Arquitetura Híbrida e Formalmente Modelada para Detecção Multi-Camada de Ameaças Avançadas em Ambientes Corporativos Baseada em Telemetria de Rede, Endpoint e Memória

1. Introduction

A detecção de ameaças em ambientes corporativos atravessa, em 2020, uma transformação estrutural motivada por três vetores convergentes. Em primeiro lugar, observa-se o aumento da superfície de ataque decorrente de arquiteturas híbridas, virtualização extensiva, serviços em nuvem pública e privada e integrações por meio de APIs. Em segundo lugar, verifica-se a profissionalização do ecossistema de crime cibernético, com campanhas estruturadas de ransomware, trojans bancários e operações de espionagem patrocinadas por Estados (ENISA, 2019; SYMANTEC, 2019). Em terceiro lugar, técnicas de evasão que exploram funcionalidades legítimas do sistema operacional tornaram-se predominantes, reduzindo a eficácia de mecanismos puramente baseados em assinaturas estáticas.

Relatórios de mercado publicados até 2020 indicam que o tempo médio de identificação e contenção de incidentes permanece elevado, frequentemente superior a 200 dias quando considerado o ciclo completo (IBM, 2020; MANDIANT, 2020). Embora tais relatórios utilizem metodologias proprietárias, diferentes fontes convergem para a existência de latência significativa na detecção inicial.

Do ponto de vista técnico, adversários modernos utilizam técnicas catalogadas no framework MITRE ATT&CK (MITRE, 2020), incluindo:

• T1059 – Command and Scripting Interpreter
• T1071 – Application Layer Protocol
• T1003 – OS Credential Dumping
• T1027 – Obfuscated Files or Information

Essas técnicas exploram ferramentas administrativas legítimas, como PowerShell, WMI, PsExec e utilitários nativos do Windows, caracterizando o fenômeno conhecido como Living-off-the-Land (LOLBins). Essa estratégia dificulta a distinção entre atividade administrativa legítima e comportamento malicioso.

Investigamos, portanto, o seguinte problema central: como projetar uma arquitetura de detecção multi-camada que maximize a identificação de cadeias de TTPs (Tactics, Techniques and Procedures), minimize falsos positivos, preserve viabilidade operacional e mantenha escalabilidade em ambientes heterogêneos?

Formulamos as seguintes questões de pesquisa:

RQ1: A correlação temporal e semântica multi-fonte melhora estruturalmente a detecção de cadeias de ataque em comparação a alertas isolados?
RQ2: A modelagem formal do processo de detecção reduz ambiguidades e melhora consistência decisória?
RQ3: Qual o impacto operacional em termos de latência e sobrecarga computacional?

Nossas contribuições são:

C1: Formalização matemática da detecção multi-camada como problema de reconhecimento de subgrafos em grafos temporais rotulados.
C2: Algoritmo de correlação com análise de complexidade e prova de correção sob restrições temporais.
C3: Arquitetura prática baseada em ferramentas consolidadas até 2020, com configuração reproduzível.
C4: Avaliação qualitativa em dois cenários representativos.

2. Background and Related Work

2.1 Modelos Clássicos de Detecção

Denning (1987) introduziu modelo seminal de detecção baseado em perfis estatísticos de comportamento. Posteriormente, sistemas baseados em assinaturas, como Snort (ROESCH, 1999) e Suricata (OISF, 2020), tornaram-se amplamente adotados.

Sommer e Paxson (2010) argumentaram que abordagens de aprendizado de máquina devem considerar restrições operacionais, interpretabilidade e custo de falsos positivos. Axelsson (2000) demonstrou formalmente o problema da taxa-base, evidenciando que mesmo detectores com alta sensibilidade podem produzir grande volume de falsos positivos em ambientes com baixa prevalência de ataques.

