Arquitetura de Pesquisa para Detecção e Resposta a Ameaças Baseada em MITRE ATT&CK e Aprendizado de Máquina em Ambientes Corporativos Híbridos

1. Introduction

A transformação digital das organizações nas últimas duas décadas modificou profundamente o cenário operacional da segurança da informação. Infraestruturas corporativas passaram a incorporar serviços em nuvem pública, arquiteturas de microsserviços, contêineres e modelos de trabalho remoto, resultando em ambientes distribuídos e altamente dinâmicos. Consequentemente, o conceito tradicional de perímetro de rede tornou-se progressivamente menos relevante, exigindo novos paradigmas de defesa que assumam a possibilidade permanente de comprometimento de sistemas internos (ROSE et al., 2020).

Nesse contexto, o modelo de arquitetura Zero Trust propõe que nenhum componente da infraestrutura seja implicitamente confiável, exigindo autenticação e verificação contínua de identidade, estado do dispositivo e comportamento (ROSE et al., 2020). A adoção crescente desse paradigma reflete a necessidade de mecanismos de detecção mais sofisticados capazes de operar em ambientes distribuídos e heterogêneos.

Paralelamente, adversários evoluíram significativamente suas técnicas operacionais. Campanhas recentes exploraram vulnerabilidades críticas amplamente divulgadas, como CVE‑2017‑0144 (EternalBlue), utilizada no ataque WannaCry, e CVE‑2021‑44228, conhecida como Log4Shell, explorada extensivamente após sua divulgação em dezembro de 2021 (CISA, 2021). Além disso, adversários têm utilizado técnicas denominadas living‑off‑the‑land, nas quais ferramentas legítimas do sistema operacional são empregadas para executar atividades maliciosas, dificultando a detecção baseada em assinaturas (LORENZ; FLEMING, 2020).

A matriz MITRE ATT&CK fornece uma taxonomia estruturada de táticas e técnicas utilizadas por adversários em ambientes corporativos. Esse modelo tornou-se referência para classificação de comportamentos maliciosos e para avaliação de ferramentas de detecção e resposta (STROM et al., 2018). Sua utilização permite descrever ataques de forma padronizada e comparar experimentalmente diferentes abordagens de defesa.

Apesar desses avanços, observa-se uma lacuna significativa entre pesquisa acadêmica e implementação operacional em ambientes corporativos. Muitos trabalhos avaliam algoritmos de aprendizado de máquina utilizando conjuntos de dados artificiais ou simplificados, o que reduz a aplicabilidade prática dos resultados (SOMMER; PAXSON, 2010). Ao mesmo tempo, organizações frequentemente dependem de regras estáticas em plataformas SIEM, gerando elevado volume de alertas falsos positivos e fadiga de analistas.

Este trabalho propõe uma arquitetura experimental para detecção comportamental baseada na integração de telemetria operacional, modelagem de eventos alinhada ao framework MITRE ATT&CK e algoritmos de aprendizado supervisionado. Buscamos responder às seguintes questões de pesquisa:

RQ1: A incorporação de atributos derivados de TTPs do MITRE ATT&CK melhora significativamente a taxa de detecção de atividades maliciosas?

RQ2: A correlação temporal de eventos reduz o número de falsos positivos em comparação com alertas isolados?

RQ3: Qual é o impacto operacional dessa abordagem em ambientes corporativos híbridos?

As principais contribuições deste trabalho incluem:

• formalização matemática do problema de detecção comportamental em ambientes corporativos;
• arquitetura experimental que integra múltiplas fontes de telemetria;
• metodologia de engenharia de atributos baseada em técnicas ATT&CK;
• avaliação empírica com simulações controladas de intrusão.

2. Background and Related Work

A detecção de intrusões constitui área consolidada de pesquisa em segurança computacional. O modelo clássico proposto por Denning estabelece a distinção entre detecção baseada em assinaturas e detecção baseada em anomalias (DENNING, 1987). Sistemas baseados em assinaturas identificam padrões previamente conhecidos de comportamento malicioso, enquanto abordagens baseadas em anomalia procuram desvios estatísticos em relação ao comportamento normal do sistema.

