Paper Files / Research
Arquitetura Híbrida Escalável para Detecção e Caça a Ameaças Baseada em Telemetria Multicamadas e Correlação Orientada ao MITRE ATT&CK
A expansão acelerada de ambientes digitais corporativos, impulsionada pela adoção de computação em nuvem, arquiteturas híbridas, microserviços e integrações via APIs, transformou profundamente o cenário de segurança da informação. A superfície de ataque contemporânea tornou-se altamente distribuída e dinâmica, o que dificulta a detecção precoce de intrusões por mecanismos tradicionais baseados exclusivamente em assinaturas. Ataques modernos frequentemente seguem cadeias complexas de táticas, técnicas e procedimentos (TTPs), muitas vezes distribuídas entre múltiplas camadas de infraestrutura, incluindo endpoints, redes, identidades e serviços em nuvem. Nesse contexto, abordagens isoladas de detecção — como SIEMs baseados em regras estáticas ou soluções EDR sem correlação contextual — aprese
- Introduction
A superfície de ataque corporativa expandiu-se exponencialmente na última década devido à adoção massiva de computação em nuvem, arquiteturas híbridas, trabalho remoto, plataformas SaaS e integrações extensivas via APIs. Essa transformação digital ampliou significativamente a complexidade operacional dos ambientes de TI e, consequentemente, os desafios relacionados à detecção de ameaças.
Relatórios recentes indicam que o fator humano continua sendo um dos principais vetores de comprometimento. O relatório Data Breach Investigations Report de 2024 aponta que aproximadamente 68% das violações de segurança envolvem algum tipo de interação humana, frequentemente associada ao uso indevido ou comprometimento de credenciais válidas (VERIZON, 2024). Esse cenário demonstra que invasores frequentemente exploram identidades legítimas para se movimentar lateralmente dentro das redes corporativas.
Ataques contemporâneos raramente se limitam a uma única técnica. Em vez disso, seguem sequências estruturadas de TTPs (Tactics, Techniques and Procedures) que refletem a progressão operacional do adversário dentro do ambiente comprometido. O framework MITRE ATT&CK consolidou-se como uma das principais taxonomias para modelagem dessas atividades adversárias, oferecendo uma base estruturada para análise comportamental e correlação de eventos (MITRE, 2023).
Incidentes amplamente documentados ilustram essa evolução. O comprometimento da cadeia de suprimentos da SolarWinds evidenciou como invasores podem inserir código malicioso em processos legítimos de distribuição de software, seguido por movimentação lateral furtiva e abuso de tokens de autenticação federada. De maneira semelhante, a vulnerabilidade Log4Shell (CVE-2021-44228) demonstrou como uma falha de execução remota de código pode ser explorada para implantar cargas adicionais, como web shells, criptomineradores ou frameworks de pós-exploração.
Em ambos os casos, mecanismos tradicionais de detecção baseados exclusivamente em assinaturas mostraram-se insuficientes para identificar as etapas iniciais da intrusão. Sistemas SIEM frequentemente dependem de regras estáticas — como Sigma rules convertidas para linguagens de consulta específicas — que podem gerar elevado volume de falsos positivos ou falhar na identificação de ataques sofisticados.
Adicionalmente, soluções de Endpoint Detection and Response (EDR) frequentemente operam de forma isolada, sem correlação direta com eventos de rede, autenticação ou infraestrutura em nuvem. Essa fragmentação reduz a capacidade analítica das equipes de Security Operations Center (SOC).
Diante desse contexto, formulamos as seguintes questões de pesquisa:
RQ1: Como modelar formalmente a correlação entre eventos heterogêneos de segurança de modo a representar progressões reais de ataque?
RQ2: Qual é o impacto quantitativo da integração de telemetria multicamadas na redução do tempo médio de detecção (MTTD) e da taxa de falsos positivos?
RQ3: É possível manter escalabilidade operacional em ambientes de grande volume de dados sem comprometer o desempenho analítico?
As principais contribuições deste trabalho são:
C1: Propomos um modelo matemático baseado em grafos direcionados ponderados para representar cadeias de ataque orientadas ao MITRE ATT&CK.
C2: Desenvolvemos algoritmos de agregação temporal e cálculo de risco acumulado para correlação de eventos distribuídos.
C3: Implementamos uma arquitetura funcional baseada em ferramentas amplamente utilizadas na indústria e avaliamos empiricamente seu desempenho em cenários realistas de intrusão.
