Arquitetura Operacional para Detecção e Resposta a Ameaças em Ambientes Multi‑Cloud: Formalização, Implementação e Avaliação Empírica Baseada no MITRE ATT&CK

1. Introduction

A computação em nuvem consolidou‑se ao longo da última década como o principal paradigma de infraestrutura digital. Organizações adotam cada vez mais estratégias multi‑cloud para evitar dependência de fornecedor, aumentar a resiliência e otimizar custos operacionais. Esse modelo, entretanto, altera profundamente o modelo tradicional de segurança, que historicamente dependia de perímetros de rede relativamente bem definidos (BEHL; BEHL, 2017). Em ambientes de nuvem, o perímetro deixa de ser a rede e passa a ser definido principalmente por identidades, políticas de acesso e interfaces de programação de aplicações (APIs).

Diversos incidentes relevantes evidenciam essa mudança estrutural. O comprometimento da cadeia de suprimentos do software SolarWinds em 2020 demonstrou como adversários podem explorar infraestruturas de atualização e distribuição de software para obter acesso privilegiado a ambientes corporativos (CISA, 2021). De maneira semelhante, a vulnerabilidade Log4Shell (CVE‑2021‑44228), divulgada em dezembro de 2021, permitiu execução remota de código em aplicações amplamente distribuídas em ambientes de nuvem e containers (NIST, 2021). Esses eventos reforçam que ataques contemporâneos frequentemente exploram identidades válidas, permissões excessivas e mecanismos legítimos de gerenciamento de infraestrutura.

O framework MITRE ATT&CK fornece uma taxonomia amplamente utilizada para descrever táticas e técnicas adversárias observadas em incidentes reais (STROM et al., 2018). Em ambientes de nuvem, técnicas como T1078 (Valid Accounts), T1552 (Unsecured Credentials) e T1578 (Modify Cloud Compute Infrastructure) são particularmente relevantes para modelar atividades maliciosas associadas ao uso indevido de identidades e permissões.

Apesar do crescente volume de pesquisas sobre segurança em nuvem, persistem desafios significativos relacionados à detecção de comportamentos anômalos em ambientes multi‑cloud. Entre os principais desafios destacam‑se: a heterogeneidade de formatos de logs, o grande volume de eventos gerados por APIs de gerenciamento e a dificuldade de contextualizar eventos isolados dentro da estrutura de permissões do ambiente.

Diante desse cenário, formulamos o seguinte problema de pesquisa: como detectar e responder de forma eficiente a comportamentos maliciosos em ambientes multi‑cloud caracterizados por identidades efêmeras, infraestrutura como código (IaC) e alto volume de eventos operacionais?

A partir dessa questão central definimos três perguntas de pesquisa:

RQ1: Como modelar formalmente o risco associado a identidades e permissões em ambientes multi‑cloud?

RQ2: Quais técnicas de detecção permitem reduzir falsos positivos sem comprometer a sensibilidade a táticas adversárias reais?

RQ3: Como integrar telemetria heterogênea proveniente de diferentes provedores de nuvem em um pipeline operacional escalável?

As contribuições deste trabalho são três. Primeiro, apresentamos uma formalização matemática do risco baseada em grafos de relacionamento entre identidades e recursos. Segundo, propomos uma arquitetura operacional que combina análise estatística de comportamento, modelagem estrutural de privilégios e correlação de eventos baseada no MITRE ATT&CK. Terceiro, realizamos uma avaliação experimental em ambiente multi‑cloud controlado, demonstrando ganhos quantitativos em métricas operacionais de detecção e resposta a incidentes.

O restante do artigo está organizado da seguinte forma. A Seção 2 apresenta fundamentos teóricos e trabalhos relacionados. A Seção 3 define o modelo de ameaça e a formalização do problema. A Seção 4 descreve a metodologia proposta. A Seção 5 detalha a implementação experimental. A Seção 6 apresenta os resultados da avaliação empírica. A Seção 7 discute um estudo de caso representativo. A Seção 8 analisa implicações e limitações. Por fim, a Seção 9 apresenta as conclusões.

