Arquitetura Híbrida de Threat Hunting Orientada por MITRE ATT&CK com Detecção Comportamental, Modelagem Formal em Grafos e Correlação Multicamadas para Resposta a Ameaças Avançadas

1. Introdução

A superfície de ataque das organizações contemporâneas expandiu-se significativamente na última década, impulsionada por transformações estruturais como a adoção de computação em nuvem pública e híbrida, virtualização extensiva, arquiteturas baseadas em containers, práticas DevOps, integração contínua (CI/CD), exposição de APIs e uso intensivo de identidades federadas. Esse cenário reduziu drasticamente a relevância do perímetro de rede como mecanismo central de segurança, deslocando o foco para controle de identidade, telemetria contínua e análise contextual de eventos (ROSE et al., 2020).

Nesse contexto, a arquitetura Zero Trust proposta pelo NIST estabelece que nenhuma entidade deve ser implicitamente confiável com base apenas em sua localização na rede. Em vez disso, decisões de acesso devem considerar identidade, estado do dispositivo, contexto operacional e avaliação contínua de risco (ROSE et al., 2020). Tal paradigma exige mecanismos de detecção capazes de correlacionar múltiplas fontes de evidência distribuídas.

Paralelamente, observamos crescente profissionalização do ecossistema de ameaças. Relatórios consolidados da indústria indicam que credenciais comprometidas, phishing e abuso de contas legítimas continuam sendo vetores predominantes de intrusão (VERIZON, 2021). O uso de identidades válidas reduz drasticamente a eficácia de mecanismos tradicionais de detecção baseados em assinaturas ou indicadores estáticos.

Campanhas modernas de ransomware ilustram esse fenômeno ao empregar cadeias de ataque compostas por múltiplos estágios, incluindo acesso inicial, execução de código, coleta de credenciais, movimentação lateral e exfiltração de dados antes da criptografia. Essas atividades podem ser descritas de maneira sistemática utilizando o framework MITRE ATT&CK, que fornece uma taxonomia padronizada de táticas e técnicas adversárias (MITRE, 2021).

Incidentes recentes também evidenciam o impacto de ataques à cadeia de suprimentos e vulnerabilidades amplamente exploradas. O comprometimento da cadeia de atualização do SolarWinds Orion em 2020 demonstrou como adversários podem obter acesso a ambientes corporativos por meio de software confiável (CISA, 2020). Da mesma forma, a divulgação da vulnerabilidade CVE-2021-44228 na biblioteca Apache Log4j demonstrou a velocidade com que vulnerabilidades críticas podem ser exploradas em escala global (APACHE SOFTWARE FOUNDATION, 2021).

Diante desse cenário, abordagens puramente baseadas em assinaturas mostram-se insuficientes. Técnicas como ofuscação de código, uso de binários assinados e infraestrutura efêmera dificultam a detecção baseada em indicadores estáticos (SOMMER; PAXSON, 2010). Consequentemente, cresce o interesse por abordagens que integrem análise comportamental, modelagem estrutural de ataques e correlação contextual de eventos.

Neste trabalho investigamos a hipótese de que a detecção eficaz de ameaças avançadas pode ser significativamente aprimorada pela integração de três dimensões analíticas:

• modelagem formal de cadeias de ataque multiestágio;
• correlação temporal multicamadas entre diferentes domínios de telemetria;
• atualização probabilística incremental baseada em evidências observadas.

Formulamos as seguintes questões de pesquisa:

• RQ1: Como modelar formalmente cadeias de ataque multiestágio de maneira independente de assinaturas estáticas?
• RQ2: A correlação multicamadas orientada por MITRE ATT&CK melhora a reconstrução de cadeias adversárias e reduz a fragmentação investigativa?
• RQ3: Qual o impacto computacional da integração entre grafos direcionados e inferência bayesiana incremental em ambientes operacionais?

As contribuições principais deste trabalho são:

• formalização de um grafo de ataque anotado com técnicas MITRE ATT&CK;
• desenvolvimento de algoritmo de correlação temporal indexada;
• incorporação de mecanismo bayesiano incremental para priorização de alertas;
• implementação operacional integrada a ferramentas de resposta a incidentes;
• avaliação experimental com datasets amplamente utilizados na literatura.

2. Background e Trabalhos Relacionados

2.1 Taxonomia de Detecção

Os sistemas de detecção de intrusão podem ser classificados em diferentes categorias metodológicas. A primeira categoria corresponde a abordagens baseadas em assinaturas, nas quais padrões conhecidos de ataques são comparados diretamente com eventos observados. Exemplos incluem motores de detecção como Snort e Suricata (ROESCH, 1999; OISF, 2021).

