TÍTULO: Arquitectura Híbrida Escalable para Detección y Caza de Amenazas Basada en Telemetría Multicapa y Correlación Orientada al MITRE ATT&CK

TÍTULO: Arquitectura Híbrida Escalable para Detección y Caza de Amenazas Basada en Telemetría Multicapa y Correlación Orientada al MITRE ATT&CK RESUMEN: La expansión acelerada de los entornos digitales corporativos, impulsada por la adopción de computación en la nube, arquitecturas híbridas, microservicios e integraciones vía APIs, ha transformado profundamente el panorama de la seguridad de la información. La superficie de ataque contemporánea se ha vuelto altamente distribuida y dinámica, lo que dificulta la detección temprana de intrusiones mediante mecanismos tradicionales basados exclusivamente en firmas. Los ataques modernos suelen seguir cadenas complejas de tácticas, técnicas y procedimientos (TTPs), a menudo distribuidas entre múltiples capas de infraestructura, incluidos endpoints, redes, identidades y servicios en la nube. En este contexto, los enfoques aislados de detección —como SIEMs basados en reglas estáticas o soluciones EDR sin correlación contextual— aprese

Introducción

La superficie de ataque corporativa se expandió exponencialmente en la última década debido a la adopción masiva de la computación en la nube, arquitecturas híbridas, trabajo remoto, plataformas SaaS e integraciones extensivas mediante APIs. Esta transformación digital amplió significativamente la complejidad operativa de los entornos de TI y, en consecuencia, los desafíos relacionados con la detección de amenazas.

Informes recientes indican que el factor humano sigue siendo uno de los principales vectores de compromiso. El informe Data Breach Investigations Report de 2024 señala que aproximadamente el 68% de las violaciones de seguridad involucran algún tipo de interacción humana, frecuentemente asociada al uso indebido o al compromiso de credenciales válidas (VERIZON, 2024). Este escenario demuestra que los atacantes explotan con frecuencia identidades legítimas para moverse lateralmente dentro de las redes corporativas.

Los ataques contemporáneos rara vez se limitan a una sola técnica. En cambio, siguen secuencias estructuradas de TTPs (Tactics, Techniques and Procedures) que reflejan la progresión operacional del adversario dentro del entorno comprometido. El framework MITRE ATT&CK se ha consolidado como una de las principales taxonomías para modelar estas actividades adversarias, ofreciendo una base estructurada para el análisis conductual y la correlación de eventos (MITRE, 2023).

Incidentes ampliamente documentados ilustran esta evolución. El compromiso de la cadena de suministro de SolarWinds evidenció cómo los atacantes pueden insertar código malicioso en procesos legítimos de distribución de software, seguido de un movimiento lateral sigiloso y del abuso de tokens de autenticación federada. De manera similar, la vulnerabilidad Log4Shell (CVE-2021-44228) demostró cómo una falla de ejecución remota de código puede ser explotada para desplegar cargas adicionales, como web shells, criptomineros o frameworks de pos-explotación.

En ambos casos, los mecanismos tradicionales de detección basados exclusivamente en firmas se mostraron insuficientes para identificar las etapas iniciales de la intrusión. Los sistemas SIEM con frecuencia dependen de reglas estáticas —como las Sigma rules convertidas a lenguajes de consulta específicos— que pueden generar un elevado volumen de falsos positivos o fallar en la identificación de ataques sofisticados.

Adicionalmente, las soluciones de Endpoint Detection and Response (EDR) a menudo operan de forma aislada, sin correlación directa con eventos de red, autenticación o infraestructura en la nube. Esta fragmentación reduce la capacidad analítica de los equipos de Security Operations Center (SOC).

Frente a este contexto, formulamos las siguientes preguntas de investigación:

RQ1: ¿Cómo modelar formalmente la correlación entre eventos heterogéneos de seguridad de manera que represente progresiones reales de ataque?

RQ2: ¿Cuál es el impacto cuantitativo de la integración de telemetría multicapa en la reducción del tiempo medio de detección (MTTD) y de la tasa de falsos positivos?

RQ3: ¿Es posible mantener la escalabilidad operacional en entornos de gran volumen de datos sin comprometer el rendimiento analítico?

Las principales contribuciones de este trabajo son:

C1: Proponemos un modelo matemático basado en grafos dirigidos ponderados para representar cadenas de ataque orientadas a MITRE ATT&CK.

C2: Desarrollamos algoritmos de agregación temporal y cálculo de riesgo acumulado para la correlación de eventos distribuidos.

