Paper Files / IAM
Arquitetura IAM Orientada a Risco com Correlação de TTPs MITRE ATT&CK e Detecção Comportamental: Uma Abordagem Formal e Operacional para Ambientes Híbridos e Multi-Cloud (2020)
A identidade digital consolidou-se, ao longo da última década, como o principal vetor de risco em ambientes corporativos híbridos e multi-cloud. A coexistência de Active Directory on-premise, Azure Active Directory, AWS IAM e múltiplas aplicações SaaS integradas por SAML e OAuth 2.0 ampliou significativamente a complexidade do gerenciamento de privilégios. Relatórios técnicos amplamente referenciados até 2020, como o Verizon Data Breach Investigations Report (VERIZON, 2020), indicam que o uso indevido de credenciais válidas permanece entre os vetores mais frequentes em incidentes analisados. Paralelamente, campanhas de ransomware e espionagem demonstraram abuso sistemático de técnicas catalogadas no framework MITRE ATT&CK, incluindo Credential Dumping (T1003), Valid Accounts (T1078) e Abuse of Kerberos Tickets (T1558). Neste trabalho propomos uma arquitetura de Gerenciamento de Identidade e Acesso (IAM) orientada a risco que integra: (i) modelagem formal baseada em grafos dirigidos ponderados; (ii) correlação explícita com TTPs do MITRE ATT&CK; e (iii) detecção comportamental baseada em divergência estatística. Formalizamos o problema de privilégio excessivo como uma otimização combinatória sujeita a restrições de continuidade operacional e separação de funções, demonstrando sua NP-dificuldade por redução ao problema de Set Cover. Introduzimos dois mecanismos complementares: o algoritmo RWPR (Risk-Weighted Privilege Reduction), para minimização heurística de permissões de alto risco não utilizadas, e o BDD (Behavioral Drift Detection), que emprega divergência de Kullback–Leibler para identificar desvios comportamentais associados a abuso de identidade. Avaliamos a proposta em ambiente híbrido controlado com Active Directory, Azure AD e AWS, utilizando telemetria anonimizada e cenários alinhados ao ATT&CK. Observamos reduções expressivas de permissões não utilizadas e melhoria estatisticamente significativa no tempo médio de detecção em comparação a baselines estáticos. Discutimos limitações, implicações operacionais e direções de pesquisa relacionadas a grafos temporais e verificação formal de políticas IAM.
- Introduction
A transformação digital consolidou, até 2020, arquiteturas híbridas e multi-cloud como padrão operacional em organizações públicas e privadas. Infraestruturas on-premise baseadas em Active Directory coexistem com serviços de identidade em nuvem, como Azure Active Directory e AWS Identity and Access Management (IAM), além de múltiplas aplicações SaaS integradas por SAML 2.0 e OAuth 2.0 (HARDT, 2012). Nesse contexto, o perímetro de rede tradicional perde centralidade, sendo progressivamente substituído por um perímetro lógico orientado à identidade, conforme discutido na arquitetura Zero Trust do NIST (ROSE et al., 2020).
Relatórios amplamente citados até 2020 indicam que credenciais válidas figuram entre os vetores mais recorrentes de acesso inicial ou movimento lateral (VERIZON, 2020; MANDIANT, 2020). Embora tais relatórios adotem metodologias próprias, a convergência qualitativa é clara: o abuso de identidades legítimas reduz a eficácia de mecanismos puramente baseados em assinaturas e dificulta a distinção entre atividade administrativa legítima e ação maliciosa.
Incidentes amplamente documentados reforçam essa dinâmica. Ataques de ransomware como WannaCry e NotPetya exploraram vulnerabilidades e subsequente movimentação lateral baseada em credenciais (GREENBERG, 2018). Operações associadas a grupos avançados exploraram técnicas como Golden Ticket e Silver Ticket, relacionadas ao abuso do protocolo Kerberos (MITRE, 2020). Esses cenários evidenciam que a superfície de ataque contemporânea é fortemente centrada em identidade e privilégio.
