Resumen Técnico: La Síntesis de Escudos como Análisis de Defensibilidad para Redes Adversarias

1. Declaración del Problema

Las herramientas actuales para la evaluación de la seguridad de redes sufren una brecha fundamental. Las herramientas de verificación estática pueden confirmar la alcanzabilidad y el aislamiento en configuraciones fijas, pero fallan al modelar adversarios estratégicos. Por el contrario, el Aprendizaje por Refuerzo (RL) para la ciberseguridad entrena agentes adaptativos contra atacantes simulados, pero una política que sobrevive a un adversario puede fallar contra otro, y ningún método informal puede certificar que una topología de red es fundamentalmente indefendible.

Los enfoques actuales de Aprendizaje por Refuerzo Blindado (ShRL) suelen tratar la síntesis de escudos como un mecanismo de cumplimiento en tiempo de ejecución (runtime). En este paradigma, las especificaciones de lógica temporal se compilan en autómatas para restringir las acciones de un agente durante el entrenamiento o el despliegue. Sin embargo, este marco enfrenta severas limitaciones:

• Escalabilidad: La síntesis de estado explícito crece exponencialmente con las variables de estado, lo que restringe la computación tratable a entornos pequeños.
• Fragilidad del Modelo: Las garantías están ligadas al modelo. Si la dinámica desplegada difiere del modelo de transición asumido (desajuste de modelo), el "escudo seguro" puede afirmar la seguridad donde no existe.
• Observabilidad Parcial: Las formulaciones estándar tienen dificultades con los Procesos de Decisión de Markov Parcialmente Observables (POMDP) sin supuestos de abstracción fuertes.

Los autores argumentan que tratar la síntesis de escudos como un filtro en tiempo de ejecución es el "producto equivocado". En su lugar, proponen reencuadrar la misma maquinaria de teoría de autómatas como un instrumento analítico de tiempo de diseño. El objetivo no es producir una política segura para un agente desplegado, sino generar conocimientos estructurales y certificados formales sobre si un sistema es defendible, dónde es vulnerable y cómo los cambios arquitectónicos afectan la defensibilidad.

2. Metodología

El artículo instancia esta perspectiva a través de un Juego de Seguridad con Restricciones de Especificación Dual para la defensa de redes.

2.1 El Juego de Defensa de Red

El sistema modela un segmento de red crítico como un grafo dirigido donde los hosts tienen estados (Limpio, Comprometido, Detectado, Aislado, Destruido). El juego involucra a dos jugadores:

• Defensor: Las acciones incluyen monitoreo, aislamiento, restauración y reparación de hosts.
• Atacante: Las acciones incluyen la propagación del compromiso y la destrucción de hosts.

2.2 Especificaciones Duales y Aplicación Asimétrica

La innovación arquitectónica central es el uso de dos especificaciones de lógica temporal independientes compiladas en Autómatas de Estados Finitos Deterministas (DFA), aplicadas asimétricamente:

1. Especificación del Defensor ($\phi_D$): Define el objetivo de seguridad (por ejemplo, los activos críticos no deben estar simultáneamente comprometidos). Este autómata ($A_D$) siembra el conjunto inseguro inicial ($U$) del juego de seguridad. Si el sistema entra en un estado donde $A_D$ está en un estado de rechazo, la ejecución es insegura.
2. Especificación del Atacante ($\phi_A$): Impone restricciones operativas al adversario (por ejemplo, un presupuesto de máximo 2 acciones de "Destruir" por encuentro). Este autómata ($A_A$) filtra las acciones legales del atacante durante el cómputo del atractor. El atacante solo puede elegir transiciones que mantengan a $A_A$ en un estado de aceptación.

Esta asimetría es crucial: $\phi_D$ define lo que nunca debe suceder, mientras que $\phi_A$ define lo que el atacante no puede hacer.

2.3 Solución del Juego de Seguridad y Cómputo del Atractor

El marco construye un juego de producto que combina el estado de la red, el indicador de turno y ambos estados de los autómatas. Computa la Región Ganadora ($W$) para el defensor utilizando un algoritmo de atractor de punto fijo:

• El Atractor ($Attr^*$) es el conjunto de estados desde los cuales el atacante puede forzar una violación de $\phi_D$ independientemente de la estrategia del defensor.
• El cómputo se modifica para respetar $\phi_A$: un vértice del atacante entra en el atractor solo si tiene un sucesor legal (que satisface $\phi_A$) que ya esté en el atractor.
• Veredicto de Defensibilidad: El principal resultado es un certificado binario: ¿Es el estado inicial $s_0 \in W$? Si es así, la topología es defendible; si no, no existe una estrategia de defensa.
• Extracción del Escudo: El escudo (una tabla de búsqueda de acciones seguras) se deriva como un testigo del veredicto, no como un controlador en tiempo de ejecución.