C3: Implementamos una arquitectura funcional basada en herramientas ampliamente utilizadas en la industria y evaluamos empíricamente su desempeño en escenarios realistas de intrusión.

El resto del artículo está organizado de la siguiente manera: la Sección 2 presenta fundamentos teóricos y trabajos relacionados; la Sección 3 describe el modelo de amenaza y la formalización del problema; la Sección 4 detalla la metodología propuesta; la Sección 5 discute la implementación de la arquitectura; la Sección 6 presenta la evaluación experimental; la Sección 7 describe un estudio de caso; la Sección 8 discute implicaciones y limitaciones; la Sección 9 concluye el trabajo.

Antecedentes y trabajos relacionados

La detección de intrusiones puede modelarse formalmente como un problema de clasificación sobre un conjunto de eventos observables provenientes de múltiples fuentes de telemetría. Consideremos un conjunto de eventos:

$E = {e_1, e_2, …, e_n}$

donde cada evento $e_i$ se describe mediante un vector de atributos:

$(a_1, a_2, …, a_k)$

Los modelos tradicionales de detección aplican una función de clasificación:

$f: E \rightarrow {0,1}$

en la cual $0$ representa comportamiento benigno y $1$ representa actividad maliciosa.

Sistemas basados en firmas

Los sistemas de detección basados en firmas dependen de la identificación de patrones previamente conocidos en el tráfico o en los registros. Uno de los ejemplos más conocidos es Snort, presentado por Roesch (1999), que utiliza reglas estructuradas para detectar tráfico malicioso en redes.

Aunque son eficaces frente a amenazas conocidas, tales sistemas presentan limitaciones significativas ante ataques polimórficos o técnicas de evasión.

Detección basada en anomalías

Los enfoques basados en anomalías buscan identificar desviaciones respecto de patrones normales de comportamiento. Estas técnicas pueden utilizar métodos estadísticos, aprendizaje automático o redes neuronales profundas.

Sommer y Paxson (2010) destacan, sin embargo, que los sistemas puramente basados en anomalías a menudo presentan altas tasas de falsos positivos en entornos operativos complejos, especialmente cuando la variabilidad legítima del comportamiento es elevada.

Modelado de ataques basado en grafos

Los grafos de ataque representan posibles caminos de explotación que un adversario puede seguir dentro de un entorno comprometido. Estas estructuras permiten modelar dependencias entre vulnerabilidades, privilegios y recursos.

Investigaciones recientes demuestran que los grafos de ataque pueden mejorar significativamente el análisis de progresiones adversarias, especialmente cuando se combinan con frameworks conductuales como MITRE ATT&CK (ZHANG et al., 2021).

Telemetría multicapa

Las herramientas modernas de observabilidad de seguridad proporcionan visibilidad granular en diferentes capas del sistema:

Sysmon registra eventos detallados del sistema operativo Windows (RUSSINOVICH; IONESCU, 2023)
Suricata actúa como IDS/IPS de alto rendimiento para la inspección de tráfico de red (OISF, 2023)
Zeek proporciona análisis conductual de protocolos de red (PAXSON, 1999)

A pesar de la disponibilidad de estas fuentes de datos, muchas organizaciones aún carecen de mecanismos eficientes para correlacionar eventos entre diferentes capas de infraestructura.

Seguridad en entornos nativos de la nube

Con la adopción masiva de arquitecturas cloud-native, surgieron nuevas categorías de plataformas de seguridad, incluidas las Cloud-Native Application Protection Platforms (CNAPP). Estas plataformas integran capacidades tradicionalmente separadas, como:

Cloud Security Posture Management (CSPM)
Cloud Workload Protection Platforms (CWPP)
Container Security
Infrastructure-as-Code scanning

La convergencia de estas tecnologías amplía la visibilidad sobre workloads distribuidos, pero también genera volúmenes masivos de telemetría que deben correlacionarse de forma eficiente.

Observabilidad con eBPF

Recientemente, el uso de extended Berkeley Packet Filter (eBPF) se ha convertido en un enfoque prometedor para la recolección de telemetría de bajo overhead en entornos Linux. Los programas eBPF pueden ejecutarse en el kernel para capturar eventos como:

creación de procesos
llamadas al sistema
conexiones de red
manipulación de archivos

Esta capacidad permite observar comportamientos maliciosos con una granularidad significativamente mayor.

