Comparación entre detección basada en reglas y Machine Learning para la identificación de cadenas de procesos sospechosas en endpoints Linux

Abstract

El artículo compara dos enfoques de detección de actividad sospechosa en endpoints Linux: reglas tipo SIEM y un detector de anomalías basado en aprendizaje automático. Se analizan relaciones inusuales padre-hijo entre procesos y secuencias de descarga y ejecución, mediante un laboratorio controlado instrumentado con auditd. Los registros se procesan para construir variables de comportamiento y evaluar ambos enfoques con métricas de tasa de detección, falsos positivos, precisión, sensibilidad, puntaje F1 y tiempo de detección. El estudio busca aportar una evaluación reproducible que permita identificar las condiciones en las que cada estrategia es más conveniente para el monitoreo de sistemas Linux.

This research compares two approaches for detecting suspicious activity on Linux endpoints: rule-based detection and a machine learning-based anomaly detector. The study focuses on unusual parent-child process relationships and download-and-execution sequences, which can indicate early stages of system compromise. A controlled laboratory instrumented with auditd is used to collect and process audit logs, construct behavioral features, and evaluate both approaches using detection rate, false positive rate, precision, recall, F1 score, and detection time. The study aims to provide a reproducible evaluation to identify the conditions under which each approach is more suitable for monitoring Linux systems.