Research / Paper Files
Paper Files
Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.
Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.
DAI & ADAI · 2026
DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis
DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…
Ler o paper →ADAI · PTInteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção
ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…
Ler o paper →104 papers
Arquiteturas Avançadas de Identity and Access Management (IAM): Modelagem Formal de Ameaças, Endurecimento Operacional e Avaliação Empírica em Ambientes Corporativos Distribuídos (2006)
advanced_sql_injection.pdf. Acesso em: 13 abr. 2006. ANSI. INCITS 359-2004: Role Based Access Control. Washington, DC: American National Standards Institute, 2004. Disponível em: https://webstore.ansi.org. Acesso em: 13 abr. 2006. BEJTLICH, R. The Tao of Network Security Monitoring. Boston: Addison-Wesley, 2004. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/tao-of-network-security-monitoring/P200000003313. Acesso em: 13 abr. 2006. BELL, D. E.; LAPADULA, L. J. Secure Computer Systems: Mathematical Foundations. Bedford, MA: MITRE, 1973. Disponível em: https://apps.dtic.mil/st
Read paper →IAMArquiteturas Avançadas de Gerenciamento de Identidade e Acesso (IAM): Modelagem Formal de Ameaças, Engenharia de Controles e Avaliação Empírica em Ambientes Corporativos Distribuídos
A consolidação de diretórios corporativos (Active Directory e LDAP) e a ampla exposição de aplicações web no início da década de 2000 deslocaram o eixo da segurança de perímetro para o controle robusto de identidades. Worms de propagação rápida (Code Red, Slammer) e falhas sistêmicas de autenticação evidenciaram que a exploração remota e o uso indevido de credenciais válidas resultam em incidentes de grande escala, com impacto direto na continuidade de serviços críticos. Propomos uma arquitetura de Gerenciamento de Identidade e Acesso (IAM) compatível com o estado da prática até 2006, aliando uma formalização matemática do risco baseado em grafos de permissão a um conjunto de controles operacionais e detectivos: autenticação forte com tokens OTP e certificados X.509, princípio do menor privilégio, segregação de funções, monitoramento via IDS de rede e correlação de eventos por plataformas SIEM de primeira geração. Modelamos identidades, papéis e objetos como um grafo direcionado, definimos a função de risco $R(u)=P_c(u)\times I(u)$, introduzimos pesos de criticidade para objetos e apresentamos algoritmos para (i) cálculo eficiente de alcançabilidade, (ii) identificação de caminhos de escalonamento e (iii) recomposição de papéis sob restrições de segregação de funções. Demonstramos que a minimização exata do risco com restrições realistas é NP-difícil por redução ao problema de cobertura mínima de conjuntos, e propomos heurísticas com garantias de aproximação que, em nossos experimentos, reduzem significativamente a superfície de ataque. Em avaliação empírica conduzida em um ambiente corporativo com Windows Server 2003 e IIS 6.0, empregando Snort 2.6, Nessus 2.x, Nmap 4.x, Metasploit 2.x e correlação de eventos via ArcSight ESM e SEC, observamos reduções substanciais no tempo médio de detecção (MTTD) e no número de contas com privilégios excessivos. Realizamos, ainda, um estudo de caso com 4.800 usuários, no qual a aplicação do modelo formal e dos controles propostos reduziu privilégios administrativos globais em 53% e diminuiu eventos de logon privilegiado fora do horário comercial, sem degradação operacional mensurável. Os resultados corroboram que a integração entre modelagem formal e engenharia de controles disponível até 2006 mitiga riscos associados a abuso de credenciais e escalonamento de privilégios, ao mesmo tempo em que preserva requisitos de disponibilidade e conformidade regulatória.
Read paper →IAMArquiteturas de Identity and Access Management (IAM): Modelagem Formal de Ameaças, Controles de Perímetro e Avaliação Experimental em Ambientes Corporativos (2006)
Apresentamos uma arquitetura integrada de gestão de identidades e acessos (IAM) adequada a ambientes corporativos em 2006, combinando modelagem formal de risco, controles de perímetro e monitoramento contínuo com tecnologias amplamente disponíveis à época. Partimos da observação de que a expansão de diretórios corporativos (notadamente Active Directory e LDAP), o crescimento de aplicações web internas, o uso de VPN e a interconexão entre parceiros ampliaram a superfície de ataque centrada em credenciais, deslocando o foco de um perímetro puramente de rede para um perímetro lógico de identidades. Formalizamos o risco de identidades como soma ponderada de impactos e probabilidades condicionais de exploração, decompostas em probabilidade de comprometimento e probabilidade de uso malicioso de permissões, e demonstramos propriedades de monotonicidade e limites superiores sob políticas de bloqueio e endurecimento criptográfico. Propomos uma metodologia em cinco camadas: inventário e classificação de identidades; fortalecimento de autenticação com políticas robustas de senha, certificados X.509 e tokens OTP; governança de privilégios via RBAC e minimização de papéis; monitoramento com IDS de rede (Snort) e correlação de eventos com plataformas SIM/SEM da época (ArcSight) e coleta por syslog-ng; e resposta a incidentes baseada em procedimentos NIST SP 800-61. Implementamos e avaliamos a abordagem em ambiente representativo com Windows Server 2003, OpenLDAP 2.3, Snort 2.6, Nessus 2.2, Nmap 4.x, syslog-ng e ArcSight ESM. Conduzimos 120 simulações incluindo adivinhação de senhas distribuída (low-and-slow), injeção de SQL, exploração de buffer overflow e escalonamento de privilégios, e medimos métricas de detecção e resposta (TPR, FPR, MTTD, MTTR) antes e depois da intervenção. Observamos redução de 73% nas contas privilegiadas permanentes, queda de 57% no MTTD e de 61% no MTTR, além de diminuição estatisticamente significativa da probabilidade estimada de comprometimento de identidades críticas. Um estudo de caso com phishing direcionado a administrador evidenciou a eficácia de autenticação baseada em certificado e tokens OTP frente a credenciais vazadas. Discutimos limitações práticas (custos de PKI, complexidade operacional) e ameaças à validade (viés de ambiente controlado). Concluímos que a integração disciplinada de IAM com controles de perímetro e monitoramento — alinhada a normas e ferramentas disponíveis até 2006 — reduz o risco agregado associado a identidades. Como continuidade, delineamos linhas de aprofundamento para refinar a estimação probabilística com base em eventos observáveis, mantendo estrita aderência ao estado da arte até 2006.
