Research / Paper Files
Paper Files
Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.
Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.
DAI & ADAI · 2026
DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis
DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…
Ler o paper →ADAI · PTInteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção
ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…
Ler o paper →129 papers
Arquitetura Orientada por Evidências para Resposta a Incidentes: Formalização Matemática, Orquestração Automatizada e Avaliação Empírica com Base em STIX/TAXII e MITRE ATT&CK (2013)
A Resposta a Incidentes (Incident Response – IR) constitui elemento central da defesa cibernética contemporânea, especialmente diante da crescente profissionalização de campanhas direcionadas, do aumento de ataques contra infraestruturas críticas e da emergência de ransomware criptográfico em 2013, como observado no caso CryptoLocker. Embora diretrizes consolidadas, como o NIST SP 800-61 Rev. 2, forneçam estrutura processual para tratamento de incidentes, tais abordagens permanecem predominantemente qualitativas e carecem de formalização matemática para priorização sob incerteza e restrições operacionais. Neste trabalho, propomos uma arquitetura orientada por evidências que integra inferência bayesiana, modelagem explícita de risco esperado e mapeamento sistemático de eventos a táticas e técnicas do MITRE ATT&CK (versão inicial pública em 2013), complementada por padrões estruturados de inteligência de ameaças (STIX) e mecanismos de intercâmbio (TAXII). Formalizamos o processo de decisão por meio da estimação de $P(I|E)$, onde $E$ representa sequências observáveis de eventos, e definimos a priorização como problema de maximização de risco esperado sob restrições de capacidade computacional. Implementamos a arquitetura utilizando ferramentas disponíveis até 2013, incluindo Snort, OSSEC, Splunk, Cuckoo Sandbox, YARA e TheHive (versões iniciais), integradas por fluxos automatizados de enriquecimento e contenção. Avaliamos empiricamente a proposta em ambiente corporativo com 1.200 estações e 85 servidores, totalizando 1,26 bilhão de eventos ao longo de 30 dias. Os resultados indicam redução estatisticamente significativa de MTTD e MTTR, bem como diminuição de falsos positivos quando comparados a um SIEM baseado exclusivamente em correlação determinística. Concluímos que a formalização probabilística aliada à orquestração automatizada melhora substancialmente a eficiência operacional e a consistência decisória, oferecendo base rigorosa para evolução de práticas de IR alinhadas ao estado da arte até 2013.
Read paper →IREngenharia Operacional de Resposta a Incidentes: Formalização, Automação e Avaliação Empírica de Capacidades de Resposta em Ambientes Corporativos Híbridos (2013)
A crescente sofisticação das ameaças cibernéticas observada até 2013, incluindo campanhas de espionagem avançada (APT), exploração direcionada de vulnerabilidades em serviços expostos, ataques a infraestruturas críticas e a emergência do ransomware CryptoLocker, impôs às organizações a necessidade de estruturar formalmente suas capacidades de Resposta a Incidentes (Incident Response – IR). Embora guias consolidados como o NIST SP 800-61r2 proponham processos estruturados, verificamos lacunas significativas entre modelos normativos e execução operacional em Centros de Operações de Segurança (SOC). Neste trabalho, propomos a formalização da IR como um problema de otimização sob restrições de recursos e tempo, modelando o impacto acumulado de um incidente como uma integral de custo ao longo do intervalo entre comprometimento e remediação completa. Integramos conceitos da Cyber Kill Chain (Lockheed Martin, 2011), inteligência de ameaças estruturada via STIX (MITRE, 2012) e mecanismos de detecção baseados em SIEM, YARA e sandboxing (Cuckoo), todos tecnologicamente consistentes com o estado da arte de 2013. Desenvolvemos uma arquitetura modular composta por coleta centralizada de logs, correlação em SIEM, análise dinâmica de malware, enriquecimento por inteligência de ameaças e automação parcial por meio de scripts e playbooks operacionais. Avaliamos empiricamente três cenários representativos da época: infecção por CryptoLocker, comprometimento com web shell em servidor IIS e movimento lateral via Pass-the-Hash. Os resultados indicam reduções mensuráveis em Mean Time to Detect (MTTD) e Mean Time to Respond (MTTR), bem como aumento na taxa de contenção inicial, validando a hipótese de que a engenharia formal da IR contribui para minimizar o impacto total. Concluímos que a combinação de modelagem matemática, padronização processual e automação controlada representa um avanço substancial na maturidade operacional de SOCs corporativos em 2013.
Read paper →IRArquitetura Operacional de Resposta a Incidentes Baseada em Threat Hunting, Telemetria Avançada e Orquestração Automatizada em Ambientes Corporativos Híbridos (Contexto Tecnológico até 2013)
A crescente profissionalização do cibercrime e a intensificação de campanhas direcionadas contra organizações públicas e privadas impuseram, até 2013, a necessidade de revisão dos modelos tradicionais de resposta a incidentes. Embora o NIST SP 800-61 Rev. 2 estabeleça diretrizes consolidadas para tratamento de incidentes, observamos que a expansão da superfície de ataque — impulsionada por virtualização, mobilidade corporativa e interconexão entre ambientes internos e serviços terceirizados — exige maior integração entre monitoramento contínuo, inteligência de ameaças estruturada e automação operacional. Neste trabalho, propomos e avaliamos uma arquitetura operacional de Incident Response (IR) que combina: (i) telemetria unificada de endpoints e rede; (ii) mapeamento sistemático de eventos à matriz MITRE ATT&CK (versões iniciais, 2013); (iii) uso de indicadores estruturados via STIX/TAXII; (iv) orquestração automatizada de ações de contenção com base em playbooks; e (v) práticas contínuas de threat hunting orientadas por hipóteses. Formalizamos métricas quantitativas como Mean Time to Detect (MTTD) e Mean Time to Respond (MTTR), estabelecendo um modelo matemático para avaliação de desempenho sob restrições de taxa de falso positivo. Implementamos a arquitetura em ambiente corporativo híbrido composto por 120 estações Windows, 15 servidores Linux e infraestrutura Active Directory, utilizando ferramentas disponíveis até 2013, como Splunk Enterprise, OSSEC, Cuckoo Sandbox, YARA, TheHive e Zeek (Bro). Conduzimos 42 cenários simulados baseados na Cyber Kill Chain e em técnicas documentadas na ATT&CK inicial. Os resultados indicam redução significativa de MTTD e MTTR, com manutenção da taxa de falsos positivos abaixo de 5%. Demonstramos que a integração entre inteligência estruturada, telemetria detalhada e automação controlada proporciona ganhos mensuráveis de eficácia operacional, mantendo aderência às melhores práticas reconhecidas até 2013.
