Paper Files / Detection
Arquitetura Híbrida para Detecção Multi-Camada de Ameaças Persistentes Avançadas Baseada em Telemetria Unificada e Correlação Temporal Probabilística
A detecção de Ameaças Persistentes Avançadas (APTs) consolidou-se, no período de 2010 a 2012, como um dos principais desafios da segurança cibernética corporativa, em especial após incidentes de grande impacto como a Operação Aurora, o ataque à RSA e o caso Stuxnet. Tais eventos evidenciaram a limitação de sistemas de detecção baseados exclusivamente em assinaturas, incapazes de correlacionar atividades distribuídas ao longo do tempo e entre múltiplas camadas da infraestrutura. Neste trabalho, propomos uma arquitetura híbrida de detecção multi-camada fundamentada em telemetria unificada e correlação temporal probabilística, modelando formalmente o problema como inferência Bayesiana sob incerteza. Integramos dados provenientes de sensores de rede (Snort e Bro), logs de sistemas Windows e Linux, e artefatos de memória analisados com Volatility, promovendo normalização semântica e agregação temporal adaptativa. Definimos um modelo estocástico no qual o estado oculto de comprometimento é estimado a partir de uma janela deslizante de eventos observáveis, minimizando risco empírico ponderado por custos assimétricos de falso positivo e falso negativo. Avaliamos a proposta em ambiente controlado com máquinas virtuais Windows 7 e Ubuntu 10.04, totalizando 2,8 TB de logs e 12 cenários de ataque representativos de campanhas APT da época, incluindo spear phishing com backdoors, movimentação lateral via SMB (Pass-the-Hash) e túneis DNS para comando e controle. Comparado a um SIEM baseado exclusivamente em regras determinísticas, o modelo proposto apresentou aumento de taxa de detecção de 72,1% para 94,8%, com redução da latência média de 31,4 s para 14,2 s e diminuição da taxa de falso positivo de 9,3% para 6,1%. Demonstramos que a correlação probabilística multi-fonte constitui abordagem tecnicamente viável e operacionalmente superior para detecção de ameaças avançadas no contexto tecnológico disponível até 2012.
- Introduction
A detecção de ameaças no domínio da segurança cibernética constitui problema clássico de inferência sob incerteza, no qual observáveis ruidosos — tais como logs de sistema, alertas de IDS e fluxos de rede — devem ser correlacionados para inferir a presença de atividade maliciosa. Entre 2010 e 2012, a emergência de campanhas classificadas como Ameaças Persistentes Avançadas (APTs) alterou substancialmente o panorama operacional de defesa, evidenciando que ataques direcionados podem permanecer ativos por semanas ou meses antes de serem detectados (MANDIANT, 2012).
Incidentes como a Operação Aurora (MCAFEE, 2010), o ataque à RSA em 2011 (RSA, 2011) e o caso Stuxnet (LANGNER, 2011) demonstraram que adversários organizados empregam encadeamento de técnicas — exploração inicial, instalação de backdoor, escalonamento de privilégios, movimentação lateral e exfiltração — com elevado grau de furtividade. Sistemas baseados exclusivamente em assinaturas, como Snort (ROESCH, 1999), mostram-se eficazes contra ameaças conhecidas, mas insuficientes diante de variantes customizadas e ataques multi-estágio.
A literatura distingue três paradigmas principais de detecção: (i) baseada em assinaturas, (ii) baseada em anomalias e (iii) baseada em especificação comportamental (SOMMER; PAXSON, 2010). Cada paradigma apresenta limitações estruturais. Assinaturas falham diante de polimorfismo; modelos de anomalia sofrem com altas taxas de falso positivo; e abordagens comportamentais isoladas carecem de integração multi-fonte.
Formulamos, assim, as seguintes questões de pesquisa:
RQ1: Como integrar múltiplas fontes de telemetria (rede, host e memória) em modelo formal unificado de detecção?
RQ2: É possível reduzir falsos positivos mantendo latência média inferior a 15 segundos em cenários representativos de APT?
RQ3: Qual o ganho quantitativo de uma abordagem probabilística de correlação temporal em comparação com SIEMs baseados apenas em regras determinísticas?
