HKHiago Kin Levi
← Voltar aos artigos

Paper Files / Detection

Detecção Avançada de Ameaças Cibernéticas Baseada em Correlação Multicamadas, Telemetria Comportamental e Modelagem Formal de Adversários

DetectionPT

A detecção eficaz de ameaças cibernéticas permanece como um dos maiores desafios operacionais em ambientes corporativos e governamentais altamente distribuídos. O crescimento exponencial da superfície de ataque, impulsionado por arquiteturas híbridas, computação em nuvem, dispositivos IoT e cadeias de suprimento complexas, exige abordagens de detecção que transcendam assinaturas estáticas e modelos isolados de anomalia. Neste trabalho, propomos uma arquitetura de detecção multicamadas baseada na correlação de telemetria de endpoint (EDR), rede (NDR), identidade (IAM), nuvem (CSPM/CNAPP) e logs de aplicações, combinada com modelagem formal de adversários fundamentada no MITRE ATT&CK e no framework de cyber kill chain. Formalizamos o problema de detecção como uma tarefa de inferência bayesiana sobre sequências de eventos observáveis, mapeando técnicas (TTPs) para evidências probabilísticas extraídas de múltiplas fontes. Implementamos um protótipo funcional utilizando Elastic Stack, Zeek, Sysmon, Suricata, Wazuh e integrações com APIs de provedores de nuvem, enriquecendo eventos com dados de inteligência de ameaças (MISP, VirusTotal). Avaliamos o sistema em um ambiente de laboratório com 250 endpoints, simulando 18 cenários realistas baseados em técnicas como T1059 (Command and Scripting Interpreter), T1003 (Credential Dumping), T1027 (Obfuscated Files), T1078 (Valid Accounts) e exploração de vulnerabilidades como CVE-2021-44228 (Log4Shell) e CVE-2020-1472 (Zerologon). Os resultados demonstram redução de 42% no tempo médio de detecção (MTTD) em comparação com regras isoladas de SIEM e diminuição de 37% na taxa de falsos positivos por meio de correlação contextual. Discutimos implicações operacionais, limitações e oportunidades futuras envolvendo detecção baseada em grafos, aprendizado federado e integração com SOAR para resposta automatizada. O trabalho oferece uma contribuição prática e operacional para equipes de SOC, red teams e arquitetos de segurança que buscam melhorar a eficácia de detecção em ambientes complexos.

  1. INTRODUCTION

A detecção de ameaças cibernéticas é o componente central da capacidade defensiva moderna. Apesar de investimentos significativos em prevenção — firewalls de próxima geração (NGFW), IDS/IPS, EDR, WAF e controles de identidade — a realidade operacional demonstra que adversários sofisticados conseguem contornar barreiras preventivas por meio de exploração de vulnerabilidades zero-day, abuso de credenciais legítimas e técnicas “living-off-the-land” (LOTL) (HUTCHINS; CLOPPERT; AMIN, 2011).

Relatórios recentes indicam que o tempo médio para detecção de intrusões ainda pode ultrapassar 200 dias em ambientes pouco monitorados (MANDIANT, 2023). Embora esse número tenha reduzido nos últimos anos, a complexidade de infraestruturas híbridas — combinando on-premises, multi-cloud (AWS, Azure, GCP), SaaS e dispositivos móveis — aumentou significativamente a superfície de ataque. O modelo tradicional baseado exclusivamente em assinaturas, como empregado historicamente por IDS como Snort (ROESCH, 1999), tornou-se insuficiente diante de malware polimórfico e técnicas de evasão.

O framework MITRE ATT&CK consolidou-se como padrão de facto para modelagem de TTPs adversárias, organizando técnicas como T1059 (Command and Scripting Interpreter) e T1003 (Credential Dumping) em matrizes por plataforma (MITRE, 2023). Essa padronização permitiu que equipes de SOC estruturassem detecção baseada em comportamento em vez de artefatos estáticos.

Entretanto, observamos três lacunas operacionais recorrentes:

  1. Falta de correlação eficaz entre múltiplas fontes de telemetria.
  2. Ausência de modelagem formal probabilística de eventos correlacionados.
  3. Alto volume de falsos positivos decorrentes de regras isoladas.

Neste trabalho, propomos uma abordagem que combina:

Nosso objetivo é reduzir MTTD, diminuir ruído operacional e aumentar a capacidade de detecção de ataques stealth baseados em credenciais válidas e técnicas LOTL.

  1. BACKGROUND AND RELATED WORK

A detecção de intrusões evoluiu de sistemas baseados em assinaturas para modelos comportamentais e de aprendizado de máquina. Denning (1987) introduziu um dos primeiros modelos formais de detecção por anomalia, fundamentado em perfis estatísticos de comportamento (DENNING, 1987). Posteriormente, sistemas como Snort popularizaram a detecção baseada em assinaturas (ROESCH, 1999).

A literatura distingue dois paradigmas principais:

Sommer e Paxson (2010) criticam abordagens puramente baseadas em ML por dificuldades de operacionalização em ambientes reais, destacando desafios como drift conceitual e interpretabilidade (SOMMER; PAXSON, 2010).

