En el mundo digital, la seguridad suele basarse en una idea sencilla: construir un muro fuerte alrededor del interior de una red y no dejar pasar nada sospechoso. Así es como funcionan los cortafuegos y los sistemas de detección de intrusiones; se mantienen vigilando en el perímetro, observando a los atacantes que intentan entrar desde el exterior. Sin embargo, esta estrategia tiene un punto ciego. Una vez que un atacante logra engañar al muro exterior y compromete una sola computadora dentro de la red, no necesita romper el muro nuevamente para alcanzar su objetivo final. En su lugar, puede utilizar esa primera máquina comprometida como un trampolín, o pivote, para saltar a otras computadoras más protegidas en lo profundo de la red. Debido a que el tráfico que se mueve entre estas computadoras internas parece perfectamente normal y confiable, se desliza sin problemas ante los guardias del perímetro. Esta técnica, conocida como pivoteo (pivoting), permite a los atacantes moverse silenciosamente a través de una red, robando datos o propagando malware sin activar jamás las alarmas diseñadas para detenerlos.

El problema es que detectar este movimiento es increíblemente difícil. Los datos que fluyen entre las computadoras internas a menudo parecen idénticos al trabajo legítimo de las personas que las utilizan. Las soluciones existentes para atrapar a estos atacantes han luchado con un dilema difícil: o son demasiado lentas para ser útiles en tiempo real, o requieren que cada una de las computadoras de una red coopere (lo cual es a menudo imposible en entornos modernos y flexibles), o generan tantas falsas alarmas que los equipos de seguridad se ven abrumados y pasan por alto las amenazas reales. Para resolver esto, investigadores de la Universidad de Dalhousie y la Universidad de Virginia desarrollaron un nuevo sistema llamado Stitch. En lugar de intentar vigilar toda la red desde un punto central, Stitch vive directamente en las computadoras individuales. Actúa como un observador local que observa cómo los procesos internos de una computadora manejan el tráfico de red, buscando la firma específica de un atacante utilizando una máquina para hablar con otra.

La idea central detrás de Stitch es que, para atrapar un pivote, se deben conectar los puntos entre lo que entra en una computadora y lo que sale de ella, y se debe saber qué programa de software es responsable de ese movimiento. Los métodos anteriores solían observar únicamente el tiempo y el tamaño de los paquetes de datos, suponiendo que si dos flujos de datos llegaban y salían en tiempos y tamaños similares, estaban conectados. Este enfoque es defectuoso porque frecuentemente confunde el tráfico rutinario e inofensivo con ataques, lo que genera una inundación de falsas alarmas. Stitch evita esta conjetura utilizando una tecnología especial integrada en el sistema operativo Linux llamada eBPF. Esta tecnología permite al sistema insertar de forma segura pequeños programas personalizados en el kernel —el núcleo del sistema operativo— sin necesidad de ralentizar la computadora ni requerir permiso de todos los demás dispositivos de la red.

Stitch funciona rastreando la vida de un proceso, que es simplemente un programa en ejecución, desde el momento en que recibe un dato hasta el momento en que envía un nuevo dato hacia afuera. Cuando un paquete de datos llega a una computadora, Stitch lo etiqueta y lo sigue mientras se le entrega a un programa específico. Si ese programa luego abre una nueva conexión para enviar datos a otro lugar, Stitch verifica si la nueva conexión saliente está vinculada a la original entrante. Lo hace observando las llamadas al sistema —las solicitudes que un programa hace al sistema operativo— para ver si el mismo proceso que recibió los datos es el que está enviando los nuevos datos. Si el sistema detecta que un proceso está retransmitiendo tráfico de un lugar a otro, entonces verifica las características de ese tráfico. Observa cuánto tiempo transcurrió entre los datos entrantes y salientes y qué tan similares son sus tamaños.

Para asegurar que no dé falsas alarmas, Stitch también mantiene un registro de hacia dónde envía sus datos una computadora. Si una computadora habla frecuentemente con un servidor específico por razones legítimas, como consultar una base de datos o gestionar una cuenta de usuario, Stitch aprende a reconocer esto como un comportamiento normal e lo ignora. Solo activa una alarma si el patrón de tráfico parece un pivote y se dirige a un destino que es raramente visitado. Esta combinación de rastrear el proceso de software, analizar el flujo de datos y aprender los hábitos normales de la computadora permite que Stitch sea altamente preciso. En pruebas utilizando ataques simulados, Stitch mejoró la precisión de detección en aproximadamente un 31 por ciento en comparación con los mejores métodos existentes que dependen solo del tiempo y el tamaño del tráfico. Más importante aún, redujo la tasa de falsas alarmas a menos de un quinto del uno por ciento, una mejora masiva respecto a los sistemas anteriores que a menudo marcaban el tráfico inofensivo como peligroso.

