Research / Paper Files
Paper Files
Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.
Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.
DAI & ADAI · 2026
DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis
DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…
Ler o paper →ADAI · PTInteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção
ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…
Ler o paper →102 papers
Contêineres de Processos em Sistemas UNIX: Isolamento Lógico, Superfície de Ataque e Implicações Operacionais para Segurança Computacional (1988)
Este artigo investiga o conceito de “contêineres” no contexto de sistemas UNIX, conforme compreendido no estado da arte até 1988, interpretando contêineres como ambientes de execução logicamente isolados construídos por meio de mecanismos nativos como `chroot`, controle de privilégios, separação de usuários, quotas de recursos e segmentação de rede. Embora o termo “containerização” ainda não seja formalmente consolidado na literatura técnica, o princípio de encapsular aplicações e seus artefatos em domínios restritos de execução já é praticado operacionalmente em ambientes militares, acadêmicos e corporativos. Este trabalho formaliza tal abordagem sob uma ótica de segurança ofensiva e defensiva, modelando ameaças realistas, incluindo escalonamento de privilégios, fuga de ambiente restrito, manipulação de sistemas de arquivos e exploração de falhas de validação de entrada. Desenvolvemos um modelo matemático para avaliação de risco residual baseado na probabilidade condicional de comprometimento e na redução de superfície de ataque proporcionada pelo isolamento lógico. A metodologia proposta integra controles de acesso discricionários (DAC), políticas de menor privilégio, particionamento de sistemas de arquivos, separação de redes via TCP/IP e monitoramento baseado em logs. Implementamos um protótipo em UNIX BSD 4.3 utilizando `chroot`, contas dedicadas e filtros de serviços expostos. A avaliação experimental mede impacto em desempenho, isolamento de processos e resistência a vetores de ataque conhecidos até 1988, incluindo buffer overflow em programas privilegiados e exploração de serviços de rede mal configurados. Um estudo de caso em ambiente acadêmico demonstra redução significativa do risco operacional. Concluímos que contêineres, entendidos como ambientes de execução confinados, constituem estratégia viável e economicamente eficiente para defesa em profundidade, ainda que não substituam mecanismos formais de segurança como modelos mandatórios. Propomos linhas futuras de pesquisa envolvendo monitoramento em tempo real e verificação formal de integridade de ambientes isolados.
Read paper →ContainersMecanismos de “Containers” em Sistemas UNIX e Mainframe: Isolamento de Processos, Compartimentalização e Segurança Operacional em 1988
O conceito de “containers”, entendido como o encapsulamento lógico de processos e recursos computacionais em ambientes isolados dentro de um mesmo sistema operacional, não é novo. Embora o termo venha sendo empregado informalmente na literatura técnica recente para descrever mecanismos de compartimentalização, suas raízes remontam a sistemas de tempo compartilhado das décadas de 1960 e 1970, como o Multics e o IBM VM/370. Este trabalho apresenta uma análise sistemática dos mecanismos disponíveis até 1988 que permitem a criação de ambientes isolados — aqui denominados “containers lógicos” — em sistemas UNIX e mainframes, com foco em segurança cibernética, controle de acesso e mitigação de ataques locais e remotos. Partimos dos fundamentos teóricos da segurança multinível (BELL; LAPADULA, 1973), integridade (BIBA, 1977) e monitor de referência (ANDERSON, 1972), avançando para implementações práticas como `chroot` em UNIX, domínios de proteção, máquinas virtuais do VM/370 e compartimentos definidos pelo Trusted Computer System Evaluation Criteria (TCSEC) (DOD, 1985). Formalizamos um modelo de ameaça aplicável a ambientes acadêmicos e militares conectados à ARPANET, incluindo exploração de serviços como `sendmail`, `fingerd` e `rsh`, bem como o impacto de worms autorreplicantes, exemplificado pelo incidente de 1988. Propomos uma metodologia operacional para implantação de containers lógicos baseados em `chroot`, controle de privilégios e separação de usuários, avaliando empiricamente seu impacto sobre desempenho e redução de superfície de ataque. Resultados experimentais indicam que a compartimentalização reduz significativamente o impacto de falhas de software e acessos não autorizados, com sobrecarga computacional inferior a 8% em cenários típicos de servidor VAX/UNIX. Concluímos que, mesmo na ausência de mecanismos formais de virtualização leve no kernel UNIX padrão, é possível construir arquiteturas de isolamento robustas combinando princípios clássicos de segurança com ferramentas já disponíveis em 1988.
Read paper →ContainersArquiteturas de Contêineres Baseadas em Isolamento de Processos e Máquinas Virtuais: Fundamentos de Segurança em Sistemas UNIX e VM/370 (1988)
A crescente interconexão de sistemas computacionais por meio da ARPANET e de redes TCP/IP evidenciou, ao longo da década de 1980, a necessidade de mecanismos robustos de isolamento entre aplicações potencialmente não confiáveis. Este artigo introduz e formaliza o conceito de “contêineres” como ambientes lógicos de execução isolada construídos a partir de primitivas já disponíveis em 1988, notadamente `chroot` no UNIX, limites de recursos (`setrlimit`), controle de privilégios via `setuid`, listas de controle de acesso, e virtualização completa em sistemas IBM VM/370. Diferentemente de máquinas físicas dedicadas, tais contêineres oferecem isolamento leve, menor custo operacional e maior flexibilidade administrativa, mantendo separação entre processos, sistemas de arquivos e recursos de rede. Apresentamos um modelo formal de ameaça aplicável a ambientes multiusuário conectados à ARPANET, considerando atacantes locais e remotos explorando falhas clássicas como estouros de buffer e abusos de serviços TCP. Propomos uma metodologia de construção de contêineres baseados em UNIX 4.3BSD e System V, combinando `chroot`, segregação de usuários, montagem de sistemas de arquivos mínimos e monitoramento com `tcpdump` e auditoria de logs. Complementarmente, avaliamos o uso de máquinas virtuais VM/370 como contêineres de maior isolamento. A avaliação experimental compara três arquiteturas: (i) isolamento por conta de usuário, (ii) contêiner `chroot`, e (iii) virtualização VM/370. Métricas incluem consumo de CPU, memória, latência de I/O e superfície de ataque estimada. Os resultados indicam que contêineres baseados em `chroot` reduzem significativamente o impacto de comprometimentos locais, embora não substituam completamente garantias formais de separação oferecidas por virtualização clássica conforme definido por Popek e Goldberg (1974). Concluímos que a abordagem de contêinerização leve representa um caminho operacional viável para mitigação de riscos em servidores de correio, FTP e experimentação acadêmica conectada à ARPANET. O trabalho estabelece fundamentos conceituais e práticos para isolamento de serviços em ambientes distribuídos, alinhando princípios clássicos de proteção de sistemas à realidade operacional de 1988.
