🤖 AI

Towards Model-based Run-time Cybersecurity: On Control-Flow Anomaly Detection, Attack Identification, and Hardware Monitoring

Este artículo propone un marco de trabajo de ciberseguridad en tiempo de ejecución basado en modelos que combina el monitoreo del flujo de control de software y hardware para superar el camuflaje del atacante, mejorando así tanto la detección de anomalías como la precisión diagnóstica de la identificación de ataques mediante un proceso de verificación jerárquico.

Autores originales: Martin Sachenbacher, Martin Leucker, Alexander Weiss, Aliyu Tanko Ali

Publicado 2026-08-13

📖 7 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Martin Sachenbacher, Martin Leucker, Alexander Weiss, Aliyu Tanko Ali

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que eres el guardia de seguridad de un castillo de alta tecnología. Tu trabajo no es solo revisar quién cruza la puerta principal; tienes que asegurarte de que, una vez dentro, no empiecen a reorganizar los muebles, a pintar sobre los frescos o a colarse en el dormitorio del rey. En el mundo de las computadoras, esto se llama ciberseguridad. Durante mucho tiempo, los guardias se limitaron a vigilar la puerta principal (la red) para ver si los malhechores intentaban entrar. Pero los hackers modernos son astutos; a veces logran entrar y luego intentan cambiar la forma en que la computadora piensa y se mueve, todo mientras fingen ser un programa normal y útil.

Para atrapar a estos intrusos escurridizos, los científicos utilizan un método llamado Monitoreo del Flujo de Control. Piensa en un programa de computadora como una receta para hornear un pastel. El "flujo de control" es el orden de los pasos: mezclar la harina, añadir los huevos, hornear, luego decorar. Si la receta de repente dice "añadir sal" justo después de "hornear", o si se salta por completo el paso de "mezclar", algo anda mal. Los sistemas de seguridad vigilan esta receta para ver si los pasos tienen sentido. Si no es así, se trata de una anomalía. Pero aquí está la parte difícil: un hacker inteligente puede engañar al guardia. Podría esconder el paso de "añadir sal" en una parte de la receta que parece un paso normal de "limpiar la cocina", o podría borrar la nota que dice "añadir sal" de la tabla portapapeles del guardia. Esto se llama camuflaje. El guardia ve un paso extraño, pero como la nota falta o parece inofensiva, piensa: "Oh, eso es solo una rutina de limpieza extraña", y lo deja pasar.

Este artículo, escrito por investigadores de Alemania, aborda exactamente ese problema: ¿Cómo se atrapa a un hacker que es bueno ocultando sus huellas? Los autores sugieren una nueva y astuta forma de abordar el problema combinando dos tipos de guardias de seguridad: uno que trabaja dentro del software de la computadora (el "observador de software") y otro que vigila desde una caja de hardware separada e inquebrantable (el "observador de hardware"). Argumentan que, mientras que el guardia de software puede ser engañado, el guardia de hardware es mucho más difícil de engañar. Al usar ambos, se puede atrapar al hacker incluso cuando intenta disfrazar sus movimientos.

La historia de los dos guardias

Los investigadores comienzan explicando cómo funciona la seguridad actual. Normalmente, una computadora tiene un mapa de todos los caminos válidos que un programa puede tomar, llamado Grafo de Flujo de Control (CFG). Es como un mapa de metro que muestra cada estación y cada vía. Si el programa intenta saltar a una estación que no está en el mapa, el sistema hace sonar una alarma. Para averiguar por qué se activó la alarma, los equipos de seguridad utilizan algo llamado Árbol de Ataque. Imagina un árbol donde la rama superior es lo malo que sucedió (como "Se entró al dormitorio del Rey"). Las ramas debajo de ella son las posibles razones: "¿Se quedó dormido un guardia?", "¿Alguien forzó la cerradura?" o "¿Entró un ladrón volando?".

El problema, como señalan los autores, es que el Árbol de Ataque es tan inteligente como la información que recibe. Si el hacker logra ocultar la evidencia, el Árbol de Ataque podría concluir: "Oh, el guardia simplemente se quedó dormido", cuando la respuesta real es: "El ladrón entró volando". Este es el problema del camuflaje. El hacker manipula los propios registros o sensores del software para que la parte de "entrar volando" desaparezca del informe.

El héroe de hardware

Para resolver esto, el artículo propone un sistema de doble capa. La primera capa es el Observador de Software, que vive dentro de la computadora. Es como una cámara de seguridad instalada en el pasillo. Es buena, pero si un hacker irrumpe en el pasillo, puede cubrir la lente de la cámara o cambiar la cinta de video.

La segunda capa es el Observador de Hardware. Esta es la gran idea del artículo. En lugar de una cámara dentro del pasillo, imagina un dron invisible volando fuera de las murallas del castillo, observando el castillo a través de un telescopio. Este dron está conectado a la maquinaria física del castillo (el procesador), pero no es parte del software del castillo. Incluso si el hacker toma el control de los sistemas internos del castillo, no puede alcanzar fácilmente al dron de afuera para cambiar lo que este ve.