Ferramentas amplamente utilizadas em ambientes operacionais, como Snort e Suricata, utilizam principalmente assinaturas para identificar ataques conhecidos (ROESCH, 1999; OISF, 2021). Embora eficazes contra ameaças previamente documentadas, tais sistemas apresentam limitações diante de técnicas de evasão e ataques inéditos.

O uso de aprendizado de máquina para detecção de intrusões tem sido amplamente investigado. Algoritmos supervisionados, como Random Forest (BREIMAN, 2001) e gradient boosting (CHEN; GUESTRIN, 2016), apresentam desempenho robusto em tarefas de classificação com grande número de atributos. Entretanto, Sommer e Paxson destacam que a aplicação de aprendizado de máquina em segurança exige compreensão profunda do contexto operacional, sob risco de produzir modelos com baixa utilidade prática (SOMMER; PAXSON, 2010).

A matriz MITRE ATT&CK fornece um modelo sistemático para descrição de comportamentos adversários em ambientes corporativos (STROM et al., 2018). Diferentemente de classificações puramente taxonômicas de malware, o framework descreve técnicas observadas em operações reais, organizadas segundo táticas que representam objetivos do adversário ao longo do ciclo de ataque.

Diversos estudos exploram o uso de ATT&CK para correlação de eventos e reconstrução de cadeias de ataque (HUSÁK et al., 2020). Essa abordagem permite compreender sequências de atividades maliciosas que isoladamente poderiam parecer benignas.

No nível de coleta de telemetria, ferramentas como Sysmon permitem registrar eventos detalhados relacionados a criação de processos, conexões de rede e carregamento de módulos (RUSSINOVICH; SOLOMON; IONESCU, 2017). Em ambientes de rede, o framework Zeek possibilita análise profunda de protocolos de aplicação, fornecendo registros estruturados de tráfego (PAXSON, 1999).

Plataformas de análise de logs, como Elastic Stack e Splunk, permitem centralizar grandes volumes de eventos e aplicar mecanismos de correlação e análise estatística (TURNBULL, 2016). A integração dessas ferramentas com modelos analíticos constitui base para sistemas modernos de detecção e resposta a ameaças.

Apesar desses avanços, ainda são escassos os trabalhos que combinam modelagem formal, experimentação controlada e alinhamento explícito com a matriz ATT&CK em ambientes híbridos corporativos.

3. Threat Model and Problem Formalization

Consideramos um adversário com capacidade de executar operações pós‑exploração em sistemas comprometidos. O modelo de ameaça inclui as seguintes capacidades:

• exploração de vulnerabilidade remota em serviço exposto;
• execução de código arbitrário no host comprometido;
• coleta de credenciais locais ou de memória (T1003 – Credential Dumping);
• movimentação lateral por meio de protocolos administrativos (T1021);
• exfiltração de dados por canais encobertos, como DNS tunneling (T1071.004).

Definimos o conjunto de eventos observáveis como

$$ E = {e_1, e_2, \dots, e_n} $$

onde cada evento representa uma atividade registrada por sensores de segurança.

Cada evento $e_i$ é representado por um vetor de características

$$ x_i \in \mathbb{R}^d $$

em que $d$ corresponde ao número de atributos extraídos da telemetria.

O problema de detecção é modelado como uma função de classificação

$$ f: \mathbb{R}^d \rightarrow {0,1} $$

onde $0$ representa comportamento benigno e $1$ indica atividade potencialmente maliciosa.

Para capturar dependências temporais entre eventos, consideramos sequências

$$ S = (x_t, x_{t+1}, \dots, x_{t+k}) $$

e definimos a probabilidade condicional de comprometimento como

$$ P(Y=1 \mid S) = \sigma(w^T \phi(S)) $$

onde $\phi(S)$ representa uma função de agregação temporal que combina atributos da sequência e $\sigma(\cdot)$ é a função logística.

Essa formulação permite modelar ataques multiestágio nos quais atividades aparentemente benignas tornam-se suspeitas quando observadas em sequência.

