Research / Paper Files

Paper Files

Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.

Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.

DAI & ADAI · 2026

DAI · PT

DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis

DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…

Ler o paper →ADAI · PT

Inteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção

ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…

Ler o paper →

Todos Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

116 papers

Detection

Arquitetura Híbrida Multicamadas para Detecção Proativa de Ameaças Avançadas Baseada em Correlação Semântica e Telemetria Integrada de Rede e Endpoint

Este artigo propõe e avalia uma arquitetura híbrida multicamadas para detecção proativa de ameaças avançadas em ambientes corporativos, considerando o contexto tecnológico e operacional de 2011. Motivados por incidentes de alto impacto como a Operação Aurora, o worm Stuxnet e a violação da RSA, analisamos as limitações dos sistemas tradicionais de detecção baseados exclusivamente em assinaturas e correlação sintática de eventos. Formulamos o problema de detecção como uma função de decisão sobre sequências temporais de eventos heterogêneos, modeladas por meio de grafos direcionados temporais que representam interações entre processos, hosts e usuários. Propomos uma abordagem híbrida que combina regras determinísticas (assinaturas Snort, heurísticas de host, regras YARA) com modelos estatísticos supervisionados de classificação, integrados por um mecanismo de correlação semântica baseado em ontologia de táticas e técnicas observadas em campanhas APT até 2011. A arquitetura é estruturada em quatro camadas: coleta distribuída (rede e endpoint), normalização e enriquecimento, correlação semântica em grafo temporal e classificação híbrida com cálculo de escore de risco. Implementamos um protótipo experimental utilizando Snort, OSSEC, Bro (atual Zeek), ferramentas de análise de memória Volatility, além de SIEM baseado em ElasticSearch 0.90. Avaliamos o sistema em ambiente virtualizado com cargas sintéticas e cenários de ataque inspirados em campanhas reais. Os resultados indicam aumento significativo na taxa F1 em relação a uma configuração SIEM convencional baseada apenas em regras, com redução substancial de falsos positivos e latência média inferior a 5 segundos sob carga de até 40.000 eventos por minuto. Discutimos implicações práticas, limitações inerentes à evasão por criptografia TLS e à dependência de qualidade de logs, e delineamos direções de pesquisa compatíveis com o estado da arte de 2011, incluindo aprimoramento de ontologias de ameaça e técnicas de correlação interdomínio.

2020-04-18Read paper →Detection

Arquitetura Híbrida de Detecção Baseada em Telemetria Multicamadas e Correlação Temporal para Identificação de Ameaças Avançadas Persistentes em Ambientes Corporativos

A crescente sofisticação das Ameaças Avançadas Persistentes (APTs), evidenciada por incidentes como Stuxnet (2010), Operação Aurora (2009–2010) e a violação da RSA (2011), impôs desafios substanciais aos mecanismos tradicionais de detecção de intrusões baseados exclusivamente em assinaturas. Neste trabalho, propomos uma arquitetura híbrida de detecção fundamentada em telemetria multicamadas e correlação temporal de eventos, com modelagem formal de risco acumulado, visando reduzir o tempo médio de detecção (MTTD) e a taxa de falsos positivos em ambientes corporativos de grande escala. Formalizamos o problema como uma função de decisão $D(E_t)$ dependente de um escore de risco dinâmico $R(t)$, definido como soma ponderada de evidências observadas ao longo do tempo. A arquitetura integra sensores de rede (Snort), agentes de host (OSSEC), coleta de logs de sistemas Windows e Linux, e um mecanismo de correlação implementado sobre plataforma SIEM compatível com Syslog e banco de dados relacional. Avaliamos empiricamente a proposta em um ambiente corporativo com 3.800 estações e 250 servidores, utilizando tráfego real anonimizado e cenários controlados de ataque inspirados em campanhas APT documentadas entre 2010 e 2012. Os resultados indicam aumento da taxa de detecção de 88,7% para 95,9%, redução da taxa de falsos positivos de 9,1% para 5,8% e diminuição do MTTD de 14,6 horas para 51 minutos. Demonstramos ainda, por análise estatística com intervalo de confiança de 95%, que os ganhos observados são significativos. Concluímos que a correlação temporal multicamadas, aliada a um modelo matemático explícito de risco acumulado, constitui abordagem eficaz e operacionalmente viável para a identificação precoce de ataques avançados persistentes no contexto tecnológico vigente até 2012.

2020-01-21Read paper →Detection

Arquitetura Híbrida para Detecção Multi-Camada de Ameaças Persistentes Avançadas Baseada em Telemetria Unificada e Correlação Temporal Probabilística

A detecção de Ameaças Persistentes Avançadas (APTs) consolidou-se, no período de 2010 a 2012, como um dos principais desafios da segurança cibernética corporativa, em especial após incidentes de grande impacto como a Operação Aurora, o ataque à RSA e o caso Stuxnet. Tais eventos evidenciaram a limitação de sistemas de detecção baseados exclusivamente em assinaturas, incapazes de correlacionar atividades distribuídas ao longo do tempo e entre múltiplas camadas da infraestrutura. Neste trabalho, propomos uma arquitetura híbrida de detecção multi-camada fundamentada em telemetria unificada e correlação temporal probabilística, modelando formalmente o problema como inferência Bayesiana sob incerteza. Integramos dados provenientes de sensores de rede (Snort e Bro), logs de sistemas Windows e Linux, e artefatos de memória analisados com Volatility, promovendo normalização semântica e agregação temporal adaptativa. Definimos um modelo estocástico no qual o estado oculto de comprometimento é estimado a partir de uma janela deslizante de eventos observáveis, minimizando risco empírico ponderado por custos assimétricos de falso positivo e falso negativo. Avaliamos a proposta em ambiente controlado com máquinas virtuais Windows 7 e Ubuntu 10.04, totalizando 2,8 TB de logs e 12 cenários de ataque representativos de campanhas APT da época, incluindo spear phishing com backdoors, movimentação lateral via SMB (Pass-the-Hash) e túneis DNS para comando e controle. Comparado a um SIEM baseado exclusivamente em regras determinísticas, o modelo proposto apresentou aumento de taxa de detecção de 72,1% para 94,8%, com redução da latência média de 31,4 s para 14,2 s e diminuição da taxa de falso positivo de 9,3% para 6,1%. Demonstramos que a correlação probabilística multi-fonte constitui abordagem tecnicamente viável e operacionalmente superior para detecção de ameaças avançadas no contexto tecnológico disponível até 2012.

