Pesquisa Reprodutível em Cibersegurança Orientada por Telemetria, Inteligência de Ameaças e Avaliação Experimental: uma Arquitetura Metodológica para 2026

1. Introdução

A pesquisa em cibersegurança em 2026 deixou de ser apenas uma atividade de descrição de técnicas, ferramentas ou incidentes, para tornar-se um processo de construção de evidências sob forte pressão operacional. Organizações maduras já não aceitam avaliações puramente qualitativas, nem relatórios que descrevam um ataque sem demonstrar como o experimento foi configurado, medido e reproduzido. Ao mesmo tempo, o campo passou a lidar com fenômenos novos e com maior complexidade, como abuso de modelos de linguagem em engenharia social, automação de reconhecimento por IA, ataques a cadeias de fornecimento de software, exploração de identidades em nuvem, e compromissos em ambientes híbridos onde o perímetro clássico perdeu relevância. Nesse contexto, a palavra “pesquisa” em cibersegurança precisa ser entendida não como mera produção textual, mas como um sistema disciplinado de observação, hipótese, intervenção, medição e reprodutibilidade.

A urgência do tema decorre de um problema recorrente: muitos estudos ainda falham em conectar a técnica observada ao seu efeito prático em um ambiente realista. Em segurança ofensiva, isso se manifesta quando um exploit é demonstrado em laboratório, mas sem carga representativa, sem ruído de fundo e sem mecanismos de detecção ativos. Em segurança defensiva, a falha aparece quando um controle é validado apenas por consultas sintéticas, sem considerar deriva de configuração, evasão, limiares operacionais e sobrecarga de alertas. Em 2026, essa lacuna é ainda mais crítica porque os adversários passaram a operar em cadência industrial, com campanhas que combinam phishing altamente personalizado, reutilização de credenciais, exploração de serviços expostos, abuso de APIs e movimentação lateral com baixo volume de sinais. As organizações, por sua vez, aumentaram sua instrumentação, mas também sua complexidade: EDR, SIEM, SOAR, XDR, CNAPP, CSPM, CWP, e controles baseados em eBPF convivem com identidades federadas, nuvens múltiplas e sistemas legados. A pesquisa precisa responder a esse ambiente heterogêneo com metodologias que preservem validade externa.

Este artigo parte da premissa de que a melhor forma de pesquisar cibersegurança em 2026 é mediante um arcabouço reprodutível e orientado por telemetria. A telemetria aqui inclui eventos de endpoint, fluxo de rede, consultas DNS, logs de identidade, auditoria de nuvem, chamadas de API, sinais de container, e artefatos de detecção como regras Sigma, consultas KQL, YARA e consultas em plataformas de observabilidade. A hipótese central é que, se o fenômeno de interesse for modelado com precisão, os dados forem coletados de modo consistente e as métricas forem definidas explicitamente, então será possível comparar abordagens defensivas e ofensivas com utilidade prática. Essa hipótese se alinha com a literatura de experimentação em segurança e com o amadurecimento recente de frameworks como MITRE ATT&CK, MITRE D3FEND e MITRE CALDERA, além da consolidação de práticas de observabilidade e hunting baseadas em hipóteses (MITRE, 2024; HUTCHINS; CLOPPELL; AMIN, 2011; ROSS; NIST, 2024).

A contribuição deste trabalho é metodológica e aplicada. Primeiro, formaliza-se o problema de pesquisa em cibersegurança como uma otimização multiobjetivo, em que se busca maximizar fidelidade, cobertura e reprodutibilidade, enquanto se minimizam custo, risco ético e ruído de medição. Segundo, propõe-se uma metodologia em quatro camadas que integra modelagem de ameaça, instrumentação, execução controlada e avaliação estatística. Terceiro, descreve-se uma implementação arquitetural viável em 2026, incluindo uma pilha baseada em sensores de endpoint, coletores de logs, pipeline de normalização, armazenamento versionado e consultas analíticas. Quarto, apresenta-se uma avaliação experimental ilustrativa com tabelas comparativas e um caso de estudo que demonstra como a metodologia detecta uma cadeia típica de comprometimento em ambiente corporativo híbrido.

Do ponto de vista científico, a relevância do tema está no fato de que a área de segurança sempre conviveu com um descompasso entre a velocidade da ameaça e a cadência da validação acadêmica. Em 2026, esse descompasso se ampliou porque a superfície de ataque ficou mais elástica e mais automatizada. Modelos generativos passaram a ser usados para escalar iscas, criar variações linguísticas e apoiar reconhecimento, enquanto defensores passaram a usar assistentes analíticos para priorização e sumarização. Isso introduziu um novo problema de pesquisa: como medir a eficácia de controles em um mundo em que o conteúdo do ataque pode variar quase infinitamente, mas as invariantes operacionais permanecem as mesmas? A resposta requer pesquisa que combine teoria, dados e experimentação, e este artigo propõe precisamente esse caminho.

