Research / Paper Files

Paper Files

Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.

Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.

DAI & ADAI · 2026

DAI · PT

DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis

DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…

Ler o paper →ADAI · PT

Inteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção

ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…

Ler o paper →

Todos Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

104 papers

IAM

Arquitetura Formal e Operacional de Identity and Access Management (IAM) Resiliente a Comprometimento de Credenciais: Modelagem Matemática, Implementação e Avaliação Empírica em Ambientes Corporativos

A consolidação de campanhas avançadas de intrusão no período de 2009 a 2012, incluindo a Operação Aurora, o incidente envolvendo a RSA e o malware Stuxnet, evidenciou que o comprometimento de credenciais válidas constitui vetor central para ataques direcionados contra infraestruturas corporativas. Nesse contexto, sistemas de Identity and Access Management (IAM) assumem papel estratégico na contenção de movimentação lateral e escalonamento de privilégios. Este trabalho propõe uma arquitetura formal e operacional de IAM resiliente ao comprometimento de credenciais, fundamentada em modelagem matemática baseada em grafos de privilégios e em mecanismos de autorização adaptativa integrados a sistemas de monitoramento de segurança. Formalizamos o sistema de controle de acesso como um grafo direcionado de sujeitos, papéis e recursos, definindo uma função de risco agregada associada à alcançabilidade e à criticidade dos ativos. Demonstramos que a minimização do risco global sob restrições de disponibilidade é NP-difícil por redução ao problema de Set Cover, justificando o emprego de heurísticas eficientes em tempo polinomial. A arquitetura proposta integra Microsoft Active Directory, Shibboleth para federação de identidade, políticas XACML implementadas via SunXACML e monitoramento por meio de Snort e Elastic Stack, com análise forense apoiada na ferramenta Volatility. Realizamos avaliação empírica em ambiente corporativo simulado com 5.000 identidades e 320 aplicações, comparando o modelo proposto com RBAC estático e ABAC tradicional. Os resultados indicam redução média de 44,8% no privilégio efetivo agregado e aumento significativo na detecção de uso anômalo de credenciais, com impacto de latência inferior a 20 ms por requisição de autenticação. Concluímos que a combinação de formalização rigorosa e integração operacional entre IAM e monitoramento de segurança constitui abordagem eficaz para mitigar riscos associados a credenciais comprometidas no contexto tecnológico vigente até 2012.

2019-03-06Read paper →IAM

Arquitetura Adaptativa de Identity and Access Management Baseada em Risco para Ambientes de Computação em Nuvem: Modelagem Formal, Implementação e Avaliação Experimental (2013)

A crescente adoção de computação em nuvem pública e híbrida até 2013 deslocou o foco tradicional de segurança do perímetro de rede para a proteção de identidades e credenciais. Relatórios de incidentes indicam que o comprometimento de contas legítimas constitui vetor predominante de intrusão, especialmente em cenários envolvendo phishing direcionado, reutilização de senhas e movimentação lateral. Modelos clássicos de controle de acesso, como DAC, MAC e RBAC, embora formalmente consolidados, assumem contexto relativamente estático e não incorporam explicitamente métricas dinâmicas de risco. Neste trabalho propomos uma arquitetura de Identity and Access Management (IAM) adaptativa baseada em risco, adequada ao contexto tecnológico de 2013, integrando autenticação multifator, telemetria de segurança, mecanismos de detecção de intrusão e motores de política orientados a atributos. Formalizamos matematicamente uma função de decisão $f(u,r,c,t)$ que incorpora escores comportamentais, contextuais e de exposição externa, combinados por meio de ponderação linear e limiares adaptativos. Implementamos um protótipo funcional utilizando OpenAM como provedor de identidade, Elastic Stack (Elasticsearch, Logstash, Kibana) para correlação de eventos, Suricata como IDS e mecanismos de política baseados em XACML. Avaliamos experimentalmente o modelo em um ambiente com 5.000 identidades simuladas e 1,2 milhão de eventos de autenticação. Os resultados indicam aumento significativo na detecção de acessos indevidos, com redução estatisticamente relevante de falsos positivos em comparação a RBAC estático, ao custo de latência adicional controlada. Demonstramos ainda, por meio de estudo de caso envolvendo reutilização de credenciais comprometidas, que a elevação adaptativa de autenticação multifator reduz substancialmente o risco operacional. Concluímos que abordagens baseadas em risco são viáveis e efetivas no contexto tecnológico de 2013, oferecendo base formal e experimental para evolução de arquiteturas de IAM em ambientes de nuvem.

2018-08-27Read paper →IAM

Arquiteturas de Identity and Access Management (IAM): Modelagem Formal de Ameaças, Técnicas de Ataque e Estratégias de Defesa em Ambientes Corporativos e Cloud (2013)

A consolidação de infraestruturas corporativas híbridas, combinando data centers tradicionais e serviços de computação em nuvem pública emergentes, deslocou o eixo da segurança da informação do perímetro de rede para o controle rigoroso de identidades e privilégios. Em 2013, a crescente adoção de serviços como Amazon Web Services (AWS), Microsoft Active Directory Federation Services (ADFS) e aplicações baseadas em SAML 2.0 evidenciou que a gestão inadequada de credenciais e permissões constitui vetor primário de comprometimento. Neste trabalho, desenvolvemos uma abordagem formal para análise de risco em arquiteturas de Identity and Access Management (IAM), fundamentada em modelagem por grafos direcionados ponderados, métricas de centralidade e quantificação probabilística de comprometimento. Integramos a modelagem à taxonomia da Cyber Kill Chain, proposta pela Lockheed Martin, e às diretrizes do NIST SP 800-63-2, estabelecendo correspondência entre fases de ataque e pontos de falha em sistemas de autenticação e autorização. Empregamos ferramentas contemporâneas ao período, como Mimikatz, Cuckoo Sandbox, YARA, Splunk e ELK, para instrumentação experimental e coleta de evidências. Avaliamos cenários envolvendo Active Directory e AWS IAM (versão inicial), com ênfase em abuso de contas válidas, forjamento de tickets Kerberos e políticas excessivamente permissivas. Propomos um modelo quantitativo de risco $R_i = P_c(i) \times I(i) \times C_b(i)$, no qual a probabilidade de comprometimento é estimada a partir da entropia de senha e exposição operacional, o impacto decorre do nível de privilégio e a centralidade de intermediação captura relevância estrutural no grafo de permissões. Resultados experimentais demonstram redução significativa da superfície de ataque após aplicação sistemática do princípio do menor privilégio e segmentação administrativa. O estudo contribui ao fornecer estrutura metodológica rigorosa, compatível com o estado da arte de 2013, para equipes de segurança responsáveis por ambientes corporativos em transição para modelos híbridos.

