Research / Paper Files
Paper Files
Paper Files es una práctica personal de estudio continuo en ciberseguridad que aplica el método científico como herramienta de aprendizaje. Cada artículo no se escribe para su publicación académica, sino como un ejercicio deliberado para afilar el hacha — profundizando en temas concretos, organizando ideas con rigor y observando cómo evoluciona la comprensión de ciertos asuntos con el tiempo. Es el equivalente intelectual a un cuaderno de entrenamiento: cada entrada registra qué se estudió, cómo se analizó y qué conclusiones surgieron.
Recomiendo encarecidamente que los profesionales de seguridad adopten este método. Elige un tema que quieras dominar, investiga fuentes primarias (RFCs, papers, documentación oficial), estructura tu texto con introducción, metodología, análisis y conclusión, y escribe como si estuvieras explicándoselo a un compañero. El acto de escribir obliga a pensar con claridad y expone lagunas de comprensión que la lectura pasiva no puede revelar. Usa los artículos de este sitio como ejemplos de formato y profundidad, y construye tu propia colección: con el tiempo, tendrás un repositorio personal de conocimiento refinado que ningún curso ni certificación puede sustituir.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →216 papers
TÍTULO: Un enfoque formalmente fundamentado para DFIR basado en grafos temporales con garantías criptográficas de integridad y reconstrucción probabilística de la cadena de ataque
TÍTULO: Un enfoque formalmente fundamentado para DFIR basado en grafos temporales con garantías criptográficas de integridad y reconstrucción probabilística de la cadena de ataque RESUMEN: El aumento de la sofisticación de las campañas cibernéticas modernas impone desafíos significativos a las prácticas de Digital Forensics and Incident Response (DFIR). Los entornos corporativos contemporáneos generan volúmenes masivos de telemetría en múltiples capas — endpoints, redes, aplicaciones e infraestructuras en la nube — lo que hace prácticamente inviable la reconstrucción manual de incidentes. Aunque los sistemas de monitoreo y las plataformas SIEM proporcionan mecanismos de correlación de eventos, tales enfoques con frecuencia carecen de una base formal para preservar relaciones causales y consistencia temporal entre evidencias digitales. En este trabajo, presentamos una arquitectura formal para DFIR basada en grafos temporales enriquecidos con inferencia probabilística y mecanismos criptográficos de integridad de la evidencia. Proponemos un modelo matemático que representa eventos forenses como vértices tipados en un grafo dirigido temporalmente consistente, lo que permite capturar dependencias causales entre procesos, archivos, conexiones de red e identidades. Sobre este grafo, introducimos el algoritmo Attack Probabilistic Reconstruction (APR), que utiliza inferencia bayesiana condicionada a patrones tácticos y técnicos descritos en la estructura MITRE ATT&CK para estimar la secuencia más probable de las acciones del adversario. Adicionalmente, implementamos un mecanismo criptográfico de encadenamiento de hashes que asegura la integridad y la verificabilidad de las evidencias a lo largo del pipeline investigativo. Evaluamos experimentalmente la arquitectura propuesta utilizando tres conjuntos de datos representativos: el conjunto de datos DARPA Transparent Computing, registros empresariales reales a gran escala y escenarios sintéticos de explotación de Log4Shell. Los resultados demuestran mejoras sustanciales en precisión, revocación y tiempo de reconstrucción de la cadena de ataque en comparación con enfoques basados exclusivamente en correlación heurística o detección estadística aislada. Observamos una reducción media del 37,4% en el tiempo de reconstrucción investigativa y un aumento significativo en la exactitud de las inferencias de la cadena de ataque. También discutimos implicaciones prácticas para la integración con plataformas SIEM modernas, así como limitaciones relacionadas con la calidad de los logs y los costos de almacenamiento. Concluimos que la combinación de modelado formal basado en grafos temporales, inferencia probabilística y garantías criptográficas constituye una base prometedora para sistemas DFIR escalables y verificables en entornos corporativos contemporáneos.
Read paper →DFIRTÍTULO: Una arquitectura formalmente fundamentada para DFIR basada en grafos temporales con garantías criptográficas de integridad y reconstrucción probabilística de la cadena de ataque
TÍTULO: Una arquitectura formalmente fundamentada para DFIR basada en grafos temporales con garantías criptográficas de integridad y reconstrucción probabilística de la cadena de ataque RESUMEN: El aumento de la sofisticación de las campañas cibernéticas modernas impone desafíos significativos a las prácticas de Digital Forensics and Incident Response (DFIR). Los entornos corporativos contemporáneos generan volúmenes masivos de telemetría en múltiples capas —endpoints, redes, aplicaciones e infraestructuras en la nube—, lo que vuelve prácticamente inviable la reconstrucción manual de incidentes. Si bien los sistemas de monitoreo y las plataformas SIEM proporcionan mecanismos de correlación de eventos, estos enfoques a menudo carecen de una base formal para preservar relaciones causales y consistencia temporal entre evidencias digitales. En este trabajo, proponemos una arquitectura formal para DFIR basada en grafos temporales enriquecidos con inferencia probabilística y mecanismos criptográficos de integridad de la evidencia. Proponemos un modelo matemático que representa eventos forenses como vértices tipados en un grafo dirigido temporalmente consistente, permitiendo capturar dependencias causales entre procesos, archivos, conexiones de red e identidades. Sobre este grafo, introducimos el algoritmo Attack Probabilistic Reconstruction (APR), que utiliza inferencia bayesiana condicionada a patrones tácticos y técnicos descritos en la estructura MITRE ATT&CK para estimar la secuencia más probable de las acciones del adversario. Adicionalmente, implementamos un mecanismo criptográfico de encadenamiento de hashes que asegura la integridad y la verificabilidad de las evidencias a lo largo del pipeline investigativo. Evaluamos experimentalmente la arquitectura propuesta utilizando tres conjuntos de datos representativos: el conjunto de datos DARPA Transparent Computing, logs empresariales reales a gran escala y escenarios sintéticos de explotación de Log4Shell. Los resultados demuestran mejoras sustanciales en precisión, revocación y tiempo de reconstrucción de la cadena de ataque en comparación con enfoques basados exclusivamente en correlación heurística o detección estadística aislada. Observamos una reducción promedio del 37,4% en el tiempo de reconstrucción investigativa y un aumento significativo en la exactitud de las inferencias de la cadena de ataque. También discutimos implicaciones prácticas para la integración con plataformas SIEM modernas, así como limitaciones relacionadas con la calidad de los logs y los costos de almacenamiento. Concluimos que la combinación de modelado formal basado en grafos temporales, inferencia probabilística y garantías criptográficas constituye una base prometedora para sistemas DFIR escalables y verificables en entornos corporativos contemporáneos.
