Arquitetura Híbrida de Detecção Multicamadas Baseada em Correlação Temporal e Aprendizado Estatístico para Ambientes Corporativos de Alta Complexidade

1. Introduction

A detecção de incidentes de segurança representa o ponto crítico entre o comprometimento inicial e a contenção efetiva de um ataque. Em ambientes corporativos contemporâneos, caracterizados por grande volume de logs, diversidade de aplicações e integração entre infraestruturas locais e serviços em nuvem, identificar comportamentos maliciosos em tempo hábil tornou-se um desafio operacional significativo. Estudos amplamente citados indicam que violações de dados frequentemente permanecem indetectadas por longos períodos, refletindo limitações estruturais nos mecanismos tradicionais de monitoramento (VERIZON, 2021; SYMANTEC, 2019).

Ataques recentes evidenciaram a capacidade de adversários explorarem vulnerabilidades críticas em larga escala. O comprometimento da cadeia de suprimentos envolvendo o software SolarWinds Orion em 2020 demonstrou como campanhas sofisticadas podem permanecer ocultas por meses dentro de redes corporativas (CISA, 2020). De forma semelhante, a vulnerabilidade CVE-2021-44228, conhecida como Log4Shell, evidenciou a rapidez com que falhas críticas podem ser exploradas globalmente em aplicações amplamente utilizadas (NIST, 2021).

Grande parte dessas campanhas segue padrões de comportamento semelhantes, envolvendo múltiplas etapas que incluem execução inicial, persistência, escalonamento de privilégios e movimentação lateral. O framework MITRE ATT&CK descreve tais etapas por meio de táticas e técnicas observadas em ataques reais (MITRE, 2021). Entre as técnicas frequentemente empregadas destacam-se:

• T1027 – Obfuscated or Compressed Files
• T1218 – Signed Binary Proxy Execution
• T1078 – Valid Accounts
• T1021 – Remote Services (SMB, WMI)

Soluções tradicionais de detecção baseadas exclusivamente em assinaturas, como sistemas IDS/IPS, apresentam eficácia limitada diante de ameaças desconhecidas ou ataques fileless (ROESCH, 1999; BEALE; BAKER; CASWELL, 2007). Em contrapartida, abordagens baseadas exclusivamente em aprendizado de máquina enfrentam desafios relacionados a interpretabilidade, qualidade de dados e taxas elevadas de falso positivo (SOMMER; PAXSON, 2010).

Diante desse cenário, torna-se necessário investigar arquiteturas híbridas capazes de combinar detecção determinística, análise estatística e correlação temporal de eventos.

Este trabalho investiga as seguintes questões de pesquisa:

RQ1: Como integrar mecanismos determinísticos e estatísticos de detecção para aumentar a precisão e reduzir falsos positivos?

RQ2: Como modelar formalmente a correlação temporal de eventos de segurança em ambientes distribuídos?

RQ3: Qual o impacto operacional da abordagem proposta em métricas como MTTD (Mean Time to Detect) e F1-score?

As principais contribuições deste estudo são:

C1: Formalização matemática de um modelo de detecção baseado em grafos temporais adaptativos.

C2: Definição de uma arquitetura operacional implementada com ferramentas amplamente utilizadas em ambientes de segurança corporativa.

C3: Avaliação experimental baseada em dados reais e conjuntos públicos de tráfego malicioso.

O restante do artigo está organizado da seguinte forma. A Seção 2 apresenta fundamentos teóricos e trabalhos relacionados. A Seção 3 formaliza o modelo de ameaça e o problema de detecção. A Seção 4 descreve a metodologia proposta. A Seção 5 apresenta detalhes de implementação. A Seção 6 discute a avaliação experimental. A Seção 7 apresenta um estudo de caso. Por fim, as Seções 8 e 9 discutem limitações e conclusões.

2. Background and Related Work

Sistemas de detecção de intrusão podem ser formalmente representados como uma função de classificação:

$f: X \rightarrow Y$

onde $X$ representa o espaço de eventos observáveis e $Y \in {0,1}$ indica se um evento é classificado como benigno ou malicioso.

O trabalho seminal de Denning introduziu um modelo estatístico de detecção baseado em perfis de comportamento normal (DENNING, 1987). Posteriormente, Axelsson demonstrou que a baixa taxa base de ataques em ambientes reais produz um efeito estatístico conhecido como base-rate fallacy, que limita significativamente a eficácia de sistemas de detecção baseados em anomalia (AXELSSON, 2000).

