🧬 biología

A Two-Population Delayed Evolutionary Game with Bayesian Learning for Cyber Defense

Este artículo propone un modelo de juego evolutivo con retraso de dos poblaciones que incorpora el aprendizaje bayesiano para analizar cómo los retrasos en la detección y remediación, la cobertura de los sensores y las velocidades de aprendizaje interactúan para inducir bifurcaciones de Hopf y ciclos recurrentes de ciberataques, con una calibración empírica en el conjunto de datos GUIDE de Microsoft que demuestra que la telemetría combinada y los retrasos moderados en la remediación pueden extender significativamente el umbral del retraso de detección admisible.

Autores originales: Sina Keyhanian

Publicado 2026-10-16

📖 6 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Sina Keyhanian

Artículo original bajo licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ⚕️ Esta es una explicación generada por IA de un preprint que no ha sido revisado por pares. No es consejo médico. No tome decisiones de salud basándose en este contenido. Leer descargo de responsabilidad completo

En el mundo de alto riesgo de la ciberseguridad, el tiempo es la moneda más valiosa, pero también la más elusiva. Los defensores operan bajo una presión constante para detectar intrusiones y responder antes de que se produzcan daños, pero la realidad de los ciberataques modernos está definida por un retraso frustrante. Los atacantes, que a menudo trabajan como grupos sofisticados y persistentes, pueden esconderse dentro de una red durante meses, moviéndose de forma lenta y silenciosa. Mientras tanto, los propios sistemas de los defensores suelen estar obstruidos por falsas alarmas y abrumados por el enorme volumen de datos que deben filtrar. Esto crea una brecha peligrosa entre cuando ocurre un ataque y cuando los defensores finalmente comprenden lo que está pasando y pueden actuar para detenerlo. Durante décadas, los científicos de la computación han intentado modelar este juego del gato y el ratón utilizando las matemáticas, pero muchos de estos modelos asumían que ambos bandos podían reaccionar instantáneamente, como si el tiempo no existiera. Esta suposición ignoraba la realidad desordenada y lenta de cómo la información realmente viaja a través de un equipo de seguridad y cómo los atacantes adaptan sus tácticas a lo largo de días o semanas.

Un nuevo estudio de Sina Keyhanian desafía esta visión simplificada construyendo un modelo más realista del conflicto cibernético. En lugar de asumir reacciones instantáneas, la investigación trata la batalla como una lucha evolutiva de movimiento lento entre dos poblaciones: los defensores, que deben decidir si buscan activamente amenazas o monitorean pasivamente sus sistemas, y los atacantes, que eligen entre tácticas agresivas y rápidas o tácticas sigilosas y de combustión lenta. El núcleo del modelo se centra en el retraso de la información. Los defensores no ven a los atacantes directamente; solo ven un flujo de alertas que llegan tarde y que a menudo son ruidosas. Para dar sentido a esto, los defensores utilizan un filtro matemático, una especie de proceso de promediado inteligente, para adivinar qué están haciendo los atacantes. El estudio introduce dos tipos específicos de retrasos en este sistema: el tiempo que se tarda en detectar una intrusión y el tiempo que se tarda en solucionar el problema una vez encontrado. Al ejecutar simulaciones complejas que tienen en cuenta estos desfases, los investigadores descubrieron que el sistema se comporta de manera muy diferente a como se pensaba anteriormente.

