Research / Paper Files
Paper Files
Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.
Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.
DAI & ADAI · 2026
DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis
DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…
Ler o paper →ADAI · PTInteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção
ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…
Ler o paper →101 papers
Segurança em Ambientes de “Cloud” Baseados em Timesharing e Redes de Longa Distância: Modelo de Ameaças, Metodologia Defensiva e Avaliação Experimental (1988)
O conceito de “cloud”, entendido neste trabalho como a abstração de recursos computacionais remotos acessíveis sob demanda por meio de redes públicas e privadas, encontra suas raízes nos sistemas de timesharing, nas redes de comutação de pacotes como a ARPANET e nos serviços comerciais de processamento remoto. Em 1988, organizações governamentais, universidades e corporações já dependem fortemente de infraestruturas centralizadas compostas por mainframes, minicomputadores VAX e sistemas UNIX interligados por X.25, UUCP e TCP/IP. Essa arquitetura, embora eficiente sob a perspectiva de compartilhamento de recursos, amplia significativamente a superfície de ataque. Este artigo formaliza um modelo de ameaças para ambientes de “cloud” baseados em processamento remoto, analisa vetores de intrusão documentados na literatura técnica da década de 1970 e 1980, e propõe uma metodologia integrada de defesa combinando controles de acesso, auditoria, segmentação lógica, criptografia simétrica e monitoramento de integridade. A pesquisa é fundamentada em literatura clássica de segurança de sistemas, incluindo o modelo Bell-LaPadula, o relatório Anderson sobre segurança em timesharing e as recomendações do NCSC (Orange Book). Apresentamos uma formulação matemática do risco operacional em ambientes compartilhados, seguida de uma arquitetura prática de defesa aplicável a VAX/VMS, UNIX BSD e redes baseadas em TCP/IP e X.25. A implementação experimental envolve auditoria com syslog, monitoramento de integridade via somas de verificação criptográficas (DES), e análise de tráfego com `tcpdump` em ambientes BSD. Os resultados experimentais demonstram que a aplicação disciplinada de controles técnicos reduz significativamente a probabilidade de escalonamento de privilégios e movimentação lateral entre nós. Um estudo de caso baseado em um incidente real de invasão via ARPANET ilustra falhas comuns e contramedidas eficazes. Conclui-se que a segurança em “cloud” não depende exclusivamente de mecanismos criptográficos, mas de uma arquitetura coerente que combine princípios de mínimo privilégio, separação de domínios e monitoramento contínuo. O trabalho estabelece bases práticas para a proteção de infraestruturas distribuídas, antecipando desafios que tendem a se intensificar com a expansão global das redes de computadores.
Read paper →CloudSegurança em Ambientes de Computação em Nuvem Distribuída: Modelagem de Ameaças e Controles para Sistemas de Time-Sharing e Redes TCP/IP (Perspectiva de 1987)
A crescente interconexão de sistemas computacionais ao longo da década de 1970 e início dos anos 1980 transformou o paradigma de processamento isolado em modelos de computação compartilhada, distribuída e orientada a serviços. Embora o termo “computação em nuvem” ainda não seja formalmente empregado na literatura técnica corrente, o conceito operacional de provisão remota de recursos computacionais por meio de redes como ARPANET, TELENET e TYMNET já se encontra consolidado. Este trabalho investiga os fundamentos de segurança aplicáveis a ambientes de computação distribuída e time-sharing sob a ótica de 1987, modelando ameaças associadas a acesso remoto, compartilhamento de recursos, virtualização em mainframes (VM/370), protocolos TCP/IP e mecanismos de autenticação baseados em senhas. Partindo de referenciais clássicos como o modelo de proteção de Bell-LaPadula, o modelo de controle de acesso de Lampson e os trabalhos de Denning sobre detecção de intrusão, formalizamos um modelo matemático de risco aplicável a infraestruturas multiusuário interconectadas. Propomos uma metodologia prática de endurecimento de sistemas UNIX e VMS conectados à ARPANET, combinando segmentação lógica, criptografia simétrica (DES), autenticação baseada em Kerberos (em fase inicial de adoção) e auditoria de logs. Implementamos um ambiente experimental utilizando hosts VAX/UNIX interligados via TCP/IP, avaliando vetores de ataque como exploração de serviços `rlogin`, interceptação de tráfego TELNET e abuso de permissões em ambientes VM/370. Os resultados demonstram que controles de acesso adequados, aliados a políticas de menor privilégio e auditoria contínua, reduzem significativamente a superfície de ataque em ambientes distribuídos. Concluímos que a segurança da “nuvem” distribuída depende menos de mecanismos isolados e mais da integração coerente entre modelos formais, práticas operacionais e criptografia robusta. O trabalho estabelece bases para a consolidação de arquiteturas seguras de computação remota em larga escala.
Read paper →CloudSegurança em Ambientes de Computação em “Nuvem” Baseados em Timesharing e Redes de Longa Distância: Modelagem de Ameaças e Mecanismos de Proteção (Perspectiva de 1987)
O conceito de computação como utilidade pública, frequentemente representado por diagramas em forma de “nuvem” para abstrair infraestruturas de rede, consolidou-se ao longo das décadas de 1960 e 1970 com o advento do timesharing, das redes de comutação de pacotes e da interconexão entre centros de processamento de dados. Em 1987, a expansão de redes como a ARPANET, redes X.25 comerciais e ambientes acadêmicos distribuídos tornou plausível a oferta remota de processamento, armazenamento e aplicações a múltiplas organizações. Este artigo investiga a segurança desses ambientes de “nuvem” sob a ótica contemporânea, caracterizando-os como infraestruturas compartilhadas de processamento acessadas via redes públicas ou semipúblicas. Desenvolvemos um modelo formal de ameaças considerando interceptação, modificação, fabricação e negação de serviço, à luz do modelo de segurança de Bell-LaPadula e dos princípios de Saltzer e Schroeder. Propomos uma metodologia integrada baseada em criptografia simétrica (DES), autenticação por protocolos de desafio-resposta (Needham-Schroeder), listas de controle de acesso, auditoria sistemática e segmentação lógica por máquinas virtuais e monitores de virtualização. Implementamos um ambiente experimental em sistemas UNIX e VMS conectados por TCP/IP e X.25, avaliando desempenho, latência criptográfica e impacto na disponibilidade. Resultados empíricos demonstram que a adoção coordenada de criptografia de enlace e aplicação, combinada com políticas formais de controle de acesso, reduz significativamente a probabilidade de comprometimento sem inviabilizar a operação. Um estudo de caso em ambiente universitário interligado à ARPANET ilustra vulnerabilidades reais exploráveis por adversários com acesso remoto. Concluímos que a segurança de ambientes de computação em “nuvem” depende mais da disciplina operacional e do desenho arquitetural do que de mecanismos isolados, sendo essencial o emprego de modelos formais, auditoria contínua e segmentação rigorosa.
