💻 computer science

An Explainable AI Audit of Temporal Signatures in Botnetand Multi-Vector Cyber-Attacks

Este artículo demuestra que, si bien los detectores de intrusiones basados en aprendizaje automático de alta precisión exhiben una débil transferibilidad entre dominios debido a las distintas firmas temporales para ataques de botnets y de vectores múltiples, la aplicación de un marco de inteligencia artificial explicable de métodos múltiples identifica con éxito un conjunto robusto y de consenso de características temporales que transforma los modelos de caja negra en evidencia auditable y transferible para una detección de intrusiones confiable.

Autores originales: Gizachew Teshome Habtamu, Shahzad Ahmed

Publicado 2026-08-13

📖 7 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Gizachew Teshome Habtamu, Shahzad Ahmed

Artículo original bajo licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que eres un guardia de seguridad en un aeropuerto enorme y bullicioso. Tu trabajo es detectar a los alborotadores entre millones de viajeros. En el pasado, los guardias observaban los rostros o revisaban objetos específicos en las maletas. Pero hoy en día, los "malos" son tan buenos ocultando sus rostros y empacando sus maletas que los guardias han empezado a usar robots superinteligentes (Aprendizaje Automático) para hacer la detección. Estos robots son increíblemente precisos, atrapando a menudo al 99% de los malhechores. Sin embargo, hay un inconveniente: estos robots son "cajas negras". Gritan "¡ALERTA!", pero no te dicen por qué. ¿Atrapó el robot a un ladrón porque estaba corriendo? ¿Porque llevaba una maleta pesada? ¿O simplemente se confundió porque llevaba un sombrero rojo? Si el robot no puede explicarse, los equipos de seguridad no pueden confiar en él, y no pueden enseñarle a detectar nuevos tipos de problemas.

Aquí es donde entra en juego un campo llamado "IA Explicable" (XAI). Piensa en la XAI como un traductor que obliga al robot a mostrar su procedimiento, como un estudiante de matemáticas que escribe todos sus pasos en un examen. La gran pregunta que los investigadores se han planteado es: ¿Los indicios que el robot utiliza para atrapar a un tipo de criminal (como un grupo de hackers trabajando juntos) también funcionan para atrapar a otro tipo diferente (como una inundación gigante de tráfico falso)? ¿O el robot simplemente memoriza el "uniforme" específico de los criminales con los que entrenó? Si el robot solo conoce el sombrero rojo, perderá de vista a los criminales del sombrero azul. Este artículo se sumerge en este misterio, probando si los "indicios" que aprende el robot son universales o simplemente específicos del campamento de entrenamiento.

El Gran Intercambio de Detectives: Botnets vs. Inundaciones

En este estudio, dos investigadores, Gizachew y Shahzad, decidieron someter a siete "robots detectives" diferentes (modelos de aprendizaje automático) a una prueba rigurosa. Querían ver si estos robots podían detectar dos tipos muy diferentes de cibercriminales utilizando únicamente una pequeña lista de verificación de nueve elementos de indicios "temporales".

Los Dos Villanos:

La Botnet: Imagina un enjambre de miles de diminutos y sin mente drones (computadoras infectadas) todos esperando una señal de un maestro. Se mueven en una unión perfecta y aburrida, como una banda de marcha. Su "firma" es un ritmo estricto y rítmico.
El Ataque Multivector: Imagina una multitud caótica de diferentes alborotadores. Algunos están lanzando rocas gigantes (inundaciones), otros están forzando cerraduras (escaneos) y otros están intentando adivinar contraseñas (fuerza bruta). Son ruidosos, desordenados y varían en tamaño y velocidad.

Los Nueve Indicios:
En lugar de mirar el contenido de los mensajes (que a menudo está cifrado o es privado), los investigadores obligaron a los robots a mirar únicamente el tiempo y la forma del tráfico. Les dieron una lista de verificación de nueve elementos:

Cuánto duró la conversación.
Cuántos datos se enviaron (volumen).
Qué tan rápido se enviaron (tasa).
Hacia qué dirección fluían los datos (dirección).
Qué tan grandes eran los "paquetes" individuales de datos (tamaño del paquete).
Y lo más importante, los intervalos de tiempo entre paquetes (Tiempo de Llegada Entre Intervalos o IAT).

