En el mundo digital, los equipos de seguridad son bombardeados constantemente con flujos de datos provenientes de computadoras y servidores. Estos registros registran cada acción que realiza una máquina: la apertura de un archivo, el inicio de un programa, la realización de una conexión. Durante años, el objetivo de la ciberseguridad ha sido unir estas notas dispersas para ver el panorama general de un ataque. El desafío es que las notas suelen estar incompletas. Los atacantes son expertos en ocultar sus huellas, borrar registros o desordenar el orden de los eventos. Además, una sola acción de la computadora puede significar muchas cosas diferentes dependiendo del contexto; el inicio de un programa podría ser una actualización inofensiva o el comienzo de un robo. Los métodos tradicionales intentan resolver esto mediante la coincidencia de patrones específicos con amenazas conocidas, pero a menudo fallan cuando la evidencia es desordenada o cuando los atacantes utilizan herramientas familiares de formas nuevas e inesperadas.

Un equipo de investigadores de la Universidad de Gachon en Corea del Sur ha propuesto una nueva forma de pensar en este problema. Llaman a su sistema SCOPE. En lugar de intentar forzar cada entrada de registro en una caja rígida, SCOPE trata el análisis como un proceso de razonamiento bajo incertidumbre. Acepta que los datos que recibe son defectuosos e incompletos, y construye un modelo que puede manejar piezas faltantes sin desmoronarse. Los investigadores probaron su sistema contra un conjunto de treinta y cinco escenarios de ataque conocidos donde la secuencia real de eventos ya estaba documentada. Encontraron que SCOPE podía reconstruir la trayectoria general de un ataque con una precisión mucho mayor que los métodos existentes, incluso cuando faltaba la mitad de la evidencia digital. Más importante aún, el sistema podía identificar patrones de ataque complejos que nunca había visto antes, siempre que esos patrones estuviera compuestos por bloques de construcción conocidos dispuestos en un nuevo orden.

La dificultad central en el análisis de estos registros es que los eventos individuales son demasiado pequeños para contar una historia por sí solos. Una sola entrada de registro podría mostrar la creación de un archivo, pero no explica el porqué. Para resolver esto, los investigadores primero agrupan eventos relacionados en fragmentos más grandes y significativos. Buscan eventos que ocurren cerca en el tiempo, involucran los mismos procesos informáticos o tocan los mismos archivos y conexiones de red. Esto crea un "grupo de comportamiento" que representa un paso coherente en un ataque, como un hacker intentando robar contraseñas, en lugar de solo una lista de cambios de archivos aislados. Esta agrupación está diseñada para ser robusta; si algunos eventos en medio se pierden o se eliminan, el sistema aún puede reconocer el grupo porque las piezas restantes están vinculadas por su contexto compartido.

Una vez que se forman estos grupos, el sistema enfrenta el siguiente desafío: decidir qué representa realmente cada grupo. En el pasado, los sistemas intentaban asignar una etiqueta única a un grupo, como "Robo de Contraseñas". Si esa etiqueta era incorrecta, todo el análisis se rompía. SCOPE evita esta trampa manteniendo múltiples posibilidades abiertas a la vez. Para cada grupo de comportamiento, genera una lista de etiquetas potenciales con diferentes niveles de probabilidad. No fuerza una decisión final de inmediato. En su lugar, mantiene estas opciones en un estado de incertidumbre, permitiendo que el sistema considere el panorama completo antes de asentarse en una respuesta. Este enfoque reconoce que la misma acción puede parecer diferentes cosas dependiendo de lo que suceda después.

El paso final es conectar estos grupos en una cadena completa. Los investigadores utilizan un método que califica qué tan bien un comportamiento sigue a otro basándose en dos factores principales: el flujo lógico de un ataque y la conexión física entre ellos. Saben que ciertos tipos de acciones suelen ocurrir en un orden específico, como obtener acceso a un sistema antes de robar datos. También buscan vínculos físicos, como un archivo creado en un paso que es utilizado en el siguiente. Al combinar estas pistas lógicas y físicas, el sistema puede llenar los vacíos donde falta la evidencia. Si un paso falta, el sistema no se detiene; simplemente conecta los pasos supervivientes, reconociendo que el salto es mayor de lo habitual pero aún posible. Esto permite al sistema reconstruir una historia continua incluso cuando partes de la línea de tiempo han sido borradas.

