En ciberseguridad, árboles y grafos facilitan la comprensión de cómo interactúan los componentes de una red y cómo pueden surgir vulnerabilidades o amenazas. Mediante su uso es posible modelar escenarios de ataque, identificar puntos críticos de acceso y analizar rutas que podrían ser explotadas por un atacante.

Árboles se emplean principalmente para representar decisiones, jerarquías y estrategias de ataque, mientras que grafos permiten modelar relaciones complejas entre sistemas, dispositivos o usuarios dentro de una red informática (Stallings, 2018).

En ciberseguridad, los árboles se utilizan para analizar posibles escenarios de ataque, evaluar riesgos asociados a diferentes vulnerabilidades, representar decisiones relacionadas con estrategias de defensa y modelar amenazas potenciales dentro de un sistema informático. Los analistas pueden visualizar cómo se desarrollan los ataques y qué medidas pueden aplicarse para mitigarlos. Entre los modelos más utilizados destacan los árboles de decisión y los árboles de ataque, ampliamente empleados en el análisis de seguridad (Amoroso, 2012).

5.1.1. Árboles de decisión.

Árbol de decisión es un modelo utilizado en informática y análisis de datos que representa decisiones y sus posibles consecuencias mediante una estructura jerárquica similar a un árbol. Aquí, cada nodo interno representa una condición o prueba, cada rama representa el resultado de esa decisión, y cada nodo final u hoja corresponde a una posible conclusión o acción.

Ampliamente utilizados en áreas como la inteligencia artificial, el aprendizaje automático y el análisis de datos, ya que permiten clasificar información y predecir resultados a partir de un conjunto de variables. En ciberseguridad, estos árboles pueden emplearse para detectar actividades sospechosas, clasificar tráfico de red o apoyar sistemas de detección de intrusiones. Gracias a su estructura clara e interpretable, los árboles de decisión facilitan la comprensión de cómo se toman las decisiones dentro de un sistema de análisis de seguridad (Tan et al., 2019).

La figura 1 muestra un ejemplo de un grafo aplicado a la ciberseguridad.

Utilizadas en ciberseguridad como herramientas de análisis para identificar patrones en los datos y apoyar la detección de amenazas. Permiten evaluar diferentes variables de un sistema o de una red y tomar decisiones basadas en reglas definidas o aprendidas mediante técnicas de aprendizaje automático.

Una de sus aplicaciones más comunes es la clasificación de tráfico de red malicioso. El árbol analiza características del tráfico, como la cantidad de paquetes enviados, la frecuencia de las conexiones o el origen de las direcciones IP, y determina si el comportamiento corresponde a tráfico normal o a una posible actividad sospechosa.

Utilizados también para detectar intrusiones dentro de una red informática. Los sistemas de detección de intrusos (IDS) pueden emplear árboles de decisión para analizar registros de actividad y reconocer patrones asociados con ataques conocidos, como múltiples intentos fallidos de inicio de sesión o explotación de vulnerabilidades.

Otra aplicación importante es la identificación de comportamientos anómalos, analizando el comportamiento habitual de usuarios o dispositivos y detectando desviaciones, como accesos en horarios inusuales o transferencias de datos excesivas. Además, estos modelos permiten analizar eventos registrados en firewalls, servidores o aplicaciones para determinar si corresponden a un incidente de seguridad o a un comportamiento normal del sistema (Stallings, 2018).

Ejemplo básico en Python:

from sklearn.tree import DecisionTreeClassifier

# Datos simples: [numero_intentos_login, ip_sospechosa]
X = [
[1, 0],
[2, 0],
[5, 1],
[7, 1]
]
# 0 = normal, 1 = posible ataque
y = [0, 0, 1, 1]
modelo = DecisionTreeClassifier()
modelo.fit(X, y)
prediccion = modelo.predict([[6,1]])
print("¿Es un ataque?:", prediccion)

5.1.2. Árboles de ataque (Attack Trees).

