Retomamos uno de los aspectos fundamentales de la vida científica: escribir contribuciones o

Como caso particular, en System Security es MUY habitual que los títulos de los artículos sigan la siguiente estructura Nombre de Broma o Referencia Pop: Nombre serio. No sé si es porque es una disciplina joven, pero es habitual encontrarse artículos con nombres de broma como Internet Jones & the Raiders of the Lost Trackers o How the ELF ruined Christmas. No es que sea algo obligatorio, pero si algo característico a mencionar.

Pero vayamos al grano, da igual lo gracioso que sea el título, si no es capaz de transmitir lo relevante de la contribución, el revisor se reirá una sola vez (o dos si es malvado). La clave para escribir bien un artículo es comenzar sabiendo cuál o cuáles son los aspectos más importantes de nuestra contribución. A partir de ahí haremos un outline de cada una de las secciones, a un nivel cada vez profundo. La premisa inicial, es que leyendo el paper se podría replicar completamente la investigación.

Después, es importante utilizar un lenguaje sencillo y con palabras sencillas: no estamos escribiendo una novela, estamos con un paper. Siendo así evitaremos frases largas y rebuscadas y siempre escogeremos la palabra más habitual para el significado que queramos. Tenemos que tener en cuenta que el Inglés es la lingua franca de la Ciencia, pero los lectores y revisores no tienen porqué ser duchos en él y menos nativos.

Por otro lado, es importante reseñar que si estamos hablando de una artículo para una top-tier conference, éstos son de mucha longitud, por lo que cuánto mayor número de apartados con títulos claros, mucho mejor para facilitar su lectura (los títulos se quedan antes en la cabeza). Además, de este modo, nos aseguramos que el revisor (que tendrá que revisar 20+ papers en dos semanas) se quede con la idea.

Por último, un aspecto importante, es que pese a que tengamos muchos datos, no hemos de volcarlos en el paper, sino extraer su relevancia y discutir sus implicaciones. Si no, volvemos loco al lector, con datos que no le interesan.

En resumen, tenemos que escribir no para nosotros, si no para los lectores del paper, teniendo claro que queremos transmitirles.

The post Investigación en seguridad (VIII) – Papers, Lenguaje appeared first on S3lab.

Pues sí, ya hemos hecho un trabajo que creemos que tiene nivel (y probablemente lo tenga) y nos llega un email con la fatídica frase “We are sorry to inform you”… Acompañada de los comentarios de los revisores.

En algunos casos tendrán razón, pero en otros tantos no. Y nos enfadamos, pensamos en mandarlo a otro lado menos “top”, pero es un error si lo hacemos. En el ciclo de las 4 top de seguridad, es relativamente común que los rechazos se conviertan en mejoras para un envío a la siguiente porque las fechas cuadran perfectamente. En cierto modo, por eso se le llama ciclo de las 4.

No obstante, a nivel mental suele costar acostumbrarse al rechazo y sobre todo, a las malas reviews. Y no me refiero a las que critican, sino a las que no tienen sentido. Aquí tenemos que recordar, que en una top conference cada revisor tiene entre 20 y 30 papers que corregir, que muchas veces la selección del tema no es correcta, o que simplemente no le ha gustado por motivos poco objetivos (al fin y al cabo, somos personas).

Como recomendación general, si el paper tiene comentarios positivos y cambios razonables, la manera de proceder, es hacer esos cambios y enviar a la siguiente de la “rueda”. Si solo tenemos comentarios negativos y es nuestro primer rechazo, podemos seguir, pero si ya hemos mandado a varias y no hay comentarios positivos, es que probablemente no esté al nivel.

The post Investigación en seguridad (VII) – El rechazo appeared first on S3lab.

