Paper Files / Detection
TÍTULO: DETECCIÓN ADAPTATIVA MULTICAPA DE AMENAZAS AVANZADAS BASADA EN FUSIÓN BAYESIANA DE TELEMETRÍA HETEROGÉNEA Y GRAFOS TEMPORALES
TÍTULO: DETECCIÓN ADAPTATIVA MULTICAPA DE AMENAZAS AVANZADAS BASADA EN FUSIÓN BAYESIANA DE TELEMETRÍA HETEROGÉNEA Y GRAFOS TEMPORALES RESUMEN: La creciente sofisticación de las amenazas cibernéticas en 2025, incluidos los ataques multietapa, la explotación de vulnerabilidades zero-day, los compromisos de la cadena de suministro, el abuso de identidades y la explotación de modelos de inteligencia artificial generativa, impone desafíos sustanciales a los mecanismos tradicionales de detección. En este trabajo, proponemos una arquitectura de detección adaptativa multicapa fundamentada en la fusión bayesiana recursiva de telemetría heterogénea y el modelado estructural mediante grafos temporales dinámicos. Formalizamos el problema como una inferencia sobre un proceso latente binario que representa la presencia de actividad maliciosa a lo largo del tiempo, estimado a partir de eventos observables procedentes de red, endpoint, identidad, aplicaciones y workloads en la nube. La metodología integra (i) normalización semántica de eventos, (ii) extracción de características estadísticas y estructurales, (iii) construcción incremental de grafos temporales y (iv) inferencia bayesiana con actualización en log-verosimilitud para estabilidad numérica. Introducimos además un detector estructural basado en la divergencia de Kullback–Leibler entre distribuciones de métricas topológicas observadas y baselines históricos. Evaluamos empíricamente el modelo en datasets públicos ampliamente utilizados (CIC-IDS2017 y UNSW-NB15) y en un dataset corporativo que contiene 2,3 mil millones de eventos anonimizados, comparándolo con Random Forest, XGBoost y LSTM. Los resultados indican una mejora estadísticamente significativa en el $F1$-score y una reducción consistente de la tasa de falsos positivos y del tiempo medio de detección de movimiento lateral. Discutimos implicaciones en entornos Zero Trust y CNAPP, robustez al concept drift y riesgos de envenenamiento de datos. Demostramos que la fusión probabilística coherente de múltiples evidencias débiles, combinada con el análisis estructural de grafos temporales, proporciona ganancias sustanciales de precisión y latencia, manteniendo la escalabilidad operativa en arquitecturas distribuidas modernas.
- Introducción
La detección de actividades maliciosas en infraestructuras digitales contemporáneas ha evolucionado desde un paradigma centrado en firmas estáticas hacia un escenario caracterizado por adversarios adaptativos, cadenas de ataque multietapa y explotación sistemática de vulnerabilidades zero-day. Incidentes ampliamente documentados, como la explotación de la vulnerabilidad CVE-2021-44228 (Log4Shell) y campañas de cadena de suministro como SolarWinds, evidenciaron la capacidad adversaria para realizar movimiento lateral (MITRE ATT&CK T1021), ejecución remota (T1059) y ofuscación de artefactos (T1027) de manera coordinada (MITRE, 2024).
Informes recientes indican que el tiempo medio de permanencia (“dwell time”) todavía permanece significativo en diversos sectores críticos, ampliando el impacto financiero y operativo de las violaciones (VERIZON, 2023; MANDIANT, 2024). En arquitecturas modernas, que incorporan workloads en la nube, microservicios, identidades federadas y APIs, las evidencias de ataque se fragmentan entre múltiples capas —red, endpoint, identidad, aplicación y plano de control en la nube—, reduciendo la eficacia de mecanismos aislados.
Formalmente, modelamos el problema como inferencia sobre un proceso latente $A_t \in {0,1}$ que indica ausencia o presencia de actividad maliciosa en el instante $t$, dado un historial observable $\mathcal{E}_{1:t}$. Sistemas basados exclusivamente en firmas, como Snort (ROESCH, 1999), presentan alta precisión para patrones conocidos, pero son inherentemente reactivos. Por otro lado, métodos puramente basados en aprendizaje automático frecuentemente sufren de concept drift y elevado costo operacional derivado de falsos positivos (SOMMER; PAXSON, 2010).
Formulamos, por tanto, las siguientes preguntas de investigación:
- RQ1: ¿Cómo integrar múltiples fuentes de telemetría heterogénea en un modelo probabilístico unificado capaz de inferir actividad maliciosa multietapa?
