Research / Paper Files

Paper Files

Paper Files es una práctica personal de estudio continuo en ciberseguridad que aplica el método científico como herramienta de aprendizaje. Cada artículo no se escribe para su publicación académica, sino como un ejercicio deliberado para afilar el hacha — profundizando en temas concretos, organizando ideas con rigor y observando cómo evoluciona la comprensión de ciertos asuntos con el tiempo. Es el equivalente intelectual a un cuaderno de entrenamiento: cada entrada registra qué se estudió, cómo se analizó y qué conclusiones surgieron.

Recomiendo encarecidamente que los profesionales de seguridad adopten este método. Elige un tema que quieras dominar, investiga fuentes primarias (RFCs, papers, documentación oficial), estructura tu texto con introducción, metodología, análisis y conclusión, y escribe como si estuvieras explicándoselo a un compañero. El acto de escribir obliga a pensar con claridad y expone lagunas de comprensión que la lectura pasiva no puede revelar. Usa los artículos de este sitio como ejemplos de formato y profundidad, y construye tu propia colección: con el tiempo, tendrás un repositorio personal de conocimiento refinado que ningún curso ni certificación puede sustituir.

DAI & ADAI · 2026

DAI · EN

DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts

DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…

Read paper →ADAI · EN

Autonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure

ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…

Read paper →

Todos Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

17 papers

Detection

Detección de amenazas en ciberseguridad en 2026: formalización, arquitectura híbrida y evaluación de una canalización multimodal para entornos híbridos y nativos de la nube

La detección en ciberseguridad ha evolucionado desde reglas estáticas y firmas puntuales hacia arquitecturas híbridas capaces de correlacionar telemetría de red, endpoint, nube, identidad y aplicaciones con señales derivadas de comportamiento. En 2026, la superficie de ataque incluye ransomware con doble y triple extorsión, abuso de identidades federadas, cadenas de suministro de software, explotación de APIs, persistencia en entornos cloud-native y campañas potenciadas por modelos generativos para ingeniería social. Este trabajo presenta una formulación técnica de la detección como un problema de inferencia bajo incertidumbre, con restricciones de costo, latencia y tasa de falsos positivos. Proponemos una metodología multimodal que combina reglas de alta precisión, detección estadística, correlación temporal, modelos supervisados y puntuación contextual basada en riesgo, todo ello instrumentado mediante telemetría de Windows, Linux, Kubernetes, eBPF, nube pública y fuentes OSINT. La propuesta prioriza dos objetivos operativos: reducir el tiempo medio de detección y mantener una carga analítica sostenible para SOCs modernos. Describimos una arquitectura de ingestión y normalización basada en estándares ampliamente adoptados como Elastic Common Schema, OpenTelemetry y formatos nativos de proveedores cloud, junto con un motor de correlación que mapea eventos a técnicas MITRE ATT&CK. Se incluyen criterios de selección de señales, una función de utilidad para priorización y un enfoque de validación experimental con conjuntos de datos públicos y simulación de ataques realistas. Los resultados muestran que una estrategia híbrida supera a un enfoque puramente basado en firmas en escenarios de baja frecuencia y alta evasión, especialmente frente a abuso de credenciales, living-off-the-land y movimientos laterales. Finalmente, se discuten limitaciones, riesgos de deriva, gobernanza de IA, y las implicancias de la criptografía poscuántica y la observabilidad a escala en la detección de amenazas hacia el cierre de la década.

2026-05-11Read paper →Detection

Detección en ciberseguridad en 2026: fusión de telemetría, eBPF, CNAPP y analítica basada en comportamiento para reducir el tiempo de permanencia del adversario

La detección en ciberseguridad ha evolucionado desde firmas estáticas y reglas manuales hacia arquitecturas híbridas que combinan telemetría de endpoint, red, identidad, nube y aplicaciones con analítica estadística, detección basada en comportamiento y correlación semántica. En 2026, el reto no es solo identificar actividad maliciosa conocida, sino distinguir campañas adaptativas que explotan herramientas legítimas, abuso de identidades, movimiento lateral sigiloso, técnicas living-off-the-land y cadenas multietapa distribuidas entre entornos locales, nubes públicas y servicios SaaS. Este trabajo propone un marco de detección operacional orientado a reducir el tiempo de permanencia del atacante mediante la unificación de observabilidad de bajo nivel con enriquecimiento contextual y priorización de alertas según riesgo. El aporte central consiste en formalizar la detección como un problema de inferencia bajo incertidumbre en grafos temporales, donde los eventos de proceso, red, identidad y nube se modelan como secuencias correlacionadas y se contrastan con hipótesis de comportamiento esperado. La metodología integra reglas de alta precisión, detección basada en anomalías, extracción de secuencias TTP, y controles de validación con MITRE ATT&CK para limitar falsos positivos y preservar explicabilidad operativa. Se presenta una implementación de referencia que aprovecha eBPF, OpenTelemetry, SIEM/SOAR, CNAPP y motores de búsqueda de eventos como Elastic, Splunk y Sigma, junto con un pipeline de enriquecimiento que prioriza alertas por criticidad de activo, exposición, identidad y probabilidad de impacto. La evaluación experimental, construida sobre telemetría de laboratorio y escenarios representativos de adversarios reales hasta 2026, muestra mejoras en cobertura, latencia de detección y reducción de ruido frente a enfoques puramente basados en firmas o umbrales. Finalmente, se discute el rol de la detección en la era de IA ofensiva y defensiva, la seguridad de LLM, la gobernanza de modelos y la necesidad de medir la eficacia de detección no solo por precisión, sino por capacidad de interrumpir cadenas de ataque antes de la exfiltración o el cifrado.