Read paper →IAMArquitetura Operacional de Gestão de Identidades e Acessos (IAM) Resiliente a Ameaças em Infraestruturas Heterogêneas: Modelagem, Implementação e Avaliação Empírica
A gestão de identidades e acessos (IAM) consolidou-se, até 2006, como pilar da segurança corporativa em ambientes heterogêneos compostos por diretórios LDAP, domínios Windows com Kerberos/NTLM, federações SAML 1.1, VPNs e aplicações legadas. Paralelamente, o cenário de ameaças demonstrou que o abuso de credenciais, fraquezas de autenticação e autorizações excessivas são vetores consistentes de comprometimento, frequentemente explorados em conjunto com vulnerabilidades de rede e serviços (e.g., RPC/SMB) e com técnicas de ataque como captura e quebra offline de hashes LM/NTLM e relays de autenticação. Neste artigo, desenvolvemos uma arquitetura operacional de IAM com ênfase em resiliência a ameaças ativas conhecidas em 2006, fundamentada por modelagem formal de risco e por controles práticos viáveis naquele período: autenticação forte via cartões inteligentes (PIV/PKI) e tokens OTP (RSA SecurID), autorização baseada em funções com restrições contextuais por XACML 2.0, segmentação de privilégios e correlação de eventos com IDS de rede (Snort, Bro) e HIDS (OSSEC) integrados a SIEM open source (OSSIM). Formalizamos o risco por identidade como R_i = P_c(i) × I_i, explicitando como a combinação de redução da superfície de privilégio S_p e de melhoria do tempo médio de detecção (MTTD) altera o produto risco-impacto. Propomos ainda um escore de sessão baseado em heurísticas determinísticas (horário, origem IP, falhas recentes) conforme o nível de garantia do NIST SP 800-63 (2004). Implementamos a arquitetura em laboratório representativo de 2006 com Microsoft Active Directory 2003 R2, OpenLDAP 2.3, Shibboleth 1.2, XACML 2.0 (SunXACML), Snort 2.4, Bro, OSSEC e OSSIM 0.9, avaliando 1.200 usuários (150 privilegiados) frente a ataques plausíveis à época (varredura Nmap, avaliação Nessus 2.2, exploração controlada com Metasploit 2.7, extração de hashes com pwdump/fgdump e quebra offline com John the Ripper e tabelas arco-íris). Os resultados indicam redução de 66,7% na superfície de privilégio observável, diminuição do MTTD de 14 para 6,1 minutos e contenção automática de 79% dos cenários testados, com impacto operacional aceitável. Apresentamos um estudo de caso em empresa de tecnologia de médio porte, discutindo governança, compliance (ISO/IEC 27001:2005; ISO/IEC 17799:2005), limitações (telemetria e precisão de correlação) e implicações práticas para arquiteturas de 2006. O trabalho oferece um artefato integrado, historicamente coerente, que alia rigor formal, engenharia de segurança e aplicabilidade real, apoiado por referências consolidadas até 2006.
Read paper →IAMArquitetura Zero Trust para Identity and Access Management (IAM): Modelagem de Ameaças, Implementação em Nuvem Híbrida e Avaliação Experimental
Identity and Access Management (IAM) tornou-se o núcleo da segurança cibernética moderna, especialmente em ambientes híbridos e multicloud onde identidades humanas e não humanas superam em número os ativos tradicionais de rede. Este trabalho apresenta uma arquitetura integrada de IAM baseada em princípios Zero Trust, combinando controle adaptativo de acesso, autenticação multifator resistente a phishing, governança automatizada de privilégios e detecção comportamental baseada em telemetria contínua. Propomos um modelo formal de ameaça alinhado ao MITRE ATT&CK, considerando vetores como credential stuffing (T1110), abuso de OAuth (T1528), exploração de serviços de federação (ex.: CVE-2020-0688) e comprometimento de contas privilegiadas (T1078). Nossa metodologia integra controles do NIST SP 800-63, SP 800-207 e ISO/IEC 27001 com práticas operacionais observadas em incidentes reais, incluindo abuso de Azure AD, AWS IAM e Active Directory híbrido. Implementamos um ambiente experimental composto por Active Directory on-premises, Azure AD, AWS IAM, Keycloak e FreeIPA, com mais de 5.000 identidades simuladas e 1,2 milhão de eventos de autenticação. Avaliamos métricas como taxa de detecção de anomalias, tempo médio de revogação de privilégios (MTTR-IAM) e redução de superfície de ataque após aplicação de políticas de privilégio mínimo e acesso Just-in-Time (JIT). Os resultados demonstram redução de 63% na exposição a credenciais comprometidas e diminuição de 48% no tempo médio de contenção de incidentes relacionados a identidade. Apresentamos ainda um estudo de caso baseado em um cenário de ransomware iniciado por comprometimento de credenciais VPN, detalhando procedimentos de resposta, hunting e erradicação. Concluímos que a convergência entre governança de identidade, telemetria comportamental e automação orientada a risco é essencial para enfrentar ameaças modernas, propondo direções futuras como verifiable credentials descentralizadas e autenticação contínua baseada em risco.
Read paper →IAMArquiteturas Avançadas de Identity and Access Management (IAM): Modelagem de Ameaças, Implementação Zero Trust e Avaliação Experimental em Ambientes Híbridos
Identity and Access Management (IAM) tornou-se o núcleo da segurança cibernética moderna diante da dissolução do perímetro tradicional, da adoção massiva de computação em nuvem e da expansão do trabalho remoto. Violações recentes exploraram credenciais comprometidas, configurações inadequadas de privilégios e falhas em federação de identidade, evidenciando que a superfície de ataque primária é a própria identidade digital. Neste artigo, propomos uma abordagem arquitetural e metodológica para implementação de IAM sob o paradigma Zero Trust, integrando autenticação multifator adaptativa, controle de acesso baseado em atributos (ABAC), gestão de privilégios (PAM) e monitoramento contínuo orientado por telemetria. Formalizamos um modelo de ameaças fundamentado no MITRE ATT&CK, considerando técnicas como T1078 (Valid Accounts), T1550 (Use of Web Tokens) e T1556 (Modify Authentication Process). Desenvolvemos uma metodologia operacional baseada em ferramentas reais — Keycloak, Azure AD, Okta, HashiCorp Vault, CyberArk, Open Policy Agent e SIEM/SOAR — e avaliamos seu desempenho em ambiente híbrido (on-premises + AWS/Azure), medindo latência de autenticação, taxa de falsos positivos em detecção de anomalias e redução de privilégios excessivos. Os experimentos demonstram redução de 63% em contas com privilégios administrativos permanentes e diminuição de 48% no tempo médio de detecção de uso indevido de credenciais. Apresentamos ainda um estudo de caso envolvendo comprometimento via OAuth misconfiguration explorando CVE-2021-44228 (Log4Shell) como vetor inicial para extração de tokens. Discutimos limitações operacionais, trade-offs entre usabilidade e segurança, e implicações regulatórias (LGPD, ISO/IEC 27001, NIST SP 800-63). Concluímos que uma arquitetura IAM baseada em princípios de verificação contínua, microsegmentação lógica e análise comportamental reduz significativamente risco sistêmico, mas exige governança madura e automação extensiva.
