ARCANE: Cross-Campaign Attacker Re-identification via Passive Beacon Telemetry -- A Bayesian Network Framework for Longitudinal Cyber Attribution

A continuación se presenta un resumen técnico detallado del artículo "ARCANE: Re-identificación de atacantes entre campañas mediante telemetría de balizas pasiva — Un marco de red bayesiana para la atribución cibernética longitudinal."

1. Planteamiento del Problema

La atribución cibernética sigue siendo un desafío crítico debido a la facilidad de suplantación de IP, el uso de herramientas de anonimización (TOR, VPN) y tácticas deliberadas de "bandera falsa" por parte de actores de amenazas sofisticados. Los métodos actuales de atribución suelen operar sobre una base por incidente, tratando cada campaña como un evento aislado y descartando la riqueza de evidencia acumulada a través de múltiples campañas a lo largo del tiempo.

El artículo investiga una pregunta fundamental: ¿Puede la agregación de evidencia a través de múltiples campañas (análisis longitudinal) mejorar significativamente la identificación del adversario, o existen límites estructurales en el espacio de características que lo impiden? Específicamente, los autores exploran si la telemetría de balizas pasivas (rastreo de cargas útiles activadas por atacantes) puede utilizarse para construir "huellas dactilares" persistentes que permitan la re-identificación de actores a través de diferentes operaciones.

2. Metodología: El Marco ARCANE

Los autores proponen ARCANE (Re-identificación de Atacantes mediante Red de Atribución entre Campañas), un marco probabilístico diseñado para actualizar incrementalmente las creencias sobre la identidad de un atacante basándose en la telemetría en flujo.

A. Marco Formal

• Inferencia Bayesiana: La atribución se modela como un problema de inferencia probabilística secuencial. El sistema mantiene una distribución de probabilidad posterior $P(A=a_i | e)$ sobre un conjunto de actores candidatos $A$, actualizada a medida que llega nueva evidencia $e$ (huellas dactilares de campañas).
• Fingerprinting (Huella Dactilar): Cada campaña se convierte en un vector de características de 24 dimensiones ($f_k$) que resume características conductuales, infraestructurales y temporales derivadas de las llamadas de retorno de las balizas.
  • Las características incluyen: Tasas de uso de TOR/VPN, tiempo de permanencia, zona horaria/idioma, detección de máquinas virtuales, consistencia de herramientas, clusters específicos de herramientas APT (por ejemplo, Cobalt Strike, Mimikatz) y entropía de los tiempos de llamada de retorno.
• Confianza entre Campañas (CCC): Una métrica que agrega la similitud entre una nueva huella dactilar de consulta y una base de conocimientos de huellas dactilares de actores conocidos. Incorpora un factor de decaimiento temporal ($e^{-\delta \cdot d_k}$) para tener en cuenta la evolución del actor y el cambio de herramientas, asegurando que la evidencia más antigua tenga menos peso.
• Brecha de Separabilidad ($\Delta S$): Definida como la diferencia entre la similitud media dentro del actor ($\bar{S}_w$) y la similitud media entre actores ($\bar{S}_c$). El artículo postula que una atribución fiable requiere que esta brecha supere un umbral estadístico dependiente del número de campañas de entrenamiento.

B. Algoritmo

ARCANE opera mediante un protocolo de validación temporal leave-one-out (dejar uno fuera):

1. Las campañas se procesan cronológicamente.
2. Para cada campaña, el sistema calcula la CCC contra la base de conocimientos de actores (construida a partir de campañas anteriores).
3. Un modelo de verosimilitud mapea la CCC a una actualización de probabilidad.
4. La distribución posterior se normaliza y se selecciona el actor más probable.
5. La campaña actual se añade a la base de conocimientos para futuras consultas.

3. Configuración Experimental

• Conjunto de Datos: Debido a la falta de datos públicos longitudinales de balizas, los autores construyeron un benchmark sintético basado en inteligencia de MITRE ATT&CK, Mandiant y Recorded Future.
• Alcance: 8 actores de amenazas de estados-nación simulados (KP, RU, CN, IR) durante 18 meses (enero de 2024 a junio de 2025).
• Escala: 96 campañas con un total de 524 llamadas de retorno de balizas.
• Modelado del Adversario: A los actores se les asignaron niveles de sofisticación variables y un cronograma de evasión donde sus capacidades de evasión (uso de TOR, cambio de herramientas, suplantación de idioma) aumentaron linealmente con el tiempo para simular la adaptación en el mundo real.
• Línea Base: Una línea base de vecino más cercano por campaña utilizando perfiles estáticos de promedios móviles.

