Research / Paper Files

Paper Files

Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.

Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.

DAI & ADAI · 2026

DAI · PT

DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis

DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…

Ler o paper →ADAI · PT

Inteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção

ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…

Ler o paper →

Todos Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

116 papers

Detection

Arquitetura Híbrida e Formalmente Modelada para Detecção Multicamadas de Ameaças Avançadas em Ambientes Corporativos Baseada em Telemetria Unificada e Aprendizado Estatístico Robusto

A detecção de ameaças cibernéticas evoluiu de mecanismos baseados exclusivamente em assinaturas para arquiteturas multicamadas que combinam telemetria heterogênea, análise comportamental e modelos estatísticos avançados. Apesar dessa evolução, organizações continuam a enfrentar tempos médios de detecção (MTTD) superiores a 20 dias, conforme relatórios recentes da indústria, especialmente diante de ataques fileless, living-off-the-land (LoL) e exploração de vulnerabilidades críticas como CVE-2021-44228 (Log4Shell) e CVE-2023-23397 (Outlook). Neste trabalho, propomos uma arquitetura híbrida de detecção que integra sensores de rede (Suricata), telemetria de endpoint (Sysmon + EDR), análise de memória (Volatility), regras comportamentais (Sigma/YARA) e modelos estatísticos baseados em detecção de anomalias com limiares adaptativos. Nossa metodologia formaliza o problema de detecção como um processo de classificação binária sob restrições operacionais de latência e taxa máxima de falsos positivos, modelado por $f: X \rightarrow \{0,1\}$, onde $X$ representa vetores de eventos correlacionados no tempo. Introduzimos um mecanismo de correlação temporal ponderada baseado em grafos direcionados de eventos (Event Correlation Graph – ECG) e um algoritmo de pontuação dinâmica que incorpora técnicas de detecção de outliers via Isolation Forest e modelos probabilísticos baseados em densidade. Avaliamos o sistema em um ambiente controlado com 120 hosts virtuais, simulando 47 cenários de ataque mapeados ao MITRE ATT&CK (incluindo T1059, T1027, T1003, T1071, T1566). Utilizando datasets públicos (UNSW-NB15, CIC-IDS2017) e tráfego sintético adversarial, obtivemos taxa de detecção (TPR) de 96,4%, com taxa de falsos positivos (FPR) de 2,1% e redução de 38% no MTTD em comparação com baseline baseado exclusivamente em regras. O overhead médio de processamento permaneceu abaixo de 8% de CPU por host monitorado. Os resultados demonstram que a integração formalmente modelada entre detecção baseada em regras e aprendizado estatístico, quando acoplada a correlação temporal estruturada, oferece ganhos mensuráveis em precisão e robustez operacional. Este trabalho contribui com (i) uma formalização matemática do pipeline de detecção multicamadas, (ii) um algoritmo de correlação temporal com análise de complexidade, e (iii) uma avaliação experimental abrangente com métricas operacionais realistas.

2009-03-04Read paper →Detection

Arquitetura Híbrida de Detecção Multi‑Camada Baseada em Telemetria Comportamental e Correlação Temporal para Mitigação de Ameaças Avançadas em Ambientes Corporativos

A crescente sofisticação das ameaças cibernéticas e a profissionalização do ecossistema de crime digital impõem desafios substanciais às arquiteturas tradicionais de detecção de intrusão. Abordagens baseadas exclusivamente em assinaturas ou indicadores de comprometimento (IOCs) demonstram limitações diante de campanhas multiestágio, caracterizadas por movimento lateral, abuso de ferramentas legítimas do sistema e evasão comportamental. Em 2023, relatórios de inteligência indicam que o tempo médio de permanência de atacantes em redes corporativas ainda permanece significativo, refletindo lacunas na correlação contextual de eventos de segurança. Neste trabalho investigamos uma arquitetura híbrida de detecção multi‑camada fundamentada em telemetria comportamental e correlação temporal baseada em grafos, projetada para ambientes corporativos heterogêneos. Formalizamos o problema de detecção de cadeias de ataque como identificação de subgrafos em grafos temporais de eventos de segurança, permitindo modelar dependências causais entre atividades adversariais. A arquitetura proposta integra ferramentas amplamente adotadas no ecossistema de segurança open‑source, incluindo Suricata, Zeek, Sysmon, Elastic Stack, Sigma e YARA, combinadas com um mecanismo de correlação temporal e classificação híbrida. A implementação utiliza normalização de eventos por meio do Elastic Common Schema e algoritmos de correspondência de subgrafos para identificar padrões de ataque derivados da base MITRE ATT&CK. A avaliação experimental foi conduzida em um ambiente de laboratório contendo 120 máquinas virtuais e mais de 4 TB de telemetria coletada ao longo de 30 dias, incluindo cenários de ataque reproduzidos com Atomic Red Team. Os resultados indicam melhoria consistente em métricas operacionais relevantes para centros de operações de segurança (SOC), incluindo redução da taxa de falsos positivos e diminuição do tempo médio de detecção. Demonstramos que a incorporação de correlação temporal baseada em grafos permite capturar relações entre eventos que seriam invisíveis em sistemas SIEM tradicionais orientados a alertas isolados. Além disso, discutimos implicações operacionais relacionadas à escalabilidade, integração com inteligência de ameaças e monitoramento de cargas modernas em nuvem e contêineres. Os resultados sugerem que arquiteturas híbridas orientadas por telemetria e modelagem temporal representam um caminho pragmático para aumentar a eficácia da detecção de ameaças avançadas em infraestruturas corporativas contemporâneas.