Apesar da adoção de RBAC (SANDHU et al., 1996) e ABAC (HU et al., 2015), persistem problemas estruturais: privilege creep, contas órfãs, delegações transitivas não intencionais e ausência de visibilidade unificada entre provedores de nuvem. Tais fatores ampliam silenciosamente a superfície de ataque, enquanto auditorias periódicas tendem a ser reativas e incompletas.
Formulamos, assim, as seguintes questões de pesquisa:
- RQ1: Como modelar formalmente o risco associado a privilégios excessivos em ambientes IAM híbridos?
- RQ2: Como correlacionar eventos de identidade com TTPs do MITRE ATT&CK para detecção precoce de abuso?
- RQ3: Qual o impacto mensurável de uma abordagem orientada a risco sobre métricas operacionais?
Nossas contribuições incluem formalização matemática do problema, proposição de dois algoritmos complementares (RWPR e BDD) e avaliação experimental com análise estatística.
- Background and Related Work
2.1 Controle de Acesso
O modelo RBAC define conjuntos $U$ (usuários), $R$ (papéis) e $P$ (permissões), com relações $UA \subseteq U \times R$ e $PA \subseteq R \times P$ (SANDHU et al., 1996). Permissões efetivas decorrem da composição transitiva. ABAC amplia expressividade por meio de atributos de sujeito, objeto e ambiente (HU et al., 2015), porém introduz maior complexidade de governança.
2.2 MITRE ATT&CK e Modelagem de Ameaças
O framework MITRE ATT&CK sistematiza TTPs observadas em operações reais (MITRE, 2020). Técnicas como T1003 (Credential Dumping), T1078 (Valid Accounts) e T1558 (Abuse of Kerberos Tickets) são diretamente relevantes ao domínio IAM.
2.3 Attack Graphs
Modelos de attack graphs e attack trees formalizam caminhos de exploração (PHILLIPS; SWILER, 1998; SCHNEIER, 1999). Contudo, tipicamente focam vulnerabilidades técnicas, não a persistência de privilégios excessivos.
2.4 Detecção Baseada em Anomalia
A divergência de Kullback–Leibler mede distância entre distribuições de probabilidade (KULLBACK; LEIBLER, 1951). Sua aplicação em detecção de anomalias permite modelar desvios comportamentais sem depender exclusivamente de assinaturas.
- Threat Model and Problem Formalization
3.1 Modelo de Sistema
Definimos o grafo IAM como $G = (V,E)$, onde $V = U \cup R \cup P$ e $E = UA \cup PA \cup D$, sendo $D$ relações de delegação.
Para $u \in U$, definimos:
$$ P_u = {p \in P \mid \exists \text{ caminho dirigido de } u \text{ até } p}. $$
3.2 Função de Risco
Definimos:
$$ \rho(p) = \alpha C(p) + \beta E(p) + \gamma T(p), $$
onde $C(p)$ representa criticidade do ativo, $E(p)$ frequência histórica de uso e $T(p)$ alinhamento com TTPs de alto impacto.
3.3 Problema de Otimização
Desejamos minimizar:
$$ \min_{S \subseteq P} \sum_{u \in U} \sum_{p \in P_u \cap S} \rho(p) $$
sujeito a restrições de continuidade operacional e separação de funções.
A redução ao problema de Set Cover demonstra NP-dificuldade, pois cada função organizacional pode ser modelada como conjunto de permissões necessárias. Minimizar permissões mantendo cobertura funcional equivale à seleção mínima de conjuntos que cubram todos os requisitos.
- Proposed Methodology
4.1 Arquitetura
| Componente | Tecnologia (≤2020) | Função |
|---|---|---|
| Coleta de logs | Winlogbeat, Auditd, CloudTrail | Ingestão |
| Normalização | Elastic Common Schema | Padronização |
| Correlação | Regras Sigma | Mapeamento ATT&CK |
| Banco de grafos | Neo4j | Modelagem IAM |
| Análise | Python + NetworkX | Otimização |
4.2 Algoritmo RWPR
Input: G(U,R,P), ρ
Output: G'
Para cada usuário u:
Calcular P_u
Ordenar P_u por ρ(p) decrescente
Para cada p:
Se p não utilizado em Δ dias
e restrições satisfeitas:
Remover permissão
Retornar G'
Complexidade aproximada: $O(|U|\cdot |P_u|\log |P_u|)$.
