💻 computer science

A Deterministic Forensic Preprocessing Framework for Heterogeneous Network Datasets: Formal Foundations, Implementation, and Empirical Validation

Este artículo presenta un marco de preprocesamiento forense determinista que formaliza las transformaciones de esquema, temporales y de procedencia para convertir conjuntos de datos de red heterogéneos en una forma canónica reproducible, asegurando así la consistencia, admisibilidad y el rendimiento escalable de la evidencia a través de diversos escenarios forenses.

Autores originales: Ravi Chaudhary, Reza Ryan, Nasim Ferdosian, Nickson M. Karie, Qian Li

Publicado 2026-06-11

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Ravi Chaudhary, Reza Ryan, Nasim Ferdosian, Nickson M. Karie, Qian Li

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que eres un detective digital intentando resolver un crimen. Tienes evidencia proveniente de tres fuentes diferentes: una cámara de seguridad de un banco, un termostato inteligente en una casa y un registro de tráfico de un servidor de la ciudad.

¿El problema? Cada fuente habla un idioma diferente.

El banco escribe las fechas como "2021-01-01".
El termostato las escribe como un número gigante como "1609459200".
El servidor de la ciudad las escribe como "Jan 1, 2021, 12 PM".

Si intentas juntar estas notas en una sola pizarra, es un desastre. Peor aún, si le pides a dos detectives diferentes que organicen estas notas, podrían terminar con dos versiones distintas de la cronología. En un tribunal de justicia, esa ambigüedad podría hacer que la evidencia sea desestimada.

Este artículo presenta un Marco de Preprocesamiento Forense Determinista. Piensa en esto como un traductor y organizador robótico, súper estricto, que convierte este montón de evidencia desordenada en un informe único y perfecto.

Así es como funciona, desglosado en pasos sencillos:

1. Las Tres Transformaciones Mágicas

El marco utiliza tres reglas específicas para limpiar los datos, que los autores llaman "transformaciones".

Normalización de Esquema (El arreglo de la "Etiqueta de Nombre"):
Imagina que todos en una fiesta llevan una etiqueta de nombre diferente. Algunos dicen "Bob", otros "Robert" y otros solo un garabato. Este paso obliga a todos a llevar una etiqueta de nombre estándar (por ejemplo, "IP de origen") mientras mantiene el garabato original en un bolsillo, por si acaso. Asegura que "src_ip" y "source_address" sean tratados como lo mismo, pero sin perder nunca la información.
Normalización Temporal (El "Reloj Universal"):
Este es el arreglo del viaje en el tiempo. Toma cada formato de fecha extraño (números, texto, diferentes zonas horarias) y los convierte todos en un formato universal: ISO 8601 UTC (como 2021-01-01T12:00:00Z). Si una marca de tiempo está rota o es ilegible, no desecha la evidencia; la marca como "desconocida" pero mantiene la nota original rota segura en el archivo.
Seguimiento de Procedencia (El "Sello Digital"):
Esta es la parte más importante para el tribunal. A medida que el robot organiza los datos, los corta en pequeños "trozos" (como páginas de un libro). Para cada trozo, crea una huella digital única (un hash SHA-256). Es como sellar cada página de un diario con cera y un sello único. Si alguien intenta cambiar incluso una sola letra en los datos más tarde, la huella digital no coincidirá y sabrás que la evidencia ha sido manipulada.

2. La Promesa "Determinista"

La palabra Determinista es el superpoder del artículo. En términos simples, significa: "Mismo Entrada = Misma Salida, Siempre".

Si ejecutas este marco sobre el mismo archivo de evidencia 100 veces, obtendrás exactamente el mismo resultado 100 veces. No importa quién lo ejecute, qué computadora use o qué hora del día sea.

Por qué esto importa: En un tribunal, si un abogado defensor pregunta: "¿Cambió el detective los datos para que encajaran con su teoría?", la respuesta es "No, porque las matemáticas garantizan que es imposible obtener un resultado diferente a partir del mismo punto de partida".

3. El Truco de los "Trozos" (Meter un elefante en una nevera)

Normalmente, para organizar una biblioteca enorme de libros, necesitas una mesa gigante para extenderlos todos a la vez. Si tienes 300 millones de registros (como el conjunto de datos IoT-23 mencionado en el artículo), la memoria de tu computadora explotaría intentando contenerlos todos.

Este marco utiliza una Arquitectura Basada en Trozos (Chunks).