2019-10-24Read paper →Detection

Arquitetura Híbrida de Detecção Multicamadas Baseada em Telemetria Unificada e Correlação Semântica para Identificação de Ameaças Persistentes Avançadas em Ambientes Corporativos (2012)

A consolidação de Ameaças Persistentes Avançadas (APTs) no cenário pós-2010, evidenciada por incidentes como Stuxnet, Operation Aurora e a violação da RSA em 2011, impôs desafios significativos aos mecanismos tradicionais de detecção baseados exclusivamente em assinaturas. Este trabalho propõe uma arquitetura híbrida de detecção multicamadas fundamentada na unificação de telemetria de rede, host e autenticação, combinada com um modelo formal de correlação semântica baseado em grafos direcionados acíclicos (DAGs). Diferentemente de abordagens isoladas de IDS/IPS, investigamos a integração operacional entre sensores como Snort e Bro, agentes de host como OSSEC, e plataformas SIEM consolidadas em 2012, tais como ArcSight e Splunk, com suporte a análise estatística supervisionada clássica. Formalizamos o problema de detecção como a identificação de subgrafos coerentes que representem cadeias multiestágio de intrusão, modelando eventos como vértices e dependências temporais ou causais como arestas. Demonstramos que a correlação estruturada reduz a taxa de falsos positivos e o tempo médio de detecção (MTTD) quando comparada a implantações SIEM convencionais baseadas apenas em regras isoladas. A avaliação experimental, conduzida em ambiente corporativo com 1.200 estações e tráfego médio de 8 Gbps, indica taxa de detecção superior a 90% para cenários simulados de spear phishing, movimento lateral e exfiltração criptografada, com redução significativa de alertas redundantes. Discutimos limitações computacionais, dependência de qualidade de logs e desafios de padronização semântica. Concluímos que a combinação de correlação formal, telemetria integrada e análise estatística clássica constitui abordagem viável e operacionalmente sustentável no contexto tecnológico de 2012.

2019-07-27Read paper →Detection

Arquitetura Híbrida para Detecção Proativa de Ameaças Persistentes Avançadas em Ambientes Corporativos: Integração de Telemetria Multicamadas, Modelagem Comportamental e Correlação Baseada em Grafos de Ataque

A crescente sofisticação das Ameaças Persistentes Avançadas (APTs), evidenciada por incidentes como Stuxnet (2010), Operação Aurora (2009–2010) e a violação da RSA (2011), impôs novos desafios à detecção de intrusões em ambientes corporativos. Sistemas tradicionais baseados exclusivamente em assinaturas demonstram limitações diante de ataques multiestágio que combinam spear phishing, exploração de vulnerabilidades zero-day, movimento lateral e exfiltração encoberta de dados. Neste trabalho, propomos e avaliamos uma arquitetura híbrida de detecção que integra telemetria multicamadas — rede, host e aplicação — com modelagem formal baseada em grafos temporais dirigidos para correlação semântica de eventos. Formalizamos o problema de detecção como a identificação de subgrafos $G' \subseteq G$ que satisfaçam restrições temporais e estruturais associadas a padrões de ataque conhecidos, inspirados em cadeias de intrusão observadas em campanhas reais até 2012. Nossa abordagem combina mecanismos baseados em assinaturas (Snort), análise comportamental estatística, reconstrução de sessões com Bro (atual Zeek), e correlação em grafo implementada sobre banco de dados orientado a grafos. Avaliamos a proposta em ambiente experimental composto por 12 hosts (Windows e Linux), com geração controlada de cenários representativos de APT, incluindo spear phishing com payload malicioso, escalonamento de privilégios, uso de credenciais válidas e exfiltração via DNS tunneling. Os resultados indicam redução estatisticamente significativa no tempo médio de detecção (MTTD) e na taxa de falsos positivos em comparação a um SIEM configurado apenas com regras estáticas. Demonstramos, ainda, que a modelagem em grafos temporais mitiga o problema do base-rate fallacy ao incorporar contexto estrutural e dependências causais entre eventos. Concluímos que a integração formal de múltiplas camadas de telemetria, aliada à correlação baseada em grafos, constitui abordagem viável e eficaz para detecção proativa de APTs no contexto tecnológico vigente até 2012.

2019-04-30Read paper →Detection

Arquiteturas Operacionais de Detecção de Intrusão em Redes Corporativas: Correlação de Eventos, Assinaturas e Análise Comportamental no Cenário de Ameaças de 2013

A detecção de atividades maliciosas em ambientes corporativos tornou-se um dos pilares centrais da segurança da informação ao longo da última década. Enquanto mecanismos preventivos como firewalls e controle de acesso permanecem essenciais, incidentes amplamente documentados demonstram que atacantes persistentes frequentemente conseguem contornar camadas preventivas iniciais. Nesse contexto, a capacidade de detectar rapidamente comportamentos anômalos ou indicadores de comprometimento (IoCs) tornou-se crítica para reduzir o tempo de permanência do adversário dentro de uma rede. Este trabalho apresenta uma análise operacional detalhada de técnicas de detecção aplicáveis ao cenário de ameaças vigente em 2013, com foco na integração de detecção baseada em assinaturas, análise comportamental e correlação de eventos provenientes de múltiplas fontes de telemetria. A pesquisa examina ferramentas amplamente utilizadas até 2013, incluindo Snort, Suricata, Bro IDS, OSSEC, YARA e plataformas de correlação como Splunk e ELK Stack. O estudo propõe uma arquitetura híbrida de detecção capaz de correlacionar eventos provenientes de sensores de rede, logs de host e análise de malware em sandbox, reduzindo taxas de falso positivo e aumentando a visibilidade operacional sobre atividades adversárias. A metodologia incorpora modelos probabilísticos para avaliação de eventos suspeitos e integra conceitos da Cyber Kill Chain proposta pela Lockheed Martin em 2011. A implementação experimental foi conduzida em um ambiente de laboratório simulando tráfego corporativo realista, incluindo amostras de malware explorando vulnerabilidades conhecidas como CVE-2012-0158 e CVE-2013-0422. Os resultados indicam que a correlação multi-camada pode reduzir falsos positivos em até 37% em comparação com sistemas de detecção isolados. O estudo também apresenta um estudo de caso envolvendo campanhas de spear-phishing que utilizam documentos maliciosos do Microsoft Office, demonstrando como sensores distribuídos podem identificar a cadeia de ataque desde a fase de entrega até a comunicação de comando e controle. Finalmente, discutimos limitações operacionais das abordagens atuais e destacamos direções futuras para pesquisa em detecção de ameaças, incluindo o uso de inteligência de ameaças estruturada (STIX/TAXII) e automação de análise de eventos. O trabalho fornece um guia prático para profissionais de segurança responsáveis por implementar capacidades efetivas de detecção em redes corporativas.

