Paper Files / Detection

Arquitetura Híbrida e Formal para Detecção Multi-Camada de Ameaças Avançadas Baseada em Correlação Temporal, Modelagem Estatística e Mapeamento MITRE ATT&CK

2011-11-24DetectionPT

Este trabalho propõe e avalia uma arquitetura híbrida e formal para detecção multi-camada de ameaças avançadas em ambientes corporativos, combinando regras semânticas, modelagem estatística temporal e correlação baseada em grafos com mapeamento explícito ao framework MITRE ATT&CK. Diferentemente de abordagens exclusivamente baseadas em assinaturas ou puramente anômalas, nossa proposta integra mecanismos determinísticos (regras Sigma, YARA e assinaturas Suricata) com modelos estatísticos por host e um mecanismo formal de encadeamento temporal de eventos. Formalizamos o problema de detecção como uma tarefa de classificação sobre sequências temporais sujeita a restrições semânticas derivadas de cadeias de ataque compatíveis com ATT&CK. Demonstramos que a correlação estruturada reduz significativamente falsos positivos ao exigir consistência causal e temporal entre eventos heterogêneos (rede, endpoint e autenticação). Implementamos a arquitetura utilizando Elastic Stack, Apache Kafka, Suricata, Sysmon e Neo4j, avaliando-a com dados reais (3,2 bilhões de eventos) e com o conjunto CIC-IDS2017. Os resultados indicam aumento de TPR para 96,4%, redução de FPR para 4,6% e diminuição do MTTD em 27% quando comparado a baselines isolados. Além disso, analisamos um estudo de caso baseado na exploração da vulnerabilidade CVE-2017-5638 (Apache Struts), demonstrando a eficácia da correlação multi-camada na reconstrução de uma cadeia de ataque T1190 → T1059 → T1047. Concluímos que a integração formal entre modelagem estatística e semântica operacional oferece ganhos mensuráveis de precisão e interpretabilidade, mantendo escalabilidade em ambientes de grande porte.

Introduction

A detecção de ameaças cibernéticas evoluiu de um paradigma centrado exclusivamente em assinaturas estáticas para um ecossistema que integra análise comportamental, inteligência contextual e correlação temporal de eventos em larga escala. Ferramentas como SIEM, EDR e NIDS tornaram-se componentes essenciais das operações de segurança (SOCs), mas incidentes amplamente divulgados até 2020 — como a exploração da vulnerabilidade CVE-2017-5638 no Apache Struts e campanhas de ransomware como Ryuk e WannaCry — evidenciam lacunas entre visibilidade, correlação e resposta (SYMANTEC, 2019; MITRE, 2020).

O Verizon Data Breach Investigations Report de 2020 aponta que 70% das violações envolveram o elemento humano e que a exploração de vulnerabilidades conhecidas permanece vetor recorrente (VERIZON, 2020). Técnicas como T1059 (Command and Scripting Interpreter), T1027 (Obfuscated Files or Information) e T1047 (Windows Management Instrumentation), conforme descritas no MITRE ATT&CK até 2020, figuram entre as mais empregadas (STROM et al., 2018; MITRE, 2020). Tais técnicas exploram binários legítimos do sistema operacional (living-off-the-land binaries), dificultando a distinção entre atividade administrativa e maliciosa.

Formulamos o problema central da seguinte maneira: dado um fluxo massivo e heterogêneo de eventos $E = {e_1, \dots, e_n}$ provenientes de múltiplas fontes, como identificar cadeias maliciosas distribuídas no tempo minimizando a taxa de falsos positivos e a latência de detecção?

Propomos três questões de pesquisa:

RQ1: Como integrar regras semânticas mapeadas ao ATT&CK com modelos estatísticos mantendo interpretabilidade?
RQ2: Qual o impacto da correlação temporal baseada em grafos na redução de falsos positivos?
RQ3: É possível reduzir o MTTD mantendo escalabilidade para bilhões de eventos?

Nossas contribuições são:

C1: Formalização matemática da detecção multi-camada como problema de classificação temporal sob restrições semânticas.
C2: Arquitetura híbrida integrando regras determinísticas, modelagem estatística e correlação por grafos.
C3: Avaliação quantitativa demonstrando redução de 38% em FPR e melhoria de 27% no MTTD.

Fundamentação Teórica e Trabalhos Relacionados

Sistemas de detecção de intrusão (IDS) podem ser classificados como baseados em assinaturas, anomalias ou híbridos (SCARFONE; MELL, 2007). Formalmente, seja $x_i \in \mathbb{R}^d$ o vetor de características associado ao evento $e_i$. Desejamos aprender uma função $f: \mathbb{R}^d \to {0,1}$ que maximize $P(y_i \mid x_i)$.

Abordagens por assinatura, como Snort e Suricata, utilizam correspondência determinística de padrões (ROESCH, 1999; OISF, 2020). Embora apresentem baixa taxa de falso positivo para ameaças conhecidas, não generalizam para variantes inéditas.

Modelos de anomalia utilizam técnicas estatísticas ou aprendizado de máquina, como Isolation Forest e modelos ARIMA (AHMED; MAHMOOD; HU, 2016). Apesar da capacidade de identificar desvios comportamentais, tais métodos sofrem com FPR elevado em ambientes ruidosos.

O framework MITRE ATT&CK fornece taxonomia estruturada de técnicas adversárias (STROM et al., 2018). Seu uso para mapeamento de regras aumenta rastreabilidade e padronização da resposta.

Contudo, a literatura até 2020 revela três lacunas:
(1) ausência de formalização unificada entre modelos estatísticos e restrições semânticas;
(2) carência de avaliações em ambientes de grande escala;
(3) limitada integração de correlação temporal com mapeamento explícito a ATT&CK.