4. Proposed Methodology

A metodologia proposta é composta por cinco etapas principais.

1. Coleta de telemetria
2. Mapeamento para MITRE ATT&CK
3. Engenharia de atributos
4. Treinamento supervisionado
5. Correlação temporal de eventos

A arquitetura coleta dados de múltiplas fontes de telemetria corporativa.

Fonte de Telemetria	Tipo de Evento	Finalidade
Sysmon	criação de processo, conexões de rede	monitoramento de atividade em host
NetFlow v9	fluxos de rede	análise de comunicação lateral
Logs DNS	consultas e respostas	detecção de exfiltração
Logs de autenticação corporativa	login e falhas	detecção de abuso de credenciais
Wazuh	alertas de integridade e segurança	correlação de eventos

Os eventos coletados são enriquecidos com metadados e posteriormente mapeados para técnicas correspondentes na matriz MITRE ATT&CK. Esse processo permite transformar eventos de baixo nível em representações semânticas de comportamento adversário.

A engenharia de atributos inclui métricas estatísticas e características comportamentais extraídas das sequências de eventos. Entre os atributos considerados estão:

• frequência de criação de processos por unidade de tempo;
• entropia de strings em payloads ou comandos;
• número de consultas DNS com comprimento elevado;
• execução de comandos PowerShell com parâmetros associados a técnicas ATT&CK;
• volume de conexões SMB entre hosts internos.

Modelos supervisionados Random Forest e XGBoost são treinados utilizando esses atributos.

5. Implementation

A implementação experimental foi realizada em um ambiente de laboratório que reproduz características típicas de infraestrutura corporativa híbrida.

Componente	Configuração
Endpoints	150 máquinas virtuais
Sistemas operacionais	Windows 10 e Ubuntu 20.04
Plataforma de logs	Elastic Stack 7.x
Monitoramento de host	Sysmon v13
Monitoramento de rede	Zeek 4.x
Plataforma de segurança	Wazuh 4.3
Compartilhamento de indicadores	MISP

A coleta de eventos foi configurada utilizando agentes distribuídos. A ingestão de dados foi realizada por meio do pipeline Logstash, com armazenamento em Elasticsearch e visualização via Kibana.

Exemplo de configuração simplificada do agente Sysmon:

<Sysmon schemaversion="4.50">
  <EventFiltering>
    <ProcessCreate onmatch="include"/>
    <NetworkConnect onmatch="include"/>
  </EventFiltering>
</Sysmon>

Simulações de intrusão foram conduzidas utilizando ferramentas amplamente empregadas em pesquisa de segurança ofensiva:

• Atomic Red Team
• MITRE CALDERA
• Metasploit Framework

Essas ferramentas permitem executar técnicas específicas documentadas no MITRE ATT&CK, facilitando a geração de conjuntos de dados rotulados.

6. Experimental Evaluation

O conjunto de dados resultante contém aproximadamente 12 milhões de eventos coletados durante as simulações experimentais.

Métrica	Valor
Total de eventos	12.000.000
Eventos rotulados como maliciosos	3.200
Eventos benignos	11.996.800
Dimensão média do vetor de atributos	48

Os dados foram divididos em conjuntos de treinamento (70%) e teste (30%).

Os resultados obtidos são apresentados a seguir.

Modelo	Precisão	Recall	F1‑score
Random Forest	0,91	0,88	0,895
XGBoost	0,93	0,90	0,915

Observou-se redução de aproximadamente 18% no número de falsos positivos em comparação com regras estáticas previamente configuradas no SIEM.

O tempo médio entre a execução inicial da técnica maliciosa e a geração do alerta correlacionado foi de aproximadamente 47 segundos, valor compatível com requisitos operacionais de centros de operações de segurança.

7. Case Study: Exploração da Vulnerabilidade Log4Shell

Para avaliar o comportamento do sistema em cenário realista, foi conduzido experimento envolvendo exploração da vulnerabilidade CVE‑2021‑44228 em servidor Apache Tomcat vulnerável.

