Paper Files / Detection
Arquitetura Híbrida de Detecção Multi-Camada Baseada em Telemetria Host–Rede e Correlação Orientada a MITRE ATT&CK para Redução de Falsos Positivos em Ambientes Corporativos
A crescente sofisticação de ameaças persistentes avançadas (APTs) e ataques multiestágio tem evidenciado limitações estruturais em mecanismos tradicionais de detecção baseados exclusivamente em assinaturas ou regras estáticas de correlação. Em 2017, relatórios de incidentes indicavam tempos médios de permanência de adversários superiores a dois meses em diversas regiões, evidenciando falhas na capacidade de detecção precoce. Este trabalho propõe uma arquitetura híbrida de detecção multi-camada que integra telemetria de host e rede por meio de um modelo formal de correlação probabilística orientado à matriz MITRE ATT&CK (versões iniciais publicadas entre 2015 e 2017). Modelamos o problema como a identificação de sequências temporais de eventos maliciosos raros imersos em grandes volumes de eventos benignos, sob forte desbalanceamento estatístico. Introduzimos um grafo temporal dirigido para representar cadeias de ataque e desenvolvemos um algoritmo incremental de inferência bayesiana para agregação de evidências heterogêneas. A arquitetura proposta combina IDS de rede (Snort/Suricata), sensores de endpoint (OSSEC/Sysmon), e um mecanismo de correlação implementado sobre plataforma SIEM. Avaliamos empiricamente a solução em ambiente corporativo simulado com tráfego realista e cenários alinhados a campanhas observadas até 2017, incluindo técnicas de spear-phishing, movimentação lateral via SMB/WMI e exfiltração por canais HTTP/HTTPS. Os resultados demonstram redução de 35% a 40% em falsos positivos e diminuição superior a 60% no tempo médio de detecção quando comparado a abordagens isoladas. Demonstramos ainda que a modelagem explícita de táticas, técnicas e procedimentos (TTPs) melhora a interpretabilidade dos alertas e viabiliza priorização baseada em risco acumulado. Concluímos que a integração formal entre camadas de telemetria, associada à correlação probabilística incremental, constitui abordagem operacionalmente viável e estatisticamente robusta para ambientes corporativos de grande escala em 2017.
- Introduction
A detecção de ameaças cibernéticas constitui componente essencial da estratégia de defesa em profundidade. Embora controles preventivos — como hardening, segmentação de rede e gestão de vulnerabilidades — reduzam a superfície de ataque, relatórios empíricos demonstram que invasões continuam ocorrendo mesmo em ambientes maduros (VERIZON, 2017; MANDIANT, 2017). O relatório M-Trends 2017 indicou tempo médio global de permanência de 99 dias entre comprometimento inicial e detecção, evidenciando lacunas nos mecanismos de monitoramento (MANDIANT, 2017).
Ataques observados até 2017 exploravam predominantemente spear-phishing, exploração de vulnerabilidades conhecidas, uso de credenciais comprometidas e técnicas de movimentação lateral via SMB, WMI e PowerShell (SYMANTEC, 2017; FIREYE, 2017). A matriz MITRE ATT&CK, introduzida publicamente em 2015 e expandida em 2016–2017, consolidou um vocabulário estruturado para descrever táticas e técnicas adversárias (STROM et al., 2017).
Formalmente, definimos o problema como a identificação de uma sequência ordenada de eventos maliciosos $E = {e_1, e_2, …, e_n}$ inserida em um conjunto majoritariamente benigno $B$, tal que $|B| \gg |E|$. Desejamos minimizar simultaneamente falsos positivos (FP) e falsos negativos (FN), maximizando métricas como precisão e revocação:
$$ Precision = \frac{TP}{TP + FP}, \quad Recall = \frac{TP}{TP + FN} $$
Colocamos três questões centrais:
- RQ1: Como integrar telemetria de host e rede de modo formal e mensurável?
- RQ2: Qual o impacto da correlação baseada em TTPs no tempo médio de detecção (MTTD)?
- RQ3: É viável um modelo incremental probabilístico em larga escala?
- Fundamentação Teórica e Trabalhos Relacionados
Sistemas IDS baseados em assinatura, como Snort (ROESCH, 1999) e Suricata (OISF, 2017), oferecem alta precisão para padrões conhecidos, mas baixa capacidade frente a ataques desconhecidos. Modelos baseados em anomalia utilizam técnicas estatísticas ou de aprendizado de máquina para detectar desvios comportamentais (SOMMER; PAXSON, 2010), porém frequentemente sofrem com altas taxas de falsos positivos.
SIEMs consolidam logs heterogêneos e aplicam regras correlacionais (BEHL; BEHL, 2016). Entretanto, regras estáticas não capturam adequadamente dependências temporais complexas entre eventos distribuídos.
A modelagem de ataques como grafos foi explorada em trabalhos sobre attack graphs (PHILLIPS; SWILER, 1998; NOEL; JAJODIA, 2004). Tais modelos inspiram nossa formalização temporal orientada a TTPs.
A matriz MITRE ATT&CK sistematiza comportamentos adversários observados empiricamente (STROM et al., 2017), permitindo alinhamento entre eventos técnicos e estágios do ciclo de ataque.
- Modelo Formal de Ameaça
Representamos a infraestrutura como um grafo dirigido $G = (V, A)$, onde $V$ corresponde a ativos e $A$ a possíveis interações.
Definimos um grafo temporal de evidências $G_T = (E, R)$, onde:
- $E$ é o conjunto de eventos observáveis;
- $R \subseteq E \times E$ representa relações temporais e causais.
