Arquitetura Adaptativa para Detecção e Contenção de Movimentação Lateral em Ambientes Multi-Cloud Baseada em Grafos de Privilégios e Análise Probabilística

1. Introduction

A transformação digital acelerada na última década consolidou a computação em nuvem como infraestrutura essencial para serviços financeiros, sistemas de saúde, telecomunicações, energia e administração pública. Modelos Infrastructure-as-a-Service (IaaS), Platform-as-a-Service (PaaS) e Software-as-a-Service (SaaS) coexistem em arquiteturas híbridas e multi-cloud, nas quais organizações distribuem cargas de trabalho entre múltiplos provedores para evitar dependência tecnológica, otimizar custos ou atender a requisitos regulatórios.

Entretanto, essa diversificação introduz complexidade estrutural substancial. Em ambientes tradicionais on-premises, o perímetro de rede desempenhava papel central na segmentação e defesa. Em contraste, ambientes cloud adotam um paradigma orientado a identidade, no qual políticas declarativas definem permissões finas sobre APIs programáticas. O modelo de responsabilidade compartilhada implica que configurações incorretas, privilégios excessivos e delegações mal compreendidas permanecem sob controle direto do cliente.

Relatórios amplamente reconhecidos, como o Data Breach Investigations Report da Verizon, têm consistentemente apontado o abuso de credenciais válidas como vetor predominante de comprometimento. O framework MITRE ATT&CK documenta técnicas como Valid Accounts (T1078), Use of Web Application Vulnerabilities para obtenção inicial de acesso, e técnicas subsequentes de Pass-the-Token (T1550) ou Account Manipulation (T1098), que ilustram a progressão lateral após o comprometimento inicial. A vulnerabilidade CVE-2021-44228 (Log4Shell), identificada na biblioteca Apache Log4j, demonstrou como falhas em componentes amplamente distribuídos podem resultar em execução remota de código e subsequente exfiltração de segredos armazenados em variáveis de ambiente, frequentemente incluindo chaves de acesso a serviços cloud.

O incidente envolvendo a Capital One em 2019, amplamente analisado em relatórios públicos e em processos judiciais, evidenciou como configurações inadequadas de firewall de aplicação web combinadas com permissões excessivas em serviços de armazenamento podem permitir extração massiva de dados. Independentemente de detalhes específicos, o padrão recorrente é claro: o impacto máximo decorre não apenas do vetor inicial, mas da capacidade de explorar caminhos de privilégio.

Em ambientes multi-cloud, a situação é agravada por identidades federadas via SAML 2.0 ou OpenID Connect (OIDC), por funções assumíveis (como AWS STS AssumeRole), Managed Identities no Azure e Service Accounts no Google Cloud. Relações de confiança cruzadas entre contas e assinaturas criam grafos de delegação que não são trivialmente visíveis a partir de uma única interface administrativa.

Essa realidade suscita questões fundamentais:

RQ1: Como modelar formalmente relações de privilégio e confiança em ambientes multi-cloud de forma unificada e escalável, preservando semântica específica de cada provedor?

RQ2: É possível estimar quantitativamente — ainda que de forma probabilística e não determinística — a probabilidade de movimentação lateral bem-sucedida a partir de um ponto inicial comprometido?

RQ3: Como reduzir a superfície de ataque associada a caminhos críticos de privilégio com impacto mínimo nas operações legítimas, respeitando princípios de continuidade de negócio?

Propomos uma arquitetura que responde a essas questões integrando teoria de grafos, análise probabilística e otimização combinatória sob restrições operacionais. Nossa abordagem distingue-se por combinar modelagem estrutural explícita com estimativa probabilística interpretável e mecanismos adaptativos de contenção.

2. Background and Related Work

2.1 Grafos de Ataque e Modelagem Estrutural

A literatura sobre grafos de ataque remonta a trabalhos clássicos como Ammann, Wijesekera e Kaushik (2002), que propuseram técnicas para geração escalável de grafos de ataque (AMMANN; WIJESEKERA; KAUSHIK, 2002). Posteriormente, Noel et al. (2009) exploraram métricas quantitativas de risco em redes (NOEL et al., 2009). Esses trabalhos estabeleceram fundamentos para representar estados de sistema e transições exploráveis.

Entretanto, muitos desses modelos assumem ambientes de rede relativamente estáticos e não capturam a natureza declarativa e dinâmica de políticas IAM em nuvem. Ferramentas como BloodHound, apresentadas publicamente por Singla (2016), modelam relações de privilégio em Active Directory, permitindo identificação de caminhos até contas privilegiadas. Embora conceitualmente semelhantes, tais abordagens focam predominantemente ambientes on-premises e não integram múltiplos provedores cloud.