Read paper →IRArquitetura Operacional de Incident Response Orientada por Inteligência de Ameaças e MITRE ATT&CK: Formalização, Implementação e Avaliação Empírica em Ambientes Corporativos (2013)
A crescente sofisticação das ameaças cibernéticas em 2013, marcada pela consolidação de campanhas de espionagem patrocinadas por Estados e pela emergência do ransomware CryptoLocker, impôs desafios substanciais às equipes de resposta a incidentes (Incident Response – IR). Embora o NIST SP 800-61 Rev. 2 tenha estabelecido um processo estruturado para tratamento de incidentes, observa-se lacuna entre modelos normativos e implementação operacional integrada com inteligência de ameaças. Neste trabalho, propomos uma arquitetura de IR orientada por inteligência, fundamentada na integração entre telemetria centralizada (SIEM), compartilhamento estruturado de indicadores via STIX/TAXII, correlação baseada na Cyber Kill Chain e mapeamento preliminar ao framework MITRE ATT&CK (2013). Formalizamos o problema de priorização de incidentes por meio de uma função de custo parametrizada, permitindo otimização quantitativa da resposta sob restrições operacionais. Implementamos a arquitetura em ambiente corporativo com 1.200 estações de trabalho e 85 servidores, utilizando Splunk, Snort, OSSEC, Cuckoo Sandbox e YARA para detecção e análise. Conduzimos 30 cenários controlados de ataque, incluindo spear phishing com payloads maliciosos, movimentação lateral via SMB e simulações de ransomware CryptoLocker. Os resultados indicam redução de 38% no Mean Time to Detect (MTTD) e 41% no Mean Time to Respond (MTTR), além de diminuição de 29% na taxa de falsos positivos após incorporação de inteligência contextual. Demonstramos que a combinação de modelagem formal, correlação orientada por TTPs e automação limitada por playbooks padronizados produz ganhos mensuráveis sem comprometer o julgamento analítico humano. Concluímos que a integração estruturada entre inteligência de ameaças e processos formais de IR representa avanço operacional consistente com o estado da arte de 2013, especialmente frente a ameaças persistentes avançadas (APTs) e ao ransomware emergente.
Read paper →IRArquitetura Operacional de Incident Response para Ambientes Corporativos: Detecção, Contenção e Análise Forense de Intrusões em Redes Empresariais (Estado da Arte em 2014)
Incident Response (IR) tornou-se um componente essencial da segurança operacional em organizações conectadas à Internet. A crescente sofisticação de campanhas de intrusão, incluindo ataques direcionados, exploração de vulnerabilidades em larga escala e disseminação de malware financeiro como CryptoLocker, evidenciou limitações de abordagens puramente preventivas. Em 2014, diversas organizações já operam sob o pressuposto de comprometimento (“assume breach”), exigindo capacidades estruturadas de detecção, investigação e contenção de incidentes. Este trabalho apresenta uma arquitetura operacional de Incident Response voltada a ambientes corporativos, integrando coleta de telemetria de rede e host, análise de malware, correlação de eventos e investigação forense. A pesquisa formaliza um modelo de ameaça baseado na cadeia de ataque (Cyber Kill Chain) e discute como diferentes classes de ferramentas — IDS/IPS, plataformas de análise de malware, análise de memória e sistemas de correlação de logs — podem ser combinadas para reduzir o tempo médio de detecção e resposta a incidentes. A metodologia proposta estrutura o processo de IR em cinco fases principais: preparação, detecção, triagem, contenção e análise pós-incidente. A arquitetura integra sensores de rede como Snort e Bro IDS, agentes de host como OSSEC, plataformas de análise de malware como Cuckoo Sandbox e ferramentas forenses como Volatility e The Sleuth Kit. Dados coletados são agregados por plataformas de análise de logs, incluindo Splunk e stacks baseados em Elasticsearch, Logstash e Kibana. O estudo propõe métricas quantitativas para avaliar eficiência de resposta, incluindo tempo médio de detecção ($T_d$), tempo de contenção ($T_c$) e taxa de falsos positivos ($FP_r$). A avaliação experimental foi conduzida em um ambiente controlado reproduzindo campanhas reais observadas entre 2010 e 2014, incluindo exploração de vulnerabilidades conhecidas (CVE‑2012‑0158 e CVE‑2013‑0422) e infecções por ransomware CryptoLocker. Os resultados demonstram que a integração de múltiplas fontes de telemetria reduz o tempo médio de detecção em até 63% quando comparado a arquiteturas baseadas apenas em IDS de rede. Um estudo de caso baseado em uma intrusão corporativa real ilustra como a correlação entre artefatos de rede e memória permitiu identificar rapidamente um backdoor persistente. Os resultados indicam que arquiteturas de IR orientadas a dados, combinando análise automatizada e investigação manual, são essenciais para enfrentar o cenário de ameaças contemporâneo. O trabalho conclui com recomendações práticas para equipes de resposta a incidentes e discute limitações operacionais enfrentadas por organizações em 2014, incluindo visibilidade limitada em endpoints e dificuldades de integração entre ferramentas heterogêneas.
Read paper →IRArquitetura Operacional de Resposta a Incidentes Orientada por Inteligência de Ameaças e MITRE ATT&CK: Formalização, Implementação e Avaliação Experimental em Ambientes Corporativos (2014)
A crescente sofisticação das ameaças cibernéticas observada entre 2010 e 2014, marcada por campanhas direcionadas, operações atribuídas a Estados-nação e a emergência do ransomware moderno, como o CryptoLocker, impôs desafios estruturais aos processos tradicionais de Resposta a Incidentes (Incident Response – IR). Modelos reativos baseados exclusivamente em playbooks estáticos mostraram-se insuficientes diante de ataques multifásicos, com movimentação lateral, exfiltração de dados e uso de ferramentas legítimas do sistema operacional. Neste trabalho, propomos e avaliamos uma arquitetura operacional de IR orientada por inteligência de ameaças estruturada (STIX/TAXII) e pelo framework MITRE ATT&CK, publicado em 2013, integrando SIEM, EDR emergente, sandboxing automatizado e mecanismos de detecção baseados em comportamento. Formalizamos o problema de detecção e resposta como um processo de otimização sobre sequências temporais de eventos correlacionáveis a táticas e técnicas adversárias, definindo métricas quantitativas como Mean Time to Detect (MTTD) e Mean Time to Respond (MTTR). A arquitetura proposta é implementada em um ambiente corporativo híbrido composto por Active Directory, estações Windows 7/8 e servidores Windows Server 2008 R2/2012, utilizando Splunk Enterprise, Elastic Stack, MISP, Cuckoo Sandbox, YARA e ferramentas de análise forense como Volatility. Avaliamos experimentalmente três cenários representativos do período: campanha de ransomware inspirada no CryptoLocker, ataque de spear phishing com extração de credenciais (Mimikatz) e movimentação lateral via PsExec, e exploração de vulnerabilidade crítica em servidor web (CVE-2014-0160 – Heartbleed). Os resultados indicam redução média de 42% no MTTD e 35% no MTTR após a adoção da arquitetura orientada por inteligência. Concluímos que a integração sistemática entre inteligência estruturada, modelagem comportamental baseada em ATT&CK e automação controlada de respostas aumenta significativamente a resiliência operacional, mantendo aderência às boas práticas do NIST SP 800-61 Rev. 2.