Amenazas emergentes asociadas a IA

La aparición de modelos de lenguaje de gran escala (LLMs) también ha introducido nuevas superficies de ataque. Entre los vectores emergentes destacan:

prompt injection
data poisoning en pipelines de entrenamiento
exfiltración de datos sensibles mediante consultas adversariales

Estas amenazas refuerzan la necesidad de mecanismos avanzados de detección conductual que trasciendan los modelos tradicionales basados únicamente en firmas.

Modelo de amenaza y formalización del problema

Asumimos un adversario con las siguientes capacidades:

Explotación inicial mediante vulnerabilidades remotas
Ejecución arbitraria de código en sistemas comprometidos
Escalada de privilegios locales
Movimiento lateral entre hosts
Exfiltración de datos por canales cifrados

Modelamos el entorno observable como un grafo dirigido:

$G = (V, E)$

donde:

$V$ representa técnicas del framework MITRE ATT&CK
$E$ representa transiciones posibles entre técnicas observadas

Cada técnica posee un peso asociado $w_i$ que representa su impacto potencial dentro de la cadena de ataque.

Definimos la función de riesgo acumulado:

$$ R(t) = \sum_{i=1}^{n} w_i \cdot \delta(e_i, t) $$

donde:

$w_i$ representa el peso asociado a la técnica detectada
$\delta(e_i, t)$ es una función indicadora que toma valor 1 cuando el evento $e_i$ ocurre dentro de la ventana temporal considerada.

Se genera una alerta cuando:

$$ R(t) \geq \theta $$

donde $\theta$ representa un umbral de riesgo configurable.

3.1 Análisis extendido del modelo de amenaza

El modelado tradicional presentado anteriormente considera únicamente secuencias lineales de técnicas ATT&CK. Sin embargo, los entornos corporativos modernos requieren una representación más amplia que incluya:

múltiples caminos de explotación
dependencias condicionales entre técnicas
superficies híbridas (endpoint, red y nube)

Podemos representar la progresión adversaria como un árbol de ataque.

graph TD

A[Initial Access]
A --> B[Phishing]
A --> C[Exploit Public-Facing App]

B --> D[Credential Harvesting]
C --> D

D --> E[Privilege Escalation]

E --> F[Lateral Movement]
F --> G[Domain Controller Compromise]

G --> H[Data Exfiltration]
G --> I[Ransomware Deployment]

En este modelo, diferentes vectores de acceso inicial pueden converger hacia un conjunto común de acciones posteriores a la explotación.

Matriz de riesgo

La evaluación de riesgo puede modelarse considerando dos dimensiones principales:

probabilidad de ocurrencia
impacto operativo

La Tabla 3 presenta una matriz simplificada.

Técnica ATT&CK	Probabilidad	Impacto	Score
Phishing	Alta	Medio	0.72
Credential Dumping	Media	Alto	0.81
Lateral Movement	Media	Alto	0.79
Data Exfiltration	Baja	Crítico	0.84

Podemos definir formalmente el riesgo como:

$$ Risk = P(e) \times Impact(e) $$

donde:

$P(e)$ representa la probabilidad estimada de ocurrencia del evento
$Impact(e)$ representa el impacto operativo estimado.

Modelado probabilístico de cadenas de ataque

Considere una cadena de técnicas $T = {t_1, t_2, …, t_n}$.

La probabilidad conjunta de compromiso puede aproximarse por:

$$ P(T) = \prod_{i=1}^{n} P(t_i | t_{i-1}) $$

Esta formulación permite estimar la probabilidad de progresión de un ataque a lo largo del grafo.

Metodología propuesta

La arquitectura propuesta sigue un modelo de pipeline distribuido compuesto por cuatro capas principales:

Recolección de telemetría
Normalización y enriquecimiento
Correlación conductual
Visualización e investigación

Capa de recolección

La recolección de eventos se realiza mediante múltiples sensores distribuidos:

Sysmon para telemetría de procesos y del sistema
Suricata para inspección de tráfico
Zeek para análisis de protocolos
Registros de identidad y autenticación

Normalización

Los eventos son procesados por pipelines de ingesta basados en Logstash y Kafka, lo que permite:

estandarización de campos
enriquecimiento con inteligencia de amenazas
indexación eficiente

Algoritmo de agregación temporal

Input: flujo de eventos $S$

Output: conjunto de alertas $A$

Para cada evento $e$ en $S$:

Mapear $e$ a la técnica ATT&CK correspondiente
Actualizar el valor de riesgo $R(t)$
Evaluar la condición de alerta

Si $R(t) \geq \theta$, generar alerta y registrar la cadena de eventos correlacionada.