Los investigadores describen un escenario específico para mostrar cómo funciona esto. Imaginan un servicio de autenticación (un sistema de inicio de sesión) para una puerta de enlace industrial.

El Ataque: Un hacker encuentra una debilidad en el sistema de inicio de sesión. Se cuela con una carga útil maliciosa que parece una solicitud normal de "mantenimiento". Engaña al sistema para que se salte la verificación de "Autenticación de Múltiple Factor" (MFA) y cree una sesión secreta.
El Camuflaje: El hacker utiliza entonces un truco especial para reescribir los propios registros del software. El observador de software ve un informe que dice: "Realizamos algo de mantenimiento, luego denegamos la solicitud y luego... oh, se creó una sesión, pero los registros están un poco desordenados". El observador de software piensa: "Hmm, tal vez el sistema de registro tiene errores". El Árbol de Ataque está de acuerdo y lo clasifica como un error menor de configuración.
La Verdad del Hardware: Mientras tanto, el Observador de Hardware está observando las señales eléctricas reales del procesador. Ve el camino real: el hacker saltó de un bloque de "mantenimiento" directamente a un bloque de "hackeo", se saltó la verificación de MFA y luego suprimió los registros. El observador de hardware ve el salto ilegal que el observador de software pasó por alto.

El diagnóstico cambia

Cuando los investigadores introducen los datos del Observador de Hardware en el mismo Árbol de Ataque, el diagnóstico cambia por completo. El árbol ya no ve un "registro con errores". Ve un "Salto ilegal", "Falta de verificación de seguridad" y "Manipulación de registros". De repente, el diagnóstico cambia de "Severidad Baja: Error de Configuración" a "Severidad Alta: Inyección de Código y Secuestro de Flujo de Control".

El artículo muestra que, al combinar ambos, no solo detectas más ataques, sino que los entiendes mejor. El guardia de software podría decir: "Algo es raro", pero el guardia de hardware dice: "Aquí está exactamente lo que es lo raro, y es peligroso".

Lo que esto significa (y lo que no)

Los autores son cuidadosos al señalar que esta es una idea preliminar. Han construido partes de este sistema y lo han probado en simulaciones, pero aún no lo han integrado completamente en un producto del mundo real. Admiten que existen desafíos. Por ejemplo, el monitor de hardware no es mágico; si el búfer de traza se desborda (la memoria del dron se llena) o si el hacker ataca de alguna manera el hardware físico, el sistema aún podría fallar. Además, leer los datos del hardware requiere tiempo y potencia de cómputo, por lo que no se puede observar todo todo el tiempo.

En su lugar, el artículo sugiere una estrategia inteligente: usar el guardia de software para vigilar todo de forma económica. Si el guardia de software ve algo sospechoso, entonces despierta al guardia de hardware para que realice una mirada más cercana y detallada. De esta manera, obtienes lo mejor de ambos mundas: la velocidad del software y la confiabilidad del hardware.

Al final, este artículo no pretende haber resuelto la ciberseguridad para siempre. No promete un escudo perfecto. Pero sí ofrece una forma muy prometedora de pensar en el problema: No confíes solo en la boleta de calificaciones propia de la computadora. Haz que un testigo independiente revise la tarea. Al añadir ese segundo par de ojos independientes, podemos evitar que los hackers oculten sus trucos a plena vista.

Resumen Técnico: Hacia una Ciberseguridad en Tiempo de Ejecución Basada en Modelos

Planteamiento del Problema
Los sistemas informáticos modernos requieren resiliencia contra ataques cibernéticos que comprometen la integridad de la ejecución del software, no solo la confidencialidad de los datos. Mientras que los mecanismos de Integridad de Flujo de Control (CFI) utilizan Grafos de Flujo de Control (CFG) para detectar desviaciones de las rutas de ejecución esperadas, existe una vulnerabilidad crítica: el camuflaje de intrusión. Los atacantes pueden manipular el flujo de control observado para hacer que una ejecución maliciosa parezca benigna o para corromper los datos de telemetría utilizados para el diagnóstico.

Cuando un monitor basado en software se ve comprometido, puede reconstruir una traza de flujo de control que omite transiciones maliciosas (por ejemplo, inyección de código o secuestro del flujo de control) o inserta bloques con apariencia benigna. En consecuencia, cuando esta evidencia corrompida se introduce en un árbol de ataque (un modelo de diagnóstico utilizado para mapear anomalías con causas raíz), el sistema puede clasificar erróneamente una intrusión de alta severidad como un error de configuración de baja severidad o un problema de mantenimiento benigno. El problema central es que la precisión diagnóstica de la identificación basada en árboles de ataque está fundamentalmente limitada por la confiabilidad del canal de observación.

Metodología
El artículo propone una arquitectura de ciberseguridad en tiempo de ejecución basada en modelos que combina la detección de anomalías a nivel de software con un monitoreo basado en hardware independiente para mitigar el camuflaje.