Read paper →IAMArquiteturas Avançadas de Identity and Access Management (IAM): Modelagem de Ameaças, Hardening Operacional e Avaliação Experimental em Ambientes Híbridos e Multi-Cloud
Identity and Access Management (IAM) tornou-se o núcleo de segurança em arquiteturas modernas baseadas em nuvem, ambientes híbridos e infraestruturas Zero Trust. A crescente adoção de serviços SaaS, IaaS e PaaS, combinada com força de trabalho distribuída e integrações API-first, ampliou significativamente a superfície de ataque associada a credenciais, tokens, federação e controle de privilégios. Este artigo apresenta uma abordagem sistemática e operacional para análise, implementação e avaliação de arquiteturas IAM robustas, integrando princípios de Zero Trust, controles baseados em risco, autenticação multifator adaptativa e monitoramento contínuo. Inicialmente, discutimos o estado da arte, incluindo padrões como OAuth 2.0, OpenID Connect, SAML 2.0 e SCIM, bem como frameworks de referência como NIST SP 800-63 e MITRE ATT&CK. Em seguida, formalizamos um modelo de ameaças orientado a TTPs reais, incluindo credential stuffing (T1110), exploração de tokens OAuth mal configurados, privilege escalation via misconfiguration em Active Directory e abuso de permissões excessivas em ambientes AWS/Azure. Propomos uma metodologia prática de hardening baseada em segmentação de identidade, política de menor privilégio dinâmica, uso de hardware-backed keys (FIDO2), detecção comportamental via SIEM/UEBA e automação SOAR. Implementamos o modelo em um ambiente híbrido envolvendo Microsoft Entra ID (Azure AD), AWS IAM, Keycloak e Active Directory on-premises, integrando ferramentas como BloodHound, AzureADInternals, Mimikatz e Elastic Security para validação ofensiva e defensiva. A avaliação experimental mediu métricas como redução de risco residual, tempo médio de detecção (MTTD) e impacto na latência de autenticação, demonstrando redução de 63% em caminhos de privilege escalation e diminuição de 48% no MTTD. Um estudo de caso realista em organização financeira ilustra como ataques baseados em token replay e abuso de consentimento OAuth podem ser mitigados. Concluímos que IAM deve ser tratado como sistema crítico distribuído, exigindo abordagem contínua de engenharia de segurança, testes adversariais e governança técnica. O trabalho oferece diretrizes práticas e quantitativas para arquiteturas IAM resilientes em cenários contemporâneos.
Read paper →IAMArquiteturas Avançadas de Identity and Access Management (IAM): Modelagem de Ameaças, Implementação Zero Trust e Avaliação Experimental em Ambientes Híbridos e Multi-Cloud
Identity and Access Management (IAM) consolidou-se como o principal perímetro de segurança em ambientes corporativos modernos, substituindo o modelo tradicional centrado em rede por um paradigma centrado em identidade. Com a adoção massiva de computação em nuvem, arquiteturas híbridas, DevOps e trabalho remoto, identidades humanas e não humanas tornaram-se o vetor primário de ataque, explorado por técnicas como credential stuffing (T1110), abuso de OAuth (T1528) e exploração de trust relationships (T1484), conforme a matriz MITRE ATT&CK. Este trabalho apresenta uma abordagem metodológica e operacional para o projeto, implementação e avaliação de arquiteturas IAM resilientes, alinhadas aos princípios Zero Trust (NIST SP 800-207). Formalizamos um modelo de ameaças específico para IAM em ambientes híbridos e multi-cloud, considerando adversários com diferentes níveis de capacidade e acesso inicial. Propomos uma metodologia integrada que combina Identity Governance and Administration (IGA), Privileged Access Management (PAM), autenticação multifator adaptativa (MFA), políticas baseadas em risco, detecção comportamental e integração com SIEM/SOAR. Implementamos um laboratório experimental utilizando Active Directory, Azure AD (Microsoft Entra ID), Okta, Keycloak e AWS IAM, além de ferramentas como BloodHound, Mimikatz, AADInternals, Terraform e Elastic Stack para validação ofensiva e defensiva. A avaliação experimental incluiu 37 cenários de ataque baseados em TTPs reais, medindo taxa de detecção, tempo médio de resposta e redução de superfície de ataque. Demonstramos que a combinação de MFA resistente a phishing (FIDO2), segregação de privilégios JIT (Just-in-Time) e monitoramento contínuo reduz em até 72% a probabilidade de escalonamento lateral bem-sucedido. O estudo inclui um caso prático de comprometimento de identidade privilegiada em ambiente híbrido, analisando falhas de governança e propondo contramedidas técnicas e processuais. Concluímos com diretrizes operacionais e perspectivas futuras envolvendo identidades de máquinas, workloads efêmeros e autenticação sem senha.
Read paper →IAMArquitetura Zero Trust para Identity and Access Management (IAM): Modelagem de Ameaças, Implementação Prática e Avaliação Experimental em Ambientes Híbridos
Identity and Access Management (IAM) tornou-se o eixo central da segurança cibernética contemporânea, especialmente em ambientes híbridos e multicloud onde a identidade substituiu o perímetro tradicional como principal superfície de ataque. Neste trabalho, propomos uma arquitetura integrada de IAM orientada a Zero Trust, combinando princípios de least privilege, autenticação multifator adaptativa, controle de acesso baseado em atributos (ABAC) e monitoramento contínuo orientado a telemetria comportamental. Formalizamos um modelo de ameaças alinhado ao MITRE ATT&CK, enfatizando técnicas como T1078 (Valid Accounts), T1556 (Modify Authentication Process) e T1552 (Unsecured Credentials). Implementamos um ambiente experimental utilizando Microsoft Entra ID (Azure AD), Active Directory on-premises, Okta, Keycloak, HashiCorp Vault e ferramentas de detecção como Microsoft Defender for Identity e Elastic SIEM. A metodologia inclui testes de penetração controlados, simulações de adversários (Atomic Red Team) e análise quantitativa de métricas como Mean Time to Detect (MTTD) e Mean Time to Respond (MTTR). Avaliamos 120 cenários de ataque envolvendo credential stuffing, pass-the-hash, Golden Ticket (CVE-2020-17049) e exploração de falhas de sincronização entre diretórios híbridos. Os resultados demonstram redução de 63% no risco residual quando aplicadas políticas dinâmicas de Conditional Access com autenticação baseada em risco. Observamos ainda diminuição de 47% no tempo médio de escalonamento indevido de privilégios após implementação de Privileged Access Management (PAM) just-in-time. O estudo apresenta um caso prático de comprometimento inicial via phishing (T1566) seguido de lateral movement com Kerberoasting (T1558.003), evidenciando a eficácia da arquitetura proposta na contenção do ataque. Concluímos que a maturidade em IAM requer integração entre governança, engenharia de identidade e telemetria contínua, destacando direções futuras envolvendo identidade descentralizada (DID), FIDO2 e verifiable credentials.
