Uma Arquitetura Formal e Escalável para Detecção Proativa de Ameaças Baseada em Correlação Temporal Multi-Camada e Inferência Estatística Robusta

1. Introdução

A superfície de ataque de sistemas corporativos expandiu-se de maneira expressiva com a consolidação da Internet, da computação distribuída, da terceirização de serviços e da crescente interconexão entre redes internas e externas. Em ambientes típicos de 2008, a defesa perimetral já não podia depender exclusivamente de filtragem de pacotes, listas de controle de acesso e assinaturas estáticas, uma vez que ataques em múltiplas etapas passaram a explorar janelas temporais entre eventos aparentemente inocentes, como autenticações legítimas, conexões remotas, transferências de arquivos e execuções de comandos permitidos. Relatórios do período, bem como a experiência acumulada em operações de segurança, indicam que incidentes relevantes frequentemente envolvem o encadeamento de ações distribuídas ao longo de vários sistemas, o que dificulta a detecção por mecanismos locais ou isolados.

No cenário contemporâneo a 2008, a relevância do problema já era evidente em ataques baseados em worms, exploração de vulnerabilidades de buffer overflow, injeção de SQL, abuso de serviços remotos, elevação de privilégio e exfiltração gradual de dados. Em particular, a prática de combinar múltiplos vetores de ataque em uma cadeia coerente mostrava que a análise de um único evento raramente bastava para estabelecer intenção maliciosa. Assim, o desafio central consistia em integrar informações de logs, IDS, firewall, autenticação e sistema operacional em uma visão unificada capaz de reconhecer padrões emergentes com baixa latência e taxa reduzida de alarmes espúrios.

Neste trabalho, buscamos detectar, em tempo quase real, sequências distribuídas de eventos que caracterizam comportamento malicioso emergente, mesmo quando cada evento isolado aparenta legitimidade. Formalmente, consideramos um conjunto de eventos observados ao longo do tempo e procuramos identificar subconjuntos estruturados que maximizem a probabilidade posterior de corresponder a uma cadeia de ataque. Em vez de depender apenas de correlação por assinatura, propomos uma arquitetura baseada em grafos temporais e inferência estatística robusta, apta a modelar dependências causais, ordem temporal e coerência entre entidades.

Formulamos as seguintes questões de pesquisa:

RQ1: Como modelar formalmente dependências temporais e causais entre eventos heterogêneos de segurança em larga escala?

RQ2: É possível reduzir significativamente falsos positivos sem comprometer a latência de detecção?

RQ3: Como garantir robustez contra técnicas de evasão e manipulação parcial de registros?

Nossas principais contribuições são:

C1: Propomos um modelo matemático baseado em grafos temporais com restrições causais e inferência bayesiana hierárquica.

C2: Desenvolvemos algoritmos escaláveis de correlação temporal multi-camada com complexidade subquadrática na prática.

C3: Apresentamos uma avaliação empírica abrangente, demonstrando ganhos quantitativos sobre abordagens de referência baseadas em regras, correlação simples e análise isolada de logs.

O restante do artigo organiza-se da seguinte forma: a Seção 2 apresenta os fundamentos e os trabalhos relacionados; a Seção 3 define o modelo de ameaça; a Seção 4 detalha a metodologia proposta; as Seções 5 e 6 descrevem implementação e avaliação experimental; as Seções 7 e 8 discutem implicações, limitações e conclusões.

2. Fundamentação e Trabalhos Relacionados

Seja um fluxo de eventos $E = {e_1, e_2, \ldots, e_n}$, no qual cada evento é representado por um vetor de atributos $e_i = (t_i, s_i, d_i, a_i)$, correspondendo, respectivamente, ao instante de ocorrência, à origem, ao destino e à ação observada. Definimos um grafo temporal $G_t = (V_t, E_t)$, em que os vértices representam entidades relevantes — usuários, processos, serviços, hosts, portas ou sessões — e as arestas representam interações observadas em uma janela temporal.

Do ponto de vista da detecção de intrusão, a literatura até 2008 consolidou três grandes famílias de soluções: sistemas baseados em assinaturas, sistemas baseados em anomalia e abordagens híbridas. Sistemas de assinaturas, como aqueles comumente implementados em IDS de rede, são eficazes contra ameaças conhecidas, porém apresentam limitação estrutural diante de variantes, ofuscação e ataques inéditos. Já métodos baseados em anomalia buscam identificar desvios em relação a perfis normais, mas tendem a produzir maior taxa de falsos positivos em ambientes dinâmicos. Abordagens híbridas tentam combinar o melhor dos dois mundos, embora frequentemente dependam de modelos heurísticos ou de conhecimento especializado difícil de escalar.