2018-08-20Read paper →IAM

Arquitetura Operacional de Identity and Access Management (IAM): Modelagem Formal de Ameaças e Avaliação Experimental em Ambientes Corporativos Híbridos (2013)

A consolidação de ambientes corporativos híbridos, combinando diretórios Microsoft Active Directory on-premises, serviços de diretório em nuvem emergentes e aplicações SaaS, redefiniu, até 2013, o papel da identidade como elemento central da segurança da informação. Relatórios de incidentes e investigações forenses indicam que o comprometimento de credenciais legítimas constitui vetor predominante em violações corporativas, deslocando o foco defensivo do perímetro de rede tradicional para o controle rigoroso de autenticação, autorização e governança de privilégios. Neste trabalho, propomos uma arquitetura operacional de Identity and Access Management (IAM) fundamentada em modelagem formal de ameaças, integração estruturada de RBAC e ABAC e monitoramento contínuo orientado por inteligência de ameaças e pela Cyber Kill Chain. Formalizamos o risco associado a escalonamento de privilégios e movimento lateral em termos probabilísticos, modelando a superfície de ataque como função do conjunto de contas privilegiadas, relações de confiança interdomínio e políticas mal configuradas. Implementamos experimentalmente a arquitetura proposta em um laboratório corporativo com 250 usuários, múltiplos domínios Active Directory e integração federada via ADFS para aplicações SaaS, utilizando ferramentas disponíveis até 2013, como Mimikatz, Cuckoo Sandbox, YARA, Splunk e scripts PowerShell de auditoria. Os resultados empíricos, coletados ao longo de 90 dias, indicam redução substancial no número de caminhos potenciais de escalonamento, diminuição de privilégios excessivos e redução significativa do tempo médio de detecção de abuso de credenciais. Demonstramos que controles como revisão periódica de grupos privilegiados, segmentação administrativa, aplicação consistente de Kerberos com criptografia AES e autenticação multifator baseada em token físico contribuem para mitigar vetores clássicos como Pass-the-Hash e Kerberoasting. Concluímos que a maturidade em IAM, quando estruturada sob princípios formais e integrada a processos de monitoramento contínuo, constitui fator determinante para a resiliência organizacional frente a ameaças avançadas observadas até 2013.

2018-08-14Read paper →IAM

Arquiteturas de Identity and Access Management (IAM) em Infraestruturas Corporativas: Modelagem de Ameaças, Implementação e Avaliação Operacional no Cenário de Segurança de 2014

Identity and Access Management (IAM) tornou-se um componente central da segurança corporativa na última década, especialmente diante da consolidação de ambientes distribuídos, virtualização, adoção inicial de serviços em nuvem e aumento da sofisticação de ataques direcionados. Em 2014, incidentes investigados em relatórios como o Verizon Data Breach Investigations Report e o Mandiant M‑Trends indicam que comprometimento de credenciais e abuso de privilégios representam uma das principais vias de intrusão em redes corporativas. Este artigo apresenta uma análise operacional de arquiteturas IAM com foco em ambientes empresariais típicos baseados em Active Directory, LDAP e federação de identidades utilizando SAML e OAuth. O trabalho explora o estado da arte até 2014, incluindo modelos de controle de acesso como RBAC e ABAC, padrões emergentes de federação de identidade e mecanismos de autenticação forte. A pesquisa formaliza um modelo de ameaça centrado em ataques contra credenciais e mecanismos de autenticação, incluindo técnicas observadas em operações de intrusão reais, como Pass‑the‑Hash, Kerberoasting e abuso de tokens SAML. Em seguida, propomos uma metodologia prática para avaliação e endurecimento de infraestruturas IAM baseada na combinação de monitoramento centralizado, análise de logs, políticas de privilégio mínimo e segmentação de domínios administrativos. A implementação experimental utiliza ferramentas amplamente disponíveis em 2014, incluindo OpenLDAP, FreeIPA, Splunk e scripts de auditoria baseados em linha de comando. A avaliação experimental foi conduzida em um ambiente corporativo simulado com aproximadamente 5.000 identidades, múltiplos domínios de autenticação e serviços federados. Métricas quantitativas foram utilizadas para medir redução de superfície de ataque, detecção de abuso de credenciais e latência de autenticação. Os resultados demonstram que a combinação de autenticação multifator, segmentação de privilégios e análise comportamental básica de logs pode reduzir significativamente a probabilidade de comprometimento de contas privilegiadas. Além da avaliação quantitativa, um estudo de caso baseado em um cenário de intrusão corporativa demonstra como falhas em governança de identidade podem permitir escalonamento de privilégios e persistência prolongada em redes empresariais. A discussão final examina limitações práticas das arquiteturas IAM tradicionais e sugere direções futuras de pesquisa, incluindo melhor integração entre inteligência de ameaças e sistemas de controle de acesso. O trabalho contribui com uma abordagem operacional para análise e implementação de IAM que reflete a realidade tecnológica e o panorama de ameaças existentes até 2014.

2017-09-14Read paper →IAM

Arquitetura IAM Resiliente ao Comprometimento de Credenciais: Modelagem Formal, Detecção Comportamental e Resposta Automatizada Baseada em Inteligência de Ameaças

O abuso de credenciais válidas consolidou-se, em 2014, como um dos vetores mais relevantes para comprometimentos em ambientes corporativos, especialmente quando combinado a phishing, malware de coleta de senhas e movimentação lateral em redes com Active Directory. Neste trabalho, propomos uma arquitetura de Identity and Access Management (IAM) orientada a risco, concebida para reduzir o impacto do comprometimento de identidades por meio da combinação de modelagem formal, análise comportamental e resposta automatizada integrada a inteligência de ameaças. Partimos da hipótese de que a simples adoção de controle de acesso baseado em papéis e de autenticação multifator, embora necessária, não é suficiente para conter adversários que operam com credenciais legítimas e empregam técnicas como Pas

2017-09-07Read paper →IAM

Arquitetura Adaptativa de Identity and Access Management (IAM) Resiliente a Ameaças Avançadas: Modelagem Formal, Avaliação Experimental e Aplicação Operacional (2014)