2009-02-25Read paper →Detection

Arquitetura Híbrida Formalmente Fundamentada para Detecção Multicamadas de Ameaças Avançadas em Ambientes Corporativos de Alta Escala

A detecção eficaz de ameaças tornou-se um componente central das estratégias modernas de defesa cibernética em ambientes corporativos complexos. A crescente sofisticação de adversários, especialmente em campanhas de Ameaças Persistentes Avançadas (APTs), demonstrou que mecanismos puramente preventivos são insuficientes para proteger infraestruturas digitais distribuídas. Ataques contemporâneos frequentemente exploram vulnerabilidades conhecidas, credenciais comprometidas e cadeias de suprimento comprometidas, operando com alto grau de furtividade e mobilidade lateral dentro de redes corporativas. Nesse contexto, sistemas de detecção precisam combinar precisão, baixa latência e escalabilidade operacional. Este trabalho propõe uma arquitetura híbrida de detecção multicamadas fundamentada em formalização matemática e integração operacional de mecanismos determinísticos e modelos de aprendizado de máquina. A abordagem integra detecção baseada em assinatura, correlação comportamental e classificação supervisionada em um pipeline unificado projetado para ambientes de grande escala. Formalizamos o problema de detecção como um sistema de otimização multiobjetivo que minimiza simultaneamente taxa de falso positivo, taxa de falso negativo e latência de detecção. A arquitetura proposta integra ferramentas amplamente adotadas em ambientes corporativos — incluindo Suricata, YARA, Sigma, Elastic Stack, Wazuh e Zeek — combinadas com um modelo Random Forest para classificação comportamental. Avaliamos o sistema utilizando o conjunto de dados CIC‑IDS2017 e registros reais anonimizados provenientes de um ambiente corporativo de grande porte com aproximadamente doze milhões de eventos diários. Os resultados experimentais indicam melhoria substancial na taxa de detecção quando comparada a abordagens isoladas, atingindo taxa de detecção de 96,3% com taxa de falso positivo inferior a 2,1%. Observamos ainda redução significativa do tempo médio de detecção (MTTD) por meio de correlação temporal entre eventos heterogêneos. Um estudo de caso em ambiente financeiro demonstra a capacidade do sistema em detectar rapidamente cadeias de ataque que combinam exploração de vulnerabilidades, execução remota e comunicação de comando e controle. Os resultados sugerem que arquiteturas híbridas formalmente estruturadas representam uma direção promissora para sistemas de detecção de próxima geração em operações de segurança corporativa.

2009-02-18Read paper →Detection

TÍTULO: Uma Arquitetura Híbrida de Detecção em Múltiplas Camadas Usando Correlação Temporal Probabilística Orientada ao MITRE ATT&CK com Base em Telemetria de Endpoint, Rede e Memória

TÍTULO: Uma Arquitetura Híbrida de Detecção em Múltiplas Camadas Usando Correlação Temporal Probabilística Orientada ao MITRE ATT&CK com Base em Telemetria de Endpoint, Rede e Memória RESUMO: O aumento da complexidade das campanhas de intrusão observadas em ambientes empresariais modernos impõe desafios às arquiteturas convencionais de detecção baseadas em sensores isolados. Os ataques atuais frequentemente exploram técnicas living-off-the-land (LOLBins), frameworks de pós-exploração amplamente disponíveis e canais ofuscados de comando e controle, resultando em cadeias de eventos distribuídas entre rede, endpoint e memória volátil. Embora ferramentas como IDS/IPS, EDR e plataformas SIEM sejam amplamente adotadas, sua integração analítica permanece restringida principalmente a modelos de correlação sintática e não consegue capturar as dependências temporais e semânticas existentes entre eventos diversos. O framework MITRE ATT&CK foi estabelecido como uma ontologia operacional para descrever Táticas, Técnicas e Procedimentos (TTPs), mas seu uso em sistemas de detecção muitas vezes se limita ao mapeamento estático e à visualização descritiva. Neste estudo, propomos uma arquitetura híbrida de detecção em múltiplas camadas que integra telemetria de rede, endpoint e memória e fornece um mecanismo formal de correlação temporal probabilística semanticamente alinhado ao modelo ATT&CK. Essa arquitetura combina um conjunto de sensores amplamente utilizado, incluindo Suricata, Sysmon, Volatility 3 e regras Sigma/YARA, com uma camada de ingestão baseada em Kafka e indexação estruturada segundo o Elastic Common Schema. Formulamos o processo de detecção como um problema de inferência sob incerteza e o modelamos como um grafo temporal ponderado, no qual os eventos representam vértices anotados com técnicas ATT&CK e as arestas representam transições semanticamente compatíveis dentro de uma janela temporal definida. Além disso, introduzimos uma função de risco condicional que integra a probabilidade contextual de técnicas individuais e os pesos de transição entre TTPs, permitindo a estimativa da probabilidade de toda a cadeia de ataque. Utilizando uma estrutura indexada no tempo, demonstramos analiticamente que a construção incremental desses grafos pode ser realizada com complexidade computacional O(n log n) por janela temporal. A avaliação experimental foi conduzida com conjuntos de dados amplamente referenciados na literatura (CIC-IDS2017 e UNSW-NB15) e cenários controlados de execução de malware em um ambiente de laboratório isolado. Os resultados mostraram melhorias consistentes no F1-score relativo e uma redução qualitativa do ruído operacional em comparação com sensores isolados. Além disso, estudos de caso adicionais em infraestrutura simulada empresarial e de saúde demonstraram tempos de detecção menores para cadeias de ataque envolvendo credential dumping e movimento lateral. Este estudo fornece uma formulação matemática da correlação temporal orientada ao ATT&CK, uma arquitetura reproduzível baseada em ferramentas amplamente adotadas e uma análise crítica das limitações estatísticas associadas à detecção de intrusões em ambientes com baixa incidência de eventos.

2008-04-04Read paper →Detection

Arquitetura Híbrida de Detecção Multicamadas Baseada em Telemetria de Endpoint, Rede e Memória com Correlação Temporal Probabilística Orientada ao MITRE ATT&CK