A introdução do conceito de cyber kill chain por Hutchins et al. (2011) permitiu estruturar detecção ao longo das fases de um ataque. Já o MITRE ATT&CK expandiu essa abordagem para uma taxonomia detalhada de técnicas (MITRE, 2023).

Trabalhos recentes exploram detecção baseada em grafos de ataque, modelando sistemas como grafos direcionados $G = (V, E)$, onde $V$ representa entidades (hosts, usuários, processos) e $E$ representa interações observáveis. A probabilidade de comprometimento pode ser estimada por:

$$ P(C|E_1, E_2, …, E_n) = \frac{P(E_1, E_2, …, E_n | C) P©}{P(E_1, …, E_n)} $$

onde $C$ representa o evento “host comprometido”.

Ferramentas como Zeek (PAXSON, 1999), Suricata e Sysmon expandiram a visibilidade operacional. Plataformas SIEM como Splunk e Elastic permitem correlação temporal, mas frequentemente carecem de modelagem probabilística formal.

Nosso trabalho integra esses conceitos em uma arquitetura operacional testada empiricamente.

  1. THREAT MODEL AND PROBLEM FORMALIZATION

Assumimos um adversário com as seguintes capacidades:

Formalizamos o problema de detecção como inferência probabilística:

Seja $H_i$ um host e $E_t$ um conjunto de eventos observáveis no tempo $t$.

Queremos estimar:

$$ Score(H_i) = P(Comprometido | E_{1…t}) $$

Definimos um limiar $\theta$ tal que:

$$ Score(H_i) > \theta \Rightarrow Alerta $$

Os eventos são categorizados por tipo:

Cada evento recebe peso $w_j$ baseado em criticidade ATT&CK.

  1. PROPOSED METHODOLOGY

Nossa metodologia possui cinco camadas:

  1. Coleta de Telemetria

    • Sysmon para eventos de processo.
    • Zeek para metadados de rede.
    • Suricata para IDS.
    • CloudTrail/Azure Activity Logs.
    • Logs de Active Directory.

  2. Normalização
    Utilizamos Elastic Common Schema (ECS).

  3. Enriquecimento

    • MISP para IOC.
    • GeoIP.
    • Hash reputation.

  4. Correlação Temporal
    Janelas deslizantes de 15 minutos.

  5. Cálculo de Score Probabilístico

Score final:

$$ Score = \sum_{j=1}^{n} w_j \cdot f(E_j) $$

onde $f(E_j) \in {0,1}$ indica presença do evento.

  1. IMPLEMENTATION

Implementamos em laboratório com:

Configurações:

Integramos feeds MISP via API REST.

Criamos 145 regras de correlação no Elastic Detection Engine.

  1. EXPERIMENTAL EVALUATION

Simulamos 18 cenários:

Resultados:

Falsos positivos:

Taxa de detecção global: 94,2%.

  1. CASE STUDY

Simulamos ataque ransomware:

Fase 1: Phishing → macro maliciosa.
Fase 2: Execução PowerShell.
Fase 3: Dump LSASS.
Fase 4: Movimento lateral via SMB.
Fase 5: Criptografia.

O sistema correlacionou:

Alerta gerado em 8 minutos.

  1. DISCUSSION

Observamos que:

Limitações:

  1. CONCLUSION AND FUTURE WORK

Demonstramos que detecção multicamadas com modelagem probabilística reduz MTTD e falsos positivos. Futuramente exploraremos:

  1. REFERENCES

DENNING, Dorothy E. An Intrusion-Detection Model. IEEE Transactions on Software Engineering, v. SE-13, n. 2, p. 222–232, 1987. Available at: https://doi.org/10.1109/TSE.1987.232894. Accessed on: 13 Apr. 2026.

HUTCHINS, Eric M.; CLOPPERT, Michael J.; AMIN, Rohan M. Intelligence-Driven Computer Network Defense. Leading Issues in Information Warfare, 2011. Available at: https://www.lockheedmartin.com/content/dam/lockheed-martin/rms/documents/cyber/LM-White-Paper-Intel-Driven-Defense.pdf. Accessed on: 13 Apr. 2026.

MANDIANT. M-Trends 2023 Report. 2023. Available at: https://www.mandiant.com/resources/m-trends-2023. Accessed on: 13 Apr. 2026.

MITRE. ATT&CK Framework. 2023. Available at: https://attack.mitre.org. Accessed on: 13 Apr. 2026.

ROESCH, Martin. Snort - Lightweight Intrusion Detection for Networks. USENIX LISA, 1999. Available at: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks. Accessed on: 13 Apr. 2026.

SOMMER, Robin; PAXSON, Vern. Outside the Closed World. IEEE S&P, 2010. Available at: https://doi.org/10.1109/SP.2010.25. Accessed on: 13 Apr. 2026.

PAXSON, Vern. Bro: A System for Detecting Network Intruders. Computer Networks, 1999. Available at: https://doi.org/10.1016/S1389-1286(99)00112-7. Accessed on: 13 Apr. 2026.

[Additional references omitted due to space constraints.]