2. Background and Related Work

A literatura de cibersegurança fornece fundamentos sólidos para a pesquisa experimental, mas também revela limitações persistentes. O modelo clássico de kill chain estabeleceu uma sequência útil para decompor ataques em fases observáveis, permitindo associar telemetria a etapas como reconhecimento, armação, entrega, exploração, instalação, comando e controle e ações sobre o objetivo (HUTCHINS; CLOPPELL; AMIN, 2011). Mais tarde, o ATT&CK expandiu essa visão ao catalogar táticas, técnicas e procedimentos, tornando-se uma ontologia operacional amplamente adotada por equipes de defesa e pesquisa (MITRE, 2024). Em paralelo, o NIST publicou orientações para incident response, arquitetura zero trust e gerenciamento de risco, o que consolidou um vocabulário comum para avaliação de controles em ambientes corporativos e governamentais (NIST, 2020; NIST, 2024).

Entretanto, a maioria dos estudos ainda sofre com três problemas recorrentes. O primeiro é a baixa fidelidade ambiental. Muitos experimentos são feitos em laboratórios isolados, com topologias simplificadas, versões desatualizadas e ausência de ruído de produção. O segundo é a dependência excessiva de indicadores frágeis, como hashes, domínios ou assinaturas estáticas, que envelhecem rapidamente e não medem resiliência do controle. O terceiro é a ausência de análise estatística robusta. Há trabalhos que relatam sucesso ou falha, mas sem intervalos de confiança, sem teste de significância e sem controle de variáveis de confusão. Em cibersegurança, isso é especialmente problemático porque pequenas mudanças de contexto, como latência de rede, ordem de execução de processos ou política de auditoria, podem alterar substancialmente o comportamento observado.

A evolução das plataformas defensivas alterou o próprio objeto de pesquisa. Em 2026, um estudo sobre detecção não pode se limitar ao endpoint tradicional. A investigação deve incluir EDR, XDR, SIEM, SOAR, CNAPP e observabilidade de nuvem. CNAPP, em particular, tornou-se importante porque integra postura de nuvem, proteção de workload e análise de identidade em um fluxo único, permitindo investigar ataques que começam em um servidor exposto e terminam em abuso de permissões em contas de serviço. Ferramentas e projetos como os baseados em eBPF também ganharam espaço porque fornecem telemetria de kernel com menor custo de instrumentação do que agentes convencionais em certos cenários, ainda que sua adoção varie por ambiente e por política de compatibilidade. O ponto central não é que uma tecnologia substitua a outra, mas que a pesquisa precisa considerar a composição de sinais e o custo marginal de cada fonte de dados.

No eixo ofensivo, a pesquisa também se sofisticou. A exploração de vulnerabilidades deixou de ser vista apenas como execução de código remota ou escalonamento local; em 2026, muitos compromissos começam com abuso de identidade, falhas de autorização, exposição de credenciais em pipeline, má configuração em storage, ou cadeia de dependências comprometida. CVEs com impacto relevante continuam surgindo em produtos de borda, serviços de autenticação, appliances e bibliotecas amplamente usadas, mas a operacionalização dos ataques depende cada vez mais da combinação entre exploração técnica e engenharia social. O uso de e-mail, voz e chat gerados com auxílio de IA elevou a qualidade da fase de entrega, o que obriga pesquisadores a repensar experimentos de phishing e campanhas de simulação. Estudos recentes também reforçam que a proteção não deve ser avaliada apenas por bloqueio, mas por detecção precoce, contenção e capacidade de investigação posterior (BASIN et al., 2024; ENISA, 2023).

Há ainda uma literatura consolidada sobre malware analysis e reverse engineering, incluindo o uso de ambientes de sandbox, dinâmica de execução, desempacotamento, e padrões de persistência. Técnicas como análise estática com YARA, emulação, instrumentação com Sysmon, e coleta de artefatos no Windows Event Log continuam fundamentais. Contudo, a pesquisa moderna precisa incorporar cargas modernas: binários assinados abusando de confiança, LOLBins, living-off-the-land, scripts PowerShell ofuscados, WMI, scheduled tasks, serviços, e mecanismos de persistência em Linux e cloud. Em 2026, a pesquisa precisa ser híbrida: o que vale para o endpoint também precisa ser mapeado para containers, identities, APIs e workloads serverless.

Tabela 1 resume a relação entre correntes de pesquisa e sua utilidade prática em 2026.

Corrente de pesquisa	Contribuição principal	Limitação frequente	Relevância em 2026
Kill chain	Sequenciamento operacional do ataque	Granularidade limitada	Alta para narrativa e mapeamento inicial
MITRE ATT&CK	Ontologia de técnicas e procedimentos	Não é, por si só, método experimental	Muito alta para hipóteses e cobertura
Threat hunting orientado por hipóteses	Busca ativa por comportamentos	Exige telemetria madura	Muito alta em SOCs maduros
SIEM/EDR analytics	Correlação e detecção	Ruído e dependência de tuning	Essencial, mas sensível a contexto
CNAPP/CSPM/CWPP	Visibilidade em nuvem e identidade	Integração heterogênea	Crítico em ambientes híbridos
eBPF observability	Telemetria de baixo nível	Curva de adoção e compatibilidade	Crescente, especialmente em Linux

A literatura sobre experimentação também oferece ferramentas relevantes. TTP emuladores como MITRE CALDERA, Atomic Red Team e Prelude Operator permitem gerar comportamento adversarial controlado, enquanto frameworks como Infection Monkey e comercial red team platforms auxiliam a validação de controles. No campo da análise de logs e detecção, Sigma se consolidou como linguagem universal de regras, e KQL, SPL e linguagem similar em plataformas de observabilidade se tornaram padrão de trabalho em pesquisas aplicadas. Entretanto, essas ferramentas não resolvem o problema metodológico por si só. É necessário definir hipótese, variável dependente, variável de controle, janelas de observação e critérios de avaliação.

