Research / Paper Files
Paper Files
Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.
Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.
DAI & ADAI · 2026
DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis
DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…
Ler o paper →ADAI · PTInteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção
ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…
Ler o paper →121 papers
Metodologia Operacional de DFIR em Ambientes UNIX e Redes TCP/IP: Análise Forense e Resposta a Incidentes no Contexto Pós-Worm de 1988
A consolidação das redes TCP/IP acadêmicas e militares ao longo da década de 1980 ampliou significativamente a superfície de ataque de sistemas UNIX interconectados. Incidentes recentes envolvendo exploração de serviços como `sendmail`, `fingerd` e mecanismos de confiança baseados em `.rhosts` demonstram a urgência de métodos estruturados de Digital Forensics and Incident Response (DFIR). Este trabalho apresenta uma metodologia operacional integrada de resposta a incidentes e análise forense digital adequada ao contexto tecnológico de 1988, com foco em sistemas BSD UNIX conectados à ARPANET e a redes regionais. A abordagem proposta combina preservação de evidências em mídias magnéticas, análise de logs de sistema, inspeção de tráfego TCP/IP via `tcpdump`, verificação de integridade por checksums criptográficos (MD4), e modelagem formal de propagação de worms utilizando parâmetros epidemiológicos adaptados a redes de computadores. São definidos modelos de ameaça realistas baseados em exploração remota de serviços de rede, abuso de confiança inter-host e execução arbitrária por overflow de buffer. Avaliamos experimentalmente a metodologia em um ambiente controlado com múltiplos hosts VAX executando 4.3BSD, demonstrando redução do tempo médio de contenção e aumento na taxa de identificação de vetores de ataque. O estudo inclui tabelas comparativas de desempenho, análise quantitativa da propagação maliciosa e um estudo de caso inspirado em incidentes recentes envolvendo worms autorreplicantes. Ao final, discutem-se limitações estruturais da arquitetura UNIX e da pilha TCP/IP, bem como direções futuras para institucionalização de capacidades forenses e criação de equipes formais de resposta a incidentes. Este trabalho contribui para a consolidação de práticas técnicas e científicas de DFIR em um período crítico da história da segurança computacional, estabelecendo fundamentos metodológicos para investigações digitais em ambientes distribuídos.
Read paper →DFIRInvestigação e Resposta a Incidentes Digitais em Ambientes UNIX e ARPANET: Fundamentos Operacionais de DFIR no Contexto de 1988
A crescente interconectividade entre sistemas computacionais acadêmicos, militares e corporativos ao longo da década de 1980, especialmente por meio da ARPANET e de redes TCP/IP emergentes, ampliou significativamente a superfície de ataque e a exposição a intrusões remotas. Incidentes recentes, incluindo campanhas de exploração de credenciais fracas, abuso de serviços como Telnet e FTP, e a propagação automatizada de código autorreplicante na Internet, demonstram a necessidade urgente de metodologias estruturadas para Detecção, Investigação e Resposta a Incidentes Digitais (DFIR – Digital Forensics and Incident Response). Este trabalho sistematiza fundamentos técnicos, modelos formais e procedimentos operacionais aplicáveis a ambientes UNIX (BSD, System V), VAX/VMS e infraestruturas TCP/IP até 1988. Baseamo-nos em modelos clássicos de auditoria e detecção de intrusão (ANDERSON, 1980; DENNING, 1987), princípios de projeto seguro (SALTZER; SCHROEDER, 1975) e evidências empíricas documentadas em incidentes reais de intrusão em redes acadêmicas e governamentais. Propomos um modelo formal de ameaça, um ciclo operacional de resposta a incidentes, técnicas de preservação de evidências digitais em sistemas multiusuário e métodos de correlação de logs de rede e sistema. A implementação experimental utiliza mecanismos de auditoria nativos do UNIX, análise de tráfego com `tcpdump` e ferramentas de avaliação de configuração como COPS. Avaliamos a eficácia da metodologia em cenários simulados de exploração de confiança entre hosts, ataques de força bruta a senhas e propagação automatizada via serviços vulneráveis. Os resultados indicam que a combinação de auditoria baseada em perfis estatísticos, análise de tráfego e procedimentos rígidos de contenção reduz significativamente o tempo médio de detecção e a perda de integridade de sistemas comprometidos. Concluímos que DFIR deve ser tratado como disciplina técnica autônoma, integrando segurança operacional, ciência forense e engenharia de sistemas.
Read paper →DFIRArquitetura Formal e Operacional para DFIR Orientado a Evidências em Ambientes Híbridos: Correlação Multi-Fonte, Automação, Provas de Consistência e Validação Experimental em Escala
A consolidação de infraestruturas híbridas — integrando ambientes on-premises, múltiplas nuvens públicas, workloads efêmeros baseados em containers, dispositivos móveis e serviços SaaS — redefiniu profundamente os desafios de Digital Forensics and Incident Response (DFIR) até 2021. A heterogeneidade de fontes de telemetria, a elasticidade dinâmica de recursos e o modelo de responsabilidade compartilhada em nuvem impõem obstáculos estruturais à coleta, preservação e correlação de evidências digitais. Simultaneamente, adversários exploram credenciais válidas, técnicas Living-off-the-Land, cadeias de suprimentos comprometidas (como evidenciado no caso SolarWinds) e manipulação deliberada de timestamps, dificultando a reconstrução causal consistente. Propomos uma arquitetura formal e operacional para DFIR orientado a evidências em ambientes híbridos, fundamentada em modelagem matemática baseada em grafos direcionados acíclicos (DAGs), correlação probabilística multi-fonte e um jogo de segurança que modela manipulação adversarial de tempo. Formalizamos o problema de reconstrução de linha do tempo como ordenação parcial sob incerteza temporal limitada, introduzindo definições rigorosas de evento, causalidade observável e consistência temporal. Demonstramos propriedades condicionais de correção e completude, analisamos a complexidade assintótica do algoritmo de correlação e discutimos limites impostos por fontes incompletas ou comprometidas. Implementamos um pipeline reproduzível integrando Sysmon, auditd, Zeek, Suricata, Volatility 3, Velociraptor e Elastic Stack, com normalização semântica via Elastic Common Schema e preservação criptográfica de integridade por encadeamento de hashes SHA-256. Avaliamos experimentalmente 120 cenários alinhados ao MITRE ATT&CK (versões até 2021), incluindo técnicas como T1055, T1059, T1078 e T1547. Observamos aumento consistente na completude dos encadeamentos causais e maior capacidade de detecção de inconsistências temporais quando comparado a abordagens mono-fonte. Argumentamos que a integração entre formalização matemática e automação operacional verificável constitui requisito essencial para elevar a maturidade de DFIR em infraestruturas críticas contemporâneas.