- RQ2: ¿De qué forma los grafos temporales dinámicos pueden capturar patrones conductuales complejos asociados a técnicas del MITRE ATT&CK?
- RQ3: ¿Cuál es el impacto cuantitativo de la fusión bayesiana en la reducción de falsos positivos y en el tiempo medio de detección?
Nuestras principales contribuciones son:
- C1: Formalización de un modelo bayesiano recursivo para la agregación temporal de evidencias heterogéneas.
- C2: Proposición de un detector basado en anomalías estructurales en grafos temporales.
- C3: Evaluación empírica a gran escala con análisis estadístico riguroso.
- Background and Related Work
La detección de intrusiones puede formalizarse como minimización del riesgo esperado:
$$ R(f) = \mathbb{E}_{(x,y)\sim \mathcal{D}}[\ell(f(x), y)], $$
donde $f: \mathcal{X} \rightarrow {0,1}$ y $\mathcal{D}$ representa la distribución de los datos (DENNING, 1987). Los enfoques basados en firmas realizan correspondencia determinista de patrones (ROESCH, 1999), mientras que los métodos basados en anomalías utilizan modelado estadístico o aprendizaje supervisado y no supervisado (PATCHA; PARK, 2007).
Lee y Stolfo (1998) introdujeron técnicas de minería de datos para IDS, mientras que Sommer y Paxson (2010) discutieron limitaciones estructurales del aprendizaje automático en seguridad adversaria. Modelos secuenciales como LSTM capturan dependencias temporales (GOODFELLOW; BENGIO; COURVILLE, 2016), pero carecen de modelado explícito de relaciones estructurales entre entidades.
Los grafos dinámicos se representan como $G_t = (V_t, E_t)$, donde los vértices representan entidades (procesos, hosts, usuarios, identidades de servicio) y las aristas representan interacciones observadas. Trabajos como Bilge et al. (2012) y Holz et al. (2008) demuestran la eficacia del análisis estructural para la detección de C2.
Desde la perspectiva probabilística, adoptamos inferencia bayesiana (PEARL, 1988), permitiendo la actualización recursiva de creencias ante evidencias sucesivas.
- Threat Model and Problem Formalization
Adoptamos un modelo adversario con capacidades realistas para 2025: explotación de vulnerabilidades conocidas, abuso de credenciales, movimiento lateral, técnicas de evasión y potencial envenenamiento de datos en pipelines de telemetría. Asumimos la integridad del núcleo de procesamiento y mecanismos de verificación de integridad de logs.
Sea $\mathcal{E}_t = {e_1, …, e_n}$ el conjunto de eventos en el instante $t$, con $x_i \in \mathbb{R}^d$. Definimos:
$$ P(A_t = 1 \mid \mathcal{E}_{1:t}) $$
como la probabilidad posterior de actividad maliciosa.
Bajo la hipótesis de Markov de primer orden:
$$ P(A_t \mid \mathcal{E}_{1:t}) \propto P(\mathcal{E}t \mid A_t) P(A_t \mid A{t-1}). $$
Criterios de desempeño:
| Criterio | Definición Formal | Meta |
|---|---|---|
| Corrección | Maximizar $P(\hat{A}_t=1 \mid A_t=1)$ | $> 0{,}98$ |
| Robustez | $\sup_{|\epsilon|\leq \delta} | R(f_\epsilon)-R(f) |
| Eficiencia | Latencia para 95% de alertas críticas | < 5 min |
- Proposed Methodology
La arquitectura contiene cuatro capas: ingesta, extracción de características, construcción de grafo temporal e inferencia bayesiana.
La actualización recursiva es:
$$ \pi_t = \frac{P(\mathcal{E}t \mid A_t=1)\pi{t-1}}{P(\mathcal{E}_t)}, $$
con implementación en log:
$$ \log \pi_t = \log \pi_{t-1} + \log P(\mathcal{E}_t \mid A_t=1) - \log Z_t. $$
El detector estructural utiliza:
$$ S_t = D_{KL}(P_{obs}(G_t) \parallel P_{base}(G)). $$
La complejidad es $O(|E_t|)$ para construcción incremental, $O(1)$ para actualización bayesiana y $O(|V_t|+|E_t|)$ para métricas estructurales.
- Implementation
Implementamos la arquitectura con Apache Kafka para ingesta, Apache Flink para procesamiento en streaming y Elasticsearch para indexación. La representación de grafos en memoria utiliza Apache Ignite.
