💻 computer science

A microservices-based endpoint monitoring platform with predictive NLP models for real-time security and hate-speech risk alerting

Este documento propone una plataforma escalable basada en microservicios que integra la telemetría de los puntos finales con modelos predictivos de PLN para proporcionar alertas en tiempo real y unificadas sobre fugas de datos, comportamientos sospechosos y discurso de odio.

Autores originales: Darlan Noetzold, Anubis Graciela De Moraes Rossetto, Juan Francisco De Paz Santana, Valderi Reis Quietinho Leithard

Publicado 2026-05-13

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Darlan Noetzold, Anubis Graciela De Moraes Rossetto, Juan Francisco De Paz Santana, Valderi Reis Quietinho Leithard

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina un edificio de oficinas ocupado donde los empleados utilizan computadoras para realizar su trabajo. La empresa desea proteger sus secretos (como los datos de los clientes) y asegurar que todos sean tratados con respeto (sin acoso ni discurso de odio). Sin embargo, verificar manualmente cada computadora individual es imposible, y las herramientas de seguridad existentes a menudo funcionan en silos: una herramienta verifica datos robados, mientras que otra verifica lenguaje ofensivo, pero nunca se comunican entre sí.

Este artículo presenta un nuevo sistema unificado de "guardia de seguridad inteligente" diseñado para resolver este problema. Así es como funciona, desglosado en partes simples:

1. El "Guardaespaldas Digital" (El Agente de Spyware)

Piensa en el software instalado en la computadora de cada empleado como un guardaespaldas digital y silencioso. No solo observa; escucha y examina todo lo que sucede en la pantalla.

Qué hace: Mantiene un registro de cada tecla que pulsas, vigila los sitios web que visitas, verifica qué programas se están ejecutando e incluso toma una "instantánea" rápida de tu pantalla si algo parece sospechoso.
La Magia: Es increíblemente ligero. El artículo afirma que este guardaespaldas es tan eficiente que utiliza menos del 1% de la potencia de tu computadora. Es como tener un guardia de seguridad tan silencioso y rápido que ni siquiera hace crujir el suelo.

2. El "Centro de Mando" (La Plataforma de Microservicios)

Toda la información de estos guardaespaldas digitales necesita ir a algún lugar para ser analizada. Los autores construyeron un "Centro de Mando" utilizando una arquitectura de microservicios.

La Analogía: Imagina un aeropuerto ocupado. En lugar de una sola torre de control gigante que intente manejar cada avión, aterrizaje y pasajero a la vez, tienes equipos especializados: un equipo maneja el equipaje, otro maneja el combustible y otro maneja la seguridad. Todos se comunican entre sí instantáneamente.
Cómo funciona aquí: El sistema utiliza un "mensajero" (RabbitMQ) para pasar notas entre estos equipos especializados y una "estantería de memoria rápida" (Redis) para mantener todo en movimiento velozmente. Esto asegura que, incluso si miles de empleados envían datos a la vez, el sistema no se caiga ni se ralentice.

3. El "Detective de Lenguaje" (Modelos Predictivos de PLN)

Esta es la parte más única del sistema. El "guardaespaldas" captura las palabras escritas y las envía a un Detective de Lenguaje.

El Trabajo: El detective lee el texto para ver si contiene discurso de odio, acoso o lenguaje ofensivo.
Las Herramientas: El sistema utiliza tres tipos diferentes de "detectives" (Regresión Logística, Máquinas de Vectores de Soporte y Naive Bayes Multinomial) entrenados con millones de ejemplos de texto en inglés, español y portugués.
El Plan de Respaldo: Si los detectives estándar no están seguros, el sistema llama a un "Super Detective" (GPT-3) para una doble verificación. Si el Super Detective encuentra algo que los otros pasaron por alto, el sistema aprende de ello para la próxima vez.
El Resultado: El artículo reporta que estos detectives tienen una precisión de aproximadamente 87% para detectar discurso de odio.

4. El "Sistema de Alarma" (Alertas en Tiempo Real)

Cuando el sistema detecta un problema, como alguien intentando robar un archivo o escribir un mensaje de odio, no espera.

El Proceso: Calcula instantáneamente una "puntuación de riesgo". Si la puntuación es lo suficientemente alta, activa una alarma.
La Evidencia: No solo dice "Algo está mal". Guarda la evidencia: una lista de programas en ejecución, la instantánea de la pantalla y el texto específico, todo empaquetado juntos.
El Panel de Control: Un gerente puede iniciar sesión en un panel web para ver estas alertas en tiempo real. Pueden filtrar por quién, cuándo o qué tipo de problema ocurrió.

5. La "Prueba de Integridad" (Características de Seguridad)

El artículo enfatiza que este sistema está diseñado para ser confiable y seguro.