2.4 Métricas de Defensibilidad y Huella Digital

Para ir más allá de un veredicto binario, los autores derivan seis métas para formar una Huella Digital de Defensibilidad:

• Capa 1 (Métricas de Juego Formal): Derivadas de la descomposición de capas del atractor (la distancia de los estados hacia la violación).
  • Atacabilidad (ATK): Exposición ponderada de la región ganadora al atractor.
  • Ratio de Hundimiento (SNK): Fracción de estados no violadores absorbidos en la región insegura.
  • Fricción del Escudo (FRC): La fracción de acciones del defensor bloqueadas por el escudo para mantener la seguridad.
  • Pendiente del Atractor (STP): Entropía de la distribución de capas (tipo acantilado vs. pendiente suave).
  • Proximidad de Violación (VPX): Recíproco de los pasos medios hacia la violación.
• Capa 2 (Métrica Operacional):
  • Ratio de Dominancia del Atacante (ADR): Derivado de Aprendizaje por Refuerzo Multi-Agente (MARL) Adversario Blindado. Dos aprendices minimax-Q juegan dentro de la región ganadora $W$. La métrica mide la fracción promedio de hosts que el atacante controla en el equilibrio.

3. Contribuciones Clave

1. Juego de Seguridad con Restricciones de Especificación Dual: Una formulación donde el objetivo de seguridad del defensor y las restricciones operativas del atacante se compilan en DFAs separados con roles de aplicación asimétricos (sembrar el conjunto inseguro vs. filtrar sucesores).
2. Veredicto de Defensibilidad como Salida Principal: Elevando la región ganadora de un paso intermedio a la entrega principal: un certificado formal de defensibilidad.
3. Huella Digital de Defensibilidad: Un artefacto diagnóstico unificado que combina seis métricas (cinco formales, una operacional) para caracterizar configuraciones de red.
4. MARL Adversario Blindado como Diagnóstico: Utilizar el comportamiento post-convergencia de MARL (Ratio de Dominancia del Defensor) no como una métrica de rendimiento del agente, sino como un diagnóstico continuo de la topología.
5. Análisis de "¿Qué pasaría si?": Demostrar que la seguridad formal y la efectividad operacional capturan aspectos distintos de la seguridad, revelando que pequeños cambios arquitectónicos pueden desplazar drásticamente los resultados operacionales mientras dejan casi inalterados los márgenes de seguridad formal.

4. Resultados Experimentales

El marco fue evaluado en una topología de referencia de 5 hosts con un borde de bypass de VPN "olvidado". Se analizaron cinco casos de "¿qué pasaría si?":

• Base: Topología de referencia.
• Caso 2 (Totalmente Conectada): Aumento de la conectividad (de 6 a 13 bordes).
• Caso 3 (Destrucciones Ilimitadas): Eliminación de las restricciones de recursos del atacante.
• Caso 4 ($\phi_D$ Relajada): Reducción del requisito mínimo de hosts activos.
• Caso 5 (VPN Eliminada): Eliminación del borde específico de bypass de la VPN.

Hallazgos Clave:

• Desacoplamiento de Capas: En el Caso 2 (totalmente conectada), las métricas de seguridad formal (tamaño de la Región Ganadora, Atacabilidad) permanecieron casi idénticas a la base. Sin embargo, el resultado operacional (Ratio de Dominancia del Defensor) colapsó de ~54% a ~23%. El juego formal dijo "la supervivencia es posible", pero la capa operacional reveló que el defensor está abrumado.
• Sensibilidad a Bordes Únicos: En el Caso 5 (eliminación del bypass de la VPN), el tamaño de la región ganadora formal cambió de forma insignificante (23,730 a 23,858 estados), pero el Ratio de Dominancia del Defensor saltó de 53.9% a 80.7%. Esto demuestra que un solo fallo arquitectónico puede convertir un sistema formalmente defendible en operativamente indefendible.
• Perturbación de la Especificación: Relajar las restricciones (Casos 3 y 4) movió ambas capas de manera coherente, confirmando que las especificaciones gobiernan la geometría del juego, la cual, a su vez, dicta el comportamiento operacional.

5. Significancia y Reivindicaciones

El artículo sostiene que la síntesis de escudos es más valiosa no como un mecanismo de despliegue para agentes seguros, sino como un marco para responder preguntas arquitectónicas.

• Cambio en el Producto: El resultado es un veredicto de defensibilidad e información estructural, no una política segura. El escudo es un testigo derivado, no el entregable.
• Instrumento de Tiempo de Diseño: El marco permite a los arquitectos preguntar "¿Es esta configuración defendible?", "¿Qué tan defendible es?" y "¿Qué cambios mejoran el margen?" con garantías formales.
• Necesidad de Dos Capas: El juego de seguridad formal y la capa operacional de MARL son necesarios y no redundantes. Un sistema puede ser formalmente defendible (la supervivencia es posible) pero operativamente abrumado (la supervivencia es prácticamente imposible contra un adversario adaptativo).
• Diagnósticos Accionables: La "Huella Digital de Defensibilidad" proporciona una forma visual y cuantitativa de comparar configuraciones, revelando que pequeños cambios topológicos (como una sola regla de firewall) pueden tener impactos operacionales masivos que el análisis estático o la simulación informal podrían pasar por alto.

Los autores reconocen las limitaciones, incluyendo la escalabilidad del análisis de estado explícito (limitado a subsistemas pequeños, $|V| \le 7$) y el supuesto de transiciones deterministas. Sin embargo, argumentan que para el régimen de segmentos de red pequeños y críticos donde se toman decisiones arquitectónicas, el marco proporciona un método tratable y riguroso para cuantificar la defensibilidad que las herramientas existentes no pueden ofrecer.