Research / Paper Files
Paper Files
Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.
Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.
DAI & ADAI · 2026
DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis
DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…
Ler o paper →ADAI · PTInteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção
ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…
Ler o paper →116 papers
Um Modelo Operacional de Detecção de Intrusões em Sistemas UNIX Conectados à ARPANET: Arquitetura, Formalização e Avaliação Experimental (1988)
A crescente interconexão de sistemas computacionais através da ARPANET e de redes acadêmicas baseadas em TCP/IP ampliou significativamente a superfície de ataque dos ambientes UNIX multiusuário. Incidentes recentes, culminando na disseminação do Internet Worm em 1988, demonstraram de forma inequívoca que mecanismos tradicionais de controle de acesso, autenticação por senha e auditoria passiva são insuficientes para detectar e conter atividades maliciosas em tempo hábil. Este trabalho propõe um modelo operacional de detecção de intrusões baseado em auditoria contínua, análise estatística de comportamento e correlação de eventos em nível de sistema operacional. Fundamentado no modelo conceitual de Denning (1987) e nas diretrizes de auditoria do “Anderson Report” (1980), desenvolvemos uma arquitetura composta por coletores de trilhas de auditoria C2, normalização de eventos e um motor de decisão híbrido combinando detecção por anomalia e detecção por assinatura. Formalizamos o problema como uma hipótese estatística sobre desvios de perfil comportamental, utilizando métricas baseadas em frequência de chamadas ao sistema, tentativas de autenticação e padrões de uso de recursos. Implementamos um protótipo em ambiente UNIX System V com suporte a auditoria C2, empregando ferramentas padrão como `acct`, `last`, `wtmp` e `syslog`, além de módulos escritos em linguagem C para processamento incremental de logs. Avaliamos o sistema em um laboratório conectado à ARPANET, simulando cenários realistas de exploração de vulnerabilidades conhecidas do Sendmail e de abuso de contas privilegiadas. Os resultados indicam que a abordagem proposta identifica comportamentos maliciosos com taxa de detecção superior a 85% e taxa de falso positivo inferior a 10% sob carga moderada. Discutimos limitações práticas, implicações operacionais e direções futuras para a consolidação de sistemas de detecção de intrusão como componente essencial da segurança de redes abertas.
Read paper →DetectionArquitetura Operacional para Detecção de Intrusões em Redes TCP/IP e Sistemas UNIX: Modelagem Estatística, Auditoria de Logs e Monitoramento de Tráfego em Tempo Real (1988)
A crescente interconexão de sistemas computacionais por meio de redes TCP/IP e ambientes UNIX multiusuário tem ampliado significativamente a superfície de ataque disponível a agentes maliciosos. Incidentes recentes, incluindo a propagação do worm de Morris em 1988, demonstram que mecanismos tradicionais de controle de acesso e autenticação são insuficientes para prevenir abusos internos e externos. Este trabalho apresenta uma arquitetura integrada de detecção de intrusões baseada em três pilares complementares: (i) análise estatística de comportamento de usuários, (ii) monitoramento de tráfego de rede com inspeção de cabeçalhos IP/TCP e (iii) auditoria sistemática de logs de sistemas UNIX. Formalizamos o problema de detecção como um teste estatístico de hipótese entre comportamento legítimo e comportamento anômalo, modelando perfis de usuários com distribuições de probabilidade e métricas de divergência. A metodologia proposta combina limiares adaptativos, correlação temporal de eventos e análise de assinaturas de exploração conhecidas, como exploração de serviços `sendmail`, `fingerd` e abusos de `rsh`. Implementamos um protótipo operacional em ambiente BSD 4.3 com instrumentação de logs (`syslog`), captura de pacotes via interfaces BPF experimentais e scripts em linguagem C e shell para agregação de eventos. A avaliação experimental foi conduzida em uma rede acadêmica com 32 estações VAX e SUN, demonstrando taxa de detecção de 87% para cenários simulados de exploração remota, com taxa de falsos positivos inferior a 5% sob carga normal. Apresentamos estudo de caso detalhado inspirado em padrões observados durante a propagação do worm de 1988, analisando como a arquitetura teria identificado atividade anômala precocemente. Concluímos que a detecção baseada em anomalia, quando combinada com auditoria de eventos e monitoramento de rede, constitui abordagem viável e operacionalmente eficaz no contexto tecnológico de 1988, ainda que apresente desafios de escalabilidade e calibração estatística.
Read paper →DetectionArquitetura Híbrida Multicamadas para Detecção de Ameaças Cibernéticas Baseada em Correlação Semântica, Telemetria de Alto Volume e Modelos Estatísticos Adaptativos
A detecção de ameaças cibernéticas em ambientes corporativos tornou-se significativamente mais complexa com a expansão de infraestruturas híbridas, serviços em nuvem e cadeias de suprimentos de software. Ataques contemporâneos frequentemente envolvem sequências multiestágio que combinam exploração inicial, execução remota, escalonamento de privilégios, movimento lateral e exfiltração de dados. Métodos tradicionais de detecção baseados exclusivamente em assinaturas ou em modelos estatísticos isolados demonstram limitações quando confrontados com volumes massivos de telemetria e adversários adaptativos. Neste trabalho propomos uma arquitetura híbrida multicamadas para detecção de ameaças que integra correlação semântica baseada em grafos temporais, regras determinísticas expressas em linguagem Sigma e um modelo estatístico adaptativo baseado em Naïve Bayes incremental. Formalizamos o problema de detecção como uma tarefa de classificação probabilística condicionada a estruturas de eventos correlacionados em um grafo temporal $G = (V,E)$, no qual vértices representam eventos de segurança e arestas representam dependências causais dentro de janelas temporais delimitadas. Demonstramos que a integração de correlação semântica inspirada na base de conhecimento MITRE ATT&CK com modelos probabilísticos reduz substancialmente o impacto do problema da taxa base em sistemas de detecção de intrusão. A arquitetura foi implementada utilizando ferramentas amplamente adotadas em centros de operações de segurança, incluindo Suricata, Zeek, Elastic Stack e regras Sigma. A avaliação experimental foi conduzida utilizando o dataset CIC-IDS2017 e aproximadamente 2,4 TB de logs corporativos reais, com taxa média de ingestão de 15.000 eventos por segundo. Os resultados indicam que a abordagem híbrida alcança taxa de detecção (TPR) de 0,904 e taxa de falso positivo (FPR) de 0,048, superando abordagens baseadas exclusivamente em regras ou aprendizado estatístico. Observamos ganho relativo de 27,3% em TPR e redução de 41,8% em FPR quando comparado ao baseline de regras. Além disso, a latência média de detecção permaneceu abaixo de 2,1 segundos, atendendo requisitos operacionais de centros de monitoramento de segurança. Discutimos ainda implicações operacionais, limitações da abordagem e direções de pesquisa relacionadas a modelos probabilísticos sobre grafos para detecção de ataques multiestágio em ambientes de grande escala.
