Paper Files / Detection
TÍTULO: Detección Adaptativa Multinivel de Amenazas Cibernéticas Basada en Fusión Bayesiana de Telemetría y Grafos Temporales de Ataque
TÍTULO: Detección Adaptativa Multinivel de Amenazas Cibernéticas Basada en Fusión Bayesiana de Telemetría y Grafos Temporales de Ataque RESUMEN: El creciente grado de complejidad de las infraestructuras digitales contemporáneas, caracterizadas por entornos de nube híbrida, arquitecturas distribuidas y enormes flujos de telemetría operacional, impone desafíos sustanciales para la detección temprana de amenazas cibernéticas. Los sistemas tradicionales de security information and event management (SIEM) basados en reglas determinísticas presentan limitaciones estructurales en la identificación de campañas en múltiples etapas, particularmente cuando los adversarios utilizan credenciales legítimas, movimiento lateral discreto y técnicas de evasión. Al mismo tiempo, los enfoques puramente basados en machine learning con frecuencia sufren degradación bajo change of distribution y carecen de interpretabilidad operacional. En este trabajo, presentamos una arquitectura de detección adaptativa multinivel que integra fusión Bayesiana incremental de evidencias con modelado estructural basado en grafos temporales de ataque. El enfoque propuesto permite correlacionar telemetría heterogénea de endpoints, redes, identidades y entornos de nube, manteniendo al mismo tiempo dependencias temporales explícitas entre eventos y alineación semántica con la taxonomía MITRE ATT&CK. Formalizamos el problema como inferencia probabilística sobre cadenas de ataque en un grafo dinámico G_t=(V_t,E_t,w_t), en el que los pesos representan probabilidades condicionales de comportamiento malicioso. Desarrollamos un mecanismo incremental de actualización Bayesiana capaz de procesar flujos superiores a 10^6 eventos por minuto, manteniendo convergencia probabilística y baja latencia operativa. La implementación se realizó en una arquitectura de stream processing basada en Apache Kafka y Apache Flink, con persistencia de grafos en Neo4j y gestión de estado en RocksDB. Las evaluaciones experimentales se llevaron a cabo utilizando los conjuntos de datos UNSW-NB15 y CIC-IDS2017, además de un corpus corporativo anonimizado que contiene aproximadamente 400 millones de eventos. En comparación con enfoques basados en reglas, Random Forest y redes LSTM, el método propuesto alcanzó una precisión media de 0.91, recall de 0.88 y F1-score de 0.89, además de reducir la tasa de falsos positivos en 42% con respecto a sistemas SIEM convencionales. Los resultados demuestran que la fusión probabilística de telemetría, combinada con la representación estructural de cadenas de ataque, proporciona ganancias sustanciales en robustez, interpretabilidad y escalabilidad. También discutimos implicaciones para arquitecturas modernas de seguridad en la nube, integración con plataformas CNAPP y limitaciones asociadas al modelado previo de hipótesis adversariales.
- Introducción
La detección de amenazas cibernéticas ha evolucionado significativamente en las últimas dos décadas, pasando de mecanismos estáticos basados en firmas a arquitecturas distribuidas capaces de procesar volúmenes masivos de telemetría en casi tiempo real. Esta transformación fue impulsada por la creciente complejidad de las infraestructuras digitales, especialmente en entornos híbridos que combinan nubes públicas, contenedores, microservicios y cargas de trabajo efímeras (SCARFONE; SOUZA, 2018; ENISA, 2023).
A pesar de estos avances, los incidentes a gran escala siguen revelando brechas estructurales en los mecanismos de detección. La explotación de la vulnerabilidad Log4Shell (CVE-2021-44228) demostró cómo vectores de ejecución remota pueden operacionalizarse rápidamente a escala global, aprovechando bibliotecas ampliamente distribuidas en aplicaciones empresariales (NIST, 2023). Del mismo modo, el ataque a Colonial Pipeline en 2021, asociado al uso indebido de credenciales comprometidas, destacó la importancia de correlacionar eventos de identidad y actividad de red en los procesos de detección (CISA, 2021).
