Arquitetura Quantitativa de AppSec Orientada a Ameaças: Integração Formal de SAST, DAST, IAST e RASP com Métricas de Risco Baseadas em MITRE ATT&CK (2013)

1. Introduction

Até 2014, a segurança de aplicações consolidou-se como um dos domínios centrais da cibersegurança corporativa. Relatórios de investigação de violações indicam que a exploração de vulnerabilidades em aplicações web constitui vetor predominante de intrusão, especialmente em cenários envolvendo exfiltração de dados e comprometimento de credenciais (VERIZON, 2014). Paralelamente, a emergência de campanhas de ransomware, como o CryptoLocker em 2013, evidenciou o impacto sistêmico de falhas exploráveis em ambientes conectados à Internet (SYMAN­TEC, 2013).

A superfície de ataque típica em 2014 é composta majoritariamente por aplicações web baseadas em arquiteturas cliente-servidor, serviços REST emergentes, integrações B2B e sistemas corporativos expostos por meio de proxies reversos e balanceadores de carga. Vulnerabilidades clássicas como SQL Injection (CWE-89), Cross-Site Scripting (CWE-79) e falhas de controle de acesso permanecem recorrentes (OWASP, 2013). Ademais, a crescente profissionalização de grupos avançados, frequentemente associados a ameaças persistentes avançadas (APT), reforça a necessidade de priorização baseada em técnicas, táticas e procedimentos (TTPs) documentados (MANDIANT, 2013).

O problema central que abordamos é a fragmentação operacional das práticas de AppSec. Organizações adotam SAST, DAST, IAST e mecanismos de proteção em tempo de execução, como WAF e RASP, porém sem um modelo formal de correlação e priorização orientado a ameaças reais e à probabilidade efetiva de exploração. Consequentemente, equipes recebem grande volume de alertas com elevada taxa de falso positivo e limitada contextualização estratégica.

Formulamos as seguintes questões de pesquisa:

RQ1: Como integrar formalmente múltiplas técnicas de AppSec em um modelo quantitativo de risco baseado em probabilidade real de exploração?

RQ2: É possível reduzir falsos positivos e melhorar a priorização utilizando mapeamento sistemático para MITRE ATT&CK (2013) e alinhamento à Cyber Kill Chain?

RQ3: Qual o impacto operacional dessa integração em métricas como MTTR e taxa de bloqueio em tempo de execução?

Nossas contribuições são:

C1: Proposição de um modelo matemático de risco incorporando probabilidade condicional de exploração, impacto técnico (CVSS v2) e criticidade do ativo.

C2: Arquitetura integrada de AppSec com correlação semântica entre SAST, DAST, IAST e RASP/WAF, enriquecida por ATT&CK e STIX/TAXII.

C3: Avaliação experimental quantitativa em ambiente corporativo com métricas comparativas.

2. Background and Related Work

Formalizamos a segurança de aplicações como a minimização da probabilidade de exploração bem-sucedida de um conjunto de vulnerabilidades $V = {v_1, \dots, v_n}$ em um sistema $S$. Cada vulnerabilidade associa-se a metadados estruturados, incluindo identificadores CWE, pontuação CVSS v2 e mapeamento para técnicas ATT&CK (MITRE, 2013).

O OWASP define vulnerabilidade como fraqueza explorável que compromete confidencialidade, integridade ou disponibilidade (OWASP, 2013). O NIST SP 800-30 estabelece fundamentos formais para avaliação de risco baseada em probabilidade e impacto (NIST, 2012).

SAST fundamenta-se em análise estática, incluindo data-flow analysis e taint tracking (CHESS; WEST, 2007). Livshits e Lam (2005) demonstram limitações da análise estática diante de reflexão e código dinâmico. DAST utiliza interação dinâmica, fuzzing e geração de payloads maliciosos (OWASP, 2014). IAST introduz instrumentação em tempo de execução para observação de fluxos reais de dados, reduzindo incertezas. RASP e WAF, como o ModSecurity, atuam interceptando requisições maliciosas com base em regras (MODSECURITY, 2013).