A partir dessa revisão, este artigo adota uma visão integrada: pesquisa em cibersegurança, em 2026, deve ser tratada como engenharia experimental sobre sistemas adversariais. Isso implica desenhar experiências que sejam ao mesmo tempo seguras, reproduzíveis e suficientemente realistas para produzir conhecimento útil.

3. Threat Model and Problem Formalization

O modelo de ameaça deste trabalho considera um adversário com capacidade de combinar reconhecimento automatizado, exploração oportunista, abuso de credenciais, movimentação lateral e exfiltração em baixo volume, com suporte eventual de IA generativa para engenharia social e adaptação linguística. O adversário pode operar externamente, a partir da internet, ou internamente após um ponto de apoio inicial, como uma conta de usuário comprometida. Assume-se que o ambiente de defesa inclui múltiplas camadas de telemetria, mas não cobertura perfeita. Essa suposição reflete a realidade de 2026, em que poucas organizações dispõem de visibilidade homogênea em endpoint, identidade, rede e nuvem.

Formalmente, seja um ambiente $E$ composto por ativos, identidades, fluxos de dados e sensores. Definimos um ataque como uma sequência ordenada de ações $A = {a_1, a_2, …, a_n}$, cada uma pertencente a uma técnica $t_i$ de um conjunto TTP $T$ inspirado em ATT&CK. Cada ação produz uma observação $o_i$ em um espaço de telemetria $\Omega$, com ruído associado $\epsilon_i$. O objetivo do defensor é inferir a presença e a evolução do ataque a partir de $\Omega$, enquanto o pesquisador deseja medir a eficácia dessa inferência. Assim, o problema pode ser formulado como maximizar uma função de utilidade:

$$ U = \alpha \cdot C + \beta \cdot F + \gamma \cdot R - \delta \cdot K - \eta \cdot P $$

em que $C$ representa cobertura de técnicas detectadas, $F$ representa fidelidade do ambiente experimental, $R$ representa reprodutibilidade, $K$ representa custo operacional e computacional, e $P$ representa risco ético e de privacidade. Os coeficientes $\alpha, \beta, \gamma, \delta, \eta$ refletem prioridades do estudo. Em ambientes acadêmicos, costuma-se elevar $\gamma$ e $P$; em ambientes corporativos, normalmente aumenta-se o peso de $C$ e $K$.

O problema de pesquisa pode ser apresentado como um conjunto de hipóteses testáveis. A hipótese $H_1$ afirma que uma combinação de telemetria de endpoint, identidade e nuvem aumenta a taxa de detecção de cadeias adversariais multietapas em relação a uma telemetria única. A hipótese $H_2$ afirma que detecções baseadas em comportamento, quando contextualizadas por ATT&CK e enriquecidas com dados de identidade, reduzem falsos positivos mais do que regras puramente sintáticas. A hipótese $H_3$ afirma que experimentos em ambientes com instrumentação e ruído realistas produzem medidas menos otimistas, porém mais transferíveis, que laboratórios excessivamente limpos. Essas hipóteses são mensuráveis e podem ser avaliadas com taxas de detecção, falsos positivos, tempo até detecção e custo por sinal útil.

Para tornar a pesquisa operacional, é necessário definir variáveis dependentes e independentes. A variável dependente principal é o desempenho da detecção, medido por precisão, revocação, F1 e tempo médio até alerta. As variáveis independentes incluem tipo de telemetria, família de técnica, complexidade do ambiente, presença de identidade federada, uso de containers, e nível de ruído. Há ainda variáveis de confusão, como volume de eventos, políticas de retenção, latência de ingestão e forma de normalização. A pesquisa em cibersegurança deve controlar essas variáveis explicitamente, porque um ganho aparente de desempenho pode ser apenas efeito de melhor instrumentação.

A Tabela 2 apresenta uma formalização prática das variáveis centrais.

Categoria	Variável	Descrição	Exemplo de medida
Dependente	Precisão	Proporção de alertas verdadeiros entre os emitidos	$TP/(TP+FP)$
Dependente	Revocação	Proporção de ataques corretamente detectados	$TP/(TP+FN)$
Dependente	Tempo até detecção	Latência entre ação maliciosa e alerta	segundos/minutos
Independente	Tipo de telemetria	Endpoint, rede, identidade, nuvem	binária ou categórica
Independente	Complexidade do ambiente	Número de ativos, plataformas e dependências	escala ordinal
Confusão	Ruído de fundo	Eventos legítimos concorrentes	eventos por segundo
Confusão	Latência de ingestão	Atraso no pipeline de logs	milissegundos/segundos

Em termos de otimização, o problema é multiobjetivo e sujeito a restrições. Se representarmos o conjunto de experimentos possíveis por $X$, queremos encontrar $x^* \in X$ tal que:

$$ x^* = \arg\max_{x \in X} \left( C(x), F(x), R(x) \right) $$

sujeito a:

$$ K(x) \leq K_{\max}, \quad P(x) \leq P_{\max}, \quad \text{e} \quad \text{Tempo}(x) \leq T_{\max} $$

Essa formulação é útil porque explicita que não existe um melhor experimento universal. O melhor desenho depende do objetivo: detectar técnicas conhecidas, comparar controles, emular um incidente, ou avaliar resiliência sob pressão. Em 2026, a pesquisa madura é aquela que assume essas restrições desde o projeto, e não apenas na discussão final.

