🤖 machine learning

Reliable Hierarchical Operating System Fingerprinting via Conformal Prediction

Este artículo introduce y evalúa dos estrategias de Predicción Conforme estructurada, CP por niveles y CP basada en proyecciones, para abordar las limitaciones de la clasificación plana en el reconocimiento de huellas digitales de sistemas operativos mediante la demostración de un compromiso fundamental entre los conjuntos de predicción más ajustados y amigables para el humano del primero y los conjuntos estructuralmente consistentes y listos para políticas del segundo.

Autores originales: Rubén Pérez-Jove, Osvaldo Simeone, Alejandro Pazos, Jose Vázquez-Naya

Publicado 2026-07-16

📖 7 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Rubén Pérez-Jove, Osvaldo Simeone, Alejandro Pazos, Jose Vázquez-Naya

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que eres un detective digital tratando de averiguar qué tipo de computadora está hablando contigo en internet. ¿Es una laptop con Windows, un teléfono Android o un servidor Linux? Este trabajo de detective se llama "fingerprinting de SO" (identificación de sistema operativo). Normalmente, los detectives buscan pequeñas y únicas peculiaridades en la forma en que estas computadoras envían mensajes, como la manera específica en que inician un saludo o qué tan grandes son sus paquetes de datos. Pero aquí está el problema: el internet es un lugar caótico. A veces, las pistas son borrosas y un detective estándar podría gritar con confianza: "¡Es definitivamente un Android!", cuando en realidad es un iPhone. En la seguridad de alto nivel, ese tipo de error confiado puede ser desastroso.

Para solucionar esto, los científicos utilizan una herramienta matemática llamada "Predicción Conforme" (Conformal Prediction). No pienses en esto como un cristal mágico que da una única respuesta, sino como una red de seguridad. En lugar de decir "Es X", dice: "Es casi con seguridad una de estas tres cosas: X, Y o Z". Esto ofrece una garantía: si configuras tu red de seguridad para atrapar el 95% de los casos, realmente atrapará el 95% de las veces, sin importar lo extraños que sean los datos. Pero hay un truco: los sistemas operativos no son solo una lista plana de nombres; son un árbol genealógico. Windows es el abuelo, Windows 10 es el padre y Windows 10 22H2 es el hijo. Si tu red de seguridad dice "Es un Mac", pero también dice "Es Windows 10", es un desastre lógico. Este artículo explora cómo construir una red de seguridad que respete el árbol genealógico, asegurando que si adivinas un hijo, también adivines al padre correcto.

El Problema del Árbol Genealógico

En el mundo de la seguridad de red, identificar un Sistema Operativo (SO) es como intentar identificar a una persona en una multitud solo por el sonido de sus pasos. Podrías escuchar una bota pesada (Windows), un tenis ligero (Linux) o una marca específica de calzado para correr (Android). Tradicionalmente, los sistemas de seguridad actúan como un detective de visión única que señala a una persona y dice: "¡Ese es el sospechoso!". Pero si el detective se equivoca, todo el plan de seguridad falla.

Los autores de este artículo se dieron cuenta de que los SO tienen una jerarquía natural, como un árbol genealógico. En la cima, tienes familias amplias como "Windows" o "Linux". Debajo de eso, hay versiones principales como "Windows 10" o "Ubuntu 20.04". En el nivel más bajo están las versiones menores específicas, como "Windows 10 22H2". El problema es que los métodos estándar de "red de seguridad" (Predicción Conforme) suelen tratar cada SO como un elemento separado e independiente en una lista. Si les pides que adivinen, podrían darte una lista que incluya "Windows 10" y "Android 11", pero olvida incluir a la familia "Windows", o peor aún, podrían decir que "Android" es la familia pero "Windows 10" es la versión específica. Eso es como decir: "Este animal es un perro, pero también es un gato". No tiene sentido.

