Gen-Twin: A Generative Cyber-Digital Twin Platform for Proactive Ransomware Simulation and Defense Efficacy Testing

Abstract

إن التعقيد المتزايد لهجمات الفدية متعددة المراحل جعل طرق التحقق األمني التقليدية غير كافية لضمان الحماية المستمرة، حيث تفتقر المؤسسات إلى منهجية منهجية وآلية وآمنة للتحقق مما إذا كانت ضوابطها األمنية قادرة فعليا يسد هذا البحث هذه الفجوة من خالل تصميم وتنفيذ وتقييم ً على اكتشاف تقنيات الهجوم في العالم الحقيقي. بتجهيز توائم شبكية معزولة من مواصفات YAML التصريحية ،DNA Network وتنفيذ منصة ،Twin-Gen وهو نظام توليدي للتوأم الرقمي السيبراني يقوم تلقائياً محاكاة واقعية لهجمات الفدية متعددة المراحل، وتحديد فجوات االكتشاف باستخدام إطار .CK&ATT MITRE تتبنى المنصة بنية ذات أربع طبقات وتم تنفيذها وفقاً باستخدام Vagrant و Ansible و Wazuh و Metasploit و .VirtualBox تم تنفيذ محاكاة لهجوم فدية 0.3 LockBit لسلسلة قتل من سبع مراحل ضد التوأم المنشور، وتم تطوير محرك ربط لمطابقة آثار الهجوم مع تنبيهات االكتشاف باستخدام ثالثة معايير: التقارب الزمني، والمطابقة الداللية القائمة على ،TTP والتحقق الطوبولوجي. أظهر التقييم التجريبي أن تكوين Wazuh االفتراضي حقق معدل اكتشاف قدره 4.71 ،%مع تحديد نقاط عمياء حرجة لكل منT1491 إنشاء إشعار الفدية و T1059 تنفيذ األوامر. من خالل عملية إعادة اختبار آلية طبقت قاعدتي اكتشاف مخصصتين بنا ًء على تحليل الفجوات، تحسن معدل االكتشاف إلى 7.85 ،%مما يمثل زيادة بنسبة 3.14 %دون الحاجة إلى إعادة نشر كاملة للبيئة، بينما انخفض مستوى المخاطر من متوسط إلى منخفض. يساهم هذا البحث بنموذج أمنياً قابالً توليدي للتوأم الرقمي السيبراني، وخط أنابيب آلي أحمر/أزرق، ومنهجية لتحليل فجوات االكتشاف، ونموذج أولي تم التحقق من صحته ويظهر تحسنا أمنيا قابلا للقياس.The increasing sophistication of multi-stage ransomware attacks has rendered traditional point-in-time security validation methods inadequate for ensuring continuous protection, as organizations lack a systematic, automated, and safe methodology to validate whether their deployed security controls can actually detect real-world attack techniques. This research addresses this gap by designing, implementing, and evaluating the Gen-Twin platform, a generative cyber digital twin system that automatically provisions isolated network twins from declarative YAML specifications Network DNA, executes realistic multi-stage ransomware simulations, and quantifies detection gaps using the MITRE ATT&CK framework. The platform adopts a four-layer architecture and was implemented using Vagrant, Ansible, Wazuh, Metasploit, and VirtualBox. A LockBit 3.0 ransomware simulation following a seven-stage kill chain was executed against the deployed twin, and a correlation engine was developed to match attack traces with detection alerts using three criteria: temporal proximity, TTP-based semantic matching, and topological verification. The experimental evaluation demonstrated that the default Wazuh configuration achieved a detection rate of 71.4%, with critical blind spots identified for T1491 ransom note creation and T1059 command execution. Through an automated re-test process that applied two custom detection rules based on the gap analysis, the detection rate improved to 85.7%, representing a 14.3% increase without requiring full environment redeployment, while the risk level decreased from MEDIUM to LOW. This research contributes a generative cyber digital twin model, a red/blue automated pipeline, a detection gap methodology, and a validated prototype demonstrating measurable security improvement.