Research / Paper Files

Paper Files

Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.

Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.

DAI & ADAI · 2026

DAI · PT

DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis

Ler o paper →ADAI · PT

Inteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção

Ler o paper →

Todos Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

111 papers

Research

DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis

DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O trabalho descreve sessões de resposta a incidentes que passam por curadoria do sinal, extração estruturada de alvos, seleção de playbooks revisados, contratos de ação declarados, admissibilidade determinística, execução delimitada na borda de rede, verificação por capacidades disjuntas, selagem de evidências encadeadas por hash, revisão agendada, reconciliação e reversão. O modelo aprende com transcrições próprias com resultados verificados e narra o resultado; a admissibilidade e a autoridade de execução permanecem estruturalmente fora do modelo. O paper aborda contenção por principal em domínios compartilhados, agregação sob limites de regras, reconciliação por elemento, recomputação de recibos e localização exata de alterações controladas. As medições correspondem à versão e ao período descritos no manuscrito, sem alegação de desempenho universal.

2026-10-01Read paper →Research

Inteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção

ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação por capacidades disjuntas para sistemas que agem sobre infraestrutura de produção. A admissibilidade é avaliada fora do modelo aprendido; recibos encadeados por hash e encerrados por selo oferecem um contrato de recomputação autodescritivo. O paper desenvolve localização exata de alterações, contenção por principal em pontos compartilhados de execução, reconciliação por elemento sob agregação, condições de atomização, correlação ofuscada e condições para reversibilidade composta. A metodologia separa qualidade da política, integridade do envelope e integridade da evidência. Os resultados formais dependem das hipóteses declaradas. O preprint não afirma que toda construção teórica esteja implementada ou validada de forma independente.

2026-10-01Read paper →Research

Pesquisa Reprodutível em Cibersegurança Orientada por Telemetria, Inteligência de Ameaças e Avaliação Experimental: uma Arquitetura Metodológica para 2026

Este artigo propõe um arcabouço de pesquisa reprodutível em cibersegurança, com foco em como investigar, validar e comparar técnicas ofensivas e defensivas sob restrições experimentais realistas em 2026. A motivação central é que a produção científica e operacional na área passou a depender simultaneamente de telemetria em larga escala, integração com plataformas de segurança modernas, análise de cadeias de ataque assistidas por inteligência artificial e requisitos de governança cada vez mais rígidos. O trabalho formaliza o problema de pesquisa como uma otimização multiobjetivo sujeita a limitações de custo, cobertura, privacidade e validade externa. Em seguida, propõe uma metodologia composta por quatro camadas: coleta normalizada de evidências, modelagem de hipóteses baseada em ATT&CK e kill chain, instrumentação com sensores e consultas de detecção, e avaliação estatística com métricas de precisão, cobertura e robustez. A contribuição principal é um desenho experimental que permite comparar, de modo reproducível, controles clássicos e modernos, incluindo EDR, SIEM, CNAPP, análise baseada em eBPF, detecção de abuso de APIs, e mecanismos de contenção em ambientes híbridos e com IA generativa. Também são apresentados um caso de estudo sobre encadeamento de phishing com vazamento de credenciais, execução remota e persistência em ambiente corporativo, e uma avaliação experimental ilustrativa com tabelas de comparação entre ferramentas, modos de instrumentação e custos operacionais. Os resultados discutem trade-offs entre fidelidade do ambiente, escalabilidade, taxa de falsos positivos e custo de observabilidade. O artigo conclui que a pesquisa em cibersegurança em 2026 exige não apenas domínio técnico de ataques e defesas, mas também rigor metodológico, versionamento de artefatos, e controle explícito de variáveis de contexto para produzir evidências úteis, auditáveis e transferíveis para cenários reais.

2026-05-04Read paper →Research

Fundamentação Formal da Verificação de Protocolos Criptográficos: Modelos, Provas de Segurança e Análise de Complexidade

1. Introduction A segurança de protocolos criptográficos exige fundamentação matemática rigorosa, pois vulnerabilidades históricas em protocolos amplamente implantados decorrem de suposições implícitas e definições imprecisas de segurança (BLEICHENBACHER, 1998; VAUDENAY, 2002). Desde Shannon (1949), a teoria da segurança vem sendo progressivamente formalizada, culminando na noção moderna, introduzida por Goldwasser e Micali, de segurança via indistinguibilidade e reduções computacionais (GOLDWASSER; MICALI, 1984). Adotamos o modelo computacional no qual adversários são algoritmos probabilís

2025-12-01Read paper →Research

Arquitetura Integrada de Detecção e Correlação de Intrusões com NIDS, HIDS e Gerenciamento de Logs em Ambientes Corporativos (2006)

