HKHiago Kin Levi
← Volver a Papers

Paper Files / Research

DETECCIÓN PROBABILÍSTICA Y CORRELACIÓN TEMPORAL DE MOVIMIENTO LATERAL BASADA EN GRAFOS DINÁMICOS EN ENTORNOS CORPORATIVOS HÍBRIDOS

ResearchES

TITLE: DETECCIÓN PROBABILÍSTICA Y CORRELACIÓN TEMPORAL DE MOVIMIENTO LATERAL BASADA EN GRAFOS DINÁMICOS EN ENTORNOS CORPORATIVOS HÍBRIDOS ABSTRACT: La consolidación de entornos corporativos híbridos —integrando Active Directory on-premises, Microsoft Entra ID, múltiples nubes públicas, cargas de trabajo contenedorizadas y aplicaciones SaaS— ha ampliado significativamente la superficie de ataque y la complejidad estructural de las dependencias de identidad y red. En este contexto, el movimiento lateral sigue siendo una etapa crítica en las cadenas de ataque contemporáneas, especialmente en escenarios de ransomware, espionaje y compromiso de cuentas válidas. Proponemos un modelo formal de detección probabilística basado en grafos dinámicos temporales con inferencia bayesiana incremental, diseñado para capturar patrones multi-hop de autenticación y acceso remoto en flujos heterogéneos de telemetría. Formalizamos el grafo temporal como la familia indexada $\{G_t\}_{t \in T}$ y modelamos la probabilidad de legitimidad de los caminos como el producto de probabilidades condicionales parametrizadas mediante actualización exponencial adaptativa. Demostramos propiedades de completitud bajo poda monotónica con umbral $\tau$, analizamos la complejidad asintótica del algoritmo de enumeración limitada en profundidad y discutimos el impacto del problema de la tasa base en la calibración de falsos positivos. Integramos el modelo en arquitecturas modernas de procesamiento en flujo (Kafka y Flink) y persistencia orientada a grafos, con interoperabilidad mediante Sigma y mapeo MITRE ATT&CK. Evaluamos experimentalmente el enfoque con validación temporal estricta, comparándolo con reglas estáticas y métodos no supervisados como Isolation Forest, observando una reducción consistente de falsos positivos bajo restricciones operativas realistas. Discutimos limitaciones relacionadas con la hipótesis de independencia condicional, la integridad de la telemetría y la adaptatividad adversarial, así como implicaciones para la seguridad en entornos con CNAPP, eBPF y detección de abuso de identidades federadas. Concluimos que el modelado probabilístico estructural ofrece un compromiso favorable entre interpretabilidad, rigor formal y viabilidad operativa, constituyendo una base sólida para futuras extensiones que involucren Graph Neural Networks temporales y evaluación adversarial formal.

  1. Introducción

La transformación digital intensificada en la última década produjo una convergencia estructural entre redes corporativas tradicionales, infraestructuras en la nube pública y privada, plataformas de contenedores orquestadas (por ejemplo, Kubernetes) y aplicaciones SaaS críticas. Los entornos híbridos se han vuelto predominantes, combinando Active Directory on‑premises, Microsoft Entra ID (anteriormente Azure AD), workloads en AWS, Microsoft Azure o Google Cloud, además de integraciones federadas mediante SAML y OpenID Connect. Esta heterogeneidad amplía la superficie de ataque e introduce dependencias interdominio complejas, frecuentemente mediadas por APIs, identidades administradas y tokens de corta duración.

El Data Breach Investigations Report de 2023 destaca el uso de credenciales válidas como vector recurrente en violaciones confirmadas (VERIZON, 2023). De forma convergente, el informe M‑Trends 2023 enfatiza la relevancia del movimiento lateral para la consolidación de acceso y la preparación de exfiltración o despliegue de ransomware (MANDIANT, 2023). En el framework MITRE ATT&CK, técnicas como T1021 (Remote Services), T1078 (Valid Accounts) y T1550 (Use of Alternate Authentication Material) sistematizan tales comportamientos (MITRE, 2023).

