comprobaciones. A veces se ponen dominios que ni existen o directamente no resuelven. •Javascript presente en el correo: Valor booleano que indica la presencia de javascript en el cuerpo del correo. La presencia del mismo puede ser indicador de peligro en determinados casos [9]. •Subject codificado con UTF-8 u otros. Valor booleano si se encuentra presente. •Zona horaria coincidente. Se analiza la zona horaria del servidor de correo remitente con la del receptor. Valor booleano que indica si coinciden o no. B. Comprensi´ on Esta segunda fase, como ya hemos visto anteriormente, es donde se recolecta y prepara un conjunto de datos. Se subdivide en dos sub-fases, “Model” y “Process”. En la primera, vamos a agregar los siguientes datos al modelo de datos mediante el c´ alculo de ciertos par´ ametros, todo encaminado a proporcionar un conjunto de datos lo m´ as preciso posible a los motores de la sub-fase siguiente. Nosotros proponemos obtener, calcular e incorporar al conjunto los siguientes par´ ametros (ver Figura 3): •URLs discordantes (Aparente y real): Valor booleano que indica si el campo correspondiente de la etiqueta html que hace referencia al enlace externo coincide o no con el verdadero enlace. Para ver si hay un intento de enmascarar el enlace [9]. •Discordancia entre las direcciones de correo visibles y reales desde las que se env´ ıan: Es un caso similar al anterior pero para los dominios de correo espec´ ıficamente. En los correos fraudulentos suele haber discrepancias entre el nombre que se muestra de la direcci´ on remitente y la direcci´ on remitente real desde la que proviene. Igualmente es un valor booleano [9]. Se comprobar´ ıa si coinciden los dominios de los campos “From”, “Sender”, “Returnpath”, “Received-SPF”, “Envelope” y “X-Sender”, entre otros. Tambi´ en se puede analizar la coincidencia del dominio obtenido en el campo “From” con el del registro MX desde el que se env´ ıa el correo. Valor booleano. •Enlace principal hacia dominio no modal o dominante: Generalmente en los correos el enlace, de existir, es del mismo dominio que el remitente o del dominio m´ as usado en el correo que suele ser el del campo “From” en correos leg´ ıtimos. Es un valor booleano [9][19]. •Dominancia de los dominios de origen del correo, de los enlaces y de los objetos del correo (im´ agenes, etc): Se realiza un estudio de todos los dominios que aparecen en el correo y se da una puntuaci´ on de 0 a 10 en funci´ on del n´ umero de dominios modales encontrado. Es una ampliaci´ on del punto anterior, pero estudiando en este caso el resto de dominios presentes, no solo el del enlace principal de phishing. Aqu´ ı es interesante estudiar los dominios que se usan en las etiquetas “img src” y compararlos con los que se encuentran en las etiquetas “href”, as´ ı como los de las direcciones de correo origen. Valor porcentual con el porcentaje de dominios coincidentes con el dominante. •TinyURL o re-direcci´ on presente: Valor booleano que indica la presencia de enlaces acortados o re-dirigidos. Los enlaces acortados, que son muy ´ utiles en determinados casos, suelen ser usados para ocultar las verdaderas direcciones [9]. En el caso de las re-direcciones podemos decir algo similar, en tanto se intenta simular que la direcci´ on es leg´ ıtima [9]. •T´ ecnicas de ofuscaci´ on: Valor booleano que indica la presencia de ciertas t´ ecnicas empleadas para ocultar c´ odigo, URL y otros [38]. •An´ alisis de palabras clave en el texto: Ciertas palabras como “urgencia”, “alerta”, solicitud datos, premios, etc son indicadores generalmente de que nos encontramos ante un correo de phishing. Hay que tener en cuenta que empresas importantes no mandan este tipo de correos. Valor entero con el n´ umero de palabras encontradas en el texto del correo. Valor num´ erico con el total de palabras encontradas. •Presencia