Este trabalho apresenta uma arquitetura integrada e formalmente especificada para detecção e correlação de intrusões adequada ao estado da prática em 2006. Com base em sensores de rede (Snort), sensores de host (OSSEC/Tripwire), coleta centralizada de logs (syslog/syslog-ng, agentes SNARE para Windows) e informações de fluxo (NetFlow), propomos um método sistemático para a formulação de hipóteses, a agregação e a correlação multi-evento, visando identificar cadeias de ataque pós-exploração com baixa taxa de falsos positivos e latência operacional reduzida. Analisamos criticamente os limites das abordagens puramente baseadas em assinaturas, notadamente frente a explorações rápidas de vulnerabilidades amplamente divulgadas e a ataques compostos que combinam varredura, exploração remota, criação de serviços, reutilização de credenciais e exfiltração por canais padrão (HTTP/FTP). Formalizamos o problema como classificação binária sobre sequências temporais de eventos e definimos funções de correlação baseadas em pré-requisitos e consequências, inspiradas na literatura de correlação de alertas e em análise topológica de grafos de ataque. A implementação reprodutível utiliza Snort 2.6 com Barnyard e BASE sobre MySQL, OSSEC 0.9 para HIDS, syslog-ng para coleta de logs e flow-tools para captura de NetFlow v5. A metodologia foi avaliada em 40 cenários representativos do período, incluindo exploração de MS03-026 (DCOM RPC), MS04-011 (LSASS), injeção SQL clássica e movimentação lateral via serviços remotos em Windows 2000/XP/Server 2003, combinada a variações de exfiltração HTTP/FTP. Em comparação a um baseline exclusivamente por assinatura, a arquitetura proposta elevou a taxa de detecção de 58% para 92%, reduziu o MTTD de 4h03min para 1h31min e diminuiu o FPR de 9,1% para 5,2%, com intervalos de confiança de 95% calculados pelo estimador de Wilson. Apresentamos um estudo de caso completo com exploração de LSASS, extração de hashes, execução remota via PsExec e persistência por tarefas agendadas, detectado pela correlação em 17 minutos. Discutimos limitações práticas (armazenamento, tuning de regras, cobertura de telemetria) e delineamos extensões compatíveis com 2006, como integração mais estreita entre análise topológica de vulnerabilidades e detecção em tempo quase real, padronização via IDWG/IDMEF e ampliação de decodificadores em NIDS. O resultado é um guia replicável e rigoroso, aderente ao contexto tecnológico de 2006, para aumentar a sensibilidade e a confiabilidade na detecção de intrusões sem recorrer a mecanismos anacrônicos ou indisponíveis à época.

2025-08-20Read paper →Research

Arquitetura Orientada à Pesquisa para Detecção e Resposta ao Abuso de Binários Nativos em Ambientes Corporativos Windows

Investigamos, no contexto corporativo de 1999–2006, uma arquitetura integrada para detecção e resposta ao abuso de binários nativos do Windows (por exemplo, cmd.exe, wmic.exe, net.exe, at.exe, rundll32.exe, cscript.exe, wscript.exe), técnica ofensiva que evita a introdução de executáveis externos e, portanto, reduz a eficácia de mecanismos baseados exclusivamente em assinaturas antivírus. Embora a terminologia contemporânea ainda não estivesse consolidada, os fundamentos técnicos do fenômeno estavam amplamente presentes em incidentes que exploravam funcionalidades administrativas legítimas para execução remota, persistência e movimentação lateral. Propomos uma arquitetura composta por cinco camadas — coleta de telemetria, normalização e enriquecimento, modelagem comportamental, correlação e detecção, e resposta e análise forense — concebida para ambientes Windows XP e Windows Server 2003, integrando auditoria do sistema operacional, IDS de rede (Snort), correlação em plataformas SEM/SIM então disponíveis (ArcSight ESM, netForensics) e procedimentos de resposta alinhados às diretrizes RFC 3227 e NIST SP 800-61. A principal contribuição é a formalização matemática da detecção como classificação de cadeias de eventos temporais dependentes, estruturando a evidência em sequências de criação de processo e comandos, com regras determinísticas expressas como autômatos finitos determinísticos (AFDs) e um escore estatístico de raridade baseado em log-verossimilhança sob um modelo de primeira ordem derivado de dados de base. Demonstramos um protótipo operacional com coleta de logs via SNARE para Windows, centralização syslog em GNU/Linux e correlação cruzada com alertas de rede. Em avaliação com 1.550 cenários (1.200 benignos; 350 maliciosos), alcançamos precisão de 0,931, revocação de 0,904 e F1 de 0,917, com FPR de 0,051, superando em 24% a revocação de conjuntos apenas de regras estáticas. Analisamos limitações inerentes à baixa taxa base de intrusões e à confiabilidade de logs e hashes em face de ataques de limpeza de evidências e colisões conhecidas de MD5, mitigando com transmissão remota, armazenamento imutável e preferência por SHA-1. Fornecemos diretrizes reproduzíveis de configuração (políticas de auditoria, sincronização NTP, regras Snort) e um estudo de caso sobre exploração MS03-026 seguida de execução remota com PsExec. Comprovamos que, à luz do estado da prática até 2006, a integração entre telemetria de host, IDS de rede e correlação de eventos, apoiada por modelagem formal simples e verificável, permite detectar de modo efetivo e tempestivo o abuso de binários nativos em redes corporativas Windows.

2025-03-10Read paper →Research

Arquitetura Orientada a Ameaças para Detecção e Resposta à Movimentação Lateral em Redes Corporativas com Telemetria Multicamadas e Correlação de Alertas