A crescente complexidade das campanhas de intrusão observadas em ambientes corporativos modernos desafia arquiteturas tradicionais de detecção baseadas em sensores isolados. Ataques contemporâneos frequentemente exploram técnicas living-off-the-land (LOLBins), frameworks de pós-exploração amplamente disponíveis e canais de comando e controle ofuscados, resultando em cadeias de eventos distribuídas entre rede, endpoint e memória volátil. Embora ferramentas como IDS/IPS, EDR e plataformas SIEM sejam amplamente adotadas, sua integração analítica permanece limitada por modelos de correlação predominantemente sintáticos, incapazes de capturar dependências temporais e semânticas entre eventos heterogêneos. O framework MITRE ATT&CK consolidou-se como ontologia operacional para descrição de Táticas, Técnicas e Procedimentos (TTPs), porém sua utilização em sistemas de detecção frequentemente restringe-se a mapeamentos estáticos ou visualizações descritivas. Neste trabalho propomos uma arquitetura híbrida de detecção multicamadas que integra telemetria de rede, endpoint e memória com um mecanismo formal de correlação temporal probabilística alinhado semanticamente ao modelo ATT&CK. A arquitetura combina sensores amplamente utilizados — incluindo Suricata, Sysmon, Volatility 3 e regras Sigma/YARA — com uma camada de ingestão baseada em Kafka e indexação estruturada segundo Elastic Common Schema. Formalizamos o processo de detecção como um problema de inferência sob incerteza, modelado por grafos temporais ponderados nos quais eventos representam vértices anotados com técnicas ATT&CK e arestas representam transições semanticamente compatíveis dentro de uma janela temporal definida. Introduzimos uma função de risco condicional que integra probabilidades contextuais de técnicas individuais e pesos de transição entre TTPs, permitindo estimar a plausibilidade de cadeias de ataque completas. Demonstramos analiticamente que a construção incremental desses grafos pode ser realizada com complexidade $O(n \log n)$ por janela temporal utilizando estruturas indexadas por tempo. A avaliação experimental foi conduzida utilizando conjuntos de dados amplamente referenciados na literatura (CIC‑IDS2017 e UNSW‑NB15) e cenários controlados de execução de malware em laboratório isolado. Os resultados indicam melhorias consistentes em métricas relativas de F1‑score e redução qualitativa de ruído operacional quando comparados a sensores isolados. Estudos de caso adicionais em ambientes corporativos simulados e em infraestrutura hospitalar demonstram redução no tempo de detecção de cadeias de ataque envolvendo credential dumping e movimento lateral. O trabalho contribui com uma formalização matemática da correlação temporal orientada ao ATT&CK, uma arquitetura reproduzível baseada em ferramentas amplamente adotadas e uma análise crítica das limitações estatísticas associadas à detecção de intrusão em ambientes de baixa prevalência de ataques.

2008-04-04Read paper →Detection

TÍTULO: Arquitetura Híbrida de Detecção Multicamadas Baseada em Telemetria de Endpoint, Rede e Memória com Correlação Temporal Probabilística Orientada ao MITRE ATT&CK

TÍTULO: Arquitetura Híbrida de Detecção Multicamadas Baseada em Telemetria de Endpoint, Rede e Memória com Correlação Temporal Probabilística Orientada ao MITRE ATT&CK RESUMO: O crescente aumento da complexidade das campanhas de intrusão observadas em ambientes corporativos modernos desafia arquiteturas tradicionais de detecção baseadas em sensores isolados. Ataques contemporâneos frequentemente exploram técnicas de living-off-the-land (LOLBins), frameworks de pós-exploração amplamente disponíveis e canais obfuscados de command-and-control, resultando em cadeias de eventos distribuídas entre rede, endpoint e memória volátil. Embora ferramentas como IDS/IPS, EDR e plataformas SIEM sejam amplamente adotadas, sua integração analítica permanece limitada por modelos de correlação predominantemente sintáticos, incapazes de capturar dependências temporais e semânticas entre eventos heterogêneos. O framework MITRE ATT&CK consolidou-se como uma ontologia operacional para descrever Táticas, Técnicas e Procedimentos (TTPs), porém seu uso em sistemas de detecção frequentemente se restringe a mapeamentos estáticos ou visualizações descritivas. Neste trabalho, propomos uma arquitetura híbrida multicamadas de detecção que integra telemetria de rede, endpoint e memória com um mecanismo formal de correlação temporal probabilística semanticamente alinhado ao modelo ATT&CK. A arquitetura combina sensores amplamente utilizados — incluindo Suricata, Sysmon, Volatility 3 e regras Sigma/YARA — com uma camada de ingestão baseada em Kafka e indexação estruturada conforme o Elastic Common Schema. Formalizamos o processo de detecção como um problema de inferência sob incerteza, modelado por grafos temporais ponderados nos quais eventos representam vértices anotados com técnicas ATT&CK e arestas representam transições semanticamente compatíveis dentro de uma janela temporal definida. Introduzimos uma função de risco condicional que integra probabilidades contextuais de técnicas individuais e pesos de transição entre TTPs, permitindo estimar a plausibilidade de cadeias de ataque completas. Demonstramos analiticamente que a construção incremental desses grafos pode ser realizada com complexidade O(n log n) por janela temporal utilizando estruturas indexadas por tempo. A avaliação experimental foi conduzida com conjuntos de dados amplamente referenciados na literatura (CIC-IDS2017 e UNSW-NB15) e cenários controlados de execução de malware em laboratório isolado. Os resultados indicam melhorias consistentes em métricas relativas de F1-score e redução qualitativa de ruído operacional em comparação com sensores isolados. Estudos de caso adicionais em ambientes empresariais simulados e em infraestrutura hospitalar demonstram redução no tempo de detecção para cadeias de ataque envolvendo credential dumping e lateral movement. O trabalho contribui com uma formalização matemática da correlação temporal orientada ao ATT&CK, uma arquitetura reprodutível baseada em ferramentas amplamente adotadas e uma análise crítica das limitações estatísticas associadas à detecção de intrusões em ambientes de ataques de baixa prevalência.

2008-04-04Read paper →Detection

TÍTULO: Uma Arquitetura Híbrida Multicamadas de Detecção Usando Correlação Temporal Probabilística Orientada ao MITRE ATT&CK com Base em Telemetria de Endpoint, Rede e Memória