Modelo de Ameaça e Formalização

Consideramos um adversário $\mathcal{A}$ com capacidades de:

Exploração remota de vulnerabilidades (ex.: CVE-2017-5638);
Execução de comandos via PowerShell;
Movimento lateral autenticado via WMI;
Exfiltração via DNS ou HTTPS.

Definimos uma cadeia de ataque como grafo direcionado acíclico $G = (V, A)$, onde $V \subseteq E$ e $A$ representa dependência temporal.

O problema de detecção é:

$$ f(S) = 1 \iff \exists C \subseteq S \text{ tal que } C \models \Phi_{\text{ATT&CK}} $$

onde $\Phi_{\text{ATT&CK}}$ representa restrições semânticas compatíveis com sequência válida de técnicas.

Métricas:

$TPR = P(f=1 \mid y=1)$
$FPR = P(f=1 \mid y=0)$
$\Delta t = t_{det} - t_{exec}$

Metodologia Proposta

4.1 Camada 1 — Regras Determinísticas

Empregamos regras Sigma convertidas para Elasticsearch e assinaturas Suricata. Exemplo:

logsource:
  product: windows
detection:
  selection:
    CommandLine|contains: "EncodedCommand"
  condition: selection

4.2 Camada 2 — Modelagem Estatística

Para cada host $h$, modelamos série temporal $X_h(t)$. Ajustamos modelo ARIMA e aplicamos Isolation Forest.

$$ A_h(t) = \mathbb{1}(|X_h(t) - \hat{X}_h(t)| > \theta) $$

4.3 Camada 3 — Correlação Temporal

Algoritmo:

Algorithm TemporalCorrelation(E, w):
  sort E by timestamp
  for each e_i in E:
    for each e_j within window w:
      if semantic_link(e_i, e_j):
        add edge (e_i, e_j)

Complexidade: $O(n \log n)$ com indexação temporal.

Implementação

Arquitetura:

Coleta: Winlogbeat + Sysmon (RUSINOVICH; SOLOMON, 2016)
Pipeline: Apache Kafka
Processamento: Logstash
Armazenamento: Elasticsearch 7.x
NIDS: Suricata 5.x
Grafo: Neo4j 4.x
Análise de memória: Volatility 2

Exemplo de regra Suricata para exploração Struts:

alert http any any -> any any (msg:"Apache Struts RCE CVE-2017-5638";
content:"Content-Type|3a| %{(_='multipart/form-data')"; sid:1000002;)

Cluster Elasticsearch com 12 nós (128 GB RAM cada). Throughput médio: 85.000 eventos/s.

Avaliação Experimental

Ambiente com 12 servidores Dell R740. Dataset: CIC-IDS2017 (SHARAFALDINE; HABIBI LASHKARI; GHORBANI, 2018) + 3,2 bilhões de eventos reais anonimizados.

Baselines:

Método	TPR	FPR	MTTD
B1 (regras)	88,2%	7,4%	42 min
B2 (anomalia)	91,5%	12,1%	38 min
Proposto	96,4%	4,6%	30,7 min

Teste t de Student indica $p < 0,01$.

Estudo de Caso

Simulamos exploração do CVE-2017-5638:

Payload malicioso HTTP
Execução de shell
PowerShell codificado
Movimento lateral via WMI

A arquitetura correlacionou T1190 → T1059 → T1047 em 28 minutos.

Discussão

A abordagem híbrida reduziu FPR ao exigir consistência temporal e semântica. A interpretabilidade foi preservada via mapeamento ATT&CK explícito. Limitações incluem dependência de qualidade de logs e custo computacional.

Conclusão

Demonstramos que integração formal entre modelos estatísticos e correlação semântica melhora desempenho e rastreabilidade até o estado da arte de 2020. A arquitetura mantém escalabilidade e interpretabilidade.

References

AHMED, Mohiuddin; MAHMOOD, Abdun Naser; HU, Jiankun. A survey of network anomaly detection techniques. Journal of Network and Computer Applications, v. 60, p. 19–31, 2016. Disponível em: https://doi.org/10.1016/j.jnca.2015.11.016. Acesso em: 13 abr. 2020.

MITRE CORPORATION. MITRE ATT&CK Framework. 2020. Disponível em: https://attack.mitre.org/. Acesso em: 13 abr. 2020.

ROESCH, Martin. Snort: Lightweight intrusion detection for networks. In: LISA 99. 1999. Disponível em: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks. Acesso em: 13 abr. 2020.

SCARFONE, Karen; MELL, Peter. Guide to Intrusion Detection and Prevention Systems (IDPS). NIST SP 800-94. 2007. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-94/final. Acesso em: 13 abr. 2020.

STROM, Blake et al. MITRE ATT&CK: Design and Philosophy. MITRE, 2018. Disponível em: https://attack.mitre.org/resources/whitepapers/. Acesso em: 13 abr. 2020.

VERIZON. 2020 Data Breach Investigations Report. 2020. Disponível em: https://www.verizon.com/business/resources/reports/dbir/. Acesso em: 13 abr. 2020.

SHARAFALDINE, Iman; HABIBI LASHKARI, Arash; GHORBANI, Ali A. Toward generating a new intrusion detection dataset. ICISSP, 2018. Disponível em: https://www.unb.ca/cic/datasets/ids-2017.html. Acesso em: 13 abr. 2020.

OISF. Suricata User Guide. 2020. Disponível em: https://suricata.readthedocs.io/. Acesso em: 13 abr. 2020.

RUSINOVICH, Mark; SOLOMON, David. Windows Internals. 6. ed. Redmond: Microsoft Press, 2016.