Sistema de ciberseguridad basado en deep learning para redes empresariales

Abstract

Las intrusiones en redes empresariales constituyen un riesgo operativo y financiero, con impacto en la continuidad del negocio y la confianza de los usuarios. Aunque existen firewalls e IDS basados en firmas, su capacidad de detección es limitada frente a ataques de día cero, técnicas de evasión y tráfico cifrado. Este Trabajo Final de Grado propone un sistema de ciberseguridad basado en deep learning para tráfico sobre VPN, orientado a la detección en tiempo real de actividades anómalas en entornos corporativos. El objetivo principal fue implementar un prototipo capaz de analizar flujos de red, identificar comportamientos maliciosos y emitir alertas con baja latencia y reducida tasa de falsos positivos. La investigación es tecnológica, de enfoque cuantitativo y alcance descriptivo–comparativo. El método incluyó la integración de los conjuntos de datos CICIDS2017 y UNSW-NB15, seleccionados por su diversidad de ataques y uso extendido, la construcción de un vector unificado de 118 características de flujo en un orden fijo y reproducible, la estandarización sin leakage, la partición estratificada, el entrenamiento de un modelo híbrido basado en redes CNN y LSTM, la implementación de un servicio de inferencia mediante API REST (FastAPI ) y el diseño de un panel de monitoreo. La evaluación consideró precisión, recall, F1 y AUC, además de latencia de inferencia y uso de CPU y memoria RAM. Para la interpretabilidad se incorporaron técnicas de Inteligencia Artificial Explicable (XAI ), como SHAP. Los resultados cumplieron ampliamente el criterio de éxito establecido, entendido como un desempeño mínimo aceptable de 70%. En la evaluación offline, el modelo alcanzó una exactitud de 0,9915, precisión de 0,9904, recall de 0,9972, F1 de 0,9938 y AUC de 0,9997, con latencias compatibles con operación continua. Frente a enfoques basados en firmas, como Snort y Suricata, mostró mayor adaptabilidad sobre flujos cifrados. Como alcance y límite, el sistema opera sobre metadatos de flujo sin inspección de payload y fue validado en un entorno controlado, por lo que su despliegue productivo requiere calibración continua según el perfil de tráfico y las políticas de cada organización.