TÍTULO: Uma Arquitetura Híbrida Multicamadas de Detecção Usando Correlação Temporal Probabilística Orientada ao MITRE ATT&CK com Base em Telemetria de Endpoint, Rede e Memória RESUMO: O aumento da complexidade das campanhas de intrusão observadas em ambientes corporativos modernos impõe desafios às arquiteturas convencionais de detecção baseadas em sensores isolados. Os ataques atuais frequentemente exploram técnicas living-off-the-land (LOLBins), frameworks de pós-exploração amplamente disponíveis e canais ofuscados de comando e controle, resultando em cadeias de eventos distribuídas entre rede, endpoint e memória volátil. Embora ferramentas como IDS/IPS, EDR e plataformas SIEM sejam amplamente adotadas, sua integração analítica permanece restrita principalmente a modelos de correlação sintática e não consegue capturar as dependências temporais e semânticas existentes entre eventos diversos. O framework MITRE ATT&CK foi estabelecido como uma ontologia operacional para descrever Táticas, Técnicas e Procedimentos (TTPs), mas seu uso em sistemas de detecção frequentemente se limita ao mapeamento estático e à visualização descritiva. Neste estudo, propomos uma arquitetura híbrida multicamadas de detecção que integra telemetria de rede, endpoint e memória e fornece um mecanismo formal de correlação temporal probabilística semanticamente alinhado ao modelo ATT&CK. Essa arquitetura combina um conjunto amplamente utilizado de sensores, incluindo Suricata, Sysmon, Volatility 3 e regras Sigma/YARA, com uma camada de ingestão baseada em Kafka e indexação estruturada de acordo com o Elastic Common Schema. Formulamos o processo de detecção como um problema de inferência sob incerteza e o modelamos como um grafo temporal ponderado, no qual os eventos representam vértices anotados com técnicas ATT&CK e as arestas representam transições semanticamente compatíveis dentro de uma janela temporal definida. Além disso, introduzimos uma função de risco condicional que integra a probabilidade contextual de técnicas individuais e os pesos de transição entre TTPs, permitindo estimar a probabilidade de toda a cadeia de ataque. Usando uma estrutura indexada temporalmente, demonstramos analiticamente que a construção incremental desses grafos pode ser realizada com complexidade computacional O(n log n) por janela temporal. A avaliação experimental foi conduzida com conjuntos de dados amplamente referenciados na literatura (CIC-IDS2017 e UNSW-NB15) e cenários controlados de execução de malware em um ambiente laboratorial isolado. Os resultados mostraram melhorias consistentes no F1-score relativo e uma redução qualitativa do ruído operacional em comparação com sensores isolados. Além disso, estudos de caso adicionais em infraestrutura simulada de empresa e de saúde demonstraram tempos de detecção menores para cadeias de ataque envolvendo credential dumping e movimento lateral. Este estudo fornece uma formulação matemática da correlação temporal orientada ao ATT&CK, uma arquitetura reproduzível baseada em ferramentas amplamente adotadas e uma análise crítica das limitações estatísticas associadas à detecção de intrusões em ambientes com baixa incidência de eventos.

2008-04-04Read paper →Detection

Arquitetura Híbrida Baseada em Telemetria Multicamadas e Correlação Semântica para Detecção Avançada de Ameaças em Ambientes Corporativos

A crescente sofisticação de ataques cibernéticos, aliada à expansão de infraestruturas híbridas e multicloud, impõe desafios substanciais às operações modernas de segurança (Security Operations Centers – SOCs). Técnicas contemporâneas de ataque exploram vulnerabilidades zero‑day, abuso de identidades legítimas, living‑off‑the‑land binaries (LOLBins) e cadeias complexas de movimentação lateral, frequentemente distribuídas entre endpoints, redes corporativas e serviços em nuvem. Nesse contexto, mecanismos tradicionais baseados exclusivamente em assinaturas ou detecção isolada de anomalias mostram limitações significativas, sobretudo quanto à escalabilidade operacional e à redução de falsos positivos. Este artigo apresenta uma arquitetura híbrida de detecção baseada em telemetria multicamadas e correlação semântica de eventos orientada por grafos de Táticas, Técnicas e Procedimentos (TTPs) derivados do framework MITRE ATT&CK. A proposta integra sensores de rede, telemetria de endpoint, eventos de identidade e registros provenientes de ambientes cloud‑native, incorporando componentes contemporâneos como instrumentação baseada em eBPF e integração com plataformas CNAPP (Cloud‑Native Application Protection Platform). Formalizamos o processo de detecção como um problema de inferência sobre grafos dinâmicos de eventos, no qual sequências de atividades observáveis são mapeadas para técnicas ATT&CK e correlacionadas semanticamente para identificar cadeias de ataque. O modelo combina três paradigmas complementares: detecção baseada em assinaturas (YARA e Suricata), regras comportamentais estruturadas (Sigma) e análise estatística de padrões de comportamento. Avaliamos experimentalmente a arquitetura utilizando um conjunto de dados composto por benchmarks acadêmicos amplamente utilizados (UNSW‑NB15 e CIC‑IDS2017) e campanhas controladas de red teaming conduzidas em ambiente corporativo simulado. Os resultados indicam melhoria significativa em métricas de desempenho: precisão de 0,89, recall de 0,83 e F1‑score de 0,86, além de redução de 38,2% na taxa de falsos positivos quando comparado a abordagens isoladas. Observa‑se também redução no tempo médio de detecção (MTTD) de 6,1 para 4,2 minutos. Os resultados demonstram que a correlação semântica baseada em grafos de TTPs, combinada com telemetria multicamadas, representa uma abordagem promissora para aprimorar a eficácia operacional de SOCs contemporâneos em cenários corporativos complexos.

2008-03-28Read paper →Detection

TÍTULO: Arquitetura Híbrida Baseada em Telemetria Multicamada e Correlação Semântica para Detecção Avançada de Ameaças em Ambientes Empresariais

TÍTULO: Arquitetura Híbrida Baseada em Telemetria Multicamada e Correlação Semântica para Detecção Avançada de Ameaças em Ambientes Empresariais RESUMO: TÍTULO: Arquitetura Híbrida Baseada em Telemetria Multicamada e Correlação Semântica para Detecção Avançada de Ameaças em Ambientes Empresariais RESUMO: A crescente sofisticação dos ciberataques, aliada à expansão de infraestruturas híbridas e multicloud, impõe desafios substanciais às operações modernas de segurança (Security Operations Centers – SOCs). Técnicas de ataque contemporâneas exploram vulnerabilidades zero-day, abusam de identidades legítimas, utilizam living-off-the-land binaries (LOLBins) e cadeias complexas de movimento lateral, frequentemente distribuídas entre endpoints, redes corporativas e serviços em nuvem. Nesse contexto, mecanismos tradicionais baseados exclusivamente em assinaturas ou em detecção isolada de anomalias apresentam limitações significativas, especialmente no que diz respeito à escalabilidade operacional e à redução de falsos positivos. Este artigo apresenta uma arquitetura híbrida de detecção baseada em telemetria multicamada e correlação semântica de eventos orientada por grafos de Tactics, Techniques, and Procedures (TTPs) derivados do framework MITRE ATT&CK. A proposta integra sensores de rede, telemetria de endpoint, eventos de identidade e logs de ambientes cloud-native, incorporando componentes contemporâneos como instrumentação baseada em eBPF e integração com plataformas CNAPP (Cloud-Native Application Protection Platform). Formalizamos o processo de detecção como um problema de inferência sobre grafos dinâmicos de eventos, nos quais sequências de atividades observáveis são mapeadas para técnicas ATT&CK e correlacionadas semanticamente para identificar cadeias de ataque. O modelo combina três paradigmas complementares: detecção baseada em assinaturas (YARA e Suricata), regras comportamentais estruturadas (Sigma) e análise estatística de padrões de comportamento. Avaliamos experimentalmente a arquitetura utilizando um conjunto de dados composto por benchmarks acadêmicos amplamente utilizados (UNSW-NB15 e CIC-IDS2017) e campanhas controladas de red teaming conduzidas em um ambiente empresarial simulado. Os resultados indicam melhoria significativa nas métricas de desempenho: precisão de 0,89, recall de 0,83 e F1-score de 0,86, além de uma redução de 38,2% na taxa de falsos positivos em comparação com abordagens isoladas. Também foi observada uma redução do mean time to detect (MTTD) de 6,1 para 4,2 minutos. Os resultados demonstram que a correlação semântica baseada em grafos de TTPs, combinada com telemetria multicamada, representa uma abordagem promissora para aprimorar a eficácia operacional dos SOCs contemporâneos em cenários empresariais complexos.

