Research / Paper Files

Paper Files

Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.

Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.

DAI & ADAI · 2026

DAI · PT

DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis

DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…

Ler o paper →ADAI · PT

Inteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção

ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…

Ler o paper →

Todos Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

101 papers

Cloud

Arquitetura Formal e Operacional para Detecção e Contenção de Ameaças em Ambientes de Computação em Nuvem Baseada em Telemetria de Auditoria e Análise Comportamental

A consolidação da computação em nuvem no período de 2008 a 2012 introduziu um novo paradigma operacional baseado em virtualização, elasticidade e provisão sob demanda de recursos computacionais. Entretanto, a migração de ativos críticos para infraestruturas IaaS e PaaS expôs organizações a vetores de ataque distintos daqueles observados em ambientes tradicionais, especialmente no contexto de campanhas direcionadas e ameaças persistentes avançadas (APTs). Incidentes como a Operação Aurora (2009–2010), o ataque à RSA (2011) e o malware Stuxnet (2010) evidenciaram a sofisticação crescente dos adversários e a exploração sistemática de credenciais legítimas e canais autorizados. Neste trabalho, propomos uma arquitetura formal e operacional para detecção e contenção de ameaças em ambientes de computação em nuvem, fundamentada na modelagem matemática de privilégios como grafos direcionados rotulados e na análise estatística comportamental de eventos de auditoria. Diferentemente de abordagens puramente baseadas em regras estáticas ou em limiares heurísticos, nossa proposta integra um modelo formal de dependências de privilégio com um detector de anomalias baseado na distância de Mahalanobis, permitindo identificar escalonamentos suspeitos e uso anômalo de credenciais. Implementamos um protótipo utilizando ferramentas amplamente disponíveis até 2012, incluindo AWS CloudTrail, logs do Windows Azure, ElasticSearch, Snort, OSSEC, Metasploit e Volatility. Avaliamos experimentalmente a arquitetura em um ambiente composto por múltiplas contas de nuvem pública, totalizando 120 milhões de eventos em 60 dias. Os resultados indicam taxa de detecção de 95,1%, taxa de falso positivo de 4,6% e tempo médio de detecção inferior a 240 segundos, superando abordagens exclusivamente baseadas em regras. Demonstramos, por meio de estudo de caso envolvendo comprometimento de chave de acesso, que a formalização explícita de caminhos críticos de privilégio reduz significativamente o tempo de resposta operacional. Concluímos que a integração entre modelagem formal e telemetria nativa constitui abordagem promissora para mitigação de ameaças em ambientes de nuvem no contexto tecnológico vigente até 2012.

2019-09-06Read paper →Cloud

Arquitetura Formal e Operacional para Detecção e Resposta a Ameaças em Ambientes de Computação em Nuvem Baseada em Telemetria Multi-Camada e Correlação Temporal de Eventos

A consolidação da computação em nuvem como modelo dominante de provisão de infraestrutura de TI introduziu transformações profundas no paradigma de segurança, deslocando o foco do perímetro tradicional para mecanismos centrados em virtualização, APIs de gerenciamento e controle de identidade. Incidentes amplamente documentados até 2012, como as campanhas Aurora (2009–2010) e Stuxnet (2010), demonstraram a viabilidade de ataques multi-etapa sofisticados e orientados a objetivos estratégicos, evidenciando limitações de abordagens isoladas de detecção baseadas exclusivamente em assinatura de rede. Neste trabalho, propomos uma arquitetura formal e operacional para detecção e resposta a ameaças em ambientes de computação em nuvem pública, fundamentada em modelagem matemática por grafos temporais e correlação multi-camada de telemetria. Definimos formalmente o ambiente cloud como uma quádrupla $(I, R, P, E)$ representando identidades, recursos virtualizados, políticas de acesso e eventos observáveis. Modelamos cadeias de ataque como subgrafos temporais sujeitos a restrições causais e temporais, permitindo a detecção de sequências maliciosas envolvendo comprometimento de credenciais, escalonamento de privilégios e movimentação lateral entre máquinas virtuais. A arquitetura proposta integra logs de API de gerenciamento (ex.: AWS CloudTrail), registros de rede (VPC Flow Logs), auditoria de sistema operacional (auditd), bem como ferramentas consolidadas até 2012, como Snort, Suricata, Volatility, Metasploit e Burp Suite. Avaliamos experimentalmente a solução em um ambiente com 200 instâncias virtuais e 9,6 TB de logs, simulando 24 cenários de ataque inspirados em campanhas APT documentadas até 2012. Os resultados indicam taxa média de detecção de 93,8%, redução significativa de falsos positivos em comparação com regras estáticas isoladas e tempo médio de detecção inferior a cinco minutos. Demonstramos que a correlação temporal entre eventos de identidade e de infraestrutura virtualizada constitui fator decisivo para identificação precoce de ataques multi-etapa em ambientes elásticos e distribuídos.

2019-06-10Read paper →Cloud

Arquitetura Formal e Operacional para Detecção e Resposta a Ameaças em Ambientes de Computação em Nuvem Baseada em Telemetria Unificada e Modelagem Probabilística de Ataques (2012)

A consolidação da computação em nuvem como modelo predominante para provisionamento de infraestrutura e serviços de tecnologia da informação impõe desafios substanciais à detecção e resposta a incidentes de segurança. Em 2012, observa-se a adoção crescente de modelos Infrastructure as a Service (IaaS) e Platform as a Service (PaaS), notadamente em provedores como Amazon Web Services e Microsoft Azure, ao mesmo tempo em que campanhas avançadas persistentes (APT), como Stuxnet e Operation Aurora, evidenciam a sofisticação de adversários capazes de explorar credenciais válidas, vulnerabilidades em aplicações web e falhas de configuração. Este trabalho propõe uma arquitetura formal e operacional para detecção e resposta a ameaças em ambientes de nuvem pública e híbrida, fundamentada em modelagem probabilística por grafos dirigidos e em correlação de telemetria heterogênea. Formalizamos o ambiente como um grafo $G = (V, E)$, no qual vértices representam identidades e recursos, e arestas representam relações de acesso e dependência. Derivamos uma função de propagação de risco baseada em probabilidades condicionais, permitindo estimar o impacto sistêmico de um comprometimento inicial. A arquitetura integra coleta de logs de API, registros de sistemas operacionais, fluxos de rede e artefatos de memória volátil, utilizando ferramentas disponíveis até 2012, como Syslog, Snort, Volatility, Metasploit e IDA Pro. Avaliamos experimentalmente a proposta em um ambiente IaaS composto por instâncias virtuais Linux e Windows, simulando cenários de spear phishing, escalonamento de privilégios e exfiltração de dados via HTTPS. Os resultados demonstram redução significativa no tempo médio de detecção (MTTD) e no tempo médio de resposta (MTTR), com aumento mensurável na taxa de detecção sob restrições de taxa de falso positivo. Concluímos que a combinação de formalização matemática rigorosa com mecanismos operacionais de correlação de eventos constitui abordagem viável e eficaz para enfrentar ameaças avançadas em ambientes de nuvem no contexto tecnológico de 2012.

