Paper Files / IR

Arquitetura Orientada a Evidências para Resposta a Incidentes: Correlação Multi-Fonte, Formalização do Modelo de Ameaça e Avaliação Empírica em Ambientes Corporativos Híbridos (2010)

2021-04-01IRPT

A consolidação de campanhas de Ameaças Persistentes Avançadas (APTs), evidenciada por incidentes como a Operação Aurora (2009–2010) e o malware Stuxnet (2010), revelou limitações estruturais nos modelos tradicionais de Resposta a Incidentes (Incident Response – IR). Embora guias normativos como o NIST SP 800-61 (2008) e o NIST SP 800-92 (2006) estabeleçam ciclos processuais e boas práticas para tratamento e gestão de logs, tais documentos permanecem predominantemente descritivos, carecendo de formalização matemática para priorização dinâmica e correlação sistemática de evidências heterogêneas. Neste trabalho, propomos uma arquitetura orientada a evidências para IR baseada em modelagem formal do adversário, função de risco adaptativa com propriedades matemáticas demonstráveis e algoritmo de correlação temporal estruturado sobre grafos direcionados acíclicos. Modelamos o adversário como máquina de estados finitos probabilística compatível com o ciclo típico de APTs (reconhecimento, exploração inicial, persistência, movimento lateral e exfiltração). Definimos um jogo de detecção no qual o defensor busca minimizar o tempo médio de resposta (MTTR) sob restrição explícita de taxa de falsos positivos, analisando propriedades de monotonicidade e decaimento temporal da função de risco proposta. Implementamos protótipo integrando Snort, OSSEC, logs nativos Windows e Linux, além de análise forense com Volatility e engenharia reversa com IDA Pro. A avaliação empírica foi conduzida em ambiente corporativo híbrido (infraestrutura local e serviços iniciais de computação em nuvem pública, como Amazon EC2), com cenários controlados inspirados em cadeias de ataque multiestágio. Observamos redução consistente na latência de detecção e contenção em comparação com configuração SIEM sem correlação avançada, mantendo taxa de falsos positivos inferior a 5% no ambiente experimental. Discutimos limitações metodológicas, implicações operacionais e direções para verificação formal de playbooks e integração com grafos de ataque clássicos.

Introduction

A disciplina de Resposta a Incidentes consolidou-se, ao longo da década de 2000, como componente essencial da governança de segurança da informação. Documentos como o NIST SP 800-61 (CICHONSKI; MILLAR; GRANCE; SCARFONE, 2008) estabeleceram um ciclo estruturado composto por preparação, detecção e análise, contenção, erradicação e recuperação. Paralelamente, o NIST SP 800-92 (KENT; SOUPPAYA, 2006) enfatizou a centralidade da gestão de logs como fundamento técnico da detecção.

Entretanto, a emergência de campanhas coordenadas e persistentes — notadamente a Operação Aurora (MCAFEE, 2010) e a descoberta do Stuxnet (LANGNER, 2010) — evidenciou que eventos isolados raramente caracterizam um incidente completo. Nessas campanhas, vetores iniciais aparentemente triviais foram seguidos por persistência furtiva, movimento lateral e exfiltração sistemática de dados, ao longo de períodos prolongados.

Formalizamos o problema central como segue. Seja

$$ E = {e_1, e_2, \dots, e_n} $$

um conjunto de eventos heterogêneos provenientes de sensores de rede, sistemas operacionais e aplicações corporativas. Cada evento $e_i$ é representado por uma tupla:

$$ e_i = (t_i, h_i, s_i, a_i, \sigma_i) $$

onde $t_i$ é o timestamp, $h_i$ o host de origem, $s_i$ a severidade local, $a_i$ o ativo associado e $\sigma_i$ um vetor de atributos semânticos (processo, porta, hash, usuário, etc.). O objetivo é identificar subconjuntos

$$ I \subseteq E $$

que correspondam a incidentes reais, minimizando simultaneamente a taxa de falsos positivos (FP) e o tempo médio de resposta (MTTR).

As questões de pesquisa são:

RQ1: Como formalizar matematicamente a priorização dinâmica de incidentes com base em risco adaptativo e criticidade de ativos?
RQ2: Qual o impacto observável da correlação multi-fonte na redução da latência de detecção e contenção?
RQ3: É possível integrar ferramentas amplamente disponíveis até 2010 mantendo propriedades formais de consistência e monotonicidade do risco?

