Arquitetura Híbrida de Detecção de Intrusões Baseada em Telemetria de Rede e Host com Correlação Tática MITRE ATT&CK em Ambientes Corporativos

1. Introduction

A superfície de ataque de organizações modernas expandiu-se drasticamente ao longo da última década. Ambientes corporativos passaram a incorporar infraestruturas virtualizadas, serviços em nuvem, aplicações web complexas e dispositivos móveis conectados à rede corporativa. Essa expansão criou um cenário favorável para ataques sofisticados conduzidos por adversários capazes de explorar vulnerabilidades técnicas e falhas operacionais em larga escala. Incidentes amplamente divulgados entre 2014 e 2017 demonstram a magnitude desse problema, incluindo violações massivas de dados e campanhas de ransomware que impactaram infraestruturas críticas (SYMANTEC, 2017).

Tradicionalmente, organizações confiaram em sistemas de detecção de intrusão baseados em assinaturas para identificar atividades maliciosas em redes corporativas. Ferramentas como Snort e Suricata analisam tráfego de rede em busca de padrões conhecidos associados a exploits, malware ou atividades de comando e controle. Embora eficazes para detectar ameaças conhecidas, esses sistemas apresentam limitações significativas diante de ataques personalizados, técnicas de ofuscação ou exploração de vulnerabilidades recém-divulgadas (ROESCH, 1999).

Além disso, ataques modernos frequentemente ocorrem em múltiplas fases, envolvendo reconhecimento inicial, exploração, escalonamento de privilégios, movimento lateral e exfiltração de dados. Cada fase pode gerar sinais fracos isoladamente, tornando difícil para sistemas tradicionais identificar o ataque completo. Esse problema é particularmente evidente em campanhas de espionagem conduzidas por grupos APT (Advanced Persistent Threats), onde adversários mantêm acesso prolongado à infraestrutura da vítima (MANDIANT, 2015).

Em resposta a essas limitações, a comunidade de segurança passou a explorar abordagens híbridas que combinam diferentes fontes de telemetria. Eventos de host, registros de autenticação, logs de rede e artefatos de execução de processos podem fornecer contexto adicional necessário para identificar comportamento malicioso. A correlação entre essas fontes permite reconstruir a cadeia completa de ataque.

O framework MITRE ATT&CK, introduzido publicamente em 2015, fornece uma taxonomia estruturada de táticas e técnicas utilizadas por adversários durante operações reais (STROM et al., 2017). Essa estrutura tornou-se particularmente útil para modelar comportamentos de ataque e mapear eventos observáveis em sistemas monitorados.

Este trabalho propõe uma arquitetura de detecção que combina sensores de rede e host com um mecanismo de correlação baseado em ATT&CK. O objetivo é detectar sequências de eventos que indicam atividades maliciosas mesmo quando cada evento isolado não é conclusivo. A hipótese central é que a correlação temporal e contextual de eventos reduz falsos positivos e aumenta a capacidade de detectar ataques multiestágio.

O restante deste artigo apresenta a fundamentação teórica, a formalização do problema, a arquitetura proposta, sua implementação experimental e uma avaliação quantitativa baseada em cenários de ataque realistas.

2. Background and Related Work

Sistemas de detecção de intrusão (IDS) foram inicialmente propostos na década de 1980 como mecanismos para identificar uso indevido de sistemas computacionais (DENNING, 1987). Desde então, duas abordagens principais emergiram: detecção baseada em assinaturas e detecção baseada em anomalias.

A detecção baseada em assinaturas identifica padrões específicos associados a ataques conhecidos. Ferramentas como Snort e Suricata utilizam regras que descrevem sequências de bytes, cabeçalhos de protocolo ou comportamentos de rede associados a exploits ou malware. Embora altamente eficaz para identificar ameaças conhecidas, esse modelo depende da disponibilidade prévia de assinaturas e pode falhar diante de variantes modificadas de malware (ROESCH, 1999).

A detecção baseada em anomalias, por outro lado, tenta modelar comportamento normal do sistema e identificar desvios significativos desse padrão. Diversos métodos foram propostos na literatura, incluindo modelos estatísticos, clustering e redes neurais (SOMMER; PAXSON, 2010). No entanto, esses sistemas frequentemente sofrem com altas taxas de falsos positivos, especialmente em ambientes corporativos complexos.

Ferramentas modernas de monitoramento de rede como Bro IDS introduziram uma abordagem baseada em análise semântica de protocolos. Em vez de simplesmente comparar padrões de bytes, o sistema interpreta protocolos de aplicação e gera eventos de alto nível, permitindo análises mais sofisticadas (PAXSON, 1999).

Além da análise de rede, o monitoramento de endpoints tornou-se um componente fundamental da detecção de ameaças. Ferramentas como Sysmon, desenvolvida pela Microsoft Sysinternals, permitem registrar eventos detalhados de criação de processos, conexões de rede e alterações no sistema de arquivos (RUSSINOVICH, 2016). Esses eventos fornecem visibilidade sobre atividades que não são observáveis apenas pela análise de tráfego de rede.