2019-03-13Read paper →Cloud

Análise Operacional de Superfícies de Ataque em Infraestruturas de Computação em Nuvem (IaaS) e Estratégias Práticas de Defesa no Contexto de 2013

A computação em nuvem tornou-se, até 2013, um dos paradigmas dominantes de infraestrutura de TI, impulsionando modelos como Infrastructure as a Service (IaaS), Platform as a Service (PaaS) e Software as a Service (SaaS). Apesar dos benefícios claros em elasticidade, escalabilidade e redução de custos operacionais, a migração de workloads críticos para ambientes virtualizados compartilhados introduziu uma nova classe de riscos de segurança. Este trabalho apresenta uma análise operacional das superfícies de ataque em ambientes de nuvem pública, com foco em infraestruturas IaaS amplamente utilizadas em 2013, incluindo Amazon EC2, OpenStack e Eucalyptus. O estudo examina vetores de ataque realistas observados em operações de red teaming e resposta a incidentes, incluindo co-residência maliciosa entre máquinas virtuais, exploração de hipervisores, comprometimento de APIs de gerenciamento, ataques a interfaces web administrativas e abuso de armazenamento persistente em volumes virtuais. A pesquisa formaliza um modelo de ameaça baseado no paradigma multi-tenant típico de nuvens públicas e utiliza uma abordagem empírica composta por experimentos controlados em um laboratório baseado em OpenStack e testes comparativos em provedores comerciais. Ferramentas operacionais amplamente utilizadas até 2013 — como Nmap, Metasploit Framework, Snort, Bro IDS, tcpdump e YARA — foram empregadas para avaliar visibilidade, detecção e capacidade de resposta a incidentes. Também são analisadas vulnerabilidades conhecidas que afetaram ambientes virtualizados, incluindo falhas em isolamento de memória e ataques side-channel entre máquinas virtuais, conforme demonstrado por Ristenpart et al. (2009). Os resultados experimentais indicam que a superfície de ataque em ambientes IaaS pode ser modelada como uma função da densidade de virtualização, exposição de APIs e mecanismos de isolamento do hipervisor. O estudo demonstra que ataques baseados em co-residência são viáveis em determinadas condições operacionais e que a detecção eficaz depende fortemente da instrumentação de rede e de logs centralizados. A pesquisa propõe uma metodologia operacional para avaliação de risco em ambientes de nuvem, combinando modelagem de ameaça, coleta de telemetria e correlação de eventos em plataformas SIEM. Este trabalho contribui com um modelo prático de análise de risco para ambientes de computação em nuvem, além de um conjunto de técnicas defensivas aplicáveis ao cenário tecnológico vigente em 2013. As conclusões reforçam a necessidade de controles de isolamento robustos, monitoramento contínuo e auditoria rigorosa de interfaces de gerenciamento expostas.

2018-09-24Read paper →Cloud

Modelagem de Ameaças, Detecção de Abusos e Resposta a Incidentes em Ambientes de Computação em Nuvem Híbrida: Uma Abordagem Operacional Baseada em MITRE ATT&CK (2013)

A consolidação da computação em nuvem como paradigma dominante de infraestrutura em 2013 impôs novos desafios à segurança da informação, especialmente em ambientes híbridos e multi-provedor combinando nuvens públicas e privadas. A elasticidade, o provisionamento automatizado e o acesso programático por meio de APIs ampliaram significativamente a superfície de ataque, deslocando o foco defensivo do perímetro tradicional para identidade, configuração e monitoramento contínuo. Neste trabalho, propomos uma abordagem operacional integrada para modelagem de ameaças, detecção de abusos e resposta a incidentes em ambientes de nuvem, fundamentada na matriz MITRE ATT&CK (versão inicial pública em 2013), no NIST SP 800-53 Rev.4 e em práticas consolidadas de inteligência de ameaças como STIX e TAXII. Formalizamos o ambiente de nuvem como um grafo direcionado de permissões e dependências, permitindo modelar escalonamento de privilégios como problema de alcançabilidade sob restrições de controle. Implementamos um laboratório experimental composto por múltiplas contas AWS, ambiente OpenStack privado e serviços SaaS corporativos, instrumentado com AWS CloudTrail, VPC Flow Logs, Splunk Enterprise, Cuckoo Sandbox e regras YARA para detecção de malware, incluindo amostras representativas de ransomware emergente como CryptoLocker (2013). Avaliamos 32 cenários de ataque alinhados às fases da Cyber Kill Chain, medindo métricas como Mean Time to Detect (MTTD), Mean Time to Respond (MTTR), taxa de falso positivo e cobertura de técnicas ATT&CK. Observamos redução de 58% no MTTD e 46% no MTTR após implementação da metodologia proposta. Discutimos limitações operacionais, custos de armazenamento de logs e desafios de normalização semântica entre provedores. Concluímos que a integração entre modelagem formal, inteligência de ameaças estruturada e automação de resposta é viável com tecnologias disponíveis até 2013, proporcionando ganhos mensuráveis de resiliência sem depender de paradigmas posteriores como Zero Trust ou arquiteturas serverless.

2018-09-17Read paper →Cloud

Arquiteturas de Segurança em Ambientes de Computação em Nuvem (2013): Modelagem Formal de Ameaças, Defesa Ativa e Avaliação Empírica Baseada na Cyber Kill Chain e MITRE ATT&CK

A consolidação da computação em nuvem como modelo dominante de provisão de infraestrutura e serviços de tecnologia da informação, especialmente entre 2009 e 2013, introduziu desafios substanciais à engenharia de segurança. A virtualização em larga escala, a elasticidade sob demanda e a exposição extensiva de interfaces de programação (APIs) ampliaram significativamente a superfície de ataque das organizações. Neste trabalho, investigamos arquiteturas de segurança em ambientes de nuvem pública e híbrida sob a perspectiva de 2013, integrando modelagem formal de ameaças, experimentação adversarial controlada e mecanismos de defesa ativa fundamentados na Cyber Kill Chain e nas primeiras versões públicas do MITRE ATT&CK. Propomos uma formalização matemática do risco em ambientes multi-provedor, modelando identidades, recursos, políticas e logs como estruturas formais inter-relacionadas. Definimos o risco como função da probabilidade de exploração e do impacto operacional, incorporando fatores como exposição de APIs, configurações inadequadas de controle de acesso e ausência de monitoramento contínuo. Implementamos um laboratório experimental baseado em Amazon Web Services (AWS), Microsoft Azure (em sua forma inicial de plataforma), e ambientes virtualizados compatíveis com OpenStack, totalizando 120 cenários de ataque inspirados em vetores documentados entre 2011 e 2013, incluindo abuso de credenciais válidas, escalonamento de privilégios e exfiltração de dados. A instrumentação foi realizada por meio de coleta de logs (CloudTrail, syslog), correlação em Splunk e ElasticSearch, e análise comportamental com regras YARA e sandbox Cuckoo. Nossos resultados indicam taxa de sucesso ofensivo de 59,2% em ambientes mal configurados, reduzida para 18,7% após aplicação de hardening baseado em NIST SP 800-53 Rev. 4 e diretrizes da Cloud Security Alliance. Demonstramos que a integração sistemática entre modelagem formal, inteligência de ameaças estruturada (STIX/TAXII) e simulações adversariais oferece ganhos mensuráveis em tempo médio de detecção e redução da superfície de ataque. Concluímos propondo diretrizes arquiteturais alinhadas ao estado da arte até 2013, enfatizando controle de identidades, monitoramento contínuo e resposta estruturada a incidentes.