Read paper →DFIRTÍTULO: Una arquitectura formalmente fundamentada para DFIR basado en grafos temporales con garantías criptográficas de integridad y reconstrucción probabilística de la cadena de ataque
TÍTULO: Una arquitectura formalmente fundamentada para DFIR basado en grafos temporales con garantías criptográficas de integridad y reconstrucción probabilística de la cadena de ataque RESUMEN: El aumento de la sofisticación de las campañas cibernéticas modernas impone desafíos significativos a las prácticas de Digital Forensics and Incident Response (DFIR). Los entornos corporativos contemporáneos generan volúmenes masivos de telemetría en múltiples capas — endpoints, redes, aplicaciones e infraestructuras en la nube —, lo que hace que la reconstrucción manual de incidentes sea prácticamente inviable. Aunque los sistemas de monitoreo y las plataformas SIEM proporcionan mecanismos de correlación de eventos, dichos enfoques con frecuencia carecen de una base formal para preservar las relaciones causales y la consistencia temporal entre las evidencias digitales. En este trabajo, presentamos una arquitectura formal para DFIR basada en grafos temporales enriquecidos con inferencia probabilística y mecanismos criptográficos de integridad de la evidencia. Proponemos un modelo matemático que representa eventos forenses como vértices tipados en un grafo dirigido temporalmente consistente, permitiendo capturar dependencias causales entre procesos, archivos, conexiones de red e identidades. Sobre este grafo, introducimos el algoritmo Attack Probabilistic Reconstruction (APR), que utiliza inferencia bayesiana condicionada a patrones tácticos y técnicos descritos en la estructura MITRE ATT&CK para estimar la secuencia más probable de las acciones del adversario. Adicionalmente, implementamos un mecanismo criptográfico de encadenamiento de hashes que asegura la integridad y la verificabilidad de las evidencias a lo largo del pipeline investigativo. Evaluamos experimentalmente la arquitectura propuesta utilizando tres conjuntos de datos representativos: el conjunto de datos DARPA Transparent Computing, logs empresariales reales a gran escala y escenarios sintéticos de explotación de Log4Shell. Los resultados demuestran mejoras sustanciales en precisión, revocación y tiempo de reconstrucción de la cadena de ataque en comparación con enfoques basados exclusivamente en correlación heurística o detección estadística aislada. Observamos una reducción media del 37,4% en el tiempo de reconstrucción investigativa y un aumento significativo en la exactitud de las inferencias de la cadena de ataque. También discutimos implicaciones prácticas para la integración con plataformas SIEM modernas, así como limitaciones relacionadas con la calidad de los logs y los costos de almacenamiento. Concluimos que la combinación de modelado formal basado en grafos temporales, inferencia probabilística y garantías criptográficas constituye una base prometedora para sistemas DFIR escalables y verificables en entornos corporativos contemporáneos.
Read paper →DFIRUna arquitectura formalmente fundamentada para DFIR basado en grafos temporales con garantías criptográficas de integridad y reconstrucción probabilística de la cadena de ataque
TITLE: Una arquitectura formalmente fundamentada para DFIR basado en grafos temporales con garantías criptográficas de integridad y reconstrucción probabilística de la cadena de ataque ABSTRACT: Una arquitectura formalmente fundamentada para DFIR basado en grafos temporales con garantías criptográficas de integridad y reconstrucción probabilística de la cadena de ataque RESUMEN: El aumento de la sofisticación de las campañas cibernéticas modernas impone desafíos significativos a las prácticas de Digital Forensics and Incident Response (DFIR). Los entornos corporativos contemporáneos generan volúmenes masivos de telemetría en múltiples capas — endpoints, redes, aplicaciones e infraestructuras en la nube — lo que hace prácticamente inviable la reconstrucción manual de incidentes. Aunque los sistemas de monitorización y las plataformas SIEM proporcionan mecanismos de correlación de eventos, dichos enfoques a menudo carecen de una base formal para preservar las relaciones causales y la consistencia temporal entre evidencias digitales. En este trabajo, proponemos una arquitectura formal para DFIR basada en grafos temporales enriquecidos con inferencia probabilística y mecanismos criptográficos de integridad de la evidencia. Proponemos un modelo matemático que representa eventos forenses como vértices tipados en un grafo dirigido temporalmente consistente, permitiendo capturar dependencias causales entre procesos, archivos, conexiones de red e identidades. Sobre este grafo, introducimos el algoritmo Attack Probabilistic Reconstruction (APR), que utiliza inferencia bayesiana condicionada a patrones tácticos y técnicos descritos en la estructura MITRE ATT&CK para estimar la secuencia más probable de las acciones del adversario. Adicionalmente, implementamos un mecanismo criptográfico de encadenamiento de hashes que garantiza la integridad y la verificabilidad de las evidencias a lo largo del pipeline investigativo. Evaluamos experimentalmente la arquitectura propuesta usando tres conjuntos de datos representativos: el conjunto de datos DARPA Transparent Computing, registros empresariales reales a gran escala y escenarios sintéticos de explotación de Log4Shell. Los resultados demuestran mejoras sustanciales en precisión, revocación y tiempo de reconstrucción de la cadena de ataque en comparación con enfoques basados exclusivamente en correlación heurística o detección estadística aislada. Observamos una reducción media del 37,4% en el tiempo de reconstrucción investigativa y un aumento significativo en la exactitud de las inferencias de la cadena de ataque. También discutimos implicaciones prácticas para la integración con plataformas SIEM modernas, así como limitaciones relacionadas con la calidad de los logs y los costes de almacenamiento. Concluimos que la combinación de modelado formal basado en grafos temporales, inferencia probabilística y garantías criptográficas constituye una base prometedora para sistemas DFIR escalables y verificables en entornos corporativos contemporáneos.
Read paper →DFIRTÍTULO: Un Arquitectura Formalmente Fundamentada para DFIR Basado en Grafos Temporales con Garantías Criptográficas de Integridad y Reconstrucción Probabilística de la Cadena de Ataque
TÍTULO: Un Arquitectura Formalmente Fundamentada para DFIR Basado en Grafos Temporales con Garantías Criptográficas de Integridad y Reconstrucción Probabilística de la Cadena de Ataque RESUMEN: El aumento de la sofisticación de las campañas cibernéticas modernas impone desafíos significativos a las prácticas de Digital Forensics and Incident Response (DFIR). Los entornos corporativos contemporáneos generan volúmenes masivos de telemetría en múltiples capas — endpoints, redes, aplicaciones e infraestructuras en la nube — lo que hace que la reconstrucción manual de incidentes sea prácticamente inviable. Aunque los sistemas de monitoreo y las plataformas SIEM proporcionan mecanismos de correlación de eventos, tales enfoques a menudo carecen de una base formal para preservar las relaciones causales y la consistencia temporal entre evidencias digitales. En este trabajo, presentamos una arquitectura formal para DFIR basada en grafos temporales enriquecidos con inferencia probabilística y mecanismos criptográficos de integridad de la evidencia. Proponemos un modelo matemático que representa eventos forenses como vértices tipados en un grafo dirigido temporalmente consistente, permitiendo capturar dependencias causales entre procesos, archivos, conexiones de red e identidades. Sobre este grafo, introducimos el algoritmo Attack Probabilistic Reconstruction (APR), que utiliza inferencia bayesiana condicionada por patrones tácticos y técnicos descritos en la estructura MITRE ATT&CK para estimar la secuencia más probable de las acciones del adversario. Adicionalmente, implementamos un mecanismo criptográfico de encadenamiento de hashes que asegura la integridad y la verificabilidad de las evidencias a lo largo del pipeline investigativo. Evaluamos experimentalmente la arquitectura propuesta usando tres conjuntos de datos representativos: el conjunto de datos DARPA Transparent Computing, logs empresariales reales a gran escala y escenarios sintéticos de explotación de Log4Shell. Los resultados demuestran mejoras sustanciales en precisión, revocación y tiempo de reconstrucción de la cadena de ataque en comparación con enfoques basados exclusivamente en correlación heurística o detección estadística aislada. Observamos una reducción media del 37,4% en el tiempo de reconstrucción investigativa y un aumento significativo en la exactitud de las inferencias de la cadena de ataque. También discutimos implicaciones prácticas para la integración con plataformas SIEM modernas, así como limitaciones relacionadas con la calidad de los logs y los costos de almacenamiento. Concluimos que la combinación de modelado formal basado en grafos temporales, inferencia probabilística y garantías criptográficas constituye una base prometedora para sistemas DFIR escalables y verificables en entornos corporativos contemporáneos.