A literatura classifica sistemas de detecção de intrusão em cinco categorias principais:

Categoria	Características
Assinatura	Detecta padrões conhecidos de ataque
Anomalia estatística	Modela comportamento normal
Machine learning supervisionado	Classificação baseada em atributos
Deep learning	Modelagem sequencial e representação automática
Híbridos	Combinação de múltiplos métodos

Sistemas baseados em assinatura, como Snort e Suricata, oferecem alta precisão para ameaças conhecidas (ROESCH, 1999; OISF, 2021). Entretanto, apresentam limitações diante de ataques inéditos ou técnicas de evasão.

Por outro lado, abordagens baseadas em aprendizado de máquina têm sido amplamente investigadas na literatura. Sommer e Paxson argumentam que o uso indiscriminado de algoritmos de aprendizado em segurança pode resultar em modelos pouco robustos quando treinados com dados não representativos (SOMMER; PAXSON, 2010).

Trabalhos recentes exploram aprendizado profundo para análise de logs e sequências de eventos. O modelo DeepLog utiliza redes LSTM para detectar desvios em logs de sistemas distribuídos (DU et al., 2017). Embora promissor, esse tipo de abordagem enfrenta dificuldades de implantação operacional devido ao alto custo computacional e à complexidade de treinamento.

Outra linha de pesquisa investiga a correlação de eventos de segurança por meio de grafos e análise temporal (INGVALDSON; LJUNG; VALDES, 2006). Esses métodos permitem identificar cadeias de ataque compostas por múltiplos eventos aparentemente benignos quando analisados isoladamente.

Neste trabalho buscamos integrar essas abordagens em uma arquitetura híbrida capaz de correlacionar eventos ao longo do tempo e aplicar classificação estatística baseada em contexto.

3. Threat Model and Problem Formalization

Assumimos um adversário com as seguintes capacidades:

• exploração remota de vulnerabilidades em serviços expostos
• utilização de credenciais válidas comprometidas
• capacidade limitada de evasão de assinaturas

Seja:

$E = {e_1, e_2, …, e_n}$ o conjunto de eventos observados em um sistema.

Cada evento $e_i$ é representado por um vetor de atributos:

$$e_i = (t_i, h_i, u_i, p_i, a_i)$$

onde $t_i$ representa o instante temporal, $h_i$ o host de origem, $u_i$ o usuário associado, $p_i$ o processo executado e $a_i$ o tipo de atividade.

Modelamos a interação entre eventos como um grafo temporal:

$$G = (V, E’)$$

onde $V$ representa entidades (hosts, usuários ou processos) e $E’$ representa relações temporais entre eventos.

Definimos uma sequência potencialmente maliciosa quando a seguinte condição é satisfeita:

$$ \sum_{i=1}^{k} w_i \cdot \mathbb{I}(e_i \in TTP) > \theta $$

onde:

• $w_i$ representa o peso associado à técnica observada
• $\mathbb{I}$ é a função indicadora
• $\theta$ é um limiar adaptativo de decisão

Os pesos são definidos com base na criticidade das técnicas descritas no framework ATT&CK.

4. Proposed Methodology

A arquitetura proposta segue um modelo multicamadas composto por coleta de telemetria, normalização de eventos, construção de grafos temporais e classificação estatística.

Camada	Função
Coleta	Captura de telemetria de rede e endpoint
Normalização	Padronização e enriquecimento de eventos
Correlação	Construção de grafos temporais
Classificação	Estimativa probabilística de ataque

Construção do Grafo Temporal

for each event e in stream:
    extract entities (host, user, process)
    if entity not in graph:
        create node
    if delta_t < threshold:
        create temporal edge

A complexidade computacional do processo de inserção e busca é aproximadamente $O(n \log n)$ considerando estruturas de indexação temporal.

Classificador Estatístico

Utilizamos um modelo Random Forest treinado com atributos derivados da estrutura do grafo.

A probabilidade de um evento pertencer à classe maliciosa pode ser aproximada por:

$$ P(y=1|X) = \frac{1}{1+e^{-\beta X}} $$

onde $X$ representa o vetor de atributos extraído da sequência de eventos correlacionados.

