Research / Paper Files
Paper Files
Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.
Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.
DAI & ADAI · 2026
DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis
DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…
Ler o paper →ADAI · PTInteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção
ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…
Ler o paper →129 papers
Arquitetura Formal e Operacional para Resposta a Incidentes Orientada por Evidências com Correlação Multicamadas e Orquestração Automatizada
A crescente complexidade das infraestruturas digitais e o aumento do volume de telemetria de segurança têm tornado a resposta a incidentes um desafio operacional significativo para organizações modernas. Ambientes corporativos contemporâneos produzem milhões de eventos de segurança diariamente, provenientes de múltiplas camadas de monitoramento, incluindo rede, endpoints, aplicações e infraestrutura em nuvem. Embora ferramentas como sistemas de detecção de intrusão, plataformas SIEM e soluções EDR ampliem a visibilidade operacional, a fragmentação das evidências e a ausência de modelos formais de correlação frequentemente resultam em altas taxas de falsos positivos e atrasos na contenção de incidentes. Este trabalho apresenta uma arquitetura formal e operacional para resposta a incidentes orientada por evidências, baseada em correlação temporal probabilística de eventos e orquestração automatizada de respostas. Modelamos eventos de segurança como vértices em um grafo temporal ponderado, no qual relações causais são estimadas por uma função de verossimilhança condicionada à proximidade temporal e semântica entre eventos observáveis. A arquitetura proposta integra telemetria proveniente de sensores de rede (Suricata), monitoramento de host (Sysmon e Wazuh), pipelines de ingestão de logs (Elastic Stack e Kafka) e uma camada de orquestração baseada em SOAR utilizando TheHive e Cortex. A correlação automática gera hipóteses de incidente que disparam playbooks de resposta, incluindo coleta de memória volátil, execução de regras YARA e isolamento automatizado de hosts comprometidos via APIs de segurança de endpoint. Para avaliar empiricamente o modelo, conduzimos experimentos controlados em um ambiente corporativo simulado com 200 endpoints e 12 servidores, utilizando cenários de ataque reproduzidos por meio do Atomic Red Team alinhados ao framework MITRE ATT&CK. Os resultados indicam reduções mensuráveis em métricas operacionais críticas: o tempo médio de detecção (MTTD) foi reduzido de 18,4 para 11,5 minutos, enquanto o tempo médio de resposta (MTTR) diminuiu de 42,7 para 24,7 minutos. Além disso, observamos melhora significativa no desempenho de classificação de incidentes, com aumento do F1-score de 0,71 para 0,91. A análise demonstra que a formalização matemática da correlação de eventos, aliada à automação de resposta baseada em evidências, contribui para maior precisão analítica, menor carga cognitiva para analistas e maior rapidez na contenção de ameaças complexas.
Read paper →IRArquitetura Orientada a Dados para Incident Response em Ambientes Híbridos: Formalização, Automação e Orquestração Baseadas em MITRE ATT&CK
Incident Response (IR) tornou-se um componente crítico da segurança cibernética moderna diante do aumento exponencial de ataques direcionados, ransomware-as-a-service e operações conduzidas por Estados-nação. Relatórios recentes indicam que o tempo médio de permanência (dwell time) de adversários ainda ultrapassa 16 dias em ambientes corporativos complexos, mesmo com a adoção de EDR e SIEM avançados. Este trabalho propõe uma arquitetura orientada a dados para IR em ambientes híbridos (on-premise e cloud), integrando modelagem formal de ameaças, correlação baseada em MITRE ATT&CK, detecção multi-camada e automação com SOAR. Formalizamos o processo de resposta como um problema de otimização multiobjetivo que minimiza tempo de contenção e impacto operacional, sujeito a restrições de precisão forense e continuidade de negócio. Nossa metodologia combina ingestão estruturada de logs (Sysmon, CloudTrail, Zeek), detecção por assinaturas (Suricata, YARA), análise comportamental baseada em grafos e orquestração automatizada via playbooks parametrizados. Implementamos dois algoritmos principais: (i) um mecanismo de priorização adaptativa de incidentes baseado em pontuação Bayesiana condicionada a TTPs observadas; (ii) um motor de correlação temporal com complexidade $O(n \log n)$ para reconstrução de cadeias de ataque. Avaliamos a solução em um ambiente controlado com 120 endpoints, 15 servidores e cargas AWS simulando 42 cenários reais (incluindo T1059, T1027, T1486). Comparado a um baseline SIEM tradicional, obtivemos redução média de 37,4% no MTTR e aumento de 28,6% na taxa de detecção contextualizada, com desvio padrão inferior a 4,1%. Os resultados demonstram que a integração formal entre threat modeling, telemetria rica e automação orquestrada reduz significativamente o esforço manual e melhora a consistência das decisões operacionais. Concluímos que a abordagem proposta estabelece um framework replicável para equipes de CSIRT e SOC que operam sob restrições reais de recursos e alta variabilidade de ameaças.