El hallazgo más significativo es que existe un punto de inflexión preciso para determinar cuánto tiempo puede permitirse esperar un defensor antes de que su respuesta se vuelva inestable. Si el retraso en la detección de un ataque se mantiene por debajo de cierto límite, los defensores y los atacantes se asientan en un equilibrio predecible. Sin embargo, una vez que el retraso cruza ese umbral, el sistema no solo empeora ligeramente; comienza a oscilar salvajemente. Los defensores, reaccionando a información desactualizada, se sobrecometen a la búsqueda agresiva, lo que obstruye sus propios sistemas con falsas alarmas y fatiga. Esto los obliga a retroceder, dejando la red vulnerable justo cuando los atacantes, al ver la debilidad, lanzan una nueva ola de agresión. Este ciclo se repite, creando un patrón recurrente de brechas y respuestas frenéticas que nunca llega a resolverse. La investigación demuestra que esta inestabilidad no es un error aleatorio, sino una certeza matemática que ocurre cuando el desfase de tiempo es demasiado largo en relación con la velocidad con la que los defensores pueden aprender.

Crucialmente, el estudio muestra que intentar detectar ataques más rápido no siempre es suficiente para salvar el día. Los investigadores descubrieron que si los atacantes son altamente adaptables y los defensores son lentos para aprender de los datos, ninguna cantidad de velocidad en la detección puede evitar que el sistema colapse en el caos. Existe una velocidad mínima a la cual los defensoores deben ser capaces de procesar la información y actualizar sus creencias sobre el enemigo. Si caen por debajo de esta velocidad, la defensa está destinada al fracaso independientemente de qué tan rápido detecten la brecha inicial. Esto sugiere que invertir en mejores sensores o sistemas de alerta más rápidos es solo la mitad de la batalla; la capacidad de aprender y adaptarse rápidamente es igualmente crítica. El modelo también revela una interacción sorprendente entre los dos tipos de retrasos. Mientras que uno podría asumir que tener un retraso en la detección y un retraso en la solución del problema simplemente se sumarían para empeorar las cosas, el estudio muestra que un retraso moderado en la resolución del problema puede en realidad ayudar a estabilizar el sistema, permitiendo un retraso de detección ligeramente más largo sin causar un colapso.

Para asegurar que estos hallazgos no fueran solo teóricos, los investigadores probaron su modelo contra datos del mundo real. Analizaron más de 300,000 incidentes de seguridad de un gran conjunto de datos proporcionado por Microsoft, que incluía registros de cómo los analistas clasificaban y calificaban las alertas. También examinaron registros de mesas de ayuda de TI para entender cuánto tiempo toma realmente resolver los problemas. Los datos confirmaron que una sola organización aprende sobre el comportamiento del atacante a una tasa de aproximadamente 0,07 veces por día, lo que significa que le toma alrededor de dos semanas ajustar completamente su estrategia. Sin embargo, cuando múltiples organizaciones comparten sus datos, esta velocidad de aprendizaje salta a unas tres veces por día, una mejora masiva que extiende significativamente el tiempo que los defensores pueden tolerar antes de que su sistema se vuelva inestable. A pesar de esta mejora, el estudio encontró que incluso con el intercambio de datos, el tiempo típico en que un atacante permanece en una red —a menudo alrededor de 14 días— sigue siendo más largo de lo que el sistema puede manejar de forma segura.

La investigación también analizó el tiempo que se tarda en solucionar los problemas, conocido como remediación. Al analizar los registros de resoluciones de incidentes reales, el equipo encontró que, si bien muchos problemas se resuelven rápidamente, un pequeño número de problemas complejos tarda semanas o incluso meses en resolverse. Esta "cola larga" de resoluciones lentas es lo que realmente amenaza la estabilidad de la defensa. El sistema es más vulnerable no cuando el promedio de resolución tarda demasiado, sino cuando estos casos raros y difíciles se acumulan y crean un rezago. El estudio concluye que los equipos de seguridad no deben ver su desempeño como un único objetivo, como el "tiempo medio de respuesta", sino como un presupuesto conjunto de tres factores interconectados: qué tan rápido pueden aprender, qué tan rápido pueden detectar y qué tan rápido pueden remediar. Si cualquiera de estos retrasos se queda demasiado atrás de los demás, todo el mecanismo de defensa corre el riesgo de caer en un ciclo de falla. El trabajo proporciona una advertencia matemática clara de que, en el panorama cibernético moderno, la velocidad de aprendizaje es tan vital como la velocidad de reacción y que, sin un enfoque equilibrado, los retrasos naturales del sistema eventualmente conducirán a brechas recurrentes e inevitables.