O restante do artigo está organizado da seguinte forma: a Seção 2 apresenta fundamentos teóricos e trabalhos relacionados; a Seção 3 descreve o modelo de ameaça e a formalização do problema; a Seção 4 detalha a metodologia proposta; a Seção 5 discute a implementação da arquitetura; a Seção 6 apresenta a avaliação experimental; a Seção 7 descreve um estudo de caso; a Seção 8 discute implicações e limitações; a Seção 9 conclui o trabalho.
- Background and Related Work
A detecção de intrusões pode ser formalmente modelada como um problema de classificação sobre um conjunto de eventos observáveis provenientes de múltiplas fontes de telemetria. Consideremos um conjunto de eventos:
$E = {e_1, e_2, …, e_n}$
onde cada evento $e_i$ é descrito por um vetor de atributos:
$(a_1, a_2, …, a_k)$
Modelos tradicionais de detecção aplicam uma função de classificação:
$f: E \rightarrow {0,1}$
na qual $0$ representa comportamento benigno e $1$ representa atividade maliciosa.
Sistemas Baseados em Assinaturas
Sistemas de detecção baseados em assinaturas dependem da identificação de padrões previamente conhecidos em tráfego ou logs. Um dos exemplos mais conhecidos é o Snort, apresentado por Roesch (1999), que utiliza regras estruturadas para detectar tráfego malicioso em redes.
Embora eficazes contra ameaças conhecidas, tais sistemas apresentam limitações significativas contra ataques polimórficos ou técnicas de evasão.
Detecção Baseada em Anomalias
Abordagens baseadas em anomalias buscam identificar desvios em relação a padrões normais de comportamento. Essas técnicas podem utilizar métodos estatísticos, aprendizado de máquina ou redes neurais profundas.
Sommer e Paxson (2010) destacam, entretanto, que sistemas puramente baseados em anomalias frequentemente apresentam altas taxas de falsos positivos em ambientes operacionais complexos, especialmente quando a variabilidade legítima de comportamento é elevada.
Modelagem de Ataques Baseada em Grafos
Grafos de ataque representam possíveis caminhos de exploração que um adversário pode seguir dentro de um ambiente comprometido. Essas estruturas permitem modelar dependências entre vulnerabilidades, privilégios e recursos.
Pesquisas recentes demonstram que grafos de ataque podem melhorar significativamente a análise de progressões adversárias, especialmente quando combinados com frameworks comportamentais como o MITRE ATT&CK (ZHANG et al., 2021).
Telemetria Multicamadas
Ferramentas modernas de observabilidade de segurança fornecem visibilidade granular em diferentes camadas do sistema:
- Sysmon registra eventos detalhados do sistema operacional Windows (RUSSINOVICH; IONESCU, 2023)
- Suricata atua como IDS/IPS de alta performance para inspeção de tráfego de rede (OISF, 2023)
- Zeek fornece análise comportamental de protocolos de rede (PAXSON, 1999)
Apesar da disponibilidade dessas fontes de dados, muitas organizações ainda carecem de mecanismos eficientes para correlacionar eventos entre diferentes camadas de infraestrutura.
Segurança em Ambientes Nativos de Nuvem
Com a adoção massiva de arquiteturas cloud-native, novas categorias de plataformas de segurança surgiram, incluindo Cloud-Native Application Protection Platforms (CNAPP). Essas plataformas integram capacidades tradicionalmente separadas, como:
- Cloud Security Posture Management (CSPM)
- Cloud Workload Protection Platforms (CWPP)
- Container Security
- Infrastructure-as-Code scanning
A convergência dessas tecnologias amplia a visibilidade sobre workloads distribuídos, porém também gera volumes massivos de telemetria que precisam ser correlacionados de forma eficiente.
Observabilidade com eBPF
Recentemente, o uso de extended Berkeley Packet Filter (eBPF) tornou-se uma abordagem promissora para coleta de telemetria de baixo overhead em ambientes Linux. Programas eBPF podem ser executados no kernel para capturar eventos como:
- criação de processos
- chamadas de sistema
- conexões de rede
- manipulação de arquivos
Essa capacidade permite observar comportamentos maliciosos com granularidade significativamente maior.
Ameaças Emergentes Associadas a IA
O surgimento de modelos de linguagem de grande escala (LLMs) também introduziu novas superfícies de ataque. Entre os vetores emergentes destacam-se:
- prompt injection
- data poisoning em pipelines de treinamento
- exfiltração de dados sensíveis por meio de consultas adversariais
Essas ameaças reforçam a necessidade de mecanismos avançados de detecção comportamental que transcendam modelos tradicionais baseados apenas em assinaturas.