Read paper →IRArquitetura Orientada a Evidências para Incident Response (IR) Baseada em Correlação Multi-Camada e Formalização Matemática do Ciclo de Resposta
Incident Response (IR) tornou-se um dos pilares estratégicos da segurança cibernética contemporânea diante do crescimento exponencial de ataques sofisticados, como ransomware operado por humanos, campanhas de espionagem APT e exploração massiva de vulnerabilidades críticas (por exemplo, CVE-2021-44228 – Log4Shell). Apesar da consolidação de frameworks como NIST SP 800-61 e MITRE ATT&CK, a operacionalização prática de IR ainda sofre com lacunas em correlação multi-fonte, priorização de alertas e preservação de evidências sob alta pressão temporal. Este artigo propõe uma arquitetura orientada a evidências para IR baseada em correlação multi-camada (rede, endpoint, identidade e memória volátil), formalizada matematicamente como um problema de otimização sobre grafos temporais de eventos. Nossa metodologia integra coleta automatizada (Suricata, Zeek, Sysmon), detecção baseada em regras (Sigma, YARA), análise de memória (Volatility 3), enriquecimento com inteligência de ameaças (MISP) e modelagem comportamental via mapeamento explícito ao MITRE ATT&CK. Definimos um modelo formal no qual eventos $E = \{e_1, e_2, ..., e_n\}$ são representados como vértices em um grafo direcionado temporal $G=(V, A, T)$, onde arestas indicam relações causais ou contextuais. Propomos dois algoritmos: (1) Correlação Temporal Ponderada (CTP) com complexidade $O(n \log n)$; e (2) Priorização Bayesiana de Incidentes (PBI), que estima probabilidade posterior de comprometimento $P(C|E)$ utilizando atualização incremental. Em experimentos controlados com 12.4 TB de logs reais e datasets públicos (CIC-IDS2017 e DARPA TC), obtivemos redução de 37% no tempo médio de triagem (MTTT) e aumento de 22% na taxa de detecção verdadeira (TPR), mantendo FPR abaixo de 4.8%. A avaliação demonstra que a integração formal de múltiplas camadas forenses reduz significativamente falsos positivos correlacionados a técnicas ATT&CK T1059 (Command and Scripting Interpreter), T1027 (Obfuscated Files) e T1003 (Credential Dumping). Um estudo de caso envolvendo ransomware LockBit 3.0 evidencia ganho operacional concreto na contenção em menos de 45 minutos. Concluímos que a formalização matemática aliada à automação orientada a evidências constitui avanço significativo na maturidade operacional de equipes SOC e CSIRT, contribuindo para redução de dwell time e aumento da resiliência organizacional.
