Diseño e implementación de un sistema inteligente de detección de intrusiones para el monitoreo y análisis de amenazas en redes locales

Abstract

El proyecto“Diseño e implementación de un sistema inteligente de detección de intrusiones para el monitoreo y análisis de amenazas en redes locales” tiene como propósito evaluar la efectividad de un Sistema de Detección de Intrusiones (IDS) basado en Snort 3.x para identificar y generar alertas ante ataques informáticos simulados en una red LAN de laboratorio de la Universidad Ean. La investigación surge como respuesta al incremento de los ciberataques en Colombia y a la necesidad de fortalecer la protección de redes institucionales mediante herramientas de código abierto y bajo costo. El estudio adopta un enfoque mixto con predominancia cuantitativa y un diseño cuasiexperimental, donde se implementa y configura Snort 3.x para detectar cuatro tipos de amenazas frecuentes en redes locales: escaneo de puertos, ataques de fuerza bruta, denegación de servicio (DoS) y propagación de malware. La investigación busca determinar qué tan efectiva es la herramienta para identificar estos ataques y emitir alertas oportunas. Para medir el desempeño del IDS se utilizan tres indicadores principales: Tasa de detección (TD%): porcentaje de ataques identificados correctamente. Tasa de falsos positivos (TFP%): porcentaje de alertas incorrectas generadas por el sistema. Tiempo medio de detección (TMD): tiempo requerido para detectar un ataque y generar la alerta correspondiente. La investigación contempla una muestra de 1.500 eventos, compuesta por 1.200 ataques simulados (300 por cada categoría de amenaza) y 300 eventos de tráfico legítimo utilizados como línea base. Los resultados obtenidos serán contrastados con los criterios establecidos en la guía internacional NIST SP 800-94, reconocida como estándar de referencia para la evaluación de sistemas IDS e IPS. Entre las hipótesis planteadas, se espera que la implementación de Snort 3.x alcance una tasa de detección superior al 75%, mantenga una tasa de falsos positivos inferior al 15% y cumpla al menos el 70% de los controles definidos por el estándar NIST SP 800-94.

Metodológicamente, el estudio incluye la instalación y configuración del IDS en un laboratorio controlado, la ejecución de ataques mediante herramientas como Nmap, Hydra, hping3 y Metasploit, el análisis automático de registros de eventos (logs), la captura de tráfico con Wireshark y una evaluación cualitativa basada en listas de verificación y análisis temático de resultados.

Finalmente, el trabajo busca demostrar que las soluciones de código abierto como Snort 3.x pueden constituir una alternativa viable y efectiva para aumentar la seguridad de redes LAN en instituciones educativas y organizaciones de pequeña y mediana escala, aportando evidencia técnica y metodológica que facilite la adopción de mejores prácticas de ciberseguridad en Colombia

The project“Design and Implementation of an Intelligent Intrusion Detection System for Monitoring and Analyzing Threats in Local Networks” aims to evaluate the effectiveness of an Intrusion Detection System (IDS) based on Snort 3.x in detecting and generating alerts for simulated cyberattacks within a laboratory Local Area Network (LAN) at Universidad Ean. The study addresses the growing number of cyberattacks in Colombia and the need for affordable, open-source cybersecurity solutions capable of strengthening network protection in educational institutions and small organizations. The research adopts a mixed-methods approach with a quantitative emphasis and follows a quasi-experimental design. Snort 3.x is deployed and configured to identify four common categories of cyber threats: port scanning, brute-force attacks, denial-of-service (DoS) attacks, and malware propagation. The study seeks to determine how effectively the IDS can recognize these threats and generate timely alerts. System performance is assessed through three key indicators: Detection Rate (DR%): the percentage of attacks correctly identified. False Positive Rate (FPR%): the percentage of incorrect alerts generated by the system. Mean Time to Detect (MTTD): the average time required to detect an attack and trigger an alert. The experimental sample consists of 1,500 network events, including 1,200 simulated attacks (300 for each attack category) and 300 legitimate traffic events used as a baseline. Results are compared against the requirements established by NIST SP 800-94, an internationally recognized guideline for intrusion detection and prevention systems (IDPS). The study hypothesizes that the implemented IDS will achieve a global detection rate of at least 75%, maintain a false positive rate below 15%, and comply with at least 70% of the applicable NIST SP 800-94 controls. Methodologically, the research includes the deployment and configuration of Snort 3.x in a controlled laboratory environment, the execution of attacks using tools such as Nmap, Hydra, hping3, and Metasploit, automated log analysis, packet capture with Wireshark, and a qualitative assessment based on log interpretation and compliance checklists. Ultimately, the project aims to demonstrate that Snort 3.x, as an open-source IDS solution, can provide effective and low-cost protection for LAN environments, helping educational institutions and small organizations improve their cybersecurity capabilities while contributing valuable academic and practical knowledge to the field of intrusion detection.