Read paper →DFIRArquitectura orientada a evidencias para DFIR moderno: correlación multicapa, formalización matemática de línea de tiempo y orquestación automatizada en entornos híbridos
Arquitectura orientada a evidencias para DFIR moderno: correlación multicapa, formalización matemática de línea de tiempo y orquestación automatizada en entornos híbridos ABSTRACT: La creciente complejidad de los entornos computacionales contemporáneos —caracterizados por infraestructuras híbridas, workloads en la nube, contenedores y sistemas distribuidos— impone nuevos desafíos al área de Digital Forensics and Incident Response (DFIR). Los métodos tradicionales de investigación, basados predominantemente en la recolección manual de artefactos y la correlación ad hoc de logs, demuestran limitaciones frente a la escala, volatilidad y heterogeneidad de los datos generados por los sistemas modernos. Además, las campañas de amenazas persistentes avanzadas (APTs), las operaciones de ransomware-as-a-service (RaaS) y la explotación automatizada de vulnerabilidades críticas reducen drásticamente el intervalo entre el compromiso inicial y el movimiento lateral. En este contexto, resulta esencial desarrollar enfoques formalizados y escalables capaces de integrar múltiples fuentes de telemetría y reconstruir cadenas de ataque con precisión temporal. En este trabajo proponemos una arquitectura orientada a evidencias para DFIR moderno basada en tres pilares principales: (i) formalización matemática de la reconstrucción de líneas de tiempo forenses utilizando grafos dirigidos acíclicos, (ii) pipeline automatizado de ingesta, normalización y correlación de eventos provenientes de capas de red, endpoint, identidad y nube, y (iii) integración operacional con plataformas de orquestación y automatización de respuesta a incidentes. El modelo propuesto representa eventos de seguridad como entidades estructuradas y establece relaciones causales probabilísticas entre eventos correlacionados. La implementación experimental utiliza una pila tecnológica compuesta por Elastic Stack, Suricata, Zeek, Sysmon, Volatility 3 y una plataforma SOAR basada en TheHive y Cortex. Evaluamos la arquitectura utilizando un conjunto de 37 escenarios alineados con el framework MITRE ATT&CK, totalizando 1,2 TB de datos y aproximadamente 86 millones de eventos. Los resultados demuestran una reducción significativa en el tiempo medio de investigación (MTTI), disminución de falsos positivos y mayor precisión en la reconstrucción de cadenas de ataque en comparación con enfoques tradicionales basados únicamente en SIEM. Adicionalmente, discutimos implicaciones prácticas para centros de operaciones de seguridad (SOC), limitaciones del modelo y posibles extensiones que involucran análisis basado en grafos dinámicos e integración con técnicas de aprendizaje automático para la priorización investigativa.
Read paper →DFIRTÍTULO: Arquitectura Orientada a Evidencias para DFIR Moderno: Correlación Multicapa, Formalización Matemática de Línea de Tiempo y Orquestación Automatizada en Entornos Híbridos
TÍTULO: Arquitectura Orientada a Evidencias para DFIR Moderno: Correlación Multicapa, Formalización Matemática de Línea de Tiempo y Orquestación Automatizada en Entornos Híbridos RESUMEN: La creciente complejidad de los entornos computacionales contemporáneos —caracterizados por infraestructuras híbridas, workloads en la nube, contenedores y sistemas distribuidos— impone nuevos desafíos al área de Digital Forensics and Incident Response (DFIR). Los métodos tradicionales de investigación, basados predominantemente en la recolección manual de artefactos y la correlación ad hoc de logs, muestran limitaciones frente a la escala, volatilidad y heterogeneidad de los datos generados por los sistemas modernos. Además, las campañas de amenazas persistentes avanzadas (APTs), las operaciones de ransomware-as-a-service (RaaS) y la explotación automatizada de vulnerabilidades críticas reducen drásticamente el intervalo entre el compromiso inicial y el movimiento lateral. En este contexto, se vuelve esencial desarrollar enfoques formalizados y escalables capaces de integrar múltiples fuentes de telemetría y reconstruir cadenas de ataque con precisión temporal. En este trabajo proponemos una arquitectura orientada a evidencias para DFIR moderno basada en tres pilares principales: (i) formalización matemática de la reconstrucción de líneas de tiempo forenses utilizando grafos dirigidos acíclicos, (ii) pipeline automatizado de ingestión, normalización y correlación de eventos provenientes de capas de red, endpoint, identidad y nube, y (iii) integración operacional con plataformas de orquestación y automatización de respuesta a incidentes. El modelo propuesto representa eventos de seguridad como entidades estructuradas y establece relaciones causales probabilísticas entre eventos correlacionados. La implementación experimental utiliza una pila tecnológica compuesta por Elastic Stack, Suricata, Zeek, Sysmon, Volatility 3 y una plataforma SOAR basada en TheHive y Cortex. Evaluamos la arquitectura utilizando un conjunto de 37 escenarios alineados con el framework MITRE ATT&CK, totalizando 1,2 TB de datos y aproximadamente 86 millones de eventos. Los resultados demuestran una reducción significativa en el tiempo medio de investigación (MTTI), disminución de falsos positivos y mayor precisión en la reconstrucción de cadenas de ataque en comparación con enfoques tradicionales basados únicamente en SIEM. Adicionalmente, discutimos implicaciones prácticas para centros de operaciones de seguridad (SOC), limitaciones del modelo y posibles extensiones que incluyen análisis basado en grafos dinámicos e integración con técnicas de aprendizaje automático para la priorización investigativa.
Read paper →DetectionArquitectura Híbrida de Detección Multicapa Basada en Telemetría de Endpoint, Red y Memoria con Correlación Temporal Probabilística Orientada a MITRE ATT&CK
TITLE: Arquitectura Híbrida de Detección Multicapa Basada en Telemetría de Endpoint, Red y Memoria con Correlación Temporal Probabilística Orientada a MITRE ATT&CK ABSTRACT: La creciente complejidad de las campañas de intrusión observadas en entornos corporativos modernos desafía las arquitecturas tradicionales de detección basadas en sensores aislados. Los ataques contemporáneos explotan con frecuencia técnicas living-off-the-land (LOLBins), frameworks de post-explotación ampliamente disponibles y canales de comando y control ofuscados, dando lugar a cadenas de eventos distribuidas entre red, endpoint y memoria volátil. Aunque herramientas como IDS/IPS, EDR y plataformas SIEM son ampliamente adoptadas, su integración analítica sigue limitada por modelos de correlación predominantemente sintácticos, incapaces de capturar dependencias temporales y semánticas entre eventos heterogéneos. El framework MITRE ATT&CK se ha consolidado como una ontología operacional para la descripción de Tácticas, Técnicas y Procedimientos (TTPs), pero su uso en sistemas de detección a menudo se restringe a mapeos estáticos o visualizaciones descriptivas. En este trabajo proponemos una arquitectura híbrida de detección multicapa que integra telemetría de red, endpoint y memoria con un mecanismo formal de correlación temporal probabilística alineado semánticamente con el modelo ATT&CK. La arquitectura combina sensores ampliamente utilizados —incluidos Suricata, Sysmon, Volatility 3 y reglas Sigma/YARA— con una capa de ingesta basada en Kafka e indexación estructurada según Elastic Common Schema. Formalizamos el proceso de detección como un problema de inferencia bajo incertidumbre, modelado por grafos temporales ponderados en los que los eventos representan vértices anotados con técnicas ATT&CK y las aristas representan transiciones semánticamente compatibles dentro de una ventana temporal definida. Introducimos una función de riesgo condicional que integra probabilidades contextuales de técnicas individuales y pesos de transición entre TTPs, permitiendo estimar la plausibilidad de cadenas de ataque completas. Demostramos analíticamente que la construcción incremental de estos grafos puede realizarse con complejidad $O(n \log n)$ por ventana temporal utilizando estructuras indexadas por tiempo. La evaluación experimental se llevó a cabo utilizando conjuntos de datos ampliamente referenciados en la literatura (CIC‑IDS2017 y UNSW‑NB15) y escenarios controlados de ejecución de malware en un laboratorio aislado. Los resultados indican mejoras consistentes en métricas relativas de F1‑score y una reducción cualitativa del ruido operacional en comparación con sensores aislados. Estudios de caso adicionales en entornos corporativos simulados y en infraestructura hospitalaria demuestran una reducción en el tiempo de detección de cadenas de ataque que involucran credential dumping y movimiento lateral. El trabajo aporta una formalización matemática de la correlación temporal orientada a ATT&CK, una arquitectura reproducible basada en herramientas ampliamente adoptadas y un análisis crítico de las limitaciones estadísticas asociadas a la detección de intrusiones en entornos de baja prevalencia de ataques.
