ProHunter: A Comprehensive APT Hunting System Based on Whole-System Provenance

A continuación presento un resumen técnico detallado del artículo "ProHunter: A Comprehensive APT Hunting System Based on Whole-System Provenance" en español.

1. Problema Identificado

Los Amenazas Persistentes Avanzadas (APT) son extremadamente difíciles de detectar debido a su naturaleza sigilosa, su ejecución en etapas y su capacidad para mezclarse con actividades normales del sistema. Aunque la caza de amenazas basada en procedencia (provenance) ha surgido como un mecanismo de defensa proactivo que modela los registros de auditoría como grafos de procedencia de todo el sistema, existen tres limitaciones críticas que impiden su implementación efectiva a escala:

1. Ineficiencia de Recursos (C1): Los grafos de procedencia del mundo real son masivos (millones de nodos y aristas), lo que genera una sobrecarga de memoria y tiempo inmanejable en entornos de producción con recursos limitados (ej. <100 MB/host).
2. Muestreo Impreciso de Actividades (C2): Aislar el subgrafo de amenazas es difícil porque las actividades maliciosas están intrincadamente entrelazadas con operaciones benignas. Los métodos actuales dependen de indicadores de compromiso (IoC) explícitos o sufren de "explosión de dependencias" (ej. procesos como explorer.exe que acumulan muchas dependencias), lo que dificulta la extracción precisa de patrones de ataque.
3. Brechas Semánticas (C3): Existe una desconexión significativa entre los informes de Inteligencia de Amenazas Cibernéticas (CTI), que usan terminología de alto nivel (ej. "escaneo ARP"), y los registros de auditoría del sistema, que capturan eventos de bajo nivel (ej. "ejecución de cmd.exe"). Esto provoca que los grafos de consulta derivados de CTI no coincidan semánticamente con los grafos de procedencia, reduciendo la precisión de la detección.

2. Metodología: ProHunter

ProHunter es un sistema de caza de amenazas basado en procedencia, diseñado para ser independiente de la plataforma, que aborda estos desafíos mediante una arquitectura de tres etapas:

A. Construcción de Grafos de Procedencia Pura (PPG)

Para resolver el problema de la eficiencia de memoria (C1), ProHunter introduce una estructura de datos compacta en memoria:

• Abstracción Semántica: Reemplaza nombres de nodos y tipos específicos por tipos abstractos de 4 bits (ej. "proceso de sistema", "archivo de configuración") y utiliza índices enteros en lugar de identificadores de 128 bits. Esto alinea la semántica entre CTI y logs mientras reduce drásticamente el tamaño.
• Codificación Jerárquica: Observa que la mayoría de los nodos tienen dependencias escasas (nodos dispersos). Utiliza una codificación de bits variable:
  • Para nodos dispersos, almacena índices relativos de adyacencia en espacios de bits pequeños (11-16 bits).
  • Para nodos con "explosión de dependencias", promueve automáticamente la estructura a un formato extendido con más bits.
• Resultado: Permite almacenar grafos de procedencia de larga duración con una sobrecarga de memoria mínima (3-25 MB/día).

B. Muestreo de Grafos de Amenazas

Para abordar la imprecisión en el muestreo (C2), ProHunter abandona la dependencia exclusiva de IoC explícitos:

• Algoritmo Heurístico BFS: Utiliza un algoritmo de Búsqueda en Anchura (BFS) bidireccional que rastrea flujos de información sospechosos basándose en reglas de propagación y tipos de nodos abstractos.
• Regulas de Filtrado: Aplica reglas específicas (ej. si un proceso de tipo "web" con explosión de dependencias se conecta a una red pública, se muestrea; si un proceso de sistema modifica archivos de configuración, se muestrea).
• Flexibilidad: Funciona incluso sin señales de POI (Puntos de Interés) predefinidos, utilizando cualquier nodo del sistema como semilla, lo que lo hace robusto frente a ataques que evaden IoC conocidos.