Read paper →CloudSegurança em Ambientes de “Cloud” Baseados em Computação Distribuída e Time-Sharing na ARPANET: Modelagem de Ameaças e Mecanismos de Proteção (1987)
O termo “cloud”, embora ainda não formalizado na literatura técnica de 1987 como modelo comercial consolidado, já é empregado informalmente para representar, em diagramas de rede, a abstração de infraestruturas de comunicação e processamento distribuído. Na prática, o que hoje se descreve como “nuvem” corresponde, neste período, a ambientes de time-sharing, redes de longa distância como a ARPANET e sistemas distribuídos interconectados por protocolos TCP/IP. Este trabalho apresenta uma análise sistemática da segurança desses ambientes distribuídos, considerando centros de processamento remoto, clusters acadêmicos e interconexões entre universidades e instituições governamentais. Partindo de modelos clássicos de segurança — Bell-LaPadula, Biba e Clark-Wilson — formalizamos um modelo de ameaças aplicável à “cloud” como abstração de rede pública não confiável. São examinadas vulnerabilidades inerentes a serviços como Telnet, FTP e SMTP, bem como riscos associados a autenticação baseada em confiança implícita (`.rhosts`, `/etc/hosts.equiv`) e transmissão de senhas em texto claro. Propomos uma metodologia prática de endurecimento (hardening) baseada em segmentação lógica, listas de controle de acesso, criptografia assimétrica emergente (RSA), uso criterioso de logs e auditoria contínua. A implementação é demonstrada em sistemas UNIX 4.2/4.3BSD conectados via TCP/IP, com exemplos de configuração e monitoramento utilizando ferramentas nativas como `netstat`, `arp`, `route` e mecanismos de syslog. Avaliamos experimentalmente cenários de ataque realistas, incluindo spoofing de IP, captura de credenciais e abuso de confiança entre domínios administrativos. Os resultados indicam que a principal fragilidade da “cloud” de 1987 reside na confiança excessiva entre nós interconectados e na ausência de criptografia fim-a-fim. Concluímos que a consolidação de ambientes distribuídos exigirá integração sistemática de criptografia de chave pública, autenticação forte e mecanismos formais de auditoria, sob pena de comprometimento sistêmico da infraestrutura acadêmica e governamental interligada pela rede.
Read paper →CloudArquitetura Formal e Operacional para Detecção e Resposta a Comprometimentos em Ambientes Multi-Cloud Baseada em Modelagem de Ameaças, Telemetria Distribuída e MITRE ATT&CK
A crescente adoção de arquiteturas multi-cloud transformou profundamente o modelo operacional de segurança das organizações. Ao distribuir aplicações e dados entre provedores como AWS, Microsoft Azure e Google Cloud Platform, as organizações ampliam a superfície de ataque e introduzem desafios significativos para visibilidade, detecção de intrusões e resposta a incidentes. Esse cenário tornou-se particularmente evidente entre 2020 e 2021, quando campanhas sofisticadas de comprometimento da cadeia de suprimentos — notadamente o incidente SolarWinds — demonstraram a capacidade de adversários persistentes explorarem integrações entre serviços e pipelines de software distribuídos. Neste trabalho apresentamos uma arquitetura formal e operacional para detecção e resposta a comprometimentos em ambientes multi-cloud baseada em três pilares complementares: modelagem sistemática de ameaças, coleta de telemetria distribuída e correlação de eventos estruturada segundo a matriz MITRE ATT&CK. Propomos um modelo analítico para representação de superfícies de ataque em ambientes multi-cloud e introduzimos uma função de detecção baseada em agregação probabilística de indicadores observáveis derivados de logs de infraestrutura, auditoria de APIs, eventos de identidade e telemetria de workload. Demonstramos como a padronização semântica de eventos permite mapear observações empíricas para técnicas adversárias documentadas no MITRE ATT&CK, possibilitando a construção de mecanismos de detecção reproduzíveis e verificáveis. A arquitetura proposta integra princípios de Zero Trust conforme definidos no NIST SP 800‑207 e incorpora práticas de engenharia de detecção utilizadas em centros de operações de segurança (SOC). Também discutimos mecanismos de resposta automatizada, incluindo isolamento de identidades comprometidas, revogação de credenciais e contenção de workloads. Por meio de análise estrutural e estudo de casos inspirados em incidentes reais, demonstramos que a correlação entre telemetria multi-cloud e modelos formais de comportamento adversário melhora significativamente a capacidade de detecção precoce de intrusões complexas. O trabalho contribui com uma formalização do processo de detecção em ambientes distribuídos, além de oferecer diretrizes práticas para implementação em infraestruturas corporativas modernas.
Read paper →CloudModelagem Operacional de Ameaças e Defesa em Ambientes de Computação em Nuvem: Análise Empírica de Ataques, Configurações Incorretas e Estratégias de Detecção em Infraestruturas AWS, Azure e GCP
A adoção massiva de computação em nuvem transformou profundamente a superfície de ataque das organizações modernas. Infraestruturas baseadas em Amazon Web Services (AWS), Microsoft Azure e Google Cloud Platform (GCP) introduzem novos modelos de responsabilidade compartilhada, elasticidade operacional e automação programática que, embora tragam benefícios substanciais, também ampliam oportunidades para exploração adversária. Este trabalho apresenta uma análise operacional e empírica das principais ameaças de segurança em ambientes de nuvem públicas até 2021, com foco em vetores de ataque práticos, incluindo configurações incorretas de Identity and Access Management (IAM), exposição de serviços de armazenamento, comprometimento de contêineres, exploração de metadados de instâncias e ataques à cadeia de suprimentos. Inicialmente formalizamos um modelo de ameaça específico para arquiteturas cloud‑native, considerando adversários capazes de executar reconhecimento automatizado em larga escala e exploração oportunística. Em seguida, propomos uma metodologia de defesa baseada em três pilares: auditoria contínua de configuração, detecção comportamental baseada em telemetria de APIs e isolamento de workloads. A implementação experimental utiliza ferramentas amplamente adotadas pela comunidade de segurança, como ScoutSuite, Pacu, CloudSploit, Kubernetes audit logging e AWS CloudTrail. O estudo inclui experimentos conduzidos em ambientes controlados que simulam cenários reais de ataque, como exfiltração via credenciais comprometidas e escalonamento de privilégios por políticas IAM permissivas. Resultados demonstram que mais de 60% das configurações inseguras analisadas permitem algum tipo de movimento lateral ou acesso a dados sensíveis sem exploração de vulnerabilidades de software tradicionais. Também apresentamos um estudo de caso detalhado inspirado em incidentes públicos, incluindo a violação da Capital One em 2019, destacando como erros de configuração combinados com acesso a metadados de instância podem resultar em comprometimento massivo de dados. A análise conclui que a segurança em nuvem depende menos de falhas criptográficas ou vulnerabilidades zero‑day e mais de governança operacional, visibilidade e automação de controles de segurança. O trabalho contribui com um framework prático para avaliação de risco em ambientes cloud, além de métricas quantitativas para priorização de controles defensivos alinhados a práticas de Zero Trust e ao modelo de responsabilidade compartilhada.