La estructura de un artículo experimental clásico (como suelen ser habitual en nuestra área ) sigue una estructura que se llama IMRAD (Introduction, Materials and Methods, Results, And Discussion). Si bien esta estructura no se sigue al pie de la letra en System Security (aunque sí es común hacerlo en otras disciplinas), la estructura es similar y suele contener – de forma más flexible – los siguientes puntos:

• Abstract: Se resume el paper contextualizándolo. Es importante que sea atractivo.
• Introduction: Se realiza una introducción al problema o problemas que resolvemos de lo más general hasta las contribuciones más recientes, para posteriormente hablar de nuestra solución y enumerar las contribuciones que realiza sobre el estado de arte. Posteriormente se suele incluir (si entra por límites) un párrafo sobre de qué se habla en cada sección
• [Background]: Cuando el tema o el problema del que nos encargamos es muy específico y hace falta explicaciones que no pueden hacerse en otro sitio, incluimos esta sección. En función de lo que expliquemos también puede llamarse Problem Description o Preliminaries.
• Descripción del método: Con un nombre ad hoc para cada paper y en función del tipo de contribución técnica que tengamos (no es lo mismo un measurement paper que un contribución técnica pura) describiremos en detalles nuestro método, incluyendo para ello tantas subsecciones como haga falta.
• Evaluación o similar: En esta sección, describiremos cómo vamos a medir nuestra solución, los resultados obtenidos y que significan. Si el artículo es un measurement, detallaremos los obtenido en nuestras observaciones. Si existen casos muy específicos que queremos detallar más, incluiremos una sección Case Studies para ello.
• Discussion: Pese a que los resultados sean claros, si tenemos espacio es bueno incluir una sección que suba nuestros descubrimientos a nuevos retos de investigación.
• Related Work: Se describe el trabajo relacionado comparándolo con el nuestro.
• Conclusions: Simplemente cerramos la contribución enumerando de nuevo lo más relevante de la contribución (si no hemos hecho discussion, podemos incluir aquí una versión más reducida de la misma).

Y esa es (no hay que tomársela más que como una guía) un tipo de estructura muy utilizada. El orden de escritura suele ser primero las secciones de meat (método y evaluación) y acabar con introducción, conclusiones y abstract, porque pueden variar. En el siguiente entrega hablaremos sobre cómo escribir desde el punto de vista del tipo de lenguaje.

The post Investigación en seguridad (VI) – Papers, Estructura appeared first on S3lab.

1. Elegir un tema que no nos atrae demasiado. El mayor error que podemos cometer en una investigación (doctoral o no), es elegir un área y un tema que no nos guste. La investigación no es un trabajo (o no debería serlo) de 9 a 5, es algo que nos tiene que obsesionar y apasionar hasta el punto de perder la noción del tiempo. Si elegimos de antemano un tema del que lo más que pensamos está por debajo o igual de la expresión “No está mal”, hemos cometido un gravísimo error. Puede que, si somos estudiantes de doctorado, acabemos la tesis doctoral, pero no haremos investigación de primer nivel porque requiere un nivel de compromiso que sólo se puede obtener si hay vocación. Los motivos para hacer esto son variados y el más común es el de disponibilidad y no querer mudarse y hay que evitarlos.
2. No hablar/discutir/pelear con el director de tesis/supervisor. Como ya comentamos en la primera entrega, nuestro director de tesis tiene que reunir unas ciertas características que garanticen que se implique en nuestra investigación. Ahora bien, como doctorandos tenemos la obligación de tratar de aprovechar su experiencia y eso pasa por discutir y hablar todos los aspectos de nuestra investigación en curso. Y, desde luego, si en algo no estamos de acuerdo, no simplemente aceptarlo, explicar motivos y discutir. De esas discusiones van a surgir nuevas ideas, del silencio y la servidumbre, no.
3. No querer escribir. Es bastante común en Computer Science, que nos encante la parte más técnica, pero que odiemos las tareas de escritura. Sin embargo, como científicos, vamos a tener que escribir para comunicar nuestros resultado. De hecho, si en nuestra carrera conseguimos un puesto de faculty con un grupo, vamos a tener que escribir aún más: apuntes para clase, research grants, informes varios, etc.. Por esta razón, es importante que, desde el principio vayamos cogiendo soltura en la escritura y, quien sabe, hasta nos comience a gustar (o al menos no la odiemos). Suelo dar el consejo de que leer muchos artículos científico de nivel, pensando como un revisor porque así podemos ver aciertos y errores en la escritura que hacen que nos guste o no el artículo y, así, sepamos valorar una escritura clara y ordenada.
4. No llevar registro de lo que se está haciendo. Cuando estamos realizando una contribución de primer nivel, es normal realizar una gran cantidad de pasos y selecciones que luego en nuestro artículo científico tienen que estar justificados. Como, en ocasiones nos llevará mas de 8 meses de esfuerzo, es muy normal, que lo que nos parecía tan obvio hace 3 meses, ya no recordemos por qué lo hicimos. Por eso, hay que llevar registro de todo lo que se hace y la razón por la que se hace. Pese a todo, es probable que, aún llevando registro, alguna cosa se nos pase y tengamos que volver atrás.