Resumen Técnico: Un juego evolutivo de dos poblaciones con retraso y aprendizaje bayesiano para la defensa cibernética

Planteamiento del problema
Las Amenazas Persistentes Avanzadas (APT) explotan fundamentalmente la asimetría temporal entre la velocidad del atacante y la latencia del defensor. Mientras que los atacantes comprimen sus cronogramas operativos (por ejemplo, pasando del acceso inicial al movimiento lateral en segundos), los defensores enfrentan retrasos prolongados en la detección (mediana de tiempo de permanencia de 14 días) y la remediación. Los marcos matemáticos existentes para la defensa cibernética suelen basarse en juegos de movimientos simultáneos estáticos que asumen pagos instantáneos o tratan a los atacantes como compartimentos no estratégicos en modelos epidémicos. Estos enfoques no logran capturar la dinámica acoplada de adaptación estratégica, información incompleta y los retrasos operativos específicos inherentes a los Centros de Operaciones de Seguridad (SOC), tales como la latencia de detección y el desfase de remediación.

Metodología
El artículo formula un juego evolutivo de dos poblaciones acoplado con un mecanismo de filtrado bayesiano y ecuaciones diferenciales de retardo (DDE).

Estructura del juego:
- Defensores: Una población de subsistemas que eligen entre Caza Proactiva ( $x$ ) y Monitoreo Pasivo.
- Atacantes: Una población de campañas de intrusión que eligen entre tácticas Agresivas ( $y$ ) y Sigilosas.
- Pagos (Payoffs): Los defensores ganan al interceptar campañas agresivas, pero incurren en costos por la fricción de la caza y la congestión de analistas (una externalidad a nivel de población que depende de los niveles previos de caza). Los atacantes ganan tempo mediante la agresión, pero corren el riesgo de ser interceptados.
Información y Filtrado:
- Los defensores no observan directamente la mezcla de atacantes ( $y$ ). En su lugar, observan un flujo de alertas de Poisson ruidoso y retrasado.
- Un filtro de Kalman–Bucy (en su límite de campo medio) procesa este flujo para generar una creencia posterior ( $p$ ) sobre la mezcla de atacantes.
- La ganancia del filtro ( $\kappa$ ) representa la velocidad de aprendizaje, determinada por la cobertura de los sensores y la discriminabilidad de las alertas.
Dinámicas:
- El sistema está gobernado por tres ecuaciones acopladas: dos ecuaciones de replicador para las poblaciones ( $x$ e $y$ ) y una ecuación de creencia para el filtro ( $p$ ).
- Retrasos: El modelo incorpora explícitamente un retraso de detección ( $\tau_d$ ) en el canal de información y un retraso de remediación ( $\tau_r$ ) en el bucle de retroalimentación de congestión.

Contribuciones Clave
El artículo proporciona las siguientes contribuciones teóricas y empíricas:

Umbrales de Estabilidad de Forma Cerrada: El autor deriva un umbral de retraso de detección de forma cerrada, $\tau^*_d(\kappa)$ , para el sistema acoplado. Demuestra que si la velocidad de aprendizaje $\kappa$ es inferior a un mínimo crítico ( $\kappa_{min}$ ), el sistema es inestable independientemente de cuán pequeño sea el retraso de detección.
Análisis de Bifurcación de Hopf: El artículo demuestra que el equilibrio de Nash interior experimenta una bifurcación de Hopf supercrítica cuando los retrasos exceden el umbral. Esto conduce a ciclos recurrentes y autosustentados de estrategias atacante-defensor (ondas de brecha) en lugar de una divergencia caótica. La dirección de la bifurcación se confirma mediante el primer coeficiente de Lyapunov.
Interacción de Retrasos No Aditiva: A diferencia de los modelos de una sola población donde los retrasos suelen ser aditivos, este estudio muestra que los retrasos de detección y remediación interactúan de forma no aditiva. Un retraso de remediación moderado puede, paradójicamente, ampliar el retraso de detección admisible, y la adaptación del atacante reduce el presupuesto de remediación en aproximadamente un 29% en comparación con un punto de referencia de atacante congelado.
Calibración Semiempírica:
- Velocidad de Aprendizaje ( $\kappa$ ): Calibrada utilizando 303,220 incidentes del conjunto de datos GUIDE de Microsoft. Los resultados muestran que una organización individual aprende a $\approx 0.07$ por día, mientras que la telemetría agrupada entre organizaciones aumenta esto a $\approx 3$ por día.
- Retraso de Remediación ( $\tau_r$ ): Calibrado utilizando registros de Gestión de Servicios de TI (ServiceNow, BPIC 2013). El tiempo de relajación de la congestión se estima en 3–6 días, con tiempos de resolución que exhiben colas pesadas.

Resultados

Límites de Estabilidad: Para una organización individual con telemetría agrupada, el retraso de detección admisible aumenta por un factor de 1.3–2.4 en comparación con una organización individual sin agrupación. Sin embargo, incluso con la agrupación, el modelo sugiere que la mediana global de tiempo de permanencia para 2025 (14 días) a menudo excede el umbral de estabilidad, particularmente cuando la adaptatividad del atacante es alta.
Ralentización Crítica: A medida que el sistema se acerca al punto de bifurcación, exhibe una "ralentización crítica", caracterizada por un aumento en la varianza y la autocorrelación en la participación de la caza. Esto sirve como una señal de alerta temprana potencial para los operadores de SOC.
Cuello de Botella de la Remediación: El análisis indica que los retrasos de remediación, impulsados por la cola pesada de los tiempos de resolución de incidentes, operan a menudo cerca del límite de estabilidad. El caso "típico" (mediana) es menos crítico para la estabilidad que la "cola larga" de las resoluciones lentas.
Límite del Atacante Congelado: El umbral clásico para la dinámica de replicador con retraso ( $\pi / (2\beta x^*(1-x^*)$ ) solo se recupera en el límite donde los atacantes no se adaptan ( $g=\delta=0$ ).

Significado y Reclamaciones
El artículo afirma suministrar un modelo donde un filtro bayesiano de una población de atacantes que se adapta estratégicamente alimenta la aptitud (fitness) del defensor mediante retrasos de información explícitos, siendo la estabilidad determinada por el acoplamiento de estos elementos en lugar de un único retraso agregado.

El autor argumenta que los resultados proporcionan reglas de diseño cuantitativas para los SOC:

Presupuestos de Latencia: Las estrategias de defensa deben operar dentro de un presupuesto de latencia específico ( $\tau_d < \tau^*_d$ ) para evitar ciclos de brechas autosustentados.
Velocidad Mínima de Aprendizaje: Existe un piso duro para la velocidad de aprendizaje ( $\kappa_{min}$ ); si los defensores no pueden aprender lo suficientemente rápido, reducir el retraso de detección por sí solo no puede estabilizar el sistema.
Gestión Conjunta: El desempeño del SOC debe gestionarse como un presupuesto conjunto sobre la velocidad de aprendizaje, el retraso de detección y el retraso de remediación, en lugar que como una única métrica de "tiempo medio de respuesta".

El estudio concluye que, si bien el intercambio de información (agrupación de telemetría) mejora significativamente la tolerancia al retraso, tiene rendimientos decrecientes (saturación en el límite de aprendizaje instantáneo) y no puede compensar totalmente la inestabilidad estructural introducida por las largas colas de remediación y la alta adaptatividad del atacante.

Más como este