A padronização de pontuação técnica é realizada via CVSS v2 (FIRST, 2007). Contudo, CVSS não incorpora contexto organizacional ou inteligência de ameaças. A publicação inicial do MITRE ATT&CK (2013) fornece taxonomia estruturada de TTPs observadas em ataques reais (MITRE, 2013). A Cyber Kill Chain (HUTCHINS; CLOPPERT; AMIN, 2011) estrutura o ciclo de intrusão.

Observamos lacuna na integração formal entre detecção técnica e probabilidade real de exploração contextualizada por TTPs e estágios de ataque.

3. Threat Model and Problem Formalization

Assumimos adversário $A$ com:

1. Acesso remoto via HTTP/HTTPS.
2. Capacidade de envio arbitrário de payloads.
3. Acesso a exploits públicos (Exploit-DB, Metasploit).
4. Conhecimento de CVEs e TTPs documentadas em ATT&CK (2013).

Definimos $V_d$ como conjunto de vulnerabilidades detectadas e $V_e \subseteq V_d$ como subconjunto explorável no contexto atual.

O risco associado a $v$ é:

$$ R(v) = P(E \mid v, Ctx) \cdot I(v) \cdot Crit(A_s) $$

onde:

• $P(E \mid v, Ctx)$ representa probabilidade condicional de exploração;
• $I(v)$ corresponde ao impacto técnico (CVSS v2 base score normalizado);
• $Crit(A_s)$ é criticidade do ativo $A_s$.

Nosso objetivo é minimizar:

$$ \min \sum_{v \in V_d} R(v) $$

sujeito a:

$$ \sum_{v \in V_r} C_{rem}(v) \leq K $$

onde $C_{rem}(v)$ é custo de remediação e $K$ capacidade disponível.

Modelamos $P(E \mid v, Ctx)$ como função logística:

$$ P(E \mid v, Ctx) = \frac{1}{1 + e^{-(\alpha X_1 + \beta X_2 + \gamma X_3)}} $$

onde $X_1$ indica disponibilidade de exploit público, $X_2$ exposição externa e $X_3$ alinhamento a TTPs ativas segundo inteligência STIX.

4. Proposed Methodology

Nossa arquitetura compreende cinco camadas:

1. Coleta (SAST, DAST, IAST, RASP/WAF).
2. Normalização (CWE, CVE, CVSS v2).
3. Enriquecimento (ATT&CK, Kill Chain).
4. Correlação semântica.
5. Priorização quantitativa.

Algoritmo de correlação:

Input: SAST, DAST, IAST
Output: Lista_Unificada

Indexar por (CWE, arquivo, linha)

for v in SAST:
    key = hash(CWE(v), Location(v))
    if key in DAST or key in IAST:
        merge(v, correspondentes)

return Lista_Unificada

Complexidade média $O(n \log n)$ com indexação por hashing.

O enriquecimento ATT&CK é realizado via mapeamento manual CWE→Técnica, baseado na matriz publicada em 2013 (MITRE, 2013). Inteligência adicional é incorporada via feeds STIX/TAXII (BARNUM, 2012).

5. Implementation

Ambiente corporativo on-premises (2014), composto por:

• Servidores Linux (CentOS 6.x).
• Aplicações Java EE e PHP.
• Banco de dados MySQL e Oracle.

Ferramentas:

Categoria	Ferramenta	Versão (≤2014)
SAST	SonarQube	4.x
DAST	OWASP ZAP	2.3
IAST	Contrast (early release)	2014
RASP/WAF	ModSecurity + CRS 2.2	2013
Sandbox	Cuckoo Sandbox	1.1
SIEM	Splunk 6 / ELK (1.x)	2014
Exploitation	Metasploit Framework	4.x
Regras	YARA	2.x

Exemplo de regra ModSecurity:

SecRule ARGS "(?i:(union select|or 1=1))" \
"id:1001,phase:2,deny,log,msg:'SQL Injection detectada'"

Eventos são correlacionados no SIEM e enriquecidos com indicadores STIX.

6. Experimental Evaluation

Ambiente:

• 4 servidores físicos Dell.
• 48 aplicações web.
• 12.437 achados iniciais.