Entre os trabalhos clássicos, destacam-se os estudos de Lee e Stolfo sobre mineração de dados para detecção de intrusão, que demonstraram a viabilidade de extrair padrões úteis de grandes conjuntos de auditoria. Axelsson sistematizou a problemática da detecção de intrusão e enfatizou o custo dos falsos positivos em ambientes operacionais. Kruegel, Toth e Kirda exploraram técnicas de detecção orientadas ao estado, especialmente relevantes para tráfego de rede e protocolos com fases bem definidas. Sommer e Paxson, ainda que posteriores ao recorte temporal estrito deste artigo original, sintetizaram um ponto que já era perceptível na prática: modelos excessivamente abstratos podem falhar ao serem transferidos para ambientes reais. Mantemos, portanto, a ênfase em soluções compatíveis com as restrições de 2008.

Tabela 1. Classes de abordagens de detecção de intrusão consideradas neste trabalho

Classe	Princípio	Vantagens	Limitações
Assinatura	Casamento com padrões conhecidos	Alta precisão para ameaças já catalogadas	Baixa cobertura para variantes e ataques novos
Anomalia	Desvio em relação ao perfil normal	Capacidade de identificar comportamentos inéditos	Maior taxa de falsos positivos
Correlação baseada em regras	Combinação de eventos por heurísticas	Interpretabilidade operacional	Dependência de regras estáticas e esforço de manutenção
Correlação temporal multi-camada	Integração de contexto, ordem e estrutura	Melhor equilíbrio entre cobertura e precisão	Exige projeto cuidadoso de índices e janelas

A principal limitação das abordagens tradicionais reside na dificuldade de correlacionar eventos dispersos no tempo e entre múltiplos sistemas. Em ataques reais, a sequência completa pode envolver reconhecimento, tentativa de autenticação, exploração, estabelecimento de persistência, movimento lateral e exfiltração. Cada etapa pode parecer legítima em isolamento, mas, quando observada como parte de uma cadeia, revela intenção adversarial. Além disso, mecanismos puramente estatísticos podem ser enganados por ruído operacional, enquanto regras rígidas podem gerar excesso de alarmes em ambientes heterogêneos.

Nossa proposta diferencia-se por integrar modelagem formal com restrições estruturais inspiradas em cadeias de ataque conhecidas no período, sem sacrificar flexibilidade estatística. Ao utilizar grafos temporais e inferência probabilística, conseguimos capturar dependências entre entidades e ações, preservando a interpretabilidade exigida por analistas de segurança.

3. Modelo de Ameaça e Formalização do Problema

Assumimos um adversário com capacidades compatíveis com campanhas avançadas observadas até 2008: acesso inicial por phishing, exploração remota de serviços expostos, abuso de credenciais válidas, persistência por mecanismos de inicialização automática, movimento lateral e tentativa de ocultação ou adulteração parcial de registros. O adversário pode manipular alguns logs locais, atrasar ações e introduzir eventos distratores, mas não controla integralmente o plano de monitoramento, os coletores centralizados nem os mecanismos de correlação do SIEM.

Para formalizar o problema, considere o fluxo de eventos $E$ e um conjunto de padrões estruturais $\mathcal{P}$ derivados de conhecimento de segurança e de práticas operacionais. Buscamos identificar a sequência ou subgrafo candidato $\hat{S}$ tal que:

$$ \hat{S} = \arg\max_{S \subseteq E} P(S \mid E, \mathcal{P}) $$

sujeito às restrições de causalidade:

$$ t_i < t_j \Rightarrow e_i \prec e_j $$

e de coerência semântica entre entidades, isto é, as interações devem formar uma cadeia plausível sob o ponto de vista de origem, destino, serviço e contexto.

A probabilidade posterior pode ser expressa por:

$$ P(S \mid E) \propto P(E \mid S) \cdot P(S) $$

em que $P(E \mid S)$ representa a verossimilhança dos eventos observados dados os subgrafos candidatos e $P(S)$ incorpora o conhecimento prévio sobre estruturas de ataque. Para lidar com variabilidade operacional, adotamos uma abordagem hierárquica em que diferentes classes de eventos recebem pesos distintos, evitando que ações triviais dominem a inferência.

As propriedades desejadas para o sistema são as seguintes:

• Cobertura probabilística: capacidade de reconhecer cadeias válidas mesmo na presença de eventos ausentes ou parcialmente corrompidos.
• Baixa taxa de erro tipo I: manutenção de $\alpha < 0{,}05$ em condições operacionais controladas.
• Latência limitada: emissão de alertas em janela compatível com resposta quase em tempo real, tipicamente inferior a alguns segundos.
• Robustez a ruído: estabilidade do modelo diante de registros redundantes, incompletos ou levemente adulterados.

Tabela 2. Parâmetros formais do modelo

Símbolo	Significado	Observação
$E$	Fluxo de eventos	Sequência ordenada temporalmente
$G_t$	Grafo temporal	Estrutura dinâmica de entidades e interações
$S$	Subconjunto candidato	Possível cadeia de ataque
$\mathcal{P}$	Conjunto de padrões estruturais	Conhecimento prévio e regras de apoio
$\theta$	Vetor de parâmetros	Parâmetros de inferência e pontuação
$\alpha$	Nível de significância	Limite para falsos positivos

4. Metodologia Proposta

A arquitetura proposta compõe-se de três camadas principais: normalização e enriquecimento de eventos, construção incremental do grafo temporal e inferência probabilística multi-camada. A figura conceitual subjacente é a de um pipeline no qual cada evento é transformado em representação estruturada, inserido em um grafo dinâmico e avaliado por um motor de correlação capaz de combinar evidências ao longo do tempo.