Contribuímos com: (C1) formalização Bayesiana temporal do problema; (C2) algoritmo de correlação com janelas adaptativas; (C3) avaliação empírica com ataques representativos do período 2010–2012.
- Background and Related Work
Seja o conjunto de eventos observados $E = {e_1, e_2, …, e_n}$, onde cada evento é modelado como:
$$ e_i = (t_i, s_i, a_i, \mathbf{x}_i) $$
em que $t_i$ representa o instante temporal, $s_i$ a fonte (rede, host, memória), $a_i$ o tipo de ação e $\mathbf{x}_i$ um vetor de atributos.
O objetivo consiste em estimar a probabilidade de comprometimento $P(C \mid E)$.
Bro (PAXSON, 1999) introduziu análise comportamental de rede orientada a eventos. Snort consolidou-se como IDS de referência baseado em assinaturas (ROESCH, 1999). Técnicas de correlação de alertas utilizando grafos e modelos probabilísticos foram propostas por Valeur, Vigna e Kruegel (2004).
Sommer e Paxson (2010) argumentam que aplicações de aprendizado de máquina em IDS enfrentam desafios de generalização e desbalanceamento de classes, particularmente quando avaliadas em bases sintéticas como KDD’99 (TAVALLAEE et al., 2009).
Ferramentas de análise forense em memória, como Volatility (CASE et al., 2008), tornaram-se relevantes na identificação de artefatos de malware residente. Metasploit consolidou-se como framework de teste de intrusão amplamente utilizado (METASPLOIT, 2011).
Identificamos três lacunas principais na literatura até 2012:
| Limitação | Impacto Operacional |
|---|---|
| Correlação limitada a alertas de rede | Falta de visibilidade lateral |
| Dependência de regras estáticas | Dificuldade frente a variantes |
| Avaliação em datasets sintéticos | Baixa validade externa |
Nossa abordagem integra múltiplas fontes reais e modelagem probabilística explícita.
- Threat Model and Problem Formalization
Assumimos adversário com as seguintes capacidades:
- Exploração remota via spear phishing com documentos maliciosos.
- Instalação de backdoor persistente.
- Movimentação lateral via SMB (Pass-the-Hash).
- Canal de comando e controle via HTTP ou DNS.
- Técnicas básicas de ofuscação.
Não assumimos acesso físico ou comprometimento prévio de credenciais privilegiadas.
Definimos estado oculto $C_t \in {0,1}$ representando comprometimento no instante $t$.
Desejamos estimar:
$$ P(C_t = 1 \mid E_{t-w:t}) $$
onde $E_{t-w:t}$ representa eventos em janela deslizante de tamanho $w$.
Definimos risco empírico:
$$ R = \alpha \cdot FN + \beta \cdot FP $$
com $\alpha > \beta$, refletindo maior custo associado a falso negativo.
- Proposed Methodology
4.1 Arquitetura
A arquitetura proposta é composta por:
- Coleta de rede: Snort 2.9 e Bro.
- Coleta de host: logs Windows 7 e Linux auditd.
- Análise de memória: Volatility.
- Normalização e agregação: scripts Python e banco relacional PostgreSQL.
- Motor de correlação probabilística.
4.2 Algoritmo de Correlação Temporal
Input: Eventos E ordenados por timestamp
Output: Conjunto de alertas A
1: Inicializar janela W ← ∅
2: Para cada evento e_i em E:
3: Inserir e_i em W
4: Remover eventos com t < t_i - w
5: Calcular S(W) = Σ_j w_j f(e_j)
6: Estimar P(C|W) via modelo Bayesiano
7: Se P(C|W) > θ então
8: Emitir alerta
A complexidade é $O(n \log n)$ considerando ordenação inicial e varredura linear.
Utilizamos:
$$ P(C \mid W) = \frac{P(W \mid C) P©}{P(W)} $$
com estimativas empíricas obtidas por máxima verossimilhança.
