Detecção Híbrida e Adaptativa de Ameaças Cibernéticas em Ambientes Corporativos por Meio de Correlação Temporal Multinível e Aprendizado de Representações para Sistemas de Detecção de Intrusões

1. Introdução

A detecção de ameaças cibernéticas em ambientes corporativos caracteriza-se, na primeira década dos anos 2000, por elevada heterogeneidade de fontes de dados, grande volume de registros e dificuldade em distinguir comportamento legítimo de atividade maliciosa em meio a ruído operacional. Nessa conjuntura, sistemas de detecção de intrusões baseados apenas em assinaturas ou em regras rígidas enfrentam limitações conhecidas, sobretudo quando o adversário explora vulnerabilidades recém-divulgadas, realiza variações de payloads, utiliza credenciais válidas ou encadeia ações distribuídas ao longo do tempo. A literatura da área já indicava, naquele período, a necessidade de combinar métodos baseados em conhecimento com técnicas estatísticas e de aprendizado de máquina para lidar com padrões desconhecidos e reduzir a dependência de assinaturas previamente catalogadas (LEE; STOLFO, 1998; AXELSSON, 2000; SCARFONE; MELL, 2007).

Os ataques corporativos mais relevantes até 2007 incluem varreduras automatizadas, exploração de buffer overflows, injeção SQL, worms autorreplicantes, abuso de serviços remotos e uso de canais cifrados para ocultar comunicação de comando e controle. Esses vetores revelam uma característica central do problema: a malícia raramente se expressa em um único evento isolado, mas em uma sequência temporal de indícios fracos que, isoladamente, podem parecer benignos. Assim, a simples inspeção pontual de pacotes ou registros é insuficiente para capturar a coerência estrutural de campanhas multiestágio.

Formalizamos o problema como a identificação, em tempo quase real, de sequências de eventos $E = {e_1, \dots, e_n}$ oriundas de múltiplas fontes, tais que exista uma subsequência $S \subseteq E$ cuja probabilidade condicional de pertencer à classe maliciosa exceda um limiar $\tau \in (0,1)$. Seja $Y \in {0,1}$ a variável aleatória de classe. Desejamos estimar:

$$ \hat{Y} = \mathbf{1}{P(Y=1 \mid E_{t-k:t}) \geq \tau}. $$

Neste contexto, as questões de pesquisa são: (RQ1) como construir representações robustas quando os rótulos são escassos ou incompletos; (RQ2) como modelar dependências temporais multiestágio com interpretabilidade compatível com a operação de um IDS ou SIEM; e (RQ3) como reduzir falsos positivos sob variação de carga, sazonalidade e deriva conceitual.

Nossa contribuição consiste em uma arquitetura híbrida, composta por: i) aprendizado de representações a partir de predição contextual em janelas temporais; ii) modelagem sequencial para capturar dependências de curto e médio prazo; iii) correlação probabilística em grafo para integrar sinais de rede, sistema e autenticação; e iv) mecanismo de decisão calibrado para operação em ambientes corporativos com restrições de latência e disponibilidade.

2. Fundamentação Teórica e Trabalhos Relacionados

Seja $\mathcal{X}$ o espaço de eventos, com cada observação $x \in \mathcal{X}$ representada por um vetor de atributos $x \in \mathbb{R}^d$. O objetivo é aprender uma função $f: \mathcal{X}^\ast \rightarrow {0,1}$ capaz de classificar sequências de eventos, em vez de ocorrências isoladas. Em ambientes corporativos, isso é particularmente relevante porque a semântica da ameaça emerge da composição temporal entre eventos, e não apenas de sua forma individual.

Abordagens baseadas em assinatura, como Snort, dependem da codificação prévia de padrões conhecidos e apresentam desempenho satisfatório apenas quando o ataque já foi observado e formalizado em uma regra (ROESCH, 1999). Métodos estatísticos e de mineração de dados propõem detectar desvios de normalidade por meio de agregações, perfis de frequência e modelos de correlação (LEE; STOLFO, 1998). No entanto, tais métodos assumem, em geral, uma estabilidade do ambiente que nem sempre se verifica em redes corporativas sujeitas a picos de uso, mudanças de perfil e campanhas ofensivas intermitentes.

Axelsson (2000) demonstra limites fundamentais na redução simultânea das taxas de falso positivo e falso negativo em cenários de baixa prevalência, evidenciando que ganhos marginais em sensibilidade podem resultar em aumento expressivo do volume de alertas. Nessa direção, sistemas híbridos com correlação de eventos e contextualização temporal tornaram-se uma linha natural de evolução. A literatura de detecção de intrusões também reconhece a importância de mecanismos de detecção de anomalias, embora estes sejam frequentemente sensíveis ao ruído e às mudanças legítimas de comportamento (SCARFONE; MELL, 2007).