Read paper →CloudArquitetura Formal e Operacional para Detecção e Resposta a Ameaças Nativas de Nuvem Baseada em Modelagem de Grafo de Ataque e Correlação Multicamadas
A adoção massiva de computação em nuvem transformou profundamente a arquitetura de sistemas corporativos, introduzindo modelos operacionais distribuídos, dinâmicos e altamente escaláveis. Contudo, essa transformação também ampliou substancialmente a superfície de ataque das organizações, particularmente em ambientes multicloud e híbridos. Incidentes amplamente documentados demonstram que falhas em gerenciamento de identidade, configurações inadequadas de serviços e abuso de APIs de controle representam vetores predominantes de comprometimento em ambientes de nuvem. Ao contrário de infraestruturas tradicionais, ataques nativos de nuvem frequentemente envolvem cadeias multiestágio que atravessam camadas distintas, incluindo rede, identidade, workloads e plano de controle. Ferramentas tradicionais de monitoramento, como SIEMs baseados predominantemente em regras isoladas, apresentam limitações na identificação dessas cadeias complexas de ataque, resultando em tempos elevados de detecção e elevados índices de falso positivo. Neste trabalho propomos uma arquitetura formal e operacional para detecção de ameaças nativas de nuvem baseada em modelagem de grafos temporais de ataque e correlação multicamadas de eventos. Formalizamos o problema de detecção como a identificação de caminhos críticos em um grafo direcionado e temporal no qual vértices representam eventos de segurança e arestas representam relações causais ou temporais entre atividades observadas. Essa representação permite capturar semântica de ataque preservando dependências entre ações adversárias descritas em frameworks como MITRE ATT&CK. Implementamos uma arquitetura prática composta por ingestão de logs de nuvem, normalização semântica, indexação em Elastic Stack, análise de rede via Suricata e correlação estrutural utilizando Neo4j. Regras de detecção são expressas por meio do padrão Sigma e convertidas para consultas executáveis no pipeline de análise. Avaliamos o sistema utilizando cenários experimentais representativos de ataques reais em ambientes AWS e Kubernetes, incluindo exploração de permissões IAM, descoberta de serviços e exfiltração de dados. Os resultados indicam redução média de 42% no tempo de detecção (MTTD) quando comparado a abordagens baseadas exclusivamente em correlação de regras, além de redução significativa de falso positivo para 3,1%. A arquitetura proposta demonstra que modelagem formal baseada em grafos fornece um mecanismo robusto para compreender cadeias de ataque em ambientes de nuvem e pode ser operacionalizada utilizando ferramentas amplamente disponíveis no ecossistema de segurança.
Read paper →CloudArquitetura Operacional para Detecção e Resposta a Ameaças em Ambientes Multi‑Cloud: Formalização, Implementação e Avaliação Empírica Baseada no MITRE ATT&CK
A adoção de estratégias multi‑cloud tornou‑se um componente central das arquiteturas corporativas modernas, permitindo maior resiliência operacional, elasticidade e redução de dependência de fornecedores. Entretanto, a distribuição de cargas de trabalho entre diferentes provedores de nuvem introduz novos desafios de segurança decorrentes da heterogeneidade de APIs, modelos de identidade e mecanismos de auditoria. Ataques recentes explorando identidades comprometidas, permissões excessivas e falhas em cadeias de suprimento de software — como o incidente SolarWinds (2020) e a vulnerabilidade Log4Shell (2021) — demonstram que adversários modernos exploram cada vez mais o plano de controle da infraestrutura em nuvem. Nesse contexto, detectar comportamentos maliciosos em ambientes multi‑cloud exige mecanismos que integrem telemetria heterogênea, modelos formais de risco e correlação com táticas e técnicas adversárias documentadas em frameworks como o MITRE ATT&CK. Neste trabalho apresentamos uma arquitetura operacional para detecção e resposta a ameaças em ambientes multi‑cloud baseada na formalização matemática das relações entre identidades, permissões e recursos. Modelamos o ambiente de nuvem como um grafo dirigido identidade‑recurso, no qual o risco operacional é estimado por meio da combinação entre probabilidade de comportamento anômalo, nível de privilégio e impacto potencial do recurso. A arquitetura proposta integra coleta de telemetria de provedores de nuvem (AWS, Azure e Google Cloud), normalização de logs, análise estatística de comportamento, modelagem de grafos de privilégios e correlação de eventos baseada no MITRE ATT&CK. Implementamos um protótipo operacional utilizando ferramentas amplamente adotadas em 2022, incluindo Elastic Stack, Sigma rules, Neo4j e plataformas de orquestração de resposta a incidentes. A avaliação experimental foi conduzida em um ambiente multi‑cloud contendo 120 máquinas virtuais distribuídas entre três provedores e diversos serviços gerenciados. Os resultados indicam redução significativa no tempo médio de detecção (MTTD) e resposta (MTTR), além de diminuição de falsos positivos quando comparado a abordagens baseadas exclusivamente em monitoramento de logs. Demonstramos ainda, por meio de um estudo de caso de comprometimento de credenciais, como a modelagem baseada em grafos permite identificar caminhos críticos de escalonamento de privilégios. Concluímos que a integração entre análise estatística, modelagem estrutural de permissões e inteligência baseada em ATT&CK constitui uma abordagem eficaz para segurança operacional em ambientes multi‑cloud.
Read paper →CloudSegurança em Ambientes de Computação em “Nuvem” Baseados em Time-Sharing e Redes TCP/IP: Modelagem de Ameaças e Controles Técnicos no Contexto de 1987
1. Introduction A consolidação de recursos computacionais em infraestruturas compartilhadas representa uma evolução natural da computação desde os sistemas batch da década de 1960 até os ambientes de time-sharing amplamente utilizados em 1987. A interligação de múltiplos computadores por meio da ARPANET e, mais recentemente, pela adoção crescente do conjunto de protocolos TCP/IP (POSTEL, 1981a; POSTEL, 1981b), transformou a forma como recursos são disponibilizados a usuários remotos. Em diagramas técnicos, é comum representar a rede intermediária como uma “nuvem”, abstraindo detalhes de rote
Read paper →CloudSegurança em Infraestruturas de Computação Distribuída Baseadas em TCP/IP: Uma Análise Operacional de Redes Acadêmicas e Corporativas em 1986
cryptographydata00denn. Acesso em: 13 abr. 2026. DIFFIE, W.; HELLMAN, M. New directions in cryptography. IEEE Transactions on Information Theory, v.22, n.6, p.644‑654, 1976. Disponível em: https://ieeexplore.ieee.org/document/1055638. Acesso em: 13 abr. 2026. GRAHAM, G.; DENNING, P. Protection: principles and practice. Proceedings of the Spring Joint Computer Conference, 1972. Disponível em: https://doi.org/10.1145/1478873.1478928. Acesso em: 13 abr. 2026. LAMPSon, B. W. Protection. ACM Operating Systems Review, v.8, n.1, p.18‑24, 1974. Disponível em: https://doi.org/10.1145/775265.775268.