A prueba de manipulaciones: Si se genera una alerta, el sistema crea una "huella digital" digital (un hash criptográfico) para ella. Esto es como sellar un sobre con lacre; si alguien intenta abrir o cambiar el contenido más tarde, el sello se rompe y el sistema sabe que la evidencia ha sido manipulada.
Comprobaciones de seguridad: Los autores probaron el sistema contra hackers intentando irrumpir (utilizando inyección SQL y otros trucos). El sistema bloqueó con éxito estos ataques, demostrando que es seguro de usar.

La Conclusión

El artículo afirma haber construido una plataforma única y todo en uno que hace dos cosas a la vez:

Protege los Datos: Evita que las personas roben información sensible.
Protege a las Personas: Evita el discurso de odio y el acoso en el lugar de trabajo.

Los autores probaron este sistema y lo encontraron rápido (respondiendo en menos de un segundo), ligero (sin ralentizar las computadoras) y preciso (detectando la mayoría de los comportamientos negativos). Argumentan que al combinar estas herramientas, las empresas pueden crear un lugar de trabajo más seguro, más protegido y más inclusivo sin necesidad de una docena de programas de software diferentes y engorrosos.

Resumen Técnico: Una Plataforma de Monitoreo de Endpoints Basada en Microservicios con Modelos Predictivos de PLN

Declaración del Problema

Las organizaciones enfrentan un doble desafío en el panorama digital moderno: el riesgo de fuga de datos sensibles y la circulación de lenguaje odioso o dañino dentro de los canales de comunicación laboral. Las soluciones actuales suelen abordar estos problemas de forma aislada, separando el seguimiento de la productividad, la prevención de pérdida de datos (DLP) y la detección de discurso de odio, lo que limita la capacidad de correlacionar señales entre diferentes fuentes de datos y retrasa la respuesta ante incidentes. Además, el auge del trabajo remoto y las ramificaciones legales de entornos laborales hostiles (por ejemplo, los daños significativos otorgados en casos como la demanda contra Tesla) hacen necesaria un enfoque proactivo e integrado para el monitoreo que equilibre la seguridad, el cumplimiento normativo y el bienestar de los empleados sin comprometer el rendimiento del sistema.

Metodología

La solución propuesta es un marco unificado basado en microservicios diseñado para recopilar telemetría de endpoints y aplicar modelos predictivos de Procesamiento del Lenguaje Natural (PLN) para la generación de alertas en tiempo real. La metodología sigue un enfoque de ingeniería impulsado por requisitos, estructurado en cuatro etapas: elicita ción de requisitos, diseño arquitectónico, implementación y evaluación.

Arquitectura y Componentes

El sistema se construye sobre una arquitectura modular compuesta por tres capas principales:

Capa de Endpoint (Agente Spyware): Un agente de monitoreo basado en Python compilado en un ejecutable. Opera mediante multihilo para capturar:
- Tráfico de Red: Inspección de paquetes DNS en tiempo real para identificar sitios bloqueados o consultas maliciosas.
- Pulsaciones de Teclas: Registro de teclas para capturar texto escrito y realizar análisis de contenido.
- Procesos: Escaneo de procesos maliciosos basado en listas definidas por el administrador.
- Puertos: Escaneo de puertos abiertos y banners de servicios vulnerables.
- Captura de Pantalla: Toma de capturas de pantalla al generar alertas para proporcionar contexto probatorio.
- Lógica de Decisión: Las alertas se activan en función de una puntuación de riesgo ponderada ( $S(t)$ ) derivada de indicadores binarios (por ejemplo, DNS bloqueado, palabras clave prohibidas, procesos maliciosos).
Capa de Orquestación de Servicios (Gateway de API y Backend):
- API Central: Construida con Spring Boot y contenerizada mediante Docker, gestiona el flujo de datos entre componentes.
- Gestión de Datos: Utiliza PostgreSQL para almacenamiento persistente (alertas, datos de usuarios, imágenes) y Redis para almacenamiento en caché de baja latencia de consultas frecuentes (TTL de 20 segundos).
- Procesamiento Asíncrono: RabbitMQ maneja la ingestión y enrutamiento de eventos, desacoplando la ingestión de telemetría del procesamiento de alertas y tareas de clasificación.
- Optimizaciones: El sistema emplea inicialización diferida, deshabilita configuraciones automáticas innecesarias, utiliza el contenedor de servlets Undertow para E/S no bloqueante e implementa indexación secuencial de bases de datos para minimizar la sobrecarga de recursos.
Pipeline Predictivo de PLN:
- Procesamiento de Datos: El texto se somete a normalización (minúsculas, limpieza, eliminación de palabras vacías, reducción a raíz/lematización) y se vectoriza utilizando TF-IDF.
- Modelos: Se entrenaron y evaluaron tres modelos tradicionales de aprendizaje automático para cada idioma (portugués, español, inglés): Regresión Logística (con regularización L1), Máquina de Vectores de Soporte (kernel RBF) y Naive Bayes Multinomial (con suavizado de Laplace).
- Mecanismo de Respaldo: El sistema integra GPT-3 (a través del modelo text-davinci-003) como una capa de verificación secundaria para frases no marcadas por los modelos principales. Las discrepancias se registran para futuras reentrenamientos.
- Clasificación: El pipeline identifica el idioma de la entrada, aplica el modelo correspondiente y devuelve una clasificación JSON estructurada.