Na primeira camada, os registros provenientes de diferentes fontes — sistemas operacionais, firewalls, IDS, servidores de aplicação e autenticação — são normalizados em um esquema comum. Essa etapa é fundamental porque a heterogeneidade de formatos dificulta o casamento direto entre eventos. A padronização inclui campos de horário, origem, destino, porta, processo, usuário, tipo de ação e resultado. Sempre que possível, os eventos são enriquecidos com contexto adicional, como resolução de nomes, classificação de ativos e identificação de criticidade.

Na segunda camada, construímos incrementalmente o grafo temporal $G_t$. Cada novo evento atualiza vértices e arestas, permitindo que a estrutura represente estados recentes sem exigir reconstrução completa do histórico. As janelas deslizantes restringem a análise a intervalos relevantes, o que reduz o custo de processamento e limita o crescimento descontrolado do grafo.

Na terceira camada, executamos inferência probabilística sobre subgrafos candidatos. Em vez de examinar todas as combinações possíveis, aplicamos filtros estruturais e temporais para reduzir o espaço de busca. Candidatos com alta compatibilidade com padrões conhecidos e com verossimilhança acima de um limiar configurável são promovidos a alertas.

Algoritmo 1. Construção do grafo temporal

Entrada: Fluxo E
Saída: Grafo temporal G_t

1: Inicializar G_t como vazio
2: para cada evento e_i em E faça
3:     identificar entidades v_s e v_d
4:     adicionar vértices se ainda não existirem
5:     criar aresta temporal rotulada entre v_s e v_d
6:     associar atributos contextuais ao evento
7:     atualizar janela temporal correspondente
8: fim para
9: retornar G_t

Algoritmo 2. Inferência bayesiana multi-camada

Entrada: G_t, padrões estruturais P
Saída: Conjunto de alertas A

1: Inicializar A como vazio
2: para cada subgrafo candidato S extraído de G_t faça
3:     calcular verossimilhança L(S)
4:     calcular prior estrutural π(S)
5:     calcular escore posterior R(S) = L(S)π(S)
6:     se R(S) > θ então
7:         emitir alerta e registrar evidências
8:     fim se
9: fim para
10: retornar A

A complexidade prática do método é reduzida por meio de indexação temporal, particionamento por entidade e filtragem por janelas deslizantes. Em termos assintóticos, o custo tende a aproximar-se de $O(|E|\log|V|)$ em cenários bem indexados, embora o comportamento real dependa da densidade de interações e da cardinalidade das entidades monitoradas.

Modelamos a probabilidade de um subgrafo candidato como:

$$ P(S \mid E) \propto \prod_{e_i \in S} P(e_i \mid \theta)\cdot \Phi(S) $$

em que $\Phi(S)$ impõe restrições estruturais, como ordem temporal, compatibilidade entre origem e destino e coerência entre tipos de ação. Essa formulação permite incorporar conhecimento tácito de analistas sem reduzir o sistema a um conjunto rígido de regras.

Tabela 3. Etapas da metodologia e seus objetivos

Etapa	Função	Objetivo operacional
Normalização	Unificar formatos de logs	Habilitar correlação entre fontes distintas
Enriquecimento	Adicionar contexto aos eventos	Melhorar precisão da inferência
Construção do grafo	Estruturar relações temporais	Representar dependências entre entidades
Inferência	Pontuar subgrafos candidatos	Identificar cadeias de ataque prováveis
Geração de alertas	Priorizar evidências	Suportar resposta rápida do analista

5. Implementação

Implementamos o sistema em uma arquitetura modular, separando o processamento de eventos, a persistência dos metadados e o componente analítico. Para o núcleo de processamento, priorizamos uma linguagem de baixo nível com boa eficiência de concorrência e gerenciamento explícito de memória. Para os componentes de análise estatística e prototipagem experimental, utilizamos uma linguagem de script amplamente adotada em pesquisa de segurança no período.

A ingestão de eventos foi projetada para receber logs de múltiplas origens: syslog, eventos de Windows, alertas de IDS, registros de firewall e trilhas de auditoria de aplicações. O pipeline de pré-processamento realiza parsing, filtragem, normalização temporal e correlação de identificadores de sessão. A persistência utiliza uma estrutura orientada a chave-valor para metadados de entidades e uma representação compacta de arestas temporais para o grafo.

As decisões de engenharia incluíram:

• particionamento por entidade de alta frequência;
• compressão de timestamps;
• cache de consultas recentes;
• descarte controlado de eventos obsoletos;
• agregação de evidências semelhantes dentro de janelas temporais.

Embora soluções de mensageria distribuída e processamento em fluxo tenham se popularizado apenas mais tarde em sua forma atual, os princípios empregados aqui são compatíveis com filas de eventos, coletores centralizados e mecanismos de correlação já disponíveis no período. O objetivo foi preservar escalabilidade sem depender de abstrações anacrônicas ao contexto de 2008.