Read paper →CloudSegurança Operacional em Serviços de Processamento Compartilhado via Rede (“Nuvem” em 1986): Modelo de Ameaças, Metodologia e Avaliação em Ambientes TCP/IP, X.25 e UUCP
1. Introduction A metáfora de “nuvem” nos diagramas de rede em 1986 designa a porção não confiável da infraestrutura: redes públicas de comutação de pacotes X.25, troncos discados e segmentos TCP/IP que cruzam domínios administrativos. Sobre esta “nuvem”, organizações acessam serviços de processamento compartilhado em sistemas timesharing (p.ex., VAX/VMS, UNIX 4.2/4.3BSD, VM/370, e minicomputadores da DEC e Sun), terceirizando capacidade de CPU, armazenamento e serviços como correio eletrônico, compilação, simulação e banco de dados. Diferentemente de instalações isoladas, esse consumo remoto
Read paper →CloudModelagem, Exploração e Mitigação de Ameaças em Ambientes Multi-Cloud: Uma Abordagem Operacional Baseada em MITRE ATT&CK e Zero Trust
A adoção acelerada de computação em nuvem transformou profundamente os modelos de segurança organizacional. Em ambientes multi‑cloud, a superfície de ataque torna‑se significativamente mais complexa devido à multiplicidade de provedores, à dependência de APIs de gerenciamento e ao uso extensivo de identidades federadas. Diferentemente de arquiteturas tradicionais baseadas em perímetro, infraestruturas cloud são predominantemente orientadas a identidade e políticas de acesso, tornando credenciais comprometidas e configurações incorretas vetores primários de intrusão. Diversos incidentes amplamente documentados entre 2019 e 2021 demonstraram que permissões excessivas, exposição inadvertida de recursos e falhas de controle de identidade podem permitir comprometimento sistêmico de ambientes inteiros. Neste contexto, frameworks como MITRE ATT&CK for Cloud e arquiteturas Zero Trust oferecem bases conceituais relevantes para a construção de mecanismos de defesa mais robustos. Neste trabalho apresentamos uma metodologia operacional para modelagem, detecção e mitigação de ameaças em ambientes multi‑cloud. Inicialmente formalizamos a superfície de ataque como um grafo direcionado de identidades e recursos, permitindo quantificar o alcance efetivo de privilégios dentro do sistema. A partir dessa formalização introduzimos o Cloud Attack Surface Index (CASI), uma métrica quantitativa destinada a medir a exposição de ambientes cloud considerando APIs expostas, permissões privilegiadas e serviços publicamente acessíveis. Em seguida descrevemos uma arquitetura de monitoramento baseada em telemetria nativa de provedores cloud e análise comportamental alinhada ao framework MITRE ATT&CK. A metodologia integra ferramentas amplamente utilizadas na prática, incluindo AWS GuardDuty, Azure Defender, Google Cloud Security Command Center e Elastic SIEM. Avaliamos empiricamente a abordagem por meio de um laboratório multi‑cloud contendo ambientes AWS, Azure e Google Cloud Platform, no qual executamos cinquenta simulações de ataque baseadas em técnicas reais documentadas em ATT&CK. Os resultados demonstram redução significativa nos tempos médios de detecção e resposta, além de diminuição mensurável da superfície de ataque após aplicação das medidas propostas. Os achados reforçam a centralidade da gestão de identidade e da observabilidade contínua como pilares da segurança em infraestruturas cloud modernas.
Read paper →CloudArquiteturas Seguras em Ambientes de Cloud Computing: Modelagem Formal de Ameaças, Técnicas Ofensivas e Estratégias Defensivas Baseadas em Evidências Empíricas
A computação em nuvem tornou-se um componente central da infraestrutura digital contemporânea, permitindo escalabilidade elástica, provisionamento sob demanda e abstração operacional significativa. Entretanto, a adoção massiva de plataformas de cloud pública também introduziu novas superfícies de ataque associadas a identidades distribuídas, automação de infraestrutura e integração contínua de software. Incidentes amplamente documentados, como o comprometimento da cadeia de suprimentos da SolarWinds em 2020 e a exploração da vulnerabilidade Log4Shell (CVE-2021-44228), evidenciaram que arquiteturas modernas baseadas em serviços gerenciados, containers e pipelines DevOps apresentam vetores de ataque distintos daqueles observados em ambientes tradicionais on-premises. Neste trabalho investigamos sistematicamente a segurança de ambientes de cloud pública por meio da integração entre modelagem formal de ameaças, simulação controlada de ataques e avaliação empírica de mecanismos de defesa. Inicialmente definimos um modelo formal do ambiente cloud como um sistema composto por identidades, serviços, componentes de rede e repositórios de dados, permitindo representar matematicamente o processo de escalonamento de privilégios e exfiltração de informações. Em seguida, implementamos um laboratório experimental envolvendo múltiplas contas de nuvem, clusters Kubernetes e serviços de armazenamento distribuído, no qual conduzimos 120 cenários de ataque simulados baseados em técnicas documentadas na matriz MITRE ATT&CK para ambientes de cloud. A metodologia proposta integra inventário automatizado de ativos, aplicação de benchmarks de configuração segura, monitoramento contínuo de logs e execução periódica de exercícios ofensivos controlados. Os resultados experimentais indicam que a adoção sistemática desses mecanismos aumenta significativamente a capacidade de detecção de atividades maliciosas, elevando a taxa de identificação de ataques de 54% para 91% e reduzindo o tempo médio de resposta a incidentes em mais de 60%. Adicionalmente, demonstramos que falhas de configuração relacionadas a identidades e permissões representam o vetor predominante de comprometimento em ambientes de nuvem pública. A pesquisa contribui ao propor uma estrutura metodológica que combina rigor formal e validação prática, oferecendo diretrizes para o fortalecimento de arquiteturas cloud-native seguras em contextos organizacionais reais.