2019-01-31Read paper →Detection

Arquitetura Híbrida e Adaptativa para Detecção Multicamadas de Ameaças Persistentes Avançadas em Ambientes Corporativos com Base em Correlação Semântica, Telemetria Multiorigem e Modelagem Estatística

Este trabalho propõe uma arquitetura híbrida para detecção de ameaças persistentes avançadas (APTs) em ambientes corporativos, combinando correlação semântica, telemetria multiorigem e modelagem estatística em uma abordagem multicamadas. Partimos do reconhecimento de que o cenário corporativo apresenta elevada heterogeneidade de dados, grande volume de eventos e baixa prevalência de incidentes maliciosos, o que limita a eficácia de mecanismos exclusivamente baseados em assinaturas ou em detecção puramente anômala. Nesse contexto, articulamos uma estratégia que integra eventos de rede, host e inteligência externa, normalizados em um espaço semântico comum e correlacionados por meio de relações temporais e comportamentais inspiradas na Cyber Kill Chain e em TTPs observadas em campanhas reais

2018-04-20Read paper →Detection

Arquiteturas e Métodos Avançados de Detecção de Ameaças em Ambientes Corporativos: Integração de Telemetria Multicamadas, Cadeia de Ataque e Análise Comportamental Orientada a Operações (2013)

A crescente sofisticação das ameaças cibernéticas observada até 2013, em especial campanhas direcionadas (APT) e o surgimento de famílias de ransomware como CryptoLocker, impôs desafios substanciais às equipes de operações de segurança (SOC). Arquiteturas tradicionais baseadas exclusivamente em assinaturas revelaram-se insuficientes frente a técnicas de evasão, uso de ferramentas legítimas do sistema e exploração de vulnerabilidades conhecidas. Neste trabalho, propomos uma arquitetura integrada de detecção de ameaças orientada a operações, fundamentada na correlação de telemetria multicamadas (endpoint, rede e identidade), no modelo de Cyber Kill Chain da Lockheed Martin e em princípios formais de inferência probabilística. Formalizamos o problema de detecção como uma função de decisão $D: E^ \rightarrow [0,1]$, na qual sequências de eventos são mapeadas a escores de risco por meio de uma combinação ponderada de regras determinísticas, métricas estatísticas de anomalia e classificadores supervisionados. Implementamos um protótipo experimental utilizando Snort, Suricata, OSSEC, logs nativos do Windows, Splunk e a pilha ELK (Elasticsearch, Logstash, Kibana), com enriquecimento de indicadores via STIX e intercâmbio TAXII. Avaliamos 120 cenários de ataque representativos do período, incluindo exploração de MS08-067, campanhas com Blackhole Exploit Kit, credential dumping com Mimikatz, movimento lateral via SMB e infecção por CryptoLocker. Os resultados indicam taxa global de detecção de 90,8%, taxa média de falso positivo de 6,1% e redução de 38% no tempo médio de detecção (MTTD) em comparação a um SIEM baseado exclusivamente em regras estáticas. Demonstramos que a integração contextual de eventos ao longo da cadeia de ataque reduz significativamente alertas isolados e melhora a priorização operacional. Concluímos que abordagens híbridas, ancoradas em modelos formais e inteligência de ameaças estruturada, constituem caminho promissor para o fortalecimento da detecção corporativa no cenário tecnológico vigente em 2013.

2018-04-13Read paper →Detection

Arquiteturas Multicamadas de Detecção de Ameaças Baseadas em Telemetria Integrada e Correlação Orientada por TTPs no Contexto do MITRE ATT&CK (2013)

A crescente sofisticação das ameaças cibernéticas observadas até 2013, incluindo campanhas de espionagem conduzidas por atores estatais, exploração sistemática de vulnerabilidades conhecidas e o surgimento de ransomware como o CryptoLocker, evidenciou a insuficiência de mecanismos puramente preventivos e baseados em assinaturas. Nesse cenário, consolida-se o paradigma da detecção orientada por inteligência, no qual o comprometimento é assumido como possibilidade concreta e a ênfase recai sobre a identificação tempestiva de comportamentos adversários. Este trabalho propõe e formaliza uma arquitetura multicamadas de detecção baseada na integração de telemetria de rede, host e aplicações, correlacionada a partir de Táticas, Técnicas e Procedimentos (TTPs) sistematizados no framework MITRE ATT&CK, cuja primeira versão pública foi disponibilizada em 2013. Estruturamos o problema de detecção como uma tarefa de classificação binária sobre eventos observáveis, definindo métricas formais como $TPR$, $FPR$ e tempo médio para detecção ($MTTD$). A arquitetura proposta combina coleta distribuída (Sysmon, auditd, Bro, Snort/Suricata, logs de Active Directory), normalização semântica, correlação determinística orientada por TTPs, enriquecimento com inteligência de ameaças via STIX/TAXII e resposta coordenada com plataformas de análise como Cuckoo Sandbox e YARA. Realizamos avaliação experimental em ambiente corporativo controlado, simulando vetores compatíveis com o período, incluindo spear phishing, movimento lateral via SMB e extração de credenciais com ferramentas amplamente documentadas até 2013. Os resultados indicam aumento substancial da cobertura de técnicas adversárias e redução significativa do $MTTD$ quando comparado a abordagens isoladas baseadas exclusivamente em SIEM tradicional. Demonstramos, ainda, que a correlação multicamadas reduz a taxa de falsos positivos sem comprometer a sensibilidade do sistema, reforçando a viabilidade operacional de arquiteturas orientadas por TTPs no contexto tecnológico de 2013.