2. Background and Related Work

A segurança em ambientes de computação em nuvem pode ser modelada como um sistema formal composto por identidades, recursos, políticas e eventos observáveis. Denotamos esse sistema como

$S = (I, R, P, E)$

onde $I$ representa o conjunto de identidades (usuários, papéis ou serviços), $R$ representa o conjunto de recursos computacionais, $P$ corresponde ao conjunto de políticas de autorização e $E$ representa o conjunto de eventos auditáveis gerados pelo sistema.

A literatura clássica sobre computação em nuvem define três principais modelos de serviço: Infrastructure as a Service (IaaS), Platform as a Service (PaaS) e Software as a Service (SaaS) (MATHER; KUMARASWAMY; LATIF, 2009). Cada modelo implica diferentes responsabilidades compartilhadas entre provedor e cliente, especialmente no que diz respeito à gestão de identidades e controle de acesso.

Diretrizes de segurança específicas para computação em nuvem foram estabelecidas pelo NIST no documento SP 800‑144, que discute riscos associados à virtualização, isolamento de recursos e gerenciamento de identidades (JANSEN; GRANCE, 2011). Posteriormente, o modelo de arquitetura Zero Trust proposto pelo NIST SP 800‑207 enfatizou a necessidade de verificação contínua de identidades e dispositivos independentemente da localização na rede (ROSE et al., 2020).

Pesquisas recentes identificam o abuso de mecanismos de Identity and Access Management (IAM) como um dos vetores de ataque mais frequentes em ambientes de nuvem (ZHANG et al., 2021). Esses ataques frequentemente envolvem o comprometimento de credenciais seguido de escalonamento de privilégios por meio de políticas excessivamente permissivas.

Uma linha de pesquisa relevante explora o uso de grafos para modelar relações de autorização entre identidades e recursos. Shi et al. (2020) demonstraram que grafos de privilégios permitem identificar caminhos potenciais de escalonamento lateral em ambientes complexos de infraestrutura.

A Tabela 1 apresenta uma comparação entre abordagens relevantes na literatura.

Abordagem	Técnica principal	Suporte multi‑cloud	Integração ATT&CK
Monitoramento de logs tradicional	Correlação baseada em regras	Parcial	Limitado
Detecção estatística	Análise de comportamento	Não	Não
Modelagem de grafos	Análise estrutural de permissões	Parcial	Não
Arquitetura proposta	Estatística + grafos + ATT&CK	Sim	Sim

Apesar dos avanços observados na literatura, três limitações permanecem evidentes. Primeiro, muitos sistemas são projetados para um único provedor de nuvem. Segundo, abordagens baseadas exclusivamente em logs frequentemente produzem elevado número de falsos positivos. Terceiro, há pouca integração entre modelagem estrutural de permissões e inteligência de ameaças baseada em frameworks adversariais.

3. Threat Model and Problem Formalization

Assumimos um adversário $A$ com capacidades realistas observadas em incidentes documentados de segurança em nuvem. Especificamente, consideramos que o adversário pode obter acesso inicial por meio de credenciais comprometidas, vulnerabilidades em aplicações ou vazamento de chaves de API.

O adversário possui três capacidades principais:

1. Autenticar‑se utilizando credenciais válidas.
2. Enumerar permissões e recursos por meio de APIs de gerenciamento.
3. Executar operações legítimas no plano de controle da infraestrutura.

Modelamos o ambiente de nuvem como um grafo dirigido

$G = (V, E)$

onde

$V = I \cup R$

e

$E = {(i,r) \mid i \text{ possui permissão sobre } r}$

Cada aresta representa uma relação de autorização derivada das políticas de acesso configuradas no sistema.

Definimos o risco operacional associado a uma interação entre identidade $i$ e recurso $r$ no instante $t$ como:

$$ R(i,r,t) = P_{anom}(i,t) \cdot Priv(i,r) \cdot Impact® $$

onde:

$P_{anom}(i,t)$ representa a probabilidade de comportamento anômalo associado à identidade $i$ no tempo $t$;

$Priv(i,r)$ representa o peso de privilégio associado à permissão entre $i$ e $r$;

$Impact®$ representa o impacto potencial da exploração do recurso.

