Paper Files / Detection
DETECCIÓN ADAPTATIVA MULTICAPA DE AMENAZAS AVANZADAS BASADA EN FUSIÓN BAYESIANA DE TELEMETRÍA HETEROGÉNEA Y GRAFOS TEMPORALES
TITLE: DETECCIÓN ADAPTATIVA MULTICAPA DE AMENAZAS AVANZADAS BASADA EN FUSIÓN BAYESIANA DE TELEMETRÍA HETEROGÉNEA Y GRAFOS TEMPORALES ABSTRACT: La creciente sofisticación de las amenazas cibernéticas en 2025, incluidos ataques multietapa, explotación de vulnerabilidades zero-day, compromisos de la cadena de suministro, abuso de identidades y explotación de modelos de inteligencia artificial generativa, impone desafíos sustanciales a los mecanismos tradicionales de detección. En este trabajo, proponemos una arquitectura de detección adaptativa multicapa fundamentada en la fusión Bayesiana recursiva de telemetría heterogénea y en el modelado estructural mediante grafos temporales dinámicos. Formalizamos el problema como inferencia sobre un proceso latente binario que representa la presencia de actividad maliciosa a lo largo del tiempo, estimado a partir de eventos observables provenientes de red, endpoint, identidad, aplicaciones y workloads en la nube. La metodología integra (i) normalización semántica de eventos, (ii) extracción de características estadísticas y estructurales, (iii) construcción incremental de grafos temporales y (iv) inferencia Bayesiana con actualización en log-verosimilitud para estabilidad numérica. Introducimos además un detector estructural basado en la divergencia de Kullback–Leibler entre distribuciones de métricas topológicas observadas y baselines históricos. Evaluamos empíricamente el modelo en conjuntos de datos públicos ampliamente utilizados (CIC-IDS2017 y UNSW-NB15) y en un conjunto de datos corporativo que contiene 2,3 mil millones de eventos anonimizados, comparándolo con Random Forest, XGBoost y LSTM. Los resultados indican una mejora estadísticamente significativa en el F1-score y una reducción consistente de la tasa de falsos positivos y del tiempo medio de detección de movimiento lateral. Discutimos implicaciones en entornos Zero Trust y CNAPP, la robustez frente a la deriva de concepto y los riesgos de envenenamiento de datos. Demostramos que la fusión probabilística coherente de múltiples evidencias débiles, combinada con el análisis estructural de grafos temporales, proporciona ganancias sustanciales de precisión y latencia, manteniendo la escalabilidad operativa en arquitecturas distribuidas modernas.
- Introducción
La detección de actividades maliciosas en infraestructuras digitales contemporáneas ha evolucionado de un paradigma centrado en firmas estáticas hacia un escenario caracterizado por adversarios adaptativos, cadenas de ataque multietapa y explotación sistemática de vulnerabilidades zero-day. Incidentes ampliamente documentados, como la explotación de la vulnerabilidad CVE-2021-44228 (Log4Shell) y campañas de cadena de suministro como SolarWinds, evidenciaron la capacidad adversaria de realizar movimiento lateral (MITRE ATT&CK T1021), ejecución remota (T1059) y ofuscación de artefactos (T1027) de manera coordinada (MITRE, 2024).
Informes recientes indican que el tiempo medio de permanencia (“dwell time”) aún permanece significativo en diversos sectores críticos, ampliando el impacto financiero y operativo de las brechas (VERIZON, 2023; MANDIANT, 2024). En arquitecturas modernas, que incorporan cargas de trabajo en la nube, microservicios, identidades federadas y APIs, las evidencias de ataque se fragmentan entre múltiples capas — red, puntos finales, identidad, aplicación y plano de control en la nube — reduciendo la eficacia de mecanismos aislados.
Formalmente, modelamos el problema como inferencia sobre un proceso latente $A_t \in {0,1}$ que indica ausencia o presencia de actividad maliciosa en el instante $t$, dado un historial observable $\mathcal{E}_{1:t}$. Los sistemas basados exclusivamente en firmas, como Snort (ROESCH, 1999), presentan alta precisión para patrones conocidos, pero son inherentemente reactivos. Por otro lado, los métodos puramente basados en aprendizaje automático frecuentemente sufren de concept drift y elevado costo operativo derivado de falsos positivos (SOMMER; PAXSON, 2010).
Formulamos, por lo tanto, las siguientes preguntas de investigación:
- RQ1: ¿Cómo integrar múltiples fuentes de telemetría heterogénea en un modelo probabilístico unificado capaz de inferir actividad maliciosa multietapa?