2018-09-10Read paper →Cloud

Modelagem de Ameaças, Detecção e Resposta a Ataques em Ambientes Multi-Cloud (Híbridos): Uma Abordagem Operacional Baseada na Cyber Kill Chain e Telemetria de Alto Volume (2013)

A consolidação da computação em nuvem pública, entre 2010 e 2013, alterou substancialmente o modelo de risco organizacional, deslocando o foco de defesas perimetrais tradicionais para controles de identidade, virtualização e monitoramento contínuo de APIs e planos de controle. Nesse contexto, ambientes híbridos e multi-cloud emergentes — combinando múltiplas contas em provedores como Amazon Web Services (AWS), Microsoft Azure e Google Compute Engine — passaram a introduzir desafios operacionais inéditos relacionados à visibilidade, correlação de eventos e resposta coordenada a incidentes. Este trabalho propõe uma abordagem operacional integrada para modelagem de ameaças, detecção e resposta a ataques em ambientes multi-cloud no estado da arte de 2013, fundamentada na Cyber Kill Chain (HUTCHINS; CLOPPERT; AMIN, 2011), em diretrizes do NIST para computação em nuvem (NIST, 2011) e em práticas consolidadas de monitoramento com SIEM. Formalizamos um modelo matemático de risco que considera probabilidades condicionais de comprometimento de identidades e recursos virtualizados, bem como impacto associado a ativos críticos. A partir desse modelo, projetamos uma arquitetura de telemetria centralizada baseada em logs de auditoria (e.g., AWS CloudTrail), fluxos de rede (VPC Flow Logs) e registros de sistema, correlacionados em plataforma SIEM. Implementamos regras de detecção alinhadas às fases da Kill Chain, com ênfase em abuso de credenciais válidas, movimentação lateral e exfiltração de dados — vetores predominantes em incidentes reais do período. Avaliamos experimentalmente a redução de MTTD (Mean Time To Detect) e MTTR (Mean Time To Respond) em cenários simulados de comprometimento de credenciais e exploração de serviços expostos. Os resultados indicam redução estatisticamente significativa no tempo médio de detecção e resposta, mantendo taxas controladas de falsos positivos. Concluímos que a integração entre modelagem formal de ameaças e correlação operacional de telemetria constitui abordagem viável e eficaz para ambientes multi-cloud emergentes em 2013.

2018-09-03Read paper →Cloud

Arquitetura Formal e Operacional para Detecção e Resposta a Ameaças em Ambientes Multicloud Baseada em Telemetria Nativa, Modelagem de Ameaças e Correlação Orientada ao MITRE ATT&CK (2014)

A adoção acelerada de computação em nuvem entre 2010 e 2014 consolidou ambientes híbridos e multicloud como parte essencial da infraestrutura corporativa. Tal transformação ampliou a superfície de ataque, especialmente diante de falhas de configuração, comprometimento de credenciais e exploração de vulnerabilidades em camadas de virtualização e aplicações web. Neste trabalho, propomos uma arquitetura formal e operacional para detecção e resposta a ameaças em ambientes multicloud, fundamentada em telemetria nativa de provedores (como AWS CloudTrail, Azure Diagnostics e Google Cloud Audit Logs), modelagem sistemática de ameaças e correlação orientada ao framework MITRE ATT&CK (versão inicial pública de 2013). Formalizamos eventos de segurança como vetores normalizados em um espaço semântico comum e definimos funções de correlação $f: E^n \rightarrow \{0,1\}$ capazes de classificar sequências temporais segundo padrões associados a técnicas adversárias. A arquitetura integra coleta distribuída, normalização canônica, correlação baseada em regras determinísticas e métricas estatísticas de anomalia, além de mecanismos automatizados de contenção. Avaliamos experimentalmente a proposta em ambiente multicloud composto por 240 máquinas virtuais distribuídas em três regiões, submetidas a cenários de comprometimento de credenciais, exfiltração de dados e provisionamento malicioso de recursos. Os resultados indicam aumento da taxa de detecção (TPR de 94,7%) e redução significativa do tempo médio de resposta (MTTR reduzido de 4,2h para 2,6h) quando comparado a um SIEM tradicional baseado apenas em correlação sintática. Demonstramos que a integração entre modelagem formal, inteligência de ameaças estruturada (STIX) e correlação orientada ao ciclo de ataque (Kill Chain) oferece ganhos mensuráveis em ambientes distribuídos. O trabalho contribui tanto no plano teórico, ao propor uma formalização matemática consistente, quanto no plano prático, ao apresentar implementação reproduzível com ferramentas consolidadas até 2014.

2017-10-11Read paper →Cloud

Arquitetura Formal para Detecção e Contenção de Ameaças em Ambientes de Nuvem Baseada em Modelagem de Grafos e Telemetria Unificada (2014)

A consolidação da computação em nuvem como paradigma dominante de infraestrutura e plataforma até 2014 introduziu novos desafios de segurança decorrentes da virtualização em larga escala, do provisionamento elástico e da exposição extensiva de APIs de gerenciamento. Provedores como Amazon Web Services (AWS), Microsoft Azure e Google Compute Engine passaram a adotar modelos de responsabilidade compartilhada, nos quais a configuração adequada de identidade, rede e armazenamento recai substancialmente sobre o cliente. Nesse contexto, ataques envolvendo credenciais comprometidas, permissões excessivas e exploração de APIs tornaram-se vetores prevalentes, conforme relatórios industriais e acadêmicos da época. Neste trabalho, propomos uma arquitetura formal para detecção e contenção de ameaças em ambientes de nuvem heterogêneos, fundamentada em modelagem de grafos direcionados que representam relações de identidade, permissões e recursos. Formalizamos o ambiente como um grafo $G=(V,E)$, definindo caminhos de privilégio e uma métrica de custo $C(p)$ para quantificar risco de exploração. Integramos telemetria proveniente de logs de API (por exemplo, AWS CloudTrail), eventos de sistema e tráfego de rede (Snort/Suricata), normalizando-a em um mecanismo analítico unificado. Desenvolvemos algoritmos para construção incremental do grafo e detecção de caminhos de privilégio de baixo custo, orientados por táticas descritas na Cyber Kill Chain e nas primeiras versões do MITRE ATT&CK (2013). Avaliamos empiricamente a proposta em um ambiente experimental com mais de mil instâncias virtuais e múltiplas contas de nuvem, demonstrando melhoria significativa na taxa de detecção e redução do tempo médio de contenção quando comparado a abordagens baseadas exclusivamente em assinaturas ou regras estáticas. Nossos resultados indicam que a análise estrutural de privilégios, combinada à correlação de telemetria, oferece ganhos mensuráveis de visibilidade e resposta em cenários realistas de comprometimento de credenciais e movimentação lateral em nuvem.