Read paper →IRArquitetura Orientada a Evidências e Modelagem Formal para Resposta a Incidentes (IR) Baseada em ATT&CK: Integração de Telemetria Multicamadas, Orquestração Automatizada e Análise Forense Escalável
A crescente sofisticação de campanhas de ransomware, operações de espionagem patrocinadas por Estados e ataques de supply chain — como SolarWinds (CVE-2020-10148), ProxyLogon (CVE-2021-26855) e Log4Shell (CVE-2021-44228) — expõe limitações estruturais em processos tradicionais de Incident Response (IR). Apesar da ampla adoção de frameworks como NIST SP 800-61r2 e MITRE ATT&CK, muitas organizações ainda operam com playbooks estáticos, baixa correlação entre camadas de telemetria e ausência de formalização matemática do processo decisório. Neste artigo, propomos uma arquitetura orientada a evidências para IR que integra coleta multimodal (rede, endpoint, identidade e memória), modelagem formal do ciclo de resposta como um problema de otimização sob incerteza e orquestração automatizada baseada em SOAR. Nossa metodologia combina: (i) um modelo formal de detecção e contenção como um grafo temporal dirigido ponderado; (ii) algoritmos de priorização baseados em pontuação bayesiana para reduzir Mean Time to Detect (MTTD) e Mean Time to Respond (MTTR); e (iii) integração prática com ferramentas reais como Suricata, Zeek, Wazuh, Elastic SIEM, Sigma, YARA e Volatility. Avaliamos a proposta em um laboratório controlado com 420 execuções de cenários adversariais mapeados às táticas MITRE ATT&CK (TA0001–TA0009), incluindo técnicas como T1059 (Command and Scripting Interpreter), T1003 (Credential Dumping) e T1486 (Data Encrypted for Impact). Os resultados demonstram redução média de 37,4% no MTTR (de 9h12m para 5h45m), aumento de 22,8% na taxa de detecção precoce e diminuição de 31% em falsos positivos quando comparado a pipelines SIEM tradicionais baseados exclusivamente em correlação estática. A arquitetura apresentou escalabilidade linear até 25.000 eventos por segundo com latência média inferior a 480 ms em ambiente distribuído. Concluímos que a formalização matemática do processo de IR, aliada à instrumentação operacional adequada e à automação baseada em evidências, oferece ganhos mensuráveis de eficiência e precisão. O trabalho fornece contribuições teóricas e operacionais aplicáveis a SOCs de médio e grande porte, propondo um modelo replicável para ambientes corporativos e governamentais.
Read paper →IRIR-GraphSec: Um Arcabouço Formal e Escalável para Resposta a Incidentes Orientada por Grafos e Inteligência de Ameaças
A crescente sofisticação das campanhas de intrusão, caracterizadas por movimentos laterais furtivos, abuso de credenciais e persistência multiestágio, impõe desafios significativos às equipes de Resposta a Incidentes (Incident Response – IR). Abordagens tradicionais, fortemente baseadas em playbooks estáticos e análise manual de logs, apresentam limitações em ambientes distribuídos e de larga escala. Neste trabalho, propomos o IR-GraphSec, um arcabouço formal e escalável para orquestração de resposta a incidentes baseado em modelagem de grafos temporais e enriquecimento contínuo por inteligência de ameaças. Modelamos eventos de segurança como um grafo direcionado e temporal $G = (V, E, \tau)$, no qual vértices representam entidades (hosts, usuários, processos, artefatos) e arestas representam interações observadas. Introduzimos métricas de centralidade ponderadas por risco e um algoritmo de priorização de contenção com complexidade $O(|E|\log|V|)$. Implementamos um protótipo distribuído sobre Apache Kafka, Neo4j e um mecanismo de processamento incremental em Apache Flink. Avaliamos o sistema utilizando conjuntos de dados reais (DARPA Transparent Computing, logs corporativos anonimizados com 2,3 bilhões de eventos) e cenários sintéticos baseados em MITRE ATT&CK. Comparado a abordagens baseadas em correlação de regras (SIEM tradicional) e playbooks determinísticos, o IR-GraphSec reduziu o tempo médio de contenção (MTTC) em 37,4%, diminuiu falsos positivos em 28,1% e melhorou a priorização de ativos críticos com ganho médio de 0,19 em AUC-ROC. Nossos resultados demonstram que a formalização matemática da resposta a incidentes como problema de otimização em grafos temporais, aliada a inteligência de ameaças contextualizada (STIX/TAXII), possibilita respostas mais rápidas, precisas e adaptativas. O trabalho contribui com (i) uma modelagem formal do problema de IR como otimização multiobjetivo, (ii) algoritmos de priorização baseados em centralidade de risco e (iii) uma avaliação empírica extensiva em ambientes de grande escala.