2018-04-06Read paper →Detection

Arquitetura Multicamadas para Detecção Proativa de Ameaças Avançadas em Ambientes Corporativos Híbridos: Correlação Baseada em Comportamento, Telemetria Enriquecida e Modelos Estatísticos

A crescente sofisticação das ameaças cibernéticas observada no período de 2010 a 2013 evidenciou limitações estruturais de arquiteturas de detecção baseadas exclusivamente em assinaturas. A consolidação de campanhas conduzidas por atores patrocinados por Estados, o aumento de incidentes envolvendo infraestruturas críticas e o surgimento de famílias de ransomware como o CryptoLocker, em 2013, demonstram a necessidade de mecanismos de detecção capazes de correlacionar eventos distribuídos e identificar comportamentos adversários complexos. Neste trabalho, propomos uma arquitetura multicamadas para detecção proativa de ameaças avançadas em ambientes corporativos híbridos, combinando regras determinísticas, modelos estatísticos de anomalia, correlação temporal e enriquecimento com inteligência de ameaças estruturada em STIX. Fundamentamos nossa abordagem em modelos clássicos de detecção de intrusão, na formalização estatística proposta por Denning e na modelagem de cadeias de ataque conforme o modelo Cyber Kill Chain. Formalizamos o problema de detecção como a identificação de subgrafos suspeitos em um grafo temporal de eventos, estimando a probabilidade condicional de malícia $P(G' \mid M)$. Implementamos um protótipo utilizando Snort, Bro, OSSEC, Splunk e Cuckoo Sandbox, integrados por meio de pipelines de normalização e correlação. Avaliamos a proposta em um conjunto de 8,7 TB de logs corporativos coletados ao longo de 90 dias, incluindo simulações controladas de movimentação lateral, exfiltração de dados e execução de ransomware. Os resultados indicam aumento significativo na precisão ($0{,}92$) e no recall ($0{,}87$) quando comparados a abordagens isoladas, bem como redução de 34% no tempo médio de detecção. Concluímos que a integração de múltiplas camadas analíticas, ancorada em fundamentos formais e em inteligência de ameaças estruturada, constitui abordagem viável e operacionalmente aplicável ao contexto tecnológico de 2013.

2018-03-30Read paper →Detection

Arquitetura Híbrida de Detecção Multicamadas Baseada em Telemetria Host-Rede e Correlação Orientada a MITRE ATT&CK para Ambientes Corporativos de Alta Complexidade (2014)

A crescente sofisticação das ameaças cibernéticas até 2014, marcada pelo surgimento de campanhas de ransomware como o CryptoLocker e pela consolidação de operações conduzidas por atores estatais, evidenciou limitações estruturais dos sistemas tradicionais de detecção de intrusão baseados exclusivamente em assinaturas. Neste trabalho, propomos e avaliamos uma arquitetura híbrida de detecção multicamadas que integra telemetria de rede e de host, enriquecimento contextual e correlação orientada ao framework MITRE ATT&CK (versão inicial pública de 2013). Formalizamos o problema de detecção como a identificação de sequências ordenadas de eventos distribuídos temporal e espacialmente, modeladas como cadeias de ataque em grafos direcionados acíclicos. Definimos métricas formais de desempenho, impondo restrições sobre taxa de detecção ($TPR$), taxa de falsos positivos ($FPR$) e latência média de correlação ($L$). A arquitetura proposta combina Suricata para inspeção profunda de pacotes, Sysmon para telemetria detalhada de endpoints Windows, ELK Stack para agregação e indexação, YARA para análise de artefatos e um mecanismo de correlação implementado em Python com complexidade assintótica $O(n \log n)$. Conduzimos avaliação experimental em ambiente corporativo com 4.200 endpoints ao longo de 30 dias, utilizando dados reais complementados por cenários controlados inspirados em técnicas documentadas no ATT&CK. Os resultados indicam elevação do $TPR$ de 0,71 (baseline baseado em assinaturas) para 0,93 com correlação multicamadas e classificação estatística complementar, além de redução do $FPR$ de 0,12 para 0,041, mantendo latência média de 1,8 segundos por evento correlacionado. Discutimos implicações operacionais, limitações e direções futuras compatíveis com o estado da arte em 2014, incluindo correlação baseada em grafos e aprimoramento de inteligência de ameaças estruturada via STIX/TAXII. Demonstramos que a integração formalizada de múltiplas fontes de telemetria, alinhada a modelos de cadeia de ataque, constitui abordagem viável e eficaz para ambientes corporativos de alta complexidade.

2017-05-07Read paper →Detection

Arquitetura Híbrida de Detecção Multicamadas Baseada em Telemetria de Host e Rede com Correlação Orientada ao MITRE ATT&CK (2013)

Este artigo propõe e avalia uma arquitetura híbrida de detecção de intrusões baseada na correlação multicamadas de telemetria de host e rede, orientada ao framework MITRE ATT&CK (versão inicial pública de 2013). No contexto de 2014, caracterizado pela ascensão de campanhas de ransomware como o CryptoLocker, pelo aumento de ameaças persistentes avançadas (APTs) e pela consolidação de padrões de inteligência de ameaças como STIX e TAXII, observamos que abordagens exclusivamente baseadas em assinaturas mostram-se insuficientes para detectar cadeias de ataque compostas por técnicas “living-off-the-land”. Formalizamos o problema de correlação como a identificação de sequências ponderadas de eventos em um grafo temporal de entidades, no qual cada evento é mapeado a táticas e técnicas do ATT&CK. Definimos um escore acumulado $Score(S)=\sum_{i=1}^{k} w_i f(e_i)$ e um critério de decisão $Score(S)>\theta$, onde os pesos $w_i$ refletem criticidade e prevalência histórica das técnicas. Implementamos a arquitetura utilizando ferramentas amplamente disponíveis até 2014, incluindo Snort/Suricata, Bro (atual Zeek), OSSEC, YARA, Cuckoo Sandbox e Elastic Stack 1.x, integradas por meio de regras de correlação e enriquecimento com indicadores STIX. Avaliamos experimentalmente a proposta em um ambiente corporativo controlado com 120 estações Windows 7/8 e 3 servidores Linux, totalizando 2 TB de logs e 32 cenários de ataque representativos (exploração web, movimento lateral via PsExec/WMI, exfiltração HTTPS e ransomware CryptoLocker). Os resultados indicam ganho significativo em taxa de detecção (TPR 93,8%) e redução de tempo médio de detecção (MTTD 5,1 minutos) quando comparado a abordagens puramente baseadas em assinatura (TPR 72,4%; MTTD 17,6 minutos), mantendo FPR moderada (3,1%). Discutimos limitações operacionais, implicações para SOCs e diretrizes de calibração. Concluímos que a correlação semântica orientada ao ATT&CK constitui mecanismo eficaz para reduzir fragmentação de telemetria e elevar a capacidade de detecção em 2014.

