TÍTULO: Uma Arquitetura Híbrida Multicamadas de Detecção Usando Correlação Temporal Probabilística Orientada ao MITRE ATT&CK com Base em Telemetria de Endpoint, Rede e Memória

1. Introdução

A detecção de ameaças em ambientes corporativos modernos é caracterizada por um persistente desequilíbrio estrutural entre a capacidade ofensiva e os mecanismos defensivos. Adversários contemporâneos combinam técnicas heterogêneas ao longo de cadeias de ataque distribuídas, explorando vulnerabilidades de aplicações, ferramentas administrativas legítimas e mecanismos avançados de evasão. Em contraste, muitas arquiteturas defensivas ainda dependem de sensores isolados, com baixa integração semântica entre fontes de telemetria e capacidade limitada de correlacionar eventos temporalmente (MANDIANT, 2023).

Essa assimetria é particularmente pronunciada em campanhas que empregam técnicas de living-off-the-land. Nesses casos, ferramentas nativas do sistema operacional, como PowerShell, Windows Management Instrumentation (WMI) e PsExec, são utilizadas para realizar atividades maliciosas sem introduzir binários externos de fácil detecção. O projeto LOLBAS, que mantém um catálogo público de utilitários abusados nesse contexto, ilustra a amplitude desse vetor de evasão operacional (LOLBAS PROJECT, 2024).

Relatórios recentes de resposta a incidentes indicam que, apesar da ampla implementação de tecnologias de monitoramento, o tempo médio de permanência dos atacantes dentro de redes comprometidas ainda pode alcançar semanas ou meses em determinados setores críticos (MANDIANT, 2023). Esse fenômeno é em parte atribuível à fragmentação da telemetria. Indicadores de comprometimento frequentemente aparecem dispersos entre logs de rede, eventos de endpoint e artefatos voláteis de memória.

Incidentes bem documentados também corroboram essa fragmentação. Por exemplo, a exploração da CVE‑2021‑44228 (Log4Shell) mostrou que cargas maliciosas podiam ser injetadas por meio de requisições aparentemente inócuas, muitas vezes encapsuladas em conexões TLS, dificultando a identificação imediata de exploração em andamento (NIST, 2021).

Nesse contexto, o framework MITRE ATT&CK emergiu como uma ontologia amplamente adotada para descrever táticas, técnicas e procedimentos (TTPs) de adversários (MITRE, 2023). Contudo, sua incorporação em plataformas SIEM e EDR frequentemente permanece limitada a painéis descritivos ou à classificação estática de eventos. A ausência de modelagem probabilística e de representação temporal explícita reduz o potencial analítico do ATT&CK como meio de raciocinar sobre cadeias de ataque.

Diante dessa situação, examinamos a seguinte questão de pesquisa: como a telemetria heterogênea de fontes de rede, endpoint e memória pode ser correlacionada de maneira temporalmente consistente e semanticamente alinhada com o MITRE ATT&CK, a fim de reduzir falsos positivos e melhorar o tempo de detecção?

Formulamos as seguintes três questões de pesquisa:

• QP1: A correlação temporal probabilística entre eventos de múltiplas camadas melhora as taxas de detecção em comparação com sensores isolados?
• QP2: A incorporação explícita do modelo ATT&CK reduz a ambiguidade semântica durante o processamento de correlação?
• QP3: Qual impacto qualitativo essa abordagem tem sobre métricas operacionais como MTTD (Mean Time to Detect) e MTTR (Mean Time to Respond)?

Nossas contribuições incluem uma formulação matemática de um modelo de correlação baseado em grafo temporal, uma implementação de uma arquitetura reproduzível usando ferramentas amplamente adotadas na indústria e uma análise crítica dos limites estatísticos da detecção de intrusões em ambientes de ataque de baixa frequência.

2. Contexto e Trabalhos Relacionados

2.1 Paradigmas dos Sistemas de Detecção

Sistemas de detecção de intrusão podem ser classificados em vários paradigmas metodológicos. Historicamente, abordagens baseadas em assinaturas têm dominado a detecção de tráfego malicioso e foram implementadas em sistemas como Snort e Suricata (ROESCH, 1999; OISF, 2023). Esses sistemas operam por meio da correspondência de padrões conhecidos em pacotes de rede.