Read paper →DFIRArquitetura Formal e Operacional para DFIR Orientado a Evidências Criptograficamente Verificáveis em Ambientes Híbridos de Alta Escala
Este trabalho propõe uma arquitetura formal e operacional para Digital Forensics and Incident Response (DFIR) orientada a evidências criptograficamente verificáveis em ambientes híbridos de alta escala, considerando o estado da prática até 2021. A crescente adoção de infraestruturas híbridas, virtualização extensiva, containers e serviços em nuvem ampliou significativamente a superfície de ataque e a volatilidade dos artefatos digitais, impondo desafios substanciais à preservação da cadeia de custódia e à correlação multi-camada de eventos. Partindo de fundamentos clássicos de computação forense e de modelos formais de integridade baseados em funções de hash seguras, definimos um modelo matemático de encadeamento incremental de evidências que assegura verificabilidade $O(n)$ e resistência a adulterações sob suposições padrão de resistência à pré-imagem e colisão do SHA-256. Integramos tal modelo a uma arquitetura composta por camadas de coleta, normalização, correlação baseada em TTPs do MITRE ATT&CK e verificação criptográfica contínua. A implementação utiliza ferramentas consolidadas até 2021, incluindo Volatility 2, The Sleuth Kit, Suricata, Sysmon, Sigma, YARA, TheHive e Elasticsearch. Avaliamos empiricamente a proposta em 18 cenários simulados com Atomic Red Team, medindo MTTD, MTTC, taxa de detecção e falsos positivos. Os resultados indicam redução média de 37% no MTTC e aumento de 18 pontos percentuais na taxa de detecção em comparação com um SIEM tradicional sem encadeamento criptográfico formal. Discutimos implicações legais da cadeia de custódia digital, limitações operacionais, impacto de sincronização temporal e sobrecarga computacional. Concluímos que a integração de garantias criptográficas formais ao pipeline de DFIR melhora substancialmente a confiabilidade probatória e a eficiência operacional em ambientes distribuídos contemporâneos, mantendo compatibilidade com práticas e tecnologias consolidadas até 2021.
Read paper →DFIRArquitetura Formal e Operacional para DFIR Orientado a Grafos: Correlação Multicamadas, Automação e Validação Empírica em Ambientes Corporativos de Alta Complexidade
A crescente complexidade dos ambientes corporativos e a sofisticação das campanhas de intrusão observadas até 2021 impõem desafios substanciais às práticas de Digital Forensics and Incident Response (DFIR). Abordagens tradicionais baseadas em correlação heurística de eventos, tipicamente implementadas em SIEMs, enfrentam limitações quanto à reconstrução consistente de cadeias de ataque, especialmente em cenários envolvendo movimentação lateral, evasão e persistência avançada. Neste trabalho, propomos uma arquitetura formal e operacional para DFIR orientado a grafos, fundamentada em teoria de grafos direcionados ponderados e inferência probabilística bayesiana. Modelamos o ambiente investigado como um grafo $G = (V, E)$, no qual vértices representam entidades e eventos observáveis, enquanto arestas capturam relações temporais e causais com pesos definidos por probabilidades condicionais $w_{ij} = P(e_j \mid e_i)$. O objetivo analítico consiste na identificação de subgrafos $G' \subseteq G$ que maximizem a probabilidade conjunta de representar uma cadeia coerente de ataque. Implementamos a arquitetura com ferramentas amplamente consolidadas até 2021, incluindo Suricata, Zeek, Velociraptor, Volatility 3, YARA, Sigma, Elasticsearch e Neo4j, integradas por meio de normalização baseada no Elastic Common Schema. Avaliamos empiricamente o modelo em um ambiente controlado com 120 máquinas virtuais e 4 TB de logs, utilizando cenários de ataque alinhados ao MITRE ATT&CK e automatizados via MITRE CALDERA. Comparado a um baseline baseado exclusivamente em regras de SIEM, o modelo proposto reduziu o Mean Time to Triage (MTTT) de 42 para 22 minutos e o Mean Time to Response (MTTR) de 6,4 para 3,9 horas, além de elevar a precisão de reconstrução de cadeias de ataque de 68,2% para 97,8%. Demonstramos que a formalização matemática da correlação investigativa contribui para maior consistência temporal, robustez a ruído e redução de ambiguidade analítica. Concluímos que a adoção de modelagem orientada a grafos, combinada a inferência probabilística, representa avanço significativo na maturidade operacional de SOCs em 2021.
Read paper →DFIRUma Arquitetura Orientada a Evidências para DFIR Moderno: Correlação Multicamadas, Formalização de Linha do Tempo e Resposta Automatizada Baseada em TTPs
O cenário de ameaças cibernéticas em 2020–2021 caracteriza-se por operações cada vez mais profissionalizadas, incluindo campanhas de ransomware direcionado, exploração de aplicações expostas (como no caso ProxyLogon – CVE-2021-26855) e ataques à cadeia de suprimentos, exemplificados pelo incidente SolarWinds em 2020. Nesse contexto, processos tradicionais de Digital Forensics and Incident Response (DFIR), fortemente dependentes de análise manual e fragmentada de artefatos, mostram-se insuficientes frente à volumetria e heterogeneidade dos dados corporativos. Propomos uma arquitetura orientada a evidências para DFIR moderno que integra coleta estruturada, normalização semântica, correlação baseada em Táticas, Técnicas e Procedimentos (TTPs) do MITRE ATT&CK e reconstrução formal de linha do tempo por meio de grafos temporais dirigidos. Formalizamos a reconstrução de incidentes como um problema de minimização de inconsistências temporais sob restrições de causalidade parcial, garantindo consistência, integridade probatória e reprodutibilidade investigativa. Implementamos um protótipo operacional utilizando ferramentas amplamente disponíveis até 2021, incluindo Sysmon, Suricata, Zeek, Elastic Stack 7.x, Sigma, YARA, Volatility 3, MISP e TheHive. Avaliamos a proposta em ambiente controlado com 20 máquinas virtuais e 150 GB de logs reais e sintéticos, incluindo simulações com Atomic Red Team e cenários representativos de ransomware (Ryuk) e exploração de serviços expostos (ProxyLogon). Observamos redução média de 38,7% no tempo de reconstrução de incidentes e aumento significativo na precisão de correlação de TTPs, com redução de falsos positivos superior a 40% em comparação a abordagens baseadas exclusivamente em SIEM tradicional. Concluímos que a formalização matemática da linha do tempo aliada à correlação multicamada baseada em TTPs oferece ganhos operacionais mensuráveis e maior rigor investigativo, sem substituir o analista humano, mas ampliando sua capacidade analítica em ambientes corporativos complexos.