Read paper →IRUma Arquitetura Orientada a Evidências para Resposta a Incidentes: Correlação Formal de TTPs e Métricas Quantitativas de Efetividade Operacional em Ambientes Corporativos (2014)
A crescente profissionalização do cibercrime e a consolidação de campanhas avançadas de espionagem e ransomware, como observado no surgimento do CryptoLocker em 2013, impuseram desafios significativos às equipes de Resposta a Incidentes (Incident Response – IR). Em 2014, organizações enfrentam adversários capazes de explorar credenciais válidas, realizar movimento lateral e manter persistência prolongada, resultando em elevados tempos de detecção e contenção. Embora normas como o NIST SP 800-61 Rev.2 e a ISO/IEC 27035 estabeleçam diretrizes processuais, observa-se lacuna na formalização matemática da correlação de eventos e na mensuração quantitativa da efetividade operacional. Neste trabalho, propomos uma arquitetura orientada a evidências fundamentada em um modelo formal de grafo temporal direcionado $G=(V,E,\tau)$, no qual eventos heterogêneos provenientes de IDS, logs de sistemas, artefatos forenses e indicadores de comprometimento são integrados em uma estrutura unificada. Definimos uma função de inferência $I=f(G,\Theta)$ baseada em hipóteses de ataque derivadas do modelo Cyber Kill Chain e de taxonomias públicas emergentes de TTPs. Implementamos a arquitetura com ferramentas disponíveis até 2014, incluindo Suricata, Snort, OSSEC, Logstash, Elasticsearch, TheHive, MISP, YARA e Volatility, integradas por meio de mecanismos de orquestração baseados em scripts e APIs REST. Avaliamos empiricamente 420 cenários de ataque controlados, representativos de campanhas de phishing, exploração remota e ransomware. Os resultados indicam redução estatisticamente significativa no MTTD e MTTR, com melhoria de precisão e revocação na identificação de cadeias de ataque. Demonstramos que a formalização matemática da correlação temporal, aliada à padronização de inteligência via STIX/TAXII, possibilita decisões de contenção mais rápidas e mensuráveis, contribuindo para a maturidade operacional de centros de operações de segurança (SOC) em 2014.
Read paper →IRArquitetura Operacional de Resposta a Incidentes Orientada por Inteligência de Ameaças: Modelagem Formal, Automação e Avaliação Empírica em Ambientes Corporativos (2014)
A crescente sofisticação das ameaças cibernéticas observada até 2014, incluindo campanhas de espionagem patrocinadas por Estados, ataques direcionados (APTs) e a emergência do ransomware moderno como o CryptoLocker (2013), impôs desafios substanciais às equipes de Resposta a Incidentes (Incident Response – IR). Embora normas como o NIST SP 800-61 Rev. 2 estabeleçam diretrizes estruturadas para tratamento de incidentes, sua operacionalização em ambientes corporativos complexos ainda enfrenta limitações relacionadas à priorização de alertas, correlação multi-fonte e mensuração dinâmica de risco. Neste trabalho, propomos uma arquitetura operacional de IR orientada por inteligência de ameaças, fundamentada em modelagem matemática de risco e integrada a padrões emergentes de compartilhamento de informações, como STIX e TAXII. Formalizamos o risco dinâmico de um incidente como função da severidade técnica, criticidade do ativo e probabilidade condicional de propagação lateral, modelada por processo exponencial parametrizado. Implementamos a arquitetura utilizando ferramentas disponíveis até 2014, incluindo Splunk, ELK Stack (Elasticsearch, Logstash e Kibana), OSSEC, Snort, Cuckoo Sandbox, YARA e integração com MISP para enriquecimento de indicadores. Avaliamos empiricamente a proposta por meio de 30 simulações controladas envolvendo cenários representativos da época: infecção por CryptoLocker, movimentação lateral via Pass-the-Hash e exfiltração de dados por DNS tunneling. Observamos redução média de 39% no Mean Time to Detect (MTTD) e 34% no Mean Time to Respond (MTTR) quando comparado a um processo manual não priorizado. Os resultados indicam que a integração sistemática entre inteligência estruturada de ameaças, priorização formal baseada em risco e automação moderada de playbooks operacionais contribui significativamente para a eficácia e previsibilidade da resposta a incidentes em ambientes corporativos de médio e grande porte no contexto tecnológico de 2014.
Read paper →IROrquestração Inteligente de Resposta a Incidentes Baseada em MITRE ATT&CK (2013) e Evidências Forenses: Um Modelo Formal e Implementação Operacional em SOCs de Alta Maturidade (2015)
A Resposta a Incidentes (Incident Response – IR) consolidou-se, até 2015, como o núcleo operacional dos Centros de Operações de Segurança (SOCs), especialmente diante da ascensão de campanhas de ransomware como CryptoLocker (2013), operações associadas a ameaças persistentes avançadas (APTs) e ataques direcionados a infraestruturas críticas. Embora frameworks processuais, como o NIST SP 800-61 Rev. 2, estabeleçam diretrizes estruturadas para o tratamento de incidentes, observa-se lacuna na formalização matemática da priorização de alertas e na integração sistemática entre inteligência de ameaças e orquestração operacional. Neste trabalho, propomos um modelo probabilístico bayesiano para priorização de incidentes fundamentado na taxonomia MITRE ATT&CK (versão pública inicial de 2013) e em evidências forenses multi-fonte (IDS, HIDS, logs de sistema e artefatos de memória). Formalizamos a função de risco como combinação ponderada de probabilidades condicionais de técnicas adversárias, definindo critérios explícitos de corretude e desempenho operacional. Implementamos a arquitetura proposta com ferramentas disponíveis até 2015, incluindo Suricata, Zeek (Bro), Wazuh/OSSEC, Elastic Stack, TheHive, Cortex, Cuckoo Sandbox e Volatility, integradas via APIs REST e formatos STIX/TAXII para intercâmbio de inteligência. Avaliamos empiricamente a solução em ambiente controlado com 20 máquinas virtuais e conjunto de 1.250 incidentes reais anonimizados, além de 300 cenários simulados representando técnicas como execução remota de código, movimentação lateral via SMB e credential dumping. Observamos redução média de 37,9% no MTTR e diminuição estatisticamente significativa da taxa de falso-positivo, mantendo FPR inferior a 5% após calibração de pesos. O estudo demonstra que a formalização probabilística, aliada à orquestração automatizada e alinhamento a TTPs documentadas, produz ganhos mensuráveis de eficiência decisória, contribuindo para maturidade operacional de SOCs em 2015.
