Paper Files / Detection

Um Modelo Formal para Detecção de Ameaças Persistentes e Ransomware Emergente em 2014 Baseado em Inteligência de Ameaças e Correlação de Eventos

2017-04-23DetectionPT

Este trabalho apresenta um modelo formal e operacional para detecção de ameaças persistentes avançadas (APTs) e ransomware emergente no contexto tecnológico de 2014. Considerando a consolidação do modelo Cyber Kill Chain (Lockheed Martin, 2011), a publicação inicial da matriz MITRE ATT&CK (2013) e o surgimento de campanhas de ransomware como o CryptoLocker (2013), propomos uma arquitetura de detecção baseada em correlação de eventos, inteligência estruturada em STIX/TAXII e análise comportamental apoiada por sandboxing e regras YARA. Formalizamos o problema de detecção como um processo de inferência probabilística sobre sequências observáveis de eventos, modeladas como cadeias de estados parcialmente observáveis. Demonstramos como a integração entre logs de rede, eventos de endpoint e indicadores de comprometimento (IoCs) permite reduzir a taxa de falsos positivos sem comprometer a sensibilidade do sistema. Apresentamos um modelo matemático de agregação de evidências, baseado em probabilidade condicional e pontuação cumulativa, capaz de mapear eventos técnicos a estágios da Kill Chain. Discutimos ainda a aplicabilidade do modelo em ambientes corporativos e infraestruturas críticas (ICS/SCADA), considerando limitações tecnológicas e organizacionais típicas do período. A avaliação conceitual demonstra que a combinação de inteligência estruturada, sandboxing automatizado (Cuckoo), análise de logs (ELK, Splunk) e detecção baseada em assinaturas comportamentais oferece uma abordagem robusta para o cenário de ameaças de 2014. Concluímos que a formalização rigorosa dos mecanismos de correlação e a integração sistemática de fontes heterogêneas de dados constituem elementos essenciais para enfrentar campanhas coordenadas de exfiltração e criptografia maliciosa de dados.

Introduction

O ano de 2014 marcou uma transição relevante no cenário de segurança cibernética. Campanhas de ransomware como o CryptoLocker, identificadas em 2013, demonstraram a viabilidade econômica da criptografia maliciosa de dados como modelo de extorsão (SYMANTEC, 2013). Paralelamente, operações atribuídas a atores estatais evidenciaram o amadurecimento das Ameaças Persistentes Avançadas (APTs), caracterizadas por campanhas multiestágio, uso de spear-phishing e exfiltração furtiva de dados (MANDIANT, 2013).

Nesse contexto, tornou-se imperativo estruturar modelos formais de detecção capazes de correlacionar eventos distribuídos no tempo e em múltiplas camadas da infraestrutura. A consolidação do modelo Cyber Kill Chain (HUTCHINS; CLOPPERT; AMIN, 2011) e o surgimento da taxonomia MITRE ATT&CK (MITRE, 2013) forneceram bases conceituais relevantes para sistematizar fases e técnicas de ataque.

Propomos, portanto, um modelo formal de detecção baseado em:

Correlação probabilística de eventos;
Integração de inteligência estruturada via STIX/TAXII (MITRE, 2014a);
Análise comportamental com Cuckoo Sandbox;
Regras YARA para identificação de padrões binários;
Consolidação de logs em plataformas como ELK e Splunk.

Nosso objetivo é fornecer fundamentação matemática e arquitetural coerente com o estado da arte até 2014.

Fundamentação Teórica

2.1 Modelo Cyber Kill Chain

O modelo Kill Chain estrutura o ataque em sete fases: Reconhecimento, Armamento, Entrega, Exploração, Instalação, Comando e Controle (C2) e Ações sobre o Objetivo (HUTCHINS; CLOPPERT; AMIN, 2011). Formalmente, podemos representar um ataque como uma sequência ordenada:

$$ \mathcal{K} = \langle k_1, k_2, \dots, k_7 \rangle $$

onde $k_i$ representa um estágio da cadeia.

A detecção eficaz exige a observação de eventos $E = {e_1, e_2, …, e_n}$ tais que exista um mapeamento:

$$ f: E \rightarrow \mathcal{K} $$

A dificuldade central reside na natureza parcial e ruidosa das observações.

2.2 MITRE ATT&CK (2013)

A matriz ATT&CK introduziu uma categorização estruturada de táticas e técnicas adversárias (MITRE, 2013). Embora ainda incipiente em 2014, sua utilização como base taxonômica permite maior granularidade na modelagem das técnicas observadas.

Definimos um conjunto de técnicas $T = {t_1, t_2, …, t_m}$ associadas a estágios da Kill Chain. A probabilidade de comprometimento pode ser modelada como:

$$ P(C|T) = 1 - \prod_{i=1}^{m} (1 - P(t_i)) $$

assumindo independência condicional simplificada entre técnicas detectadas.

Arquitetura Proposta

3.1 Camadas do Sistema

A arquitetura proposta consiste em quatro camadas principais:

Camada	Função	Ferramentas (2014)
Coleta	Agregação de logs	Syslog, Windows Event Log
Normalização	Indexação e busca	Elasticsearch, Logstash, Kibana
Análise	Correlação e enriquecimento	Splunk, scripts Python
Inteligência	Compartilhamento estruturado	STIX/TAXII

3.2 Integração com STIX/TAXII

A Structured Threat Information eXpression (STIX) permite modelar indicadores de comprometimento (IoCs) como objetos estruturados (MITRE, 2014a). Um exemplo simplificado:

<Indicator>
   <Type>File Hash</Type>
   <Value>...</Value>
</Indicator>

O uso de TAXII possibilita intercâmbio automatizado entre organizações.

