Tracing the Chain: Deep Learning for Stepping-Stone Intrusion Detection

1. El Problema: Intrusiones de "Piedra de Salto" (Stepping-Stone)

Las intrusiones de piedra de salto (SSIs), también conocidas como pivoting, son una técnica de evasión donde los atacantes enrutan sus sesiones a través de una cadena de hosts intermedios comprometidos para ocultar su origen real.

• Desafío Principal: La detección efectiva requiere correlacionar flujos de entrada y salida en cada host intermedio con una tasa de falsos positivos (FPR) extremadamente baja. En redes operativas, donde el tráfico malicioso es una fracción mínima del total, una FPR del 1% generaría miles de falsas alarmas, haciendo la tarea inmanejable para los analistas.
• Limitaciones Actuales: Los métodos de inspección de contenido son ineficaces debido al cifrado. Los métodos estadísticos clásicos y las técnicas de marcaje activo (watermarking) a menudo fallan en cumplir con los requisitos de baja FPR o introducen una sobrecarga de red significativa.
• Brecha de Datos: Existe una falta crítica de conjuntos de datos etiquetados a gran escala para entrenar y evaluar métodos modernos de correlación.

2. Metodología: El Modelo ESPRESSO

Los autores aplican y adaptan ESPRESSO, un modelo de correlación de flujos basado en aprendizaje profundo, originalmente diseñado para la correlación de tráfico en la red de anonimato Tor.

Arquitectura y Componentes Clave:

• Representación de Características Multi-canal: En lugar de usar solo direcciones de paquetes, el modelo utiliza una representación basada en intervalos de tiempo. Agrupa los paquetes en ventanas de tiempo fijas (30 ms) y calcula 9 canales de estadísticas (conteo de paquetes, suma/resta de bytes, direcciones, etc.). Esto resuelve el problema de la desalineación de paquetes causada por la resegmentación en los hosts intermedios.
• Backbone Transformer (CvT): Utiliza una arquitectura basada en el Convolutional Vision Transformer (CvT). A diferencia de los enfoques anteriores que procesaban ventanas de forma aislada, ESPRESSO procesa la secuencia completa de tráfico primero para capturar el contexto temporal global, y luego aplica ventanas para la decisión final.
• Aprendizaje de Métricas de Tripleta (Triplet Metric Learning): En lugar de clasificación binaria directa, el modelo aprende a incrustar flujos en un espacio vectorial donde los pares correlacionados (entrada/salida de la misma cadena) están cerca, y los no correlacionados están lejos.
  • Utiliza minería de tripletes en línea (online mining) para seleccionar dinámicamente ejemplos difíciles (hard/semi-hard negatives) durante el entrenamiento, mejorando la eficiencia y la precisión.
  • Reemplaza el umbral fijo de votación de modelos anteriores por un cabeza de clasificación MLP aprendida que toma las similitudes de las ventanas y decide la correlación global.

Adaptación para Detección de SSIs:

A diferencia de la correlación en Tor (donde el tráfico de entrada y salida tienen estructuras diferentes), en las SSIs ambos flujos son tráfico de red crudo. Por lo tanto, se utiliza una única red de extracción de características (FEN) compartida para ambos extremos de la cadena.

3. Contribuciones Clave

1. Generación de Datos Sintéticos: Desarrollaron una herramienta flexible para generar tráfico de intrusión realista simulando cadenas de piedra de salto a través de cinco protocolos de túnel: SSH, SOCAT (TCP), ICMP, DNS y cadenas mixtas. Los datos se basan en distribuciones reales extraídas de capturas de tráfico SSH.
2. Línea Base de Rendimiento: Establecieron un nuevo estándar de rendimiento, demostrando que ESPRESSO supera significativamente al estado del arte (DeepCoFFEA o DCF) en todos los protocolos y modos de detección.
3. Mejoras en la Función de Pérdida: Investigaron objetivos auxiliares como la alineación temporal (que mejora el rendimiento en protocolos mixtos) y la decorrelación de características, aunque esta última mostró beneficios inconsistentes.
4. Predicción de Longitud de Cadena: Exploraron predecir la longitud de la cadena de saltos (número de hosts) como una tarea de regresión. Descubrieron que un modelo CNN independiente basado en características a nivel de paquete es más preciso que un enfoque de aprendizaje multitarea integrado.
5. Análisis de Robustez: Realizaron una evaluación sistemática contra técnicas de ofuscación (relleno de paquetes y perturbación de tiempos).

4. Resultados Experimentales

Los experimentos se realizaron en dos modos: Host-mode (correlación dentro de un solo host) y Network-mode (correlación en el borde de la red, más difícil).

• Rendimiento Superior: ESPRESSO superó consistentemente a DCF. En el modo de red con tráfico SSH, SOCAT e ICMP, logró una Tasa de Verdaderos Positivos (TPR) > 0.99 con una FPR de 10⁻³.
• Desafío del Protocolo DNS: El tráfico tunelizado a través de DNS (usando dnscat2) fue el más difícil de correlacionar debido a su mecanismo de "sondeo" (polling), que rompe los patrones temporales bursty. Sin embargo, incluso en este caso, ESPRESSO superó a DCF en modo host.
• Predicción de Longitud: El modelo independiente de CNN logró una precisión promedio de ~92% en SSH y ~94% en ICMP para predecir la longitud de la cadena, una métrica útil para distinguir entre pivoting benigno (administrativo) y malicioso (cadenas largas).
• Robustez a Ofuscación:
  • Relleno (Padding): El modelo es altamente resiliente al relleno de paquetes (incluso con un 200% de sobrecarga).
  • Perturbación de Tiempo: El modelo es extremadamente vulnerable a la introducción de retrasos aleatorios (jitter). Incluso perturbaciones leves degradaron drásticamente el rendimiento, indicando que las características temporales son el punto débil principal.

5. Significado y Conclusiones

• Viabilidad Operativa: El estudio demuestra que el aprendizaje profundo puede lograr las tasas de falsos positivos extremadamente bajas necesarias para la detección operativa de SSIs, algo que los métodos estadísticos clásicos no logran.
• Vulnerabilidad Crítica: La dependencia de las características temporales es tanto la mayor fortaleza como la mayor debilidad. Los atacantes que introduzcan jitter deliberado (imitando el comportamiento de DNS) pueden evadir eficazmente estos detectores.
• Limitaciones y Futuro: El mayor desafío es la falta de datos de tráfico benigno real para entrenamiento. Los modelos actuales se han probado en un "mundo cerrado" de tráfico sintético. Para un despliegue real, se necesita distinguir el tráfico de ataque del tráfico legítimo interactivo (como sesiones SSH administrativas) que puede parecerse al tráfico de ataque.
• Recomendación: Se sugiere un enfoque híbrido que combine la correlación de flujos con detección de anomalías estadísticas y filtrado basado en protocolos para mitigar las vulnerabilidades temporales.

En resumen, el artículo presenta un avance significativo en la detección de intrusiones mediante el uso de arquitecturas Transformer y aprendizaje de métricas, proporcionando herramientas y datos sintéticos que permiten avanzar en un campo donde la falta de datos había sido un obstáculo mayor.