2026-05-06Read paper →Detection

Detección híbrida en ciberseguridad 2026: arquitectura, formalización, implementación y evaluación de un marco multicapas para telemetría, comportamiento y respuesta automatizada

La detección en ciberseguridad ha evolucionado desde firmas estáticas y correlación básica hacia arquitecturas híbridas que integran telemetría de endpoints, red, identidad, nube y capas de aplicación con analítica estadística, modelos de comportamiento, reglas de alto nivel y automatización de respuesta. En 2026, este cambio está impulsado por ataques más discretos, cadenas de intrusión multietapa, abuso de identidades, uso ofensivo de modelos generativos para ingeniería social y una superficie de ataque ampliada por entornos híbridos, contenedores, SaaS y SaaS-to-SaaS. Este trabajo propone un marco técnico para la detección moderna basado en tres principios: cobertura semántica de la telemetría, reducción de latencia de decisión y resiliencia frente a evasión y degradación de señales. Formalizamos el problema como una optimización multiobjetivo entre tasa de detección, tasa de falsos positivos, tiempo medio de detección y coste operativo, y presentamos una arquitectura que combina reglas deterministas, detección basada en comportamiento, enriquecimiento contextual y priorización por riesgo. La metodología integra fuentes compatibles con estándares y herramientas ampliamente adoptadas en 2026, incluyendo Sysmon, eBPF, OpenTelemetry, Zeek, Sigma, YARA, STIX/TAXII, Wazuh, Elastic, Splunk, Sigma, Falco y detección en nube mediante registros de control y plano de datos. Además, se discuten técnicas modernas de detección para amenazas de identidad, abuso de OAuth, living-off-the-land, carga lateral, exfiltración y persistencia, junto con mecanismos de robustez frente a adversarios que manipulan umbrales, ruido y secuencias de eventos. La evaluación experimental compara configuraciones de firma, comportamiento y fusión híbrida sobre escenarios representativos de intrusión, mostrando que la combinación multifuente reduce significativamente los falsos positivos sin sacrificar cobertura sobre técnicas MITRE ATT&CK. Finalmente, se presenta un estudio de caso de detección de movimiento lateral y abuso de credenciales en una red híbrida, destacando decisiones de ingeniería, trade-offs operativos y lecciones de despliegue en organizaciones reales.

2026-05-04Read paper →Detection

Detección de Amenazas en Ciberseguridad en 2026: Arquitectura Híbrida de Señales, eBPF, Telemetría de Identidad e Inferencia Asistida por Aprendizaje Automático para Entornos Cloud-Native y SaaS

La detección de amenazas en ciberseguridad ha evolucionado desde reglas estáticas y firmas hacia arquitecturas híbridas capaces de correlacionar telemetría de red, endpoint, identidad, nube y aplicaciones SaaS en tiempo casi real. En 2026, la superficie de ataque está dominada por identidades comprometidas, abuso de APIs, movimiento lateral silencioso en entornos cloud-native, explotación de cadenas de suministro y campañas asistidas por IA generativa para ingeniería social y evasión. Este trabajo propone un marco integral de detección orientado a 2026 que combina recolección de señales mediante eBPF, registros de identidad y nube, detección basada en comportamiento, modelado de secuencias y enriquecimiento contextual con inteligencia de amenazas. La contribución central es una metodología operacional que formaliza la detección como un problema de maximización de cobertura bajo restricciones de latencia, costo y falsos positivos, y que integra reglas expresables en Sigma, consultas en KQL y detección basada en features para modelos supervisados y no supervisados. Se presenta además una implementación de referencia sobre un stack realista compuesto por Linux eBPF, OpenTelemetry, Elastic Security, Sigma, Zeek, Suricata, auditd y un bus de eventos tipo Kafka, con procedimientos reproducibles para ajuste y validación. La evaluación experimental, basada en conjuntos públicos y escenarios realistas de TTPs alineados con MITRE ATT&CK, muestra que la correlación multimodal mejora de forma sustantiva el recuerdo de incidentes de baja y media intensidad sin degradar de forma crítica la precisión operativa. El estudio de caso ilustra una intrusión híbrida iniciada por phishing, seguida de robo de tokens, uso de OAuth consent grants y persistencia en SaaS, destacando cómo la detección moderna debe observar identidades, no solo hosts. Finalmente, se discuten límites, trade-offs y líneas futuras en detección asistida por IA, privacidad, gobernanza y adaptación a amenazas post-cuánticas y supply chain.

2026-05-01Read paper →Detection

Detección en ciberseguridad en 2026: una arquitectura híbrida de telemetría, correlación semántica y detección resiliente frente a amenazas asistidas por IA