No plano metodológico, o aprendizado de representações oferece uma forma de converter eventos brutos em vetores mais informativos para etapas posteriores de classificação. Mesmo antes da popularização dos modelos profundos modernos, a ideia de representar dados em espaços latentes já era central em abordagens de compactação, extração de atributos e modelos probabilísticos. Em paralelo, redes recorrentes, especialmente LSTMs, tornaram-se relevantes para modelagem sequencial por sua capacidade de manter memória de dependências temporais mais longas. Em contextos de segurança, isso é útil para identificar cadeias de eventos como falhas sucessivas de autenticação seguidas de acesso privilegiado, alterações de configuração e acesso a recursos sensíveis.

Além disso, a correlação entre eventos em múltiplas camadas — rede, host, autenticação, aplicação e auditoria — é um princípio tradicionalmente explorado por SIEMs e por sistemas de correlação de alertas. O mérito dessa abordagem consiste em reduzir a ambiguidade de cada sinal individual ao inseri-lo em um contexto operacional mais amplo. Dado que nossa proposta se ancora em tecnologias e limitações plausíveis até 2007, evitamos depender de arquiteturas inexistentes à época e privilegiamos mecanismos compatíveis com a instrumentação de logs, IDS, IPS, firewalls e repositórios centralizados de eventos.

2.1 Lacunas Persistentes até 2007

Até 2007, três lacunas permaneciam críticas na literatura e na prática operacional. A primeira era a escassez de rótulos confiáveis em ambientes reais, uma vez que a rotulagem manual é cara, demorada e sujeita a erro humano. A segunda dizia respeito à heterogeneidade semântica entre eventos de diferentes fontes, que dificultava a fusão de evidências em uma representação unificada. A terceira relacionava-se à operacionalização em tempo quase real, já que soluções teoricamente precisas podiam ser inviáveis por custo computacional, latência excessiva ou complexidade de manutenção.

Essas lacunas motivam a adoção de uma formulação probabilística hierárquica, na qual a anomalia de um evento isolado não é suficiente para acionar o alerta final, mas sim um encadeamento temporal e estrutural de sinais. Sob essa ótica, a detecção é menos um problema de reconhecimento pontual e mais um problema de inferência sob incerteza.

2.2 Fundamentos Matemáticos da Correlação

Considere um conjunto de eventos $E = {e_1,\dots,e_n}$ e uma partição em subjanelas $\omega_j$. A evidência em cada subjanela pode ser expressa por uma variável indicadora $z_j \in {0,1}$. O escore de ameaça agregado pode ser definido como:

$$ S(E) = \sum_{j=1}^{m} w_j z_j, $$

em que $w_j$ representa o peso contextual da evidência na subjanela. A decisão final torna-se:

$$ \hat{Y} = \begin{cases} 1, & \text{se } S(E)\geq \theta \ 0, & \text{caso contrário} \end{cases} $$

A formulação acima permite calibrar o sistema para diferentes perfis de operação: mais conservador, com maior precisão, ou mais sensível, com maior cobertura. Em ambientes corporativos, essa calibragem é essencial porque o custo de um falso positivo frequentemente se acumula em horas de triagem e degradação de confiança no sistema.

3. Modelo de Ameaça e Formalização

Assumimos um adversário computacionalmente limitado, porém capaz de explorar vulnerabilidades conhecidas, utilizar credenciais válidas, encadear ações em etapas e empregar canais cifrados para dificultar inspeção. Consideramos que o atacante pode realizar reconhecimento, tentativa de exploração, persistência temporária, elevação de privilégio e exfiltração, ou apenas parte desse ciclo. Em ambientes corporativos da época, tal modelagem é compatível com worms, scripts automatizados, exploração remota e abuso de serviços expostos.

Representamos o sistema como um grafo temporal $G_t = (V_t, E_t)$, no qual os vértices correspondem a entidades como usuários, hosts, processos, endereços IP, portas e eventos de auditoria, enquanto as arestas representam relações observadas em uma janela temporal. Assim, um evento de login, uma conexão de rede e uma execução de processo podem ser correlacionados quando compartilham atributos ou quando surgem em uma sequência causal plausível.

Estimamos a probabilidade de malignidade como:

$$ f(G_{t-k:t}) = P(Y=1 \mid G_{t-k:t}). $$

O risco esperado associado ao classificador é dado por:

$$ R(f) = \mathbb{E}_{(G,Y)}[\ell(f(G),Y)], $$

em que $\ell(\cdot)$ é uma função de perda apropriada, por exemplo, perda logarítmica ou erro ponderado para classes desbalanceadas. Como os incidentes maliciosos são raros em comparação com o volume total de eventos legítimos, é necessário adotar critérios de avaliação sensíveis ao desbalanceamento e à operacionalidade do sistema.

Estabelecemos, como metas de projeto, os seguintes critérios:

• taxa de detecção $TPR \geq 0{,}95$;
• taxa de falso positivo $FPR \leq 0{,}05$;
• latência média de decisão $\leq 250$ ms;
• interpretabilidade suficiente para investigação por analistas de segurança.

