Atalaya: desarrollo de un asistente para re-valorizar veredictos de sandbox para la priorización de incidentes en un SOC
Year: 2026
Type: dissertation
Abstract: Los centros de operaciones de seguridad (SOC) afrontan una sobrecarga estructural de alertas: los analistas dedican la mayor parte de su jornada a descartar ruido en lugar de investigar amenazas reales. El sandbox dinámico CAPEv2, referencia en el análisis de malware, agrava el problema de priorización porque emite una puntuación de maliciosidad (malscore, 0-10) que satura: sobre los 48.976 informes reales del dataset Avast-CTU, el 56,28 % alcanza el valor máximo (10,0), de modo que familias con perfiles operativos muy distintos quedan empatadas en «urgencia máxima» y la cola se vuelve inoperable para priorizar. Este trabajo diseña, implementa y evalúa Atalaya, un asistente de triaje post-sandbox que no reemplaza a CAPE, sino que re-valora su veredicto con señales independientes del malscore. El sistema encadena, tras un parser multi-esquema de informes CAPE, cuatro etapas de decisión auditables: un motor de severidad intrínseca determinista (tipo de amenaza, firmas CAPE, técnicas MITRE ATT&CK y una lista de notoriedad basada en advisories CISA), un detector de anomalía conductual (IsolationForest sobre 14 features), un corrector de falsos positivos y una fusión multiplicativa de urgencia (0-10). Genera una ficha SecOps accionable mediante síntesis dual: plantilla determinista por defecto y modelo de lenguaje local (Ollama) opcional, con degradación automática. Un principio anti-leakage verificado por contrato garantiza que ningún componente emplee el malscore para decidir. Sobre el dataset completo, el sistema reduce el bloque crítico del 60,9 % (que resultaría de bucketizar el malscore) al 0,74 % (364 casos): un factor 82 veces menor de carga crítica, con cada posición justificada componente a componente. Una validación cualitativa de 64 casos (57 coherentes, 7 con salvedades, 0 absurdos) y un análisis de sensibilidad (correlación de Spearman ≥ 0,9887 bajo perturbaciones de ±25 % en todas las constantes) respaldan la robustez del orden propuesto. La aportación principal es una priorización explicable y trazable que respeta el trabajo del sandbox en lugar de duplicarlo. Security Operations Centers (SOCs) face a structural alert overload: analysts spend most of their shift discarding noise instead of investigating real threats. CAPEv2, a reference dynamic sandbox for malware analysis, worsens the prioritization problem because it emits a maliciousness score (malscore, 0-10) that saturates: across the 48,976 real reports of the Avast-CTU dataset, 56.28% reach the maximum value (10.0), so families with very different operational profiles end up tied at "maximum urgency" and the queue becomes useless for prioritization. This work designs, implements and evaluates Atalaya, a post-sandbox triage assistant that does not replace CAPE but re-assesses its verdict with signals independent of the malscore. After a multi-schema parser for CAPE reports, the system chains four auditable decision stages (a deterministic intrinsic-severity engine covering threat type, CAPE signatures, MITRE ATT&CK techniques and a notoriety list based on CISA advisories; a behavioral anomaly detector, IsolationForest over 14 features; a false-positive corrector; and a multiplicative urgency fusion, 0-10) and produces an actionable SecOps summary card through dual synthesis: a deterministic template by default and an optional local language model (Ollama) with automatic fallback. A contract-verified anti-leakage principle guarantees that no component uses the malscore to decide. Over the full dataset, the system shrinks the critical block from 60.9% (which would result from bucketizing the malscore) down to 0.74% (364 cases): an 82-fold reduction in critical load, with every position justified component by component. A qualitative validation of 64 cases (57 consistent, 7 with caveats, 0 absurd) and a sensitivity analysis (Spearman correlation ≥ 0.9887 under ±25% perturbations of every constant) support the robustness of the proposed ordering. The main contribution is an explainable, traceable prioritization that respects the sandbox's work instead of duplicating it.
Author: Diego Benítez, Iván de
Language: Spanish
Subfield: Software
Field: Computer Science
Domain: Physical Sciences
Open Access status: green
OpenAlex ID: W7221287037