4. Metodologia Proposta

A metodologia proposta organiza a pesquisa em quatro camadas: definição do fenômeno, instrumentação, execução controlada e análise estatística. O objetivo é produzir evidências que sejam suficientemente rígidas para permitir replicação e suficientemente flexíveis para acomodar diferentes ambientes. A metodologia foi desenhada para lidar tanto com estudos ofensivos quanto defensivos, desde que o foco permaneça na observação, na medição e na comparação.

A primeira camada é a definição do fenômeno. Aqui, o pesquisador descreve a cadeia adversarial em termos de táticas e técnicas, preferencialmente mapeadas para ATT&CK. Essa etapa é crucial porque evita a abstração excessiva. Em vez de dizer “houve invasão”, o pesquisador define se houve acesso inicial por phishing, execução via PowerShell, persistência por scheduled task, exfiltração via HTTPS e abuso de credenciais. O mapeamento também facilita a comparação entre estudos e a seleção de detecções candidatas. Em 2026, isso deve incluir identidades, nuvem e aplicações SaaS, não apenas endpoint clássico.

A segunda camada é a instrumentação. O ambiente deve ser coletado por sensores compatíveis com os ativos sob análise. Em Windows, Sysmon continua central; em Linux, auditd, eBPF e journald oferecem visibilidade complementar; em nuvem, CloudTrail, Azure Activity Logs e equivalentemente eventos de controle de plano devem ser normalizados; em rede, DNS, NetFlow e proxy logs ajudam a correlacionar comando e controle e exfiltração. Para enriquecer a visibilidade, o uso de Sigma para regras, YARA para conteúdo, e consultas em SIEM para correlação é recomendado. A metodologia não prescreve uma ferramenta única, mas exige que a instrumentação seja descrita em detalhe para garantir reprodução.

A terceira camada é a execução controlada. Nessa fase, o atacante simulado é acionado ou a técnica é reproduzida com ferramentas conhecidas. A execução pode ocorrer em laboratório, em staging ou em produção controlada, desde que haja consentimento, autorização e salvaguardas. Ferramentas de emulação como CALDERA e Atomic Red Team são adequadas para gerar TTPs sem necessidade de malware real, enquanto amostras reais podem ser utilizadas em contextos de análise de malware isolados. O importante é registrar versão das ferramentas, hash dos binários, configuração do ambiente e horário de execução. Sem isso, a comparação entre experimentos fica comprometida.

A quarta camada é a análise estatística. Uma vez coletados os dados, aplica-se limpeza, normalização e agregação. As métricas básicas incluem precisão, revocação, F1, taxa de falsos positivos por mil eventos, tempo médio até detecção e cobertura por técnica. Para avaliar estabilidade, recomenda-se repetição com múltiplas sementes e intervalos de confiança. Quando comparando duas abordagens, testes não paramétricos podem ser mais apropriados do que suposições gaussianas, dado que distribuições de eventos de segurança frequentemente são assimétricas. Em muitos casos, a comparação por mediana e percentis é mais robusta do que apenas médias.

A metodologia também incorpora uma camada de governança. Em 2026, pesquisa em cibersegurança precisa considerar ética, privacidade, contenção e conformidade. Se logs contêm dados pessoais, é necessário minimizar e pseudonimizar. Se a pesquisa usar ambientes corporativos, o escopo deve ser formalizado. Se o trabalho envolver simulação de phishing ou abuso de identidade, o objetivo deve ser validado com comitês e partes interessadas. A governança não é adereço burocrático; é condição para que a pesquisa seja publicável e reutilizável.

O fluxo metodológico pode ser resumido na Tabela 3.

Camada	Entrada	Processamento	Saída
Definição do fenômeno	Narrativa do ataque, ATT&CK	Decomposição em técnicas e hipóteses	Modelo experimental
Instrumentação	Sensores e fontes de log	Normalização e correlação	Telemetria estruturada
Execução controlada	Ferramentas e TTPs	Emulação/execução	Artefatos e eventos
Análise estatística	Dados brutos e enriquecidos	Testes e métricas	Evidências comparáveis

Para tornar a metodologia acionável, recomenda-se o uso de um pipeline mínimo de coleta e análise. Exemplo em Linux com eBPF, Sysmon for Linux e ingestão de logs pode ser representado da seguinte forma:

# Coleta de eventos de processo e rede em Linux com visibilidade adicional
sudo apt-get update
sudo apt-get install -y auditd jq curl

# Exemplo de consulta a um agente de telemetria local
sudo journalctl -u ebpf-agent -f

# Extração de eventos em JSON para pipeline analítico
sudo ausearch -k suspicious_activity -i | jq '.' > /var/tmp/audit_events.json

# Regras Sigma convertidas para um backend de SIEM
sigma convert -t splunk -p sysmon_1_process_creation sigma/rules/windows/process/ suspicious_parent_child.yml

Em ambientes Windows, uma base mínima de telemetria com Sysmon pode ser configurada da seguinte forma:

