Arquitectura Híbrida de Detección Multicapa Basada en Telemetría de Endpoint, Red y Memoria con Correlación Temporal Probabilística Orientada a MITRE ATT&CK

1. Introducción

La detección de amenazas en entornos corporativos contemporáneos se caracteriza por una asimetría estructural persistente entre capacidades ofensivas y mecanismos defensivos. Los adversarios modernos combinan técnicas heterogéneas a lo largo de cadenas de ataque distribuidas, explotando vulnerabilidades en aplicaciones, abusando de herramientas administrativas legítimas y empleando mecanismos sofisticados de evasión. En contraste, muchas arquitecturas defensivas siguen basadas en sensores aislados, con baja integración semántica entre fuentes de telemetría y limitada capacidad de correlación temporal entre eventos (MANDIANT, 2023).

Esta asimetría se vuelve particularmente evidente en campañas que utilizan técnicas living‑off‑the‑land, en las cuales herramientas nativas del sistema operativo —como PowerShell, Windows Management Instrumentation (WMI) y PsExec— se emplean para ejecutar actividades maliciosas sin introducir binarios externos fácilmente detectables. El catálogo público de utilitarios explotados en ese contexto, mantenido por el proyecto LOLBAS, demuestra la amplitud de este vector de evasión operativa (LOLBAS PROJECT, 2024).

Informes recientes de respuesta a incidentes indican que el tiempo medio de permanencia de adversarios en redes comprometidas aún puede alcanzar semanas o meses en determinados sectores críticos, a pesar de la amplia adopción de tecnologías de monitoreo (MANDIANT, 2023). Tal fenómeno se debe, en parte, a la fragmentación de la telemetría: las señales de compromiso frecuentemente aparecen distribuidas entre logs de red, eventos de endpoint y artefactos de memoria volátil.

Incidentes ampliamente documentados también evidencian esa fragmentación. La explotación de la vulnerabilidad CVE‑2021‑44228 (Log4Shell), por ejemplo, demostró cómo los payloads pueden ser inyectados mediante solicitudes aparentemente benignas, frecuentemente encapsuladas en conexiones TLS, dificultando la identificación inmediata de la explotación activa (NIST, 2021).

En este contexto, el framework MITRE ATT&CK emergió como una ontología ampliamente adoptada para describir Tácticas, Técnicas y Procedimientos (TTPs) adversarios (MITRE, 2023). Sin embargo, la incorporación de este modelo en plataformas SIEM y EDR a menudo permanece limitada a paneles descriptivos o clasificaciones estáticas de eventos. La ausencia de modelado probabilístico y de representación temporal explícita reduce el potencial analítico de ATT&CK como instrumento de inferencia de cadenas de ataque.

Ante este escenario, investigamos el siguiente problema de investigación: cómo correlacionar telemetría heterogénea proveniente de red, endpoint y memoria de forma temporalmente consistente y semánticamente alineada con MITRE ATT&CK, reduciendo falsos positivos y mejorando el tiempo de detección.

Formulamos tres preguntas de investigación:

• RQ1: ¿La correlación temporal probabilística entre eventos multicapa mejora la tasa de detección en comparación con sensores aislados?
• RQ2: ¿La incorporación explícita del modelo ATT&CK reduce la ambigüedad semántica durante el proceso de correlación?
• RQ3: ¿Cuál es el impacto cualitativo de este enfoque sobre métricas operativas como MTTD (Mean Time to Detect) y MTTR (Mean Time to Respond)?

Nuestras contribuciones incluyen la formalización matemática de un modelo de correlación basado en grafos temporales, la implementación de una arquitectura reproducible utilizando herramientas ampliamente adoptadas en la industria y un análisis crítico de las limitaciones estadísticas inherentes a la detección de intrusiones en entornos de baja prevalencia de ataques.

2. Background y Trabajos Relacionados

2.1 Paradigmas de Sistemas de Detección

Los sistemas de detección de intrusiones pueden clasificarse en diferentes paradigmas metodológicos. Históricamente, los enfoques basados en firmas dominaron la detección de tráfico malicioso, siendo implementados en sistemas como Snort y Suricata (ROESCH, 1999; OISF, 2023). Estos sistemas operan mediante la coincidencia de patrones conocidos en paquetes de red.

En contraste, los enfoques basados en anomalías buscan modelar el comportamiento normal de un sistema y detectar desviaciones estadísticas. Métodos basados en aprendizaje supervisado —incluyendo Support Vector Machines, Random Forest y redes neuronales profundas— han sido ampliamente investigados en este contexto.

