Series de tiempo para ciberseguridad
Detección de anomalías y anticipación de alertas
AUTOR
Manuel Razo Alcántara
Modelos de Supervivencia y Series de Tiempo · Semestre 2027-I
Miles de eventos. ¿Cuándo debemos sospechar?
1 de 7 · Distinguir lo normal de lo sospechoso
Imaginemos una empresa cuyos servidores registran miles de accesos. Una mañana, los intentos aumentan de golpe. El equipo debe decidir si investiga y cómo se prepara para las alertas que vendrán.
Seguiremos esa decisión con la revisión de Landauer y colaboradores (2025) y un experimento con datos simulados.
El artículo organiza las preguntas de la empresa
1 de 7 · Distinguir lo normal de lo sospechoso
Para decidir qué herramienta utilizar, primero necesitamos ubicar el problema. La revisión plantea tres preguntas que guiarán nuestro recorrido.
RQ1. ¿Dónde se utilizan las series de tiempo en ciberseguridad?
Esto permite distinguir la detección inmediata de la planificación de carga futura.
RQ2. ¿Qué fuentes de datos son adecuadas?
La respuesta determina qué puede observar y aprender cada modelo.
RQ3. ¿Qué restricciones imponen los datos y cómo se abordan?
Aquí importan la ventana temporal, la estacionalidad y los errores que tolera el equipo.
(Landauer et al., 2025, § 1, p. 2). Preguntas originales abreviadas. Al final volveremos a responderlas con la revisión y la simulación.
Para comparar métodos, construiremos un caso común
1 de 7 · Distinguir lo normal de lo sospechoso
Lo que aporta la revisión
Los autores buscan publicaciones y comparan sus aplicaciones, datos, métodos y formas de evaluación. Como cada trabajo estudia condiciones distintas, la revisión orienta la elección de modelos sin ofrecer una clasificación universal.
Lo que añadimos nosotros
Simularemos la actividad de una misma empresa y aplicaremos cuatro métodos bajo reglas comunes. Al conocer cuándo añadimos cada episodio, podremos observar qué detectan, qué omiten y qué consiguen pronosticar.
Antes de elegir un modelo, necesitamos decidir qué información recibirá. Empecemos por construir la serie.
(Landauer et al., 2025, § 4, tablas 1–4): revisión amplia y representativa. Las cifras de esta presentación proceden de nuestra simulación.
De los registros de la empresa a una serie temporal
2 de 7 · Convertir eventos en una serie temporal
Primero decidimos qué contar
Cada registro informa cuándo ocurrió un acceso. Al contar los accesos dentro de ventanas de duración , obtenemos una serie regular:
Simulamos directamente estos conteos cada cinco minutos, con mayor actividad en ciertas horas y variaciones normales con memoria temporal.
Después distinguimos dos variables
La intensidad combina un perfil diario con una perturbación autorregresiva. A partir de ella generamos:
cuenta intentos de acceso. cuenta alertas de un monitor previo, que después deberá revisar el equipo.
Simulamos 120 días y tres repeticiones aleatorias. Los avisos de nuestros detectores son una salida distinta de .
Ya sabemos qué contar. ¿Cada cuánto lo observamos?
2 de 7 · Convertir eventos en una serie temporal
La empresa podría revisar los accesos cada cinco minutos o esperar una hora. Agrupemos los mismos datos para observar qué ocurre con un episodio breve.
Al ampliar la ventana, el pulso se mezcla con más actividad normal. Elegiremos quince minutos para comparar los detectores con la misma información.
Normalizamos los conteos por minuto para comparar el contraste. El selector cambia la agregación y no reentrena los modelos.
Para detectar una desviación, aprendemos una referencia
3 de 7 · Identificar desviaciones del comportamiento normal
Con la serie construida, calcularemos qué actividad esperar antes de observar el siguiente intervalo. Si el dato se aleja suficientemente de esa referencia, emitiremos un aviso.
ARIMA: memoria reciente
ARIMA(2,0,1) relaciona el conteo con valores y errores anteriores. Aquí y desplaza un intervalo. Fijamos porque no añadimos tendencia estocástica.
SARIMA: memoria del ciclo diario
SARIMA(1,0,1)(1,0,0) incorpora además un rezago diario. Usamos para los conteos de quince minutos y para las alertas horarias.