2008-03-28Read paper →Detection

TÍTULO: Arquitetura Híbrida Baseada em Telemetria Multicamadas e Correlação Semântica para Detecção Avançada de Ameaças em Ambientes Corporativos

TÍTULO: Arquitetura Híbrida Baseada em Telemetria Multicamadas e Correlação Semântica para Detecção Avançada de Ameaças em Ambientes Corporativos RESUMO: Arquitetura Híbrida Baseada em Telemetria Multicamadas e Correlação Semântica para Detecção Avançada de Ameaças em Ambientes Corporativos RESUMO: A crescente sofisticação dos ciberataques, juntamente com a expansão de infraestruturas híbridas e multicloud, impõe desafios substanciais às operações modernas de segurança (Security Operations Centers – SOCs). As técnicas de ataque contemporâneas exploram vulnerabilidades zero-day, abusam de identidades legítimas, utilizam binaries living-off-the-land (LOLBins) e executam cadeias complexas de movimento lateral, frequentemente distribuídas entre endpoints, redes corporativas e serviços em nuvem. Nesse contexto, mecanismos tradicionais baseados exclusivamente em assinaturas ou em detecção de anomalias isoladas apresentam limitações significativas, especialmente no que se refere à escalabilidade operacional e à redução de falsos positivos. Este artigo apresenta uma arquitetura híbrida de detecção baseada em telemetria multicamadas e correlação semântica de eventos, orientada por grafos de Táticas, Técnicas e Procedimentos (TTPs) derivados da estrutura MITRE ATT&CK. A proposta integra sensores de rede, telemetria de endpoint, eventos de identidade e logs de ambientes cloud-native, incorporando componentes contemporâneos como instrumentação baseada em eBPF e integração com plataformas CNAPP (Cloud-Native Application Protection Platform). Formalizamos o processo de detecção como um problema de inferência sobre grafos dinâmicos de eventos, nos quais sequências de atividades observáveis são mapeadas para técnicas do ATT&CK e correlacionadas semanticamente para identificar cadeias de ataque. O modelo combina três paradigmas complementares: detecção baseada em assinaturas (YARA e Suricata), regras comportamentais estruturadas (Sigma) e análise estatística de padrões comportamentais. Avaliamos experimentalmente a arquitetura utilizando um conjunto de dados composto por benchmarks acadêmicos amplamente utilizados (UNSW-NB15 e CIC-IDS2017) e campanhas controladas de red teaming conduzidas em um ambiente corporativo simulado. Os resultados indicam uma melhoria significativa nas métricas de desempenho: precisão de 0,89, revocação de 0,83 e F1-score de 0,86, तसे como uma redução de 38,2% na taxa de falsos positivos em comparação com abordagens isoladas. Também foi observada uma redução no tempo médio para detecção (MTTD) de 6,1 para 4,2 minutos. Os resultados demonstram que a correlação semântica baseada em grafos TTP, combinada com telemetria multicamadas, representa uma abordagem promissora para aprimorar a efetividade operacional de SOCs contemporâneos em cenários corporativos complexos.

2008-03-28Read paper →Detection

Arquitetura Híbrida Baseada em Telemetria Multicamadas e Correlação Semântica para Detecção Avançada de Ameaças em Ambientes Corporativos

TITLE: Arquitetura Híbrida Baseada em Telemetria Multicamadas e Correlação Semântica para Detecção Avançada de Ameaças em Ambientes Corporativos ABSTRACT: TITLE: Arquitetura Híbrida Baseada em Telemetria Multicamadas e Correlação Semântica para Detecção Avançada de Ameaças em Ambientes Corporativos ABSTRACT: Arquitetura Híbrida Baseada em Telemetria Multicamadas e Correlação Semântica para Detecção Avançada de Ameaças em Ambientes Corporativos ABSTRACT: A crescente sofisticação dos ciberataques, juntamente com a expansão de infraestruturas híbridas e multicloud, impõe desafios substanciais para as operações modernas de segurança (Security Operations Centers – SOCs). Técnicas de ataque contemporâneas exploram vulnerabilidades de zero-day, abusam de identidades legítimas, utilizam binários living-off-the-land (LOLBins) e executam cadeias complexas de movimento lateral, muitas vezes distribuídas entre endpoints, redes corporativas e serviços em nuvem. Nesse contexto, mecanismos tradicionais baseados exclusivamente em assinaturas ou em detecção isolada de anomalias apresentam limitações significativas, especialmente no que diz respeito à escalabilidade operacional e à redução de falsos positivos. Este artigo apresenta uma arquitetura híbrida de detecção baseada em telemetria multicamadas e correlação semântica de eventos, orientada por grafos de Táticas, Técnicas e Procedimentos (TTPs) derivados da estrutura MITRE ATT&CK. A proposta integra sensores de rede, telemetria de endpoint, eventos de identidade e logs de ambientes cloud-native, incorporando componentes contemporâneos como instrumentação baseada em eBPF e integração com plataformas CNAPP (Cloud-Native Application Protection Platform). Formalizamos o processo de detecção como um problema de inferência sobre grafos dinâmicos de eventos, nos quais sequências de atividades observáveis são mapeadas para técnicas do ATT&CK e correlacionadas semanticamente para identificar cadeias de ataque. O modelo combina três paradigmas complementares: detecção baseada em assinaturas (YARA e Suricata), regras comportamentais estruturadas (Sigma) e análise estatística de padrões comportamentais. Avaliamos experimentalmente a arquitetura utilizando um conjunto de dados composto por benchmarks acadêmicos amplamente utilizados (UNSW-NB15 e CIC-IDS2017) e campanhas controladas de red teaming conduzidas em um ambiente corporativo simulado. Os resultados indicam uma melhora significativa nas métricas de desempenho: precisão de 0,89, revocação de 0,83 e F1-score de 0,86, além de uma redução de 38,2% na taxa de falsos positivos em comparação com abordagens isoladas. Também foi observada uma redução no tempo médio para detecção (MTTD) de 6,1 para 4,2 minutos. Os resultados demonstram que a correlação semântica baseada em grafos TTP, combinada com telemetria multicamadas, representa uma abordagem promissora para aprimorar a efetividade operacional de SOCs contemporâneos em cenários corporativos complexos.