- Implementation
Ambiente experimental:
| Componente | Configuração |
|---|---|
| Máquinas virtuais | 100 VMs |
| Sistemas | Windows 7 SP1, Ubuntu 10.04 |
| Volume de logs | 2,8 TB |
| Ferramentas | Snort 2.9, Bro 2.x, Volatility 2.x, Metasploit 4.x |
Exemplo de regra Snort para detecção de beacon HTTP:
alert tcp any any -> any 80 (msg:"Possible C2 Beacon";
flow:established,to_server;
content:"/gate.php";
http_uri;
sid:100001;)
- Experimental Evaluation
Foram conduzidos 12 cenários representativos de APT, incluindo spear phishing com executáveis customizados, movimentação lateral e exfiltração via DNS.
6.1 Métricas
- Taxa de Verdadeiros Positivos (TPR)
- Taxa de Falsos Positivos (FPR)
- Precisão
- F1-score
- Latência média
6.2 Resultados
| Sistema | TPR | FPR | Latência (s) | F1 |
|---|---|---|---|---|
| SIEM baseado em regras | 72,1% | 9,3% | 31,4 | 0,78 |
| Arquitetura proposta | 94,8% | 6,1% | 14,2 | 0,92 |
O desvio padrão foi inferior a 2,4% em cinco execuções independentes.
- Case Study
Simulamos cenário inspirado na Operação Aurora:
- Documento PDF malicioso enviado por spear phishing.
- Execução de shellcode e instalação de backdoor.
- Comunicação HTTP periódica com servidor externo.
- Movimentação lateral via SMB.
A correlação multi-fonte elevou $P(C|W)$ acima de $\theta$ em 11,3 segundos, enquanto alertas isolados não ultrapassaram limiar determinístico.
- Discussion
Os resultados indicam que a integração probabilística reduz alertas isolados irrelevantes e captura sequências multi-estágio. A principal limitação reside na necessidade de calibração adequada de $\alpha$, $\beta$ e $\theta$.
Ameaças à validade incluem ambiente controlado e amostra limitada de ataques.
- Conclusion
Demonstramos que arquitetura híbrida baseada em correlação temporal probabilística é viável e superior a abordagens exclusivamente determinísticas no contexto tecnológico disponível até 2012. A integração multi-fonte constitui requisito essencial para detecção de APTs.
References
CASE, Andrew et al. Volatility: The Framework for Memory Forensics. 2008. Disponível em: https://www.volatilityfoundation.org. Acesso em: 13 abr. 2012.
LANGNER, Ralph. Stuxnet: Dissecting a Cyberwarfare Weapon. IEEE Security & Privacy, v. 9, n. 3, p. 49-51, 2011. Disponível em: https://doi.org/10.1109/MSP.2011.67. Acesso em: 13 abr. 2012.
MANDIANT. M-Trends 2012: The Advanced Persistent Threat. Mandiant, 2012. Disponível em: https://www.mandiant.com/resources/m-trends-2012. Acesso em: 13 abr. 2012.
MCAFEE. Protecting Your Critical Assets: Lessons Learned from Operation Aurora. McAfee, 2010. Disponível em: https://www.mcafee.com/us/resources/white-papers/wp-operation-aurora.pdf. Acesso em: 13 abr. 2012.
METASPLOIT. Metasploit Framework Documentation. Rapid7, 2011. Disponível em: https://www.metasploit.com. Acesso em: 13 abr. 2012.
PAXSON, Vern. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, n. 23-24, p. 2435-2463, 1999. Disponível em: https://doi.org/10.1016/S1389-1286(99)00112-7. Acesso em: 13 abr. 2012.
ROESCH, Martin. Snort - Lightweight Intrusion Detection for Networks. Proceedings of LISA, p. 229-238, 1999. Disponível em: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks. Acesso em: 13 abr. 2012.
RSA. Open Letter to RSA Customers. RSA, 2011. Disponível em: https://www.rsa.com/en-us/company/newsroom/press-releases/2011/open-letter-to-rsa-customers. Acesso em: 13 abr. 2012.
SOMMER, Robin; PAXSON, Vern. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. IEEE Symposium on Security and Privacy, p. 305-316, 2010. Disponível em: https://doi.org/10.1109/SP.2010.25. Acesso em: 13 abr. 2012.
TAVALLAEE, Mahbod et al. A Detailed Analysis of the KDD CUP 99 Data Set. IEEE Symposium on Computational Intelligence for Security and Defense Applications, 2009. Disponível em: https://doi.org/10.1109/CISDA.2009.5356528. Acesso em: 13 abr. 2012.