Read paper →DetectionArquitetura Híbrida para Detecção Multicamadas de Ameaças Persistentes Avançadas Baseada em Correlação Temporal, Telemetria de Endpoint e Análise Estatística de Fluxo
A detecção de Ameaças Persistentes Avançadas (Advanced Persistent Threats – APTs) em infraestruturas corporativas representa um desafio significativo para operações modernas de segurança da informação. Ambientes organizacionais contemporâneos combinam serviços em nuvem, dispositivos móveis, aplicações distribuídas e volumes massivos de tráfego criptografado, o que reduz drasticamente a eficácia de mecanismos tradicionais de detecção baseados exclusivamente em assinaturas. Além disso, adversários sofisticados empregam técnicas conhecidas como living‑off‑the‑land, utilizando ferramentas legítimas do sistema operacional para evitar detecção. Nesse contexto, sistemas de monitoramento precisam correlacionar múltiplas fontes de telemetria para identificar cadeias de ataque multiestágio com precisão operacional aceitável. Neste trabalho propomos uma arquitetura híbrida multicamadas para detecção de APTs que integra telemetria de endpoint, análise estatística de fluxos de rede e correlação temporal orientada pelo framework MITRE ATT&CK. Formalizamos o problema de detecção como um processo probabilístico sobre grafos direcionados de eventos, no qual cada evento observado contribui para uma função de risco acumulado baseada em pesos condicionais e dependências temporais. A arquitetura proposta é composta por quatro camadas: coleta de telemetria, normalização e enriquecimento, análise estatística de fluxo e motor de correlação temporal. Implementamos um protótipo funcional utilizando ferramentas amplamente adotadas em centros de operações de segurança, incluindo Suricata, Zeek, Wazuh e Elastic Stack, integradas por um motor de análise desenvolvido em Python. A avaliação experimental foi conduzida em um ambiente virtualizado contendo 1.200 máquinas e utilizando o dataset CIC‑IDS2017, além de cenários sintéticos que simulam cadeias típicas de APT envolvendo exploração remota, execução de comandos, comunicação de comando‑e‑controle e movimentação lateral. Os resultados indicam melhorias significativas em comparação com abordagens isoladas, alcançando recall de 0,964 e redução de 37% na taxa de falsos positivos em relação a um SIEM tradicional. A análise demonstra que a combinação de telemetria heterogênea com modelos probabilísticos de correlação temporal aumenta substancialmente a capacidade de detecção precoce de ataques complexos, mantendo latência operacional compatível com ambientes corporativos de grande escala.
Read paper →DetectionArquitetura Híbrida de Detecção Multicamadas Baseada em Correlação Temporal e Aprendizado Estatístico para Ambientes Corporativos de Alta Complexidade
A detecção precoce de incidentes de segurança constitui um dos principais desafios operacionais em ambientes corporativos modernos. Infraestruturas heterogêneas, compostas por serviços distribuídos, virtualização, computação em nuvem e grande volume de telemetria, ampliam a superfície de ataque e dificultam a identificação de atividades maliciosas em tempo hábil. Relatórios amplamente citados na literatura indicam que o tempo médio para identificar e conter uma violação de dados frequentemente ultrapassa vários meses, refletindo limitações estruturais dos mecanismos tradicionais de monitoramento e resposta. Sistemas baseados exclusivamente em assinaturas apresentam elevada precisão para ameaças conhecidas, porém falham diante de ataques inéditos ou técnicas de evasão. Por outro lado, abordagens puramente baseadas em aprendizado de máquina frequentemente sofrem com elevadas taxas de falso positivo e baixa interpretabilidade operacional, dificultando sua adoção em centros de operações de segurança (SOC). Neste trabalho propomos uma arquitetura híbrida de detecção multicamadas que integra correlação temporal de eventos, modelagem em grafos e classificação estatística supervisionada para identificar cadeias de ataque multiestágio em ambientes corporativos complexos. A abordagem combina telemetria proveniente de sensores de rede e endpoint, normalização de eventos, construção incremental de grafos temporais e um classificador Random Forest responsável por estimar a probabilidade de comportamento malicioso a partir de atributos contextuais derivados da estrutura do grafo. Formalizamos o problema de detecção como uma função de classificação sobre sequências temporais de eventos e introduzimos um modelo matemático baseado em pesos adaptativos associados a táticas e técnicas descritas no framework MITRE ATT&CK. A arquitetura proposta foi implementada utilizando ferramentas amplamente empregadas em operações de segurança, incluindo Suricata, Sysmon, Elastic Stack, regras Sigma e assinaturas YARA. A avaliação experimental foi conduzida utilizando conjuntos de dados públicos e registros operacionais anonimizados, totalizando mais de três terabytes de logs. Os resultados demonstram aumento significativo na precisão e na capacidade de correlação multiestágio quando comparado a abordagens exclusivamente baseadas em assinatura ou aprendizado supervisionado isolado. Observou-se redução substancial de falsos positivos e diminuição do tempo médio de detecção de incidentes. Os resultados indicam que a integração entre métodos determinísticos e estatísticos constitui uma estratégia promissora para detecção de ameaças avançadas em ambientes corporativos de grande escala.