5. Implementation

A arquitetura foi implementada utilizando ferramentas amplamente adotadas em centros de operações de segurança.

Componente	Ferramenta
IDS de rede	Suricata 6
Telemetria de endpoint	Sysmon
Pipeline de ingestão	Logstash
Armazenamento e busca	Elastic Stack 7
Regras comportamentais	Sigma
Assinaturas de malware	YARA 4.1
Análise de memória	Volatility 3

Exemplo de Regra Sigma

logsource:
  product: windows
detection:
  selection:
    CommandLine|contains: "EncodedCommand"
  condition: selection

As regras Sigma foram convertidas automaticamente para consultas compatíveis com o mecanismo de busca do Elastic Stack.

6. Experimental Evaluation

Os experimentos foram conduzidos em infraestrutura dedicada composta por:

• 64 GB de memória RAM
• 16 vCPUs
• 3,2 TB de logs coletados durante quatro semanas

Foram utilizados conjuntos de dados públicos, incluindo CIC-IDS2017 e tráfego malicioso gerado em laboratório controlado.

Método	Precisão	Recall	F1
Assinatura	0.71	0.64	0.67
ML supervisionado	0.83	0.78	0.80
Arquitetura proposta	0.89	0.85	0.87

Observou-se redução média de 34,2% na taxa de falsos positivos em comparação com modelos baseados apenas em aprendizado supervisionado.

O tempo médio de detecção (MTTD) foi de aproximadamente 27 minutos após o início da sequência de ataque.

7. Case Study

Para avaliar a capacidade de detecção multiestágio, simulamos um cenário inspirado em exploração da vulnerabilidade Log4Shell (CVE-2021-44228).

Sequência de ataque simulada:

1. exploração remota via requisição HTTP maliciosa
2. download de payload remoto
3. execução de shell reverso
4. movimentação lateral via SMB

O mecanismo de correlação temporal identificou a sequência de eventos relacionados ao mesmo host comprometido e gerou alerta consolidado em aproximadamente 18 minutos.

8. Discussion

Os resultados demonstram que a correlação temporal de eventos aumenta significativamente a capacidade de identificar ataques multiestágio. Eventos que individualmente apresentam baixa criticidade podem revelar comportamento malicioso quando analisados em sequência.

Entretanto, a abordagem depende da disponibilidade de telemetria abrangente. Ambientes com coleta limitada de logs podem apresentar perda de visibilidade em determinadas etapas do ataque.

Outro desafio refere-se à calibração inicial dos pesos associados às técnicas de ataque, que pode exigir conhecimento especializado.

9. Conclusion

Este trabalho apresentou uma arquitetura híbrida de detecção multicamadas baseada em correlação temporal e aprendizado estatístico. Demonstramos que a integração entre mecanismos determinísticos e modelos supervisionados permite reduzir falsos positivos e melhorar a identificação de ataques multiestágio.

A avaliação experimental indicou ganhos significativos em precisão e tempo médio de detecção quando comparado a abordagens tradicionais.

Como continuidade deste trabalho, investigaremos métodos avançados de análise de grafos e técnicas adicionais de correlação de eventos para ambientes distribuídos de larga escala.

References

AXELSSON, Stefan. The base-rate fallacy and its implications for intrusion detection. In: ACM CONFERENCE ON COMPUTER AND COMMUNICATIONS SECURITY. Proceedings… New York: ACM, 2000. Disponível em: https://doi.org/10.1145/352600.352606. Acesso em: 10 dez. 2021.

BEALE, Jay; BAKER, Andrew; CASWELL, Brian. Snort IDS and IPS Toolkit. Burlington: Syngress, 2007. Disponível em: https://www.elsevier.com/books/snort-ids-and-ips-toolkit/beale/978-1-59749-099-3. Acesso em: 10 dez. 2021.

CISA. Emergency directive 21‑01: Mitigate SolarWinds Orion code compromise. Washington, DC, 2020. Disponível em: https://www.cisa.gov/directive/emergency-directive-21-01. Acesso em: 15 dez. 2021.

DENNING, Dorothy E. An intrusion-detection model. IEEE Transactions on Software Engineering, v.13, n.2, p.222–232, 1987. Disponível em: https://doi.org/10.1109/TSE.1987.232894. Acesso em: 10 dez. 2021.

