Arquitetura Formal e Operacional para Resposta a Incidentes Baseada em Grafos de Ataque e Correlação Multi‑Fonte Orientada por Evidências com MITRE ATT&CK

1. Introduction

A Resposta a Incidentes (Incident Response – IR) constitui um dos pilares operacionais da defesa cibernética contemporânea. A transformação digital das organizações produziu ambientes altamente distribuídos compostos por serviços em nuvem, aplicações baseadas em microsserviços, identidades federadas e cadeias de suprimento de software complexas. Nesse contexto, o modelo tradicional de segurança baseado em perímetro perdeu eficácia, sendo progressivamente substituído por arquiteturas orientadas por identidade, telemetria contínua e políticas dinâmicas de acesso (ROSE et al., 2020).

O NIST SP 800‑61 Rev.2 define resposta a incidentes como um processo estruturado composto por preparação, detecção e análise, contenção, erradicação e recuperação (CICHONSKI et al., 2012). Apesar de amplamente adotado, o documento mantém natureza predominantemente processual e não fornece formalização algorítmica para reconstrução automatizada de cadeias de ataque a partir de múltiplas fontes de dados. De modo semelhante, o modelo Cyber Kill Chain propõe uma sequência conceitual de estágios de intrusão, porém assume progressão relativamente linear, enquanto campanhas modernas frequentemente exibem ramificações paralelas e persistência distribuída (HUTCHINS; CLOPPERT; AMIN, 2011).

Diversos incidentes reais evidenciam essa complexidade. A vulnerabilidade Log4Shell (CVE‑2021‑44228) possibilitou execução remota de código por meio de injeção JNDI em aplicações Java e foi explorada em larga escala logo após sua divulgação pública (NIST, 2021). O comprometimento da cadeia de suprimentos da SolarWinds Orion demonstrou como adversários podem manter acesso persistente durante longos períodos antes da detecção (MANDIANT, 2021). Campanhas de ransomware documentadas em relatórios industriais frequentemente combinam técnicas como credential dumping, movimentação lateral e exfiltração de dados antes da criptografia final (VERIZON, 2023).

A literatura operacional sugere que a dificuldade central não reside apenas na detecção inicial, mas na correlação contextual de múltiplos alertas gerados por ferramentas distintas. Sistemas SIEM, EDR, NDR e plataformas de identidade produzem telemetria heterogênea, frequentemente armazenada em silos. Regras estáticas de detecção — como aquelas expressas em Sigma — são eficazes para padrões conhecidos, mas não capturam adequadamente dependências estruturais entre eventos (ROTH; HILBRICH, 2020).

Inspirados por pesquisas sobre grafos de proveniência e detecção de campanhas avançadas (MILAJERDI et al., 2019), propomos modelar o processo de resposta a incidentes como inferência probabilística sobre grafos direcionados enriquecidos semanticamente com o framework MITRE ATT&CK (STROM et al., 2018).

As questões de pesquisa que orientam este estudo são:

• RQ1: Como modelar formalmente a correlação de eventos multi‑fonte em cadeias de ataque coerentes preservando consistência temporal e semântica?
• RQ2: Como priorizar ações de resposta considerando impacto operacional e posição estrutural do evento no grafo de ataque?
• RQ3: Qual o ganho qualitativo na investigação quando se utiliza correlação baseada em TTPs em comparação com regras isoladas?

Nossas contribuições principais incluem: (i) uma formalização matemática do processo de correlação de eventos em IR baseada em grafos probabilísticos; (ii) algoritmos de construção e priorização com análise de complexidade; e (iii) uma arquitetura operacional integrável a ferramentas amplamente utilizadas em ambientes corporativos.

2. Background and Related Work

A literatura sobre resposta a incidentes pode ser organizada em quatro vertentes principais: frameworks processuais, modelagem de ataques, correlação baseada em grafos e padronização de inteligência de ameaças.

Frameworks processuais incluem diretrizes institucionais amplamente adotadas. O NIST SP 800‑61 fornece orientação detalhada para a gestão de incidentes em organizações (CICHONSKI et al., 2012), enquanto o NIST SP 800‑86 aborda a integração entre investigação forense e resposta a incidentes (KENT et al., 2006). Organizações europeias também publicaram recomendações operacionais por meio da ENISA, enfatizando governança e maturidade organizacional (ENISA, 2022).