A movimentação lateral, entendida como o conjunto de ações que permitem a um intruso deslocar-se entre hosts e domínios de confiança após um acesso inicial, constitui elemento central em incidentes corporativos desde o advento de redes Windows integradas a serviços de diretório e file sharing. Em 2007, redes corporativas tipicamente combinam Windows 2000/XP/Server 2003, servidores Unix, segmentos DMZ e enlaces VPN, com monitoramento predominantemente baseado em IDS de rede, registros de segurança do Windows e exportação de fluxos (NetFlow). Nesta obra delineamos e avaliamos uma arquitetura orientada a ameaças, sem dependência de taxonomias recentes, que integra telemetria multicamadas (host, rede e serviços), normalização em IDMEF, e correlação temporal estruturada por grafos de ataque para detecção e resposta a movimentação lateral. A proposta enfatiza técnicas e ferramentas disponíveis até 2007, como Snort 2.6, Bro (atual Zeek) 1.x, OSSEC HIDS, Cisco NetFlow v5, Sguil/BASE para análise, Prelude-IDS para correlação IDMEF e mecanismos nativos de auditoria dos sistemas operacionais. Formalizamos o problema por meio de uma função de decisão sobre sequências de eventos $E$ e um grafo de comunicação $G$, maximizando a taxa de verdadeiros positivos (TPR) e minimizando a taxa de falsos positivos (FPR) com restrições práticas de latência de processamento. A metodologia envolve: i) seleção e configuração de fontes de telemetria compatíveis com Windows Server 2003/XP (IDs 528, 540, 592; Kerberos 672/673; Service Control Manager 7035/7036), Unix syslog, fluxos NetFlow, Snort/DCE-RPC e Bro/conn; ii) normalização para IDMEF e enriquecimento com contexto de ativos e contas; iii) taxonomia de técnicas de movimentação lateral baseada em literatura clássica (uso de PsExec, SMB Admin$, at.exe, RDP, autenticação NTLM e Pass-the-Hash, WMI e DCOM) e documentos técnicos Microsoft/Sysinternals; iv) correlação temporal e por dependência causal, com janela deslizante e escores bayesianos; v) resposta operacional com playbooks de contenção (desabilitação de contas, bloqueio de fluxos 445/TCP, remoção de serviços remotos). Em laboratório com Windows XP SP2 e Windows Server 2003 R2, sensores Snort/Bro/OSSEC e coletor NetFlow, executamos 28 campanhas controladas (PsExec, Pass-the-Hash com NTLM, execução remota via at.exe, RDP brute force). Obtivemos TPR geral de 92,1%, FPR de 4,6% e tempo médio até detecção de 7,8 minutos, superando um baseline puramente por assinaturas (TPR 69,4%, latência 41,5 minutos). Um estudo de caso com exploração MS06-040 seguido de lateralização por PsExec ilustra a correlação multissensor que sustentou decisão de contenção em 12 minutos. Os resultados comprovam a viabilidade, em 2007, de uma abordagem integrada e formalmente fundamentada para detecção de movimentação lateral com tecnologias amplamente disponíveis, respeitando os limites de implantação e de desempenho dos ambientes corporativos da época.

2024-12-04Read paper →Research

Orquestração de Detecção e Resposta Baseada em MITRE ATT&CK para Mitigação de Ameaças Avançadas em Ambientes Corporativos Híbridos

A crescente sofisticação das Ameaças Persistentes Avançadas (APTs) e a expansão de ambientes corporativos híbridos — combinando infraestrutura on-premises, cloud pública e serviços SaaS — impõem desafios significativos à detecção e resposta a incidentes. Este artigo apresenta uma metodologia integrada de pesquisa aplicada voltada à orquestração de detecção e resposta baseada no framework MITRE ATT&CK, correlacionando telemetria heterogênea proveniente de endpoints, redes e workloads em nuvem. Propomos um modelo formal de ameaça estruturado em táticas, técnicas e procedimentos (TTPs), alinhado às matrizes Enterprise e Cloud do ATT&CK, e desenvolvemos um pipeline operacional baseado em SIEM (Security Information and Event Management), EDR (Endpoint Detection and Response), NDR (Network Detection and Response) e SOAR (Security Orchestration, Automation and Response). A metodologia inclui normalização de logs via Elastic Stack, enriquecimento contextual com MISP e VirusTotal, modelagem comportamental com Sigma e YARA, além de automação de playbooks em TheHive e Cortex. Realizamos experimentos controlados em laboratório reproduzindo cadeias de ataque envolvendo exploração de vulnerabilidades críticas (CVE-2021-44228 – Log4Shell; CVE-2023-23397 – Microsoft Outlook), movimentos laterais via Pass-the-Hash (MITRE T1550.002) e exfiltração por DNS tunneling (T1048). Os resultados demonstram redução média de 37% no tempo de detecção (MTTD) e 42% no tempo de resposta (MTTR), com taxa de falsos positivos inferior a 6,8% após ajustes iterativos. Apresentamos ainda um estudo de caso em ambiente corporativo real, evidenciando ganhos operacionais concretos. Concluímos que a abordagem orientada por ATT&CK, aliada à automação de resposta e à telemetria contextualizada, eleva substancialmente a resiliência organizacional frente a ameaças complexas e dinâmicas.

2024-08-24Read paper →Research

Modelagem Formal e Detecção Baseada em Pesquisa de Ameaças Persistentes Avançadas (APTs) em Ambientes Híbridos: Uma Abordagem Orientada a MITRE ATT&CK, Telemetria Multi-Fonte e Análise Comportamental

