Research / Paper Files
Paper Files
Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.
Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.
DAI & ADAI · 2026
DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis
DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…
Ler o paper →ADAI · PTInteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção
ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…
Ler o paper →102 papers
Uma Arquitetura Formalmente Fundamentada para Detecção e Contenção de Comprometimentos em Ambientes de Containers Baseada em Telemetria Multi-Camada
A adoção massiva de containers como unidade primária de empacotamento e implantação em ambientes cloud-native introduziu uma superfície de ataque substancialmente distinta daquela observada em máquinas virtuais tradicionais. Vulnerabilidades em imagens base, configurações inadequadas de namespaces, falhas no isolamento de cgroups e exploração de runtimes como runc (e.g., CVE-2019-5736) têm sido exploradas ativamente por adversários. Neste trabalho, propomos uma arquitetura formalmente fundamentada para detecção e contenção de comprometimentos em ambientes de containers, baseada em correlação de telemetria multi-camada (kernel, runtime e orquestrador). Nossa metodologia integra modelagem comportamental probabilística, análise de grafos de dependência de processos e políticas adaptativas de isolamento. Desenvolvemos um modelo formal do sistema containerizado como um grafo dirigido rotulado $G = (V, E, \lambda)$, no qual vértices representam entidades de execução e arestas codificam interações observáveis. Definimos propriedades de segurança baseadas em invariantes de isolamento e fluxo de informação, e propomos dois algoritmos principais: (i) detecção baseada em desvio estatístico multi-variável com limiar adaptativo; e (ii) mecanismo de contenção automática via reconfiguração dinâmica de políticas de controle de acesso e rede. Implementamos um protótipo funcional sobre Kubernetes 1.29, utilizando eBPF para instrumentação de kernel e Open Policy Agent (OPA) para enforcement. Avaliamos o sistema em um cluster de 48 nós (Intel Xeon Gold, 256 GB RAM), com 1.200 containers e 17 cenários de ataque representativos (MITRE ATT&CK for Containers). Obtivemos taxa média de detecção de 96,8% (±1,7%), com taxa de falsos positivos de 2,3%, e sobrecarga de CPU inferior a 4,9%. Comparado a soluções baseadas exclusivamente em assinatura ou em políticas estáticas, nosso método reduziu o tempo médio de contenção em 63%. Os resultados demonstram que a integração de telemetria multi-camada com modelagem formal e contenção automatizada constitui um avanço significativo para a segurança de ambientes containerizados em larga escala.
Read paper →ContainersModelagem Formal e Arquitetura de Monitoramento Adaptativo para Segurança de Containers em Ambientes Nativos de Nuvem
A adoção massiva de containers e orquestradores como Docker e Kubernetes transformou a engenharia de software e a operação de infraestruturas críticas, porém introduziu uma superfície de ataque ampliada e dinâmica. Vulnerabilidades como CVE-2019-5736 (runc) e CVE-2022-0492 (cgroups) evidenciam a fragilidade do isolamento baseado em namespaces e mecanismos do kernel Linux quando mal configurados ou explorados por adversários com acesso inicial ao container. Neste trabalho, propomos uma arquitetura formalmente fundamentada para monitoramento adaptativo e contenção de ameaças em ambientes de containers, combinando modelagem matemática de superfícies de ataque, detecção comportamental baseada em grafos de chamadas de sistema e aplicação dinâmica de políticas de mitigação. Definimos um modelo de ameaça alinhado ao MITRE ATT&CK for Containers e formalizamos propriedades de segurança como isolamento forte, integridade de runtime e não interferência entre workloads. Desenvolvemos dois algoritmos principais: (i) um mecanismo de inferência incremental de perfis de comportamento legítimo com complexidade $O(n \log n)$, e (ii) um módulo de contenção adaptativa com análise de risco baseada em pontuação bayesiana. Implementamos um protótipo integrado ao Kubernetes utilizando eBPF, Falco e admission controllers customizados. Avaliamos a solução em um cluster com 120 nós e 3.500 pods, utilizando workloads reais e injeção controlada de ataques mapeados às técnicas T1610, T1611 e T1525 do MITRE ATT&CK. Os resultados demonstram taxa de detecção de 96,4% com falso positivo médio de 2,1%, sobrecarga inferior a 4,8% de CPU e latência adicional média de 3,7 ms por evento monitorado. Concluímos que a abordagem proposta eleva significativamente o nível de segurança operacional em ambientes nativos de nuvem, mantendo viabilidade prática e escalabilidade.
