1. Relevancia de los modelos ligeros en la seguridad informática

En los entornos de operaciones de seguridad (SOC), la viabilidad de ejecutar modelos de lenguaje grandes (LLM) que requieren aceleración por hardware de alto rendimiento, como múltiples GPUs, es limitada. Phi-3-mini-4k-instruct surge como una atlernativa eficiente: con solo 3.8 mil millones de parámetros y un tamaño reducido a aproximadamente 2.2 GB tras la cuantización, puede operar en estaciones de trabajo convencionales o dispositivos perimetrales. Su capacidad destacada no radica únicamente en su tamaño, sino en su rendimiento en razonamiento lógico, comprensión de código y generación de datos estructurados, competencias esenciales para el análisis de tráfico de red y la agregación de eventos de seguridad.

2. Detección de amenazas: Reducción de ruido y correlación de alertas

2.1 Priorización de alertas

Al procesar volúmenes masivos de alertas generadas por sistemas como Suricata, Phi-3-mini actúa como un filtro inteligente. Evaluando los campos de las alertas, determina la probabilidad de que representen una amenaza real.

Ejemplo de alerta de entrada:

[**] [1:2409999:2] ET POLICY Suspicious outbound to port 8080 [**]
[Classification: Potential Corporate Privacy Violation] [Priority: 2] 
10/22/2024-09:12:45.654321 10.0.1.55:44322 -> 172.16.5.9:8080
TCP TTL:128 TOS:0x0 ID:98765 IpLen:20 DgmLen:64 DF

Salida generada por el modelo:

Alta confianza (89%): Amenaza real. El host interno 10.0.1.55 intentó conectarse al puerto 8080 en 172.16.5.9. El puerto de origen no estándar y la falta de reputación del destino sugieren comunicación C2. Aislar host de origen inmediatamente.

El modelo evalúa la coherencia de los puertos, la reputación de las IPs y los patrones de tiempo, reduciendo significativamente las tasas de falsos positivos en comparación con los motores basados en firmas estáticas.

2.2 Correlación de múltiples fuentes de registro

Las amenazas avanzadas suellen dejar rastros fragmentados en distintos sistemas. Phi-3-mini puede ingerir registros simultáneos de firewalls, WAF, EDR y DNS para identificar cadenas de ataque complejas.

import requests

def analizar_logs_correlacionados(logs_multifuente):
    payload_peticion = {
        "model": "phi3:instruct",
        "messages": [
            {
                "role": "user",
                "content": f"Analiza los siguientes registros de múltiples fuentes y determina si hay un ataque coordinado. Describe la cadena de ataque y las acciones de respuesta: {logs_multifuente}"
            }
        ]
    }
    respuesta_api = requests.post("http://localhost:11434/api/chat", json=payload_peticion)
    return respuesta_api.json()['message']['content']

datos_logs = """
[FW Log] 10/22/2024-09:12:45 10.0.1.55:44322 -> 172.16.5.9:8080
[WAF Log] 10/22/2024-09:12:46 POST /api/v1/auth?token=test123 HTTP/1.1 500 ERROR
[EDR Log] 10/22/2024-09:12:47 Proceso powershell.exe engendrado por w3wp.exe
[DNS Log] 10/22/2024-09:12:48 Resolución de dominio comando-servidor.net
"""

resultado_analisis = analizar_logs_correlacionados(datos_logs)
print(resultado_analisis)

El modelo sintetizará la información identificando la infección inicial, la ejecución del payload y la exfiltración de datos, ofreciendo una visión unificada del incidente sin requerir modelos de datos SIEM complejos.

3. Análisis de vulnerabilidades y automatización para investigadores

3.1 Evaluación de impacto de CVEs

Phi-3-mini facilita la interpretación de bases de datos de vulnerabilidades (NVD). Al suministrarle la descripción de un CVE, extrae los componentes afectados, las condiciones de explotación y recomienda medidas de mitigación específicas.

CVE-2024-88901: A use-after-free vulnerability exists in the image decoding module of libjpeg version 3.2.1. Remote attackers can exploit this via a malformed JPEG file, resulting in arbitrary code execution.