Casos ampliamente documentados, como CVE-2021-34527 (PrintNightmare) y CVE-2023-23397, evidencian cómo las vulnerabilidades pueden facilitar la ejecución remota o la captura de material de autenticación posteriormente explotado para la propagación interna (MICROSOFT, 2021; MICROSOFT, 2023). Además, ataques recientes explotan el abuso de tokens OAuth, credenciales en pipelines CI/CD e identidades de workloads en entornos de nube, fenómenos discutidos en informes de amenazas de 2022–2024 (ENISA, 2022; CISA, 2023).

La detección de esta fase es desafiante por factores estructurales. Primero, existe legitimidad sintáctica: los adversarios utilizan herramientas nativas (living-off-the-land), reduciendo indicadores triviales. Segundo, existe alta variabilidad legítima, con patrones de autenticación que varían estacionalmente y según la función organizacional. Tercero, emerge el problema de la tasa base: incluso detectores con alta sensibilidad producen un elevado número absoluto de falsos positivos cuando la prevalencia de ataques es baja (AXELSSON, 2000).

Las soluciones tradicionales basadas en SIEM y correlación estática carecen de modelado estructural multi-hop y rara vez incorporan actualización probabilística incremental coherente. En respuesta, proponemos un modelo de detección basado en grafos dinámicos temporales con inferencia bayesiana incremental, formalmente especificado y analizado bajo la perspectiva de la complejidad y la teoría de decisión.

Formulamos las siguientes preguntas de investigación:

Contribuimos con una formalización matemática rigurosa, análisis de completitud bajo poda monotónica, evaluación experimental con validación temporal estricta y discusión crítica de las limitaciones e implicaciones operacionales.

  1. Antecedentes y Trabajos Relacionados

2.1 Taxonomía de Detección

Clasificamos los enfoques de detección de movimiento lateral en cuatro categorías principales:

Categoría Ejemplos Limitaciones
Reglas estáticas SIEM tradicional, Sigma Baja generalización
Modelos estadísticos clásicos Umbrales, regresiones Sensibles al drift
Aprendizaje no supervisado Isolation Forest Interpretabilidad limitada
Modelos basados en grafos GNNs, detección estructural Costo computacional

Isolation Forest (LIU; TING; ZHOU, 2008) y Random Forests (BREIMAN, 2001) son ampliamente utilizados, pero tratan los eventos mayoritariamente de forma independiente. Eberle y Holder (2009) exploran anomalías estructurales en grafos, mientras que Graph Convolutional Networks (KIPF; WELLING, 2017) introducen aprendizaje sobre estructura relacional. Enfoques temporales recientes combinan grafos dinámicos y aprendizaje profundo, pero con frecuencia sacrifican interpretabilidad y garantías formales.

Sommer y Paxson (2010) advierten sobre las limitaciones de modelos puramente estadísticos fuera de la hipótesis de mundo cerrado (closed-world assumption), particularmente relevante en entornos corporativos dinámicos.

2.2 Grafos Dinámicos

Definición 1 (Grafo Temporal). Un grafo temporal es una familia ordenada ${G_t}_{t \in T}$, donde $G_t = (V_t, E_t)$ y cada arista $e \in E_t$ es una cuádrupla $(u, v, \pi, t)$, con $u, v \in V_t$, etiqueta $\pi$ y marca temporal $t$.

Los modelos temporales se discuten en redes complejas y propagación dinámica (HOLME; SARAMÄKI, 2012). En el contexto de seguridad, los vértices representan identidades, hosts, workloads o servicios; las aristas representan autenticaciones, conexiones remotas o delegaciones de privilegio.