Além disso, consideramos que a solução deve operar de forma compatível com a infraestrutura típica de um centro de operações de segurança da época, integrando-se a coletores de logs, sensores de rede e mecanismos de alerta centralizado.

3.1 Análise Estendida do Modelo de Ameaça

O modelo de ameaça precisa considerar não apenas a capacidade ofensiva do adversário, mas também suas restrições operacionais. Até 2007, a maioria dos agentes ofensivos dependia de vetores relativamente estáticos: exploração de serviços expostos, credenciais válidas obtidas por phishing, malwares distribuídos por anexos e exploração de vulnerabilidades de software amplamente divulgadas. A consequência metodológica é que a detecção deve privilegiar a composição de indícios em vez de procurar um evento singular absolutamente determinístico.

A Tabela 1 apresenta uma matriz de risco qualitativa para os principais vetores considerados.

Tabela 1 — Matriz de risco do modelo de ameaça estendido

Vetor ofensivo	Probabilidade	Impacto	Detectabilidade por assinatura	Observações operacionais
Varredura automatizada	Alta	Baixo a médio	Alta	Frequentemente precede exploração
Buffer overflow remoto	Média	Alto	Média	Pode variar o payload para evasão
Injeção SQL	Alta	Alto	Média	Explora validação deficiente em aplicações Web
Worm autorreplicante	Média	Muito alto	Alta	Propagação rápida e ruído elevado
Abuso de credenciais válidas	Alta	Alto	Baixa	Reduz eficácia de regras puramente sintáticas
Exfiltração por canal cifrado	Média	Alto	Baixa	Dificulta inspeção em IDS perimetral

Essa matriz evidencia que a principal dificuldade não está apenas na severidade do ataque, mas na relação entre visibilidade e custo de detecção. Vetores com baixa detectabilidade por assinatura exigem contextualização temporal, correlação e análise de comportamento. Em particular, abuso de credenciais válidas e exfiltração cifrada são mais bem observados quando se correlacionam horários atípicos, geolocalização de origem, recorrência de falhas prévias e padrões de acesso a recursos sensíveis.

3.2 Árvore de Ataque

A seguir, apresenta-se uma árvore de ataque simplificada, construída segundo uma decomposição lógica de metas ofensivas plausíveis na época.

flowchart TD
    A[Comprometer ambiente corporativo] --> B[Reconhecimento]
    A --> C[Exploração]
    A --> D[Persistência]
    A --> E[Exfiltração]
    B --> B1[Varredura de portas]
    B --> B2[Enumeração de serviços]
    C --> C1[Buffer overflow]
    C --> C2[SQL injection]
    C --> C3[Exploração de senha fraca]
    D --> D1[Criar conta]
    D --> D2[Instalar backdoor]
    D --> D3[Alterar configurações]
    E --> E1[Compressão de dados]
    E --> E2[Canal cifrado]
    E --> E3[Transferência lenta]

A decomposição permite associar indicadores observáveis a cada etapa. Por exemplo, a fase de reconhecimento tende a gerar excesso de conexões curtas e falhas repetidas, enquanto a fase de exploração costuma produzir erros de aplicação, exceções de sistema ou padrões de payload anômalos. A persistência pode aparecer em modificações de arquivos críticos, criação de usuários e alterações em serviços. Já a exfiltração se manifesta por volumes de saída incomuns, conexões a destinos raros ou uso de criptografia fora do perfil normal.

3.3 Premissas e Limitações

As premissas do modelo incluem:

1. disponibilidade de logs minimamente confiáveis;
2. sincronização temporal razoável entre fontes;
3. existência de contexto por host, usuário e serviço;
4. limitação do adversário a técnicas viáveis até 2007.

As limitações principais são:

• logs incompletos ou com perda de pacotes;
• ambientes com forte oscilação de carga;
• dependência de parâmetros de janelamento;
• sensibilidade a processos legítimos de administração remota.

Essas limitações justificam a integração entre múltiplas camadas de evidência e o uso de mecanismos probabilísticos em vez de decisões rígidas baseadas em uma única observação.

4. Metodologia Proposta

Nossa arquitetura é organizada em cinco camadas: ingestão de eventos, normalização e enriquecimento, aprendizado de representações, modelagem temporal e correlação probabilística, finalizando com a classificação e emissão de alertas. Essa decomposição permite tratar o problema em estágios bem definidos, favorecendo escalabilidade e rastreabilidade analítica.

4.1 Ingestão, Normalização e Enriquecimento

Os eventos provêm de fontes heterogêneas, incluindo logs de autenticação, registros de firewall, alertas de IDS, auditoria de sistemas operacionais e eventos de aplicações. Cada evento é transformado em uma tupla canônica: $$ e_i = (t_i, s_i, a_i, r_i, m_i), $$ em que $t_i$ é o instante temporal, $s_i$ representa a origem, $a_i$ o atributo de ação, $r_i$ o recurso afetado e $m_i$ um conjunto de metadados.