Read paper →DFIRMetodologia Operacional de Digital Forensics e Incident Response em Ambientes UNIX e Redes TCP/IP: Formalização, Implementação e Avaliação Experimental (1988)
A crescente interconectividade entre sistemas UNIX, redes TCP/IP acadêmicas e infraestruturas corporativas baseadas em ARPANET e NSFNET tem ampliado significativamente a superfície de ataque disponível a adversários técnicos. Incidentes recentes, notadamente a propagação do worm de Morris em 1988, evidenciam a necessidade urgente de processos estruturados de Digital Forensics e Incident Response (DFIR), ainda que essa terminologia não esteja plenamente consolidada na literatura técnica. Este trabalho propõe uma metodologia operacional integrada para identificação, contenção, erradicação e análise forense de incidentes de segurança em sistemas UNIX e VAX/VMS conectados a redes TCP/IP. Fundamentamos a abordagem em modelos formais de ameaça, princípios de auditoria de sistemas, análise de logs, preservação de evidências digitais e experimentação controlada em laboratório. Introduzimos um modelo matemático simplificado de propagação de código autorreplicante em grafos de rede e demonstramos técnicas práticas de aquisição de evidências por meio de ferramentas disponíveis até 1988, como `tcpdump`, utilitários UNIX nativos (`ps`, `netstat`, `strings`, `od`) e mecanismos de auditoria do SunOS e 4.3BSD. Avaliamos empiricamente a eficácia da metodologia em cenários simulados de exploração de vulnerabilidades em `sendmail` e serviços `fingerd`, medindo tempo de detecção, integridade da evidência e impacto operacional. Os resultados indicam que a institucionalização de procedimentos formais de resposta reduz o tempo médio de contenção em até 43% e melhora substancialmente a preservação de evidências voláteis. O estudo consolida fundamentos técnicos para a disciplina emergente de forense computacional e resposta a incidentes, propondo diretrizes práticas adaptadas ao contexto tecnológico de 1988 e estabelecendo bases para pesquisa futura em automação de auditoria e modelagem quantitativa de risco.
Read paper →DFIRMetodologia Operacional de Digital Forensics and Incident Response em Ambientes UNIX Conectados à ARPANET: Modelagem, Preservação de Evidências e Análise Pós-Intrusão (1988)
Este artigo apresenta uma metodologia sistemática para Digital Forensics and Incident Response (DFIR) aplicada a ambientes UNIX conectados à ARPANET e a outras redes TCP/IP emergentes no final da década de 1980. Motivado por incidentes recentes envolvendo exploração de vulnerabilidades em serviços como sendmail, fingerd e rexec, bem como pela propagação automatizada de código autorreplicante em redes acadêmicas e militares, propomos um arcabouço técnico-operacional para identificação, contenção, erradicação e análise forense de intrusões. O trabalho consolida fundamentos de auditoria de sistemas UNIX, análise de logs, captura e inspeção de tráfego via tcpdump, verificação de integridade por checksums criptográficos (MD4) e preservação de evidências magnéticas em fitas e discos. Formalizamos o modelo de ameaça considerando adversários com acesso remoto via TCP/IP, exploração de buffer overflow e abuso de confiança entre hosts, estabelecendo uma taxonomia de artefatos digitais relevantes: registros de autenticação, tabelas de processos, descritores de arquivos, dumps de memória e traços de rede. Apresentamos métricas quantitativas para estimar tempo de detecção ($T_d$), tempo de contenção ($T_c$) e impacto operacional ($I_o$), bem como experimentos controlados em sistemas VAX/VMS e BSD 4.3. Os resultados indicam que a adoção de auditoria ativa, políticas restritivas de confiança entre máquinas e procedimentos padronizados de aquisição de evidências reduz significativamente o tempo médio de resposta a incidentes e a propagação lateral. Um estudo de caso detalha a análise de um incidente de execução remota via fingerd, demonstrando técnicas práticas de reconstrução temporal e validação de integridade. Concluímos discutindo limitações inerentes à volatilidade da memória, à ausência de ferramentas dedicadas de forense digital e à necessidade de desenvolvimento de utilitários especializados para aquisição confiável de evidências em sistemas multiusuário.
Read paper →DFIRInvestigação e Resposta a Incidentes em Sistemas UNIX Conectados à ARPANET: Uma Metodologia Operacional de DFIR no Contexto de 1988
A crescente interconexão de sistemas UNIX por meio da ARPANET e de redes acadêmicas como a NSFNET ampliou substancialmente a superfície de ataque das organizações de pesquisa, instituições governamentais e laboratórios industriais ao longo da década de 1980. Incidentes recentes, notadamente a propagação do worm de novembro de 1988, demonstraram de forma inequívoca que vulnerabilidades exploráveis em serviços de rede — como `sendmail`, `finger` e mecanismos de confiança baseados em `.rhosts` — podem resultar em comprometimentos em larga escala. Este trabalho apresenta uma sistematização técnica do que denominamos Investigação e Resposta a Incidentes Digitais (Digital Forensics and Incident Response – DFIR), estruturada a partir de práticas operacionais observadas em ambientes UNIX 4BSD e System V até 1988. Propomos um modelo formal de ameaça, um ciclo metodológico de resposta, técnicas de preservação de evidências voláteis e persistentes, e procedimentos de análise de logs, processos e tráfego de rede capturado com `tcpdump`. A metodologia é validada por experimentos controlados em sistemas VAX executando 4.3BSD, com simulações de exploração via buffer overflow e abuso de confiança remota. São apresentados indicadores mensuráveis de contenção, tempo de erradicação e integridade de evidências, bem como um estudo de caso inspirado em incidentes reais na comunidade acadêmica. O trabalho contribui com uma abordagem estruturada, tecnicamente rigorosa e operacionalmente viável para resposta a incidentes em ambientes distribuídos pré-Web, enfatizando preservação de provas, cadeia de custódia e análise técnica aprofundada. Ao consolidar práticas dispersas em uma disciplina coerente, estabelecemos fundamentos científicos e operacionais para a investigação forense digital no final da década de 1980.
