Resumen Técnico: PHANTOM – Adaptación Polimórfica de Tokens de Miel con Mimicria Organizacional Ajustada a la Narrativa

1. Declaración del Problema

Los tokens de miel (honeytokens)—activos digitales señuelo diseñados para detectar accesos no autorizados—son un primitivo establecido en el engaño cibernético. Sin embargo, las herramientas de generación existentes (por ejemplo, Canarytokens, HoneyBadger) dependen de métodos estáticos basados en plantillas que carecen de especificidad organizacional. Aunque estos tokens suelen ser sintácticamente válidos, son semánticamente huecos. Los atacantes expertos y los escáneres automatizados (como trufflehog, gitleaks y clasificadores basados en aprendizaje automático) pueden identificarlos fácilmente porque no logran imitar los nombres de dominio específicos, las convenciones de nomenclatura de servicios, los idiomatismos de la pila tecnológica y las distribuciones de valores secretos de una organización objetivo.

El artículo identifica tres brechas críticas en los enfoques actuales:

1. Falta de Contexto: Las credenciales reales están profundamente incrustadas en el contexto organizacional (por ejemplo, nombres de roles de IAM que coinciden con arquitecturas de servicios específicas), lo cual está ausente en las plantillas genéricas.
2. La Brecha Semántica: La evidencia empírica sugiere que, aunque los tokens basados en plantillas alcanzan una alta validez sintáctica, fallan significativamente en la coherencia semántica, que es el diferenciador principal entre credenciales reales y señuelos.
3. Resistencia a la Detección: Incluso los tokens ricos en contexto fallan si los escáneres automatizados los señalan antes de que un atacante los encuentre. Las herramientas actuales no evaden adecuadamente las heurísticas modernas de detección basadas en estadística y aprendizaje automático.

2. Metodología: El Marco PHANTOM

PHANTOM (Adaptación Polimórfica de Tokens de Miel con Mimicria Organizacional Ajustada a la Narrativa) es un marco que genera tokens de miel contextualmente convincentes mediante la codificación de conocimiento específico de la organización en una tubería de generación multi-componente.

2.1 Perfil Organizacional

El sistema opera sobre un Perfil Organizacional ($O$) estructurado que contiene:

• Nombres de dominio y nombres cortos.
• Listas de servicios y tipos de bases de datos/hosts.
• Regiones de nube y detalles de la organización de Git.
• Emisores y audiencias de JWT.

2.2 Tubería de Generación Contextual

A diferencia de los generadores estáticos, PHANTOM emplea generadores dedicados ($G_t$) para ocho tipos diferentes de tokens (incluyendo claves de AWS, archivos de entorno, JWTs y tokens de bots de Slack). El principio central de diseño es la inyección de contexto a nivel de valor:

• Cada campo nombrado (nombres de usuario de IAM, nombres de bases de datos, nombres de hosts de Redis, URLs remotas de Git) se deriva directamente del perfil organizacional.
• La tubería evita llamadas a APIs externas, asegurando que pueda desplegarse en entornos aislados de red (air-gapped) o clasificados.
• Diseño Consciente del Escáner: Los generadores están diseñados explícitamente para evadir tres heurísticas principales de escáner:
  • Expresiones Regulares/Patrón ($S_1$): Reemplaza cadenas genéricas de alerta roja (por ejemplo, "example.com") con valores derivados de la organización.
  • Análisis de Entropía ($S_2$): Imita el perfil de entropía mixta de archivos reales (secretos de alta entropía junto con valores legibles por humanos de baja entropía) en lugar de una entropía alta uniforme.
  • Clasificadores ML ($S_3$): Incorpora huellas dactilares específicas de la organización (dominios, nombres de servicios) para contrarrestar clasificadores entrenados para detectar la falta de contexto.

2.3 Métricas de Evaluación

El artículo formaliza la calidad del token a través de una Puntuación de Credibilidad ($B$) y una Puntuación Compuesta de Token de Miel ($H$):

• Puntuación de Credibilidad ($B$): Una composición ponderada de cuatro componentes:
  1. Validez Sintáctica ($S_v$): Formato correcto para el tipo de token.
  2. Coherencia Semántica ($S_c$): Ajuste contextual con el perfil organizacional.
  3. Normalidad Estadística ($S_n$): Propiedades de entropía y distribucionales que coinciden con credenciales reales.
  4. Aceptación Humana ($S_h$): Fracción de evaluadores expertos que clasifican el token como genuino.
• Resistencia a la Detección ($DR$): Definida como $1 - P_d$, donde $P_d$ es la probabilidad de detección por un conjunto ponderado de modelos de escáner ($S_1, S_2, S_3$).
• Puntuación Compuesta ($H$): Equilibra la credibilidad y la resistencia a la detección ($H = B^\lambda \cdot DR^\mu$).