2.2 Taxonomia

Classificamos sistemas segundo:

Localização da coleta:

Categoria	Descrição
NIDS	Monitoramento de tráfego de rede
HIDS	Monitoramento local em host
EDR	Telemetria contínua de endpoint com resposta
SIEM	Correlação centralizada de eventos

Estratégia de detecção:

Estratégia	Característica
Assinatura	Padrões conhecidos
Anomalia	Desvio estatístico
Especificação	Violação de política formal
Híbrida	Combinação das anteriores

2.3 Grafos e Correlação

Modelos baseados em grafos têm sido utilizados para representar dependências causais e fluxos de informação (KING; CHEN, 2003; LIU et al., 2018). Grafos de proveniência permitem reconstruir cadeias de execução e identificar padrões estruturais equivalentes a campanhas de ataque.

Entretanto, muitos trabalhos concentram-se em protótipos acadêmicos, com limitada discussão sobre integração com SOCs operacionais.

2.4 Lacunas

Identificamos três lacunas:

L1: Ausência de formalização rigorosa conectando modelo de ameaça, algoritmo e propriedades de correção.
L2: Escassez de integração prática detalhada entre ferramentas amplamente adotadas.
L3: Análise limitada de impacto operacional.

3. Threat Model and Problem Formalization

3.1 Modelo de Adversário

Definimos um adversário probabilístico polinomial (PPT) com capacidades:

(i) Explorar vulnerabilidades conhecidas;
(ii) Executar código com privilégios locais;
(iii) Realizar movimento lateral autenticado;
(iv) Evadir assinaturas simples;
(v) Comunicar-se via HTTP/HTTPS.

Não assumimos quebra de primitivas criptográficas robustas.

3.2 Espaço de Eventos

Seja $E = {e_1, \dots, e_n}$ o conjunto de eventos observáveis, onde

$$ e_i = (t_i, s_i, a_i, m_i) $$

com $t_i$ timestamp, $s_i$ origem, $a_i$ ação e $m_i$ metadados.

3.3 Grafo Temporal Rotulado

Definimos

$$ G = (V, A, \lambda, \tau) $$

onde $V = E$, $A \subseteq V \times V$, $\lambda$ rotula vértices e $\tau$ associa diferenças temporais positivas.

3.4 Problema Formal

Dado conjunto de padrões $P_1, \dots, P_k$ modelados como grafos ATT&CK, buscamos subgrafo $G’ \subseteq G$ isomorfo a algum $P_i$ sob restrições temporais.

Teorema 1. O problema é NP-completo.

Esboço. Redução do problema clássico de subgraph isomorphism preservando rótulos como atributos de vértices (GAREY; JOHNSON, 1979).

3.5 Função Utilidade

Modelamos utilidade do defensor como:

$$ U_D = \alpha \cdot TP - \beta \cdot FP - \gamma \cdot Delay $$

com $\alpha, \beta, \gamma > 0$.

4. Proposed Methodology

4.1 Arquitetura

Componentes:

1. Suricata (NIDS)
2. Sysmon (telemetria Windows)
3. Elastic Stack 7.x
4. Regras Sigma
5. Motor de correlação baseado em grafos
6. Volatility 2.x e YARA

4.2 Algoritmo com Janela Deslizante

Complexidade:

• Ordenação: $O(n \log n)$
• Construção incremental: $O(n + m)$

Teorema 2. O algoritmo identifica todas as arestas válidas sob janela $\Delta t$.

Esboço. Todo evento permanece ativo enquanto $t_j - t_i \le \Delta t$; nenhuma correlação elegível é descartada prematuramente.

5. Implementation

5.1 Pipeline

input {
  beats { port => 5044 }
}
filter {
  json { source => "message" }
}
output {
  elasticsearch { hosts => ["localhost:9200"] }
}

5.2 Regra Sigma

logsource:
  product: windows
  category: process_access
detection:
  selection:
    TargetImage|endswith: '\lsass.exe'
  condition: selection
level: high

5.3 Regra YARA

rule Mimikatz_String_Indicators
{
    strings:
        $s1 = "sekurlsa::logonpasswords"
        $s2 = "mimikatz"
    condition:
        any of them
}

5.4 Regra Suricata

alert tls any any -> any any (msg:"TLS SNI suspeito"; tls.sni; content:"exemplo-c2.com"; nocase; sid:100001;)

6. Experimental Evaluation

6.1 Ambiente

Ambiente virtualizado com VMs Windows 10 e Windows Server 2016, além de hosts Linux.