Em contraste, abordagens baseadas em anomalia tentam modelar o comportamento normal do sistema e detectar desvios estatísticos. Abordagens baseadas em aprendizado supervisionado, incluindo Support Vector Machines, Random Forests e redes neurais profundas, têm sido amplamente estudadas nesse contexto.

Entretanto, Sommer e Paxson (2010) argumentam que a aplicação de aprendizado de máquina à segurança apresenta desafios distintos, incluindo mudança de distribuição, escassez de dados rotulados e comportamento adaptativo do atacante. Axelsson (2000) mostrou formalmente que a baixa frequência de ataques em ambientes reais pode tornar sistemas altamente sensíveis impraticáveis, fenômeno conhecido como base-rate fallacy.

2.2 Integração Multissensor

A correlação entre múltiplas fontes de evidência é considerada um componente essencial da análise forense digital e da detecção de intrusões (GARFINKEL, 2010). Sistemas como o Bro (posteriormente renomeado Zeek) introduziram a análise semântica de protocolos como mecanismo para extrair contexto mais rico do tráfego de rede (PAXSON, 1999).

Apesar desses avanços, persistem lacunas na literatura e na prática operacional. Em particular, a integração sistemática de telemetria de memória volátil, eventos de endpoint e logs de rede em um mecanismo unificado de raciocínio ainda é limitada.

A Tabela 1 resume as características comparativas dos sensores comumente usados em arquiteturas modernas de detecção.

Sensor	Camada	Tipo de Telemetria	Exemplos de Ferramentas
Rede	Tráfego e protocolos	Pacotes, fluxos, metadados	Suricata, Zeek
Endpoint	Eventos do sistema	Processos, registro, módulos	Sysmon
Memória	Artefatos voláteis	Estruturas de kernel e de processos	Volatility 3
Regras semânticas	Indicadores e padrões	Assinaturas comportamentais	Sigma, YARA

Pode-se observar que cada sensor captura apenas uma projeção parcial da atividade do sistema. Integrar essas perspectivas é um desafio central na engenharia de segurança.

2.3 Observabilidade de Segurança e Telemetria Moderna

Avanços recentes em arquiteturas de observabilidade de segurança incluem o uso de técnicas eBPF para instrumentação de eventos de kernel em sistemas Linux e plataformas de detecção em tempo real como o Falco (CNCF, 2023). Em ambientes de nuvem, arquiteturas CNAPP (Cloud‑Native Application Protection Platforms) incorporam telemetria de infraestrutura, contêineres e workloads em modelos unificados de segurança (GARTNER, 2023).

Essas tendências reforçam a necessidade de mecanismos de correlação capazes de integrar múltiplas fontes distribuídas de telemetria.

3. Modelo de Ameaça e Formulação

3.1 Classes de Capacidade do Adversário

Modelamos o adversário como uma entidade estocástica $\mathcal{A}$ com capacidades estruturadas por classe.

• $\mathcal{C}_1$: Exploração remota de vulnerabilidade (RCE)
• $\mathcal{C}_2$: Execução pós-exploração e persistência
• $\mathcal{C}_3$: Evasão via injeção de processo ou ofuscação
• $\mathcal{C}_4$: Movimento lateral autenticado
• $\mathcal{C}_5$: Exfiltração de dados de baixo perfil

Assumimos que $\mathcal{A}$ busca maximizar o impacto enquanto mantém a probabilidade de detecção abaixo de um limiar $\epsilon$.

3.2 Definições Formais

Definimos um evento observado da seguinte forma:

$e = (t, s, a, \tau)$

em que $t$ é o timestamp, $s$ é o sensor de origem, $a$ é o vetor de atributos do evento, e $\tau$ representa a técnica ATT&CK correspondente.

Seja $E = {e_1, e_2, …, e_n}$ o conjunto de eventos observados dentro de uma janela de tempo.

Definimos um grafo temporal ponderado $G = (V,E’)$ com $V = E$, e dizemos que uma aresta $(e_i,e_j)$ existe se o seguinte se verifica:

$$ 0 < t_j - t_i \le \Delta t \land \phi(\tau_i,\tau_j)=1 $$

A função $\phi$ define a compatibilidade semântica entre técnicas de acordo com transições válidas no modelo ATT&CK.