de enlaces de redes sociales corporativas. Que no suelen verse en correos maliciosos. Valor num´ erico con el n´ umero de redes sociales presentes en el correo. En la segunda sub-fase de esta fase de comprensi´ on, la CiberseguridadCognitivaaplicadaalPhishing123 Fig. 3. Estructura de los datos de Entrada a la fase “Process”. de “Process”, va a consistir en el an´ alisis paralelo de los siguientes aspectos, como se ve en la Figura 4. El n´ umero concreto de an´ alisis a realizar, que inicialmente es amplio, se limitar´ a en la fase de pruebas a los que comprobemos que pueden producir mejores resultados. Todos los resultados se concatenan y se proporcionan como entrada a la siguiente fase, la de cognici´ on. Se propone de manera inicial el an´ alisis paralelo de los siguientes aspectos de los correos: •Corrector ortogr´ afico texto. La revisi´ on ortogr´ afica y sint´ actica del texto nos proporciona una medida de la calidad del texto. Textos con faltas ortogr´ aficas y mal redactados son indicadores de un posible correo malicioso, especialmente cuando los dominios y direcciones son aparentemente leg´ ıtimas. Aunque cada vez son mejores, sigue habiendo faltas de ortograf´ ıa en los correos maliciosos. Proporciona como salida un valor num´ erico con el total de correcciones necesarias detectadas. •Calidad de im´ agenes adjuntas. Se puede aplicar modelos de IA/ML a las im´ agenes adjuntas de modo que se establezca un criterio de calidad, sobre todo teniendo en cuenta que las im´ agenes adjuntas generalmente en los correos de phishing suelen tener menos calidad. Proponemos tambi´ en analizar si las im´ agenes se incluyen en el propio correo o son referenciadas mediante etiquetas html como suele ser habitual en los correos leg´ ıtimos. Si son incluidas se podr´ ıan analizar los metadatos, por contra si son referenciadas y el dominio destino es diferente al modal o dominante ser´ a un indicador de maliciosidad. Se proporciona un valor num´ erico en funci´ on del n´ umero de im´ agenes referenciadas. •Complejidad del dise˜ no web del correo. An´ alisis del c´ odigo html, comentarios y tags que nos pueden ayudar a determinar si el correo ha sido dise˜ nado con determinadas herramientas. Pudiendo indicar, por ejemplo, el hecho de ser muy sencillo la presencia de un correo malicioso. Inicialmente proponemos dos m´ etricas en este punto, aunque en un futuro podr´ ıa ampliarse. La primera es el n´ umero total de etiquetas o tags html que contiene el correo. Como segunda m´ etrica proponemos el n´ umero total de comentarios contenido en el correo. Los correos con phishing suelen tener muchas menos etiquetas al estar menos elaborados desde el punto de vista del dise˜ no. •An´ alisis profundo de los dominios. Un estudio de los dominios o de las IPs obtenidas, para ver aspectos como la disparidad entre dominios del propio correo, dominios de los enlaces y otros, es absolutamente necesario de cara al an´ alisis. La existencia de los mismos en listas negras, aunque improbable porque partimos de la base de que estamos analizando correos que han pasado los filtros de seguridad donde se hacen este tipo de comprobaciones se podr´ ıa volver a comprobar. El abuso de subdominios tanto en los correos como en los enlaces, son indicadores claros de posible fraude. As´ ı como las URLs muy largas con carpetas profundas que no suelen ser para nada habituales en los correos comerciales leg´ ıtimos. Igualmente podemos revisar si los dominios han sido modificados recientemente, dado que en ciertos casos los delincuentes alcanzan a modificar ciertos registros para usar t´ ecnicas de spoofing o bien cambiar los registros MX leg´ ıtimos por otros. Por ´ ultimo podemos incluso analizar los enlaces de las redes sociales y similares que se suelen incluir en los correos comerciales para ver si son extra˜ nos, falsos