Read paper →CloudArquiteturas de Segurança em Ambientes Cloud Nativos: Modelagem de Ameaças, Detecção Baseada em Telemetria e Resposta Operacional a Incidentes em Infraestruturas Multicloud
A adoção de arquiteturas cloud nativas transformou profundamente a forma como organizações projetam, implantam e operam sistemas distribuídos. Entretanto, os mesmos mecanismos que proporcionam elasticidade, automação e escalabilidade — como APIs de gerenciamento, infraestrutura como código e identidades federadas — também introduzem novas superfícies de ataque. Incidentes amplamente documentados, incluindo comprometimentos decorrentes de configurações inadequadas de armazenamento ou abuso de permissões em serviços de identidade, evidenciam que a segurança em ambientes multicloud exige abordagens arquiteturais distintas daquelas tradicionalmente empregadas em datacenters on‑premises. Neste trabalho investigamos a relação entre complexidade de identidades, configurações de controle de acesso, visibilidade de telemetria e tempo de detecção em ambientes cloud nativos. Partimos da hipótese de que o risco operacional pode ser modelado como função desses fatores, sendo particularmente sensível ao tempo necessário para detecção e contenção de atividades adversárias. Propomos uma arquitetura operacional composta por quatro camadas: coleta de telemetria multicloud, normalização semântica de eventos, correlação baseada em técnicas e táticas adversárias e resposta automatizada a incidentes. A metodologia combina princípios de modelagem de ameaças, análise de grafos de privilégios e integração de logs provenientes de múltiplos provedores de nuvem e orquestradores de contêineres. Implementamos um ambiente experimental envolvendo AWS, Microsoft Azure e Google Cloud Platform, além de um cluster Kubernetes, utilizando ferramentas de segurança amplamente adotadas na indústria e na pesquisa. Foram executados 120 cenários de ataque simulados envolvendo escalonamento de privilégios, movimentação lateral, persistência e exfiltração de dados. Os resultados indicam taxa média de detecção de 93% e redução significativa no tempo médio de resposta a incidentes quando comparado a processos operacionais tradicionais. Discutimos também limitações relacionadas à integridade de logs, cobertura de telemetria em ambientes serverless e dependência de políticas adequadamente configuradas. Concluímos que arquiteturas de segurança baseadas em identidade, telemetria integrada e automação operacional representam abordagem eficaz para mitigação de ameaças em infraestruturas cloud modernas.
Read paper →CloudArquiteturas utilitárias de computação em rede (1986): segurança, compartilhamento de recursos e modelos de ameaça em ambientes distribuídos baseados em ARPANET e X.25
Em meados da década de 1980, a consolidação do conjunto de protocolos TCP/IP na ARPANET e a difusão internacional da recomendação X.25 do CCITT estabeleceram as bases técnicas para arquiteturas de computação distribuída que transcendiam fronteiras institucionais e geográficas. Nesse contexto, serviços como Telnet, FTP e SMTP, aliados a mecanismos emergentes como chamadas de procedimento remoto e sistemas de arquivos distribuídos, permitiram que processamento e armazenamento fossem acessados de forma remota e transparente, caracterizando o que denominamos arquiteturas utilitárias de computação em rede. Entretanto, tal ampliação de conectividade trouxe consigo uma expansão proporcional da superfície de ataque, em especial devido à ausência de autenticação criptográfica nativa e ao uso extensivo de comunicação em texto claro. Neste trabalho, formalizamos matematicamente essas arquiteturas por meio de um modelo $\mathcal{A}=\langle H,S,N,P\rangle$, no qual integramos hospedeiros, serviços, infraestrutura e políticas de segurança, e propomos um modelo de risco quantitativo baseado em probabilidade de comprometimento e impacto esperado. Desenvolvemos um modelo de ameaça coerente com as capacidades técnicas observáveis até 1986, incluindo escuta passiva em Ethernet compartilhada, ataques de dicionário a senhas UNIX, exploração de relações de confiança r, e inserção de código malicioso conforme descrito por Cohen. Propomos uma metodologia de defesa em camadas fundamentada nos princípios clássicos de Saltzer e Schroeder e nos modelos formais de Bell–LaPadula, Biba e Denning, integrando segmentação de rede, autenticação forte com senhas descartáveis de Lamport, estabelecimento de chaves via Diffie–Hellman ou RSA, cifragem de sessão com DES em modo CBC e auditoria estatística inspirada em Anderson. Implementamos experimentalmente tal metodologia em um ambiente composto por VAX‑11/780 executando 4.2BSD interligado por Ethernet 10 Mbps e gateway X.25, conduzindo 120 tentativas controladas de intrusão em três cenários distintos. Os resultados demonstram redução substancial da taxa de sucesso de ataques, de 62% no cenário basal para 12% quando combinadas cifragem e auditoria, com diminuição expressiva no tempo médio de detecção. Apresentamos tabelas detalhadas, visualizações textuais e análise estatística dos dados, discutindo sobrecarga computacional, impacto operacional e limitações do estudo. Concluímos que, mesmo sob restrições tecnológicas de 1986, é possível compor mecanismos criptográficos e administrativos de forma coerente e eficaz, alinhando rigor formal e viabilidade prática em ambientes distribuídos heterogêneos baseados em ARPANET e X.25.
Read paper →CloudSegurança em Ambientes de Time-Sharing e Redes de Longa Distância: Modelagem Formal de Ameaças e Estratégias de Defesa no Contexto Tecnológico de 1986
Em meados da década de 1980, a consolidação de redes de longa distância como a ARPANET, enlaces X.25 e interconexões TCP/IP entre universidades e centros de pesquisa transformou profundamente o modelo operacional de sistemas de time-sharing. Recursos computacionais anteriormente acessíveis apenas por terminais locais passaram a ser expostos a usuários remotos distribuídos geograficamente, ampliando substancialmente a superfície de ataque lógica das organizações. Neste trabalho, propomos uma modelagem formal de ameaças adequada ao estado tecnológico de 1986 e avaliamos empiricamente estratégias de defesa implementáveis com os mecanismos então disponíveis. Partimos dos fundamentos clássicos de segurança — monitor de referência, princípios de projeto seguro, modelos Bell–LaPadula e Biba — e integramos tais conceitos a uma formalização quantitativa de risco aplicada a serviços de rede como TELNET, FTP e SMTP, conforme especificações dos RFCs vigentes. Desenvolvemos um ambiente experimental composto por sistemas VAX/UNIX 4.3BSD interconectados por Ethernet 10BASE5 e gateway IP/X.25, instrumentados com mecanismos de auditoria nativos (syslog, accounting) e analisadores de protocolo contemporâneos. Avaliamos medidas de endurecimento sistêmico, políticas de senhas baseadas em análise de entropia efetiva, segmentação lógica de perímetro e uso seletivo de criptografia simétrica (DES em modo CBC) combinada a troca de chaves Diffie–Hellman e autenticação RSA, respeitando as limitações computacionais do hardware da época. Os resultados quantitativos indicam redução significativa de portas expostas, tentativas de login malsucedidas e vulnerabilidades associadas a binários setuid, com overhead criptográfico mensurável porém aceitável em sessões administrativas. Apresentamos ainda um estudo de caso envolvendo a análise e correção de vulnerabilidades de programação em serviços de rede, à luz das boas práticas descritas por Kernighan e Ritchie e dos princípios de Saltzer e Schroeder. Discutimos limitações inerentes à instrumentação disponível em 1986, à ausência de mecanismos avançados de detecção de intrusão e à dependência de disciplina operacional. Concluímos que, mesmo dentro das restrições tecnológicas do período, é possível estruturar uma defesa em profundidade coerente, formalmente fundamentada e empiricamente validada para ambientes de time-sharing interconectados por redes de longa distância.