4. Resultados Clave

La evaluación arrojó hallazgos contra-intuitivos pero significativos:

A. El Techo de Separabilidad

• Alta Similitud: El espacio de características es extremadamente denso. La similitud media dentro del actor ($\bar{S}_w$) fue de 0.848, y la similitud entre actores ($\bar{S}_c$) fue de 0.802.
• Brecha Insuficiente: La brecha de separabilidad ($\Delta S = 0.046$) fue estadísticamente significativa pero demasiado pequeña para apoyar una re-identificación de alta confianza para 8 actores.
• Rendimiento: ARCANE logró una precisión general del 30.7%, que fue en realidad menor (aunque no estadísticamente significativa) que la línea base por campaña (43.2%). La acumulación bayesiana falló en concentrar la probabilidad posterior porque la nueva evidencia no fue lo suficientemente distinta del ruido existente.

B. Invarianza ante la Evasión

• Hallazgo Sorprendente: La precisión de ARCANE se mantuvo estable (20.6%–25.2%) independientemente del nivel de evasión del actor.
• Implicación: La barrera principal para la atribución no es la evasión adversaria (por ejemplo, usar TOR o cambiar herramientas). Por el contrario, la limitación es la indistinguibilidad de las características: los actores sofisticados convergen naturalmente en prácticas similares de seguridad operativa (alto uso de TOR, rotación frecuente de herramientas), haciéndolos parecer idénticos en el espacio de características actual.

C. Curva de Aprendizaje

• Aumentar el número de campañas de entrenamiento no condujo a una mejora monótona en la precisión. Esto confirma que el cuello de botella es el límite estructural del espacio de características, no una falta de volumen de datos.

5. Contribuciones Clave

1. Primer Marco Longitudinal Formal: ARCANE es el primer marco bayesiano formalizado para la re-identificación de atacantes entre campañas utilizando telemetría de balizas pasiva.
2. Identificación del "Techo de Separabilidad": El artículo proporciona evidencia empírica de que los grupos APT sofisticados convergen en una región densa del espacio de características conductuales, haciendo que las huellas dactilares basadas en TTP y balizas estándar sean insuficientes para la desambiguación.
3. Insight de Invarianza ante la Evasión: El hallazgo de que la evasión no degrada la precisión de la atribución (porque el problema es la indistinguibilidad, no la ofuscación) ofrece una nueva perspectiva estratégica para los defensores.
4. Análisis Cuantitativo de la Brecha: Los autores cuantifican la brecha exacta ($\Delta S$) requerida para una atribución fiable, mostrando que las características actuales de 24 dimensiones quedan cortas por un margen específico.

6. Significado y Direcciones Futuras

• Cambio Estratégico: Los resultados sugieren que los defensores no deben depender únicamente de aumentar el volumen de datos de balizas o esperar a que los atacantes cometan errores. En su lugar, el enfoque debe cambiar hacia enriquecer las clases de señales.
• Soluciones Propuestas: Para romper el techo de separabilidad, los autores proponen integrar:
  1. Segmentación de Objetivos de Víctimas: Los grupos APT a menudo tienen objetivos industriales específicos (por ejemplo, finanzas vs. energía) independientes de sus herramientas operativas.
  2. Patrones Temporales Más Ricos: Ir más allá de la entropía simple de la hora del día para incluir patrones de día de la semana y alineación con festivos nacionales.
  3. Gráficos de Reutilización de Infraestructura: Analizar la co-ocurrencia de rangos específicos de ASN o nodos de salida, incluso dentro de las redes TOR.
• Estrategia Defensiva: Dado que la evasión no perjudica la atribución, los defensores pueden desplegar agresivamente infraestructura de atribución pasiva (como honeypots o tokens cebos) sin temor a que alertar al atacante haga inútil el sistema.

En conclusión, aunque ARCANE formaliza con éxito el problema de la atribución longitudinal, sus resultados empíricos sirven como un "negativo constructivo", demostrando que las huellas dactilares conductuales actuales son estructuralmente insuficientes para distinguir actores sofisticados y destacando la necesidad urgente de integración de señales multimodales.