o simplemente faltan. Aunque generalmente en los correos con phishing no suelen incluirse enlaces a redes sociales. Este an´ alisis lo realizaremos mediante t´ ecnicas de Machine Learning o Deep Learning, a partir de los valores procesados y calculados previamente. Se proporciona un resultado porcentual. •An´ alisis PPF mediante Deep Learning: Se analiza mediante un motor de DL los par´ ametros generados en la sub-fase de pre-procesado, proporcionando un resultado porcentual sobre la presencia de un correo malicioso de phishing. •An´ alisis MCF mediante Deep Learning: Se analiza mediante un motor de DL los par´ ametros calculados en la subfase anterior de modelado, proporcionando un veredicto porcentual sobre la presencia de un correo malicioso de phishing. 124J.M.Velo,Á.J.VarelaVaca,R.M.Gasca Fig. 4. Esquema An´ alisis M´ ultiple Paralelo (AMP). C. Cognici´ on En esta fase culmina el proceso cognitivo, por ello tenemos una primera sub-fase, “Project” donde vamos a proyectar todos los resultados obtenidos en la sub-fase anterior (Process) y se generar´ a, mediante un sistema de toma de decisiones basados en modelos DMN tal y como propone [39], una salida con el resultado de todo el proceso, expresado en un porcentaje de probabilidad en funci´ on de los pesos asignados a las diferentes tablas del modelo de decisi´ on. DMN (Decision Model and Notation) es un est´ andar de OMG basado en una descripci´ on declarativa (“if-then”) de un modelo de decisi´ on. Adem´ as permite la separaci´ on de la l´ ogica de decisi´ on y la l´ ogica de control de flujo, centralizando las expresiones condicionales que gu´ ıan las decisiones [40]. En estos modelos podemos establecer el conjunto de condiciones que deben cumplir los par´ ametros mencionados para concretar la salida, en nuestro caso, tres posibles valores (malicioso, leg´ ıtimo, y dudoso) como se puede ver en la Figura 5. En esta figura, tenemos un ejemplo de condiciones complejas relacionadas con los par´ ametros indicados. Esta primera decisi´ on que toma el sistema cognitivo pasa a la siguiente sub-fase, la de “Decision” donde si es malicioso o leg´ ıtimo se catalogar´ a y se producir´ a la re-alimentaci´ on y posterior aprendizaje para futuros an´ alisis en este sistema u otro, como por ejemplo en el filtro de entrada. Y en el caso de ser correo dudoso y tener una probabilidad alta de ser malicioso, se generar´ a una petici´ on de an´ alisis por parte de un analista humano, en lo que hemos denominado anteriormente HITL. Ser´ a el analista el que determine si el correo es malicioso o no para producir la retro-alimentaci´ on necesaria de cara a futuros an´ alisis. Finalmente en caso de que se trate de un correo leg´ ıtimo, se remitir´ ıa a la siguiente fase del sistema de correo para su proceso y entrega al destinatario o destinatarios. Si por contra se tratara de un correo malicioso, se descartar´ a inmediatamente. V. CONCLUSIONES Y TRABAJO FUTURO Los sistemas cognitivos deber´ an constituirse como la piedra angular del futuro del an´ alisis de seguridad y por tanto la llamada Ciberseguridad cognitiva establecer´ a un nuevo paradigma. Adem´ as proporcionar´ an soporte y ayuda en la toma de decisiones de los analistas de seguridad a la hora de detectar, valorar y afrontar los incidentes que ponen en riesgo los activos de una determinada empresa u organismo. Estimamos que la propuesta realizada puede mejorar sustancialmente la clasificaci´ on de correos entrantes de una determinada organizaci´ on aportando una mejora en el an´ alisis, ya que dota al sistema de un comportamiento similar al humano a la hora de analizar los emails en busca de phishing y otras amenazas. El pr´ oximo paso es obtener un dataset lo m´ as completo posible para realizar un estudio exhaustivo de las variables analizadas y medir la idoneidad y relevancia de las