Resumen Técnico: Detector de Persistencia Cibernética (CPD)

Declaración del Problema

Los atacantes de Amenazas Persistentes Avanzadas (APT) dependen cada vez más de técnicas de persistencia cibernética para mantener el acceso a largo plazo a los sistemas de las víctimas, evadiendo a menudo la detección mediante estrategias de "bajo y lento" que fragmentan las fases del ataque a lo largo del tiempo. Aunque existen Sistemas de Detección de Intrusos basados en Proveniencia (PIDS) y sistemas de detección basados en reglas (por ejemplo, Elastic, Sigma), enfrentan limitaciones significativas para detectar estas amenazas:

• Los sistemas basados en reglas a menudo generan altas tasas de falsos positivos (FP) al marcar funcionalidades benignas del sistema (por ejemplo, claves de ejecución en el Registro) sin evaluar el contexto más amplio ni la ejecución maliciosa subsequente. Por el contrario, reglas excesivamente relajadas para reducir los FP conducen a altas tasas de falsos negativos (FN).
• Los PIDS existentes (tanto basados en aprendizaje como basados en heurísticas) luchan por conectar fases de ataque desconectadas. A menudo fallan al vincular la "configuración de persistencia" inicial (por ejemplo, crear una tarea programada) con la "ejecución de persistencia" posterior (por ejemplo, una conexión remota iniciada por dicha tarea), especialmente cuando estos eventos están separados por reinicios del sistema o retrasos temporales. Esto resulta en gráficos de ataque fragmentados y de baja severidad que a menudo se despriorizan o se pasan por alto por completo.
• Brechas de Datos: Los marcos de registro estándar a menudo omiten eventos de comunicación entre procesos (IPC) (por ejemplo, ALPC de Windows), creando brechas en los gráficos de proveniencia que impiden vincular las acciones iniciales del atacante con los procesos del sistema que manipulan.

Metodología

Los autores proponen el Detector de Persistencia Cibernética (CPD), un sistema diseñado para detectar amenazas de persistencia al relacionar causalmente las fases de "configuración de persistencia" y "ejecución de persistencia". El CPD opera bajo la premisa de que los ataques de persistencia efectivos consisten en dos fases distintas pero vinculadas: una fase de configuración que modifica el estado del sistema y una fase de ejecución que utiliza dicho estado para establecer acceso remoto.

El sistema emplea un pipeline de cuatro pasos:

1. Detección de Configuración de Persistencia: El CPD procesa registros de auditoría del sistema para identificar actividades que coinciden con reglas de detección específicas derivadas de MITRE ATT&CK (por ejemplo, modificaciones a claves de ejecución en el Registro, tareas programadas o configuraciones de servicios). Estos eventos se registran en una Tabla de Configuración de Persistencia.
2. Detección de Ejecución de Persistencia: El sistema identifica procesos que inician o aceptan conexiones remotas. Realiza un rastreo hacia atrás en estos procesos para generar subgrafos y los verifica contra las Reglas de Detección de Ejecución de Persistencia (por ejemplo, procesos específicos del sistema como explorer.exe o services.exe que leen las claves modificadas). Las coincidencias se registran en una Tabla de Ejecución de Persistencia.
3. Creación de Aristas de Dependencia Pseudo (Pseudo-aristas): El CPD alinea las entradas de las tablas de Configuración y Ejecución basándose en etiquetas TTP (Tácticas, Técnicas y Procedimientos), orden temporal y atributos específicos. Cuando se encuentra una alineación, crea una pseudo-arista para vincular causalmente los gráficos atómicos de configuración y ejecución desconectados. Esto genera un gráfico de ataque integral y conciso que abarca posibles límites de reinicio.
4. Reducción de Falsos Positivos y Triaje de Alertas: Para abordar el alto volumen de actividades benignas que imitan la persistencia (por ejemplo, servicios de actualización legítimos), el CPD introduce un Algoritmo de Reducción de Falsos Positivos. Este algoritmo calcula una puntuación de anomalía/amenaza para cada pseudo-arista basada en:
   • Indicadores basados en causalidad: Grado de indirecto en cadenas de procesos, presencia de tácticas de acceso a credenciales y la ejecución de múltiples técnicas de persistencia en conjunto.
   • Indicadores basados en correlación: Factores contextuales como la legitimidad de la cuenta de dominio de la computadora que accede, la creación de cuentas locales después del movimiento lateral y el uso de herramientas de acceso remoto.
   • Puntuación: El algoritmo asigna pesos a los indicadores y clasifica las pseudo-aristas. Solo aquellas que superan un umbral específico de puntuación de amenaza (o dentro del "presupuesto de alertas" de un analista) se marcan como verdaderos positivos.