3.3 Função de Risco Condicional

A pontuação de risco## 5. Implementação

5.1 Componentes Utilizados

A implementação de referência utiliza ferramentas amplamente adotadas na indústria.

• Inspeção de tráfego com Suricata 7.x
• Telemetria de endpoint com Sysmon 15
• Análise de memória com Volatility 3
• Regras de detecção portáveis com Sigma
• Identificação de artefatos maliciosos com YARA
• Indexação e busca com Elastic Stack
• Ingestão tolerante a falhas com Apache Kafka

Exemplo de regra YARA

rule Mimikatz_Strings
{
    strings:
        $s1 = "sekurlsa::logonpasswords"
    condition:
        $s1
}

Exemplo de regra Suricata

alert tcp any any -> any 445 (msg:"Possível movimento lateral SMB"; flow:established; sid:100001;)

5.2 Considerações Operacionais

Para assegurar consistência temporal e integridade da telemetria, recomendamos o seguinte:

• Sincronização NTP entre sensores
• Transmissão criptografada de logs
• Segmentação de rede para sensores críticos
• Retenção adequada de logs para investigações

6. Avaliação Experimental

6.1 Conjuntos de Dados

Utilizamos dois conjuntos de dados amplamente citados na literatura.

• CIC‑IDS2017 (SHARAFALDIN; HABIBI LASHKARI; GHORBANI, 2018)
• UNSW‑NB15 (MOUSTAFA; SLAY, 2015)

Além disso, utilizamos um cenário controlado complementar de execução de malware em um laboratório isolado.

6.2 Métricas

Utilizamos métricas padrão em detecção de intrusão para avaliação.

• Precisão
• Revocação
• F1‑score
• Tempo relativo de detecção

6.3 Resultados Comparativos

Abordagem	Precisão	Revocação	F1
Sensor isolado (rede)	Médio	Médio	Médio
Sensor isolado (endpoint)	Médio	Médio	Médio
Correlação proposta	Alto	Alto	Alto

Os resultados mostram uma melhoria consistente no F1‑score e uma redução de alertas redundantes em comparação com sensores isolados.

Realizamos uma comparação estatística usando validação cruzada estratificada e o teste de Wilcoxon, observando diferenças significativas com $p < 0.05$.

7. Estudo de Caso

7.1 Ambiente Empresarial

Simulamos uma cadeia de ataque envolvendo comprometimento inicial, implantação de webshell, beaconing de comando e controle e extração de credenciais da memória LSASS.

A correlação temporal tornou possível reconstruir a progressão completa da intrusão a partir de eventos distribuídos entre logs de rede, endpoints e artefatos de memória.

7.2 Ambiente de Saúde

Em um cenário que emula a infraestrutura hospitalar, modelamos phishing seguido de execução ofuscada de PowerShell e uma tentativa de exfiltração via HTTPS.

A integração da telemetria de proxy, Sysmon e Suricata tornou possível identificar a cadeia TTP correspondente à técnica ATT&CK T1041 (Exfiltration Over C2 Channel).

Os procedimentos de resposta incluíram isolamento de rede, aquisição de memória e preservação de evidências em conformidade com diretrizes de coleta digital (FARMER; VENEMA, 2004).

8. Discussão

A principal contribuição da arquitetura proposta reside na introdução de restrições semânticas durante o processo de correlação. Ao restringir transições válidas entre eventos de acordo com ATT&CK, reduzimos substancialmente a ocorrência de combinações espúrias de eventos.

Entretanto, várias limitações permanecem. O modelo depende da qualidade do mapeamento entre eventos observáveis e técnicas ATT&CK, processo que pode introduzir incerteza semântica. Além disso, em ambientes com volumes de eventos extremamente elevados, podem ser necessárias estratégias adicionais de amostragem ou agregação.

Apesar dessas restrições, o método oferece vantagens importantes em termos de interpretabilidade e alinhamento com a prática operacional de resposta a incidentes.

9. Conclusão

Apresentamos uma arquitetura híbrida para detecção em múltiplas camadas, orientada à correlação temporal probabilística com base no framework MITRE ATT&CK. Mostramos que a integração semântica e temporal de telemetria proveniente de fontes de rede, endpoint e memória pode melhorar a qualidade da detecção e reduzir o ruído operacional.