mismas, as´ ı como del modelo aplicado. Igualmente servir´ a para afinar los par´ ametros de las tablas del modelo de decisi´ on empleado en la ´ ultima fase. Igualmente se estudiar´ a la incorporaci´ on de otros aspectos para mejorar el modelo, como el an´ alisis visual o de calidad del correo, el uso de NLP para an´ alisis de lenguaje urgente en el cuerpo o subject del correo y el an´ alisis del parecido visual de dominios, entre otros. AGRADECIMIENTOS Este trabajo ha sido parcialmente financiado por los proyectos COPERNICA (P20 01224), METAMORFOSIS (US-1381375), y AETHER-US PID2020-112540RB-C44 y ALBA-US TED2021-130355B-C32 financiados por MCIN/AEI/10.13039/501100011033. REFERENCES [1] V. V. Raghavan, V. N. Gudivada, V. Govindaraju, and C. R. Rao, Cognitive computing: Theory and applications. Elsevier, 2016. [2] C. J. Mart´ ınez-Santander and Y. d. l. N. Cruz-Gavil´ anez, “Tendencias tecnol´ ogicas y desaf´ ıos de la seguridad inform´ atica,” Polo del Conocimiento, vol. 3, no. 5, pp. 260–279, 2018. [3] V. D. Veksler, N. Buchler, B. E. Hoffman, D. N. Cassenti, C. Sample, and S. Sugrim, “Simulations in cyber-security: a review of cognitive modeling of network attackers, defenders, and users,” Frontiers in psychology, vol. 9, p. 691, 2018. [4] Y. Wang, “On cognitive informatics,” Brain and Mind, vol. 4, no. 2, pp. 151–167, 2003. [5] ——, “The theoretical framework of cognitive informatics,” International Journal of Cognitive Informatics and Natural Intelligence (IJCINI), vol. 1, no. 1, pp. 1–27, 2007. [6] I. O. Garc´ es, M. F. Cazares, and R. O. Andrade, “Detection of phishing attacks with machine learning techniques in cognitive security architecture,” in 2019 International Conference on Computational Science and Computational Intelligence (CSCI). IEEE, 2019, pp. 366–370. [7] D. M. Ramos R´ ıos, “Detecci´ on de amenazas persistentes avanzadas mediante la aplicaci´ on de cadenas de markov sobre tr´ afico de red,” 2019. [8] N. Saini, N. Pandey, and A. P. Singh, “Analyzing and developing security techniques for worms in cognitive networks,” in 2016 IEEE International Conference on Computational Intelligence and Computing Research (ICCIC). IEEE, 2016, pp. 1–4. [9] I. Fette, N. Sadeh, and A. Tomasic, “Learning to detect phishing emails,” in Proceedings of the 16th international conference on World Wide Web, 2007, pp. 649–656. [10] R. O. Andrade and S. G. Yoo, “Cognitive security: A comprehensive study of cognitive science in cybersecurity,” Journal of Information Security and Applications, vol. 48, p. 102352, 2019. [11] A. D. W. Sumari and A. S. Ahmad, “The application of cognitive artificial intelligence within c4isr framework for national resilience,” in 2017 Fourth Asian Conference on Defence Technology-Japan (ACDT). IEEE, 2017, pp. 1–8. [12] Universitat Carlemany. (2022) El proceso cognitivo. [Online]. Available: https://www.universitatcarlemany.com/actualidad/procesoscognitivos-que-son-y-que-tipos-hay/ [13] IBM. (2022) Ibm watson. [Online]. Available: https://www.ibm.com/eses/watson/ CiberseguridadCognitivaaplicadaalPhishing125 Fig. 5. Tabla DMN. [14] ——. (2022) Ibm watson. [Online]. Available: https://www.ibm.com/ blogs/research/tag/truenorth/ [15] Google. (2022) Google speech api. [Online]. Available: https: //cloud.google.com/speech-to-text [16] ——. (2022) Google translate api. [Online]. Available: https: //cloud.google.com/translate [17] ——. (2022) Google vision api. [Online]. Available: https://cloud. google.com/vision?hl=es [18] Cisco Systems. (2022) Cisco talos. [Online]. Available: https: //www.talosintelligence.com/ [19] I. Saha, D. Sarma, R. J. Chakma, M. N. Alam, A. Sultana, and S. Hossain, “Phishing attacks detection using deep learning approach,” in 2020 Third International Conference on Smart Systems and Inventive Technology (ICSSIT). IEEE, 2020, pp. 