La detección se ha convertido en la función de control más crítica dentro de la ciberseguridad moderna, especialmente en un contexto de 2026 marcado por cadenas de ataque más rápidas, cargas maliciosas asistidas por IA, abuso sistemático de identidades, despliegues híbridos en nube y la consolidación de arquitecturas Zero Trust, CNAPP y observabilidad basada en eBPF. Este artículo presenta un marco de detección de nueva generación diseñado para entornos corporativos y de misión crítica, orientado a reducir el tiempo medio de detección $MTTD$ y el tiempo medio de respuesta $MTTR$ mediante una combinación de telemetría heterogénea, correlación semántica, puntuación probabilística y validación continua contra emulación de adversario. A diferencia de los enfoques tradicionales centrados exclusivamente en firmas o reglas estáticas, proponemos una metodología híbrida que integra eventos de endpoint, red, identidad, nube, SaaS y laboratorio de comportamiento, con normalización en un modelo común y enriquecimiento contextual apoyado en grafos de relaciones y detección de secuencias. El trabajo formaliza el problema de detección como una función de decisión sobre flujos de evidencias $\mathcal{E}$, bajo incertidumbre y presupuesto limitado de alertas, y propone un mecanismo de fusión que combina reglas de alta precisión, modelos estadísticos de anomalía y mapeo a técnicas MITRE ATT&CK. La arquitectura se implementa con componentes realistas y disponibles en 2026, incluyendo Sigma, YARA, Suricata, Zeek, OpenSearch, Elastic, Wazuh, Sysmon, eBPF, Falco, osquery y automatización de respuesta con SOAR. La evaluación experimental, basada en escenarios reproducibles de ransomware, exfiltración, abuso de tokens, living-off-the-land y movimiento lateral, muestra mejoras significativas en cobertura, precisión operacional y tiempos de triage frente a una línea base de SIEM convencional. Se concluye que la detección eficaz en 2026 ya no puede depender de indicadores aislados ni de firmas únicas, sino de una ingeniería de detección continua, versionada y medible, alineada con el ciclo de vida del adversario y con gobierno explícito de calidad, costo y latencia.

2026-04-27Read paper →Detection

Detección de amenazas en ciberseguridad en 2026: una arquitectura híbrida para entornos híbridos, nube, endpoints y flujos de telemetría asistidos por eBPF, Sigma y aprendizaje estadístico

La detección se ha convertido en el eje de la defensa moderna porque los perímetros tradicionales desaparecieron, las cargas de trabajo se fragmentaron entre nube pública, SaaS, contenedores, endpoints y redes definidas por software, y los adversarios profesionalizaron el sigilo operacional. En 2026, la capacidad de detectar depende menos de un único sensor y más de la correlación de telemetría heterogénea, de la ingeniería de reglas portables y del uso prudente de modelos estadísticos y de comportamiento para reducir el tiempo medio de detección sin elevar de forma inaceptable la tasa de falsos positivos. Este artículo presenta un marco integral de detección que combina fuentes EDR/XDR, DNS, proxy, identidad, nube, Kubernetes y observabilidad basada en eBPF, con normalización semántica en torno a MITRE ATT&CK, reglas Sigma, consultas YARA-L cuando aplica, y una capa analítica orientada a score de riesgo. La contribución principal es una metodología reproducible para traducir hipótesis defensivas en detecciones accionables, evaluables y mantenibles a escala, integrando umbrales dinámicos, correlación temporal y lógica de prioridad basada en criticidad del activo y contexto de identidad. Además, se presenta una implementación de referencia en una pila realista de 2026 con SIEM, data lake, OpenTelemetry, Falco, Suricata, Wazuh, Zeek y componentes de nube nativa, junto con una evaluación experimental centrada en precisión, cobertura, latencia y costo operativo. Los resultados muestran que la detección híbrida supera consistentemente a enfoques monolíticos basados solo en firmas o solo en anomalía, especialmente contra técnicas living-off-the-land, abuso de identidad y persistencia en SaaS. Se discuten limitaciones, incluyendo deriva de comportamiento, adversarial ML, ruido de telemetría y restricciones de privacidad, y se proponen líneas de trabajo para detección asistida por modelos fundacionales, privacidad diferencial y endurecimiento de pipelines de observabilidad. El artículo concluye que la detección efectiva en 2026 requiere una disciplina de ingeniería, no solo herramientas: hipótesis explícitas, datos confiables, reglas portables, modelos calibrados y operaciones de mejora continua.

2026-04-26Read paper →Detection

Arquitecturas Modernas de Detección de Amenazas en Infraestructuras Híbridas: Correlación Multicapa con Telemetría eBPF, SIEM de Nueva Generación y Modelos de Aprendizaje Automático (2026)

La detección de amenazas constituye uno de los pilares fundamentales de las operaciones modernas de ciberseguridad. A medida que las infraestructuras corporativas evolucionan hacia entornos híbridos compuestos por nubes públicas, contenedores, microservicios y dispositivos distribuidos, las superficies de ataque crecen de manera exponencial. Paralelamente, los adversarios han incorporado técnicas avanzadas que incluyen automatización, evasión de EDR, explotación de identidades, living-off-the-land binaries (LOLBins) y campañas de ingeniería social generadas mediante inteligencia artificial. En este contexto, los mecanismos tradicionales de detección basados únicamente en firmas resultan insuficientes. Este trabajo presenta un enfoque integral de detección de amenazas diseñado para el panorama operativo de 2026, combinando telemetría a nivel kernel mediante eBPF, correlación en plataformas SIEM/XDR de nueva generación y modelos híbridos de detección basados en aprendizaje automático y análisis estadístico. Se formaliza un modelo de amenaza que contempla actores APT, operadores de ransomware y campañas automatizadas impulsadas por IA generativa. Posteriormente se propone una arquitectura de detección multicapa que integra fuentes heterogéneas de datos —logs de identidad, eventos de red, telemetría de endpoint y actividad en contenedores— para producir alertas de alta fidelidad. La investigación incluye la implementación de un prototipo operativo basado en Elastic Security, Falco, Zeek y sensores eBPF desplegados en Kubernetes. Además, se evalúa experimentalmente la capacidad de detección frente a técnicas MITRE ATT&CK comunes como credential dumping (T1003), command-and-control sobre DNS (T1071.004) y ejecución mediante PowerShell (T1059.001). Los resultados muestran mejoras significativas en la tasa de detección y reducción de falsos positivos mediante correlación probabilística y modelado de comportamiento. Finalmente, se presenta un estudio de caso realista inspirado en intrusiones observadas entre 2022 y 2025, donde un operador de ransomware utiliza robo de credenciales y movimiento lateral en un entorno híbrido. El análisis demuestra cómo la correlación entre telemetría de kernel, flujos de red y anomalías de identidad permite detectar la intrusión en fases tempranas de la cadena de ataque. El trabajo concluye con una discusión sobre limitaciones actuales y direcciones futuras, incluyendo detección asistida por modelos generativos, seguridad de modelos de IA y el impacto de criptografía post-cuántica en la inspección de tráfico cifrado.