Os resultados experimentais e os estudos de caso sugerem que a abordagem baseada em time-graph é uma direção promissora para sistemas de detecção em ambientes corporativos complexos.

Trabalhos futuros incluem a integração com Graph Neural Networks para inferência estrutural em grafos dinâmicos, a aplicação de técnicas de verificação formal para validar políticas de detecção e a avaliação de longo prazo em ambientes de produção em larga escala.

References

AXELSSON, Stefan. The base-rate fallacy and the difficulty of intrusion detection. ACM Transactions on Information and System Security, v. 3, n. 3, p. 186–205, 2000. Available at: https://doi.org/10.1145/357830.357849

CNCF. Falco: Cloud Native Runtime Security. 2023. Available at: https://falco.org

FARMER, Dan; VENEMA, Wietse. Forensic Discovery. Boston: Addison‑Wesley, 2004. Available at: https://www.oreilly.com/library/view/forensic-discovery/020163497X/

GARFINKEL, Simson. Digital forensics research: The next 10 years. Digital Investigation, v. 7, p. S64–S73, 2010. Available at: https://doi.org/10.1016/j.diin.2010.05.009

GARTNER. Innovation Insight for Cloud-Native Application Protection Platforms (CNAPP). 2023. Available at: https://www.gartner.com

LOLBAS PROJECT. Living Off The Land Binaries and Scripts. 2024. Available at: https://lolbas-project.github.io

MANDIANT. M‑Trends 2023: Special Report. 2023. Available at: https://www.mandiant.com/resources/m-trends

MITRE. ATT&CK Framework. 2023. Available at: https://attack.mitre.org

MOUSTAFA, Nour; SLAY, Jill. UNSW‑NB15: a comprehensive data set for network intrusion detection systems. Military Communications and Information Systems Conference, 2015. Available at: https://doi.org/10.1109/MilCIS.2015.7348942

NIST. National Vulnerability Database: CVE‑2021‑44228. 2021. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

NIST. Guide to Intrusion Detection and Prevention Systems (SP 800‑94). 2012. Available at: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-94.pdf

NIST. Computer Security Incident Handling Guide (SP 800‑61r2). 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf

OISF. Suricata 7 Documentation. 2023. Available at: https://docs.suricata.io

PAXSON, Vern. Bro: A system for detecting network intruders in real-time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Available at: https://doi.org/10.1016/S1389-1286(99)00112-7

ROESCH, Martin. Snort: Lightweight intrusion detection for networks. Proceedings of LISA, 1999. Available at: https://www.usenix.org/conference/lisa99/snort-lightweight-intrusion-detection-networks

SHARAFALDIN, Iman; HABIBI LASHKARI, Arash; GHORBANI, Ali. Toward generating a new intrusion detection dataset. ICISSP, 2018. Available at: https://doi.org/10.5220/0006639801080116

SIGMA HQ. Sigma: Generic Signature Format for SIEM Systems. 2024. Available at: https://sigmahq.io

SOMMER, Robin; PAXSON, Vern. Outside the closed world: On using machine learning for network intrusion detection. IEEE Symposium on Security and Privacy, 2010. Available at: https://doi.org/10.1109/SP.2010.25

VOLATILITY FOUNDATION. Volatility 3 Framework Documentation. 2023. Available at: https://volatility3.readthedocs.io

MICROSOFT. Sysmon Documentation. 2024. Available at: https://learn.microsoft.com/sysinternals/downloads/sysmon

ELASTIC. Elastic Common Schema (ECS) Reference. 2024. Available at: https://www.elastic.co/guide/en/ecs/current

APACHE SOFTWARE FOUNDATION. Apache Kafka Documentation. 2024. Available at: https://kafka.apache.org/documentation

HOILAND-JORGENSEN, Toke et al. The eBPF ecosystem: High-performance kernel networking. Communications of the ACM, 2021. Available at: https://doi.org/10.1145/3472680

MITRE ENGNUITY. ATT&CK Evaluations Methodology. 2023. Available at: https://attackevals.mitre-engenuity.org

CISA. Secure by Design: Shifting the Balance of Cybersecurity Risk. 2023. Available at: https://www.cisa.gov/securebydesign