El Descubrimiento Impactante: Reglas Diferentes para Villanos Diferentes

Los robots fueron entrenados con estos nueve indicios y funcionaron de manera increíble, atrapando casi el 100% de los malhechores en ambos escenarios. Pero cuando los investigadores les preguntaron cómo atraparon a los culpables, los resultados fueron asombrosos.

La Captura de la Botnet:
Cuando los robots atraparon a la Botnet (los drones de marcha), dependieron casi por completo del tiempo. Observaron los intervalos entre los mensajes. Debido a que los drones se mueven con un ritmo perfecto, los intervalos de tiempo eran increíblemente regulares. Los robots dijeron: "¡Ajá! ¡El tiempo entre estos mensajes es demasiado perfecto! ¡Es un bot!". De hecho, para los detectores de botnets, los indicios de tiempo fueron tan importantes que si se desordenaba el tiempo, la capacidad del robot para atrapar a los malhechores caía a casi cero.

La Captura del Multivector:
Cuando los robots atraparon a la multitud caótica (las inundaciones y los escaneos), ignoraron el tiempo casi por completo. En su lugar, observaron el tamaño y el volumen. Dijeron: "¡Mira esto! Los paquetes son todos del mismo tamaño extraño", o "¡Esta persona está enviando demasiados datos en una sola dirección!". El tiempo no importaba tanto porque la multitud caótica se movía a velocidades aleatorias.

La Trampa de la "Caja Negra":
Aquí está el hallazgo más crítico: los investigadores intentaron ver si los indicios utilizados para la Botnet funcionarían para el ataque Multivector, y viceversa. Hicieron un chequeo matemático para ver si la "importancia" de los indicios coincidía entre los dos grupos. ¿El resultado? No coincidían en absoluto. La correlación fue prácticamente cero (0.01).

Esto significa que si tomas un robot entrenado para detectar Botnets y le dices que busque Inundaciones, es probable que falle porque está buscando los indicios equivocados. Es como enseñar a un perro a buscar una pelota y luego esperar que atrape un frisbee solo porque usaste la misma palabra "busca". El artículo descarta explícitamente la idea de que puedas simplemente copiar y pegar un tablero de "importancia de características" de un sistema de seguridad a otro y esperar que funcione. Los indicios son específicos del dominio.

El Rayo de Esperanza: Los Indicios "Robustos"

Entonces, ¿se ha perdido toda esperanza? ¿Necesitamos un robot diferente para cada tipo de ataque? No exactamente. Los investigadores utilizaron un truco ingenioso para encontrar el "terreno común". Preguntaron: "¿Cuál es el indicio menos importante para ambos tipos de ataques?". No, esperen—preguntaron lo contrario: "¿Qué indicios siguen siendo importantes incluso si tomamos la puntuación mínima a través de ambos mundos?".

Al buscar los indicios que sobrevivieron a la prueba más dura (siendo importantes tanto en el mundo de la Botnet como en el mundo de la Inundación), encontraron un "Conjunto de Consenso" de tres firmas súper robustas:

Variabilidad en el Tiempo: Cuánto cambian los intervalos de tiempo (no solo el promedio de tiempo).
Relación de Bytes de Origen: El equilibrio entre cuántos datos se envían frente a cuántos se reciben.
Tamaño Promedio de Paquete: El tamaño típico de los fragmentos de datos.

Estos tres indicios son las "llaves universales". Son difíciles de falsificar para un malhechor. Si una botnet intenta alterar su tiempo para esconderse, arruina su propio ritmo. Si un atacante de inundación intenta cambiar los tamaños de los paquetes para esconderse, podría romper su propio patrón de inundación.

Lo Que Esto Significa Para Usted

El artículo concluye que, si bien los robots de "caja negra" son excelentes para atrapar malhechores, no podemos confiar en ellos ciegamente. Necesitamos usar la IA Explicable (XAI) para mirar dentro y ver qué es lo que realmente están observando.

El estudio muestra que:

El Tiempo es el Rey para los Bots: Si quieres atrapar una botnet, vigila el reloj.
El Tamaño es el Rey para las Inundaciones: Si quieres atrapar una inundación, vigila el volumen.
No Copiar y Pegar: No puedes asumir que un robot entrenado en un tipo de ataque sabrá cómo detectar otro solo porque es inteligente.
La Apuesta Segura: Si quieres un sistema de seguridad que funcione en todas partes, enfócate en los tres indicios del "Consenso" (variabilidad de tiempo, equilibrio de datos y tamaño de paquete).