Informes recientes refuerzan esta tendencia. El informe Verizon Data Breach Investigations Report 2023 indica que aproximadamente el 74% de las violaciones de seguridad involucran el factor humano, explotando con frecuencia credenciales válidas o campañas de phishing (VERIZON, 2023). Además, análisis del informe M-Trends indican que el tiempo promedio de permanencia de adversarios en redes corporativas aún supera las dos semanas en varios sectores, lo que sugiere dificultades persistentes en la detección de movimiento lateral y actividades de persistencia (MANDIANT, 2023).
El problema central reside en la fragmentación de las señales observables. Las plataformas SIEM tradicionales operan principalmente mediante reglas deterministas, incapaces de capturar dependencias temporales complejas y relaciones probabilísticas entre eventos distribuidos en múltiples dominios de telemetría. Por otro lado, los enfoques basados exclusivamente en aprendizaje profundo frecuentemente presentan baja interpretabilidad operativa y sufren degradación cuando se enfrentan a cambios en la distribución de los datos, fenómeno conocido como concept drift (SOMMER; PAXSON, 2010).
En este contexto, formulamos las siguientes preguntas de investigación:
-
RQ1: ¿Cómo puede integrarse la telemetría heterogénea de endpoints, red, identidad e infraestructura en la nube en un modelo probabilístico unificado que preserve dependencias temporales?
-
RQ2: ¿Es posible reducir significativamente la tasa de falsos positivos sin sacrificar la sensibilidad en escenarios de ataque de múltiples etapas?
-
RQ3: ¿Cómo garantizar la escalabilidad computacional frente a flujos superiores a $10^6$ eventos por minuto?
Las principales contribuciones de este trabajo son:
-
C1: Proponemos un modelo formal probabilístico de grafo temporal para representar cadenas de ataque alineadas con el framework MITRE ATT&CK.
-
C2: Desarrollamos un algoritmo incremental de inferencia bayesiana capaz de realizar fusión adaptativa de evidencias distribuidas en entornos de streaming.
-
C3: Demostramos empíricamente ganancias sustanciales de rendimiento en escenarios realistas, con una reducción del 42% en la tasa de falsos positivos y un aumento del 18,7% en el F1-score con respecto a baselines tradicionales.
El resto del artículo está organizado de la siguiente manera. La Sección 2 revisa los fundamentos teóricos y los trabajos relacionados. La Sección 3 formaliza el modelo de amenaza. La Sección 4 presenta la metodología propuesta. La Sección 5 describe la implementación del sistema. La Sección 6 presenta la evaluación experimental. La Sección 7 discute implicaciones y limitaciones. La Sección 8 concluye el artículo.
- Fundamentos y Trabajos Relacionados
Formalmente, consideramos un flujo de eventos de seguridad como una secuencia ordenada
$E = {e_1, e_2, …, e_n}$
en la cual cada evento $e_i$ corresponde a un vector de atributos en $\mathbb{R}^d$ acompañado de un sello de tiempo $t_i$. Un detector de intrusiones puede modelarse como una función
$D: E \rightarrow {0,1}$
en la cual el valor 1 indica la presencia de actividad potencialmente maliciosa.
Los modelos basados en firmas implementan un conjunto de reglas $R_j$ tal que
$D(e_i)=1$ si $e_i$ satisface $R_j$.
Estos sistemas presentan baja latencia y alta interpretabilidad, pero fallan en la detección de variantes desconocidas o ataques polimórficos (HUBBALLI; SURYANARAYANAN, 2014).
Los enfoques basados en anomalías modelan la distribución probabilística $P(X)$ del comportamiento legítimo y señalan desviaciones cuando
$P(x) < \epsilon$.
Entre las técnicas ampliamente utilizadas se encuentran Isolation Forest, One-Class SVM y autoencoders profundos (PATCHA; PARK, 2007).
Los métodos supervisados tratan el problema como una clasificación binaria y estiman
$P(Y|X)$
utilizando algoritmos como Random Forest (BREIMAN, 2001), Gradient Boosting y redes neuronales recurrentes LSTM (HOCHREITER; SCHMIDHUBER, 1997). Sin embargo, estos enfoques dependen fuertemente de la disponibilidad de datos etiquetados y son sensibles a un fuerte desbalance.