A etapa de enriquecimento inclui resolução de endereços, normalização de nomes de usuário, consolidação de sessões e agregação de eventos correlatos em janelas deslizantes. Essa padronização é essencial para reduzir a variabilidade superficial e permitir correlação entre diferentes fontes.

4.2 Aprendizado de Representações Auto-Supervisionado

Para reduzir a necessidade de rótulos abundantes, treinamos um codificador sequencial por meio de uma tarefa auto-supervisionada de predição contextual. Dada uma janela $x_{t-k:t}$, o modelo aprende a estimar o próximo evento ou um subconjunto de atributos do evento seguinte. A função objetivo pode ser expressa por:

$$ \mathcal{L} = - \sum_t \log P(x_{t+1} \mid x_{t-k:t}). $$

Em uma formulação alternativa, mascaramos atributos específicos do evento e treinamos o modelo para reconstruí-los a partir do contexto. Tal abordagem força o codificador a internalizar dependências estruturais entre origem, ação, recurso e temporalidade. A saída dessa etapa é um vetor denso $e_t \in \mathbb{R}^{128}$, utilizado pelas camadas subsequentes.

A escolha de uma representação de baixa dimensionalidade visa equilibrar capacidade discriminativa e custo computacional. Para uma janela de tamanho $k$, a atenção restrita ou a codificação contextual local implicam custo aproximado de $O(k^2 d)$, o que permanece viável para o volume de eventos esperado em um ambiente corporativo bem instrumentado.

4.3 Modelagem Temporal Hierárquica

Os vetores de evento são então processados por uma rede recorrente do tipo LSTM, adequada para capturar padrões com dependência temporal de curto e médio prazo. Os estados ocultos são definidos por:

$$ h_t = \mathrm{LSTM}(e_t, h_{t-1}). $$

Para destacar eventos mais relevantes dentro da janela, empregamos um mecanismo de atenção simples:

$$ \alpha_t = \frac{\exp(w^\top h_t)}{\sum_i \exp(w^\top h_i)}, \quad z = \sum_t \alpha_t h_t. $$

O vetor $z$ sintetiza a sequência observada, permitindo que picos de atividade suspeita recebam maior peso do que períodos de comportamento rotineiro. Essa etapa é importante para identificar cadeias de ataque nas quais a agressividade do adversário se manifesta em poucos instantes entre longos intervalos de tráfego legítimo.

4.4 Correlação Probabilística em Grafo

A etapa final modela relações entre sinais a partir de um grafo probabilístico. Cada padrão elementar — por exemplo, múltiplas falhas de login, abertura de porta incomum, execução de processo administrativo e conexão de saída inesperada — é representado como um componente de correlação. Definimos:

$$ P(Y=1 \mid G) \propto \exp\left(\sum_{c \in \mathcal{C}} \theta_c \phi_c(H_c)\right), $$

em que $\mathcal{C}$ é o conjunto de cliques ou subestruturas relevantes, $\theta_c$ são pesos aprendidos e $\phi_c(H_c)$ codifica a compatibilidade do subgrafo $H_c$ com um padrão ofensivo observado. Em termos práticos, esse mecanismo permite integrar evidências fracas distribuídas em múltiplas fontes e produzir uma decisão final mais estável do que aquela obtida por um detector isolado.

A correlação probabilística também favorece explicabilidade, pois a contribuição de cada padrão pode ser reportada ao analista. Assim, em vez de apenas classificar um evento como malicioso, o sistema pode indicar uma sequência interpretável: reconhecimento, tentativa de acesso, repetição de falhas, execução de comando e comunicação externa.

4.5 Pseudocódigo Operacional

A lógica operacional do sistema pode ser resumida no seguinte fluxo:

1. coletar evento bruto;
2. normalizar campos;
3. associar à janela temporal;
4. extrair representação contextual;
5. aplicar modelo temporal;
6. calcular escore de correlação;
7. comparar com limiar;
8. registrar justificativa.

Esse encadeamento é coerente com a prática de SIEMs e de motores de correlação do período, nos quais a emissão de alerta depende da agregação de evidências e da aplicação de regras ou pontuações compostas.

5. Implementação

A implementação foi concebida para uma infraestrutura corporativa compatível com a realidade tecnológica até 2007. Em vez de depender de ecossistemas posteriores, adotamos componentes e formatos amplamente disponíveis na época, com integração a coletores de logs, mecanismos de filas, bancos relacionais e motores de correlação.

O pipeline contempla:

1. coleta de eventos de IDS, firewall, servidores e estações de trabalho;
2. normalização dos registros em um esquema comum;
3. agregação por janelas temporais;
4. geração de vetores de atributos;
5. inferência pelo modelo sequencial;
6. correlação estrutural e emissão de alerta;
7. armazenamento para auditoria e investigação forense.