A crescente sofisticação das Ameaças Persistentes Avançadas (APTs) impõe desafios significativos à detecção e resposta em ambientes híbridos que combinam infraestrutura on-premises, nuvens públicas (AWS, Azure, GCP) e workloads containerizados. Este artigo apresenta uma abordagem de pesquisa aplicada para modelagem formal, detecção comportamental e validação experimental de campanhas APT com base no framework MITRE ATT&CK, integrando telemetria multi-fonte (EDR, logs de rede, cloud audit logs e SIEM) e técnicas de correlação temporal. Propomos um modelo matemático para representar cadeias de ataque como grafos direcionados ponderados $G = (V, E, w)$, onde vértices representam técnicas ATT&CK (TTPs) e arestas representam transições observáveis entre eventos. Desenvolvemos um pipeline operacional utilizando ferramentas amplamente adotadas no mercado — Elastic Stack, Zeek, Wazuh, Sysmon, Suricata e Sigma — para coletar, normalizar e correlacionar eventos associados a técnicas como T1059 (Command and Scripting Interpreter), T1078 (Valid Accounts) e T1041 (Exfiltration Over C2 Channel). Realizamos experimentos controlados em um laboratório contendo 120 endpoints Windows e Linux, três domínios Active Directory e workloads Kubernetes expostos a simulações com Atomic Red Team, Caldera e execução controlada de exploits relacionados a CVEs como CVE-2021-44228 (Log4Shell) e CVE-2023-23397 (Outlook NTLM Leak). Avaliamos métricas como taxa de detecção (TPR), falso positivo (FPR), tempo médio de detecção (MTTD) e cobertura ATT&CK. Os resultados demonstram melhoria de 37% na detecção de movimentos laterais em comparação a regras estáticas isoladas, com redução de 28% em falsos positivos quando aplicada análise baseada em grafos temporais. Apresentamos ainda um estudo de caso realista simulando comprometimento inicial via spear-phishing seguido de exploração de privilégio (CVE-2022-26923), persistência via Scheduled Tasks (T1053) e exfiltração criptografada. Discutimos implicações operacionais para SOCs e equipes de threat hunting, além de propor direções futuras envolvendo aprendizado de máquina supervisionado para priorização de alertas e integração com padrões como STIX/TAXII 2.1.

2024-05-14Read paper →Research

Modelagem Formal e Detecção Proativa de Movimentação Lateral Baseada em Grafos e Telemetria Multicamadas em Ambientes Corporativos Híbridos

A movimentação lateral permanece como uma das fases mais críticas e subestimadas do ciclo de ataque em ambientes corporativos, permitindo que adversários escalem privilégios, expandam persistência e alcancem ativos críticos após o comprometimento inicial. Este trabalho propõe uma abordagem formal e operacional para detecção proativa de movimentação lateral em ambientes híbridos (on-premises e cloud), baseada na modelagem de grafos de identidade e na correlação de telemetria multicamadas. Definimos um modelo matemático que representa usuários, hosts, serviços e credenciais como vértices e interações autenticadas como arestas ponderadas temporalmente. A partir desse modelo, implementamos métricas de anomalia baseadas em centralidade dinâmica, entropia de autenticação e variação de caminhos mínimos. Nossa metodologia integra dados provenientes de Sysmon, Windows Event Logs, Zeek, auditd, logs de Active Directory e telemetria de EDR, correlacionando eventos compatíveis com técnicas MITRE ATT&CK como T1021 (Remote Services), T1550 (Use of Valid Accounts) e T1078 (Valid Accounts). Implementamos um pipeline operacional utilizando Elastic Stack, Neo4j e Apache Kafka para ingestão e análise em tempo quase real, além de algoritmos de detecção em Python com NetworkX e scikit-learn. Avaliamos a solução em um laboratório corporativo com 120 hosts e 850 identidades, simulando ataques com ferramentas reais como Mimikatz, Impacket (psexec.py, wmiexec.py), CrackMapExec e BloodHound. Os resultados demonstram redução de 42% no tempo médio de detecção (MTTD) comparado a regras estáticas baseadas apenas em SIEM, com taxa de falsos positivos inferior a 3,8%. Um estudo de caso envolvendo exploração da vulnerabilidade CVE-2021-34527 (PrintNightmare) ilustra a eficácia do método na identificação precoce de trajetórias anômalas. Concluímos que a combinação de modelagem formal, análise de grafos e telemetria multicamadas representa uma estratégia robusta para defesa ativa contra adversários avançados em ambientes corporativos complexos.

2024-02-29Read paper →Research

Arquitetura de Pesquisa Orientada a Operações para Detecção e Resposta a Ameaças Avançadas em Ambientes Híbridos Baseada em MITRE ATT&CK e Telemetria Multicamadas

A crescente sofisticação das ameaças cibernéticas, especialmente aquelas associadas a APTs (Advanced Persistent Threats), ransomware-as-a-service e campanhas de espionagem patrocinadas por Estados-nação, impõe desafios substanciais à pesquisa aplicada em detecção e resposta a incidentes. Este trabalho apresenta uma arquitetura de pesquisa operacional para detecção e resposta a ameaças avançadas em ambientes híbridos (on-premises e cloud), fundamentada em modelagem formal de ameaças segundo MITRE ATT&CK, instrumentação multicamadas de telemetria e correlação baseada em grafos comportamentais. Propomos um framework experimental que integra coleta de logs via Sysmon, Elastic Agent e auditd, detecção comportamental com Sigma e KQL, análise de memória com Volatility 3 e validação adversarial por meio de Atomic Red Team e Caldera. Formalizamos o problema como um modelo de detecção multiestágio com função de custo ponderada entre taxa de falsos positivos e tempo médio de detecção (MTTD). Implementamos a arquitetura em um laboratório controlado contendo 120 endpoints Windows e Linux, 15 servidores críticos e workloads em AWS e Azure. Avaliamos 37 técnicas MITRE ATT&CK, incluindo T1059 (Command and Scripting Interpreter), T1021 (Remote Services) e T1486 (Data Encrypted for Impact). Os resultados demonstram redução de 42% no MTTD e aumento de 31% na cobertura de técnicas em comparação com baseline baseado apenas em IOC estático. Apresentamos ainda um estudo de caso real envolvendo exploração de CVE-2021-44228 (Log4Shell) e movimentação lateral via SMB (CVE-2020-0796). Concluímos que abordagens orientadas a comportamento e pesquisa operacional integrada oferecem ganhos mensuráveis na resiliência cibernética organizacional.

