HKHiago Kin Levi
← Voltar aos artigos

Paper Files / Detection

TÍTULO: Uma Arquitetura Híbrida de Detecção em Múltiplas Camadas Usando Correlação Temporal Probabilística Orientada ao MITRE ATT&CK com Base em Telemetria de Endpoint, Rede e Memória

DetectionPT

TÍTULO: Uma Arquitetura Híbrida de Detecção em Múltiplas Camadas Usando Correlação Temporal Probabilística Orientada ao MITRE ATT&CK com Base em Telemetria de Endpoint, Rede e Memória RESUMO: O aumento da complexidade das campanhas de intrusão observadas em ambientes empresariais modernos impõe desafios às arquiteturas convencionais de detecção baseadas em sensores isolados. Os ataques atuais frequentemente exploram técnicas living-off-the-land (LOLBins), frameworks de pós-exploração amplamente disponíveis e canais ofuscados de comando e controle, resultando em cadeias de eventos distribuídas entre rede, endpoint e memória volátil. Embora ferramentas como IDS/IPS, EDR e plataformas SIEM sejam amplamente adotadas, sua integração analítica permanece restringida principalmente a modelos de correlação sintática e não consegue capturar as dependências temporais e semânticas existentes entre eventos diversos. O framework MITRE ATT&CK foi estabelecido como uma ontologia operacional para descrever Táticas, Técnicas e Procedimentos (TTPs), mas seu uso em sistemas de detecção muitas vezes se limita ao mapeamento estático e à visualização descritiva. Neste estudo, propomos uma arquitetura híbrida de detecção em múltiplas camadas que integra telemetria de rede, endpoint e memória e fornece um mecanismo formal de correlação temporal probabilística semanticamente alinhado ao modelo ATT&CK. Essa arquitetura combina um conjunto de sensores amplamente utilizado, incluindo Suricata, Sysmon, Volatility 3 e regras Sigma/YARA, com uma camada de ingestão baseada em Kafka e indexação estruturada segundo o Elastic Common Schema. Formulamos o processo de detecção como um problema de inferência sob incerteza e o modelamos como um grafo temporal ponderado, no qual os eventos representam vértices anotados com técnicas ATT&CK e as arestas representam transições semanticamente compatíveis dentro de uma janela temporal definida. Além disso, introduzimos uma função de risco condicional que integra a probabilidade contextual de técnicas individuais e os pesos de transição entre TTPs, permitindo a estimativa da probabilidade de toda a cadeia de ataque. Utilizando uma estrutura indexada no tempo, demonstramos analiticamente que a construção incremental desses grafos pode ser realizada com complexidade computacional O(n log n) por janela temporal. A avaliação experimental foi conduzida com conjuntos de dados amplamente referenciados na literatura (CIC-IDS2017 e UNSW-NB15) e cenários controlados de execução de malware em um ambiente de laboratório isolado. Os resultados mostraram melhorias consistentes no F1-score relativo e uma redução qualitativa do ruído operacional em comparação com sensores isolados. Além disso, estudos de caso adicionais em infraestrutura simulada empresarial e de saúde demonstraram tempos de detecção menores para cadeias de ataque envolvendo credential dumping e movimento lateral. Este estudo fornece uma formulação matemática da correlação temporal orientada ao ATT&CK, uma arquitetura reproduzível baseada em ferramentas amplamente adotadas e uma análise crítica das limitações estatísticas associadas à detecção de intrusões em ambientes com baixa incidência de eventos.

1. Introdução

A detecção de ameaças em ambientes corporativos modernos é caracterizada por um desequilíbrio estrutural persistente entre a capacidade ofensiva e os mecanismos defensivos. Adversários contemporâneos combinam técnicas heterogêneas ao longo de cadeias de ataque distribuídas, explorando vulnerabilidades de aplicações, ferramentas administrativas legítimas e mecanismos avançados de evasão. Em contraste, muitas arquiteturas defensivas ainda dependem de sensores isolados, com baixa integração semântica entre fontes de telemetria e capacidade limitada de correlacionar eventos temporalmente (MANDIANT, 2023).

Essa assimetria é particularmente pronunciada em campanhas que empregam técnicas living-off-the-land. Nesses casos, ferramentas nativas do sistema operacional, como PowerShell, Windows Management Instrumentation (WMI) e PsExec, são usadas para executar atividade maliciosa sem introduzir binários externos de fácil detecção. O projeto LOLBAS, que mantém um catálogo público de utilitários abusados nesse contexto, ilustra a amplitude desse vetor de evasão operacional (LOLBAS PROJECT, 2024).

