🤖 machine learning

Building a Robust Risk-Based Access Control System to Combat Ransomware's Capability to Encrypt

Este artículo presenta un sistema de control de acceso basado en riesgos que combina aprendizaje automático y control de acceso obligatorio para detectar y bloquear en tiempo real la actividad de cifrado malicioso en Linux mediante el rastreo de funciones del kernel, logrando una granularidad superior a los métodos tradicionales sin incurrir en la sobrecarga de la virtualización.

Autores originales: Kenan Begovic, Abdulaziz Al-Ali, Qutaibah Malluhi

Publicado 2026-03-24

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Kenan Begovic, Abdulaziz Al-Ali, Qutaibah Malluhi

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

¡Claro que sí! Imagina que tu computadora es una casa muy segura con un sistema de seguridad avanzado. El problema es que los ladrones (el ransomware) han aprendido a entrar, no para robar cosas, sino para cerrar todas las puertas y ventanas con candados (encriptar tus archivos) y pedir un rescate para abrirlos.

Este artículo presenta una nueva forma de defender esa casa. En lugar de solo poner más cerraduras, han creado un guardia de seguridad inteligente que sabe exactamente cuándo alguien está intentando poner candados a las puertas de forma maliciosa.

Aquí te explico cómo funciona, usando analogías sencillas:

1. El Problema: Los Ladrones de Candados

El ransomware es como un ladrón que entra a tu casa y empieza a poner candados a todo: a tu álbum de fotos, a tus facturas, a tus documentos. Lo hace tan rápido que, si el sistema de seguridad es lento, ya es demasiado tarde. Los sistemas antiguos eran como guardias que solo miraban si alguien tenía un arma (un virus conocido), pero estos ladrones nuevos son muy astutos y usan herramientas legítimas (como programas de encriptación normales) para disfrazarse.

2. La Solución: El Guardia con "Rayos X" y "Reglas"

Los autores crearon un sistema que combina dos tipos de guardias trabajando juntos:

El Guardia Experto (Machine Learning): Es como un detective muy inteligente que ha visto miles de videos de ladrones. No solo mira si tienes un arma, sino que analiza cómo te mueves.
- La analogía: Si un vecino normal abre una puerta, camina tranquilo y cierra. Pero si un ladrón empieza a abrir y cerrar 50 puertas en un segundo, el detective sabe que algo va mal, aunque no tenga un arma visible.
- Este "detective" usa una herramienta llamada ftrace. Imagina que es como poner una cámara de alta velocidad dentro del motor de tu coche (el sistema operativo) para ver cada pequeño movimiento que hace el motor. El detective analiza esos movimientos para ver si coinciden con el patrón de un "ataque de candados".
El Guardia con Reglas (Reglas de Acceso): Es un guardia más estricto que sigue un manual de instrucciones muy claro.
- La analogía: Este guardia tiene una lista: "Si el usuario 'Juan' intenta abrir la puerta del sótano, está bien. Pero si el usuario 'Juan' intenta abrir la puerta del sótano mientras el motor del coche hace un ruido extraño, ¡ALTO! Bloquea la puerta".
- Este guardia es muy rápido porque no necesita pensar mucho, solo compara lo que ve con su lista de reglas.

3. El Sistema de Seguridad: SELinux (El Portero Infalible)

Todo esto se conecta a un sistema llamado SELinux. Imagina que SELinux es el portero principal de tu edificio que tiene el control total de las llaves maestras.

Normalmente, el portero deja pasar a la gente.
Pero este sistema le da un "botón de pánico" al detective y al guardia de reglas. Si cualquiera de los dos grita "¡ALTO! Esto es un ataque", el portero corta el permiso de escribir (cerrar candados) instantáneamente.
Lo genial es que el portero es muy listo: sabe que si el dueño de la casa (un usuario legítimo) quiere encriptar sus propios archivos en su propia habitación, puede hacerlo. Pero si un programa extraño intenta encriptar los archivos de todos, el portero lo detiene al instante.

4. ¿Por qué es mejor que lo anterior?

Antes, para atrapar a estos ladrones, se usaban dos métodos principales que tenían desventajas:

La Caja de Arena (Sandbox): Era como poner a la computadora en una jaula de vidrio para ver qué hacía. Funcionaba, pero era lento y consumía mucha energía (como conducir un coche con el freno de mano puesto).
Mirar solo los Syscalls: Era como mirar solo si alguien tocaba el timbre, pero no veías qué hacía dentro de la casa. Era demasiado superficial.