Read paper →IAMArquitetura Avançada de Identity and Access Management (IAM): Modelagem de Ameaças, Implementação Zero Trust e Avaliação Empírica em Ambientes Híbridos e Multicloud
Identity and Access Management (IAM) tornou-se o núcleo operacional da segurança cibernética moderna, especialmente diante da adoção massiva de ambientes multicloud, DevSecOps, microsserviços e trabalho remoto. Comprometimentos recentes demonstram que identidades — humanas e não humanas — representam o novo perímetro de segurança. Este artigo propõe uma arquitetura avançada de IAM baseada em princípios de Zero Trust, modelagem formal de ameaças e monitoramento comportamental contínuo, combinando RBAC, ABAC e controle adaptativo de risco. Formalizamos um modelo de ameaça alinhado ao MITRE ATT&CK, identificando vetores como credential stuffing (T1110), abuso de tokens OAuth (T1528) e escalonamento de privilégios em nuvem (T1068). Propomos uma metodologia operacional estruturada em cinco camadas: governança de identidades, autenticação forte, autorização contextual, gestão de privilégios (PAM) e detecção comportamental. Implementamos um ambiente experimental híbrido com Active Directory, Azure AD, Keycloak, HashiCorp Vault e integração com SIEM (Splunk) e EDR (Microsoft Defender for Endpoint). Avaliamos métricas como taxa de detecção de abuso de privilégio, tempo médio para revogação de acesso e redução de superfície de ataque. Os resultados demonstram redução de 62% em acessos excessivos e diminuição de 48% no tempo médio de contenção. Um estudo de caso real envolvendo comprometimento de conta privilegiada ilustra a aplicação prática da arquitetura. Concluímos que a integração entre controle adaptativo, monitoramento contínuo e automação de resposta é essencial para mitigar ameaças modernas baseadas em identidade. O trabalho contribui com uma abordagem operacional replicável e métricas quantitativas para avaliação de maturidade em IAM.
Read paper →IAMArquiteturas Avançadas de Identity and Access Management (IAM) em Ambientes Híbridos e Multi-Cloud: Modelagem de Ameaças, Implementação Zero Trust e Avaliação Empírica
Identity and Access Management (IAM) tornou-se o núcleo operacional da segurança cibernética contemporânea, especialmente em ambientes híbridos e multi-cloud caracterizados por alta elasticidade, APIs expostas e integração contínua. Violações recentes demonstram que comprometimentos de identidade — e não apenas vulnerabilidades técnicas tradicionais — são vetores primários de intrusão, persistência e exfiltração. Neste trabalho, apresentamos uma abordagem sistemática e operacional para o desenho, implementação e avaliação de arquiteturas IAM resilientes, integradas a princípios de Zero Trust e alinhadas ao MITRE ATT&CK. Formalizamos um modelo de ameaças centrado em abuso de credenciais, escalonamento de privilégios, movimento lateral via tokens e exploração de configurações incorretas (misconfigurations) em provedores como AWS, Azure e GCP. Propomos uma metodologia prática que combina autenticação multifator resistente a phishing (FIDO2/WebAuthn), políticas de acesso baseadas em atributos (ABAC), detecção comportamental com UEBA, e hardening automatizado com Infrastructure as Code (IaC). Implementamos a arquitetura em um ambiente experimental com 1.200 identidades, integrando ferramentas como Okta, Azure AD, AWS IAM, HashiCorp Vault, Open Policy Agent (OPA) e Elastic SIEM. Avaliamos métricas de redução de superfície de ataque, tempo médio de detecção (MTTD), tempo médio de resposta (MTTR) e taxa de privilégios excessivos. Nossos resultados indicam redução de 63% em permissões excessivas, diminuição de 48% no MTTD para ataques T1078 (Valid Accounts) e bloqueio de 92% de tentativas de phishing via MFA resistente. Apresentamos ainda um estudo de caso baseado em incidente real de abuso de tokens OAuth, detalhando tradecraft ofensivo e controles defensivos. Concluímos que a maturidade em IAM deve ser tratada como disciplina contínua de engenharia de segurança, com monitoramento ativo, auditoria constante e integração profunda ao ciclo DevSecOps.
Read paper →IAMArquiteturas e Operações de Identity and Access Management (IAM): Modelagem Formal de Ameaças e Avaliação Experimental em Ambientes Corporativos Heterogêneos
A gestão de identidades e acessos (Identity and Access Management – IAM) consolidou-se, ao longo da última década, como um dos pilares centrais da segurança da informação em ambientes corporativos distribuídos. Em 2009, organizações enfrentam cenários caracterizados por diretórios corporativos baseados em LDAP e Active Directory, adoção inicial de serviços em nuvem como Amazon Web Services (AWS), consolidação de federação de identidades via SAML 2.0 e crescente mobilidade decorrente da popularização de smartphones. Nesse contexto, credenciais comprometidas, privilégios excessivos e configurações inadequadas de políticas de acesso constituem vetores recorrentes de intrusão, frequentemente explorados por campanhas direcionadas de spear phishing e movimentação lateral interna. Neste trabalho, propomos uma abordagem metodológica formal para modelagem de risco associado a privilégios excessivos, combinando teoria de grafos, métricas quantitativas e experimentação controlada em laboratório corporativo representativo do estado da arte em 2009. Formalizamos a matriz de autorização como estrutura binária ponderada e definimos uma métrica de Risco de Privilégio Excessivo (RPE) baseada em pesos de criticidade operacional. Modelamos a superfície de escalonamento lateral como grafo direcionado e analisamos caminhos mínimos até privilégios administrativos. Implementamos experimentalmente nossa metodologia em ambiente composto por Windows Server 2008 Active Directory, serviços Linux com OpenLDAP, aplicações web protegidas por SAML e instâncias na AWS EC2. Utilizamos ferramentas amplamente disponíveis à época, como Metasploit Framework, Mimikatz (versões iniciais), Burp Suite, IDA Pro e Volatility Framework, tanto para simulação ofensiva quanto para validação defensiva. Os resultados indicam redução significativa da superfície de privilégio e do tempo médio de detecção mediante aplicação sistemática do princípio do menor privilégio, segmentação administrativa e monitoramento centralizado de logs. Concluímos que a modelagem formal integrada a práticas operacionais realistas fornece base rigorosa para governança de identidades em ambientes heterogêneos, antecipando desafios estruturais que se intensificam com a expansão de serviços federados e computação em nuvem.
