💻 computer science

Quantitative Evaluation of APT Attack and Defense Effectiveness based on Variable Fuzzy Sets

Este artículo propone el modelo APT-VFSEA, el cual utiliza conjuntos difusos variables para evaluar cuantitativamente la efectividad de los ataques y defensas de Amenazas Persistentes Avanzadas (APT) al abordar su incertidumbre y complejidad inherentes, con una validación experimental que demuestra su precisión frente a escenarios del mundo real.

Autores originales: Xiang Long, Jingyuan He, Haili Sun, Lansheng Han

Publicado 2026-07-10

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Xiang Long, Jingyuan He, Haili Sun, Lansheng Han

Artículo original bajo licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que el internet es una ciudad gigante y bulliciosa. Normalmente, los guardias de seguridad solo se preocupan por los carteristas (virus) o por personas que intentan romper las ventanas (ataques de denegación de servicio). Pero de repente, llegó un nuevo tipo de banda criminal: las Amenazas Persistentes Avanzadas (APT). Estos no son simples vándalos al azar; son como espías maestros que han sido contratados para irrumpir en la bóveda de un banco específico. No se limitan a derribar la puerta; pasan semanas estudiando los planos, forzando la cerradura, escondiéndose en las paredes y robando secretos sin que nadie lo note. Son astutos, complejos e increíblemente difíciles de atrapar.

¿El problema? Las viejas formas de medir la seguridad eran como intentar pesar un fantasma. Los modelos matemáticos tradicionales son demasiado rígidos. Intentan decir: "Este ataque es exactamente un 50% malo", o "Esta defensa es un 100% buena". Pero en el mundo confuso y difuso de las APT, nada es tan claro y tajante. A veces, una defensa funciona perfectamente en un escenario pero falla en otro. A veces, los datos faltan o son vagos. Los autores de este artículo argumentan que intentar forzar estos eventos difusos e inciertos en cajas rígidas simplemente no funciona.

Así que, los investigadores de la Universidad de Ciencia y Tecnología de Huazhong y la Universidad de Textiles de Wuhan decidieron construir un nuevo tipo de regla. La llamaron APT-VFSEA.

Imagina que esta nueva regla no es una línea recta, sino una red que cambia de forma. En los viejos tiempos, si intentabas atrapar a un pez resbaladizo (un ataque APT) con una caja rígida, este simplemente se escabulliría. Pero esta nueva red de "Conjunto Difuso Variable" es flexible. Entiende que el "tamaño" de un ataque o la "fuerza" de una defensa no es un solo número. En su lugar, es un rango de posibilidades. Pregunta: "¿Qué tanto pertenece esta acción a la categoría de 'muy peligrosa'? ¿Qué tanto pertenece a la categoría de 'moderadamente peligrosa'?". Calcula una puntuación basada en qué tan bien encaja la acción en diferentes niveles de peligro, en lugar de forzarla a entrar en uno solo.

Para probar si esta nueva red realmente funcionaba, el equipo montó un patio de juegos digital: una red de campus universitario simulada. Invitaron a un "equipo rojo" (los atacantes) para que actuaran como la famosa banda APT32 (también conocida como OceanLotus), utilizando una debilidad específica en el software llamada CVE-2017-11882. Los atacantes intentaron engañar al sistema con un documento falso, infiltrar un caballo de Troya y borrar sus huellas. Mientras tanto, el "equipo azul" (los defensores) intentó detenerlos usando herramientas como detectores de intrusión, recolectores de registros (Sysmon), firewalls y software antivirus.

Los investigadores no se limitaron a adivinar quién ganó; pasaron los números a través de su nuevo modelo flexible. He aquí lo que encontraron:

El primer movimiento de los atacantes, explotando la vulnerabilidad, obtuvo un alto nivel de peligro, con un promedio de 3.68 en una escala del 1 al 5.
La primera línea de defensa de los defensores (detección de intrusos y recolección de registros) obtuvo puntuaciones más bajas, alrededor de 2.79 y 3.50 respectivamente. Esto coincidió con la realidad: los atacantes entraron porque estas defensas no fueron lo suficientemente fuertes para detener la brecha inicial.
Sin embargo, cuando los defensores utilizaron un firewall para bloquear el puerto específico que los atacantes estaban usando, la puntuación saltó a 3.62.
El verdadero héroe resultó ser el software antivirus, que obtuvo la puntuación más alta con 3.93. Fue lo único que pudo realmente encontrar y eliminar los archivos ocultos después de que los otros fallaran.