La nueva solución es como tener una cámara dentro del motor que ve cada pequeño movimiento (funciones del núcleo) sin necesidad de poner la computadora en una jaula. Es más preciso y no deja de funcionar tan rápido.

5. Los Resultados en la Vida Real

Los autores probaron su sistema:

Velocidad: Pueden detener al ladrón en milisegundos (antes de que haya encriptado ni siquiera 10 o 20 kilobytes de datos). Es como detener al ladrón justo cuando saca el primer candado, antes de que pueda cerrarlo.
Precisión: Casi nunca se equivocan. Si es un programa legítimo (como un antivirus o una herramienta de copia de seguridad), lo dejan pasar. Si es un ransomware, lo bloquean.
El "Costo": En la versión actual (un prototipo), el sistema consume bastante energía de la computadora (como si el detective estuviera corriendo maratones para vigilar). Pero los autores dicen que, si lo optimizan para que funcione dentro del sistema operativo (en lugar de fuera), será mucho más ligero y rápido.

En Resumen

Este trabajo es como crear un sistema de seguridad que piensa como un detective y actúa como un portero estricto.

Observa los movimientos internos del sistema con lupa.
Aprende a distinguir entre un movimiento normal y uno malicioso.
Actúa al instante bloqueando el acceso si detecta peligro, pero dejando pasar a los usuarios honestos.

Es un paso gigante hacia proteger nuestras computadoras de los secuestros digitales, asegurando que, incluso si un hacker entra, no podrá cerrar la casa con candados sin que el sistema lo detenga en el acto.

Resumen Técnico: Sistema de Control de Acceso Basado en Riesgo para Combatir el Ransomware

1. El Problema

La amenaza del ransomware ha evolucionado, utilizando técnicas criptográficas avanzadas para cifrar datos valiosos y exigir rescates. Los modelos de control de acceso tradicionales (como DAC o políticas MAC estáticas) carecen de la adaptabilidad probabilística necesaria para detectar y bloquear actividades de cifrado no autorizadas en tiempo real sin interrumpir el uso legítimo.

Desafío principal: Distinguir entre procesos criptográficos benignos (ej. OpenSSL, copias de seguridad) y ransomware malicioso en el momento exacto en que comienza el cifrado.
Limitaciones de enfoques previos: Las soluciones basadas en sandboxing (cajas de arena) o introspección de hipervisor tienen una sobrecarga operativa alta. Los enfoques basados en eBPF o trazas de llamadas al sistema (syscalls) a menudo carecen de la granularidad suficiente o de mecanismos de aplicación nativos (en el kernel) para bloquear escrituras de manera inmediata y explicativa.

2. Metodología Propuesta

Los autores proponen una arquitectura de Control de Acceso Basado en Riesgo (Risk-Based Access Control) que combina la inferencia de aprendizaje automático (ML) con el Control de Acceso Obligatorio (MAC) de Linux (SELinux).

A. Recolección de Datos y Trazas (ftrace)

Fuente de datos: Utilizan el marco nativo de trazado de Linux, ftrace, específicamente el function graph tracer.
Granularidad: A diferencia de las llamadas al sistema (syscalls), esto captura la ejecución de funciones a nivel de kernel, revelando relaciones jerárquicas y patrones de llamada complejos.
Características (Features): Se construye un conjunto de datos con 113 características ingenierizadas, que incluyen:
- Contadores de recursos (CPU, RSS, VMS, E/S).
- Métricas de grafos (centralidad de intermediación, coeficiente de agrupamiento).
- Frecuencias de llamadas a funciones específicas del kernel.
Preprocesamiento: Se eliminan funciones irrelevantes (gestión de interrupciones), se normalizan los datos y se equilibran las clases (cifrado vs. no cifrado) mediante muestreo estratificado.

B. Arquitectura de Detección de Dos Capas
El sistema utiliza dos detectores que consumen el mismo vector de características (36 características seleccionadas):

Capa de Reglas ( $E_{RULE}$ ): Un árbol de decisión superficial extraído de un modelo de Random Forest. Es altamente interpretable, rápido y diseñado para bloqueos tempranos.
Capa de Modelo ( $E_{ML}$ ): Un clasificador XGBoost entrenado para maximizar la utilidad del defensor (priorizando la detección de falsos negativos sobre los falsos positivos).