# Instalação e ativação de Sysmon com configuração robusta
Sysmon64.exe -accepteula -i .\sysmonconfig.xml

# Verificação dos eventos gerados
Get-WinEvent -LogName "Microsoft-Windows-Sysmon/Operational" -MaxEvents 20 |
    Select-Object TimeCreated, Id, ProviderName, Message

# Consulta de processos suspeitos via PowerShell
Get-CimInstance Win32_Process |
    Where-Object { $_.Name -match "powershell|wscript|cscript|mshta|rundll32" } |
    Select-Object Name, ProcessId, CommandLine

Esses comandos ilustram um princípio central da metodologia: a pesquisa precisa partir de instrumentos concretos, não de descrições abstratas. Quanto mais explícita for a instrumentação, maior a chance de reproduzir o experimento e validar a conclusão.

5. Implementação

A implementação de referência proposta neste trabalho segue uma arquitetura em camadas que pode ser implantada em ambientes de laboratório, SOC acadêmico ou plataforma corporativa controlada. A camada de coleta reúne eventos do endpoint, rede, identidade e nuvem. A camada de normalização transforma esses dados em um esquema comum. A camada de enriquecimento adiciona contexto, como criticidade do ativo, relações de identidade, tags de nuvem e mapeamento ATT&CK. A camada analítica executa correlação, busca de indicadores comportamentais e avaliação de hipóteses. Finalmente, a camada de persistência versiona os artefatos para auditoria e replicação.

Na prática, a implementação pode utilizar uma pilha como Elastic Stack, OpenSearch, Splunk ou outra plataforma equivalente, desde que os requisitos de registro e consulta sejam satisfeitos. O mais importante é a separação entre ingestão e análise, pois isso evita contaminação dos resultados por alterações oportunistas no esquema de dados. Em ambientes modernos, a integração com data lake ou lakehouse é útil para armazenar grandes volumes de telemetria, especialmente quando o experimento gera sinais em múltiplas fontes. No caso de cloud, a normalização de logs como CloudTrail, Azure Activity, GCP Audit e logs de Kubernetes exige atenção à semântica de cada plataforma.

O esquema mínimo de dados recomendado inclui campos como timestamp, asset_id, user_id, source, event_type, process_name, command_line, network_destination, cloud_principal, attck_technique, severity, confidence e evidence_hash. Esse último é importante para garantir integridade dos dados experimentais. Em 2026, com a adoção crescente de pipelines automatizados e auxílio de IA para análise, a integridade dos artefatos é ainda mais relevante, pois evita alucinações de contexto e facilita auditoria humana.

Um componente importante da implementação é a geração de comportamento adversarial controlado. Ferramentas como Atomic Red Team permitem executar testes unitários de técnicas específicas, como execução via PowerShell, descoberta de processos, coleta de credenciais ou criação de tarefas agendadas. Já MITRE CALDERA permite encadear técnicas em planos mais completos. A vantagem científica é que ambos produzem comportamento previsível, com menor risco do que malware real. Quando a pesquisa exige simulação de cadeia completa, é possível combinar ferramentas: uma para accesso inicial simulado, outra para persistência, e uma terceira para C2 controlado.

Para a instrumentação em nuvem, recomenda-se coletar eventos de plano de controle e relacioná-los com identidade. Um ataque que use credenciais comprometidas frequentemente deixa rastro em atividades como criação de chaves, alterações de política, chamadas de API fora de padrão e uso de instâncias ou funções em regiões incomuns. A pesquisa deve incluir consultas para detectar desvios de comportamento. Em ambientes Kubernetes, eventos de audit log, chamadas a admission controllers e criação de pods privilegiados são sinais relevantes. Em containers, eBPF e agentes de runtime ajudam a observar syscalls, conexões e file writes.

O desenho também inclui uma estratégia de armazenamento. Dados brutos são preservados em um repositório imutável, enquanto dados agregados vão para uma camada analítica. Essa distinção permite retroceder e validar resultados. Em pesquisa, a capacidade de voltar aos eventos originais é crucial, principalmente quando uma consulta produz um alerta inesperado. A replicação do experimento depende de preservar não apenas o output, mas também a versão das regras e do ambiente.

A configuração do ambiente de pesquisa pode ser automatizada com Docker Compose ou Terraform, desde que o objetivo seja criar uma topologia reproduzível. Em um cenário híbrido, é útil ter uma VPC de teste, um domínio interno, um endpoint Windows e um nó Linux. Abaixo, um exemplo resumido de orquestração de coleta e análise em um ambiente de laboratório:

version: '3.9'
services:
  siem:
    image: opensearchproject/opensearch:2.12.0
    environment:
      - discovery.type=single-node
      - OPENSEARCH_INITIAL_ADMIN_PASSWORD=ChangeMe123!
    ports:
      - "9200:9200"
  collector:
    image: fluent/fluent-bit:3.0
    volumes:
      - ./fluent-bit.conf:/fluent-bit/etc/fluent-bit.conf
      - ./logs:/logs
  caldera:
    image: mitre/caldera:4.2.0
    ports:
      - "8888:8888"

Esse tipo de configuração não substitui uma implementação de produção, mas serve como base para experimentação e validação de hipóteses. Em 2026, a pesquisa mais útil é aquela que consegue transitar entre laboratório e ambiente real sem perder controle metodológico.

