Multi-View Fusion for Encrypted C2 Detection: A Leakage-Controlled Measurement Study of Evaluation Pitfalls

arXiv cs.CR · 24 sept, 06:00

Un estudio de arXiv analiza los errores metodológicos en la evaluación de modelos de machine learning para detectar tráfico C2 cifrado (Command-and-Control) en TLS, utilizando datos reales de Cobalt Strike. Los autores revelan que las prácticas de evaluación comunes introducen sesgos significativos: el data leakage en la codificación de frecuencias mejora artificialmente la métrica F1 en 0,28 puntos, la clase de desbalance es un artefacto del análisis en lugar de una característica real del problema, y hay gaps importantes en las etiquetas de ground truth. El trabajo subraya que en ciberseguridad, el diseño de la evaluación es tan crítico como el propio modelo para evitar falsos positivos que comprometan la defensa.