el proyecto

por qué atribuir

El número y el impacto de los incidentes de seguridad que afectan a empresas y organizaciones ha crecido de forma alarmante. La Inteligencia de Ciberamenazas estudia la actividad de los grupos responsables para ordenar y clasificar sus comportamientos, de modo que ese conocimiento sirva para prevenir y responder mejor. Uno de sus mayores retos es la atribución: determinar quién está detrás de un conjunto de acciones maliciosas. Es un aspecto crítico, porque permite perseguir legalmente a los responsables y, sobre todo, anticipar y responder con más eficacia a incidentes presentes y futuros.

Las aproximaciones actuales están muy limitadas. La mayoría trabaja sobre muestras de malware, un enfoque que el auge del malware como servicio y el uso de varias familias en un mismo ataque han dejado insuficiente. Los informes públicos de amenazas, por su parte, tienen calidad desigual, pocos indicadores y poco contexto.

hipótesis

Una intrusión se representa de forma natural como una red: herramientas, infraestructura, técnicas, víctimas y artefactos relacionados entre sí. Cuando se analizan varias intrusiones, algunas entidades se repiten y las conectan. Los analistas expertos identifican esos solapamientos y los ponderan según su juicio. Nuestra hipótesis es que las redes neuronales de grafos con mecanismos de atención pueden generalizar ese trabajo: aprender qué relaciones importan y cuánto, sobre redes heterogéneas y guiadas por metacaminos definidos con conocimiento experto.

objetivos

Mejores datos para entrenar

Generar datasets a partir de inteligencia de intrusiones reales, aprovechando plataformas de compartición como MISP, y de la emulación de adversarios con herramientas como MITRE CALDERA. Definir un conjunto óptimo de características para la atribución que combine semántica y estructura.

Atribución con redes de atención en grafos

Modelar las relaciones entre intrusiones como una red heterogénea y aplicar atención multinivel para aprender la influencia de cada relación y de cada metacamino en la atribución. Tratar de forma diferenciada los indicadores de alto nivel (herramientas, técnicas) y los atómicos (IPs, hashes), y detectar relaciones espurias.

Agrupación de alertas e inferencia de acciones

Agrupar en tiempo real las alertas relacionadas de un sistema para inferir las secuencias de acciones del atacante, mapearlas al marco MITRE ATT&CK y priorizar la respuesta a incidentes.

impacto

El proyecto se enmarca en las líneas estratégicas del Plan Nacional de Ciberseguridad y en el objetivo de la Estrategia Nacional de Ciberseguridad de ampliar las capacidades de detección y análisis. Sus resultados permitirán añadir metadatos de atribución a los incidentes compartidos en plataformas de ciberamenazas, actuando a la vez como consumidor y productor de inteligencia, con una integración de bajo acoplamiento y reducido coste de despliegue.

APT-GRAN contribuye a los Objetivos de Desarrollo Sostenible 9 (infraestructuras resilientes e innovación) y 16 (sociedades justas, pacíficas e inclusivas).

financiación

Proyecto financiado por el Programa Propio de Investigación de la Universidad de Alcalá, convocatoria de ayudas para la realización de proyectos de investigación 2025, con referencia PIUAH25/IA-058. Duración: 12 meses, de diciembre de 2025 a diciembre de 2026. Cuenta con el apoyo de la Cátedra Isdefe-UAH en TIC e Inteligencia Artificial.

agradecimiento y cómo citar

Los artículos, repositorios, presentaciones y demás resultados derivados del proyecto deben incluir el siguiente agradecimiento:

Este trabajo ha sido financiado por la Universidad de Alcalá a través del proyecto APT-GRAN (PIUAH25/IA-058), Programa Propio de Investigación, convocatoria 2025.

This work was funded by the University of Alcalá through the APT-GRAN project (PIUAH25/IA-058), Own Research Programme, 2025 call.

Para citar el proyecto como tal:

de la Hoz, E., Cornejo Bueno, L. M. et al. (2025–2026). APT-GRAN: Atribución Inteligente de Amenazas Persistentes Avanzadas en Ciberseguridad mediante Redes Neuronales y Modelado en Grafos (PIUAH25/IA-058). Universidad de Alcalá. https://gnosis-uah.github.io/apt-gran/

El software y los datasets tienen su propia cita, con DOI, en la página de recursos.

transferencia y contacto para empresas

APT-GRAN produce resultados pensados para integrarse en entornos reales con bajo acoplamiento: modelos de atribución de actividad maliciosa a grupos conocidos, herramientas de extracción de técnicas e indicadores a partir de informes de inteligencia, y un modelo de integración con plataformas de compartición de amenazas como MISP que permite añadir metadatos de atribución a los incidentes compartidos.

Nos interesa colaborar con centros de respuesta a incidentes (CERT y CSIRT), centros de operaciones de seguridad, proveedores de inteligencia de amenazas y operadores de infraestructuras críticas que quieran validar estas técnicas sobre sus propios datos o incorporarlas a sus procesos. Las vías habituales son contratos de investigación y desarrollo con la Universidad de Alcalá, cátedras de empresa, proyectos conjuntos en convocatorias nacionales o europeas, y acceso a datos de intrusiones reales para la validación de los modelos, siempre bajo acuerdos de confidencialidad.

Contacto: Enrique de la Hoz, investigador principal, enrique.delahoz@uah.es.