🤖 machine learning

Constructing Multi-label Hierarchical Classification Models for MITRE ATT&CK Text Tagging

Este artículo presenta un marco de clasificación jerárquica multietiqueta para la automatización del etiquetado de texto de MITRE ATT&CK que logra una alta precisión (94% a nivel de táctica y 82% a nivel de técnica) utilizando métodos de aprendizaje automático clásicos, superando significativamente a GPT-4o al tiempo que elimina la necesidad de arquitecturas complejas basadas en LLM.

Autores originales: Andrew Crossman, Jonah Dodd, Viralam Ramamurthy Chaithanya Kumar, Riyaz Mohammed, Andrew R. Plummer, Chandra Sekharudu, Deepak Warrier, Mohammad Yekrangian

Publicado 2026-01-22

📖 4 min de lectura☕ Lectura para el café

CC BY 4.0

Autores originales: Andrew Crossman, Jonah Dodd, Viralam Ramamurthy Chaithanya Kumar, Riyaz Mohammed, Andrew R. Plummer, Chandra Sekharudu, Deepak Warrier, Mohammad Yekrangian

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que eres un bibliotecario intentando organizar una biblioteca masiva y caótica de historias sobre ciberataques. Cada vez que llega una nueva historia (un "informe de amenaza"), necesitas clasificarla en categorías específicas para que otros bibliotecarios puedan encontrarla más tarde.

En el mundo de la ciberseguridad, este sistema de archivo se llama MITRE ATT&CK. Es como un enorme archivador de dos niveles:

El cajón superior (Tácticas): Responde a la pregunta, "¿Por qué hizo esto el malvado?" (por ejemplo, "Quería robar contraseñas" o "Quería ocultar sus huellas").
El cajón inferior (Técnicas): Responde a la pregunta, "¿Cómo lo hizo?" (por ejemplo, "Usó un tipo específico de correo electrónico de phishing" o "Usó un fallo de software específico").

Durante años, los expertos en seguridad han tenido que leer estos informes y archivarlos manualmente en los cajones correctos. Es lento, aburrido y propenso al error humano. Este artículo trata sobre la construcción de un asistente robotizado para hacer este archivo por ellos.

La construcción "de abajo hacia arriba"

En lugar de intentar construir un robot gigante y complejo desde cero (un enfoque "top-down"), los autores construyeron su sistema paso a paso, como si apilaran bloques. Empezaron con algo pequeño y añadieron complejidad solo cuando supieron que el bloque anterior era sólido.

Paso 1: El Clasificador Simple (El robot de "una etiqueta")
Primero, enseñaron a un modelo de aprendizaje automático simple a mirar una frase y adivinar un solo "Por qué" (Táctica). Lo probaron contra GPT-4o, el famoso chatbot de IA.
- El Resultado: El robot simple ganó. Acertó aproximadamente el 82% de las respuestas, mientras que GPT-4o solo acertó el 59%. Los autores descubrieron que, para esta tarea específica y estructurada, una herramienta clásica y sencilla era en realidad mejor que la IA elegante y compleja.
Paso 2: El Clasificador Multietiqueta (El robot de "múltiples etiquetas")
La vida real no es simple; una sola frase a menudo tiene múltiples razones para un ataque. Así que actualizaron el robot para que adivinara los 3 "Por qués" principales en lugar de solo uno.
- El Resultado: Esto aumentó su precisión al 94%.
Paso 3: El Clasificador Jerárquico (El robot de "archivo completo")
Finalmente, enseñaron al robot a adivinar el "Por qué" y el "Cómo" al mismo tiempo. Si el robot adivina que el "Por qué" es "Robar Contraseñas", luego busca el "Cómo" específico (por ejemplo, "Keylogging").
- El Resultado: Este sistema logró un 82% de precisión para la combinación completa de "Por qué + Cómo".

La "Receta Secreta" (Por qué funciona)

Los autores no utilizaron la IA "Generativa" más reciente y costosa ni redes neuronales complejas. En su lugar, utilizaron aprendizaje automático clásico (específicamente algo llamado "Descenso de Gradiente Estocástico" con "TF-IDF").

Piénsalo de esta manera: en lugar de construir un Ferrari supercomplejo y caro para ir al supermercado, construyeron una bicicleta muy fiable y eficiente. Cumple su función más rápido, cuesta menos y es más fácil de reparar.

