Arquitetura Adaptativa de Resposta a Incidentes Orientada a Grafos e MITRE ATT&CK para Detecção, Contenção e Erradicação de Ameaças Persistentes Avançadas

1. Introduction

A resposta a incidentes de segurança (Incident Response – IR) constitui um componente fundamental da defesa cibernética organizacional. O guia do National Institute of Standards and Technology (NIST) define IR como um conjunto estruturado de procedimentos destinados à preparação, detecção, análise, contenção, erradicação e recuperação de incidentes de segurança (CICHONSKI et al., 2012). Apesar da consolidação desses processos ao longo da última década, relatórios de inteligência de ameaças indicam que organizações continuam enfrentando desafios significativos na identificação precoce de intrusões complexas.

Estudos empíricos publicados até 2021 indicam que adversários frequentemente permanecem em ambientes comprometidos por períodos prolongados antes da detecção. O relatório M‑Trends da FireEye reporta tempos médios de permanência de semanas em diversos setores industriais, permitindo que invasores realizem reconhecimento interno, escalonamento de privilégios e exfiltração de dados sensíveis (FIREEYE, 2021). Esse fenômeno decorre, em grande parte, da fragmentação das fontes de telemetria e da incapacidade de sistemas tradicionais de correlacionar eventos aparentemente isolados em uma cadeia coerente de ataque.

Eventos de alto impacto observados em 2020 e 2021 reforçam esse cenário. O comprometimento da cadeia de suprimentos associado ao incidente SolarWinds demonstrou como adversários podem conduzir campanhas prolongadas e furtivas em ambientes corporativos complexos (CISA, 2020). Em paralelo, campanhas de ransomware como DarkSide e LockBit exploraram credenciais comprometidas e vulnerabilidades em serviços expostos para obter acesso inicial e executar movimentação lateral antes da criptografia de dados (ENISA, 2021).

Essas campanhas geralmente seguem sequências estruturadas de técnicas adversárias descritas no framework MITRE ATT&CK, incluindo acesso inicial por credenciais válidas (T1078), movimento lateral via serviços remotos (T1021), escalonamento de privilégios (T1068) e exfiltração de dados (T1041) (STROM et al., 2018). Entretanto, mecanismos de detecção convencionais frequentemente analisam eventos de forma isolada, dificultando a identificação dessas cadeias multiestágio.

Diante desse contexto, formulamos o seguinte problema de pesquisa: como estruturar um processo de resposta a incidentes capaz de correlacionar eventos distribuídos, identificar cadeias adversárias complexas e priorizar incidentes com base em impacto operacional real?

Identificamos três lacunas principais na literatura e na prática operacional:

• ausência de modelagem matemática formal para encadeamento de TTPs (Tactics, Techniques and Procedures);

• baixa integração semântica entre telemetrias heterogêneas provenientes de diferentes sensores;

• dependência excessiva de análise manual em centros de operações de segurança.

Com base nessas lacunas, formulamos três questões de pesquisa centrais:

RQ1: Como representar formalmente incidentes multiestágio como estruturas matemáticas que permitam inferência e priorização?

RQ2: É possível reduzir significativamente o tempo médio de detecção e contenção por meio de correlação baseada em grafos enriquecidos por MITRE ATT&CK?

RQ3: Qual o impacto operacional da integração dessa abordagem com plataformas de orquestração e automação de resposta?

As contribuições deste trabalho são três. Primeiro, formalizamos o processo de resposta a incidentes como um problema de inferência em grafos direcionados $G=(V,E)$. Segundo, propomos um algoritmo de correlação temporal‑estrutural baseado em centralidade de intermediação ponderada. Terceiro, apresentamos uma avaliação experimental em ambiente corporativo demonstrando reduções substanciais em métricas operacionais de detecção e contenção.