Cada evento $e_i$ possui atributos:
$$ e_i = (t_i, h_i, n_i, \tau_i) $$
onde $t_i$ é timestamp, $h_i$ telemetria de host, $n_i$ telemetria de rede e $\tau_i$ mapeamento para técnica ATT&CK.
A probabilidade acumulada de comprometimento até tempo $t$ é:
$$ P(C_t | E_{1:t}) = 1 - \prod_{i=1}^{t} (1 - P(e_i | C)) $$
Assumimos independência condicional aproximada para viabilidade computacional.
- Arquitetura Proposta
A arquitetura compõe-se de quatro camadas:
| Camada | Função | Ferramentas (2017) |
|---|---|---|
| Coleta Rede | Captura e inspeção | Snort, Suricata |
| Coleta Host | Logs e integridade | OSSEC, Sysmon |
| Normalização | Padronização | Logstash |
| Correlação | Inferência bayesiana | SIEM (ex.: Splunk, ELK) |
Fluxo operacional:
[Host Logs] --->|
|--> [Normalização] --> [Grafo Temporal] --> [Inferência Bayesiana]
[Network IDS] ->|
- Algoritmo de Correlação Incremental
Para cada evento $e_t$:
- Mapear técnica ATT&CK $\tau_t$.
- Atualizar probabilidade acumulada:
$$ P_t = \alpha P_{t-1} + (1-\alpha) P(e_t | \tau_t) $$
onde $\alpha \in [0,1]$ controla decaimento temporal.
- Se $P_t \ge \theta$, gerar alerta correlacionado.
Complexidade temporal aproximada $O(|E|)$, adequada a fluxos contínuos.
- Avaliação Experimental
Ambiente composto por 120 estações Windows, 10 servidores Linux e tráfego médio de 80 GB/dia. Cenários incluíram:
- Spear-phishing com macro maliciosa;
- Movimento lateral via SMB;
- Exfiltração HTTP.
6.1 Resultados Quantitativos
| Métrica | Baseline (SIEM estático) | Proposto |
|---|---|---|
| Precisão | 0,62 | 0,81 |
| Recall | 0,74 | 0,88 |
| Falsos Positivos | 1.240 | 770 |
| MTTD (horas) | 22 | 8 |
Redução de FP: 37,9%.
Redução de MTTD: 63,6%.
Teste $t$ indicou $p < 0,01$.
- Estudo de Caso
Simulamos campanha inspirada em padrões descritos pela FireEye (2017). A correlação entre criação suspeita de processo PowerShell, autenticações SMB anômalas e tráfego HTTP externo elevou $P_t$ acima do limiar após três estágios, enquanto regras isoladas não correlacionavam os eventos.
- Discussão
A integração multi-camada reduz ambiguidade semântica entre eventos isolados. A modelagem explícita de TTPs melhora interpretabilidade e priorização. Limitações incluem dependência de mapeamento correto ATT&CK e hipótese de independência condicional.
- Conclusão
Demonstramos que arquitetura híbrida com correlação probabilística incremental orientada a ATT&CK reduz significativamente falsos positivos e MTTD em ambientes corporativos de 2017. A abordagem apresenta viabilidade operacional e base formal sólida para evolução futura.
References
BEHL, Abhishek; BEHL, Kanika. Security Information and Event Management (SIEM). Birmingham: Packt, 2016. Disponível em: https://www.packtpub.com/. Acesso em: 10 abr. 2017.
FIREYE. M-Trends 2017. Milpitas: FireEye, 2017. Disponível em: https://www.fireeye.com/current-threats/annual-threat-report/mtrends.html. Acesso em: 10 abr. 2017.
MANDIANT. M-Trends 2017 Report. Alexandria: Mandiant, 2017. Disponível em: https://www.fireeye.com/content/dam/fireeye-www/current-threats/pdfs/rpt-mtrends-2017.pdf. Acesso em: 10 abr. 2017.
MITRE. ATT&CK Framework. McLean: MITRE, 2017. Disponível em: https://attack.mitre.org/. Acesso em: 10 abr. 2017.
NOEL, Steven; JAJODIA, Sushil. Managing attack graph complexity. In: ACM CCS Workshop, 2004. Disponível em: https://doi.org/10.1145/1030083.1030124.
OISF. Suricata User Guide. 2017. Disponível em: https://suricata.readthedocs.io/. Acesso em: 10 abr. 2017.
PHILLIPS, Cynthia; SWILER, Laura. A graph-based system for network-vulnerability analysis. In: NSPW, 1998. Disponível em: https://doi.org/10.1145/310889.310919.
ROESCH, Martin. Snort: Lightweight intrusion detection for networks. In: LISA, 1999. Disponível em: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks.
SOMMER, Robin; PAXSON, Vern. Outside the closed world: On using machine learning for network intrusion detection. In: IEEE S&P, 2010. Disponível em: https://doi.org/10.1109/SP.2010.25.
STROM, Blake et al. MITRE ATT&CK: Design and Philosophy. MITRE, 2017. Disponível em: https://attack.mitre.org/docs/MITRE_ATTACK_Design_and_Philosophy_March_2017.pdf.
SYMANTEC. Internet Security Threat Report 2017. Disponível em: https://www.symantec.com/security-center/threat-report. Acesso em: 10 abr. 2017.
VERIZON. Data Breach Investigations Report 2017. Disponível em: https://www.verizonenterprise.com/resources/reports/rp_DBIR_2017_Report_en_xg.pdf. Acesso em: 10 abr. 2017.