2023-11-18Read paper →Research

Detecção e Resposta a Movimentação Lateral Baseada em Telemetria Multicamadas e Modelagem Comportamental: Uma Abordagem Operacional Alinhada ao MITRE ATT&CK

A movimentação lateral permanece como uma das fases mais críticas e decisivas em intrusões modernas, permitindo que adversários ampliem acesso, exfiltrem dados sensíveis e comprometam ativos estratégicos. Apesar da ampla adoção de soluções EDR (Endpoint Detection and Response) e SIEM (Security Information and Event Management), organizações continuam enfrentando dificuldades na detecção de técnicas associadas às táticas TA0008 (Lateral Movement) e TA0006 (Credential Access) do framework MITRE ATT&CK. Neste trabalho, propomos uma arquitetura integrada de detecção e resposta baseada em telemetria multicamadas (endpoint, rede e identidade), modelagem comportamental estatística e correlação temporal orientada a grafo. Formalizamos um modelo de ameaça alinhado a operações reais observadas em campanhas envolvendo ferramentas como Mimikatz, Impacket, Cobalt Strike e PsExec, bem como vulnerabilidades exploradas, incluindo CVE-2021-34527 (PrintNightmare) e CVE-2020-1472 (Zerologon). A metodologia combina coleta estruturada de eventos do Windows (Event IDs 4624, 4672, 4688), logs Sysmon, NetFlow/IPFIX, e auditoria de Active Directory, aplicando técnicas de detecção baseadas em desvio estatístico ($z$-score), análise de séries temporais e grafos direcionados ponderados. Implementamos um protótipo operacional utilizando Elastic Stack, Zeek, Wazuh e Neo4j, avaliando-o em um ambiente controlado com 150 endpoints e simulação de ataque via Atomic Red Team. Os resultados demonstram redução de 37% no tempo médio de detecção (MTTD) e 29% no tempo médio de resposta (MTTR) em comparação a regras estáticas baseadas exclusivamente em IOC. O estudo inclui um caso realístico de intrusão com pivoting via SMB e abuso de Kerberos (T1558), evidenciando a eficácia da abordagem proposta. Concluímos que a correlação multicamadas orientada a comportamento representa uma evolução necessária frente às limitações de detecções baseadas apenas em assinatura, propondo direções futuras envolvendo aprendizado contínuo e integração com SOAR.

2023-08-08Read paper →Research

Detecção Proativa de Movimentação Lateral em Redes Corporativas Baseada em Telemetria Multicamadas e Modelagem Comportamental Orientada ao MITRE ATT&CK

A movimentação lateral permanece como uma das fases mais críticas das campanhas de intrusão avançada, permitindo que adversários escalem privilégios, expandam o raio de comprometimento e atinjam ativos de alto valor após o acesso inicial. Apesar do avanço de soluções de EDR (Endpoint Detection and Response), NDR (Network Detection and Response) e SIEM de próxima geração, a detecção eficaz de técnicas como Pass-the-Hash (T1550.002), Remote Services (T1021), Windows Admin Shares (T1021.002) e exploração de vulnerabilidades internas (por exemplo, CVE-2021-42278/42287 – sAMAccountName spoofing) ainda apresenta elevada taxa de falso-positivo e lacunas de visibilidade. Neste trabalho, propomos uma metodologia sistemática para detecção proativa de movimentação lateral baseada na correlação de telemetria multicamadas (endpoint, rede e identidade), modelagem comportamental com baseline adaptativo e mapeamento explícito ao framework MITRE ATT&CK. Formalizamos o problema como uma tarefa de classificação sequencial sobre grafos temporais de autenticação e comunicação lateral, utilizando métricas de entropia, centralidade e desvio estatístico para identificação de padrões anômalos. Implementamos um pipeline operacional utilizando Elastic Stack, Sysmon, Zeek, Wazuh e integração com Active Directory, além de módulos de análise em Python e Neo4j para construção de grafos de movimentação. Avaliamos a abordagem em um ambiente de laboratório com 1.200 endpoints simulados, executando cenários reais de ataque baseados em ferramentas como Mimikatz, Impacket, CrackMapExec e Cobalt Strike. Os resultados indicam taxa de detecção de 94,7% para cenários de Pass-the-Hash e 91,3% para abuso de serviços remotos, com redução de 38% em falsos positivos quando comparado a regras estáticas baseadas exclusivamente em IOC. Demonstramos ainda um estudo de caso envolvendo detecção de abuso de Kerberos Golden Ticket (T1558.001) em ambiente híbrido. Concluímos que a combinação de modelagem comportamental orientada a grafos e correlação multicamadas representa um avanço operacional relevante na defesa contra ameaças internas e APTs, especialmente quando alinhada a processos de threat hunting estruturado e automação de resposta.

