Paper Files / Research
Metodologia Operacional para Pesquisa Empírica em Detecção de Intrusões em Ambientes Cloud-Native: Integração de Telemetria, MITRE ATT&CK e Análise Comportamental (2019)
A rápida adoção de arquiteturas cloud-native, containers e orquestração baseada em Kubernetes introduziu novas superfícies de ataque que desafiam métodos tradicionais de pesquisa em segurança. Enquanto grande parte da literatura até 2018 focou em detecção baseada em assinatura ou análise isolada de logs, operações reais de defesa cibernética exigem metodologias empíricas capazes de integrar múltiplas fontes de telemetria, correlacionar comportamentos adversários e avaliar técnicas defensivas em ambientes distribuídos. Este trabalho apresenta uma metodologia operacional para pesquisa aplicada em detecção de intrusões em ambientes cloud-native, alinhando coleta de telemetria de runtime, modelagem de ameaças baseada no framework MITRE ATT&CK e análise comportamental estatística. A proposta é orientada por práticas observadas em operações de red teaming e threat hunting conduzidas entre 2017 e 2019 em infraestruturas híbridas que utilizam Kubernetes, Docker e workloads em nuvem pública. O estudo formaliza um modelo de ameaça adaptado a ambientes containerizados, define métricas quantitativas para detecção de atividades maliciosas e descreve uma arquitetura experimental baseada em ferramentas amplamente utilizadas até 2019, incluindo Falco, Zeek, Suricata, Elastic Stack e Terraform. A metodologia é validada por meio de experimentos controlados envolvendo simulação de técnicas adversárias documentadas no MITRE ATT&CK, como execução remota de comandos, movimento lateral e persistência via containers comprometidos. Os resultados demonstram que a correlação de eventos de runtime com telemetria de rede reduz significativamente a taxa de falsos positivos em comparação com abordagens baseadas apenas em logs de sistema. Além disso, a aplicação de modelos probabilísticos para pontuação de eventos permite priorização mais eficiente de alertas em ambientes de alta escala. Um estudo de caso envolvendo a exploração de um cluster Kubernetes mal configurado ilustra a aplicação prática da metodologia em um cenário realista de intrusão envolvendo mineração de criptomoeda e movimentação lateral. Este trabalho contribui com um arcabouço replicável para pesquisa aplicada em segurança operacional, permitindo que pesquisadores e equipes de defesa avaliem técnicas de detecção em ambientes cloud-native de forma sistemática e baseada em evidências.
- Introduction
Entre 2016 e 2019, a adoção de arquiteturas baseadas em containers e microserviços transformou profundamente a forma como aplicações são desenvolvidas e implantadas. Plataformas como Docker e Kubernetes tornaram-se componentes fundamentais de infraestruturas modernas, permitindo escalabilidade dinâmica e automação operacional. Contudo, essa transformação também introduziu novas superfícies de ataque e desafios significativos para pesquisa em segurança ofensiva e defensiva.
Historicamente, pesquisas em detecção de intrusão concentraram-se em sistemas monolíticos ou redes corporativas relativamente estáticas. Sistemas IDS tradicionais como Snort ou Suricata foram projetados para ambientes em que hosts são relativamente persistentes e padrões de tráfego são previsíveis (ROESCH, 1999). Em ambientes cloud-native, entretanto, containers podem ser criados e destruídos em segundos, endereços IP mudam dinamicamente e workloads são distribuídos entre múltiplos nós.
Esse dinamismo altera profundamente os pressupostos fundamentais de pesquisa em detecção de ameaças. Métodos baseados exclusivamente em logs de host frequentemente falham em capturar atividade lateral entre containers, enquanto análises puramente baseadas em rede não conseguem observar comportamentos internos de runtime. Como resultado, pesquisadores e equipes de segurança passaram a explorar abordagens híbridas que combinam telemetria de kernel, observabilidade de containers e análise de rede.