1180–1185. [20] N. A. Taatgen, C. Lebiere, and J. R. Anderson, “Modeling paradigms in act-r,” Cognition and multi-agent interaction: From cognitive modeling to social simulation, pp. 29–52, 2006. [21] J. F. Lehman, J. Laird, P. Rosenbloom et al., “A gentle introduction to soar, an architecture for human cognition: 2006 update,” University of Michigan, pp. 1–37, 2006. [22] A. Haber and C. Sammut, “A cognitive architecture for autonomous robots,” Advances in Cognitive Systems, vol. 2, pp. 257–275, 2013. [23] S. K. Card, T. P. Moran, and A. Newell, The psychology of humancomputer interaction. Crc Press, 2018. [24] Y. Goldberg, “A primer on neural network models for natural language processing,” Journal of Artificial Intelligence Research, vol. 57, pp. 345– 420, 2016. [25] T. C. Stewart, “A technical overview of the neural engineering framework,” University of Waterloo, vol. 110, 2012. [26] D. Balduzzi, “Semantics, representations and grammars for deep learning,” arXiv preprint arXiv:1509.08627, 2015. [27] S. Strain, S. Kugele, and S. Franklin, “The learning intelligent distribution agent (lida) and medical agent x (max): Computational intelligence for medical diagnosis,” in 2014 IEEE Symposium on Computational Intelligence for Human-like Intelligence (CIHLI). IEEE, 2014, pp. 1– 8. [28] P. S. Rosenbloom, “The sigma cognitive architecture and system,” AISB Quarterly, vol. 136, pp. 4–13, 2013. [29] Y. Cui, C. Surpur, S. Ahmad, and J. Hawkins, “A comparative study of htm and other neural network models for online sequence learning with streaming data,” in 2016 International Joint Conference on Neural Networks (IJCNN). IEEE, 2016, pp. 1530–1538. [30] R. Andrade, J. Torres, and L. Tello-Oquendo, “Cognitive security tasks using big data tools,” in 2018 International Conference on Computational Science and Computational Intelligence (CSCI). IEEE, 2018, pp. 100–105. [31] M. Cinque, D. Cotroneo, and A. Pecchia, “Towards cognitive security defense from data,” in 2019 49th Annual IEEE/IFIP International Conference on Dependable Systems and Networks–Supplemental Volume (DSN-S). IEEE, 2019, pp. 11–12. [32] A. Riahi, E. Natalizio, Y. Challal, N. Mitton, and A. Iera, “A systemic and cognitive approach for iot security,” in 2014 International conference on computing, networking and communications (ICNC). IEEE, 2014, pp. 183–188. [33] F. Li, K.-Y. Lam, X. Li, Z. Sheng, J. Hua, and L. Wang, “Advances and emerging challenges in cognitive internet-of-things,” IEEE Transactions on Industrial Informatics, vol. 16, no. 8, pp. 5489–5496, 2019. [34] X. Wu, L. Xiao, Y. Sun, J. Zhang, T. Ma, and L. He, “A survey of human-in-the-loop for machine learning,” Future Generation Computer Systems, 2022. [35] David H. Crocker. (1982) Rfc822: Standard for arpa internet text messages. [Online]. Available: https://www.rfc-editor.org/rfc/rfc822 [36] N.Freed. (1996) Rfc 2045: Multipurpose internet mail extensions (mime). [Online]. Available: https://www.rfc-editor.org/rfc/rfc2045 [37] J. Schaad, B. Ramsdell, and S. Turner, “Rfc 8551: Secure/multipurpose internet mail extensions (s/mime) version 4.0 message specification,” 2019. [38] Proofpoint Staff. (2016) Hiding in plain sight - obfuscation techniques in phishing attacks. [Online]. Available: https://www.proofpoint.com/sites/default/files/proofpointobfuscation-techniques-phishing-attacks-threat-insight-en-v1.pdf [39] ´ A. Valencia-Parra, L. Parody, ´ A. J. Varela-Vaca, I. Caballero, and M. T. G´ omez-L´ opez, “Dmn4dq: when data quality meets dmn,” Decision Support Systems, vol. 141, p. 113450, 2021. [40] K. Figl, J. Mendling, G. Tokdemir, and J. Vanthienen, “What we know and what we do not know about DMN,” Enterp. Model. Inf. Syst. Archit. Int. J. Concept. Model., vol. 13, pp. 2:1–16, 2018. [Online]. Available: https://doi.org/10.18417/emisa.13.2 126J.M.Velo,Á.J.VarelaVaca,R.M.Gasca