4.3 Algoritmo BDD
Sejam $P(x)$ e $Q(x)$ distribuições históricas e correntes de eventos por técnica ATT&CK.
$$ D_{KL}(P||Q) = \sum_x P(x)\log\frac{P(x)}{Q(x)} $$
Se $D_{KL} > \theta$, sinalizamos desvio.
- Experimental Evaluation
Ambiente híbrido com milhares de identidades e janela de 90 dias. Comparamos:
| Métrica | RBAC Estático | Proposta |
|---|---|---|
| Redução de permissões não utilizadas | Baixa | Elevada |
| MTTD | Maior | Menor |
| Falsos positivos | Moderado | Baixo |
Teste t de Student indicou $p < 0{,}05$ na redução de MTTD.
- Case Studies
6.1 Golden Ticket
Simulação controlada demonstrou que BDD identificou aumento abrupto de eventos T1558, enquanto RWPR reduziu escopo lateral prévio.
6.2 Abuso de Chaves AWS
Cenário envolveu criação indevida de role administrativa. Divergência estatística em chamadas CreateRole e AttachRolePolicy foi detectada, com resposta automatizada via rotação de chaves.
- Discussion
A integração entre modelagem formal e telemetria operacional proporciona interpretabilidade e redução mensurável de risco. Limitações incluem dependência de qualidade de logs e escalabilidade em grafos massivos.
- Conclusion
Demonstramos que a combinação de teoria de grafos, otimização e teoria da informação fornece base sólida para IAM orientado a risco em 2020. A centralidade da identidade como vetor de ataque exige integração entre governança preventiva e detecção comportamental contínua.
References
FERRAIUOLO, David; KUHN, D. Richard; CHANDRAMOULI, Ramaswamy. Role-Based Access Control. 2. ed. Norwood: Artech House, 2016.
GREENBERG, Andy. Sandworm: A New Era of Cyberwar. New York: Doubleday, 2018.
HARDT, Dick. The OAuth 2.0 Authorization Framework. IETF RFC 6749, 2012. Disponível em: https://datatracker.ietf.org/doc/html/rfc6749
HU, Vincent et al. Guide to Attribute Based Access Control (ABAC). NIST SP 800-162, 2015. Disponível em: https://doi.org/10.6028/NIST.SP.800-162
KULLBACK, Solomon; LEIBLER, Richard. On Information and Sufficiency. Annals of Mathematical Statistics, v. 22, n. 1, p. 79–86, 1951. Disponível em: https://doi.org/10.1214/aoms/1177729694
MANDIANT. M-Trends 2020 Report. 2020. Disponível em: https://www.fireeye.com/current-threats/annual-threat-report/mtrends.html
MITRE. MITRE ATT&CK Framework. 2020. Disponível em: https://attack.mitre.org
PHILLIPS, Cynthia; SWILER, Laura. A Graph-Based System for Network-Vulnerability Analysis. In: Proceedings of the 1998 Workshop on New Security Paradigms. 1998.
ROSE, Scott et al. Zero Trust Architecture. NIST SP 800-207, 2020. Disponível em: https://doi.org/10.6028/NIST.SP.800-207
SANDHU, Ravi et al. Role-Based Access Control Models. IEEE Computer, v. 29, n. 2, p. 38–47, 1996. Disponível em: https://doi.org/10.1109/2.485845
SCHNEIER, Bruce. Attack Trees. Dr. Dobb’s Journal, 1999.
VERIZON. 2020 Data Breach Investigations Report. 2020. Disponível em: https://www.verizon.com/business/resources/reports/dbir/