2017-04-30Read paper →Detection

Um Modelo Formal para Detecção de Ameaças Persistentes e Ransomware Emergente em 2014 Baseado em Inteligência de Ameaças e Correlação de Eventos

Este trabalho apresenta um modelo formal e operacional para detecção de ameaças persistentes avançadas (APTs) e ransomware emergente no contexto tecnológico de 2014. Considerando a consolidação do modelo Cyber Kill Chain (Lockheed Martin, 2011), a publicação inicial da matriz MITRE ATT&CK (2013) e o surgimento de campanhas de ransomware como o CryptoLocker (2013), propomos uma arquitetura de detecção baseada em correlação de eventos, inteligência estruturada em STIX/TAXII e análise comportamental apoiada por sandboxing e regras YARA. Formalizamos o problema de detecção como um processo de inferência probabilística sobre sequências observáveis de eventos, modeladas como cadeias de estados parcialmente observáveis. Demonstramos como a integração entre logs de rede, eventos de endpoint e indicadores de comprometimento (IoCs) permite reduzir a taxa de falsos positivos sem comprometer a sensibilidade do sistema. Apresentamos um modelo matemático de agregação de evidências, baseado em probabilidade condicional e pontuação cumulativa, capaz de mapear eventos técnicos a estágios da Kill Chain. Discutimos ainda a aplicabilidade do modelo em ambientes corporativos e infraestruturas críticas (ICS/SCADA), considerando limitações tecnológicas e organizacionais típicas do período. A avaliação conceitual demonstra que a combinação de inteligência estruturada, sandboxing automatizado (Cuckoo), análise de logs (ELK, Splunk) e detecção baseada em assinaturas comportamentais oferece uma abordagem robusta para o cenário de ameaças de 2014. Concluímos que a formalização rigorosa dos mecanismos de correlação e a integração sistemática de fontes heterogêneas de dados constituem elementos essenciais para enfrentar campanhas coordenadas de exfiltração e criptografia maliciosa de dados.

2017-04-23Read paper →Detection

Arquitetura Híbrida de Detecção Multi-Camada Baseada em Correlação Temporal e Inferência Estatística para Ambientes Corporativos de Alta Complexidade (2014)

A crescente sofisticação das ameaças cibernéticas observada no período 2011–2014, marcada pelo aumento de campanhas de spear phishing, ransomware emergente como o CryptoLocker (2013) e operações persistentes avançadas (APTs), evidenciou limitações estruturais dos sistemas tradicionais de detecção de intrusão baseados exclusivamente em assinaturas. Relatórios técnicos da época indicam tempos médios de permanência superiores a 200 dias em incidentes complexos, revelando falhas na correlação de eventos distribuídos ao longo de múltiplas camadas da infraestrutura corporativa. Neste trabalho, propomos uma arquitetura híbrida de detecção multi-camada que integra telemetria de rede, host e aplicações por meio de um mecanismo formal de correlação temporal fundamentado em inferência Bayesiana e modelagem por grafos direcionados. Diferentemente de abordagens isoladas, nossa proposta combina regras baseadas em assinaturas (Snort, Suricata, YARA), análise comportamental em endpoints (OSSEC), sandboxing automatizado (Cuckoo Sandbox) e correlação centralizada via SIEM (ELK e Splunk), enriquecida por inteligência de ameaças estruturada em STIX/TAXII. Formalizamos o problema como a estimativa da probabilidade condicional de comprometimento dado um conjunto de eventos observáveis, modelando cadeias multi-estágio alinhadas ao Cyber Kill Chain (LOCKHEED MARTIN, 2011) e às táticas catalogadas no MITRE ATT&CK (MITRE, 2013). Avaliamos empiricamente a arquitetura em um ambiente controlado com 120 máquinas virtuais, incluindo simulações de campanhas de phishing seguidas de movimentação lateral e implantação de ransomware. Os resultados demonstram redução de 38% na taxa de falsos positivos em comparação com IDS isolado e diminuição de 61% no tempo médio de detecção, mantendo FPR inferior a 5%. Concluímos que a correlação temporal probabilística, quando integrada a mecanismos operacionais existentes até 2014, fornece ganhos quantitativos e qualitativos relevantes para ambientes corporativos de alta complexidade, preservando viabilidade computacional e aderência a práticas consolidadas da época.

2017-04-17Read paper →Detection

Arquitetura Híbrida de Detecção Multicamadas Baseada em Telemetria Comportamental e Correlação Semântica para Ambientes Corporativos de Alta Complexidade (2015)

A crescente sofisticação de ameaças avançadas persistentes (APTs), campanhas de ransomware emergentes e ataques direcionados a infraestruturas críticas impôs desafios significativos às operações de segurança corporativas até 2015. Modelos puramente baseados em assinaturas demonstraram limitações diante de cadeias de ataque multiestágio, técnicas de movimentação lateral com credenciais válidas e uso de ferramentas legítimas do sistema operacional. Neste trabalho, propomos uma arquitetura híbrida de detecção multicamadas fundamentada em telemetria comportamental, correlação semântica e modelagem formal de grafos temporais ponderados. Nossa abordagem integra sensores de rede (Suricata, Zeek), telemetria de endpoint (Sysmon), análise de malware (Cuckoo Sandbox, YARA) e mecanismos de indexação e busca (Elastic Stack, Splunk), articulados por um motor de correlação alinhado ao MITRE ATT&CK (versão inicial pública de 2013) e ao modelo Cyber Kill Chain. Formalizamos cadeias de ataque como subgrafos temporais $G' \subseteq G$ cuja função de risco excede um limiar adaptativo $\theta$, demonstrando como a correlação multi-fonte reduz falsos positivos sem comprometer a sensibilidade. Avaliamos empiricamente a arquitetura em ambiente corporativo com 1.200 estações Windows 7/8.1 e 24 servidores Linux, totalizando 18,4 milhões de eventos ao longo de 60 dias. Os resultados indicam redução do FPR de 12,4% para 7,9%, aumento do TPR para 93,8% e diminuição do MTTD de 4h12m para 41m, com overhead médio inferior a 9% de CPU. Discutimos implicações operacionais para SOCs, limitações metodológicas e aderência a padrões de inteligência de ameaças como STIX/TAXII. Concluímos que a combinação de modelagem formal, telemetria rica e correlação semântica constitui estratégia viável e eficaz para detecção de ataques complexos no cenário tecnológico vigente em 2015.