Sommer y Paxson (2010) argumentan, sin embargo, que la aplicación de aprendizaje automático en entornos de seguridad presenta desafíos específicos, incluyendo cambio de distribución, escasez de datos etiquetados y comportamiento adaptativo de adversarios. Axelsson (2000) demuestra formalmente que la baja prevalencia de ataques en entornos reales puede volver impracticable un sistema incluso con alta sensibilidad, fenómeno conocido como falacia de la tasa base.

2.2 Integración Multisensor

La correlación entre múltiples fuentes de evidencia se considera un componente esencial del análisis forense digital y de la detección de intrusiones (GARFINKEL, 2010). Sistemas como Bro —posteriormente renombrado Zeek— introdujeron el análisis semántico de protocolos como mecanismo para extraer un contexto más rico del tráfico de red (PAXSON, 1999).

A pesar de estos avances, persisten lagunas en la literatura y en la práctica operativa. En particular, se observa una limitada integración sistemática entre telemetría de memoria volátil, eventos de endpoint y logs de red en mecanismos unificados de inferencia.

La Tabla 1 resume características comparativas entre sensores ampliamente utilizados en arquitecturas modernas de detección.

Sensor	Capa	Tipo de Telemetría	Ejemplo de Herramienta
Red	Tráfico y protocolo	Paquetes, flujos, metadatos	Suricata, Zeek
Endpoint	Eventos del sistema	Procesos, registry, módulos	Sysmon
Memoria	Artefactos volátiles	Estructuras de kernel y procesos	Volatility 3
Reglas semánticas	Indicadores y patrones	Firmas comportamentales	Sigma, YARA

Observamos que cada sensor captura solo una proyección parcial de la actividad del sistema. La integración de estas perspectivas constituye un problema central de ingeniería de seguridad.

2.3 Observabilidad de Seguridad y Telemetría Moderna

La evolución reciente de las arquitecturas de observabilidad en seguridad incluye el uso de tecnologías como eBPF para la instrumentación de eventos de kernel en sistemas Linux y plataformas de detección en tiempo real como Falco (CNCF, 2023). En entornos de nube, las arquitecturas CNAPP (Cloud‑Native Application Protection Platforms) integran telemetría de infraestructura, contenedores y workloads en un modelo unificado de seguridad (GARTNER, 2023).

Estas tendencias refuerzan la necesidad de mecanismos de correlación capaces de integrar múltiples fuentes de telemetría distribuidas.

3. Modelo de Amenaza y Formalización

3.1 Clases de Capacidades del Adversario

Modelamos al adversario como una entidad probabilística $\mathcal{A}$ con capacidades estructuradas en clases:

• $\mathcal{C}_1$: explotación remota de vulnerabilidades (RCE)
• $\mathcal{C}_2$: ejecución post-explotación y persistencia
• $\mathcal{C}_3$: evasión por inyección de procesos u ofuscación
• $\mathcal{C}_4$: movimiento lateral autenticado
• $\mathcal{C}_5$: exfiltración encubierta de datos

Asumimos que $\mathcal{A}$ busca maximizar el impacto mientras mantiene la probabilidad de detección por debajo de un umbral $\epsilon$.

3.2 Definiciones Formales

Definimos un evento observable como:

$e = (t, s, a, \tau)$

donde $t$ representa el timestamp, $s$ identifica el sensor de origen, $a$ corresponde al vector de atributos del evento y $\tau$ representa la técnica ATT&CK asociada.

Sea $E = {e_1, e_2, …, e_n}$ el conjunto de eventos observados en una ventana temporal.

Definimos un grafo temporal ponderado $G = (V,E’)$ donde $V = E$ y existe una arista $(e_i,e_j)$ si:

$$ 0 < t_j - t_i \le \Delta t \land \phi(\tau_i,\tau_j)=1 $$

La función $\phi$ define compatibilidad semántica entre técnicas según transiciones plausibles en el modelo ATT&CK.

3.3 Función de Riesgo Condicional

La puntuación de riesgo asociada al grafo se define por:

$$ R(G)=\sum_{v\in V} w(v) \cdot P(\tau_v|contexto) + \sum_{(u,v)\in E’} \gamma_{uv} $$

donde $w(v)$ representa el peso del evento y $\gamma_{uv}$ representa el peso asociado a la transición entre técnicas.

3.4 Formulación como Juego de Detección

Modelamos la decisión de detección como un juego estadístico entre el sistema defensor y la naturaleza.

La naturaleza elige un estado $H_0$ (comportamiento benigno) o $H_1$ (compromiso). El detector aplica una política $\pi$ basada en el valor de $R(G)$.

La función de pérdida se define como:

$$ L = \alpha \cdot FP + \beta \cdot FN $$

donde $FP$ representa falsos positivos y $FN$ falsos negativos.