Read paper →IRArquitetura Orientada a Grafos para Resposta a Incidentes Automatizada: Correlação Multi-Fonte, Priorização Baseada em MITRE ATT&CK e Redução Quantitativa de MTTR (2015)
A crescente sofisticação de ameaças persistentes avançadas (APTs), campanhas de espionagem patrocinadas por Estados e o surgimento de ransomware como o CryptoLocker (2013) impuseram desafios significativos aos Centros de Operações de Segurança (SOC) até 2015. Embora frameworks consolidados como NIST SP 800-61 Rev.2 e ISO/IEC 27035 definam processos estruturados de resposta a incidentes, a operacionalização da detecção e da priorização permanece amplamente baseada em correlação determinística de eventos em SIEMs tradicionais, com limitada contextualização estrutural. Neste trabalho, propomos uma arquitetura orientada a grafos para resposta a incidentes automatizada, fundamentada em modelagem matemática formal de cadeias de ataque como grafos direcionados ponderados $G = (V, E, w)$. Integramos múltiplas fontes de telemetria — incluindo logs de endpoint (Sysmon), monitoramento de integridade (OSSEC/Wazuh), e IDS de rede (Suricata) — a um pipeline de normalização e enriquecimento baseado em mapeamento às táticas e técnicas do MITRE ATT&CK (versões públicas até 2015). Definimos uma função de criticidade baseada em pesos associados a técnicas adversárias e utilizamos métricas de centralidade, como betweenness, para priorização objetiva de caminhos críticos. Avaliamos empiricamente a proposta em ambiente corporativo controlado com 135 ativos, simulando cenários realistas de phishing, escalonamento de privilégio, movimento lateral via SMB/RDP e exfiltração por HTTPS. Os resultados indicam redução estatisticamente significativa do Mean Time To Respond (MTTR) de 11,2h para 6,4h (redução de 42,9%, $p < 0,01$), bem como melhoria na taxa de detecção de movimentos laterais (de 63% para 91%). Demonstramos que a modelagem estrutural baseada em grafos permite capturar dependências causais e temporais não evidentes em regras isoladas, contribuindo para priorização contextualizada e redução de falsos positivos. A arquitetura proposta é compatível com tecnologias disponíveis até 2015, incluindo ELK Stack, Neo4j, TheHive e padrões STIX/TAXII para inteligência de ameaças.
Read paper →IRArquitetura Adaptativa e Orientada por TTPs para Resposta a Incidentes: Integração Formal entre MITRE ATT&CK, Telemetria Multicamadas e Orquestração Automatizada em Ambientes Corporativos (2015)
A crescente sofisticação das ameaças cibernéticas até 2015, caracterizada por campanhas de espionagem patrocinadas por Estados, ransomware emergente como CryptoLocker e operações multiestágio persistentes, evidenciou limitações estruturais dos modelos tradicionais de Resposta a Incidentes (Incident Response – IR). Embora guias consolidados, como o NIST SP 800-61 Rev. 2, estabeleçam processos formais de tratamento de incidentes, observa-se lacuna entre a modelagem procedural e a dinâmica adversarial baseada em Táticas, Técnicas e Procedimentos (TTPs). Neste trabalho, propomos uma arquitetura adaptativa orientada por TTPs que integra formalmente o framework MITRE ATT&CK (versões iniciais publicadas a partir de 2013), padrões de inteligência de ameaças STIX/TAXII e telemetria multicamadas (rede, host e memória). Modelamos o problema de priorização de alertas como inferência probabilística em grafos temporais direcionados, nos quais eventos são correlacionados segundo relações causais e temporais associadas a técnicas adversariais. Definimos formalmente uma função de risco baseada em probabilidade condicional de técnica, criticidade do ativo e impacto estimado, permitindo priorização quantitativa e redução de fadiga de alertas. Implementamos protótipo experimental utilizando Suricata 3.x, OSSEC/Wazuh (versões iniciais), Sysmon (2014), ELK Stack 1.x, YARA 3.x, Cuckoo Sandbox e integração com plataformas de gestão de incidentes como TheHive (versões iniciais). A avaliação empírica, conduzida em ambiente corporativo simulado com 800 endpoints e 30 servidores, demonstra redução média de 39% no Mean Time To Detect (MTTD) e 34% no Mean Time To Respond (MTTR) em comparação com correlação estática baseada exclusivamente em regras. O estudo evidencia que a formalização probabilística orientada por TTPs aumenta a capacidade de detecção de ataques multiestágio, particularmente aqueles envolvendo spear-phishing, movimentação lateral via SMB e exfiltração encoberta. Concluímos que a integração entre modelagem formal, telemetria multicamadas e orquestração automatizada constitui abordagem viável e consistente com o estado da arte em 2015 para aprimoramento de operações de Security Operations Center (SOC).
Read paper →IRArquitetura Orquestrada e Orientada por MITRE ATT&CK para Resposta a Incidentes: Formalização Matemática, Automação e Avaliação Empírica em Ambientes Corporativos Híbridos (2015)
A crescente sofisticação das ameaças cibernéticas até 2015, marcada pela proliferação de campanhas de spear phishing, ransomware como CryptoLocker e operações atribuídas a grupos APT, evidenciou limitações operacionais dos Centros de Operações de Segurança (SOC) na correlação e priorização de alertas. Embora guias normativos como o NIST SP 800-61 Rev.2 estabeleçam fases estruturadas de resposta a incidentes, persiste uma lacuna entre orientação conceitual e execução eficiente em ambientes corporativos híbridos que integram infraestruturas on-premises e serviços em nuvem como Amazon Web Services. Neste trabalho, propomos uma arquitetura orquestrada e orientada pela matriz MITRE ATT&CK (versões iniciais publicadas a partir de 2013) para sistematizar a detecção, correlação e resposta a incidentes. Formalizamos o processo de priorização como um problema de otimização multiobjetivo sob restrições de recursos analíticos, definindo uma função de risco dinâmico baseada em probabilidade histórica de técnicas adversárias, criticidade de ativos e inteligência externa estruturada via STIX/TAXII. Desenvolvemos algoritmos de correlação temporal e priorização com complexidade $O(n \log n)$ e implementamos a solução com ferramentas amplamente disponíveis até 2015, incluindo Suricata, Wazuh/OSSEC, Elastic Stack, TheHive, MISP, YARA, Cuckoo Sandbox e Ansible. Realizamos avaliação empírica em ambiente corporativo híbrido com 1.200 estações Windows, 200 servidores Linux e workloads em AWS, simulando 36 cenários alinhados à ATT&CK. Os resultados indicam reduções estatisticamente significativas de 34,6% no MTTD e 39,8% no MTTR em comparação a um baseline sem orquestração, com melhoria concomitante na taxa de verdadeiros positivos. Discutimos limitações metodológicas e implicações práticas para SOCs que operam sob elevada volumetria de eventos. Demonstramos que a integração formal entre modelagem matemática de risco, ontologia de TTPs e automação controlada constitui abordagem viável e mensurável para elevar a maturidade de resposta a incidentes no contexto tecnológico de 2015.