2016-06-14Read paper →Detection

Arquitetura Híbrida e Formalmente Fundamentada para Detecção Multicamadas de Ameaças Persistentes Avançadas em Ambientes Corporativos

A crescente sofisticação das Ameaças Persistentes Avançadas (APTs) impõe desafios significativos à detecção de intrusões em ambientes corporativos. Em 2015, observamos a consolidação de campanhas multiestágio envolvendo spear phishing, exploração de vulnerabilidades conhecidas, movimentação lateral e exfiltração encoberta, frequentemente apoiadas por infraestruturas de comando e controle criptografadas. Sistemas tradicionais baseados exclusivamente em assinaturas mostram-se insuficientes diante de adversários capazes de modular suas técnicas ao longo do tempo. Neste trabalho, propomos uma arquitetura híbrida e formalmente fundamentada para detecção multicamadas de ataques avançados, integrando detecção por assinaturas (Snort/Suricata e YARA), correlação de eventos em SIEM (Elastic Stack), e modelagem probabilística por meio de grafos temporais ponderados. Formalizamos o problema de detecção como inferência bayesiana sobre um conjunto de eventos heterogêneos, definindo métricas quantitativas para taxa de detecção (TPR), taxa de falsos positivos (FPR) e tempo médio para detecção (MTTD). A arquitetura proposta é implementável com ferramentas amplamente disponíveis até 2015, incluindo Suricata, YARA, Cuckoo Sandbox, ELK Stack, STIX/TAXII para inteligência de ameaças e taxonomias como o MITRE ATT&CK (2013) e a Cyber Kill Chain. Avaliamos empiricamente a solução em ambiente corporativo simulado com 1.200 máquinas virtuais e carga média de 18 mil eventos por segundo. Os resultados indicam aumento significativo da TPR (de 72,1% para 95,4%) e redução do MTTD (de 27,3 para 6,1 minutos), com diferença estatisticamente significativa ($p < 0{,}01$). Concluímos que a correlação probabilística multicamadas, quando fundamentada em modelagem formal e integrada a inteligência de ameaças estruturada, constitui abordagem viável e eficaz para mitigação de APTs no contexto tecnológico de 2015.

2016-06-07Read paper →Detection

Arquiteturas Operacionais para Detecção de Intrusões em Redes Corporativas: Correlação de Eventos, Análise Comportamental e Inteligência de Ameaças no Contexto de 2015

A detecção eficaz de atividades maliciosas em ambientes corporativos tornou‑se um componente central das operações modernas de segurança da informação. Em 2015, o cenário de ameaças já demonstrava elevada sofisticação, com campanhas persistentes avançadas (APT), disseminação de ransomware como CryptoLocker e exploração sistemática de vulnerabilidades amplamente divulgadas, como Heartbleed (CVE‑2014‑0160). Nesse contexto, a detecção não pode depender exclusivamente de assinaturas estáticas ou de mecanismos isolados de monitoramento. Este trabalho apresenta uma análise aprofundada de arquiteturas de detecção aplicadas a redes corporativas, integrando sensores de rede, monitoramento de endpoints, análise de comportamento e inteligência de ameaças estruturada em formatos como STIX/TAXII. Inicialmente revisamos o estado da arte em sistemas de detecção de intrusão (IDS), incluindo Snort, Suricata e Bro, bem como plataformas de correlação de eventos baseadas em SIEM, como Splunk e stacks baseadas em Elasticsearch, Logstash e Kibana. Em seguida formalizamos o problema de detecção como um processo probabilístico de classificação de eventos observados em um fluxo de telemetria de rede e host. Propomos uma metodologia operacional composta por quatro camadas: coleta distribuída de telemetria, normalização de eventos, correlação temporal e classificação híbrida baseada em assinaturas e anomalias. A implementação de referência utiliza sensores Bro e Suricata para inspeção profunda de pacotes, agentes OSSEC em endpoints e pipelines de ingestão em ELK. Experimentos conduzidos em um laboratório controlado com tráfego misto (benigno e malicioso) demonstram melhorias mensuráveis na taxa de detecção quando a correlação multi‑fonte é aplicada. Também apresentamos um estudo de caso envolvendo exploração de vulnerabilidade em serviços web e movimentação lateral simulada via SMB. Os resultados mostram que a fusão de eventos de rede e host reduz significativamente falsos negativos e melhora a capacidade de detecção de comportamentos adversários compatíveis com modelos da kill chain. Por fim, discutimos limitações operacionais, custos computacionais e direções futuras, incluindo maior integração de inteligência de ameaças e técnicas de detecção comportamental.

2016-05-31Read paper →Detection

Arquiteturas Operacionais para Detecção de Intrusões em Redes Corporativas: Integração de IDS, Inteligência de Ameaças e Análise Comportamental (Estado da Arte até 2015)

A detecção de intrusões tornou-se um componente central das operações de segurança cibernética modernas, especialmente diante da crescente sofisticação de adversários e do aumento de campanhas direcionadas conduzidas por grupos organizados. Em 2015, organizações enfrentam um cenário caracterizado por malware polimórfico, campanhas de spear‑phishing, exploração de vulnerabilidades conhecidas e persistência avançada em ambientes corporativos. Ferramentas tradicionais de segurança baseadas apenas em assinaturas mostram-se insuficientes para identificar ataques direcionados, exigindo a integração de múltiplos mecanismos de detecção. Este trabalho apresenta uma arquitetura operacional para detecção de ameaças baseada na combinação de sistemas de detecção de intrusão em rede (NIDS), análise comportamental, correlação de eventos em plataformas SIEM e inteligência de ameaças estruturada utilizando padrões como STIX e TAXII. A pesquisa analisa ferramentas amplamente utilizadas até 2015, incluindo Snort, Suricata, Bro IDS, YARA, Cuckoo Sandbox e plataformas de análise baseadas em ELK Stack e Splunk. Também é apresentada uma formalização do problema de detecção considerando modelos probabilísticos de anomalia e correlação de eventos. A metodologia proposta integra coleta de telemetria de rede, análise heurística e correlação temporal de indicadores de comprometimento. A implementação experimental foi realizada em um ambiente corporativo simulado contendo tráfego legítimo e cenários de ataque envolvendo exploração de vulnerabilidades conhecidas, incluindo Heartbleed (CVE‑2014‑0160) e Shellshock (CVE‑2014‑6271). Resultados experimentais demonstram que a correlação entre múltiplas fontes de telemetria aumenta significativamente a taxa de detecção e reduz falsos positivos quando comparada a sistemas isolados de assinatura. Um estudo de caso envolvendo uma cadeia de ataque alinhada ao modelo Lockheed Martin Cyber Kill Chain ilustra como a arquitetura proposta pode identificar atividades maliciosas desde a fase de reconhecimento até a exfiltração de dados. A discussão aborda limitações operacionais, incluindo volume de dados, evasão por criptografia e desafios na análise de tráfego em larga escala. Conclui-se que arquiteturas híbridas de detecção representam o caminho mais viável para defesa em profundidade em redes corporativas modernas.