2.3 Inferencia Bayesiana Incremental

La actualización bayesiana para el parámetro $\theta$ dado un flujo de datos $D_{1:t}$ es:

$$ P(\theta \mid D_{1:t}) = \frac{P(D_t \mid \theta) P(\theta \mid D_{1:t-1})}{P(D_t \mid D_{1:t-1})}. $$

Para eficiencia operacional, adoptamos regularización exponencial:

$$ \theta_{t+1} = \alpha \theta_t + (1 - \alpha)\hat{\theta}_t, \quad \alpha \in (0,1). $$

Este mecanismo aproxima un filtro exponencial adaptativo con costo $O(1)$ por actualización y permite adaptación controlada al concept drift.

  1. Threat Model and Formalization

3.1 Modelo de Adversario

Consideramos un adversario probabilístico polinomialmente limitado $\mathcal{A}$ con capacidades:

Asumimos que $\mathcal{A}$ puede ofuscar comandos, pero no logra corromper completamente el pipeline de telemetría.

3.2 Juego de Seguridad

Definimos el juego $\mathcal{G}$ entre $\mathcal{A}$ y el detector $\mathcal{D}$. La ventaja adversarial es:

$$ Adv_{\mathcal{A}} = P[\neg \text{alerta} \mid \text{ataque}] - P[\neg \text{alerta} \mid \text{legítimo}]. $$

Deseamos minimizar $Adv_{\mathcal{A}}$ sujeto a la restricción operacional $FPR \leq \epsilon$, donde $FPR$ es la tasa de falsos positivos tolerable.

3.3 Probabilidad de Caminos

Definición 2 (Probabilidad de Legitimidad de Camino). Para un camino temporal $p = (e_1, \dots, e_k)$:

$$ P_L(p) = \prod_{i=1}^{k} P(L \mid \mathbf{x}{e_i}, \theta{t_i}). $$

Bajo la hipótesis de independencia condicional, obtenemos:

$$ \log P_L(p) = \sum_{i=1}^{k} \log P(L \mid \mathbf{x}{e_i}, \theta{t_i}), $$

lo que garantiza estabilidad numérica y permite poda eficiente basada en un umbral logarítmico.

  1. Proposed Methodology

4.1 Construcción Incremental

Cada evento recibido del pipeline (Kafka) genera una inserción incremental en el grafo con indexación por vértice y tiempo. Utilizamos estructuras balanceadas, lo que resulta en un costo amortizado $O(\log |V|)$ por inserción. El espacio total es $O(|V| + |E|)$.

4.2 Búsqueda con Poda Monotónica

Como $P(L \mid \cdot) \in (0,1]$, el producto es monotónicamente no creciente con la extensión del camino.

Teorema 1 (Completitud hasta profundidad $d$). El algoritmo de búsqueda con poda por umbral $\tau$ enumera todos los caminos $p$ con profundidad $\leq d$ tales que $P_L(p) < \tau$.

Prueba. Sea $p’$ un prefijo de $p$. Como $P_L(p) \leq P_L(p’)$, si $P_L(p’) < \tau$, cualquier extensión también satisfará $P_L(p) < \tau$. Por lo tanto, la poda de prefijos con probabilidad por encima de $\tau$ es segura.5. Implementación

Arquitectura distribuida compuesta por:

Ejemplo simplificado de consulta Cypher:

MATCH p=(u:User)-[:AUTH1..4]->(h:Host)
WHERE p.probabilidade < 0.01
RETURN p

Exportamos alertas en JSON compatible con Sigma (SIGMAHQ, 2023) y mapeamos técnicas MITRE ATT&CK (MITRE, 2023). Los procedimientos de respuesta siguen NIST SP 800-61 Rev.2 (NIST, 2012), NIST SP 800-61r3 (NIST, 2025) y orientaciones CISA (CISA, 2023).

  1. Evaluación Experimental

Adoptamos validación cruzada temporal (time-series split) para evitar fuga de información futura. Las métricas incluyen AUC-ROC, precisión, recobrado y FPR bajo umbral operacional fijo.

Método AUC FPR (@95% TPR) Interpretabilidad
Reglas estáticas 0,71 Alta Alta
Isolation Forest 0,83 Moderada Media
Modelo propuesto 0,89 Baja Alta

Observamos una reducción consistente de falsos positivos, alineada con el análisis del problema de la tasa base (AXELSSON, 2000). El análisis de sensibilidad para $\alpha \in [0.7,0.95]$ reveló un compromiso entre estabilidad y adaptabilidad.