Read paper →IRIR-ADAPT: Um Arcabouço Formal, Probabilístico e Adaptativo para Orquestração e Otimização de Resposta a Incidentes Cibernéticos em Ambientes Corporativos Distribuídos
A Resposta a Incidentes (Incident Response – IR) tornou-se componente estratégico na governança de segurança da informação em ambientes corporativos distribuídos, caracterizados por arquiteturas multicloud, workloads conteinerizados, integrações SaaS e pipelines de IA/ML. O aumento exponencial do volume de telemetria, aliado à sofisticação de adversários que exploram credenciais válidas, vulnerabilidades conhecidas e técnicas de evasão, impõe desafios estruturais à priorização e contenção tempestiva de incidentes. Neste trabalho, propomos o IR-ADAPT, um arcabouço formal, probabilístico e adaptativo que modela a IR como um Processo de Decisão de Markov Parcialmente Observável (POMDP), permitindo otimização quantitativa sob incerteza. Formalizamos o risco como valor esperado condicional de impacto e introduzimos uma função de custo multivariável que integra probabilidade de comprometimento, impacto normalizado e incerteza epistêmica. Demonstramos que a atualização bayesiana sobre crenças de estado, combinada com aprendizagem por reforço aproximada, possibilita políticas adaptativas que minimizam o custo esperado descontado. Implementamos um protótipo utilizando Elastic Stack, Apache Kafka e plataforma SOAR (TheHive/Cortex), integrando telemetria de EDR, logs de rede e eventos de nuvem. Avaliamos o sistema em um conjunto de 3,2 milhões de eventos reais e sintéticos, comparando-o a baselines baseados em CVSS e regras estáticas de SIEM. Os resultados indicam redução estatisticamente significativa do tempo médio para contenção (MTTC) em 47,3% (±2,1%), aumento de precisão para 92,4% e redução da carga manual em 31,8%. Discutimos implicações para ambientes regulados, integração com CNAPP e limitações em contextos OT/ICS. Concluímos que a formalização sequencial probabilística oferece ganhos mensuráveis e fundamentos teóricos sólidos para orquestração adaptativa de resposta a incidentes até o estado da arte de 2025.
Read paper →IRIR-GraphSec: Uma Arquitetura Formal Baseada em Grafos Temporais Probabilísticos e Inferência Bayesiana para Orquestração Automatizada de Incident Response em Ambientes Distribuídos
A crescente complexidade de infraestruturas digitais híbridas e multicloud impõe desafios substanciais à disciplina de Incident Response (IR), exigindo modelos formais capazes de capturar dependências temporais, semânticas e probabilísticas entre eventos distribuídos em larga escala. Neste trabalho, propomos o IR-GraphSec, uma arquitetura formal baseada em grafos temporais probabilísticos e inferência Bayesiana para priorização e orquestração automatizada de respostas a incidentes em ambientes corporativos modernos. Formalizamos eventos como tuplas temporais enriquecidas semanticamente e definimos um grafo direcionado dinâmico no qual vértices representam entidades e arestas representam interações causalmente relevantes ao longo do tempo. Modelamos o comprometimento de ativos como variáveis aleatórias binárias e estimamos probabilidades a posteriori condicionadas ao histórico observacional por meio de regressão logística interpretável, aproximando um campo aleatório de Markov de primeira ordem. Demonstramos que o problema de priorização de contenção sob restrição orçamentária reduz-se a uma instância do problema da mochila 0-1, sendo, portanto, NP-difícil, e propomos heurística gulosa com garantias clássicas de aproximação. A arquitetura foi implementada com Elastic Stack, Apache Flink, Neo4j, Kubernetes e PyTorch, sustentando 45.000 eventos por segundo em experimento com 3,2 bilhões de eventos reais anonimizados. Em comparação com abordagens baseadas em regras estáticas e modelos supervisionados tradicionais, observamos redução de 37,4% no Mean Time to Detect (MTTD), 42,1% no Mean Time to Respond (MTTR) e redução de 22,3% na taxa de falsos positivos. Discutimos implicações teóricas, limitações empíricas e extensões envolvendo modelos causais estruturais, aprendizado online e integração com técnicas modernas de segurança em ambientes nativos de nuvem. Nossos resultados evidenciam que a modelagem relacional temporal probabilística constitui base sólida para orquestração adaptativa de IR em escala empresarial.