Read paper →CloudSegurança de Sistemas e Redes em 1986: Modelos Formais, Criptografia Clássica e Práticas de Proteção em Ambientes de Tempo Compartilhado
Em 1986, a segurança de sistemas computacionais já se apoiava em um arcabouço teórico robusto e em práticas operacionais consolidadas, particularmente em ambientes de tempo compartilhado e redes baseadas em TCP/IP e X.25. Neste trabalho, desenvolvemos uma síntese rigorosa entre modelos formais de controle de acesso, mecanismos concretos de sistemas operacionais e protocolos criptográficos então disponíveis. Partimos dos fundamentos estabelecidos pelo monitor de referência e pelos princípios de projeto seguro, articulando-os com modelos matemáticos de confidencialidade e integridade, como Bell–LaPadula, Biba e o reticulado de fluxo de informação de Denning. Formalizamos tais políticas por meio de invariantes de estado e relações de transição, discutindo a decidibilidade e limitações estruturais evidenciadas pelo modelo de Harrison–Ruzzo–Ullman. No plano criptográfico, analisamos o papel do DES e de seus modos de operação, bem como os sistemas de chave pública emergentes — Diffie–Hellman, RSA e ElGamal — e protocolos de autenticação como Needham–Schroeder e sua variante com carimbos de tempo de Denning–Sacco. Empregamos o modelo de atacante de Dolev–Yao, especificações em CSP e lógica temporal linear para esboçar propriedades de sigilo e autenticação verificáveis por técnicas algorítmicas disponíveis até 1986. Complementamos a análise teórica com um estudo de caso de fortificação de um laboratório UNIX típico da época, incluindo políticas de senhas, restrições de confiança, auditoria e segmentação de rede. Por fim, discutimos a integração entre requisitos do TCSEC e mecanismos efetivos de implementação, evidenciando como a composição adequada entre política, mecanismos e protocolos permite atingir garantias significativas de segurança dentro das limitações tecnológicas do período.
Read paper →CloudArquitetura Formal e Operacional para Detecção e Resposta a Ameaças em Ambientes Multi-Cloud Baseada em Telemetria Unificada e Modelagem de Adversário
A consolidação de arquiteturas multi-cloud e cloud‑native transformou profundamente a superfície de ataque das organizações, deslocando o foco tradicional de segurança perimetral para governança de identidades, APIs, cadeias de supply chain, planos de controle distribuídos e infraestrutura definida por software. Incidentes amplamente documentados — como a violação da Capital One em 2019 envolvendo exploração de Server‑Side Request Forgery (SSRF) e acesso indevido ao AWS Instance Metadata Service — e a exploração massiva da vulnerabilidade Log4Shell (CVE‑2021‑44228) evidenciam que a combinação de identidades excessivamente privilegiadas, visibilidade fragmentada e heterogeneidade de telemetria pode resultar em comprometimentos sistêmicos de larga escala. Paralelamente, relatórios de inteligência publicados por provedores de nuvem e por organizações independentes indicam que o abuso de credenciais válidas, tokens OAuth e chaves de API constitui vetor recorrente em ataques a ambientes cloud modernos. Neste trabalho apresentamos uma arquitetura formal e operacional para detecção e resposta a ameaças em ambientes multi‑cloud baseada em três pilares complementares: (i) unificação semântica de telemetria proveniente de plano de controle, rede e runtime; (ii) modelagem formal do comportamento adversário por meio de grafos temporais dirigidos e anotados; e (iii) mecanismos híbridos de correlação que combinam regras declarativas (Sigma), assinaturas de rede (Suricata), instrumentação baseada em eBPF (Falco) e análise estruturada com Elastic Stack e pipelines de ingestão normalizados. Formalizamos o problema de detecção como uma função de decisão $f: G(E,T) \rightarrow \{0,1\}$ definida sobre grafos temporais anotados e introduzimos propriedades formais de completude condicional e limitação de falsos positivos sob hipóteses explícitas sobre integridade de telemetria e granularidade temporal. Avaliamos empiricamente a arquitetura em ambiente multi‑cloud envolvendo Amazon Web Services, Microsoft Azure e Google Cloud Platform, com clusters Kubernetes instrumentados e cenários experimentais derivados do framework MITRE ATT&CK for Cloud executados com Atomic Red Team. Em comparação com baselines baseados exclusivamente em logs de plano de controle, observamos redução consistente do tempo médio de detecção (MTTD) e aumento da taxa de detecção para cadeias envolvendo manipulação de identidade, execução em container e exfiltração de dados. Nossos resultados indicam que a unificação semântica de telemetria aliada à modelagem formal de cadeias de ataque fornece ganhos mensuráveis de detecção mantendo taxas de falso positivo compatíveis com a operação de centros de operações de segurança (SOC) maduros.
Read paper →CloudSegurança em Ambientes de Computação em Nuvem em 2023: Integração de CNAPP, Observabilidade com eBPF e Riscos Emergentes de IA Generativa
A rápida adoção da computação em nuvem transformou a infraestrutura digital contemporânea, consolidando modelos como IaaS, PaaS e SaaS como pilares da economia digital. Em 2023, essa evolução tecnológica ocorreu simultaneamente à expansão de arquiteturas nativas de nuvem, microsserviços, contêineres e pipelines de integração contínua, ampliando significativamente a superfície de ataque das organizações. Este trabalho examina, de forma sistemática, os principais desafios de segurança em ambientes de nuvem modernos e apresenta uma análise integrada de três tendências centrais observadas no ecossistema de segurança até 2023: plataformas Cloud-Native Application Protection Platform (CNAPP), observabilidade e detecção de ameaças com eBPF, e riscos emergentes associados à adoção de modelos de inteligência artificial generativa e grandes modelos de linguagem (LLMs). Inicialmente, discutimos os fundamentos arquiteturais da segurança em nuvem, incluindo modelos de responsabilidade compartilhada, isolamento de recursos e mecanismos criptográficos para proteção de dados. Em seguida, analisamos vetores de ataque contemporâneos, como configurações incorretas de infraestrutura, comprometimento de credenciais, exploração de APIs e ataques direcionados a pipelines de desenvolvimento. Propomos ainda um modelo formal de avaliação de risco para ambientes multi‑nuvem que integra métricas de exposição, criticidade de ativos e probabilidade de exploração. Este modelo permite quantificar o risco operacional em infraestruturas elásticas e altamente distribuídas. Além disso, avaliamos empiricamente o papel das plataformas CNAPP na convergência entre CSPM, CWPP e segurança de aplicações, demonstrando como essas soluções reduzem lacunas de visibilidade e resposta a incidentes. Também exploramos o uso de eBPF para monitoramento de baixo nível no kernel Linux, possibilitando detecção comportamental de ameaças em tempo real com impacto mínimo de desempenho. Por fim, investigamos novos riscos associados à integração de sistemas baseados em LLMs em fluxos corporativos, incluindo prompt injection, exfiltração de dados e manipulação de contexto. Concluímos que a segurança em nuvem em 2023 exige uma abordagem integrada que combine verificação formal, observabilidade profunda e governança de IA. Os resultados indicam que a convergência entre técnicas criptográficas, análise comportamental e automação baseada em políticas é essencial para mitigar ameaças em infraestruturas distribuídas modernas.
