Arquiteturas Operacionais de Detecção de Intrusões em Ambientes Corporativos: Correlação de Telemetria, Modelagem de Ameaças e Detecção Baseada em Comportamento (Estado da Arte até 2022)

1. Introduction

A detecção de atividades maliciosas em ambientes corporativos evoluiu significativamente ao longo das últimas duas décadas. No início dos anos 2000, a maioria das organizações dependia quase exclusivamente de sistemas de detecção de intrusão baseados em assinaturas, como Snort, e de mecanismos de antivírus tradicionais. Entretanto, a profissionalização de grupos de ameaça e a industrialização do crime cibernético alteraram profundamente esse cenário. Ataques modernos frequentemente utilizam técnicas de evasão, ferramentas legítimas do sistema operacional e exploração de cadeias de confiança, tornando detecções puramente baseadas em assinaturas insuficientes (BEHL; BEHL, 2017).

Eventos recentes reforçaram essa realidade operacional. O ataque à cadeia de suprimentos da SolarWinds em 2020 demonstrou como adversários podem permanecer indetectáveis por meses dentro de redes corporativas sofisticadas (MANDIANT, 2021). De forma semelhante, a vulnerabilidade Log4Shell (CVE‑2021‑44228) evidenciou como falhas amplamente disseminadas podem ser exploradas em escala global em questão de horas (CISA, 2021). Em ambos os casos, a capacidade de detectar comportamentos anômalos pós‑comprometimento tornou‑se essencial para limitar impacto.

Nesse contexto, Security Operations Centers (SOCs) passaram a adotar arquiteturas de detecção baseadas em múltiplas fontes de telemetria. Logs de rede, eventos de endpoint, autenticações, telemetria de containers e registros de aplicações são agregados em plataformas SIEM ou data lakes de segurança. A premissa central é que nenhuma fonte isolada é suficiente para detectar adversários avançados. Apenas a correlação de eventos aparentemente benignos pode revelar padrões de ataque.

Outra mudança significativa foi a adoção de modelos estruturados de conhecimento sobre ameaças. O framework MITRE ATT&CK tornou‑se um padrão de facto para modelar comportamento adversário, permitindo que equipes de segurança desenvolvam regras de detecção alinhadas a técnicas específicas utilizadas por atacantes (STROM et al., 2018). Essa abordagem desloca o foco de indicadores estáticos para táticas e técnicas comportamentais.

Apesar desses avanços, desafios operacionais persistem. Ambientes corporativos produzem volumes massivos de dados, frequentemente superiores a terabytes diários. Processar, correlacionar e analisar esse fluxo de telemetria exige arquiteturas escaláveis e mecanismos eficientes de filtragem. Além disso, altas taxas de falsos positivos podem sobrecarregar analistas de SOC, reduzindo a eficácia das operações defensivas.

Este trabalho investiga arquiteturas práticas de detecção capazes de operar nesse contexto. O foco não é apenas teórico, mas operacional, refletindo técnicas utilizadas em ambientes reais de defesa cibernética. Propomos um modelo híbrido que combina:

• detecção baseada em assinaturas
• correlação comportamental baseada em ATT&CK
• análise estatística de anomalias
• enriquecimento com inteligência de ameaças

O objetivo é demonstrar como essas camadas podem ser integradas em uma arquitetura coerente de detecção, capaz de identificar atividades adversárias sofisticadas com maior precisão.

2. Background and Related Work

Sistemas de detecção de intrusão foram formalmente introduzidos por Dorothy Denning em 1987, com um modelo estatístico para identificar atividades anômalas em sistemas computacionais (DENNING, 1987). Desde então, duas abordagens principais dominaram o campo: detecção baseada em assinaturas e detecção baseada em anomalias.

Ferramentas como Snort e Suricata representam a evolução da detecção por assinatura em nível de rede. Esses sistemas analisam pacotes e fluxos de tráfego, comparando‑os com padrões conhecidos de ataque. Embora altamente eficazes contra ameaças previamente identificadas, esses mecanismos apresentam limitações claras diante de ataques zero‑day ou técnicas de evasão (ROESCH, 1999).

Por outro lado, sistemas baseados em anomalias tentam modelar comportamento normal do sistema e identificar desvios estatísticos. Em teoria, essa abordagem permite detectar ataques desconhecidos. Entretanto, ambientes corporativos complexos apresentam padrões de comportamento altamente dinâmicos, resultando em altos índices de falsos positivos (SOMMER; PAXSON, 2010).