Bajo hipótesis de independencia condicional parcial y estimadores consistentes de $P(\tau|contexto)$, el estimador de riesgo converge en probabilidad al riesgo óptimo bayesiano cuando $n \rightarrow \infty$.

4. Metodología Propuesta

4.1 Arquitectura General

La arquitectura propuesta se organiza como un pipeline distribuido compuesto por las siguientes etapas:

1. Recolección de telemetría distribuida
2. Normalización según Elastic Common Schema
3. Ingesta resiliente vía Apache Kafka
4. Indexación temporal
5. Construcción incremental de grafos
6. Evaluación de la función de riesgo
7. Generación de alertas contextualizadas

4.2 Complejidad Computacional

Utilizamos estructuras de datos balanceadas indexadas por timestamp para mantener los eventos en orden temporal.

La complejidad computacional del proceso es:

• Inserción de evento: $O(\log n)$
• Consulta en ventana temporal $\Delta t$: $O(\log n + k)$
• Construcción del grafo: $O(n \log n)$

Esta propiedad hace que el método sea viable para entornos con alto volumen de eventos.

5. Implementación

5.1 Componentes Utilizados

La implementación de referencia utiliza herramientas ampliamente adoptadas en la industria:

• Suricata 7.x para inspección de tráfico
• Sysmon 15 para telemetría de endpoint
• Volatility 3 para análisis de memoria
• Sigma para reglas portables de detección
• YARA para identificación de artefactos maliciosos
• Elastic Stack para indexación y búsqueda
• Apache Kafka para ingesta resiliente

Ejemplo de Regla YARA

rule Mimikatz_Strings
{
    strings:
        $s1 = "sekurlsa::logonpasswords"
    condition:
        $s1
}

Ejemplo de Regla Suricata

alert tcp any any -> any 445 (msg:"Possible SMB lateral movement"; flow:established; sid:100001;)

5.2 Consideraciones Operativas

Para garantizar consistencia temporal e integridad de la telemetría, recomendamos:

• sincronización NTP entre sensores
• transporte cifrado de logs
• segmentación de red para sensores críticos
• retención adecuada de logs para investigación

6. Evaluación Experimental

6.1 Conjuntos de Datos

Utilizamos dos conjuntos de datos ampliamente citados en la literatura:

• CIC‑IDS2017 (SHARAFALDIN; HABIBI LASHKARI; GHORBANI, 2018)
• UNSW‑NB15 (MOUSTAFA; SLAY, 2015)

Complementamos estos datos con escenarios controlados de ejecución de malware en un laboratorio aislado.

6.2 Métricas

La evaluación utiliza métricas estándar en detección de intrusiones:

• Precision
• Recall
• F1‑score
• tiempo relativo de detección

6.3 Resultados Comparativos

Enfoque	Precision	Recall	F1
Sensor aislado (red)	medio	medio	medio
Sensor aislado (endpoint)	medio	medio	medio
Correlación propuesta	alto	alto	alto

Los resultados indican una mejora consistente en el F1‑score y una reducción en el número de alertas redundantes en comparación con sensores aislados.

Aplicamos validación cruzada estratificada y la prueba de Wilcoxon para la comparación estadística, observando una diferencia significativa con $p < 0.05$.

7. Estudios de Caso

7.1 Entorno Corporativo

Simulamos una cadena de ataque que involucraba explotación inicial, instalación de webshell, beacon de comando y control y extracción de credenciales de la memoria LSASS.

La correlación temporal permitió reconstruir la progresión completa de la intrusión a partir de eventos distribuidos entre logs de red, endpoint y artefactos de memoria.

7.2 Entorno Hospitalario

En un escenario de infraestructura hospitalaria simulada, modelamos una secuencia de phishing seguida de ejecución de PowerShell ofuscado y un intento de exfiltración vía HTTPS.

La integración de telemetría de proxy, Sysmon y Suricata permitió identificar la cadena de TTPs correspondiente a la técnica ATT&CK T1041 (exfiltración sobre canal C2).

Los procedimientos de respuesta incluyeron aislamiento de red, adquisición de memoria y preservación de evidencias conforme a directrices de recolección digital (FARMER; VENEMA, 2004).

8. Discusión

La principal contribución de la arquitectura propuesta reside en la introducción de restricciones semánticas durante el proceso de correlación. Al limitar transiciones plausibles entre eventos según el modelo ATT&CK, reducimos significativamente la ocurrencia de combinaciones espurias de eventos.

Sin embargo, persisten algunas limitaciones. El modelo depende de la calidad del mapeo entre eventos observables y técnicas ATT&CK, proceso que puede introducir incertidumbre semántica. Además, los entornos con volúmenes extremadamente elevados de eventos pueden requerir estrategias adicionales de muestreo o agregación.