Dos Formas de Construir la Red de Seguridad

Los investigadores probaron dos estrategias diferentes para solucionar este desorden lógico, utilizando un conjunto de datos de más de 100,000 registros de tráfico de red reales de una universidad. Querían ver qué método podía dar una lista de posibilidades segura y lógica sin ser demasiado vaga.

Estrategia 1: Los Adivinos Independientes (CP por Niveles)
Imagina que tienes tres detectives diferentes trabajando en el mismo caso. Un detective solo mira el nombre de la familia, otro solo la versión principal y un tercero solo la versión menor. No hablan entre sí.

Cómo funciona: Cada detective construye su propia red de seguridad de forma independiente.
El Resultado: Este método es muy agudo. Te da listas muy pequeñas y específicas. Si el detective de la familia está seguro de que es "Windows", la lista es diminuta.
El Defecto: Debido a que no hablan entre sí, a veces se contradicen. El detective de la familia podría decir "Es Linux", mientras que el detective de la versión menor dice "Es Windows 10". Esto crea una "Tasa de Inconsistencia Jerárquica" (HIR) de aproximadamente el 30% al 40% en sus pruebas. Es eficiente, pero está lógicamente roto.

Estrategia 2: El Proyector Ascendente (CP Basado en Proyección)
Ahora, imagina que tienes un solo detective que mira el detalle más pequeño (la versión menor) y luego trabaja su camino hacia arriba en el árbol genealógico.

Cómo funciona: El detective encuentra la hoja específica (por ejemplo, "Windows 10 22H2") y luego dice: "Bien, si es esto, también debe ser 'Windows 10' y 'Windows'". Proyecta la respuesta hacia arriba para llenar los espacios en blanco.
El Resultado: Este método es perfectamente lógico. La "Tasa de Inconsistencia Jerárquica" es exactamente cero. Nunca obtendrás una familia "Windows" con un hijo "Android".
El Defecto: Es un poco más cauteloso. Debido a que tiene que incluir a cada padre posible de una suposición específica, las listas en la parte superior (el nivel de la familia) se vuelven más grandes. Si el detective no está seguro de la versión específica, todo el árbol genealógico se incluye en la red de seguridad, haciendo que la lista sea menos precisa en los niveles superiores.

El Gran Intercambio

El principal descubrimiento del artículo es un intercambio fundamental entre ser eficiente (listas pequeñas y precisas) y ser consistente (listas lógicamente perfectas).

Si necesitas que un humano lea los resultados: Los "Adivinos Independientes" (CP por Niveles) son mejores. Un analista humano puede mirar una lista que diga "Familia: Windows, Versión: Android 11" y darse cuenta: "Oh, la máquina está confundida sobre la versión, pero definitivamente es Windows". Pueden usar su cerebro para corregir el error.
Si necesitas que una computadora tome una decisión: El "Proyector Ascendente" (CP Basado en Proyección) es el ganador. Los sistemas automatizados no pueden manejar contradicciones. Si a una computadora se le dice "Bloquear Android" pero la lista dice "Familia: Windows", la computadora se queda trabada. El método de Proyección garantiza que la lista siempre tenga sentido, incluso si la lista es un poco más larga.

Lo Que Encontraron

Los investigadores ejecutaron sus pruebas 50 veces para estar seguros. Encontraron que ambos métodos lograron capturar la respuesta correcta al menos el 95% de las veces (cuando se fijaba ese objetivo), demostando que las redes de seguridad funcionan. Sin embargo, el método "Independiente" produjo listas que eran aproximadamente un 10-20% más pequeñas en el nivel de la familia, pero eran lógicamente desordenadas. El método de "Proyección" produjo listas perfectamente lógicas, pero las listas a nivel de familia eran ligeramente más grandes porque tenían que dar cuenta de cada posibilidad.

