💻 computer science

A Hybrid Machine Learning Framework for Robust Detection of Malicious DNS-over-HTTPS Tunneling Traffic

Este artículo propone un marco híbrido estadísticamente validado y consciente de la densidad que combina XGBoost con una puntuación de anomalías no supervisada para detectar robustamente el tunelización maliciosa de DNS sobre HTTPS, demostrando mejoras significativas en la exhaustividad y la reducción de falsos negativos sobre los modelos de referencia, al tiempo que confirma que los componentes generativos profundos no ofrecen beneficios adicionales.

Autores originales: Enas Selem¹, Rania Salama¹

Publicado 2026-08-10

📖 8 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Enas Selem¹, Rania Salama¹

Artículo original bajo licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina el internet como una ciudad gigante y bulliciosa donde cada dispositivo está constantemente gritando peticiones para encontrar su camino. Durante décadas, estos gritos fueron como cartas abiertas pasadas entre vecinos: cualquiera que pasara por allí podía leerlas, robar los secretos en su interior o incluso falsificar cartas para enviar a la gente a lugares equivocados. Para solucionar esto, los ingenieros construyeron un "túnel seguro" llamado DNS sobre HTTPS (DoH). Piensa en ello como poner esas cartas abiertas dentro de una caja de acero cerrada y blindada y enviarla a través de un camión de entrega especial que se ve exactamente igual a otros millones de camiones legítimos. Es brillante para la privacidad porque nadie puede mirar dentro de la caja, pero crea un nuevo problema para los guardias de seguridad: si un criminal quiere sacar datos robados de la ciudad, simplemente puede esconderlos dentro de una de estas cajas cerradas. Los guardias no pueden ver qué hay dentro, y la caja se ve exactamente como una entrega normal, lo que hace que sea increíblemente difícil detectar a los malos.

Este es el desafío que aborda un nuevo estudio de las investigadoras Enas Selem y Rania Salama. Ellas se plantean una pregunta crítica: ¿Cómo atrapamos a los criminales que se esconden en cajas cerradas sin romper las cerraduras o ralentizar la ciudad? El artículo propone un sistema de detección "híbrido" muy ingenioso. En lugar de depender de un solo método para detectar a un criminal, combinan a un supervisor de ojos agudos (un modelo de aprendizaje automático llamado XGBoost) con dos "detectores de anomalías" (Isolation Forest y Local Outlier Factor). Imagina al supervisor como un policía veterano que sabe cómo es un criminal típico basándose en casos pasados. Los detectores de anomalías son como un par de sensores que gritan "¡Algo es raro aquí!" cada vez que el comportamiento de una persona no encaja con el patrón de los ciudadanos honestos y normales, incluso si el policía no ha visto ese tipo específico de criminal antes. Las investigadoras probaron este equipo de trabajo contra un conjunto masivo de datos de tráfico de internet, incluyendo escenarios complicados donde los criminales utilizaron herramientas que el sistema nunca había visto. Encontraron que, si bien el equipo híbrido no siempre vencía al policía veterano en situaciones fáciles, fueron increíblemente efectivos para atrapar a los criminales escurridizos y no vistos que el policía pasó por alto, reduciendo el número de ataques no detectados en aproximadamente un 70% a 74% en las pruebas más difíciles.

La historia del detective híbrido

Las investigadoras construyeron un sistema que actúa como un control de seguridad para el tráfico de internet, pero con un giro. En lugar de intentar leer las cajas de acero cerradas (lo cual es imposible porque están cifradas), el sistema observa cómo se mueven las cajas. Observa el tiempo de las entregas, el tamaño de los paquetes y la frecuencia con la que llegan.

El núcleo de su invención es un equipo "híbrido". El personaje principal es XGBoost, un poderoso modelo de aprendizaje automático que actúa como un detective experimentado. Ha estudiado miles de casos pasados y conoce las "firmas" específicas de los delincuentes conocidos. Pero las investigadoras sabían que si un criminal cambiaba de atuendo o usaba un truco nuevo, el detective podría confundirse. Así que añadieron dos ayudantes: Isolation Forest y Local Outlier Factor.

Piensa en estos ayudantes como "detectores de rareza". A ellos no les importan las firmas específicas de los criminales. En su lugar, están entrenados únicamente en cómo lucen los ciudadanos "normales". Si una persona entra en la estación actuando de forma extraña —tal vez caminando demasiado rápido, o su paquete tiene un peso diferente al de todos los demás—, estos detectores levantan una bandera roja. No necesitan saber quién es el criminal; solo saben que esa persona no encaja con la multitud.