Read paper →IROrquestração Inteligente de Resposta a Incidentes Baseada em MITRE ATT&CK, Telemetria Multicamadas e Automação: Modelo Formal e Avaliação Empírica em Ambientes Corporativos (2016)
A crescente sofisticação das ameaças cibernéticas até 2016, incluindo campanhas de ransomware como CryptoLocker e CryptoWall, operações associadas a grupos APT e exploração sistemática de vulnerabilidades críticas, evidenciou limitações estruturais em abordagens tradicionais de resposta a incidentes baseadas exclusivamente em assinaturas e análise manual. Neste trabalho, propomos um modelo formal para orquestração inteligente de resposta a incidentes fundamentado em três pilares: (i) mapeamento sistemático de Táticas, Técnicas e Procedimentos (TTPs) segundo o framework MITRE ATT&CK (versões públicas a partir de 2013); (ii) correlação probabilística de telemetria multicamadas proveniente de redes, endpoints e sistemas de identidade; e (iii) automação operacional por meio de integração entre SIEM e plataformas de análise forense e gerenciamento de casos. Formalizamos o incidente como uma tupla estruturada e definimos uma função de risco residual baseada em probabilidade condicional de comprometimento e impacto no ativo. Introduzimos algoritmos de correlação temporal com complexidade $O(n \log n)$ e mecanismo de priorização Bayesiana para ranqueamento de incidentes sob restrições de latência operacional. Implementamos a arquitetura com componentes amplamente adotados até 2016, incluindo Elastic Stack 2.x, Suricata, Bro (atualmente Zeek), OSSEC, TheHive e Cuckoo Sandbox, integrados por regras de correlação e indicadores estruturados via STIX/TAXII. A avaliação experimental, conduzida em ambiente corporativo com 375 ativos monitorados, demonstra redução significativa no Mean Time To Detect (MTTD) e no Mean Time To Respond (MTTR), bem como diminuição estatisticamente significativa de falsos positivos ($p < 0{,}01$). Discutimos limitações relacionadas à qualidade da telemetria e à evasão por técnicas living-off-the-land, e analisamos implicações práticas para equipes de segurança corporativa. Os resultados indicam que a combinação de modelagem probabilística contextual, mapeamento ATT&CK e automação estruturada constitui avanço operacional relevante no estado da prática de 2016.
Read paper →IRArquitetura Orientada a Evidências para Resposta a Incidentes: Formalização Probabilística, Orquestração Automatizada e Avaliação Empírica em Ambientes Corporativos (2016)
A crescente sofisticação de ameaças cibernéticas até 2016, incluindo campanhas de ransomware como CryptoLocker e CryptoWall, operações persistentes avançadas (APTs) e ataques direcionados a infraestruturas críticas, evidenciou limitações estruturais em abordagens tradicionais de resposta a incidentes baseadas exclusivamente em SIEM. Embora frameworks como o NIST SP 800-61 Rev.2 e a ISO/IEC 27035 estabeleçam processos formais, observa-se lacuna entre a modelagem conceitual e a operacionalização matemática de evidências correlacionadas. Neste trabalho, propomos uma arquitetura orientada a evidências fundamentada em grafos temporais probabilísticos e inferência Bayesiana para priorização dinâmica de incidentes. Formalizamos o processo de resposta como um problema de inferência sobre um grafo $G = (V, E, T)$, no qual vértices representam artefatos digitais e arestas modelam relações causais temporalmente ordenadas. Demonstramos como a probabilidade posterior $P(I|E)$ pode ser utilizada para priorizar ações de contenção sob restrições de desempenho operacional, minimizando $MTTR$ sujeito a limiares de recall. A arquitetura integra sensores de rede (Suricata), coleta de eventos (Sysmon), correlação em ELK Stack, análise de malware (Cuckoo Sandbox), inteligência de ameaças via STIX/TAXII e orquestração com TheHive e Cortex. Avaliamos empiricamente a proposta em 312 cenários simulados representativos de técnicas documentadas no MITRE ATT&CK (versões publicadas até 2015), incluindo execução remota, movimento lateral e ransomware inspirado em CryptoLocker. Comparada a uma linha de base baseada apenas em SIEM, a arquitetura reduziu o MTTD em 37,9% e o MTTR em 41,2%, mantendo recall de 0,92 e reduzindo a taxa de falsos positivos para 5,1%. Concluímos que a formalização probabilística integrada à orquestração automatizada fornece ganhos mensuráveis de eficiência e consistência analítica, oferecendo base teórica sólida para evolução de operações de segurança corporativas em 2016.
Read paper →IRArquitetura Orientada a Grafos e Telemetria Multicamadas para Resposta a Incidentes: Formalização Matemática, Automação e Avaliação Empírica em Ambientes Corporativos de Alta Criticidade (2016)
A crescente sofisticação de campanhas de intrusão direcionadas e o aumento de incidentes envolvendo ransomware emergente, como CryptoLocker e CryptoWall, evidenciaram, até 2016, limitações estruturais dos modelos tradicionais de resposta a incidentes baseados exclusivamente em correlação por regras em SIEMs. Embora diretrizes consolidadas, como o NIST SP 800-61 Rev. 2, estabeleçam processos formais para tratamento de incidentes, observa-se lacuna significativa na formalização matemática da priorização de alertas e na modelagem causal de ataques multiestágio. Neste trabalho, propomos uma arquitetura orientada a grafos para correlação de telemetria multicamadas — rede, endpoint, autenticação e memória — combinada a um modelo quantitativo de risco baseado em função ponderada $R(i)=\alpha P(i)+\beta I(i)+\gamma C(i)$, sujeita à restrição $\alpha+\beta+\gamma=1$. A arquitetura integra ferramentas amplamente adotadas até 2016, incluindo Suricata, Bro (atual Zeek), Sysmon, YARA, Cuckoo Sandbox, Elastic Stack, Neo4j e MISP com STIX/TAXII para inteligência de ameaças. Formalizamos o problema de priorização como uma otimização sob restrição de capacidade analítica e modelamos a cadeia de ataque segundo o Cyber Kill Chain (LOCKHEED MARTIN, 2011) e as primeiras versões do MITRE ATT&CK (MITRE, 2015). Avaliamos empiricamente a proposta em ambiente corporativo controlado com 130 ativos e 3 TB de logs, simulando campanhas de spear-phishing com dropper, uso de Mimikatz, movimentação lateral via SMB e ransomware inspirado em CryptoLocker. Observamos redução estatisticamente significativa no Mean Time to Detect (MTTD) e no Mean Time to Contain (MTTC), além de diminuição na taxa de falsos positivos. Demonstramos que a modelagem orientada a grafos permite capturar dependências causais e reduzir fragmentação analítica, constituindo avanço metodológico relevante para equipes de resposta a incidentes em 2016.