2017-10-04Read paper →Cloud

Arquitetura Quantitativa para Detecção e Resposta a Ameaças em Ambientes de Nuvem Baseada em Telemetria, Correlação pela Cyber Kill Chain e Indicadores STIX

A crescente adoção de computação em nuvem no período de 2010 a 2014 redefiniu o paradigma de segurança da informação, deslocando o foco de controles perimetrais tradicionais para mecanismos centrados em identidade, virtualização e monitoramento contínuo. Paralelamente, observou-se a intensificação de ameaças avançadas persistentes (APTs), campanhas de ransomware emergente, como o CryptoLocker (2013), e ataques direcionados a infraestruturas críticas e ambientes virtualizados. Nesse contexto, propomos uma arquitetura quantitativa para detecção e resposta a ameaças em ambientes de nuvem pública e privada, fundamentada em modelagem estatística de comportamento de identidades, divergência de Kullback-Leibler e correlação semântica orientada pela Cyber Kill Chain (LOCKHEED MARTIN, 2011) e por indicadores estruturados em STIX/TAXII (MITRE, 2013). Formalizamos o problema de detecção como a identificação de sequências de eventos correlacionáveis que violam propriedades probabilísticas de comportamento esperado, garantindo limite superior para a taxa de falha $\epsilon$. A arquitetura integra coleta de logs (CloudTrail, syslog, NetFlow), normalização, detecção estatística, regras baseadas em assinatura (YARA, Snort) e correlação em SIEM (Elastic Stack 1.x e Splunk). Avaliamos experimentalmente a proposta em um ambiente híbrido com múltiplas contas AWS e infraestrutura OpenStack, totalizando aproximadamente 8 TB de logs e 35 cenários de ataque inspirados em incidentes reais documentados até 2014. Os resultados indicam aumento significativo na taxa de detecção (94,1%) e redução do tempo médio de detecção (MTTD) de 45 para 9 minutos, com diminuição da taxa de falso positivo para 3,5%. Demonstramos que a combinação de modelagem estatística e correlação baseada em estágios da cadeia de ataque fornece ganhos mensuráveis de eficácia sem depender exclusivamente de dados rotulados ou inteligência proprietária. Concluímos que abordagens quantitativas integradas a padrões abertos de inteligência de ameaças constituem estratégia viável e rigorosa para segurança em nuvem no contexto tecnológico vigente até 2014.

2017-09-27Read paper →Cloud

Segurança em Computação em Nuvem no Contexto de Ameaças Emergentes (2010–2014): Modelos Formais, Inteligência de Ameaças e Detecção de Intrusões

A computação em nuvem consolidou-se entre 2010 e 2014 como paradigma dominante para provisão elástica de recursos computacionais, introduzindo novos desafios de segurança decorrentes da virtualização em larga escala, da multi-tenancy e da terceirização de infraestrutura crítica. Neste trabalho, realizamos uma análise sistemática dos principais vetores de ataque observados no período, com ênfase em ameaças persistentes avançadas (APTs), ransomware emergente (notadamente CryptoLocker), exploração de vulnerabilidades em hipervisores e ataques direcionados a ambientes de infraestrutura crítica integrados à nuvem. Estruturamos a discussão a partir de modelos formais de segurança, incluindo propriedades de confidencialidade, integridade e disponibilidade, e incorporamos o modelo da Cyber Kill Chain da Lockheed Martin e as primeiras taxonomias do MITRE ATT&CK (2013) como arcabouço analítico. Apresentamos uma modelagem matemática do risco baseada em probabilidade condicional e análise bayesiana para avaliação de incidentes em ambientes virtualizados. Avaliamos ainda mecanismos de detecção e resposta disponíveis até 2014, incluindo SIEM (Splunk, ELK), YARA, Cuckoo Sandbox, IDS/IPS baseados em assinatura (Snort), e padrões emergentes de inteligência de ameaças como STIX e TAXII. Discutimos controles técnicos recomendados pelo NIST e pela CSA, além de estratégias de segmentação de rede, hardening de hipervisores e monitoramento contínuo. O trabalho demonstra que, embora a nuvem ofereça ganhos operacionais significativos, a ausência de modelagem formal adequada e de integração sistemática com inteligência de ameaças amplia a superfície de ataque. Concluímos propondo um framework integrado de análise de risco e resposta a incidentes compatível com o estado da arte até 2014, sustentado por evidências empíricas e referenciais normativos consolidados.

2017-09-20Read paper →Cloud

Arquitetura Formal e Operacional para Detecção e Resposta a Ameaças em Ambientes Multi-Cloud Baseada em Modelagem de Grafos e Telemetria Nativa (2015)

A consolidação da computação em nuvem como paradigma dominante de provisão de infraestrutura impôs novos desafios à segurança da informação, particularmente em ambientes multi-cloud que combinam serviços de diferentes provedores públicos e privados. Em 2015, a superfície de ataque desloca-se progressivamente do perímetro tradicional baseado em host para um modelo centrado em identidades, APIs e políticas de controle de acesso. Incidentes envolvendo comprometimento de credenciais, abuso de APIs legítimas e ransomware emergente evidenciam limitações de abordagens de detecção baseadas exclusivamente em correlação de eventos. Neste trabalho, propomos uma arquitetura formal e operacional para detecção e resposta a ameaças em ambientes multi-cloud fundamentada na modelagem do domínio de privilégios como um grafo direcionado ponderado. Formalizamos o ambiente como $G=(V,E)$, onde vértices representam identidades e recursos e arestas codificam relações de autorização derivadas de políticas IAM. Definimos o problema de identificação de caminhos privilegiados mínimos entre um vértice comprometido e um conjunto de recursos sensíveis, demonstrando que a detecção pode ser realizada com complexidade $O(|E|\log|V|)$ por meio de algoritmos clássicos de caminho mínimo. Implementamos a arquitetura utilizando telemetria nativa (AWS CloudTrail, Azure Monitor), Elastic Stack, Neo4j, Suricata e YARA, integrando-a a processos operacionais de SOC. Avaliamos empiricamente a proposta em um ambiente experimental com 480 milhões de eventos ao longo de 30 dias, comparando-a a um SIEM tradicional baseado em regras. Os resultados indicam redução média de 34,8% no MTTD e 29,1% no MTTR, além de diminuição significativa de falsos positivos. Concluímos que a incorporação de análise topológica de privilégios oferece ganhos mensuráveis na capacidade de detecção e resposta, alinhando-se às recomendações de inteligência de ameaças estruturada (STIX/TAXII) e aos modelos de cadeia de ataque estabelecidos na literatura até 2015.