C. Representación y Coincidencia de Ataques

Para cerrar la brecha semántica (C3), ProHunter emplea un enfoque de aprendizaje profundo avanzado:

• Red de Isomorfismo de Grafos (GIN) Adaptativa: Integra un modelo GIN que realiza dos tipos de paso de mensajes:
  1. Intra-grafo: Agrega características de vecinos para capturar comportamientos localizados.
  2. Inter-grafo: Utiliza un mecanismo de atención para pasar mensajes entre el grafo de amenaza y el grafo de consulta (CTI), priorizando patrones estructural y semánticamente similares.
• Aprendizaje Contrastivo: Entrena el modelo para maximizar la similitud entre grafos de comportamiento análogo y minimizarla entre grafos disímiles, utilizando aumentación de datos (perturbación de nodos y aristas) para generar pares positivos y negativos.
• Coincidencia Aproximada: En lugar de buscar un isomorfismo exacto (NP-completo), busca coincidencias aproximadas basadas en la similitud de las representaciones vectoriales, lo que permite tolerar variaciones en los patrones de ataque.

3. Contribuciones Clave

1. Sistema Integral ProHunter: Un sistema que integra compresión de grafos, muestreo de amenazas y coincidencia semántica adaptativa.
2. Estructura de Almacenamiento Eficiente: Una estructura de datos PPG basada en abstracción semántica y codificación jerárquica que reduce el uso de memoria en un 47-75% comparado con métodos anteriores (como Sleuth).
3. Algoritmo de Muestreo Heurístico: Un algoritmo que no depende de IoC explícitos, capaz de extraer grafos de amenazas con alta cobertura semántica (>70%) y bajo ruido, incluso ante dependencias explosivas.
4. Representación Gráfica Adaptativa: Un modelo de GIN mejorado que cierra la brecha semántica entre CTI y logs mediante la extracción de características localizadas y globalizadas, mejorando la precisión de la coincidencia.
5. Evaluación Exhaustiva: Validación en conjuntos de datos de DARPA (TC E3, E5 y OpTC) que cubren 28 escenarios de ataque en múltiples sistemas operativos (Linux, FreeBSD, Windows, Android).

4. Resultados Experimentales

Las evaluaciones demuestran que ProHunter supera a los sistemas de vanguardia (como MEGR-APT, DeepHunter, ProvG-Searcher):

• Eficiencia de Memoria: Logra almacenar grafos de procedencia diarios en 3 a 25 MB, permitiendo análisis a largo plazo (hasta 90 días) sin agotar la memoria.
• Precisión en el Muestreo: Los grafos de amenazas muestreados logran una cobertura de semántica de ataque superior al 70-90% con una tasa de ruido (nodos irrelevantes) promedio de solo 2-3 nodos.
• Rendimiento de Caza de Amenazas:
  • Recall (Sensibilidad): 100% en todos los conjuntos de datos de DARPA.
  • Tasa de Falsos Positivos (FPR): Promedio inferior al 1% (ej. 0.07% en OpTC), superando significativamente a otros sistemas que sufren de altas tasas de falsos positivos.
  • Adaptabilidad: Funciona eficazmente incluso sin señales de POI explícitas, manteniendo una separación clara entre comportamientos benignos y maliciosos.
• Velocidad: El proceso de muestreo y caza se completa en segundos (ej. <0.2 segundos por grafo), permitiendo un rendimiento de ~300 cazas por minuto.

5. Significado e Impacto

ProHunter representa un avance significativo en la caza proactiva de APTs al resolver el trilema de eficiencia, adaptabilidad y precisión.

• Viabilidad Operativa: Al reducir drásticamente los requisitos de memoria, hace posible el análisis de procedencia en tiempo real y a largo plazo en entornos de producción, algo que antes era prohibitivo.
• Resiliencia: Su capacidad para operar sin IoC explícitos y su enfoque en flujos de información sospechosos lo hacen resistente a técnicas de evasión que manipulan indicadores tradicionales.
• Puente Semántico: La innovación en la representación gráfica adaptativa permite que los analistas utilicen inteligencia de amenazas de alto nivel (CTI) para detectar ataques de bajo nivel en los logs, reduciendo la carga de trabajo manual y mejorando la detección de amenazas sofisticadas.

En resumen, ProHunter establece un nuevo estándar en la caza de amenazas, demostrando que es posible construir sistemas de defensa proactiva que sean simultáneamente escalables, precisos y capaces de entender el contexto semántico de los ataques APT.