A gestão de identidades e acessos (Identity and Access Management – IAM) consolidou-se, até 2014, como um dos pilares centrais da segurança da informação, especialmente diante da intensificação de ameaças persistentes avançadas (APTs), campanhas de phishing direcionado e do surgimento de ransomware como o CryptoLocker (2013). Nesse contexto, o abuso de credenciais válidas, a escalada de privilégios em ambientes corporativos baseados em Active Directory e a exploração de permissões excessivas figuram entre os vetores mais recorrentes de comprometimento. Neste trabalho, propomos uma arquitetura adaptativa de IAM orientada a risco, integrando formalmente os modelos RBAC (Role-Based Access Control) e ABAC (Attribute-Based Access Control), com incorporação de telemetria proveniente de IDS/IPS, logs de sistema e inteligência de ameaças estruturada em STIX/TAXII. Desenvolvemos uma formalização matemática do problema de minimização de privilégios sob restrições operacionais e temporais, modelando o ambiente como um grafo de acesso e formulando um problema de otimização sujeito a restrições de continuidade de negócio e segregação de funções. Propomos ainda um algoritmo de ajuste adaptativo de privilégios com complexidade $O(n \log n)$, baseado em métricas de frequência de uso e pontuação dinâmica de risco. A arquitetura foi implementada utilizando componentes disponíveis até 2014, incluindo Active Directory, FreeIPA, Splunk, Elastic Stack, Suricata, Snort, Cuckoo Sandbox e YARA. A avaliação experimental, conduzida em ambiente controlado com 1.200 identidades simuladas ao longo de 30 dias, demonstra redução significativa no tempo médio de detecção (MTTD) e no tempo médio de resposta (MTTR), com impacto marginal na latência de autenticação. Os resultados indicam que a integração entre IAM e telemetria de segurança constitui abordagem eficaz para mitigar abuso de credenciais e reduzir a superfície de ataque, mantendo viabilidade operacional em organizações de médio e grande porte.

2017-08-31Read paper →IAM

Arquitetura Adaptativa de Identity and Access Management Orientada a Ameaças: Modelagem Formal, Integração com MITRE ATT&CK e Avaliação Empírica em Ambientes Híbridos

A crescente adoção de serviços em nuvem pública e modelos híbridos no período 2010–2014 transformou identidades digitais no principal vetor de risco em ambientes corporativos distribuídos. Relatórios empíricos indicam que o uso indevido de credenciais válidas e a escalada de privilégios figuram entre as principais causas de incidentes de segurança. Nesse contexto, propomos uma arquitetura adaptativa de Identity and Access Management (IAM) orientada a ameaças, integrando modelagem formal de privilégios, inteligência de ameaças estruturada e mecanismos automatizados de resposta. Fundamentamos nossa abordagem nos modelos clássicos de RBAC e ABAC, estendendo-os por meio de uma representação em grafo direcionado ponderado, no qual caminhos mínimos modelam potenciais trajetórias de escalonamento de privilégios. Incorporamos conceitos da Cyber Kill Chain e da taxonomia MITRE ATT&CK (versão inicial, 2013) para alinhar detecção e enforcement às táticas e técnicas observadas em ataques reais, incluindo campanhas de spear phishing e ransomware emergente como o CryptoLocker (2013). A arquitetura integra coleta de telemetria via SIEM (Splunk/ELK), análise de artefatos com YARA e Cuckoo Sandbox, correlação com STIX/TAXII e aplicação dinâmica de políticas em plataformas compatíveis com XACML e diretórios corporativos. Avaliamos empiricamente a solução em ambiente híbrido composto por infraestrutura virtualizada e serviços Amazon Web Services disponíveis até 2014, envolvendo 1.200 usuários e 3 milhões de eventos de log. Os resultados demonstram redução mensurável no tempo médio de detecção (MTTD), no tempo médio de resposta (MTTR) e na proporção de privilégios excessivos, com sobrecarga computacional inferior a 8%. Concluímos que a integração entre modelagem formal, inteligência de ameaças estruturada e mecanismos automatizados de revogação dinâmica constitui estratégia eficaz para mitigação de abuso de credenciais em ambientes híbridos, mantendo conformidade com princípios de menor privilégio e separação de deveres.

2017-08-24Read paper →IAM

Arquitetura Adaptativa de Identity and Access Management (IAM) Orientada a Ameaças: Formalização, Detecção de Abuso de Privilégios e Resposta Automatizada em Ambientes Híbridos (2015)

A gestão de identidades e acessos (Identity and Access Management – IAM) consolidou-se, até 2015, como elemento central da segurança corporativa, especialmente diante da crescente adoção de virtualização, computação em nuvem e integração federada de identidades. Paralelamente, relatórios de incidentes indicam que o abuso de credenciais válidas constitui vetor recorrente de intrusão, frequentemente associado a técnicas de movimentação lateral e persistência prolongada. Neste trabalho, propomos uma arquitetura adaptativa de IAM orientada a ameaças, fundamentada em modelagem formal de privilégios, análise estrutural baseada em grafos e mecanismos híbridos de detecção (assinaturas e comportamento), integrados a plataformas SIEM e a mecanismos de resposta automatizada. Formalizamos o ecossistema IAM como um grafo direcionado de identidades, papéis e objetos, definindo uma métrica quantitativa de risco baseada em centralidade estrutural e probabilidade condicional de comprometimento. Demonstramos como tal formalização permite priorização objetiva de identidades críticas e redução mensurável da superfície de ataque. Implementamos a arquitetura utilizando tecnologias disponíveis até 2015, incluindo Active Directory, AWS IAM, Elastic Stack, Neo4j, YARA, Cuckoo Sandbox e integração via STIX/TAXII para inteligência de ameaças. Avaliamos a proposta em ambiente corporativo com 12.000 identidades e 3,2 milhões de eventos, comparando-a com abordagem tradicional baseada exclusivamente em alertas estáticos. Observamos redução estatisticamente significativa no tempo médio de detecção (MTTD), no tempo médio de resposta (MTTR) e na taxa de falsos positivos, além de redução estrutural de privilégios excessivos. Discutimos implicações operacionais, limitações computacionais e requisitos de governança, demonstrando que a convergência entre modelagem formal e telemetria operacional constitui abordagem viável e eficaz para mitigar abuso de identidade em ambientes híbridos até o estado da arte de 2015.