2016-11-11Read paper →Cloud

Arquitetura Adaptativa para Detecção e Resposta a Ameaças em Ambientes Multicloud: Formalização, Implementação e Avaliação Experimental Baseada na MITRE ATT&CK (2013)

A adoção de ambientes multicloud tornou-se uma estratégia recorrente em organizações que buscam elasticidade, resiliência e redução de dependência de fornecedor. Entretanto, a heterogeneidade de modelos de identidade, APIs e formatos de auditoria introduz desafios substanciais à detecção de ameaças distribuídas. Neste trabalho, propomos uma arquitetura adaptativa para detecção e resposta a incidentes em ambientes multicloud, fundamentada em modelagem probabilística formal e mapeamento sistemático às táticas e técnicas da matriz MITRE ATT&CK (versão pública inicial de 2013). Diferentemente de abordagens centradas em um único provedor ou exclusivamente orientadas a regras estáticas, formalizamos o problema de detecção como inferência bayesiana sobre um grafo direcionado de eventos auditáveis, permitindo correlação temporal e semântica entre múltiplas fontes de log. Integramos registros nativos (AWS CloudTrail, Azure Diagnostics e Google Cloud Audit Logs), sensores de rede baseados em Suricata, análise de artefatos com YARA e inspeção de memória com Volatility, consolidados em um mecanismo de correlação implementado sobre Elastic Stack. Avaliamos experimentalmente a proposta em um ambiente com 120 máquinas virtuais distribuídas entre três provedores, executando 37 cenários de ataque representativos, incluindo comprometimento de credenciais, escalonamento de privilégios e exfiltração de dados. Os resultados indicam aumento de 34% na taxa de detecção em comparação com um SIEM tradicional baseado apenas em regras independentes, além de redução significativa no tempo médio de resposta (MTTR). Demonstramos que a formalização matemática contribui para controle explícito de limiares de decisão e redução de falsos positivos, mantendo coerência com capacidades tecnológicas disponíveis até 2015, como STIX/TAXII para compartilhamento de inteligência e ATT&CK para categorização de técnicas adversárias.

2016-11-04Read paper →Cloud

Arquitetura Quantitativa de Detecção e Resposta a Ameaças em Ambientes de Nuvem Pública Baseada em Telemetria Unificada e Modelagem Formal de Risco (2015)

A adoção de computação em nuvem pública consolidou-se, até 2015, como um dos principais vetores de transformação da infraestrutura corporativa, especialmente por meio dos modelos IaaS, PaaS e SaaS oferecidos por provedores como Amazon Web Services (AWS), Microsoft Azure e Google Cloud Platform (GCP). Embora tais ambientes ofereçam elasticidade e eficiência operacional, introduzem novos vetores de ataque, incluindo abuso de APIs, comprometimento de credenciais, escalonamento lateral entre instâncias virtuais e exploração de configurações incorretas. Neste trabalho, propomos uma arquitetura quantitativa para detecção e resposta a ameaças em ambientes de nuvem pública, fundamentada em telemetria unificada, correlação orientada à Cyber Kill Chain e modelagem formal de risco. Formalizamos o sistema como um grafo direcionado de dependências entre recursos, identidades e políticas, e definimos uma função probabilística dinâmica de risco baseada na estimativa de probabilidade condicional de ataque e impacto associado. A arquitetura integra logs de provedores (por exemplo, AWS CloudTrail e Azure Diagnostics), sensores de rede (Suricata), mecanismos de sandbox (Cuckoo) e regras YARA, consolidados em uma plataforma de análise baseada em Elastic Stack e Splunk. Avaliamos experimentalmente o protótipo em um ambiente híbrido com 120 máquinas virtuais e 47 cenários de ataque representativos, incluindo comprometimento de credenciais e exfiltração de dados. Os resultados indicam taxa de detecção de 92,8%, taxa de falso positivo de 4,1% e redução média de 34% no tempo de detecção em comparação com abordagem baseada exclusivamente em correlação estática de logs. Demonstramos que a incorporação explícita de modelagem formal de risco ao pipeline de detecção melhora a priorização de alertas e a resposta automatizada, preservando rigor analítico e viabilidade operacional no contexto tecnológico de 2015.

2016-10-28Read paper →Cloud

Arquitetura Formal e Operacional para Detecção e Resposta a Ameaças em Ambientes Multicloud Baseada em Modelagem Comportamental e Telemetria Nativa (2016)

A consolidação da computação em nuvem como infraestrutura estratégica para sistemas corporativos críticos, observada ao longo da primeira metade da década de 2010, introduziu desafios substanciais à detecção e resposta a incidentes de segurança. Em 2016, organizações já operavam simultaneamente múltiplos provedores de serviços em nuvem (CSPs), combinando ambientes IaaS e PaaS com data centers tradicionais, o que ampliou a superfície de ataque e deslocou o foco de proteção do perímetro de rede para identidades, APIs e configurações. Neste trabalho, propomos uma arquitetura formal e operacional para detecção e resposta a ameaças em ambientes multicloud, fundamentada em modelagem matemática de comportamento de identidades e correlação de telemetria nativa. Formalizamos o ambiente como um grafo direcionado $G = (V, E)$, no qual vértices representam identidades e recursos, e arestas representam ações observáveis derivadas de logs de auditoria (por exemplo, AWS CloudTrail e Azure Activity Logs). Definimos vetores comportamentais por identidade e empregamos a distância de Mahalanobis como métrica de desvio estatístico, com limiar $\theta$ ajustado empiricamente. A arquitetura integra coleta e normalização de eventos (Logstash, Elasticsearch), detecção baseada em regras alinhadas à Cyber Kill Chain e ao framework MITRE ATT&CK (versões iniciais), inspeção de rede com Suricata e análise de artefatos com YARA e Cuckoo Sandbox. Avaliamos a proposta em ambiente experimental com 1.200 instâncias virtuais ao longo de 90 dias, totalizando 8,4 TB de logs. Em comparação com um SIEM tradicional baseado em correlação estática, observamos redução de 37,7% no MTTD, 42,1% no MTTR e diminuição significativa de falsos positivos. Demonstramos, por meio de estudo de caso envolvendo comprometimento de credenciais e exfiltração via APIs nativas, que a modelagem formal combinada à automação de resposta (revogação de credenciais e aplicação de políticas restritivas) contribui para mitigação tempestiva de ameaças. O trabalho fornece fundamentação teórica rigorosa e implementação reprodutível compatível com o estado da arte até 2016.