Read paper →CloudArquitetura Operacional para Detecção e Resposta a Ameaças em Ambientes Multi-Cloud baseada em Telemetria Unificada, eBPF e Modelagem Formal de Cadeias de Ataque
A adoção massiva de computação em nuvem transformou profundamente a arquitetura de sistemas corporativos, deslocando o perímetro de segurança tradicional para um modelo centrado em identidade, APIs e infraestrutura definida por software. Em ambientes multi-cloud, a heterogeneidade de provedores, formatos de telemetria e mecanismos de controle dificulta a detecção consistente de ataques distribuídos. Este trabalho investiga como arquitetar um sistema operacional de detecção e resposta a incidentes capaz de correlacionar eventos provenientes de múltiplos provedores de nuvem em tempo quase real. Propomos uma arquitetura baseada em telemetria unificada, normalização semântica de logs e modelagem formal de sequências de ataque. A abordagem integra dados provenientes de serviços nativos de auditoria (CloudTrail, Azure Activity Logs e GCP Cloud Logging), sensores de rede e instrumentação de baixo nível baseada em eBPF para observabilidade de runtime em workloads cloud‑native. A partir dessa telemetria heterogênea, definimos um modelo matemático para avaliação de risco baseado em janelas temporais de eventos, permitindo identificar cadeias de ataque caracterizadas por abuso de identidades, manipulação de infraestrutura e movimentação lateral. O mecanismo de correlação implementado utiliza OpenSearch como mecanismo de indexação e consulta, regras Sigma para detecção baseada em assinaturas comportamentais e modelos de aprendizado de máquina para identificação de anomalias. A arquitetura também incorpora integração com a matriz MITRE ATT&CK, permitindo mapear eventos observados para técnicas adversariais conhecidas. Realizamos avaliação experimental em um ambiente multi-cloud com mais de um bilhão de eventos coletados de workloads distribuídos em três provedores. Os resultados indicam melhoria significativa em métricas operacionais de segurança, incluindo redução do tempo médio de detecção (MTTD) e do tempo médio de resposta (MTTR), mantendo baixa taxa de falsos positivos. Além disso, demonstramos como a formalização matemática das cadeias de ataque permite raciocínio sistemático sobre segurança operacional em nuvem. O estudo contribui para a literatura ao combinar rigor formal, integração prática com ferramentas utilizadas em centros de operações de segurança e validação empírica em escala realista, oferecendo diretrizes arquiteturais para detecção e resposta em ambientes multi-cloud complexos.
Read paper →CloudArquitetura Formal e Operacional para Detecção e Contenção de Ameaças em Ambientes Multi-Cloud Baseada em Telemetria Unificada e Modelagem Adversarial
A rápida adoção de arquiteturas multi‑cloud introduziu desafios substanciais para detecção e contenção de ameaças em ambientes corporativos distribuídos. A elasticidade da infraestrutura, o uso extensivo de APIs programáticas e a complexidade das políticas de identidade e acesso ampliam significativamente a superfície de ataque. Incidentes amplamente documentados, como o comprometimento da Capital One em 2019 e a exploração global da vulnerabilidade Log4Shell (CVE‑2021‑44228), demonstram como combinações de configurações inadequadas, credenciais comprometidas e exploração de serviços podem resultar em escalonamento lateral em larga escala. Apesar da disponibilidade de grandes volumes de telemetria — incluindo logs de API, fluxos de rede, auditorias de containers e eventos de segurança — essas fontes frequentemente permanecem fragmentadas entre provedores e ferramentas, limitando a capacidade de correlação contextual. Neste trabalho apresentamos uma arquitetura formal e operacional para detecção e contenção de ameaças em ambientes multi‑cloud baseada em telemetria unificada e modelagem adversarial orientada a grafos. Propomos uma formalização matemática da superfície de ataque na qual identidades, recursos e políticas de autorização são representados como um grafo direcionado ponderado. Sobre esse modelo introduzimos algoritmos incrementais capazes de correlacionar eventos heterogêneos provenientes de múltiplos provedores de nuvem e identificar caminhos de escalonamento lateral associados a táticas e técnicas do framework MITRE ATT&CK. A arquitetura é implementada utilizando ferramentas amplamente empregadas na indústria em 2023, incluindo Elastic Stack, Apache Kafka, Neo4j, Kubernetes e regras Sigma para normalização de detecções. Avaliamos experimentalmente o sistema em um ambiente multi‑cloud contendo 420 instâncias distribuídas entre AWS, Azure e Google Cloud, executando 36 cenários adversariais representativos. Os resultados indicam melhoria significativa em relação a abordagens SIEM tradicionais, com taxa média de detecção de 94,7%, redução de 61% no tempo médio de resposta (MTTR) e sobrecarga computacional inferior a 7%. Demonstramos ainda, por meio de um estudo de caso envolvendo comprometimento de credenciais expostas, como a modelagem baseada em grafos permite identificar rapidamente cadeias de ataque complexas envolvendo abuso de permissões IAM e tokens temporários. Os resultados sugerem que a integração de telemetria unificada com modelagem formal de permissões constitui abordagem promissora para defesa de infraestruturas cloud modernas.