2016-10-21Read paper →IAM

Arquitetura Resiliente de Identity and Access Management (IAM) Orientada a Ameaças: Modelagem Formal, Detecção Baseada em Grafos e Validação Experimental em Ambientes Híbridos

A crescente adoção de serviços em nuvem pública e privada, combinada com a consolidação de modelos de federação de identidade baseados em SAML, OAuth 2.0 e diretórios corporativos, deslocou o foco da segurança organizacional do perímetro de rede para a identidade digital. Relatórios empíricos indicam que o uso indevido de credenciais válidas figura entre os principais vetores de intrusão em violações de dados corporativas. Neste trabalho, propomos uma arquitetura resiliente de Identity and Access Management (IAM) orientada a ameaças, fundamentada em modelagem formal, análise estrutural baseada em grafos e correlação com telemetria operacional. Formalizamos o sistema IAM como um grafo dirigido rotulado $G = (V, E, \lambda)$, no qual sujeitos, papéis e recursos são representados como vértices e relações de delegação e permissão como arestas. Definimos a Superfície Efetiva de Privilégio (SEP) como métrica quantitativa da exposição baseada em identidade e demonstramos como cadeias de escalonamento podem ser identificadas por algoritmos de busca em largura com complexidade $O(|V| + |E|)$. A arquitetura proposta integra coleta de logs (AWS CloudTrail, Azure AD, Active Directory), motor de grafos Neo4j, mecanismo de correlação com Elastic Stack e regras Sigma, além de detecção de atividades pós-comprometimento com Suricata. Avaliamos experimentalmente a abordagem em ambiente controlado com 120.000 relações de permissão, simulando 30 cenários de ataque baseados na Cyber Kill Chain. Observamos taxa média de detecção de 96,3% e redução de 47% na superfície agregada de privilégio após aplicação automatizada do princípio do menor privilégio. Discutimos limitações relacionadas à completude da telemetria e à escalabilidade para grafos de grande porte. Concluímos que a integração entre modelagem formal e monitoramento operacional fornece base rigorosa para mitigação de abusos de identidade em ambientes híbridos até 2015.

2016-10-15Read paper →IAM

Arquitetura Adaptativa de Identity and Access Management (IAM) com Modelagem de Risco Dinâmico e Integração ao MITRE ATT&CK (2013)

A gestão de identidade e acesso (Identity and Access Management – IAM) consolidou-se, até 2015, como um dos principais vetores de defesa frente ao crescimento de ataques baseados em credenciais válidas, incluindo campanhas de phishing direcionado e ransomware emergente, como o CryptoLocker. Nesse contexto, mecanismos tradicionais de controle de acesso, notadamente RBAC estático, revelam limitações estruturais diante de ambientes corporativos híbridos compostos por Active Directory, aplicações web corporativas e serviços em nuvem de primeira geração. Este trabalho propõe uma arquitetura adaptativa de IAM fundamentada em modelagem formal de risco dinâmico, integrando políticas ABAC, monitoramento contínuo via SIEM e mapeamento sistemático de técnicas do framework MITRE ATT&CK (versão inicial pública de 2013). Formalizamos a decisão de autorização como uma função $f: U \times R \times C \rightarrow \{0,1\}$ enriquecida por um escore de risco adaptativo $R_a = \alpha B + \beta C + \gamma H$, no qual $B$ representa desvio comportamental, $C$ a criticidade do recurso e $H$ o histórico de incidentes. Implementamos a arquitetura com componentes disponíveis até 2015, incluindo Active Directory Federation Services (ADFS), motor ABAC customizado, SIEM baseado em Elastic Stack 1.x e Splunk Enterprise 6.x, Cuckoo Sandbox, regras YARA e integração TAXII para inteligência de ameaças. Avaliamos o sistema em ambiente corporativo simulado com 5.000 usuários e 12 milhões de eventos de log, comparando-o a baselines de RBAC estático e RBAC com MFA. Observamos redução de 42% no MTTD e 37% no MTTR, mantendo taxa de falso positivo de 3,4% e falso negativo de 4,9%, dentro dos limites formais estabelecidos. Os resultados demonstram que a incorporação de risco adaptativo e detecção comportamental alinhada ao ATT&CK é viável com tecnologias disponíveis em 2015, promovendo redução mensurável de privilégio excessivo sem degradação significativa de usabilidade.

2016-10-08Read paper →IAM

Arquitetura Adaptativa de Identity and Access Management (IAM) Orientada a Risco com Formalização Matemática e Validação Empírica em Ambientes Híbridos

A consolidação de ambientes corporativos híbridos, combinando data centers tradicionais e infraestruturas em nuvem pública, impôs desafios substanciais aos modelos clássicos de segurança baseados em perímetro. Em 2015, relatórios empíricos já indicavam que o comprometimento de credenciais válidas constituía um dos vetores predominantes de intrusão, exigindo abordagens centradas em identidade e contexto. Neste trabalho, propomos e avaliamos uma arquitetura adaptativa de Identity and Access Management (IAM) orientada a risco, fundamentada em modelagem probabilística Bayesiana e integrada a mecanismos operacionais de monitoramento e resposta a incidentes. Formalizamos o problema de decisão de autenticação e autorização como a estimação da probabilidade posterior de comprometimento condicional a um vetor de evidências contextuais, incluindo atributos de dispositivo, geolocalização, histórico comportamental e reputação de origem. Demonstramos como essa formalização permite definir limiares adaptativos para autenticação adicional (step-up authentication) e bloqueio preventivo, equilibrando taxas de falso positivo e falso negativo sob restrições de latência operacional. Implementamos um protótipo funcional integrando um provedor de identidade compatível com SAML 2.0 e OAuth 2.0, mecanismos de coleta de telemetria, motor de risco baseado em regressão logística e integração com SIEM e ferramentas de resposta automatizada. A avaliação experimental foi conduzida em ambiente controlado com 50.000 identidades e três milhões de eventos de autenticação, comparando-se políticas estáticas de MFA e RBAC tradicional com o modelo proposto. Os resultados indicam redução significativa de falsos positivos (42%) e melhoria na detecção de abuso de credenciais (31%), com latência adicional média inferior a 10 ms. Discutimos implicações práticas para SOCs, limitações metodológicas e ameaças à validade, situando a contribuição no contexto das práticas e tecnologias disponíveis até 2015, incluindo STIX/TAXII, MITRE ATT&CK (versões iniciais) e recomendações do NIST para identidade digital.