6.2 Baselines

Configuração	Característica
Apenas NIDS	Alertas isolados de rede
Apenas Endpoint	Telemetria local
SIEM sem correlação temporal	Regras independentes
Arquitetura proposta	Correlação multi-fonte

6.3 Observações

A correlação multi-fonte reduziu redundância de alertas e melhorou contextualização de cadeias multi-etapa. O custo adicional concentrou-se em armazenamento, com crescimento $O(n)$.

7. Case Studies

7.1 Caso 1 – Ambiente Windows

Cadeia simulada:

1. Exploração EternalBlue (CVE-2017-0144)
2. Execução remota
3. Dump de credenciais (T1003)
4. Comunicação C2 via HTTPS (T1071)

A reconstrução do subgrafo integrou eventos Sysmon ID 1 e 10 com alerta TLS.

7.2 Caso 2 – Ambiente Industrial

Simulamos servidor SCADA e estação de engenharia.

Etapas:

1. Credencial comprometida
2. Upload binário
3. Movimento lateral SMB
4. Alteração de serviço

A análise de memória com Volatility identificou processos injetados.

8. Discussion

A abordagem aproxima-se de grafos de proveniência, mas enfatiza integração operacional realista. Limitações incluem complexidade NP-completa, dependência de telemetria confiável e necessidade de ajuste contínuo.

9. Conclusion

Demonstramos que a modelagem formal de detecção multi-camada fornece base rigorosa para correlação avançada de eventos em ambientes corporativos até o estado da arte de 2020. A integração entre formalismo matemático e ferramentas operacionais consolidadas contribui para maior consistência decisória e transparência analítica.

References

AXELSSON, Stefan. The base-rate fallacy and the difficulty of intrusion detection. ACM Transactions on Information and System Security, v. 3, n. 3, p. 186–205, 2000. Disponível em: https://doi.org/10.1145/357830.357849

DENNING, Dorothy E. An intrusion-detection model. IEEE Transactions on Software Engineering, v. SE-13, n. 2, p. 222–232, 1987. Disponível em: https://doi.org/10.1109/TSE.1987.232894

ENISA. ENISA Threat Landscape Report 2019. 2019. Disponível em: https://www.enisa.europa.eu/publications/enisa-threat-landscape-report-2019

GAREY, Michael R.; JOHNSON, David S. Computers and Intractability. New York: Freeman, 1979.

IBM. Cost of a Data Breach Report 2020. 2020. Disponível em: https://www.ibm.com/security/data-breach

KING, Samuel T.; CHEN, Peter M. Backtracking intrusions. ACM SIGOPS Operating Systems Review, v. 37, n. 5, 2003. Disponível em: https://doi.org/10.1145/1165389.945445

LIU, Zhiqiang et al. Towards a timely causality analysis for enterprise security. NDSS, 2018. Disponível em: https://www.ndss-symposium.org/ndss2018/

MANDIANT. M-Trends 2020 Report. 2020. Disponível em: https://www.fireeye.com/current-threats/annual-threat-report/m-trends.html

MITRE. MITRE ATT&CK Framework. Version 8, 2020. Disponível em: https://attack.mitre.org

OISF. Suricata User Guide. 2020. Disponível em: https://suricata.readthedocs.io

ROESCH, Martin. Snort: Lightweight intrusion detection for networks. LISA, 1999. Disponível em: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks

SOMMER, Robin; PAXSON, Vern. Outside the closed world. IEEE Symposium on Security and Privacy, 2010. Disponível em: https://doi.org/10.1109/SP.2010.25

SYMANTEC. Internet Security Threat Report 2019. 2019. Disponível em: https://www.symantec.com/security-center/threat-report