Cyber Dynamics I: Finite Macrostates for Behavioral Anomaly Detection in Network Telemetry

Resumen Técnico: Dinámica Cibernética I: Macroestados Finitos para la Detección de Anomalías de Comportamiento en Telemetría de Red

1. Planteamiento del Problema

La defensa cibernética moderna opera en entornos dinámicos y heterogéneos donde distinguir entre la variabilidad operativa benigna (p. ej., copias de seguridad programadas, escalado automático en la nube) y la reorganización adversaria (p. ej., movimiento lateral de APT, estancamiento coordinado) es un desafío central. Los métodos existentes de detección de anomalías, particularmente aquellos basados en la entropía, suelen tratar la telemetría de red como eventos aislados o vectores de características estrechos. Estos enfoques típicamente computan la entropía como una estadística escalar sobre distribuciones marginales (p. ej., IPs de origen, puertos).

El artículo argumenta que este enfoque de "entropía escalar" tiene dos limitaciones críticas:

1. Representación Estrecha: Reduce el comportamiento del sistema a métricas de desorden, fallando al capturar la organización estructural, la persistencia o los patrones de coordinación.
2. Visión Estática: Trata las anomalías como distribuciones inusualas en un único punto en el tiempo, ignorando la trayectoria temporal y las transiciones de régimen que suelen caracterizar a los ataques sofisticados.

Consecuentemente, la deriva de la carga de trabajo benigna puede imitar la inestabilidad inducida por un ataque, y los ataques organizados pueden preservar las distribuciones marginales mientras alteran fundamentalmente la estructura del sistema, lo que provoca falsos positivos o detecciones omitidas.

2. Metodología: El Marco de Macroestados Finitos

El artículo propone un marco de macroestados de dimensión finita instanciado sobre el Sustrato de Telemetría de Seguridad Canónica (CSTS). Este enfoque desplaza el análisis de registros de eventos aislados hacia estados de comportamiento de grano grueso.

A. Construcción Formal
El marco opera a través de tres niveles:

1. Microestados: La unidad atómica es un evento de red tipado $e = (\tau, src, dst, svc, proto, dir, attrs)$, que representa una interacción localizada temporalmente entre entidades persistentes.
2. Micro-conjuntos de Ventana: Los eventos se agregan en ventanas de tiempo $W_t$ para formar un multiconjunto de eventos $E_t$. Esto captura el contexto conductual local en lugar de puntos aislados.
3. Mapa de Macroestados ($\Phi$): Una función de granulación gruesa mapea cada conjunto $E_t$ a un vector de dimensión finita $X_t \in \mathbb{R}^d$. Este vector está compuesto por siete familias de observables interpretables:
   • Actividad ($A_t$): Carga y ocupación (p. ej., conteos de flujo, entidades únicas).
   • Desorden ($H_t$): Dispersión de la distribución (entropía de Shannon, Rényi o Tsallis sobre roles, servicios, protocolos).
   • Orden Estructural ($S_t$): Topología de interacción (densidad de grafo, concentración de grado, conteo de motivos).
   • Volatilidad Temporal ($V_t$): Inestabilidad de corto horizonte y ráfagas (burstiness).
   • Persistencia ($P_t$): Recurrencia de aristas, rutas o motivos a través de las ventanas.
   • Acoplamiento ($C_t$): Dependencias entre componentes de comportamiento (omitido en el primer paso empírico por simplicidad).
   • Desviación ($D_t$): Distancia desde las líneas base benignas (p. ej., divergencia de Jensen-Shannon).

B. Análisis Dinámico
El marco trata el comportamiento cibernético como una trayectoria $\{X_t\}$ a través del espacio de macroestados. La detección de anomalías se define mediante dos mecanismos:

• Anomalía de Estado: El macroestado actual $X_t$ se encuentra fuera del conjunto de régimen benigno $\mathcal{B}$.
• Anomalía de Transición: El paso de $X_t$ a $X_{t+1}$ se desvía del operador de transición nominal $T$, que modela la evolución benigna esperada. Esto permite la detección de movimientos anormales incluso si los estados individuales parecen benignos.

C. Justificación Teórica
El artículo proporciona proposiciones formales que demuestran que:

• Los mapas de macroestados están bien definidos y son invariantes a la permutación.
• Los macroestados basados solo en entropía son estructuralmente incompletos; distintos micro-conjuntos pueden tener la misma entropía pero diferente organización estructural.
• El análisis multiescala es necesario, ya que la visibilidad de la anomalía depende de la resolución temporal (tamaño de la ventana).