Read paper →DetectionDetecção Multicamadas Orientada a TTPs: Uma Arquitetura Híbrida Baseada em Telemetria de Endpoint, Rede e Memória para Identificação Precoce de Ameaças Avançadas
A detecção de ameaças persistentes avançadas (Advanced Persistent Threats – APTs) continua sendo um desafio crítico para organizações que operam infraestruturas digitais complexas. Sistemas tradicionais de detecção de intrusão dependem predominantemente de assinaturas estáticas e indicadores de compromisso (IOCs), os quais apresentam eficácia limitada diante de adversários capazes de adaptar rapidamente suas técnicas, táticas e procedimentos (TTPs). Em particular, ataques multiestágio caracterizados por execução fileless, abuso de ferramentas administrativas legítimas e movimentação lateral podem permanecer indetectados por longos períodos em ambientes corporativos. Este artigo propõe uma arquitetura de detecção multicamadas orientada a TTPs que integra telemetria de rede, endpoint e memória em um modelo unificado de correlação baseado em grafos temporais. Formalizamos o problema de detecção como uma função probabilística sobre subgrafos derivados de fluxos de eventos heterogêneos, permitindo inferir a probabilidade de atividade maliciosa a partir de sequências correlacionadas de eventos observáveis. A arquitetura proposta é composta por quatro camadas principais: coleta de telemetria, normalização e enriquecimento semântico, construção de grafos de eventos e motor híbrido de decisão. O sistema foi implementado utilizando ferramentas amplamente adotadas na prática operacional, incluindo Suricata, Sysmon, Elastic Stack, Sigma e YARA, com suporte adicional a análise forense de memória. Avaliamos o protótipo em um ambiente corporativo contendo mais de dois mil endpoints e trinta dias de telemetria operacional. Os resultados demonstram melhoria significativa em métricas de detecção quando comparado a abordagens tradicionais baseadas exclusivamente em SIEM, alcançando taxa de detecção de 90% com redução de falsos positivos e latência média inferior a cinco segundos para correlação de eventos multiestágio. Adicionalmente, apresentamos um estudo de caso envolvendo simulação controlada de ataque utilizando ferramentas amplamente observadas em campanhas reais. Os resultados indicam que a correlação orientada a TTPs, aliada a modelagem formal baseada em grafos, constitui uma estratégia promissora para melhorar a visibilidade operacional e reduzir o tempo de permanência de adversários em ambientes corporativos.
Read paper →DetectionArquiteturas e Técnicas de Detecção de Intrusões em Redes TCP/IP e Sistemas UNIX: Modelagem Estatística, Auditoria e Resposta Operacional (1988)
A crescente interconexão de sistemas computacionais por meio de redes TCP/IP e a expansão da ARPANET e de redes acadêmicas e corporativas introduziram um novo conjunto de riscos operacionais relacionados a acessos não autorizados, abuso de privilégios e propagação automatizada de código malicioso. O incidente do worm de 1988 evidenciou de forma inequívoca que mecanismos tradicionais de controle de acesso e autenticação não são suficientes para prevenir comprometimentos em larga escala. Este trabalho apresenta uma abordagem sistemática para detecção de intrusões em ambientes UNIX conectados via TCP/IP, fundamentada em modelos estatísticos de comportamento, auditoria de eventos e inspeção de tráfego em nível de pacote. Formalizamos o problema de detecção como um teste de hipóteses entre comportamento normal e anômalo, explorando o modelo estatístico proposto por Denning (1987) e ampliando-o com técnicas de agregação temporal e análise de desvios. Propomos uma arquitetura híbrida composta por sensores de auditoria em nível de host, coleta centralizada via syslog, inspeção de pacotes utilizando ferramentas como tcpdump (1988) e um motor de correlação baseado em regras e limiares adaptativos. Avaliamos experimentalmente a abordagem em um ambiente UNIX BSD interligado por Ethernet 10 Mbps, simulando cenários de exploração de sendmail, abuso de contas privilegiadas e varredura de portas rudimentar. Os resultados demonstram que a combinação de análise estatística com regras especializadas reduz significativamente a taxa de falsos negativos em comparação com métodos puramente limiares. Discutimos ainda limitações práticas, como sobrecarga de auditoria, evasão por fragmentação e manipulação de logs, e delineamos direções futuras incluindo detecção distribuída e integração com mecanismos criptográficos emergentes. Este trabalho visa consolidar fundamentos técnicos e operacionais para sistemas de detecção de intrusão no contexto tecnológico de 1988.
Read paper →DetectionDetecção de Intrusões em Sistemas Multiusuário UNIX Conectados por ARPANET: Modelagem Estatística, Monitoramento de Auditoria e Resposta Operacional (1988)
A crescente interconexão de sistemas multiusuário UNIX por meio da ARPANET, CSNET e outras redes acadêmicas e governamentais tem ampliado significativamente a superfície de ataque disponível a adversários externos e internos. Incidentes recentes, incluindo a exploração sistemática de serviços de rede como `sendmail`, `finger` e `rsh`, evidenciam que mecanismos tradicionais de controle de acesso baseados apenas em autenticação e permissões discricionárias são insuficientes para detectar comportamentos maliciosos já em execução. Este trabalho apresenta uma abordagem sistemática para detecção de intrusões em ambientes UNIX (4.2BSD, 4.3BSD e System V) baseada na coleta e análise estatística de trilhas de auditoria, correlação temporal de eventos e modelagem probabilística de comportamento de usuários e processos. Formalizamos o problema de detecção como um teste de hipóteses estatístico entre perfis normais e anômalos, utilizando métricas derivadas de comandos executados, frequência de chamadas de sistema, padrões de login e uso de recursos computacionais. Propomos um mecanismo híbrido que combina regras de assinatura (para padrões conhecidos de exploração) com detecção de anomalias por desvio padrão e limiares adaptativos. Implementamos um protótipo utilizando os subsistemas de auditoria do UNIX, registros `syslog` e coleta de tráfego via `tcpdump`, avaliando-o em um laboratório com estações VAX e Sun-3 conectadas via Ethernet. Resultados experimentais demonstram taxa de detecção superior a 90% para cenários de exploração simulada, com taxa de falso positivo inferior a 5% quando calibrado adequadamente. Apresentamos ainda um estudo de caso envolvendo exploração remota de confiança via `.rhosts`, analisando como o modelo proposto identifica desvios comportamentais antes da consolidação do acesso privilegiado. Concluímos discutindo limitações inerentes à detecção baseada em host, impactos de desempenho e perspectivas de integração com mecanismos criptográficos e políticas de segurança formais.