2. Background and Related Work

Modelos estruturados de resposta a incidentes foram amplamente consolidados a partir das diretrizes do NIST SP 800‑61, que organiza o processo em quatro fases principais: preparação; detecção e análise; contenção, erradicação e recuperação; e atividades pós‑incidente (CICHONSKI et al., 2012). Embora esse modelo tenha se tornado referência operacional em equipes de segurança, ele permanece essencialmente processual e não fornece mecanismos formais para correlação automática de eventos.

A noção de campanhas adversárias estruturadas foi popularizada pelo modelo Cyber Kill Chain, que descreve fases sequenciais de intrusão desde reconhecimento até ações sobre objetivos (HUTCHINS; CLOPPERT; AMIN, 2011). Posteriormente, o framework MITRE ATT&CK expandiu esse conceito ao catalogar técnicas observáveis utilizadas por adversários em ambientes corporativos, oferecendo uma taxonomia detalhada de comportamentos maliciosos (STROM et al., 2018).

Embora o ATT&CK seja amplamente utilizado para mapeamento de detecções e desenvolvimento de regras, sua estrutura é essencialmente descritiva. A matriz não fornece diretamente mecanismos algorítmicos para inferir cadeias de ataque a partir de grandes volumes de telemetria.

Nesse contexto, abordagens baseadas em grafos têm sido investigadas para análise de segurança. Sistemas de provenance tracking utilizam grafos acíclicos direcionados para rastrear dependências entre processos, arquivos e conexões de rede (BATES et al., 2015). Esses grafos permitem reconstruir sequências causais de eventos após incidentes.

Milajerdi et al. propuseram o sistema HOLMES, que correlaciona fluxos de informação suspeitos para detectar atividades de APT em tempo quase real (MILAJERDI et al., 2019). Essa abordagem demonstrou que grafos causais podem capturar relações semânticas entre eventos que não são visíveis em sistemas baseados apenas em alertas independentes.

Formalmente, consideramos um grafo direcionado $G=(V,E)$ no qual cada vértice representa uma entidade ou evento de segurança e cada aresta representa uma relação causal ou temporal entre elementos. Métricas de centralidade podem ser utilizadas para identificar nós estruturalmente relevantes na cadeia de eventos.

A centralidade de intermediação (betweenness centrality) é definida como:

$$ C_B(v)=\sum_{s \neq v \neq t}\frac{\sigma_{st}(v)}{\sigma_{st}} $$

onde $\sigma_{st}$ representa o número de caminhos mínimos entre os vértices $s$ e $t$, e $\sigma_{st}(v)$ representa quantos desses caminhos passam pelo vértice $v$ (BRANDES, 2001).

Apesar desses avanços, persistem limitações importantes na literatura:

• pouca integração entre modelos de grafos e plataformas de orquestração de resposta;

• desafios de escalabilidade em ambientes com milhões de eventos diários;

• ausência de métricas operacionais diretamente relacionadas a centros de operações de segurança.

Este trabalho busca preencher essas lacunas integrando análise de grafos, mapeamento ATT&CK e automação de resposta em uma arquitetura operacional.

3. Threat Model and Problem Formalization

Assumimos um adversário com capacidades típicas observadas em campanhas corporativas até 2021. Essas capacidades incluem exploração de serviços expostos, uso de credenciais comprometidas, execução de scripts administrativos e ferramentas de pós‑exploração.

Entre os vetores considerados no modelo estão:

• exploração de vulnerabilidades em serviços corporativos, como Microsoft Exchange (ex.: CVE‑2021‑26855);

• execução de scripts PowerShell ofuscados (T1059.001);

• extração de credenciais de memória via LSASS (T1003);

• movimento lateral utilizando protocolos SMB ou RDP (T1021).

Definimos um conjunto de eventos observáveis $E_t$ em cada instante de tempo $t$. Esses eventos são produzidos por sensores de rede, logs de sistema e agentes de endpoint.

Introduzimos uma função de mapeamento:

$$ f: E \rightarrow T $$

onde $T$ representa o conjunto de técnicas do MITRE ATT&CK. Essa função associa cada evento observado a uma possível técnica adversária.