Órdenes fijados antes de la prueba. (Landauer et al., 2025, §§ 6.1.4–6.1.5). SARIMA se menciona en una aplicación comercial y como extensión sugerida.
Otras dos maneras de representar la actividad habitual
3 de 7 · Identificar desviaciones del comportamiento normal
La referencia también puede construirse actualizando un perfil diario o aprendiendo qué combinaciones de datos resultan inusuales.
ETS actualiza nivel y estacionalidad
El valor esperado combina un nivel con el efecto de la hora del día. Los errores recientes permiten corregir esos estados. Implementamos Holt–Winters aditivo sin tendencia, con recursión de media ETS(A,N,A).
Isolation Forest busca observaciones raras
Un bosque de 200 árboles realiza particiones aleatorias. Cuando una observación se aísla con pocos pasos, recibe una puntuación de anomalía mayor.
Recibe el conteo actual, sus rezagos y la fase diaria. Como utiliza el dato observado, detecta al cierre y no produce un pronóstico del conteo futuro.
Ya tenemos cuatro formas de señalar desviaciones. Ahora debemos evaluarlas sin mostrarles las respuestas futuras.
(Landauer et al., 2025, §§ 6.1.1 y 6.2.2). Isolation Forest usa muestras de 256 observaciones por árbol; su puntuación no es una probabilidad de ataque.
La prueba debe respetar el orden de la información
3 de 7 · Identificar desviaciones del comportamiento normal
Si ajustáramos las reglas viendo los ataques de prueba, la comparación sería demasiado favorable. Por eso dividimos la historia de la empresa en tres periodos consecutivos.
| Primeros 84 días | Siguientes 18 días | Últimos 18 días |
|---|---|---|
| Aprendemos la actividad normal | Calibramos los umbrales y las bandas | Medimos lo que ocurre ante nuevos datos |
Para detectar, fijamos el umbral en el percentil 99 de los errores absolutos de calibración, o de las puntuaciones de Isolation Forest. Después mantenemos esa regla y actualizamos los estados solo con datos ya observados, sin reestimar los coeficientes.
Las etiquetas nos servirán para contar aciertos y errores al final. Con las reglas fijadas, podemos introducir los episodios.
¿Qué cambia si el ataque dura minutos, horas o días?
4 de 7 · Probar ataques breves, persistentes y periódicos
Sobre la misma actividad de fondo añadimos un pulso breve, un aumento sostenido y ráfagas periódicas. Así cambia la forma del episodio, mientras conservamos los modelos y la regla de evaluación.
La franja identifica el episodio añadido y los símbolos muestran avisos correctos o falsos. El resumen evalúa los 18 días completos, aunque ampliemos solo unas horas.
La duración del episodio cambia lo que detecta cada modelo
4 de 7 · Probar ataques breves, persistentes y periódicos
Ahora reunimos las tres repeticiones. La sensibilidad mide qué proporción de intervalos maliciosos conseguimos señalar. Para decidir si esos avisos son útiles, también debemos contar cuántos aparecen cuando no hay ataque.
Falsos avisos por día en prueba normal, promedio de tres repeticiones: ARIMA: 0.87; ETS: 0.94; Isolation Forest: 0.91; SARIMA: 0.91. Estas cifras cuentan intervalos señalados, no incidentes independientes.
Todavía falta una distinción: detectar el comienzo de un episodio no garantiza reconocer toda su duración.
Un primer aviso no cuenta toda la historia del ataque
4 de 7 · Probar ataques breves, persistentes y periódicos
Los cuatro métodos detectan el episodio sostenido. Sin embargo, ARIMA señala 21 de sus 920 intervalos, frente a 621 de Isolation Forest. Observemos cómo cambia la referencia al incorporar la actividad alterada.
Hasta aquí reconocimos desviaciones. Antes de llamarlas ataques, debemos preguntar qué sabemos sobre su causa.
(Landauer et al., 2025, § 7.3.1): distinguir episodios detectados, demora y proporción de intervalos señalados.
La misma subida puede tener dos causas distintas
5 de 7 · Distinguir actividad anormal de actividad maliciosa
Supongamos que la empresa realiza una prueba autorizada que genera exactamente los mismos accesos que el pulso malicioso. Conservamos los datos y cambiamos únicamente el contexto conocido por el equipo.