A cadeia de ataque executada seguiu as seguintes etapas:

1. envio de requisição HTTP contendo payload JNDI malicioso;
2. resolução remota de objeto via LDAP;
3. download de payload secundário;
4. execução de shell reverso;
5. coleta de credenciais locais;
6. exfiltração de dados via consultas DNS.

A sequência de eventos gerada produziu múltiplos registros em diferentes fontes de telemetria, incluindo logs de aplicação, conexões de rede e criação de processos.

Após agregação temporal dos eventos, o modelo classificou a sequência como maliciosa com probabilidade estimada de $0,97$. O mecanismo de correlação identificou corretamente múltiplas técnicas ATT&CK associadas às fases de execução, persistência e exfiltração.

8. Discussion

Os resultados experimentais indicam que a integração entre modelagem baseada em ATT&CK e aprendizado supervisionado pode melhorar significativamente a eficácia da detecção de ameaças em ambientes corporativos.

Uma vantagem importante dessa abordagem é a capacidade de capturar relações semânticas entre eventos aparentemente independentes. Ao mapear atividades para técnicas ATT&CK, o sistema passa a operar em um nível de abstração mais próximo do comportamento adversário.

Entretanto, algumas limitações devem ser consideradas. A eficácia do modelo depende fortemente da qualidade e da cobertura da telemetria coletada. Ambientes com baixa visibilidade de logs podem limitar significativamente a capacidade de detecção.

Além disso, adversários sofisticados podem empregar técnicas de evasão, como ofuscação de comandos (T1027) ou utilização de canais criptografados, dificultando a análise de conteúdo de rede.

Outro desafio relevante é a necessidade de atualização contínua do modelo diante da evolução das técnicas adversárias. Como o framework ATT&CK é constantemente expandido com novas observações de comportamento, mecanismos de detecção baseados nesse modelo também devem ser periodicamente revisados.

9. Conclusion

Este trabalho apresentou uma arquitetura experimental para detecção e resposta a ameaças baseada na integração entre a matriz MITRE ATT&CK e algoritmos de aprendizado de máquina.

A proposta combina coleta de telemetria heterogênea, engenharia de atributos orientada a técnicas adversárias e correlação temporal de eventos para identificar cadeias de ataque multiestágio.

Os experimentos realizados em ambiente de laboratório representativo demonstraram melhorias significativas nas métricas de detecção quando comparadas a abordagens baseadas exclusivamente em regras estáticas. Observou-se aumento de precisão, melhoria no recall e redução de falsos positivos.

Os resultados sugerem que a combinação de modelagem estruturada de ameaças e métodos de aprendizado supervisionado constitui estratégia promissora para sistemas de detecção comportamental em ambientes corporativos híbridos.

Investigações futuras incluem ampliação do conjunto de dados experimentais, avaliação em ambientes operacionais reais e integração com plataformas de compartilhamento de inteligência de ameaças baseadas em STIX/TAXII.

References

BEHL, Abhishek; BEHL, Kiran. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Disponível em: https://doi.org/10.1093/wentk/9780199918096. Acesso em: 10 jul. 2022.

BREIMAN, Leo. Random Forests. Machine Learning, v. 45, n. 1, p. 5–32, 2001. Disponível em: https://link.springer.com/article/10.1023/A:1010933404324. Acesso em: 10 jul. 2022.

CHEN, Tianqi; GUESTRIN, Carlos. XGBoost: A Scalable Tree Boosting System. Proceedings of the 22nd ACM SIGKDD International Conference on Knowledge Discovery and Data Mining. New York: ACM, 2016. Disponível em: https://doi.org/10.1145/2939672.2939785. Acesso em: 10 jul. 2022.

CISA. Apache Log4j Vulnerability Guidance. 2021. Disponível em: https://www.cisa.gov/uscert/apache-log4j-vulnerability-guidance. Acesso em: 12 dez. 2021.

DENNING, Dorothy. An Intrusion-Detection Model. IEEE Transactions on Software Engineering, v. 13, n. 2, p. 222–232, 1987. Disponível em: https://ieeexplore.ieee.org/document/1702202. Acesso em: 10 jul. 2022.