Ao mesmo tempo, o framework MITRE ATT&CK emergiu como um padrão de fato para modelagem de comportamento adversário (STROM et al., 2018). Diferentemente de taxonomias tradicionais de malware, o ATT&CK descreve táticas e técnicas utilizadas por atacantes reais, permitindo mapear eventos observados em sistemas para comportamentos adversários conhecidos. Em 2019, ATT&CK já era amplamente utilizado em operações de threat hunting e red teaming.
Apesar desse avanço conceitual, existe ainda uma lacuna metodológica significativa na literatura acadêmica: poucos trabalhos descrevem de forma sistemática como conduzir pesquisa empírica operacional em ambientes cloud-native. Muitas avaliações utilizam datasets artificiais ou ambientes laboratoriais simplificados que não refletem a complexidade operacional encontrada em infraestruturas reais.
Este trabalho aborda essa lacuna propondo uma metodologia de pesquisa aplicada que integra três componentes fundamentais:
- coleta de telemetria multi-camada (kernel, container e rede)
- modelagem de comportamento adversário baseada em MITRE ATT&CK
- análise probabilística de eventos para priorização de alertas
A abordagem foi projetada especificamente para refletir condições operacionais observadas em infraestruturas de produção entre 2017 e 2019, incluindo clusters Kubernetes multi-nó e ambientes híbridos de nuvem pública.
O objetivo central deste estudo não é apenas propor um sistema de detecção, mas estabelecer um arcabouço metodológico replicável que permita avaliar técnicas defensivas em ambientes cloud-native de forma rigorosa e comparável.
- Background and Related Work
A pesquisa em detecção de intrusão tem raízes nos primeiros sistemas IDS desenvolvidos no final da década de 1980. O modelo clássico proposto por Denning (1987) introduziu o conceito de detecção baseada em anomalias, no qual padrões normais de comportamento são modelados estatisticamente e desvios significativos são tratados como potenciais ataques.
Posteriormente, sistemas baseados em assinatura tornaram-se predominantes devido à sua precisão operacional. Ferramentas como Snort e Suricata utilizam regras de inspeção profunda de pacotes para identificar padrões associados a exploits conhecidos (ROESCH, 1999; OISF, 2018). Embora eficazes contra ataques conhecidos, essas abordagens apresentam limitações significativas em ambientes altamente dinâmicos.
Com a ascensão de infraestruturas virtualizadas e cloud computing, pesquisadores passaram a explorar novas fontes de telemetria. Trabalhos como o de Garfinkel e Rosenblum (2003) investigaram introspecção de máquinas virtuais como mecanismo para monitoramento de segurança fora do sistema operacional convidado.
Em ambientes containerizados, a observação do comportamento de runtime tornou-se particularmente relevante. Containers compartilham o mesmo kernel do host, o que permite monitoramento eficiente através de chamadas de sistema (syscalls). Ferramentas como Falco utilizam esse princípio para detectar comportamentos suspeitos em tempo real (AQUA SECURITY, 2018).
A Tabela 1 apresenta uma comparação entre ferramentas amplamente utilizadas para monitoramento de segurança em ambientes cloud-native até 2019.
| Ferramenta | Tipo de Telemetria | Ano de Introdução | Principal Uso |
|---|---|---|---|
| Falco | Syscalls (kernel) | 2016 | Detecção de comportamento anômalo |
| Suricata | Rede | 2010 | IDS/IPS baseado em assinatura |
| Zeek (Bro) | Rede/Protocolos | 1995/2018 renomeado | Análise de tráfego e logs |
| Aqua Security | Container runtime | 2016 | Segurança de containers |
| Sysdig | Kernel instrumentation | 2014 | Observabilidade e segurança |
Outra evolução importante no campo foi o desenvolvimento de frameworks estruturados para análise de adversários. O MITRE ATT&CK, introduzido em 2013 e amplamente adotado após 2017, fornece uma taxonomia de técnicas adversárias observadas em operações reais (STROM et al., 2018).