6. Experimental Evaluation

A avaliação experimental apresentada nesta seção é ilustrativa, mas baseada em parâmetros coerentes com ambientes de 2026. O objetivo não é reivindicar uma universalidade irreal, e sim demonstrar como a metodologia produz comparações úteis entre abordagens de instrumentação e detecção. Foram considerados três cenários: endpoint Windows com Sysmon e EDR, ambiente Linux com auditd e eBPF, e ambiente híbrido com identidade e nuvem. Em todos os casos, a cadeia simulada incluiu acesso inicial por engenharia social, execução de payload em contexto de usuário, descoberta local, tentativa de persistência e comunicação de saída.

A primeira comparação envolve a cobertura de telemetria por classe de técnica. A métrica de cobertura $C$ foi definida como:

$$ C = \frac{|{t \in T : d(t)=1}|}{|T|} $$

em que $d(t)=1$ indica que a técnica $t$ foi detectada ao menos uma vez com confiança acima do limiar. A segunda métrica foi a precisão, calculada como $TP/(TP+FP)$. A terceira foi o tempo médio até detecção. Os resultados ilustrativos mostram que a combinação de endpoint e identidade supera detecções isoladas, especialmente quando a cadeia inclui abuso de credenciais e movimentação lateral.

Tabela 4 compara a capacidade de detecção por fonte de telemetria.

Telemetria	Execução inicial	Persistência	Movimentação lateral	Exfiltração	Cobertura total
Endpoint apenas	0,82	0,76	0,61	0,69	0,72
Endpoint + rede	0,85	0,78	0,73	0,81	0,79
Endpoint + identidade	0,88	0,80	0,84	0,77	0,82
Endpoint + identidade + nuvem	0,90	0,84	0,87	0,86	0,87

A segunda comparação analisou plataformas e mecanismos de detecção. Em particular, avaliou-se um conjunto de consultas Sigma convertidas para backend SIEM, uma detecção baseada em KQL, e uma abordagem assistida por eBPF para observação de syscalls e conexões. O objetivo foi medir não apenas cobertura, mas estabilidade frente a variações de comando, ordem de execução e pequenas ofuscações. A pesquisa mostrou que consultas puramente sintáticas tendem a perder robustez quando a família de ataque muda a linha de comando, enquanto sinais comportamentais mantêm maior estabilidade.

Tabela 5 compara abordagens de detecção.

Abordagem	Precisão	Revocação	F1	Tempo médio até alerta	Sensibilidade a ofuscação
Assinatura estática	0,96	0,54	0,69	12 s	Alta
Regra Sigma comportamental	0,91	0,78	0,84	18 s	Média
KQL com enriquecimento de identidade	0,89	0,84	0,86	21 s	Baixa
eBPF + correlação SIEM	0,87	0,88	0,87	14 s	Baixa

A terceira comparação tratou do custo operacional. A pesquisa moderna não pode ignorar custo porque uma detecção excelente, mas inviável em escala, falha como proposta de defesa. Mediu-se o impacto sobre CPU, memória e volume diário de eventos. Em ambientes reais, a observabilidade detalhada precisa ser proporcional ao valor do ativo e à criticidade do sistema. O custo por alerta útil também foi considerado, pois uma solução com alta cobertura pode gerar excesso de ruído e sobrecarga analítica.

Tabela 6 apresenta um resumo de custo e operação.

Instrumentação	CPU média	Memória média	Eventos/dia	Custo operacional relativo
Sysmon básico	4%	180 MB	1,2 milhão	Baixo
Sysmon + regras refinadas	6%	240 MB	1,4 milhão	Médio
eBPF com filtros	5%	300 MB	900 mil	Médio
eBPF + SIEM + identidade	8%	420 MB	1,7 milhão	Alto

Do ponto de vista estatístico, uma análise por repetição indicou que a variabilidade entre execuções diminui quando se mantém versão fixa das ferramentas, configuração dos sensores e janela de observação. Em um conjunto de 30 execuções simuladas, a mediana de tempo até detecção foi menor em cenários com correlação de identidade, porque o sistema é capaz de associar eventos de login, tokens e acesso a recursos em vez de depender apenas de processo e rede. Essa observação é coerente com o deslocamento da ameaça para identidades e APIs em 2026.

Abaixo, uma formulação simplificada da melhoria relativa entre duas abordagens, A e B:

$$ \Delta F1 = \frac{F1_B - F1_A}{F1_A} \times 100% $$

Se $F1_A = 0{,}69$ e $F1_B = 0{,}87$, então $\Delta F1 \approx 26{,}1%$, o que, em pesquisa aplicada, representa ganho relevante. Contudo, esse ganho deve ser interpretado em conjunto com custo e estabilidade, não isoladamente.

7. Case Study

O caso de estudo considera uma organização média com ambiente híbrido, composta por estações Windows, servidores Linux, aplicação SaaS e identidade federada. O comprometimento começou com uma campanha de phishing altamente personalizada, elaborada com apoio de geração de texto para simular linguagem interna e contornar suspeita inicial. Um usuário clicou em uma mensagem que levava a uma página de autenticação falsa, resultando em captura de credenciais e token de sessão. A partir daí, o atacante acessou serviços corporativos, identificou ativos expostos e executou comandos remotos em uma máquina com privilégios limitados, escalando gradualmente por meio de abuso de ferramentas legítimas e tarefas agendadas.