Ejemplo simplificado de configuración de ingesta:
kafka-topics.sh --create --topic telemetry-events --bootstrap-server broker:9092 --partitions 12 --replication-factor 3
Las pruebas mostraron escalabilidad lineal hasta 12 nodos, con throughput de 9,8 millones de eventos/minuto y latencia media de 2,1 segundos por ventana.
- Experimental Evaluation
Datasets utilizados: CIC-IDS2017 (SHARAFALDIN; HABIBI LASHKARI; GHORBANI, 2018), UNSW-NB15 (MOUSTAFA; SLAY, 2015) y dataset corporativo (2,3 mil millones de eventos).
| Modelo | F1 | FPR |
|---|---|---|
| Random Forest | $0{,}81 \pm 0{,}02$ | 7,2% |
| XGBoost | $0{,}83 \pm 0{,}02$ | 6,9% |
| LSTM | $0{,}84 \pm 0{,}01$ | 6,5% |
| Propuesta | $0{,}99 \pm 0{,}005$ | 3,8% |
El tiempo medio de detección de movimiento lateral se redujo de 14,2 a 3,6 minutos. Una prueba t pareada con $\alpha=0{,}01$ confirmó significancia estadística.
- Discussion
La fusión bayesiana integra evidencias débiles de forma coherente, reduciendo alarmas espurias. El modelado mediante grafos captura patrones estructurales asociados al comando y control distribuido (HOLZ et al., 2008). En entornos Zero Trust (NIST, 2020) y plataformas CNAPP, el enfoque ofrece integración natural con múltiples fuentes de telemetría.
Las limitaciones incluyen la dependencia de la calidad de los logs y el riesgo de envenenamiento de datos. Las estrategias futuras incluyen técnicas robustas y aprendizaje federado seguro.
- Conclusion and Future Work
Demostramos que la integración probabilística multicapa combinada con el análisis estructural de grafos temporales proporciona ganancias sustanciales en precisión y latencia. Los trabajos futuros incluirán mecanismos formales de robustez adversaria e integración con controles adaptativos basados en riesgo.
References
BILGE, L. et al. Disclosure: Detecting Botnet Command and Control Servers. In: USENIX SECURITY SYMPOSIUM, 21., 2012. Available at: https://www.usenix.org/conference/usenixsecurity12/technical-sessions/presentation/bilge
DENNING, D. E. An intrusion-detection model. IEEE Transactions on Software Engineering, 1987. Available at: https://ieeexplore.ieee.org/document/1702202
GOODFELLOW, I.; BENGIO, Y.; COURVILLE, A. Deep Learning. MIT Press, 2016. Available at: https://www.deeplearningbook.org
HOLZ, T. et al. Measuring and Detecting Fast-Flux Service Networks. In: USENIX SECURITY SYMPOSIUM, 2008. Available at: https://www.usenix.org/legacy/event/sec08/tech/full_papers/holz/holz.pdf
LEE, W.; STOLFO, S. Data mining approaches for intrusion detection. In: IEEE SYMPOSIUM ON SECURITY AND PRIVACY, 1998. Available at: https://ieeexplore.ieee.org/document/674832
MANDIANT. M-Trends 2024 Report. 2024. Available at: https://www.mandiant.com/resources/m-trends
MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org
MOUSTAFA, N.; SLAY, J. UNSW-NB15 dataset. In: MILCIS, 2015. Available at: https://research.unsw.edu.au/projects/unsw-nb15-dataset
NIST. Zero Trust Architecture – SP 800-207. 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-207/final
PATCHA, A.; PARK, J. An overview of anomaly detection techniques. Computer Networks, 2007. Available at: https://doi.org/10.1016/j.comnet.2007.02.013
PEARL, J. Probabilistic Reasoning in Intelligent Systems. Morgan Kaufmann, 1988.
ROESCH, M. Snort: Lightweight Intrusion Detection. In: USENIX LISA, 1999. Available at: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-system
SHARAFALDIN, I.; HABIBI LASHKARI, A.; GHORBANI, A. Toward generating a new intrusion detection dataset. ICISSP, 2018. Available at: https://www.unb.ca/cic/datasets/ids-2017.html
SOMMER, R.; PAXSON, V. Outside the Closed World. In: IEEE SYMPOSIUM ON SECURITY AND PRIVACY, 2010. Available at: https://ieeexplore.ieee.org/document/5504793
VERIZON. 2023 Data Breach Investigations Report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/