El modelo predijo con éxito que las defensas tempranas fallarían y que el antivirus sería la herramienta más efectiva, coincidiendo exactamente con lo que sucedió en su simulación. Los autores sugieren que este método es mejor que las formas antiguas porque maneja la "difusión" de los datos del mundo real. No pretende saberlo todo con un 100% de certeza; en su lugar, acepta la incertidumbre y ofrece una puntuación más fiable y estable al observar los datos desde múltiples ángulos.

Pero aquí está el truco: esto fue una simulación. El equipo admite que solo lo probaron en una pequeña red de campus virtual. No lo probaron en enormes redes eléctricas industriales o redes de secretos gubernamentales. Tampoco analizaron un solo tipo de ataque (el uso de una vulnerabilidad de documento), sino que no incluyeron los ataques de "día cero" súper secretos o los hackeos de la cadena de suministro que los espías del mundo real podrían usar.

Por lo tanto, aunque el artículo sugiere que esta nueva "red que cambia de forma" es una mejor manera de medir la efectidad de los ataques y defensas cibernéticas, no es una solución mágica que resuelva todos los problemas del mundo todavía. Es una herramienta prometedora que funciona bien en el laboratorio, pero los autores dicen que necesitamos ver si se mantiene firme en los campos de batalla mucho más grandes y desordenados del mundo real.

Resumen Técnico: Evaluación Cuantitativa de la Efectividad de Ataques y Defensas APT basada en Conjuntos Difusos Variables

Planteamiento del Problema
Las Amenazas Persistentes Avanzadas (APT) se caracterizan por su pertinencia, complejidad y ocultación, lo que representa riesgos significativamente mayores que los ataques de red ordinarios. Los métodos tradicionales de modelado y análisis a menudo no logran describir y evaluar con precisión la efectividad de las acciones de ataque y defensa de las APT. Los enfoques existentes sufren de varias limitaciones:

Falta de Evaluación Holística: Muchos modelos evalúan la efectividad de ataque y defensa por separado, careciendo de un marco unificado que las considere como un todo dentro de un juego de ataque-defensa.
Insensibilidad a los Escenarios: Los modelos existentes a menudo no logran considerar los cambios de eficiencia de las mismas acciones bajo diferentes escenarios.
Gestión de la Incertidumbre: La evaluación de las APT implica una incertidumbre significativa tanto en las métricas de evaluación como en los datos. Los métodos deterministas y los métodos clásicos de evaluación integral difusa tienen dificultades para manejar esta incertidumbre de manera objetiva, recurriendo a menudo al juicio humano subjetivo o fallando al no utilizar eficazmente los estándares basados en intervalos.

Metodología
El artículo propone un nuevo marco denominado APT-VFSEA (Evaluación de la Eficiencia mediante Conjuntos Difusos Variables para APT) para evaluar cuantitativamente la efectividad de las acciones de ataque y defensa de las APT. La metodología consta de tres componentes principales:

Criterios de Evaluación Unificados y Ponderación:
- Se diseña un método de selección de métricas flexible que sea aplicable tanto a escenarios de ataque como de defensa.
- Cálculo de Pesos: El artículo emplea una combinación lineal de ponderación subjetiva y objetiva.
  - Proceso de Jerarquía Analítica (AHP): Se utiliza para calcular los pesos subjetivos basados en el juicio de expertos y la estructura jerárquica de los indicadores (características, subcaracterísticas, métricas).
  - Método de Peso de Entropía (EWM): Se utiliza para calcular los pesos objetivos basados en la entropía de la información de los datos, reflejando la cantidad de información proporcionada por cada indicador.
  - El peso final es una combinación lineal: $w_i = \alpha \cdot w_A(i) + \beta \cdot w_E(i)$ , donde $\alpha$ y $\beta$ son coeficientes que suman 1.
Construcción del Modelo de Conjuntos Difusos Variables (VFS):
- El núcleo del modelo es el Conjunto Difuso Variable, una extensión de los conjuntos difusos clásicos que maneja la incertidumbre permitiendo que los parámetros del modelo varíen.
- Entradas: El modelo toma una matriz de muestra ( $X$ ) de datos de evaluación, un vector de pesos ( $W$ ) y una matriz de intervalos de estándares de evaluación ( $S_{ab}$ ) dividida en $c$ niveles.
- Mecanismo: En lugar de centros de agrupación fijos, el modelo utiliza centros de agrupación basados en intervalos e intervalos de rango variable ( $S_{a'b'}$ ). Calcula el grado de pertenencia relativa de las muestras a diferentes categorías utilizando distancias de peso métrico generalizadas.
- Optimización: El modelo resuelve una función objetivo para determinar los grados de pertenencia óptimos, los centros de agrupación y los pesos. Utiliza parámetros variables ( $\alpha$ y $p$ ) para el criterio de optimización y la métrica de distancia (por ejemplo, mínimos cuadrados, Manhattan, Euclídea), permitiendo múltiples combinaciones de modelos para mejorar la confiabilidad.
Algoritmo de Evaluación:
- El algoritmo normaliza los datos, calcula los vectores de pertenencia relativa para diferentes combinaciones de parámetros del modelo y deriva los grados de pertenencia relativa integrales.
- Calcula un autovalor para cada muestra basado en el promedio ponderado de los grados de pertenencia a través de los niveles.
- La puntuación de efectividad final es el promedio de los resultados obtenidos de las diferentes combinaciones de parámetros, asegurando la estabilidad y reduciendo el impacto de la elección de parámetros específicos.