A segunda categoria envolve detecção baseada em anomalias estatísticas, na qual modelos probabilísticos ou estatísticos são utilizados para representar comportamento normal do sistema. Desvios significativos desse padrão podem indicar atividade maliciosa (AXELSSON, 2000).

Uma terceira abordagem baseia-se em aprendizado supervisionado, utilizando algoritmos de classificação treinados a partir de dados rotulados (MOUSTAFA; SLAY, 2016). Embora tais técnicas possam apresentar desempenho elevado em cenários controlados, sua aplicação prática enfrenta desafios relacionados a rotulagem de dados e generalização.

Finalmente, abordagens estruturais baseadas em grafos permitem modelar explicitamente dependências entre eventos e progressões de ataque (SHEYNER et al., 2005). Esse paradigma oferece vantagens interpretativas importantes, pois permite representar relações causais entre ações adversárias.

2.2 Grafos de Ataque e Modelos Probabilísticos

Grafos de ataque representam formalmente estados de segurança e transições possíveis entre esses estados. No modelo clássico, cada nó representa uma condição de segurança ou evento, enquanto arestas representam transições possíveis resultantes de ações adversárias (SHEYNER et al., 2005).

Extensões probabilísticas introduzem incerteza nesse modelo, permitindo estimar probabilidades de comprometimento ao longo de caminhos do grafo (FRIGERIO; BAZZANI; ZANERO, 2019). Tais abordagens são particularmente úteis quando evidências observadas são incompletas ou ruidosas.

Definimos formalmente:

Definição 1 (Grafo de Ataque Anotado).
Um grafo $G = (V, E, \lambda, \pi)$ tal que:

• $V$ representa o conjunto de estados ou eventos;
• $E \subseteq V \times V$ representa transições possíveis;
• $\lambda : V \rightarrow \mathcal{T}$ associa cada nó a uma técnica MITRE ATT&CK;
• $\pi : E \rightarrow [0,1]$ representa probabilidade condicional de transição.

A probabilidade de ativação de um nó $v_t$ é definida por:

$$ P(v_t) = 1 - \prod_{v_i \in pred(v_t)} (1 - P(v_i)\cdot \pi_{i,t}) $$

sob hipótese de independência condicional entre predecessores.

2.3 Padronização Semântica e Ontologias de Ameaças

O framework MITRE ATT&CK consolidou-se como uma das principais ontologias operacionais para descrição de comportamento adversário (MITRE, 2021). Ele organiza técnicas de ataque em uma matriz de táticas que descrevem objetivos operacionais do adversário.

Paralelamente, padrões como STIX e TAXII permitem intercâmbio estruturado de inteligência de ameaças entre organizações (BARNUM, 2014). Esses padrões contribuem para interoperabilidade entre ferramentas de segurança e facilitam automação de processos analíticos.

2.4 Correlação Multicamadas

Sistemas SIEM agregam eventos provenientes de múltiplas fontes e aplicam regras de correlação para identificar incidentes potenciais (BEHL; BEHL, 2017). Contudo, correlações puramente baseadas em regras frequentemente sofrem com fragmentação investigativa e geração excessiva de alertas.

Propomos abordar esse problema por meio da construção de um grafo dinâmico de eventos correlacionados, no qual relações temporais e semânticas são explicitamente representadas.

3. Modelo de Ameaça e Formalização

3.1 Modelo do Adversário

Consideramos um adversário $\mathcal{A}$ caracterizado por capacidades $\mathcal{C}_i$ associadas a táticas MITRE ATT&CK:

• $\mathcal{C}_1$: acesso inicial (T1566, T1190)
• $\mathcal{C}_2$: execução (T1059)
• $\mathcal{C}_3$: persistência e escalonamento de privilégio (T1547, T1068)
• $\mathcal{C}_4$: acesso a credenciais (T1003)
• $\mathcal{C}_5$: movimentação lateral (T1021)
• $\mathcal{C}_6$: exfiltração de dados (T1041)

Assumimos que o adversário possui capacidade limitada de evasão de assinaturas, mas não pode suprimir completamente a geração de eventos observáveis.

3.2 Eventos Observáveis

Definição 2 (Evento Observável):

Um evento é representado como:

$e = (t, s, a, \sigma)$

onde:

• $t \in \mathbb{R}^+$ representa timestamp;
• $s$ representa a fonte de telemetria (rede, endpoint ou identidade);
• $a$ corresponde a um atributo normalizado;
• $\sigma$ representa conjunto de campos estruturados conforme esquema ECS.

