Resumen Técnico: Facade – Detección de Amenazas Internas de Alta Precisión

1. Declaración del Problema

Las amenazas internas representan un riesgo catastrófico para las organizaciones, capaces de causar daños financieros y reputacionales significativos. Detectar estas amenazas es excepcionalmente difícil porque la actividad maliciosa suele ser dispersa y se intercala entre volúmenes masivos de comportamiento legítimo de los usuarios.

La literatura existente y los sistemas de detección enfrentan tres limitaciones primarias que impiden su despliegue en empresas a gran escala:

1. Conjuntos de datos poco realistas: Muchos estudios dependen de conjuntos de datos (por ejemplo, CERT) con actividad benigna sintética que carece de la diversidad e imprevisibilidad de los registros empresariales del mundo real, lo que conduce a tasas de falsos positivos (FPR) subestimadas.
2. FPR Operacional: Los sistemas tradicionales de detección de anomalías suelen reportar FPRs superiores al 1%. En un entorno con miles de millones de eventos diarios, incluso un FPR del 0.1% genera millones de alertas, causando fatiga en los analistas y volviendo el sistema inutilizable.
3. Granularidad: La mayoría de los sistemas operan a un nivel volumétrico (por ejemplo, detectando exfiltración de alto volumen), fallando en la identificación de ataques dirigidos de bajo volumen, como el acceso a un único documento sensible.

El desafío central es desarrollar un sistema que detecte amenazas internas novedosas y de bajo volumen con un FPR lo suficientemente bajo (apuntando a <0.01%) para ser operativamente viable en un entorno a gran escala, sin depender de datos de ataque etiquetados para el entrenamiento.

2. Metodología: Facade

Facade es un sistema de detección de anomalías contextuales de aprendizaje profundo y auto-supervisado diseñado para operar como una última línea de defensa. Trata el problema de detección como una tarea de aprendizaje supervisado derivada de datos benignos no etiquetados utilizando una estrategia de aprendizaje contrastivo novedosa.

2.1 Arquitectura Central

Facade utiliza una arquitectura de modelo de dos torres, inspirada en los sistemas de recomendación, para aprender la relación entre Principales (usuarios) y Recursos (documentos, tablas SQL, puntos de enlace HTTP/RPC).

• Torre de Contexto ($E_C$): Codifica el estado del principal en el momento de un evento. Las características incluyen la familia de puestos, la duración del empleo y conjuntos ponderados de pares derivados de reuniones, revisiones de código, cadenas de mando y centros de costos.
• Torres de Acción ($E_A$): Una torre por tipo de acción (por ejemplo, acceso a documentos, acceso a SQL). Estas codifican el estado del recurso basándose en el historial de acceso. En lugar de incrustar IDs de recursos estáticos, el sistema representa un recurso como un conjunto ponderado de usuarios que accedieron previamente a él. Esto permite al modelo generalizar a nuevos recursos y patrones de acceso evolutivos.
• Puntuación: El modelo calcula la distancia de coseno entre la incrustación de contexto y la incrustación de acción. Una distancia baja indica un evento benigno (alta afinidad), mientras que una distancia alta indica una anomalía.

2.2 Entrenamiento: Muestreo Positivo

Dado que los datos de ataque etiquetados son escasos y a menudo se filtran, Facade emplea Muestreo Positivo, una técnica de auto-supervisión que reduce el problema no supervisado a uno supervisado.

• Pares Naturales (Clase Negativa): Los eventos observados reales $(a_i, c_i)$ se tratan como ejemplos negativos (benignos).
• Pares Sintéticos (Clase Positiva): El sistema genera "anomalías" sintéticas mediante el desajuste aleatorio de acciones y contextos de diferentes principales (es decir, emparejando la acción $a_i$ con el contexto $c_j$ donde $p_i \neq p_j$).
• Objetivo: El modelo es entrenado para distinguir entre pares naturales y estos pares positivos sintéticos. Teóricamente, minimizar la pérdida en esta tarea obliga al modelo a aprender el Lift (la relación entre la probabilidad conjunta y el producto de las marginales), identificando efectivamente acciones que son raras dadas una configuración de contexto específica.

2.3 Inferencia y Agregación

Para lograr el FPR requerido, Facade emplea dos técnicas de post-procesamiento:

1. Filtrado de Eventos Comunes: Se filtran los eventos donde principales distintos con contextos similares acceden a recursos similares. Esto asume que si múltiples usuarios similares realizan la misma acción, es probable que sea una actividad de negocio justificada.
2. Agregación por Principal: En lugar de auditar eventos individuales, el sistema agrega puntuaciones para un conjunto de acciones realizadas por un principal durante una ventana de tiempo (por ejemplo, una semana). Un agregador basado en clustering agrupa comportamientos similares y suma las puntuaciones máximas de cada grupo. Esto asegura la monotonicidad (añadir acciones benignas no puede ocultar una maliciosa) y descuenta la redundancia conductual.