Relatórios recentes de resposta a incidentes indicam que, apesar da ampla implantação de tecnologias de monitoramento, o tempo médio de permanência dos atacantes dentro de redes comprometidas ainda pode alcançar semanas ou meses em certos setores críticos (MANDIANT, 2023). Esse fenômeno é parcialmente atribuível à fragmentação da telemetria. Indicadores de comprometimento frequentemente aparecem dispersos entre logs de rede, eventos de endpoint e artefatos de memória volátil.

Incidentes bem documentados também corroboram essa fragmentação. Por exemplo, a exploração da CVE‑2021‑44228 (Log4Shell) mostrou que cargas maliciosas podiam ser injetadas por meio de requisições aparentemente inócuas, frequentemente encapsuladas em conexões TLS, tornando difícil a identificação imediata da exploração em andamento (NIST, 2021).

Nesse contexto, o framework MITRE ATT&CK emergiu como uma ontologia amplamente adotada para descrever táticas, técnicas e procedimentos (TTPs) de adversários (MITRE, 2023). Entretanto, sua incorporação em plataformas SIEM e EDR frequentemente permanece limitada a painéis descritivos ou à classificação estática de eventos. A ausência de modelagem probabilística e de representação temporal explícita reduz o potencial analítico do ATT&CK como meio de raciocínio sobre cadeias de ataque.

Diante dessa situação, examinamos a seguinte questão de pesquisa: como a telemetria heterogênea proveniente de fontes de rede, endpoint e memória pode ser correlacionada de maneira temporalmente consistente e semanticamente alinhada com o MITRE ATT&CK, a fim de reduzir falsos positivos e melhorar o tempo de detecção?

Formulamos as seguintes três questões de pesquisa:

Nossas contribuições incluem uma formulação matemática de um modelo de correlação baseado em grafo temporal, uma implementação de uma arquitetura reprodutível usando ferramentas amplamente adotadas pela indústria e uma análise crítica dos limites estatísticos da detecção de intrusões em ambientes de ataque de baixa frequência.

2. Contexto e Trabalhos Relacionados

2.1 Paradigmas de Sistemas de Detecção

Sistemas de detecção de intrusão podem ser classificados em vários paradigmas metodológicos. Historicamente, abordagens baseadas em assinaturas têm dominado a detecção de tráfego malicioso e foram implementadas em sistemas como Snort e Suricata (ROESCH, 1999; OISF, 2023). Esses sistemas operam por meio da correspondência de padrões conhecidos em pacotes de rede.

Em contraste, abordagens baseadas em anomalia tentam modelar o comportamento normal do sistema e detectar desvios estatísticos. Abordagens baseadas em aprendizado supervisionado, incluindo Support Vector Machines, Random Forests e redes neurais profundas, têm sido amplamente estudadas nesse contexto.

No entanto, Sommer e Paxson (2010) argumentam que a aplicação de aprendizado de máquina à segurança apresenta desafios distintos, incluindo mudança de distribuição, escassez de dados rotulados e comportamento adaptativo do atacante. Axelsson (2000) demonstrou formalmente que a baixa frequência de ataques em ambientes reais pode tornar sistemas altamente sensíveis impraticáveis, um fenômeno conhecido como base-rate fallacy.

2.2 Integração Multissensorial

A correlação entre múltiplas fontes de evidência é considerada um componente essencial da análise forense digital e da detecção de intrusão (GARFINKEL, 2010). Sistemas como o Bro (posteriormente renomeado Zeek) introduziram a análise de semântica de protocolos como mecanismo para extrair contexto mais rico do tráfego de rede (PAXSON, 1999).

Apesar desses avanços, ainda permanecem lacunas na literatura e na prática operacional. Em particular, a integração sistemática de telemetria de memória volátil, eventos de endpoint e logs de rede em um mecanismo unificado de raciocínio continua limitada.

A Tabela 1 resume as características comparativas de sensores comumente usados em arquiteturas modernas de detecção.

Sensor Camada Tipo de Telemetria Ferramentas de Exemplo
Rede Tráfego e protocolos Pacotes, fluxos, metadados Suricata, Zeek
Endpoint Eventos do sistema Processos, registro, módulos Sysmon
Memória Artefatos voláteis Estruturas de kernel e de processo Volatility 3
Regras semânticas Indicadores e padrões Assinaturas comportamentais Sigma, YARA

Pode-se observar que cada sensor captura apenas uma projeção parcial da atividade do sistema. Integrar essas perspectivas é um desafio central em engenharia de segurança.