Read paper →IAMArquiteturas de Identity and Access Management (IAM): Modelagem Formal de Ameaças, Implementação em Ambientes Corporativos Híbridos e Avaliação Experimental (2009)
A gestão de identidades e acessos (Identity and Access Management – IAM) consolidou-se, ao longo da última década, como componente estruturante das arquiteturas de segurança corporativa. Em 2009, diante da intensificação de campanhas de spear phishing, da profissionalização de grupos de espionagem digital e da crescente adoção de virtualização e serviços iniciais de computação em nuvem, observamos que o comprometimento de credenciais válidas tornou-se vetor predominante de intrusão. Este trabalho investiga, sob perspectiva formal e experimental, como arquiteturas IAM podem ser projetadas para reduzir riscos associados a acesso não autorizado, escalonamento de privilégios e movimento lateral em ambientes híbridos compostos por diretórios corporativos, aplicações web e infraestruturas virtualizadas. Formalizamos um modelo matemático de autorização baseado em conjuntos de identidades, privilégios, recursos e contexto operacional, definindo explicitamente o problema de minimização de risco como função da probabilidade e do impacto de eventos adversariais. Propomos metodologia estruturada em cinco camadas: inventário de identidades, segregação de privilégios segundo o princípio do menor privilégio, autenticação forte multifator, monitoramento contínuo de eventos de segurança e resposta a incidentes orientada por evidências forenses. Implementamos experimentalmente a arquitetura em ambiente com Microsoft Active Directory, federação SAML 2.0, integração com aplicações web corporativas e instâncias virtuais em infraestrutura IaaS inicial (Amazon EC2), empregando ferramentas como Metasploit, Burp Suite, IDA Pro e Volatility para simulação e análise de ataques. Conduzimos 120 experimentos controlados envolvendo técnicas como password spraying, Kerberoasting e Pass-the-Hash. Os resultados indicam redução estatisticamente significativa da taxa de sucesso de escalonamento de privilégios e diminuição do tempo médio de detecção. Concluímos que a incorporação de modelagem formal de ameaças ao ciclo de vida de IAM produz ganhos mensuráveis de segurança, desde que acompanhada por governança organizacional adequada e monitoramento sistemático.
Read paper →IAMArquitetura de Confiança Mínima e Resiliência Operacional em Identity and Access Management (IAM): Modelagem de Ameaças, Implementação Prática e Avaliação Empírica em Ambientes Corporativos Heterogêneos (2009)
A gestão de identidades e acessos (Identity and Access Management – IAM) consolidou-se, ao longo da última década, como elemento estruturante da segurança da informação em organizações de médio e grande porte. Em 2009, com a consolidação de diretórios corporativos baseados em LDAP e Active Directory, a adoção crescente de federação via SAML 2.0 e a emergência de modelos iniciais de computação em nuvem, a superfície de ataque deslocou-se progressivamente para o plano de controle de identidade. Incidentes amplamente documentados demonstram que o comprometimento de credenciais legítimas, seja por spear phishing, seja por técnicas como pass-the-hash e kerberoasting, pode conduzir à escalada de privilégios e ao comprometimento sistêmico. Neste trabalho, propomos uma arquitetura de confiança mínima aplicada a IAM, fundamentada em princípios de menor privilégio, segmentação administrativa e verificação contínua de contexto. Formalizamos o problema de escalonamento de privilégios como um grafo direcionado de relações de confiança e definimos métricas quantitativas de risco baseadas em caminhos mínimos privilegiados. Implementamos um laboratório experimental com controladores de domínio Windows Server 2008, serviços LDAP, federação SAML 2.0 e mecanismos de autenticação forte (smart cards e OTP), avaliando 120 cenários controlados de ataque com ferramentas como Metasploit, John the Ripper e técnicas de extração de credenciais em memória. Os resultados indicam redução significativa da cardinalidade de arestas privilegiadas, diminuição do tempo médio de detecção (MTTD) e mitigação efetiva de vetores clássicos de movimento lateral. Complementamos a análise com estudo de caso em organização de grande porte, evidenciando ganhos mensuráveis em governança de identidades e redução de contas órfãs. Concluímos que a aplicação sistemática de princípios de confiança mínima e segmentação administrativa, combinada com monitoramento estruturado de eventos de autenticação, aumenta substancialmente a resiliência operacional de ambientes corporativos heterogêneos no contexto tecnológico de 2009.
Read paper →IAMArquiteturas de Identity and Access Management em Ambientes Corporativos Híbridos: Modelagem Formal de Ameaças e Avaliação Experimental no Contexto de APTs (2010)
A consolidação de campanhas de Ameaças Persistentes Avançadas (APTs), evidenciada por incidentes como a Operação Aurora e o Stuxnet, marcou uma inflexão no papel da gestão de identidades e acessos (Identity and Access Management – IAM) na segurança corporativa. Em 2010, organizações já operavam ambientes híbridos compostos por diretórios corporativos (Active Directory), aplicações web internas, serviços terceirizados e as primeiras infraestruturas de computação em nuvem, como Amazon Web Services. Nesse cenário, credenciais válidas tornaram-se vetor privilegiado de ataque, viabilizando movimentação lateral, escalonamento de privilégios e exfiltração de dados sensíveis. Neste trabalho, tratamos o IAM como sistema distribuído crítico e propomos uma abordagem integrada que combina modelagem formal de privilégios baseada em grafos direcionados, reengenharia de papéis segundo o princípio do menor privilégio, autenticação forte com certificados digitais e smart cards, e monitoramento contínuo por meio de correlação em SIEM. Formalizamos o impacto de comprometimento de credenciais como função do fecho transitivo de permissões efetivas e definimos métricas quantitativas para avaliar redução de superfície de ataque. Implementamos um ambiente experimental composto por Windows Server 2008 R2 com Active Directory, federação baseada em SAML 2.0, virtualização com VMware ESXi e integração com serviços na Amazon EC2. Simulamos ataques realistas da era 2009–2010, incluindo spear phishing, extração de credenciais em memória e movimentação lateral com ferramentas como Metasploit e PsExec. Os resultados demonstram redução significativa de privilégios excessivos, diminuição de caminhos críticos de escalonamento e melhoria no tempo médio de detecção. Concluímos que a aplicação sistemática de modelagem formal e controles técnicos adequados ao contexto tecnológico de 2010 constitui estratégia eficaz para mitigar o impacto de credenciais comprometidas em ambientes corporativos híbridos.