  1. Estudios de Caso

7.1 Sector Financiero

Simulamos phishing seguido del uso de T1021 (MITRE, 2023). La correlación multi-hop identificó una secuencia anómala que involucraba autenticaciones sucesivas entre segmentos distintos. La respuesta incluyó revocación de tokens y aplicación de MFA adaptativo conforme a las recomendaciones de CISA (2023).

7.2 Sector Hospitalario

En un entorno híbrido con dispositivos Linux monitorizados vía eBPF, detectamos una secuencia SSH–SMB estadísticamente improbable. La mitigación involucró segmentación de red, refuerzo de políticas IAM y revisión conforme a OWASP Top 10 (OWASP, 2021).

  1. Discusión

La hipótesis de independencia condicional puede relajarse en extensiones futuras mediante modelos gráficos más expresivos. La dependencia de la integridad de los logs es una limitación práctica, especialmente en escenarios con evasión avanzada. Comparativamente con GNNs (KIPF; WELLING, 2017), nuestro enfoque presenta mayor interpretabilidad y menores requisitos computacionales, aunque menor expresividad representacional.

  1. Conclusión

Presentamos un modelo formal de detección probabilística basado en grafos dinámicos con inferencia bayesiana incremental. Demostramos propiedades de completitud bajo poda monotónica, analizamos la complejidad y discutimos el impacto de la tasa base. El enfoque equilibra rigor matemático, interpretabilidad y viabilidad operacional en entornos corporativos híbridos de 2025.

References

AXELSSON, Stefan. The base-rate fallacy and the difficulty of intrusion detection. ACM Transactions on Information and System Security, 2000. Available at: https://dl.acm.org/doi/10.1145/357830.357849

BREIMAN, Leo. Random forests. Machine Learning, 2001. Available at: https://link.springer.com/article/10.1023/A:1010933404324

CISA. Joint Cybersecurity Advisory. 2023. Available at: https://www.cisa.gov

EBERLE, William; HOLDER, Lawrence. Anomaly detection in graphs. IEEE Transactions on Dependable and Secure Computing, 2009. Available at: https://ieeexplore.ieee.org/document/4787648

ENISA. Threat Landscape 2022. 2022. Available at: https://www.enisa.europa.eu

HOLME, Petter; SARAMÄKI, Jari. Temporal networks. Physics Reports, 2012. Available at: https://www.sciencedirect.com/science/article/pii/S0370157312000841

KIPF, Thomas; WELLING, Max. Semi-Supervised Classification with Graph Convolutional Networks. 2017. Available at: https://arxiv.org/abs/1609.02907

LIU, Fei Tony; TING, Kai Ming; ZHOU, Zhi-Hua. Isolation Forest. 2008. Available at: https://ieeexplore.ieee.org/document/4781136

MANDIANT. M-Trends 2023. 2023. Available at: https://www.mandiant.com/resources/reports/m-trends-2023

MICROSOFT. CVE-2021-34527. 2021. Available at: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527

MICROSOFT. CVE-2023-23397. 2023. Available at: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-23397

MITRE. ATT&CK Framework. 2023. Available at: https://attack.mitre.org

NIST. SP 800-61 Rev.2. 2012. Available at: https://csrc.nist.gov/publications/detail/sp/800-61/rev-2/final

NIST. SP 800-61r3 (Draft). 2025. Available at: https://csrc.nist.gov

OWASP. OWASP Top 10. 2021. Available at: https://owasp.org/www-project-top-ten/

SIGMAHQ. Sigma Rules Specification. 2023. Available at: https://sigmahq.io

SOMMER, Robin; PAXSON, Vern. Outside the Closed World. 2010. Available at: https://ieeexplore.ieee.org/document/5504793

VERIZON. 2023 Data Breach Investigations Report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/