Al final, el artículo sugiere que no existe un único método "mejor". Depende de quién esté usando la respuesta. Si un humano está realizando el trabajo forense, el método desordenado pero preciso está bien. Pero si un robot está bloqueando el acceso a una red, necesita la lista perfectamente lógica y ligeramente más larga para evitar cometer un error tonto. Los autores han puesto su código y datos a disposición para que otros puedan probar estos métodos en sus propias redes, ayudando a hacer el internet un lugar más seguro donde sepamos exactamente con qué estamos tratando.

Resumen Técnico: Identificación Jerárquica Confiable de Sistemas Operativos mediante Predicción Conforme

Planteamiento del Problema
La identificación de sistemas operativos (OS, por sus siglas en inglés) es un componente crítico de la seguridad de red, la gestión de activos y la respuesta ante incidentes. Sin embargo, los métodos convencionales de identificación suelen basarse en predicciones puntuales (que devuelven una única etiqueta de OS), lo cual es frágil bajo condiciones de desequilibrio severo de clases y la naturaleza de conjunto abierto (open-set) del tráfico de red. En entornos de alto riesgo como la implementación de políticas para dispositivos propios (Bring-Your-Own-Device o BYOD), una predicción segura pero incorrecta puede derivar en brechas de seguridad. Además, los enfoques estándar tratan la identificación de OS como un problema de clasificación plana, ignorando la jerarquía taxonómica inherente de los sistemas operativos (ej. Familia $\to$ Versión Mayor $\to$ Versión Menor). Esta simplificación no logra distinguir entre la gravedad operativa de confundir dos versiones de la misma familia de OS frente a clasificar erróneamente la familia entera. Adicionalmente, los métodos existentes carecen de mecanismos formales de cuantificación de la incertidumbre.

Metodología
Los autores proponen enmarcar la identificación de OS como un problema de clasificación jerárquica y aplicar la Predicción Conforme (CP, por sus siglas en inglés) para generar conjuntos de predicción con garantías de cobertura marginal. El estudio utiliza un conjunto de datos de 109,663 registros de flujos de red pasivos de un entorno universitario, que cuenta con 112 características distribuidas en las capas IP, TCP, TLS y HTTP. Las etiquetas de verdad absoluta (ground truth) están estructuradas en tres niveles: familia de OS, versión mayor y versión menor.

El núcleo de la metodología consiste en entrenar clasificadores de Perceptrón Multicapa (MLP) independientes para cada nivel de la jerarquía y envolverlos con dos estrategias distintas de CP estructurada:

CP por Niveles (L-CP): Este enfoque aplica la Predicción Conforme de forma independiente en cada nivel de la jerarquía. Cada nivel (familia, versión mayor, versión menor) se calibra por separado utilizando sus propios puntajes de no conformidad y conjuntos de calibración. Esto genera conjuntos de predicción separados para cada nivel con garantías de cobertura marginal específicas para dicho nivel.
CP Basada en Proyección (P-CP): Este enfoque aplica la CP únicamente en el nivel de hoja (versión menor). El conjunto de predicción resultante se proyecta hacia arriba a niveles más gruesos incluyendo a todos los ancestros de cualquier hoja retenida. Esto asegura que los conjuntos de predicción sean jerárquicamente consistentes y anidados (es decir, que un hijo predicho implica que su padre también es predicho).

La evaluación emplea un marco riguroso utilizando 50 iteraciones de Monte Carlo e introduce una métrica novedosa, la Tasa de Inconsistencia Jerárquica (HIR), para cuantificar las violaciones lógicas (ej. violaciones de "huérfanos", donde se predice un hijo sin su padre, o violaciones "estériles", donde se predice un padre sin ningún hijo).

Contribuciones Clave

Primera Aplicación de CP Jerárquica: El artículo presenta la primera aplicación de la Predicción Conforme a la identificación jerárquica de OS, abordando los desafíos específicos de la consistencia taxonómica y la incertidumbre multinivel.
Estrategias de CP Estructurada: La introducción y evaluación de L-CP y P-CP, que ofrecen diferentes compromisos entre eficiencia local y consistencia estructural global.
Métrica de Evaluación Novedosa: La propuesta de la Tasa de Inconsistencia Jerárquica (HIR) para medir la coherencia lógica en las predicciones jerárquicas, yendo más allá de las métricas estándar de cobertura y tamaño de conjunto.
Reproducibilidad: La publicación de una implementación completa y de código abierto del marco de trabajo y del flujo experimental.