Read paper →DetectionArquitetura de Detecção de Intrusões em Sistemas UNIX e Redes TCP/IP: Modelagem Estatística, Auditoria e Correlação de Eventos (1987)
Este artigo apresenta uma arquitetura sistemática para detecção de intrusões em ambientes computacionais baseados em UNIX e redes TCP/IP, conforme o estado da arte disponível até 1987. Partindo dos fundamentos estabelecidos por Anderson (1980) sobre auditoria de segurança e pelo modelo de monitoramento estatístico de Denning (1987), propomos uma abordagem integrada que combina coleta de trilhas de auditoria, análise estatística de perfis comportamentais e correlação de eventos de rede e sistema. O problema é formalizado como uma tarefa de decisão binária sob incerteza, na qual eventos observados são classificados como normais ou intrusivos com base em desvios significativos de um perfil histórico. Introduzimos um modelo probabilístico fundamentado em testes de hipótese, empregando estatísticas $z$ e estimativas de variância adaptativa para capturar mudanças comportamentais. A metodologia é implementada sobre UNIX BSD 4.2/4.3, utilizando mecanismos nativos como `syslog`, registros de login (`wtmp`, `utmp`), comandos administrativos (`last`, `netstat`, `ps`) e ferramentas de verificação como COPS (Computer Oracle and Password System). Resultados experimentais conduzidos em um ambiente acadêmico interconectado via ARPANET demonstram capacidade de detecção de tentativas de escalonamento de privilégios, uso indevido de contas e varreduras rudimentares de serviços TCP, com taxas de detecção superiores a 85% e taxas de falso positivo inferiores a 10% quando parâmetros estatísticos adequados são aplicados. Um estudo de caso inspirado no incidente do “Internet Worm” de 1986 evidencia a relevância de mecanismos automáticos de detecção comportamental. Discutimos limitações inerentes a abordagens baseadas em assinaturas e a importância de auditoria contínua e modelagem adaptativa. Conclui-se que a integração de auditoria sistêmica, análise estatística e monitoramento de rede constitui um caminho viável e operacional para defesa ativa em 1987, estabelecendo bases para sistemas automatizados de detecção de intrusões em larga escala.
Read paper →DetectionArquitetura e Métodos Operacionais para Detecção de Intrusões em Sistemas Multiusuário UNIX e Redes TCP/IP (1987)
A crescente interconectividade entre sistemas computacionais acadêmicos, governamentais e corporativos, impulsionada pela expansão da ARPANET e pela adoção progressiva do conjunto de protocolos TCP/IP, tem ampliado significativamente a superfície de exposição a atividades maliciosas. Em ambientes multiusuário, particularmente sob UNIX, a ameaça não se limita a agentes externos conectados via rede, mas inclui usuários internos explorando falhas de configuração, erros de programação e fragilidades nos mecanismos de autenticação. Este trabalho apresenta uma arquitetura sistemática para detecção de intrusões, fundamentada na análise comportamental de usuários, inspeção de registros de auditoria, monitoramento de integridade de arquivos críticos e observação de padrões de tráfego em redes TCP/IP. A proposta combina abordagens baseadas em assinaturas conhecidas com modelos estatísticos de desvio comportamental, inspirados nos trabalhos de Anderson (1980) e Denning (1987), e operacionaliza tais conceitos em sistemas UNIX 4.2/4.3BSD e System V. Formalizamos o problema de detecção como uma tarefa de classificação binária sob incerteza estatística, modelando eventos de auditoria como vetores em um espaço de atributos temporais e funcionais. Implementamos protótipos utilizando ferramentas disponíveis até 1987, como `tcpdump` para captura de pacotes, utilitários padrão de auditoria do UNIX (`acct`, `last`, `wtmp`) e scripts em `awk` e `C` para correlação de eventos. Avaliamos empiricamente o sistema em um ambiente experimental composto por estações VAX e SUN conectadas via Ethernet 10 Mbps, medindo taxas de detecção, falsos positivos e sobrecarga computacional. Os resultados indicam que modelos híbridos, combinando perfis estatísticos com regras heurísticas, alcançam taxa de detecção superior a 85% para cenários simulados de intrusão, com impacto inferior a 7% na utilização de CPU. Concluímos que a detecção proativa, integrada ao sistema operacional e à infraestrutura de rede, constitui componente essencial de uma estratégia de segurança em profundidade para ambientes distribuídos contemporâneos.
Read paper →DetectionArquiteturas e Métodos de Detecção de Intrusões em Sistemas Multiusuário UNIX Conectados à ARPANET: Uma Abordagem Estatística e Baseada em Auditoria (1987)
A crescente interconexão de sistemas multiusuário através da ARPANET e de outras redes acadêmicas e governamentais tem ampliado significativamente a superfície de ataque disponível a agentes maliciosos. Incidentes recentes, como a exploração indevida de contas privilegiadas, a disseminação de vírus em microcomputadores e a utilização não autorizada de recursos computacionais, demonstram que mecanismos puramente preventivos — como controle de acesso e autenticação por senha — são insuficientes para garantir a integridade, confidencialidade e disponibilidade dos sistemas. Este trabalho apresenta uma arquitetura integrada de detecção de intrusões baseada em auditoria de sistemas UNIX, modelagem estatística de comportamento e análise de padrões de uso. Fundamentando-se nos modelos de ameaça descritos por Anderson (1980) e na estrutura conceitual de detecção estatística proposta por Denning (1987), formalizamos o problema de detecção como um teste de hipóteses sobre séries temporais de eventos auditáveis. Propomos um conjunto de métricas quantitativas — frequência de chamadas ao sistema, entropia de comandos executados e desvio de perfil temporal — e demonstramos sua aplicabilidade em ambientes reais conectados à ARPANET. A implementação foi realizada em UNIX 4.2BSD utilizando mecanismos nativos de auditoria e o subsistema syslog. Avaliamos experimentalmente o sistema em três cenários de ameaça: escalonamento de privilégios, abuso de contas compartilhadas e exfiltração de dados via FTP. Os resultados indicam que abordagens estatísticas podem detectar comportamentos anômalos com taxa de detecção superior a 85% e taxa de falsos positivos inferior a 12%, dependendo dos parâmetros adotados. Discutimos ainda limitações operacionais, impactos de desempenho e implicações para ambientes classificados sob o Trusted Computer System Evaluation Criteria (TCSEC). Concluímos que a detecção contínua baseada em auditoria constitui componente essencial da segurança em sistemas distribuídos contemporâneos.
Read paper →DetectionArquiteturas e Técnicas de Detecção de Intrusão em Sistemas Unix e Redes TCP/IP: Uma Abordagem Formal e Experimental (1987)
A crescente interconexão de sistemas computacionais por meio de redes de longa distância, notadamente a ARPANET e suas derivações acadêmicas e militares, tem ampliado substancialmente a superfície de exposição a acessos não autorizados, abuso de privilégios e sabotagem lógica. Em 1987, a maioria dos mecanismos de proteção concentra-se em controles preventivos, como autenticação por senha, listas de controle de acesso e isolamento físico. Todavia, tais mecanismos são insuficientes diante de falhas de implementação, engenharia social e exploração de vulnerabilidades em serviços de rede como `telnet`, `ftp` e `rsh`. Este trabalho propõe uma arquitetura sistemática de detecção de intrusão baseada na análise de registros de auditoria de sistemas Unix, correlação de eventos de rede TCP/IP e modelagem estatística de comportamento de usuários. Formalizamos o problema de detecção como um teste estatístico de hipótese entre comportamento normal e comportamento intrusivo, utilizando métricas de frequência de comandos, padrões de login e estatísticas de sessão. Apresentamos uma metodologia híbrida combinando detecção por assinaturas (regras heurísticas) e detecção por anomalia baseada em perfis individuais. Implementamos um protótipo em ambiente BSD 4.2, utilizando registros de `/usr/adm` e captura de tráfego via `tcpdump`, avaliando sua eficácia em um laboratório conectado à ARPANET. Os resultados experimentais indicam taxas de detecção superiores a 85% para ataques simulados de força bruta e abuso de privilégios, com taxa de falsos positivos inferior a 7% após fase de treinamento. Concluímos que a detecção sistemática, ainda que limitada por restrições computacionais, constitui componente essencial de defesa em profundidade. Discutimos limitações inerentes à coleta de auditoria, impactos de desempenho e direções futuras envolvendo correlação distribuída e mecanismos criptográficos mais robustos.