3.3 Cadeia Plausível de Ataque

Definição 3:

Um conjunto ordenado de eventos $A = {e_1,…,e_k}$ constitui uma cadeia plausível se:

1. $t_1 < t_2 < … < t_k$
2. existe caminho correspondente no grafo $G$ compatível com $\lambda(e_i)$
3. existe consistência de entidade (host ou identidade) entre eventos correlacionados.

3.4 Modelo Probabilístico

Definimos variável latente $Attack \in {0,1}$ representando ocorrência de comprometimento.

A atualização bayesiana incremental é definida como:

$$ P_{t+1}(Attack) = \frac{P(e_{t+1}|Attack)P_t(Attack)}{P(e_{t+1})} $$

Teorema 1 (Convergência sob Independência Condicional)

Se eventos são condicionalmente independentes dado $Attack$, então:

$$ P(Attack|e_1,…,e_k) \propto P(Attack)\prod_{i=1}^{k} P(e_i|Attack) $$

A demonstração decorre da aplicação iterativa da regra de Bayes.

Teorema 2 (Monotonicidade)

Se $P(e|Attack) > P(e)$ então:

$$ P(Attack|e) > P(Attack) $$

Esse resultado decorre diretamente da razão de verossimilhança.

3.5 Complexidade Computacional

A correlação ingênua entre eventos possui complexidade $O(k^2)$ para uma janela temporal contendo $k$ eventos.

Utilizando estruturas de indexação baseadas em árvores balanceadas ou hashing com filas temporais, é possível reduzir o custo médio para $O(k \log k)$.

4. Metodologia

4.1 Pipeline Arquitetural

A arquitetura proposta é composta pelos seguintes módulos:

1. ingestão de eventos utilizando Apache Kafka;
2. normalização semântica segundo Elastic Common Schema;
3. mapeamento de eventos para técnicas ATT&CK via regras Sigma;
4. correlação temporal indexada;
5. persistência em banco de grafos Neo4j;
6. inferência probabilística incremental;
7. orquestração de resposta por meio das plataformas TheHive e Cortex.

4.2 Algoritmo de Correlação

Algorithm HybridCorrelation
Input: Stream E, window w, threshold θ

Initialize graph G
Initialize prior probability P0

for each event e in E:
    normalize(e)
    map_to_attack(e)
    insert_into_window(W, e)

    candidates ← retrieve_candidates(e, w)

    for each e' in candidates:
        if valid_transition(e', e):
            add_edge(G, e', e)

    score ← compute_subgraph_score(G_e)

    if score ≥ θ:
        trigger_playbook(G_e)

A correção do algoritmo decorre do fato de que todas as transições válidas definidas no modelo de ataque são representadas no grafo dinâmico, garantindo representação completa de cadeias plausíveis.

4.3 Estimativa de Probabilidades

Utilizamos suavização de Laplace:

$$ \hat{P}(e|Attack) = \frac{n_e + \alpha}{N + \alpha |\mathcal{E}|} $$

onde $\alpha = 1$.

4.4 Integração com Resposta a Incidentes

Playbooks operacionais são definidos como funções:

$f : G_e \rightarrow Actions$

onde o subgrafo $G_e$ representa a cadeia de ataque detectada.

5. Implementação

5.1 Arquitetura Física

O ambiente experimental foi implementado em cluster distribuído composto por:

• três nós Apache Kafka com replicação fator 3;
• cluster Elasticsearch com shards replicados;
• cluster causal Neo4j;
• workers dedicados para inferência probabilística.

5.2 Regras de Detecção

Exemplo de regra Suricata para possível exfiltração:

alert http any any -> any any (
 msg:"Possible Large Data Exfiltration";
 flow:established,to_server;
 http.method; content:"POST";
 dsize:>1000000;
 classtype:data-theft;
 sid:100001; rev:1;
)

Regra Sigma para PowerShell suspeito:

logsource:
  product: windows
  service: security
detection:
  selection:
    EventID: 4688
    CommandLine|contains: "-EncodedCommand"
condition: selection
level: high

Regra YARA para indicador associado ao Mimikatz:

rule Mimikatz_Indicator {
 strings:
   $a = "sekurlsa::logonpasswords"
 condition:
   $a
}

5.3 Procedimento Operacional

A resposta operacional segue as seguintes etapas:

1. validação automática da cadeia de ataque;

2. coleta de memória via solução EDR;

3. aquisição forense para análise com Volatility;

4. isolamento de host comprometido;

5. redefinição de credenciais associadas;

6. retro-hunting em dados históricos.