2008-03-28Read paper →Detection

TÍTULO: Detecção Adaptativa Multinível de Ameaças Cibernéticas com Base em Fusão Bayesiana de Telemetria e Grafos Temporais de Ataque

TÍTULO: Detecção Adaptativa Multinível de Ameaças Cibernéticas com Base em Fusão Bayesiana de Telemetria e Grafos Temporais de Ataque RESUMO: O crescente grau de complexidade das infraestruturas digitais contemporâneas, caracterizadas por ambientes de nuvem híbrida, arquiteturas distribuídas e enormes fluxos de telemetria operacional, impõe desafios substanciais à detecção precoce de ameaças cibernéticas. Os sistemas tradicionais de security information and event management (SIEM) baseados em regras determinísticas apresentam limitações estruturais na identificação de campanhas em múltiplos estágios, particularmente quando os adversários utilizam credenciais legítimas, movimentação lateral discreta e técnicas de evasão. Ao mesmo tempo, abordagens puramente baseadas em machine learning frequentemente sofrem degradação sob change of distribution e carecem de interpretabilidade operacional. Neste trabalho, apresentamos uma arquitetura de detecção adaptativa multinível que integra fusão Bayesiana incremental de evidências com modelagem estrutural baseada em grafos temporais de ataque. A abordagem proposta torna possível correlacionar telemetria heterogênea de endpoints, redes, identidades e ambientes de nuvem, mantendo ao mesmo tempo dependências temporais explícitas entre eventos e alinhamento semântico com a taxonomia MITRE ATT&CK. Formalizamos o problema como inferência probabilística sobre cadeias de ataque em um grafo dinâmico G_t=(V_t,E_t,w_t), no qual os pesos representam probabilidades condicionais de comportamento malicioso. Desenvolvemos um mecanismo incremental de atualização Bayesiana capaz de processar fluxos superiores a 10^6 eventos por minuto, mantendo convergência probabilística e reduzida latência operacional. A implementação foi realizada em uma arquitetura de stream processing baseada em Apache Kafka e Apache Flink, com persistência de grafos em Neo4j e gerenciamento de estado em RocksDB. As avaliações experimentais foram conduzidas usando os conjuntos de dados UNSW-NB15 e CIC-IDS2017, além de um corpus corporativo anonimizado contendo aproximadamente 400 milhões de eventos. Em comparação com abordagens baseadas em regras, Random Forest e redes LSTM, o método proposto alcançou precisão média de 0.91, recall de 0.88 e F1-score de 0.89, além de reduzir a taxa de falsos positivos em 42% em relação a sistemas SIEM convencionais. Os resultados demonstram que a fusão probabilística de telemetria, combinada com a representação estrutural de cadeias de ataque, proporciona ganhos substanciais em robustez, interpretabilidade e escalabilidade. Também discutimos implicações para arquiteturas modernas de segurança em nuvem, integração com plataformas CNAPP e limitações associadas à modelagem prévia de hipóteses adversariais.

2008-03-21Read paper →Detection

Detecção Adaptativa Multinível de Ameaças Cibernéticas Baseada em Fusão Bayesiana de Telemetria e Grafos Temporais de Ataque

A crescente complexidade das infraestruturas digitais contemporâneas, caracterizadas por ambientes híbridos de nuvem, arquiteturas distribuídas e fluxos massivos de telemetria operacional, impõe desafios substanciais à detecção precoce de ameaças cibernéticas. Sistemas tradicionais de gerenciamento de eventos e informações de segurança (SIEM) baseados em regras determinísticas apresentam limitações estruturais na identificação de campanhas multiestágio, particularmente quando adversários utilizam credenciais legítimas, movimentos laterais discretos e técnicas de evasão. Paralelamente, abordagens puramente baseadas em aprendizado de máquina frequentemente sofrem degradação sob mudanças de distribuição e carecem de interpretabilidade operacional. Neste trabalho apresentamos uma arquitetura de detecção adaptativa multinível que integra fusão Bayesiana incremental de evidências com modelagem estrutural baseada em grafos temporais de ataque. A proposta permite correlacionar telemetria heterogênea proveniente de endpoints, redes, identidades e ambientes de nuvem, mantendo dependências temporais explícitas entre eventos e alinhamento semântico com a taxonomia MITRE ATT&CK. Formalizamos o problema como inferência probabilística sobre cadeias de ataque em um grafo dinâmico $G_t=(V_t,E_t,w_t)$, no qual pesos representam probabilidades condicionais de comportamento malicioso. Desenvolvemos um mecanismo de atualização Bayesiana incremental capaz de processar fluxos superiores a $10^6$ eventos por minuto, mantendo convergência probabilística e latência operacional reduzida. A implementação foi realizada sobre uma arquitetura de processamento em fluxo baseada em Apache Kafka e Apache Flink, com persistência de grafos em Neo4j e gerenciamento de estado em RocksDB. Avaliações experimentais foram conduzidas utilizando os conjuntos de dados UNSW-NB15, CIC-IDS2017 e um corpus corporativo anonimizado contendo aproximadamente 400 milhões de eventos. Em comparação com abordagens baseadas em regras, Random Forest e redes LSTM, o método proposto alcançou precisão média de 0,91, recall de 0,88 e F1-score de 0,89, além de reduzir a taxa de falsos positivos em 42% em relação a sistemas SIEM convencionais. Os resultados demonstram que a fusão probabilística de telemetria, combinada à representação estrutural de cadeias de ataque, oferece ganhos substanciais de robustez, interpretabilidade e escalabilidade. Discutimos ainda implicações para arquiteturas modernas de segurança em nuvem, integração com plataformas CNAPP e limitações associadas à modelagem prévia de hipóteses adversariais.