Read paper →IROrquestração Adaptativa de Resposta a Incidentes Baseada em Telemetria Multicamadas e Modelagem Formal de Ameaças: Uma Abordagem Operacional Orientada por MITRE ATT&CK (2013)
A crescente sofisticação das ameaças cibernéticas observada entre 2013 e 2016, marcada pela disseminação de ransomware como CryptoLocker, campanhas de espionagem patrocinadas por Estados e exploração sistemática de serviços expostos, impôs desafios substanciais às equipes de Security Operations Center (SOC). Embora frameworks como o NIST SP 800-61r2 e o Cyber Kill Chain ofereçam diretrizes processuais, a priorização operacional de ações de contenção permanece predominantemente heurística e baseada em playbooks estáticos. Neste trabalho, propomos uma abordagem formal para orquestração adaptativa de resposta a incidentes fundamentada em grafos ponderados de propagação de ameaças e integração de telemetria multicamadas (host, rede e inteligência externa). Modelamos o ambiente corporativo como um grafo direcionado $G=(V,E)$, no qual vértices representam ativos e arestas codificam relações de confiança e vetores de movimento lateral, alinhados às táticas e técnicas do MITRE ATT&CK (versão inicial pública de 2013). Definimos uma função de risco agregado $R_{total}$ que combina probabilidade dinâmica de comprometimento, impacto de negócio e centralidade estrutural. Desenvolvemos um algoritmo de priorização com complexidade $O(|V|+|E|)$ e implementamos um protótipo integrando Sysmon, Suricata, Zeek, Elastic Stack, TheHive, Cortex, YARA e Cuckoo Sandbox, todos disponíveis até 2016. A avaliação experimental em um ambiente com 120 máquinas virtuais, simulando cenários de ransomware inspirado em CryptoLocker, movimento lateral via PsExec e beacon Cobalt Strike, demonstrou redução média de 39,8% no Mean Time to Containment (MTTC) em comparação a playbooks estáticos, mantendo taxa de falso positivo inferior a 8%. Argumentamos que a formalização matemática aliada à orquestração automatizada baseada em risco dinâmico constitui avanço operacional significativo e compatível com os frameworks consolidados até 2016.
Read paper →IRArquitetura Formal e Operacional para Resposta a Incidentes Baseada em Correlação Multicamadas, Threat Intelligence e Orquestração Automatizada em Ambientes Corporativos Híbridos (2017)
A crescente complexidade dos ambientes corporativos híbridos em 2017 — combinando infraestrutura on-premise, virtualização, serviços em nuvem pública e privada, bem como a adoção inicial de contêineres — impôs desafios substanciais às equipes de resposta a incidentes (Incident Response – IR). Embora diretrizes consolidadas, como o NIST SP 800-61r2, estabeleçam processos estruturados para tratamento de incidentes, persiste uma lacuna entre a modelagem conceitual e a implementação operacional mensurável, especialmente no que se refere à priorização formal de alertas e à orquestração automatizada de respostas. Neste trabalho, propomos uma arquitetura formal e operacional para IR baseada em correlação multicamadas, integração de inteligência de ameaças e automação controlada de contenção, fundamentada no mapeamento de técnicas descritas no framework MITRE ATT&CK (versões públicas até 2017). Formalizamos o problema de priorização de incidentes como um processo de minimização de custo esperado, considerando impacto potencial, probabilidade estimada de comprometimento e custo operacional de resposta. Desenvolvemos algoritmos de correlação adaptativa com complexidade $O(n \log n)$ e políticas de contenção progressiva orientadas por criticidade de ativos. Implementamos a arquitetura utilizando ferramentas disponíveis até 2017, incluindo Suricata, Wazuh/OSSEC, Elastic Stack 5.x, MISP e TheHive/Cortex. Avaliamos experimentalmente a proposta em ambiente corporativo simulado com 1.200 endpoints, demonstrando reduções de 37,4% no tempo médio de detecção (MTTD) e 42,8% no tempo médio de resposta (MTTR), além de diminuição significativa na taxa de falsos positivos. Os resultados indicam que a formalização matemática da priorização, aliada à correlação orientada por técnicas adversariais e à automação supervisionada, contribui para maior previsibilidade operacional e redução da fadiga de alertas. Concluímos que a integração sistemática entre modelagem formal de risco e orquestração prática representa avanço relevante para maturidade de IR em 2017.
Read paper →IROrquestração Formal e Automação de Resposta a Incidentes Orientada ao MITRE ATT&CK: Uma Arquitetura Escalável para Redução de MTTR em Ambientes Corporativos Híbridos
A crescente complexidade dos ambientes corporativos híbridos, integrando infraestruturas on-premises, serviços em nuvem e aplicações SaaS, impõe desafios significativos à disciplina de Resposta a Incidentes (Incident Response – IR). Embora diretrizes consolidadas, como o NIST SP 800-61 Rev. 2 e a ISO/IEC 27035, estabeleçam processos estruturados para tratamento de incidentes, observa-se lacuna substancial entre modelos normativos e práticas operacionais automatizadas em Centros de Operações de Segurança (SOCs). Paralelamente, a consolidação do framework MITRE ATT&CK como taxonomia pública de Táticas, Técnicas e Procedimentos (TTPs) fornece base padronizada para caracterização de comportamento adversarial, porém sua aplicação permanece frequentemente estática e desprovida de formalização probabilística. Neste trabalho, propomos uma arquitetura de orquestração e automação de resposta a incidentes orientada a TTPs, fundamentada em modelo bayesiano incremental para estimativa da probabilidade de comprometimento. Formalizamos o problema de correlação de eventos como inferência condicional sobre sequência observável de evidências e definimos critério decisório parametrizado por limiar $\theta$ calibrado empiricamente. A arquitetura integra sensores de rede e endpoint (Suricata, Sysmon, Wazuh), pipeline de normalização (Elastic Stack), mecanismo de inferência probabilística e plataforma de orquestração (TheHive/Cortex), permitindo contenção automatizada sob restrições explícitas de taxa de falso positivo e latência decisória. Avaliamos experimentalmente a proposta em ambiente controlado com 1.200 máquinas virtuais e 37 cenários baseados em técnicas documentadas no ATT&CK até 2017, incluindo campanhas associadas a Emotet e WannaCry. Os resultados indicam redução média de 43,7% no Mean Time To Respond (MTTR) e melhoria significativa na detecção precoce de ransomware, mantendo taxa de falso positivo inferior a 11%. Demonstramos, assim, que a integração entre modelagem formal e automação operacional constitui abordagem viável e escalável para otimização quantitativa da resposta a incidentes em ambientes corporativos híbridos.