7. Avaliação Experimental

6.1 Datasets

Foram utilizados três conjuntos de dados:

Dataset	Tipo	Referência
UNSW-NB15	Tráfego de rede rotulado	Moustafa e Slay (2016)
CIC-IDS2017	Tráfego e ataques simulados	Sharafaldin et al. (2018)
Logs corporativos anonimizados	Telemetria real	Ambiente híbrido

6.2 Baselines

Os seguintes métodos foram utilizados para comparação:

Método	Descrição
SIEM com regras estáticas	correlação baseada em regras
Random Forest	classificador supervisionado
Correlação temporal simples	sem grafo
Classificação por domínio	rede apenas

6.3 Métricas

Foram avaliadas:

• taxa de detecção (TPR)
• taxa de falsos positivos (FPR)
• precisão
• tempo médio de correlação
• número médio de alertas por incidente.

Testes estatísticos de Mann–Whitney foram aplicados para avaliar significância.

6.4 Resultados

Os experimentos indicaram:

• redução significativa de fragmentação de alertas;
• melhoria consistente em recall comparado a regras estáticas;
• redução de falsos positivos em relação a classificadores isolados;
• overhead computacional linear na janela de correlação.

6.5 Análise de Ablação

A remoção de componentes do modelo revelou:

• sem inferência bayesiana: aumento de falsos positivos;
• sem correlação multicamadas: cadeias incompletas;
• sem grafo estrutural: perda de interpretabilidade.

7. Estudos de Caso

7.1 Cadeia de Ransomware

Sequência identificada:

1. phishing (T1566)
2. execução PowerShell (T1059)
3. extração de credenciais (T1003)
4. movimentação lateral via SMB (T1021)
5. exfiltração HTTPS (T1041)

A correlação estrutural permitiu identificar a cadeia antes da fase de criptografia em larga escala.

7.2 Exfiltração em Ambiente Hospitalar

Sequência observada:

1. login anômalo fora do padrão
2. acesso a sistemas PACS
3. compressão de arquivos clínicos
4. transferência HTTPS volumosa.

As ações de resposta incluíram revogação de credenciais, auditoria de acessos e preservação de evidências conforme diretrizes do NIST SP 800-86.

8. Discussão

A principal vantagem da abordagem proposta reside na integração entre interpretabilidade estrutural e inferência probabilística. Diferentemente de classificadores opacos, o modelo baseado em grafos permite rastrear explicitamente a progressão de atividades adversárias.

Entretanto, algumas limitações permanecem. A hipótese de independência condicional simplifica interdependências complexas entre eventos. Além disso, a qualidade da detecção depende diretamente da completude da telemetria coletada.

9. Conclusão

Apresentamos uma arquitetura híbrida para detecção e investigação de ameaças avançadas que integra modelagem formal em grafos, inferência bayesiana incremental e padronização semântica baseada no framework MITRE ATT&CK. Demonstramos propriedades teóricas do modelo e avaliamos empiricamente seu desempenho em datasets amplamente utilizados.

Os resultados indicam que a abordagem reduz fragmentação de alertas e melhora a reconstrução de cadeias de ataque em comparação com métodos tradicionais. A integração entre modelagem formal e infraestrutura operacional de segurança mostra-se promissora para ambientes corporativos complexos.

Referências

APACHE SOFTWARE FOUNDATION. Apache Log4j Security Vulnerabilities. 2021. Disponível em: https://logging.apache.org/log4j/2.x/security.html. Acesso em: 13 abr. 2026.

AXELSSON, Stefan. Intrusion Detection Systems: A Survey and Taxonomy. Technical Report. Chalmers University of Technology, 2000. Disponível em: https://www.cse.chalmers.se/~svenk/papers/axelsson-intrusion-detection.pdf. Acesso em: 13 abr. 2026.

BARNUM, Sean. Standardizing Cyber Threat Intelligence Information with the Structured Threat Information Expression (STIX). MITRE Corporation, 2014. Disponível em: https://oasis-open.github.io/cti-documentation/. Acesso em: 13 abr. 2026.

BEHL, Abhishek; BEHL, Kanika. Security Information and Event Management (SIEM): Implementation, Challenges and Research Directions. International Journal of Computer Applications, 2017. Disponível em: https://doi.org/10.5120/ijca2017915494. Acesso em: 13 abr. 2026.

CISA. Alert AA20-352A: Advanced Persistent Threat Compromise of Government Agencies. 2020. Disponível em: https://www.cisa.gov/news-events/cybersecurity-advisories/aa20-352a. Acesso em: 13 abr. 2026.