2016-10-01Read paper →IAM

Arquitetura Formal e Operacional para Identity and Access Management (IAM) Resiliente a Ameaças Avançadas em Ambientes Híbridos e Multi-Cloud (Estado da Arte até 2016)

A gestão de identidades e acessos (Identity and Access Management – IAM) consolidou-se, até 2016, como elemento central da segurança corporativa diante da consolidação de ambientes híbridos envolvendo infraestruturas on-premises e provedores como Amazon Web Services (AWS) e Microsoft Azure. A dissolução progressiva do perímetro tradicional, impulsionada por virtualização, mobilidade e adoção de serviços em nuvem, deslocou o foco defensivo para mecanismos de autenticação, autorização e auditoria. Relatórios de incidentes indicam que o uso indevido de credenciais válidas constitui vetor predominante em violações, incluindo campanhas de phishing direcionado, ataques Pass-the-Hash e abuso de contas privilegiadas. Neste trabalho, propomos uma arquitetura formal e operacional para IAM resiliente a ameaças avançadas, fundamentada em modelagem matemática de grafos de privilégios e integrada a mecanismos de detecção baseados em eventos. Formalizamos o sistema IAM como uma tupla estruturada e modelamos relações de autorização como grafo dirigido ponderado por risco. Definimos função de risco estruturada e apresentamos algoritmo de propagação de risco com complexidade $O(|E|\log |V|)$, além de mecanismo estatístico de detecção de anomalias baseado em escore-$z$. A arquitetura integra coleta de logs (Active Directory, AWS CloudTrail, Sysmon), normalização via Elastic Stack, correlação de eventos, análise de grafos em Neo4j e mecanismos automatizados de resposta. Avaliamos empiricamente a proposta em ambiente experimental com 2.500 identidades e 18.000 relações de autorização, comparando-a a abordagens RBAC estáticas. Observamos redução significativa em MTTD, MTTR e taxa de falso positivo. Discutimos limitações, implicações operacionais e aplicabilidade em setores regulados. O trabalho contribui ao integrar rigor formal, análise estrutural de privilégios e operacionalização prática em um cenário coerente com o estado da arte até 2016.

2015-12-06Read paper →IAM

Arquitetura Adaptativa de Identity and Access Management (IAM) Orientada a Risco para Ambientes Híbridos: Formalização, Implementação e Avaliação Empírica sob Modelo de Ameaça Realista (2016)

A gestão de identidades e acessos (Identity and Access Management – IAM) consolidou-se, até 2016, como um dos principais pilares de segurança em ambientes corporativos híbridos, caracterizados pela integração entre data centers tradicionais, serviços em nuvem pública (IaaS e SaaS) e aplicações web federadas. Relatórios de incidentes demonstram que o uso indevido de credenciais válidas constitui vetor recorrente de comprometimento, especialmente em campanhas de phishing direcionado, movimentação lateral e abuso de privilégios administrativos. Nesse contexto, modelos estáticos baseados exclusivamente em Role-Based Access Control (RBAC) revelam-se insuficientes para mitigar riscos dinâmicos associados a credenciais comprometidas. Neste trabalho, propomos uma arquitetura adaptativa de IAM orientada a risco, formalmente fundamentada como um problema de otimização sob restrições operacionais. Modelamos o risco agregado de permissões a partir de métricas de impacto e probabilidade, integrando telemetria proveniente de Active Directory, AWS CloudTrail, sistemas IDS (Suricata) e plataformas SIEM baseadas em Elastic Stack e Splunk. Introduzimos dois algoritmos: o Risk-Adaptive Permission Minimization (RAPM), voltado à redução dinâmica de privilégios excessivos, e o Adaptive Authentication Enforcement (AAE), responsável por escalonar autenticação multifator conforme score comportamental calculado por distância de Mahalanobis. Avaliamos empiricamente a proposta em ambiente híbrido com 120 identidades simuladas e 1,2 milhão de eventos ao longo de 60 dias. Observamos redução média de 37,4% em permissões excessivas, diminuição do tempo médio de detecção (MTTD) de 14,2 para 6,7 minutos e manutenção da taxa de falsos positivos abaixo de 4%. Os resultados evidenciam que a formalização matemática combinada à telemetria contextual permite reduzir significativamente a superfície de ataque associada a identidades, preservando requisitos operacionais. Concluímos que abordagens adaptativas orientadas a risco representam evolução natural dos modelos RBAC tradicionais em ambientes híbridos contemporâneos.

2015-11-29Read paper →IAM

Arquitetura de Gerenciamento de Identidade e Acesso Resiliente a Ameaças Avançadas: Modelagem Formal, Análise Comportamental e Resposta Automatizada contra TTPs de Abuso de Credenciais (2016)

A crescente centralidade das identidades digitais como vetor primário de comprometimento em infraestruturas corporativas impõe a necessidade de abordagens formalmente fundamentadas para modelagem, detecção e resposta a abusos de credenciais. Em 2016, relatórios de incidentes já indicavam que o comprometimento de credenciais figurava entre as principais causas de violações de dados, especialmente em ambientes baseados em Active Directory e federação SAML. Este trabalho propõe uma arquitetura integrada de Gerenciamento de Identidade e Acesso (IAM) que combina modelagem formal da superfície de ataque, análise estrutural de grafos de privilégios, detecção comportamental baseada em divergência estatística e orquestração automatizada de resposta a incidentes. Formalizamos o sistema IAM como um grafo direcionado ponderado $G=(V,E)$, no qual usuários, papéis e permissões são representados como vértices, e relações de atribuição como arestas. Definimos uma métrica quantitativa de superfície de ataque baseada em alcançabilidade e centralidade, permitindo estimar o risco sistêmico de escalonamento de privilégios sob comprometimento parcial. Integramos essa modelagem com técnicas de detecção alinhadas à Cyber Kill Chain (LOCKHEED MARTIN, 2011) e à matriz ATT&CK (MITRE, 2015), considerando TTPs prevalentes até 2016, como password spraying, pass-the-hash e Kerberoasting. A implementação utiliza componentes disponíveis à época, incluindo FreeIPA, Keycloak, Elastic Stack, Cuckoo Sandbox, YARA e integração com SIEM (Splunk/ELK). Avaliamos experimentalmente a proposta em ambiente controlado com 1.200 identidades simuladas e 36 cenários de ataque, observando redução significativa da superfície crítica de privilégios (34,8%), diminuição do MTTD (−49%) e do MTTR (−38%) em comparação com baseline com MFA tradicional. Concluímos que a integração entre modelagem formal e telemetria operacional oferece ganhos mensuráveis de resiliência contra abuso de identidade, respeitando restrições tecnológicas e conceituais do período analisado.