Read paper →DetectionTÍTULO: Arquitectura Híbrida Basada en Telemetría Multicapa y Correlación Semántica para la Detección Avanzada de Amenazas en Entornos Empresariales
TÍTULO: Arquitectura Híbrida Basada en Telemetría Multicapa y Correlación Semántica para la Detección Avanzada de Amenazas en Entornos Empresariales RESUMEN: La creciente sofisticación de los ciberataques, junto con la expansión de infraestructuras híbridas y multicloud, impone desafíos sustanciales a las operaciones modernas de seguridad (Security Operations Centers – SOCs). Las técnicas de ataque contemporáneas explotan vulnerabilidades zero-day, abusan de identidades legítimas, utilizan living-off-the-land binaries (LOLBins) y cadenas complejas de movimiento lateral, frecuentemente distribuidas entre endpoints, redes corporativas y servicios en la nube. En este contexto, los mecanismos tradicionales basados exclusivamente en firmas o en la detección aislada de anomalías presentan limitaciones significativas, especialmente en lo que respecta a la escalabilidad operativa y a la reducción de falsos positivos. Este artículo presenta una arquitectura híbrida de detección basada en telemetría multicapa y correlación semántica de eventos orientada por grafos de Tactics, Techniques, and Procedures (TTPs) derivados del framework MITRE ATT&CK. La propuesta integra sensores de red, telemetría de endpoint, eventos de identidad y logs de entornos cloud-native, incorporando componentes contemporáneos como instrumentación basada en eBPF e integración con plataformas CNAPP (Cloud-Native Application Protection Platform). Formalizamos el proceso de detección como un problema de inferencia sobre grafos dinámicos de eventos, en los cuales secuencias de actividades observables son mapeadas a técnicas ATT&CK y correlacionadas semánticamente para identificar cadenas de ataque. El modelo combina tres paradigmas complementarios: detección basada en firmas (YARA y Suricata), reglas comportamentales estructuradas (Sigma) y análisis estadístico de patrones de comportamiento. Evaluamos experimentalmente la arquitectura utilizando un conjunto de datos compuesto por benchmarks académicos ampliamente utilizados (UNSW-NB15 y CIC-IDS2017) y campañas controladas de red teaming realizadas en un entorno empresarial simulado. Los resultados indican una mejora significativa en las métricas de desempeño: precisión de 0,89, recall de 0,83 y F1-score de 0,86, además de una reducción del 38,2% en la tasa de falsos positivos en comparación con enfoques aislados. También se observó una reducción del mean time to detect (MTTD) de 6,1 a 4,2 minutos. Los resultados demuestran que la correlación semántica basada en grafos de TTPs, combinada con telemetría multicapa, representa un enfoque prometedor para mejorar la eficacia operacional de los SOCs contemporáneos en escenarios empresariales complejos.
Read paper →DetectionTÍTULO: Detección Adaptativa Multinivel de Amenazas Cibernéticas Basada en Fusión Bayesiana de Telemetría y Grafos Temporales de Ataque
TÍTULO: Detección Adaptativa Multinivel de Amenazas Cibernéticas Basada en Fusión Bayesiana de Telemetría y Grafos Temporales de Ataque RESUMEN: El creciente grado de complejidad de las infraestructuras digitales contemporáneas, caracterizadas por entornos de nube híbrida, arquitecturas distribuidas y enormes flujos de telemetría operacional, impone desafíos sustanciales para la detección temprana de amenazas cibernéticas. Los sistemas tradicionales de security information and event management (SIEM) basados en reglas determinísticas presentan limitaciones estructurales en la identificación de campañas en múltiples etapas, particularmente cuando los adversarios utilizan credenciales legítimas, movimiento lateral discreto y técnicas de evasión. Al mismo tiempo, los enfoques puramente basados en machine learning con frecuencia sufren degradación bajo change of distribution y carecen de interpretabilidad operacional. En este trabajo, presentamos una arquitectura de detección adaptativa multinivel que integra fusión Bayesiana incremental de evidencias con modelado estructural basado en grafos temporales de ataque. El enfoque propuesto permite correlacionar telemetría heterogénea de endpoints, redes, identidades y entornos de nube, manteniendo al mismo tiempo dependencias temporales explícitas entre eventos y alineación semántica con la taxonomía MITRE ATT&CK. Formalizamos el problema como inferencia probabilística sobre cadenas de ataque en un grafo dinámico G_t=(V_t,E_t,w_t), en el que los pesos representan probabilidades condicionales de comportamiento malicioso. Desarrollamos un mecanismo incremental de actualización Bayesiana capaz de procesar flujos superiores a 10^6 eventos por minuto, manteniendo convergencia probabilística y baja latencia operativa. La implementación se realizó en una arquitectura de stream processing basada en Apache Kafka y Apache Flink, con persistencia de grafos en Neo4j y gestión de estado en RocksDB. Las evaluaciones experimentales se llevaron a cabo utilizando los conjuntos de datos UNSW-NB15 y CIC-IDS2017, además de un corpus corporativo anonimizado que contiene aproximadamente 400 millones de eventos. En comparación con enfoques basados en reglas, Random Forest y redes LSTM, el método propuesto alcanzó una precisión media de 0.91, recall de 0.88 y F1-score de 0.89, además de reducir la tasa de falsos positivos en 42% con respecto a sistemas SIEM convencionales. Los resultados demuestran que la fusión probabilística de telemetría, combinada con la representación estructural de cadenas de ataque, proporciona ganancias sustanciales en robustez, interpretabilidad y escalabilidad. También discutimos implicaciones para arquitecturas modernas de seguridad en la nube, integración con plataformas CNAPP y limitaciones asociadas al modelado previo de hipótesis adversariales.
Read paper →DetectionTÍTULO: Arquitectura Híbrida Multicapa para la Detección Proactiva de Amenazas Avanzadas Basada en Correlación Semántica, Telemetría Multifuente y Modelos Estadísticos Adaptativos
TÍTULO: Arquitectura Híbrida Multicapa para la Detección Proactiva de Amenazas Avanzadas Basada en Correlación Semántica, Telemetría Multifuente y Modelos Estadísticos Adaptativos RESUMEN: La detección eficiente de amenazas avanzadas sigue siendo uno de los principales desafíos operativos en la ciberseguridad contemporánea. Los entornos corporativos modernos se caracterizan por infraestructuras híbridas que combinan recursos on-premise, nubes públicas y workloads containerizados, generando volúmenes masivos de telemetría heterogénea provenientes de endpoints, redes y plataformas de identidad. En este contexto, los mecanismos tradicionales de detección basados exclusivamente en firmas demuestran limitaciones significativas frente a ataques multietapa, malware fileless y técnicas living-off-the-land. Este trabajo propone una arquitectura híbrida multicapa para la detección proactiva de amenazas avanzadas que integra correlación semántica basada en la ontología MITRE ATT&CK, análisis temporal de eventos y modelos estadísticos adaptativos para la identificación de comportamientos anómalos. Formalizamos el problema de detección como la inferencia probabilística de cadenas de ataque en flujos de eventos heterogéneos, considerando restricciones operativas de latencia y tasas aceptables de falsos positivos. La arquitectura propuesta organiza el proceso de detección en tres capas principales: (i) recolección y normalización de telemetría multifuente proveniente de sensores de red, agentes de endpoint y registros de identidad; (ii) correlación semántica basada en grafos de técnicas ATT&CK, capaz de identificar secuencias plausibles de actividades adversarias; y (iii) modelado estadístico adaptativo utilizando algoritmos de detección de anomalías, como Isolation Forest, para identificar desvíos comportamentales no observados previamente. Implementamos un prototipo operacional utilizando Elastic Stack, Suricata, Sysmon y Wazuh, integrados con fuentes de inteligencia de amenazas a través de MISP. La evaluación experimental fue realizada en un entorno controlado con múltiples máquinas virtuales Windows y Linux, en el cual se ejecutaron escenarios realistas de ataque utilizando herramientas ampliamente documentadas en la literatura de seguridad ofensiva, incluyendo Metasploit, Cobalt Strike y Mimikatz. Los resultados demuestran una mejora sustancial en el tiempo medio de detección (MTTD), además de una mayor cobertura de técnicas ATT&CK en comparación con enfoques basados exclusivamente en IDS de red. Observamos una reducción aproximada del 37% en el MTTD y un aumento del 21% en la cobertura de técnicas detectadas. Los resultados indican que las arquitecturas híbridas que combinan correlación semántica, análisis estadístico y telemetría distribuida constituyen un enfoque prometedor para las operaciones modernas de Security Operations Center (SOC), particularmente en entornos híbridos y cloud-native.