Read paper →DFIRMetodologia Operacional de Digital Forensics and Incident Response (DFIR) em Ambientes UNIX e Redes TCP/IP: Uma Abordagem Sistemática para 1988
A consolidação de redes TCP/IP acadêmicas e militares ao longo da década de 1980, notadamente por meio da ARPANET e suas redes satélites, introduziu um novo paradigma de risco operacional para sistemas computacionais distribuídos. Incidentes recentes, incluindo exploração de falhas em serviços como `sendmail` e `fingerd`, evidenciaram a necessidade de processos estruturados de investigação e resposta a incidentes computacionais. Este artigo propõe uma metodologia integrada de Digital Forensics and Incident Response (DFIR) adaptada ao contexto tecnológico de 1988, com foco em sistemas UNIX BSD, monitoramento por `tcpdump`, auditoria de logs, preservação de evidências em mídia magnética e análise de memória e disco. Formalizamos um modelo de ameaça compatível com agentes remotos conectados via ARPANET e redes X.25, definindo métricas quantitativas para detecção baseadas em entropia de tráfego e anomalias temporais. Apresentamos uma arquitetura operacional composta por quatro fases: preparação, detecção, contenção e análise pós-incidente, enfatizando integridade probatória segundo boas práticas forenses emergentes. Avaliamos experimentalmente a metodologia em um laboratório com estações VAX/UNIX e estações Sun-3 executando 4.3BSD, simulando exploração de buffer overflow e propagação automatizada de código autorreplicante. Resultados demonstram redução média de 47% no tempo de contenção e aumento significativo na preservação íntegra de artefatos digitais. Incluímos tabelas comparativas de técnicas, comandos operacionais reais e modelos matemáticos para priorização de incidentes. Este trabalho consolida fundamentos técnicos para uma disciplina emergente de resposta a incidentes digitais, antecipando sua institucionalização formal na próxima década.
Read paper →DFIRMetodologia Operacional de Digital Forensics e Incident Response em Ambientes UNIX Conectados à ARPANET (1988)
Este trabalho apresenta uma metodologia operacional integrada de Digital Forensics e Incident Response (DFIR) adaptada ao contexto tecnológico de 1988, caracterizado por sistemas UNIX multiusuário, interconexões via ARPANET e NSFNET, e crescente adoção do conjunto de protocolos TCP/IP. A recente ocorrência de incidentes de larga escala envolvendo propagação automática de código malicioso em redes acadêmicas demonstrou a fragilidade dos mecanismos de auditoria, controle de acesso e monitoramento então existentes. Fundamentando-se nos modelos clássicos de segurança de Saltzer e Schroeder (1975), no Orange Book do DoD (1985) e no modelo de detecção de intrusão de Denning (1987), propomos um arcabouço sistemático para preservação de evidências voláteis e não voláteis, análise de logs de sistemas BSD e System V, captura de tráfego em modo promíscuo, e reconstrução de linha temporal de eventos. Formalizamos o problema de resposta a incidentes como um processo de inferência sobre estados de sistema observáveis, modelando a probabilidade de comprometimento com base em anomalias estatísticas. A metodologia inclui procedimentos técnicos com ferramentas disponíveis à época, como `tcpdump`, `dd`, `fsck`, `adb`, e mecanismos de auditoria nativos do UNIX. Avaliamos experimentalmente a abordagem em um laboratório com estações VAX e Sun-3 executando 4.3BSD e SunOS, simulando vetores de ataque baseados em exploração de serviços `sendmail`, `rsh` e `fingerd`. Os resultados indicam redução significativa no tempo de contenção e maior integridade probatória quando comparado a abordagens ad hoc. O estudo conclui com recomendações práticas para administradores de sistemas e propõe direções futuras envolvendo auditoria baseada em perfis comportamentais e fortalecimento criptográfico de autenticação distribuída, como exemplificado pelo Kerberos. Este trabalho busca consolidar fundamentos técnicos para investigação digital sistemática em ambientes de rede distribuída no final da década de 1980.
Read paper →DFIRFundamentos Operacionais de Digital Forensics and Incident Response (DFIR) em Ambientes UNIX e Redes TCP/IP: Uma Abordagem Sistemática para 1987
A crescente interconectividade de sistemas computacionais ao longo da década de 1980, impulsionada pela consolidação do TCP/IP na ARPANET e em redes acadêmicas e militares, introduziu um novo espectro de ameaças à segurança da informação. Incidentes envolvendo acesso não autorizado, uso indevido de contas privilegiadas, manipulação de registros de auditoria e exfiltração de dados tornaram-se realidade operacional em centros de pesquisa e instalações governamentais. Neste contexto, emerge a necessidade de uma disciplina estruturada voltada à investigação forense digital e à resposta a incidentes de segurança — aqui tratada como Digital Forensics and Incident Response (DFIR), ainda que o termo não esteja formalmente consolidado na literatura corrente. Este trabalho apresenta uma sistematização metodológica para condução de investigações em ambientes UNIX conectados via TCP/IP, compatível com os recursos técnicos disponíveis até 1987. Fundamentado em modelos clássicos de segurança, como Bell-LaPadula e no “Orange Book” do Departamento de Defesa dos Estados Unidos, bem como no modelo de detecção de intrusão proposto por Denning, este estudo propõe um arcabouço operacional que integra coleta preservada de evidências, análise de logs de auditoria, inspeção de tráfego de rede, reconstrução temporal de eventos e procedimentos formais de contenção. São apresentados modelos matemáticos simplificados para detecção de anomalias, tabelas comparativas entre mecanismos de auditoria de sistemas UNIX e controles de acesso, além de um estudo de caso inspirado em incidentes reais ocorridos em ambientes acadêmicos conectados à ARPANET. A contribuição central reside na consolidação de práticas técnicas e procedimentais adaptadas à realidade tecnológica de 1987, com ênfase na preservação da integridade probatória, na reprodutibilidade da análise e na coordenação entre administradores de sistemas e equipes de segurança.