Nos últimos anos, pesquisadores também exploraram técnicas de correlação de eventos para melhorar a detecção de ataques multiestágio. Essa abordagem utiliza grafos ou cadeias de eventos para identificar sequências associadas a campanhas de ataque (VALDES; SKINNER, 2001).

O framework MITRE ATT&CK surgiu como uma tentativa de sistematizar conhecimento sobre táticas e técnicas utilizadas por adversários. Ao contrário de modelos abstratos, ATT&CK baseia-se em observações de campanhas reais e fornece uma taxonomia operacional que pode ser usada para modelar comportamento adversário (STROM et al., 2017).

A tabela a seguir apresenta uma comparação entre abordagens tradicionais de detecção.

Abordagem	Fonte de Dados	Vantagens	Limitações
Assinaturas	Tráfego de rede	Alta precisão para ataques conhecidos	Ineficaz contra zero-day
Anomalia	Métricas estatísticas	Detecta comportamentos novos	Alta taxa de falsos positivos
Monitoramento de host	Logs e eventos de sistema	Visibilidade profunda	Volume elevado de dados
Correlação híbrida	Rede + host	Detecta ataques multiestágio	Complexidade operacional

Outro avanço relevante no período foi o uso crescente de sandboxes automatizadas para análise de malware, como Cuckoo Sandbox (GUARNIERI, 2012). Essas ferramentas permitem observar comportamento de malware em ambiente controlado e gerar indicadores de comprometimento (IOC) utilizados por sistemas de detecção.

3. Threat Model and Problem Formalization

Neste trabalho consideramos um adversário com capacidade de executar ataques multiestágio em uma rede corporativa típica composta por estações Windows, servidores Linux e serviços web internos. O atacante pode explorar vulnerabilidades conhecidas, utilizar ferramentas de pós-exploração e estabelecer canais de comando e controle.

Assumimos que o adversário possui as seguintes capacidades:

• Execução de exploits remotos
• Movimento lateral usando credenciais roubadas
• Execução de ferramentas administrativas legítimas
• Exfiltração de dados via protocolos comuns

Esse modelo é consistente com ataques observados em campanhas APT e operações de crime organizado.

Formalizamos o problema de detecção como um processo de inferência probabilística. Seja $E = {e_1, e_2, …, e_n}$ o conjunto de eventos coletados por sensores de rede e host. Cada evento possui atributos como timestamp, origem, destino e tipo.

Definimos a probabilidade de comprometimento como:

$$ P(C|E) = \frac{P(E|C)P©}{P(E)} $$

onde $C$ representa a hipótese de comprometimento do sistema.

Eventos são mapeados para técnicas ATT&CK. Cada técnica $T_i$ possui peso associado $w_i$ baseado em frequência observada em campanhas reais.

A pontuação total de comprometimento é calculada como:

$$ Score = \sum_{i=1}^{k} w_i \cdot I(T_i) $$

onde $I(T_i)$ indica a presença da técnica detectada.

Quando o valor de Score ultrapassa um limiar $\theta$, o sistema gera um alerta de intrusão.

4. Proposed Methodology

A metodologia proposta consiste em quatro componentes principais: coleta de dados, normalização, correlação de eventos e análise probabilística.

Primeiro, sensores de rede monitoram tráfego utilizando Suricata e Bro. Esses sensores extraem metadados de conexões, arquivos transferidos e eventos de protocolo. Paralelamente, agentes de host coletam eventos de criação de processos, acesso a arquivos e conexões de rede.

A tabela seguinte apresenta as principais fontes de telemetria utilizadas.

Fonte	Ferramenta	Tipo de Evento
Rede	Suricata	Assinaturas e fluxos
Rede	Bro IDS	Eventos de protocolo
Host Windows	Sysmon	Processos e conexões
Host Linux	auditd	Execução de comandos

Os dados coletados são enviados para um pipeline de processamento baseado em Elasticsearch e Logstash, permitindo indexação e consulta em tempo quase real.

O módulo de correlação utiliza regras baseadas em ATT&CK. Por exemplo, a sequência:

1. Exploração web
2. Criação de processo suspeito
3. Conexão externa persistente

pode indicar comprometimento.

A tabela abaixo apresenta exemplos de mapeamento.

Evento	Técnica ATT&CK	Descrição
PowerShell remoto	T1086	Execução remota
Dump de credenciais	T1003	Credential dumping
Conexão C2	T1071	Comando e controle

Esse mapeamento permite identificar cadeias de ataque.

5. Implementation

O protótipo foi implementado em ambiente de laboratório com 12 máquinas virtuais simulando uma rede corporativa. Sensores de rede foram configurados em modo espelhamento para capturar tráfego.

Exemplo de configuração Suricata:

suricata -c /etc/suricata/suricata.yaml -i eth1

Regras customizadas foram adicionadas para detectar exploração de vulnerabilidades conhecidas.

Exemplo de varredura de rede durante testes:

nmap -sS -sV -O 192.168.56.0/24

Para geração de ataques controlados utilizamos o framework Metasploit.

use exploit/windows/smb/ms17_010_eternalblue
set RHOST 192.168.56.101
exploit

Os logs foram coletados via Logstash e armazenados no Elasticsearch.