Na modelagem de ataques, duas abordagens tornaram-se predominantes. O modelo Cyber Kill Chain descreve fases sequenciais da intrusão adversária (HUTCHINS; CLOPPERT; AMIN, 2011). Já o framework MITRE ATT&CK fornece uma taxonomia extensiva de táticas, técnicas e procedimentos baseada em observação empírica de campanhas reais (STROM et al., 2018). ATT&CK tornou-se referência na indústria por possibilitar mapeamento padronizado entre detecções e comportamentos adversários.

Em termos de pesquisa acadêmica, grafos de dependência e grafos de proveniência têm sido utilizados para reconstrução de ataques complexos. O sistema HOLMES propõe detecção em tempo quase real de campanhas APT por meio da correlação de dependências entre eventos de sistema (MILAJERDI et al., 2019). Trabalhos anteriores também exploraram grafos de ataque para análise de risco e modelagem de vulnerabilidades (NOEL; JAJODIA, 2004).

Sommer e Paxson (2010) argumentam que abordagens puramente baseadas em aprendizado supervisionado frequentemente falham em ambientes de segurança devido à natureza aberta e adaptativa das ameaças. Essa crítica reforça a importância de modelos interpretáveis capazes de fornecer contexto analítico para analistas humanos.

No campo da interoperabilidade de inteligência de ameaças, padrões como STIX 2.1 permitem representar indicadores, técnicas e relacionamentos estruturados de forma interoperável entre organizações (OASIS, 2021). A integração entre telemetria operacional e inteligência estruturada constitui um elemento importante para correlação avançada de eventos.

A Tabela 1 resume algumas abordagens relevantes.

Abordagem	Tipo de Modelo	Limitação Principal
Cyber Kill Chain	Sequencial	Supõe progressão linear
MITRE ATT&CK	Taxonomia comportamental	Não probabilístico
HOLMES	Grafo de dependência	Complexidade operacional
SIEM tradicional	Regras estáticas	Baixo contexto estrutural

Apesar dos avanços, ainda existe lacuna na formalização matemática de mecanismos de correlação aplicáveis diretamente em ambientes operacionais de resposta a incidentes.

3. Threat Model and Problem Formalization

3.1 Modelo de Ameaça

Definimos o sistema monitorado como um conjunto de ativos $\mathcal{S}$ e um conjunto de fontes de telemetria $\mathcal{L}$.

Um adversário $\mathcal{A}$ é modelado como entidade probabilística capaz de executar técnicas pertencentes a diferentes classes operacionais:

• exploração inicial de vulnerabilidades públicas
• execução e persistência local
• escalonamento de privilégios
• movimentação lateral autenticada
• exfiltração de dados e comunicação de comando e controle

O modelo assume observabilidade parcial da atividade adversária.

3.2 Grafo de Ataque Observado

Seja $E = {e_1,\dots,e_n}$ o conjunto de eventos coletados.

Cada evento é representado por um vértice enriquecido:

$$ v_i = (t_i, a_i, u_i, \tau_i, w_i) $$

onde:

• $t_i$ representa o timestamp
• $a_i$ representa o ativo envolvido
• $u_i$ representa a identidade associada
• $\tau_i$ representa a técnica MITRE ATT&CK
• $w_i$ representa peso inicial

Um grafo direcionado $G=(V,E’)$ é definido tal que existe uma aresta $(v_i,v_j)$ quando:

1. $t_i < t_j$
2. existe relação causal plausível
3. a transição entre técnicas é semanticamente compatível.

Definimos a probabilidade condicional:

$$ P(v_j|v_i) = \alpha \cdot sim(\tau_i,\tau_j) + \beta \cdot g(t_j-t_i) + \gamma \cdot h(a_i,a_j) $$

com $\alpha+\beta+\gamma = 1$.

A cadeia de ataque mais provável é obtida por:

$$ \hat{C} = \arg\max_C \prod_{j=1}^{k-1} P(v_{i_{j+1}}|v_{i_j}) $$

3.3 Consistência sob Observabilidade Parcial

Teorema 1: se eventos críticos forem observados com probabilidade mínima $p_0 > 0.5$, então a estimativa da cadeia de ataque converge probabilisticamente para a sequência real à medida que o número de eventos observados aumenta.