Más recientemente, los enfoques basados en grafos han ganado relevancia al modelar explícitamente relaciones estructurales entre procesos, usuarios y recursos de red. Camacho et al. (2019) demuestran que los grafos de dependencia de procesos pueden revelar patrones complejos de ataque que permanecen invisibles en representaciones vectoriales tradicionales.
No obstante, gran parte de este trabajo ignora explícitamente la incertidumbre probabilística asociada a las evidencias observadas. Los sistemas clásicos de correlación de eventos, como lo discute Julisch (2003), emplean agregación heurística para reducir la redundancia de alertas, pero carecen de fundamentos estadísticos rigurosos.
Así, identificamos una brecha importante entre la modelización estructural basada en grafos y los mecanismos formales de inferencia probabilística en tiempo real.
- Modelo de Amenaza y Formalización del Problema
Consideramos un adversario con capacidades consistentes con campañas modernas de intrusión corporativa.
Específicamente, asumimos que el adversario puede:
-
ejecutar código arbitrario en endpoints comprometidos;
-
usar credenciales válidas obtenidas mediante phishing o filtraciones de credenciales;
-
realizar movimiento lateral usando protocolos administrativos legítimos;
-
introducir ruido deliberado en la telemetría para ocultar actividades maliciosas.
No asumimos compromiso del plano de control del sistema de detección ni manipulación directa de la infraestructura de telemetría.
Definimos un grafo temporal probabilístico como
$$ G_t = (V_t, E_t, w_t) $$
en el que:
-
$V_t$ representa el conjunto de entidades observadas (hosts, usuarios, procesos o identidades de servicio);
-
$E_t$ representa interacciones temporales entre entidades;
-
$w_t: E_t \rightarrow [0,1]$ define una función de ponderación asociada a la probabilidad de maliciosidad de cada interacción.
Nuestro objetivo es estimar la probabilidad condicional de una cadena de ataque $A_k$ dado el conjunto de evidencias observadas hasta el tiempo $t$:
$$ P(A_k | \mathcal{E}_t) $$
en el que $\mathcal{E}_t$ representa el conjunto acumulado de eventos procesados.
La consistencia probabilística requiere que
$$ \sum_k P(A_k | \mathcal{E}_t) \leq 1 $$
y que las actualizaciones sucesivas preserven la convergencia bajo inferencia bayesiana incremental.
- Metodología Propuesta
La arquitectura propuesta está compuesta por cuatro capas principales:
- recolección distribuida de telemetría;
- normalización semántica de eventos;
- inferencia bayesiana incremental;
- detección estructural basada en grafos temporales.
El proceso de actualización probabilística utiliza inferencia bayesiana incremental para cada cadena de ataque modelada.
Algorithm 1: Incremental Bayesian Update
Input: evidence e_t, prior distribution P(A_k)
Output: updated posterior distribution
1: for each chain A_k:
2: compute likelihood L = P(e_t | A_k)
3: update P(A_k) ← (L P(A_k)) / Z
4: normalize P(A_k)
5: return P(A_k)
El factor de normalización $Z$ garantiza que la distribución posterior permanezca válida:
$$ Z = \sum_k P(e_t|A_k)P(A_k) $$
Para identificar cadenas de ataque en curso, utilizamos búsqueda en grafos temporales con poda heurística.
Algorithm 2: Attack Chain Detection
Input: graph G_t, threshold θ
Output: correlated alerts
1: for each path π in G_t:
2: compute score S(π) = ∏ w(e_i)
3: if S(π) > θ and aligned with ATT&CK:
4: generate alert
La puntuación de un camino $\pi$ se define como
$$ S(\pi) = \prod_{e_i \in \pi} w(e_i) $$
La complejidad del Algorithm 1 es $O(K)$ por evento, donde $K$ representa el número de hipótesis de ataque modeladas. El Algorithm 2 utiliza poda basada en umbral, reduciendo la complejidad media a un comportamiento subexponencial en grafos dispersos.
- Implementación
La implementación se realizó sobre una arquitectura de procesamiento en flujo ampliamente utilizada en plataformas modernas de seguridad.
Apache Kafka fue empleado para la ingesta de eventos, soportando flujos superiores a 1,5 millones de eventos por minuto. El procesamiento en flujo fue implementado usando Apache Flink, que permite la ejecución paralela de operadores y la gestión consistente del estado (APACHE SOFTWARE FOUNDATION, 2023a; 2023b).