La Analogía: En lugar de intentar sostener toda la biblioteca, el robot toma una pequeña pila de 10,000 libros, los organiza, los sella con una huella digital, los pone en una caja y guarda la caja. Luego toma la siguiente pila.
El Resultado: Puede procesar conjuntos de datos masivos (cientos de millones de registros) en una computadora portátil estándar sin quedarse nunca sin memoria. Mantiene el uso de memoria bajo y constante, como un cubo que nunca se desborda.

4. ¿Qué Demostraron?

Los autores no solo construyeron el robot; demostraron que funciona usando matemáticas (teoremas) y pruebas del mundo real.

Las Matemáticas: Escribieron pruebas formales que muestran que sus reglas para renombrar, convertir el tiempo y sellar los datos son lógicamente sólidas y nunca pierden información.
La Prueba: Lo probaron con tres conjuntos de datos del mundo real (UNSW-NB15, IoT-23 y TON_IoT) que contienen hasta 325 millones de registros.
- Resultado: Ejecutaron el proceso 5 veces en cada conjunto de datos. Cada vez, las huellas digitales coincidieron perfectamente. El sistema manejó los datos masivos sin colapsar y mantuvo el uso de memoria bajo (alrededor de 2.2 GB).

Resumen

Este artículo presenta una "línea de ensamblaje" forense que toma evidencia digital desordenada e incompatible y la convierte en un informe limpio, estandarizado y legalmente defendible.

Garantiza que:

Los datos se organicen de manera consistente (no más confusión entre "src_ip" y "source_address").
La línea de tiempo esté unificada (no más mezclas de zonas horarias).
La evidencia esté sellada con una huella digital criptográfica para que nadie pueda alegar que fue falsificada.
Pueda manejar enormes cantidades de datos sin necesidad de una supercomputadora.

En resumen, convierte un montón caótico de pistas digitales en una historia lista para el tribunal que no puede ser disputada bajo el argumento de "cómo fue procesada".

Resumen Técnico: Un Marco de Preprocesamiento Forense Determinista para Conjuntos de Datos de Red Heterogéneos

Planteamiento del Problema
Las investigaciones forenses digitales dependen cada vez más de la correlación de evidencia de fuentes heterogéneas, incluyendo registros de tráfico empresarial, telemetría de dispositivos IoT y alertas de Sistemas de Detección de Intrusiones (IDS). Existe un cuello de botella crítico en la fase de preprocesamiento: los enfoques actuales son predominantemente ad hoc, basándose en scripts personalizados que carecen de mecanismos para verificar la consistencia entre ejecuciones. Esto crea brechas de reproducibilidad que socavan la integridad de la evidencia y desafían la admisibilidad legal. Además, las herramientas actuales (por ejemplo, Wireshark, Zeek) están diseñadas para la captura en tiempo real en lugar de la integración post-hoc, mientras que los sistemas de Extracción, Transformación y Carga (ETL) de propósito general carecen de garantías formales de determinismo, procedencia criptográfica y la capacidad de manejar conjuntos de datos mayores que la memoria disponible. El problema central es la ausencia de un flujo de preprocesamiento que sea simultáneamente formalmente correcto, reproducible, criptográficamente verificable y escalable.

Metodología
Los autores proponen un marco de preprocesamiento forense determinista que transforma conjuntos de datos de red heterogéneos en una forma canónica reproducible. La metodología se fundamenta en definiciones de la teoría de conjuntos y se implementa mediante una arquitectura basada en fragmentos (chunks).

