DROMEON Malware Intelligence: arquitectura para inteligencia y análisis defensivo de malware

Problema

La información relacionada con malware se encuentra distribuida entre múltiples fuentes y representada de formas diferentes. Una misma amenaza puede relacionarse con muestras, hashes, dominios, direcciones IP, URLs, familias, campañas, técnicas y comportamientos distintos.

Mantener únicamente una lista de nombres de malware aporta un valor defensivo limitado. Esta investigación estudia cómo transformar información dispersa sobre amenazas en conocimiento estructurado que pueda utilizarse posteriormente para análisis, correlación y detección.

Objetivo

Diseñar una arquitectura de Malware Intelligence capaz de recopilar, normalizar, correlacionar y relacionar información procedente de diferentes fuentes para construir conocimiento defensivo sobre malware y sus comportamientos.

• Normalizar información procedente de diferentes fuentes.
• Clasificar familias y tipos de malware.
• Registrar indicadores de compromiso.
• Relacionar muestras, comportamientos y técnicas.
• Conservar la procedencia y el contexto de los datos.
• Facilitar la correlación entre indicadores.
• Preparar información utilizable por futuras capacidades defensivas de DROMEON.

Metodología

La investigación parte de un flujo de trabajo basado en la recopilación, normalización, enriquecimiento y correlación de información de amenazas.

Cada dato deberá conservar información sobre su procedencia, contexto y momento de observación. El modelo no asumirá que un indicador continúa siendo malicioso indefinidamente únicamente porque haya sido observado previamente.

Como referencia para la clasificación de comportamientos adversarios se estudiará MITRE ATT&CK, permitiendo relacionar observaciones técnicas con tácticas y técnicas conocidas.

Arquitectura conceptual

La arquitectura propuesta sigue un proceso de recopilación, normalización, enriquecimiento, correlación y análisis. Cada etapa transforma información dispersa en datos estructurados que posteriormente pueden utilizarse para contextualizar amenazas y apoyar capacidades defensivas.

Fuentes de inteligencia
        ↓
      Ingesta
        ↓
  Normalización
        ↓
 Enriquecimiento
        ↓
  Correlación
        ↓
     Análisis
        ↓
Conocimiento defensivo

Modelo de conocimiento

El modelo de información se diseñará para representar diferentes entidades relacionadas con una amenaza y evitar que la inteligencia quede reducida a una colección aislada de indicadores.

• Familia de malware
• Muestra
• Hash
• Dominio
• Dirección IP
• URL
• Campaña
• Comportamiento
• Técnica MITRE ATT&CK
• Indicador
• Fuente
• Primera y última observación
• Nivel de confianza

Análisis controlado

Una fase futura de esta investigación contempla estudiar muestras únicamente dentro de entornos aislados y controlados, con el objetivo de observar características y comportamientos relevantes para la defensa.

Integración futura con DROMEON

Esta investigación está relacionada con DROMEON, actualmente en desarrollo. Los resultados obtenidos podrán servir como base de conocimiento para estudiar futuras capacidades defensivas dentro del proyecto.

• Enriquecimiento de eventos.
• Correlación de indicadores.
• Clasificación de amenazas.
• Contextualización de alertas.
• Detección basada en comportamiento.
• Investigación de incidentes.
• Apoyo al análisis SOC.

Avance actual

La investigación se encuentra actualmente en la etapa de definición de arquitectura, modelo de datos y fuentes de inteligencia. Se están estudiando las entidades y relaciones necesarias para transformar información dispersa sobre malware en conocimiento defensivo estructurado.

• Definición del modelo conceptual.
• Identificación de fuentes de inteligencia.
• Diseño del pipeline de normalización.
• Definición de relaciones entre indicadores y amenazas.
• Evaluación de MITRE ATT&CK como marco de clasificación.
• Diseño conceptual de integración futura con DROMEON.

Hallazgos preliminares

En esta etapa todavía no se presentan conclusiones definitivas. Uno de los primeros puntos identificados es que una arquitectura de Malware Intelligence no debe limitarse a almacenar muestras o indicadores de forma aislada: necesita conservar relaciones, contexto, procedencia y nivel de confianza para que la información resulte útil en procesos defensivos.

Próximos pasos

1. 1Diseñar el modelo de datos.
2. 2Definir criterios de confianza y procedencia.
3. 3Evaluar fuentes públicas y autorizadas de inteligencia.
4. 4Diseñar el pipeline de normalización.
5. 5Definir el mapeo con MITRE ATT&CK.
6. 6Diseñar el laboratorio aislado para análisis.
7. 7Investigar la extracción segura de indicadores.
8. 8Diseñar mecanismos de correlación.
9. 9Estudiar la integración futura con Detection Engineering y DROMEON.