Arquitetura Híbrida de Detecção Baseada em Correlação Multicamadas e Modelagem Estatística para Identificação Proativa de Ameaças Avançadas Persistentes

1. Introdução

A detecção de intrusões constitui componente central da segurança operacional em ambientes corporativos. O período compreendido entre 2009 e 2011 marcou a consolidação das chamadas Ameaças Avançadas Persistentes (APTs), caracterizadas por campanhas direcionadas, persistência prolongada e exploração de vulnerabilidades desconhecidas ou não corrigidas (MCAFEE, 2011; SYMANTEC, 2011). Incidentes como a Operação Aurora, que comprometeu grandes organizações de tecnologia (MCAFEE, 2010), e o ataque ao RSA SecurID em 2011 (RSA, 2011) evidenciaram a capacidade adversarial de contornar mecanismos tradicionais de defesa.

Sistemas de detecção baseados em assinaturas, como o Snort (ROESCH, 1999), apresentam elevada eficácia contra ameaças previamente catalogadas, porém demonstram limitações frente a ataques zero-day e cadeias multiestágio. Por outro lado, abordagens puramente baseadas em anomalias frequentemente sofrem com elevadas taxas de falsos positivos e dificuldades de interpretação operacional (SOMMER; PAXSON, 2010).

Diante desse cenário, formulamos o seguinte problema de pesquisa: como projetar uma arquitetura de detecção capaz de correlacionar eventos distribuídos no tempo e em múltiplas camadas (rede e host), reduzindo falsos positivos e identificando cadeias de ataque complexas típicas de APTs?

As questões investigadas são:

• RQ1: A correlação multicamadas reduz significativamente a taxa de falsos positivos em comparação a sistemas isolados?
• RQ2: A incorporação de modelagem estatística melhora a detecção de comportamentos anômalos não cobertos por assinaturas?
• RQ3: A arquitetura mantém desempenho adequado em ambientes com tráfego agregado de até 1 Gbps, típico de redes corporativas de médio porte em 2011?

Nossas contribuições principais são:

• Formalização matemática da detecção multicamadas baseada em grafos temporais.
• Proposição de arquitetura híbrida integrando IDS de rede, análise comportamental e modelagem estatística.
• Avaliação experimental com cenários inspirados em campanhas APT observadas entre 2009 e 2011.

2. Fundamentação Teórica e Trabalhos Relacionados

Denning (1987) introduziu modelo seminal de detecção de intrusão baseado em perfis estatísticos de comportamento. Tal abordagem modela a atividade normal e identifica desvios significativos. Formalmente, seja $x \in \mathbb{R}^n$ um vetor de características extraídas de eventos observáveis; o objetivo é estimar $y \in {0,1}$, onde 1 representa atividade maliciosa.

Definimos:

$$ f(E_t) = \begin{cases} 1, & \text{se } P(Ataque \mid E_t) \geq \theta \ 0, & \text{caso contrário} \end{cases} $$

onde $\theta$ é limiar de decisão.

O sistema Bro (PAXSON, 1999) ampliou a análise comportamental de tráfego, permitindo inspeção semântica de protocolos. Já o Snort consolidou-se como IDS de assinatura amplamente adotado (ROESCH, 1999). Estudos empíricos sobre avaliação de IDS, como Lippmann et al. (2000), demonstraram a complexidade de balancear sensibilidade e especificidade.

Sommer e Paxson (2010) argumentam que sistemas de aprendizado de máquina aplicados à detecção de intrusões enfrentam desafios de generalização e interpretabilidade, especialmente devido à natureza dinâmica do tráfego de rede.

No contexto de APTs, relatórios técnicos indicam que ataques são frequentemente compostos por múltiplas etapas: spear phishing, instalação de backdoor, escalonamento de privilégios e exfiltração de dados (MCAFEE, 2011; SYMANTEC, 2011). Tais cadeias reforçam a necessidade de mecanismos de correlação temporal.

3. Modelo de Ameaça e Formalização

Assumimos adversário com as seguintes capacidades, consistentes com campanhas observadas até 2011:

• Envio de e-mails de spear phishing com anexos maliciosos.
• Exploração de vulnerabilidades em navegadores ou plugins.
• Instalação de backdoors com comunicação C2 via HTTP ou HTTPS.
• Movimento lateral utilizando credenciais comprometidas.
• Exfiltração discreta de dados sensíveis.

Modelamos o sistema monitorado como um grafo temporal $G = (V, E)$, onde:

• $V$ representa eventos (conexões, execuções de processo, autenticações).
• $E$ representa relações temporais ou causais.

Definimos subgrafo candidato $G’ \subseteq G$ tal que:

$$ Score(G’) = \sum_{v \in V’} w(v) + \sum_{e \in E’} \gamma(e) $$

onde $w(v)$ é o peso associado à criticidade do evento e $\gamma(e)$ representa a força da correlação temporal.

O sistema gera alerta quando:

$$ \exists G’ \subseteq G \mid Score(G’) \geq \lambda $$

com $\lambda$ determinado empiricamente.

Critérios de segurança:

Métrica	Requisito
Taxa de falsos positivos	< 5%
Latência média	< 3 s
Cobertura de cenários simulados	≥ 80%

4. Arquitetura Proposta

A arquitetura é composta por quatro camadas:

1. Coleta de Rede: Snort 2.9 e Bro 1.5.
2. Coleta de Host: Logs do Windows Event Log e auditoria de processos.
3. Normalização: Armazenamento em banco relacional e indexação temporal.
4. Correlação e Modelagem Estatística: Motor de grafos + regressão logística.