Los investigadores probaron este enfoque utilizando un conjunto de datos de treinta y cinco escenarios de ataque que incluían registros de la verdad fundamental sobre exactamente lo que sucedió. Compararon SCOPE contra varios otros métodos líderes, incluyendo sistemas basados en reglas que buscan patrones específicos, sistemas basados en grafos que mapean conexiones y sistemas que utilizan modelos de lenguaje extensos para adivinar la historia. SCOPE superó a todos ellos. Identificó correctamente las técnicas específicas utilizadas en los ataques aproximadamente el 84% de las veces al observar las cinco mejores suposiciones. Al medir qué tan bien reconstruía la secuencia completa de eventos, alcanzó una puntuación de 0.68, que fue significativamente más alta que el siguiente mejor método.

Quizás el hallazgo más significativo fue cómo el sistema manejó los datos faltantes. Los investigadores simularon una situación en la que se eliminaban aleatoriamente hasta el 50% de los eventos de registro, imitando un escenario donde un atacante logra borrar sus huellas. Mientras que el rendimiento de otros sistemas caía drásticamente a medida que los datos desaparecían, SCOPE se mantuvo estable. Incluso con la mitad de la evidencia perdida, mantuvo una puntuación de reconstrucción de aproximadamente 0.57, que sigue siendo superior al mejor puntaje logrado por cualquier otro método cuando todos los datos estaban presentes. Esto sugiere que la capacidad del sistema para razonar sobre la incertidumbre y vincular las piezas de evidencia supervivientes lo hace mucho más resiliente a la pérdida de datos en el mundo real.

El sistema también demostró una capacidad para reconocer combinaciones de ataques novedosas. En ciberseguridad, los atacantes suelen tomar herramientas conocidas y utilizarlas de nuevas maneras. Los sistemas tradicionales suelen fallar aquí porque están entrenados solo en secuencias específicas y conocidas. SCOPE, sin embargo, no depende de memorizar secuencias específicas. En su lugar, comprende la compatibilidad de diferentes pasos de ataque. En las pruebas, reconstruyó con éxito cadenas coherentes de técnicas conocidas que nunca habían aparecido juntas en los datos de entrenamiento. Logró una tasa de "coherencia-novedad" de 0.83, lo que significa que pudo identificar y vincular correctamente estas nuevas combinaciones en el 83% de los casos en que ocurrieron. Esto indica que el sistema puede generalizar su conocimiento a amenazas no vistas, siempre que los componentes individuales sean familiares.

Una elección de diseño clave en SCOPE es cómo utiliza la inteligencia artificial. Los investigadores utilizaron un modelo de lenguaje extenso, un tipo de IA capaz de entender el lenguaje natural, pero solo para una tarea específica: describir los grupos de comportamiento en texto plano. El modelo no toma las decisiones finales sobre qué es el ataque o cómo encajan las piezas. Esas decisiones son tomadas por un proceso matemático determinista que califica las conexiones entre los pasos. Esta separación asegura que el sistema no "alucine" o invente detalles que no estén respaldados por los datos. El modelo de lenguaje actúa solo como un traductor, convirtiendo los registros informáticos brutos en una descripción que el sistema de calificación pueda entender, mientras que el sistema de calificación permanece como el juez estricto de la cadena final.

Los investigadores reconocen que su trabajo se basa en un conjunto de datos controlado y que los entornos empresariales del mundo real son mucho más complejos. Señalan que su sistema no es un reemplazo para los disparadores de detección de bajo nivel, sino más bien una herramienta para dar sentido a los datos que esos disparadores producen. El sistema está diseñado para trabajar con la naturaleza incompleta y ruidosa de los registros reales, ofreciendo una forma de recuperar la narrativa de un ataque incluso cuando la evidencia está fragmentada. Al tratar el análisis de ataques como un problema de razonamiento bajo la incertidumbre en lugar de una simple coincidencia de patrones, los investigadores han creado un marco que es más robusto ante los trucos que usan los atacantes para ocultar sus huellas. Los resultados sugieren que el futuro del análisis de ataques puede no residir en encontrar más datos, sino en razonar más eficazmente con los datos que permanecen.