Los investigadores no se detuvieron en las simulaciones. Instalaron Stitch en servidores reales dentro de una gran red universitaria, que sirve a miles de estudiantes, profesores y personal. Ejecutaron el sistema durante más de 80 días en un servidor de la facultad compartido y en un servidor web público. Durante este tiempo, el sistema monitoreó millones de eventos de red sin ralentizar los servidores ni requerir cambios en la configuración de seguridad existente de la red. En el servidor de la facultad, el sistema identificó con éxito todos los ataques de prueba que lanzaron los investigadores, los cuales consistían en el uso de túneles de shell seguro (SSH) para mover datos. Generó solo una cantidad mínima de falsas alarmas, la mayoría de las cuales fueron causadas por tareas administrativas legítimas como el redireccionamiento de puertos para el acceso a bases de datos. En el servidor web público, el sistema funcionó durante 32 días sin generar una sola alerta, confirmando que podía distinguir entre el tráfico web normal y los posibles intentos de pivoteo.

Los resultados muestran que Stitch ofrece una forma práctica de defenderse contra estos ataques sigilosos sin necesidad de una reforma completa de la infraestructura de la red. Funciona de forma independiente en cada computadora, lo que significa que no importa si otros dispositivos en la red ejecutan software diferente o si la topología de la red cambia con frecuencia. El sistema es ligero, utiliza menos de 350 megabytes de memoria y añade casi ninguna carga adicional al procesador de la computadora. Incluso bajo cargas de tráfico pesadas, mantuvo su capacidad para detectar ataques. Los investigadores encontraron que el sistema podía manejar miles de nuevas conexiones de red por segundo y, aun así, rastrear con precisión las rutas de los datos. Esta eficiencia es crucial porque las redes modernas son dinámicas y ocupadas; una herramienta de seguridad que sea demasiado pesada o lenta sería impráctica para el uso en el mundo real.

Al enfocarse en la relación entre los procesos de software y el tráfico de red, Stitch resuelve el problema de distinguir entre un usuario legítimo haciendo su trabajo y un atacante utilizando la computadora de ese usuario como puente. No depende de la cooperación de todos los dispositivos de la red, ni requiere almacenar cantidades masivas de datos históricos para encontrar patrones. En su lugar, observa el contexto inmediato del tráfico mientras este ocurre. Los investigadores demostraron que este enfoque es efectivo contra herramientas comunes utilizadas por atacantes, tales como SSH, Nmap y Chisel, que se usan frecuentemente para crear estos túneles de pivoteo. El sistema identificó con éxito estos ataques incluso cuando estaban disfrazados dentro de la actividad de red normal.

El trabajo también destaca la importancia de mirar el panorama completo al asegurar una red. Confiar únicamente en el perímetro ya no es suficiente, y confiar únicamente en las estadísticas de tráfico es demasiado propenso al error. Al combinar la observación de los procesos del sistema con el análisis del flujo de red, Stitch proporciona una visión más completa de lo que sucede dentro de una computadora. Los investigadores planean liberar el código fuente del sistema al público, permitiendo que otros prueben y construyan sobre su trabajo. Esta transparencia tiene como objetivo ayudar a la comunidad de seguridad en general a mejorar las defensas contra las amenazas persistentes avanzadas, que son ataques sofisticados y de larga duración a menudo lanzados por grupos organizados. El éxito de Stitch sugiere que un cambio hacia la detección basada en el host y en tiempo real que comprenda el contexto del tráfico es un camino viable y necesario para la seguridad de la red.

Al final, el artículo presenta un sistema que es tanto preciso como eficiente, llenando un vacío en las herramientas de seguridad actuales. Demuestra que es posible detectar ataques de pivoteo en tiempo real sin generar una inundación de falsas alarmas ni requerir que toda la red cambie su comportamiento. La capacidad del sistema para operar de forma independiente en los hosts individuales lo hace adaptable a diversos entornos, desde pequeñas redes de oficinas hasta grandes y complejas infraestructuras universitarias. Los hallazgos sugieren que, al integrar el rastreo a nivel de sistema con el análisis de red, los equipos de seguridad pueden obtener una visión mucho más clara de las amenazas que acechan en sus redes, permitiéndoles responder a los ataques antes de que puedan causar un daño significativo. El trabajo es una demostración de que la seguridad efectiva no siempre requiere hardware más complejo o costoso, sino una forma más inteligente de mirar los datos que ya están allí.