Las investigadoras combinaron el conocimiento del detective con las alertas de los detectores de rareza en una única lista de "super-características". Luego, alimentaron esta lista de nuevo al detective para que tomara la decisión final. Decidieron deliberadamente no usar un "cerebro" de aprendizaje profundo más complejo (como un autoencoder) porque sus pruebas demostraron que hacía el sistema más lento y complicado sin capturar realmente más criminales. Encontraron que el equipo más simple y ligero del detective más los dos detectores de rareza era el equilibrio perfecto.

La gran prueba: Atrapando lo invisible

La verdadera magia de este artículo no es solo que el sistema funciona; es lo bien que maneja lo desconocido. Las investigadoras sometieron su sistema a una serie de pruebas agotadoras llamadas "Leave-One-Attack-Out" (Dejar un ataque fuera). Imagina un juego donde el detective es entrenado con tres tipos de ladrones: aquellos que roban con una palanca, aquellos con una ganzúa y aquellos con una palanca hecha de plástico. Pero luego, la prueba le lanza un ladrón que usa un destornillador, una herramienta que el detective nunca ha visto antes.

En estas pruebas, las investigadoras también eliminaron la "bandera DoH" (una pista simple que dice "esta es una caja cerrada") para hacer el trabajo aún más difícil. Querían ver si el sistema aún podía atrapar al ladrón del destornillador simplemente observando qué tan extraño era su comportamiento.

Los resultados fueron impresionantes. En cada una de las quince configuraciones de prueba diferentes (usando diferentes semillas aleatorias para asegurar la imparcialidad), el equipo híbrido atrapó significativamente más criminales que el detective trabajando solo.

Para el tipo de ataque no visto "null", el equipo híbrido perdió solo 52.2 criminales en promedio, mientras que el detective solo perdió 178.6. Esto es una reducción del 70.8% en los ataques no detectados.
Para el tipo "srv", perdieron 39.4 en lugar de 127.6 (una reducción del 69.1%).
Para el tipo "txt", perdieron 26.2 en lugar de 101.2 (una reducción del 74.1%).

Las pruebas estadísticas confirmaron que esto no fue solo suerte; la diferencia era real y significativa. El sistema híbrido actuó como una red de seguridad, atrapando a los criminales que se le escapaban al detective porque estaban haciendo algo ligeramente "fuera de lo común" que el detective aún no había memorizado.

Dónde brilla y dónde tropieza

El artículo es muy honesto sobre dónde funciona mejor este sistema y dónde no.

El punto ideal: Cuando el sistema se enfrenta a un nuevo tipo de ataque que nunca ha visto, los "detectores de rareza" son los héroes. Detectan la anomalía en el flujo de tráfico y ayudan al detective a tomar la decisión correcta.
La zona neutral: Cuando el sistema es probado con datos que se parecen exactamente a lo que aprendió (como los escenarios "Standard" o "Full Data"), el equipo híbrido es ligeramente mejor o empata con el detective solo. En un escenario específico llamado "Cross-Scenario", donde el tráfico normal mismo cambió ligeramente entre el entrenamiento y la prueba, los dos sistemas estaban esencialmente empatados. De hecho, los detectores de rareza a veces lanzaron falsas alarmas aquí, marcando el tráfico normal pero ligeramente distinto como sospechoso.
El límite de velocidad: Las investigadoras también comprobaron qué tan rápido podía funcionar el sistema. Encontraron que revisar un solo paquete a la vez (streaming) era aproximadamente 16 veces más lento para el equipo híbrido que para el detective solo. Sin embargo, si revisaban los paquetes en lotes (como un cargamento completo de una vez), la ralentización era de solo 2.3 veces. Esto significa que el sistema es excelente para analizar el tráfico en ráfagas cortas (procesamiento por lotes/batch processing), pero podría ser demasiado lento para revisar cada paquete en el instante en que llega.

El problema de la "brecha de características"

Hubo un caso especialmente difícil donde el sistema tuvo problemas: una herramienta llamada dns2tcp. Incluso con el equipo híbrido, el sistema solo atrapó alrededor del 35% de los ataques dns2tcp. Las investigadoras profundizaron y descubrieron una "brecha de dominio de características". Resulta que el tráfico de dns2tcp en este conjunto de datos es fundamentalmente diferente: es más corto, más rápido y mueve menos datos que las otras herramientas. Es como intentar detectar a un ladrón que corre en un planeta diferente; los "detectores de rareza" no podían distinguir si el comportamiento era extraño porque era un crimen o simplemente porque provenía de un mundo distinto. El sistema no pudo solucionarlo simplemente añadiendo más reglas; los datos mismos eran demasiado diferentes de aquello con lo que el sistema fue entrenado.