Read paper →ContainersIsolamento de Processos em Sistemas UNIX como “Contêineres” Primitivos: Uma Análise de Segurança Operacional e Modelagem de Ameaças (Perspectiva de 1988)
A crescente interconexão de sistemas UNIX em redes acadêmicas, militares e corporativas ao longo da década de 1980 trouxe novos desafios para a contenção de software potencialmente hostil. Embora o termo “contêiner” ainda não seja amplamente utilizado na literatura técnica da época, diversos mecanismos já existentes — como `chroot`, limites de recursos do kernel, virtualização em mainframes e controle de privilégios — podem ser interpretados como formas iniciais de isolamento operacional de processos, funcionando como recipientes de execução restritos. Este artigo investiga o conceito de “contêinerização” sob a ótica das tecnologias disponíveis até 1988, analisando como sistemas UNIX e ambientes virtualizados podem ser utilizados para confinar aplicações e reduzir o impacto de comprometimentos de segurança. Partindo de fundamentos clássicos de segurança de sistemas — incluindo os princípios de Saltzer e Schroeder, o modelo de referência de monitor de referência e as arquiteturas de virtualização descritas por Popek e Goldberg — apresentamos uma formalização de ameaças associadas à execução de código não confiável em ambientes multiusuário. A pesquisa propõe uma metodologia operacional baseada em três camadas: isolamento de sistema de arquivos via `chroot`, restrições de recursos via `setrlimit`, e monitoramento de rede utilizando captura de pacotes em nível de interface. Um protótipo experimental foi implementado em UNIX BSD executando em hardware VAX, avaliando a capacidade de contenção contra técnicas de exploração conhecidas, incluindo abuso de privilégios `setuid`, exploração de buffer overflow em serviços de rede e propagação de código autorreplicante semelhante ao observado no Worm de Morris em 1988. Resultados experimentais indicam que ambientes confinados reduzem significativamente a superfície de ataque e limitam o impacto lateral de comprometimentos. No entanto, vulnerabilidades estruturais permanecem, especialmente quando processos confinados retêm privilégios elevados ou acesso a dispositivos do sistema. A análise demonstra que mecanismos de confinamento de processos representam uma abordagem prática e viável para mitigação de riscos em redes abertas, embora dependam de disciplina administrativa rigorosa. Concluímos discutindo implicações operacionais para administradores de sistemas UNIX e delineando direções futuras de pesquisa em isolamento de processos e virtualização leve.
Read paper →ContainersCompartimentação de Processos em Sistemas UNIX e Mainframe: Fundamentos, Modelo de Ameaças e Avaliação Experimental de “Containers” Lógicos em 1987
A crescente interconectividade entre sistemas UNIX, mainframes IBM VM/370 e redes baseadas em TCP/IP durante a década de 1980 ampliou significativamente a superfície de ataque das infraestruturas computacionais acadêmicas, militares e corporativas. Nesse contexto, mecanismos de isolamento lógico de processos – aqui denominados “containers” – emergem como abordagem operacional para limitar impacto de falhas, abusos de privilégios e propagação lateral. Diferentemente da virtualização completa, como implementada no VM/370, os containers de 1987 são construídos por meio de técnicas já disponíveis: `chroot()`, controle de permissões POSIX, segmentação de memória, quotas de disco, separação de UIDs/GIDs, shells restritos e particionamento lógico em sistemas de time-sharing. Este trabalho formaliza o conceito de container como domínio de execução restrito com fronteiras explícitas de recursos e privilégios, apresenta modelo de ameaças alinhado à realidade de redes ARPANET e Ethernet, e propõe metodologia prática de implementação em UNIX BSD 4.2/4.3. São descritas técnicas de endurecimento, logging e auditoria com `syslog`, além de experimentos comparativos de desempenho e contenção de incidentes. A avaliação empírica demonstra que a compartimentação reduz em até 72% a probabilidade de escalonamento lateral após comprometimento inicial, com impacto médio inferior a 8% no throughput de CPU em cargas interativas. Um estudo de caso em ambiente universitário ilustra a contenção de exploração baseada em overflow de buffer clássico e abuso de setuid. Conclui-se que containers lógicos representam alternativa economicamente viável à virtualização completa, especialmente em ambientes multiusuário UNIX, fornecendo isolamento pragmático compatível com a infraestrutura disponível em 1987.
Read paper →ContainersArquitetura Formal para Detecção e Confinamento de Ataques em Ambientes de Containers: Um Modelo Operacional Baseado em eBPF, MITRE ATT&CK e Análise Comportamental
A adoção de containers tornou-se um componente estrutural das arquiteturas de computação em nuvem e de sistemas baseados em microsserviços ao longo da última década. Embora tecnologias como Docker e Kubernetes tenham permitido elevada elasticidade operacional, portabilidade de aplicações e densidade computacional, o compartilhamento do kernel do sistema hospedeiro introduz novos vetores de ataque e desafios para detecção de intrusões. Ataques recentes demonstraram que vulnerabilidades em runtimes de containers, imagens comprometidas na cadeia de suprimentos e configurações inadequadas de privilégios podem resultar em comprometimento de workloads e potencial escalonamento para o host. Em ambientes altamente dinâmicos, métodos tradicionais de detecção baseados exclusivamente em logs de rede ou auditoria do plano de controle são insuficientes para capturar o comportamento de processos em execução dentro de containers. Neste trabalho apresentamos uma arquitetura formal para detecção e confinamento de ataques em ambientes containerizados que integra observabilidade no nível do kernel por meio de eBPF, correlação semântica baseada na matriz MITRE ATT&CK para Containers e análise comportamental derivada de perfis de execução de processos. Propomos um modelo matemático que representa containers como estruturas compostas por imagens, namespaces, control groups, capabilities e conjuntos de processos, permitindo raciocinar formalmente sobre propriedades de isolamento e superfícies de ataque. A detecção é modelada como um jogo probabilístico entre adversário e mecanismo de monitoramento, no qual buscamos minimizar a vantagem adversária sob restrições de custo computacional. Implementamos um protótipo conceitual utilizando instrumentação eBPF, enriquecimento de eventos com metadados do Kubernetes e um mecanismo híbrido que combina regras baseadas em assinatura com análise de anomalias. Experimentos conduzidos em um ambiente Kubernetes representativo demonstram que a abordagem híbrida permite identificar cadeias multietapas de ataque com maior robustez em comparação a mecanismos isolados. Além disso, o modelo possibilita integração direta com mecanismos automatizados de contenção, como políticas de rede dinâmicas e isolamento de workloads. Concluímos que a integração entre observabilidade de baixo nível, formalização teórica e contextualização de eventos de orquestração constitui uma estratégia promissora para fortalecer a segurança operacional de infraestruturas containerizadas.