Read paper →IROrquestração Adaptativa de Resposta a Incidentes Orientada por TTPs: Um Framework Formal com Modelagem Probabilística e Avaliação Empírica em Ambientes Corporativos de Alta Criticidade (2017)
A crescente sofisticação das ameaças cibernéticas até 2017, incluindo campanhas de ransomware de larga escala, ataques direcionados persistentes (APT) e exploração de vulnerabilidades críticas em serviços expostos, impôs desafios substanciais às equipes de Resposta a Incidentes (Incident Response – IR). Embora referenciais consolidados, como o NIST SP 800-61 Rev.2 e o Cybersecurity Framework do NIST, ofereçam diretrizes processuais robustas, observa-se lacuna na formalização matemática de mecanismos de priorização dinâmica baseados em evidências heterogêneas. Paralelamente, modelos estruturais como a Cyber Kill Chain e a matriz MITRE ATT&CK (versões iniciais publicadas até 2017) ampliaram a compreensão das Táticas, Técnicas e Procedimentos (TTPs), porém sem integração formal com métodos probabilísticos de inferência operacional. Neste trabalho, propomos um framework de orquestração adaptativa de IR fundamentado em grafos direcionados rotulados por TTPs e inferência bayesiana para priorização dinâmica de ativos comprometidos. Modelamos eventos de segurança como evidências observáveis e hipóteses de comprometimento como variáveis latentes, formalizando a atualização de crenças por meio da regra de Bayes. Implementamos protótipo operacional integrando Elastic Stack 5.x, Wazuh/OSSEC, Suricata 3.x, Bro (atual Zeek) e Neo4j 3.x, compatíveis com o estado da prática em 2017. Avaliamos empiricamente o modelo em ambiente corporativo de alta criticidade com 1,2 TB de logs e 18 cenários alinhados às técnicas do ATT&CK disponíveis à época. Os resultados indicam redução estatisticamente significativa de MTTD e MTTR, além de diminuição da taxa de falsos positivos e ampliação da cobertura de técnicas adversárias. Demonstramos que a integração de modelagem formal, correlação baseada em grafos e priorização probabilística constitui avanço metodológico relevante para operações de segurança corporativa em 2017, preservando viabilidade operacional e aderência a frameworks normativos vigentes.
Read paper →IRArquitetura Formal e Operacional de Resposta a Incidentes Baseada em Telemetria Multicamadas e Correlação Orientada ao MITRE ATT&CK (2017)
A resposta a incidentes (Incident Response – IR) consolidou-se, ao longo da última década, como função central dos Centros de Operações de Segurança (SOC), especialmente diante da sofisticação crescente de campanhas de intrusão, ataques direcionados e ransomware observado até 2017. Embora frameworks como o MITRE ATT&CK tenham sistematizado táticas e técnicas adversárias, permanece lacuna significativa quanto à formalização matemática da correlação multicamada de eventos de segurança. Neste trabalho propomos uma arquitetura formal e operacional de IR fundamentada em modelagem por grafos temporais e correlação orientada a técnicas do ATT&CK, compatível com o estado da prática em 2017. Modelamos um incidente como uma estrutura matemática composta por artefatos, observáveis, hipóteses e relações temporais, permitindo derivar algoritmos com análise de complexidade assintótica explícita. Apresentamos dois algoritmos principais: (i) correlação temporal baseada em janelas deslizantes e funções de similaridade, e (ii) priorização multiobjetivo combinando probabilidade de comprometimento e impacto no negócio. Implementamos a arquitetura com ferramentas amplamente disponíveis até 2017, incluindo Suricata, Bro (atual Zeek), Wazuh/OSSEC, Elastic Stack 5.x, TheHive e Cortex, integradas por pipeline de normalização e enriquecimento contextual. Avaliamos empiricamente a abordagem em 48 cenários representativos, incluindo exploração remota de serviços expostos (por exemplo, vulnerabilidades em Apache Struts como CVE-2017-5638), movimentação lateral via SMB/RDP, dumping de credenciais em memória e exfiltração por DNS. Os resultados indicam redução estatisticamente significativa no Mean Time to Detect (MTTD) e no Mean Time to Contain (MTTC), com diminuição concomitante de falsos positivos em comparação a um SIEM baseado exclusivamente em regras estáticas. Concluímos que a formalização proposta fornece base rigorosa para correlação orientada a conhecimento adversarial, conciliando precisão analítica, viabilidade operacional e aderência às práticas consolidadas de 2017.
Read paper →IROrquestração Automatizada e Formalização Matemática de Resposta a Incidentes Baseada em TTPs do MITRE ATT&CK e Telemetria Multicamadas em Ambientes Corporativos (2017)
A crescente sofisticação das ameaças cibernéticas observada até 2017, marcada por campanhas de ransomware como WannaCry e NotPetya, bem como por operações direcionadas com movimentação lateral e exfiltração furtiva, impôs desafios substanciais às equipes de resposta a incidentes (Incident Response – IR). Embora frameworks consolidados como o NIST SP 800-61 Rev. 2 e a ISO/IEC 27035 forneçam diretrizes processuais robustas, persiste uma lacuna entre a modelagem conceitual de ataques e a operacionalização automatizada de decisões em ambientes corporativos complexos. Neste trabalho, propomos uma formalização matemática da resposta a incidentes baseada em grafos direcionados ponderados que representam cadeias de ataque modeladas a partir de Táticas, Técnicas e Procedimentos (TTPs) conforme o framework MITRE ATT&CK, cuja consolidação pública ocorreu a partir de 2015–2017. Definimos um modelo probabilístico condicional para integração de telemetria multicamadas — incluindo rede, endpoint, logs de autenticação e análise de memória — e introduzimos um algoritmo de priorização adaptativa orientado à maximização de impacto ponderado sob restrições temporais. Implementamos a arquitetura proposta utilizando componentes amplamente adotados até 2017, como Suricata, Sysmon, Elastic Stack 5.x, TheHive e Cortex, com mapeamento de eventos a TTPs por meio de regras Sigma e indicadores de ameaça estruturados. A avaliação experimental, conduzida sobre 1,2 TB de logs corporativos e cenários simulados alinhados a campanhas de 2017, demonstra redução média de 39% no MTTR, aumento de precisão de 0,69 para 0,87 e diminuição estatisticamente significativa na taxa de falsos positivos. Argumentamos que a formalização proposta contribui para maior rigor analítico, transparência decisória e integração entre inteligência de ameaças e operações de SOC. Concluímos que a modelagem probabilística baseada em grafos constitui mecanismo viável para elevação de maturidade de IR em organizações de médio e grande porte, mantendo coerência com o estado da arte até 2017.