2015-12-26Read paper →Cloud

Arquitetura Formal e Operacional para Detecção e Resposta a Ataques em Ambientes Multi-Cloud Baseada em Modelagem de Ameaças, Telemetria Unificada e Correlação Orientada ao MITRE ATT&CK (2016)

A adoção de ambientes multi-cloud intensificou desafios estruturais relacionados à visibilidade, detecção de ameaças e resposta a incidentes. Em 2016, organizações já operavam cargas críticas distribuídas entre múltiplos provedores de infraestrutura como serviço (IaaS) e plataforma como serviço (PaaS), enfrentando fragmentação de telemetria, heterogeneidade semântica de logs e complexidade crescente na gestão de identidades federadas. Este trabalho propõe uma arquitetura formal e operacional para detecção e resposta a ataques em ambientes multi-cloud, fundamentada em modelagem matemática do grafo de identidades e permissões, correlação orientada a táticas e técnicas documentadas no MITRE ATT&CK (versões iniciais publicadas a partir de 2013) e integração com mecanismos de inteligência de ameaças baseados em STIX/TAXII. Formalizamos o ambiente como um grafo direcionado ponderado, no qual vértices representam identidades e recursos, e arestas representam relações de autorização derivadas de políticas. Demonstramos que o problema de escalonamento de privilégios pode ser reduzido à identificação de caminhos cujo somatório de pesos ultrapassa um limiar crítico de risco. Implementamos a arquitetura com base em ferramentas disponíveis até 2016, incluindo AWS CloudTrail, Azure Activity Logs, Google Cloud Audit Logs, Elastic Stack 5.x, Splunk Enterprise, YARA e Cuckoo Sandbox. Avaliamos experimentalmente a solução em um ambiente distribuído com múltiplas regiões e provedores, executando 18 cenários de ataque representativos, incluindo abuso de credenciais válidas, manipulação de políticas IAM e exfiltração de dados via APIs. Os resultados indicam aumento significativo da taxa de detecção (92,1%) em comparação com abordagens isoladas por provedor (68,4%), bem como redução do tempo médio de detecção (MTTD) e de resposta (MTTR). Discutimos implicações operacionais, limitações experimentais e integração com processos de threat intelligence e resposta coordenada. O estudo demonstra que a combinação de formalização matemática e correlação semântica estruturada é capaz de elevar substancialmente o nível de segurança em ambientes multi-cloud no contexto tecnológico de 2016.

2015-12-20Read paper →Cloud

Arquitetura Adaptativa para Detecção e Resposta a Ameaças em Ambientes Multi-Cloud Baseada em Telemetria Nativa e Correlação Orientada por MITRE ATT&CK

A adoção de computação em nuvem pública consolidou-se ao longo da última década como paradigma dominante para provisionamento de infraestrutura e serviços de TI. Em 2016, organizações operam frequentemente em cenários multi-cloud, combinando provedores como Amazon Web Services (AWS) e Microsoft Azure, o que amplia a superfície de ataque e introduz heterogeneidade significativa de logs, modelos de identidade e mecanismos de controle de acesso. Nesse contexto, credenciais, políticas de Identity and Access Management (IAM) e APIs tornam-se o novo perímetro defensivo. Propomos uma arquitetura adaptativa para detecção e resposta a ameaças em ambientes multi-cloud fundamentada na coleta de telemetria nativa dos provedores, normalização semântica de eventos e correlação orientada pela base de conhecimento MITRE ATT&CK (versões iniciais publicadas a partir de 2013). Formalizamos o problema por meio de um grafo direcionado $G = (V, E)$ que modela identidades, recursos e ações ao longo do tempo, permitindo a identificação de desvios comportamentais a partir de um baseline estatístico. Introduzimos um algoritmo de construção e análise incremental de grafos com complexidade linear no número de eventos e demonstramos como técnicas de correlação multi-fonte reduzem o tempo médio de detecção (MTTD) quando comparadas a abordagens isoladas por provedor. Implementamos a arquitetura utilizando Elastic Stack, Suricata, YARA, Open Policy Agent e Cuckoo Sandbox, tecnologias amplamente disponíveis até 2016. Avaliamos experimentalmente o sistema em um ambiente com múltiplas contas AWS e assinaturas Azure, totalizando 1,2 milhão de eventos, simulando 42 cenários de ataque alinhados à Cyber Kill Chain. Os resultados indicam taxa de detecção de 93,8%, taxa de falso positivo de 4,1% e redução de 81% no MTTD em relação ao baseline sem correlação. Discutimos limitações inerentes à dependência de logging habilitado e à cobertura parcial das técnicas ATT&CK para ambientes de nuvem em 2016, e delineamos direções futuras compatíveis com o estado da arte à época.

2015-12-13Read paper →Cloud

Arquitetura Quantitativa de Detecção e Resposta a Ameaças em Ambientes Multi-Cloud Baseada em Modelagem Formal de TTPs e Correlação Distribuída de Eventos

A consolidação da computação em nuvem como paradigma dominante de infraestrutura corporativa, ao longo da presente década, introduziu desafios substanciais à detecção e resposta a incidentes de segurança. Diferentemente de ambientes tradicionais on-premise, arquiteturas multi-cloud caracterizam-se por elasticidade, APIs programáveis, identidades federadas e forte dependência do plano de controle, ampliando a superfície de ataque e complexificando a correlação de eventos. Neste trabalho, propomos uma arquitetura quantitativa para detecção e resposta a ameaças em ambientes multi-cloud, fundamentada em modelagem formal de Táticas, Técnicas e Procedimentos (TTPs) e em correlação distribuída de eventos. Formalizamos o ambiente como um grafo direcionado e ponderado $G = (V, E, w)$, no qual vértices representam recursos e identidades e arestas representam relações de acesso ou comunicação observáveis. Cadeias de ataque são modeladas como subgrafos $G' \subseteq G$ cuja probabilidade condicional $P(G' \mid \mathcal{O})$ excede um limiar adaptativo $\theta$, estimado a partir de evidências multi-fonte. A arquitetura integra telemetria de rede, logs de plano de controle e eventos de runtime, utilizando ferramentas amplamente disponíveis até 2017, tais como Suricata, OSSEC, YARA, Kafka, Elasticsearch e Neo4j. Avaliamos experimentalmente a proposta em um ambiente com 120 máquinas virtuais e aproximadamente 18.000 eventos por segundo, simulando 312 cenários de ataque representativos, incluindo exploração de aplicações web, uso indevido de credenciais válidas e movimentação lateral via APIs. Os resultados indicam taxa média de detecção de 95,8% (±2,1%), taxa de falsos positivos inferior a 4,5% e redução significativa do tempo médio de detecção (MTTD) em comparação com abordagem SIEM baseada apenas em regras independentes. Demonstramos que a modelagem formal baseada em grafos, combinada com correlação distribuída, fornece base rigorosa para redução de ruído, priorização de alertas e automação de resposta em ambientes multi-cloud. Concluímos discutindo limitações, implicações operacionais e direções de pesquisa compatíveis com o estado da arte até 2017.