El modelo reconoce una anomalía, pero atribuir malicia requiere autorización, identidad u otra evidencia. El límite está también en la información disponible.
Además de investigar, la empresa debe preparar al equipo
6 de 7 · Anticipar la cantidad de alertas
Ahora cambia el objetivo: pronosticaremos las alertas del monitor previo por hora para anticipar carga de trabajo. El origen es el momento de emitir el pronóstico y el horizonte indica qué hora futura queremos prever.
Comparamos ARIMA, SARIMA y ETS con repetir el día anterior. Isolation Forest no pronostica conteos. El horizonte 24 evalúa la hora , no el total del día.
Para comparar pronósticos, reunimos sus errores
6 de 7 · Anticipar la cantidad de alertas
Una trayectoria aislada puede resultar engañosa. Por eso repetimos el pronóstico cada seis horas y medimos el error absoluto medio (MAE) sobre 65 orígenes de prueba por repetición.
En este generador diario, ETS obtiene un MAE de 3.35 alertas/h a 48 horas, frente a 4.35 del ingenuo estacional.
El menor error favorece a ETS en este experimento. Para confiar en el resultado, todavía debemos revisar qué dejó sin explicar y cómo funcionan sus bandas.
Un error bajo no asegura que la incertidumbre esté bien medida
6 de 7 · Anticipar la cantidad de alertas
Si los errores conservan un patrón, el modelo aún deja información sin aprovechar. La autocorrelación residual muestra esa dependencia, mientras Ljung–Box la contrasta de manera conjunta.
En pronóstico, ARIMA y SARIMA dejan dependencia significativa. Para ETS no la rechazamos en la repetición principal (p = 0.309), pero su banda a 48 horas cubre 84.1% de las observaciones, por debajo del 90% buscado.
ETS describe mejor esta rutina diaria. Eso aún no responde si podría anticipar una irrupción inesperada.
Bandas marginales empíricas, calibradas con errores anteriores. No rechazar Ljung–Box no demuestra que todo el modelo sea correcto.
¿Qué ocurre cuando el ataque todavía no deja señales?
6 de 7 · Anticipar la cantidad de alertas
Imaginemos dos futuros con el mismo historial disponible: en uno continúa la actividad habitual y en otro comienza un pulso sin precursores observables. Antes del episodio, el modelo debe emitir el mismo pronóstico en ambos casos.
En la primera hora afectada, ETS había previsto 15.7 alertas y se observan 52, a cinco horas del origen. Reconocer una rutina ayuda a planificar carga, pero anticipar ese inicio exigiría información precursora.
Con estas diferencias entre detectar y anticipar, ya podemos responder qué debe guiar la selección de modelos.
Volvamos a la empresa y a las tres preguntas del artículo
7 de 7 · Concluir cómo seleccionar los modelos
RQ1. ¿Para qué sirven las series de tiempo? La revisión abarca desde detección en equipos y redes hasta pronósticos de amenazas y vulnerabilidades. Nuestra empresa ilustra dos decisiones diferentes: investigar desviaciones y preparar la carga de alertas.
RQ2. ¿Qué datos necesitamos? Logs, tráfico, sensores e informes ofrecen información distinta. En la simulación, agrupar cambió el contraste y los conteos por sí solos no permitieron distinguir una prueba autorizada de un ataque.
RQ3. ¿Qué limita a los métodos? La estacionalidad, la adaptación, la duración del episodio y la ausencia de precursores afectaron las respuestas. Las soluciones de la revisión deben elegirse según esas condiciones.
La empresa debe elegir el modelo según la decisión, la información disponible y los errores que puede tolerar. Un único generador con tres repeticiones no establece un ganador universal.
Referencias
7 de 7 · Concluir cómo seleccionar los modelos
Hyndman, R. J., & Athanasopoulos, G. (2021). Forecasting: Principles and practice (3rd ed.). OTexts. https://otexts.com/fpp3/
Landauer, M., Skopik, F., Stojanović, B., Flatscher, A., & Ullrich, T. (2025). A review of time-series analysis for cyber security analytics: From intrusion detection to attack prediction. International Journal of Information Security, 24, Article 3. https://doi.org/10.1007/s10207-024-00921-0