A prova segue argumento de razão de verossimilhança sob independência condicional aproximada.

4. Proposed Methodology

4.1 Arquitetura Geral

A arquitetura proposta consiste em cinco camadas:

• coleta de telemetria
• normalização de logs
• enriquecimento semântico
• armazenamento híbrido
• análise e priorização

Fontes típicas incluem eventos Sysmon, logs de identidade, sensores IDS/IPS e telemetria de endpoint.

4.2 Pipeline de Normalização

Logs heterogêneos são transformados em um esquema comum utilizando pipeline baseado em Logstash.

input { beats { port => 5044 } }

filter {
  json { source => "message" }
}

output {
  elasticsearch { hosts => ["localhost:9200"] }
}

Após normalização, eventos são enriquecidos com mapeamento para técnicas ATT&CK.

4.3 Construção Otimizada do Grafo

Para evitar complexidade quadrática:

Ordenar eventos por timestamp
Indexar por ativo e identidade
Para cada evento:
   recuperar eventos dentro da janela Δ
   verificar compatibilidade semântica
   criar aresta no grafo

Se a janela temporal contém $k$ eventos em média, a complexidade torna‑se aproximadamente $O(nk)$.

4.4 Priorização Estrutural

Definimos o score operacional:

$$ Score(v) = I(v) \times PR(v) $$

onde $I(v)$ representa criticidade do ativo e $PR(v)$ corresponde ao PageRank do vértice.

$$ PR(v_i) = \frac{1-d}{|V|} + d \sum_{v_j \in In(v_i)} \frac{PR(v_j)}{outdeg(v_j)} $$

A convergência do algoritmo segue propriedades clássicas de cadeias de Markov ergódicas.

5. Implementation

A implementação experimental utiliza o seguinte stack tecnológico:

Componente	Ferramenta
SIEM / busca	Elastic Stack 8.x
HIDS	Wazuh 4.x
IDS de rede	Suricata 6.x
Banco de grafos	Neo4j 5.x

Eventos indexados no Elastic são associados a nós correspondentes no Neo4j por meio de identificadores únicos.

A comunicação entre serviços utiliza TLS e autenticação baseada em certificados.

6. Experimental Evaluation

A avaliação experimental foi conduzida em ambiente virtualizado com múltiplos segmentos de rede e domínio Active Directory.

Cenários simulados incluíram:

• exploração inicial via vulnerabilidade web
• persistência local
• movimentação lateral
• exfiltração de dados

As abordagens comparadas foram:

Método	Descrição
SIEM tradicional	regras isoladas
Correlação temporal	janela fixa
Abordagem proposta	grafo probabilístico

Os resultados indicaram tendência consistente de redução na fragmentação investigativa e maior consolidação de alertas relacionados ao mesmo incidente.

7. Case Studies

7.1 Cenário de Ransomware Corporativo

A cadeia de ataque simulada incluiu exploração de VPN vulnerável (CVE‑2019‑11510), coleta de credenciais, movimentação lateral via SMB e exfiltração de dados.

Ferramentas utilizadas na investigação:

• Velociraptor para coleta de memória
• Volatility para análise forense
• isolamento de hosts via EDR

O grafo evidenciou o controlador de domínio como vértice de alta centralidade estrutural.

7.2 Ambiente Hospitalar

O segundo cenário simulou exploração de servidor web exposto seguida de implantação de webshell e acesso a sistemas clínicos.

A correlação baseada em grafos permitiu identificar rapidamente o nó inicial comum da intrusão.

A resposta operacional incluiu segmentação emergencial da rede conforme princípios de Zero Trust (ROSE et al., 2020).

8. Discussion

A principal contribuição do modelo proposto reside na integração entre formalização matemática e aplicabilidade operacional. A utilização de grafos probabilísticos permite representar dependências complexas entre eventos sem sacrificar interpretabilidade.

Entretanto, algumas limitações devem ser consideradas. A eficácia do método depende da qualidade da telemetria coletada e do mapeamento adequado de eventos para técnicas ATT&CK. Além disso, ambientes de grande escala exigem estratégias adicionais de particionamento de grafos e armazenamento distribuído.

9. Conclusion

Este trabalho apresentou uma arquitetura formal e operacional para resposta a incidentes baseada em grafos de ataque enriquecidos com MITRE ATT&CK. Demonstramos como a correlação probabilística de eventos multi‑fonte permite reconstruir cadeias de ataque complexas e priorizar ações defensivas de forma estruturada.