C. Integración con SELinux y Política de Riesgo

Mecanismo de Aplicación: Se integra con SELinux mediante un módulo CIL (Common Intermediate Language).
Puntos de Control (Choke Points): Se definen dos booleanos de SELinux: rule_block y ml_block.
Lógica de Riesgo: La decisión de permitir o denegar una escritura se basa en una fórmula de riesgo:
$R(x, ctx) = P_{enc}(x) \cdot I(ctx)$
Donde $P_{enc}$ es la probabilidad de cifrado y $I$ es el impacto del contexto (usuario, aplicación, ruta, tipo de archivo).
Blancos (Whitelisting): El sistema permite listas blancas estrictas (ej. permitir a user1 ejecutar openssl solo en $HOME/**). Si un proceso autorizado intenta cifrar fuera de su contexto o un usuario no autorizado ejecuta una herramienta criptográfica, el acceso se deniega.

3. Contribuciones Clave

Detección a Nivel de Función del Kernel: Primer trabajo que traduce sistemáticamente trazas de funciones del kernel (ftrace) en decisiones de control de acceso informadas por ML, ofreciendo una granularidad superior a las llamadas al sistema.
Arquitectura Dual-Layer: Combina la velocidad de las reglas simples con la profundidad de los modelos complejos, logrando un equilibrio entre latencia y cobertura.
Integración Nativa con SELinux: Proporciona un mecanismo de aplicación auditable y de bajo nivel que no depende de procesos externos para bloquear el acceso, sino que modifica las políticas de permisos en tiempo real mediante booleanos.
Conjunto de Datos Especializado: Creación de un dataset que incluye trazas de herramientas benignas, utilidades criptográficas y familias de ransomware nativo de Linux, con características de grafos y recursos.
Evaluación de Sobrecarga y Latencia: Cuantificación detallada del impacto en el rendimiento y la latencia de decisión (milisegundos), identificando que la sobrecarga actual reside en el análisis en espacio de usuario, no en la aplicación de la política.

4. Resultados Experimentales

Las pruebas se realizaron en una estación de trabajo Linux con kernel 6.14, comparando el sistema contra baselines como eBPF (Brodzik et al.) y Sandbox (Cuckoo + GBDT).

Efectividad de Detección:
- El modelo XGBoost alcanzó un F1 Macro de 0.97.
- La combinación de dos capas (OR lógico) logró un F1 de 0.98, manteniendo la cobertura del modelo con la velocidad de las reglas.
- Tasa de Falsos Positivos (FPR): Muy baja en el corpus benigno (~0.5% - 1.0% para reglas, ~1-2% para el modelo).
Latencia y Bloqueo Temprano:
- Latencia de decisión: El sistema bloquea el acceso en 10-20 ms (mediana) y tras escribir solo 10-20 KB de datos.
- La capa de reglas es más rápida (aprox. 11-15 ms) que el modelo (24-28 ms), actuando como una primera línea de defensa rápida.
Rendimiento (Overhead):
- En el prototipo actual (espacio de usuario), el uso de RAM es alto (~31-35 GB de 64 GB) y hay picos de CPU al 100% durante I/O intenso debido al análisis de trazas en Python.
- Nota: Los autores aclaran que esto es una limitación de la implementación del prototipo (parsing en espacio de usuario) y no del concepto. Se espera que una implementación en módulo del kernel reduzca drásticamente este costo.
Comparativa:
- A diferencia de los enfoques de sandbox (alta latencia, alto overhead), el sistema ofrece tiempos de reacción en milisegundos.
- A diferencia de eBPF puro (que tiene baja latencia pero menor expresividad de características), el sistema ofrece políticas explicables y granularidad por usuario/ruta.

5. Significado e Impacto

Este trabajo demuestra un camino práctico desde el trazado de comportamiento y el aprendizaje automático hasta el control de cifrado ejecutable y explicable en sistemas Linux de producción.

Seguridad Proactiva: Permite detener el ransomware antes de que se complete el cifrado masivo, minimizando la pérdida de datos.
Adaptabilidad: El modelo se ajusta dinámicamente al riesgo, permitiendo operaciones legítimas mientras bloquea comportamientos anómalos.
Escalabilidad Futura: Aunque el prototipo actual tiene una huella de recursos alta debido a la implementación en espacio de usuario, la arquitectura está diseñada para ser migrada a módulos del kernel o eBPF, lo que eliminaría la sobrecarga y haría la solución viable para entornos empresariales masivos.
Transparencia: Al extraer reglas de los modelos ML y aplicarlas a través de SELinux, el sistema mantiene la capacidad de auditoría y explicabilidad, crucial para la adopción en entornos críticos.

En conclusión, el sistema propone una defensa en profundidad que no solo detecta el ransomware, sino que aplica políticas de acceso dinámicas basadas en el riesgo calculado en tiempo real, ofreciendo un equilibrio superior entre granularidad, velocidad y explicabilidad en comparación con las soluciones existentes.