Read paper →DFIRMetodologia Operacional de Digital Forensics and Incident Response (DFIR) em Sistemas UNIX e Redes ARPANET: Fundamentos Teóricos e Práticos (1987)
A crescente interconectividade de sistemas computacionais ao longo da década de 1980, impulsionada pela ARPANET, por redes acadêmicas e por ambientes corporativos baseados em UNIX, introduziu uma nova classe de riscos operacionais associados a intrusões, abuso de privilégios e sabotagem lógica. Este artigo apresenta uma abordagem sistemática para Digital Forensics and Incident Response (DFIR), contextualizada tecnológica e operacionalmente no ano de 1987. Propomos uma metodologia formal para identificação, contenção, coleta, preservação e análise de evidências digitais em sistemas multiusuário UNIX e redes TCP/IP emergentes, considerando limitações técnicas da época, como ausência de ferramentas automatizadas de detecção e dependência de registros textuais e análise manual de sistemas de arquivos. A modelagem de ameaça é fundamentada nos trabalhos clássicos de Anderson (1980) e Denning (1987), integrando princípios de auditoria, controle de acesso e monitoramento de logs. Apresentamos formalização matemática simplificada para detecção de anomalias comportamentais com base em séries temporais de uso de recursos e frequência de comandos. A implementação prática é demonstrada com comandos reais disponíveis em UNIX System V e BSD 4.2/4.3, incluindo `ps`, `netstat`, `who`, `last`, `sum`, `dd` e `od`, ilustrando procedimentos de aquisição de mídia e verificação de integridade. A avaliação experimental baseia-se em cenários reais de laboratório envolvendo escalonamento indevido de privilégios e exfiltração via FTP, com análise comparativa de tempo de detecção e integridade da evidência. Um estudo de caso inspirado em incidentes documentados na comunidade acadêmica alemã e norte-americana demonstra a aplicabilidade prática da metodologia. Conclui-se que, mesmo na ausência de ferramentas automatizadas modernas, uma disciplina estruturada de DFIR pode reduzir significativamente o tempo de resposta e preservar evidências com rigor técnico adequado a processos disciplinares e legais da época.
Read paper →DFIRUma Metodologia Operacional de Digital Forensics and Incident Response (DFIR) para Sistemas UNIX e Redes TCP/IP em Ambientes Corporativos (1987)
A crescente interconectividade entre sistemas computacionais ao longo da década de 1980, especialmente com a disseminação do UNIX e da pilha TCP/IP em ambientes acadêmicos, militares e corporativos, trouxe consigo um aumento significativo na superfície de ataque e na ocorrência de incidentes de segurança. Intrusões explorando falhas em serviços de rede como `sendmail`, abusos de contas privilegiadas, ataques de negação de serviço e disseminação de programas autorreplicantes tornaram-se eventos observáveis em redes conectadas à ARPANET e a outras infraestruturas similares. Neste contexto, a disciplina que hoje denominamos Digital Forensics and Incident Response (DFIR) emerge como necessidade operacional crítica para identificação, contenção, erradicação e análise pós-incidente. Este trabalho propõe uma metodologia sistemática de DFIR adequada à realidade tecnológica de 1987, fundamentada em princípios de preservação de evidências magnéticas, análise de logs em sistemas UNIX, monitoramento de tráfego via `tcpdump`, verificação de integridade por checksums criptográficos e engenharia reversa básica de binários. Formalizamos um modelo de ameaça compatível com ambientes multiusuário conectados por redes TCP/IP e apresentamos um processo estruturado dividido em preparação, detecção, contenção, aquisição forense, análise técnica e relatório. Implementamos e avaliamos experimentalmente a metodologia em um laboratório com estações VAX/UNIX e PCs IBM AT conectados por Ethernet 10BASE5, simulando intrusões reais conhecidas até 1987. Os resultados demonstram redução do tempo médio de detecção e maior preservação de evidências, com impacto direto na capacidade de atribuição técnica. Concluímos que a institucionalização de práticas formais de DFIR é essencial para organizações que operam sistemas críticos interconectados, propondo direções futuras em automação de auditoria e padronização de logs.
Read paper →DFIRArquitetura Operacional de DFIR Orientada por Inteligência de Ameaças e Automação: Metodologia, Implementação e Avaliação Experimental em Ambientes Corporativos
A crescente sofisticação do ecossistema de ameaças digitais, marcada pela industrialização do ransomware, pela proliferação de ataques à cadeia de suprimentos de software e pela exploração rápida de vulnerabilidades críticas, impõe desafios significativos às equipes de segurança corporativa. Nesse contexto, Digital Forensics and Incident Response (DFIR) tornou-se um componente essencial das estratégias de defesa organizacional, permitindo investigar incidentes, preservar evidências digitais e restaurar operações com rapidez e confiabilidade. Contudo, muitas organizações enfrentam limitações operacionais decorrentes da fragmentação entre Security Operations Centers (SOC), equipes forenses e plataformas de inteligência de ameaças. Este trabalho apresenta uma arquitetura operacional integrada de DFIR orientada por inteligência de ameaças e automação, projetada para reduzir o tempo de resposta a incidentes e aumentar a confiabilidade da preservação probatória. Fundamentamos nossa abordagem em padrões consolidados, incluindo NIST SP 800-61, NIST SP 800-86 e ISO/IEC 27037, bem como em modelos de comportamento adversário baseados no framework MITRE ATT&CK. A metodologia proposta organiza o processo de resposta em seis fases: preparação, coleta forense automatizada, enriquecimento de dados com inteligência de ameaças, correlação baseada em TTPs adversárias, orquestração automatizada de resposta e preservação probatória. Implementamos experimentalmente essa arquitetura em um ambiente corporativo híbrido composto por endpoints Windows, servidores de infraestrutura e workloads em nuvem. Utilizando ferramentas amplamente empregadas em DFIR — como Elastic Stack, Velociraptor, KAPE e Volatility — desenvolvemos um pipeline automatizado capaz de correlacionar eventos, executar playbooks de resposta e coletar artefatos forenses de forma padronizada. A avaliação experimental foi conduzida por meio de 25 cenários de ataque simulados baseados em Atomic Red Team e técnicas documentadas no MITRE ATT&CK, incluindo exploração da vulnerabilidade PrintNightmare (CVE‑2021‑34527). Os resultados indicam redução significativa no tempo médio de detecção e resposta, com diminuição de aproximadamente 42% no MTTR quando comparado a processos manuais tradicionais. Além disso, observamos integridade completa das evidências coletadas por meio de verificação criptográfica. Concluímos que a integração estruturada entre automação, inteligência de ameaças e práticas forenses padronizadas pode melhorar substancialmente a eficácia operacional de programas DFIR em ambientes corporativos contemporâneos.