DU, Min et al. DeepLog: anomaly detection and diagnosis from system logs through deep learning. In: ACM CCS 2017. Disponível em: https://doi.org/10.1145/3133956.3134015. Acesso em: 12 dez. 2021.

GARCIA-TEODORO, Pedro et al. Anomaly-based network intrusion detection: techniques, systems and challenges. Computers & Security, v.28, n.1–2, p.18–28, 2009. Disponível em: https://doi.org/10.1016/j.cose.2008.08.003. Acesso em: 12 dez. 2021.

INGVALDSON, Stefan; LJUNG, Mikael; VALDES, Alfonso. Intrusion detection using temporal event correlation. In: INTERNATIONAL INFORMATION SECURITY CONFERENCE. 2006. Disponível em: https://doi.org/10.1007/11935308_23. Acesso em: 10 dez. 2021.

KENT, Karen; SOUPPAYA, Murugiah. Guide to computer security log management. NIST Special Publication 800‑92. Gaithersburg: NIST, 2006. Disponível em: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-92.pdf. Acesso em: 12 dez. 2021.

MITRE. MITRE ATT&CK framework. 2021. Disponível em: https://attack.mitre.org. Acesso em: 10 dez. 2021.

NIST. National Vulnerability Database: CVE‑2021‑44228. 2021. Disponível em: https://nvd.nist.gov/vuln/detail/CVE-2021-44228. Acesso em: 15 dez. 2021.

OISF. Suricata: open source intrusion detection system. 2021. Disponível em: https://suricata.io. Acesso em: 10 dez. 2021.

PAXSON, Vern. Bro: a system for detecting network intruders in real time. Computer Networks, v.31, n.23–24, p.2435–2463, 1999. Disponível em: https://doi.org/10.1016/S1389-1286(99)00112-7. Acesso em: 10 dez. 2021.

ROESCH, Martin. Snort: lightweight intrusion detection for networks. In: USENIX LISA. 1999. Disponível em: https://www.usenix.org/conference/lisa99/snort-lightweight-intrusion-detection-networks. Acesso em: 10 dez. 2021.

SOMMER, Robin; PAXSON, Vern. Outside the closed world: on using machine learning for network intrusion detection. In: IEEE SYMPOSIUM ON SECURITY AND PRIVACY. 2010. Disponível em: https://doi.org/10.1109/SP.2010.25. Acesso em: 12 dez. 2021.

STALLINGS, William; BROWN, Lawrie. Computer security: principles and practice. 3. ed. Boston: Pearson, 2015. Disponível em: https://www.pearson.com. Acesso em: 10 dez. 2021.

SCARFONE, Karen; MELL, Peter. Guide to intrusion detection and prevention systems. NIST SP 800‑94. 2007. Disponível em: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-94.pdf. Acesso em: 10 dez. 2021.

SHARAFALDIN, Iman; LASHKARI, Arash; GHORBANI, Ali. Toward generating a new intrusion detection dataset. ICISSP 2018. Disponível em: https://doi.org/10.5220/0006639801080116. Acesso em: 12 dez. 2021.

SYMANTEC. Internet Security Threat Report 2019. Disponível em: https://symantec-enterprise-blogs.security.com. Acesso em: 10 dez. 2021.

VERIZON. Data Breach Investigations Report 2021. Disponível em: https://www.verizon.com/business/resources/reports/dbir. Acesso em: 10 dez. 2021.

YARA. YARA documentation. 2021. Disponível em: https://virustotal.github.io/yara. Acesso em: 10 dez. 2021.

VOLATILITY FOUNDATION. Volatility 3 framework. 2021. Disponível em: https://volatilityfoundation.org. Acesso em: 10 dez. 2021.

SIGMA PROJECT. Sigma: generic signature format for SIEM systems. 2021. Disponível em: https://sigmahq.io. Acesso em: 10 dez. 2021.

ELASTIC. Elastic Stack documentation. 2021. Disponível em: https://www.elastic.co/guide. Acesso em: 10 dez. 2021.

MICROSOFT. Sysinternals Sysmon documentation. 2021. Disponível em: https://docs.microsoft.com/sysinternals/downloads/sysmon. Acesso em: 10 dez. 2021.

ANDERSON, Ross. Security engineering. 2. ed. Indianapolis: Wiley, 2008. Disponível em: https://www.cl.cam.ac.uk/~rja14/book.html. Acesso em: 10 dez. 2021.