PyGraphistry: analítica de grafos para detectar amenazas en datos corporativos

Investigadores han publicado un flujo de trabajo completo basado en PyGraphistry, una herramienta de código abierto de analítica de grafos, para detectar anomalías e investigar incidentes en datos de acceso corporativos. El pipeline se ejecuta directamente en Colab y no requiere una infraestructura compleja.

De dónde salen los datos

El flujo se apoya en un conjunto de datos sintético que imita un entorno corporativo real. Incluye cinco entidades: usuarios, dispositivos, direcciones IP, servicios y roles, y además las geolocalizaciones están etiquetadas. Con estos datos se construye el grafo: usuario → dispositivo → IP → servicio forman una cadena de nodos y aristas.

El conjunto sintético permite ensayar el pipeline sin usar datos corporativos reales. Su estructura se parece deliberadamente a la de los sistemas SIEM corporativos y los registros de Active Directory.

Qué ocurre con el grafo

Tras construir la estructura base, el grafo se enriquece con varias capas de analítica:

• Puntuaciones de riesgo — una valoración numérica del peligro de cada nodo según sus propiedades y conexiones
• Métricas de centralidad — PageRank, betweenness centrality y otros indicadores del peso de un nodo en la red
• Detección de comunidades — un algoritmo agrupa automáticamente los nodos en clústeres
• Isolation Forest — algoritmo de ML para detectar nodos anómalos: los más difíciles de aislar en un árbol aleatorio reciben una puntuación de anomalía alta
• Disposición UMAP — reducción de dimensionalidad no lineal que sitúa los objetos similares juntos de forma compacta

Cada capa añade un atributo a nodos y aristas y se ve en la visualización interactiva como color, tamaño o información emergente.

Tres modos de visualización

PyGraphistry, junto con PyVis, crea tres vistas del mismo grafo. El grafo completo muestra toda la red de relaciones entre dispositivos, usuarios, servicios y direcciones IP, y sirve para una primera panorámica. El analista ve de inmediato qué nodos forman clústeres densos y cuáles quedan aislados.

El ego-grafo se centra en un nodo concreto y su entorno inmediato. Es el modo clave para investigar: cuando la sospecha recae sobre un usuario o una dirección IP, el ego-grafo muestra todas las conexiones directas e indirectas del objeto sin ruido innecesario.

La vista de alto riesgo filtra solo los nodos con una puntuación de peligro alta, aquellos en los que Isolation Forest detectó una desviación de la norma. Esto reduce el espacio de investigación decenas de veces: en lugar de miles de objetos, el analista trabaja con decenas.

Por qué el enfoque de grafos importa para la seguridad

El análisis tradicional en un SIEM trabaja con tablas planas de eventos: fila a fila, evento a evento. Eso dificulta detectar ataques complejos de varias fases, porque cada evento por separado parece inofensivo.

El grafo invierte la lógica: en lugar de una secuencia temporal, el analista ve la estructura de la red. La ruta del ataque, una cadena de nodos con conexiones anómalas, se hace visible. Combinado con Isolation Forest, la anomalía se ve no solo como un valor atípico numérico, sino también como un nodo visualmente aislado o con un exceso de conexiones.

Qué significa

La analítica de grafos para ciberseguridad ha sido durante mucho tiempo patrimonio de costosas plataformas comerciales. Un flujo de trabajo abierto en PyGraphistry reduce la barrera de entrada: los equipos de seguridad pequeños obtienen una herramienta lista que pueden adaptar a registros reales de Active Directory o CloudTrail.