Existen más errores que podemos cometer, pero éstos son los que nos llevarán al fracaso absoluto. En la siguiente entrega hablaremos de cómo escribir una contribución y de su estructura.

The post Investigación en seguridad (V) – 4 errores, 1 fracaso appeared first on S3lab.

En la anterior entrega de nuestra serie “Investigación en seguridad” explicamos cómo realizar uno de los primeros y más importantes pasos que, tanto doctorando como director de tesis, tienen que llevar a cabo: la definición del primer plan general. En este punto, contamos ya con topics y problemas a resolver que, eventualmente, y una vez resueltos (parcialmente y no como nos esperamos, no nos engañemos) se convertirán en contribuciones científicas de primer nivel y en una tesis doctoral. Es importante recordar que un plan de investigación NO es un documento fijo y que está VIVO, pues con el tiempo, se modificarán preguntas de investigación y retos. Ya que nosotros estamos investigando en retos que interesan a otros grupos de investigación, éstos pueden avanzar al mismo paso o más rápido que nosotros. Además, podemos equivocarnos en nuestras hipótesis. Y equivocarse es bueno: “no hay éxitos y fracasos, sólo éxitos y lecciones aprendidas”. Y yo personalmente, he aprendido muchas lecciones.

En esta entrega, veremos cómo abordar una pregunta y un reto de investigación ya definido. Tal y como hemos comentado, el proceso para definir un plan general es largo: requiere mucha lectura y mucho trabajo. Por ello, si nuestro plan general es demasiado “generalista”, no estamos todavía en condiciones de aportar nada a la comunidad y deberíamos seguir leyendo y definiendo. En cualquier caso, priorizaremos siempre las contribuciones cuya solución sea más obvia, con el objetivo egoísta de ser los primeros en realizarla (resulta egoísta desde el punto de vista de la Ciencia ya que es indiferente quién la resuelva, pero queremos ser nosotros, evidentemente).

Para comenzar, tenemos que comprender el reto y plantear preguntas. Da igual que parezcan no tener sentido, pues el objetivo es tener cuántas más mejor. Estas preguntas deberán ser muy concretas y establecerán qué hacer a continuación. Por ejemplo, supongamos que tenemos como reto conocer cuál es el estado del fraude online en páginas para adultos. Podemos plantear preguntas como: ¿Qué técnicas se usan para infectar o engañar a las páginas legítimas? ¿Quién está detrás? ¿Existe más predisposición a infectar algunas entidades o países? ¿Utilizan engaños de tipo social? ¿qué explotan para llevar a cabo la estafa?

Estas preguntas tienen que traducirse en nuevos métodos para detectar y medir las respuestas y, en muchos casos, podrán ser una herramienta que elimine el problema. En otras palabras y como me gusta decir a mis doctorandos, hacemos preguntas con la curiosidad de un niño y sin ningún miedo, pero las medimos y las contestamos con la rigurosidad y el escepticismo de un sabio y con mucha experiencia. Esta dualidad entre soñador creativo y escéptico “cascarrabias”, es  bajo mi punto de vista, lo que hace de alguien un buen científico.