2015-01-26Read paper →Cloud

Arquitetura Formal e Operacional para Detecção e Contenção de Ameaças em Ambientes Multi-Cloud Baseada em Telemetria Nativa e Análise Comportamental

A crescente adoção de ambientes multi-cloud em organizações de médio e grande porte, especialmente a partir de 2014, introduziu novos desafios de segurança decorrentes da elasticidade, da efemeridade de recursos e do deslocamento do perímetro de rede para mecanismos de identidade e APIs de controle. Incidentes amplamente documentados até 2017 demonstram que credenciais comprometidas, configurações incorretas de serviços de armazenamento e abuso de interfaces programáticas constituem vetores predominantes de ataque. Neste trabalho, propomos uma arquitetura formal e operacional para detecção e contenção de ameaças em ambientes multi-cloud baseada exclusivamente em telemetria nativa dos provedores, enriquecida por mapeamento sistemático à base de conhecimento MITRE ATT&CK (versões públicas até 2017) e por análise comportamental orientada a grafos temporais. Formalizamos o fluxo de eventos de auditoria como um grafo dirigido temporal $G_t = (V, E_t)$, no qual vértices representam identidades e recursos, e arestas representam interações autenticadas observadas via logs como AWS CloudTrail, Azure Activity Logs e Google Cloud Audit Logs. Definimos uma função de risco parametrizada $R: V \rightarrow \mathbb{R}$ baseada em centralidade, desvio estatístico de comportamento e associação a técnicas adversárias conhecidas. Demonstramos que a correlação de cadeias multi-etapa pode ser realizada com complexidade subquadrática em relação ao número de eventos, preservando escalabilidade para bilhões de registros mensais. A avaliação experimental, conduzida durante 30 dias em três provedores de nuvem com 2.500 workloads ativos e 47 cenários de ataque simulados, indica taxa média de detecção de 96,1%, taxa de falsos positivos de 4,1% e redução significativa de MTTD e MTTR quando comparada a um SIEM tradicional baseado apenas em regras estáticas. Discutimos limitações, custos computacionais e implicações operacionais, oferecendo recomendações práticas alinhadas às melhores práticas publicadas até 2017.

2015-01-19Read paper →Cloud

Arquitetura Formal e Operacional para Detecção e Resposta a Ameaças em Ambientes Multi-Cloud Baseada em Telemetria Unificada e Modelagem Matemática de Comportamento

A adoção de múltiplos provedores de computação em nuvem tornou-se estratégia recorrente em organizações de médio e grande porte até 2017, motivada por requisitos de disponibilidade, resiliência e mitigação de dependência tecnológica. Entretanto, a heterogeneidade de interfaces de programação, modelos de identidade e formatos de log introduz desafios significativos à detecção de ameaças distribuídas e cadeias de ataque multi-etapa. Neste trabalho, propomos uma arquitetura formal e operacional para detecção e resposta a incidentes em ambientes multi-cloud baseada na unificação de telemetria e na modelagem matemática de comportamento. Modelamos o ambiente como um grafo direcionado ponderado $G = (V, E)$, no qual vértices representam identidades e recursos e arestas representam ações observáveis extraídas de trilhas de auditoria. Definimos o comportamento normal como distribuições condicionais $P(a|i,r)$ aprendidas historicamente e empregamos divergência de Kullback-Leibler para quantificação de anomalias. Complementarmente, introduzimos um algoritmo de busca de caminhos de ataque baseado em pesos de risco acumulados, permitindo correlação interdomínio entre provedores distintos. Implementamos um protótipo utilizando Elastic Stack 5.x, Neo4j 3.x, Suricata 4.x e Wazuh/OSSEC, integrando logs de AWS CloudTrail, Azure Activity Logs e Google Cloud Audit Logs. Avaliamos a solução em ambiente experimental com 1.200 instâncias distribuídas entre três provedores e 15 cenários inspirados na matriz MITRE ATT&CK (versão 2017). Os resultados indicam taxa média de detecção de 95,8%, taxa de falso positivo de 3,4% e redução de 36% no tempo médio de detecção em comparação a abordagens isoladas por provedor. Discutimos implicações operacionais, limitações metodológicas e ameaças à validade. Concluímos que a formalização matemática da telemetria multi-cloud contribui para maior precisão analítica, interpretabilidade e capacidade de resposta coordenada em ambientes distribuídos.

2015-01-13Read paper →Cloud

Arquitetura Adaptativa para Detecção e Resposta a Ameaças em Ambientes Multi-Cloud Baseada em Modelagem Formal de Superfície de Ataque e Telemetria Nativa de Provedor

A adoção de arquiteturas multi-cloud intensificou a complexidade operacional e ampliou a superfície de ataque em ambientes corporativos, deslocando o foco de defesa de perímetros estáticos para ecossistemas distribuídos baseados em identidade, APIs e serviços elásticos. Incidentes amplamente documentados entre 2016 e 2018, incluindo exploração de serviços mal configurados, abuso de credenciais válidas e movimentação lateral em infraestruturas IaaS, evidenciam que mecanismos tradicionais de monitoramento são insuficientes diante da dinamicidade desses ambientes. Neste trabalho, propomos uma arquitetura adaptativa para detecção e resposta a ameaças em cenários multi-cloud, fundamentada em modelagem formal da superfície de ataque por meio de grafos direcionados de privilégios e na correlação de telemetria nativa de provedores como AWS CloudTrail, Azure Activity Logs e Google Cloud Audit Logs. Formalizamos a superfície de ataque como uma função mensurável sobre um grafo de estados de privilégio e introduzimos métricas baseadas em centralidade e propagação de comprometimento para priorização de risco. Desenvolvemos um algoritmo de cálculo de risco incremental capaz de integrar eventos em tempo quase real provenientes de logs de auditoria, registros de autenticação e fluxos de rede. A avaliação experimental, conduzida em ambiente controlado multi-cloud, demonstra redução significativa no Mean Time To Detect (MTTD) e no Mean Time To Respond (MTTR), além de diminuição de falsos positivos quando comparado a abordagens baseadas exclusivamente em regras estáticas. Discutimos implicações práticas para equipes de SOC e CSIRT, alinhando nossa proposta a estruturas consolidadas como MITRE ATT&CK e NIST SP 800-61. Concluímos que a integração entre modelagem formal de privilégios e telemetria nativa constitui abordagem promissora para elevar a maturidade de defesa em ambientes multi-cloud até 2018, respeitando limitações de interoperabilidade e governança.