3. Diseño Experimental

El marco fue evaluado en conjuntos de datos de telemetría de red de referencia: UNSW-NB15 y CIC-IDS2017.

• Preprocesamiento: Los eventos fueron normalizados a un esquema unificado, los roles fueron mapeados y los datos fueron ordenados cronológicamente para preservar la estructura temporal.
• Ventaneo: Los experimentos utilizaron múltiples escalas ($\Delta \in \{30s, 60s, 300s, 900s\}$) con desplazamientos (strides) superpuestos.
• Líneas Base: Las comparaciones se realizaron contra:
  • Detectores de solo entropía (umbralización, regresión logística sobre vectores de entropía).
  • Detectores de anomalías estándar (Isolation Forest, One-Class SVM, Autoencoders) sobre características agregadas.
• Ablación: El estudio probó sistemáticamente la contribución de cada familia de macrovariables (Actividad, Desorden, Estructura, Volatilidad, Persistencia, Desviación).

4. Resultados Clave

A. Superioridad de los Macroestados sobre la Entropía Única
En ambos conjuntos de datos, la representación completa de macroestados superó consistentemente a las líneas base de solo entropía.

• UNSW-NB15: A la escala de 60s, el macroestado completo logró un AUPRC de 0.9730, superando significativamente a la mejor línea base de solo entropía (One-Class SVM con 0.9631).
• CIC-IDS2017: El macroestado completo (AUPRC ~0.7917) superó a la mejor línea base de vector de entropía (AUPRC ~0.7672) a los 60s.

B. Valor de las Variables Estructurales y Temporales
Los estudios de ablación revelaron que las ganancias no se debieron simplemente al aumento de la dimensionalidad, sino a componentes conductuales específicos:

• Añadir Actividad al Desorden proporcionó una ganancia clara, contextualizando la entropía.
• Añadir Orden Estructural produjo la mejora más significativa, confirmando que los ataques a menudo se manifiestan como una reorganización organizada en lugar de solo un aumento de la aleatoriedad.
• Persistencia y Desviación proporcionaron una mejora final, menor pero positiva.

C. Sensibilidad de Escala
La "mejor" composición de macroestados varió según la escala temporal. Por ejemplo, en CIC-IDS2017, la configuración intermedia $A+H+V$ (Actividad, Desorden, Volatilidad) fue la más fuerte a los 30s, mientras que el macroestado completo fue el mejor a los 60s. Esto respalda la afirmación teórica de que la visibilidad de la anomalía depende de la escala.

D. Limitaciones de la Puntuación de Transición
Contrario a la promesa teórica, la puntuación consciente de la transición (fusión de estado + transición) no superó a la puntuación de solo estado en los experimentos iniciales. Los autores atribuyen esto a la simplicidad de los operadores de transición nominales utilizados (p. ej., persistencia ingenua, regresión lineal), sugiriendo que el beneficio dinámico completo requiere un modelado de trayectoria más sofisticado en trabajos futuros.

5. Significado y Reivindicaciones

El artículo posiciona este trabajo como el primer paso empírico en un programa más amplio de "dinámica cibernética". Sus principales contribuciones y reivindicaciones son:

1. Cambio de Escalar a Estado: Demuestra que la detección de anomalías cibernéticas se define mejor como un problema de construcción de un espacio de estados conductuales en lugar de la detección de irregularidades escalares.
2. La Entropía como Coordenada, No como Solución: Prueba que, si bien la entropía es un componente útil, es insuficiente como descriptor independiente para comportamientos cibernéticos complejos que implican una reorganización estructural.
3. Interpretabilidad: El marco de macroestados proporciona una representación compacta e interpretable (actividad, estructura, volatilidad, etc.) que permite a los analistas razonar sobre por qué un estado es anómalo, en lugar de solo saber que es anómalo.
4. Sustrato Fundacional: Al instanciar el marco sobre el CSTS, el artículo establece una base canónica que es portable a través de la telemetría de red, de terminal (endpoint) y heterogénea, preparando el terreno para trabajos futuros sobre estabilidad, recuperación y análisis multimodal.

Los autores señalan explícitamente las limitaciones: los resultados de la puntuación de transición son preliminares, la fusión multiescala aún no es superior al mejor modelo de una sola escala, y la evaluación actual está centrada en la red. Estas se enmarcan no como fallos, sino como el límite definido de "Papel I" y la hoja de ruta para "Dinámica Cibernética II y III".