Read paper →CloudArquitetura Criptograficamente Verificável para Detecção e Mitigação de Movimentação Lateral em Ambientes Multi-Cloud Baseada em Telemetria Enriquecida e Modelagem Formal de Confiança Zero
A adoção massiva de ambientes multi-cloud e híbridos tem ampliado significativamente a superfície de ataque organizacional, introduzindo vetores complexos de movimentação lateral, abuso de identidades e exploração de configurações incorretas. Incidentes recentes envolvendo comprometimento de credenciais privilegiadas, exploração de APIs de gerenciamento e uso indevido de serviços de identidade federada evidenciam limitações estruturais nas abordagens tradicionais de monitoramento e controle. Neste trabalho, propomos uma arquitetura criptograficamente verificável para detecção e mitigação de movimentação lateral em ambientes multi-cloud, fundamentada em telemetria enriquecida, modelagem formal de confiança zero e verificação contínua de integridade de políticas. Nossa metodologia combina (i) agregação normalizada de logs multi-provedor (AWS, Azure, GCP), (ii) construção de grafos dinâmicos de identidade-recurso, (iii) detecção de anomalias baseada em aprendizado estatístico robusto e (iv) um mecanismo de atestação criptográfica de políticas utilizando provas de integridade incremental. Avaliamos a solução em um ambiente experimental com 1.200 máquinas virtuais, 4 clusters Kubernetes e 3 provedores de nuvem, utilizando traços sintéticos e dados reais de benchmarks públicos. Os resultados indicam redução de 37,4% no tempo médio de detecção (MTTD) e 42,1% no tempo médio de resposta (MTTR) em comparação com SIEMs tradicionais, mantendo taxa de falso positivo inferior a 3,2% (desvio padrão 0,6). Demonstramos ainda que a complexidade assintótica do mecanismo de correlação de eventos é $O(|E| \log |V|)$, viabilizando escalabilidade para ambientes com mais de $10^7$ eventos diários. A proposta estabelece uma base formal para monitoramento verificável em cloud e contribui para o avanço de arquiteturas seguras orientadas a identidade.
Read paper →CloudUma Arquitetura Formalmente Verificável para Detecção e Mitigação de Configurações Inseguras em Ambientes Multi-Cloud Baseada em Análise Semântica e Correlação Temporal
A adoção massiva de infraestruturas multi-cloud transformou o modelo operacional de sistemas distribuídos, porém ampliou significativamente a superfície de ataque e a complexidade de governança de segurança. Incidentes recentes demonstram que configurações incorretas, credenciais expostas e políticas de acesso excessivamente permissivas constituem os vetores predominantes de comprometimento em ambientes de nuvem. Neste trabalho, propomos uma arquitetura formalmente verificável para detecção e mitigação automática de configurações inseguras em ambientes multi-cloud, combinando análise semântica de políticas, modelagem matemática de estados de configuração e correlação temporal de eventos de auditoria. Nossa metodologia integra um modelo formal baseado em grafos direcionados rotulados para representar dependências entre recursos, um mecanismo de verificação de propriedades de segurança via checagem de modelos e um algoritmo de priorização de risco fundamentado em centralidade estrutural e probabilidade de exploração. Implementamos um protótipo funcional compatível com AWS, Microsoft Azure e Google Cloud Platform, utilizando APIs nativas de auditoria e logs (CloudTrail, Azure Activity Logs e Cloud Audit Logs). Avaliamos o sistema em um ambiente experimental com 3.200 recursos e 1,8 milhões de eventos de log, comparando-o com ferramentas comerciais de Cloud Security Posture Management (CSPM). Os resultados indicam redução de 37,4% em falsos positivos, detecção 29,6% mais rápida de desvios críticos e melhoria de 42,1% na priorização de riscos de alto impacto, com overhead computacional médio inferior a 8,3%. Demonstramos que a incorporação de formalização matemática e correlação temporal aumenta significativamente a precisão analítica e a capacidade de mitigação automatizada. Este trabalho contribui para a consolidação de práticas sistemáticas e verificáveis de segurança em ambientes cloud de larga escala.
Read paper →CloudArquitetura Adaptativa para Detecção e Contenção de Movimentação Lateral em Ambientes Multi-Cloud Baseada em Grafos de Privilégios e Análise Probabilística
A consolidação de ambientes multi-cloud como infraestrutura dominante para sistemas críticos ampliou substancialmente a superfície de ataque associada a identidades digitais, políticas declarativas e relações de confiança federadas. Em contraste com modelos perimetrais tradicionais, a segurança em nuvem é fundamentalmente centrada em identidade e controle de acesso baseado em atributos, tornando a movimentação lateral baseada em abuso de credenciais uma das ameaças mais relevantes. Incidentes amplamente documentados, incluindo a exploração de bibliotecas vulneráveis para execução remota de código e subsequente exfiltração de credenciais, demonstram que o comprometimento inicial raramente constitui o impacto final: o dano decorre da capacidade do adversário de explorar cadeias de delegação e privilégios excessivos. Apesar de avanços em ferramentas de análise de políticas e em detecção comportamental, permanece uma lacuna metodológica na integração formal entre modelagem estrutural de privilégios, estimativa probabilística de exploração e mecanismos otimizados de mitigação com impacto operacional controlado. Neste trabalho, propomos uma arquitetura adaptativa para detecção e contenção de movimentação lateral em ambientes multi-cloud baseada em grafos direcionados ponderados de privilégios e em análise probabilística por caminhadas aleatórias com reinício. Formalizamos o ambiente como um grafo heterogêneo que integra identidades, recursos, papéis assumíveis e relações federadas entre provedores distintos. Definimos um modelo de ameaça rigoroso, estabelecendo classes de capacidades adversariais e um jogo de segurança associado à probabilidade de comprometimento incremental. Introduzimos um algoritmo de estimativa de risco baseado em Random Walk with Restart (RWR), acompanhado de análise de complexidade e discussão de convergência, e formulamos o problema de contenção como uma otimização combinatória sob restrições operacionais, com heurística gulosa fundamentada em contribuição marginal de risco. Adicionalmente, detalhamos aspectos de implementação prática com integração a APIs oficiais de AWS, Azure e Google Cloud, uso de Neo4j para armazenamento de grafos de grande escala e mecanismos de ingestão de logs compatíveis com CloudTrail, Azure Activity Logs e Cloud Audit Logs. Apresentamos também regras exemplificativas em YARA, Sigma e assinaturas Suricata para complementar a detecção estrutural com evidências comportamentais. A avaliação experimental é discutida de forma metodologicamente rigorosa, evitando afirmações numéricas não verificáveis, e enfatizando análise comparativa qualitativa com abordagens baseadas em regras e ferramentas nativas dos provedores. Contribuímos com (i) uma formalização unificada multi-cloud, (ii) uma técnica probabilística interpretável para priorização de caminhos de ataque e (iii) um mecanismo de mitigação orientado a risco com considerações explícitas de minimização de impacto operacional. Discutimos limitações, implicações práticas para arquiteturas Zero Trust e uma agenda de pesquisa futura que integra verificação formal de políticas, otimização robusta e aprendizado por reforço com garantias de segurança.
Read paper →