From Threat Intelligence to Detection: Knowledge-driven Enrichment and Template-based Rule Grounding for Automated Sigma Rule Generation
Este artículo presenta AUTOSIGMA, un marco de trabajo automatizado que transforma la inteligencia de amenazas cibernéticas no estructurada en reglas Sigma accionables mediante la combinación de enriquecimiento basado en conocimiento, fundamentación basada en plantillas y validación basada en LLM para superar las limitaciones de escalabilidad y precisión de la creación manual de reglas.
Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo
En el mundo de alto riesgo de la ciberseguridad, los defensores a menudo se encuentran reaccionando a los ataques mucho después de que estos hayan comenzado. La información sobre estos ataques suele llegar en forma de informes detallados escritos por expertos en inteligencia. Estos documentos describen cómo grupos criminales sofisticados, conocidos como Amenazas Persistentes Avanzadas (APT, por sus siglas en inglés), se infiltran en las redes, se desplazan y roban datos. Sin embargo, estos informes están escritos en lenguaje sencillo, llenos de detalles narrativos y contexto humano, lo que los hace difíciles de leer y procesar de inmediato para las computadoras. Para detener un ataque en tiempo real, los sistemas de seguridad necesitan instrucciones específicas llamadas reglas de detección. Estas reglas actúan como filtros precisos, escaneando millones de eventos digitales para encontrar los patrones exactos de una amenaza específica. La creación de estas reglas a mano es un proceso lento y propenso a errores que requiere una profunda experiencia, y para cuando un analista humano termina de escribir una regla para una nueva amenaza, es posible que los atacantes ya hayan cambiado sus métodos.
El desafío central radica en cerrar la brecha entre una historia escrita por un humano sobre un ataque y el código técnico y rígido que una computadora necesita para rastrearlo. Los equipos de seguridad necesitan una forma de traducir automáticamente estas narrativas no estructuradas en lógica de detección accionable sin perder el matiz que hace que la amenaza sea real. Si esta traducción pudiera automatizarse, las organizaciones podrían desplegar defensas en el momento en que se descubre una nueva amenaza, en lugar de esperar días o semanas para el análisis manual. Este es el problema que un equipo de investigadores se propuso resolver mediante el desarrollo de un nuevo sistema diseñado para leer informes de amenazas y generar instantáneamente las salvaguardas digitales necesarias.
Los investigadores crearon un sistema llamado AUTOSIGMA, que actúa como un traductor automático entre la inteligencia humana y la defensa de las máquinas. En lugar de simplemente pedirle a una computadora que adivine las reglas basándose en una descripción textual, el sistema sigue un proceso cuidadoso y de múltiples pasos que imita la forma en que pensaría un experto humano, pero con la velocidad de una máquina. Primero, el sistema lee el informe de la amenaza bruta y lo descompone, identificando a los actores clave, las herramientas utilizadas y los pasos específicos que tomaron los atacantes. Luego, va un paso más allá consultando vastas bases de datos externas de vulnerabilidades y técnicas de ataque conocidas para completar cualquier detalle faltante. Si un informe menciona una falla de software específica pero no explica cómo funciona, el sistema busca esa falla en una base de datos global para comprender plenamente su comportamiento. Esto asegura que el sistema tenga una imagen completa del ataque, incluso si el informe original era vago o incompleto.
Una vez que el sistema comprende el alcance total del ataque, lo descompone en pasos pequeños e individuales. Un solo ataque puede involucrar docenas de acciones, y tratar de capturarlas todas en una sola regla sería ineficaz. Al separar el ataque en partes atómicas, el sistema puede crear una regla específica para cada paso, haciendo que la detección sea mucho más precisa. La siguiente fase es donde el sistema se apoya en la experiencia colectiva de la comunidad de seguridad. Busca a través de una biblioteca masiva y constantemente actualizada de reglas de detección existentes para encontrar aquellas que son similares a los pasos que acaba de identificar. Piense en esto como un maestro constructor que observa una biblioteca de planos probados antes de construir una casa nueva; el sistema utiliza estos patrones existentes y validados como una base. Esto evita que el sistema invente reglas desde cero que podrían ser defectuosas o errar el objetivo, asegurando que las nuevas reglas estén fundamentadas en una lógica que ya ha sido probada por expertos.
Con una base sólida y una comprensión clara de la amenaza, el sistema genera entonces la regla de detección real. Sin embargo, no se detiene ahí. Los investigadores diseñaron un mecanismo de verificación único donde dos modelos de inteligencia artificial trabajan juntos en un ciclo. Un modelo actúa como el creador, escribiendo la regla basada en los detalles de la amenaza y el plano elegido. El segundo modelo actúa como un juez estricto, revisando la regla para ver si tiene sentido, si sigue el formato técnico correcto y si realmente capturará la amenaza sin causar falsas alarmas. Si el juez encuentra un error, devuelve la regla al creador con comentarios específicos sobre cómo corregirla. Este ciclo se repite hasta que la regla es perfecta. Este proceso de ida y vuelta es crucial porque detecta errores que un solo modelo podría pasar por alto, como un detalle faltante o una brecha lógica, asegurando que el resultado final sea lo suficientemente confiable como para ser utilizado en sistemas de seguridad del mundo real.
Los investigadores probaron este sistema utilizando informes del mundo real de algunos de los grupos cibercriminales más notorios de la historia, incluyendo a APT41, APT28 y APT29. Compararon las reglas generadas por AUTOSIGMA contra las producidas por otras herramientas automatizadas y contra los resultados de modelos de lenguaje avanzados utilizados por sí solos. Los resultados mostraron que su sistema era significativamente mejor para producir reglas que eran tanto técnicamente correctas como relevantes para las amenazas específicas descritas. Logró cubrir más técnicas de ataque conocidas y fue más robusto al tratar con informes mal formateados o que carecían de detalles. El estudio sugiere que, al combinar conocimiento externo, plantillas de reglas existentes y un riguroso proceso de autoverificación, es posible automatizar la creación de reglas de detección de alta calidad. Este enfoque no solo acelera el proceso; mejora la calidad de la defensa, permitiendo que los equipos de seguridad respondan a las amenazas en evolución con un nivel de precisión y velocidad que los métodos manuales no pueden igualar.
¿Ahogado en artículos de tu campo?
Recibe resúmenes diarios de los artículos más novedosos que coincidan con tus palabras clave de investigación — con resúmenes técnicos, en tu idioma.