Arquitetura Orientada a Evidências para Detecção e Resposta a Ameaças em Ambientes Multi-Cloud: Formalização, Implementação e Avaliação Empírica Baseada em MITRE ATT&CK (2021)

1. Introduction

A consolidação da computação em nuvem como infraestrutura predominante para cargas críticas redefiniu modelos técnicos, operacionais e de risco. A definição formal proposta pelo NIST estabelece cinco características essenciais — autoatendimento sob demanda, amplo acesso à rede, pooling de recursos, elasticidade rápida e serviço mensurado — que fundamentam a computação em nuvem moderna (MELL; GRANCE, 2011). Embora tais características promovam escalabilidade e eficiência econômica, também ampliam a superfície de ataque por meio de virtualização extensiva, APIs expostas e automação orientada a infraestrutura como código.

Até 2021, relatórios técnicos governamentais e análises independentes indicam crescimento significativo de incidentes envolvendo abuso de credenciais válidas e configurações incorretas em ambientes cloud (ENISA, 2020; NIST, 2020a). Em contraste com explorações clássicas de corrupção de memória, observa-se prevalência de técnicas como uso de contas válidas (T1078), modificação de permissões (T1098) e exfiltração de dados em armazenamento em nuvem (T1530), conforme matriz MITRE ATT&CK disponível até 2021 (MITRE, 2021a).

Incidentes amplamente divulgados, como o comprometimento da cadeia de suprimentos associado à SolarWinds em 2020, evidenciaram que a confiança implícita entre componentes e identidades privilegiadas pode ser explorada de forma sistemática (CISA, 2020). Paralelamente, a formalização do modelo Zero Trust pelo NIST (NIST SP 800-207) consolidou a noção de que identidade e contexto devem substituir perímetros estáticos como fundamento da segurança (ROSE et al., 2020).

Neste cenário, mecanismos isolados de detecção, dependentes de logs específicos de cada provedor, apresentam limitações estruturais: (i) fragmentação semântica; (ii) ausência de correlação temporal robusta; (iii) baixa explicabilidade quando baseados exclusivamente em modelos estatísticos. Formulamos, assim, as seguintes questões de pesquisa:

• RQ1: Como modelar formalmente cadeias de ataque multi-cloud preservando causalidade temporal e independência de provedor?
• RQ2: Qual o impacto da correlação orientada a evidências na redução relativa de falsos positivos?
• RQ3: Qual o custo computacional assintótico da manutenção incremental de grafos temporais em larga escala?

Contribuímos com: (C1) formalização matemática rigorosa; (C2) análise de complexidade; (C3) implementação prática baseada em ferramentas disponíveis até 2021; (C4) avaliação empírica controlada; (C5) estudos de caso intersetoriais.

2. Background and Related Work

A segurança em nuvem pode ser analisada sob quatro eixos principais: virtualização e isolamento (AZODOLMOLKY et al., 2013), controle de acesso e identidade (FERNANDES; SOARES; GOMES, 2014), detecção de intrusão (MODI et al., 2013) e resposta a incidentes (CICHONSKI et al., 2012).

O NIST SP 800-61 Rev.2 estabelece diretrizes para tratamento de incidentes, enfatizando preparação, detecção, análise, contenção e erradicação (CICHONSKI et al., 2012). O NIST SP 800-92 aborda gerenciamento de logs como requisito para integridade e auditoria (KENT; SOUPPAYA, 2006). Já o NIST SP 800-207 formaliza a arquitetura Zero Trust (ROSE et al., 2020).

A modelagem de ataques por grafos remonta às attack trees (SCHNEIER, 1999) e evoluiu para attack graphs probabilísticos e temporais (JHA; SHEYNER; WING, 2002). Contudo, a aplicação sistemática dessa modelagem a ambientes multi-cloud com normalização interprovedor ainda era limitada até 2021.

O MITRE ATT&CK consolidou-se como taxonomia de TTPs amplamente adotada (MITRE, 2021a). Entretanto, não prescreve formalização matemática nem algoritmos específicos de correlação.

3. Threat Model and Problem Formalization

Definimos formalmente o ambiente multi-cloud como $\mathcal{C} = (R, I, P, L)$, onde $R$ é o conjunto de recursos, $I$ o conjunto de identidades, $P$ o conjunto de políticas e $L$ o conjunto de logs auditáveis.

A função de autorização é dada por:

$$ Auth: I \times R \rightarrow {0,1} $$

Um grafo temporal rotulado é definido como:

$$ G = (V, E, \tau, \lambda) $$

onde $V$ representa eventos, $E \subseteq V \times V$ são relações causais direcionadas, $\tau: V \rightarrow \mathbb{T}$ associa timestamps e $\lambda: V \rightarrow \mathcal{T}$ associa técnicas ATT&CK.

Uma cadeia de ataque é um caminho $p = (v_1,\dots,v_k)$ tal que $\tau(v_i) < \tau(v_{i+1})$.

A função de risco é definida por:

$$ Risk(p) = \sum_{i=1}^{k} w(\lambda(v_i)) $$

com $w: \mathcal{T} \rightarrow \mathbb{R}_{\ge 0}$.

Teorema 1 (Correção Parcial). Se todas as relações causais relevantes estão representadas em $E$ e $w$ é não negativa, então qualquer cadeia $p$ tal que $Risk(p) \ge \theta$ será detectada por busca em profundidade limitada a $d \ge |p|$.

Esboço da prova. Como os pesos são não negativos, a soma parcial é monotônica. A poda por limite inferior não elimina caminhos cujo valor final possa atingir $\theta$. Logo, preserva-se completude até profundidade $d$.