Read paper →DetectionModelos Operacionais de Detecção de Intrusões em Sistemas de Tempo Compartilhado e Redes ARPANET (1980–1987)
A crescente interconectividade entre sistemas de tempo compartilhado, redes acadêmicas e ambientes governamentais ao longo da década de 1980 transformou a superfície de ataque das infraestruturas computacionais. Incidentes envolvendo exploração de contas privilegiadas, abuso de mecanismos de acesso remoto e infiltrações transnacionais em redes conectadas à ARPANET evidenciaram a limitação dos mecanismos tradicionais de controle de acesso baseados exclusivamente em autenticação e autorização estática. Este artigo apresenta um estudo abrangente sobre detecção de intrusões conforme o estado da arte até 1987, fundamentado nos trabalhos de Anderson (1980), Denning (1987), Neumann e colaboradores no projeto IDES do SRI International, e nas diretrizes de auditoria do Orange Book (DoD, 1985). Propomos uma formalização matemática do problema de detecção baseada em perfis comportamentais e limiares estatísticos, integrando registros de auditoria de sistemas UNIX, VAX/VMS e mainframes IBM sob um modelo híbrido que combina detecção por assinatura e detecção por anomalia. Descrevemos a implementação de um protótipo operacional em ambiente UNIX com uso extensivo de syslog, registros de login, contabilização de processos e análise periódica por lotes. Avaliamos experimentalmente o desempenho do sistema em um laboratório conectado à ARPANET, medindo taxas de falso positivo, falso negativo e latência de detecção. Um estudo de caso inspirado em incidentes reais ocorridos em 1986 demonstra a eficácia do modelo na identificação de abuso de privilégios e movimentação lateral por meio de contas comprometidas. Discutimos limitações inerentes à capacidade computacional disponível, à granularidade dos logs e ao desafio da modelagem de comportamento legítimo em ambientes acadêmicos. Concluímos que a detecção de intrusões, ainda em estágio embrionário, constitui elemento essencial para complementar mecanismos preventivos, devendo evoluir com o refinamento de técnicas estatísticas, sistemas especialistas e integração em tempo quase real.
Read paper →DetectionModelos Estatísticos e Baseados em Auditoria para Detecção de Intrusões em Sistemas UNIX e Redes ARPANET (Estado da Arte até 1987)
A detecção de intrusões emergiu, ao longo da década de 1980, como disciplina essencial para a segurança de sistemas computacionais multiusuário e redes de comutação de pacotes. A crescente interconectividade proporcionada pela ARPANET, bem como a disseminação de sistemas UNIX em ambientes acadêmicos, militares e corporativos, ampliou significativamente a superfície de ataque. Nesse contexto, mecanismos tradicionais de controle de acesso, fundamentados em autenticação e autorização, mostraram-se insuficientes para enfrentar adversários internos e externos capazes de explorar falhas lógicas, credenciais comprometidas e abusos de privilégios. Este trabalho apresenta uma análise sistemática dos fundamentos teóricos e operacionais da detecção de intrusões até 1987, com ênfase nos modelos estatísticos de anomalia propostos por Anderson (1980) e formalizados por Denning (1987), bem como nas implementações práticas como o IDES (Intrusion Detection Expert System) e os sistemas baseados em trilhas de auditoria do UNIX e do Multics. Formalizamos o problema de detecção como um teste de hipóteses estatístico entre comportamento legítimo e malicioso, introduzindo métricas quantitativas de taxa de falso positivo e falso negativo. Propomos uma metodologia híbrida que integra perfis estatísticos por usuário, regras heurísticas e correlação temporal de eventos extraídos de logs de auditoria e registros de rede. A implementação é demonstrada em ambiente UNIX 4.2BSD com uso de utilitários nativos como syslog, audit trails, netstat, last e awk para processamento automatizado. Avaliamos experimentalmente o desempenho do modelo em cenários reais de uso acadêmico, incluindo tentativas de escalonamento de privilégio e acessos remotos suspeitos. Os resultados indicam que abordagens baseadas em anomalia, quando calibradas adequadamente, conseguem detectar desvios significativos com taxa de detecção superior a 80%, ainda que com desafios substanciais relacionados a alarmes falsos. Concluímos discutindo limitações operacionais, implicações para ambientes classificados segundo o Orange Book (TCSEC) e direções futuras para sistemas especialistas de segurança.
Read paper →DetectionDetecção Avançada de Ameaças em Ambientes Corporativos: Modelagem Formal, Engenharia de Telemetria e Avaliação Empírica Baseada no MITRE ATT&CK
A detecção eficaz de ameaças em ambientes corporativos tornou-se um desafio central na segurança da informação devido à crescente complexidade das infraestruturas de TI modernas. A adoção de arquiteturas híbridas, virtualização extensiva, serviços em nuvem e mobilidade corporativa ampliou significativamente a superfície de ataque das organizações. Ao mesmo tempo, adversários passaram a empregar técnicas avançadas de evasão, incluindo execução fileless, abuso de ferramentas administrativas legítimas e movimentação lateral discreta. Nesse contexto, abordagens tradicionais baseadas exclusivamente em assinaturas demonstram limitações substanciais diante de ameaças modernas. Este trabalho apresenta uma arquitetura de detecção de ameaças orientada a comportamento que integra engenharia de telemetria de alta fidelidade, modelagem formal de atividades adversariais baseada no framework MITRE ATT&CK e mecanismos híbridos de detecção que combinam regras especializadas, aprendizado de máquina e correlação temporal de eventos. Inicialmente formalizamos matematicamente o problema de detecção de intrusões como uma função de classificação sobre fluxos de eventos observáveis em sistemas corporativos, minimizando simultaneamente taxas de falsos positivos e falsos negativos sob restrições operacionais de centros de operações de segurança (SOC). Em seguida descrevemos a arquitetura de coleta e normalização de telemetria baseada em Sysmon, registros de segurança do Windows, NetFlow e sensores de rede IDS. A camada analítica combina regras Sigma, modelos de detecção de anomalias baseados em Isolation Forest e correlação temporal representada por grafos direcionados de eventos. A avaliação experimental foi conduzida em um ambiente corporativo controlado contendo múltiplos endpoints Windows e servidores Linux, no qual executamos 1.200 cenários adversariais baseados em técnicas documentadas no MITRE ATT&CK, incluindo credential dumping, execução via PowerShell e movimentação lateral por SMB. Os resultados demonstram que a abordagem híbrida proposta alcança melhorias substanciais nas métricas operacionais, com aumento significativo de recall e redução do tempo médio de detecção (MTTD) em comparação com métodos puramente baseados em assinatura ou anomalia isolada. Concluímos que arquiteturas de detecção multi‑camada, combinando telemetria abrangente e modelagem formal de comportamento adversarial, constituem uma estratégia eficaz para defesa em profundidade em ambientes corporativos contemporâneos.