Read paper →ContainersContêineres de Processos em Sistemas UNIX: Isolamento Operacional, Segurança Perimetral e Compartimentalização de Serviços em Ambientes Multiusuário (1987)
A crescente interconectividade entre sistemas UNIX na década de 1980, impulsionada pela adoção de redes TCP/IP e pela integração acadêmica via ARPANET e NSFNET, introduziu desafios substanciais de segurança operacional. Em ambientes multiusuário, a execução concorrente de serviços de rede — como SMTP, FTP, Telnet e NFS — ampliou a superfície de ataque, particularmente diante de vulnerabilidades de estouro de buffer, erros de configuração e falhas de validação de entrada. Este trabalho propõe e avalia um modelo de “contêineres de processos” baseado exclusivamente em mecanismos disponíveis até 1987, incluindo `chroot`, controle de privilégios com UID/GID, permissões POSIX, listas de controle de acesso, separação de dispositivos, e políticas restritivas de montagem de sistemas de arquivos. Definimos formalmente o conceito de contêiner como um domínio operacional encapsulado no espaço de nomes do sistema de arquivos, com recursos limitados e privilégios mínimos, capaz de executar serviços de rede com redução significativa do impacto de comprometimentos locais. Desenvolvemos um modelo de ameaça fundamentado no paradigma Dolev-Yao para adversários de rede e na hipótese de invasor com acesso local restrito, avaliando cenários de escalonamento de privilégios e movimentação lateral. A metodologia inclui segmentação lógica por diretórios raiz alternativos, uso disciplinado de `inetd`, restrições via `ulimit`, auditoria com `syslog` e análise forense com ferramentas como `adb`, `ps` e `netstat`. Resultados experimentais conduzidos em sistemas 4.3BSD e System V demonstram redução mensurável na exposição de arquivos críticos e contenção efetiva de processos comprometidos. Apresentamos um estudo de caso envolvendo a compartimentalização de um servidor FTP público, comparando métricas de impacto antes e depois da contenção. Concluímos que contêineres baseados em primitivas nativas do UNIX constituem abordagem viável e de baixo custo para reforçar a segurança perimetral e interna em 1987, estabelecendo fundamentos práticos para arquiteturas de isolamento modular em ambientes críticos.
Read paper →ContainersMecanismos de “Containers” em Sistemas Multiusuário: Isolamento de Processos, Virtualização e Confinamento no Contexto de Segurança Computacional (1987)
O crescimento dos sistemas multiusuário conectados por redes acadêmicas e militares ao longo da década de 1970 e meados de 1980 trouxe à tona desafios fundamentais de isolamento, contenção de danos e separação de domínios de segurança. Embora o termo “containers” ainda não esteja formalizado na literatura técnica corrente, o conceito de encapsulamento lógico de processos e serviços em ambientes computacionais já se manifesta por meio de mecanismos como virtualização em VM/370, segmentação e anéis de proteção no Multics, domínios de proteção descritos por Lampson, e o uso prático do comando `chroot` em sistemas UNIX. Este artigo sistematiza esses mecanismos sob a perspectiva de “containers de segurança”, definidos como unidades lógicas de execução confinadas, com fronteiras explícitas de recursos e privilégios. Partindo dos princípios clássicos de projeto seguro estabelecidos por Saltzer e Schroeder (1975) e dos critérios do DoD Trusted Computer System Evaluation Criteria (TCSEC, 1983), formalizamos um modelo de ameaça aplicável a ambientes multiusuário conectados via ARPANET e redes acadêmicas. Propomos uma metodologia estruturada para implementação de containers baseados em: (i) virtualização completa via hipervisor tipo I (VM/370), (ii) confinamento por sistema de arquivos com `chroot` em UNIX, e (iii) isolamento por domínios de proteção e controle de capacidades. Apresentamos uma implementação experimental em UNIX 4.3BSD e em ambiente IBM VM/370, avaliando métricas de sobrecarga, superfície de ataque residual e resistência a escalonamento de privilégios. Tabelas comparativas demonstram diferenças entre isolamento por máquina virtual, por domínio de processo e por confinamento de sistema de arquivos. Um estudo de caso envolvendo a contenção de um serviço FTP vulnerável ilustra ganhos práticos em resiliência operacional. Concluímos que a adoção disciplinada de mecanismos de confinamento lógico — ainda que não denominados formalmente como “containers” — representa um avanço substancial na redução do impacto de comprometimentos locais e remotos, constituindo um passo intermediário entre sistemas monolíticos multiusuário e arquiteturas de alta garantia conforme o modelo Orange Book.
Read paper →ContainersArquitetura Formal e Operacional para Detecção e Contenção de Ameaças em Ambientes Containerizados Baseados em Kubernetes
A adoção de containers como unidade fundamental de empacotamento e execução de aplicações tornou-se dominante em ambientes de computação em nuvem e arquiteturas de microsserviços. Plataformas de orquestração como Kubernetes permitem elasticidade operacional e implantação contínua em larga escala, mas também introduzem novos vetores de ataque decorrentes de isolamento imperfeito, configurações incorretas e vulnerabilidades em runtimes ou imagens de container. Incidentes observados entre 2018 e 2021 demonstram que clusters Kubernetes expostos podem ser rapidamente comprometidos para mineração de criptomoedas, exfiltração de dados ou movimentação lateral dentro de infraestruturas corporativas. Embora diversas ferramentas de segurança para containers tenham sido desenvolvidas, ainda existe lacuna significativa entre mecanismos operacionais de monitoramento e modelos formais capazes de caracterizar o comportamento esperado de workloads. Neste trabalho apresentamos uma arquitetura híbrida para detecção e contenção de ameaças em ambientes containerizados baseada na combinação de instrumentação de kernel via eBPF, correlação semântica baseada na matriz MITRE ATT&CK e mecanismos de enforcement automatizado integrados à API do Kubernetes. Formalizamos o comportamento de containers como um modelo probabilístico derivado da distribuição de eventos observáveis em chamadas de sistema e fluxos de rede. A partir desse modelo, definimos uma função de detecção capaz de identificar desvios estatísticos associados a técnicas adversárias conhecidas, incluindo escalonamento de privilégios, tentativa de escape de container e uso indevido de recursos computacionais. Implementamos um protótipo funcional utilizando Falco para coleta de eventos em nível de kernel, Suricata para monitoramento de tráfego de rede e um mecanismo de correlação baseado em Elasticsearch. A resposta automática é realizada por meio de políticas de controle e isolamento aplicadas dinamicamente ao cluster. Avaliamos a abordagem em um ambiente experimental contendo mais de mil containers e múltiplos cenários de ataque inspirados em incidentes documentados na literatura. Os resultados indicam melhoria significativa nas taxas de detecção e redução do tempo médio de identificação de incidentes quando comparado a soluções isoladas de monitoramento. Demonstramos ainda que a arquitetura mantém overhead operacional inferior a 5%, tornando-a viável para implantação em ambientes de produção. O trabalho contribui para aproximar modelagem formal e segurança operacional em ecossistemas cloud-native.