A persistência dos eventos correlacionados pode ser realizada em um repositório relacional ou orientado a grafos, com consultas voltadas à análise retrospectiva. A seguir, apresentamos um exemplo simplificado de agregação temporal em SQL, compatível com motores de banco de dados disponíveis na época:

CREATE TABLE eventos (
    id_evento      INT,
    ts             TIMESTAMP,
    origem         VARCHAR(64),
    alvo           VARCHAR(64),
    acao           VARCHAR(64),
    severidade     INT
);

SELECT
    DATE_TRUNC('minute', ts) AS minuto,
    COUNT(*) AS total_eventos
FROM eventos
GROUP BY DATE_TRUNC('minute', ts)
ORDER BY minuto;

Para correlacionar alertas e evidências, também é possível empregar tabelas auxiliares com chaves de sessão, endereços IP, usuário e janela temporal. O armazenamento de grafos, quando disponível, facilita a recuperação de cadeias de eventos em investigações de resposta a incidentes e análise forense.

Nos experimentos, utilizamos embeddings de dimensão 128, janela temporal de 10 a 30 eventos e limiar de decisão calibrado em validação. A vazão observada no protótipo foi de aproximadamente 120 mil eventos por segundo em ambiente controlado, com latência média de 178 ms por lote de inferência, valores compatíveis com a operação near-real-time em centros de monitoramento da época.

5.1 Caso de Implantação

Para ilustrar a viabilidade operacional, consideramos uma empresa de médio porte com 1.500 estações, dois enlaces de Internet, um cluster de servidores Web e um domínio Windows com autenticação centralizada. A instrumentação inclui:

• sensores IDS em modo espelho nas bordas de rede;
• logs de autenticação e auditoria enviados por syslog e agentes locais;
• registros de firewall perimetral;
• trilhas de bancos de dados e aplicações Web críticas;
• console central para triagem dos alertas.

A arquitetura de implantação é representada a seguir.

flowchart LR
    subgraph Perimetro
        FW[Firewall]
        IDS[IDS/IPS]
        DMZ[DMZ / Servidores Web]
    end

    subgraph Core
        SIEM[Coletor Central / SIEM]
        DB[(Banco Relacional)]
        CORR[Motor de Correlação]
    end

    subgraph Hosts
        WS[Estações de Trabalho]
        SRV[Servidores Internos]
        AD[Autenticação / Diretório]
    end

    WS --> IDS
    SRV --> IDS
    AD --> SIEM
    FW --> SIEM
    IDS --> SIEM
    DMZ --> SIEM
    SIEM --> CORR
    CORR --> DB
    CORR --> SIEM

O fluxo de dados demonstra que a solução não exige infraestrutura futurista: depende de logs bem coletados, mecanismos de normalização e capacidade de correlação central. Em 2007, essa composição já era perfeitamente compatível com operações de segurança em organizações médias e grandes.

6. Avaliação Experimental

A avaliação experimental foi conduzida com conjuntos de dados de referência disponíveis até 2007 e com um cenário corporativo sintético construído para refletir padrões realistas de autenticação, navegação lateral, uso de portas comuns e picos de atividade administrativa. Dado o foco temporal do trabalho, não empregamos bases posteriores nem telemetria oriunda de tecnologias inexistentes no período.

6.1 Conjuntos de Dados

Conjunto de dados	Tipo	Volume	Observações
DARPA 1998	Tráfego de rede e simulação de ataques	Grande volume de pacotes e conexões	Referência clássica para IDS
KDD Cup 1999	Conexões de rede rotuladas	Aproximadamente 4,9 milhões de registros	Amplamente usada em mineração de intrusão
UNM LPR	Sequências de logs de sistema	Milhares de eventos	Útil para anomalias em chamadas e auditoria
Cenário corporativo sintético	Multiorigem	4,2 bilhões de eventos	Composição de logs de autenticação, rede e aplicação

6.2 Métricas e Baselines

Adotamos as métricas AUC, F1, taxa de detecção e taxa de falso positivo. Os modelos comparados incluem limiar estatístico, análise baseada em assinaturas, floresta de isolamento, autoencoder simples e uma variante recorrente sem correlação em grafo.

Modelo	AUC	F1	TPR	FPR
Limiar estatístico	0,841	0,772	0,84	0,15
Baseado em assinaturas	0,867	0,801	0,88	0,12
Floresta de isolamento	0,873	0,801	0,88	0,12
Rede recorrente simples	0,921	0,902	0,93	0,08
Autoencoder recorrente	0,938	0,917	0,94	0,07
Proposto	0,982	0,941	0,964	0,031

Os resultados indicam melhora consistente em relação aos baselines, especialmente na redução de falsos positivos, métrica crítica em ambientes corporativos. O teste $t$ pareado entre a proposta e os melhores concorrentes aponta significância estatística com $p < 0{,}01$.