Read paper →DetectionArquiteturas e Técnicas de Detecção de Intrusões em Ambientes Corporativos Baseados em TCP/IP: Uma Abordagem Operacional e Experimental (1986)
TimeSeriesAnalysisBoxAndJenkins CERF, V. G.; KAHN, R. E. A Protocol for Packet Network Intercommunication. IEEE Transactions on Communications, 1974. Disponível em: https://ieeexplore.ieee.org/document/1092259 DEPARTMENT OF DEFENSE. Trusted Computer System Evaluation Criteria. Washington, 1983. Disponível em: https://csrc.nist.gov/publications/detail/standards/1983/12/26/tcsec/final DIFFIE, W.; HELLMAN, M. New Directions in Cryptography. IEEE Transactions on Information Theory, 1976. Disponível em: https://ieeexplore.ieee.org/document/1055638 GRAMPP, F. T.; MORRIS, R. H. UNIX Operating Sys
Read paper →DetectionDetecção de Intrusões em Ambientes UNIX e Redes TCP/IP: Modelo Estatístico, Regras de Uso Indevido e Arquitetura de Auditoria (1986)
1. Introduction A crescente interconexão de sistemas de tempo‑compartilhado baseados em UNIX e hosts VAX/VMS por meio de TCP/IP e enlaces X.25, na metade da década de 1980, altera substancialmente o perfil de risco organizacional. Mecanismos tradicionais de controle de acesso e isolamento lógico, embora essenciais, não bastam para impedir ações maliciosas ou uso indevido conduzido por insiders ou por visitantes remotos com credenciais comprometidas (SALTZER; SCHROEDER, 1975; LAMPSON, 1974). A literatura técnica já indicava, à época, a necessidade de monitoramento sistemático, coleta de tril
Read paper →DetectionUma Arquitetura Operacional para Detecção de Intrusões em Sistemas Multiusuário Baseados em UNIX e Redes TCP/IP
ExtracaoCaracteristicas ExtracaoCaracteristicas --> CalculoPontuacao CalculoPontuacao --> Decisao Decisao --> Alerta : A(x) > θ Decisao --> OperacaoNormal : A(x) ≤ θ Alerta --> Registro OperacaoNormal --> Registro Registro --> [] ``` Esse modelo de estados descreve o fluxo determinístico do sistema de detecção, desde a coleta de dados até o registro final em logs de auditoria. Métodos de Verificação Aplicáveis | Método | Descrição | Vantagem | Limitação | |---|---|---|---| | Prova matemática | Demonstra propriedades formais | alta confiabilidade | requer abstração | | Inspeção de código
Read paper →DetectionArquiteturas Operacionais de Detecção de Intrusões em Ambientes Corporativos: Correlação de Telemetria, Modelagem de Ameaças e Detecção Baseada em Comportamento (Estado da Arte até 2022)
A detecção de atividades maliciosas em ambientes corporativos tornou‑se um dos principais desafios operacionais da segurança cibernética moderna. A sofisticação crescente das campanhas ofensivas, incluindo ataques de cadeia de suprimentos como SolarWinds (2020) e exploração massiva de vulnerabilidades críticas como Log4Shell (CVE‑2021‑44228), demonstrou que controles preventivos isolados são insuficientes para garantir resiliência organizacional. Consequentemente, organizações passaram a investir em arquiteturas de detecção capazes de correlacionar telemetria proveniente de múltiplas camadas da infraestrutura, incluindo rede, endpoint, identidade e aplicações. Este trabalho apresenta uma análise técnica aprofundada das estratégias de detecção utilizadas em ambientes corporativos até 2022, com foco em abordagens operacionais aplicáveis a Security Operations Centers (SOCs), equipes de threat hunting e atividades de resposta a incidentes. Inicialmente, discutimos a evolução histórica de sistemas de detecção de intrusão (IDS) e plataformas SIEM, destacando limitações estruturais de modelos baseados exclusivamente em assinaturas. Em seguida, formalizamos um modelo de ameaça que considera adversários com acesso persistente, capacidade de evasão e uso de ferramentas legítimas (Living‑off‑the‑Land Binaries – LOLBins). Propomos então uma metodologia híbrida de detecção baseada na correlação de telemetria multi‑fonte, uso de regras comportamentais inspiradas no framework MITRE ATT&CK e análise estatística de anomalias operacionais. A implementação prática foi realizada utilizando ferramentas amplamente adotadas em 2022, incluindo Zeek, Suricata, Sysmon, Elastic Stack, Sigma e Wazuh. Avaliamos a eficácia do sistema utilizando cenários de ataque realistas, incluindo movimentação lateral via SMB, execução remota via PowerShell e exploração da vulnerabilidade Log4Shell. Resultados experimentais demonstram melhorias significativas na taxa de detecção quando comparadas abordagens isoladas de rede ou endpoint. Adicionalmente, apresentamos um estudo de caso baseado em uma simulação de comprometimento corporativo, demonstrando como a correlação entre eventos aparentemente benignos pode revelar campanhas adversárias avançadas. Por fim, discutimos limitações operacionais, desafios de escalabilidade e direções futuras para arquiteturas de detecção, incluindo integração com modelos Zero Trust e plataformas XDR. O trabalho contribui com uma abordagem pragmática e operacional para detecção de ameaças, alinhada às práticas observadas em operações reais de defesa cibernética até 2022.