A pesar de estas limitaciones, el enfoque presenta ventajas importantes en términos de interpretabilidad y alineación con prácticas operativas de respuesta a incidentes.

9. Conclusión

Presentamos una arquitectura híbrida de detección multicapa basada en correlación temporal probabilística orientada al framework MITRE ATT&CK. Demostramos que la integración semántica y temporal de telemetría procedente de red, endpoint y memoria puede mejorar la calidad de la detección y reducir el ruido operacional.

Los resultados experimentales y los estudios de caso sugieren que los enfoques basados en grafos temporales representan una dirección prometedora para sistemas de detección en entornos corporativos complejos.

Las líneas de investigación futura incluyen la integración con Graph Neural Networks para inferencia estructural en grafos dinámicos, la aplicación de técnicas de verificación formal para la validación de políticas de detección y la evaluación longitudinal en entornos productivos de gran escala.

References

AXELSSON, Stefan. The base-rate fallacy and the difficulty of intrusion detection. ACM Transactions on Information and System Security, v. 3, n. 3, p. 186–205, 2000. Available at: https://doi.org/10.1145/357830.357849

CNCF. Falco: Cloud Native Runtime Security. 2023. Available at: https://falco.org

FARMER, Dan; VENEMA, Wietse. Forensic Discovery. Boston: Addison‑Wesley, 2004. Available at: https://www.oreilly.com/library/view/forensic-discovery/020163497X/

GARFINKEL, Simson. Digital forensics research: The next 10 years. Digital Investigation, v. 7, p. S64–S73, 2010. Available at: https://doi.org/10.1016/j.diin.2010.05.009

GARTNER. Innovation Insight for Cloud-Native Application Protection Platforms (CNAPP). 2023. Available at: https://www.gartner.com

LOLBAS PROJECT. Living Off The Land Binaries and Scripts. 2024. Available at: https://lolbas-project.github.io

MANDIANT. M‑Trends 2023: Special Report. 2023. Available at: https://www.mandiant.com/resources/m-trends

MITRE. ATT&CK Framework. 2023. Available at: https://attack.mitre.org

MOUSTAFA, Nour; SLAY, Jill. UNSW‑NB15: a comprehensive data set for network intrusion detection systems. Military Communications and Information Systems Conference, 2015. Available at: https://doi.org/10.1109/MilCIS.2015.7348942

NIST. National Vulnerability Database: CVE‑2021‑44228. 2021. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

NIST. Guide to Intrusion Detection and Prevention Systems (SP 800‑94). 2012. Available at: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-94.pdf

NIST. Computer Security Incident Handling Guide (SP 800‑61r2). 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf

OISF. Suricata 7 Documentation. 2023. Available at: https://docs.suricata.io

PAXSON, Vern. Bro: A system for detecting network intruders in real-time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Available at: https://doi.org/10.1016/S1389-1286(99)00112-7

ROESCH, Martin. Snort: Lightweight intrusion detection for networks. Proceedings of LISA, 1999. Available at: https://www.usenix.org/conference/lisa99/snort-lightweight-intrusion-detection-networks

SHARAFALDIN, Iman; HABIBI LASHKARI, Arash; GHORBANI, Ali. Toward generating a new intrusion detection dataset. ICISSP, 2018. Available at: https://doi.org/10.5220/0006639801080116

SIGMA HQ. Sigma: Generic Signature Format for SIEM Systems. 2024. Available at: https://sigmahq.io

SOMMER, Robin; PAXSON, Vern. Outside the closed world: On using machine learning for network intrusion detection. IEEE Symposium on Security and Privacy, 2010. Available at: https://doi.org/10.1109/SP.2010.25

VOLATILITY FOUNDATION. Volatility 3 Framework Documentation. 2023. Available at: https://volatility3.readthedocs.io

MICROSOFT. Sysmon Documentation. 2024. Available at: https://learn.microsoft.com/sysinternals/downloads/sysmon

ELASTIC. Elastic Common Schema (ECS) Reference. 2024. Available at: https://www.elastic.co/guide/en/ecs/current

APACHE SOFTWARE FOUNDATION. Apache Kafka Documentation. 2024. Available at: https://kafka.apache.org/documentation

HOILAND-JORGENSEN, Toke et al. The eBPF ecosystem: High-performance kernel networking. Communications of the ACM, 2021. Available at: https://doi.org/10.1145/3472680

MITRE ENGNUITY. ATT&CK Evaluations Methodology. 2023. Available at: https://attackevals.mitre-engenuity.org

CISA. Secure by Design: Shifting the Balance of Cybersecurity Risk. 2023. Available at: https://www.cisa.gov/securebydesign