Read paper →ContainersArquitetura Formal e Operacional para Detecção e Contenção de Ameaças em Ambientes de Containers Baseados em Kubernetes
A adoção de arquiteturas cloud-native transformou profundamente a forma como aplicações distribuídas são desenvolvidas, implantadas e escaladas. Containers Linux, popularizados por plataformas como Docker e Kubernetes, tornaram-se o principal mecanismo de empacotamento e orquestração de workloads em ambientes modernos de infraestrutura. Apesar das vantagens operacionais associadas à portabilidade, elasticidade e automação, o modelo de isolamento de containers baseia-se em mecanismos do kernel Linux — principalmente namespaces e control groups — que não oferecem o mesmo nível de isolamento forte provido por máquinas virtuais. Consequentemente, ambientes baseados em containers apresentam uma superfície de ataque ampliada, especialmente em cenários multi-tenant e em clusters Kubernetes expostos à Internet. Diversos incidentes documentados entre 2018 e 2021 demonstram que vulnerabilidades em runtimes de containers, configurações inadequadas de rede e falhas no controle de acesso do plano de orquestração podem permitir escalonamento de privilégios, escape de containers e movimentação lateral. Nesse contexto, mecanismos tradicionais de detecção baseados exclusivamente em assinaturas mostram-se insuficientes para identificar comportamentos anômalos em workloads efêmeros e altamente dinâmicos. Neste trabalho propomos uma arquitetura formal e operacional para detecção e contenção de ameaças em ambientes Kubernetes, fundamentada na modelagem matemática de sequências de chamadas de sistema e na análise comportamental baseada em grafos. Definimos formalmente eventos de execução em containers e introduzimos um mecanismo de detecção híbrido que combina monitoramento de syscalls via eBPF, análise estatística de divergência entre grafos de execução e políticas declarativas de segurança aplicadas no nível do cluster. A arquitetura integra ferramentas amplamente utilizadas no ecossistema cloud-native, incluindo Falco, Suricata, Open Policy Agent (OPA) e scanners de vulnerabilidades de imagens. Avaliamos experimentalmente a proposta em um cluster Kubernetes realista executando múltiplos workloads e simulando técnicas documentadas no framework MITRE ATT&CK for Containers. Os resultados indicam taxa média de detecção de 96,8%, com taxa de falso positivo de 2,7% e overhead computacional inferior a 4% de CPU. Demonstramos ainda que a integração com mecanismos automatizados de resposta reduz significativamente o tempo médio de detecção e contenção de incidentes. Concluímos que abordagens híbridas que combinam instrumentação de baixo nível no kernel com políticas declarativas de segurança representam uma estratégia eficaz para proteção de ambientes containerizados em escala.
Read paper →ContainersMecanismos de Confinamento por “Containers” em Sistemas UNIX: Isolamento de Processos, Segmentação de Recursos e Implicações de Segurança (1987)
1. Introduction A década de 1980 testemunha a consolidação do UNIX como plataforma dominante em ambientes acadêmicos, governamentais e industriais (RITCHIE; THOMPSON, 1974). A crescente interconexão de sistemas por meio da ARPANET e, mais recentemente, de implementações TCP/IP em BSD 4.2/4.3 (POSTEL, 1981a; POSTEL, 1981b), amplia drasticamente a superfície de ataque de servidores multiusuário. Serviços como `ftpd`, `telnetd` e `sendmail` operam continuamente, frequentemente com privilégios elevados, representando vetores críticos de comprometimento. Em tais ambientes, a separação tradicional
Read paper →ContainersMecanismos de Contêinerização Baseados em Isolamento de Processos no UNIX: Uma Abordagem de Segurança Operacional em 1986
1. Introduction A crescente interconexão de sistemas UNIX à ARPANET e a redes TCP/IP acadêmicas em meados da década de 1980 introduziu desafios substanciais de segurança operacional. Serviços como Telnet (RFC 854), FTP (RFC 959) e SMTP (RFC 821) ampliaram a superfície de ataque, permitindo que usuários remotos interagissem diretamente com sistemas multiusuário. Em tal contexto, a necessidade de isolamento lógico de aplicações tornou-se crítica para prevenir escalonamento de privilégios e comprometimento sistêmico. Embora o termo “contêiner” não seja formalmente padronizado na literatura técn
Read paper →ContainersContêineres de Segurança em 1986: Isolamento por chroot, VMs de Mainframe e Compartimentação segundo o TCSEC
TheDesignOfTheUnixOperatingSystem BELL, D. E.; LAPADULA, L. J. Secure Computer Systems: Mathematical Foundations. MITRE Technical Report MTR-2547, 1973. Disponível em: https://csrc.nist.gov/publications/detail/miscellaneous/1973/secure-computer-systems-mathematical-foundations/final BIBA, K. J. Integrity Considerations for Secure Computer Systems. MTR-3153, MITRE, 1977. Disponível em: https://csrc.nist.gov/publications/detail/miscellaneous/1977/integrity-considerations-for-secure-computer-systems/final SHOCH, J. F.; HUPP, J. A. The "Worm" Programs—Early Experience with a Distributed Computa
Read paper →ContainersArquiteturas de Segurança para Containers: Modelagem de Ameaças, Exploração de Vulnerabilidades e Estratégias Defensivas em Ambientes Docker e Kubernetes
A adoção de containers transformou a arquitetura de aplicações em ambientes de computação em nuvem ao permitir portabilidade, elasticidade e eficiência operacional superiores às abordagens tradicionais baseadas em máquinas virtuais. Entretanto, o modelo de isolamento utilizado por plataformas como Docker e Kubernetes introduz desafios de segurança específicos, decorrentes principalmente do compartilhamento do kernel do sistema operacional, da complexidade da orquestração distribuída e da dependência de cadeias de suprimento de software baseadas em imagens. Incidentes amplamente documentados até 2022, incluindo vulnerabilidades como CVE‑2019‑5736 no runtime runc e falhas de configuração em clusters Kubernetes, demonstraram que ambientes containerizados podem ser explorados por meio de escalonamento de privilégios, escapes de container e comprometimento de credenciais. Neste trabalho investigamos sistematicamente a segurança de infraestruturas baseadas em Docker e Kubernetes a partir de três perspectivas complementares: modelagem formal de ameaças, análise empírica de vulnerabilidades em imagens de containers e avaliação experimental de mecanismos defensivos em tempo de execução. Propomos uma arquitetura integrada de segurança que combina mapeamento de técnicas adversariais utilizando a matriz MITRE ATT&CK for Containers, verificação de conformidade com benchmarks do Center for Internet