Fundamentos Formales: El marco define tres transformaciones principales:
- Normalización de Esquema ( $T_s$ ): Mapea nombres de campos heterogéneos a un esquema canónico preservando los valores de los campos originales para asegurar la preservación de la información.
- Normalización Temporal ( $T_t$ ): Convierte diversos formatos de marca de tiempo (Unix epoch, ISO 8601, etc.) a un formato canónico ISO 8601 UTC. Crucialmente, preserva las marcas de tiempo originales y maneja casos ambiguos (por ejemplo, transiciones de horario de verano/Daylight Saving Time) de manera determinista sin descartar datos.
- Seguimiento de Procedencia ( $T_p$ ): Genera hashes criptográficos (SHA-256) para los fragmentos de datos y crea registros de procedencia que documentan la cadena de custodia, incluyendo índices de fragmentos, recuento de registros y marcas de tiempo.
Garantías Teóricas: El artículo establece cuatro teoremas que demuestran:
- Determinismo: Las transformaciones producen salidas idénticas para entradas idénticas, independientemente del contexto de ejecución.
- Preservación de la Información: No se pierde información durante la normalización de esquema o temporal; los valores originales permanecen recuperables.
- Integridad de la Procedencia: Cada registro está cubierto por un registro de procedencia, asegurando una auditabilidad completa.
Arquitectura de Implementación:
- Procesamiento Basado en Fragmentos (Chunk-Based): Para manejar conjuntos de datos que exceden la memoria del sistema, el marco procesa los datos en fragmentos de tamaño fijo ( $c$ ). Esto asegura una complejidad de memoria acotada de $O(c)$ , independiente del tamaño total del conjunto de datos ( $n$ ).
- Orden Determinista: El sistema impone un comportamiento determinista procesando los registros en orden de archivo, ordenando los nombres de los campos alfabéticamente durante la serialización y utilizando órdenes de análisis fijos para las marcas de tiempo.
- Verificación: La implementación incluye un mecanismo de verificación de múltiples ejecuciones que compara los hashes SHA-256 de los conjuntos de datos finales y las cadenas de procedencia a través de ejecuciones independientes.

Contribuciones Clave
El artículo reclama seis contribuciones primarias:

Marco de Preprocesamiento Formal: Una formalización de preprocesamiento forense mediante la teoría de conjuntos como un problema de transformación determinista con definiciones explícitas para $T_s$ , $T_t$ y $T_p$ .
Garantías Respaldadas por Teoremas: Cuatro teoremas formales (con demostraciones) que establecen el determinismo, la preservación de la información y la integridad de la procedencia.
Preprocesamiento Consciente de la Procedencia: Integración del seguimiento de procedencia criptográfica (SHA-256) directamente en el nivel de transformación del preprocesamiento, apoyando los requisitos de cadena de custodia.
Arquitectura de Memoria Acotada: Un diseño basado en fragmentos que permite el procesamiento de conjuntos de datos sustancialmente mayores que la memoria RAM disponible en hardware estándar.
Verificación de Reproducibilidad: Una metodología de pruebas de equivalencia SHA-256 de múltiples ejecuciones para validar empíricamente las garantías formales.
Validación Empírica: Evaluación a través de tres conjuntos de datos públicos (UNSW-NB15, IoT-23, TON_IoT) demostrando escalabilidad y consistencia.

Resultados Experimentales
El marco fue evaluado en tres conjuntos de datos que oscilan entre 2.5 millones y 325 millones de registros:

Determinismo: Logró una consistencia de salida del 100% (tanto en el hash del conjunto de datos como en el de la procedencia) a través de cinco ejecuciones independientes para todos los conjuntos de datos.
Normalización Temporal: Logró una completitud del 99.99% al 100%. Las marcas de tiempo malformadas se preservaron como valores brutos con los campos canónicos marcados como indefinidos, asegurando que no hubiera pérdida de evidencia.
Cobertura de Procedencia: El 100% de los registros fueron cubiertos por registros de procedencia con verificación criptográfica.
Escalabilidad y Memoria: El marco procesó 325 millones de registros (IoT-23) con un uso de memoria pico de 2.3 GB, confirmando una memoria acotada de $O(c)$ . En contraste, una línea base basada en Pandas falló en conjuntos de datos grandes debido a restricciones de memoria y careció de verificación de determinismo.
Rendimiento: El rendimiento varió entre 20,000 y 66,850 registros por segundo dependiendo de la complejidad del conjunto de datos.

Significancia y Reivindicaciones
El artículo posiciona este trabajo como el primer sistema que combina garantías de preprocesamiento formal, demostración de determinismo, verificación criptográfica, memoria acotada y validación empírica a gran escala. Los autores argumentan que este marco aborda las "brechas de reproducibilidad" en los flujos de trabajo forenses actuales, proporcionando una base legalmente defendible para la admisibilidad de la evidencia. Al formalizar el preprocesamiento como una transformación determinista, el trabajo permite a los analistas demostrar científicamente que la evidencia no ha sido alterada o procesada de manera inconsistente. Los autores señalan que, si bien el marco proporciona una base sólida, se requiere trabajo futuro para la inferencia automática de esquemas, el procesamiento distribuido y la verificación formal verificada por máquina (por ejemplo, en Coq).

1. Las Tres Transformaciones Mágicas

2. La Promesa "Determinista"

3. El Truco de los "Trozos" (Meter un elefante en una nevera)

4. ¿Qué Demostraron?

Resumen

Más como este