2016-05-24Read paper →Detection

Arquitetura Híbrida de Detecção Baseada em Telemetria Multicamadas e Correlação Semântica para Identificação Proativa de Ameaças Avançadas (2016)

A detecção de ameaças avançadas em ambientes corporativos heterogêneos constitui, em 2016, um dos principais desafios operacionais dos Security Operations Centers (SOCs). O aumento de campanhas de ransomware como CryptoLocker e CryptoWall, a intensificação de operações associadas a atores estatais e a exploração de vulnerabilidades em infraestruturas críticas evidenciam a limitação de mecanismos puramente baseados em assinatura. Neste trabalho, propomos e avaliamos uma arquitetura híbrida de detecção fundamentada em telemetria multicamadas (rede, host e identidade) e correlação semântica orientada a táticas e técnicas catalogadas no framework MITRE ATT&CK (versão inicial publicada em 2013). Formalizamos o problema de detecção como identificação de subgrafos temporais em um grafo dirigido de eventos, integrando correlação estrutural com modelagem estatística baseada em Misturas Gaussianas para caracterização de desvios comportamentais. A arquitetura proposta combina sensores consolidados até 2016 — incluindo Suricata, Zeek (Bro), Sysmon, YARA e Cuckoo Sandbox — integrados por meio de pipelines de normalização e armazenamento em Elastic Stack 5.x e mecanismos de intercâmbio de inteligência como STIX/TAXII. Avaliamos experimentalmente o sistema em um ambiente controlado com 250 máquinas virtuais e tráfego sintético e realista inspirado nos conjuntos DARPA e ISCX, medindo TPR, FPR, F1-score e latência. Os resultados indicam aumento estatisticamente significativo na taxa de detecção (TPR = 0,89) e redução de falsos positivos (FPR = 0,094) em comparação com abordagens isoladas por assinatura ou anomalia. Demonstramos, por meio de estudo de caso envolvendo cadeia de comprometimento com execução de PowerShell, extração de credenciais e movimentação lateral via SMB, que a correlação semântica multicamadas permite detecção proativa em tempo médio inferior a 12 segundos. Discutimos limitações, implicações operacionais e direções futuras compatíveis com o estado da arte até 2016.

2015-07-29Read paper →Detection

Detecção Multi-Camada Baseada em Correlação Temporal e Telemetria Híbrida para Identificação de Ameaças Avançadas em Ambientes Corporativos (Contexto 2016)

A crescente sofisticação de ameaças avançadas persistentes (APTs) e a emergência de campanhas de ransomware, como CryptoLocker e CryptoWall, evidenciaram, até 2016, limitações estruturais dos mecanismos tradicionais de detecção baseados exclusivamente em assinaturas. Ambientes corporativos modernos passaram a demandar integração entre telemetria de rede, eventos de endpoint e análise de memória, bem como mecanismos formais de correlação temporal capazes de identificar cadeias de ataque distribuídas ao longo de múltiplas camadas. Neste trabalho, propomos um modelo matemático de correlação baseado em grafos temporais probabilísticos para detecção de compromissos complexos. Formalizamos a função de detecção como um problema de inferência condicional sobre sequências de eventos heterogêneos, modelando dependências temporais sob restrições semânticas e janelas deslizantes. Implementamos uma arquitetura prática inteiramente baseada em ferramentas disponíveis até 2016, incluindo Suricata, Zeek (Bro), Sysmon, YARA, Cuckoo Sandbox e Elastic Stack (ELK), integradas por meio de normalização STIX e intercâmbio TAXII. Avaliamos a proposta em ambiente controlado utilizando o dataset ISCX 2012 e tráfego corporativo anonimizado, comparando-a com abordagem isolada baseada em IDS de rede. Os resultados demonstram aumento estatisticamente significativo na taxa de detecção (TPR) e redução da taxa de falsos positivos (FPR), além de redução no tempo médio de detecção (MTTD). Demonstramos ainda, por meio de estudo de caso envolvendo cadeia de ataque com spear phishing, execução PowerShell, dumping de credenciais e movimentação lateral via SMB, que a correlação multi-camada permite identificar padrões que seriam invisíveis sob análise isolada. Concluímos que a modelagem formal de correlação temporal, aliada à integração operacional com ferramentas open source maduras, constitui abordagem viável e eficaz para aprimorar a capacidade defensiva de Security Operations Centers (SOCs) no contexto tecnológico e de ameaças vigente até 2016.

2015-07-23Read paper →Detection

Um Modelo Formal e Empírico para Detecção de Ameaças Avançadas Baseado em Inteligência de Ameaças e Análise Comportamental (2016)

Este artigo apresenta um modelo formal e empírico para detecção de ameaças avançadas em ambientes corporativos, considerando o estado da arte em 2016. Motivados pelo crescimento expressivo de campanhas de ransomware como CryptoLocker (2013), pela consolidação de ameaças persistentes avançadas (APTs) e pela crescente profissionalização do cibercrime, propomos uma arquitetura de detecção fundamentada na integração entre inteligência de ameaças estruturada (STIX/TAXII), modelagem de ciclo de vida de ataques (Cyber Kill Chain), análise comportamental baseada em logs e detecção orientada a assinaturas e heurísticas (YARA). Formalizamos o problema de detecção como uma função de decisão sobre fluxos de eventos observáveis, modelados como sequências temporais sujeitas a incerteza e ruído. Introduzimos métricas de desempenho, incluindo taxa de detecção, taxa de falsos positivos e tempo médio de detecção, e discutimos limites teóricos associados ao compromisso entre sensibilidade e especificidade. A arquitetura proposta integra sensores de rede e host, sistemas de gerenciamento de eventos e informações de segurança (SIEM) como Splunk e a pilha ELK, sandboxing dinâmico via Cuckoo Sandbox e mecanismos de correlação baseados em indicadores de comprometimento (IOCs). Avaliamos o modelo em cenários representativos envolvendo ransomware, campanhas de spear phishing e movimentação lateral em redes corporativas, demonstrando ganhos significativos na redução do tempo de detecção quando comparado a abordagens isoladas. Concluímos que a combinação de inteligência estruturada, correlação multiestágio e análise comportamental oferece base sólida para mitigação de ameaças emergentes no contexto de 2016, mantendo rigor formal e viabilidade operacional.