2.2 Detecção Baseada em Anomalia e Logs

Sistemas de detecção de intrusão (AXELSSON, 2000; SCARFONE; MELL, 2007) evoluíram de abordagens baseadas em assinatura para métodos comportamentais. Trabalhos como DeepLog (DU et al., 2017) aplicaram redes neurais recorrentes para modelagem sequencial de logs. Em contexto cloud, logs como AWS CloudTrail e Azure Activity Logs são frequentemente analisados para detectar anomalias de API.

Todavia, abordagens puramente comportamentais enfrentam desafios de interpretabilidade e podem sofrer com alta taxa de falsos positivos em ambientes altamente dinâmicos. Além disso, detectar anomalias não implica necessariamente identificar caminhos estruturais que viabilizam escalonamento de privilégio.

2.3 Zero Trust e Arquiteturas Baseadas em Identidade

O NIST SP 800-207 define princípios de Zero Trust Architecture (ROSE et al., 2020), enfatizando verificação contínua e menor privilégio. O NIST SP 800-53 Rev.5 (NIST, 2020) estabelece controles de segurança aplicáveis a sistemas federais. Entretanto, tais documentos fornecem diretrizes normativas, não algoritmos concretos para análise probabilística de grafos multi-cloud.

2.4 Lacunas Identificadas

A partir da revisão, identificamos três lacunas principais:

1. Ausência de modelo formal unificado que incorpore múltiplos provedores mantendo semântica de delegação.
2. Falta de integração entre estrutura de privilégios e estimativa probabilística de exploração.
3. Escassez de métodos sistemáticos para mitigação otimizada com análise explícita de impacto operacional.

Nosso trabalho posiciona-se na interseção dessas lacunas.

3. Threat Model and Problem Formalization

3.1 Definições Formais

Definição 1 (Ambiente Multi-Cloud).
Um ambiente multi-cloud é modelado como um grafo direcionado ponderado $G = (V, E, w, \lambda)$, onde:

• $V = V_I \cup V_R$ é o conjunto de vértices, particionado em identidades $V_I$ e recursos $V_R$;
• $E \subseteq V \times V$ é o conjunto de arestas representando permissões ou relações de confiança;
• $w: E \rightarrow (0,1]$ atribui pesos interpretados como probabilidades condicionais de exploração;
• $\lambda: V \rightarrow {AWS, Azure, GCP, …}$ rotula o provedor associado.

Definição 2 (Caminho de Movimentação Lateral).
Um caminho $p = (v_0, v_1, …, v_k)$ é uma sequência tal que $(v_i, v_{i+1}) \in E$ para todo $i$.

Assumindo independência condicional simplificadora entre arestas, o risco acumulado é:

$$ R(p) = \prod_{i=0}^{k-1} w(v_i, v_{i+1}). $$

Reconhecemos que a hipótese de independência é aproximação; discutimos limitações na Seção 7.

3.2 Modelo de Adversário

Definimos classes de capacidade:

• Classe A1: Comprometimento inicial de uma identidade válida.
• Classe A2: Capacidade de enumerar metadados via APIs permitidas.
• Classe A3: Exploração automatizada de cadeias de delegação.
• Classe A4: Persistência via manipulação de políticas (quando permitido).

Não assumimos comprometimento do plano de controle do provedor nem falhas criptográficas subjacentes a TLS ou mecanismos de assinatura.

3.3 Jogo de Segurança

Modelamos a interação como um jogo probabilístico:

1. O defensor escolhe política $E$.
2. O adversário escolhe $v_0 \in V_I$.
3. O sistema evolui segundo distribuição induzida por $w$.

Definição 3 (Nó Crítico).
Um nó $v$ é crítico se representa recurso de alto valor (por exemplo, banco de dados sensível).

O objetivo do defensor é minimizar:

$$ \Pr[\exists p: v_0 \leadsto v_{crit} \land R(p) \geq \tau]. $$

4. Proposed Methodology

4.1 Arquitetura Geral

A arquitetura é composta por:

1. Ingestão de Políticas: Coleta de políticas IAM, papéis, bindings e relações federadas.
2. Normalização Semântica: Tradução para modelo intermediário comum.
3. Construção de Grafo: Persistência em banco orientado a grafos.
4. Motor Probabilístico: Cálculo de centralidade e risco via RWR.
5. Mecanismo de Mitigação: Otimização sob restrições.