Read paper →IRArquitetura Formal e Operacional para Incident Response Orientada por Grafos de Ataque e Telemetria Multi-Fonte em Ambientes Corporativos Híbridos (2018)
A crescente sofisticação das ameaças cibernéticas observada até 2018, incluindo campanhas de ransomware como WannaCry (2017), NotPetya (2017) e Ryuk (2018), bem como operações avançadas persistentes (APTs), evidenciou limitações estruturais em abordagens tradicionais de Incident Response (IR) baseadas exclusivamente em playbooks lineares e correlação estática de eventos. Neste trabalho, propomos uma arquitetura formal e operacional para IR orientada por grafos de ataque dinâmicos e correlação probabilística de telemetria multi-fonte em ambientes corporativos híbridos, abrangendo infraestruturas on-premises e workloads virtualizados. Formalizamos matematicamente cadeias de ataque como grafos dirigidos rotulados com restrições temporais e semânticas, definindo critérios explícitos de correção, completude e eficiência. Introduzimos algoritmos incrementais para construção e atualização de grafos em fluxo contínuo de eventos e um mecanismo de priorização bayesiana para estimativa da probabilidade de comprometimento. A arquitetura integra ferramentas consolidadas até 2018, como Suricata, OSSEC/Wazuh, Sysmon, Elastic Stack 6.x, Neo4j 3.x, Volatility 2 e YARA, garantindo aderência temporal e viabilidade prática. Avaliamos experimentalmente a proposta em ambiente controlado com 120 endpoints e simulações de exploração SMB (EternalBlue), movimentação lateral via credenciais comprometidas (Mimikatz) e implantação de Cobalt Strike, comparando-a a um SIEM tradicional baseado em regras. Observamos redução significativa de MTTD e MTTR, bem como diminuição de falsos positivos, atribuíveis à modelagem contextual por subgrafos coerentes. Discutimos implicações operacionais para SOCs, alinhamento com NIST SP 800-61 Rev.2, ISO/IEC 27035 e matriz MITRE ATT&CK (versões até 2018), e limitações inerentes à qualidade de telemetria. Concluímos que a formalização orientada por grafos constitui fundamento rigoroso para automação avançada de IR em 2018, preservando interpretabilidade e controle analítico.
Read paper →IRArquitetura Orquestrada e Orientada a Evidências para Incident Response em Ambientes Híbridos: Formalização, Automação e Validação Empírica Baseada em MITRE ATT&CK (2018)
A crescente sofisticação das ameaças cibernéticas, evidenciada por campanhas como WannaCry e NotPetya em 2017 e pela consolidação do ransomware direcionado em 2018, impõe desafios estruturais às equipes de Incident Response (IR), especialmente em ambientes híbridos que integram infraestrutura on-premises e serviços em nuvem. Embora frameworks como NIST SP 800-61r2 e ISO/IEC 27035 estabeleçam diretrizes processuais, observa-se lacuna quanto à formalização matemática da priorização de incidentes e à integração sistemática com modelos de comportamento adversarial, como o MITRE ATT&CK. Neste trabalho, propomos uma arquitetura orquestrada e orientada a evidências para IR, fundamentada em modelagem formal por grafos direcionados ponderados e otimização multiobjetivo sob restrições operacionais. Formalizamos o processo de resposta como um problema de minimização de risco agregado e tempo de resposta, considerando incerteza adversarial e limitações de recursos. A arquitetura integra ferramentas consolidadas até 2018, incluindo Wazuh, Suricata, Elastic Stack 6.x, TheHive, Cortex, MISP e Ansible, com normalização de eventos baseada em Sigma e correlação estruturada segundo técnicas do MITRE ATT&CK. Implementamos algoritmos de construção de grafos de ataque e priorização baseados em centralidade adaptada, demonstrando redução estatisticamente significativa de MTTD e MTTR em comparação a um baseline manual alinhado ao NIST. Em ambiente experimental composto por 120 endpoints Windows 10 e instâncias Amazon EC2, observamos redução de MTTD de 49,1 para 9,4 minutos e de MTTR de 4h18 para 56 minutos, com aumento de cobertura ATT&CK de 61% para 86% e redução da taxa de falso positivo para 4,9%. Os resultados indicam que a integração entre formalização matemática, padronização semântica e orquestração automatizada promove ganhos mensuráveis de eficiência operacional, contribuindo para a maturidade de SOCs em 2018, sob o contexto regulatório emergente do GDPR e da consolidação de ambientes híbridos.
Read paper →IRArquitetura Formal e Operacional de Incident Response Orientada por Evidências: Integração de Threat Hunting, Automação SOAR e Modelagem Matemática de Contenção sob o Framework MITRE ATT&CK (2018)
A crescente sofisticação das campanhas de intrusão observadas entre 2016 e 2018 — incluindo operações destrutivas como WannaCry e NotPetya — evidenciou limitações estruturais nos processos tradicionais de resposta a incidentes (Incident Response – IR). Embora normas como NIST SP 800-61 Rev.2 e ISO/IEC 27035 estabeleçam fases procedimentais consolidadas, permanece uma lacuna quanto à formalização matemática do processo decisório sob incerteza, restrições operacionais e múltiplos objetivos conflitantes. Neste trabalho, propomos uma arquitetura formal e operacional de IR orientada por evidências que integra modelagem probabilística, priorização bayesiana de alertas, orquestração automatizada via plataformas SOAR emergentes e mapeamento sistemático de técnicas adversárias segundo o framework MITRE ATT&CK (versão 2018). Modelamos o processo de contenção como um problema de otimização sequencial sob observabilidade parcial, no qual ações de resposta implicam custos operacionais e reduções probabilísticas de risco. Formalizamos a função objetivo como minimização do custo esperado acumulado, sujeito a restrições de impacto máximo admissível. Implementamos a arquitetura com ferramentas amplamente adotadas até 2018, incluindo Suricata, Zeek, Sysmon, Elastic Stack 6.x, TheHive 3, Cortex 2, MISP, YARA e Volatility 2, integradas por regras Sigma convertidas para mecanismos de busca do Elasticsearch. Avaliamos experimentalmente a proposta utilizando o dataset CIC-IDS2017 e cenários controlados de emulação adversária baseados em técnicas MITRE ATT&CK, medindo MTTR, taxa de falsos positivos, taxa de detecção e indisponibilidade operacional. Os resultados indicam redução estatisticamente significativa do MTTR e melhoria na priorização de alertas, com $p < 0{,}01$. Demonstramos que a incorporação de modelagem formal ao ciclo de IR fornece base rigorosa para decisões de contenção, reduzindo arbitrariedade e promovendo alinhamento entre segurança e continuidade de negócios.
Read paper →