Diagramas jerárquicos utilizados para representar de forma estructurada las diferentes estrategias o caminos que un atacante podría seguir para comprometer un sistema, una red o una aplicación. Permite descomponer un objetivo de ataque complejo en varios pasos más pequeños y comprensibles, lo que facilita el análisis de vulnerabilidades y la planificación de mecanismos de defensa.

En un árbol de ataque, el nodo raíz representa el objetivo principal del atacante, por ejemplo, obtener acceso no autorizado a un sistema, robar información confidencial o interrumpir un servicio. A partir de este nodo se generan nodos hijos, que describen las distintas acciones o métodos que podrían emplearse para lograr ese objetivo. Cada uno de estos nodos puede dividirse en subpasos más específicos, mostrando diferentes rutas posibles de ataque.

Además, los árboles de ataque pueden incluir relaciones lógicas entre nodos, como condiciones AND y OR, que indican si el atacante debe cumplir varias acciones simultáneamente o si existen diferentes alternativas para alcanzar el mismo objetivo. Gracias a esta representación, los analistas de seguridad pueden identificar vulnerabilidades, priorizar controles de protección y evaluar el impacto de posibles amenazas (Schneier, 1999).

La figura 2 muestra un ejemplo de un árbol de ataque

Aplicación en ciberseguridad

Se utilizan para:

• Analizar vulnerabilidades
• Diseñar estrategias de defensa
• Evaluar riesgos
• Simular escenarios de ataque

Ejemplo en Python

class NodoAtaque:
def __init__(self, nombre):
self.nombre = nombre
self.hijos = []

def agregar(self, nodo):
self.hijos.append(nodo)

def mostrar(nodo, nivel=0):
print(" " * nivel + nodo.nombre)
for h in nodo.hijos:
mostrar(h, nivel + 2)

raiz = NodoAtaque("Comprometer servidor")

raiz.agregar(NodoAtaque("Fuerza bruta"))
raiz.agregar(NodoAtaque("Exploit vulnerabilidad"))
raiz.agregar(NodoAtaque("Phishing administrador"))

mostrar(raiz)

5.1.3. Modelado de amenazas.

Proceso que consiste en identificar, analizar y evaluar posibles amenazas que podrían afectar a un sistema informático antes de que estas ocurran. Su objetivo principal es anticipar riesgos y diseñar estrategias de protección que reduzcan la probabilidad de ataques o minimicen su impacto.

Se puede identificar activos críticos, como bases de datos, servidores o información sensible, que requieren mayor protección. También permite analizar vectores de ataque, es decir, los métodos que un atacante podría utilizar para explotar vulnerabilidades. Además, facilita el diseño de controles de seguridad adecuados. En este contexto, los árboles y grafos ayudan a visualizar cómo una amenaza puede evolucionar dentro de un sistema y cuáles podrían ser sus posibles rutas de ataque. (Shostack, 2014).

Ejemplo en Python

amenazas = {
"Robo de datos": ["SQL Injection", "Acceso no autorizado", "Malware"]
}

for amenaza, vectores in amenazas.items( ):
print("Amenaza:", amenaza)
for v in vectores:
print("-", v)

5.1.4. Análisis de rutas de ataque.

Consiste en identificar y estudiar los diferentes caminos que un atacante podría seguir para comprometer un sistema informático o una red. Este análisis permite comprender cómo una vulnerabilidad inicial puede conducir a otros sistemas o recursos críticos. Para representar estas posibles rutas se utilizan comúnmente grafos o árboles, ya que estas estructuras permiten visualizar las conexiones entre sistemas, usuarios y dispositivos, facilitando así la identificación de puntos débiles y la planificación de medidas de seguridad adecuadas (Stallings, 2018).