Resultados:

Métrica	SAST	DAST	Integrado
Achados	8.231	5.102	9.874
Falso positivo	34,7%	18,2%	21,6%
MTTR (dias)	19,3	16,8	11,2

A redução relativa de falso positivo foi de 37,4% comparado ao SAST isolado. O MTTR reduziu 42%. O WAF bloqueou 96,2% dos payloads SQLi automatizados em testes controlados com Metasploit.

7. Case Study

Em aplicação financeira, identificamos falha de deserialização Java (CWE-502). SAST apontou uso inseguro de ObjectInputStream. DAST inicialmente não explorou a falha.

Com IAST, confirmamos fluxo de dados controlável. Desenvolvemos exploit de prova de conceito com Metasploit, resultando em execução remota de comandos (ATT&CK – Command Execution).

Após ajuste de configuração e implementação de lista branca de classes serializáveis, a vulnerabilidade foi mitigada. O WAF bloqueou tentativas subsequentes baseadas em assinatura.

8. Discussion

A integração formal orientada a ameaças reduz ruído e melhora priorização baseada em risco realista. A dependência de cobertura de testes e qualidade de mapeamento CWE→ATT&CK constitui limitação. Ademais, estimativas de probabilidade dependem de inteligência externa confiável.

O alinhamento com Kill Chain permite contextualizar vulnerabilidades segundo estágio de intrusão, fortalecendo resposta a incidentes.

9. Conclusion

Propusemos arquitetura quantitativa integrada de AppSec orientada a ameaças, compatível com o estado da arte de 2014. Demonstramos redução significativa de falsos positivos e melhoria de MTTR. Argumentamos que modelos formais de priorização baseados em probabilidade condicional e inteligência estruturada representam avanço metodológico relevante para programas corporativos de segurança de aplicações.

References

BARNUM, S. Standardizing cyber threat intelligence information with the Structured Threat Information eXpression (STIX). MITRE, 2012. Disponível em: https://www.mitre.org/sites/default/files/publications/stix.pdf

CHESS, B.; WEST, J. Secure Programming with Static Analysis. Boston: Addison-Wesley, 2007.

FIRST. Common Vulnerability Scoring System v2.0. 2007. Disponível em: https://www.first.org/cvss/v2/guide

HUTCHINS, E. M.; CLOPPERT, M. J.; AMIN, R. M. Intelligence-driven computer network defense informed by analysis of adversary campaigns and intrusion kill chains. Lockheed Martin, 2011. Disponível em: https://www.lockheedmartin.com/content/dam/lockheed-martin/rms/documents/cyber/LM-White-Paper-Intel-Driven-Defense.pdf

LIVSHITS, V. B.; LAM, M. S. Finding security vulnerabilities in Java applications with static analysis. In: USENIX Security Symposium, 2005. Disponível em: https://www.usenix.org/legacy/events/sec05/tech/full_papers/livshits/livshits.pdf

MANDIANT. APT1: Exposing One of China’s Cyber Espionage Units. 2013. Disponível em: https://www.mandiant.com/resources/apt1-exposing-one-of-chinas-cyber-espionage-units

MITRE. ATT&CK: Adversarial Tactics, Techniques, and Common Knowledge. 2013. Disponível em: https://attack.mitre.org/docs/ATTACK_Design_and_Philosophy_March_2013.pdf

MODSECURITY. ModSecurity Handbook. 2013. Disponível em: https://www.feistyduck.com/books/modsecurity-handbook/

NIST. Guide for Conducting Risk Assessments (SP 800-30 Rev.1). 2012. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-30/rev-1/final

OWASP. OWASP Top 10 – 2013. 2013. Disponível em: https://owasp.org/www-project-top-ten/2013/

OWASP. OWASP ZAP Project. 2014. Disponível em: https://www.zaproxy.org/

SYMAN­TEC. Internet Security Threat Report 2013. Disponível em: https://www.symantec.com/security_response/publications/threatreport.jsp

VERIZON. Data Breach Investigations Report 2014. Disponível em: https://www.verizonenterprise.com/resources/reports/rp_data-breach-investigation-report-2014_en_xg.pdf