A construção incremental com indexação temporal balanceada possui custo $O(n \log n + m)$.

4. Proposed Methodology

A arquitetura possui quatro camadas: coleta, normalização, correlação e orquestração.

4.1 Coleta

Integração com AWS CloudTrail, Azure Activity Logs e GCP Audit Logs por meio de APIs oficiais. Sempre que disponível, verificamos integridade por assinaturas e controles de imutabilidade.

4.2 Normalização

Mapeamento para esquema comum contendo: actor.id, resource.id, action, timestamp, provider.

Exemplo de regra Sigma:

logsource:
  product: aws
  service: cloudtrail
detection:
  selection:
    eventName: AttachUserPolicy

4.3 Correlação

Algoritmo de inserção incremental:

Para cada evento $e$:

1. Inserir em árvore balanceada por $\tau$.
2. Recuperar eventos em janela $\Delta t$.
3. Avaliar predicado causal $\phi$.
4. Inserir aresta se $\phi$ for verdadeiro.

Complexidade por inserção: $O(\log n + k)$.

4.4 Orquestração

Integração com TheHive para resposta automatizada.

Exemplo Suricata:

alert http any any -> 169.254.169.254 any (msg:"Possible IMDS Access"; sid:100001;)

Exemplo YARA:

rule Suspicious_AWS_Key
{
 strings:
   $ak = /AKIA[0-9A-Z]{16}/
 condition:
   $ak
}

5. Implementation

Pipeline:

Cloud Logs → Filebeat → Logstash → Elasticsearch → Motor Python (NetworkX) → Kibana → TheHive.

Estratégias de desempenho incluem sharding por provedor, indexação temporal e compressão LZ4. Se a taxa de eventos é $\lambda$, o crescimento de memória é proporcional a $\lambda \Delta t$, sendo controlado por expurgo periódico.

6. Experimental Evaluation

Conduzimos experimentos em ambiente híbrido controlado com cenários inspirados em técnicas ATT&CK até 2021.

Métrica	Regras Isoladas	Correlação por Grafo
Detecção de cadeia multi-etapa	Parcial	Consistente
Falsos positivos relativos	Elevados	Reduzidos
Tempo médio de detecção	Maior	Menor

A comparação pareada demonstrou melhoria consistente na identificação de sequências causais, com redução relativa de alertas isolados de baixa criticidade.

7. Case Studies

7.1 Setor Financeiro

Simulação de exposição de credencial e subsequente escalonamento de privilégios. A correlação identificou sequência completa, permitindo revogação imediata e auditoria abrangente.

7.2 Setor Hospitalar

Comprometimento de identidade Azure AD seguido de atribuição indevida de função e exportação para GCP. A abordagem multi-cloud permitiu correlação interprovedor preservando temporalidade.

8. Discussion

A abordagem proposta diferencia-se por formalização explícita e neutralidade de provedor. Está alinhada ao paradigma Zero Trust (ROSE et al., 2020).

Limitações incluem dependência da integridade de logs e ausência de cobertura para comprometimento de camada de hipervisor.

Trabalhos futuros incluem verificação formal em TLA+ e mecanismos criptográficos clássicos de encadeamento hash para integridade de logs.

9. Conclusion

Demonstramos que grafos temporais rotulados oferecem base formal robusta para detecção multi-cloud orientada a evidências, conciliando rigor teórico e aplicabilidade prática no contexto tecnológico até 2021.

References

AZODOLMOLKY, Shahram et al. Dynamic firewall configuration in cloud computing environments. 2013. Disponível em: https://doi.org/10.1109/CloudNet.2013.6710566

CICHONSKI, Paul et al. Computer Security Incident Handling Guide. NIST SP 800-61 Rev.2, 2012. Disponível em: https://doi.org/10.6028/NIST.SP.800-61r2

CISA. Alert AA20-352A: Advanced Persistent Threat Compromise of Government Agencies. 2020. Disponível em: https://www.cisa.gov/news-events/alerts/aa20-352a

ENISA. Threat Landscape 2020. 2020. Disponível em: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2020

FERNANDES, Diogo; SOARES, Liliana; GOMES, João. Security issues in cloud environments. International Journal of Information Security, 2014. Disponível em: https://doi.org/10.1007/s10207-013-0208-7

JHA, Somesh; SHEYNER, Oleg; WING, Jeannette. Two formal analyses of attack graphs. 2002. Disponível em: https://doi.org/10.1109/CSFW.2002.1021811

KENT, Karen; SOUPPAYA, Murugiah. Guide to Computer Security Log Management. NIST SP 800-92, 2006. Disponível em: https://doi.org/10.6028/NIST.SP.800-92

MELL, Peter; GRANCE, Timothy. The NIST Definition of Cloud Computing. NIST SP 800-145, 2011. Disponível em: https://doi.org/10.6028/NIST.SP.800-145

MITRE. MITRE ATT&CK for Enterprise (versão 2021). 2021a. Disponível em: https://attack.mitre.org

MODI, Chirag et al. A survey of intrusion detection techniques in Cloud. Journal of Network and Computer Applications, 2013. Disponível em: https://doi.org/10.1016/j.jnca.2012.05.003

ROSE, Scott et al. Zero Trust Architecture. NIST SP 800-207, 2020. Disponível em: https://doi.org/10.6028/NIST.SP.800-207

SCHNEIER, Bruce. Attack Trees. Dr. Dobb’s Journal, 1999.