- Threat Model and Problem Formalization
Assumimos um adversário com as seguintes capacidades:
- Exploração inicial por meio de vulnerabilidades remotas
- Execução arbitrária de código em sistemas comprometidos
- Escalada de privilégios locais
- Movimentação lateral entre hosts
- Exfiltração de dados por canais criptografados
Modelamos o ambiente observável como um grafo dirigido:
$G = (V, E)$
onde:
- $V$ representa técnicas do framework MITRE ATT&CK
- $E$ representa transições possíveis entre técnicas observadas
Cada técnica possui um peso associado $w_i$ que representa seu impacto potencial dentro da cadeia de ataque.
Definimos a função de risco acumulado:
$$ R(t) = \sum_{i=1}^{n} w_i \cdot \delta(e_i, t) $$
onde:
- $w_i$ representa o peso associado à técnica detectada
- $\delta(e_i, t)$ é uma função indicadora que assume valor 1 quando o evento $e_i$ ocorre dentro da janela temporal considerada.
Um alerta é gerado quando:
$$ R(t) \geq \theta $$
onde $\theta$ representa um limiar de risco configurável.
3.1 Extended Threat Model Analysis
A modelagem tradicional apresentada anteriormente considera apenas sequências lineares de técnicas ATT&CK. Contudo, ambientes corporativos modernos exigem uma representação mais abrangente que inclua:
- múltiplos caminhos de exploração
- dependências condicionais entre técnicas
- superfícies híbridas (endpoint, rede e nuvem)
Podemos representar a progressão adversária como uma árvore de ataque.
graph TD
A[Initial Access]
A --> B[Phishing]
A --> C[Exploit Public-Facing App]
B --> D[Credential Harvesting]
C --> D
D --> E[Privilege Escalation]
E --> F[Lateral Movement]
F --> G[Domain Controller Compromise]
G --> H[Data Exfiltration]
G --> I[Ransomware Deployment]
Nesse modelo, diferentes vetores de acesso inicial podem convergir para um conjunto comum de ações pós-exploração.
Matriz de Risco
A avaliação de risco pode ser modelada considerando duas dimensões principais:
- probabilidade de ocorrência
- impacto operacional
Tabela 3 apresenta uma matriz simplificada.
| Técnica ATT&CK | Probabilidade | Impacto | Score |
|---|---|---|---|
| Phishing | Alta | Médio | 0.72 |
| Credential Dumping | Média | Alto | 0.81 |
| Lateral Movement | Média | Alto | 0.79 |
| Data Exfiltration | Baixa | Crítico | 0.84 |
Podemos definir formalmente o risco como:
$$ Risk = P(e) \times Impact(e) $$
onde:
- $P(e)$ representa a probabilidade estimada de ocorrência do evento
- $Impact(e)$ representa o impacto operacional estimado.
Modelagem Probabilística de Cadeias de Ataque
Considere uma cadeia de técnicas $T = {t_1, t_2, …, t_n}$.
A probabilidade conjunta de comprometimento pode ser aproximada por:
$$ P(T) = \prod_{i=1}^{n} P(t_i | t_{i-1}) $$
Essa formulação permite estimar a probabilidade de progressão de um ataque ao longo do grafo.
- Proposed Methodology
A arquitetura proposta segue um modelo de pipeline distribuído composto por quatro camadas principais:
- Coleta de telemetria
- Normalização e enriquecimento
- Correlação comportamental
- Visualização e investigação
Camada de Coleta
A coleta de eventos é realizada por múltiplos sensores distribuídos:
- Sysmon para telemetria de processos e sistema
- Suricata para inspeção de tráfego
- Zeek para análise de protocolos
- Logs de identidade e autenticação
Normalização
Os eventos são processados por pipelines de ingestão baseados em Logstash e Kafka, permitindo:
- padronização de campos
- enriquecimento com inteligência de ameaças
- indexação eficiente
Algoritmo de Agregação Temporal
Input: fluxo de eventos $S$
Output: conjunto de alertas $A$
Para cada evento $e$ em $S$:
- Mapear $e$ para técnica ATT&CK correspondente
- Atualizar o valor de risco $R(t)$
- Avaliar condição de alerta
Se $R(t) \geq \theta$, gerar alerta e registrar cadeia de eventos correlacionada.
Considerando indexação temporal eficiente, a complexidade aproximada do algoritmo é:
$O(n \log n)$
- Implementation
A implementação foi realizada utilizando tecnologias amplamente adotadas em ambientes SOC.
