Continuous Behavioral Authentication via Multi-Expert BERT Log Analysis for Secure Data Sharing

Resumen Técnico: Autenticación Conductual Continua mediante el Análisis de Logs con BERT Multi-Experto

Planteamiento del Problema
Los dispositivos móviles modernos son centrales en las infraestructuras de intercambio de datos gobernadas por políticas de confianza cero (zero-trust), sin embargo, la autenticación tradicional sigue siendo estática, dependiendo de la verificación en el punto de entrada (p. ej., PIN, biometría). Una vez que comienza una sesión, estos mecanismos no pueden verificar si el usuario legítimo permanece al mando, lo que deja los dispositivos vulnerables a ataques de acceso físico. Si bien existe la autenticación continua (CA) basada en biometría conductual (p. ej., cadencia de tecleo, movimiento), esta suele requerir datos de sensores intrusivos. Además, los detectores de anomalías de logs existentes (p. ej., LogBERT) están diseñados para la fiabilidad de la infraestructura de servidores, produeyiendo veredictos binarios sin estado por ventana en lugar de puntuaciones de confianza continuas y específicas de cada usuario. Existe una brecha en el aprovechamiento de los logs nativos del sistema Android —que codifican de forma nativa la identidad de red, la dinámica del consumo de energía y la topología espacial— como una señal no intrusiva y libre de sensores para el aseguramiento del contexto usuario-dispositivo.

Metodología
El marco propuesto utiliza un flujo de trabajo de cuatro fases para transformar los logs brutos del sistema Android en una puntuación de confianza continua para un Punto de Decisión de Política (PDP):

1. Parseo de Logs: Los flujos de logcat brutos son procesados por un parser Drain adaptado al dominio. Este descompone las líneas de log en plantillas de eventos estables (con marcadores de posición tipados como <mac>, <ipv4>) y valores de variables dinámicas.
2. Ingeniería de Características: Los datos parseados se dirigen a tres canales semánticamente independientes:
   • Canal de Identidad: Empareja una ventana deslizante de los últimos 50 IDs de eventos con los últimos valores dinámicos observados, inyectando embeddings conscientes del tipo de dato.
   • Canal de Batería: Procesa los logs de DeviceStatisticsService en telemetría de media móvil exponencial (EMA) dual, codificando modos operativos (STABLE, DRAIN, CHARGE) e intervalos temporales.
   • Canal de Topología Wi-Fi: Codifica los escaneos de WifiPickerTracker como pares fusionados de token SSID–RSSI.
3. Ajuste Fino Multi-Experto (Multi-Expert Fine-Tuning): Un codificador BERT-base compartido (pre-entrenado en la sintaxis de logs de Android mediante una tarea de Modelado de Lenguaje Enmascarado específica del dominio) se ajusta con cabezales especializados para cada canal:
   • Experto de Identidad: Predice los valores de las variables dinámicas enmascaradas según el contexto. Utiliza un vocabulario personalizado para evitar la fragmentación de identificadores (p. ej., direcciones IP) y asigna una confianza baja a los valores Fuera de Vocabulario (OOV).
   • Experto de Batería: Clasifica las transiciones de batería en seis contenedores temporales (p. ej., TS_INSTANT, TS_MID) y una clase de violación lógica. Es agnóstico al nivel, centrándose en el ritmo del consumo de energía en lugar del porcentaje absoluto de la batería.
   • Experto de Topología Wi-Fi: Un autoencoder de doble cabezal que reconstruye tanto la identidad del SSID (Entropía Cruzada) como la intensidad de la señal (MSE), aprendiendo las correlaciones espaciales entre puntos de acceso.
4. Fusión Multi-Experto: Las puntuaciones de confianza ($S_{Ident}$, $S_{Batt}$, $S_{WiFi}$) de los tres expertos se agregan. Estas se someten a una transformación en el espacio logarítmico ($-\ln(S + \epsilon)$) para amplificar las desviaciones cerca de las regiones de alta confianza, seguido de una estandarización Z-score. Finalmente, un clasificador de distancia de 5-vecinos más cercanos (5-NN) compara el vector transformado contra una "región normal" almacenada, derivada de datos de entrenamiento limpios. Se marca una anomalía si la distancia excede un umbral calibrado (percentil 99.9).

Contribuciones Clave

• Marco de Trabajo: Un sistema de autenticación conductual continua que explota los logs del sistema Android como una fuente no intrusiva de evidencia de usuario y dispositivo.
• Estrategia de Pre-entrenamiento: Un enfoque de pre-entrenamiento BERT adaptado al dominio que aprende la gramática estructural de los logs de Android (reglas de co-ocurrencia) sin necesidad de datos de usuarios específicos inicialmente.
• Arquitectura Multi-Experto: Una novedosa descomposición de la autenticación conductual en tres dimensiones distintas (identidad de red, tiempo de batería, topología espacial), modeladas por separado antes de la fusión.
• Mecanismo de Fusión: Una transformación de espacio logarítmico y un clasificador de vecinos más cercanos que genera una puntuación de confianza continua apta para Puntos de Decisión de Política de confianza cero, en lugar de una alerta binaria.
• Evaluación: Una evaluación exhaustiva que cubre desviaciones semánticas (valores OOV), anomalías físicas (agotamiento de batería) y cambios ambientales (topología Wi-Fi).

Resultos Experimentales
El marco fue evaluado con datos recolectados de un OnePlus 8T con Android 11.0.

• Experto de Identidad: Alcanzó una precisión Top-1 del 99.07% en la predicción de variables dinámicas dado el contexto. Demostró robustez ante valores OOV (tasa de identificación del 100% de desconocidos) y alta sensibilidad a las inconsistencias entre valor y contexto (la confianza cayó de ~98% a ~10% con una inconsistencia del 100%).
• Experto de Batería: Detectó con éxito ataques de agotamiento de recursos que alteraron los ritmos de descarga. Logró un 100% de recall en las anomalías inyectadas (eventos de descarga rápida) con cero falsos positivos, ya que la distribución de entrenamiento no contenía eventos de drenaje TS_INSTANT.
• Experto de Topología Wi-Fi: Mostró una alta sensibilidad a entornos desconocidos (la confianza cayó al 0.23%) mientras toleraba la pérdida parcial de señal (97.30% de confianza con APs ausentes) y fluctuaciones menores.
• Clasificador de Fusión: El sistema de extremo a extremo mantuvo una Tasa de Falsos Positivos (FPR) inferior al 1% (oscilando entre 0.45% y 0.78% en los conjuntos de datos) mientras detectaba todas las anomalías inyectadas (0% de Tasa de Falsos Negativos) en los entornos controlados. Las variaciones benignas de Wi-Fi fueron mayormente toleradas, confirmando la capacidad del sistema para distinguir entre ruido y cambios de contexto genuinos.

Significancia y Reivindicaciones
El artículo sostiene que los logs del sistema Android sirven como una señal práctica y libre de sensores para la autenticación continua. Al fusionar las modalidades de red, energía y espacio, el sistema puede detectar desviaciones semánticas, temporales y topológicas manteniendo una baja tasa de falsos positivos. Los autores posicionan este trabajo como el primer intento de aplicar modelos expertos basados en BERT descompuestos por dominio a los logs locales del dispositivo para la autenticación conductual continua, proporcionando una puntuación de confianza lista para un PDP que soporta arquitecturas de confianza cero sin degradar la experiencia del usuario mediante re-autenticaciones intrusivas. El estudio sugiere que tales sistemas pueden verificar la validez del contexto usuario-dispositivo a lo largo de una sesión, abordando un pilar fundamental de los marcos de autenticación modernos.