3. Configuración Experimental

• Conjunto de Datos: 32 tokens PHANTOM y 32 tokens base basados en plantillas generados a través de 8 tipos de tokens y 4 contextos organizacionales (FinTech, Salud, Defensa, Comercio Electrónico).
• Línea Base: Un generador de plantillas estático que utiliza valores secretos aleatorios pero sin contexto organizacional (equivalente a Canarytokens).
• Evaluación:
  • Automatizada: Tres modelos de escáner (Expresiones Regulares, Entropía, Clasificador ML) aplicados a todos los tokens.
  • Humana: Evaluadores expertos clasificaron los tokens como genuinos o señuelos.
  • Estadística: Pruebas t de Welch de dos muestras con corrección de Bonferroni; tamaños del efecto reportados como $d$ de Cohen.

4. Resultados Clave

PHANTOM supera significativamente a la línea base basada en plantillas en todas las métricas principales:

Métrica	Línea Base de Plantilla	PHANTOM	$\Delta$	Significancia
Credibilidad ($B$)	$0.576 \pm 0.058$	$0.778 \pm 0.057$	$+0.203$	$p < 0.001$ ($d=3.52$)
Validez Sintáctica ($S_v$)	$0.842$|$0.876$|$+0.034$	No Significativa
Coherencia Semántica ($S_c$)	$0.396$|$0.705$|$+0.309$|$p < 0.001$($d=4.52$)
Aceptación Humana ($S_h$)	$6.2\%$	$100.0\%$	$+93.8\%$	$p < 0.001$
**Resistencia a la Detección ($DR$)** |$0.609$|$0.870$|$+0.261$|$p < 0.001$($d=7.49$)

• Coherencia Semántica como Motor: La mayor mejora se dio en la coherencia semántica ($\Delta S_c = +0.309$), confirmando que el contexto organizacional es el ingrediente crítico faltante. La validez sintáctica no mostró diferencias significativas, lo que indica que la corrección del formato es una condición necesaria pero insuficiente para el engaño.
• Aceptación Humana: El 100% de los tokens PHANTOM superaron el umbral de expertos humanos ($B \ge 0.65$), en comparación con solo el 6.2% de las plantillas.
• Resistencia a la Detección: Los tokens PHANTOM fueron significativamente más difíciles de detectar en los tres modelos de escáner, con la mejora más dramática contra los clasificadores basados en ML (la probabilidad de detección cayó del 54.1% al 16.2%).
• Optimalidad de Pareto: El 100% de los tokens PHANTOM cayeron dentro de la "zona ideal" ($B \ge 0.70$ y $DR \ge 0.70$), mientras que solo el 6.2% de los tokens de plantilla lo hicieron.

5. Significado y Afirmaciones

El artículo afirma que PHANTOM aborda la limitación fundamental de la generación actual de tokens de miel: la ausencia de especificidad organizacional.

• Contribución Principal: La introducción de un marco formal de Puntuación de Credibilidad que integra dimensiones sintácticas, semánticas, estadísticas y humanas, demostrando que la coherencia semántica es el motor dominante de la calidad del engaño.
• Ventaja Operativa: Al operar sin llamadas a APIs externas, PHANTOM es totalmente desplegable en entornos aislados de red (por ejemplo, redes gubernamentales clasificadas, sistemas de control industrial) donde el acceso a APIs en la nube está prohibido, ofreciendo un nivel de calidad comparable a los enfoques basados en LLM sin la dependencia de red.
• Impacto Estratégico: El marco proporciona el componente de "cebo" de alta calidad necesario para una tubería completa de engaño y atribución post-exfiltración, complementando sistemas existentes como Passive Hack-Back y sistemas de reidentificación longitudinal.

Los autores concluyen que los futuros esfuerzos de calidad de generadores deben cambiar el enfoque de la corrección del formato (validez sintáctica) hacia la incrustación semántica, ya que esta última es el factor principal que determina si un token de miel es indistinguible de una credencial legítima.