Contribuciones Clave

Marco Unificado: El artículo propone un método adecuado para evaluar tanto las acciones de ataque como las de defensa dentro del mismo escenario, abordando la falta de comparabilidad en los modelos existentes.
Aplicación de Conjuntos Difusos Variables: Introduce los Conjuntos Difusos Variables a la evaluación de la efectividad de las APT para manejar la incertidumbre tanto en las métricas como en los datos. Este enfoque supera las limitaciones de los métodos deterministas y la evaluación integral difusa clásica, particularmente cuando los estándares de las métricas son intervalos.
Ponderación Flexible: La integración de AHP y EWM proporciona un enfoque equilibrado para el cálculo de pesos, combinando el conocimiento experto con la objetividad basada en datos.
Robustez: Al combinar los resultados de cuatro configuraciones diferentes de parámetros del modelo ( $\alpha \in \{1,2\}, p \in \{1,2\}$ ), el método mejora la confiabilidad, consistencia y estabilidad de los resultados de la evaluación.

Resultados Experimentales
Los autores validaron el modelo APT-VFSEA utilizando un escenario de ataque APT simulado que involucra a la organización APT32 (OceanLotus) explotando la vulnerabilidad CVE-2017-11882 en un entorno de red universitaria.

Escenario: El experimento simuló seis acciones específicas: tres acciones de ataque (explotación de vulnerabilidades, despliegue de troyanos) y tres acciones de defensa (IDS, recolección de registros de Sysmon, bloqueo de firewall, escaneo de antivirus).
Hallazgos:
- El modelo asignó puntuaciones de efectividad que van de 1 a 5.
- Efectividad de Ataque: La explotación de la vulnerabilidad obtuvo ~3.68 y el despliegue del troyano obtuvo ~3.31.
- Efectividad de Defensa: El IDS y Sysmon obtuvieron puntuaciones más bajas (2.79 y ~3.50 respectivamente) en la prevención de la intrusión inicial, lo cual es consistente con la simulación donde el atacante tuvo éxito inicialmente. Sin embargo, las acciones de firewall y antivirus obtuvieron puntuaciones más altas (3.62 y ~3.93), reflejando su éxito en la interceptación de comunicaciones y la eliminación de archivos maliciosos.
- Validación: Los resultados cuantitativos se alinearon con los resultados observados reales de la simulación (por ejemplo, el fallo de las herramientas de detección inicial frente al éxito de las herramientas de contención y eliminación).
- Fluctuación: Los resultados de la evaluación mostraron rangos de fluctuación pequeños (por ejemplo, 3.59–3.74 para la explotación de la vulnerabilidad), demostrando la estabilidad del modelo.

Significancia y Reivindicaciones
El artículo afirma que el modelo APT-VFSEA ofrece un método fiable y preciso para evaluar cuantitativamente la efectividad de ataque y defensa de las APT. Su importancia radica en:

Gestión Objetiva de la Incertidumbre: Maneja eficazmente la incertidumbre inherente a los escenarios de APT sin depender únicamente del juicio subjetivo.
Soporte de Datos para la Estrategia: Los resultados de la evaluación pueden proporcionar soporte de datos para la revisión de eventos pasados de APT, la determinación de las consecuencias de un ataque y la formulación de futuras estrategias de defensa.
Aplicabilidad: Se presenta que el método tiene una mejor operabilidad, confiabilidad y consistencia en comparación con los métodos deterministas o difusos clásicos existentes.

Limitaciones
Los autores reconocen que la investigación actual está limitada a:

Simular una cadena de ataque de vulnerabilidad de documento específica (CVE-2017-11882) por parte de APT32, sin verificar grupos APT de múltiples tipos mediante vulnerabilidades de día cero, ataques de cadena de suministro u otros métodos de intrusión.
Un entorno de red virtual de tamaño pequeño a mediano, que carece de verificación en redes industriales de gran escala o redes gubernamentales internas.

Estas limitaciones se señalan como áreas para investigaciones futuras.

Más como este