2026-03-20Read paper →Detection

Arquitectura Híbrida de Detección Multicapa Basada en Telemetría de Endpoint, Red y Memoria con Correlación Temporal Probabilística Orientada a MITRE ATT&CK

TITLE: Arquitectura Híbrida de Detección Multicapa Basada en Telemetría de Endpoint, Red y Memoria con Correlación Temporal Probabilística Orientada a MITRE ATT&CK ABSTRACT: La creciente complejidad de las campañas de intrusión observadas en entornos corporativos modernos desafía las arquitecturas tradicionales de detección basadas en sensores aislados. Los ataques contemporáneos explotan con frecuencia técnicas living-off-the-land (LOLBins), frameworks de post-explotación ampliamente disponibles y canales de comando y control ofuscados, dando lugar a cadenas de eventos distribuidas entre red, endpoint y memoria volátil. Aunque herramientas como IDS/IPS, EDR y plataformas SIEM son ampliamente adoptadas, su integración analítica sigue limitada por modelos de correlación predominantemente sintácticos, incapaces de capturar dependencias temporales y semánticas entre eventos heterogéneos. El framework MITRE ATT&CK se ha consolidado como una ontología operacional para la descripción de Tácticas, Técnicas y Procedimientos (TTPs), pero su uso en sistemas de detección a menudo se restringe a mapeos estáticos o visualizaciones descriptivas. En este trabajo proponemos una arquitectura híbrida de detección multicapa que integra telemetría de red, endpoint y memoria con un mecanismo formal de correlación temporal probabilística alineado semánticamente con el modelo ATT&CK. La arquitectura combina sensores ampliamente utilizados —incluidos Suricata, Sysmon, Volatility 3 y reglas Sigma/YARA— con una capa de ingesta basada en Kafka e indexación estructurada según Elastic Common Schema. Formalizamos el proceso de detección como un problema de inferencia bajo incertidumbre, modelado por grafos temporales ponderados en los que los eventos representan vértices anotados con técnicas ATT&CK y las aristas representan transiciones semánticamente compatibles dentro de una ventana temporal definida. Introducimos una función de riesgo condicional que integra probabilidades contextuales de técnicas individuales y pesos de transición entre TTPs, permitiendo estimar la plausibilidad de cadenas de ataque completas. Demostramos analíticamente que la construcción incremental de estos grafos puede realizarse con complejidad $O(n \log n)$ por ventana temporal utilizando estructuras indexadas por tiempo. La evaluación experimental se llevó a cabo utilizando conjuntos de datos ampliamente referenciados en la literatura (CIC‑IDS2017 y UNSW‑NB15) y escenarios controlados de ejecución de malware en un laboratorio aislado. Los resultados indican mejoras consistentes en métricas relativas de F1‑score y una reducción cualitativa del ruido operacional en comparación con sensores aislados. Estudios de caso adicionales en entornos corporativos simulados y en infraestructura hospitalaria demuestran una reducción en el tiempo de detección de cadenas de ataque que involucran credential dumping y movimiento lateral. El trabajo aporta una formalización matemática de la correlación temporal orientada a ATT&CK, una arquitectura reproducible basada en herramientas ampliamente adoptadas y un análisis crítico de las limitaciones estadísticas asociadas a la detección de intrusiones en entornos de baja prevalencia de ataques.

2008-04-04Read paper →Detection

TÍTULO: Arquitectura Híbrida Basada en Telemetría Multicapa y Correlación Semántica para la Detección Avanzada de Amenazas en Entornos Empresariales

TÍTULO: Arquitectura Híbrida Basada en Telemetría Multicapa y Correlación Semántica para la Detección Avanzada de Amenazas en Entornos Empresariales RESUMEN: La creciente sofisticación de los ciberataques, junto con la expansión de infraestructuras híbridas y multicloud, impone desafíos sustanciales a las operaciones modernas de seguridad (Security Operations Centers – SOCs). Las técnicas de ataque contemporáneas explotan vulnerabilidades zero-day, abusan de identidades legítimas, utilizan living-off-the-land binaries (LOLBins) y cadenas complejas de movimiento lateral, frecuentemente distribuidas entre endpoints, redes corporativas y servicios en la nube. En este contexto, los mecanismos tradicionales basados exclusivamente en firmas o en la detección aislada de anomalías presentan limitaciones significativas, especialmente en lo que respecta a la escalabilidad operativa y a la reducción de falsos positivos. Este artículo presenta una arquitectura híbrida de detección basada en telemetría multicapa y correlación semántica de eventos orientada por grafos de Tactics, Techniques, and Procedures (TTPs) derivados del framework MITRE ATT&CK. La propuesta integra sensores de red, telemetría de endpoint, eventos de identidad y logs de entornos cloud-native, incorporando componentes contemporáneos como instrumentación basada en eBPF e integración con plataformas CNAPP (Cloud-Native Application Protection Platform). Formalizamos el proceso de detección como un problema de inferencia sobre grafos dinámicos de eventos, en los cuales secuencias de actividades observables son mapeadas a técnicas ATT&CK y correlacionadas semánticamente para identificar cadenas de ataque. El modelo combina tres paradigmas complementarios: detección basada en firmas (YARA y Suricata), reglas comportamentales estructuradas (Sigma) y análisis estadístico de patrones de comportamiento. Evaluamos experimentalmente la arquitectura utilizando un conjunto de datos compuesto por benchmarks académicos ampliamente utilizados (UNSW-NB15 y CIC-IDS2017) y campañas controladas de red teaming realizadas en un entorno empresarial simulado. Los resultados indican una mejora significativa en las métricas de desempeño: precisión de 0,89, recall de 0,83 y F1-score de 0,86, además de una reducción del 38,2% en la tasa de falsos positivos en comparación con enfoques aislados. También se observó una reducción del mean time to detect (MTTD) de 6,1 a 4,2 minutos. Los resultados demuestran que la correlación semántica basada en grafos de TTPs, combinada con telemetría multicapa, representa un enfoque prometedor para mejorar la eficacia operacional de los SOCs contemporáneos en escenarios empresariales complejos.

