Los investigadores en ciberseguridad han confiado durante mucho tiempo en observar cómo se comporta el software mientras se ejecuta para detectar intrusos antes de que causen daños. Pero un nuevo artículo sostiene que este método, conocido como detección de anomalías en el flujo de control, tiene un punto ciego que los atacantes sofisticados pueden explotar, y propone una solución que combina la observación del software con una segunda capa independiente de comprobaciones a nivel de hardware.
El artículo, titulado «Towards Model-based Run-time Cybersecurity: On Control-Flow Anomaly Detection, Attack Identification, and Hardware Monitoring», fue escrito por Martin Sachenbacher y publicado el 12 de agosto de 2026. Presenta un enfoque basado en modelos diseñado para hacer que los sistemas de detección de intrusiones sean más difíciles de engañar, especialmente en situaciones en las que un atacante disfraza deliberadamente la actividad maliciosa como algo inofensivo.
Summary
Puntos clave
- La monitorización del flujo de control detecta anomalías de integridad en un sistema mientras está realmente en ejecución, no después de los hechos.
- Los árboles de ataque se utilizan para clasificar qué tipo de ciberataque podría estar detrás de una anomalía detectada.
- Los atacantes pueden manipular el propio flujo de control observado para camuflar una intrusión y esquivar la detección.
- El artículo propone combinar la monitorización a nivel de software con la monitorización a nivel de hardware para cerrar esa brecha.
- Un ejemplo de servicio de autenticación muestra cómo una comprobación de hardware puede convertir un incidente mal diagnosticado como «benigno» en un ataque confirmado y de alta confianza.
Mejorar la ciberseguridad mediante la monitorización del flujo de control
La detección de anomalías en el flujo de control funciona rastreando la secuencia de pasos que un software ejecuta realmente y señalando las desviaciones respecto de lo esperado. Proporciona a los defensores una forma de detectar problemas a medida que ocurren, en lugar de después de que el daño ya esté hecho, razón por la cual el artículo la presenta como una herramienta fundamental para la integridad de sistemas en tiempo de ejecución.
Detección de anomalías de integridad y uso de árboles de ataque
Según el artículo, este tipo de monitorización proporciona «una base fundamentada para garantizar la integridad y detectar posibles anomalías en tiempo de ejecución». Una vez que se señala algo inusual, el siguiente desafío es averiguar qué significa realmente. Ahí es donde entran los árboles de ataque: estos modelos estructurados asignan las anomalías detectadas a categorías específicas de ciberataques, ayudando a los analistas a pasar de una vaga señal de alerta a un diagnóstico real. En efecto, los árboles de ataque convierten una señal de anomalía en bruto en una hipótesis interpretable sobre lo que el atacante está intentando hacer.
Retos del camuflaje de ataques en la detección del flujo de control
La debilidad central de esta configuración es que la propia señal de flujo de control que se está observando puede ser manipulada. El artículo de Sachenbacher es explícito sobre esta vulnerabilidad, señalando que el enfoque «es vulnerable al camuflaje, mediante el cual los atacantes intentan evadir la detección… manipulando deliberadamente también el flujo de control observado del sistema».
Por qué la observación solo a nivel de software se queda corta
Esto es importante porque un atacante hábil no solo irrumpe en un sistema, sino que también puede manipular el rastro en el que una herramienta de monitorización confía para detectarlo. El artículo describe un modo de fallo realista: un observador a nivel de software detecta una desviación del flujo de control que parece extraña pero no peligrosa, la atribuye a una causa inofensiva utilizando un árbol de ataque y nunca se da cuenta de que una intrusión genuina se está desarrollando por debajo. En otras palabras, el sistema de detección técnicamente «funciona» y aun así no detecta el ataque real, porque el atacante ha aprendido a hacer que la actividad maliciosa parezca ordinaria desde el punto de vista del software.
Un enfoque combinado de monitorización hardware-software basado en modelos
La propuesta central del artículo es dejar de depender de una sola capa de observación y, en su lugar, combinar la monitorización basada en software y la basada en hardware en una sola arquitectura. Esto es importante porque aborda directamente el problema del camuflaje: un atacante que logra engañar las comprobaciones a nivel de software todavía tiene que superar una capa de hardware independiente que observa la misma actividad desde un punto de vista diferente.