La conclusión

Este artículo demuestra que cuando se trata de atrapar a criminales digitales escondidos en túneles cifrados, tener un "segundo par de ojos" que busque la rareza en lugar de solo buscar coincidencias de huellas dactilares, marca la diferencia. El marco híbrido no reemplaza al detective experto; le proporciona una red de seguridad para lo desconocido. Aunque no es una solución mágica que lo resuelva todo instantáneamente (y sí requiere un poco más de potencia de cómputo), demuestra que combinar diferentes tipos de inteligencia —aprendizaje supervisado para amenazas conocidas y aprendizaje no supervisado para lo extraño y lo desconocido— crea una defensa mucho más robusta. Las investigadoras sugieren que este enfoque, junto con sus rigurosos métodos de prueba, debería ser el nuevo estándar para construir sistemas de seguridad capaces de manejar la próxima generación de ataques sigilosos.

Resumen Técnico: Un Marco de Aprendizaje Automático Híbrido para la Detección Robusta de Tráfico de Tunelización Maliciosa de DNS sobre HTTPS

1. Planteamiento del Problema

El DNS sobre HTTPS (DoH) mejora la privacidad del usuario al cifrar las consultas DNS dentro del tráfico HTTPS estándar (puerto 443). Sin embargo, este cifrado hace que la Inspección Profunda de Paquetes (DPI) sea ineficaz, lo que permite a los atacantes instrumentalizar el DoH para la exfiltración de datos encubierta y la comunicación de comando y control (C2) mediante tunelización. Aunque han surgido enfoques de aprendizaje automático (ML) para detectar dicho tráfico utilizando estadísticas de flujo (por ejemplo, temporización de paquetes, duración de la sesión), la literatura existente presenta limitaciones críticas:

Dependencia excesiva de características específicas: Muchos modelos dependen fuertmente del "indicador de protocolo DoH", que los atacantes pueden suprimir.
Falta de generalización: La mayoría de las evaluaciones entrenan y prueban con las mismas distribuciones de ataque, fallando al evaluar la resiliencia contra variantes o herramientas de tunelización no vistas.
Interpretabilidad limitada: Pocos sistemas proporcionan explicaciones a nivel de decisión necesarias para que los analistas de seguridad actúen ante las alertas.
Complejidad innecesaria: Algunos marcos incorporan componentes generativos profundos (por ejemplo, autoencoders) sin demostrar mejoras de rendimiento mensurables sobre alternativas más ligeras.

2. Metodología

Los autores proponen un marco híbrido sensible a la densidad diseñado como un analizador de procesamiento por lotes en lugar de un filtro en línea en tiempo real. La arquitectura integra la clasificación supervisada con la puntuación de anomalías no supervisada para crear una "red de seguridad" para amenazas no vistas.

Arquitectura Central

Línea Base Supervisada: Un clasificador XGBoost entrenado en 32 características estadísticas de nivel de flujo normalizadas.
Puntuación de Anomalías No Supervisada: Dos detectores independientes ajustados únicamente sobre tráfico benigno para aprender la densidad del comportamiento normal:
- Isolation Forest (IF): Proporciona una puntuación de anomalía global basada en la rapidez con la que un punto es aislado en una estructura de árbol.
- Local Outlier Factor (LOF): Proporciona una puntuación de anomalía local basada en la desviación de densidad de un punto respecto a sus $k=20$ vecinos más cercanos.
Fusión de Características: Las características originales se concatenan con los valores iso_score y lof_score para formar un vector de características híbrido.
Clasificación: El modelo XGBoost final clasifica el tráfico como benigno o malicioso.
Interpretabilidad: Se aplica SHAP (SHapley Additive exPlanations) para explicar las contribuciones de las características tanto para el modelo base como para el híbrido.

Decisiones de Diseño

Estudio de Ablación: Los autores excluyeron explícitamente los componentes generativos profundos (por ejemplo, autoencoders de eliminación de ruido). Las pruebas demostraron que añadir estos componentes aumentaba la complejidad arquitectónica y el tiempo de entrenamiento sin aportar mejoras mensurables en las métricas de detección.
Umbralización: Se utiliza un umbral fijo de 0.5 para las evaluaciones de robustez (Leave-One-Attack-Out), para asegurar una comparación justa, mientras que se utilizan umbrales que maximizan el F1 para los escenarios estándar.

3. Principales Contribuciones

El artículo describe cinco contribuciones principales:

Protocolo de Evaluación Riguroso: Introducción de un protocolo de múltiples semillas Leave-One-Attack-Out (LOAO) (3 variantes de ataque × 5 semillas = 15 configuraciones) y una evaluación Leave-One-Tool-Out (LOTO) a través de herramientas estructuralmente diferentes (iodine, dns2tcp, dnscat2). Esto supera las evaluaciones estándar de división única.
Validación Estadística: Pruebas de significancia formal utilizando la prueba exacta de McNemar para los escenarios primarios y las pruebas de Wilcoxon signed-rank/exact sign para las evaluaciones de robustez, asegurando que las afirmaciones no se deban a la varianza aleatoria.
Explicación Mecanicista: Identificación de que la ventaja del modelo híbrido no es uniforme; específicamente "rescata" los flujos situados cerca de la frontera de decisión de XGBoost (casos ambiguos) en lugar de mejorar la detección en todo el tráfico.
Información Transparente: Divulgación honesta de las limitaciones, incluyendo una brecha genuina de dominio de características con la herramienta dns2tcp y la sobrecarga computacional del enfoque híbrido.
Marco Híbrido Optimizado: Una arquitectura validada que combina XGBoost con IF y LOF, evitando componentes de aprendizaje profundo innecesarios.