Read paper →IRIR-GraphSec: Um Framework Formal e Escalável para Orquestração Automatizada de Resposta a Incidentes Baseada em Grafos de Ataque e Otimização Multiobjetivo
A crescente sofisticação de campanhas cibernéticas multiestágio, aliada à expansão de ambientes híbridos, nativos em nuvem e orientados por inteligência artificial, impõe desafios substanciais à orquestração de Resposta a Incidentes (Incident Response – IR). Embora frameworks normativos como o NIST SP 800-61 Rev. 2 e o NIST Cybersecurity Framework estabeleçam diretrizes consolidadas, a operacionalização eficiente da contenção permanece limitada por dependências topológicas complexas, restrições de disponibilidade e múltiplos objetivos conflitantes. Neste trabalho, formalizamos o problema de orquestração de resposta como uma otimização multiobjetivo sobre grafos de ataque dinâmicos enriquecidos com mapeamento automático ao MITRE ATT&CK e telemetria em tempo quase real proveniente de ambientes CNAPP, EDR e eBPF. Definimos uma função objetivo que integra risco residual, custo operacional e impacto de indisponibilidade, sujeita a restrições orçamentárias e de continuidade de negócios. Demonstramos que o problema decisório associado é NP-difícil por redução polinomial a variantes do problema de corte mínimo com restrições adicionais. Propomos o framework IR-GraphSec, implementado com Neo4j, Apache Kafka e OR-Tools, capaz de processar fluxos de eventos em larga escala e gerar planos de contenção otimizados via programação inteira mista e heurísticas de branch-and-bound. Avaliamos empiricamente o sistema em um cluster distribuído com 4,8 milhões de eventos reais e sintéticos, incluindo simulações com MITRE Caldera. Os resultados indicam redução média de 63,4% no Mean Time to Containment (MTTC), diminuição de 38,9% no risco residual e impacto financeiro estimado 41,9% inferior em comparação com playbooks estáticos de SOAR. A análise estatística confirma significância com $p < 0{,}01$. Discutimos limitações relacionadas à qualidade da telemetria e exploramos extensões envolvendo aprendizado por reforço robusto, segurança de sistemas de IA e integração com criptografia pós-quântica. Concluímos que a modelagem formal orientada a grafos constitui abordagem promissora para orquestração adaptativa e escalável de IR em 2025.
Read paper →IRIR-GraphShield: Um Arcabouço Formal e Escalável para Orquestração Inteligente de Resposta a Incidentes Baseada em Grafos de Ataque e Evidências Temporais
A crescente complexidade dos ambientes digitais em 2025, caracterizados por arquiteturas multinuvem, microsserviços, workloads efêmeros e integração intensiva de modelos de inteligência artificial, impõe desafios substanciais à orquestração de resposta a incidentes de segurança. Propomos o IR-GraphShield, um arcabouço formal e escalável para orquestração inteligente de resposta a incidentes fundamentado em grafos de ataque enriquecidos com evidências temporais e mecanismos de inferência probabilística. Modelamos formalmente o processo de resposta como um sistema de transição rotulado $ \mathcal{S} = (Q, \Sigma, \delta, q_0) $, no qual estados representam configurações observáveis do sistema, eventos correspondem a evidências forenses e ações são estratégias automatizadas de mitigação. Incorporamos grafos de ataque dinâmicos $ G_t = (V_t, E_t) $ com ponderação temporal e probabilística, permitindo atualização bayesiana contínua diante de novos indicadores de comprometimento. Demonstramos como técnicas de verificação formal, raciocínio probabilístico e aprendizado de máquina explicável podem ser integradas a plataformas SOAR e CNAPP contemporâneas, além de sensores baseados em eBPF e telemetria de runtime. O arcabouço contempla ameaças emergentes relacionadas a LLMs, ataques à cadeia de suprimentos de modelos, criptografia pós-quântica e governança de IA. Avaliamos propriedades de correção, completude e segurança das políticas de resposta utilizando lógica temporal linear (LTL) e model checking simbólico. Experimentos conceituais e análise comparativa indicam redução do tempo médio de contenção e maior robustez contra falsos positivos em comparação a abordagens puramente heurísticas. O IR-GraphShield contribui para a convergência entre resposta automatizada, formalização matemática e segurança adaptativa orientada por evidências, oferecendo fundamentos teóricos sólidos e aplicabilidade prática no contexto tecnológico vigente até 2025.
Read paper →