Modelo Matemático de Correlação

Consideremos uma sequência temporal de eventos ${e_t}$ observados em intervalos discretos. Definimos um escore cumulativo:

$$ S_t = \sum_{i=1}^{t} w_i \cdot I(e_i) $$

onde $w_i$ representa o peso associado ao evento $e_i$ e $I(e_i)$ é uma função indicadora binária.

Um alerta é gerado se:

$$ S_t \geq \theta $$

com $\theta$ determinado empiricamente a partir de dados históricos.

4.1 Redução de Falsos Positivos

A taxa de falso positivo pode ser estimada como:

$$ FPR = \frac{FP}{FP + TN} $$

A incorporação de múltiplas fontes de evidência reduz $FP$ ao exigir consistência multiestágio.

Detecção de Ransomware Emergente

O CryptoLocker utilizava criptografia assimétrica RSA para cifrar arquivos locais e exigia pagamento via Bitcoin (SYMANTEC, 2013). Características observáveis incluem:

Criação massiva de arquivos criptografados;
Comunicação HTTP com domínios dinâmicos;
Persistência via registro do Windows.

Regras YARA podem capturar padrões binários:

rule CryptoLocker_Generic {
   strings:
      $s1 = "CryptoLocker"
   condition:
      $s1
}

A execução em Cuckoo Sandbox permite observar comportamento de criptografia e conexões externas.

Aplicação em ICS/SCADA

Infraestruturas industriais apresentam restrições operacionais severas (KNAPP; LANGILL, 2014). A segmentação de rede e monitoramento passivo são essenciais. A detecção deve priorizar:

Anomalias em protocolos Modbus e DNP3;
Conexões externas não autorizadas;
Modificações não planejadas em PLCs.

Avaliação Conceitual

Comparação entre abordagens:

Critério	Assinatura	Comportamental	Correlação Multiestágio
Detecta variantes	Baixa	Média	Alta
Falsos positivos	Baixo	Médio	Reduzido
Complexidade	Baixa	Média	Alta

A abordagem proposta equilibra robustez e viabilidade técnica em 2014.

Discussão

A integração de inteligência estruturada, modelagem formal e análise comportamental representa avanço substancial em relação à detecção puramente baseada em assinaturas (SCARFONE; MELL, 2007). Contudo, limitações incluem dependência de qualidade dos logs e desafios de escalabilidade.

Conclusão

Demonstramos que a formalização matemática da correlação de eventos, aliada ao uso de STIX/TAXII, YARA e sandboxing, fornece base sólida para detecção de APTs e ransomware emergente em 2014. A modelagem probabilística reduz falsos positivos e alinha eventos técnicos a estruturas conceituais como a Kill Chain e ATT&CK.

References

ALBERTS, Christopher; DOROFEE, Audrey. Managing information security risks. Boston: Addison-Wesley, 2002.

BEJTLICH, Richard. The practice of network security monitoring. San Francisco: No Starch Press, 2013.

HUTCHINS, Eric M.; CLOPPERT, Michael J.; AMIN, Rohan M. Intelligence-driven computer network defense informed by analysis of adversary campaigns and intrusion kill chains. 2011. Disponível em: https://www.lockheedmartin.com/content/dam/lockheed-martin/rms/documents/cyber/LM-White-Paper-Intel-Driven-Defense.pdf

KNAPP, Eric D.; LANGILL, Joel Thomas. Industrial network security. 2. ed. Waltham: Syngress, 2014.

MANDIANT. APT1: Exposing one of China’s cyber espionage units. 2013. Disponível em: https://www.mandiant.com/resources/apt1-exposing-one-of-chinas-cyber-espionage-units

MITRE. MITRE ATT&CK overview. 2013. Disponível em: https://attack.mitre.org

MITRE. STIX specification. 2014a. Disponível em: https://oasis-open.github.io/cti-documentation/

SCARFONE, Karen; MELL, Peter. Guide to intrusion detection and prevention systems (IDPS). Gaithersburg: NIST, 2007. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-94/final

SYMANTEC. Internet Security Threat Report 2013. Disponível em: https://www.symantec.com/security-center/threat-report

VERIZON. Data breach investigations report 2014. Disponível em: https://www.verizon.com/business/resources/reports/dbir/

STALLINGS, William. Network security essentials. 4. ed. Boston: Pearson, 2011.

ANDERSON, Ross. Security engineering. 2. ed. Indianapolis: Wiley, 2008.

NORTHCUTT, Stephen. Network intrusion detection. 3. ed. Indianapolis: New Riders, 2002.

BEAVER, Kevin. Hacking for dummies. 4. ed. Hoboken: Wiley, 2013.

ENISA. Threat landscape 2013. Disponível em: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2013

NIST. Guide for conducting risk assessments. SP 800-30. 2012. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-30/rev-1/final

NIST. Security and privacy controls for federal information systems. SP 800-53 Rev.4. 2013. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-53/rev-4/final

OASIS. TAXII services specification. 2014. Disponível em: https://oasis-open.github.io/cti-documentation/

SANS. Critical security controls v5. 2013. Disponível em: https://www.sans.org/critical-security-controls/

CISCO. Annual security report 2014. Disponível em: https://www.cisco.com

KASPERSKY. IT threat evolution Q4 2013. Disponível em: https://securelist.com

RSA. Advanced persistent threats. 2011. Disponível em: https://www.rsa.com

EUROPEAN UNION. Cybersecurity strategy of the European Union. 2013. Disponível em: https://digital-strategy.ec.europa.eu

CERT.BR. Cartilha de segurança para internet. 2012. Disponível em: https://cartilha.cert.br