Security (CIS), análise automatizada de vulnerabilidades em imagens, políticas de controle de acesso baseadas em RBAC e mecanismos de hardening do kernel Linux, incluindo seccomp, AppArmor e restrições de capabilities. Formalizamos a superfície de ataque em ambientes containerizados por meio de um modelo quantitativo de risco que considera exposição, probabilidade de exploração e impacto operacional. Para validação experimental, construímos um ambiente de laboratório baseado em Kubernetes e conduzimos análises em um conjunto de 150 imagens públicas do Docker Hub. Os resultados indicam elevada prevalência de vulnerabilidades críticas e demonstram que práticas de hardening e monitoramento comportamental reduzem significativamente a superfície de ataque e aumentam a capacidade de detecção de atividades maliciosas. O estudo evidencia que a segurança em ambientes de containers depende fundamentalmente da correta configuração da infraestrutura, da integridade da cadeia de suprimentos de software e da aplicação consistente de mecanismos de defesa em profundidade. Os resultados contribuem para uma compreensão sistemática das ameaças emergentes em ambientes containerizados e oferecem diretrizes práticas para o fortalecimento da segurança operacional em infraestruturas modernas de microsserviços.
Read paper →ContainersArquiteturas de Containers sob Ataque: Modelagem de Ameaças, Exploração Prática e Estratégias de Defesa em Ambientes Docker e Kubernetes
A adoção de containers transformou profundamente a forma como aplicações são empacotadas, distribuídas e executadas em ambientes de computação modernos. Tecnologias como Docker e Kubernetes tornaram-se componentes centrais de arquiteturas nativas em nuvem, oferecendo portabilidade, elasticidade e eficiência operacional. Entretanto, o modelo de isolamento baseado no compartilhamento do kernel do sistema operacional introduz uma superfície de ataque distinta quando comparada à virtualização tradicional baseada em hipervisores. Incidentes reais, incluindo campanhas de cryptojacking em clusters Kubernetes expostos e explorações de vulnerabilidades como a CVE‑2019‑5736 no runtime runc, demonstram que ambientes de containers podem ser comprometidos quando configurados inadequadamente ou quando executam imagens vulneráveis. Além disso, a crescente complexidade das cadeias de suprimento de software e o uso intensivo de pipelines de integração contínua ampliam os riscos associados à distribuição de imagens comprometidas. Este trabalho apresenta uma análise sistemática de ameaças em arquiteturas baseadas em containers, com foco em ambientes Docker e Kubernetes amplamente utilizados em produção até 2022. Inicialmente, examinamos os mecanismos fundamentais de isolamento providos pelo kernel Linux, incluindo namespaces e cgroups, e discutimos suas limitações sob a perspectiva de segurança. Em seguida, formalizamos um modelo de ameaça quantitativo capaz de representar diferentes níveis de capacidade adversarial dentro de um cluster Kubernetes. A partir desse modelo, propomos uma metodologia de defesa em profundidade estruturada em múltiplas camadas, abrangendo hardening de imagens, políticas de execução restritivas, controles de acesso em nível de orquestrador, monitoramento comportamental e mecanismos automatizados de resposta a incidentes. Implementamos experimentalmente essa arquitetura de defesa em um ambiente controlado composto por um cluster Kubernetes multi‑nó e conduzimos uma série de experimentos envolvendo cenários realistas de ataque, incluindo tentativas de escape de container, movimento lateral via permissões RBAC e exfiltração de dados. Os resultados indicam que a combinação de controles preventivos e monitoramento baseado em eventos de sistema reduz significativamente a probabilidade de comprometimento e o tempo médio de contenção de incidentes. Por fim, discutimos limitações práticas, desafios relacionados à cadeia de suprimento de software e direções de pesquisa relevantes para a segurança de ambientes containerizados.
Read paper →ContainersSegurança de Containers em Ambientes Cloud‑Native: Modelagem de Ameaças, Exploração Prática e Arquiteturas de Defesa Baseadas em Kubernetes
A adoção de arquiteturas cloud‑native baseadas em containers transformou significativamente o desenvolvimento e a operação de sistemas distribuídos. Plataformas de orquestração como Kubernetes tornaram‑se infraestrutura fundamental para aplicações modernas, oferecendo escalabilidade, portabilidade e automação operacional. Entretanto, o modelo de isolamento utilizado por containers, fundamentado no compartilhamento do kernel do sistema operacional hospedeiro, introduz novos vetores de ataque que diferem substancialmente daqueles presentes em ambientes de virtualização tradicional. Vulnerabilidades em runtimes de containers, configurações inseguras de clusters e falhas na cadeia de suprimentos de software têm sido exploradas em incidentes reais, demonstrando que a superfície de ataque em ambientes cloud‑native é ampla e multifacetada. Este trabalho investiga sistematicamente os riscos de segurança associados a ambientes Kubernetes multi‑tenant e propõe uma arquitetura defensiva baseada em modelagem formal de ameaças, experimentação prática e mecanismos de governança automatizada. Inicialmente analisamos o modelo de segurança de containers sob a perspectiva das primitivas do kernel Linux, incluindo namespaces, cgroups e mecanismos de controle de capacidades. Em seguida formalizamos um modelo probabilístico de comprometimento lateral em clusters Kubernetes, permitindo avaliar quantitativamente o impacto de controles defensivos. A metodologia proposta integra quatro camadas de proteção: segurança da cadeia de suprimentos de imagens, hardening do runtime de containers, governança de políticas no orquestrador e monitoramento comportamental em tempo de execução. Para validar empiricamente a abordagem, implementamos um ambiente experimental baseado em Kubernetes e executamos múltiplos cenários de ataque envolvendo exploração de vulnerabilidades conhecidas, acesso indevido a segredos e tentativas de movimentação lateral entre workloads. Os resultados indicam que a integração de controles complementares reduz significativamente a probabilidade de comprometimento lateral e melhora o tempo médio de detecção e resposta a incidentes. Concluímos que estratégias eficazes de segurança em ambientes cloud‑native exigem não apenas mecanismos isolados de proteção, mas sim uma arquitetura integrada que combine verificação de integridade de artefatos, políticas de execução restritivas e monitoramento contínuo do comportamento do sistema.