Read paper →ContainersContainerShield++: Um Arcabouço Formal e Sistema Escalável para Detecção e Mitigação de Ameaças em Ambientes de Containers Baseados em Linux
A virtualização leve baseada em containers consolidou-se como infraestrutura dominante para aplicações nativas em nuvem, especialmente em ambientes orquestrados por Kubernetes. Contudo, o compartilhamento do kernel do sistema operacional entre múltiplos workloads amplia a superfície de ataque, exigindo mecanismos rigorosos de isolamento, verificação de integridade e detecção comportamental. Neste trabalho, apresentamos o ContainerShield++, um arcabouço formal e sistema escalável para detecção e mitigação de ameaças em ambientes de containers Linux, integrando modelagem matemática de propriedades de confinamento, verificação estática de imagens, enforcement declarativo via admission controllers e monitoramento dinâmico com eBPF. Formalizamos o isolamento como propriedades de não-interferência sobre um grafo de capacidades e namespaces, definindo critérios verificáveis de confinamento forte sob um modelo de ameaça no qual o adversário executa código arbitrário dentro de um container comprometido. Propomos algoritmos para avaliação estática de risco e detecção dinâmica baseada em divergência de distribuições de chamadas de sistema, utilizando $D_{KL}$ como métrica de desvio comportamental. Implementamos o sistema em um cluster Kubernetes v1.29 com CRI-O, integrando políticas OPA/Gatekeeper e perfis eBPF validados pelo verificador do kernel. Avaliamos experimentalmente o sistema em 120 nós e 3.600 containers, considerando técnicas do MITRE ATT&CK for Containers e cenários realistas de exploração, incluindo CVE-2019-5736 e CVE-2022-0492. Obtivemos taxa média de detecção de 98,7% com sobrecarga inferior a 4% de CPU e latência adicional média de 4,3 μs por syscall. Demonstramos superioridade em relação a abordagens baseadas exclusivamente em assinaturas, como Falco, e discutimos extensões para segurança de cadeias de suprimentos, assinaturas Sigstore, criptografia pós-quântica para proteção de artefatos e integração com plataformas CNAPP. O trabalho contribui com fundamentos formais, validação empírica em larga escala e diretrizes práticas para segurança de containers no estado da arte de 2025.
Read paper →ContainersUma Arquitetura Formalmente Fundamentada para Monitoramento e Endurecimento de Containers Baseada em Modelagem Comportamental e Verificação de Integridade em Tempo de Execução
A adoção massiva de containers como unidade primária de empacotamento e execução em ambientes cloud-native transformou profundamente a superfície de ataque de sistemas distribuídos modernos. Em 2025, infraestruturas baseadas em Kubernetes, CNAPP (Cloud-Native Application Protection Platforms), eBPF e cadeias de suprimento assinadas digitalmente constituem o estado da prática. Entretanto, a maioria das abordagens industriais permanece fragmentada entre verificação estática de imagens e monitoramento reativo baseado em regras, carecendo de fundamentação formal unificada. Neste trabalho, propomos uma arquitetura formalmente especificada que integra (i) verificação criptográfica de integridade estrutural por meio de árvores de Merkle e assinaturas compatíveis com cadeias de suprimento seguras, e (ii) modelagem probabilística do comportamento em tempo de execução baseada em cadeias de Markov discretas sobre sequências de eventos de sistema coletados via eBPF. Formalizamos containers como processos confinados por namespaces e cgroups, modelando o estado global como um sistema dinâmico $S(t)$ e definindo propriedades de integridade, confinamento e não interferência. A detecção de anomalias é formulada como teste de hipóteses sobre a log-verossimilhança de trajetórias observadas, com limiar $\theta$ calibrado estatisticamente. Demonstramos que a composição ortogonal entre invariantes criptográficos e propriedades probabilísticas reduz evasões e melhora a robustez frente a técnicas documentadas no MITRE ATT&CK para Containers. Implementamos um protótipo em Kubernetes 1.29 com agentes por nó e avaliamos em cluster de 40 nós executando 120 workloads heterogêneos, incluindo cargas com componentes de IA. Os resultados indicam taxa média de detecção de 96,7% (IC 95%), falsos positivos de 2,3% e overhead de CPU inferior a 5%, preservando escalabilidade. Fornecemos ainda análise formal de complexidade, discussão sobre convergência de aprendizado online e integração com atestação remota baseada em TPM 2.0. A arquitetura proposta estabelece uma base teoricamente sólida e operacionalmente viável para endurecimento de containers em ambientes cloud-native contemporâneos.