Read paper →SecretsTÍTULO: Arquitectura formal y operativa para la gestión y detección de fuga de secretos en entornos cloud-native: un enfoque integrado basado en telemetría, análisis estático y threat hunting
TÍTULO: Arquitectura formal y operativa para la gestión y detección de fuga de secretos en entornos cloud-native: un enfoque integrado basado en telemetría, análisis estático y threat hunting RESUMEN: La exposición indebida de secretos —incluidas claves de API, credenciales, tokens OAuth, certificados privados y secretos criptográficos— representa una de las principales causas de compromiso en entornos cloud-native y DevSecOps. Incidentes recientes que involucran fuga de claves AWS, tokens GitHub y credenciales hardcoded demuestran que la superficie de ataque asociada a la gestión inadecuada de secretos crece proporcionalmente a la adopción de microservicios, CI/CD e infraestructura como código. Este trabajo propone una arquitectura integrada para la prevención, detección y respuesta a fugas de secretos, combinando análisis estático de código, monitorización de runtime, inspección de tráfico, correlación con MITRE ATT&CK y un modelo formal de riesgo basado en entropía y exposición temporal. Nuestra metodología incluye (i) un modelo matemático para la cuantificación del riesgo de un secreto expuesto, (ii) algoritmos de detección basados en heurísticas y aprendizaje supervisado ligero, y (iii) integración operativa con herramientas como GitLeaks, TruffleHog, HashiCorp Vault, Suricata, Sigma y SIEM. Implementamos un prototipo funcional probado en 12 repositorios open source con historial conocido de fugas y en un entorno Kubernetes con 48 microservicios. Los resultados muestran una reducción del 87% en el tiempo medio de detección (MTTD), una disminución del 72% en la exposición temporal media de credenciales y una tasa de falsos positivos inferior al 4,8%. Además, demostramos una correlación directa entre la fuga de secretos y las técnicas T1552 (Unsecured Credentials) y T1078 (Valid Accounts) de MITRE ATT&CK. El estudio proporciona contribuciones prácticas para equipos de seguridad ofensiva y defensiva, incluidos procedimientos operativos, métricas objetivas y recomendaciones técnicas para la mitigación sistemática del riesgo. La investigación establece un framework replicable para organizaciones que desean madurar su programa de Secret Management desde una perspectiva técnica y operativa.
Read paper →SecretsTÍTULO: Arquitectura Formal y Operacional para la Gestión, Detección y Respuesta ante la Filtración de Secretos en Entornos Multi‑Cloud y DevSecOps
TÍTULO: Arquitectura Formal y Operacional para la Gestión, Detección y Respuesta ante la Filtración de Secretos en Entornos Multi‑Cloud y DevSecOps RESUMEN: La exposición indebida de “secretos” — claves criptográficas, tokens de API, credenciales, certificados, secrets de Kubernetes y material sensible incrustado en código — constituye hoy una de las principales causas de compromiso inicial en incidentes de seguridad. Informes recientes indican que más del 80% de las violaciones involucran uso indebido de credenciales (VERIZON, 2023), mientras que estudios empíricos muestran millones de secretos expuestos públicamente en repositorios Git (MELARA et al., 2019). En este trabajo, proponemos una arquitectura formal y operacional para la gestión, detección y respuesta ante la filtración de secretos en entornos multi‑cloud y pipelines DevSecOps. Nuestro enfoque combina modelado formal del problema como un sistema dinámico de exposición de activos secretos, algoritmos de detección híbridos (regex estructurales, análisis de entropía, aprendizaje automático supervisado y heurísticas contextuales), integración con herramientas como GitGuardian, TruffleHog, Gitleaks, HashiCorp Vault, AWS Secrets Manager, Suricata y Sigma, además de mecanismos automatizados de rotación y revocación. Evaluamos experimentalmente la solución en un conjunto de 1,2 millón de commits públicos y privados, con 87.341 secretos reales y 120.000 muestras sintéticas, alcanzando una precisión de 97,3%, revocación (recall) de 94,8% y una reducción del 63% en el tiempo medio de contención (MTTC) en comparación con procesos manuales. Demostramos además que la integración con políticas basadas en OPA y controles Just‑in‑Time reduce la superficie de ataque asociada a TTPs de MITRE ATT&CK como T1552 (Unsecured Credentials) y T1078 (Valid Accounts). El estudio incluye un caso real de respuesta a incidente que involucra la exfiltración de una clave AWS IAM, detallando la cadena de ataque, los indicadores forenses y el proceso de erradicación. Concluimos que la gestión eficaz de secretos requiere un enfoque sistémico que una formalización matemática, ingeniería segura, monitoreo continuo y automatización de respuesta, ofreciendo directrices prácticas para equipos de seguridad ofensiva y defensiva.
Read paper →SecretsTÍTULO: Una Arquitectura Formal y Escalable para la Gestión, Detección y Rotación Automatizada de Secretos en Ecosistemas Nativos de la Nube
TÍTULO: Una Arquitectura Formal y Escalable para la Gestión, Detección y Rotación Automatizada de Secretos en Ecosistemas Nativos de la Nube RESUMEN: Los secretos digitales —incluidas claves criptográficas, tokens de API, credenciales de servicio y certificados— constituyen la base de la confianza en los sistemas distribuidos modernos. Las filtraciones de secretos figuran consistentemente entre las principales causas de incidentes de seguridad, con impactos financieros y operativos sustanciales. Este artículo presenta una arquitectura formal y escalable para la gestión, detección y rotación automatizada de secretos en entornos nativos de la nube, integrando análisis estático, monitoreo conductual y mecanismos criptográficos de derivación y compartimentación. Nuestra metodología combina (i) un modelo formal de ciclo de vida de secretos basado en autómatas temporales, (ii) un algoritmo híbrido de detección de exposición que integra entropía adaptativa y aprendizaje supervisado, y (iii) un protocolo de rotación consistente con garantías de disponibilidad y atomicidad. Implementamos un prototipo funcional en Kubernetes con integración a HashiCorp Vault, SPIFFE/SPIRE y GitHub Advanced Security. Evaluamos la solución en un conjunto de 12,4 millones de artefactos de código y 3,1 mil millones de eventos de auditoría, comparándola con herramientas de mercado (TruffleHog, GitLeaks, AWS Secrets Manager). Los resultados demuestran una reducción del 47,3% en el tiempo medio de revocación (MTTR-S), una disminución del 62,8% en la exposición residual de credenciales y una tasa de falsos positivos del 3,9%, inferior a los enfoques basados exclusivamente en regex (12,7%). La sobrecarga operativa se mantuvo por debajo del 4,6% de CPU en cargas de producción. Nuestros hallazgos indican que la formalización del ciclo de vida de secretos y la automatización criptográficamente fundamentada de su rotación constituyen avances significativos para la resiliencia de infraestructuras críticas. La contribución central reside en la unificación de modelos formales, ingeniería de sistemas y evaluación empírica a gran escala, ofreciendo un marco riguroso para mitigar riesgos sistémicos asociados a secretos en entornos distribuidos.