2008-03-28Read paper →Detection

TÍTULO: Detección Adaptativa Multinivel de Amenazas Cibernéticas Basada en Fusión Bayesiana de Telemetría y Grafos Temporales de Ataque

TÍTULO: Detección Adaptativa Multinivel de Amenazas Cibernéticas Basada en Fusión Bayesiana de Telemetría y Grafos Temporales de Ataque RESUMEN: El creciente grado de complejidad de las infraestructuras digitales contemporáneas, caracterizadas por entornos de nube híbrida, arquitecturas distribuidas y enormes flujos de telemetría operacional, impone desafíos sustanciales para la detección temprana de amenazas cibernéticas. Los sistemas tradicionales de security information and event management (SIEM) basados en reglas determinísticas presentan limitaciones estructurales en la identificación de campañas en múltiples etapas, particularmente cuando los adversarios utilizan credenciales legítimas, movimiento lateral discreto y técnicas de evasión. Al mismo tiempo, los enfoques puramente basados en machine learning con frecuencia sufren degradación bajo change of distribution y carecen de interpretabilidad operacional. En este trabajo, presentamos una arquitectura de detección adaptativa multinivel que integra fusión Bayesiana incremental de evidencias con modelado estructural basado en grafos temporales de ataque. El enfoque propuesto permite correlacionar telemetría heterogénea de endpoints, redes, identidades y entornos de nube, manteniendo al mismo tiempo dependencias temporales explícitas entre eventos y alineación semántica con la taxonomía MITRE ATT&CK. Formalizamos el problema como inferencia probabilística sobre cadenas de ataque en un grafo dinámico G_t=(V_t,E_t,w_t), en el que los pesos representan probabilidades condicionales de comportamiento malicioso. Desarrollamos un mecanismo incremental de actualización Bayesiana capaz de procesar flujos superiores a 10^6 eventos por minuto, manteniendo convergencia probabilística y baja latencia operativa. La implementación se realizó en una arquitectura de stream processing basada en Apache Kafka y Apache Flink, con persistencia de grafos en Neo4j y gestión de estado en RocksDB. Las evaluaciones experimentales se llevaron a cabo utilizando los conjuntos de datos UNSW-NB15 y CIC-IDS2017, además de un corpus corporativo anonimizado que contiene aproximadamente 400 millones de eventos. En comparación con enfoques basados en reglas, Random Forest y redes LSTM, el método propuesto alcanzó una precisión media de 0.91, recall de 0.88 y F1-score de 0.89, además de reducir la tasa de falsos positivos en 42% con respecto a sistemas SIEM convencionales. Los resultados demuestran que la fusión probabilística de telemetría, combinada con la representación estructural de cadenas de ataque, proporciona ganancias sustanciales en robustez, interpretabilidad y escalabilidad. También discutimos implicaciones para arquitecturas modernas de seguridad en la nube, integración con plataformas CNAPP y limitaciones asociadas al modelado previo de hipótesis adversariales.

2008-03-21Read paper →Detection

TÍTULO: Arquitectura Híbrida Multicapa para la Detección Proactiva de Amenazas Avanzadas Basada en Correlación Semántica, Telemetría Multifuente y Modelos Estadísticos Adaptativos