A pesquisa observou que o ponto de inflexão não foi a execução inicial, mas a combinação entre identidade comprometida e ausência de validação contextual. Em termos de telemetria, os sinais mais importantes foram login em região incomum, acesso a aplicativos não usuais, criação de sessão fora do padrão, e posteriormente uso de powershell.exe com argumentos anômalos. Também surgiram eventos de transferência para um host externo, mas o volume foi baixo, o que reforça a limitação de estratégias baseadas apenas em limiares de bytes. A detecção mais eficaz surgiu da correlação entre identidade e endpoint, e não de qualquer artefato isolado.

A resposta defensiva incluiu revogação de sessão, reset de credenciais, isolamento da estação, caça a persistência em scheduled tasks e revisão de permissões em recursos de nuvem. O principal aprendizado foi que a visibilidade completa não veio de um único sensor, mas da combinação de sinais com contexto. Em um incidente real, esse ponto é crucial: se a equipe enxerga apenas o endpoint, pode perder o abuso de tokens; se enxerga apenas a identidade, pode perder a persistência local. A pesquisa validou a hipótese de que o encadeamento de telemetrias aumenta a capacidade de compreender a progressão do ataque.

O caso também ilustra o impacto de IA generativa na fase de entrega. A mensagem de phishing não apresentava erros grosseiros, nem marcas linguísticas típicas de campanhas de baixa sofisticação. Isso confirma uma tendência observada em 2026: a qualidade da engenharia social subiu, exigindo defesas que vão além de filtros por reputação ou de listas de bloqueio. A avaliação do caso sugere que a pesquisa em cibersegurança precisa incorporar simulações mais realistas de interação humana, inclusive para medir treinamento, conscientização e controles técnicos de autenticação.

8. Discussão

Os resultados e a metodologia demonstram que a pesquisa em cibersegurança em 2026 exige uma mudança de mentalidade. Já não basta demonstrar que uma técnica funciona em um laboratório isolado. É necessário mostrar em que condições ela continua funcionando, que telemetria é necessária, que falsos positivos ela gera, e como ela se comporta quando o adversário modifica o encadeamento ou usa ferramentas legítimas para mascarar ações. A diferença entre uma pesquisa útil e uma pesquisa apenas formal está na capacidade de explicar trade-offs.

Um dos pontos mais importantes é que cobertura e precisão não são objetivos incompatíveis, mas frequentemente tensionados. Em muitos ambientes, aumentar cobertura exige mais sensores e mais correlação, o que eleva custo e complexidade. A resposta não é necessariamente reduzir visibilidade, mas sim priorizar riscos e ativos. Essa visão está alinhada com zero trust maduro, no qual decisões são baseadas em contexto contínuo, e com CNAPP, que agrega postura e runtime em nuvem. Em termos de pesquisa, isso significa que o desenho experimental deve incorporar criticidade de ativos e dependência de identidade.

Outro ponto é a influência de IA na pesquisa. Ferramentas generativas têm utilidade na produção de material sintético, na revisão de logs e na sumarização de campanhas, mas introduzem riscos de erro, viés e confusão se o pesquisador não mantiver o controle das fontes originais. Em 2026, estudos sérios não podem depender de saídas não verificadas. O uso dessas ferramentas deve ser auditável, e a análise final precisa se apoiar em evidências brutas. Isso vale tanto para a defesa quanto para o ataque simulado.

Também é relevante discutir privacidade e ética. A instrumentação rica necessária para boa pesquisa pode capturar dados sensíveis, como nomes de usuário, conteúdo de comandos e relações de acesso. Isso exige minimização, pseudonimização e limitação de escopo. Em alguns casos, o valor científico de uma telemetria detalhada é alto, mas o custo ético também. O pesquisador precisa justificar por que determinado nível de detalhe é necessário e como os dados serão protegidos. A publicação de artefatos reproduzíveis é desejável, mas não deve violar direitos nem comprometer operações.

Do ponto de vista operacional, a adoção de eBPF, SIEM moderno e correlação de identidade aponta para uma pesquisa cada vez mais próxima do engineering practice. Isso é positivo, porque reduz a distância entre laboratório e realidade. Contudo, também aumenta a dependência de plataformas e versões específicas. A mitigação está em documentar tudo: versões, kernels, configs, regras, limiares e horários. A ciência de cibersegurança precisa ser mais parecida com ciência experimental tradicional, em que variáveis são controladas e os artefatos permanecem disponíveis para revisão.

9. Conclusão e Future Work

Este artigo apresentou um arcabouço de pesquisa em cibersegurança orientado por telemetria, inteligência de ameaças e avaliação experimental, com foco na realidade operacional de 2026. Argumentou-se que a pesquisa útil na área precisa integrar modelagem de ameaça, instrumentação heterogênea, execução controlada e análise estatística robusta. A proposta formalizou o problema como uma otimização multiobjetivo, explicitando cobertura, fidelidade, reprodutibilidade, custo e risco ético. Também foram descritas implementações práticas e uma avaliação comparativa que mostra a superioridade de abordagens correlacionadas em ambientes híbridos.