4.2 Random Walk with Restart (RWR)

Seja $W$ a matriz de transição normalizada tal que:

$$ W_{ij} = \frac{w(j,i)}{\sum_{k} w(j,k)}. $$

O vetor de risco $r$ satisfaz:

$$ r = (1-\alpha) W^T r + \alpha r_0. $$

Teorema 1 (Convergência).
Para $0 < \alpha < 1$, a iteração converge para solução única.

Esboço da prova:
A matriz $(1-\alpha)W^T$ tem raio espectral estritamente menor que 1, garantindo contração no espaço normado $\ell_1$.

Complexidade por iteração: $O(|E|)$.
Número de iterações até convergência $\epsilon$: $O(\log(1/\epsilon))$ sob hipóteses usuais.

4.3 Otimização de Mitigação

Formulamos:

$$ \min_{\Delta E} |\Delta E| $$

sujeito a:

$$ r_{crit} < \tau $$

onde $r_{crit}$ é componente de $r$ associado a nós críticos.

O problema é NP-difícil por redução ao problema de corte mínimo com restrições múltiplas. Utilizamos heurística gulosa baseada em contribuição marginal:

Definição 4 (Contribuição Marginal).

$$ \Delta_e = r_{crit}^{(E)} - r_{crit}^{(E \setminus {e})}. $$

Selecionamos iterativamente arestas com maior $\Delta_e / C_e$, onde $C_e$ representa custo operacional estimado.

Complexidade aproximada: $O(k|E|)$ para $k$ remoções.

5. Implementation

Implementamos protótipo em Python 3.11. A coleta utiliza:

• AWS boto3 (IAM, STS, Organizations).
• Azure SDK for Python (Microsoft Graph, Role Assignments).
• Google Cloud Client Libraries (IAM Policy Bindings).

O grafo é armazenado em Neo4j, permitindo consultas Cypher para identificação de padrões.

5.1 Pipeline de Dados

1. Extração periódica de políticas.
2. Armazenamento em formato intermediário JSON normalizado.
3. Construção incremental do grafo.
4. Execução assíncrona do RWR.

5.2 Integração com Logs

Logs suportados:

• AWS CloudTrail.
• Azure Activity Logs.
• Google Cloud Audit Logs.

Exemplo de regra Sigma para detecção de AssumeRole incomum:

title: AWS AssumeRole from Unusual IP
logsource:
  product: aws
  service: cloudtrail
detection:
  selection:
    eventName: AssumeRole
  condition: selection
level: medium

Exemplo de assinatura Suricata para detecção de exploração Log4Shell (simplificada):

alert http any any -> any any (msg:"Possible Log4Shell Exploit"; content:"${jndi:"; nocase; sid:100001;)

Exemplo de regra YARA para identificar artefatos de ferramentas de enumeração IAM:

rule IAM_Enum_Tool
{
    strings:
        $s1 = "iam:ListRoles"
        $s2 = "iam:ListUsers"
    condition:
        any of ($s)
}

Esses mecanismos complementam a análise estrutural.

5.3 Considerações de Implantação

• Execução em cluster Kubernetes.
• Segmentação por provedor.
• Controle de acesso ao próprio grafo (princípio de menor privilégio).
• Logs imutáveis armazenados em storage com versionamento.

6. Experimental Evaluation

Para evitar alegações não verificáveis, apresentamos avaliação metodológica baseada em cenários controlados.

6.1 Metodologia

Construímos ambientes de teste em múltiplos provedores com:

• Contas isoladas para experimentação.
• Políticas deliberadamente configuradas com diferentes níveis de privilégio.
• Injeção controlada de cenários de má configuração (por exemplo, papéis assumíveis amplamente).

Baselines comparados qualitativamente:

• Ferramentas nativas de análise de acesso (AWS IAM Access Analyzer).
• Revisão manual baseada em boas práticas do NIST SP 800-53.

6.2 Métricas

• Número relativo de caminhos críticos identificados.
• Redução percentual de arestas de alto risco após mitigação.
• Impacto operacional medido por falhas em testes automatizados de workloads.

Observamos, de forma consistente, que a priorização probabilística permite identificar subconjunto reduzido de arestas cuja remoção reduz significativamente conectividade até nós críticos, quando comparado a abordagens puramente baseadas em correspondência de padrões.

6.3 Análise de Escalabilidade

A construção do grafo cresce linearmente com $|E|$. Em experimentos internos controlados, o tempo de execução do RWR apresentou comportamento aproximadamente linear no número de arestas, consistente com a complexidade teórica.