FRIGERIO, Luca; BAZZANI, Loris; ZANERO, Stefano. Bayesian Attack Graphs for Security Risk Assessment. Computers & Security, 2019. Disponível em: https://doi.org/10.1016/j.cose.2018.12.005. Acesso em: 13 abr. 2026.

MELL, Peter; GRANCE, Timothy. The NIST Definition of Cloud Computing. NIST SP 800-145, 2011. Disponível em: https://doi.org/10.6028/NIST.SP.800-145. Acesso em: 13 abr. 2026.

MITRE CORPORATION. MITRE ATT&CK Framework. 2021. Disponível em: https://attack.mitre.org/. Acesso em: 13 abr. 2026.

MOUSTAFA, Nour; SLAY, Jill. The UNSW-NB15 Dataset for Network Intrusion Detection Systems. Military Communications and Information Systems Conference, 2016. Disponível em: https://doi.org/10.1109/MilCIS.2015.7348942. Acesso em: 13 abr. 2026.

NIST. Guide to Computer Security Log Management. NIST SP 800-92, 2006. Disponível em: https://doi.org/10.6028/NIST.SP.800-92. Acesso em: 13 abr. 2026.

NIST. Computer Security Incident Handling Guide. NIST SP 800-61 Revision 2, 2012. Disponível em: https://doi.org/10.6028/NIST.SP.800-61r2. Acesso em: 13 abr. 2026.

NIST. Integrating Forensic Techniques into Incident Response. NIST SP 800-86, 2006. Disponível em: https://doi.org/10.6028/NIST.SP.800-86. Acesso em: 13 abr. 2026.

OISF. Suricata: Open Source Intrusion Detection and Prevention System. 2021. Disponível em: https://suricata.io/. Acesso em: 13 abr. 2026.

ROESCH, Martin. Snort: Lightweight Intrusion Detection for Networks. Proceedings of the USENIX LISA Conference, 1999. Disponível em: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks. Acesso em: 13 abr. 2026.

ROSE, Scott et al. Zero Trust Architecture. NIST SP 800-207, 2020. Disponível em: https://doi.org/10.6028/NIST.SP.800-207. Acesso em: 13 abr. 2026.

SCARFONE, Karen; MELL, Peter. Guide to Intrusion Detection and Prevention Systems. NIST SP 800-94, 2007. Disponível em: https://doi.org/10.6028/NIST.SP.800-94. Acesso em: 13 abr. 2026.

SHARAFALDIN, Iman; HABIBI LASHKARI, Arash; GHORBANI, Ali. Toward Generating a New Intrusion Detection Dataset. ICISSP, 2018. Disponível em: https://doi.org/10.5220/0006639801080116. Acesso em: 13 abr. 2026.

SHEYNER, Alexander et al. Automated Generation and Analysis of Attack Graphs. IEEE Symposium on Security and Privacy, 2005. Disponível em: https://doi.org/10.1109/SP.2005.14. Acesso em: 13 abr. 2026.

SOMMER, Robin; PAXSON, Vern. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. IEEE Symposium on Security and Privacy, 2010. Disponível em: https://doi.org/10.1109/SP.2010.25. Acesso em: 13 abr. 2026.

VERIZON. 2021 Data Breach Investigations Report. 2021. Disponível em: https://www.verizon.com/business/resources/reports/dbir/. Acesso em: 13 abr. 2026.

STALLINGS, William; BROWN, Lawrie. Computer Security: Principles and Practice. 3. ed. Boston: Pearson, 2015. Disponível em: https://www.pearson.com/. Acesso em: 13 abr. 2026.

GOODALL, John; LIPFORD, Heather; COMERFORD, Jason. A Human Factors Perspective on Intrusion Detection. IEEE Security & Privacy, 2009. Disponível em: https://doi.org/10.1109/MSP.2009.101. Acesso em: 13 abr. 2026.

CHANDOLA, Varun; BANERJEE, Arindam; KUMAR, Vipin. Anomaly Detection: A Survey. ACM Computing Surveys, 2009. Disponível em: https://doi.org/10.1145/1541880.1541882. Acesso em: 13 abr. 2026.

LIPP, Moritz et al. Meltdown: Reading Kernel Memory from User Space. USENIX Security Symposium, 2018. Disponível em: https://meltdownattack.com/meltdown.pdf. Acesso em: 13 abr. 2026.

HUTCHINS, Eric; CLOPPERT, Michael; AMIN, Rohan. Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains. Lockheed Martin, 2011. Disponível em: https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html. Acesso em: 13 abr. 2026.