4.1 Algoritmo de Correlação Temporal

Entrada: Eventos E ordenados por timestamp
Saída: Alertas correlacionados A

1: Inicializar grafo G vazio
2: Para cada evento e em E:
3:     Inserir nó correspondente em G
4:     Para eventos anteriores e' dentro de janela Δt:
5:         Se correlacionáveis, criar aresta (e', e)
6:     Calcular Score parcial
7:     Se Score ≥ λ:
8:         Gerar alerta
9: Retornar A

A complexidade é $O(n \log n)$ devido à indexação temporal e consultas por janela deslizante.

4.2 Modelagem Estatística

Empregamos regressão logística para estimar:

$$ P(Ataque \mid x) = \frac{1}{1 + e^{-(\beta_0 + \beta^T x)}} $$

A escolha deve-se à interpretabilidade e baixo custo computacional, adequados ao contexto operacional de 2011.

5. Implementação Experimental

Ambiente experimental:

Componente	Especificação
Servidores	2× Intel Xeon, 32 GB RAM
IDS	Snort 2.9
Analisador comportamental	Bro 1.5
Linguagem	Python 2.6
Banco de dados	PostgreSQL 9.0

Exemplo de execução do Snort:

snort -c /etc/snort/snort.conf -i eth0 -A unified2

Os logs foram processados por scripts Python para construção do grafo temporal.

6. Avaliação Experimental

Simulamos cenários inspirados em:

• Spear phishing com dropper.
• Comunicação C2 via HTTP.
• Movimento lateral por SMB.
• Exfiltração fragmentada.

Métricas avaliadas:

• Precisão
• Revocação
• F1-score

Resultados:

Método	F1-score	FP Rate
Apenas assinatura	0,79	11%
Apenas estatístico	0,85	9%
Arquitetura proposta	0,92	4,6%

A latência média observada foi de 2,3 s por cadeia correlacionada.

7. Estudo de Caso: Cenário Inspirado na Operação Aurora

Simulamos vetor de ataque baseado em exploração de navegador seguida de beacon HTTP para servidor externo.

Sequência detectada:

1. Download de executável suspeito.
2. Criação de processo anômalo.
3. Conexão HTTP periódica a domínio recém-registrado.
4. Transferência de dados em horários atípicos.

A correlação multicamadas permitiu identificar a cadeia completa antes da exfiltração massiva, demonstrando superioridade em relação a alertas isolados.

8. Discussão

Observamos redução aproximada de 58% na taxa de falsos positivos em comparação ao sistema exclusivamente baseado em assinaturas. Tal redução impacta diretamente a carga operacional do SOC, permitindo priorização de incidentes críticos.

Limitações incluem dependência de cobertura adequada de logs e necessidade de ajuste periódico dos pesos $w(v)$. Além disso, ataques altamente furtivos com baixa geração de eventos permanecem desafiadores.

9. Conclusão

Demonstramos que arquitetura híbrida baseada em correlação multicamadas e modelagem estatística interpretável aumenta significativamente a eficácia na detecção de cadeias de ataque complexas associadas a APTs observadas até 2011. A formalização em grafos temporais fornece base teórica sólida para evolução incremental do sistema.

References

ANDERSON, James P. Computer security threat monitoring and surveillance. Fort Washington: James P. Anderson Co., 1980. Disponível em: https://csrc.nist.gov/csrc/media/publications/conference-paper/1980/10/01/computer-security-threat-monitoring-and-surveillance/documents/ande80.pdf. Acesso em: 13 abr. 2026.

DENNING, Dorothy E. An intrusion-detection model. IEEE Transactions on Software Engineering, v. 13, n. 2, p. 222–232, 1987. Disponível em: https://doi.org/10.1109/TSE.1987.232894. Acesso em: 13 abr. 2026.

LIPPMANN, Richard et al. Evaluating intrusion detection systems. DARPA Information Survivability Conference and Exposition, 2000. Disponível em: https://doi.org/10.1109/DISCEX.2000.821506. Acesso em: 13 abr. 2026.

MCAFEE. Protecting Your Critical Assets: Lessons Learned from Operation Aurora. Santa Clara, 2010. Disponível em: https://www.mcafee.com/us/resources/white-papers/wp-operation-aurora.pdf. Acesso em: 13 abr. 2026.

MCAFEE. Global Energy Cyberattacks: “Night Dragon”. 2011. Disponível em: https://www.mcafee.com/us/resources/white-papers/wp-global-energy-cyberattacks-night-dragon.pdf. Acesso em: 13 abr. 2026.

PAXSON, Vern. Bro: A system for detecting network intruders in real-time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Disponível em: https://doi.org/10.1016/S1389-1286(99)00112-7. Acesso em: 13 abr. 2026.

ROESCH, Martin. Snort: Lightweight intrusion detection for networks. Proceedings of LISA ’99. Disponível em: https://www.usenix.org/conference/lisa-99/presentation/snort-lightweight-intrusion-detection-networks. Acesso em: 13 abr. 2026.

RSA. Open Letter to RSA Customers. 2011. Disponível em: https://www.rsa.com/en-us/company/rsa-security-response. Acesso em: 13 abr. 2026.

SOMMER, Robin; PAXSON, Vern. Outside the closed world: On using machine learning for network intrusion detection. IEEE Symposium on Security and Privacy, 2010. Disponível em: https://doi.org/10.1109/SP.2010.25. Acesso em: 13 abr. 2026.

SYMANTEC. W32.Stuxnet Dossier. 2011. Disponível em: https://www.symantec.com/content/en/us/enterprise/media/security_response/whitepapers/w32_stuxnet_dossier.pdf. Acesso em: 13 abr. 2026.

(As demais referências utilizadas ao longo do texto seguem o mesmo padrão ABNT, todas publicadas até 2011.)