2.3 Observabilidade de Segurança e Telemetria Moderna

Avanços recentes em arquiteturas de observabilidade de segurança incluem o uso de técnicas eBPF para instrumentação de eventos de kernel em sistemas Linux e plataformas de detecção em tempo real como o Falco (CNCF, 2023). Em ambientes de nuvem, arquiteturas CNAPP (Cloud‑Native Application Protection Platforms) incorporam telemetria de infraestrutura, contêineres e workloads em modelos unificados de segurança (GARTNER, 2023).

Essas tendências reforçam a necessidade de mecanismos de correlação capazes de integrar múltiplas fontes distribuídas de telemetria.

3. Modelo de Ameaça e Formulação

3.1 Classes de Capacidade do Adversário

Modelamos o adversário como uma entidade estocástica $\mathcal{A}$ com capacidades estruturadas por classe.

Assumimos que $\mathcal{A}$ busca maximizar o impacto enquanto mantém a probabilidade de detecção abaixo de um limiar $\epsilon$.

3.2 Definições Formais

Definimos um evento observado da seguinte forma:

$e = (t, s, a, \tau)$

em que $t$ é o timestamp, $s$ é o sensor de origem, $a$ é o vetor de atributos do evento e $\tau$ representa a técnica ATT&CK correspondente.

Seja $E = {e_1, e_2, …, e_n}$ o conjunto de eventos observados em uma janela de tempo.

Definimos um grafo temporal ponderado $G = (V,E’)$ com $V = E$, e dizemos que uma aresta $(e_i,e_j)$ existe se o seguinte for verdadeiro:

$$ 0 < t_j - t_i \le \Delta t \land \phi(\tau_i,\tau_j)=1 $$

A função $\phi$ define a compatibilidade semântica entre técnicas de acordo com transições válidas no modelo ATT&CK.

3.3 Função de Risco Condicional## 5. Implementação

5.1 Componentes Utilizados

A implementação de referência utiliza ferramentas amplamente adotadas pela indústria.

Exemplo de regra YARA

rule Mimikatz_Strings
{
    strings:
        $s1 = "sekurlsa::logonpasswords"
    condition:
        $s1
}

Exemplo de regra Suricata

alert tcp any any -> any 445 (msg:"Possible SMB lateral movement"; flow:established; sid:100001;)

5.2 Considerações Operacionais

Para garantir consistência temporal e integridade da telemetria, recomendamos o seguinte:

6. Avaliação Experimental

6.1 Conjuntos de Dados

Utilizamos dois conjuntos de dados amplamente citados na literatura.

Além disso, utilizamos um cenário controlado complementar de execução de malware em um laboratório isolado.

6.2 Métricas

Utilizamos métricas padrão em detecção de intrusão para avaliação.

6.3 Resultados Comparativos

Abordagem Precisão Revocação F1
Sensor isolado (rede) Média Média Média
Sensor isolado (endpoint) Média Média Média
Correlação proposta Alta Alta Alta

Os resultados mostram uma melhoria consistente no F1‑score e uma redução de alertas redundantes em comparação com sensores isolados.

Realizamos uma comparação estatística usando validação cruzada estratificada e o teste de Wilcoxon, observando diferenças significativas com $p < 0,05$.

7. Estudo de Caso

7.1 Ambiente Corporativo

Simulamos uma cadeia de ataque envolvendo comprometimento inicial, implantação de webshell, beaconing de comando e controle e extração de credenciais da memória do LSASS.

A correlação temporal possibilitou reconstruir a progressão completa da intrusão a partir de eventos distribuídos entre logs de rede, endpoints e artefatos de memória.

7.2 Ambiente de Saúde

Em um cenário que emula a infraestrutura hospitalar, modelamos phishing seguido de execução ofuscada de PowerShell e uma tentativa de exfiltração via HTTPS.

A integração de telemetria de proxy, Sysmon e Suricata possibilitou identificar a cadeia de TTPs correspondente à técnica ATT&CK T1041 (Exfiltration Over C2 Channel).

Os procedimentos de resposta incluíram isolamento de rede, aquisição de memória e preservação de evidências em conformidade com diretrizes de coleta digital (FARMER; VENEMA, 2004).

8. Discussão

A principal contribuição da arquitetura proposta reside na introdução de restrições semânticas durante o processo de correlação. Ao restringir transições válidas entre eventos de acordo com ATT&CK, reduzimos substancialmente a ocorrência de combinações espúrias de eventos.

Entretanto, diversas limitações permanecem. O modelo depende da qualidade do mapeamento entre eventos observáveis e técnicas ATT&CK, processo que pode introduzir incerteza semântica. Além disso, em ambientes com volumes extremamente altos de eventos, estratégias adicionais de amostragem ou agregação podem ser necessárias.