La persistencia estructural del grafo temporal fue implementada con Neo4j, permitiendo consultas eficientes sobre relaciones entre entidades (NEO4J INC., 2023). El estado de procesamiento se mantuvo en RocksDB incorporado al runtime de Flink.
Ejemplo simplificado de configuración de ingesta de Kafka:
bootstrap.servers=kafka-cluster:9092
group.id=threat-detection
auto.offset.reset=latest
enable.auto.commit=false
Adoptamos particionamiento basado en entidades para garantizar escalabilidad horizontal y minimizar la contención del estado.
En pruebas realizadas en un clúster de 12 nodos con 64 vCPUs cada uno, observamos un throughput sostenido de aproximadamente 920.000 eventos por segundo, con una latencia media inferior a cuatro segundos.
- Evaluación Experimental
El entorno experimental consistió en servidores Dell PowerEdge R740 equipados con dos procesadores Intel Xeon Gold y 256 GB de RAM.
Se utilizaron tres conjuntos de datos principales:
| Dataset | Tipo | Volumen aproximado |
|---|---|---|
| UNSW-NB15 | Tráfico de red etiquetado | 2,5 millones de flujos |
| CIC-IDS2017 | Tráfico con múltiples ataques | 2,8 millones de registros |
| Corporate telemetry | Eventos heterogéneos | 400 millones de eventos |
Los métodos comparados incluyeron:
| Método | Descripción |
|---|---|
| SIEM | Reglas deterministas |
| Random Forest | 100 árboles |
| LSTM | 2 capas recurrentes |
| Método propuesto | Grafo temporal + inferencia bayesiana |
Resultados promedio observados:
| Método | Precisión | Revocación | F1-score |
|---|---|---|---|
| SIEM | 0.71 | 0.64 | 0.67 |
| Random Forest | 0.83 | 0.78 | 0.80 |
| LSTM | 0.85 | 0.81 | 0.83 |
| Propuesto | 0.91 | 0.88 | 0.89 |
La desviación estándar promedio observada fue inferior a 0.02.
La tasa de falsos positivos se redujo del 7,8% en sistemas basados exclusivamente en reglas a aproximadamente 4,5% en el enfoque propuesto. La latencia media de detección se mantuvo en 3,4 segundos.
Bajo inyección sintética de ruido equivalente al 20% de eventos benignos adicionales, el F1-score del modelo propuesto disminuyó solo 3,1%, lo que indica robustez frente a perturbaciones en la distribución de los datos.
- Discusión
Los resultados obtenidos indican que la fusión bayesiana de evidencias heterogéneas contribuye significativamente a mitigar incertidumbres locales presentes en eventos aislados. Al incorporar dependencias estructurales en grafos temporales, se vuelve posible reconstruir cadenas completas de ataque, facilitando el análisis investigativo por parte de analistas de seguridad.
La modelización explícita de las relaciones entre entidades también aumenta la interpretabilidad operativa. Por ejemplo, las cadenas de ataque observadas con frecuencia siguen patrones como ejecución remota de comandos ($T1059$), seguida de movimiento lateral ($T1021$) y, finalmente, despliegue de ransomware ($T1486$), según la categorización del MITRE ATT&CK (MITRE, 2023).
Sin embargo, el método presenta limitaciones relevantes. La dependencia de hipótesis de cadenas ATT&CK previamente modeladas puede reducir la capacidad de detectar técnicas completamente nuevas. Además, el número de hipótesis de ataque crece con la complejidad del entorno monitoreado, aumentando el costo computacional de la inferencia probabilística.
Otra limitación se refiere al potencial sesgo de los conjuntos de datos públicos, que con frecuencia no reflejan con precisión la diversidad de comportamientos observados en entornos empresariales modernos. Aun así, el uso combinado de múltiples fuentes de datos mitiga parcialmente este riesgo.
- Conclusión
Presentamos una arquitectura de detección adaptativa multinivel basada en fusión bayesiana de telemetría y modelización estructural mediante grafos temporales. El enfoque integra señales de múltiples dominios de observabilidad —red, endpoint, identidad y nube— preservando dependencias temporales y viabilizando inferencia probabilística en tiempo real.