2023-02-25Read paper →Research

Arquitetura de Pesquisa Operacional para Detecção e Resposta a Ameaças Avançadas Baseada em MITRE ATT&CK, Telemetria Multicamadas e Correlação Orientada a TTPs

A evolução das Ameaças Persistentes Avançadas (APTs) e do crime organizado digital impôs desafios significativos aos modelos tradicionais de detecção baseados em assinaturas e indicadores estáticos de comprometimento (IoCs). Este artigo apresenta uma arquitetura de pesquisa operacional voltada à detecção e resposta a ameaças avançadas baseada em correlação orientada a TTPs (Tactics, Techniques and Procedures) do framework MITRE ATT&CK, combinando telemetria multicamadas (endpoint, rede, identidade e cloud) com modelos estatísticos e heurísticos. Propomos uma metodologia estruturada que integra coleta padronizada via Sysmon e Elastic Agent, normalização segundo o modelo ECS (Elastic Common Schema), enriquecimento com inteligência de ameaças (MISP, OpenCTI) e correlação probabilística de eventos com base em cadeias de ataque observáveis. Formalizamos o problema como uma função de maximização de verossimilhança sobre sequências de eventos mapeados para técnicas ATT&CK e implementamos um mecanismo de scoring dinâmico baseado em pesos derivados de frequência empírica e criticidade do ativo. A avaliação experimental foi conduzida em um ambiente controlado com 120 endpoints Windows e Linux, simulando campanhas com ferramentas reais como Cobalt Strike, Sliver, Mimikatz, Impacket e Atomic Red Team. Observamos redução de 38% no tempo médio de detecção (MTTD) e 27% no tempo médio de resposta (MTTR) em comparação com regras isoladas baseadas apenas em IoCs. Um estudo de caso envolvendo exploração da vulnerabilidade CVE-2021-44228 (Log4Shell) demonstrou a capacidade do modelo em identificar encadeamentos de exploração, movimentação lateral (T1021) e dumping de credenciais (T1003) mesmo com payloads ofuscados. Discutimos implicações operacionais, limitações do modelo, evasões observadas e direções futuras, incluindo integração com EDRs comerciais e modelos de aprendizado de máquina baseados em grafos. Concluímos que abordagens orientadas a TTPs oferecem maior resiliência frente à mutabilidade dos artefatos técnicos e representam um caminho robusto para pesquisa aplicada em defesa cibernética.

2023-01-22Read paper →Research

Engenharia de Pesquisa Aplicada à Detecção de Ameaças Persistentes Avançadas em Ambientes Corporativos Baseada em Telemetria Multicamadas e Correlação Orientada à Kill Chain

As Ameaças Persistentes Avançadas (APTs) consolidaram-se, ao final da década de 2000, como um dos principais desafios à defesa de infraestruturas corporativas críticas. Diferentemente de ataques oportunistas, tais campanhas caracterizam-se por elevado grau de planejamento, persistência operacional e múltiplas fases encadeadas, incluindo reconhecimento, comprometimento inicial, movimento lateral e exfiltração de dados. Neste trabalho, conduzimos uma pesquisa aplicada com o objetivo de projetar, formalizar e avaliar empiricamente uma arquitetura de detecção de APT baseada em telemetria multicamadas, integrando eventos de rede, endpoint e autenticação. Fundamentamos nossa abordagem no modelo da Cyber Kill Chain e em princípios clássicos de detecção de intrusões baseados em anomalia e assinatura. Propomos uma modelagem formal do ambiente corporativo como um grafo temporal direcionado, no qual vértices representam ativos e arestas correspondem a eventos observáveis. Definimos uma função de risco acumulado que pondera evidências distribuídas no tempo, permitindo identificar subgrafos associados a cadeias de ataque. Implementamos um laboratório experimental composto por 100 estações Windows XP/7, servidores Windows Server 2003/2008, estações Linux Ubuntu 8.04 e sensores de rede baseados em Snort e Bro. Utilizamos ferramentas amplamente disponíveis até 2009, incluindo Snort, Bro, OSSEC, Volatility, Metasploit Framework, Nmap e Wireshark. Avaliamos 96 cenários de ataque simulados envolvendo spear phishing, exploração via Metasploit, uso de ferramentas legítimas do sistema (living-off-the-land), coleta de credenciais e exfiltração via HTTP e DNS. Os resultados indicam aumento significativo na taxa de detecção e redução do tempo médio de detecção quando comparado a abordagens puramente baseadas em indicadores isolados. Discutimos limitações operacionais, desafios de volume de logs e implicações práticas para Centros de Operações de Segurança (SOC) da época. Concluímos que a correlação multicamadas orientada a fases de ataque constitui estratégia eficaz e factível no contexto tecnológico de 2009.

2022-08-05Read paper →Research

Framework Operacional para Detecção e Contenção de Ameaças Persistentes Avançadas Baseado em Correlação Multi-Fonte e Resposta Orquestrada em Ambientes Corporativos

A crescente profissionalização de grupos de Ameaças Persistentes Avançadas (Advanced Persistent Threats – APTs) ao longo da década de 2000 impôs novos desafios às estratégias tradicionais de detecção baseadas exclusivamente em assinaturas. Em 2009, organizações de grande porte já enfrentavam campanhas direcionadas caracterizadas por spear phishing, exploração de vulnerabilidades conhecidas, estabelecimento de canais de comando e controle (C2) via HTTP/HTTPS e movimentação lateral por meio de protocolos como SMB e RDP. Nesse contexto, propomos um framework operacional para detecção e contenção de APTs fundamentado na correlação probabilística de eventos provenientes de múltiplas fontes de telemetria, incluindo logs de sistemas operacionais, sensores de rede (NIDS), proxies web e mecanismos de auditoria de diretório. Diferentemente de abordagens centradas exclusivamente em SIEMs com regras estáticas, estruturamos formalmente o problema de detecção como inferência sobre um grafo direcionado de eventos, no qual pesos associados a evidências parciais são agregados segundo um modelo probabilístico. Definimos métricas quantitativas para tempo médio de detecção (MTTD), tempo médio de resposta (MTTR) e taxa de falsos positivos, estabelecendo restrições formais de desempenho. Implementamos o framework utilizando ferramentas amplamente disponíveis até 2009, como Snort, Bro, OSSEC, Prelude SIEM, Metasploit Framework e Volatility Framework, integradas por meio de normalização de logs e enriquecimento contextual. A avaliação experimental, conduzida em ambiente corporativo simulado com 1.200 estações Windows e 85 servidores, envolveu 36 cenários de ataque representativos de campanhas APT documentadas na literatura técnica da época. Os resultados indicam redução estatisticamente significativa de MTTD e MTTR, mantendo taxa de falsos positivos inferior a 5%. Concluímos que a correlação multi-fonte estruturada por modelo formal de inferência fornece ganhos mensuráveis de eficácia operacional frente a ameaças persistentes direcionadas, mesmo na ausência de técnicas avançadas de aprendizado de máquina.