Los investigadores advierten cuidadosamente que estos resultados se basan en conjuntos de datos específicos (CIC-IDS2017 y CTU-13), que son como simulaciones de entrenamiento. Aunque los robots funcionaron perfectamente en estas pruebas (más del 99% de precisión), el mundo real es más desordenado. Sin embargo, el método que utilizaron—forzar a los robots a explicarse y encontrar los indicios que sobreviven a través de diferentes mundos—nos brinda una nueva forma confiable de construir sistemas de seguridad que no solo adivinan, sino que realmente entienden lo que están viendo.

Resumen Técnico: Una Auditoría de IA Explicable de Firmas Temporales en Botnets y Ataques Cibernéticos Multivectoriales

Planteamiento del Problema

Aunque los Sistemas de Detección de Intrusiones (IDS) basados en Aprendizaje Automático (ML) alcanzan una alta precisión en conjuntos de datos de referencia, funcionan como "cajas negras", ofreciendo poca información sobre la evidencia que impulsa sus predicciones. Esta opacidad impide que los analistas de Centros de Operaciones de Seguridad (SOC) auditen los modelos en busca de aprendizaje de atajos (por ejemplo, la dependencia de números de puerto específicos) o justifiquen respuestas automatizadas ante las partes interesadas. Además, una alta precisión dentro de un conjunto de datos no garantiza la generalizabilidad; los modelos suelen fallar cuando se transfieren a diferentes entornos de red. Existe una brecha crítica en la comprensión de si las características identificadas como importantes por las técnicas de Inteligencia Artificial Explicable (XAI) constituyen firmas temporales robustas y transferibles entre distintos dominios de ataque, específicamente, entre el tráfico de botnets (caracterizado por el comando y control periódico) y el tráfico de ataques multivectoriales (caracterizado por inundaciones volumétricas, escaneos y fuerza bruta).

Metodología

Los autores proponen un marco de XAI de tres capas para auditar siete clasificadores diversos entrenados en un espacio de características temporales armonizado de nueve dimensiones.

1. Conjuntos de Datos y Armonización de Características

Se utilizaron dos benchmarks heterogéneos:

CIC-IDS2017: Contiene tráfico de ataques multivectoriales (DoS, DDoS, PortScan, Brute Force, Web Attacks, Bot).
CTU-13: Contiene escenarios de tráfico de botnets del mundo real.

Para permitir una comparación directa, los autores diseñaron una representación temporal de nueve características idéntica, computable a partir de ambos conjuntos de datos, eliminando los identificadores de carga útil (payload) y de puerto específicos para centrarse puramente en el volumen y el tiempo de comportamiento:

duration_s (duración en segundos)
total_bytes (bytes totales)
total_packets (paquetes totales)
bytes_per_s (bytes por segundo)
packets_per_s (paquetes por segundo)
src_bytes_ratio (ratio de dirección)
avg_packet_size (tamaño promedio de paquete)
iat_mean_s (media del Tiempo de Inter-Arribo - IAT)
iat_std_s (desviación estándar del Tiempo de Inter-Arribo - IAT)

2. Entrenamiento de Modelos

Se entrenaron siete clasificadores que abarcan cuatro paradigmas de aprendizaje en ambos conjuntos de datos utilizando las características temporales armonizadas:

Conjuntos de Árboles (Tree Ensembles): Random Forest (RF), AdaBoost (ADA), LightGBM.
Aprendizaje Profundo (Deep Learning): Red Neuronal Profunda (DNN), Perceptrón Multicapa (MLP).
Distancia/Kernel: k-Nearest Neighbors (KNN), SVM con kernel RBF.

3. Protocolo de IA Explicable (XAI)

Se aplicaron tres métodos de atribución independientes para auditar los modelos:

SHAP (SHapley Additive exPlanations): Se utilizó TreeExplainer para los modelos de árboles y Kernel/GradientExplainer para los demás.
LIME (Local Interpretable Model-agnostic Explanations): Surrogados lineales locales dispersos.
Importancia por Permutación (Permutation Importance): Medición de la caída en el ROC-AUC cuando se barajan las características.

4. Análisis de Robustez

Para identificar firmas transferibles, los autores emplearon una metodología de piso de robustez por consenso. Esto consistió en:

Calcular las correlaciones de rango de Spearman ( $\rho$ ) entre conjuntos de datos para probar si las clasificaciones de importancia de las características se transfieren.
Calcular un "piso de robustez" para cada característica tomando la importancia normalizada mínima a través de ambos conjuntos de datos, todos los algoritmos y todos los métodos de XAI. Las características con puntuaciones mínimas altas se consideran firmas robustas.