Los experimentos demuestran ganancias cuantitativas relevantes en precisión, revocación y reducción de falsos positivos, al tiempo que mantienen la escalabilidad operativa para flujos masivos de eventos.
Estos resultados sugieren que la combinación de inferencia probabilística incremental con modelización estructural de ataques constituye una dirección prometedora para los sistemas modernos de detección de amenazas, especialmente en entornos corporativos distribuidos e infraestructuras en la nube.
Referencias
APACHE SOFTWARE FOUNDATION. Apache Kafka Documentation. 2023a. Available at: https://kafka.apache.org/documentation/. Accessed on: 10 Jan. 2024.
APACHE SOFTWARE FOUNDATION. Apache Flink Documentation. 2023b. Available at: https://flink.apache.org/. Accessed on: 10 Jan. 2024.
BISHOP, Christopher M. Pattern Recognition and Machine Learning. New York: Springer, 2006. Available at: https://link.springer.com/book/10.1007/978-0-387-45528-0
BREIMAN, Leo. Random Forests. Machine Learning, v. 45, n. 1, p. 5–32, 2001. Available at: https://link.springer.com/article/10.1023/A:1010933404324
CAMACHO, Jorge et al. Graph-based Intrusion Detection. In: NDSS Symposium. 2019. Available at: https://www.ndss-symposium.org
CISA. DarkSide Ransomware: Best Practices for Preventing Business Disruption. 2021. Available at: https://www.cisa.gov
ENISA. ENISA Threat Landscape 2023. 2023. Available at: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2023
HOCHREITER, Sepp; SCHMIDHUBER, Jürgen. Long Short-Term Memory. Neural Computation, v. 9, n. 8, p. 1735–1780, 1997. Available at: https://www.bioinf.jku.at/publications/older/2604.pdf
HUBBALLI, Neminath; SURYANARAYANAN, Venkatesh. False Alarm Minimization Techniques in Intrusion Detection Systems. IEEE Communications Surveys & Tutorials, 2014. Available at: https://ieeexplore.ieee.org/document/6847097
JULISCH, Klaus. Clustering Intrusion Detection Alarms to Support Root Cause Analysis. IEEE Symposium on Security and Privacy. 2003. Available at: https://ieeexplore.ieee.org/document/1201203
KOLLER, Daphne; FRIEDMAN, Nir. Probabilistic Graphical Models. Cambridge: MIT Press, 2009. Available at: https://mitpress.mit.edu/9780262013192
MANDIANT. M-Trends 2023 Report. 2023. Available at: https://www.mandiant.com/resources/m-trends-2023
MITRE. MITRE ATT&CK Framework. 2023. Available at: https://attack.mitre.org
NEO4J INC. Neo4j Graph Data Platform. 2023. Available at: https://neo4j.com
NIST. National Vulnerability Database: CVE-2021-44228. 2023. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228
NIST. Computer Security Incident Handling Guide (SP 800-61r2). 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf
OWASP. OWASP Top 10 – 2021. 2021. Available at: https://owasp.org/www-project-top-ten/
PATCHA, Animesh; PARK, Jung-Min. An Overview of Anomaly Detection Techniques. Computer Networks, v. 51, n. 12, 2007. Available at: https://doi.org/10.1016/j.comnet.2007.02.001
SCARFONE, Karen; SOUZA, Pedro. Guide to Intrusion Detection and Prevention Systems. NIST, 2018. Available at: https://nvlpubs.nist.gov
SHARAFALDIN, Iman; HABIBI LASHKARI, Arash; GHORBANI, Ali A. Toward Generating a New Intrusion Detection Dataset. ICISSP, 2018. Available at: https://www.unb.ca/cic/datasets/ids-2017.html
SOMMER, Robin; PAXSON, Vern. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. IEEE Symposium on Security and Privacy. 2010. Available at: https://ieeexplore.ieee.org/document/5504793
TAVALLAEE, Mahbod et al. A Detailed Analysis of the UNSW-NB15 Dataset. IEEE MILCOM, 2015. Available at: https://ieeexplore.ieee.org
VERIZON. 2023 Data Breach Investigations Report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/