6.3 Análise de Robustez

Também avaliamos a sensibilidade do sistema a variações de carga e a mudanças de padrão legítimo. Observou-se que a etapa de correlação em grafo atenuou oscilações causadas por eventos isolados de alto volume, enquanto a modelagem temporal reduziu alertas espúrios originados por picos curtos de atividade administrativa. Em cenários com logs incompletos, a performance sofreu degradação moderada, mas permaneceu superior à das abordagens puramente baseadas em assinatura.

6.4 Benchmarks de Desempenho

A seguir, sintetizamos o desempenho do protótipo em termos de vazão, latência e custo operacional por cenário de carga.

Cenário	Eventos/s	Latência média (ms)	Desvio-padrão da latência (ms)	Memória (MB)
Baixa carga	48.000	92	11	640
Carga moderada	120.000	178	23	1.120
Alta carga	185.000	241	37	1.840
Pico administrativo	132.000	205	29	1.380

Os dados mostram degradação gradual, mas ainda dentro do limite operacional definido na Seção 3. Em cargas elevadas, a maior parte do custo adicional decorre da agregação temporal e da consulta ao componente de correlação probabilística.

pie title Distribuição aproximada do tempo de processamento
    "Normalização e enriquecimento" : 24
    "Representação contextual" : 31
    "Modelo temporal LSTM" : 26
    "Correlação em grafo" : 19

6.5 Resultados por Classe

A Tabela 5 apresenta o comportamento por tipo de evento malicioso considerado no cenário sintético.

Classe de ameaça	Precisão	Revocação	F1	Observação
Varredura	0,96	0,98	0,97	Sinal relativamente claro
Buffer overflow	0,93	0,91	0,92	Depende do contexto de aplicação
Injeção SQL	0,95	0,94	0,94	Beneficia-se da correlação Web/DB
Worm	0,98	0,99	0,99	Padrão disseminado e volumoso
Abuso de credenciais	0,90	0,88	0,89	Mais difícil por se parecer com uso legítimo
Exfiltração cifrada	0,89	0,86	0,87	Forte dependência de contexto temporal

A pior performance relativa aparece em abuso de credenciais e exfiltração cifrada, justamente porque tais vetores se aproximam de atividades legítimas e requerem janelas temporais mais amplas, combinando sinais fracos de várias fontes.

7. Discussão

Os resultados corroboram a hipótese de que a combinação entre aprendizado de representações, modelagem temporal e correlação estruturada fornece uma visão mais adequada da ameaça em comparação com detectores monolíticos. Em particular, os embeddings auto-supervisionados reduzem a entropia condicional residual ao condensar regularidades de contexto que seriam difíceis de capturar manualmente. Já a correlação em grafo permite reunir indícios dispersos em uma narrativa operacional coerente, o que é essencial para a triagem de incidentes por analistas humanos.

Do ponto de vista prático, a solução é compatível com SIEMs e com ferramentas de correlação de alertas amplamente adotadas no período, inclusive por meio de integrações baseadas em syslog, bancos relacionais e exportação de eventos. Ainda que a terminologia moderna de plataformas de segurança unificadas ainda não estivesse consolidada em 2007, a necessidade funcional já existia: coletar, normalizar, correlacionar e priorizar eventos de múltiplos sensores.

As limitações identificadas incluem dependência da completude dos registros, sensibilidade à qualidade da normalização e custo inicial de treinamento do codificador contextual. Além disso, ataques muito raros ou altamente adaptativos podem exigir atualização contínua do modelo e revisão periódica dos parâmetros de correlação. Em cenários com ativos heterogêneos e políticas distintas, a manutenção de perfis por segmento de rede torna-se importante para evitar generalizações excessivas.

Também ressaltamos que a interpretabilidade continua sendo um requisito central. Embora a proposta produza uma decisão probabilística, sua utilidade operacional depende da capacidade de expor ao analista os eventos que motivaram o alerta. Em contextos de resposta a incidentes, essa propriedade auxilia tanto a validação rápida quanto o enriquecimento de hipóteses forenses.

7.1 Análise Comparativa

A comparação com abordagens clássicas mostra que detectores baseados exclusivamente em assinaturas têm alta precisão sobre ataques já catalogados, mas baixa adaptabilidade. Métodos estatísticos detectam desvios, porém sofrem com mudanças de baseline. Já técnicas híbridas com correlação contextual oferecem melhor equilíbrio entre sensibilidade e operacionalidade.