2008-03-21Read paper →Detection

Arquitetura Híbrida Multicamadas para Detecção Proativa de Ameaças Avançadas Baseada em Correlação Semântica, Telemetria Multifuente e Modelos Estatísticos Adaptativos

A detecção eficiente de ameaças avançadas permanece um dos principais desafios operacionais em segurança cibernética contemporânea. Ambientes corporativos modernos são caracterizados por infraestruturas híbridas que combinam recursos on‑premise, nuvens públicas e workloads containerizados, gerando volumes massivos de telemetria heterogênea provenientes de endpoints, redes e plataformas de identidade. Nesse contexto, mecanismos tradicionais de detecção baseados exclusivamente em assinaturas demonstram limitações significativas diante de ataques multiestágio, malware fileless e técnicas living‑off‑the‑land. Este trabalho propõe uma arquitetura híbrida multicamadas para detecção proativa de ameaças avançadas que integra correlação semântica baseada na ontologia MITRE ATT&CK, análise temporal de eventos e modelos estatísticos adaptativos para identificação de comportamentos anômalos. Formalizamos o problema de detecção como a inferência probabilística de cadeias de ataque em fluxos de eventos heterogêneos, considerando restrições operacionais de latência e taxas aceitáveis de falsos positivos. A arquitetura proposta organiza o processo de detecção em três camadas principais: (i) coleta e normalização de telemetria multifuente proveniente de sensores de rede, agentes de endpoint e registros de identidade; (ii) correlação semântica baseada em grafos de técnicas ATT&CK, capaz de identificar sequências plausíveis de atividades adversárias; e (iii) modelagem estatística adaptativa utilizando algoritmos de detecção de anomalias, como Isolation Forest, para identificar desvios comportamentais não observados previamente. Implementamos um protótipo operacional utilizando Elastic Stack, Suricata, Sysmon e Wazuh, integrados a fontes de inteligência de ameaças via MISP. A avaliação experimental foi conduzida em um ambiente controlado contendo múltiplas máquinas virtuais Windows e Linux, no qual foram executados cenários realistas de ataque utilizando ferramentas amplamente documentadas na literatura de segurança ofensiva, incluindo Metasploit, Cobalt Strike e Mimikatz. Os resultados demonstram melhoria substancial no tempo médio de detecção (MTTD), além de maior cobertura de técnicas ATT&CK quando comparado a abordagens baseadas exclusivamente em IDS de rede. Observamos redução aproximada de 37% no MTTD e aumento de 21% na cobertura de técnicas detectadas. Os resultados indicam que arquiteturas híbridas que combinam correlação semântica, análise estatística e telemetria distribuída constituem uma abordagem promissora para operações modernas de Security Operations Center (SOC), particularmente em ambientes híbridos e cloud‑native.

2008-03-14Read paper →Detection

DETECÇÃO ADAPTATIVA MULTICAMADA DE AMEAÇAS AVANÇADAS BASEADA EM FUSÃO BAYESIANA DE TELEMETRIA HETEROGÊNEA E GRAFOS TEMPORAIS

A crescente sofisticação de ameaças cibernéticas em 2025, incluindo ataques multiestágio, exploração de vulnerabilidades zero-day, comprometimentos de cadeia de suprimentos, abuso de identidades e exploração de modelos de inteligência artificial generativa, impõe desafios substanciais aos mecanismos tradicionais de detecção. Neste trabalho, propomos uma arquitetura de detecção adaptativa multicamada fundamentada em fusão Bayesiana recursiva de telemetria heterogênea e modelagem estrutural por grafos temporais dinâmicos. Formalizamos o problema como inferência sobre um processo latente binário que representa a presença de atividade maliciosa ao longo do tempo, estimado a partir de eventos observáveis provenientes de rede, endpoint, identidade, aplicações e workloads em nuvem. A metodologia integra (i) normalização semântica de eventos, (ii) extração de características estatísticas e estruturais, (iii) construção incremental de grafos temporais e (iv) inferência Bayesiana com atualização em log-verossimilhança para estabilidade numérica. Introduzimos ainda um detector estrutural baseado em divergência de Kullback–Leibler entre distribuições de métricas topológicas observadas e baselines históricos. Avaliamos empiricamente o modelo em datasets públicos amplamente utilizados (CIC-IDS2017 e UNSW-NB15) e em um dataset corporativo contendo 2,3 bilhões de eventos anonimizados, comparando-o com Random Forest, XGBoost e LSTM. Os resultados indicam melhoria estatisticamente significativa no $F1$-score e redução consistente da taxa de falsos positivos e do tempo médio de detecção de movimento lateral. Discutimos implicações em ambientes Zero Trust e CNAPP, robustez a concept drift e riscos de envenenamento de dados. Demonstramos que a fusão probabilística coerente de múltiplas evidências fracas, combinada à análise estrutural de grafos temporais, fornece ganhos substanciais de precisão e latência, mantendo escalabilidade operacional em arquiteturas distribuídas modernas.