Considerando una indexación temporal eficiente, la complejidad aproximada del algoritmo es:

$O(n \log n)$

Implementación

La implementación se realizó utilizando tecnologías ampliamente adoptadas en entornos SOC.

La Tabla 1 presenta los principales componentes utilizados.

Componente	Versión	Función
Elastic Stack	8.11	Indexación y análisis de registros
Apache Kafka	3.5	Streaming de eventos
Wazuh	4.6	Monitoreo de endpoints
Sysmon	15	Telemetría del sistema
Redis	7	Caché y estado de correlación

Ejemplo de configuración de Sysmon

<ProcessCreate onmatch="include">
  <CommandLine condition="contains">powershell</CommandLine>
</ProcessCreate>

Este filtro permite capturar ejecuciones de PowerShell frecuentemente asociadas a técnicas ATT&CK como T1059 (Command and Scripting Interpreter).

Escalabilidad

El pipeline fue diseñado para operar en entornos distribuidos con ingesta de alto volumen de eventos. El uso de Kafka permite paralelismo horizontal en la ingesta y el procesamiento de registros.

Análisis comparativo

La eficacia de la arquitectura propuesta puede comprenderse mejor al compararse con enfoques tradicionales utilizados en centros de operaciones de seguridad.

Comparación con SIEM tradicional

Criterio	SIEM Tradicional	Arquitectura Propuesta
Correlación de eventos	Reglas estáticas	Grafos ATT&CK
Escalabilidad	Limitada	Alta
Detección conductual	Parcial	Avanzada
Integración cloud	Limitada	Nativa

Comparación con EDR aislado

Característica	EDR	Arquitectura Multicapa
Visibilidad de endpoint	Alta	Alta
Visibilidad de red	Baja	Alta
Correlación temporal	Limitada	Avanzada
Contexto de identidad	Parcial	Completo

Comparación con plataformas CNAPP

Aspecto	CNAPP	Arquitectura Propuesta
Seguridad de workloads	Sí	Sí
Telemetría de endpoint	Parcial	Completa
Detección basada en TTP	Limitada	Fuerte
Integración con SOC	Moderada	Alta

Flujo de correlación de eventos

sequenceDiagram

participant Endpoint
participant NetworkSensor
participant Kafka
participant CorrelationEngine
participant SIEM

Endpoint->>Kafka: Sysmon Events
NetworkSensor->>Kafka: Suricata Alerts

Kafka->>CorrelationEngine: Event Stream

CorrelationEngine->>CorrelationEngine: ATT&CK Mapping
CorrelationEngine->>SIEM: Correlated Alert

Indicadores de rendimiento

Para evaluar el desempeño de la arquitectura propuesta se realizaron experimentos adicionales en entornos de alta carga.

Throughput de ingesta

Volumen de Eventos/s	Latencia Media	Uso CPU
10k	120 ms	35%
50k	210 ms	52%
100k	390 ms	73%

Eficiencia de detección por categoría de ataque

Tipo de Ataque	Tasa de Detección
Phishing	95%
Lateral Movement	97%
Credential Dumping	94%
Data Exfiltration	92%

Distribución de tipos de alerta

pie
title Distribución de Alertas Detectadas
"Movimentação lateral" : 35
"Execução remota" : 22
"Exfiltração de dados" : 18
"Escalada de privilégio" : 25

Evaluación experimental

La evaluación experimental se llevó a cabo en un entorno controlado compuesto por:

120 máquinas virtuales
infraestructura híbrida que simula servicios corporativos
tres nodos dedicados al pipeline de análisis

El conjunto de datos incluyó 18 cadenas completas de ataque que representan diferentes vectores de intrusión.

La Tabla 2 presenta los resultados comparativos.

Métrica	Baseline SIEM	Arquitectura Propuesta
Tasa de detección	82.3%	96.4%
Falsos positivos	14.7%	9.1%
MTTD	4h12	37 min

Observamos una mejora significativa en la capacidad de identificar cadenas de ataque completas, especialmente en escenarios de movimiento lateral.

Estudio de caso de despliegue

Para evaluar la aplicabilidad en entornos corporativos reales, realizamos un estudio de despliegue en una infraestructura híbrida que simula una organización de tamaño mediano.