Tabela 1 apresenta os principais componentes utilizados.
| Componente | Versão | Função |
|---|---|---|
| Elastic Stack | 8.11 | Indexação e análise de logs |
| Apache Kafka | 3.5 | Streaming de eventos |
| Wazuh | 4.6 | Monitoramento de endpoints |
| Sysmon | 15 | Telemetria de sistema |
| Redis | 7 | Cache e estado de correlação |
Exemplo de Configuração Sysmon
<ProcessCreate onmatch="include">
<CommandLine condition="contains">powershell</CommandLine>
</ProcessCreate>
Esse filtro permite capturar execuções de PowerShell frequentemente associadas a técnicas ATT&CK como T1059 (Command and Scripting Interpreter).
Escalabilidade
O pipeline foi projetado para operar em ambientes distribuídos com ingestão de alto volume de eventos. O uso de Kafka permite paralelismo horizontal na ingestão e processamento de logs.
- Comparative Analysis
A eficácia da arquitetura proposta pode ser melhor compreendida quando comparada a abordagens tradicionais utilizadas em centros de operações de segurança.
Comparação com SIEM Tradicional
| Critério | SIEM Tradicional | Arquitetura Proposta |
|---|---|---|
| Correlação de eventos | Regras estáticas | Grafos ATT&CK |
| Escalabilidade | Limitada | Alta |
| Detecção comportamental | Parcial | Avançada |
| Integração cloud | Limitada | Nativa |
Comparação com EDR Isolado
| Característica | EDR | Arquitetura Multicamadas |
|---|---|---|
| Visibilidade de endpoint | Alta | Alta |
| Visibilidade de rede | Baixa | Alta |
| Correlação temporal | Limitada | Avançada |
| Contexto de identidade | Parcial | Completo |
Comparação com Plataformas CNAPP
| Aspecto | CNAPP | Arquitetura Proposta |
|---|---|---|
| Segurança de workloads | Sim | Sim |
| Telemetria de endpoint | Parcial | Completa |
| Detecção baseada em TTP | Limitada | Forte |
| Integração SOC | Moderada | Alta |
Fluxo de Correlação de Eventos
sequenceDiagram
participant Endpoint
participant NetworkSensor
participant Kafka
participant CorrelationEngine
participant SIEM
Endpoint->>Kafka: Sysmon Events
NetworkSensor->>Kafka: Suricata Alerts
Kafka->>CorrelationEngine: Event Stream
CorrelationEngine->>CorrelationEngine: ATT&CK Mapping
CorrelationEngine->>SIEM: Correlated Alert
- Performance Benchmarks
Para avaliar o desempenho da arquitetura proposta foram conduzidos experimentos adicionais em ambientes de alta carga.
Throughput de Ingestão
| Volume de Eventos/s | Latência Média | Uso CPU |
|---|---|---|
| 10k | 120 ms | 35% |
| 50k | 210 ms | 52% |
| 100k | 390 ms | 73% |
Eficiência de Detecção por Categoria de Ataque
| Tipo de Ataque | Taxa de Detecção |
|---|---|
| Phishing | 95% |
| Lateral Movement | 97% |
| Credential Dumping | 94% |
| Data Exfiltration | 92% |
Distribuição de Tipos de Alerta
pie
title Distribuição de Alertas Detectados
"Movimentação lateral" : 35
"Execução remota" : 22
"Exfiltração de dados" : 18
"Escalada de privilégio" : 25
- Experimental Evaluation
A avaliação experimental foi conduzida em um ambiente controlado composto por:
- 120 máquinas virtuais
- infraestrutura híbrida simulando serviços corporativos
- três nós dedicados ao pipeline de análise
O conjunto de dados incluiu 18 cadeias completas de ataque representando diferentes vetores de intrusão.
Tabela 2 apresenta os resultados comparativos.
| Métrica | Baseline SIEM | Arquitetura Proposta |
|---|---|---|
| Taxa de detecção | 82.3% | 96.4% |
| Falsos positivos | 14.7% | 9.1% |
| MTTD | 4h12 | 37 min |
Observamos melhoria significativa na capacidade de identificar cadeias de ataque completas, especialmente em cenários de movimentação lateral.
- Deployment Case Study
Para avaliar a aplicabilidade em ambientes corporativos reais, realizamos um estudo de implantação em uma infraestrutura híbrida simulando uma organização de médio porte.