4. Resultados Experimentales

Escenarios Primarios (Estándar, Datos Completos, Escenario Cruzado)

Evaluado en el conjunto de datos CIRA-CIC-DoHBrw-2020:

Estándar y Datos Completos: El marco híbrido superó al modelo base XGBoost. En el escenario de Datos Completos, el Recall mejoró del 97.95% al 98.00% (F1: 95.96% vs. 96.11%), una diferencia estadísticamente significativa ( $p=0.024$ ).
Escenario Cruzado: Cuando los datos de entrenamiento y prueba procedían de diferentes archivos de captura (simulando un cambio de distribución), los modelos quedaron empatados en Recall (96.59%). El modelo híbrido mostró una ligera caída, no significativa, en la Precisión debido al aumento de los falsos positivos, lo que indica que la puntuación de anomalías no ofrece beneficios cuando las distribuciones del tráfico benigno cambian significíficamente.

Evaluaciones de Robustez

Leave-One-Attack-Out (LOAO): Con el indicador de DoH eliminado y una variante de ataque excluida del entrenamiento:
- El marco híbrido redujo los Falsos Negativos entre un 70.8% y un 74.1% en todas las tres variantes de ataque excluidas (null, srv, txt) en comparación con el modelo base.
- Esta mejora fue consistente en las 15 configuraciones de semillas aleatorias y estadísticamente significativa ( $p=0.031$ , el máximo alcanzable con 5 pares).
Leave-One-Tool-Out (LOTO): Evaluado a través de iodine, dns2tcp y dnscat2:
- El modelo híbrido superó consistentemente al modelo base en Recall y F1 para todas las herramientas.
- Limitación: Aunque es estadísticamente superior, el rendimiento absoluto para dns2tcp siguió siendo bajo (Recall ~35.4%). Los autores atribuyen esto a una "brecha de dominio de características", donde las estadísticas de tráfico de dns2tcp (duración más corta, menor conteo de bytes) difieren fundamentalmente de la distribución de entrenamiento, una limitación que ningún clasificador podría superar sin ingeniería de características.

Sobrecarga Computacional

Latencia por Flujo Único: El enfoque híbrico es aproximadamente 16 veces más lento (38.53 ms vs. 2.39 ms) debido a la sobrecarga de la llamada por cada ejecución de IF y LOF.
Rendimiento por Lote (Throughput): En el procesamiento por lotes (2,000 flujos), la sobrecarga se reduce a ~2.3 veces más lento (130k vs. 301k flujos/seg), lo que lo hace viable para operaciones de seguridad basadas en lotes pero menos adecuado para el streaming estricto de flujo único en tiempo real.

5. Significación y Reivindicaciones

El artículo argumenta que el valor principal de este marco reside en la robustez operativa más que en ganancias marginales en condiciones ideales.

Red de Seguridad para Amenazas No Vistas: La integración de la puntuación de anomalías no supervisada proporciona una red de seguridad estadísticamente validada. Cuando la señal más fuerte (el indicador DoH) se elimina o la variante de ataque no ha sido vista, el modelo híbrido mantiene altas tasas de detección al confiar en la desviación del tráfico respecto a las densidades benignas aprendidas.
La Explicabilidad como Necesidad: El uso de SHAP permite a los analistas verificar que las alertas son impulsadas por anomalías genuinas (por ejemplo, un lof_score elevado y características de volumen de bytes) en lugar de solo la bandera DoH, facilitando el triaje en los Centros de Operaciones de Seguridad (SOC).
Expectativas Realistas: Los autores enfatizan que, aunque el marco es robusto, no es una panacea. No supera universalmente a los modelos base (por ejemplo, en escenarios de Escenario Cruzado) y no puede cerrar las brechas fundamentales de dominio de características (por ejemplo, dns2tcp).

En conclusión, el artículo plantea que la combinación de la clasificación supervisada con la puntuación no supervisada sensible a la densidad crea un sistema más resiliente para la detección de tunelización cifrada, siempre que se despliegue en entornos de procesamiento por lotes y se comprendan sus limitaciones respecto a las arquitecturas de herramientas específicas.