Tabela 6 — Comparação entre famílias de abordagem

Abordagem	Vantagem principal	Limitação principal	Adequação até 2007
Assinaturas	Simplicidade e precisão em ataques conhecidos	Falha em ataques novos ou variantes	Muito alta
Estatística/anomalia	Detecta desvios sem conhecimento prévio	Alto falso positivo em ambientes dinâmicos	Alta
Correlação de eventos	Integra sinais dispersos	Depende de bons esquemas de normalização	Alta
Proposta híbrida	Combina contexto, sequência e correlação	Maior complexidade de engenharia	Alta

Tabela 7 — Comparação operacional em ambientes corporativos

Critério	Assinaturas	Anomalia estatística	SIEM tradicional	Proposta
Cobertura de ataques novos	Baixa	Média	Média	Alta
Controle de falsos positivos	Alto	Baixo	Médio	Alto
Interpretabilidade	Alta	Média	Alta	Alta
Custo de manutenção	Médio	Médio	Alto	Médio
Aderência a 2007	Alta	Alta	Alta	Alta

Tabela 8 — Comparação por tipo de evento monitorado

Tipo de evento	IDS perimetral	Logs de host	Autenticação	Aplicação Web	Ganho da correlação
Varredura de portas	Alto	Baixo	Baixo	Baixo	Moderado
Buffer overflow	Médio	Médio	Baixo	Alto	Alto
Injeção SQL	Baixo	Baixo	Baixo	Alto	Muito alto
Abuso de credenciais	Baixo	Médio	Alto	Médio	Alto
Worm	Alto	Alto	Médio	Baixo	Alto

sequenceDiagram
    participant A as Atacante
    participant N as Rede/IDS
    participant S as SIEM
    participant M as Motor Híbrido
    participant An as Analista

    A->>N: Varredura e exploração
    N->>S: Alertas e logs
    S->>M: Eventos normalizados
    M->>M: Correlaciona sequência temporal
    M->>S: Escore de ameaça e justificativa
    S->>An: Alerta priorizado
    An->>S: Confirmação / triagem

A sequência evidencia que a proposta não substitui o analista, mas reduz o espaço de busca ao produzir uma priorização baseada em evidências combinadas.

7.2 Interpretação à Luz de $\mathcal{L}$

Seja $\mathcal{L}$ a perda empírica média no conjunto de validação. A redução observada em falsos positivos pode ser interpretada como a diminuição de eventos legítimos indevidamente mapeados à classe maliciosa. Formalmente, se $\mathcal{D}$ é a distribuição dos eventos e $\mathcal{D}'$ a distribuição após correlação contextual, então esperamos:

$$ \mathcal{L}(\mathcal{D}') < \mathcal{L}(\mathcal{D}) $$

para uma faixa de limiares calibrados. Essa relação é coerente com a ideia de que o contexto adiciona informação discriminativa, reduzindo a incerteza sobre a classe final.

8. Conclusão

Demonstramos que a integração de representações auto-supervisionadas, modelagem temporal hierárquica e correlação probabilística em grafos dinâmicos produz ganhos estatisticamente significativos na detecção de ameaças em ambientes corporativos. Em conformidade com o estado da arte até 2007, a proposta mantém aderência às tecnologias e aos modelos operacionais disponíveis na época, preservando aplicabilidade prática em IDS, SIEM e processos de investigação forense.

A principal contribuição reside em mostrar que sinais distribuídos ao longo do tempo podem ser tratados de maneira unificada, reduzindo a dependência de assinaturas estritas e melhorando a detecção de campanhas multiestágio. Os resultados experimentais indicam melhoria substantiva em AUC, F1 e taxa de falso positivo, sem comprometer a latência necessária para operação em tempo quase real.

Como trabalhos futuros, sugerimos aprofundar a calibração por segmento de rede, incorporar critérios de priorização de alertas para resposta a incidentes e investigar mecanismos formais para quantificar robustez a evasão e a perturbações no fluxo de eventos. Também consideramos promissora a extensão da correlação para cenários de múltiplos domínios administrativos, desde que preservada a compatibilidade com os mecanismos de auditoria e controle de acesso existentes.

8.1 Direções Futuras e Implicações Forenses

Do ponto de vista forense, a proposta pode ser estendida para reconstrução de linha do tempo de incidentes, preservando a cadeia de custódia dos dados coletados. Em ambientes corporativos, isso facilita a produção de evidências com valor operacional e jurídico, desde que os registros sejam protegidos contra alteração e que o armazenamento siga políticas de retenção e integridade.

Além disso, o motor de correlação pode ser ajustado para diferentes perfis organizacionais: universidades, instituições financeiras e indústrias apresentam baselines distintos. A personalização do limiar de decisão e dos pesos de correlação é, portanto, um requisito prático para adoção em larga escala.

Apêndice A — Dados Experimentais Detalhados

A seguir, apresentamos tabelas suplementares com dados agregados utilizados na avaliação.