Read paper →ContainersIsolamento por “Containers” (via chroot) em Sistemas UNIX: Fundamentos Formais, Superfícies de Ataque e Estratégias Operacionais de Defesa no Contexto de 1986
A crescente adoção de sistemas UNIX multiusuário ao longo da primeira metade da década de 1980, notadamente nas variantes 4.2BSD, 4.3BSD e UNIX System V, ampliou de forma substancial a superfície de ataque associada ao compartilhamento de kernel, sistema de arquivos e recursos de rede entre múltiplos usuários e serviços. Em ambientes conectados à ARPANET por meio de TCP/IP ou a redes públicas baseadas em X.25, serviços como Telnet, FTP e SMTP tornaram-se vetores relevantes de exploração remota, sobretudo em virtude da ausência de mecanismos nativos de confidencialidade e da presença recorrente de binários SUID/SGID e configurações permissivas. Neste trabalho, analisamos o uso da chamada de sistema chroot como mecanismo de compartimentalização de sistema de arquivos, empregando o termo “container” exclusivamente em sentido descritivo, compatível com o estado da arte de 1986. Desenvolvemos uma formalização do mecanismo como transformação da função de resolução de caminhos e como restrição de um subconjunto ideal de objetos no reticulado de segurança, à luz dos princípios clássicos de proteção, incluindo o menor privilégio e o problema do confinamento. Modelamos o sistema como uma tupla envolvendo kernel, sistema de arquivos, processos e interfaces de rede, e estabelecemos condições necessárias para que o confinamento seja preservado, destacando o papel crítico da remoção de privilégios de superusuário e de descritores de arquivos externos ao domínio isolado. Implementamos a metodologia em 4.3BSD e System V Release 2, segmentando serviços de FTP anônimo e shells restritos, combinando chroot, minimização de binários, remoção de SUID/SGID, configuração criteriosa de inetd(8) e auditoria via syslog e accounting. Os resultados experimentais indicam redução significativa na taxa de escalonamento de privilégios e no acesso indevido a objetos sensíveis, com sobrecarga modesta de desempenho. Concluímos que, no contexto tecnológico de 1986, o chroot constitui mecanismo efetivo de redução de superfície de ataque quando integrado a políticas rigorosas de configuração, auditoria e aplicação estrita do princípio do menor privilégio.
Read paper →ContainersCompartimentação de Processos em Sistemas UNIX por Meio de chroot: Análise Formal e Empírica de Segurança Ofensiva e Defensiva (1986)
A crescente interconectividade entre sistemas UNIX por meio da ARPANET e de redes TCP/IP na década de 1980 ampliou significativamente a exposição de serviços multiusuário, como FTP, SMTP e Telnet, a falhas de implementação e abusos de privilégios. Neste trabalho, analisamos o mecanismo chroot(2), disponível desde o UNIX Version 7 e mantido nas distribuições 4.2BSD e 4.3BSD, como instrumento de compartimentação do espaço de nomes do sistema de arquivos. Nosso objetivo é formalizar, sob um modelo de ameaça condizente com 1986, as garantias e limitações de segurança oferecidas por chroot, distinguindo rigorosamente confinamento de caminhos de virtualização ou isolamento de kernel. Propomos uma modelagem matemática baseada em estados de proteção, inspirada nos trabalhos clássicos de Lampson, Harrison–Ruzzo–Ullman e Denning, definindo condições necessárias para que o confinamento seja efetivo. Demonstramos que, sob hipóteses explícitas — ausência de descritores herdados externos, eliminação de binários setuid, inexistência de dispositivos privilegiados e abandono imediato de privilégios —, a resolução de caminhos permanece restrita à subárvore designada, reduzindo substancialmente o impacto de compromissos. Realizamos experimentos em 4.2BSD/4.3BSD sobre VAX-11/780, mensurando sobrecusto de desempenho e conduzindo ensaios de fuga por meio de primitivas disponíveis no período, como fchdir(2) e manipulação de descritores. Os resultados indicam overhead médio inferior a 7% e redução superior a 80% no conjunto de objetos sensíveis alcançáveis após exploração controlada de falha em daemon de rede. Concluímos que chroot constitui mecanismo pragmático de mitigação de impacto, alinhado ao princípio do privilégio mínimo, mas insuficiente para prover controle mandatório de acesso ou isolamento de kernel, devendo ser empregado com disciplina operacional e auditoria sistemática.
Read paper →ContainersCompartimentação de Processos via chroot no UNIX: Fundamentos Formais, Segurança e Aplicações Operacionais em 1986
Em meados da década de 1980, a consolidação do UNIX em ambientes acadêmicos e governamentais interconectados pela ARPANET e por redes locais baseadas em TCP/IP intensificou preocupações relativas à exposição de serviços de rede a usuários remotos potencialmente maliciosos. Neste contexto, mecanismos nativos do sistema operacional tornaram-se instrumentos centrais para a redução da superfície de ataque. Investigamos, sob uma perspectiva formal e operacional, o uso do mecanismo chroot, conforme disponível em 4.2BSD e 4.3BSD, como técnica de compartimentação de processos para serviços de rede, com ênfase no FTP conforme a RFC 959. Desenvolvemos um modelo matemático do espaço de nomes do sistema de arquivos e da matriz de controle de acesso, estabelecendo condições necessárias e suficientes para a preservação da propriedade de confinamento de processos não privilegiados. A análise é fundamentada em princípios clássicos de segurança — menor privilégio, economia de mecanismos e separação de privilégios — bem como em modelos formais de confidencialidade e integridade, notadamente Bell–LaPadula, Biba e o modelo de reticulado de Denning. Propomos uma metodologia sistemática para construção de compartimentos mínimos em 4.3BSD sobre VAX-11/780, incluindo diretrizes para eliminação de binários setuid, supressão de dispositivos privilegiados e queda irreversível de privilégios após a chamada chroot. Realizamos avaliação experimental comparando três cenários: ausência de isolamento, uso exclusivo de DAC e compartimentação completa via chroot. Os resultados indicam eliminação observável de vazamento fora do subárvore designado e sobrecarga de CPU inferior a 4% em transferências de 100 MB sobre Ethernet de 10 Mb/s. Discutimos limitações intrínsecas — notadamente a dependência do kernel do hospedeiro e a insuficiência do chroot para prover isolamento de máquina completa — e posicionamos a técnica como solução de alta relação custo-benefício no cenário tecnológico de 1986. Concluímos que, quando corretamente configurado e combinado com disciplina operacional rigorosa, o chroot constitui mecanismo eficaz de contenção para serviços UNIX expostos em redes contemporâneas.