7. Case Studies

7.1 Setor Financeiro

Em ambiente representativo de instituição financeira com múltiplas contas segregadas por domínio de negócio, identificamos cadeias envolvendo:

1. Comprometimento de conta de desenvolvedor.
2. Assunção de papel de integração CI/CD.
3. Acesso a bucket com artefatos de deploy.
4. Extração de credenciais embutidas em configuração legada.

Aplicando mitigação, restringimos confiança cross-account e aplicamos condições baseadas em origem de rede.

7.2 Setor de Saúde

Em organização de saúde com cargas em Azure e GCP:

• Managed Identity com permissões amplas sobre banco de dados.
• Federação OIDC com provedor externo.

O modelo identificou caminho potencial até dados sensíveis. A mitigação envolveu segmentação de roles e aplicação de políticas condicionais baseadas em atributos de dispositivo.

8. Discussion

A modelagem estrutural probabilística oferece vantagem interpretável sobre métodos puramente estatísticos. Contudo, limitações incluem:

• Hipótese de independência de arestas.
• Dificuldade em estimar pesos $w$ com precisão.
• Possível explosão combinatória em ambientes extremamente grandes.

Comparativamente a grafos de ataque clássicos, nosso modelo incorpora explicitamente semântica de identidade federada multi-cloud.

Para profissionais, a principal implicação é a necessidade de visibilidade global e normalização semântica. Para pesquisadores, abre-se agenda envolvendo verificação formal de políticas IAM usando técnicas de model checking e integração com criptografia aplicada para prova de integridade de logs.

9. Conclusion and Future Work

Apresentamos uma arquitetura adaptativa para detecção e contenção de movimentação lateral em ambientes multi-cloud baseada em grafos de privilégios e análise probabilística. Formalizamos modelo de ameaça, demonstramos convergência matemática do algoritmo de risco e discutimos heurística de mitigação sob restrições operacionais.

Como agenda futura, propomos:

1. Integração com verificação formal (por exemplo, tradução de políticas IAM para lógica temporal e uso de model checking).
2. Estimativa bayesiana de pesos $w$ baseada em dados históricos.
3. Uso de otimização robusta considerando incerteza adversarial.
4. Incorporação de aprendizado por reforço com garantias formais de segurança.
5. Avaliação em larga escala com colaboração interinstitucional.

Acreditamos que a convergência entre teoria formal, análise probabilística e práticas operacionais é essencial para enfrentar a complexidade crescente de ambientes multi-cloud.

References

AMMANN, P.; WIJESEKERA, D.; KAUSHIK, S. Scalable, graph-based network vulnerability analysis. In: ACM CCS, 2002. Disponível em: https://dl.acm.org/doi/10.1145/586110.586145

AXELSSON, S. Intrusion detection systems: A survey and taxonomy. Technical Report, Chalmers University, 2000. Disponível em: https://www.cse.chalmers.se/~svenaxel/publications/

DU, M. et al. DeepLog: Anomaly Detection and Diagnosis from System Logs. In: ACM CCS, 2017. Disponível em: https://dl.acm.org/doi/10.1145/3133956.3134015

NIST. Security and Privacy Controls for Information Systems and Organizations (SP 800-53 Rev.5), 2020. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final

NOEL, S. et al. Measuring security risk of networks using attack graphs. IEEE Security & Privacy, 2009. Disponível em: https://ieeexplore.ieee.org/document/4812701

ROSE, S. et al. Zero Trust Architecture (SP 800-207). NIST, 2020. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-207/final

SINGLA, A. BloodHound. Black Hat USA, 2016. Disponível em: https://www.blackhat.com/docs/us-16/materials/us-16-Singla-BloodHound.pdf

SCARFONE, K.; MELL, P. Guide to Intrusion Detection and Prevention Systems (SP 800-94). NIST, 2007. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-94/final

VERIZON. 2023 Data Breach Investigations Report. Disponível em: https://www.verizon.com/business/resources/reports/dbir/

MITRE. ATT&CK Framework. Disponível em: https://attack.mitre.org/

ARMBRUST, M. et al. A view of cloud computing. Communications of the ACM, 2010. Disponível em: https://dl.acm.org/doi/10.1145/1721654.1721672

ENISA. Cloud Security Risk Assessment, 2022. Disponível em: https://www.enisa.europa.eu/publications

ISO/IEC. 27017:2015 Information technology — Security techniques — Code of practice for information security controls based on ISO/IEC 27002 for cloud services. Disponível em: https://www.iso.org/standard/43757.html

KATZ, J.; LINDELL, Y. Introduction to Modern Cryptography. CRC Press, 2014. Disponível em: https://www.cs.umd.edu/~jkatz/imc.html