O problema de detecção pode então ser formulado como a identificação de um subgrafo $G’ \subseteq G$ que maximize a probabilidade de representar uma campanha adversária coerente:

$$ \arg\max_{G’} P(G’|E) $$

Essa inferência deve respeitar restrições operacionais de tempo quase real, representadas por:

$$ \Delta t < 60s $$

Além disso, estabelecemos critérios quantitativos para avaliação do sistema:

Critério	Meta
Taxa de detecção	≥ 90% das cadeias simuladas
Taxa de falso positivo	< 5%
Latência de processamento	< 5 s por lote de 10.000 eventos

4. Proposed Methodology

A arquitetura proposta organiza o fluxo de processamento em cinco camadas principais:

Camada	Função
Coleta de Telemetria	Captura de eventos de rede e endpoints
Normalização	Padronização de campos e enriquecimento
Mapeamento ATT&CK	Associação de eventos a técnicas
Motor de Grafos	Construção e análise estrutural
Orquestração	Automação de resposta a incidentes

A camada de coleta integra sensores amplamente utilizados em ambientes corporativos, incluindo Suricata para detecção de intrusão em rede, Zeek para análise de tráfego e Wazuh para monitoramento de endpoints.

Os eventos são normalizados por pipelines de ingestão no Elastic Stack, permitindo padronização de campos e enriquecimento com informações contextuais.

O motor de análise em grafos é implementado em Neo4j, permitindo consultas estruturais eficientes sobre relações entre eventos.

Algorithm 1 – Construção do Grafo

Input: Fluxo de eventos E
Output: Grafo G

for each evento e in E:
    v = criar_no(e)
    for each entidade relacionada r:
        criar_aresta(v, r)
return G

A complexidade aproximada do processo de inserção incremental é $O(E \log V)$ considerando estruturas indexadas.

Algorithm 2 – Priorização de Incidentes

Input: Grafo G
Output: Lista priorizada L

calcular_centralidade(G)

for cada subgrafo G':
    score = alpha  C_B + beta  criticidade_ativo

ordenar score decrescente
return L

A centralidade é calculada utilizando o algoritmo de Brandes com complexidade $O(VE)$.

5. Implementation

O protótipo foi implementado utilizando tecnologias amplamente disponíveis em ambientes SOC até 2021.

Componente	Versão
Elastic Stack	7.x
Suricata	6
Zeek	4
Wazuh	4.2
Neo4j	4
TheHive	4

Exemplo de regra Sigma utilizada para detectar execução suspeita de PowerShell:

logsource:
  product: windows
detection:
  selection:
    CommandLine|contains: "EncodedCommand"
condition: selection

Regra YARA simplificada para identificação de artefatos associados a ransomware:

rule Ransomware_Generic_String
{
 strings:
  $s1 = "LockBit"
 condition:
  $s1
}

A integração com a plataforma de resposta é realizada por webhooks que criam automaticamente casos na plataforma TheHive e disparam playbooks de contenção.

A infraestrutura experimental utiliza um cluster Elastic composto por três nós com 64 GB de memória cada, alcançando throughput médio de aproximadamente 18.000 eventos por segundo.

6. Experimental Evaluation

A avaliação experimental foi conduzida em ambiente controlado com infraestrutura corporativa simulada.

Componente	Configuração
Servidores	3 × Dell R740
CPU	2 × Xeon Gold
Memória	256 GB
Armazenamento	20 TB SSD

O conjunto de dados inclui aproximadamente 1,2 TB de logs de segurança coletados ao longo de múltiplos cenários de ataque.

Tipo de dado	Quantidade
Logs corporativos	1,2 TB
Amostras de ransomware	38
Execuções Atomic Red Team	120

Comparamos a abordagem proposta com dois baselines:

• B1: correlação tradicional baseada em SIEM;

• B2: regras estáticas sem análise estrutural.

Métrica	B1	Proposto
MTTD	47,3 min	12,6 min
MTTC	201 min	58 min
Falsos positivos	7,9%	3,8%
Recall	82%	94%

O desvio padrão observado para MTTD foi de ±3,2 minutos. Um teste t para amostras independentes indicou significância estatística com $p < 0,01$.

