HKHiago Kin Levi
← Voltar aos artigos

Paper Files / Research

Arquitetura Híbrida Baseada em Telemetria Multi-Camada e Correlação Orientada ao MITRE ATT&CK para Detecção Proativa de Ameaças Avançadas em Ambientes Corporativos

ResearchPT

A detecção de ameaças avançadas em ambientes corporativos heterogêneos constitui um desafio persistente para centros de operações de segurança (SOCs), especialmente diante da crescente sofisticação de campanhas multiestágio observadas na segunda metade da década de 2010. Relatórios públicos indicam que o tempo médio de permanência (dwell time) de adversários em redes corporativas ainda era da ordem de dezenas de dias em 2018, evidenciando lacunas nos mecanismos tradicionais de detecção baseados predominantemente em assinaturas e regras estáticas. Neste trabalho, propomos uma arquitetura híbrida fundamentada na integração de telemetria multi-camada — rede, endpoint e logs de sistema — combinada com um mecanismo formal de correlação temporal orientado à matriz MITRE ATT&CK (versões até 2019). Modelamos o processo de detecção como um problema de inferência sobre grafos temporais, no qual eventos normalizados são representados como vértices e relações causais são inferidas com base em proximidade temporal e coerência semântica entre técnicas adversárias. Formalizamos propriedades de detecção em termos de limites superiores de tempo médio para detecção (MTTD) e avaliamos empiricamente a proposta em ambiente controlado utilizando datasets públicos (CIC-IDS2017, UNSW-NB15) e cenários adversariais reproduzidos com Atomic Red Team. Os resultados indicam aumento significativo na taxa de detecção verdadeira (TPR) e redução de falsos positivos quando comparados a um SIEM tradicional baseado exclusivamente em regras determinísticas. Demonstramos que a correlação semântica alinhada ao ATT&CK permite reduzir o ruído operacional sem recorrer a modelos opacos de aprendizado profundo, preservando interpretabilidade e auditabilidade — requisitos essenciais para conformidade regulatória, inclusive sob o Regulamento Geral de Proteção de Dados (GDPR). Concluímos que a integração pragmática de múltiplas fontes de telemetria, aliada a formalização matemática do processo de correlação, representa um caminho viável para aprimorar a detecção proativa de ameaças avançadas no contexto tecnológico de 2019.

  1. Introduction

A detecção de ameaças avançadas permanece um dos maiores desafios operacionais enfrentados por Security Operations Centers (SOCs) contemporâneos. Relatórios como o M-Trends 2019 indicam que o tempo médio global de permanência (dwell time) de adversários em 2018 situava-se em aproximadamente 78 dias, ainda que com variações regionais significativas (MANDIANT, 2019). Tal cenário evidencia a dificuldade das organizações em identificar ataques multiestágio que combinam exploração inicial, movimento lateral, escalonamento de privilégios e exfiltração de dados.

Ataques amplamente documentados, como WannaCry (2017) e NotPetya (2017), demonstraram a capacidade de adversários explorarem vulnerabilidades críticas (por exemplo, MS17-010) para propagação lateral automatizada (GREENBERG, 2018; US-CERT, 2017). Campanhas posteriores, como Ryuk (2018), evidenciaram integração entre comprometimento inicial e extorsão direcionada (CISA, 2018). Em paralelo, a crescente adoção de infraestrutura híbrida e virtualizada ampliou a superfície de ataque, exigindo mecanismos de detecção capazes de correlacionar eventos provenientes de múltiplas camadas.

Do ponto de vista técnico, muitas organizações ainda dependem de SIEMs tradicionais baseados em regras determinísticas e assinaturas. Embora eficazes contra ameaças conhecidas, tais sistemas apresentam limitações estruturais frente a ataques fileless e técnicas de evasão. Axelsson (2000) demonstrou que, mesmo com alta taxa de detecção verdadeira, a baixa prevalência de ataques implica elevada taxa de falso positivo devido ao efeito base-rate. Sommer e Paxson (2010) alertaram para os riscos da aplicação ingênua de aprendizado de máquina sem contextualização operacional adequada.

Formulamos, assim, as seguintes questões de pesquisa:

RQ1: Como integrar telemetria multi-camada de forma coerente para aumentar a detecção de ataques multiestágio?

RQ2: É possível reduzir falsos positivos por meio de correlação semântica baseada na matriz MITRE ATT&CK (versões até 2019)?

RQ3: Qual o impacto operacional, medido em termos de MTTD, de uma arquitetura híbrida em comparação com SIEMs tradicionais?

Nossas contribuições principais são:

C1: Proposição de uma arquitetura formal baseada em grafos temporais para correlação de eventos alinhados ao ATT&CK.

C2: Implementação prática utilizando ferramentas open-source consolidadas até 2019 (Suricata 4.x/5.x, Sysmon 10.x, Elastic Stack 7.x, YARA 3.x, Volatility 2).