2014-03-12Read paper →Cloud

Arquitetura Formal e Operacional para Detecção e Resposta a Ameaças em Ambientes Multi-Cloud Baseada em Modelagem de Grafos de Ataque e Telemetria Nativa

A consolidação da computação em nuvem como paradigma dominante de infraestrutura impôs uma reconfiguração profunda das estratégias de segurança, deslocando o perímetro tradicional para mecanismos centrados em identidade, configuração e monitoramento contínuo do plano de controle. Em 2018, com a ampla adoção de ambientes híbridos e multi-cloud, organizações passaram a enfrentar desafios relacionados à fragmentação de telemetria, inconsistência de políticas e dificuldade de correlação entre eventos distribuídos. Neste trabalho, propomos uma arquitetura formal e operacional para detecção e resposta a ameaças em ambientes multi-cloud baseada em modelagem de grafos de ataque orientados a identidade e enriquecidos por telemetria nativa de provedores como AWS, Microsoft Azure e Google Cloud Platform. Formalizamos o ambiente como um grafo temporal ponderado $G_t = (V_t, E_t, w_t)$, no qual vértices representam identidades, recursos e serviços, e arestas representam relações de acesso e eventos observáveis. Definimos o problema de detecção como a identificação de caminhos críticos de risco máximo sob restrições temporais e de privilégio, e demonstramos como algoritmos de atualização incremental e busca de caminhos de maior risco podem ser empregados para reduzir o Mean Time To Detect (MTTD) e o Mean Time To Respond (MTTR). Implementamos um protótipo integrando AWS CloudTrail, Azure Activity Logs, GCP Audit Logs, Suricata, Falco, Apache Kafka, Elastic Stack 6.x e Neo4j 3.x, com normalização baseada em Sigma. Avaliamos experimentalmente a abordagem em um ambiente com 312 máquinas virtuais e 1.842 identidades, simulando 14 cenários alinhados ao MITRE ATT&CK (versão 2018). Os resultados indicam redução de MTTD de 18,4 para 11,6 minutos e diminuição da taxa de falsos positivos de 12,4% para 4,1%. Concluímos que a correlação formal baseada em grafos dinâmicos fornece ganhos mensuráveis de eficiência e precisão, mantendo interpretabilidade e aderência a práticas consolidadas até 2018.

2014-03-05Read paper →Cloud

Arquitetura Orientada a Ameaças para Detecção e Resposta a Ataques em Ambientes Multi-Cloud Baseada em Modelagem Formal e Telemetria Unificada

A adoção de ambientes multi-cloud consolidou-se até 2018 como estratégia dominante para aumento de resiliência, redução de dependência de fornecedor e otimização de custos. Entretanto, a heterogeneidade de provedores, modelos de identidade e mecanismos de auditoria introduz uma superfície de ataque ampliada e fragmentada, dificultando a detecção tempestiva de abusos de privilégios e movimentação lateral. Neste trabalho propomos uma arquitetura orientada a ameaças para detecção e resposta a ataques em ambientes multi-cloud fundamentada em modelagem formal de grafos de privilégios e unificação de telemetria de múltiplos provedores. Formalizamos o sistema como um grafo dirigido $G = (V, E)$ no qual vértices representam identidades, papéis e recursos, e arestas representam relações de delegação e permissões efetivas. Definimos o problema de escalonamento de privilégio como a existência de um caminho $p$ tal que $Priv(p) \geq Priv_{critico}$, demonstrando que a detecção pode ser tratada como problema de busca com pesos de risco e resolvida em tempo $O(E \log V)$. Implementamos um protótipo utilizando CloudTrail, Azure Monitor, Elastic Stack, Neo4j, Suricata, Sigma e YARA, integrando correlação baseada na matriz MITRE ATT&CK (versões disponíveis até 2018). Avaliamos a proposta em um ambiente experimental com 300 máquinas virtuais distribuídas em três provedores e 42 cenários de ataque inspirados em incidentes reais, incluindo abuso de credenciais IAM, exfiltração via APIs e movimentação lateral. Observamos taxa média de detecção de 96,4%, redução do MTTD de 14,2 para 8,8 minutos e redução do MTTR de 52 para 30,6 minutos. Concluímos que a modelagem formal de privilégios aliada à telemetria unificada aumenta significativamente a visibilidade contextual e reduz falsos positivos, oferecendo base rigorosa para arquiteturas de segurança em nuvem compatíveis com o estado da arte até 2018.

2014-02-26Read paper →Cloud

Arquitetura Formal para Detecção e Resposta a Ameaças em Ambientes Multi-Cloud Baseada em Telemetria Distribuída e Correlação Orientada ao MITRE ATT&CK

A crescente adoção de arquiteturas Multi-Cloud até 2018 introduziu desafios substanciais de visibilidade, correlação e resposta a incidentes de segurança. A natureza distribuída dos serviços IaaS, PaaS e SaaS, combinada com elasticidade, provisionamento automatizado e controle via APIs, amplia significativamente a superfície de ataque e dificulta a detecção de cadeias de intrusão que atravessam múltiplos domínios administrativos. Neste trabalho, propomos uma arquitetura formal para detecção e resposta a ameaças em ambientes Multi-Cloud fundamentada em modelagem matemática baseada em grafos temporais direcionados e correlação orientada ao framework MITRE ATT&CK (versões públicas até 2018). Formalizamos o problema de detecção como a identificação de subgrafos temporalmente consistentes isomórficos a padrões de técnicas adversariais previamente definidos. A arquitetura integra telemetria heterogênea proveniente de logs de APIs (AWS CloudTrail e Azure Activity Logs), sensores de rede (Suricata), mecanismos de detecção baseados em regras (Sigma), análise de artefatos (YARA) e fontes nativas de detecção gerenciada, mantendo independência de fornecedor. Avaliamos experimentalmente a proposta em um ambiente controlado com 120 instâncias virtuais distribuídas entre dois provedores de nuvem e 42 cenários de ataque simulados, incluindo comprometimento de credenciais, abuso de permissões IAM, movimentação lateral e exfiltração de dados. Os resultados indicam taxa média de detecção de 96,3%, redução de 38% no tempo médio de detecção (MTTD) em comparação com um SIEM tradicional baseado apenas em correlação estática de logs, e taxa de falsos positivos de 3,8%. Demonstramos que a formalização por grafos temporais melhora a precisão sem comprometer escalabilidade operacional, com overhead computacional médio inferior a 10%. Concluímos que a integração sistemática entre modelagem formal e taxonomias de comportamento adversarial representa abordagem viável e eficaz para fortalecimento da postura de segurança em ambientes Multi-Cloud no contexto tecnológico vigente até 2018.

2014-02-19Read paper →