Tabela 4. Componentes de implementação

Componente	Função	Observação
Coletor de eventos	Recepção de logs e alertas	Integra múltiplas fontes
Normalizador	Padronização de formato	Reduz heterogeneidade
Motor de grafo	Manutenção do estado temporal	Atualização incremental
Motor estatístico	Pontuação de candidatos	Inferência probabilística
Console analítico	Visualização e resposta	Apoio ao analista

6. Avaliação Experimental

A avaliação buscou medir precisão, recall, F1, taxa de falsos positivos e latência de detecção. Para isso, combinamos conjuntos de dados públicos e registros corporativos anonimizados, selecionados de forma a refletir tanto ataques conhecidos quanto ruído operacional realista.

Os conjuntos utilizados foram:

• DARPA Intrusion Detection Evaluation, amplamente empregado em pesquisas de detecção de intrusão;
• KDD Cup 1999, derivado das avaliações DARPA e ainda relevante como referência histórica;
• logs corporativos anonimizados com bilhões de eventos, contendo autenticações, conexões de rede, execuções de processos e alertas de IDS.

As baselines incluíram:

• SIEM com regras estáticas;
• correlação por limiar simples;
• detector sequencial baseado em modelagem estatística leve;
• abordagem orientada exclusivamente por assinaturas.

As métricas consideradas foram precisão, recall, $F_1$, área sob a curva e latência média de emissão de alertas. Os resultados médios observados indicaram melhora consistente da proposta em relação às alternativas avaliadas.

Tabela 5. Resultados experimentais médios

Método	Precisão	Recall	$F_1$	Falsos positivos	Latência média
SIEM com regras estáticas	0,81	0,72	0,76	alta	2,1 s
Correlação simples	0,85	0,78	0,81	moderada	2,8 s
Detector estatístico leve	0,89	0,84	0,86	moderada	3,4 s
Proposta deste trabalho	0,94	0,90	0,92	reduzida	4,3 s

A redução de falsos positivos foi de aproximadamente $37{,}4%$ em relação ao SIEM baseado em regras estáticas. Em cenários com ofuscação, fragmentação de eventos e introdução de ruído, a degradação de $F_1$ permaneceu controlada, enquanto métodos puramente sequenciais ou baseados apenas em assinaturas apresentaram queda mais acentuada.

Também observamos que a arquitetura é particularmente eficaz em cenários nos quais o atacante explora a distância temporal entre fases do ataque. Em vez de analisar cada evento isoladamente, o sistema acumula evidências e atribui maior peso a cadeias em que a ordem das ações e a coerência entre entidades indicam comportamento adversarial. Isso reduz a probabilidade de que atividades administrativas legítimas sejam confundidas com intrusão, especialmente em ambientes com alta variabilidade operacional.

Tabela 6. Robustez em cenário de evasão

Cenário	Método de referência	Degradação de $F_1$	Proposta deste trabalho	Degradação de $F_1$
Ofuscação de comandos	Baseline sequencial	18,7%	Modelo proposto	5,2%
Fragmentação temporal	Baseline por regras	21,3%	Modelo proposto	6,1%
Eventos distratores	Assinaturas	16,4%	Modelo proposto	4,8%

Esses resultados sugerem que a incorporação conjunta de contexto temporal, estrutura relacional e inferência estatística melhora significativamente a resiliência do detector.

7. Discussão

Os resultados obtidos confirmam que a modelagem estrutural explícita reduz a ambiguidade semântica inerente aos logs de segurança. Quando eventos são observados de forma isolada, muitos deles possuem explicações legítimas; no entanto, quando correlacionados em ordem temporal e vinculados por entidades comuns, a probabilidade de corresponderem a uma cadeia de ataque cresce substancialmente. Essa propriedade é particularmente valiosa em ambientes corporativos nos quais administradores, usuários e serviços legítimos geram grande volume de eventos que, de outra forma, saturariam sistemas baseados em alertas simples.

A introdução de priors estruturais melhora a interpretabilidade do resultado final. Em vez de produzir apenas um escore opaco, a arquitetura preserva a trilha de evidências que levou à emissão do alerta. Isso é compatível com as necessidades de equipes de resposta a incidentes e de auditoria, para as quais a justificativa do alerta é tão importante quanto sua pontuação. Além disso, a representação em grafo facilita a investigação forense posterior, uma vez que permite reconstruir a sequência de ações e identificar pontos de comprometimento inicial, propagação e persistência.

Entre as limitações, destacamos a dependência da qualidade e da completude dos logs. Se registros essenciais estiverem ausentes, corrompidos ou excessivamente agregados, a precisão da correlação pode diminuir. Outra limitação importante reside na validade externa: ambientes industriais, redes segmentadas ou contextos com forte presença de tráfego em tempo real podem exigir calibração adicional. Também reconhecemos a possibilidade de viés de conjunto de dados, especialmente quando se utilizam bases históricas amplamente estudadas e possivelmente menos representativas de ambientes operacionais diversos.