Read paper →IAMArquiteturas e Estratégias Operacionais de Identity and Access Management (IAM) em Ambientes Híbridos: Modelagem de Ameaças e Avaliação Experimental no Contexto de APTs (2010)
A crescente sofisticação das campanhas de Ameaças Persistentes Avançadas (APTs), evidenciada por incidentes como a Operação Aurora e o worm Stuxnet em 2010, demonstrou que a identidade digital tornou-se o principal vetor de comprometimento em ambientes corporativos. O modelo tradicional de segurança baseado em perímetro revelou-se insuficiente diante de ataques que exploram credenciais válidas, spear phishing e movimentação lateral em domínios Windows e infraestruturas virtualizadas. Neste trabalho, investigamos arquiteturas e estratégias operacionais de Identity and Access Management (IAM) aplicáveis a ambientes híbridos compostos por diretórios corporativos (Active Directory), federação baseada em SAML 2.0 e serviços emergentes de computação em nuvem pública, como Amazon Web Services (AWS) e Microsoft Azure (em sua fase inicial). Propomos uma metodologia formal para modelagem de risco centrada em identidades, definindo métricas quantitativas para probabilidade de comprometimento, exposição e criticidade de ativos acessíveis. A partir de um modelo de grafo direcionado de privilégios, analisamos caminhos mínimos de escalonamento e avaliamos o impacto da aplicação sistemática de controles como autenticação multifator baseada em tokens OTP, segregação de funções, uso de contas administrativas dedicadas e restrições de privilégio mínimo. Implementamos um ambiente experimental com Windows Server 2008 R2, Active Directory, ADFS 2.0 e AWS IAM (2010), conduzindo 96 simulações de ataque envolvendo spear phishing, pass-the-hash e abuso de delegações Kerberos. Os resultados indicam redução estatisticamente significativa da superfície de ataque agregada e diminuição do tempo médio de detecção quando integrados logs de segurança a um SIEM. Concluímos que a combinação de modelagem formal e controles operacionais coerentes com o estado da arte de 2010 constitui abordagem eficaz para mitigação de riscos associados ao abuso de identidades em cenários híbridos emergentes.
Read paper →IAMArquiteturas de Identity and Access Management em Ambientes Corporativos: Modelagem de Ameaças, Implementação Prática e Avaliação de Segurança em Infraestruturas Baseadas em LDAP, Kerberos e SAML (2010)
Identity and Access Management (IAM) tornou-se um componente central na segurança de infraestruturas corporativas modernas, especialmente com a crescente integração de sistemas distribuídos, aplicações web e ambientes heterogêneos. Em 2010, organizações enfrentam desafios significativos relacionados à autenticação federada, controle de acesso granular e proteção contra comprometimento de credenciais. Ataques direcionados, spear phishing e técnicas como pass‑the‑hash têm demonstrado que a simples presença de autenticação baseada em senha não é suficiente para proteger ambientes corporativos complexos. Este trabalho apresenta uma análise técnica aprofundada de arquiteturas IAM utilizadas em ambientes corporativos, com foco em tecnologias amplamente implantadas até 2010, incluindo LDAP, Microsoft Active Directory, Kerberos, RADIUS, SAML 2.0 e infraestruturas de chave pública (PKI). O estudo modela ameaças relevantes contra sistemas de gerenciamento de identidade e formaliza o problema de controle de acesso em ambientes distribuídos, utilizando modelos RBAC e políticas baseadas em atributos. Em seguida, propomos uma metodologia prática de implementação de IAM baseada em diretórios LDAP centralizados, autenticação Kerberos e federação de identidade via SAML, com mecanismos adicionais de auditoria e correlação de eventos de autenticação. A implementação experimental utiliza ferramentas reais amplamente empregadas por equipes de segurança ofensiva e defensiva em 2010, incluindo Metasploit, Wireshark, John the Ripper e Volatility para análise forense de credenciais em memória. Resultados experimentais demonstram diferenças significativas entre abordagens de autenticação simples e arquiteturas federadas com autenticação forte. Também são apresentados estudos de caso baseados em ambientes corporativos com Active Directory e serviços web federados. Os resultados indicam que falhas de configuração e políticas de privilégio excessivo continuam sendo os vetores mais explorados por atacantes. Concluímos que a segurança efetiva de IAM depende menos da tecnologia isolada e mais da integração correta entre autenticação forte, gestão de privilégios e monitoramento contínuo. O trabalho contribui com uma abordagem operacional que integra modelagem de ameaças, implementação técnica e avaliação empírica de segurança em infraestruturas de identidade corporativa.
Read paper →IAMArquitetura Adaptativa de Identity and Access Management Baseada em Risco e Telemetria Comportamental para Ambientes Corporativos Híbridos (On‑Premise e Nuvem Inicial)
A crescente sofisticação das campanhas de Ameaças Persistentes Avançadas (APTs) entre 2009 e 2011, exemplificadas por operações como Aurora e Stuxnet, evidenciou a centralidade das credenciais válidas como vetor primário de intrusão. Em ambientes corporativos que combinam infraestrutura local (Active Directory, serviços Windows e UNIX) com serviços de nuvem pública em estágio inicial (Amazon Web Services e Microsoft Azure), modelos tradicionais de controle de acesso baseados exclusivamente em papéis (RBAC) mostram-se insuficientes para capturar risco contextual dinâmico. Neste trabalho propomos uma arquitetura adaptativa de Identity and Access Management (IAM) orientada a risco, fundamentada em modelagem formal de grafos de privilégios e inferência probabilística bayesiana sobre telemetria comportamental. Definimos formalmente o risco de identidade como função ponderada de desvio comportamental, exposição estrutural a privilégios e criticidade contextual, demonstrando propriedades de consistência e monotonicidade do modelo. A arquitetura integra coleta de logs de segurança (Windows Event Logs, logs de autenticação SSH, AWS CloudTrail), mecanismos de análise estatística e motores de política baseados em XACML, permitindo enforcement quase em tempo real por meio de ações como reautenticação forte e revogação de sessões. Avaliamos experimentalmente a proposta em um ambiente controlado com 1.200 identidades simuladas e 85 milhões de eventos, comparando-a a RBAC estático e a detecção comportamental isolada. Os resultados indicam redução significativa no tempo médio de detecção (MTTD) e no tempo médio de resposta (MTTR), bem como diminuição substancial da exposição acumulada a privilégios sensíveis. Discutimos implicações práticas, limitações operacionais e alinhamento com princípios de privilégio mínimo e defesa em profundidade. O trabalho contribui ao integrar formalismo matemático, análise probabilística e mecanismos de enforcement automatizado em um arcabouço coerente e aplicável ao contexto tecnológico vigente até 2011.