3. Contribuciones Clave

El artículo presenta las siguientes contribuciones:

• Sistema Facade: El primer sistema de detección de anomalías contextual de alta precisión para amenazas internas capaz de identificar ataques de red team realistas con un FPR tan bajo como 0.0003% para eventos de acceso único.
• Estrategia de Muestreo Positivo: Un método de entrenamiento novedoso que reduce la detección de anomalías no supervisada a un problema supervisado utilizando únicamente datos benignos, eliminando la necesidad de datos de incidentes etiquetados.
• Capacidad Multimodal: Un modelo que detecta anomalías a través de diversos tipos de recursos (documentos en la nube, almacenes de datos SQL, endpoints internos HTTP/RPC) utilizando caracterización basada en historial y en pares.
• Robustez y Generalización: El sistema se generaliza a usuarios y recursos no vistos sin necesidad de reentrenamiento frecuente y permanece robusto contra cambios en la distribución (por ejemplo, reorganizaciones de equipos) y ruido menor en las etiquetas.
• Detección Multi-escala: La capacidad de detectar tanto eventos únicos notorios como campañas de ataque de varios días con un presupuesto diario de falsos positivos inferior al 0.01% por usuario.

4. Evaluación y Resultados

Facade fue evaluado dentro del entorno de producción de Google, involucrando a más de 100,000 empleados y 10 mil millones de eventos anuales. La evaluación utilizó un escenario de amenaza interna simulada donde 15 voluntarios (ingenieros de software) intentaron acceder a información sensible en cuatro dominios: Compartición de Medios, Productos de Hardware, Investigación de IA e Investigación de Seguridad.

Hallazgos Clave:

• Tasa de Falsos Positivos (FPR): El sistema logró un FPR inferior al 0.01% global. Para eventos únicos sospechosos (por ejemplo, acceso ilegítimo a un documento sensible), el FPR fue tan bajo como 0.0003% (3 en 1 millón).
• Capacidad de Detección: Con un presupuesto de auditoría diaria de solo 10 principales (de más de 100,000), el sistema detectó con éxito de 3 a 4 de los 15 atacantes simulados.
• Detección de Evento Único: La acción de ataque con mayor ranking tuvo un FPR inferior al 0.0003%, lo que significa que podía detectarse con una proporción de auditoría de 3 en 1 millón de eventos.
• Robustez:
  • Edad del Modelo: Un modelo entrenado un año antes de la simulación de ataque se desempeñó de manera comparable a un modelo reciente en la región de bajo FPR, demostrando resiliencia ante cambios organizacionales.
  • Ruido de Etiquetas: El sistema toleró hasta un 5% de "ruido de falsos positivos" (pares sintéticos que eran en realidad benignos) en los datos de entrenamiento, y el rendimiento mejoró ligeramente, sugiriendo un efecto de regularización.
  • Envenenamiento Adversario: El sistema aún pudo detectar ataques incluso si los eventos de ataque se replicaron en los datos de entrenamiento hasta 4 veces (o 16 veces con un presupuesto de auditoría mayor).

5. Significado y Reivindicaciones

El artículo afirma que Facade representa un avance significativo en la detección de amenazas internas empresariales al cerrar la brecha entre la investigación académica y la realidad operativa.

• Viabilidad Operativa: A diferencia de sistemas anteriores que reportan FPRs >1%, Facade es el único sistema propuesto con un FPR lo suficientemente bajo como para ser utilizable en entornos corporativos de gran escala sin abrumar a los equipos de seguridad.
• Eficiencia de Datos: Al utilizar el muestreo positivo, el sistema supera la escasez de datos de ataque etiquetados, un cuello de botella importante en el campo.
• Granularidad: Cambia el paradigma de detección del análisis volumétrico (capturar grandes descargas de datos) al análisis contextual de eventos únicos, permitiendo la detección de reconocimiento sutil y dirigido y robo de datos.
• Validación en el Mundo Real: La evaluación es sin precedentes en escala y realismo, utilizando un entorno de miles de millones de eventos en vivo y un ejercicio de red-team supervisado, en lugar de conjuntos de datos sintéticos.

Los autores concluyen que, si bien existen compensaciones entre el recall y el FPR, la capacidad de Facade para operar con una tasa de falsos positivos extremadamente baja lo convierte en una "última línea de defensa" viable para proteger los datos organizacionales contra amenazas internas tanto maliciosas como no intencionales.