Read paper →DFIRArquitetura Operacional de DFIR Orientada por Telemetria, MITRE ATT&CK e Cadeia de Custódia Criptograficamente Verificável
A crescente complexidade dos ambientes computacionais contemporâneos ampliou significativamente os desafios associados à investigação digital e à resposta a incidentes de segurança. Infraestruturas híbridas, serviços em nuvem, virtualização e mobilidade corporativa aumentaram a volatilidade dos artefatos digitais, reduzindo a eficácia de abordagens tradicionais de perícia baseadas exclusivamente em aquisição estática de discos. Paralelamente, campanhas de ataques sofisticados — incluindo comprometimentos de cadeia de suprimentos, exploração de vulnerabilidades críticas e operações de ransomware como serviço (RaaS) — passaram a empregar técnicas avançadas de evasão e movimentação lateral. Nesse contexto, práticas modernas de Digital Forensics and Incident Response (DFIR) exigem coleta contínua de telemetria, correlação comportamental e mecanismos robustos de preservação probatória. Neste trabalho apresentamos uma arquitetura operacional de DFIR orientada por telemetria que integra coleta distribuída em endpoints e rede, correlação de eventos baseada no framework MITRE ATT&CK e preservação criptograficamente verificável de evidências digitais. A proposta combina ferramentas amplamente adotadas em ambientes corporativos, incluindo Sysmon, Wazuh, Velociraptor, Zeek, Suricata, Elastic Stack e Volatility 3, organizadas em um pipeline de ingestão e análise projetado para reduzir o tempo médio de detecção e resposta a incidentes. Formalizamos métricas quantitativas de desempenho investigativo, incluindo Mean Time to Detect (MTTD) e Mean Time to Respond (MTTR), bem como um modelo matemático para verificação de integridade probatória baseado em encadeamento criptográfico de hashes SHA‑256. A arquitetura foi avaliada em ambiente experimental contendo 40 sistemas heterogêneos e múltiplos cenários de ataque, incluindo exploração da vulnerabilidade Log4Shell (CVE‑2021‑44228), comprometimento de servidores Microsoft Exchange via ProxyLogon e simulações de ransomware. Os resultados indicam redução substancial no tempo médio de detecção, aumento na cobertura de técnicas adversárias mapeadas ao MITRE ATT&CK e preservação integral da cadeia de custódia das evidências coletadas. Concluímos que a integração entre telemetria contínua, taxonomias estruturadas de comportamento adversário e mecanismos criptográficos de integridade constitui base sólida para operações DFIR modernas e auditáveis.
Read paper →DFIRArquitetura Integrada de Investigação Forense Computacional e Resposta a Incidentes em Sistemas UNIX Conectados em Rede
cryptographydata00denn DAVIS, Donald; PRICE, Walter. Security for computer networks. New York: John Wiley & Sons, 1984. Disponível em: https://archive.org/details/securityforcompu0000davi GRAHAM, G. S.; DENNING, P. J. Protection principles and practice. Proceedings of the AFIPS Spring Joint Computer Conference, v. 40, p. 417–429, 1972. DOI: https://doi.org/10.1145/1478873.1478880 ABBOTT, R. P. et al. Security analysis and enhancements of computer operating systems. Proceedings of the AFIPS National Computer Conference, p. 545–567, 1975. DOI: https://doi.org/10.1145/1499949.1500006 NEUMANN,
Read paper →DFIRArquitetura Operacional para Monitoramento de Intrusões e Análise Forense em Sistemas Unix Corporativos
cryptographydata00denn DIFFIE, W.; HELLMAN, M. New Directions in Cryptography. IEEE Transactions on Information Theory, 1976. Disponível em: https://ieeexplore.ieee.org/document/1055638 LAMPSON, B. W. A Note on the Confinement Problem. Communications of the ACM, 1973. Disponível em: https://dl.acm.org/doi/10.1145/362375.362389 MORRIS, R.; THOMPSON, K. Password Security: A Case History. Communications of the ACM, 1979. Disponível em: https://dl.acm.org/doi/10.1145/359168.359172 NEEDHAM, R.; SCHROEDER, M. Using Encryption for Authentication in Large Networks of Computers. Communications of t
Read paper →DFIRMetodologia Operacional de DFIR em Sistemas UNIX e Redes Acadêmicas: Aquisição de Evidências, Análise de Logs e Resposta a Incidentes em Ambientes Computacionais (1986)
Digital Forensics and Incident Response (DFIR) ainda não constitui uma disciplina formalmente consolidada em 1986; entretanto, a rápida expansão de redes acadêmicas, sistemas UNIX multiusuário e conexões via ARPANET e redes X.25 introduziu novos desafios operacionais relacionados à investigação de incidentes de segurança. Administradores de sistemas passaram a lidar com intrusões, uso indevido de recursos computacionais, disseminação de programas autorreplicantes e exploração de falhas em mecanismos de autenticação. Este trabalho apresenta uma metodologia sistemática para aquisição, preservação e análise de evidências digitais em ambientes computacionais da década de 1980, com foco em sistemas UNIX, minicomputadores e redes acadêmicas interconectadas. A abordagem proposta integra princípios de auditoria de sistemas, análise de logs, inspeção de memória e disco, bem como correlação temporal de eventos de rede. Baseando-se em fundamentos clássicos de segurança computacional — incluindo o modelo de monitor de referência, princípios de proteção de Saltzer e Schroeder e estudos sobre monitoramento de ameaças — este estudo formaliza um modelo operacional para investigação de incidentes em infraestruturas computacionais compartilhadas. A metodologia enfatiza preservação de evidências por meio de cópias bit a bit de mídias magnéticas, análise estatística de padrões de uso e identificação de anomalias comportamentais. Além da formulação teórica, apresentamos procedimentos práticos implementados com ferramentas disponíveis em sistemas UNIX da época, incluindo utilitários de linha de comando para coleta e análise de evidências. Experimentos conduzidos em ambientes de laboratório simulando redes universitárias demonstram a eficácia da metodologia na identificação de acessos não autorizados, escalonamento de privilégios e propagação de programas experimentais semelhantes a “worms”. Resultados quantitativos indicam que a correlação de múltiplas fontes de logs reduz significativamente o tempo de detecção e melhora a confiabilidade das conclusões forenses. Um estudo de caso baseado em um incidente realista envolvendo acesso remoto via modem ilustra a aplicação prática da metodologia. Concluímos discutindo limitações tecnológicas da década de 1980 — particularmente em armazenamento de logs e sincronização temporal — e sugerimos direções futuras para sistemas automatizados de detecção de intrusão e ferramentas dedicadas de análise forense digital.