También añadieron un bloqueo de privacidad (hashing). Imagina que quisieran compartir su robot con el mundo, pero les preocupaba compartir las recetas secretas (los datos) utilizadas para entrenarlo. Idearon una forma de codificar los datos para que el robot pudiera aprender de ellos sin que nadie pudiera ver los ingredientes originales. Esto permitió que lanzaran el robot al público de forma segura.

La "Prueba de la Nueva Biblioteca"

Para ver si su robot era realmente inteligente, no solo lo probaron con las historias de las que aprendió. Le dieron un nuevo conjunto de historias sobre amenazas financieras (específicas de la banca) que nunca había visto antes.

El Resultado: Al principio, el robot estaba confundido (porque las nuevas historias eran diferentes). Pero, cuando le dieron un entrenamiento mínimo con estas nuevas historias, aprendió rápidamente a archivarlas correctamente. Esto demuestra que el robot es flexible y puede adaptarse a nuevas situaciones sin necesidad de una cantidad masiva de datos nuevos.

La Gran Conclusión

El artículo concluye que no siempre se necesita la IA más cara y compleja para resolver un problema. Al dividir la tarea en pasos pequeños y manejables, y al utilizar herramientas clásicas y fiables, construyeron un sistema que:

Es más preciso que un chatbot de IA de alto nivel (GPT-4o) para este trabajo específico.
Es más rápido y barato de ejecutar.
Es seguro de compartir con el público.
Puede adaptarse a nuevos tipos de datos con muy poco entrenamiento adicional.

Han puesto este "robot bibliotecario" a disposición de forma gratuita en GitHub para que otros equipos de seguridad puedan usarlo para organizar sus propios informes de ciberamenazas.

Resumen Técnico: Construcción de Modelos de Clasificación Jerárquica Multietiqueta para el Etiquetado de Texto de MITRE ATT&CK

Declaración del Problema

El marco de trabajo MITRE ATT&CK sirve como una base de conocimiento crítica para la ciberseguridad, organizando los comportamientos de los actores de amenazas en una jerarquía de tácticas (el "por qué" o los objetivos de un ataque) y técnicas (el "cómo" o los métodos utilizados). Una aplicación principal de este marco es la anotación manual de informes de inteligencia de ciberamenazas, descripciones de vulnerabilidades y escenarios de amenazas para facilitar el análisis posterior. Actualmente, este proceso de etiquetado sigue siendo mayoritariamente manual, lo que crea un cuello de botella para los analistas de seguridad. Si bien han surgido varios métodos computacionales para automatizar o semiautomatizar esta tarea, existe una falta de un marco unificado para categorizar estos esfuerzos y una necesidad de modelos robustos y accesibles que no dependan de Grandes Modelos de Lenguaje (LLM) complejos o arquitecturas que requieran muchos recursos.

Metodología

Los autores proponen una construcción por etapas "bottom-up" (de abajo hacia arriba) de un sistema de clasificación jerárquica multietiqueta, divergiendo de las selecciones arquitectónicas canónicas de IA/ML "top-down" (de arriba hacia abajo). Este enfoque se guía por una formulación de "espacio de tareas" estratificada (Tabla 1) que categoriza las tareas de etiquetado por complejidad, que van desde la clasificación multiclasificación de etiqueta única hasta el mapeo jerárquico multietiqueta complejo.

La metodología avanza a través de tres etapas experimentales utilizando aprendizaje automático clásico (específicamente clasificadores de Descenso de Gradiente Estocástico (SGD) con vectorización TF-IDF):