C3: Avaliação quantitativa demonstrando ganhos estatisticamente significativos em TPR e redução de falsos positivos.

  1. Background e Trabalhos Relacionados

Sistemas de detecção de intrusão podem ser formalizados como classificadores binários $f: X \rightarrow {0,1}$, onde $X$ representa o espaço de eventos observáveis. Axelsson (2000) demonstrou que a probabilidade posterior de ataque é dada por:

$$ P(A|B)=\frac{P(B|A)P(A)}{P(B)} $$

onde $P(A)$ é a probabilidade a priori de ocorrência de ataque. Em ambientes corporativos, $P(A)$ tende a ser extremamente baixo, implicando que mesmo pequenas taxas de falso positivo resultam em grande volume de alertas espúrios.

Abordagens baseadas em assinatura, como Snort (ROESCH, 1999) e Suricata (OISF, 2018), utilizam correspondência determinística de padrões. Já abordagens baseadas em anomalia aplicam técnicas estatísticas ou aprendizado supervisionado (SOMMER; PAXSON, 2010). Estudos com redes neurais recorrentes foram propostos para detecção em tráfego de rede (KIM et al., 2016), mas enfrentam desafios de interpretabilidade e adaptação a ambientes reais.

A matriz MITRE ATT&CK, consolidada e amplamente adotada até 2019, fornece taxonomia estruturada de táticas e técnicas adversárias (MITRE, 2019). Sua utilização em contextos de threat hunting e purple teaming tornou-se prática comum, permitindo mapeamento sistemático de logs para comportamentos adversários (STROM et al., 2018).

Husák et al. (2018) discutem projeção e predição de ataques com base em correlação de alertas. No entanto, identificamos lacunas na integração prática entre telemetria de rede e endpoint sob um modelo matematicamente formalizado.

  1. Modelo de Ameaça e Formalização do Problema

Assumimos um adversário com as seguintes capacidades, compatíveis com campanhas observadas até 2019:

Modelamos o sistema como um grafo temporal $G=(V,E,T)$, onde:

Definimos uma sequência de ataque como um caminho simples $P={v_1,\ldots,v_n}$ tal que cada $v_i$ corresponde a técnica distinta do ATT&CK e $T(v_{i+1})-T(v_i)\leq \Delta t$.

A propriedade de segurança desejada é:

$$ \forall P_{malicioso}, \exists t_d : T(v_n)-t_d < \theta $$

onde $t_d$ é o instante de detecção e $\theta$ representa o limite máximo aceitável de MTTD.

  1. Metodologia Proposta

A arquitetura proposta compreende quatro camadas:

  1. Coleta – Suricata (rede), Sysmon (endpoint), Winlogbeat.
  2. Normalização – Elastic Stack 7.x com Elastic Common Schema.
  3. Enriquecimento – Mapeamento ATT&CK via regras Sigma (versões até 2019).
  4. Correlação – Motor baseado em grafos temporais implementado em Python.

Algoritmo 1 – Construção do Grafo

Algorithm 1: BuildTemporalGraph
Input: Event stream E
Output: Graph G

1: Initialize G = (V={}, E={})
2: for each event e in E do
3:     v ← Normalize(e)
4:     V ← V ∪ {v}
5:     for each v' in Window(V, Δt) do
6:         if ATTACK_relation(v', v) then
7:             E ← E ∪ {(v', v)}
8: return G

A complexidade aproximada é $O(n \cdot k)$, onde $k$ representa o número médio de eventos na janela temporal $\Delta t$.

Algoritmo 2 – Detecção de Cadeias

Algorithm 2: DetectAttackPath
Input: Graph G
Output: Alerts A

1: for each path P in G do
2:     if length(P) ≥ λ and MatchesKillChain(P) then
3:         A ← A ∪ {P}
4: return A
  1. Implementação

Implementamos a arquitetura com:

Exemplo de regra Sigma convertida:

logsource:
  product: windows
detection:
  selection:
    CommandLine|contains: "EncodedCommand"
condition: selection

O cluster Elasticsearch foi configurado com três nós (32 GB RAM cada), utilizando replicação primária-secundária e particionamento por índice diário.

  1. Avaliação Experimental

O ambiente experimental incluiu 12 servidores (Intel Xeon, 128 GB RAM) e 1,2 TB de logs agregados. Utilizamos os datasets CIC-IDS2017 (SHARAFALDIN et al., 2018) e UNSW-NB15 (MOUSTAFA; SLAY, 2015), além de 45 cenários reproduzidos com Atomic Red Team (RED CANARY, 2019).

As métricas consideradas foram:

Método TPR FPR MTTD
SIEM tradicional 0,72 0,18 4h12m
Arquitetura proposta 0,91 0,11 47m

Observamos desvio padrão de ±0,03 na TPR. A redução relativa de falsos positivos foi de aproximadamente 38,9%. Teste t bilateral indicou $p < 0,01$, sugerindo significância estatística.