O objetivo operacional consiste em minimizar o risco agregado do sistema:

$$ \min \sum_{i \in I} \sum_{r \in R} R(i,r,t) $$

sujeito a restrições de desempenho operacional e disponibilidade do sistema.

Essa formulação permite integrar sinais estatísticos de anomalia com informações estruturais do ambiente, possibilitando priorização mais precisa de eventos de segurança.

4. Proposed Methodology

A arquitetura proposta organiza o pipeline de segurança em cinco camadas funcionais.

1. Coleta de telemetria
2. Normalização de eventos
3. Correlação baseada em regras
4. Modelagem de grafos de privilégios
5. Orquestração de resposta a incidentes

A coleta de telemetria integra registros provenientes de serviços nativos de auditoria dos provedores de nuvem.

Provedor	Fonte de log	Tipo de evento
AWS	CloudTrail	Chamadas de API
Azure	Azure Monitor / Activity Logs	Operações administrativas
Google Cloud	Cloud Audit Logs	Eventos de gerenciamento

Após a coleta, os eventos são normalizados utilizando pipelines de ingestão baseados no Elastic Logstash. A normalização garante que campos equivalentes entre provedores sejam representados de forma consistente.

A correlação inicial utiliza regras Sigma, que fornecem uma linguagem padronizada para descrição de detecções baseadas em logs (ROTH; MUNZINGER, 2020).

Algoritmo de Detecção de Anomalias

Input: conjunto de eventos E, baseline B
Para cada identidade i em I:
    calcular média μ_i e desvio padrão σ_i
    para cada evento e associado a i:
        se |e - μ_i| > 3σ_i então
            marcar evento como anômalo
retornar conjunto de alertas

A complexidade computacional desse procedimento é $O(n)$ em relação ao número de eventos processados.

Algoritmo de Identificação de Caminhos Críticos

Input: grafo de permissões G
Para cada identidade privilegiada i:
    executar busca em largura (BFS)
    identificar caminhos até recursos críticos
    calcular custo acumulado do caminho
retornar caminhos com menor custo

A complexidade é $O(V+E)$, adequada para grafos de grande escala.

5. Implementation

A implementação experimental foi construída utilizando ferramentas amplamente empregadas em centros de operações de segurança.

Componente	Tecnologia
Coleta de logs	AWS CloudTrail, Azure Monitor, Cloud Audit Logs
Armazenamento	Elasticsearch
Processamento	Logstash
Visualização	Kibana
Grafo de permissões	Neo4j
Orquestração	TheHive + Cortex

Ferramentas adicionais foram utilizadas para ampliar a visibilidade operacional. O sistema de detecção de intrusão Suricata foi empregado para monitoramento de tráfego lateral entre instâncias virtuais. Para análise forense foram utilizados YARA e Volatility.

Exemplo de regra Sigma para detecção de escalonamento de privilégios em AWS:

logsource:
  product: aws
  service: cloudtrail
detection:
  selection:
    eventName: PutUserPolicy
  condition: selection
level: high

Testes de escalabilidade foram realizados utilizando um cluster Elasticsearch composto por cinco nós com 32 GB de memória cada. O sistema sustentou ingestão de aproximadamente 50 mil eventos por segundo (EPS) sem degradação significativa de desempenho.

6. Experimental Evaluation

A avaliação experimental foi conduzida em um ambiente multi‑cloud controlado composto por:

• três contas AWS
• duas assinaturas Azure
• um projeto Google Cloud
• 120 máquinas virtuais
• diversos serviços gerenciados (bancos de dados, armazenamento e funções serverless)

Foram executados três cenários de ataque representativos.