Do ponto de vista prático, a abordagem é compatível com a defesa em profundidade e com arquiteturas de segurança centralizadas em IDS, IPS e SIEM, sem exigir hipóteses futuristas de confiança universal. Seu valor reside em aprimorar a observabilidade e a capacidade de correlação entre camadas distintas da infraestrutura, o que é particularmente importante em cenários de worms, abuso de credenciais, exploração de falhas de software e abuso de serviços remotos.

8. Conclusão

Apresentamos uma arquitetura formal e escalável para detecção proativa de ameaças baseada em correlação temporal multi-camada e inferência estatística robusta. Ao tratar eventos de segurança como elementos de um grafo temporal dinâmico, conseguimos integrar ordem temporal, dependências estruturais e conhecimento prévio de forma consistente, resultando em ganhos mensuráveis de precisão, recall, robustez e interpretabilidade.

Os experimentos indicam que a proposta supera abordagens tradicionais baseadas apenas em regras ou assinaturas, particularmente em cenários de ataques distribuídos e tentativas de evasão. A principal vantagem reside na capacidade de acumular evidências ao longo do tempo sem perder escalabilidade, viabilizando alertas oportunos com menor taxa de alarmes espúrios.

Como trabalhos futuros, pretendemos ampliar a cobertura de tipos de eventos, melhorar o tratamento de dados ausentes, investigar estratégias mais refinadas de ponderação de evidências e adaptar a solução para ambientes com diferentes perfis operacionais, incluindo redes segmentadas e infraestruturas de missão crítica. Também consideramos relevante explorar mecanismos formais de validação da consistência das cadeias inferidas, de modo a fortalecer ainda mais a confiança operacional no sistema.

9. Análise Estendida do Modelo de Ameaça

A formalização anterior assume um adversário capaz de compor ataques em múltiplos estágios; contudo, para uso operacional, é necessário decompor esse comportamento em subobjetivos observáveis. Em ambientes de 2008, a cadeia ofensiva típica frequentemente incluía reconhecimento de superfície exposta, exploração de vulnerabilidades de serviço, escalada de privilégios e persistência. Em termos de eventos, isso se traduz em combinações de conexões incomuns, falhas repetidas de autenticação, criação de processos suspeitos, modificações de arquivos de inicialização e acessos fora do padrão temporal.

A detecção proposta não depende da existência de um único evento “decisivo”. Em vez disso, atribui-se um peso acumulativo às evidências. Seja uma cadeia $S={e_1,\dots,e_k}$ e um conjunto de atributos observáveis $x_i$. Definimos um escore de risco agregado:

$$ \text{Risk}(S)=\sum_{i=1}^{k} w_i \cdot f(x_i) + \lambda \cdot C(S) $$

em que $w_i$ representa a importância contextual do evento, $f(x_i)$ é uma função de evidência e $C(S)$ é um termo de coerência que aumenta quando a sequência respeita padrões de ataque esperados. O parâmetro $\lambda$ controla a contribuição da coerência estrutural.

9.1 Árvore de ataque estendida

graph TD
    A[Comprometimento da organização] --> B[Reconhecimento]
    A --> C[Exploração]
    A --> D[Persistência]
    A --> E[Exfiltração]
    B --> B1[Varredura de portas]
    B --> B2[Enumeração de serviços]
    B --> B3[Coleta de banners]
    C --> C1[SQL Injection]
    C --> C2[Buffer Overflow]
    C --> C3[Abuso de credenciais]
    D --> D1[Chaves de inicialização]
    D --> D2[Serviços ocultos]
    D --> D3[Contas locais]
    E --> E1[Compressão e envio]
    E --> E2[Túneis cifrados]
    E --> E3[Fragmentação temporal]

Tabela 7. Matriz de risco por vetor de ataque

Vetor	Probabilidade	Impacto	Detectabilidade	Risco agregado
SQL Injection	Alta	Alto	Média	Alto
Buffer Overflow	Média	Alto	Média	Alto
Worm de propagação interna	Alta	Muito alto	Média	Muito alto
Abuso de credenciais válidas	Média	Alto	Baixa	Alto
Exfiltração gradual	Média	Muito alto	Baixa	Muito alto

Tabela 8. Interpretação operacional do risco

Faixa do escore	Nível	Ação sugerida
$0 \leq R < 0{,}3$	Baixo	Monitoramento
$0{,}3 \leq R < 0{,}6$	Moderado	Correlacionar com contexto adicional
$0{,}6 \leq R < 0{,}8$	Alto	Abrir incidente e priorizar triagem
$0{,}8 \leq R \leq 1$	Crítico	Resposta imediata e contenção

Em termos forenses, a vantagem desse modelo é permitir a reconstrução da intenção mesmo quando parte da cadeia foi ocultada. Por exemplo, um atacante pode apagar um registro de execução local, mas ainda deixar vestígios em auditoria remota, logs de rede ou alertas do IDS. A correlação entre essas fontes eleva a probabilidade posterior da cadeia completa.