Resultados Clave

1. Rendimiento de Detección

Utilizando únicamente las nueve características temporales, seis de los siete clasificadores lograron un ROC-AUC $\ge$ 0.99 en ambos conjuntos de datos.

Los conjuntos de árboles (RF, ADA, LightGBM) alcanzaron puntuaciones casi perfectas (1.000) en CTU-13.
La reducción de aproximadamente 78 características nativas a 9 características temporales resultó en una pérdida de rendimiento insignificante (<0.005 AUC) para los modelos que no son de kernel, demostrando que el tiempo de comportamiento es suficiente para la detección sin necesidad de inspección de carga útil.

2. Importancia de Características Divergentes

El análisis de XAI reveló una dicotomía marcada en lo que los modelos dependen para diferentes tipos de ataque:

Ataques Multivectoriales (CIC-IDS2017): La detección está dominada por la evidencia volumétrica y del tamaño de los paquetes (por ejemplo, avg_packet_size, src_bytes_ratio). Estos ataques manipulan los tamaños de los paquetes y exhiben flujos de tráfico asimétricos.
Botnets (CTU-13): La detección es expuesta casi enteramente por la regularidad del Tiempo de Inter-Arribo (IAT) (iat_mean_s, iat_std_s). El beaconing de comando y control de las botnets crea patrones de tiempo de baja varianza.
Correlación entre Conjuntos de Datos: Las clasificaciones globales de importancia de características no se transfieren entre dominios. La correlación de Spearman media ( $\rho$ ) a través de 21 pares de algoritmo-método fue de +0.01, con 9 pares mostrando una correlación negativa. Una clasificación de características válida para botnets suele ser engañosa para ataques multivectoriales.

3. Firmas Robustas de Consenso

Al aplicar la metodología del piso de robustez (tomando la importancia mínima entre dominios), los autores destilaron un conjunto de firmas que siguen siendo informativas en ambos contextos:

Desviación Estándar del IAT (iat_std_s): La firma más robusta, crítica para las botnets y relevante para ataques de tasa lenta/fuerza bruta en ataques multivectoriales.
Ratio de Bytes de Origen (src_bytes_ratio): Indica asimetría direccional.
Tamaño Promedio de Paquete (avg_packet_size): Indica uniformidad en la generación de paquetes.

Estas tres características son conductualmente difíciles de evadir para un adversario simultáneamente sin degradar la funcionalidad del ataque (por ejemplo, inyectar jitter para ocultar botnets degrada la fiabilidad del C&C; randomizar los tamaños de los paquetes interrumpe la eficiencia de la inundación).

Significancia y Reivindicaciones

El artículo afirma que la XAI puede transformar los detectores de caja negra en evidencia temporal auditable y transferible. Las principales contribuciones son:

Validación de la Suficiencia Temporal: Demostrar que las características temporales compactas por sí solas soportan una detección casi perfecta, permitiendo IDS preservadores de la privacidad, libres de carga útil y adecuados para entornos de tráfico cifrado y de recursos limitados en el borde (edge).
Exposición de la Especificidad de Dominio: Proporcionar evidencia empírica de que la importancia de las características no es universal. Depender de tableros de importancia de características de un entorno (por ejemplo, un conjunto de datos de botnets) para otro (por ejemplo, un conjunto de datos multivectorial) es estadísticamente erróneo.
Metodología para Firmas Robustas: Introducir un enfoque de "piso de robustez" para extraer firmas que son estables a través de algoritmos, métodos de atribución y dominios de ataque. Esto va más allá de la simple clasificación de características para identificar invariantes de comportamiento.
Utilidad Operativa: El estudio sugiere que la XAI debe integrarse en los bucles de MLOps para detectar artefactos de los conjuntos de datos (como el atajo del "Puerto de Destino" identificado en modelos de características completas) y para proporcionar a los analistas justificaciones verificables basadas en el comportamiento, en lugar de puntuaciones de probabilidad opacas.

Los autores concluyen que, si bien el estudio actual está limitado a datos de bancos de pruebas, las firmas de consenso identificadas ofrecen un camino principista hacia una detección de intrusiones confiable, transparente y transferible.