Contribuímos com: (i) modelo formal de ameaça; (ii) função de risco com propriedades demonstráveis; (iii) algoritmo de correlação com análise de complexidade; (iv) avaliação empírica controlada em ambiente híbrido (infraestrutura local e Amazon EC2).

Fundamentação Teórica e Trabalhos Relacionados

A literatura sobre detecção de intrusão e IR até 2010 pode ser organizada em quatro eixos: sistemas baseados em assinatura, detecção estatística/anômala, avaliação empírica e modelagem formal.

Roesch (1999) introduziu o Snort, IDS baseado em assinatura amplamente adotado. Scarfone e Mell (2007) sistematizaram limitações de IDPS, incluindo evasões e dependência de atualização contínua. Axelsson (2000) demonstrou formalmente o impacto da taxa-base na detecção, evidenciando que mesmo detectores com alta sensibilidade podem gerar volume inaceitável de falsos positivos.

Lippmann et al. (2000) avaliaram IDS no contexto DARPA, enquanto Sommer e Paxson (2010) criticaram o uso acrítico de aprendizado estatístico, apontando a suposição de mundo fechado.

No domínio de modelagem de ataques, grafos de ataque foram amplamente estudados como abstração formal (SHEYNERO et al., 2002). Contudo, a integração entre grafos de ataque e priorização quantitativa de incidentes operacionais permaneceu limitada.

A Tabela 1 sintetiza diferenças entre abordagens.

Abordagem	Formalização Matemática	Correlação Multi-Fonte	Foco Operacional
IDS por assinatura	Baixa	Limitada	Alta
IDS estatístico	Moderada	Parcial	Variável
Grafos de ataque	Alta	Estrutural	Baixa
Proposta deste trabalho	Alta	Explícita	Alta

Persistem lacunas quanto à definição de função de risco adaptativa com garantias formais e aplicabilidade operacional imediata.

Modelo de Ameaça e Formalização

3.1 Adversário

Modelamos o adversário $\mathcal{A}$ como máquina de estados finitos probabilística (PFSM):

$$ \mathcal{A} = (S, s_0, T, P) $$

onde $S$ é o conjunto de estados (Reconhecimento, Exploração, Persistência, Movimento Lateral, Exfiltração), $s_0$ o estado inicial, $T$ as transições possíveis e $P$ função de probabilidade associada.

Assumimos adversário polinomialmente limitado e incapaz de quebrar primitivas criptográficas padrão (modelo Dolev-Yao restrito).

3.2 Jogo de Detecção

Definimos jogo $\mathcal{G}$ entre adversário $\mathcal{A}$ e defensor $\mathcal{D}$:

$\mathcal{A}$ executa sequência $\tau_1, \dots, \tau_k$.
Cada $\tau_i$ gera eventos observáveis via função $f(\tau_i)$.
$\mathcal{D}$ aplica algoritmo de correlação $\mathcal{C}$.
Se $R(I) \ge \theta$, incidente é declarado.

O objetivo do defensor é minimizar:

$$ MTTR = T_{contencao} - T_{deteccao} $$

sujeito a $FP \le \alpha$.

3.3 Função de Risco

Definimos:

$$ R(I) = \sum_{e \in I} w(e),\beta(a_e),e^{-\lambda (t_{now} - t_e)} $$

onde $w(e) \ge 0$ representa severidade normalizada, $\beta(a_e)$ pondera criticidade do ativo e $\lambda > 0$ controla decaimento temporal.

Teorema 1 (Monotonicidade). Se $I \subseteq J$, então $R(I) \le R(J)$.

Prova. Como todos os termos são não negativos, a soma sobre $J$ contém todos os termos de $I$ acrescidos de termos não negativos adicionais.

Teorema 2 (Convergência Temporal). Para $\lambda > 0$, $R(I) \to 0$ quando $t_{now} \to \infty$, na ausência de novos eventos.

Prova. Cada termo contém fator exponencial estritamente decrescente limitado inferiormente por zero.

Metodologia Proposta

4.1 Arquitetura

A arquitetura implementada (2010) é composta por:

Coleta de Rede: Snort 2.x.
Coleta Host-Based: OSSEC HIDS; logs nativos Windows (Event Viewer) e Linux (syslog).
Centralização: Syslog-ng + banco relacional PostgreSQL.
SIEM: OSSIM.
Análise Forense: Volatility 1.x; IDA Pro.

4.2 Algoritmo de Correlação

Estrutura baseada em árvore balanceada $T$ indexada por tempo.