2007-04-29Read paper →Detection

Detecção Adaptativa de Ameaças Persistentes Avançadas por Modelagem Temporal Multimodal e Inferência Probabilística em Larga Escala

A crescente sofisticação de Ameaças Persistentes Avançadas (APTs) em ambientes híbridos e nativos de nuvem impõe desafios substanciais à detecção precoce de comprometimentos. Em 2025, o cenário operacional incorpora arquiteturas multi-cloud, CNAPP (Cloud-Native Application Protection Platforms), workloads efêmeros, telemetria via eBPF e riscos emergentes associados a modelos de linguagem de grande porte (LLMs). Neste trabalho, propomos um modelo formal para detecção adaptativa de APTs baseado na integração entre grafos dinâmicos multimodais e processos de Hawkes multivariados, estruturado sob uma perspectiva Bayesiana explícita. Formalizamos o fluxo de eventos como uma sequência temporal heterogênea e modelamos a propagação de atividade maliciosa como processo autoexcitatório com restrições de estabilidade espectral. A decisão ótima é derivada sob perda 0–1 com limitação explícita de taxa de falsos positivos, enfrentando o problema fundamental de base rate. Implementamos a arquitetura em ambiente distribuído com Apache Kafka, Apache Flink e armazenamento distribuído, incorporando extração de telemetria baseada em eBPF e enriquecimento contextual alinhado ao MITRE ATT&CK. Avaliamos o modelo nos conjuntos CIC-IDS2017, DARPA Transparent Computing e em um dataset corporativo anonimizado com 2,3 bilhões de eventos. Os resultados demonstram ganho estatisticamente significativo (p < 0,01) em F1-score, redução de 38% na taxa de falsos positivos e AUC de 0,97 em comparação com baselines como Isolation Forest, LSTM e regras Sigma. Discutimos ainda implicações para segurança de sistemas baseados em IA, governança de modelos e integração com controles pós-quânticos emergentes. Concluímos que a modelagem probabilística relacional fornece base teórica robusta e operacionalmente viável para detecção adaptativa em larga escala, compatível com exigências contemporâneas de observabilidade, conformidade e resiliência cibernética.

2007-04-22Read paper →Detection

DETECÇÃO ADAPTATIVA MULTICAMADA DE AMEAÇAS AVANÇADAS BASEADA EM FUSÃO PROBABILÍSTICA E APRENDIZADO CONTÍNUO EM AMBIENTES CORPORATIVOS HETEROGÊNEOS

A detecção de ameaças em ambientes corporativos contemporâneos tornou-se um problema estruturalmente complexo em virtude da convergência entre infraestruturas híbridas, arquiteturas multinuvem, dispositivos móveis, workloads conteinerizados, superfícies expostas por APIs e integração crescente de sistemas baseados em inteligência artificial. Relatórios recentes indicam que credenciais comprometidas, exploração de vulnerabilidades conhecidas e abuso de ferramentas legítimas continuam figurando entre os principais vetores de intrusão, enquanto o tempo médio de permanência do atacante (dwell time) permanece significativo, evidenciando limitações nos mecanismos tradicionais de detecção (VERIZON, 2024; MANDIANT, 2023). Neste trabalho, formalizamos o problema de detecção quase em tempo real como inferência probabilística sobre um estado latente de comprometimento sistêmico, modelado por um processo de Markov e estimado via fusão de evidências heterogêneas provenientes de múltiplas camadas telemétricas. Propomos o framework AMuLeT (Adaptive Multi-Layer Threat detection), que combina classificadores supervisionados e autoencoders por camada, integrados por meio de uma regra de razão de verossimilhança logarítmica sob hipótese de independência condicional aproximada. Introduzimos ainda um mecanismo de aprendizado contínuo com regularização elástica para mitigar concept drift e evolução adversarial, preservando parâmetros historicamente relevantes. Avaliamos empiricamente a abordagem em datasets públicos amplamente utilizados e em um dataset corporativo de larga escala, totalizando bilhões de eventos. Os resultados demonstram ganhos estatisticamente significativos em AUC, F1-score, taxa de falsos positivos e redução do tempo médio de detecção, quando comparados a modelos isolados. Discutimos implicações práticas à luz de recomendações do NIST e tendências contemporâneas como CNAPP, eBPF e segurança de modelos de linguagem de grande porte, delineando extensões futuras envolvendo grafos dinâmicos e aprendizado federado com garantias formais de privacidade diferencial.

2007-04-15Read paper →Detection

Detecção Híbrida e Adaptativa de Ameaças Cibernéticas em Ambientes Corporativos por Meio de Correlação Temporal Multinível e Aprendizado de Representações para Sistemas de Detecção de Intrusões

Em ambientes corporativos, a detecção eficaz de ameaças cibernéticas exige a integração de múltiplas fontes de telemetria, o tratamento de grandes volumes de registros e a capacidade de correlacionar eventos distribuídos ao longo do tempo. Neste artigo, propomos uma abordagem híbrida para detecção de intrusões baseada em correlação temporal multinível e aprendizado de representações, adequada ao contexto tecnológico até 2007. A motivação decorre da limitação de sistemas puramente baseados em assinaturas, que apresentam baixa eficácia diante de ataques inéditos, variações de scripts, exploração de vulnerabilidades conhecidas e abusos de credenciais válidas. Formalizamos o problema como a estimação da probabilidade de malignidade de sequências de eventos provenientes de registros de rede, si

2007-04-08Read paper →Detection

Detecção Adaptativa Multinível de Ameaças Persistentes Avançadas por Correlação Probabilística de Telemetria Heterogênea

evidencias_insuficientes Confirmado --> Resposta : acao_automatica Resposta --> Normal : mitigacao_concluida ``` Cada transição é condicionada por um limiar $\tau$ definido pelo sistema de inferência. Propriedade 1 — Convergência da Inferência Supondo que as evidências observadas sejam geradas por um processo estacionário e que os estimadores de probabilidade sejam consistentes, a estimativa posterior converge para a probabilidade verdadeira. Formalmente: $$ \lim_{n \to \infty} P(A|E_1, ..., E_n) = P^(A) $$ onde $P^(A)$ representa a probabilidade real de comprometimento. Prova (esboço

2006-04-19Read paper →Detection

Detecção Híbrida Adaptativa de Ameaças Avançadas Baseada em Grafos Temporais Dinâmicos e Aprendizado Autossupervisionado em Ambientes Corporativos de Alta Escala

autossupervisionadas específicas ao domínio de segurança; (C3) análise de complexidade e propriedades de separabilidade local; (C4) avaliação empírica com testes estatísticos não paramétricos. 2. Background and Related Work 2.1 Taxonomia de IDS IDS podem ser classificados em: 1. Baseados em assinatura (ROESCH, 1999). 2. Baseados em anomalia estatística (LEE; STOLFO, 1998). 3. Modelos sequenciais profundos, como DeepLog (DU et al., 2017). 4. Modelos baseados em grafos, como GCN (KIPF; WELLING, 2017). Modelos estatísticos frequentemente assumem estacionariedade, hipótese violada sob d

2006-04-12Read paper →