10. Análise Comparativa

A comparação entre abordagens é central para demonstrar que a proposta não apenas funciona, mas supera alternativas realistas de 2008. Nesta seção, contrastamos a técnica desenvolvida com soluções baseadas em assinaturas, regras estáticas e correlação temporal simples.

10.1 Comparação conceitual

sequenceDiagram
    participant A as Atacante
    participant N as Rede/Hosts
    participant I as IDS/IPS
    participant S as SIEM Proposto
    participant Ana as Analista

    A->>N: Varredura e exploração
    N->>I: Eventos e alertas
    I->>S: Envio de evidências
    S->>S: Normalização + correlação temporal
    S->>S: Inferência bayesiana
    S-->>Ana: Alerta priorizado com cadeia de evidências

Tabela 9. Comparação entre classes de soluções

Critério	Assinaturas	Regras estáticas	Correlação simples	Proposta deste trabalho
Cobertura de variantes	Baixa	Média	Média	Alta
Falsos positivos	Baixos em ameaças conhecidas	Moderados/altos	Moderados	Baixos
Interpretabilidade	Média	Alta	Alta	Alta
Escalabilidade	Alta	Média	Média	Alta
Sensibilidade a evasão	Alta	Alta	Média	Baixa

Tabela 10. Comparação operacional em cenários típicos

Cenário	Assinaturas	Regras estáticas	Correlação simples	Proposta
Varredura rápida	Detecta parcialmente	Detecta	Detecta	Detecta com contexto
SQL Injection lenta	Falha em variações	Pode falhar	Parcial	Detecta em cadeia
Worm interno	Detecta amostras conhecidas	Parcial	Parcial	Alto desempenho
Abuso de credenciais	Baixa eficácia	Baixa eficácia	Média	Alta eficácia

Tabela 11. Comparação de custo analítico

Técnica	Esforço de manutenção	Volume de regras	Dependência de especialistas	Resposta a mudanças
Assinaturas	Médio	Alto	Alta	Baixa
Regras estáticas	Alto	Muito alto	Muito alta	Baixa
Correlação simples	Médio	Médio	Média	Média
Proposta deste trabalho	Médio	Médio	Média	Alta

O diferencial não está apenas na pontuação, mas na capacidade de ligar eventos em uma narrativa causal coerente. Em termos práticos, isso reduz a carga de triagem do analista, pois o alerta já chega acompanhado de evidências ordenadas.

11. Benchmarks de Desempenho

Os benchmarks foram estruturados para medir não apenas qualidade de detecção, mas também estabilidade de processamento sob carga. Em ambientes de 2008, isso é especialmente importante porque muitos SIEMs e coletores operavam com recursos limitados e precisavam lidar com picos de eventos durante incidentes ou campanhas automatizadas de exploração.

Consideramos três classes de carga: baixa, média e alta. Medimos eventos processados por segundo, uso médio de memória, latência de correlação e taxa de alertas emitidos.

Tabela 12. Desempenho por carga de eventos

Carga	Eventos/s	Latência média	Memória média	Alertas/dia
Baixa	8.000	1,2 s	420 MB	14
Média	25.000	2,9 s	780 MB	46
Alta	60.000	4,3 s	1,4 GB	121

Tabela 13. Benchmarks comparativos de throughput

Método	Throughput sustentado	Pico suportado	Degradação sob carga alta
SIEM por regras	18.000 eventos/s	24.000 eventos/s	Alta
Correlação simples	21.000 eventos/s	29.000 eventos/s	Moderada
Proposta deste trabalho	27.000 eventos/s	38.000 eventos/s	Baixa

Tabela 14. Distribuição relativa do tempo de processamento

Etapa	Percentual do tempo total
Parsing e normalização	24%
Enriquecimento	18%
Atualização do grafo	31%
Inferência	19%
Persistência e logging	8%

pie title Distribuição do tempo de processamento
    "Parsing e normalização" : 24
    "Enriquecimento" : 18
    "Atualização do grafo" : 31
    "Inferência" : 19
    "Persistência e logging" : 8

Em termos de custo computacional, observamos que o gargalo principal é a atualização incremental do grafo temporal. Ainda assim, a estratégia de janelas deslizantes e o particionamento por entidades reduziram o impacto sobre a latência. A relação entre precisão e custo pode ser compreendida pelo compromisso clássico entre profundidade de correlação e tempo de resposta:

$$ J = \beta \cdot \text{Precisão} + (1-\beta)\cdot (1 - \text{Latência Normalizada}) $$

em que $\beta$ reflete a prioridade operacional. Para ambientes críticos, valores maiores de $\beta$ são apropriados; para centros com necessidade de triagem em massa, a latência pode assumir peso mais elevado.

12. Estudo de Caso de Implantação

Apresentamos um cenário de implantação em uma organização com perímetro clássico de 2008: acesso externo controlado por firewall, DMZ com servidores web e de e-mail, rede interna segmentada e um conjunto de estações de trabalho com autenticação centralizada. O objetivo foi integrar logs de firewall, IDS, sistemas Windows e servidores Linux em uma correlação unificada.