El modelo estructura la salida para un consumo rápido, clasificando el riesgo y adaptando las recomendaciones si se le proporciona contexto sobre el inventario de software interno.

3.2 Análisis de código PoC

La revisión de Pruebas de Concepto (PoC) publicadas se optimiza mediante la comprensión de código del modelo. Al analizar un script de explotación, puede determinar su madurez y funcionalidad.

import socket

def ejecutar_explotacion(ip_objetivo, puerto_dest):
    cliente = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    cliente.connect((ip_objetivo, puerto_dest))
    datos_maliciosos = b"\x90" * 2048 + b"\xef\xbe\xad\xde"
    cliente.send(datos_maliciosos)
    cliente.close()

El modelo evalúa que el script carece de mecanismos de evasión de ASLR/DEP y que la carga útil final es un marcador de posición, clasificando el PoC como incompleto y no listo para uso operativo.

4. Procesamiento de logs: Transformación de texto a inteligencia estructurada

4.1 Normalización de formatos

La heterogeneidad de los logs de diferentes fabricantes complica el análisis centralizado. Phi-3-mini convierte sintaxis propietarias en JSON estandarizado en tiempo real.

[Palo Alto] 2024/10/22 09:12:45 10.0.1.55 172.16.5.9 web-browsing allow
[Cisco IOS] %SEC-6-IPACCESSLOGP: list 101 permitted tcp 10.0.1.55(44322) -> 172.16.5.9(8080)
[Linux Syslog] sshd[1122]: Accepted password for admin from 10.0.1.55

Salida estructurada:

[
  {
    "timestamp": "2024-10-22T09:12:45",
    "device": "Palo Alto",
    "action": "allow",
    "src_ip": "10.0.1.55",
    "dst_ip": "172.16.5.9"
  },
  {
    "timestamp": "2024-10-22T09:12:45",
    "device": "Cisco IOS",
    "protocol": "tcp",
    "src_port": 44322,
    "dst_port": 8080
  },
  {
    "timestamp": "2024-10-22T09:12:45",
    "device": "Linux Syslog",
    "event": "ssh_login",
    "user": "admin",
    "src_ip": "10.0.1.55"
  }
]

4.2 Detección de anomalías comportamentales

El modelo identifica patrones anómalos en registros secuenciales, como intentos de acceso por fuerza bruta, superando la precisión de las alertas basadas en umbrales estáticos.

2024-10-22 03:05:00 10.2.2.8 admin SUCCESS
2024-10-22 03:05:01 10.2.2.8 admin SUCCESS
2024-10-22 03:05:02 10.2.2.8 admin FAILURE
2024-10-22 03:05:03 10.2.2.8 admin FAILURE
...
2024-10-22 03:06:30 10.2.2.8 admin SUCCESS

El análisis identifica la alternancia anómala de éxitos y fallos seguida de un acceso exitoso, señalando una posible credencial comprometida tras un ataque de fuerza bruta.

5. Despliegue e ingeniería de prompts en entornos de seguridad

5.1 Configuración ligera

La integración local se simplifica mediante herramientas como Ollama. El modelo puede iniciarse especificando parámetros de contexto y hilos para optimizar el rendimiento en CPU.

ollama run phi3:instruct --num_ctx 4096 --num_thread 8

Esta configuración permite tiempos de respuesta inferiores a dos segundos en hardware estándar, adecuada para análisis interactivo en consolas SOC.

5.2 Estrategias de prompting

Para garantizar salidas consistentes, se recomienda el uso de plantillas restrictivas y asignación de roles específicos:

Contexto del sistema: Arquitectura de microservicios (Kubernetes + Node.js + PostgreSQL), segmento de red 10.0.0.0/8. Protección EDR instalada en nodos críticos.

Instrucción: Evalúa el siguiente evento de red. Devuelve exclusivamente un objeto JSON con la estructura: {"severidad": "baja|media|alta", "confianza": 0-100, "diagnostico": "resumen breve", "accion": "respuesta recomendada"}.