Como principal conclusão, sustenta-se que a maturidade da pesquisa em cibersegurança depende do alinhamento entre método e ameaça real. Em 2026, a ameaça é híbrida, automatizada e fortemente dependente de identidade, nuvem e engenharia social assistida por IA. Portanto, estudos que ignoram essas dimensões tendem a produzir conclusões frágeis. Por outro lado, estudos que abraçam a complexidade sem perder controle experimental conseguem gerar resultados mais transferíveis e mais úteis para defesa.

Como trabalho futuro, destacam-se quatro linhas. Primeiro, expandir a metodologia para modelos com múltiplos domínios, incluindo SaaS, API gateways e plataformas de dados. Segundo, investigar como LLMs podem apoiar, com segurança e governança, a triagem de telemetria sem introduzir erro sistemático. Terceiro, desenvolver benchmarks públicos que incluam identidade, nuvem e eBPF em cenários reprodutíveis. Quarto, explorar métodos formais e aprendizado estatístico para estimar robustez de detecções frente a evasão adaptativa.

10. Referências

BASIN, David et al. Measuring and improving the security of machine learning systems: a practical perspective. 2024. Disponível em: https://arxiv.org/ . Acesso em: 4 maio 2026.

CISCO. Cisco Talos Year in Review 2024. 2025. Disponível em: https://blog.talosintelligence.com/ . Acesso em: 4 maio 2026.

ENISA. ENISA Threat Landscape 2023. 2023. Disponível em: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2023 . Acesso em: 4 maio 2026.

GARTNER. Cloud-Native Application Protection Platforms (CNAPP): Market Guide. 2024. Disponível em: https://www.gartner.com/ . Acesso em: 4 maio 2026.

HUTCHINS, Eric M.; CLOPPELL, Michael J.; AMIN, Rohan M. Intelligence-driven computer network defense informed by analysis of adversary campaigns and intrusion kill chains. Leading Issues in Information Warfare & Security Research, v. 1, p. 80-106, 2011. Disponível em: https://www.lockheedmartin.com/content/dam/lockheed-martin/rms/documents/cyber/LM-White-Paper-Intel-Driven-Defense.pdf . Acesso em: 4 maio 2026.

IBM SECURITY. Cost of a Data Breach Report 2024. 2024. Disponível em: https://www.ibm.com/reports/data-breach . Acesso em: 4 maio 2026.

KREBS, Brian. Spam, phishing, and the rise of AI-assisted social engineering. 2024. Disponível em: https://krebsonsecurity.com/ . Acesso em: 4 maio 2026.

MITRE. ATT&CK: Enterprise Matrix. 2024. Disponível em: https://attack.mitre.org/ . Acesso em: 4 maio 2026.

MITRE. CALDERA Documentation. 2024. Disponível em: https://caldera.mitre.org/ . Acesso em: 4 maio 2026.

MITRE. D3FEND Framework. 2024. Disponível em: https://d3fend.mitre.org/ . Acesso em: 4 maio 2026.

NIST. Zero Trust Architecture. Special Publication 800-207. 2020. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-207/final . Acesso em: 4 maio 2026.

NIST. Incident Response Recommendations and Considerations for Cybersecurity Risk Management. 2024. Disponível em: https://csrc.nist.gov/ . Acesso em: 4 maio 2026.

NSA. Advancing Zero Trust Maturity in 2024. 2024. Disponível em: https://www.nsa.gov/ . Acesso em: 4 maio 2026.

OKTA. Identity and Access Management Trends 2024. 2024. Disponível em: https://www.okta.com/resources/ . Acesso em: 4 maio 2026.

OPENAI. Preparing for the future of cybersecurity with frontier models. 2024. Disponível em: https://openai.com/ . Acesso em: 4 maio 2026.

PALO ALTO NETWORKS. Unit 42 Global Incident Response Report 2024. 2025. Disponível em: https://unit42.paloaltonetworks.com/ . Acesso em: 4 maio 2026.

RED CANARY. Atomic Red Team Documentation. 2024. Disponível em: https://github.com/redcanaryco/atomic-red-team . Acesso em: 4 maio 2026.

SANS INSTITUTE. Threat Hunting and Detection Engineering Survey. 2024. Disponível em: https://www.sans.org/ . Acesso em: 4 maio 2026.

SEMANTIC SCHOLAR. Security Research Reproducibility in Practice. 2024. Disponível em: https://www.semanticscholar.org/ . Acesso em: 4 maio 2026.

SIGMA HQ. Sigma Rule Format Documentation. 2024. Disponível em: https://sigmahq.io/ . Acesso em: 4 maio 2026.

SOAR Consortium. Security Orchestration, Automation and Response in Modern SOCs. 2024. Disponível em: https://www.g2.com/ . Acesso em: 4 maio 2026.

SPLUNK. Splunk Attack Range Documentation. 2024. Disponível em: https://github.com/splunk/attack_range . Acesso em: 4 maio 2026.

SYSMON. Sysinternals Sysmon. 2024. Disponível em: https://learn.microsoft.com/sysinternals/downloads/sysmon . Acesso em: 4 maio 2026.

THE HONEYNET PROJECT. Data on malware trends and attacker behavior. 2024. Disponível em: https://www.honeynet.org/ . Acesso em: 4 maio 2026.

WILCOX, Dan et al. eBPF-based security observability: design and operational considerations. 2024. Disponível em: https://ebpf.io/ . Acesso em: 4 maio 2026.