A abordagem contribui para aproximar teoria e prática em segurança cibernética, fornecendo base analítica para sistemas de resposta a incidentes mais explicáveis e escaláveis.

References

ALBERTS, Christopher; DOROFEE, Audrey. Managing Information Security Risks. Boston: Addison‑Wesley, 2002. Disponível em: https://resources.sei.cmu.edu/library/asset-view.cfm?assetid=5153

BEHL, Abhishek; BEHL, Kiran. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Disponível em: https://global.oup.com

CICHONSKI, Paul et al. Computer Security Incident Handling Guide. NIST SP 800‑61 Rev.2. Gaithersburg: NIST, 2012. Disponível em: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf

ENISA. Incident Response Frameworks and Guidelines. 2022. Disponível em: https://www.enisa.europa.eu

GARFINKEL, Simson. Digital Forensics Research: The Next 10 Years. IEEE Security & Privacy, 2010. Disponível em: https://doi.org/10.1109/MSP.2010.89

HUTCHINS, Eric; CLOPPERT, Michael; AMIN, Rohan. Intelligence‑Driven Computer Network Defense. 2011. Disponível em: https://apps.dtic.mil/sti/pdfs/ADA546356.pdf

KENT, Karen et al. Guide to Integrating Forensic Techniques into Incident Response. NIST SP 800‑86. 2006. Disponível em: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-86.pdf

MANDIANT. M‑Trends 2023. 2023. Disponível em: https://www.mandiant.com/resources/m-trends

MANDIANT. Highly Evasive Attacker Leverages SolarWinds Supply Chain. 2021. Disponível em: https://www.mandiant.com/resources

MILAJERDI, Sadegh et al. HOLMES: Real‑Time APT Detection through Correlation of Suspicious Information Flows. IEEE Symposium on Security and Privacy, 2019. https://doi.org/10.1109/SP.2019.00034

NOEL, Steven; JAJODIA, Sushil. Understanding Complex Network Attack Graphs. IEEE Computer Security Applications Conference, 2004. https://doi.org/10.1109/CSAC.2004.37

NIST. CVE‑2021‑44228 Detail. 2021. Disponível em: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

OASIS. STIX Version 2.1. 2021. Disponível em: https://docs.oasis-open.org/cti/stix/v2.1/stix-v2.1.html

PAXSON, Vern; SOMMER, Robin. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. IEEE Symposium on Security and Privacy, 2010. https://doi.org/10.1109/SP.2010.25

ROSE, Scott et al. Zero Trust Architecture. NIST SP 800‑207. 2020. https://doi.org/10.6028/NIST.SP.800-207

ROTH, Florian; HILBRICH, Thomas. Sigma: Generic Signature Format for SIEM Systems. 2020. Disponível em: https://github.com/SigmaHQ/sigma

SCARFONE, Karen; MELL, Peter. Guide to Intrusion Detection and Prevention Systems. NIST SP 800‑94. 2007. Disponível em: https://nvlpubs.nist.gov

STALLINGS, William. Effective Cybersecurity. Boston: Addison‑Wesley, 2018. Disponível em: https://www.pearson.com

STROM, Blake et al. MITRE ATT&CK: Design and Philosophy. MITRE Corporation, 2018. Disponível em: https://attack.mitre.org/docs/ATTACK_Design_and_Philosophy_March_2020.pdf

VERIZON. 2023 Data Breach Investigations Report. 2023. Disponível em: https://www.verizon.com/business/resources/reports/dbir/

WAGNER, David; DEAN, Drew. Intrusion Detection via Static Analysis. IEEE Symposium on Security and Privacy, 2001. https://doi.org/10.1109/SECPRI.2001.924286

YUILL, Jeffrey; ZAPPALA, Daniel. Detecting Stealthy Network Intrusions. Springer, 2011. Disponível em: https://link.springer.com

ZHANG, Yan; LEE, Wenke. Intrusion Detection Techniques for Mobile Wireless Networks. Wireless Networks, 2000. https://doi.org/10.1023/A:1019104326699

ZHOU, Jianying; LOPEZ, Javier. Information Security Theory and Practices. Springer, 2013. Disponível em: https://link.springer.com