Read paper →ContainersUma Arquitetura Formal para Detecção e Contenção de Ataques em Ambientes de Containers Baseada em Modelagem Composicional da Superfície de Ataque
A adoção massiva de containers e orquestradores como Kubernetes consolidou o paradigma cloud-native como infraestrutura predominante em ambientes corporativos até 2025. Embora o modelo de virtualização leve proporcione eficiência operacional e elasticidade, o compartilhamento do kernel e a natureza dinâmica dos clusters ampliam significativamente a superfície de ataque. Incidentes recentes envolvendo escape de container, exploração de vulnerabilidades no kernel Linux e movimentação lateral intra-cluster demonstram a necessidade de mecanismos de detecção e contenção com fundamentação formal e garantias explícitas. Neste trabalho, propomos uma arquitetura formal para detecção e contenção de ataques em ambientes de containers baseada em modelagem composicional da superfície de ataque. Formalizamos o ambiente como um grafo direcionado anotado que integra containers, nós de infraestrutura e canais de interação, definindo a superfície de ataque como operador composicional sobre vértices e arestas. Introduzimos um método de detecção baseado em desvios estruturais de grafos de chamadas de sistema, utilizando divergência espectral entre matrizes de adjacência observadas e modelos de referência aprendidos em fase de baseline. Demonstramos propriedades formais sob hipóteses explícitas, incluindo um teorema de completude condicional. Implementamos um protótipo integrado ao Kubernetes 1.29 com monitoramento via eBPF/libbpf e avaliamos o sistema em cluster de 64 nós executando 1.200 containers. Os resultados indicam taxa média de detecção superior a 95% para cenários alinhados ao MITRE ATT&CK for Containers, com taxa de falso positivo inferior a 3% e overhead médio de CPU de 3,8%. Discutimos implicações para integração com plataformas CNAPP e mecanismos de governança de segurança, bem como limitações e vetores de evasão. Concluímos que a modelagem composicional formal, aliada a monitoramento eficiente em nível de kernel, oferece base rigorosa e escalável para proteção de ambientes conteinerizados em larga escala.
Read paper →ContainersUma Arquitetura Formal para Detecção e Mitigação de Escapes de Contêineres Baseada em Perfis Comportamentais Probabilísticos e Verificação de Políticas no Kernel
A virtualização baseada em contêineres consolidou-se como fundamento da infraestrutura nativa em nuvem, mas sua dependência de um kernel compartilhado impõe desafios estruturais de segurança. Escapes de contêineres permanecem vetores críticos de comprometimento, especialmente em ambientes Kubernetes de larga escala, nos quais vulnerabilidades no runtime, no subsistema de cgroups ou no próprio kernel podem resultar em violação de isolamento. Neste trabalho, propomos uma arquitetura formal para detecção e mitigação de escapes de contêineres baseada em modelagem probabilística de sequências de chamadas de sistema e síntese automática de políticas de segurança no nível do kernel. Modelamos o comportamento legítimo de aplicações como uma linguagem probabilística sobre o alfabeto de syscalls, instanciada por cadeias de Markov de ordem variável com suavização bayesiana. Derivamos limites formais de correção e completude sob parâmetros $(\epsilon, \delta)$ e introduzimos um critério de decisão baseado em log-verossimilhança acumulada. A partir do suporte empírico observado, sintetizamos automaticamente perfis mínimos de seccomp e políticas compatíveis com LSMs modernos (AppArmor ou SELinux), reduzindo quantificavelmente a superfície de ataque. Implementamos a arquitetura com eBPF acoplado a tracepoints do kernel Linux 6.x, integrando-a a um cluster Kubernetes 1.28 com containerd 1.7. Em avaliação experimental envolvendo 120 nós e 1.800 contêineres, obtivemos redução média de 72,4% no conjunto de syscalls permitidas, taxa de detecção de 96,1% e sobrecarga média de CPU de 3,7%. Demonstramos ainda que a abordagem supera mecanismos baseados exclusivamente em regras heurísticas, mantendo escalabilidade e baixa latência. Concluímos que a combinação de modelagem probabilística formal, verificação eficiente no kernel e síntese automática de políticas constitui estratégia robusta para endurecimento dinâmico de ambientes conteinerizados em 2025.
Read paper →