Resultados
Los resultados experimentales, evaluados a través de niveles de significancia ( $\alpha$ ) de 0ر0 a 0.20, revelan un compromiso fundamental entre la eficiencia por niveles y la consistencia estructural:

Validez: Ambos métodos satisfacen las garantías de cobertura marginal. L-CP logra tasas de cobertura cercanas al objetivo nominal ( $1-\alpha$ ). P-CP exhibe una sobrecobertura sistemática en los niveles más gruesos (ej. logrando un ~96% de cobertura a nivel de familia cuando el objetivo es 90%) porque el conjunto de la familia se construye como la unión de los ancestros de las hojas válidas.
Eficiencia (Tamaño del Conjunto): L-CP produce conjuntos de predicción más ajustados en el nivel de familia (ej. tamaño medio del conjunto $\approx$ 0.92 en $\alpha=0.10$ ) comparado con P-CP ( $\approx$ 1.06). Los conjuntos de L-CP pueden caer por debajo de 1.0 debido a la frecuencia de conjuntos vacíos, lo que señala alta incertidumbre o muestras fuera de la distribución.
Consistencia Estructural (HIR): P-CP logra una HIR de exactamente 0.0 para todos los $\alpha$ , garantando conjuntos anidados y coherentes. En contraste, L-CP sufre de frecuentes violaciones taxonómicas, con una HIR que alcanza su máximo alrededor del 37% en $\alpha=0.25$ . La HIR de L-CP no es monotónica, impulsada por la desincronización entre niveles (ej. un padre que devuelve un elemento único mientras un hijo devuelve un conjunto vacío).
Usabilidad: L-CP logra altas tasas de elementos únicos (predicciones precisas) en el nivel de familia más rápido que P-CP. Sin embargo, P-CP produce menos conjuntos vacíos en los niveles más gruesos, ya que una familia solo se descarta si todos sus descendientes hoja son rechazados.

Significancia e Implicaciones Operativas
El artículo concluye que la elección entre L-CP y P-CP depende del escenario de despliegue operativo específico:

Implementación de Políticas Automatizadas: Los autores recomiendan P-CP. Los sistemas automatizados requieren coherencia lógica para ejecutar políticas (ej. "Bloquear todas las versiones de Android excepto la 11+"). Una salida inconsistente de L-CP (ej. predecir "Android 11" mientras la predicción de la familia es "Windows") es inaccionable para la lógica automatizada. La garantía de conjuntos anidados de P-CP asegura que cada predicción corresponda a una ruta válida en la taxonomía de OS.
Triaje Forense: Los autores sugieren que L-CP puede ser preferible para analistas humanos. Los analistas suelen priorizar la familia de OS para dirigir incidentes y pueden usar el conocimiento de dominio para resolver inconsistencias estructurales. Una predicción de familia más ajustada y calibrada de L-CP es más valiosa que un conjunto inflado por el ruido del nivel de hoja, incluso si las predicciones de la versión menor son inconsistentes.

Este trabajo constituye un paso fundacional hacia una visibilidad de red más confiable al pasar de las frágiles predicciones puntuales a conjuntos jerárquicos calibrados, permitiendo a los operadores negociar explícitamente el tamaño del conjunto de predicción por la fiabilidad. Se propone como trabajo futuro mitigar las pérdidas de eficiencia en los métodos consistentes mediante la calibración híbrida o funciones de pérdida jerárquicas, así como explorar la CP de Mondrian para manejar el desequilibrio extremo de clases.

El Problema del Árbol Genealógico

Dos Formas de Construir la Red de Seguridad

El Gran Intercambio

Lo Que Encontraron

Más como este