Ejemplo Python (búsqueda de ruta)

grafo = {
"Internet": ["Firewall"],
"Firewall": ["Servidor"],
"Servidor": ["BaseDatos"],
"BaseDatos": []
}

def dfs(nodo, visitados):
if nodo not in visitados:
print(nodo)
visitados.add(nodo)
for vecino in grafo[nodo]:
dfs(vecino, visitados)

dfs("Internet", set())

5.1.5. Evaluación de nodos críticos.

Los nodos críticos son elementos cuya falla comprometería todo el sistema.

Ejemplos:

Servidor de autenticación

Firewall principal

Base de datos central

En ciberseguridad identificar estos nodos permite priorizar controles de seguridad.

En la Tabla 1 se muestra un ejemplo de nodos críticos en una red y su impacto.

Estructura matemática que está formada por un conjunto de vértices o nodos y un conjunto de aristas o conexiones que enlazan dichos nodos. Esta estructura permite representar relaciones entre diferentes elementos de forma clara y organizada. En un grafo, los nodos pueden representar entidades como computadoras, servidores, usuarios o dispositivos de red, mientras que las aristas representan las conexiones, comunicaciones o interacciones que existen entre ellos.

Grafos se pueden utilizar para analizar y comprender la estructura y el comportamiento de las redes informáticas. Mediante grafos es posible visualizar cómo están conectados los diferentes sistemas dentro de una infraestructura tecnológica y analizar el flujo de información entre ellos.

Además, los grafos permiten identificar patrones de comunicación, detectar comportamientos anómalos y estudiar posibles vulnerabilidades dentro de una red. Por ejemplo, un aumento inusual de conexiones hacia un servidor podría indicar un ataque de denegación de servicio. También se emplean para modelar la propagación de malware, mostrando cómo una amenaza puede extenderse entre dispositivos conectados (Tanenbaum & Wetherall, 2011).

La Figura 3 muestra un ejemplo básico de un grafo.

5.2.1. Definición de grafo.

Formalmente un grafo se define como:

$G=(V,E)$

donde:

$V=\text{conjunto de vértices}$ $E=\text{conjunto de aristas}$

Ejemplo:

5.2.2. Grafos dirigidos y no dirigidos.

Son dirigidos o no dirigidos, dependiendo de si las conexiones entre los nodos tienen o no una dirección definida. Esta diferencia es fundamental para representar distintos tipos de relaciones en sistemas informáticos y redes.

Dirigidos

También llamado digrafo, es aquel en el que las aristas poseen una dirección específica, es decir, la conexión va de un nodo origen hacia un nodo destino. Aquí, la relación entre los nodos no necesariamente es bidireccional.

Ejemplo, si existe una conexión desde el nodo A hacia el nodo B, esto no implica necesariamente que exista una conexión desde B hacia A. Las aristas en los grafos dirigidos suelen representarse mediante flechas, indicando el sentido de la relación.

En ciberseguridad, los grafos dirigidos son útiles para representar:

• Flujo de tráfico de red entre dispositivos
• Rutas de propagación de malware
• Secuencia de eventos en un ataque informático
• Dependencias entre procesos o servicios

Por ejemplo, un grafo dirigido puede representar el flujo de datos desde un cliente hacia un servidor, o la secuencia de pasos que sigue un atacante al comprometer distintos sistemas dentro de una red.

No dirigidos

Sus aristas no tienen dirección, lo que significa que la relación entre dos nodos es bidireccional. En este caso, si un nodo A está conectado con B, también se asume que B está conectado con A.

Las aristas en este tipo de grafo se representan simplemente como líneas entre nodos, sin flechas de dirección.

En redes informáticas y ciberseguridad, los grafos no dirigidos se utilizan comúnmente para representar:

• Topologías de red
• Conexiones físicas entre dispositivos
• Relaciones entre usuarios dentro de un sistema
• Infraestructura de comunicaciones

Ejemplo, en una red local, si dos computadoras están conectadas mediante un switch, la relación puede representarse mediante un grafo no dirigido, ya que ambas pueden comunicarse entre sí.