O framework organiza o comportamento adversário em táticas e técnicas, permitindo mapear eventos observados para atividades como:
- execução
- persistência
- movimento lateral
- exfiltração
A Tabela 2 apresenta algumas técnicas relevantes para ambientes cloud-native.
| Tática | Técnica ATT&CK | ID | Relevância em Containers |
|---|---|---|---|
| Execution | Command-Line Interface | T1059 | Execução em containers comprometidos |
| Persistence | Cron Job | T1053 | Tarefas agendadas maliciosas |
| Lateral Movement | Remote Services | T1021 | Movimento entre nós do cluster |
| Credential Access | Credential Dumping | T1003 | Roubo de segredos |
Paralelamente, pesquisas exploraram métodos estatísticos para detecção de intrusões. Modelos bayesianos e técnicas de aprendizado de máquina foram investigados para classificação de tráfego malicioso (SOMMER; PAXSON, 2010). Contudo, muitos desses métodos enfrentam dificuldades práticas devido à escassez de datasets rotulados representativos.
Essa limitação reforça a necessidade de metodologias experimentais que permitam gerar cenários adversários controlados, permitindo avaliação sistemática de sistemas defensivos.
- Threat Model and Problem Formalization
O modelo de ameaça adotado neste trabalho assume um adversário com capacidade de explorar vulnerabilidades em aplicações expostas na internet e obter execução de código em um container inicial dentro de um cluster Kubernetes.
Após a intrusão inicial, o atacante pode executar diversas ações:
- reconhecimento interno do cluster
- escalonamento de privilégios
- movimento lateral entre containers
- persistência no ambiente
- exfiltração de dados ou uso do cluster para mineração de criptomoeda
Formalmente, definimos o ambiente como um conjunto de nós $N$ contendo workloads containerizados $C$.
$$ E = {N_1, N_2, …, N_n}, \quad C = {c_1, c_2, …, c_m} $$
Eventos de segurança são representados como:
$$ e_i = (t_i, s_i, d_i, a_i) $$
onde:
- $t_i$ é o timestamp
- $s_i$ é a origem
- $d_i$ é o destino
- $a_i$ representa a ação observada
A probabilidade de um evento ser malicioso pode ser estimada por:
$$ P(M|E) = \frac{P(E|M)P(M)}{P(E)} $$
onde $M$ representa a hipótese de atividade maliciosa.
O objetivo do sistema de detecção é calcular uma pontuação de risco agregada para sequências de eventos correlacionados.
- Proposed Methodology
A metodologia proposta consiste em quatro fases principais:
- Instrumentação de telemetria
- Simulação de comportamento adversário
- Correlação de eventos
- Avaliação quantitativa
A arquitetura experimental integra sensores de rede e sensores de runtime.
| Camada | Ferramenta | Tipo de Dado |
|---|---|---|
| Kernel | Falco | Syscalls |
| Rede | Zeek | Logs de protocolo |
| IDS | Suricata | Alertas de assinatura |
| Orquestração | Kubernetes audit logs | Eventos do cluster |
Eventos coletados são normalizados e enviados para um pipeline baseado em Elastic Stack.
- Implementation
A infraestrutura experimental foi construída utilizando Terraform para provisionamento automatizado em nuvem.
Exemplo de implantação simplificada:
terraform init
terraform plan
terraform apply
Monitoramento de runtime com Falco:
falco -r /etc/falco/falco_rules.yaml -o json_output=true
Exemplo de regra Falco para detectar shell em container:
- rule: Shell in container
desc: detecta execução de shell interativo
condition: container.id != host and proc.name = bash
output: Shell executado em container (user=%user.name container=%container.id)
priority: WARNING
- Experimental Evaluation
Foram conduzidos experimentos simulando 12 cenários de ataque baseados no MITRE ATT&CK.
| Cenário | Técnica ATT&CK | Detecção Rede | Detecção Runtime |
|---|---|---|---|
| Execução remota | T1059 | Média | Alta |
| Movimento lateral | T1021 | Alta | Média |
| Cripto-mineração | T1496 | Baixa | Alta |
| Exfiltração DNS | T1048 | Alta | Baixa |
Resultados agregados:
| Método | Taxa de Detecção | Falsos Positivos |
|---|---|---|
| Apenas rede | 71% | 12% |
| Apenas runtime | 76% | 9% |
| Correlação híbrida | 89% | 5% |
- Case Study
Em um experimento realista, um cluster Kubernetes foi exposto com dashboard sem autenticação adequada, uma configuração observada em diversos incidentes entre 2017 e 2018.