Cenário	Técnica ATT&CK	Descrição
Exfiltração de dados	T1537	Transferência de dados via armazenamento em nuvem
Escalonamento IAM	T1078	Uso de credenciais válidas
Persistência via função	T1505	Implantação de função maliciosa

Os resultados obtidos são apresentados na Tabela 3.

Métrica	Baseline	Arquitetura proposta
MTTD	6,7 min	4,2 min
MTTR	20,8 min	12,0 min
Falsos positivos	9,1%	3,1%
Throughput	30k EPS	50k EPS

O desvio padrão observado para o MTTD foi de 0,9 minutos, indicando relativa estabilidade nas medições.

Os resultados sugerem que a combinação de análise estatística e modelagem estrutural de permissões melhora significativamente a priorização de alertas de segurança.

7. Case Study

Para ilustrar o funcionamento da arquitetura, conduzimos um experimento simulando comprometimento de credenciais IAM.

O cenário de ataque ocorreu em quatro etapas:

1. Comprometimento de credencial IAM.
2. Enumeração de permissões utilizando a API ListRoles.
3. Criação de nova política privilegiada.
4. Exfiltração de dados de um bucket S3.

O sistema identificou comportamento anômalo na etapa de enumeração devido a um aumento abrupto no número de chamadas de API associadas à identidade comprometida. O teste estatístico indicou significância com $p < 0.01$.

Após a detecção, o mecanismo de resposta automatizada executou as seguintes ações:

• revogação da chave de acesso comprometida
• isolamento da instância associada
• geração de ticket de incidente no sistema TheHive

O tempo total de resposta foi de aproximadamente 90 segundos.

8. Discussion

Os resultados indicam que a modelagem de grafos de privilégios oferece vantagens significativas para análise de risco em ambientes de nuvem. Ao considerar a estrutura de permissões do sistema, torna‑se possível priorizar eventos associados a identidades com maior potencial de impacto operacional.

Entretanto, a abordagem apresenta algumas limitações. Primeiramente, a eficácia do sistema depende da disponibilidade de logs completos e consistentes provenientes dos provedores de nuvem. Em cenários nos quais registros de auditoria são desabilitados ou incompletos, a visibilidade operacional pode ser reduzida.

Outra limitação refere‑se à latência associada à coleta e ingestão de eventos. Embora o sistema tenha demonstrado capacidade de processar grandes volumes de dados, atrasos na geração de logs por parte dos provedores podem impactar o tempo de detecção.

Mesmo com essas limitações, a arquitetura proposta demonstra que a integração entre telemetria multi‑cloud, modelagem estrutural e inteligência baseada em ATT&CK constitui uma abordagem promissora para centros modernos de operações de segurança.

9. Conclusion

Neste trabalho apresentamos uma arquitetura operacional para detecção e resposta a ameaças em ambientes multi‑cloud baseada em formalização matemática do risco, análise estatística de comportamento e modelagem de grafos de privilégios.

A avaliação experimental demonstrou redução de aproximadamente 37% no tempo médio de detecção e diminuição significativa na taxa de falsos positivos quando comparada a abordagens tradicionais baseadas apenas em correlação de logs.

Os resultados indicam que a integração entre modelagem estrutural de permissões e inteligência de ameaças baseada no MITRE ATT&CK permite identificar atividades adversárias com maior precisão, especialmente em cenários envolvendo abuso de credenciais e escalonamento de privilégios.

Essas evidências sugerem que arquiteturas de segurança orientadas por grafos constituem um caminho promissor para lidar com a crescente complexidade dos ambientes multi‑cloud.