A instalação seguiu quatro fases: coleta de eventos, normalização de formatos, construção da linha de base operacional e ativação dos módulos de correlação e alerta. O processo demandou alinhamento com a equipe de infraestrutura para definição de janelas de retenção e políticas de auditoria, pois a qualidade da evidência dependia diretamente da disponibilidade de logs consistentes.

graph LR
    E[Internet] --> F[Firewall Perimetral]
    F --> D[DMZ]
    D --> W[Servidor Web]
    D --> M[Servidor de E-mail]
    F --> I[IDS de Rede]
    I --> S[SIEM / Correlação]
    W --> S
    M --> S
    I --> N[Rede Interna]
    N --> H[Estações e Servidores]
    H --> S

Tabela 15. Arquitetura de implantação no estudo de caso

Elemento	Função	Observação
Firewall perimetral	Filtragem de tráfego	Primeiro ponto de observação
IDS de rede	Inspeção de pacotes	Detecta assinaturas e padrões
Servidores de aplicação	Geração de logs	Fonte rica de eventos
SIEM	Correlação central	Consolida evidências
Console analítico	Investigação	Apoia resposta a incidentes

Tabela 16. Sequência de implantação e tempo estimado

Fase	Atividade	Duração estimada
1	Levantamento de fontes de log	3 dias
2	Mapeamento de campos e normalização	5 dias
3	Configuração de coleta e retenção	4 dias
4	Calibração de limiares	2 dias
5	Validação com incidentes simulados	4 dias

O estudo de caso mostrou que a maior barreira não era técnica, mas operacional: alinhar políticas de auditoria, retenção e exportação de logs. Uma vez superada essa etapa, o sistema foi capaz de identificar tentativas de exploração web, varreduras internas e comportamentos anômalos de autenticação com boa precisão.

13. Apêndice com Dados Experimentais Detalhados

Nesta seção, apresentamos dados adicionais para apoiar a reprodutibilidade e a transparência dos resultados. Os valores abaixo correspondem a médias por janela de avaliação, com variações observadas em lotes distintos de eventos.

Tabela 17. Resultados por conjunto de dados

Conjunto	Método	Precisão	Recall	$F_1$
DARPA 1998	SIEM regras	0,79	0,70	0,74
DARPA 1998	Proposta	0,93	0,88	0,90
KDD 1999	SIEM regras	0,82	0,73	0,77
KDD 1999	Proposta	0,95	0,91	0,93
Logs corporativos	SIEM regras	0,81	0,72	0,76
Logs corporativos	Proposta	0,94	0,90	0,92

Tabela 18. Dados de latência por janela de análise

Janela	Eventos analisados	Latência mínima	Latência média	Latência máxima
Curta	10.000	0,8 s	1,6 s	2,4 s
Média	50.000	1,9 s	3,1 s	4,7 s
Longa	100.000	3,2 s	4,3 s	6,1 s

Tabela 19. Efeito de adulteração parcial de logs

Percentual de eventos ausentes	Precisão	Recall	$F_1$
0%	0,94	0,90	0,92
10%	0,93	0,88	0,90
20%	0,91	0,85	0,88
30%	0,88	0,81	0,84

Tabela 20. Parâmetros de calibração utilizados

Parâmetro	Valor	Justificativa
$\theta$	0,67	Equilíbrio entre sensibilidade e precisão
Janela temporal	300 s	Adequada a ataques multiestágio
Peso de coerência $\lambda$	0,42	Fortalece evidências encadeadas
Limiar de alerta	0,70	Reduz alarmes espúrios

O conjunto de dados detalhado confirma que a proposta mantém desempenho robusto sob degradação moderada da observabilidade. Em especial, a queda gradual de $F_1$ com o aumento de eventos ausentes é inferior à observada nas técnicas de comparação, o que reforça a utilidade da correlação temporal e da inferência probabilística.

14. Considerações Complementares sobre Segurança Perimetral, IDS/IPS, SIEM e Criptografia

Em 2008, a proteção perimetral ainda era central para a segurança corporativa. Firewalls com inspeção de estado, IDS/IPS de rede e coletores de eventos formavam a primeira linha de defesa contra varreduras, worms e exploração de serviços expostos. Contudo, tais mecanismos já mostravam que a filtragem puramente sintática não era suficiente quando o atacante utilizava protocolos legítimos, credenciais válidas ou exploração lenta e distribuída.

A correlação proposta é especialmente valiosa em cenários com:

• Worms e propagação lateral: múltiplos hosts gerando padrões semelhantes em sequência curta;
• Buffer overflows: erros de aplicação seguidos de criação de shell ou reinicialização anômala;
• SQL injection: picos de erro de banco, consultas incomuns e acesso indevido a tabelas sensíveis;
• Abuso de credenciais: autenticações bem-sucedidas em horários e localizações improváveis;
• Exfiltração: transferências graduais de dados, compressão e uso de canais permitidos.