Com a expansão da computação distribuída e do armazenamento de logs, surgiram plataformas SIEM (Security Information and Event Management), como Splunk, ArcSight e Elastic Stack. Esses sistemas permitem agregação e correlação de eventos provenientes de múltiplas fontes (BEHL; BEHL, 2017). A evolução recente dessas plataformas inclui funcionalidades de UEBA (User and Entity Behavior Analytics), que analisam padrões de comportamento de usuários e sistemas.

Outra evolução importante foi a instrumentação profunda de endpoints. Ferramentas como Sysmon, desenvolvida pela Microsoft Sysinternals, permitem registrar eventos detalhados de criação de processos, conexões de rede e modificações em arquivos (RUSINOVICH, 2022). Esses dados fornecem visibilidade fundamental para detectar técnicas de movimentação lateral e execução remota.

A tabela a seguir resume algumas ferramentas amplamente utilizadas em arquiteturas de detecção até 2022.

Ferramenta	Tipo	Telemetria principal	Ano de introdução
Snort	NIDS	Pacotes de rede	1998
Suricata	NIDS/IPS	Tráfego de rede e protocolos	2010
Zeek (Bro)	Network Security Monitor	Metadados de rede	1995
Sysmon	Endpoint Telemetry	Eventos de processo e rede	2014
OSSEC / Wazuh	HIDS	Logs de host	2008 / 2015
Elastic Stack	SIEM	Correlação de logs	2012

O framework MITRE ATT&CK consolidou‑se como uma taxonomia de técnicas adversárias baseada em observações empíricas de campanhas reais. Diferentemente de modelos teóricos anteriores, ATT&CK descreve comportamentos operacionais concretos, como T1059 (Command and Scripting Interpreter) ou T1021 (Remote Services).

Essa estrutura permitiu o surgimento de linguagens padronizadas de detecção, como Sigma, que descreve regras independentes de plataforma para identificação de atividades suspeitas (RUPPERT et al., 2020).

3. Threat Model and Problem Formalization

Para desenvolver uma arquitetura eficaz de detecção, é necessário definir explicitamente o modelo de ameaça considerado. Neste trabalho assumimos um adversário com as seguintes capacidades:

1. Capacidade de exploração de vulnerabilidades conhecidas.
2. Uso de ferramentas legítimas do sistema operacional (LOLBins).
3. Persistência prolongada dentro da rede comprometida.
4. Movimentação lateral utilizando credenciais válidas.

Esse modelo reflete o comportamento observado em campanhas avançadas, incluindo grupos associados a espionagem estatal e operações de ransomware (MANDIANT, 2021).

Formalmente, podemos modelar o processo de detecção como um problema de classificação sobre um conjunto de eventos observados. Seja:

• $E = {e_1, e_2, …, e_n}$ o conjunto de eventos de telemetria.
• $A$ o conjunto de eventos maliciosos.
• $N$ o conjunto de eventos benignos.

O objetivo do sistema de detecção é aprender uma função:

$$ f: E \rightarrow {A, N} $$

A qualidade do sistema pode ser medida por métricas tradicionais de classificação.

$$ Precision = \frac{TP}{TP + FP} $$

$$ Recall = \frac{TP}{TP + FN} $$

Onde:

• $TP$ = verdadeiros positivos
• $FP$ = falsos positivos
• $FN$ = falsos negativos

Em ambientes operacionais, a minimização de falsos positivos é particularmente crítica. Um SOC que gera milhares de alertas irrelevantes diariamente torna‑se incapaz de investigar eventos realmente importantes.

Além disso, eventos individuais raramente são suficientes para caracterizar um ataque. Em vez disso, ataques são sequências temporais de ações adversárias. Portanto, definimos um grafo de correlação de eventos, no qual nós representam eventos e arestas representam relações temporais ou causais.

4. Proposed Methodology

A metodologia proposta neste trabalho baseia‑se em quatro camadas principais de detecção:

1. Telemetria multi‑fonte
2. Normalização e enriquecimento de eventos
3. Regras comportamentais baseadas em ATT&CK
4. Correlação temporal de eventos

A arquitetura geral é apresentada conceitualmente como um pipeline de processamento de eventos.

Camada de Coleta de Telemetria

A primeira etapa consiste na coleta de dados de múltiplas fontes. Cada fonte fornece visibilidade sobre uma parte distinta do ambiente.

Fonte de telemetria	Exemplos de eventos	Ferramentas
Rede	DNS, HTTP, TLS, fluxos	Zeek, Suricata
Endpoint	Criação de processos	Sysmon
Autenticação	Logon e Kerberos	Windows Event Logs
Aplicações	Logs de servidor	Apache, Nginx

Essa diversidade de fontes permite detectar padrões que não seriam visíveis em um único domínio.