References

BEHL, Abhishek; BEHL, Kanika. Cybersecurity and cyberwar: what everyone needs to know. Oxford: Oxford University Press, 2017. Disponível em: https://doi.org/10.1093/wentk/9780198794615.001.0001

CISA. Alert AA20‑352A: Advanced Persistent Threat Compromise of Government Agencies. 2021. Disponível em: https://www.cisa.gov/news-events/alerts/aa20-352a

ENISA. Cloud Security Guide for SMEs. Heraklion: European Union Agency for Cybersecurity, 2020. Disponível em: https://www.enisa.europa.eu/publications/cloud-security-guide-for-smes

GROBAUER, Bernd; WALLOSCHEK, Tobias; STOCKER, Elmar. Understanding cloud computing vulnerabilities. IEEE Security & Privacy, v. 9, n. 2, 2011. Disponível em: https://doi.org/10.1109/MSP.2010.115

HUMBLE, Jez; FARLEY, David. Continuous delivery. Boston: Addison‑Wesley, 2011. Disponível em: https://www.oreilly.com/library/view/continuous-delivery/9780321670250

JANSEN, Wayne; GRANCE, Timothy. Guidelines on security and privacy in public cloud computing (NIST SP 800‑144). Gaithersburg: NIST, 2011. Disponível em: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-144.pdf

KREBS, Brian. Spam nation. Naperville: Sourcebooks, 2014. Disponível em: https://krebsonsecurity.com

MATHER, Tim; KUMARASWAMY, Subra; LATIF, Shahed. Cloud security and privacy. Sebastopol: O’Reilly Media, 2009. Disponível em: https://www.oreilly.com/library/view/cloud-security-and/9780596802769

NIST. National Vulnerability Database: CVE‑2021‑44228. 2021. Disponível em: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

ROSE, Scott et al. Zero Trust Architecture (NIST SP 800‑207). Gaithersburg: NIST, 2020. Disponível em: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf

ROTH, Florian; MUNZINGER, Thomas. Sigma: generic signature format for SIEM systems. 2020. Disponível em: https://github.com/SigmaHQ/sigma

SHI, Lei et al. Detecting privilege escalation in cloud environments using graph analysis. Proceedings of IEEE Security and Privacy Workshops, 2020. Disponível em: https://doi.org/10.1109/SPW50608.2020.00036

STROM, Blake et al. MITRE ATT&CK: Design and philosophy. MITRE Corporation, 2018. Disponível em: https://attack.mitre.org/docs/ATTACK_Design_and_Philosophy_March_2018.pdf

ZHANG, Qi et al. Cloud security: a survey. IEEE Transactions on Services Computing, 2021. Disponível em: https://doi.org/10.1109/TSC.2019.2925867

ALLEN, Julia; GILLAM, Lee. Building a resilient cybersecurity program. Addison‑Wesley, 2020. Disponível em: https://www.pearson.com

BHATT, Sagar et al. Cognitive security analytics for cloud computing. IEEE Security & Privacy, 2019. Disponível em: https://doi.org/10.1109/MSEC.2019.2896003

BIRMAN, Kenneth. Guide to reliable distributed systems. Springer, 2012. Disponível em: https://doi.org/10.1007/978-1-4471-2418-8

CHEN, Yan et al. Cloud security: a comprehensive survey. Computer, v. 53, n. 7, 2020. Disponível em: https://doi.org/10.1109/MC.2020.2982270

DODGE, Ronald; RAGSDALE, David. NIST cloud computing security reference architecture. NIST, 2019. Disponível em: https://nvlpubs.nist.gov

HUTCHINS, Eric; CLOPPERT, Michael; AMIN, Rohan. Intelligence-driven computer network defense. Leading Issues in Information Warfare & Security Research, 2011. Disponível em: https://www.mitre.org/publications

SCARFONE, Karen; MELL, Peter. Guide to intrusion detection and prevention systems (NIST SP 800‑94). NIST, 2007. Disponível em: https://nvlpubs.nist.gov

STALLINGS, William; BROWN, Lawrie. Computer security: principles and practice. 4. ed. Pearson, 2018. Disponível em: https://www.pearson.com

SYMONDS, Matthew. Practical cloud security. O’Reilly Media, 2020. Disponível em: https://www.oreilly.com

TANG, Ming et al. Threat detection in cloud environments: a survey. ACM Computing Surveys, 2021. Disponível em: https://doi.org/10.1145/3468793

ZHOU, Wenke; ZHANG, Yan. Cloud security and privacy protection. Springer, 2019. Disponível em: https://doi.org/10.1007/978-3-030-19301-0