2022-07-02Read paper →Research

Arquitetura de Pesquisa para Detecção e Resposta a Ameaças Persistentes Avançadas em Ambientes Corporativos com Infraestrutura Virtualizada e Serviços de Nuvem Inicial

A crescente adoção de virtualização e dos primeiros serviços de computação em nuvem pública, como Amazon Web Services (AWS) e Microsoft Azure, tem ampliado significativamente a superfície de ataque das organizações. Paralelamente, observamos a consolidação de campanhas de Ameaças Persistentes Avançadas (APT), caracterizadas por operações direcionadas, uso de spear phishing, exploração de vulnerabilidades em navegadores e plugins, e movimentação lateral baseada em credenciais válidas. Incidentes emblemáticos, como a Operação Aurora e o worm Stuxnet, evidenciam a sofisticação técnica e o caráter estratégico desses ataques. Nesse contexto, modelos tradicionais de detecção baseados exclusivamente em assinaturas demonstram limitações frente a adversários que empregam técnicas de evasão, criptografia de tráfego e abuso de ferramentas administrativas legítimas. Este trabalho propõe uma arquitetura de pesquisa para detecção e resposta a APTs em ambientes corporativos compostos por estações Windows, servidores virtualizados e serviços iniciais de nuvem, fundamentada na integração de telemetria multicamadas (host, rede e hipervisor), correlação probabilística de eventos e enriquecimento com indicadores de comprometimento (IoCs). Formalizamos o problema como a detecção de sequências anômalas de eventos em um espaço multidimensional e definimos uma função de risco baseada em probabilidades condicionais e pesos associados a fases do ciclo de vida do ataque. Implementamos um ambiente experimental com 120 máquinas virtuais executando Windows XP, Windows 7 e Windows Server 2008, monitoradas por Snort, OSSEC, NetFlow e análise de memória com Volatility. Simulamos cenários inspirados em campanhas reais de APT, incluindo spear phishing com documentos maliciosos, exploração de vulnerabilidades em navegadores e movimentação lateral via SMB. Os resultados indicam aumento significativo na taxa de detecção e redução do tempo médio de identificação quando comparados a abordagens isoladas por camada. Concluímos que a integração sistemática de múltiplas fontes de telemetria, aliada a modelagem estatística rigorosa, constitui abordagem promissora e tecnicamente viável no cenário tecnológico de 2010.

2022-01-06Read paper →Research

Arquitetura Integrada de Pesquisa para Detecção e Resposta a Ameaças Avançadas Baseada em Correlação Multicamadas e Modelagem Probabilística de Intrusões

O ano de 2010 marca uma inflexão no cenário de ameaças cibernéticas, caracterizada pela consolidação de campanhas direcionadas e persistentes, frequentemente associadas a atores estatais ou grupos altamente organizados. Incidentes como a Operação Aurora e a descoberta do Stuxnet evidenciaram que os mecanismos tradicionais baseados exclusivamente em assinaturas são insuficientes para detectar adversários capazes de empregar spear phishing, exploração de vulnerabilidades zero-day, movimentação lateral e técnicas avançadas de persistência. Neste trabalho, propomos uma arquitetura integrada de pesquisa voltada à detecção e resposta a ameaças avançadas (Advanced Persistent Threats – APTs), fundamentada na correlação de telemetria multicamadas (host e rede) e na modelagem probabilística de encadeamento de eventos maliciosos. Diferentemente de abordagens puramente reativas, estruturamos um modelo formal de risco acumulado ao longo do tempo, permitindo identificar padrões coerentes de comprometimento mesmo quando cada evento isolado apresenta baixa evidência de anomalia. A arquitetura integra logs de sistema Windows (Security Event Log e Sysinternals), dados de IDS baseados em rede como Snort, e análises de tráfego conduzidas com Wireshark e Bro, correlacionados por meio de um mecanismo de pontuação dinâmica. Formalizamos o risco agregado como uma soma ponderada de indicadores comportamentais em janelas temporais deslizantes, estabelecendo limiares adaptativos para disparo de alertas. Avaliamos empiricamente a proposta em ambiente controlado com simulação de campanhas de spear phishing, exploração de vulnerabilidades conhecidas (incluindo MS08-067) e uso de ferramentas amplamente documentadas, como Metasploit e Mimikatz. Os resultados indicam aumento significativo na taxa de detecção de movimentação lateral e exfiltração em comparação com regras isoladas de IDS, mantendo níveis aceitáveis de falso positivo. Concluímos que a integração formal entre múltiplas camadas de telemetria e modelagem probabilística constitui abordagem promissora para a defesa contra APTs no contexto tecnológico de 2010.