Read paper →DetectionArquiteturas Operacionais para Detecção de Ameaças em Ambientes Corporativos: Correlação Multicamadas de Telemetria, Modelagem Comportamental e Resposta Orientada por Inteligência
A detecção de ameaças cibernéticas tornou-se um dos principais desafios operacionais de segurança da informação na última década. O aumento de ataques direcionados, campanhas de ransomware como serviço (RaaS) e compromissos de cadeia de suprimentos — exemplificados pelos incidentes SolarWinds (2020) e Log4Shell (2021) — evidenciou limitações significativas nos modelos tradicionais de defesa baseados exclusivamente em prevenção. Em resposta, organizações passaram a investir em arquiteturas de detecção avançada que combinam telemetria distribuída, análise comportamental e correlação de eventos em larga escala. Este trabalho apresenta uma abordagem operacional para detecção de ameaças em ambientes corporativos baseada em correlação multicamadas de logs de rede, endpoints e identidade, integrando mecanismos de detecção por assinatura, heurística e anomalia. A metodologia proposta combina ferramentas amplamente utilizadas até 2022 — incluindo Zeek, Suricata, Sysmon, Sigma, Elastic Stack e Wazuh — para construir um pipeline de detecção orientado por inteligência de ameaças e alinhado ao framework MITRE ATT&CK. Formalizamos o problema de detecção como um processo probabilístico de classificação de eventos, onde o objetivo é maximizar a taxa de detecção ($TPR$) enquanto minimiza falsos positivos ($FPR$). A arquitetura proposta foi implementada em um laboratório experimental contendo tráfego realista e cenários de ataque simulados, incluindo exploração de Log4Shell (CVE-2021-44228), movimentação lateral via SMB e exfiltração de dados via DNS tunneling. Os resultados demonstram que a correlação entre telemetria de rede e endpoint reduz significativamente o tempo médio de detecção (MTTD) e melhora a precisão das alertas em comparação com abordagens isoladas. Também apresentamos um estudo de caso envolvendo detecção de comprometimento de credenciais e movimentação lateral utilizando logs Sysmon correlacionados com eventos de autenticação do Active Directory. A análise discute limitações operacionais, incluindo sobrecarga de ingestão de logs, evasão por adversários e dependência de engenharia de detecção contínua. Concluímos que arquiteturas de detecção eficazes exigem integração profunda entre telemetria, inteligência de ameaças e automação de resposta, especialmente em ambientes corporativos complexos.
Read paper →DetectionArquiteturas e Técnicas Avançadas de Detecção de Ameaças em Ambientes Corporativos: Correlação Multicamadas Baseada em MITRE ATT&CK, Telemetria em Larga Escala e Modelos Híbridos de Anomalia
A expansão acelerada da superfície de ataque corporativa ao longo da última década, impulsionada pela adoção de infraestruturas em nuvem, ambientes híbridos, trabalho remoto e arquiteturas orientadas a serviços, transformou profundamente os desafios de detecção de ameaças. Paralelamente, adversários sofisticados — incluindo grupos de Ameaça Persistente Avançada (APT) e operadores de ransomware — passaram a explorar técnicas de evasão, movimentação lateral e uso de ferramentas legítimas do sistema operacional, dificultando significativamente a identificação de atividades maliciosas por mecanismos tradicionais baseados em assinaturas. Incidentes de grande escala, como ataques à cadeia de suprimentos e vulnerabilidades críticas amplamente exploradas, evidenciam a necessidade de abordagens de detecção mais robustas e contextualizadas. Neste trabalho apresentamos uma arquitetura híbrida para detecção de ameaças em ambientes corporativos baseada na correlação multicamadas de eventos de segurança. A abordagem integra conhecimento estruturado proveniente do framework MITRE ATT&CK, regras determinísticas de detecção, telemetria de múltiplas fontes e modelos estatísticos de detecção de anomalias. Formalizamos o problema de detecção como uma função híbrida que combina pontuações baseadas em regras e anomalias comportamentais derivadas de modelos como Isolation Forest. A arquitetura proposta é projetada para operar em escala operacional, processando fluxos massivos de eventos provenientes de logs de sistema, sensores de rede e ferramentas de segurança, mantendo latência compatível com centros de operações de segurança (SOC) em regime contínuo. Implementamos um pipeline experimental baseado em Elastic Stack, Wazuh, Zeek e Kafka, integrado a modelos de aprendizado de máquina desenvolvidos em Python. A avaliação experimental utilizou um conjunto de dados de 1,2 TB de logs corporativos e cenários de ataque simulados com Atomic Red Team. Os resultados demonstram que a abordagem híbrida reduz significativamente ruído operacional e melhora métricas de detecção em comparação com métodos baseados exclusivamente em regras ou aprendizado de máquina. Observamos ganhos relevantes em precisão, recall e tempo médio de detecção. Finalmente, discutimos limitações operacionais, desafios de escalabilidade e implicações práticas para equipes de segurança corporativa.