Etapa Experimental 1 (Clasificación de Tácticas Multiclase):
- Tarea: Mapear una oración ( $D$ ) a una sola táctica ( $T$ ).
- Enfoque: Se entrenó un modelo SGD multiclasificación base sobre 14,405 oraciones de inteligencia de ciberseguridad general.
- Comparación: El modelo se comparó con GPT-4o utilizando un enfoque de ingeniería de prompts de texto a texto (Text-to-Text).
- Resultado: El modelo SGD clásico superó significativamente a GPT-4o (81.95% frente a 59% de precisión).
Etapa Experimental 2 (Construcción Jerárquica Multietiqueta):
- Tarea: Extender el sistema para predecir múltiples tácticas y sus correspondientes técnicas (ID de Tarea 7 en el espacio de tareas).
- Enfoque:
  - Predicción Top-N: El modelo multiclasificación fue modificado para producir las $n=3$ tácticas predichas en lugar de una sola etiqueta.
  - Condicionamiento Jerárquico: Para cada táctica predicha, se entrenó un modelo SGD multiclasificación separado y específico de la táctica para predecir las $m=3$ técnicas asociadas.
  - Seguridad: Se integró un mecanismo de hashing (MurmurHash3) en el proceso de vectorización para encriptar datos de entrenamiento sensibles sin comprometer el rendimiento del modelo, facilitando su publicación pública.
- Resultado: El sistema logró aproximadamente un 94% de precisión a nivel de táctica y un 82% de precisión a nivel de técnica (cuando se trata como transformaciones multiclasificación).
Etapa Experimental 3 (Generalización a Nuevos Dominios):
- Tarea: Evaluar el modelo base en un conjunto de datos disperso de 552 escenarios de amenazas financieras producidos por expertos en la materia de JPMorgan Chase.
- Enfoque: El modelo entrenado con datos de inteligencia de ciberseguridad general fue probado en este nuevo dominio y, posteriormente, se entrenó un nuevo modelo desde cero con un subconjunto pequeño de los datos de los escenarios de amenazas.
  - Resultado: El modelo base mostró una generalización limitada (41% de precisión), pero la arquitectura resultó ser adaptable, mejorando a un 66% de precisión con un reentrenamiento mínimo en los datos del nuevo dominio.

Contribuciones Clave

Formulación de Espacio de Tareas Estratificada: El artículo proporciona una taxonomía estructurada (Tabla 1) para la tarea de etiquetado de texto de MITRE ATT&CK, organizando los enfoques de AIML existentes y aclarando vías para el desarrollo futuro.
Construcción de Modelo Bottom-Up: Los autores demuestran una metodología para construir modelos jerárquicos que encapsulan orgánicamente las "Mejores Prácticas para el Mapeo de MITRE ATT&CK" de CISA a través de la experimentación, en lugar de arquitecturas complejas predefinidas.
Rendimiento vs. Complejidad: El estudio establece que los métodos de aprendizaje automático clásicos (SGD + TF-IDF) pueden igualar o superar el rendimiento de vanguardia (incluyendo GPT-4o) para esta tarea específica, eliminando la dependencia de LLMs, RAG, agentes o métodos complejos basados en DAG.
Liberación Pública y Seguridad: Los autores lanzaron una versión compartible y segura de su sistema de etiquetado (vía GitHub) que incluye el hashing de datos para proteger los datos de entrenamiento sensibles manteniendo un alto rendimiento.
Ejemplo de Adaptación de Dominio: El artículo ilustra cómo el modelo base puede iniciarse para nuevos conjuntos de datos dispersos (escenarios de amenazas financieras), destacando el potencial para la construcción de modelos de bajos recursos.

Resultados

Precisión a Nivel de Táctica: El enfoque jerárquico multietiqueta logró aproximadamente un 94% de precisión a nivel de táctica.
Precisión a Nivel de Técnica: El enfoque logró aproximadamente un 82% de precisión a nivel de técnica.
Comparación con GPT-4o: GPT-4o logró solo un ~60% de precisión a nivel de táctica, significativamente inferior al enfoque SGD clásico.
Mérito Jerárquico: Los resultados confirmaron que el enfoque jerárquico es efectivo; las técnicas nunca se predijeron correctamente cuando se emparejaban con una táctica incorrecta, validando la estrategia de modelado condicional.
Seguridad de Datos: La integración de hashing para la encriptación de datos no afectó significativamente el rendimiento del sistema, permitiendo la distribución pública segura.

Significado y Reivindicaciones

El artículo sostiene que la comunidad de ciberseguridad enfrenta una brecha entre las actividades de seguridad especializadas y la rica literatura matemática/técnica de AIML. Al proporcionar una formulación de tarea rigurosa y un modelo base de alto rendimiento, accesible y seguro, los autores pretenden cerrar esta brecha.

Los autores enfatizan que, si bien existen muchos enfoques, la adopción generalizada por parte de los especialistas en seguridad es rara, a menudo debido a problemas de usabilidad en entornos de bajos recursos o datos dispersos. En consecuencia, la importancia de este trabajo reside no solo en las métricas de rendimiento, sino en la usabilidad, la capacidad de compartir y la extensibilidad del sistema propuesto. El artículo postula que un enfoque de aprendizaje automático clásico y sencillo que respete la privacidad de los datos y requiera mínimos recursos es un prerrequisito para la adopción real de herramientas de etiquetado automatizado por parte de los profesionales de la seguridad. Los autores declaran explícitamente que su objetivo es facilitar desarrollos posteriores y proporcionar una base para trabajos futuros, en lugar de reclamar una solución final y perfecta.