2015-11-22Read paper →IAM

Modelagem Formal Baseada em Grafos para Identity and Access Management (IAM): Detecção de Abuso de Privilégios e Avaliação Empírica em Ambientes Corporativos Híbridos (2016)

A crescente centralidade da identidade digital como vetor primário de comprometimento em infraestruturas corporativas tem deslocado o foco da segurança perimetral para mecanismos de controle de acesso e governança de privilégios. Incidentes envolvendo comprometimento de credenciais, como campanhas de ransomware do tipo CryptoLocker e operações de espionagem avançada persistente (APT), evidenciam que contas válidas e privilégios excessivos constituem superfícies críticas de ataque. Neste trabalho, propomos uma modelagem formal de sistemas de Identity and Access Management (IAM) baseada em grafos direcionados ponderados, com o objetivo de quantificar risco estrutural, identificar caminhos de escalonamento de privilégios e otimizar políticas de acesso. Formalizamos o sistema como $S = (U, R, P, A, H)$, onde usuários, papéis, permissões, atribuições e hierarquias são representados em um grafo $G = (V,E)$. Definimos métricas de risco baseadas em centralidade de intermediação, comprimento de caminhos críticos e cobertura de privilégios sensíveis. Demonstramos que o problema de minimização do risco estrutural por remoção mínima de arestas é NP-difícil por redução ao problema de Set Cover, justificando o emprego de heurísticas baseadas em centralidade. Implementamos protótipo operacional integrando exportação de políticas de Active Directory e AWS IAM, análise em Neo4j e correlação com logs coletados via Winlogbeat e Elastic Stack. A avaliação experimental, conduzida em ambiente com 12.430 usuários e 3.210 papéis, evidenciou redução média de 37,9% em privilégios redundantes e diminuição de 49,8% no comprimento médio de caminhos críticos, mantendo continuidade operacional. Discutimos implicações práticas para auditorias periódicas, integração com frameworks de threat intelligence (STIX/TAXII) e alinhamento com o modelo Cyber Kill Chain. Concluímos que a modelagem estrutural baseada em grafos constitui abordagem formalmente fundamentada e operacionalmente viável para redução sistemática de risco associado a abuso de privilégios em 2016.

2015-11-15Read paper →IAM

Arquitetura Adaptativa de Identity and Access Management (IAM) Orientada a Grafos e Detecção Comportamental para Mitigação de Ameaças Baseadas em Credenciais

A exploração de credenciais válidas consolidou-se, até 2017, como um dos vetores mais prevalentes em incidentes de segurança corporativa, conforme evidenciado por relatórios empíricos da indústria e análises forenses de ataques direcionados. Modelos tradicionais de Identity and Access Management (IAM), especialmente aqueles fundamentados exclusivamente em Role-Based Access Control (RBAC), apresentam limitações estruturais na representação de relações transitivas de privilégio e na detecção dinâmica de comportamentos anômalos associados ao abuso de contas legítimas. Neste trabalho, propomos uma arquitetura adaptativa de IAM orientada a grafos, integrada a um mecanismo de avaliação de risco comportamental em tempo quase real, com o objetivo de mitigar ameaças baseadas em credenciais em ambientes corporativos híbridos. Formalizamos o sistema como um grafo dirigido ponderado $G = (V, E, w)$, no qual vértices representam identidades e recursos, arestas representam relações de autorização e a função peso modela criticidade de privilégios. Definimos o problema de minimização de caminhos críticos de escalonamento e propomos um algoritmo de decisão de acesso baseado em risco dinâmico $R(u,c)$, combinando centralidade estrutural e desvio comportamental. Implementamos um protótipo utilizando tecnologias amplamente disponíveis até 2017, incluindo Keycloak, Open Policy Agent (OPA), Neo4j, Elastic Stack, Suricata e Wazuh, integradas a mecanismos de autenticação forte baseados em FIDO U2F. Avaliamos experimentalmente o sistema em ambiente corporativo simulado com 1.200 usuários e 3,4 milhões de eventos de log, comparando-o com abordagens RBAC e ABAC estáticas. Os resultados indicam redução significativa no tempo médio de detecção (MTTD) e mitigação (MTTR) de incidentes associados a movimentos laterais e técnicas como Pass-the-Hash e Kerberoasting, com impacto controlado na latência média de autorização. Concluímos que a integração formal entre análise estrutural de privilégios e detecção comportamental adaptativa constitui avanço substancial em relação a modelos estáticos de IAM, preservando viabilidade operacional em ambientes corporativos contemporâneos.

2015-01-06Read paper →IAM

Arquiteturas e Operações de Identity and Access Management (IAM) em Ambientes Corporativos e de Nuvem: Modelagem de Ameaças, Controles Práticos e Avaliação Operacional (2017)

Identity and Access Management (IAM) tornou-se um dos pilares fundamentais da segurança cibernética moderna, especialmente com a adoção acelerada de infraestrutura em nuvem, virtualização e arquiteturas distribuídas. Até 2017, organizações enfrentavam um cenário no qual identidades digitais — humanas e não humanas — tornaram-se o novo perímetro de segurança. Comprometimento de credenciais, abuso de privilégios e falhas em governança de identidade estavam entre os vetores mais comuns observados em incidentes reais, incluindo intrusões corporativas, espionagem industrial e ataques persistentes avançados (APT). Este trabalho apresenta uma análise técnica abrangente das arquiteturas de IAM utilizadas em ambientes corporativos e de nuvem até 2017, incluindo Active Directory, Kerberos, LDAP, SAML, OAuth 2.0 e implementações emergentes em plataformas como AWS IAM e Azure Active Directory. O estudo explora o modelo de ameaça associado ao gerenciamento de identidades, formaliza o problema de controle de acesso em ambientes distribuídos e propõe uma metodologia operacional baseada em princípios de menor privilégio, segregação de funções e monitoramento contínuo de atividades. A pesquisa combina análise arquitetural, experimentação prática em laboratório e estudo de caso baseado em incidentes reais observados em operações de resposta a incidentes. Resultados experimentais demonstram que políticas IAM corretamente implementadas podem reduzir significativamente a superfície de ataque associada a escalonamento de privilégios e movimento lateral. O trabalho também apresenta ferramentas e técnicas utilizadas em auditoria de IAM, incluindo análise de logs, simulação de ataques e avaliação de permissões efetivas. São discutidos desafios operacionais como gestão de identidades de máquinas, credenciais temporárias e federação de identidade entre domínios organizacionais. Finalmente, são apresentadas recomendações práticas para arquitetos de segurança, equipes de red team e blue team, com foco em detecção de abuso de privilégios, prevenção de credenciais comprometidas e governança de acesso em ambientes híbridos. Este estudo contribui com uma visão operacional e prática do IAM como mecanismo central de defesa em profundidade dentro de arquiteturas corporativas modernas.