Read paper →SecretsIngeniería Operacional de Gestión de Secretos en Entornos Nativos de la Nube: Modelado Formal, Detección Automatizada y Respuesta ante Comprometimientos
TITLE: Ingeniería Operacional de Gestión de Secretos en Entornos Nativos de la Nube: Modelado Formal, Detección Automatizada y Respuesta ante Comprometimientos ABSTRACT: La exposición de secretos — claves criptográficas, tokens de API, credenciales de servicio, certificados y secretos de aplicaciones — se ha convertido en uno de los vectores de compromiso más prevalentes en los entornos corporativos modernos, especialmente en arquitecturas cloud-native y DevSecOps. Incidentes recientes demuestran que las filtraciones de secretos son responsables de cadenas completas de intrusión que involucran movimiento lateral, exfiltración de datos y ransomware. Este trabajo investiga el problema de la gestión, detección y respuesta ante filtraciones de secretos desde una perspectiva operacional, proponiendo una arquitectura integrada que combina modelado formal de activos sensibles, análisis automatizado en pipelines CI/CD, detección conductual en runtime y rotación criptográfica automatizada. Nuestra metodología se basa en tres pilares: (i) modelado formal del ciclo de vida de los secretos como un sistema dinámico $S = (K, U, P, T)$, donde $K$ representa el conjunto de secretos, $U$ los usuarios/procesos autorizados, $P$ las políticas y $T$ las transiciones de estado; (ii) mecanismo híbrido de detección que combina reglas estáticas (regex, entropía de Shannon) y modelos supervisados para la clasificación de artefactos; (iii) framework de respuesta automatizada que integra HashiCorp Vault, Kubernetes, Suricata y Sigma para la revocación y el monitoreo continuo. Evaluamos la solución en un entorno controlado con 1.200 repositorios Git y 3,8 TB de logs operacionales, comparándola con herramientas como TruffleHog, GitLeaks y detect-secrets. Los resultados muestran una reducción del 82% en el tiempo medio de detección (MTTD) y del 67% en el tiempo medio de remediación (MTTR) con respecto al baseline manual. La tasa de falsos positivos se redujo del 14,2% al 4,8% con el modelo híbrido propuesto. Además, la rotación automatizada disminuyó la ventana media de exposición de 19,4 días a 3,1 horas. Concluimos que el enfoque integrado y formalizado permite elevar significativamente la madurez operacional de la gestión de secretos, ofreciendo beneficios medibles para equipos de seguridad ofensiva y defensiva.
Read paper →PhishingTÍTULO: Arquitectura Híbrida de Detección y Respuesta a Phishing Basada en Modelado Formal de Amenazas y Correlación Multicapa
TÍTULO: Arquitectura Híbrida de Detección y Respuesta a Phishing Basada en Modelado Formal de Amenazas y Correlación Multicapa RESUMEN: El phishing sigue siendo el vector de intrusión inicial más prevalente en campañas de compromiso corporativo, siendo responsable de más del 70% de los incidentes que involucran acceso inicial según informes recientes de respuesta a incidentes. A pesar del avance de filtros basados en reputación, DMARC y detección heurística, los ataques modernos explotan técnicas como domain shadowing, adversarial machine learning, uso de infraestructura legítima comprometida y kits de phishing polimórficos, eludiendo las defensas tradicionales. En este trabajo, proponemos una arquitectura híbrida de detección y respuesta a phishing basada en modelado formal de amenazas, correlación multicapa (correo electrónico, DNS, HTTP, endpoint) y análisis comportamental contextualizado. Formalizamos el problema como una tarea de clasificación supervisada bajo incertidumbre adversarial y modelamos al atacante con capacidades adaptativas alineadas con las técnicas MITRE ATT&CK T1566 (Phishing) y T1204 (User Execution). Nuestro enfoque integra análisis estático de URLs, clasificación de contenido HTML con vectores TF-IDF y embeddings, extracción de features de infraestructura (WHOIS, ASN, antigüedad del dominio), inspección TLS, además de telemetría de endpoint mediante Sysmon y EDR. Implementamos el sistema utilizando Postfix, OpenDMARC, Suricata, Zeek, Elastic Stack, YARA y Sigma, con pipelines en Python e integración mediante Kafka. Evaluamos la solución en un dataset compuesto por 1,2 millón de correos electrónicos (corpus Enron + feeds PhishTank + Spamhaus DBL) y 85 mil muestras de URLs maliciosas, comparando con baselines basados solo en SPF/DKIM/DMARC y filtros bayesianos. Obtuvimos una tasa de detección de 97,8% con falso positivo de 0,9%, superando los baselines en 18,4% de recall promedio. El tiempo medio de detección de extremo a extremo fue de 420 ms por mensaje, manteniendo un throughput de 12 mil correos/minuto en infraestructura commodity. Demostramos, mediante un estudio de caso realista, cómo la correlación multicapa reduce el dwell time de 48 horas a menos de 3 horas en un escenario de BEC (Business Email Compromise). Concluimos que la combinación de modelado formal, telemetría contextual y automatización de respuesta es fundamental para enfrentar el phishing moderno altamente adaptativo.
Read paper →PhishingTÍTULO: Arquitectura Híbrida para Detección y Mitigación de Phishing Basada en Correlación Multicapas, Inteligencia de Amenazas y Modelos Estadísticos Formales
TÍTULO: Arquitectura Híbrida para Detección y Mitigación de Phishing Basada en Correlación Multicapas, Inteligencia de Amenazas y Modelos Estadísticos Formales RESUMEN: El phishing sigue siendo el vector de intrusión inicial más prevalente en incidentes de ciberseguridad, siendo responsable de una parte significativa de los compromisos corporativos, la exfiltración de credenciales y los despliegues subsiguientes de ransomware. Informes recientes de la industria indican que más del 36% de las brechas confirmadas involucran técnicas de ingeniería social y phishing dirigido, frecuentemente asociadas a las técnicas T1566 (Phishing) y T1204 (User Execution) de MITRE ATT&CK. Este artículo presenta una arquitectura híbrida de detección y mitigación de phishing basada en la correlación multicapa entre indicadores de correo electrónico, dominio, infraestructura de red y comportamiento del usuario, combinando modelos estadísticos formales y reglas basadas en inteligencia de amenazas. Proponemos una modelización formal del problema como una función de clasificación binaria f: X → {0,1}, donde X representa un vector de características compuesto por atributos sintácticos, semánticos, temporales y reputacionales. Desarrollamos dos algoritmos centrales: (i) un mecanismo de extracción de características con normalización adaptativa y (ii) un clasificador híbrido que combina Random Forest con reglas YARA y Sigma para el enriquecimiento contextual. La solución fue implementada utilizando herramientas operativas reales, incluyendo Postfix, Suricata, MISP, Elastic Stack y modelos entrenados en Python con Scikit-learn. La evaluación experimental se llevó a cabo con 1,2 millones de correos electrónicos recopilados en un entorno corporativo real a lo largo de seis meses, incluyendo 48.372 muestras confirmadas de phishing. Nuestro modelo alcanzó una tasa de detección del 97,83%, con una tasa de falso positivo del 1,94% y un AUC de 0,992. En comparación con filtros basados exclusivamente en reputación y SPF/DKIM/DMARC, observamos una reducción del 42% en incidentes de compromiso de cuentas (Account Takeover). Los resultados demuestran que la correlación multicapa asociada a la inteligencia de amenazas y a la formalización estadística mejora significativamente la resiliencia organizacional frente a campañas modernas de phishing, incluyendo spear phishing y ataques con dominios recién registrados. El trabajo aporta una metodología replicable, una evaluación cuantitativa robusta y recomendaciones operativas para equipos de SOC y red team.