Normalização de Eventos

Eventos coletados apresentam formatos heterogêneos. Portanto, utilizamos pipelines de ingestão no Elastic Stack para normalizar campos relevantes, como:

• source.ip
• destination.ip
• process.name
• user.name

A padronização facilita a criação de regras de correlação.

Regras Baseadas em Comportamento

Regras são desenvolvidas utilizando o framework Sigma. Um exemplo simples detecta execução suspeita de PowerShell com download remoto.

logsource:
  product: windows
  service: sysmon
detection:
  selection:
    EventID: 1
    Image: 'powershell.exe'
    CommandLine: 'Invoke-WebRequest'
  condition: selection
level: high

Correlação Temporal

Eventos individuais podem parecer benignos. Entretanto, quando correlacionados temporalmente podem indicar atividade adversária.

Por exemplo:

1. Autenticação remota
2. Execução de cmd.exe
3. Conexão de rede externa

A probabilidade de ataque pode ser modelada como:

$$ P(A|E_1,E_2,E_3) = 1 - \prod_{i=1}^{3}(1-P(A|E_i)) $$

Essa abordagem permite calcular um score agregado de risco.

5. Implementation

A implementação experimental foi realizada utilizando ferramentas open source amplamente adotadas em ambientes SOC.

A coleta de telemetria de rede foi realizada utilizando Zeek, configurado para análise de tráfego em um span port.

zeek -i eth0 local "Site::local_nets += { 10.0.0.0/8 }"

Zeek gera logs estruturados de protocolos como DNS, HTTP e SSL, permitindo identificar atividades suspeitas como consultas DNS anômalas ou downloads incomuns.

Para detecção baseada em assinatura de rede utilizamos Suricata.

suricata -c /etc/suricata/suricata.yaml -i eth0

Suricata executa regras compatíveis com Snort e permite inspeção profunda de pacotes (DPI).

No nível de endpoint, instalamos Sysmon com uma configuração baseada no projeto SwiftOnSecurity.

Esses eventos foram encaminhados para um cluster Elastic Stack, onde foram indexados e analisados utilizando Kibana e mecanismos de detecção nativos.

6. Experimental Evaluation

Os experimentos foram conduzidos em um laboratório contendo:

• 50 estações Windows 10
• 10 servidores Linux
• 1 controlador de domínio

Simulamos diversos cenários de ataque utilizando ferramentas como Atomic Red Team e Metasploit.

Cenários Avaliados

Cenário	Técnica ATT&CK	Ferramenta
Execução PowerShell	T1059	PowerShell
Movimento lateral SMB	T1021	PsExec
Exploração Log4Shell	T1190	exploit PoC
Exfiltração DNS	T1048	custom script

Resultados de Detecção

Cenário	Detecção rede	Detecção endpoint	Detecção correlacionada
PowerShell download	0.32	0.81	0.93
Movimento lateral	0.41	0.76	0.89
Log4Shell	0.85	0.28	0.91
Exfiltração DNS	0.78	0.12	0.87

Os resultados indicam que abordagens isoladas apresentam lacunas significativas. A correlação multi‑fonte melhora substancialmente a taxa de detecção.

7. Case Study

Para demonstrar a aplicação prática da arquitetura proposta, conduzimos uma simulação de ataque inspirada em campanhas de ransomware observadas entre 2019 e 2021.

O cenário inicia com a exploração da vulnerabilidade Log4Shell em um servidor web vulnerável. O atacante executa um payload que estabelece uma conexão reversa e cria persistência no sistema comprometido.

Inicialmente, os logs de rede registram uma requisição HTTP contendo a string ${jndi:ldap://...}. Esse evento isolado gera apenas um alerta de baixa prioridade. Entretanto, minutos depois o sistema registra criação de um novo processo Java seguido por execução de powershell.exe.

Posteriormente, o atacante utiliza credenciais coletadas para executar PsExec em outra máquina do domínio. Esse evento gera logs de autenticação Kerberos e criação remota de processo.

Quando analisados isoladamente, esses eventos poderiam parecer benignos. Contudo, a correlação temporal revela um padrão claro de comprometimento.

O sistema atribui um score de risco elevado à sequência completa de eventos, permitindo que analistas investiguem rapidamente o incidente.

8. Discussion

Embora os resultados experimentais demonstrem melhorias significativas na detecção, diversos desafios permanecem.

Primeiramente, volume de dados é um fator crítico. Ambientes corporativos grandes podem gerar dezenas de bilhões de eventos por dia. Processar esse volume exige arquiteturas distribuídas e técnicas eficientes de indexação.