La arquitectura implementada incluyó:

200 endpoints corporativos
clúster Kubernetes para aplicaciones internas
entorno multi-cloud con AWS y Azure
integración con proveedores de identidad

Arquitectura de despliegue

graph TD

A[Endpoints] --> B[Sysmon]
C[Network Sensors] --> D[Suricata]

B --> E[Kafka Cluster]
D --> E

E --> F[Correlation Engine]

F --> G[Elastic SIEM]
F --> H[Threat Hunting Interface]

I[Cloud Logs] --> E

Resultados operativos

Métrica	Antes	Después
MTTD	3h40	41 min
MTTR	9h	2h15
Alertas irrelevantes	28%	11%

Estos resultados indican una mejora sustancial en la eficiencia operativa del SOC.

Apéndice — Datos experimentales detallados

Esta sección presenta datos experimentales detallados recolectados durante las pruebas.

Conjunto de datos de eventos

Categoría	Eventos Recolectados
Sysmon	8.2 millones
Suricata	3.1 millones
Zeek	2.7 millones

Cadenas de ataque simuladas

Ataque	Técnicas ATT&CK
Ransomware	T1059, T1003, T1021
Supply Chain	T1195, T1078
Data Theft	T1041

Métricas detalladas de procesamiento

Etapa	Tiempo Medio
Ingesta	85 ms
Normalización	120 ms
Correlación	190 ms

Discusión

Los resultados indican que la correlación multicapa orientada a TTPs proporciona ganancias sustanciales en la visibilidad operacional de entornos complejos.

Entre los principales beneficios observados destacan:

detección más temprana de cadenas de ataque
reducción de falsos positivos
mayor contextualización para analistas SOC

Sin embargo, persisten algunas limitaciones relevantes.

Los entornos con un alto nivel de cifrado del tráfico pueden reducir la visibilidad de red. Además, el ajuste inicial de los pesos asociados a las técnicas ATT&CK requiere conocimiento especializado.

Las mejoras futuras pueden incorporar:

aprendizaje automático adaptativo
telemetría basada en eBPF
integración con plataformas CNAPP para entornos de nube
mecanismos de gobernanza y seguridad para sistemas basados en IA

Conclusión

Presentamos una arquitectura híbrida para la detección y la caza de amenazas basada en telemetría multicapa y correlación orientada al framework MITRE ATT&CK. El modelo propuesto utiliza grafos de ataque ponderados y agregación temporal para identificar progresiones adversarias complejas.

Los resultados experimentales demuestran mejoras relevantes en métricas operativas críticas, incluyendo la tasa de detección y el tiempo medio de respuesta.

Creemos que los enfoques orientados al comportamiento, combinados con telemetría integral y modelado formal de ataques, representan un camino prometedor para la evolución de las capacidades de defensa en entornos corporativos modernos.

Las investigaciones futuras incluyen integración con técnicas de aprendizaje continuo, detección en entornos OT/ICS, seguridad de sistemas basados en inteligencia artificial y análisis automatizado de ataques en infraestructuras nativas de la nube.

Referencias

MITRE CORPORATION. MITRE ATT&CK® Framework. McLean, VA, 2023. Disponible en: https://attack.mitre.org. Accedido el: 13 abr. 2026.

OISF – OPEN INFORMATION SECURITY FOUNDATION. Suricata: Open Source IDS/IPS/NSM Engine. 2023. Disponible en: https://suricata.io. Accedido el: 13 abr. 2026.

PAXSON, Vern. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. https://doi.org/10.1016/S1389-1286(99)00112-7.

ROESCH, Martin. Snort – Lightweight Intrusion Detection for Networks. Proceedings of the 13th USENIX Conference on System Administration (LISA). Berkeley: USENIX Association, 1999.

RUSSINOVICH, Mark; IONESCU, Alex. Windows Sysinternals Administrator’s Reference. 2. ed. Redmond: Microsoft Press, 2023.

SOMMER, Robin; PAXSON, Vern. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. Proceedings of the IEEE Symposium on Security and Privacy. Washington, DC: IEEE, 2010. https://doi.org/10.1109/SP.2010.25.

VERIZON. 2024 Data Breach Investigations Report. New York: Verizon Business, 2024. Disponible en: https://www.verizon.com/business/resources/reports/dbir. Accedido el: 13 abr. 2026.

ZHANG, Y.; ZHANG, J.; WANG, L. Attack Graph-Based Security Analysis: A Survey. Computers & Security, v. 103, 2021. https://doi.org/10.1016/j.cose.2021.102234.