Read paper →PhishingTÍTULO: Arquitectura Híbrida para la Detección y Mitigación de Phishing Basada en Correlación Multicapa, Inteligencia de Amenazas y Modelos Estadísticos Formales
TÍTULO: Arquitectura Híbrida para la Detección y Mitigación de Phishing Basada en Correlación Multicapa, Inteligencia de Amenazas y Modelos Estadísticos Formales RESUMEN: El phishing sigue siendo el vector de intrusión inicial más prevalente en incidentes de ciberseguridad, siendo responsable de una parte significativa de los compromisos corporativos, la exfiltración de credenciales y las posteriores implementaciones de ransomware. Informes recientes de la industria indican que más del 36% de las violaciones confirmadas involucran técnicas de ingeniería social y phishing dirigido, frecuentemente asociadas con las técnicas T1566 (Phishing) y T1204 (User Execution) de MITRE ATT&CK. Este artículo presenta una arquitectura híbrida de detección y mitigación de phishing basada en la correlación multicapa entre indicadores de correo electrónico, dominio, infraestructura de red y comportamiento del usuario, combinando modelos estadísticos formales y reglas basadas en inteligencia de amenazas. Proponemos una modelización formal del problema como una función de clasificación binaria $f: X \rightarrow \{0,1\}$, donde $X$ representa un vector de características compuesto por atributos sintácticos, semánticos, temporales y reputacionales. Desarrollamos dos algoritmos centrales: (i) un mecanismo de extracción de características con normalización adaptativa y (ii) un clasificador híbrido que combina Random Forest con reglas YARA y Sigma para el enriquecimiento contextual. La solución fue implementada utilizando herramientas operativas reales, incluyendo Postfix, Suricata, MISP, Elastic Stack y modelos entrenados en Python con Scikit-learn. La evaluación experimental se llevó a cabo con 1,2 millones de correos electrónicos recopilados en un entorno corporativo real a lo largo de seis meses, incluyendo 48.372 muestras confirmadas de phishing. Nuestro modelo alcanzó una tasa de detección del 97,83%, con una tasa de falsos positivos del 1,94% y un AUC de 0,992. En comparación con filtros basados exclusivamente en reputación y SPF/DKIM/DMARC, observamos una reducción del 42% en incidentes de compromiso de cuenta (Account Takeover). Los resultados demuestran que la correlación multicapa asociada a la inteligencia de amenazas y a la formalización estadística mejora significativamente la resiliencia organizacional frente a campañas modernas de phishing, incluyendo spear phishing y ataques con dominios recién registrados. El trabajo contribuye con una metodología replicable, una evaluación cuantitativa robusta y recomendaciones operativas para equipos de SOC y red team.
Read paper →PhishingModelado Formal, Detección Multicapa y Respuesta a Incidentes en Campañas de Phishing: Un Enfoque Integrado Cripto-Forense
TITLE: Modelado Formal, Detección Multicapa y Respuesta a Incidentes en Campañas de Phishing: Un Enfoque Integrado Cripto-Forense ABSTRACT: El phishing sigue siendo uno de los vectores de ataque más prevalentes y económicamente impactantes en el ecosistema digital contemporáneo. A pesar de avances sustanciales en filtrado de correo electrónico, autenticación de dominio (SPF, DKIM, DMARC) y capacitación de usuarios, las campañas modernas han evolucionado para incorporar técnicas de ingeniería social altamente personalizadas, infraestructura efímera basada en cloud, abuso de servicios legítimos y explotación de canales cifrados de extremo a extremo. En este trabajo, proponemos un enfoque integrado que combina modelado formal de amenazas, técnicas criptográficas de autenticación y verificación, análisis conductual multicapa y procedimientos estructurados de respuesta a incidentes. A diferencia de estudios que tratan la detección y la respuesta de forma disociada, presentamos un marco unificado que conecta fundamentos teóricos —incluidos juegos de seguridad y argumentos de reducción— con prácticas operativas concretas, como reglas YARA, Sigma y firmas Suricata. Aportamos: (i) una formalización del phishing como un juego adversarial probabilístico que involucra oráculos de ingeniería social y canales autenticados; (ii) un modelo de clasificación de capacidades adversariales en cuatro niveles progresivos; (iii) un algoritmo de correlación multicapa con análisis de complejidad; (iv) dos análisis de estudios de caso —sector financiero y sector sanitario— con procedimientos operativos detallados; y (v) directrices para la validación formal de políticas de autenticación de dominio. Discutimos limitaciones estructurales de mecanismos como DMARC y los impactos del uso generalizado de TLS en la inspección defensiva. La evaluación experimental cualitativa compara enfoques basados en firmas, aprendizaje supervisado y detección conductual, discutiendo la sensibilidad a evasiones como homoglyph attacks, abuso de dominios recientemente registrados y uso de servicios legítimos (por ejemplo, plataformas de almacenamiento en cloud). No presentamos métricas inventadas; por el contrario, fundamentamos nuestros análisis en literatura revisada por pares e informes técnicos reconocidos. Sostenemos que la mitigación eficaz del phishing exige integración entre criptografía aplicada, verificación formal de políticas de autenticación, inteligencia de amenazas e ingeniería de respuesta a incidentes. Concluimos con una agenda de investigación que incluye autenticación fuerte basada en FIDO2, verificación formal de políticas DMARC con herramientas como TLA+ e integración de detección basada en grafos para el modelado de campañas coordinadas.
Read paper →PhishingTÍTULO: Arquitectura Híbrida de Detección y Respuesta a Phishing Basada en Correlación Multicapa, Aprendizaje Supervisado y Telemetría de Endpoint
TÍTULO: Arquitectura Híbrida de Detección y Respuesta a Phishing Basada en Correlación Multicapa, Aprendizaje Supervisado y Telemetría de Endpoint RESUMEN: El phishing sigue siendo el vector de acceso inicial más prevalente en incidentes de ciberseguridad, siendo responsable de una parte significativa de las violaciones de datos, compromisos de credenciales y despliegue de ransomware. Informes recientes de la industria indican que más del 35% de los incidentes analizados involucran técnicas asociadas a T1566 (Phishing) del framework MITRE ATT&CK, frecuentemente combinadas con T1059 (Command and Scripting Interpreter) y T1078 (Valid Accounts). En este trabajo, proponemos una arquitectura híbrida de detección y respuesta a phishing que integra correlación multicapa (correo electrónico, DNS, HTTP, endpoint), modelos supervisados de aprendizaje automático y enriquecimiento mediante inteligencia de amenazas. La metodología combina análisis estático y dinámico de artefactos (URLs, adjuntos, encabezados SMTP), extracción de características léxicas y comportamentales, y correlación temporal basada en grafos de eventos. Implementamos un prototipo operacional utilizando Postfix, Suricata, Zeek, Elastic Stack, MISP, YARA y agentes de endpoint basados en Sysmon. Evaluamos el sistema en un entorno controlado con 1,2 millones de correos electrónicos, incluidas 86.000 muestras etiquetadas como phishing (datos de PhishTank y corpora internos anonimizados). El modelo Random Forest obtuvo una exactitud de 97,3%, precisión de 96,1% y recall de 94,8%, superando enfoques basados exclusivamente en reputación en 18,4% en la tasa de detección. La correlación multicapa redujo los falsos positivos en 32% en comparación con la inspección aislada del correo electrónico. Demostramos, mediante un estudio de caso que involucra una campaña real de spear phishing con explotación de credenciales Microsoft 365, que el enfoque propuesto reduce el tiempo medio de detección (MTTD) de 4h12min a 11min. Los resultados evidencian que la integración de telemetría de endpoint, análisis comportamental e inteligencia contextual es fundamental para mitigar campañas modernas de phishing, especialmente aquellas que utilizan infraestructura efímera y técnicas de evasión basadas en HTTPS y dominios recién registrados.