Outro desafio importante é a qualidade das regras de detecção. Regras mal projetadas podem gerar falsos positivos excessivos. A manutenção contínua dessas regras requer conhecimento profundo do ambiente e das técnicas adversárias.

Além disso, adversários sofisticados podem adaptar seu comportamento para evitar detecção. Técnicas como uso de ferramentas legítimas, execução em memória e tunelamento criptografado dificultam significativamente a análise.

A integração com arquiteturas Zero Trust, conforme definido pelo NIST SP 800‑207, representa uma direção promissora. Nesse modelo, decisões de acesso são continuamente avaliadas com base em contexto e telemetria de segurança.

Plataformas emergentes de XDR (Extended Detection and Response) também buscam unificar telemetria de múltiplas camadas em um único sistema analítico.

9. Conclusion and Future Work

A detecção eficaz de ameaças em ambientes corporativos exige uma abordagem multidimensional que combine telemetria diversificada, modelagem comportamental e correlação temporal de eventos. Ferramentas isoladas raramente oferecem visibilidade suficiente para identificar ataques avançados.

Este trabalho demonstrou que arquiteturas baseadas na integração de sensores de rede, telemetria de endpoint e plataformas SIEM podem melhorar significativamente a capacidade de detecção. Experimentos realizados em laboratório indicam que a correlação multi‑fonte reduz lacunas de visibilidade observadas em abordagens isoladas.

Entretanto, a eficácia dessas arquiteturas depende fortemente da qualidade da instrumentação e da maturidade operacional das equipes de segurança. Investimentos em engenharia de detecção, automação e threat hunting são essenciais para maximizar o valor desses sistemas.

Como trabalho futuro, pretendemos investigar técnicas avançadas de modelagem de comportamento baseadas em grafos de eventos e análise estatística de sequências temporais. Também é relevante explorar integração com frameworks de resposta automatizada (SOAR) para reduzir tempo de resposta a incidentes.

REFERENCES

BEHL, A.; BEHL, K. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford University Press, 2017. https://global.oup.com

CISA. Apache Log4j Vulnerability Guidance. 2021. https://www.cisa.gov/log4j

DENNING, D. An Intrusion Detection Model. IEEE Transactions on Software Engineering, 1987. https://ieeexplore.ieee.org/document/1702202

MANDIANT. SUNBURST Additional Technical Details. 2021. https://www.mandiant.com/resources

MITRE. ATT&CK Framework. 2022. https://attack.mitre.org

ROESCH, M. Snort: Lightweight Intrusion Detection for Networks. USENIX LISA, 1999. https://www.usenix.org

SOMMER, R.; PAXSON, V. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. IEEE S&P, 2010. https://ieeexplore.ieee.org

SCARFONE, K.; MELL, P. Guide to Intrusion Detection and Prevention Systems. NIST SP 800‑94, 2007. https://nvlpubs.nist.gov

ROBINSON, B. et al. The Zeek Network Security Monitor. 2018. https://zeek.org

OISF. Suricata User Guide. 2022. https://suricata.io

RUSINOVICH, M. Sysmon Documentation. Microsoft, 2022. https://learn.microsoft.com/sysinternals

RUPPERT, M. Sigma: Generic Signature Format for SIEM Systems. 2020. https://sigmahq.io

NIST. Zero Trust Architecture. NIST SP 800‑207, 2020. https://nvlpubs.nist.gov

SPLUNK. Security Information and Event Management. 2021. https://www.splunk.com

ELASTIC. Elastic SIEM Documentation. 2022. https://www.elastic.co

WAZUH. Wazuh Security Platform Documentation. 2022. https://wazuh.com

OSSEC. OSSEC Host-based Intrusion Detection Guide. 2021. https://www.ossec.net

CROWLEY, P. Network Traffic Analysis. No Starch Press, 2013. https://nostarch.com

STALLINGS, W. Network Security Essentials. Pearson, 2017.

HUTCHINS, E.; CLOPPERT, M.; AMIN, R. Intelligence-Driven Computer Network Defense. Lockheed Martin, 2011.

FIREYE. M-Trends Report. 2022. https://www.mandiant.com/resources/m-trends

CISCO. Talos Threat Intelligence Report. 2022. https://talosintelligence.com

RED CANARY. Atomic Red Team Documentation. 2022. https://atomicredteam.io

METASPLOIT. Metasploit Framework Documentation. 2022. https://docs.metasploit.com

VERIZON. Data Breach Investigations Report. 2022. https://www.verizon.com/business/resources/reports/dbir

KENT, K.; SOUPPAYA, M. Guide to Computer Security Log Management. NIST SP 800‑92. https://nvlpubs.nist.gov