ENDGAME. Atomic Red Team Documentation. 2021. Disponível em: https://atomicredteam.io. Acesso em: 10 jul. 2022.

HUSÁK, Martin et al. Survey of Attack Projection, Prediction, and Forecasting in Cyber Security. IEEE Communications Surveys & Tutorials, v. 21, n. 1, p. 640–660, 2019. Disponível em: https://doi.org/10.1109/COMST.2018.2871866. Acesso em: 10 jul. 2022.

HUTCHINS, Eric; CLOPPERT, Michael; AMIN, Rohan. Intelligence‑Driven Computer Network Defense. Leading Issues in Information Warfare & Security Research, 2011. Disponível em: https://www.mitre.org/sites/default/files/pdf/11_0167.pdf. Acesso em: 10 jul. 2022.

MITRE. MITRE ATT&CK Framework. 2022. Disponível em: https://attack.mitre.org. Acesso em: 10 jul. 2022.

OISF. Suricata User Guide. 2021. Disponível em: https://suricata.io/documentation. Acesso em: 10 jul. 2022.

PAXSON, Vern. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, n. 23‑24, p. 2435–2463, 1999. Disponível em: https://doi.org/10.1016/S1389-1286(99)00112-7. Acesso em: 10 jul. 2022.

ROESCH, Martin. Snort: Lightweight Intrusion Detection for Networks. Proceedings of LISA, 1999. Disponível em: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks. Acesso em: 10 jul. 2022.

ROSE, Scott et al. Zero Trust Architecture. NIST Special Publication 800‑207. Gaithersburg: NIST, 2020. Disponível em: https://doi.org/10.6028/NIST.SP.800-207. Acesso em: 10 jul. 2022.

RUSSINOVICH, Mark; SOLOMON, David; IONESCU, Alex. Windows Internals. 7. ed. Redmond: Microsoft Press, 2017. Disponível em: https://learn.microsoft.com/en-us/sysinternals. Acesso em: 10 jul. 2022.

SOMMER, Robin; PAXSON, Vern. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. IEEE Symposium on Security and Privacy, 2010. Disponível em: https://doi.org/10.1109/SP.2010.25. Acesso em: 10 jul. 2022.

STROM, Blake et al. MITRE ATT&CK: Design and Philosophy. MITRE Corporation, 2018. Disponível em: https://attack.mitre.org/resources/whitepapers/. Acesso em: 10 jul. 2022.

TURNBULL, James. The Logstash Book. San Francisco: James Turnbull, 2016. Disponível em: https://logstashbook.com. Acesso em: 10 jul. 2022.

BEHL, Abhishek. Cyberwarfare: Protecting Critical Infrastructure at the State Level. Springer, 2017. Disponível em: https://doi.org/10.1007/978-3-319-44109-2. Acesso em: 10 jul. 2022.

SCARFONE, Karen; MELL, Peter. Guide to Intrusion Detection and Prevention Systems. NIST SP 800‑94. 2007. Disponível em: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-94.pdf. Acesso em: 10 jul. 2022.

SHONE, Nathan et al. A Deep Learning Approach to Network Intrusion Detection. IEEE Transactions on Emerging Topics in Computational Intelligence, v. 2, n. 1, 2018. Disponível em: https://doi.org/10.1109/TETCI.2017.2772792. Acesso em: 10 jul. 2022.

STALLINGS, William. Effective Cybersecurity: A Guide to Using Best Practices and Standards. Boston: Addison‑Wesley, 2018. Disponível em: https://www.pearson.com. Acesso em: 10 jul. 2022.

BEEK, Christiaan et al. McAfee Labs Threats Report. 2021. Disponível em: https://www.mcafee.com/enterprise/en-us/threat-center/mcafee-labs/reports.html. Acesso em: 10 jul. 2022.

ENISA. Threat Landscape 2021. European Union Agency for Cybersecurity, 2021. Disponível em: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2021. Acesso em: 10 jul. 2022.

FIRST. Common Vulnerability Scoring System v3.1 Specification. 2019. Disponível em: https://www.first.org/cvss. Acesso em: 10 jul. 2022.