Arquitectura de Observación Dual:
- Observador de Software: Opera dentro del entorno monitoreado (utilizando instrumentación, registro o ganchos de trazado). Proporciona una visión de alto nivel, pero es vulnerable a la manipulación por parte de un adversario que haya comprometido la pila de software.
- Observador de Hardware: Opera fuera de la pila de software monitoreada (por ejemplo, utilizando unidades de traza de procesador como Arm CoreSight o Intel Processor Trace). Reconstruye la traza del flujo de control a partir de señales de ejecución física, lo que hace que sea significativamente más difícil para una entidad de software comprometida manipular la evidencia sin ser detectada.
Proceso de Diagnóstico:
- El sistema define un CFG nominal que representa la ejecución legítima.
- Las anomalías se detectan comparando las trazas observadas contra este modelo.
- Se utilizan Árboles de Ataque para interpretar estas anomalías. El árbol descompone los objetivos de ataque en subobjetivos y pasos. El diagnóstico es impulsado por el vector de características de las anomalías observadas (por ejemplo, bloques faltantes, ramas inesperadas).
- La arquitectura propuesta introduce la traza derivada del hardware en el árbol de ataque. Si la traza del hardware revela transiciones ilegales (por ejemplo, una rama hacia un bloque desconocido) o la ausencia de bloques obligatorios (por ejemplo, la Autenticación de Múltiples Factores) que el software ocultó, el diagnóstico del árbol de ataque cambia de una explicación benigna a una alerta de intrusión de alta confianza.
Mecanismo de Contención:
- La arquitectura incluye un búfer de salida de latencia controlable entre el procesador y el mundo exterior. Este búfer retiene la salida durante un tiempo limitado, permitiendo que el monitor de hardware inspeccione la evidencia de ejecución antes de que el sistema libere los datos. Si se detecta una anomalía, la salida se bloquea, evitando la manifestación externa de la intrusión.

Contribuciones Clave
El artículo describe tres contribuciones primarias:

Análisis de la Interacción: Analiza la relación entre la detección de anomalías de flujo de control en tiempo de ejecución y el diagnóstico de intrusiones basado en árboles de ataque, destacando cómo la calidad de la observación dicta directamente la precisión del diagnóstico.
Identificación del Camuflaje como Modo de Fallo: Identifica formalmente el "camuflaje de observación de flujo de control" como un modo de fallo específico donde una anomalía es detectada pero clasificada erróneamente debido a la manipulación adversaria del canal de observación.
Arquitectura Soportada por Hardware: Describe una arquitectura que utiliza información de traza de hardware independiente para proporcionar una fuente más fiel de evidencia de flujo de control, permitiendo diagnósticos de árboles de ataque más precisos.

Resultados y Ejemplo Ilustrativo
El artículo valida el enfoque mediante un recorrido detallado de un ejemplo de servicio de autenticación:

Escenario: Un atacante explota un error de seguridad de memoria para inyectar código, eludir la Autenticación de Múltiples Factores (MFA) y crear una sesión.
Observación de Software (Comprometida): El atacante manipula la telemetría del software para ocultar los bloques maliciosos ( $K, L, M$ ) y fabricar una traza que asemeja una solicitud de mantenimiento denegada ( $\langle A, B, D, E, F, J \rangle$ ). El árbol de ataque, basándose en estos datos, diagnostica un "uso indebido del flujo de trabajo de mantenimiento/depuración" o un "fallo de correlación de registro" (Severidad Baja/Media).
Observación de Hardware (Independiente): El monitor de hardware captura la ruta de ejecución real ( $\langle A, B, D, E, K, L, M, I \rangle$ ), revelando una transición ilegal desde el bloque de depuración ( $E$ ) hacia un bloque de carga útil desconocido ( $K$ ) y la ausencia del bloque de MFA ( $H$ ).
Diagnóstico Corregido: Alimentar el árbol de ataque con la traza del hardware cambia el diagnóstico a "Intrusión de alta severidad: transferencia de control ilegal, ejecución de carga útil y supresión de telemetría".

Significancia y Reivindicaciones
Los autores caracterizan este trabajo como preliminar, señalando que, si bien partes de la arquitectura han sido implementadas, la integración total está en curso. El artículo no pretende resolver todos los desafíos de la ciberseguridad, sino que argumenta que:

Combinar el monitoreo de software y hardware mejora significativamente la precisión diagnóstica de la identificación basada en árboles de ataque, no solo la tasa de detección.
Aborda la vulnerabilidad específica donde los atacantes moldean las observaciones para evadir la identificación correcta.
El enfoque representa un paso hacia los conceptos de diagnóstico basado en modelos para la ciberseguridad, yendo más allá de la simple detección de anomalías hacia un análisis de causa raíz explicable incluso en entornos adversarios.

El artículo reconoce desafíos pendientes, incluyendo el costo computacional del monitoreo continuo de hardware (sugiriendo un enfoque híbrido donde el monitoreo de hardware se activa por alertas de software), la dificultad de mapear trazas de bajo nivel a bloques de código fuente en entornos dinámicos, y la necesidad teórica de una formalización más rica del camuflaje de ataque y la diagnosticabilidad.

La historia de los dos guardias

El héroe de hardware

El diagnóstico cambia

Lo que esto significa (y lo que no)

Más como este