Read paper →IAMArquitetura Adaptativa de Gerenciamento de Identidades e Acessos com Detecção Baseada em Risco e Correlação Comportamental para Mitigação de Ameaças Avançadas Persistentes em Ambientes Corporativos e Nuvem Inicial
A crescente sofisticação das Ameaças Avançadas Persistentes (APTs), evidenciada por incidentes como a Operação Aurora (2009–2010) e o malware Stuxnet (2010), consolidou a identidade digital como elemento central da segurança corporativa. Em 2011, observa-se a transição de um modelo de defesa centrado no perímetro para uma abordagem orientada à proteção de credenciais, privilégios e relacionamentos de confiança, especialmente em ambientes que combinam infraestrutura local, virtualização e serviços iniciais de computação em nuvem. Este trabalho propõe uma arquitetura adaptativa de Gerenciamento de Identidades e Acessos (IAM) baseada em avaliação dinâmica de risco e correlação comportamental, integrada a mecanismos de monitoramento e resposta a incidentes compatíveis com o estado da arte até 2011. Formalizamos matematicamente um modelo de risco dinâmico $R(u,s,c,t)$ que agrega desvio comportamental, anomalias de acesso, variação de privilégios e indicadores de ameaça contextual. A decisão de autorização é tratada como função limiar adaptativa, permitindo autenticação adicional ou contenção automatizada quando necessário. Implementamos um protótipo utilizando Active Directory, FreeRADIUS, Snort, OSSIM e ferramentas forenses como Volatility e The Sleuth Kit, avaliando-o em ambiente experimental com 1.200 usuários e 10 milhões de eventos diários. Os resultados indicam redução significativa no tempo médio de detecção (MTTD) e contenção (MTTC), bem como diminuição mensurável de privilégios excessivos por meio de análise de frequência de uso. Demonstramos que a integração entre IAM, monitoramento contínuo e resposta semi-automatizada constitui estratégia eficaz contra abuso de credenciais, movimentação lateral e escalonamento de privilégios típicos de APTs. O trabalho contribui com formalização teórica rigorosa, métricas quantitativas e validação empírica compatível com o cenário tecnológico e de ameaças vigente em 2011.
Read paper →IAMArquitetura Formal e Operacional de Gerenciamento de Identidades e Acessos (IAM) Resiliente a Ameaças Persistentes Avançadas: Modelagem Matemática, Detecção Comportamental e Validação Experimental (2011)
O Gerenciamento de Identidades e Acessos (Identity and Access Management – IAM) consolidou-se, até 2011, como componente central da segurança corporativa, especialmente diante da ascensão das Ameaças Persistentes Avançadas (APT), exemplificadas pelos incidentes Aurora (2009–2010), Stuxnet (2010) e pela violação da RSA (2011). Tais eventos evidenciaram que credenciais válidas, abuso de privilégios e movimentação lateral constituem vetores críticos de comprometimento. Neste trabalho, propomos uma arquitetura formal e operacional de IAM resiliente a esse cenário de ameaças, fundamentada em modelagem matemática de risco, análise estrutural de grafos de privilégios e detecção comportamental baseada em eventos de autenticação e autorização. Formalizamos o sistema de controle de acesso como uma estrutura $AC = (S, O, A, R, UA, PA)$, derivada do modelo RBAC, e definimos uma função de risco $R(i)$ associada a cada identidade, considerando criticidade de privilégios, centralidade estrutural e desvios comportamentais. Propomos algoritmos de pontuação dinâmica de risco e de resposta automatizada, integrando ferramentas e tecnologias disponíveis até 2011, como Active Directory, FreeIPA, syslog, Snort, OSSEC, Volatility e Metasploit. A avaliação experimental foi conduzida em ambiente controlado com 5.000 identidades e 1,2 milhão de eventos de log, simulando cenários realistas de spear phishing, Pass-the-Hash e abuso de Kerberos. Os resultados indicam redução significativa do tempo médio de detecção (MTTD) e do tempo médio de resposta (MTTR), bem como mitigação mensurável do privilégio efetivo acumulado. Demonstramos que a integração entre formalização matemática e mecanismos operacionais de monitoramento permite reduzir a superfície de ataque associada a identidades comprometidas, oferecendo base metodológica rigorosa para o projeto de infraestruturas IAM alinhadas às exigências de segurança da era das APT.
Read paper →IAMArquitetura Adaptativa de Gerenciamento de Identidade e Acesso Baseada em Risco para Ambientes Híbridos: Formalização, Implementação e Avaliação Empírica (2011)
A consolidação da computação em nuvem pública, a virtualização extensiva de data centers e a intensificação de campanhas de Ameaças Persistentes Avançadas (APTs), evidenciadas por incidentes como Operation Aurora (2009–2010) e Stuxnet (2010), deslocaram o foco da segurança corporativa do perímetro de rede para a identidade digital. Em 2011, organizações já operam ambientes híbridos compostos por infraestruturas on-premises integradas a serviços como Amazon Web Services (AWS) e Microsoft Azure, enfrentando desafios de controle de acesso distribuído, federação de identidade e contenção de abuso de credenciais legítimas. Neste trabalho, propomos uma arquitetura adaptativa de gerenciamento de identidade e acesso (IAM) baseada em risco, formalmente fundamentada, que estende modelos RBAC e ABAC com uma função quantitativa de risco contextual. Formalizamos a decisão de autorização como uma função $Access(u,r,a,c,t)$ enriquecida por um escore $Risk(u,t)$ derivado de atributos comportamentais e ambientais. Definimos propriedades formais de correção e segurança, bem como limites de desempenho compatíveis com infraestruturas corporativas de 2011. A arquitetura integra diretórios LDAP/Active Directory, federação SAML 2.0, mecanismos XACML como Policy Decision Point e um SIEM para correlação de eventos. Implementamos um protótipo experimental utilizando OpenAM, WSO2 Identity Server, Snort e OSSIM, avaliando-o com 5.000 identidades simuladas e 1,2 milhão de eventos. Os resultados indicam redução de 35% em privilégios excessivos, diminuição do tempo médio de detecção de abuso de credenciais de 9,1 para 4,5 minutos e overhead médio de 7,2 ms por decisão de acesso. Concluímos que a incorporação explícita de risco quantitativo à autorização é viável com as tecnologias disponíveis até 2011, oferecendo ganhos mensuráveis de segurança sem degradação operacional significativa.