7. Case Study

Realizamos um estudo de caso em um ambiente financeiro com aproximadamente 4.200 endpoints.

O cenário de ataque simulado incluiu quatro etapas principais:

1. campanha de phishing com macro maliciosa (T1566.001);
2. execução de dropper via PowerShell;
3. extração de credenciais utilizando ferramentas equivalentes ao Mimikatz;
4. implantação de ransomware.

O sistema identificou a sequência de atividades em aproximadamente nove minutos após o início da execução maliciosa.

O playbook automatizado executou três ações principais:

• isolamento do endpoint comprometido via agente EDR;

• redefinição automática da credencial comprometida no Active Directory;

• bloqueio de indicadores de comprometimento em dispositivos de borda.

A contenção ocorreu antes da fase de criptografia em massa, limitando o impacto operacional.

8. Discussion

Os resultados experimentais indicam que a modelagem orientada a grafos melhora significativamente a capacidade de correlação semântica entre eventos distribuídos.

Essa melhoria decorre principalmente da capacidade de capturar relações estruturais entre atividades aparentemente independentes. Eventos como autenticações suspeitas, execução de comandos administrativos e conexões laterais podem ser integrados em uma cadeia coerente de ataque.

Entretanto, a abordagem apresenta limitações operacionais. A construção e manutenção de grafos em larga escala exigem recursos significativos de memória e processamento. Além disso, a qualidade do mapeamento para técnicas ATT&CK influencia diretamente a precisão do sistema.

Outra limitação envolve estratégias de evasão baseadas em técnicas living‑off‑the‑land altamente distribuídas, nas quais adversários utilizam ferramentas legítimas e evitam padrões comportamentais facilmente correlacionáveis.

Do ponto de vista operacional, recomendamos três práticas complementares:

• integração contínua de inteligência de ameaças via plataformas como MISP;

• atualização frequente de regras Sigma e assinaturas de detecção;

• exercícios regulares de purple team para validação de controles defensivos.

9. Conclusion

Apresentamos uma arquitetura adaptativa de resposta a incidentes baseada em modelagem de eventos de segurança como grafos direcionados enriquecidos pelo framework MITRE ATT&CK.

A formalização proposta permite tratar a detecção de campanhas adversárias como um problema de inferência estrutural em grafos, possibilitando priorização baseada em métricas topológicas.

Os resultados experimentais demonstram reduções significativas no tempo médio de detecção e contenção quando comparados a abordagens tradicionais baseadas apenas em correlação de eventos.

Esses resultados sugerem que a incorporação de análise estrutural orientada a grafos pode fortalecer substancialmente a capacidade operacional de centros de operações de segurança.

Investigações futuras podem explorar a integração de modelos probabilísticos dinâmicos para inferência em grafos de eventos e técnicas avançadas de análise estrutural para ambientes de grande escala.

References

BATES, Adam et al. Trustworthy Whole-System Provenance for the Linux Kernel. In: USENIX Security Symposium. 2015. Disponível em: https://www.usenix.org/conference/usenixsecurity15/technical-sessions/presentation/bates. Acesso em: 13 abr. 2026.

BARABÁSI, Albert‑László. Network Science. Cambridge: Cambridge University Press, 2016. Disponível em: http://networksciencebook.com. Acesso em: 13 abr. 2026.

BEHL, Abhishek; BEHL, Kiran. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Disponível em: https://global.oup.com. Acesso em: 13 abr. 2026.

BRANDES, Ulrik. A Faster Algorithm for Betweenness Centrality. Journal of Mathematical Sociology, v. 25, n. 2, p. 163‑177, 2001. Disponível em: https://doi.org/10.1080/0022250X.2001.9990249. Acesso em: 13 abr. 2026.

CICHONSKI, Paul et al. Computer Security Incident Handling Guide. NIST Special Publication 800‑61 Rev. 2. Gaithersburg: NIST, 2012. Disponível em: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf. Acesso em: 13 abr. 2026.