O atacante executou:
- criação de pod malicioso
- download de minerador de criptomoeda
- varredura interna do cluster
Falco detectou execução de processos suspeitos enquanto Zeek identificou conexões para pools de mineração.
- Discussion
Os resultados demonstram que nenhuma fonte de telemetria isolada é suficiente para detecção confiável em ambientes cloud-native. Eventos de rede fornecem visibilidade sobre comunicação externa, mas frequentemente carecem de contexto sobre processos internos.
Por outro lado, sensores de runtime capturam atividades detalhadas dentro de containers, mas podem gerar grande volume de eventos benignos.
A correlação entre múltiplas fontes reduz significativamente falsos positivos.
- Conclusion and Future Work
Este trabalho apresentou uma metodologia operacional para pesquisa em detecção de intrusões em ambientes cloud-native. A integração de telemetria multi-camada com modelagem de comportamento adversário baseada em MITRE ATT&CK demonstrou melhorias significativas na taxa de detecção.
Trabalhos futuros devem explorar automação de threat hunting e técnicas avançadas de análise comportamental.
REFERENCES
BEHL, A.; BEHL, K. Cybersecurity and cyberwar: what everyone needs to know. Oxford: Oxford University Press, 2017. https://global.oup.com
DENNING, D. An intrusion-detection model. IEEE Transactions on Software Engineering, 1987. https://ieeexplore.ieee.org/document/1702202
GARFINKEL, T.; ROSENBLUM, M. A virtual machine introspection based architecture. NDSS, 2003. https://www.ndss-symposium.org
HUTCHINS, E.; CLOPPERT, M.; AMIN, R. Intelligence-driven computer network defense. Lockheed Martin, 2011. https://www.lockheedmartin.com
MITRE. ATT&CK Framework. 2019. https://attack.mitre.org
OISF. Suricata User Guide. 2018. https://suricata.readthedocs.io
ROESCH, M. Snort: lightweight intrusion detection. USENIX LISA, 1999. https://www.usenix.org
SOMMER, R.; PAXSON, V. Outside the closed world. IEEE Symposium on Security and Privacy, 2010. https://ieeexplore.ieee.org
AQUA SECURITY. Falco Runtime Security. 2018. https://falco.org
BEHL, A. Cyberwarfare. Springer, 2017. https://link.springer.com
NIST. Guide to Intrusion Detection and Prevention Systems. 2018. https://nvlpubs.nist.gov
SCARFONE, K.; MELL, P. Guide to intrusion detection systems. NIST, 2007. https://nvlpubs.nist.gov
BEHL, A. Security analytics. CRC Press, 2016. https://www.crcpress.com
STALLINGS, W. Network security essentials. Pearson, 2017. https://www.pearson.com
SINGH, S.; SILVA, P. Cloud security issues. IEEE Cloud, 2017. https://ieeexplore.ieee.org
HUMBLE, J.; FARLEY, D. Continuous delivery. Addison-Wesley, 2010. https://www.oreilly.com
KREBS, B. Spam nation. Sourcebooks, 2014. https://krebsonsecurity.com
ENISA. Threat landscape report 2018. https://www.enisa.europa.eu
MELL, P.; GRANCE, T. NIST definition of cloud computing. 2011. https://nvlpubs.nist.gov
DOCKER. Docker security documentation. 2019. https://docs.docker.com
KUBERNETES. Kubernetes security guide. 2019. https://kubernetes.io/docs
ZEKEK, V. Bro network security monitor. 2018. https://zeek.org
SYSDIG. Container security monitoring. 2018. https://sysdig.com
AQUA SECURITY. Container security report. 2019. https://www.aquasec.com
EUROPEAN UNION. GDPR regulation. 2018. https://eur-lex.europa.eu
MITRE. ATT&CK evaluations methodology. 2019. https://attack.mitre.org/resources
CISCO. 2019 annual cybersecurity report. https://www.cisco.com