Read paper →ContainersSegurança de Containers em Ambientes Cloud-Native: Modelagem de Ameaças, Técnicas de Exploração e Estratégias de Defesa em Ecossistemas Docker e Kubernetes (2023)
A adoção de containers transformou profundamente a engenharia de software e a segurança operacional em ambientes cloud-native. Tecnologias como Docker e Kubernetes se tornaram a base da infraestrutura moderna, permitindo portabilidade, escalabilidade e automação em larga escala. Contudo, essa nova arquitetura também introduz uma superfície de ataque distinta, caracterizada por isolamento baseado em kernel compartilhado, dependências complexas de imagens e cadeias de suprimento de software potencialmente vulneráveis. Este trabalho apresenta uma análise aprofundada da segurança de containers sob a perspectiva ofensiva e defensiva, considerando o estado da arte até 2023. Inicialmente, examinamos os fundamentos técnicos do modelo de containers Linux, incluindo namespaces, cgroups e o runtime OCI. Em seguida, analisamos vetores de ataque recorrentes observados em incidentes reais, como escape de containers, exploração de runtimes, comprometimento da cadeia de build, e ataques a clusters Kubernetes. Propomos um modelo formal de ameaça que captura relações entre workload, runtime, host e plano de controle, permitindo quantificação de risco baseada em probabilidade de exploração e impacto operacional. A metodologia apresentada combina análise estática de imagens, monitoramento comportamental baseado em eBPF e políticas de isolamento reforçado por seccomp, AppArmor e Pod Security Standards. A implementação experimental foi conduzida em um cluster Kubernetes com instrumentação utilizando ferramentas amplamente empregadas em 2023, incluindo Falco, Trivy e kube-bench. Os resultados demonstram redução significativa na exposição a vulnerabilidades conhecidas e melhora na detecção de comportamento anômalo em tempo quase real. Também apresentamos um estudo de caso baseado em campanhas de cryptomining observadas em clusters Kubernetes comprometidos. A discussão explora limitações práticas, desafios de governança e implicações da segurança da cadeia de suprimento de containers. Concluímos destacando direções futuras, incluindo integração com modelos Zero Trust, observabilidade baseada em eBPF e automação de resposta a incidentes em ambientes cloud-native. Este estudo fornece uma visão operacional e técnica para profissionais de segurança, arquitetos de infraestrutura e pesquisadores interessados na defesa de ecossistemas de containers.
Read paper →ContainersArquitetura Formal e Operacional para Detecção e Contenção de Ameaças em Ambientes Containerizados Baseados em Kubernetes
A adoção de arquiteturas cloud‑native baseadas em contêineres transformou profundamente a forma como aplicações distribuídas são projetadas, implantadas e escaladas. O Kubernetes consolidou‑se como o principal sistema de orquestração para gerenciamento de workloads containerizados, oferecendo abstrações declarativas para escalonamento, tolerância a falhas e automação operacional. Entretanto, essa camada adicional de abstração introduz novos vetores de ataque e amplia a superfície de exposição, particularmente em ambientes com grande densidade de contêineres efêmeros e cadeias de suprimento complexas de imagens. Explorações de vulnerabilidades em runtimes de contêiner, configurações inseguras de APIs de orquestração e campanhas automatizadas de criptomineração em clusters mal configurados demonstram que mecanismos tradicionais de segurança são insuficientes para lidar com a natureza dinâmica desses ambientes. Neste trabalho, propomos uma arquitetura formal e operacional para detecção e contenção de ameaças em clusters Kubernetes, combinando modelagem matemática de estados do sistema com mecanismos práticos de observabilidade e resposta automatizada. Formalizamos o ambiente containerizado como um sistema de transições rotuladas $LTS = (S, A, \rightarrow)$, permitindo expressar propriedades de integridade e não interferência relacionadas à interação entre contêineres, nós do cluster e plano de controle. Sobre essa base teórica, implementamos um pipeline de segurança em múltiplas camadas composto por análise estática de imagens (Trivy e YARA), políticas declarativas de admissão utilizando Open Policy Agent/Gatekeeper, monitoramento comportamental em nível de kernel com eBPF via Falco e mecanismos automatizados de isolamento utilizando NetworkPolicies e controles administrativos do Kubernetes. A arquitetura foi avaliada experimentalmente em um cluster com 120 nós e 2.400 pods ativos, onde diferentes cenários de ataque foram simulados, incluindo tentativa de escape de contêiner, execução de mineradores de criptomoeda e movimentação lateral via credenciais comprometidas. Os resultados indicam taxa média de detecção de 96,3% com taxa de falso positivo de 3,8%, além de reduções significativas nos indicadores operacionais MTTD e MTTR. Esses resultados demonstram que a integração entre formalização teórica e telemetria de baixo nível baseada em eBPF constitui abordagem eficaz para reforçar a segurança operacional de plataformas cloud‑native em escala.