Tras medir, hay que analizar y extraer conclusiones valiosas para la comunidad. La ciencia NO es hacer herramientas, ni tampoco exponer datos descriptivos sin más. En este punto, analizando y extrayendo conclusiones, tenemos que, en cierto modo, combinar ambas facetas: la del soñador y la del escéptico; y NUNCA ir más allá de lo que nuestros análisis evidencien. No obstante, en nuestra sección de discussion podremos valernos de nuestra intuición de forma complementaria para futuros trabajos y retos.  

Y lo más hermoso (probablemente) de la Ciencia es que una vez contestadas nuestras preguntas, surgirán nuevas preguntas y retos de investigación. Se suele decir que “cada respuesta conduce a nuevas preguntas” y eso dota a la Ciencia de una belleza inconmensurable que, a mí por lo menos, me atrapa y me enamora más cada día.

En la siguiente entrega, veremos cómo escribir una contribución científica de nivel.

The post Investigación en seguridad (IV) – Contribuciones appeared first on S3lab.

En anteriores entregas de esta serie “Investigación en seguridad” hemos cubierto la selección de un tema y de un director acorde y capaz para llevar la tesis doctoral. En esta entrega abordamos uno de los aspectos más cruciales de la tesis doctoral: la definición del primer plan de trabajo. Decimos “primero” porque este plan de trabajo no será el definitivo y se irá actualizando conforme avancemos nosotros (y también otros) en nuestro topic elegido.

Existen diversas formas para definir un plan de trabajo desde las más cerradas en las que viene dado por un proyecto de investigación, hasta las más abiertas donde cualquier opción del doctorando es posible. Aquí (como ya hemos hecho en anteriores entregas) suponemos que el doctorando puede elegir su propio tema y, por tanto, su plan de trabajo. También hay muchas maneras de definirlo, nosotros mostraremos y explicaremos cómo lo hacen mis doctorandos: un plan de trabajo iterativo y supervisado..

El doctorando tiene ya un topic general elegido del que su director es un experto. Para realizar un plan de trabajo, el primer paso que ambos tienen que realizar es leer, simple y llanamente. Tienen que leer que es lo que se está haciendo en ese topic en las conferencias top-tier ya mencionadas (Oakland, Usenix Sec, ACM CCS, ISOC NDSS). El objetivo es encontrar problemas a resolver que aún no hayan sido resueltos y que sean muy interesantes para la comunidad (de ahí, que miremos únicamente en las top-tier conferences). Ya que leer literatura científica de un tema general como el que tenemos en este estadio puede consumir mucho tiempo, recomiendo a todos mis doctorandos que sigan el Enfoque de Keshav en el que se dan hasta tres pasadas a un artículo, pudiendo desechar antes los que no nos interesan sin perder demasiado tiempo.

Existen dos tipos de problemas que podemos encontrar: problemas explícitos que los propios autores han sugerido en sus contribuciones o problemas de los que nos damos cuenta nosotros. Es preferible priorizar los segundos para que nuestra investigación en ellos no sea tan fácil de “pisar” (que es uno de los grandes miedos de un doctorando). Durante este proceso, el director de tesis tiene la obligación de actuar como filtro acerca de los problemas a abordar (porque no sean lo suficientemente ambiciosos, porque caen fuera de topic, etc.), además de proponer otros en base a lo que el doctorando diga y en base a sus propias lecturas, además de sugerir lecturas que puedan ampliar la visión del doctorando. En todas estas interacciones director-doctorando el director tiene que exponer motivos para que el doctorando comience a inculcarse con el pensamiento crítico científico.

Cuando tengamos un total de 3 a 5 problemas ambiciosos para abordar, podemos comenzar a definir un plan de trabajo concreto que ya postule preguntas de investigación concretas, que formule hipótesis y que especifique las tareas a realizar para contestar las preguntas y ratificar las hipótesis planteadas. Es importante reiterar, que el plan de trabajo tanto en su versión general como en la concreta, no es más que una guía de nuestra investigación y que ésta será (y debe ser) cambiante y, por tanto, también lo será su plan de trabajo. En la siguiente entrega hablaremos que cómo especificar un plan de trabajo, formulando preguntas de investigación para cada uno de los problemas y viendo cómo contestarlas.

The post Investigación en seguridad (III) – Workplan general appeared first on S3lab.