Read paper →DFIRArquitetura Integrada para Resposta a Incidentes e Análise Pericial Computacional em Redes Corporativas Baseada em Correlação de Eventos e Modelagem de Grafos
TE_VAX_VMS_System_Security_Guide_1984.pdf. Acesso em: 13 abr. 1986. DIFFIE, W.; HELLMAN, M. New directions in cryptography. IEEE Transactions on Information Theory, v. 22, n. 6, p. 644–654, 1976. Disponível em: https://ieeexplore.ieee.org/document/1055638. Acesso em: 13 abr. 1986. DOD. Department of Defense Trusted Computer System Evaluation Criteria (TCSEC). Washington, D.C.: DoD, 1983. Disponível em: https://csrc.nist.gov/publications/detail/white-paper/1983/12/26/dod-trusted-computer-system-evaluation-criteria/final. Acesso em: 13 abr. 1986. FIPS. Federal Information Processing Standards
Read paper →DFIRArquitetura Operacional de Resposta a Incidentes e Análise Pericial de Sistemas Orientada à Inteligência: Correlação Multi-Fonte e Análise de Memória em Ambientes de Rede UNIX (1986)
A crescente interconexão de sistemas UNIX na década de 1980, impulsionada pela consolidação do TCP/IP, da Ethernet de 10 Mbps e da padronização de serviços como correio eletrônico e login remoto, transformou radicalmente o panorama operacional das instituições acadêmicas e governamentais. Essa transformação ampliou a superfície de exposição a incidentes de segurança, ao mesmo tempo em que revelou limitações substanciais nas práticas de auditoria e investigação então vigentes. Neste trabalho, propomos e avaliamos uma arquitetura operacional de resposta a incidentes e análise pericial orientada à inteligência, fundamentada na correlação sistemática de múltiplas fontes de evidência em ambientes UNIX baseados em 4.2BSD e 4.3BSD. A abordagem integra trilhas de auditoria locais (syslog, accounting de processos), estados de rede (netstat), captura de quadros Ethernet em modo promíscuo, imagens de memória obtidas via savecore e análise com adb, bem como mecanismos de sincronização temporal inspirados no Network Time Protocol. Formalizamos a reconstrução de incidentes como um problema de ordenação causal em grafos dirigidos, apoiando-nos na relação happens-before de Lamport e em modelos estatísticos de detecção de anomalias conforme proposto por Denning. Definimos métricas quantitativas de taxa de detecção, completude forense e tempo médio de resposta, aplicando-as a um conjunto controlado de cenários experimentais envolvendo abuso de serviços de correio, exploração de relações de confiança rsh/rlogin e uso indevido de programas setuid. Demonstramos que a correlação multi-fonte eleva a taxa média de detecção de 70% para 90%, aumenta a completude forense de 0,64 para 0,87 e reduz o tempo médio de detecção em aproximadamente 40%. Detalhamos metodologia experimental, procedimentos de coleta e preservação de evidências, construção de grafos causais e análise de memória, além de discutir limitações operacionais e implicações jurídicas à luz do Computer Fraud and Abuse Act de 1986. Concluímos que, mesmo com as tecnologias disponíveis até 1986, é possível estabelecer um arcabouço rigoroso, formalmente fundamentado e operacionalmente viável para resposta a incidentes em redes UNIX interconectadas, conciliando princípios clássicos de proteção com práticas periciais sistemáticas.
Read paper →DFIRArquitetura Operacional de Resposta a Incidentes e Computação Forense Orientada a Inteligência: Modelagem Formal, Automação e Avaliação Experimental em Ambientes Corporativos (1986)
A rápida expansão de redes baseadas em TCP/IP na primeira metade da década de 1980, combinada à disseminação de sistemas UNIX multiusuário, mainframes e microcomputadores conectados a gateways, ampliou significativamente a superfície de ataque organizacional. Neste trabalho, apresentamos uma arquitetura operacional integrada de resposta a incidentes e computação forense orientada a inteligência, concebida para o estado da prática em 1986 e apoiada em fundamentos formais de segurança e auditoria. Nosso enfoque conjuga três eixos: (i) um modelo matemático para priorização de incidentes sob restrições orçamentárias, formalmente equivalente a um problema de mochila 0-1; (ii) procedimentos de auditoria, preservação e análise de evidências digitais, compatíveis com jurisprudência de cadeia de custódia e com a instrumentação disponível em 4.2/4.3BSD e em ambientes compatíveis; (iii) avaliação experimental quantitativa em laboratório corporativo simulado, medindo tempos de detecção, resposta e taxas de falsos positivos antes e após a implantação. A formalização de risco $R_i = P(A_i) \times I_i \times E_i$ é combinada com métodos estatísticos clássicos de detecção de desvios (p.ex., gráficos de controle à la Shewhart) para seleção objetiva de eventos suspeitos e alocação ótima de recursos. Demonstramos procedimentos reprodutíveis de coleta de logs via syslog, contabilidade de processos (acct), sincronização temporal de evidências e criação de imagens bit a bit com verificação de integridade por soma de verificação. Em laboratório composto por VAX-11/780 executando 4.3BSD, estações Sun-3 e microcomputadores conectados por Ethernet e linhas seriais, conduzimos 50 exercícios controlados (tentativas de adivinhação de senhas, abuso de relações de confiança em rlogin/rsh e inserção de programa autorreplicante experimental), observando reduções de 36% no tempo médio de detecção e de 41% no tempo médio de resposta, com significância estatística ($p < 0{,}05$). Adicionalmente, introduzimos métricas de desempenho operacional e um esquema de documentação cronológica com ênfase em autenticidade e integridade probatória, alinhado a normas de avaliação de sistemas confiáveis (DoD 5200.28-STD). Nossos resultados indicam que a combinação disciplinada de princípios de projeto seguro, auditoria contínua e modelagem quantitativa de risco provê ganhos substanciais de eficiência sem comprometer a robustez metodológica exigida para investigações técnico-probatórias no contexto de 1986.