  1. Estudo de Caso

Simulamos cenário inspirado em campanhas de 2017–2018:

  1. Exploração SMB.
  2. Execução remota via PowerShell.
  3. Beacon C2 via HTTPS.
  4. Movimento lateral.
  5. Dump de credenciais LSASS.

A correlação identificou a cadeia completa em 39 minutos, atendendo ao limite $\theta$ estabelecido (1 hora).

  1. Discussão

Os resultados confirmam que correlação semântica orientada ao ATT&CK reduz ruído operacional sem sacrificar interpretabilidade. Diferentemente de modelos puramente estatísticos, a abordagem baseada em grafos permite rastreabilidade explícita entre eventos.

Limitações incluem custo computacional crescente com alta volumetria de logs e dependência de cobertura adequada de telemetria. Ademais, a manutenção de mapeamentos ATT&CK exige atualização contínua conforme evolução das técnicas adversárias.

  1. Conclusão

Demonstramos que arquitetura híbrida orientada à matriz MITRE ATT&CK, fundamentada em modelo formal de grafos temporais, melhora significativamente a detecção de ameaças avançadas em ambientes corporativos no contexto tecnológico de 2019. A integração multi-camada mostrou-se essencial para reduzir MTTD e FPR, mantendo transparência analítica e aderência a requisitos regulatórios.

References

AXELSSON, Stefan. The base-rate fallacy and the difficulty of intrusion detection. ACM Transactions on Information and System Security, v. 3, n. 3, p. 186-205, 2000. Disponível em: https://doi.org/10.1145/357830.357849. Acesso em: 13 abr. 2026.

CISA. Alert (AA18-337A): Ryuk Ransomware. 2018. Disponível em: https://www.cisa.gov/news-events/alerts/aa18-337a. Acesso em: 13 abr. 2026.

GREENBERG, Andy. The Untold Story of NotPetya. Wired, 2018. Disponível em: https://www.wired.com/story/notpetya-cyberattack-ukraine-russia-code-crashed-the-world/. Acesso em: 13 abr. 2026.

HUSÁK, Martin et al. Survey of attack projection, prediction, and forecasting in cybersecurity. IEEE Communications Surveys & Tutorials, v. 21, n. 1, p. 640-660, 2018. Disponível em: https://doi.org/10.1109/COMST.2018.2871866. Acesso em: 13 abr. 2026.

KIM, Giacinto et al. Long short term memory recurrent neural network classifier for intrusion detection. International Conference on Platform Technology and Service, 2016. Disponível em: https://doi.org/10.1109/PlatCon.2016.7456805. Acesso em: 13 abr. 2026.

MANDIANT. M-Trends 2019 Report. 2019. Disponível em: https://www.mandiant.com/resources/m-trends-2019. Acesso em: 13 abr. 2026.

MITRE. MITRE ATT&CK Framework. Version 8, 2019. Disponível em: https://attack.mitre.org/. Acesso em: 13 abr. 2026.

MOUSTAFA, Nour; SLAY, Jill. UNSW-NB15: A comprehensive data set for network intrusion detection systems. Military Communications and Information Systems Conference, 2015. Disponível em: https://doi.org/10.1109/MilCIS.2015.7348942. Acesso em: 13 abr. 2026.

OISF. Suricata User Guide. 2018. Disponível em: https://suricata.io/documentation/. Acesso em: 13 abr. 2026.

RED CANARY. Atomic Red Team. 2019. Disponível em: https://github.com/redcanaryco/atomic-red-team. Acesso em: 13 abr. 2026.

ROESCH, Martin. Snort: Lightweight intrusion detection for networks. Proceedings of LISA, p. 229-238, 1999. Disponível em: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks. Acesso em: 13 abr. 2026.

SHARAFALDIN, Iman; LASHKARI, Arash Habibi; GHORBANI, Ali A. Toward generating a new intrusion detection dataset. ICISSP, 2018. Disponível em: https://doi.org/10.5220/0006639801080116. Acesso em: 13 abr. 2026.

SOMMER, Robin; PAXSON, Vern. Outside the closed world: On using machine learning for network intrusion detection. IEEE Symposium on Security and Privacy, 2010. Disponível em: https://doi.org/10.1109/SP.2010.25. Acesso em: 13 abr. 2026.

STROM, Blake et al. MITRE ATT&CK: Design and Philosophy. 2018. Disponível em: https://attack.mitre.org/docs/ATTACK_Design_and_Philosophy_March_2018.pdf. Acesso em: 13 abr. 2026.

US-CERT. Alert (TA17-132A): Indicators Associated With WannaCry Ransomware. 2017. Disponível em: https://www.cisa.gov/news-events/alerts/ta17-132a. Acesso em: 13 abr. 2026.