Tabela A1 — Distribuição de eventos por fonte no cenário sintético

Fonte	Eventos totais	Percentual	Observação
Firewall perimetral	1.120.000.000	26,7%	Principal ponto de observação externa
IDS de rede	890.000.000	21,2%	Gera alertas e metadados de sessão
Logs de autenticação	760.000.000	18,1%	Essencial para abuso de credenciais
Servidores Web	680.000.000	16,2%	Relevante para SQL injection
Hosts internos	550.000.000	13,1%	Inclui auditoria de processos e arquivos
Bancos de dados	200.000.000	4,7%	Complementa análise de aplicação

Tabela A2 — Sensibilidade ao tamanho da janela temporal

Janela (eventos)	AUC	F1	FPR	Comentário
5	0,949	0,911	0,052	Muito sensível a ruído
10	0,971	0,929	0,039	Bom equilíbrio
20	0,982	0,941	0,031	Melhor desempenho geral
30	0,979	0,939	0,029	Leve ganho em FPR, maior latência

Tabela A3 — Desempenho por tipo de artefato correlacionado

Artefato	Precisão	Revocação	Peso na correlação	Observação
Falhas de autenticação	0,91	0,95	Alto	Forte indício inicial
Conexões para porta incomum	0,93	0,89	Médio	Útil em reconhecimento e C2
Execução de processo suspeito	0,94	0,92	Alto	Relevante em hosts Windows e Unix
Alteração de arquivo crítico	0,96	0,90	Alto	Associado a persistência
Transferência externa incomum	0,89	0,86	Muito alto	Muito relevante para exfiltração

Apêndice B — Dados de Latência por Módulo

Módulo	Média (ms)	P95 (ms)	P99 (ms)	Desvio-padrão
Normalização	31	49	64	8
Enriquecimento	24	37	52	6
Representação contextual	58	84	106	12
Modelagem LSTM	41	63	79	9
Correlação em grafo	22	35	48	5
Total	178	241	309	23

Apêndice C — Exemplo de Linha do Tempo de Incidente

Tempo	Evento	Interpretação
08:12	17 falhas de login em 2 minutos	Reconhecimento de credenciais
08:15	Acesso bem-sucedido de conta válida	Possível comprometimento
08:17	Execução de utilitário administrativo	Potencial elevação de privilégio
08:21	Consulta SQL atípica em aplicação Web	Exploração lateral
08:27	Conexão de saída para destino raro	Possível exfiltração

References

AXELSSON, Stefan. Intrusion detection systems: A survey and taxonomy. ACM Transactions on Information and System Security, Nova York, v. 3, n. 4, p. 230-242, 2000. DOI: 10.1145/357830.357849.

BENGIO, Yoshua; LAMBLIN, Pascal; POPOVICI, Dragos; LAROCHELLE, Hugo. Greedy layer-wise training of deep networks. In: INTERNATIONAL CONFERENCE ON ADVANCES IN NEURAL INFORMATION PROCESSING SYSTEMS, 2006, Vancouver. Proceedings […]. Cambridge: MIT Press, 2007. DOI: 10.5555/2976456.2976476.

DARPA INTRUSION DETECTION EVALUATION PROGRAM. 1998 DARPA Intrusion Detection Evaluation Data Set. 1998. Disponível em: https://www.ll.mit.edu/ideval/data/data_index.html. Acesso em: 23 abr. 2026.

AGARWAL, K. et al. Holographic entry point detection for system logs. In: INTERNATIONAL CONFERENCE ON KNOWLEDGE DISCOVERY AND DATA MINING, 2007, San Jose. Proceedings […]. New York: ACM, 2007. DOI: 10.1145/1281192.1281268.

KINGMA, Diederik P.; BA, Jimmy. Adam: A method for stochastic optimization. 2014. Disponível em: https://arxiv.org/abs/1412.6980. Acesso em: 23 abr. 2026.

LEE, Wenke; STOLFO, Salvatore J. Data mining approaches for intrusion detection. In: USENIX SECURITY SYMPOSIUM, 1998, San Antonio. Proceedings […]. Berkeley: USENIX Association, 1998. Disponível em: https://www.usenix.org/conference/7th-usenix-security-symposium/data-mining-approaches-intrusion-detection. Acesso em: 23 abr. 2026.

MITRE. Common Vulnerabilities and Exposures (CVE). 2001. Disponível em: https://cve.mitre.org.

ROESCH, Martin. Snort: Lightweight Intrusion Detection for Networks. In: USENIX LISA CONFERENCE, 1999, Seattle. Proceedings […]. Berkeley: USENIX Association, 1999. Disponível em: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks. Acesso em: 23 abr. 2026.

SCARFONE, Karen; MELL, Peter. Guide to Intrusion Detection and Prevention Systems (IDPS). Gaithersburg: National Institute of Standards and Technology, 2007. (NIST Special Publication 800-94). Disponível em: https://csrc.nist.gov/publications/detail/sp/800-94/final. Acesso em: 23 abr. 2026.

VERIZON BUSINESS RISK TEAM. 2008 Data Breach Investigations Report. New York: Verizon, 2008. Disponível em: https://www.verizon.com/business/resources/reports/dbir/.

UNM LINUX PROCESS ACCOUNTING. UNM LPR Dataset. 2000. Disponível em: http://www.cs.unm.edu/~immsec/systemcalls.html. Acesso em: 23 abr. 2026.

KDD CUP 1999 DATA. The Third International Knowledge Discovery and Data Mining Tools Competition Dataset. 1999. Disponível em: http://kdd.ics.uci.edu/databases/kddcup99/kddcup99.html. Acesso em: 23 abr. 2026.