TÍTULO: Arquitectura Híbrida Multicapa para la Detección Proactiva de Amenazas Avanzadas Basada en Correlación Semántica, Telemetría Multifuente y Modelos Estadísticos Adaptativos RESUMEN: La detección eficiente de amenazas avanzadas sigue siendo uno de los principales desafíos operativos en la ciberseguridad contemporánea. Los entornos corporativos modernos se caracterizan por infraestructuras híbridas que combinan recursos on-premise, nubes públicas y workloads containerizados, generando volúmenes masivos de telemetría heterogénea provenientes de endpoints, redes y plataformas de identidad. En este contexto, los mecanismos tradicionales de detección basados exclusivamente en firmas demuestran limitaciones significativas frente a ataques multietapa, malware fileless y técnicas living-off-the-land. Este trabajo propone una arquitectura híbrida multicapa para la detección proactiva de amenazas avanzadas que integra correlación semántica basada en la ontología MITRE ATT&CK, análisis temporal de eventos y modelos estadísticos adaptativos para la identificación de comportamientos anómalos. Formalizamos el problema de detección como la inferencia probabilística de cadenas de ataque en flujos de eventos heterogéneos, considerando restricciones operativas de latencia y tasas aceptables de falsos positivos. La arquitectura propuesta organiza el proceso de detección en tres capas principales: (i) recolección y normalización de telemetría multifuente proveniente de sensores de red, agentes de endpoint y registros de identidad; (ii) correlación semántica basada en grafos de técnicas ATT&CK, capaz de identificar secuencias plausibles de actividades adversarias; y (iii) modelado estadístico adaptativo utilizando algoritmos de detección de anomalías, como Isolation Forest, para identificar desvíos comportamentales no observados previamente. Implementamos un prototipo operacional utilizando Elastic Stack, Suricata, Sysmon y Wazuh, integrados con fuentes de inteligencia de amenazas a través de MISP. La evaluación experimental fue realizada en un entorno controlado con múltiples máquinas virtuales Windows y Linux, en el cual se ejecutaron escenarios realistas de ataque utilizando herramientas ampliamente documentadas en la literatura de seguridad ofensiva, incluyendo Metasploit, Cobalt Strike y Mimikatz. Los resultados demuestran una mejora sustancial en el tiempo medio de detección (MTTD), además de una mayor cobertura de técnicas ATT&CK en comparación con enfoques basados exclusivamente en IDS de red. Observamos una reducción aproximada del 37% en el MTTD y un aumento del 21% en la cobertura de técnicas detectadas. Los resultados indican que las arquitecturas híbridas que combinan correlación semántica, análisis estadístico y telemetría distribuida constituyen un enfoque prometedor para las operaciones modernas de Security Operations Center (SOC), particularmente en entornos híbridos y cloud-native.

2008-03-14Read paper →Detection

DETECCIÓN ADAPTATIVA MULTICAPA DE AMENAZAS AVANZADAS BASADA EN FUSIÓN BAYESIANA DE TELEMETRÍA HETEROGÉNEA Y GRAFOS TEMPORALES

TITLE: DETECCIÓN ADAPTATIVA MULTICAPA DE AMENAZAS AVANZADAS BASADA EN FUSIÓN BAYESIANA DE TELEMETRÍA HETEROGÉNEA Y GRAFOS TEMPORALES ABSTRACT: La creciente sofisticación de las amenazas cibernéticas en 2025, incluidos ataques multietapa, explotación de vulnerabilidades zero-day, compromisos de la cadena de suministro, abuso de identidades y explotación de modelos de inteligencia artificial generativa, impone desafíos sustanciales a los mecanismos tradicionales de detección. En este trabajo, proponemos una arquitectura de detección adaptativa multicapa fundamentada en la fusión Bayesiana recursiva de telemetría heterogénea y en el modelado estructural mediante grafos temporales dinámicos. Formalizamos el problema como inferencia sobre un proceso latente binario que representa la presencia de actividad maliciosa a lo largo del tiempo, estimado a partir de eventos observables provenientes de red, endpoint, identidad, aplicaciones y workloads en la nube. La metodología integra (i) normalización semántica de eventos, (ii) extracción de características estadísticas y estructurales, (iii) construcción incremental de grafos temporales y (iv) inferencia Bayesiana con actualización en log-verosimilitud para estabilidad numérica. Introducimos además un detector estructural basado en la divergencia de Kullback–Leibler entre distribuciones de métricas topológicas observadas y baselines históricos. Evaluamos empíricamente el modelo en conjuntos de datos públicos ampliamente utilizados (CIC-IDS2017 y UNSW-NB15) y en un conjunto de datos corporativo que contiene 2,3 mil millones de eventos anonimizados, comparándolo con Random Forest, XGBoost y LSTM. Los resultados indican una mejora estadísticamente significativa en el F1-score y una reducción consistente de la tasa de falsos positivos y del tiempo medio de detección de movimiento lateral. Discutimos implicaciones en entornos Zero Trust y CNAPP, la robustez frente a la deriva de concepto y los riesgos de envenenamiento de datos. Demostramos que la fusión probabilística coherente de múltiples evidencias débiles, combinada con el análisis estructural de grafos temporales, proporciona ganancias sustanciales de precisión y latencia, manteniendo la escalabilidad operativa en arquitecturas distribuidas modernas.

2007-04-29Read paper →Detection

TÍTULO: DETECCIÓN ADAPTATIVA MULTICAPA DE AMENAZAS AVANZADAS BASADA EN FUSIÓN BAYESIANA DE TELEMETRÍA HETEROGÉNEA Y GRAFOS TEMPORALES

TÍTULO: DETECCIÓN ADAPTATIVA MULTICAPA DE AMENAZAS AVANZADAS BASADA EN FUSIÓN BAYESIANA DE TELEMETRÍA HETEROGÉNEA Y GRAFOS TEMPORALES RESUMEN: La creciente sofisticación de las amenazas cibernéticas en 2025, incluidos los ataques multietapa, la explotación de vulnerabilidades zero-day, los compromisos de la cadena de suministro, el abuso de identidades y la explotación de modelos de inteligencia artificial generativa, impone desafíos sustanciales a los mecanismos tradicionales de detección. En este trabajo, proponemos una arquitectura de detección adaptativa multicapa fundamentada en la fusión bayesiana recursiva de telemetría heterogénea y el modelado estructural mediante grafos temporales dinámicos. Formalizamos el problema como una inferencia sobre un proceso latente binario que representa la presencia de actividad maliciosa a lo largo del tiempo, estimado a partir de eventos observables procedentes de red, endpoint, identidad, aplicaciones y workloads en la nube. La metodología integra (i) normalización semántica de eventos, (ii) extracción de características estadísticas y estructurales, (iii) construcción incremental de grafos temporales y (iv) inferencia bayesiana con actualización en log-verosimilitud para estabilidad numérica. Introducimos además un detector estructural basado en la divergencia de Kullback–Leibler entre distribuciones de métricas topológicas observadas y baselines históricos. Evaluamos empíricamente el modelo en datasets públicos ampliamente utilizados (CIC-IDS2017 y UNSW-NB15) y en un dataset corporativo que contiene 2,3 mil millones de eventos anonimizados, comparándolo con Random Forest, XGBoost y LSTM. Los resultados indican una mejora estadísticamente significativa en el $F1$-score y una reducción consistente de la tasa de falsos positivos y del tiempo medio de detección de movimiento lateral. Discutimos implicaciones en entornos Zero Trust y CNAPP, robustez al concept drift y riesgos de envenenamiento de datos. Demostramos que la fusión probabilística coherente de múltiples evidencias débiles, combinada con el análisis estructural de grafos temporales, proporciona ganancias sustanciales de precisión y latencia, manteniendo la escalabilidad operativa en arquitecturas distribuidas modernas.