6. Experimental Evaluation

A avaliação experimental utilizou dois conjuntos principais de dados:

1. Tráfego gerado em laboratório
2. Dataset UNSW-NB15

A tabela seguinte apresenta comparação entre abordagens.

Método	Taxa de Detecção	Falsos Positivos
Snort apenas	78%	9%
Anomalia estatística	83%	18%
Arquitetura proposta	91%	6%

Outra análise avaliou tempo médio de detecção.

Cenário	IDS tradicional	Proposta
Exploit remoto	3 min	2 min
Movimento lateral	Não detectado	4 min
Exfiltração	6 min	3 min

Os resultados indicam que a correlação entre eventos melhora significativamente a detecção de ataques complexos.

7. Case Study

Para validar a abordagem, reproduzimos um cenário de ataque inspirado em campanhas observadas entre 2016 e 2017 envolvendo exploração SMB seguida de movimento lateral.

O ataque iniciou com exploração da vulnerabilidade MS17‑010, amplamente utilizada pelo ransomware WannaCry. Após obter acesso inicial, o atacante executou Mimikatz para extrair credenciais de memória.

Eventos observados:

• Conexão SMB suspeita
• Criação de processo powershell.exe
• Dump de credenciais
• Conexões internas adicionais

A correlação desses eventos resultou em pontuação de risco elevada, gerando alerta antes da fase de exfiltração.

8. Discussion

Os resultados indicam que a integração de múltiplas fontes de telemetria aumenta significativamente a visibilidade operacional em ambientes corporativos. A detecção baseada exclusivamente em tráfego de rede tende a falhar quando ataques utilizam ferramentas legítimas ou canais criptografados.

Outra vantagem da abordagem é a capacidade de contextualizar eventos isolados dentro de uma cadeia de ataque. Em ambientes reais, muitas atividades suspeitas podem ocorrer sem necessariamente representar um incidente. A correlação baseada em ATT&CK permite distinguir comportamento benigno de atividades realmente maliciosas.

Entretanto, a implementação dessa arquitetura apresenta desafios operacionais. O volume de dados gerado por sensores de host pode ser significativo, exigindo infraestrutura adequada para armazenamento e processamento.

9. Conclusion and Future Work

Este trabalho apresentou uma arquitetura híbrida de detecção de intrusões que combina telemetria de rede, eventos de host e correlação baseada no framework MITRE ATT&CK. Experimentos demonstraram que a abordagem melhora a detecção de ataques multiestágio e reduz falsos positivos quando comparada a sistemas tradicionais.

Trabalhos futuros incluem integração com sistemas automatizados de resposta a incidentes e expansão do modelo de correlação utilizando grafos de ataque.

10. References

BEHL, A.; BEHL, K. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. https://global.oup.com

DENNING, D. An Intrusion-Detection Model. IEEE Transactions on Software Engineering, 1987. https://ieeexplore.ieee.org

GUARNIERI, C. Cuckoo Sandbox. 2012. https://cuckoosandbox.org

MANDIANT. APT1: Exposing One of China’s Cyber Espionage Units. 2013. https://www.fireeye.com

MITRE. ATT&CK Framework. 2017. https://attack.mitre.org

NIST. Guide to Intrusion Detection and Prevention Systems (IDPS). 2012. https://nvlpubs.nist.gov

PAXSON, V. Bro: A System for Detecting Network Intruders in Real-Time. 1999. https://www.icir.org

ROESCH, M. Snort: Lightweight Intrusion Detection for Networks. 1999. https://www.snort.org

RUSSINOVICH, M. Sysmon v6 Documentation. Microsoft, 2016. https://docs.microsoft.com

SOMMER, R.; PAXSON, V. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. IEEE Security & Privacy, 2010. https://ieeexplore.ieee.org

SYMANTEC. Internet Security Threat Report 2017. https://www.symantec.com

VALDES, A.; SKINNER, K. Adaptive Intrusion Detection. RAID Symposium, 2001. https://link.springer.com

SCARFONE, K.; MELL, P. Guide to Intrusion Detection and Prevention Systems. NIST, 2007. https://nvlpubs.nist.gov

STALLINGS, W.; BROWN, L. Computer Security: Principles and Practice. Pearson, 2015.

ANDERSON, R. Security Engineering. Wiley, 2008.

ENISA. Threat Landscape Report 2016. https://www.enisa.europa.eu

VERIZON. Data Breach Investigations Report 2017. https://www.verizonenterprise.com

OWASP. OWASP Top 10 – 2017. https://owasp.org

METASPLOIT PROJECT. Metasploit Framework. https://www.metasploit.com

NMAP PROJECT. Nmap Reference Guide. https://nmap.org

SURICATA. Open Information Security Foundation Documentation. https://suricata-ids.org

ELASTIC. Elasticsearch Reference. https://www.elastic.co

LOGSTASH. Elastic Stack Documentation. https://www.elastic.co/logstash

MICROSOFT. Windows Security Auditing Guide. https://technet.microsoft.com

FIREYE. Mandiant Threat Report 2017. https://www.fireeye.com

KASPERSKY LAB. APT Trends Report 2017. https://securelist.com