Front-End y Gobernanza

Una aplicación web responsiva permite a los administradores gestionar listas negras, visualizar alertas y configurar políticas. Incluye control de acceso basado en roles, gestión segura de sesiones y una función para que los usuarios generen registros JSON de alertas firmados criptográficamente (SHA-256) para garantizar la auditabilidad y la integridad de los datos.

Contribuciones Clave

El artículo presenta tres contribuciones principales:

Arquitectura Unificada: Un marco modular de microservicios que integra el monitoreo de endpoints (registro de teclas, sniffing de red, auditoría de procesos) con PLN predictivo en un solo pipeline, abordando la brecha en soluciones fragmentadas.
Orquestación de Alertas en Tiempo Real: Un sistema escalable que utiliza RabbitMQ y Redis para manejar la ingestión de datos de alto volumen y entregar alertas de baja latencia, capaz de detectar indicadores de exfiltración de datos y violaciones de políticas simultáneamente.
Detección Multilingüe de Discurso de Odio: La aplicación de modelos basados en transformadores y de aprendizaje automático tradicional para detectar indicadores de riesgo de discurso de odio en portugués, español e inglés, logrando una alta precisión mientras se mantiene una eficiencia computacional adecuada para entornos corporativos en tiempo real.

Resultados Experimentales

El sistema se evaluó en un entorno controlado (Intel i5-3470, 8 GB de RAM, Kali Linux) utilizando contenedores Docker.

Rendimiento y Escalabilidad:
- Agente Spyware: Demostró una huella insignificante, con un uso de CPU y memoria consistentemente por debajo del 1% durante el monitoreo sostenido.
- Latencia: El ciclo total de detección (captura local hasta clasificación por API) promedió aproximadamente 700 ms. El Gateway de API del Spyware logró un tiempo de respuesta de inferencia promedio de 500 ms.
- Escalabilidad: El análisis de regresión lineal de las pruebas de carga (hasta 10.000 solicitudes paralelas) mostró una fuerte correlación lineal entre el volumen de solicitudes y el uso de recursos (CPU, memoria, tiempo de respuesta). El sistema mantuvo tiempos de respuesta por debajo del umbral de 1 segundo incluso con cargas altas, con un uso de memoria heap que aumentó al 39% con 10.000 solicitudes.
- Seguridad: El Gateway de API mitigó con éxito inyecciones SQL, inyección de comandos y ataques XSS después de aplicar parches de vulnerabilidad iniciales.
Precisión del Modelo Predictivo:
- Los modelos alcanzaron una precisión promedio del 87% en todos los idiomas y pliegues.
- Naive Bayes Multinomial mostró una ligera ventaja de rendimiento sobre la Regresión Logística y la SVM.
- Métrica de Área del Polígono (PAM): Utilizada para evaluar el equilibrio entre Precisión, Recall, Puntuación F1, Especificidad y AUC-ROC. Naive Bayes Multinomial produjo el área de polígono más grande, indicando un equilibrio superior de métricas, mientras que la Regresión Logística demostró el rendimiento más uniforme a través de los ejes.
- Análisis de Errores: Se observó una tasa de error de aproximadamente el 13%, principalmente debido a falsos positivos en la capitalización enfática y falsos negativos en términos ofensivos oscuros.

Significado y Afirmaciones

Los autores afirman que este trabajo proporciona un enfoque científicamente fundamentado para abordar simultáneamente la prevención de pérdida de datos y el cumplimiento laboral. La importancia de la investigación radica en su demostración de que modelos tradicionales de aprendizaje automático (Regresión Logística, SVM, Naive Bayes) pueden ofrecer un compromiso más sostenible entre el poder predictivo y los requisitos de hardware en comparación con las arquitecturas basadas en transformadores intensivas en recursos (como BERT) para el monitoreo corporativo en tiempo real.

El artículo enfatiza que el marco propuesto no es meramente una herramienta punitiva, sino un mecanismo para fomentar un lugar de trabajo más seguro e inclusivo. Al centralizar las capacidades de monitoreo y predicción, el sistema permite a las organizaciones detectar indicadores de exfiltración de datos y violaciones de políticas de manera oportuna. Los autores concluyen que la solución es viable para su implementación en diversos entornos de hardware, desde estaciones de trabajo heredadas hasta sistemas empresariales modernos, siempre que se observen estrictamente las consideraciones éticas relacionadas con la transparencia y el consentimiento de los empleados. Se sugiere que el trabajo futuro se centre en la validación de producción a gran escala, la optimización del tiempo de ejecución utilizando imágenes nativas (por ejemplo, GraalVM) y la integración de técnicas de privacidad diferencial.