2007-04-29Read paper →Detection

Detección Adaptativa de Amenazas Persistentes Avanzadas mediante Modelado Temporal Multimodal e Inferencia Probabilística a Gran Escala

TITLE: Detección Adaptativa de Amenazas Persistentes Avanzadas mediante Modelado Temporal Multimodal e Inferencia Probabilística a Gran Escala ABSTRACT: La creciente sofisticación de las Amenazas Persistentes Avanzadas (APTs) en entornos híbridos y nativos de nube impone desafíos sustanciales para la detección temprana de compromisos. En 2025, el escenario operativo incorpora arquitecturas multi-cloud, CNAPP (Cloud-Native Application Protection Platforms), cargas de trabajo efímeras, telemetría vía eBPF y riesgos emergentes asociados con modelos de lenguaje de gran tamaño (LLMs). En este trabajo, proponemos un modelo formal para la detección adaptativa de APTs basado en la integración entre grafos dinámicos multimodales y procesos de Hawkes multivariados, estructurado bajo una perspectiva bayesiana explícita. Formalizamos el flujo de eventos como una secuencia temporal heterogénea y modelamos la propagación de actividad maliciosa como un proceso autoexcitatorio con restricciones de estabilidad espectral. La decisión óptima se deriva bajo pérdida 0–1 con limitación explícita de la tasa de falsos positivos, abordando el problema fundamental de base rate. Implementamos la arquitectura en un entorno distribuido con Apache Kafka, Apache Flink y almacenamiento distribuido, incorporando extracción de telemetría basada en eBPF y enriquecimiento contextual alineado con MITRE ATT&CK. Evaluamos el modelo en los conjuntos de datos CIC-IDS2017, DARPA Transparent Computing y en un conjunto de datos corporativo anonimizado con 2,3 mil millones de eventos. Los resultados demuestran una ganancia estadísticamente significativa (p < 0,01) en F1-score, una reducción del 38 % en la tasa de falsos positivos y un AUC de 0,97 en comparación con baselines como Isolation Forest, LSTM y reglas Sigma. También discutimos implicaciones para la seguridad de sistemas basados en IA, la gobernanza de modelos y la integración con controles poscuánticos emergentes. Concluimos que el modelado probabilístico relacional proporciona una base teórica robusta y operativamente viable para la detección adaptativa a gran escala, compatible con las exigencias contemporáneas de observabilidad, cumplimiento y resiliencia cibernética.

2007-04-22Read paper →Detection

TÍTULO: Detección Adaptativa de Amenazas Persistentes Avanzadas mediante Modelado Temporal Multimodal e Inferencia Probabilística a Gran Escala

TÍTULO: Detección Adaptativa de Amenazas Persistentes Avanzadas mediante Modelado Temporal Multimodal e Inferencia Probabilística a Gran Escala RESUMEN: La creciente sofisticación de las Amenazas Persistentes Avanzadas (APTs) en entornos híbridos y nativos de la nube impone desafíos sustanciales para la detección temprana de compromisos. En 2025, el escenario operativo incorpora arquitecturas multi-cloud, CNAPP (Cloud-Native Application Protection Platforms), workloads efímeros, telemetría mediante eBPF y riesgos emergentes asociados a modelos de lenguaje de gran tamaño (LLMs). En este trabajo, proponemos un modelo formal para la detección adaptativa de APTs basado en la integración entre grafos dinámicos multimodales y procesos de Hawkes multivariados, estructurado bajo una perspectiva bayesiana explícita. Formalizamos el flujo de eventos como una secuencia temporal heterogénea y modelamos la propagación de actividad maliciosa como un proceso autoexcitable con restricciones de estabilidad espectral. La decisión óptima se deriva bajo pérdida 0–1 con limitación explícita de la tasa de falsos positivos, enfrentando el problema fundamental de la tasa base. Implementamos la arquitectura en un entorno distribuido con Apache Kafka, Apache Flink y almacenamiento distribuido, incorporando extracción de telemetría basada en eBPF y enriquecimiento contextual alineado con MITRE ATT&CK. Evaluamos el modelo en los conjuntos CIC-IDS2017, DARPA Transparent Computing y en un dataset corporativo anonimizado con 2,3 mil millones de eventos. Los resultados demuestran una mejora estadísticamente significativa (p < 0,01) en F1-score, una reducción del 38% en la tasa de falsos positivos y un AUC de 0,97 en comparación con baselines como Isolation Forest, LSTM y reglas Sigma. Asimismo, discutimos las implicaciones para la seguridad de sistemas basados en IA, la gobernanza de modelos y la integración con controles poscuánticos emergentes. Concluimos que el modelado probabilístico relacional proporciona una base teórica robusta y operacionalmente viable para la detección adaptativa a gran escala, compatible con las exigencias contemporáneas de observabilidad, cumplimiento normativo y resiliencia cibernética.

