ARDASISTIDO POR IA/MLCONFIANZA INDEPENDIENTE DE LAS CUENTAS
Dockfield ARD
Detectar comportamientos anómalos.
Proteger la decisión de recuperación.
ARD es la capa inteligente de detección y evidencias de Dockfield para una recuperación preparada frente al ransomware. Observa el comportamiento en el tiempo, compara señales de anomalía independientes, calibra la confianza y aporta evidencias explicables a una política de recuperación determinista.
ObservarSeñales de AWS y recuperación
→
DetectarAnomalías de comportamiento
→
CalibrarConfianza en las evidencias
→
DecidirPolítica y explicabilidad
→
cuarentenaLímite no confiable
→
RecuperarRuta validada
Arquitectura general de IA/ML
Primero, evidencias independientes. Complejidad solo cuando aporta un valor medible.
Detección temporal autosupervisadaModela el contexto normal del comportamiento en el tiempo y destaca secuencias que ya no se ajustan al patrón operativo aprendido.
Detección estadística independienteLas desviaciones de referencia, los picos y los cambios ofrecen una segunda familia de anomalías interpretable.
Características multirresolución opcionalesEl sombrero mexicano y otras características multiescala pueden contribuir cuando la densidad de telemetría lo justifica; no se consideran verdades universales.
¿Por qué el sombrero mexicano? El concepto puede resaltar un cambio local frente a su contexto en distintas escalas. Dockfield utiliza este procesamiento de señales como evidencia complementaria opcional, no como base para clasificar ransomware.
Fusión de evidencias
Una anomalía no implica una recuperación automática.
COMPORTAMIENTOPatrones temporales y cambios de secuencia.
ESTADÍSTICASEvidencias independientes de desviaciones y cambios.
SEGURIDADSeñales del entorno de seguridad cuando están disponibles y son confiables.
RecuperaciónIntegridad, procedencia y confianza de los puntos de recuperación candidatos.
Evidencias calibradasLas señales de distintas escalas se normalizan para ofrecer una confianza comparable, conservando su procedencia.
→
Decisión explicableEl sistema registra qué cambió, qué evidencias contribuyeron y qué política determinista permitió la siguiente acción.
→
Política de seguridad deterministaLas acciones finales de recuperación dependen de políticas explícitas y auditables, no de la puntuación de un único modelo.
Dónde se sitúa ARD
Sin asumir que la cuenta de seguridad siempre sobrevivirá.
Entorno de seguridad y cargas de trabajoUna fuente importante de evidencias, pero nunca el único anclaje de confianza. Las propias cuentas de seguridad pueden considerarse sospechosas.
→
ARD / plano de decisiones de resilienciaCorrelaciona evidencias independientes y comprueba continuamente si el plano de control actual sigue siendo confiable.
→
Límite de recuperación aisladoLa cuarentena, la validación y la recuperación pueden salir del dominio de confianza afectado, incluso hacia cuentas nuevas u organizaciones independientes.
Cuenta de seguridad afectadaLas evidencias de seguridad se degradan o dejan de ser confiables; las evidencias independientes siguen disponibles para las decisiones de resiliencia.
Varias cuentas afectadasLa selección de recuperación y la cuarentena se orientan hacia un límite de recuperación aislado.
Organización existente no confiablePueden elegirse patrones de recuperación en cuentas nuevas u organizaciones independientes cuando la autoridad de recuperación y las evidencias protegidas siguen disponibles.
Sin dependencia de una única cuenta. ARD separa las cuentas de cargas de trabajo, seguridad y recuperación en distintos dominios de confianza. Ante una vulneración grave, el entorno AWS existente puede tratarse como evidencia que investigar y no como autoridad que aprueba su propia recuperación.
ARD + Intelligent Recovery
La detección solo es útil si mejora la decisión de recuperación.
Dockfield conecta las evidencias de anomalía con la cuarentena, la validación y los patrones de recuperación aislados, manteniendo explícita la política final de seguridad.