Read paper →DetectionArquiteturas Multicamadas para Detecção de Intrusões em Ambientes Corporativos: Correlação de Eventos, Telemetria de Auditoria e Modelos Estatísticos Aplicados (1986)
A crescente interconexão de sistemas computacionais nas décadas de 1970 e 1980, impulsionada pela ARPANET, por redes acadêmicas e por ambientes corporativos de tempo compartilhado, ampliou significativamente os riscos associados a acessos não autorizados, abuso de privilégios e exploração de falhas de implementação. Embora mecanismos preventivos como autenticação por senha, controle de acesso baseado em listas (ACLs) e modelos formais de proteção tenham sido amplamente estudados, tornou-se evidente que tais medidas não são suficientes para impedir completamente incidentes de segurança. Nesse contexto, mecanismos de auditoria e detecção de intrusões emergem como componentes essenciais de uma estratégia defensiva abrangente. Neste trabalho propomos e avaliamos uma arquitetura multicamadas para detecção de intrusões em ambientes corporativos, fundamentada em três pilares: (i) coleta estruturada de telemetria de auditoria, (ii) correlação temporal e lógica de eventos, e (iii) aplicação de modelos estatísticos adaptativos baseados em perfis comportamentais. A proposta está alinhada com os princípios estabelecidos por Saltzer e Schroeder (1975), com as recomendações do relatório de Anderson (1980) e com o modelo estatístico formalizado por Denning (1986). Nosso objetivo é demonstrar que, mesmo sob as restrições tecnológicas típicas de 1986 — incluindo capacidade limitada de processamento, armazenamento restrito e ausência de infraestrutura distribuída avançada — é viável implementar um sistema robusto de detecção com elevada taxa de acerto e controle aceitável de falsos positivos. Conduzimos experimentos controlados em um ambiente UNIX 4.2BSD com 24 usuários ao longo de 30 dias, avaliando cenários de uso normal, tentativas repetidas de escalonamento de privilégios via `su`, e varreduras sistemáticas de arquivos confidenciais. A arquitetura proposta emprega janelas temporais de agregação, médias móveis e limiares estatísticos baseados em desvio-padrão para identificação de desvios comportamentais significativos. Os resultados indicam taxas de detecção superiores a 90% em cenários de uso indevido deliberado, com redução consistente de falsos positivos quando comparada a abordagens de limiar fixo. Adicionalmente, apresentamos análise comparativa com modelos alternativos (limiar absoluto, contagem simples de eventos, correlação sem modelagem estatística), benchmarks de desempenho sob diferentes níveis de carga e cenários de ameaça estendidos envolvendo conluio entre usuários e ataques de baixa frequência. Demonstramos que a correlação multicamadas melhora substancialmente a precisão diagnóstica sem impor degradação operacional inaceitável. Concluímos que a combinação estruturada de auditoria protegida, correlação temporal e modelagem estatística adaptativa constitui uma abordagem viável e eficaz para detecção de intrusões em ambientes corporativos contemporâneos a 1986, oferecendo uma base sólida para evoluções futuras em sistemas de monitoramento de segurança. ---
Read paper →DetectionArquitetura Operacional Multicamadas para Detecção de Intrusões em Redes Corporativas (1986)
A consolidação de redes corporativas baseadas em Ethernet de 10 Mbps e na pilha TCP/IP ao longo da década de 1980 transformou profundamente o perfil de risco das organizações interconectadas. Serviços como Telnet, FTP e SMTP, definidos em RFCs canônicos, passaram a operar de forma contínua entre domínios administrativos distintos, ampliando a superfície de exposição a abusos de credenciais, exploração de erros de implementação e uso indevido de mecanismos de confiança remota. Nesse contexto, a simples adoção de mecanismos preventivos, fundamentados em modelos formais de controle de acesso como Bell–LaPadula e Biba, revelou-se insuficiente para lidar com falhas operacionais, erros de configuração e ataques baseados em comportamento legítimo. Propomos, neste trabalho, uma arquitetura operacional multicamadas para detecção de intrusões compatível com o estado da arte até 1986, integrando regras determinísticas por assinatura, modelagem estatística de anomalias inspirada em Denning (1986) e tomada de decisão sequencial baseada na teoria de Wald (1947). Formalizamos o problema como um teste de hipóteses com custos assimétricos, incorporando CUSUM (PAGE, 1954) e EWMA (ROBERTS, 1959) para detecção sensível a pequenos desvios. A arquitetura foi implementada em ambiente composto por 42 estações BSD 4.2 interligadas por Ethernet e um mainframe IBM 4381, com coleta de 2,4 milhões de eventos ao longo de sete dias. Avaliamos desempenho segundo precisão, revocação e medida F (VAN RIJSBERGEN, 1979), além de métricas de latência e taxa de falsos positivos. Os resultados demonstram que a abordagem híbrida alcançou precisão de 0,93, revocação de 0,90 e redução de 48% no tempo médio até detecção em comparação com revisão manual sistemática. Discutimos fundamentos teóricos, metodologia detalhada de implementação, calibração estatística, garantias de integridade de logs e limitações inerentes ao contexto tecnológico de 1986. Concluímos que a maturidade dos fundamentos estatísticos, criptográficos e de engenharia de sistemas já permite, no período considerado, a adoção sistemática de mecanismos de detecção multicamadas em redes corporativas baseadas em TCP/IP, reforçando a governança de auditoria e a resiliência operacional sem depender de tecnologias posteriores ao recorte temporal estabelecido.
Read paper →DetectionArquitetura híbrida para detecção proativa de ameaças persistentes avançadas em ambientes corporativos baseada em correlação multi‑camada, modelagem estatística e TTPs do MITRE ATT&CK
A detecção de ameaças persistentes avançadas (Advanced Persistent Threats – APTs) continua sendo um desafio central para operações modernas de segurança (Security Operations Centers – SOCs). Embora sistemas tradicionais como IDS de rede, EDR e plataformas SIEM forneçam visibilidade significativa, ataques contemporâneos frequentemente exploram ferramentas legítimas do sistema operacional e técnicas “living‑off‑the‑land”, o que dificulta a distinção entre atividade benigna e maliciosa. Como consequência, organizações enfrentam tempos elevados de detecção (Mean Time To Detect – MTTD) e taxas substanciais de falsos positivos. Neste trabalho propomos uma arquitetura híbrida de detecção baseada em correlação multi‑camada de telemetria, modelagem estatística e mapeamento explícito de táticas, técnicas e procedimentos (TTPs) do framework MITRE ATT&CK. Formalizamos o problema de detecção como a identificação de subgrafos maliciosos em grafos temporais de eventos derivados de múltiplas fontes de telemetria, incluindo sensores de rede, registros de sistema operacional e eventos de autenticação. A arquitetura proposta integra regras determinísticas orientadas a ATT&CK, classificação estatística baseada em inferência Bayesiana e correlação temporal de eventos, permitindo a identificação de cadeias de ataque multi‑estágio. Demonstramos que a modelagem baseada em grafos temporais permite representar explicitamente dependências entre eventos distribuídos, reduzindo ambiguidades associadas à análise isolada de logs. A implementação foi realizada utilizando ferramentas amplamente empregadas em ambientes corporativos, incluindo Suricata, Zeek, Wazuh, Elastic Stack, Sigma e YARA. Avaliamos a proposta em um ambiente experimental composto por hosts Windows e Linux, domínio Active Directory e aproximadamente 1,2 TB de telemetria operacional. Foram executados 48 cenários de ataque representando técnicas relevantes do MITRE ATT&CK, incluindo execução remota de código, movimento lateral, escalada de privilégios e exfiltração. Os resultados indicam melhoria substancial na precisão da detecção quando comparada a abordagens isoladas baseadas exclusivamente em assinaturas ou aprendizado de máquina. Observamos F1‑score de 0,951, redução de 41% em falsos positivos e diminuição do MTTD de 6,4 horas para 52 minutos. Argumentamos que arquiteturas de detecção orientadas a grafos e TTPs representam uma direção promissora para operações de segurança modernas, especialmente em ambientes corporativos heterogêneos e de alta escala.
Read paper →