La Figura 4 muestra un ejemplo de un grafo no dirigido y un grafo dirigido con cuatro nodos.

La tabla 2 muestra una descripción general y un ejemplo de los grafos dirigidos y no dirigidos.

5.2.3. Grafos ponderados y no ponderados.

Dependiendo de si las conexiones entre los nodos poseen o no un valor asociado. Esta característica permite representar diferentes tipos de relaciones y medir propiedades específicas dentro de una red o sistema.

Ponderados

Cada arista tiene asignado un peso o valor numérico. Este peso puede representar distintas magnitudes según el contexto, como distancia, tiempo, costo, capacidad o nivel de riesgo. Gracias a estos valores, los grafos ponderados permiten realizar análisis más detallados sobre las relaciones entre los nodos.

Los grafos ponderados se pueden utilizar para representar aspectos como la latencia entre dispositivos, el nivel de riesgo de una conexión, el número de intentos de acceso o el costo asociado a una posible ruta de ataque. Por ejemplo, en el análisis de rutas de ataque, cada conexión entre sistemas puede tener un peso que indique la dificultad o probabilidad de explotación de una vulnerabilidad.

No ponderados

Es aquel en el que las aristas no tienen un valor asociado, por lo que todas las conexiones se consideran equivalentes. En este tipo de grafo solo se representa la existencia de una relación entre nodos, sin especificar características adicionales sobre esa conexión.

Son útiles cuando únicamente interesa conocer si existe o no una conexión entre los elementos de un sistema. En redes informáticas, se pueden utilizar para representar la topología básica de una red, mostrando qué dispositivos están conectados entre sí sin considerar factores como velocidad, distancia o prioridad de la conexión. En la Tabla 3 mostrada a continuación se muestra una comparación entre grafos ponderados y no ponderados

Ejemplo:

$\mathrm{Servidor}A\to \mathrm{Servidor}B(\mathrm{peso}=\text{tiempo de acceso})$

5.2.4. Representación mediante listas y matrices.

A través de listas y matrices se pueden representar grafos. La Tabla 2 se muestra la comparación (ventajas y desventajas entre las principales formas de representar grafos.

Ejemplo en Python

Lista de adyacencia:

grafo = {
"A": ["B", "C"],
"B": ["C"],
"C": ["A"]
}

for nodo in grafo:
print(nodo, "->", grafo[nodo])

5.2.5. Grafos en modelado de redes
Se utilizan para modelar redes informáticas, ya que permiten representar de manera clara y estructurada la relación entre los diferentes dispositivos que forman parte de una infraestructura tecnológica.

Los grafos facilitan el análisis de la topología de la red, permitiendo comprender cómo se encuentran interconectados los dispositivos y cómo circula la información dentro del sistema. Además, esta representación resulta especialmente útil para estudiar aspectos como el flujo de datos, la disponibilidad de rutas de comunicación, la detección de fallos o la identificación de posibles vulnerabilidades.

En ciberseguridad, modelar redes mediante grafos permite analizar cómo podría propagarse un ataque o un malware dentro de una red, identificar nodos críticos cuya falla afectaría al sistema completo y estudiar posibles rutas de acceso que un atacante podría aprovechar para comprometer distintos dispositivos. Así, los grafos se convierten en una herramienta fundamental para el diseño, monitoreo y protección de redes informáticas (Tanenbaum & Wetherall, 2011).

Aplicaciones en ciberseguridad:

• detección de propagación de malware
• análisis de tráfico
• análisis de vulnerabilidades
• detección de anomalías

Ejemplo en Python usando NetworkX

import networkx as nx

G = nx.Graph()

G.add_edge("Router","Firewall")
G.add_edge("Firewall","Servidor")
G.add_edge("Servidor","BaseDatos")

print(G.edges())