2007-04-22Read paper →Detection

DETECCIÓN ADAPTATIVA MULTICAPA DE AMENAZAS AVANZADAS BASADA EN FUSIÓN PROBABILÍSTICA Y APRENDIZAJE CONTINUO EN ENTORNOS CORPORATIVOS HETEROGÉNEOS

DETECCIÓN ADAPTATIVA MULTICAPA DE AMENAZAS AVANZADAS BASADA EN FUSIÓN PROBABILÍSTICA Y APRENDIZAJE CONTINUO EN ENTORNOS CORPORATIVOS HETEROGÉNEOS La detección de amenazas en entornos corporativos contemporáneos se ha convertido en un problema estructuralmente complejo debido a la convergencia entre infraestructuras híbridas, arquitecturas multinube, dispositivos móviles, workloads contenerizados, superficies expuestas por APIs y la creciente integración de sistemas basados en inteligencia artificial. Informes recientes indican que las credenciales comprometidas, la explotación de vulnerabilidades conocidas y el abuso de herramientas legítimas continúan figurando entre los principales vectores de intrusión, mientras que el tiempo medio de permanencia del atacante (dwell time) sigue siendo significativo, evidenciando limitaciones en los mecanismos tradicionales de detección (VERIZON, 2024; MANDIANT, 2023). En este trabajo, formalizamos el problema de detección casi en tiempo real como inferencia probabilística sobre un estado latente de compromiso sistémico, modelado mediante un proceso de Markov y estimado a través de la fusión de evidencias heterogéneas provenientes de múltiples capas telemétricas. Proponemos el framework AMuLeT (Adaptive Multi-Layer Threat detection), que combina clasificadores supervisados y autoencoders por capa, integrados mediante una regla de razón de verosimilitud logarítmica bajo una hipótesis de independencia condicional aproximada. Además, introducimos un mecanismo de aprendizaje continuo con regularización elástica para mitigar el concept drift y la evolución adversarial, preservando parámetros históricamente relevantes. Evaluamos empíricamente el enfoque en conjuntos de datos públicos ampliamente utilizados y en un dataset corporativo de gran escala, totalizando miles de millones de eventos. Los resultados demuestran mejoras estadísticamente significativas en AUC, F1-score, tasa de falsos positivos y reducción del tiempo medio de detección en comparación con modelos aislados. Discutimos implicaciones prácticas a la luz de las recomendaciones del NIST y de tendencias contemporáneas como CNAPP, eBPF y la seguridad de modelos de lenguaje de gran tamaño, delineando extensiones futuras que involucran grafos dinámicos y aprendizaje federado con garantías formales de privacidad diferencial.

2007-04-15Read paper →Detection

Detección Híbrida y Adaptativa de Amenazas Cibernéticas en Entornos Corporativos Utilizando Correlación Temporal Multinivel y Aprendizaje Representacional Auto-Supervisado

TITLE: Detección Híbrida y Adaptativa de Amenazas Cibernéticas en Entornos Corporativos Utilizando Correlación Temporal Multinivel y Aprendizaje Representacional Auto-Supervisado ABSTRACT: La detección de amenazas cibernéticas en entornos corporativos contemporáneos exige mecanismos capaces de correlacionar eventos heterogéneos, modelar dependencias temporales complejas y adaptarse a adversarios que explotan credenciales válidas, técnicas fileless y cadenas multietapa alineadas con MITRE ATT&CK. En este trabajo, proponemos una arquitectura híbrida que integra aprendizaje representacional auto-supervisado, modelado temporal jerárquico y correlación probabilística en grafos dinámicos, con el objetivo de reducir falsos positivos sin comprometer la sensibilidad bajo deriva conceptual. Formalizamos el problema como la estimación de $P(Y=1 \mid G_{t-k:t})$, donde $G_{t-k:t}$ representa una ventana deslizante de grafos temporales extraídos de múltiples fuentes de telemetría (logs de autenticación, eventos de endpoint, flujos de red y telemetría en la nube). El componente auto-supervisado se basa en predicción contextual temporal con Transformers ligeros, permitiendo el aprendizaje de embeddings semánticos robustos en ausencia de etiquetas abundantes. La etapa de correlación multinivel utiliza potenciales log-lineales definidos sobre subgrafos coherentes con técnicas ATT&CK, asegurando interpretabilidad operacional. Implementamos la solución sobre infraestructura distribuida con Apache Kafka, Apache Flink, PyTorch y Neo4j, alcanzando un rendimiento sostenido de 120 mil eventos por segundo en un clúster de 24 nodos. Evaluamos el modelo en los datasets CIC-IDS2017, LANL Cybersecurity Dataset y en un conjunto corporativo con 4,2 mil millones de eventos. Observamos AUC promedio de 0,982, F1 de 0,941, TPR de 96,4% y FPR de 3,1%, representando una reducción relativa de 38% en falsos positivos frente a baselines como Isolation Forest, DeepLog y Autoencoders LSTM ($p < 0{,}01$). Discutimos implicaciones para la integración con plataformas SIEM y CNAPP, así como extensiones que involucran aprendizaje federado con privacidad diferencial y robustez adversarial. Los resultados demuestran que la combinación de representación auto-supervisada y correlación estructural probabilística constituye un enfoque prometedor para la detección adaptativa a gran escala hasta el estado del arte de 2025.

2007-04-08Read paper →