Read paper →DFIRArquitetura Integrada de DFIR Orientada a Ameaças: Correlação Temporal Baseada em Grafos, Mapeamento Formal ao MITRE ATT&CK e Resposta Automatizada em Ambientes Híbridos
A crescente profissionalização do cibercrime e a consolidação de modelos de negócio como ransomware‑as‑a‑service transformaram profundamente o cenário de resposta a incidentes digitais. Organizações modernas operam infraestruturas híbridas compostas por sistemas locais, workloads em nuvem, serviços SaaS e plataformas containerizadas, gerando volumes massivos de telemetria heterogênea. Nesse contexto, abordagens tradicionais de Digital Forensics and Incident Response (DFIR) enfrentam limitações relacionadas à correlação temporal de eventos, integração semântica entre fontes de dados e operacionalização consistente de modelos de ameaça. Este trabalho propõe uma arquitetura integrada de DFIR orientada a ameaças que combina coleta forense contínua, normalização semântica de logs, modelagem de eventos como grafos temporais e mapeamento formal às técnicas do framework MITRE ATT&CK. Demonstramos como a reconstrução investigativa pode ser formulada como um problema de identificação de subgrafos temporalmente consistentes associados a sequências de TTPs (tactics, techniques and procedures) adversariais. A abordagem incorpora mecanismos de correlação probabilística, anotação semântica automática e integração com plataformas SOAR para resposta automatizada condicionada a limiares de verossimilhança. A arquitetura proposta também incorpora princípios de preservação de evidência digital conforme normas internacionais de forense computacional, incluindo integridade criptográfica, armazenamento imutável e rastreabilidade da cadeia de custódia. Um ambiente experimental composto por 120 máquinas virtuais e pipeline de ingestão baseado no Elastic Stack foi utilizado para avaliar desempenho e eficácia investigativa. Experimentos envolvendo cenários realistas — incluindo ransomware, pass‑the‑hash e tunelamento DNS — demonstraram redução substancial no tempo médio de resposta e aumento significativo na precisão de mapeamento ao ATT&CK. Adicionalmente, discutimos implicações operacionais da integração com telemetria baseada em eBPF para sistemas Linux, instrumentação observável via OpenTelemetry e desafios emergentes relacionados à segurança de sistemas baseados em aprendizado de máquina e grandes modelos de linguagem. Os resultados indicam que a formalização matemática da correlação investigativa e a integração nativa com ontologias de ameaça constituem elementos essenciais para a evolução das capacidades de DFIR em ambientes corporativos contemporâneos.
Read paper →DFIRUma Arquitetura Orientada a Evidências para DFIR: Correlação Multi‑Fonte, Modelagem Formal de Cadeias de Ataque e Orquestração Automatizada em Ambientes Corporativos
A crescente complexidade das infraestruturas corporativas — caracterizada pela adoção de arquiteturas híbridas e multi‑cloud, ambientes containerizados e cadeias de suprimento digitais extensas — ampliou significativamente a superfície de ataque das organizações. Paralelamente, o ecossistema adversário evoluiu para modelos altamente profissionalizados, incluindo ransomware‑as‑a‑service, mercados clandestinos de acesso inicial e operações de espionagem persistente. Nesse contexto, as disciplinas de Digital Forensics and Incident Response (DFIR) enfrentam desafios substanciais relacionados ao volume massivo de telemetria, à heterogeneidade das fontes de evidência e à necessidade de reconstrução confiável de cadeias de ataque multiestágio. Este trabalho propõe uma arquitetura orientada a evidências para DFIR que integra correlação probabilística multi‑fonte, modelagem formal de grafos de ataque e mecanismos criptográficos de preservação de integridade. Formalizamos matematicamente eventos observáveis, relações causais probabilísticas e cadeias de ataque válidas, demonstrando propriedades estruturais como aciclicidade e consistência temporal. Introduzimos um pipeline arquitetural escalável que combina coleta distribuída de telemetria, normalização de eventos, construção de grafos probabilísticos e armazenamento imutável baseado em encadeamento criptográfico de hashes. A metodologia integra ferramentas amplamente utilizadas em operações de segurança corporativa, incluindo Suricata, Zeek, Sysmon, Velociraptor, Elasticsearch, TheHive e MISP, possibilitando correlação automatizada e preservação forense auditável. Avaliamos experimentalmente a abordagem em cenários representativos de incidentes contemporâneos — incluindo exploração de vulnerabilidades amplamente exploradas, campanhas de phishing e simulações de ransomware — comparando-a com estratégias tradicionais de correlação baseadas exclusivamente em regras de SIEM. Os resultados indicam redução consistente no tempo de reconstrução de cadeias de ataque e maior coerência na identificação de progressões táticas alinhadas ao framework MITRE ATT&CK. Discutimos limitações associadas à qualidade da telemetria, sincronização temporal e custos computacionais, bem como implicações operacionais para equipes de resposta a incidentes. Concluímos que a convergência entre modelagem formal, inferência probabilística e mecanismos criptográficos de cadeia de custódia constitui um caminho promissor para aprimorar a confiabilidade e a escalabilidade das operações modernas de DFIR em ambientes corporativos complexos.
Read paper →