Innovaciones Técnicas Clave

• Pseudo-aristas: Estas aristas virtuales puentean las brechas temporales y lógicas entre las fases de configuración y ejecución, permitiendo la reconstrucción de narrativas de ataque completas incluso cuando los eventos están separados por reinicios o tiempo.
• Aristas Guiadas por Expertos: Para mitigar la necesidad de volúmenes masivos de registros IPC (como Windows ALPC) que a menudo faltan o son demasiado grandes para almacenar, el CPD utiliza el conocimiento experto de las políticas del SO (por ejemplo, vincular sc.exe con services.exe basándose en el nombre del servicio y el tiempo) para inferir dependencias faltantes. Esto reduce los requisitos de almacenamiento de registros en un promedio del 37%.
• Triaje Contextual: A diferencia de los sistemas que dependen únicamente de firmas estáticas, el CPD evalúa las consecuencias del uso de la funcionalidad del sistema, distinguiendo entre el uso benigno y la explotación maliciosa mediante el análisis del contexto más amplio de la cadena de muerte.

Contribuciones Clave

1. Sistema de Detección Novel: Introducción del CPD, el primer sistema de detección específicamente dirigido a amenazas de persistencia utilizando análisis de proveniencia para vincular las fases de configuración y ejecución.
2. Aristas de Dependencia Pseudo: Un mecanismo para relacionar causalmente fases de persistencia desconectadas, mejorando la detección de ataques sigilosos y multietapa.
3. Aristas Guiadas por Expertos: Una técnica para refinar los gráficos de proveniencia y reducir el volumen de registros al inferir enlaces IPC faltantes basados en políticas del SO, evitando la necesidad de un registro exhaustivo.
4. Algoritmo de Triaje de Alertas: Un algoritmo novel que reduce los falsos positivos al analizar la proximidad de técnicas y tácticas relacionadas de la cadena de muerte dentro del gráfico de proveniencia.
5. Evaluación Integral: Implementación y prueba en conjuntos de datos diversos, incluidos conjuntos de datos públicos (DARPA E5, OpTC) y conjuntos de datos derivados de planes de emulación estrictos de MITRE ATT&CK (APT29, Sandworm).

Resultados

Las evaluaciones realizadas en conjuntos de datos públicos y emulados por MITRE demuestran lo siguiente:

• Reducción de Falsos Positivos: El CPD reduce la tasa promedio de falsos positivos en un 93% en comparación con las reglas de SIEM de código abierto más avanzadas (Elastic, Sigma, Chronicle) y los sistemas EDR comerciales (VMware CBC).
• Precisión: El sistema detecta con éxito ataques de persistencia reales que otros sistemas pasan por alto, particularmente aquellos que involucran fases fragmentadas o persistencia basada en reinicios.
• Reducción de Registros: El uso de aristas guiadas por expertos reduce los requisitos de almacenamiento de registros en un promedio del 37% (hasta un 53% en escenarios específicos) al eliminar la necesidad de un registro completo de ALPC.
• Rendimiento: El CPD logra un tiempo de respuesta de menos de un minuto para todo su pipeline. En comparaciones con PIDS basados en aprendizaje (KAIROS, FLASH), el CPD es significativamente más rápido (315 veces más rápido que KAIROS, 156 veces más rápido que FLASH) y consume menos memoria (4 veces menos), manteniendo al mismo tiempo una mayor precisión en la detección de persistencia.
• Calidad del Gráfico: El sistema genera gráficos de ataque concisos y explicables que distinguen claramente entre configuración y ejecución, ayudando a los analistas de seguridad en la respuesta rápida a incidentes.

Significado y Afirmaciones

El documento afirma que el CPD aborda una brecha crítica en la defensa contra APT al cambiar el enfoque de la detección aislada del mal uso de la funcionalidad del sistema a la relación causal entre configuración y ejecución. Los autores afirman que:

• La persistencia a menudo se malinterpreta en la investigación académica y los sistemas de detección, que no reconocen la naturaleza de dos fases de estos ataques.
• Al evitar suposiciones optimistas sobre el comportamiento de la persistencia y la necesidad de datos de entrenamiento, el CPD ofrece una solución confiable, explicable y transferible.
• El sistema satisface cinco propiedades clave para una detección de amenazas efectiva: confiabilidad, explicabilidad, profundidad analítica, contextualidad y transferibilidad.
• El CPD está diseñado para ser práctico en entornos empresariales, capaz de reducir la fatiga de alertas mientras asegura que las amenazas genuinas de persistencia se prioricen para su investigación.

Los autores enfatizan que, aunque el sistema se basa en el marco MITRE ATT&CK, sus principios subyacentes (segmentación en configuración/ejecución y vinculación causal) son generalizables, lo que lo hace adaptable a amenazas emergentes sin requerir reentrenamiento frecuente y complejo.