2014-12-30Read paper →IAM

Arquitetura de IAM Orientada a Risco com Correlação Comportamental e Integração ao MITRE ATT&CK para Mitigação de Sequestro de Credenciais em Ambientes Híbridos (2017)

A gestão de identidades e acessos (IAM) consolidou-se, até 2017, como o principal eixo de defesa em ambientes corporativos caracterizados por infraestrutura híbrida, federação de identidades e ampla adoção de serviços em nuvem. Relatórios de incidentes demonstram que o comprometimento de credenciais e o abuso de contas válidas constituem vetores predominantes em violações de segurança. Nesse contexto, modelos tradicionais baseados exclusivamente em RBAC revelam-se insuficientes diante de ataques que exploram phishing direcionado, dumping de credenciais, tickets Kerberos forjados e reutilização de tokens federados. Este trabalho propõe uma arquitetura de IAM orientada a risco que combina modelagem matemática formal do risco de identidade, correlação comportamental e integração estruturada às táticas e técnicas do framework MITRE ATT&CK (versões públicas disponíveis até 2017). Formalizamos o risco dinâmico de uma identidade como função ponderada de anomalia comportamental, criticidade de privilégios e evidências correlacionadas de técnicas adversariais. Apresentamos um algoritmo de cálculo incremental de risco com complexidade linear na janela temporal analisada e discutimos sua incorporação a mecanismos de enforcement adaptativo, como autenticação multifator contextual e restrições condicionais de sessão. A avaliação experimental, conduzida em ambiente virtualizado com 1.200 identidades simuladas e 3,5 milhões de eventos, demonstra redução significativa no tempo médio de detecção e mitigação de movimento lateral, mantendo overhead operacional aceitável. Demonstramos ainda, por meio de estudo de caso envolvendo phishing e reutilização de token federado, que a correlação estruturada com ATT&CK aumenta a precisão analítica e reduz falsos positivos em comparação com RBAC estático. Concluímos que a incorporação de avaliação contínua de risco ao IAM, alinhada a inteligência estruturada de ameaças, constitui abordagem tecnicamente viável e empiricamente eficaz para mitigar sequestro de credenciais em ambientes híbridos contemporâneos a 2017.

2014-12-23Read paper →IAM

Arquitetura Zero Trust para Identity and Access Management com Detecção Comportamental e Mitigação Automatizada de TTPs Baseadas em Credenciais

A exploração de credenciais legítimas consolidou-se, até 2017, como um dos vetores predominantes em incidentes de segurança corporativa, conforme evidenciado por relatórios empíricos amplamente citados na indústria. Modelos tradicionais de controle de acesso, fundamentados em autenticação pontual e confiança implícita no perímetro de rede, mostram-se insuficientes diante de adversários capazes de operar com contas válidas, manipular tickets Kerberos e abusar de mecanismos federados como SAML. Neste trabalho, propomos uma arquitetura de Identity and Access Management (IAM) inspirada nos princípios emergentes de “zero trust”, entendidos como validação contínua e mínima confiança implícita, ainda que anteriores à formalização posterior por órgãos normativos. Formalizamos matematicamente o conceito de risco dinâmico associado a uma identidade ativa e demonstramos como tal métrica pode orientar decisões automatizadas de reautenticação, revogação de sessão e notificação ao Security Operations Center (SOC). Nossa contribuição central consiste na definição de um modelo probabilístico de pontuação adaptativa $R_u(t)$, dependente de desvio comportamental, criticidade de recursos e contexto operacional, bem como na implementação experimental integrada a componentes disponíveis até 2017, incluindo Active Directory, Elastic Stack 5.x, Sysmon, Suricata e mecanismos de orquestração baseados em scripts. Avaliamos a solução em um conjunto de 3,2 milhões de eventos de autenticação, com injeção controlada de 1.200 eventos maliciosos simulando técnicas como Pass-the-Hash e Golden Ticket. Os resultados indicam taxa de detecção (TPR) de 96,1%, taxa de falso positivo (FPR) de 3,4% e redução do tempo médio de contenção de 14 minutos para 4,2 minutos, com sobrecarga média inferior a 6% na latência de autenticação. Demonstramos, assim, que a reavaliação contínua de sessão, combinada a análise comportamental e resposta automatizada, constitui mecanismo eficaz e operacionalmente viável para mitigação de abuso de identidades legítimas no contexto tecnológico de 2017.

2014-12-16Read paper →IAM

Arquitetura Adaptativa de Identity and Access Management (IAM) Orientada a Risco para Ambientes Híbridos e Multi-Cloud: Modelagem Formal, Detecção de Abuso de Credenciais e Avaliação Experimental

A crescente adoção de ambientes híbridos e multi-cloud até 2018, combinando infraestruturas on-premises com serviços IaaS, PaaS e SaaS, deslocou o foco da segurança organizacional para os mecanismos de identidade e controle de acesso. Relatórios empíricos indicam que o uso indevido de credenciais válidas constitui um dos vetores predominantes de violação de dados, especialmente em campanhas de ransomware e operações avançadas persistentes. Neste trabalho, propomos uma arquitetura adaptativa de Identity and Access Management (IAM) orientada a risco, fundamentada em modelagem formal baseada em grafos e em métricas quantitativas de anomalia comportamental. Formalizamos o sistema IAM como uma estrutura matemática que integra usuários, papéis, permissões e sessões, estendendo modelos clássicos de RBAC e ABAC com uma função de risco dinâmica. Introduzimos um algoritmo de minimização de privilégios baseado em análise de alcançabilidade em grafos e um mecanismo de pontuação dinâmica fundamentado em entropia de Shannon e desvios estatísticos. Implementamos a arquitetura em um ambiente experimental híbrido integrando Active Directory, Azure Active Directory, AWS IAM, Elastic Stack, Neo4j e ferramentas SIEM/SOAR disponíveis até 2018. Avaliamos a proposta em um conjunto de 12,4 milhões de eventos de auditoria, mensurando métricas como Mean Time to Detect (MTTD), Mean Time to Respond (MTTR) e taxa de falsos positivos. Os resultados demonstram redução significativa no MTTD (47,2%) e na taxa de falsos positivos (de 8,2% para 3,1%), além de eliminação de 62% de permissões excessivas identificadas. Discutimos implicações práticas, limitações computacionais e aderência regulatória ao Regulamento Geral de Proteção de Dados (GDPR), vigente em 2018. Concluímos que a integração entre modelagem formal, análise comportamental e orquestração automatizada constitui abordagem eficaz para mitigar abuso de credenciais em ambientes híbridos contemporâneos.