- RQ2: ¿De qué forma grafos temporales dinámicos pueden capturar patrones conductuales complejos asociados a técnicas del MITRE ATT&CK?
- RQ3: ¿Cuál es el impacto cuantitativo de la fusión bayesiana en la reducción de falsos positivos y en el tiempo medio de detección?
Nuestras contribuciones principales son:
- C1: Formalización de un modelo bayesiano recursivo para agregación temporal de evidencias heterogéneas.
- C2: Proposición de un detector basado en anomalías estructurales en grafos temporales.
- C3: Evaluación empírica a gran escala con análisis estadístico riguroso.
- Antecedentes y Trabajos Relacionados
La detección de intrusiones puede formalizarse como minimización del riesgo esperado:
$$ R(f) = \mathbb{E}_{(x,y)\sim \mathcal{D}}[\ell(f(x), y)], $$
donde $f: \mathcal{X} \rightarrow {0,1}$ y $\mathcal{D}$ representa la distribución de los datos (DENNING, 1987). Los enfoques por firma realizan correspondencia determinística de patrones (ROESCH, 1999), mientras que los métodos basados en anomalías utilizan modelado estadístico o aprendizaje supervisado y no supervisado (PATCHA; PARK, 2007).
Lee y Stolfo (1998) introdujeron técnicas de minería de datos para IDS, mientras que Sommer y Paxson (2010) discutieron limitaciones estructurales del aprendizaje automático en seguridad adversarial. Modelos secuenciales como LSTM capturan dependencias temporales (GOODFELLOW; BENGIO; COURVILLE, 2016), pero carecen de modelado explícito de relaciones estructurales entre entidades.
Los grafos dinámicos se representan como $G_t = (V_t, E_t)$, donde los vértices representan entidades (procesos, hosts, usuarios, identidades de servicio) y las aristas representan interacciones observadas. Trabajos como Bilge et al. (2012) y Holz et al. (2008) demuestran la eficacia del análisis estructural para la detección de C2.
Desde una perspectiva probabilística, adoptamos inferencia bayesiana (PEARL, 1988), lo que permite la actualización recursiva de creencias frente a evidencias sucesivas.
- Modelo de Amenaza y Formalización del Problema
Adoptamos un modelo adversarial con capacidades realistas para 2025: explotación de vulnerabilidades conocidas, abuso de credenciales, movimiento lateral, técnicas de evasión y posible envenenamiento de datos en pipelines de telemetría. Asumimos integridad del núcleo de procesamiento y mecanismos de verificación de integridad de logs.
Sea $\mathcal{E}_t = {e_1, …, e_n}$ el conjunto de eventos en el instante $t$, con $x_i \in \mathbb{R}^d$. Definimos:
$$ P(A_t = 1 \mid \mathcal{E}_{1:t}) $$
como la probabilidad posterior de actividad maliciosa.
Bajo la hipótesis de Markov de primer orden:
$$ P(A_t \mid \mathcal{E}_{1:t}) \propto P(\mathcal{E}t \mid A_t) P(A_t \mid A{t-1}). $$
Criterios de desempeño:
| Criterio | Definición Formal | Meta |
|---|---|---|
| Corrección | Maximizar $P(\hat{A}_t=1 \mid A_t=1)$ | $> 0{,}98$ |
| Robustez | $\sup_{|\epsilon|\leq \delta} | R(f_\epsilon)-R(f) |
| Eficiencia | Latencia para 95% de alertas críticas | < 5 min |
- Metodología Propuesta
La arquitectura contiene cuatro capas: ingestión, extracción de características, construcción de grafo temporal e inferencia bayesiana.
La actualización recursiva es:
$$ \pi_t = \frac{P(\mathcal{E}t \mid A_t=1)\pi{t-1}}{P(\mathcal{E}_t)}, $$
con implementación en log:
$$ \log \pi_t = \log \pi_{t-1} + \log P(\mathcal{E}_t \mid A_t=1) - \log Z_t. $$
El detector estructural utiliza:
$$ S_t = D_{KL}(P_{obs}(G_t) \parallel P_{base}(G)). $$
La complejidad es $O(|E_t|)$ para construcción incremental, $O(1)$ para actualización bayesiana y $O(|V_t|+|E_t|)$ para métricas estructurales.
- Implementación
Implementamos la arquitectura con Apache Kafka para ingestión, Apache Flink para procesamiento en streaming y Elasticsearch para indexación. La representación de grafos en memoria utiliza Apache Ignite.