Cómo funcionan juntas las dos capas
En este diseño, la observación a nivel de software realiza el primer análisis, señalando la actividad que parece sospechosa. La monitorización a nivel de hardware comprueba luego esa misma actividad de forma independiente y con mucho más detalle, lo que, según el artículo, hace que sea «mucho más difícil que los ataques se camuflen y pasen desapercibidos». Como la capa de hardware está separada del software que se está monitorizando, un atacante que manipula la propia visión del software sobre su flujo de control no puede falsificar simultáneamente lo que ve el hardware.
Para demostrar el valor de esta configuración, el artículo recorre un escenario de servicio de autenticación. Un observador a nivel de software ve inicialmente una desviación anómala pero aparentemente inofensiva del flujo de control y la asigna, mediante un árbol de ataque, a un problema de configuración o mantenimiento de baja gravedad. Pero un segundo monitor de flujo de control de hardware independiente observa la secuencia real de transiciones que tiene lugar en el sistema, y esa evidencia adicional cambia por completo el diagnóstico, elevándolo de un fallo menor a una inyección de código o secuestro de flujo de control de alta confianza. El ejemplo muestra de forma concreta cómo una comprobación de hardware puede corregir un diagnóstico que la monitorización de software por sí sola había interpretado mal.
Beneficios del enfoque combinado en la identificación de ciberataques
¿Por qué importa esta combinación para el campo en general? Porque no solo detecta más ataques, sino que también mejora la confianza con la que los analistas pueden distinguir anomalías benignas de ciberataques graves. El artículo concluye que combinar la detección de anomalías en el flujo de control, la identificación de intrusiones basada en árboles de ataque y la monitorización basada en hardware «puede mejorar no solo la detección de anomalías, sino también la precisión diagnóstica» del análisis impulsado por árboles de ataque.
Esa distinción entre detección y precisión diagnóstica es significativa. Un sistema puede detectar técnicamente que algo va mal y aun así clasificar mal la gravedad o la naturaleza del problema, como muestra el ejemplo del servicio de autenticación. Al añadir una capa de hardware que verifica de forma independiente lo que el software observa, el enfoque basado en modelos ofrece a los defensores una segunda opinión mucho más difícil de falsificar para un atacante, reforzando la confianza en la decisión final sobre si una anomalía es realmente una peculiaridad benigna o una intrusión activa en curso.
Preguntas frecuentes
¿Qué es la monitorización del flujo de control en ciberseguridad?
Es un método que detecta anomalías de integridad en tiempo de ejecución mediante la monitorización de las rutas de ejecución del software.
¿Cómo ayudan los árboles de ataque en la identificación de ciberataques?
Los árboles de ataque analizan las anomalías detectadas para identificar posibles tipos de ciberataques basándose en estructuras de ataque modeladas.
¿Por qué es importante la monitorización a nivel de hardware junto con la monitorización de software?
La monitorización a nivel de hardware verifica de forma independiente las actividades con mayor nivel de detalle, impidiendo que los atacantes camuflen ataques dentro de las observaciones a nivel de software.
¿Cómo mejora la ciberseguridad el enfoque combinado propuesto?
Al integrar la detección de anomalías en el flujo de control, los árboles de ataque y la monitorización de hardware, mejora tanto la sensibilidad de detección como la precisión diagnóstica, especialmente a la hora de identificar intrusiones reales.
{«@context»:»https://schema.org»,»@type»:»FAQPage»,»mainEntity»:[{«@type»:»Question»,»name»:»¿Qué es la monitorización del flujo de control en ciberseguridad?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»Es un método que detecta anomalías de integridad en tiempo de ejecución mediante la monitorización de las rutas de ejecución del software.»}},{«@type»:»Question»,»name»:»¿Cómo ayudan los árboles de ataque en la identificación de ciberataques?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»Los árboles de ataque analizan las anomalías detectadas para identificar posibles tipos de ciberataques basándose en estructuras de ataque modeladas.»}},{«@type»:»Question»,»name»:»¿Por qué es importante la monitorización a nivel de hardware junto con la monitorización de software?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»La monitorización a nivel de hardware verifica de forma independiente las actividades con mayor nivel de detalle, impidiendo que los atacantes camuflen ataques dentro de las observaciones a nivel de software.»}},{«@type»:»Question»,»name»:»¿Cómo mejora la ciberseguridad el enfoque combinado propuesto?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»Al integrar la detección de anomalías en el flujo de control, los árboles de ataque y la monitorización de hardware, mejora tanto la sensibilidad de detección como la precisión diagnóstica, especialmente a la hora de identificar intrusiones reales.»}}]}
Artículo producido con la ayuda de inteligencia artificial y revisado por el equipo editorial.