CISA. Advanced Persistent Threat Compromise of Government Agencies, Critical Infrastructure, and Private Sector Organizations. 2020. Disponível em: https://us-cert.cisa.gov/ncas/alerts/aa20-352a. Acesso em: 13 abr. 2026.

ENISA. ENISA Threat Landscape 2021. Atenas: European Union Agency for Cybersecurity, 2021. Disponível em: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2021. Acesso em: 13 abr. 2026.

FIREEYE. M‑Trends 2021 Report. 2021. Disponível em: https://www.fireeye.com/current-threats/annual-threat-report/mtrends.html. Acesso em: 13 abr. 2026.

FREEMAN, Linton. A Set of Measures of Centrality Based on Betweenness. Sociometry, v. 40, n. 1, p. 35‑41, 1977. Disponível em: https://doi.org/10.2307/3033543. Acesso em: 13 abr. 2026.

HUTCHINS, Eric M.; CLOPPERT, Michael J.; AMIN, Rohan M. Intelligence‑Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains. Leading Issues in Information Warfare & Security Research, v. 1, p. 80‑106, 2011. Disponível em: https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html. Acesso em: 13 abr. 2026.

INGRAM, Andrew. Threat Hunting: Open‑Source Tools and Techniques. Birmingham: Packt, 2018. Disponível em: https://www.packtpub.com. Acesso em: 13 abr. 2026.

KENT, Karen; SOUPPAYA, Murugiah. Guide to Computer Security Log Management. NIST SP 800‑92. 2006. Disponível em: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-92.pdf. Acesso em: 13 abr. 2026.

MILAJERDI, Sadegh M. et al. HOLMES: Real‑time APT Detection through Correlation of Suspicious Information Flows. IEEE Symposium on Security and Privacy, 2019. Disponível em: https://doi.org/10.1109/SP.2019.00062. Acesso em: 13 abr. 2026.

MITRE. MITRE ATT&CK Framework. 2021. Disponível em: https://attack.mitre.org. Acesso em: 13 abr. 2026.

NIST. Zero Trust Architecture. NIST Special Publication 800‑207. 2020. Disponível em: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf. Acesso em: 13 abr. 2026.

OASIS. Structured Threat Information Expression (STIX) Version 2.1. 2021. Disponível em: https://docs.oasis-open.org/cti/stix/v2.1/. Acesso em: 13 abr. 2026.

PEARCE, Paul et al. The Zeek Network Security Monitor. 2020. Disponível em: https://zeek.org. Acesso em: 13 abr. 2026.

ROESCH, Martin. Snort: Lightweight Intrusion Detection for Networks. In: USENIX LISA. 1999. Disponível em: https://www.usenix.org. Acesso em: 13 abr. 2026.

SIGMA PROJECT. Generic Signature Format for SIEM Systems. 2021. Disponível em: https://sigmahq.io. Acesso em: 13 abr. 2026.

THEHIVE PROJECT. TheHive: Scalable Incident Response Platform. 2021. Disponível em: https://thehive-project.org. Acesso em: 13 abr. 2026.

VERIZON. Data Breach Investigations Report 2021. Disponível em: https://www.verizon.com/business/resources/reports/dbir/. Acesso em: 13 abr. 2026.

WAZUH. Wazuh Security Platform Documentation. 2021. Disponível em: https://documentation.wazuh.com. Acesso em: 13 abr. 2026.

ZEKE, Richard; ROESCH, Martin. Suricata: Open Source IDS/IPS. Open Information Security Foundation, 2021. Disponível em: https://suricata.io. Acesso em: 13 abr. 2026.

NEO4J. Neo4j Graph Database Platform Documentation. 2021. Disponível em: https://neo4j.com/docs. Acesso em: 13 abr. 2026.

ELASTIC. Elastic Stack Documentation. 2021. Disponível em: https://www.elastic.co/guide. Acesso em: 13 abr. 2026.