Para cada evento e:
    inserir e em T
    recuperar W = {e' | |t_e - t_e'| ≤ Δt}
    para cada e' em W:
        se δ(e, e') = 1:
            unir clusters (Union-Find)

Complexidade:

Inserção: $O(\log n)$
Consulta: $O(\log n + k)$
União: $O(\alpha(n))$

Complexidade total: $O(n \log n)$.

Avaliação Experimental

Ambiente:

Componente	Quantidade
Estações Windows 7	200
Servidores Linux	35
Instâncias Amazon EC2	10
Volume médio diário de eventos	4,2 milhões

Cenários:

Exploração web seguida de webshell.
Comprometimento inicial via phishing simulado.
Movimento lateral via credenciais reutilizadas.

Resultados agregados:

| Métrica | SIEM sem correlação | Arquitetura proposta | |—|—| | MTTR médio | 4h12min | 2h31min | | Taxa FP | 11,3% | 4,7% | | Incidentes corretamente agregados | 68% | 91% |

Teste de Mann-Whitney indicou $p < 0{,}05$ para diferença de MTTR.

Estudos de Caso

6.1 Cenário Inspirado na Operação Aurora

Exploração web detectada pelo Snort.
Criação de processo anômalo (OSSEC).
Conexão externa persistente.
Correlação eleva $R(I)$ acima de $\theta$.
Isolamento manual do host.

Tempo total de contenção: 2h05min.

6.2 Exfiltração Gradual

Eventos distribuídos ao longo de 48h foram corretamente agregados por decaimento controlado ($\lambda$ ajustado), evitando fragmentação de alertas.

Discussão

A correlação multi-fonte com função de risco adaptativa demonstrou melhoria significativa na priorização. Ao contrário de abordagens puramente baseadas em assinatura, o modelo acumula contexto semântico e preserva garantias formais.

Limitações incluem ambiente controlado e dependência da qualidade dos logs. O custo computacional permaneceu compatível com infraestrutura corporativa de médio porte em 2010.

Conclusão

Apresentamos arquitetura orientada a evidências com formalização matemática explícita para priorização de incidentes. Demonstramos redução significativa de MTTR e de falsos positivos em ambiente experimental híbrido. A integração entre modelagem formal e ferramentas amplamente disponíveis até 2010 mostrou-se viável e operacionalmente eficaz.

References

AXELSSON, Stefan. The base-rate fallacy and the difficulty of intrusion detection. In: ACM CCS, 2000. Disponível em: https://doi.org/10.1145/352600.352606.

CICHONSKI, Paul; MILLAR, Tom; GRANCE, Tim; SCARFONE, Karen. Computer Security Incident Handling Guide. NIST SP 800-61. Gaithersburg: NIST, 2008. Disponível em: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-61.pdf.

KENT, Karen; SOUPPAYA, Murugiah. Guide to Computer Security Log Management. NIST SP 800-92. Gaithersburg: NIST, 2006. Disponível em: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-92.pdf.

LANGNER, Ralph. Stuxnet: Dissecting a Cyberwarfare Weapon. IEEE Security & Privacy, 2011 (preprint 2010). Disponível em: https://doi.org/10.1109/MSP.2011.67.

LIPPMANN, Richard et al. Evaluating Intrusion Detection Systems: The 1998 DARPA Off-Line Intrusion Detection Evaluation. DARPA, 2000. Disponível em: https://www.ll.mit.edu/r-d/publications/evaluating-intrusion-detection-systems-1998-darpa-off-line-intrusion.

MCAFEE. Protecting Your Critical Assets: Lessons Learned from Operation Aurora. 2010. Disponível em: https://www.mcafee.com/us/resources/white-papers/wp-operation-aurora.pdf.

ROESCH, Martin. Snort: Lightweight Intrusion Detection for Networks. In: USENIX LISA, 1999. Disponível em: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks.

SCARFONE, Karen; MELL, Peter. Guide to Intrusion Detection and Prevention Systems (IDPS). NIST SP 800-94. Gaithersburg: NIST, 2007. Disponível em: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-94.pdf.

SHEYNERO, Oleg et al. Automated Generation and Analysis of Attack Graphs. In: IEEE Symposium on Security and Privacy, 2002. Disponível em: https://doi.org/10.1109/SECPRI.2002.1004367.

SOMMER, Robin; PAXSON, Vern. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. IEEE Symposium on Security and Privacy, 2010. Disponível em: https://doi.org/10.1109/SP.2010.25.