2014-02-13Read paper →IAM

Arquitetura IAM Resiliente a Ataques de Pós-Exploração: Formalização, Detecção Comportamental e Mitigação de Abuso de Identidades em Ambientes Híbridos (2018)

A centralidade da identidade digital como principal perímetro lógico de segurança tornou-se evidente diante da consolidação de ambientes híbridos que combinam Active Directory on-premises, serviços em nuvem e aplicações SaaS. Relatórios empíricos anteriores a 2018 indicam que o comprometimento e o abuso de credenciais figuram entre os vetores mais prevalentes em violações de dados, com técnicas como Pass-the-Hash, Kerberoasting e Golden Ticket amplamente empregadas por adversários avançados. Neste trabalho, propomos uma arquitetura de Identity and Access Management (IAM) resiliente a ataques de pós-exploração, fundamentada em modelagem formal de relações de privilégio por meio de grafos direcionados ponderados, detecção comportamental multi-fonte e mecanismos automatizados de contenção. Formalizamos o ambiente como um grafo $G = (V,E)$, no qual vértices representam identidades e ativos e arestas representam relações de autorização e confiança, permitindo a identificação de caminhos de escalonamento lateral antes de sua exploração efetiva. Integramos telemetria de eventos Windows (incluindo Event IDs 4624, 4672 e 4769), dados de rede via Suricata e correlação em SIEM Elastic, utilizando regras Sigma e análise estatística baseada em $z$-score para detecção de desvios comportamentais. Avaliamos experimentalmente a arquitetura em um ambiente controlado com 120 usuários e 42 cenários de ataque simulados, observando redução significativa do Mean Time to Detect (MTTD) e do Mean Time to Contain (MTTC), mantendo taxa de falso positivo inferior a 5%. Discutimos implicações operacionais, limitações e aderência a requisitos regulatórios como o GDPR (2016/679), vigente em 2018. Nossos resultados demonstram que a combinação de formalização matemática da superfície de privilégios com detecção contextual reduz substancialmente o risco associado ao abuso legítimo de credenciais comprometidas, oferecendo um modelo replicável para organizações que operam infraestruturas híbridas.

2014-02-06Read paper →IAM

Arquitetura Adaptativa de Identity and Access Management (IAM) Baseada em Risco com Correlação Comportamental e Integração MITRE ATT&CK para Ambientes Híbridos e Multinuvem

A crescente adoção de serviços em nuvem, modelos SaaS e ambientes híbridos tem deslocado o perímetro de segurança tradicional para a identidade digital, tornando Identity and Access Management (IAM) um componente crítico da defesa organizacional. Relatórios contemporâneos indicam que o comprometimento de credenciais e o abuso de contas legítimas figuram entre os principais vetores de intrusão (VERIZON, 2018). Modelos clássicos baseados exclusivamente em Role-Based Access Control (RBAC) revelam limitações estruturais diante de cenários dinâmicos, caracterizados por mobilidade, federação de identidades e heterogeneidade de provedores. Neste trabalho, propomos uma arquitetura adaptativa de IAM fundamentada em modelagem probabilística de risco, correlação comportamental e integração sistemática com a base de conhecimento MITRE ATT&CK (versões 2017–2018). Formalizamos o risco de sessão como função da probabilidade condicional de comprometimento e do impacto associado ao recurso acessado, incorporando métricas de entropia comportamental para quantificação de desvios. A arquitetura integra componentes de ABAC, mecanismos de User and Entity Behavior Analytics (UEBA), orquestração automatizada de resposta e políticas dinâmicas implementadas via Open Policy Agent (OPA), compatíveis com o estado da prática em 2018. Avaliamos empiricamente a proposta em ambiente híbrido com 12.500 usuários e 3,2 milhões de eventos de autenticação e autorização, incluindo 480 simulações de técnicas mapeadas às táticas de credenciais válidas (T1078) e despejo de credenciais (T1003). Os resultados indicam taxa de detecção de 92,1%, redução de 37% em privilégios excessivos e diminuição significativa no tempo médio de detecção (MTTD), com sobrecarga operacional controlada. Demonstramos que a integração formal entre modelos probabilísticos, controle de acesso baseado em atributos e inteligência estruturada de ameaças constitui abordagem viável e mensurável para mitigação de abuso de identidade em ambientes híbridos e multinuvem no contexto tecnológico de 2018.

2014-01-30Read paper →IAM

Arquitetura Adaptativa de Identity and Access Management com Modelagem Formal de Privilégios e Detecção Comportamental Baseada em MITRE ATT&CK para Ambientes Híbridos e Multicloud

A gestão de identidade e acesso (Identity and Access Management – IAM) consolidou-se, até 2018, como o principal vetor de controle de segurança em ambientes corporativos híbridos e multicloud. Relatórios empíricos indicam que o comprometimento e o abuso de credenciais legítimas figuram entre as causas predominantes de violações de dados, deslocando o foco defensivo da exploração de vulnerabilidades técnicas isoladas para cadeias de privilégio e movimentação lateral. Nesse contexto, propomos uma arquitetura adaptativa que integra modelagem formal de privilégios, análise de grafos e detecção comportamental fundamentada na base de conhecimento MITRE ATT&CK (versões públicas até 2018), com o objetivo de identificar, de forma proativa, caminhos críticos de escalonamento antes da materialização do impacto operacional. Formalizamos o sistema de identidade como um grafo direcionado ponderado $G = (V, E, w)$, no qual vértices representam identidades, papéis e recursos, e arestas codificam relações de delegação ou permissão com pesos associados a risco. Definimos uma função de risco acumulado $R(C)$ sobre caminhos $C$ e introduzimos um limiar adaptativo $\theta$ calibrado empiricamente a partir de telemetria histórica. A arquitetura proposta integra coleta distribuída (Active Directory, Azure Active Directory, AWS IAM), persistência em banco de grafos, correlação de eventos em SIEM e orquestração automatizada de resposta. Avaliamos a solução em laboratório com 2.500 identidades e 12,7 milhões de eventos, observando redução de 63,4% no Mean Time to Detect (MTTD) e 41,2% no Mean Time to Respond (MTTR) em comparação com correlação estática tradicional. Demonstramos que a combinação de rigor formal e inteligência operacional baseada em táticas, técnicas e procedimentos (TTPs) proporciona ganhos mensuráveis de eficácia, mantendo viabilidade computacional.

2014-01-23Read paper →