VulnGym es una nueva herramienta de investigación en ciberseguridad que emplea aprendizaje por refuerzo para simular atacantes de amenazas persistentes avanzadas (APT) entrenados con IA. El objetivo de esta plataforma es permitir que los equipos de seguridad evalúen si sus estrategias de priorización de parches son efectivas contra ataques realistas de múltiples etapas, yendo más allá de la simple reducción del número de vulnerabilidades (CVE) sin corregir.

Una nueva herramienta de investigación de ciberseguridad llamada VulnGym utiliza el aprendizaje por refuerzo para simular atacantes de amenazas persistentes avanzadas (APT) entrenados con IA que tienen como objetivo los programas de parcheo empresariales.

Esta plataforma permite que los equipos de seguridad evalúen si sus estrategias de priorización de vulnerabilidades pueden contrarrestar eficazmente ataques realistas de múltiples etapas, en lugar de simplemente reducir el número de Vulnerabilidades y Exposiciones Comunes (CVE) sin parchear.

VulnGym fue creada para solucionar una deficiencia significativa en la gestión tradicional de vulnerabilidades. A menudo, los defensores empresariales priorizan las vulnerabilidades basándose en la gravedad del CVSS, las puntuaciones de predicción de exploits o el estado de explotación conocido.

Aunque estas métricas son útiles, tienden a evaluar las vulnerabilidades de forma aislada. Es posible que no demuestren adecuadamente cómo un atacante puede explotar múltiples debilidades de menor prioridad para acceder a sistemas críticos.

El marco de trabajo simula una red empresarial dinámica y compartida donde operan tanto atacantes como defensores a lo largo del tiempo. La red simulada incluye sistemas externos, servicios de DMZ, infraestructura interna y entornos de bases de datos.

Cada activo dentro de la red tiene atributos específicos, como los productos instalados, los CVE conocidos, la importancia para el negocio, la centralidad de la red y su estado de compromiso actual.

VulnGym utiliza atacantes APT de IA para probar parches

El atacante de VulnGym está entrenado mediante Deep Q-Learning. Esta técnica de aprendizaje por refuerzo determina qué acciones producirán el mayor impacto operativo.

Este agente puede escanear hosts, explotar vulnerabilidades, robar credenciales, establecer persistencia, escalar privilegios, moverse lateralmente, exfiltrar datos, lanzar ataques de denegación de servicio y desplegar acciones destructivas de borrado (wiper).

Su comportamiento se basa en perfiles reales de inteligencia de amenazas y en las capacidades de exploit asociadas a grupos APT conocidos. En la evaluación de los investigadores, la plataforma modeló ataques de APT41 para la exfiltración de datos y operaciones wiper, y de APT28 para campañas de denegación de servicio.

Los atacantes fueron entrenados por separado tanto en redes empresariales estratificadas como en redes de estilo árbol, incorporando vulnerabilidades del mundo real provenientes de la National Vulnerability Database.

Además, los atacantes tenían la opción de utilizar el acceso interno obtenido a través de phishing, reflejando un método de acceso inicial común que puede eludir las estrategias de parcheo centradas en el perímetro.

Los defensores operan bajo un presupuesto de remediación restringido, adhiriéndose a reglas de parcheo configurables. Las políticas probadas incluyeron la priorización basada en la gravedad, la priorización basada en la importancia del activo y la priorización basada en la centralidad de la red.

VulnGym también considera las realidades operativas: las vulnerabilidades se divulgan con el tiempo, los defensores descubren periódicamente nuevos fallos, los parches tardan tiempo en desplegarse y los retrasos en la remediación pueden acumularse.

Los resultados revelaron que priorizar las vulnerabilidades basándose en la importancia de los activos afectados fue generalmente más efectivo que priorizar únicamente por la gravedad del CVSS.

Según un informe de varias universidades, en un escenario de red estratificada, el parcheo basado en la importancia redujo la tasa de éxito de los ataques de APT41 del 100% a solo el 3%, mientras que el parcheo basado en la gravedad todavía permitió que los atacantes tuvieran éxito en el 83% de las simulaciones.

Estos hallazgos resaltan que el parcheo rápido por sí solo es insuficiente. Un programa podría reducir su lista de tareas pendientes de remediación y, aun así, dejar expuestas las rutas de ataque más probables para acceder a bases de datos sensibles o sistemas críticos.

En consecuencia, VulnGym evalúa no solo el tiempo empleado en parchear y el tamaño del retraso, sino también la tasa de éxito del atacante, el porcentaje de nodos comprometidos y el tiempo necesario para que un atacante logre su objetivo.

Para los equipos de seguridad empresarial, VulnGym ofrece una forma de validar las decisiones de parcheo frente a rutas de ataque informadas por amenazas. La investigación sugiere que las estrategias de remediación deben integrar los datos de vulnerabilidades con la criticidad de los activos, la topología de la red, el comportamiento del adversario y las capacidades operativas realistas.

Fuentes: