Investigadores de Microsoft han demostrado que la inteligencia artificial es capaz de generar telemetría de ataques que imita con precisión el comportamiento de intrusiones reales. Gracias a los modelos de lenguaje extensos (LLM), ahora es posible crear líneas de comandos y árboles de procesos realistas, lo que permite a los equipos de seguridad probar y mejorar sus defensas sin tener que esperar a un ataque humano real.

La inteligencia artificial ahora es capaz de generar telemetría de ataques que se ve y se comporta como si fuera real, y eso está cambiando la forma en que los equipos de seguridad piensan sobre las pruebas de sus defensas.

En un nuevo trabajo, investigadores de Microsoft muestran que los modelos de lenguaje extensos pueden crear líneas de comando y árboles de procesos realistas que imitan estrechamente las intrusiones operadas por humanos. En lugar de esperar a incidentes reales poco comunes, los defensores ahora pueden inundar sus propios entornos con ataques sintéticos convincentes para poner a prueba la lógica de detección a escala.

Este cambio ocurre en un momento en que las organizaciones están saturadas de registros, pero aún luchan por validar si sus alertas realmente detectarían a un atacante experto. Los métodos de prueba tradicionales dependen de un conjunto limitado de scripts, incidentes reproducidos o casos de prueba creados a mano que rara vez capturan la creatividad de los actores de amenazas modernos.

La telemetría sintética generativa por IA ofrece una forma de simular comportamientos riesgosos de manera segura sin exponer los sistemas de producción a malware real.

Según los investigadores de Microsoft, el proyecto se centra en entrenar modelos que comprendan cómo se desarrollan los ataques reales a través de líneas de comando, procesos y relaciones padre-hijo.

Al aprender de telemetría seleccionada y ejercicios de equipos rojos (red teams), el modelo puede proponer nuevas secuencias de comandos que resulten plausibles, coherentes y conscientes del contexto dentro de un entorno específico.

La IA puede generar líneas de comando realistas

El resultado es un flujo de datos de prueba que pone a prueba las detecciones existentes de maneras mucho más diversas y realistas de lo que la mayoría de los enfoques manuales pueden gestionar.

Para los equipos de seguridad, el impacto es doble. Primero, obtienen una forma repetible de evaluar la analítica antes de que un atacante aparezca en sus registros. Segundo, pueden usar los mismos escenarios sintéticos para entrenar analistas, ajustar los flujos de trabajo de triaje y comprender cómo los cambios en el registro o la configuración afectan la visibilidad con el tiempo.

En el núcleo de este trabajo se encuentra el uso de modelos generativos para crear comandos que coincidan con la forma en que se comportan las herramientas y los sistemas operativos reales, en lugar de cadenas aleatorias que solo parecen sospechosas sobre el papel.

El sistema considera aspectos como el orden de los argumentos, los patrones administrativos comunes y cómo un comando conduce naturalmente a otro durante el movimiento lateral o el robo de credenciales. Esto convierte la salida bruta del modelo en secuencias ejecutables que los defensores pueden reproducir de forma segura en entornos de laboratorio o de prueba.

La investigación también explora la construcción de árboles de procesos desde cero para que cada comando sintético esté vinculado a su padre e hijo de manera realista. Esto es importante porque muchas detecciones avanzadas dependen de relaciones de procesos inusuales en lugar de líneas de registro individuales vistas de forma aislada. Al reflejar estas relaciones, la telemetría generada por IA se convierte en un sustituto mucho mejor del comportamiento real de un atacante.

Es importante destacar que el equipo resalta la existencia de medidas de seguridad para evitar el abuso de esta tecnología. Los modelos se entrenan y utilizan dentro de entornos controlados, con el acceso limitado a escenarios de ingeniería de seguridad en lugar de interfaces públicas. El objetivo es ayudar a los defensores a practicar contra patrones de ataque creíbles, no entregar manuales ya elaborados a los actores de amenazas.

Qué significa esto para los defensores

Una de las principales promesas de este enfoque son ciclos de ingeniería de detección más rápidos y fiables. En lugar de escribir una regla, esperar semanas para ver si alguna vez se activa y luego adivinar por qué permaneció silenciosa, los ingenieros pueden bombardear inmediatamente su SIEM, plataforma de endpoints o lago de datos con ataques sintéticos que sigan cadenas de exterminio (kill chains) realistas. Esto acorta los bucles de retroalimentación y ayuda a los equipos a comprender qué analíticas realmente añaden cobertura y cuáles solo se ven bien en la documentación.

Los investigadores de Microsoft recomiendan que las organizaciones comiencen integrando registros sintéticos en entornos aislados, donde el contenido de detección pueda iterarse rápidamente sin riesgo de generar ruido en producción. Con el tiempo, los equipos pueden programar “ejercicios de ataque” controlados utilizando secuencias de comandos generadas por IA que se ejecuten junto al tráfico normal, todo ello etiquetado como actividad de prueba para un análisis seguro.

También subrayan la importancia de combinar estas pruebas con métricas de éxito claras, como el tiempo de detección, la fidelidad de la alerta y el número de pasos manuales que los analistas deben dar para confirmar un hallazgo.

Otra recomendación clave es actualizar continuamente los datos de entrenamiento y los escenarios para que la telemetría sintética evolucione con las nuevas técnicas. A medida que los adversarios adopten nuevas tácticas o apunten a nuevos servicios, los defensores deben incorporar esos patrones en los datos utilizados para guiar la generación. Esto ayuda a asegurar que los modelos no se queden estancados reproduciendo estilos de ataque obsoletos que ya no reflejan las amenazas actuales.

La investigación señala que los datos sintéticos realistas también pueden beneficiar a las organizaciones que carecen de grandes volúmenes de incidentes históricos. Los equipos más pequeños, o aquellos que están al principio de su camino en seguridad, pueden construir y validar detecciones contra una amplia gama de comportamientos de ataque sin tener que esperar a que ocurran brechas reales.

Combinadas con la inteligencia de amenazas existente y el red teaming, las líneas de comando y la telemetría de procesos generadas por IA se convierten en otra herramienta que equilibra el campo de juego para los defensores.

Como ocurre con cualquier técnica nueva y poderosa, los beneficios vienen con responsabilidad. Los autores enfatizan una gobernanza fuerte sobre quién puede generar y ejecutar ataques sintéticos, dónde pueden ejecutarse y cómo se etiquetan y almacenan los datos resultantes. Manejada con cuidado, la asistencia de la IA en la ingeniería de detección ofrece una forma de convertir la complejidad de los registros modernos en una ventaja en lugar de una carga.

Fuentes:
https://cybersecuritynews.com/microsoft-research-shows-ai-can-generate-realistic/