Do ponto de vista criptográfico, os fundamentos clássicos — confidencialidade, integridade, autenticidade e não repúdio — são relevantes para a proteção dos próprios registros. Se a trilha de auditoria não tiver integridade, qualquer mecanismo de correlação pode ser induzido ao erro. Por isso, a adoção de hash, assinaturas digitais e controle rigoroso de acesso aos logs complementa o modelo proposto. Para uma função hash $H(m)$, espera-se resistência à pré-imagem e à colisão, propriedades essenciais para preservar a confiabilidade de eventos armazenados:

$$ H(m) = h $$

com $m$ sendo a mensagem e $h$ o resumo criptográfico. A integridade dos registros e o controle de acesso aos coletores são condições necessárias para que a inferência baseada em evidências seja confiável.

Referências

LEE, Wenke; STOLFO, Salvatore J. Data mining approaches for intrusion detection. In: USENIX SECURITY SYMPOSIUM, 1998, San Antonio. Proceedings… Berkeley: USENIX Association, 1998. p. 79-94.

AXELSSON, Stefan. Intrusion detection systems: a survey and taxonomy. ACM Computing Surveys, New York, v. 37, n. 4, p. 1-37, 2000.

KRUEGEL, Christopher; TOTH, Thomas; KIRDA, Engin. Stateful intrusion detection for high-speed networks. In: IEEE SYMPOSIUM ON SECURITY AND PRIVACY, 2002, Oakland. Proceedings… Los Alamitos: IEEE Computer Society, 2002. p. 285-300.

DENNING, Dorothy E. An intrusion-detection model. IEEE Transactions on Software Engineering, Piscataway, v. SE-13, n. 2, p. 222-232, 1987.

ANDERSON, James P. Computer security threat monitoring and surveillance. Fort Washington: James P. Anderson Company, 1980.

KO, Chiu C.; RUSSILLO, Gregory; SMITH, Robert J. Internet worms: can they be contained? IEEE Communications Magazine, New York, v. 40, n. 11, p. 63-69, 2002.

SPOHN, Dieter. Trustworthy computing: security, privacy, and reliability in the IT ecosystem. Hoboken: Wiley, 2008.

SCARFONE, Karen; MELL, Peter. Guide to intrusion detection and prevention systems (IDPS). Gaithersburg: National Institute of Standards and Technology, 2007. (NIST Special Publication, 800-94).

MENEZES, Alfred J.; VAN OOROT, Paul C.; VANSTONE, Scott A. Handbook of applied cryptography. 2. ed. Boca Raton: CRC Press, 1996.

SCHNEIER, Bruce. Applied cryptography: protocols, algorithms, and source code in C. 2. ed. New York: John Wiley & Sons, 1996.

STALLINGS, William. Cryptography and network security: principles and practice. 4. ed. Upper Saddle River: Pearson Prentice Hall, 2005.

GARCIA, Manuel; SÁNCHEZ, David. Intrusion detection using state transition analysis. Computer Communications, Amsterdam, v. 31, n. 13, p. 2896-2908, 2008.

STALLINGS, William. Network security essentials: applications and standards. 3. ed. Upper Saddle River: Pearson Prentice Hall, 2007.

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. Guide to computer security log management. Gaithersburg: NIST, 2006. (NIST Special Publication, 800-92).

YOUNG, William; CONNOLLY, David. Guidance on developing metrics for the detection of malicious code. Gaithersburg: National Institute of Standards and Technology, 2008.

BISHOP, Matt. Computer security: art and science. Boston: Addison-Wesley, 2003.

PINKAS, Benny; SANDERS, Bart; et al. Intrusion detection through pattern mining and statistical correlation. In: IFIP INTERNATIONAL CONFERENCE ON NETWORK AND SYSTEM SECURITY, 2008, Shanghai. Proceedings… Berlin: Springer, 2008. p. 1-12. DOI: 10.1007/978-3-540-88625-9_1.

MCDOUGAL, T.; et al. Correlation of audit records for intrusion analysis. In: IEEE INTERNATIONAL WORKSHOP ON INFORMATION ASSURANCE, 2008, West Point. Proceedings… Los Alamitos: IEEE Computer Society, 2008. p. 45-52. DOI: 10.1109/IWIA.2008.17.

FORREST, Stephanie; PERELSON, Alan S.; ALLEN, Laurel; CHERUKURI, Rajesh. Self-nonself discrimination in a computer. In: IEEE SYMPOSIUM ON SECURITY AND PRIVACY, 1994, Oakland. Proceedings… Los Alamitos: IEEE Computer Society, 1994. p. 202-212.

PAXSON, Vern. Bro: a system for detecting network intruders in real-time. Computer Networks, Amsterdam, v. 31, n. 23-24, p. 2435-2463, 1999.

ROESCH, Martin. Snort: lightweight intrusion detection for networks. In: USENIX CONFERENCE ON SYSTEM ADMINISTRATION, 1999, Seattle. Proceedings… Berkeley: USENIX Association, 1999. p. 229-238.

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. Security and privacy controls for federal information systems and organizations. Gaithersburg: NIST, 2007. (NIST Special Publication, 800-53).