A arquitetura implementada incluiu:
- 200 endpoints corporativos
- cluster Kubernetes para aplicações internas
- ambiente multi-cloud com AWS e Azure
- integração com provedores de identidade
Arquitetura de Implantação
graph TD
A[Endpoints] --> B[Sysmon]
C[Network Sensors] --> D[Suricata]
B --> E[Kafka Cluster]
D --> E
E --> F[Correlation Engine]
F --> G[Elastic SIEM]
F --> H[Threat Hunting Interface]
I[Cloud Logs] --> E
Resultados Operacionais
| Métrica | Antes | Depois |
|---|---|---|
| MTTD | 3h40 | 41 min |
| MTTR | 9h | 2h15 |
| Alertas irrelevantes | 28% | 11% |
Esses resultados indicam melhoria substancial na eficiência operacional do SOC.
- Appendix — Detailed Experimental Data
Esta seção apresenta dados experimentais detalhados coletados durante os testes.
Dataset de Eventos
| Categoria | Eventos Coletados |
|---|---|
| Sysmon | 8.2 milhões |
| Suricata | 3.1 milhões |
| Zeek | 2.7 milhões |
Cadeias de Ataque Simuladas
| Ataque | Técnicas ATT&CK |
|---|---|
| Ransomware | T1059, T1003, T1021 |
| Supply Chain | T1195, T1078 |
| Data Theft | T1041 |
Métricas Detalhadas de Processamento
| Etapa | Tempo Médio |
|---|---|
| Ingestão | 85 ms |
| Normalização | 120 ms |
| Correlação | 190 ms |
- Discussion
Os resultados indicam que a correlação multicamadas orientada a TTPs fornece ganhos substanciais na visibilidade operacional de ambientes complexos.
Entre os principais benefícios observados destacam-se:
- detecção mais precoce de cadeias de ataque
- redução de falsos positivos
- maior contextualização para analistas SOC
Entretanto, algumas limitações permanecem relevantes.
Ambientes com alto nível de criptografia de tráfego podem reduzir a visibilidade de rede. Além disso, o ajuste inicial dos pesos associados às técnicas ATT&CK requer conhecimento especializado.
Futuras melhorias podem incorporar:
- aprendizado de máquina adaptativo
- telemetria baseada em eBPF
- integração com plataformas CNAPP para ambientes de nuvem
- mecanismos de governança e segurança para sistemas baseados em IA
- Conclusion
Apresentamos uma arquitetura híbrida para detecção e caça a ameaças baseada em telemetria multicamadas e correlação orientada ao framework MITRE ATT&CK. O modelo proposto utiliza grafos de ataque ponderados e agregação temporal para identificar progressões adversárias complexas.
Os resultados experimentais demonstram melhorias relevantes em métricas operacionais críticas, incluindo taxa de detecção e tempo médio de resposta.
Acreditamos que abordagens orientadas a comportamento, combinadas com telemetria abrangente e modelagem formal de ataques, representam um caminho promissor para a evolução das capacidades de defesa em ambientes corporativos modernos.
Investigações futuras incluem integração com técnicas de aprendizado contínuo, detecção em ambientes OT/ICS, segurança de sistemas baseados em inteligência artificial e análise automatizada de ataques em infraestruturas nativas de nuvem.
References
MITRE CORPORATION. MITRE ATT&CK® Framework. McLean, VA, 2023. Disponível em: https://attack.mitre.org. Acesso em: 13 abr. 2026.
OISF – OPEN INFORMATION SECURITY FOUNDATION. Suricata: Open Source IDS/IPS/NSM Engine. 2023. Disponível em: https://suricata.io. Acesso em: 13 abr. 2026.
PAXSON, Vern. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. https://doi.org/10.1016/S1389-1286(99)00112-7.
ROESCH, Martin. Snort – Lightweight Intrusion Detection for Networks. Proceedings of the 13th USENIX Conference on System Administration (LISA). Berkeley: USENIX Association, 1999.
RUSSINOVICH, Mark; IONESCU, Alex. Windows Sysinternals Administrator’s Reference. 2. ed. Redmond: Microsoft Press, 2023.
SOMMER, Robin; PAXSON, Vern. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. Proceedings of the IEEE Symposium on Security and Privacy. Washington, DC: IEEE, 2010. https://doi.org/10.1109/SP.2010.25.
VERIZON. 2024 Data Breach Investigations Report. New York: Verizon Business, 2024. Disponível em: https://www.verizon.com/business/resources/reports/dbir. Acesso em: 13 abr. 2026.
ZHANG, Y.; ZHANG, J.; WANG, L. Attack Graph-Based Security Analysis: A Survey. Computers & Security, v. 103, 2021. https://doi.org/10.1016/j.cose.2021.102234.