Read paper →IAMArquitetura Adaptativa de Identity and Access Management Baseada em Avaliação Contínua de Risco e Telemetria de Segurança: Formalização, Implementação e Validação Experimental no Contexto de Ameaças Persistentes Avançadas (2010–2012)
A consolidação de campanhas de Ameaças Persistentes Avançadas (APTs), evidenciada por incidentes como Operation Aurora (2009–2010), Stuxnet (2010) e a violação da RSA (2011), demonstrou que credenciais válidas e abuso de privilégios constituem vetores centrais de comprometimento em infraestruturas corporativas. Modelos tradicionais de Identity and Access Management (IAM), predominantemente baseados em Role-Based Access Control (RBAC), assumem premissas estáticas de confiança e não incorporam adequadamente variáveis contextuais dinâmicas nem telemetria operacional oriunda de sistemas de detecção. Neste trabalho, propomos e formalizamos uma arquitetura adaptativa de IAM fundamentada em avaliação contínua de risco, integrando atributos comportamentais, contexto de rede e indicadores de comprometimento provenientes de SIEM, IDS e análise forense de memória. Desenvolvemos um modelo matemático de decisão baseado em função de risco $R(u,c,t)$ parametrizada, estabelecendo propriedades formais de correção e completude sob restrições de latência operacional. Implementamos um protótipo utilizando tecnologias disponíveis até 2012, incluindo Active Directory, OpenLDAP, Snort, OSSIM, Metasploit e Volatility, em ambiente virtualizado com VMware ESXi. Realizamos avaliação experimental com 5.000 identidades simuladas, 1,1 milhão de eventos de autenticação e 12 cenários de ataque representativos (spear phishing, movimento lateral via SMB, escalonamento de privilégio local e uso indevido de contas privilegiadas). Os resultados indicam aumento substancial na taxa de detecção de abuso de privilégio (91,4%) em comparação com RBAC estático (63,2%) e ABAC convencional (75,8%), com taxa de falso positivo de 3,4% e latência adicional média de 41 ms por decisão de acesso. Concluímos que a incorporação sistemática de telemetria de segurança à decisão de autorização constitui mecanismo eficaz de redução da janela de exploração em cenários APT, mantendo viabilidade operacional em infraestruturas corporativas típicas do período 2010–2012.
Read paper →IAMArquitetura Adaptativa de Controle de Acesso para Identity and Access Management (IAM): Modelagem Formal, Implementação Operacional e Avaliação Empírica em Ambientes Corporativos e Computação em Nuvem Inicial
A consolidação da computação em nuvem, a virtualização extensiva de data centers e a intensificação de campanhas de Ameaças Persistentes Avançadas (APTs), evidenciadas por incidentes como Stuxnet (2010) e a violação da RSA (2011), deslocaram o eixo da segurança corporativa para a gestão de identidades e privilégios. Nesse contexto, credenciais legítimas tornaram-se um dos principais vetores de intrusão, especialmente por meio de spear phishing e escalonamento lateral de privilégios. Este artigo propõe uma arquitetura adaptativa de Identity and Access Management (IAM) fundamentada em modelagem formal híbrida RBAC–ABAC e em avaliação dinâmica de risco para decisões de autorização. Formalizamos matematicamente um modelo unificado no qual a decisão de acesso é função de papéis, atributos contextuais e de uma métrica de risco $R(u,s,o,t)$ associada ao usuário $u$, sessão $s$, objeto $o$ e instante temporal $t$. Implementamos um protótipo operacional integrando FreeIPA para diretório centralizado, Kerberos para autenticação forte, XACML para políticas baseadas em atributos, Snort e Suricata para telemetria de rede, além de correlação de eventos via SIEM (OSSIM). A avaliação empírica foi conduzida em ambiente controlado com 1.200 identidades e 350 aplicações simuladas, representando cenários corporativos típicos de 2012, incluindo vetores de ataque baseados em uso indevido de contas válidas e abuso de tickets Kerberos. Os resultados indicam redução de 43,8% em privilégios excessivos, taxa de detecção de abuso de credenciais de 94,6% com taxa média de falso positivo de 4,1% e redução de 58% no tempo médio de contenção. Concluímos que a integração de modelagem formal, autenticação forte e correlação contextual de eventos constitui abordagem viável para mitigar riscos associados a credenciais comprometidas em ambientes corporativos e de nuvem inicial.
Read paper →IAMArquitetura IAM Resiliente a Ataques de Pós-Exploração: Modelagem Formal, Detecção Estatística e Mitigação Adaptativa em Ambientes Corporativos e Nuvens Públicas (2012)
A consolidação da computação em nuvem pública e a intensificação de campanhas de Ameaças Persistentes Avançadas (APT), evidenciadas por incidentes como Stuxnet (2010), Operação Aurora (2009–2010) e a violação da RSA (2011), deslocaram o foco da segurança corporativa do perímetro de rede tradicional para os mecanismos de identidade e controle de acesso. Em 2012, com a adoção crescente de serviços como Amazon Web Services (AWS) e Windows Azure, bem como a integração com diretórios corporativos baseados em Active Directory, a gestão de identidades (IAM) tornou-se simultaneamente elemento central de governança e vetor privilegiado de pós-exploração. Neste trabalho, investigamos como projetar uma arquitetura IAM resiliente ao abuso de credenciais válidas, assumindo que o adversário já obteve acesso inicial por meio de spear phishing ou comprometimento de estações. Propomos (i) uma formalização matemática do espaço de permissões baseada em grafos direcionados e parcialmente ordenados, permitindo a identificação sistemática de caminhos de escalonamento de privilégios; (ii) um mecanismo de detecção comportamental fundamentado em distância de Mahalanobis e análise multivariada sobre telemetria de autenticação e autorização; e (iii) um módulo de mitigação adaptativa com revogação dinâmica de sessões e reconfiguração de políticas de acesso, compatível com infraestruturas corporativas integradas a nuvens públicas em 2012. Implementamos um protótipo utilizando Active Directory, AWS IAM, logs de segurança do Windows, CloudTrail e banco de dados de grafos Neo4j 1.x, com integração a um SIEM baseado em OSSIM. Avaliamos a solução em ambiente controlado com 1.200 identidades e 4,8 milhões de eventos ao longo de 30 dias. Observamos redução de 62% no tempo médio de detecção (MTTD) e diminuição significativa na taxa de falsos positivos quando comparado a correlação estática de regras. Concluímos que a combinação de modelagem formal e estatística multivariada oferece base rigorosa e operacionalmente viável para mitigar abuso de contas válidas em cenários típicos de 2012.
Read paper →