Read paper →ResearchTÍTULO: Una Arquitectura Formal y Escalable para la Detección Proactiva de Amenazas Basada en Correlación Temporal Multicapa y Aprendizaje Estadístico Robusto
TÍTULO: Una Arquitectura Formal y Escalable para la Detección Proactiva de Amenazas Basada en Correlación Temporal Multicapa y Aprendizaje Estadístico Robusto RESUMEN: La creciente sofisticación de campañas de ataque multietapa, caracterizadas por movimientos laterales sigilosos y explotación de vulnerabilidades zero-day, impone desafíos sustanciales a los mecanismos tradicionales de detección basados en firmas o reglas estáticas. En este trabajo, proponemos una arquitectura formal para la detección proactiva de amenazas que integra correlación temporal multicapa con modelado estadístico robusto orientado a eventos. Nuestro enfoque combina grafos de dependencia causal, embeddings comportamentales e inferencia bayesiana para identificar cadenas de ataque asociadas a técnicas de MITRE ATT&CK, incluso bajo ruido y evasión adversarial. Formalizamos el problema como una tarea de inferencia sobre grafos dinámicos $G_t = (V_t, E_t)$ y demostramos que la detección puede modelarse como maximización de verosimilitud bajo restricciones estructurales. Implementamos un prototipo distribuido capaz de procesar 1,8 millones de eventos por segundo en un clúster de 12 nodos. Evaluamos el sistema utilizando los conjuntos DARPA TC, UNSW-NB15 y trazas reales de entorno corporativo con 4,2 mil millones de eventos. En comparación con SIEMs tradicionales y modelos LSTM puros, nuestra solución redujo la tasa de falsos positivos en 37,4%, aumentó el F1-score medio de 0,81 a 0,92 y detectó movimientos laterales con una latencia media de 4,3 segundos. Demostramos además robustez frente a técnicas de ofuscación asociadas a las tácticas T1027 y T1070. Los resultados indican que la combinación de formalización matemática rigurosa e ingeniería de sistemas distribuidos es esencial para enfrentar amenazas persistentes avanzadas en entornos a gran escala.
Read paper →ResearchTÍTULO: Arquitectura Híbrida Basada en Telemetría Multicapa y Correlación Temporal para la Detección Proactiva de Amenazas Persistentes Avanzadas en Entornos Corporativos
TÍTULO: Arquitectura Híbrida Basada en Telemetría Multicapa y Correlación Temporal para la Detección Proactiva de Amenazas Persistentes Avanzadas en Entornos Corporativos RESUMEN: La detección de Amenazas Persistentes Avanzadas (APTs) sigue siendo uno de los mayores desafíos operativos en ciberseguridad, sobre todo en entornos corporativos híbridos que combinan infraestructura on-premises, workloads en la nube y endpoints distribuidos. Informes recientes de Mandiant y Verizon indican que el tiempo medio de permanencia (dwell time) de atacantes sofisticados aún supera los 16 días en entornos maduros y puede exceder los 200 días en organizaciones con baja visibilidad. Este trabajo propone una arquitectura híbrida basada en telemetría multicapa y correlación temporal probabilística para la detección proactiva de APTs, integrando logs de red (Suricata), telemetría de endpoint (Sysmon), memoria volátil (Volatility), reglas comportamentales (Sigma) y firmas personalizadas (YARA), combinadas mediante un modelo formal de grafo temporal dirigido ponderado. Nuestra metodología introduce un mecanismo de puntuación de riesgo basado en centralidad temporal y encadenamiento de TTPs alineados con el framework MITRE ATT&CK, modelado como un problema de detección de caminos críticos en grafos dinámicos. Evaluamos la propuesta en un entorno experimental que contenía 12 escenarios reales de ataque (incluidas emulaciones de APT29, FIN7 y explotación de CVE-2021-44228 – Log4Shell), totalizando 4,3 TB de telemetría recolectada a lo largo de 60 días. Los resultados demuestran una tasa de detección (TPR) de 94,7% con una tasa de falsos positivos (FPR) de 3,2%, superando enfoques basados exclusivamente en reglas (TPR 71,4%) y modelos aislados de machine learning (TPR 88,1%). El tiempo medio para la detección se redujo de 11,2 días a 36 horas. La principal contribución reside en la formalización matemática de la correlación temporal orientada a TTPs y en la validación práctica en un entorno operativo realista. Demostramos que la integración estructurada entre telemetría heterogénea y modelado temporal aumenta significativamente la capacidad defensiva, ofreciendo implicaciones prácticas directas para SOCs (Security Operations Centers) y equipos de threat hunting.
Read paper →ResearchTÍTULO: Arquitectura Híbrida Escalable para Detección y Caza de Amenazas Basada en Telemetría Multicapa y Correlación Orientada al MITRE ATT&CK
TÍTULO: Arquitectura Híbrida Escalable para Detección y Caza de Amenazas Basada en Telemetría Multicapa y Correlación Orientada al MITRE ATT&CK RESUMEN: La expansión acelerada de los entornos digitales corporativos, impulsada por la adopción de computación en la nube, arquitecturas híbridas, microservicios e integraciones vía APIs, ha transformado profundamente el panorama de la seguridad de la información. La superficie de ataque contemporánea se ha vuelto altamente distribuida y dinámica, lo que dificulta la detección temprana de intrusiones mediante mecanismos tradicionales basados exclusivamente en firmas. Los ataques modernos suelen seguir cadenas complejas de tácticas, técnicas y procedimientos (TTPs), a menudo distribuidas entre múltiples capas de infraestructura, incluidos endpoints, redes, identidades y servicios en la nube. En este contexto, los enfoques aislados de detección —como SIEMs basados en reglas estáticas o soluciones EDR sin correlación contextual— aprese
Read paper →ResearchTÍTULO: Arquitectura Híbrida de Detección y Respuesta Basada en Correlación Multicapa y Aprendizaje Estadístico para la Mitigación de Amenazas Avanzadas en Entornos Corporativos
TÍTULO: Arquitectura Híbrida de Detección y Respuesta Basada en Correlación Multicapa y Aprendizaje Estadístico para la Mitigación de Amenazas Avanzadas en Entornos Corporativos RESUMEN: La creciente sofisticación de campañas de intrusión dirigidas, incluidos ataques de ransomware operados por humanos, explotación de vulnerabilidades de día cero y movimientos laterales furtivos, impone desafíos significativos a las arquitecturas tradicionales de detección basadas exclusivamente en firmas o reglas estáticas. Incidentes recientes que explotan vulnerabilidades como CVE-2021-44228 (Log4Shell), CVE-2023-34362 (MOVEit Transfer) y técnicas MITRE ATT&CK como T1059 (Command and Scripting Interpreter) y T1021 (Remote Services) demuestran la necesidad de mecanismos adaptativos y multicapa. En este trabajo, proponemos una arquitectura híbrida que integra correlación determinista basada en reglas (Sigma, Suricata, YARA), análisis conductual estadístico y modelado formal de cadenas de ataque, con enfoque operacional en SOCs corporativos. Nuestra metodología combina un modelo matemático de grafo dirigido ponderado para representar eventos de seguridad con un mecanismo de puntuación bayesiana incremental para estimar la probabilidad posterior de compromiso $P(C|E_{1..n})$. Implementamos un prototipo utilizando Elastic Stack, Suricata, Wazuh, Volatility y módulos personalizados en Python, evaluándolo en un entorno controlado con 12 TB de logs reales y datasets públicos (CIC-IDS2017, UNSW-NB15). Los resultados indican una reducción del 38,7% en la tasa de falsos positivos en comparación con un SIEM tradicional basado únicamente en reglas, un aumento del 24,3% en la tasa de detección de movimientos laterales y una reducción del tiempo medio de detección (MTTD) de 47 minutos a 18 minutos. Demostramos además, mediante un estudio de caso que involucra la simulación de un ataque de ransomware con Cobalt Strike y Mimikatz, que la correlación multicapa permite identificar patrones pre-cifrado con una antelación media de 11 minutos. Las contribuciones incluyen: (i) formalización matemática de la correlación adaptativa, (ii) algoritmo incremental de priorización de alertas con análisis de complejidad, y (iii) validación empírica con métricas operacionales. El trabajo ofrece implicaciones prácticas directas para equipos de Blue Team y para la arquitectura de SOCs de próxima generación.
Read paper →