Apesar dessas restrições, o método oferece vantagens importantes em termos de interpretabilidade e alinhamento com a prática operacional de resposta a incidentes.

9. Conclusão

Apresentamos uma arquitetura híbrida para detecção em múltiplas camadas orientada à correlação temporal probabilística com base no framework MITRE ATT&CK. Demonstramos que a integração semântica e temporal de telemetria proveniente de fontes de rede, endpoint e memória pode melhorar a qualidade da detecção e reduzir o ruído operacional.

Os resultados experimentais e os estudos de caso sugerem que a abordagem baseada em grafos temporais é uma direção promissora para sistemas de detecção em ambientes corporativos complexos.

Trabalhos futuros incluem a integração com Graph Neural Networks para inferência estrutural em grafos dinâmicos, a aplicação de técnicas de verificação formal para validar políticas de detecção e a avaliação de longo prazo em ambientes de produção em larga escala.

Referências

AXELSSON, Stefan. The base-rate fallacy and the difficulty of intrusion detection. ACM Transactions on Information and System Security, v. 3, n. 3, p. 186–205, 2000. Available at: https://doi.org/10.1145/357830.357849

CNCF. Falco: Cloud Native Runtime Security. 2023. Available at: https://falco.org

FARMER, Dan; VENEMA, Wietse. Forensic Discovery. Boston: Addison‑Wesley, 2004. Available at: https://www.oreilly.com/library/view/forensic-discovery/020163497X/

GARFINKEL, Simson. Digital forensics research: The next 10 years. Digital Investigation, v. 7, p. S64–S73, 2010. Available at: https://doi.org/10.1016/j.diin.2010.05.009

GARTNER. Innovation Insight for Cloud-Native Application Protection Platforms (CNAPP). 2023. Available at: https://www.gartner.com

LOLBAS PROJECT. Living Off The Land Binaries and Scripts. 2024. Available at: https://lolbas-project.github.io

MANDIANT. M‑Trends 2023: Special Report. 2023. Available at: https://www.mandiant.com/resources/m-trends

MITRE. ATT&CK Framework. 2023. Available at: https://attack.mitre.org

MOUSTAFA, Nour; SLAY, Jill. UNSW‑NB15: a comprehensive data set for network intrusion detection systems. Military Communications and Information Systems Conference, 2015. Available at: https://doi.org/10.1109/MilCIS.2015.7348942

NIST. National Vulnerability Database: CVE‑2021‑44228. 2021. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

NIST. Guide to Intrusion Detection and Prevention Systems (SP 800‑94). 2012. Available at: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-94.pdf

NIST. Computer Security Incident Handling Guide (SP 800‑61r2). 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf

OISF. Suricata 7 Documentation. 2023. Available at: https://docs.suricata.io

PAXSON, Vern. Bro: A system for detecting network intruders in real-time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Available at: https://doi.org/10.1016/S1389-1286(99)00112-7

ROESCH, Martin. Snort: Lightweight intrusion detection for networks. Proceedings of LISA, 1999. Available at: https://www.usenix.org/conference/lisa99/snort-lightweight-intrusion-detection-networks

SHARAFALDIN, Iman; HABIBI LASHKARI, Arash; GHORBANI, Ali. Toward generating a new intrusion detection dataset. ICISSP, 2018. Available at: https://doi.org/10.5220/0006639801080116

SIGMA HQ. Sigma: Generic Signature Format for SIEM Systems. 2024. Available at: https://sigmahq.io

SOMMER, Robin; PAXSON, Vern. Outside the closed world: On using machine learning for network intrusion detection. IEEE Symposium on Security and Privacy, 2010. Available at: https://doi.org/10.1109/SP.2010.25

VOLATILITY FOUNDATION. Volatility 3 Framework Documentation. 2023. Available at: https://volatility3.readthedocs.io

MICROSOFT. Sysmon Documentation. 2024. Available at: https://learn.microsoft.com/sysinternals/downloads/sysmon

ELASTIC. Elastic Common Schema (ECS) Reference. 2024. Available at: https://www.elastic.co/guide/en/ecs/current

APACHE SOFTWARE FOUNDATION. Apache Kafka Documentation. 2024. Available at: https://kafka.apache.org/documentation

HOILAND-JORGENSEN, Toke et al. The eBPF ecosystem: High-performance kernel networking. Communications of the ACM, 2021. Available at: https://doi.org/10.1145/3472680

MITRE ENGNUITY. ATT&CK Evaluations Methodology. 2023. Available at: https://attackevals.mitre-engenuity.org

CISA. Secure by Design: Shifting the Balance of Cybersecurity Risk. 2023. Available at: https://www.cisa.gov/securebydesign