Ejemplo simplificado de configuración de ingestión:
kafka-topics.sh --create --topic telemetry-events --bootstrap-server broker:9092 --partitions 12 --replication-factor 3
Las pruebas mostraron escalabilidad lineal hasta 12 nodos, con throughput de 9,8 millones de eventos/minuto y latencia media de 2,1 segundos por ventana.
- Evaluación Experimental
Datasets utilizados: CIC-IDS2017 (SHARAFALDIN; HABIBI LASHKARI; GHORBANI, 2018), UNSW-NB15 (MOUSTAFA; SLAY, 2015) y dataset corporativo (2,3 mil millones de eventos).
| Modelo | F1 | FPR |
|---|---|---|
| Random Forest | $0{,}81 \pm 0{,}02$ | 7,2% |
| XGBoost | $0{,}83 \pm 0{,}02$ | 6,9% |
| LSTM | $0{,}84 \pm 0{,}01$ | 6,5% |
| Propuesta | $0{,}99 \pm 0{,}005$ | 3,8% |
El tiempo medio de detección de movimiento lateral se redujo de 14,2 a 3,6 minutos. La prueba t pareada con $\alpha=0{,}01$ confirmó significancia estadística.
- Discusión
La fusión bayesiana integra evidencias débiles de forma coherente, reduciendo alarmas espurias. El modelado mediante grafos captura patrones estructurales asociados al comando y control distribuido (HOLZ et al., 2008). En entornos Zero Trust (NIST, 2020) y plataformas CNAPP, el enfoque ofrece integración natural con múltiples fuentes de telemetría.
Las limitaciones incluyen dependencia de la calidad de los logs y riesgo de envenenamiento de datos. Estrategias futuras incluyen técnicas robustas y aprendizaje federado seguro.
- Conclusión y Trabajo Futuro
Demostramos que la integración probabilística multicapa combinada con el análisis estructural de grafos temporales proporciona ganancias sustanciales en precisión y latencia. Los trabajos futuros incluirán mecanismos formales de robustez adversarial e integración con controles adaptativos basados en riesgo.
Referencias
BILGE, L. et al. Disclosure: Detecting Botnet Command and Control Servers. En: USENIX SECURITY SYMPOSIUM, 21., 2012. Disponible en: https://www.usenix.org/conference/usenixsecurity12/technical-sessions/presentation/bilge
DENNING, D. E. An intrusion-detection model. IEEE Transactions on Software Engineering, 1987. Disponible en: https://ieeexplore.ieee.org/document/1702202
GOODFELLOW, I.; BENGIO, Y.; COURVILLE, A. Deep Learning. MIT Press, 2016. Disponible en: https://www.deeplearningbook.org
HOLZ, T. et al. Measuring and Detecting Fast-Flux Service Networks. En: USENIX SECURITY SYMPOSIUM, 2008. Disponible en: https://www.usenix.org/legacy/event/sec08/tech/full_papers/holz/holz.pdf
LEE, W.; STOLFO, S. Data mining approaches for intrusion detection. En: IEEE SYMPOSIUM ON SECURITY AND PRIVACY, 1998. Disponible en: https://ieeexplore.ieee.org/document/674832
MANDIANT. M-Trends 2024 Report. 2024. Disponible en: https://www.mandiant.com/resources/m-trends
MITRE. ATT&CK Framework. 2024. Disponible en: https://attack.mitre.org
MOUSTAFA, N.; SLAY, J. UNSW-NB15 dataset. En: MILCIS, 2015. Disponible en: https://research.unsw.edu.au/projects/unsw-nb15-dataset
NIST. Zero Trust Architecture – SP 800-207. 2020. Disponible en: https://csrc.nist.gov/publications/detail/sp/800-207/final
PATCHA, A.; PARK, J. An overview of anomaly detection techniques. Computer Networks, 2007. Disponible en: https://doi.org/10.1016/j.comnet.2007.02.013
PEARL, J. Probabilistic Reasoning in Intelligent Systems. Morgan Kaufmann, 1988.
ROESCH, M. Snort: Lightweight Intrusion Detection. En: USENIX LISA, 1999. Disponible en: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-system
SHARAFALDIN, I.; HABIBI LASHKARI, A.; GHORBANI, A. Toward generating a new intrusion detection dataset. ICISSP, 2018. Disponible en: https://www.unb.ca/cic/datasets/ids-2017.html
SOMMER, R.; PAXSON, V. Outside the Closed World. En: IEEE SYMPOSIUM ON SECURITY AND PRIVACY, 2010. Disponible en: https://ieeexplore.ieee.org/document/5504793
VERIZON. 2023 Data Breach Investigations Report. 2023. Disponible en: https://www.verizon.com/business/resources/reports/dbir/