Read paper →ContainersArquitetura Formal e Avaliação Empírica de um Modelo de Defesa em Profundidade para Ambientes de Containers Baseados em Kubernetes sob Ameaças Persistentes Avançadas
A adoção de arquiteturas baseadas em containers orquestrados por Kubernetes tornou-se predominante em infraestruturas de nuvem nativa devido à sua elasticidade, portabilidade e capacidade de automação operacional. Entretanto, a crescente complexidade desses ambientes introduz uma superfície de ataque ampliada que pode ser explorada por adversários sofisticados, incluindo campanhas de Ameaças Persistentes Avançadas (Advanced Persistent Threats – APTs). Em particular, vetores como comprometimento da cadeia de suprimentos de imagens, exploração de vulnerabilidades do kernel compartilhado, abuso de permissões do plano de controle e movimentação lateral entre pods representam desafios críticos para equipes de segurança. Neste trabalho, apresentamos uma arquitetura formal de defesa em profundidade para clusters Kubernetes, integrando mecanismos de controle preventivo, detecção comportamental e resposta automatizada. Modelamos o sistema de defesa como um grafo de estados de segurança $G=(V,E)$, no qual os vértices representam configurações de segurança do cluster e as arestas representam transições induzidas por ações adversárias ou mecanismos de mitigação. A arquitetura proposta combina políticas declarativas de segurança (Open Policy Agent/Gatekeeper e Kyverno), inspeção de chamadas de sistema baseada em eBPF (Falco), segmentação de rede com políticas de camada 7 (Cilium), análise de vulnerabilidades em imagens (Trivy) e telemetria observável integrada ao ecossistema de segurança da nuvem nativa. Realizamos uma avaliação empírica em um ambiente experimental contendo múltiplos nós Kubernetes e workloads representativos de aplicações distribuídas. O cenário experimental reproduz técnicas documentadas no framework MITRE ATT&CK para containers, incluindo escalonamento de privilégios, fuga de container e exfiltração de dados. Os resultados indicam que a abordagem de defesa em profundidade reduz significativamente o espaço de ataque observável e melhora o tempo médio de detecção (Mean Time To Detect – MTTD). Observamos que a integração de políticas de admissão, análise estática de imagens e monitoramento em tempo real baseado em eBPF permite detectar padrões de comportamento malicioso com maior precisão, reduzindo falsos positivos quando comparado a abordagens isoladas. Concluímos que a formalização de políticas de segurança combinada com instrumentação observável do kernel constitui um caminho promissor para fortalecer a resiliência de plataformas Kubernetes contra adversários persistentes. O trabalho contribui com um modelo analítico, uma arquitetura de referência e resultados experimentais que podem orientar o desenvolvimento de estratégias de segurança para ambientes de nuvem nativa em escala.
Read paper →ContainersCONTAINERSHIELD: Um Arcabouço Formal e Empírico para Detecção e Mitigação de Ameaças em Ambientes de Containers Baseado em Telemetria Multicamadas
A adoção massiva de containers, impulsionada por plataformas como Docker e Kubernetes, transformou a arquitetura de sistemas distribuídos, mas introduziu uma superfície de ataque complexa e altamente dinâmica. Vulnerabilidades em imagens, configurações inadequadas de namespaces e capacidades do kernel, além de ataques de escape e movimentação lateral, têm sido exploradas sistematicamente, como evidenciado por CVEs recentes (e.g., CVE-2019-5736, CVE-2022-0492). Neste trabalho, propomos o CONTAINERSHIELD, um arcabouço formal e empírico para detecção e mitigação de ameaças em ambientes de containers, baseado na correlação de telemetria multicamadas (kernel, runtime e orquestrador). Modelamos formalmente o ambiente como um sistema de transições rotuladas e definimos propriedades de segurança expressas em termos de isolamento, integridade e confinamento de capacidades. Desenvolvemos dois algoritmos centrais: (i) um mecanismo de detecção baseado em modelagem probabilística de comportamento via cadeias de Markov de ordem variável e (ii) um módulo de verificação de políticas que aplica restrições dinâmicas de capacidades Linux e perfis seccomp. Implementamos o sistema sobre Kubernetes 1.28 com eBPF e avaliamos em um cluster de 48 nós (768 vCPUs). Utilizando cargas reais e 27 cenários de ataque mapeados ao MITRE ATT&CK for Containers, alcançamos taxa de detecção de 96,4% (±1,8%), com taxa de falsos positivos de 2,1% e overhead médio de 3,7% em CPU. Comparado a ferramentas como Falco e Aqua Security em configuração padrão, nosso método reduziu falsos positivos em 38% e melhorou o tempo médio de detecção em 24%. Demonstramos que a integração formal entre modelagem de ameaças e telemetria em tempo real fornece garantias mais robustas de segurança operacional. O CONTAINERSHIELD contribui para a sistematização rigorosa da segurança de containers, oferecendo um caminho escalável e verificável para proteção em ambientes nativos de nuvem.
Read paper →ContainersArquitetura Formal e Metodologia Operacional para Detecção e Resposta a Ameaças em Ambientes de Contêineres Baseados em Docker e Kubernetes
A adoção massiva de contêineres transformou a superfície de ataque de infraestruturas modernas, especialmente em ambientes baseados em Docker e Kubernetes. Embora contêineres ofereçam isolamento leve por meio de namespaces e cgroups do kernel Linux, múltiplos incidentes recentes — incluindo escapes de contêiner associados ao CVE-2019-5736 (runc) e campanhas de cryptojacking explorando APIs expostas do Kubernetes — demonstram que a segurança desses ambientes permanece insuficientemente compreendida e operacionalizada. Neste trabalho, propomos uma arquitetura formal e uma metodologia operacional para detecção e resposta a ameaças em ambientes de contêineres, integrando modelagem formal de ameaças, instrumentação baseada em eBPF, análise comportamental orientada a MITRE ATT&CK e resposta automatizada. Nossa metodologia combina três camadas: (i) modelagem formal do sistema de contêineres como um grafo direcionado de entidades e fluxos; (ii) detecção híbrida baseada em regras (Sigma/YARA) e anomalias com aprendizado estatístico; e (iii) orquestração de resposta automatizada via Kubernetes Admission Controllers e políticas OPA/Gatekeeper. Avaliamos nossa abordagem em um cluster Kubernetes com 48 nós, executando 1.200 pods sob carga sintética e ataques reais reproduzidos a partir de TTPs documentadas (T1610, T1611, T1525). Os resultados indicam taxa de detecção média de 96,4% com falso positivo de 3,1%, latência média de detecção de 420 ms e sobrecarga de CPU inferior a 4,8%. Contribuímos com: (C1) uma formalização matemática do problema de segurança em contêineres; (C2) um pipeline operacional replicável integrando ferramentas amplamente adotadas (Falco, Suricata, Trivy, kube-bench, Volatility); e (C3) evidências empíricas quantitativas de eficácia e desempenho em escala realista. Demonstramos que a integração coerente entre instrumentação de kernel, telemetria de orquestrador e inteligência de ameaças reduz substancialmente o tempo médio de detecção (MTTD) e o tempo médio de resposta (MTTR), estabelecendo diretrizes práticas para equipes de segurança ofensiva e defensiva.
Read paper →