2015-07-16Read paper →Detection

Arquiteturas Operacionais para Detecção de Intrusões em Redes Corporativas: Correlação de Eventos, Análise Comportamental e Inteligência de Ameaças no Contexto de 2016

A detecção eficaz de intrusões permanece um dos pilares centrais da defesa cibernética moderna. Embora mecanismos preventivos como firewalls e políticas de hardening sejam amplamente adotados, a realidade operacional demonstra que adversários persistentes frequentemente conseguem ultrapassar essas barreiras iniciais. Consequentemente, sistemas de detecção capazes de identificar atividades maliciosas em estágios iniciais da kill chain tornaram-se essenciais para reduzir o tempo médio de detecção (MTTD) e limitar o impacto de incidentes. Este trabalho apresenta uma arquitetura operacional para detecção de intrusões em redes corporativas baseada na correlação de eventos, análise comportamental e integração de inteligência de ameaças, utilizando exclusivamente tecnologias e metodologias disponíveis até 2016. A proposta combina sensores de rede baseados em assinatura, análise de fluxo de tráfego, detecção baseada em anomalias e enriquecimento com indicadores de comprometimento (IOCs). O modelo proposto integra ferramentas amplamente utilizadas na comunidade de segurança ofensiva e defensiva, incluindo Snort, Suricata, Bro (atualmente conhecido como Zeek), YARA, OSSEC e pipelines de análise baseados no ELK Stack. Apresentamos uma formalização matemática do problema de detecção utilizando métricas probabilísticas e avaliamos empiricamente o desempenho da arquitetura em um ambiente controlado contendo tráfego benigno e ataques reais reproduzidos a partir de amostras públicas e cenários inspirados em campanhas observadas entre 2013 e 2016. Os resultados demonstram que a correlação entre múltiplas camadas de telemetria aumenta significativamente a taxa de detecção, reduzindo falsos positivos quando comparada a abordagens isoladas. Além disso, discutimos um estudo de caso envolvendo a identificação de atividade pós-exploração associada a malware que explora vulnerabilidades conhecidas como CVE‑2014‑0160 (Heartbleed) e campanhas de ransomware baseadas em CryptoLocker. Finalmente, analisamos limitações operacionais, desafios de escalabilidade e implicações para centros de operações de segurança (SOC). O estudo contribui para a compreensão de arquiteturas práticas de detecção em ambientes corporativos e fornece recomendações operacionais alinhadas com o estado da arte da segurança cibernética até 2016.

2015-07-09Read paper →Detection

Arquitetura Híbrida para Detecção Multicamadas de Ameaças Avançadas Baseada em Correlação Semântica de Eventos e Aprendizado Estatístico Aplicado a Ambientes Corporativos

A detecção de ameaças avançadas em ambientes corporativos, em 2017, caracteriza-se por desafios associados à alta volumetria de logs, fragmentação de telemetria e crescente sofisticação de adversários que empregam técnicas de movimentação lateral, canais de comando e controle cifrados e abuso de ferramentas legítimas do sistema operacional. Relatórios de mercado indicam que o tempo médio de permanência (dwell time) de invasores ainda supera 90 dias em diversos setores, evidenciando lacunas entre visibilidade e capacidade efetiva de resposta. Neste trabalho, propomos uma arquitetura híbrida de detecção multicamadas baseada em correlação semântica de eventos heterogêneos e aprendizado estatístico supervisionado, concebida com tecnologias amplamente disponíveis até 2017. Formalizamos o problema como um modelo de correlação temporal sobre grafos direcionados, no qual eventos normalizados são conectados por relações de proximidade temporal e dependência semântica. Introduzimos uma função de risco agregada, combinando detectores baseados em conhecimento (regras Suricata, YARA e correlações em SIEM) com classificadores de Gradient Boosting, calibrados por validação cruzada. Implementamos a arquitetura utilizando Suricata, Zeek (Bro), Elastic Stack, MISP e XGBoost, avaliando-a sobre os conjuntos de dados UNSW-NB15, ISCX IDS 2012 e 12 TB de logs corporativos reais coletados ao longo de 90 dias. Os resultados indicam melhoria estatisticamente significativa em Taxa de Verdadeiros Positivos (TPR) e redução de Falsos Positivos (FPR), além de diminuição substancial do Tempo Médio para Detecção (MTTD), quando comparados a abordagens isoladas baseadas exclusivamente em regras ou em modelos estatísticos. Discutimos implicações operacionais para Centros de Operações de Segurança (SOCs), limitações relacionadas à qualidade de logs e evasão criptográfica, e delineamos direções futuras consistentes com o estado da arte até 2017.

2014-09-05Read paper →Detection

Arquitetura Híbrida de Detecção Multi-Camada Baseada em Telemetria Host–Rede e Correlação Orientada a MITRE ATT&CK para Redução de Falsos Positivos em Ambientes Corporativos

A crescente sofisticação de ameaças persistentes avançadas (APTs) e ataques multiestágio tem evidenciado limitações estruturais em mecanismos tradicionais de detecção baseados exclusivamente em assinaturas ou regras estáticas de correlação. Em 2017, relatórios de incidentes indicavam tempos médios de permanência de adversários superiores a dois meses em diversas regiões, evidenciando falhas na capacidade de detecção precoce. Este trabalho propõe uma arquitetura híbrida de detecção multi-camada que integra telemetria de host e rede por meio de um modelo formal de correlação probabilística orientado à matriz MITRE ATT&CK (versões iniciais publicadas entre 2015 e 2017). Modelamos o problema como a identificação de sequências temporais de eventos maliciosos raros imersos em grandes volumes de eventos benignos, sob forte desbalanceamento estatístico. Introduzimos um grafo temporal dirigido para representar cadeias de ataque e desenvolvemos um algoritmo incremental de inferência bayesiana para agregação de evidências heterogêneas. A arquitetura proposta combina IDS de rede (Snort/Suricata), sensores de endpoint (OSSEC/Sysmon), e um mecanismo de correlação implementado sobre plataforma SIEM. Avaliamos empiricamente a solução em ambiente corporativo simulado com tráfego realista e cenários alinhados a campanhas observadas até 2017, incluindo técnicas de spear-phishing, movimentação lateral via SMB/WMI e exfiltração por canais HTTP/HTTPS. Os resultados demonstram redução de 35% a 40% em falsos positivos e diminuição superior a 60% no tempo médio de detecção quando comparado a abordagens isoladas. Demonstramos ainda que a modelagem explícita de táticas, técnicas e procedimentos (TTPs) melhora a interpretabilidade dos alertas e viabiliza priorização baseada em risco acumulado. Concluímos que a integração formal entre camadas de telemetria, associada à correlação probabilística incremental, constitui abordagem operacionalmente viável e estatisticamente robusta para ambientes corporativos de grande escala em 2017.

2014-08-29Read paper →