2021-12-09Read paper →Research

Orquestração Sistemática de Pesquisa em Segurança Ofensiva Baseada em Modelagem Formal de Táticas Adversárias e Telemetria de Endpoint

Este trabalho apresenta uma arquitetura sistemática para condução de pesquisa experimental em segurança ofensiva e detecção de intrusões, contextualizada no cenário de ameaças avançadas observado até 2010, marcado por campanhas de espionagem direcionada, como a Operação Aurora, e pelo surgimento do malware Stuxnet. Argumentamos que a pesquisa aplicada em segurança deve ser estruturada como um ciclo fechado composto por modelagem formal do adversário, formulação de hipóteses, emulação controlada de ataques, coleta de telemetria, avaliação quantitativa e refinamento iterativo. Diferentemente de abordagens puramente descritivas ou baseadas exclusivamente em assinaturas, propomos um modelo matemático para mensuração de cobertura de detecção e tempo médio de detecção (MTTD), fundamentado em representação de ataques como grafos direcionados de estados e transições. A arquitetura experimental utiliza ferramentas amplamente disponíveis até 2010, como Metasploit Framework, IDA Pro, Volatility Framework, Snort, OSSEC e ambientes virtualizados com VMware e VirtualBox, refletindo práticas realistas de Security Operations Centers (SOCs) da época. Conduzimos 180 cadeias de ataque em laboratório composto por máquinas Windows XP, Windows 7, Windows Server 2003/2008 e Linux Ubuntu 10.04, simulando vetores como spear phishing, exploração web e movimento lateral via credenciais comprometidas. Os resultados demonstram cobertura média de 72% das técnicas modeladas e redução de 61% no MTTD após iterações de ajuste de regras e correlação. Discutimos limitações experimentais, incluindo viés de ambiente controlado e ausência de rootkits em modo kernel sofisticados. Concluímos que a formalização matemática do processo de pesquisa ofensiva, aliada à instrumentação consistente de telemetria, contribui para aproximar pesquisa acadêmica e operação prática, oferecendo métricas reprodutíveis e comparáveis no contexto tecnológico vigente em 2010.

2021-07-05Read paper →Research

Arquitetura de Pesquisa Operacional para Detecção e Resposta a Abusos de Ferramentas Administrativas Nativas em Ambientes Corporativos (2010)

A crescente sofisticação das ameaças cibernéticas observada na segunda metade da década de 2000 culminou, em 2010, em campanhas avançadas caracterizadas por persistência prolongada, uso de credenciais legítimas e exploração intensiva de funcionalidades nativas dos sistemas operacionais. Incidentes como a Operação Aurora e o ataque Stuxnet evidenciaram que adversários altamente capacitados passaram a combinar exploração de vulnerabilidades com abuso de ferramentas administrativas legítimas, reduzindo a dependência de artefatos binários facilmente detectáveis por mecanismos tradicionais baseados em assinatura. Neste trabalho, propomos uma arquitetura de pesquisa operacional para detecção e resposta a abusos de binários e utilitários nativos do Microsoft Windows — como cmd.exe, PowerShell 2.0, Windows Management Instrumentation (WMI), rundll32.exe e PsExec — em ambientes corporativos típicos de 2010, compostos por domínios Active Directory, virtualização baseada em VMware e serviços emergentes de computação em nuvem, como Amazon Web Services. Formalizamos o problema por meio de um modelo baseado em grafos direcionados de processos e conexões de rede, definindo uma função de risco que combina entropia da linha de comando, centralidade estrutural e desvio estatístico comportamental. Implementamos um pipeline de coleta e correlação fundamentado em auditoria nativa do Windows (Event ID 4688), Sysmon v1.0, Winlogbeat 1.x, Elastic Stack 1.x e análise de memória com Volatility. Avaliamos empiricamente a proposta em um ambiente com 1.200 estações Windows 7 e Windows XP, totalizando 3,8 TB de logs e 1,4 bilhão de eventos, simulando 42 cenários representativos de comprometimento inicial, movimentação lateral via SMB/WMI e exfiltração. Os resultados indicam taxa média de detecção de 93,8%, com 4,1% de falsos positivos e tempo médio de detecção inferior a 6 minutos. Demonstramos que a correlação multi-fonte baseada em grafos oferece ganho substancial em relação a soluções isoladas de antivírus e IDS de rede, constituindo abordagem viável e tecnicamente fundamentada para o contexto tecnológico de 2010.

2021-06-08Read paper →Research

Arquitetura Orientada à Pesquisa para Detecção e Resposta a Ameaças Persistentes Avançadas Baseada em Telemetria Multicamadas e Correlação Semântica

A emergência de Ameaças Persistentes Avançadas (APTs) no final da década de 2000, evidenciada por incidentes como a Operação Aurora (2009–2010) e o malware Stuxnet (2010), revelou limitações estruturais dos sistemas tradicionais de detecção de intrusão baseados exclusivamente em assinaturas ou correlação estática de eventos. Organizações passaram a enfrentar adversários capazes de manter presença prolongada, explorar vulnerabilidades desconhecidas e realizar movimento lateral utilizando credenciais legítimas. Neste contexto, propomos uma arquitetura orientada à pesquisa para detecção e resposta a ameaças baseada em telemetria multicamadas — rede, sistema operacional e aplicação — e em um modelo formal de correlação semântica fundamentado em grafos direcionados ponderados. Formalizamos o problema de detecção como a identificação de subgrafos que maximizam a probabilidade de representar uma cadeia de intrusão, considerando dependências temporais e causais entre eventos heterogêneos. A arquitetura proposta integra sensores de rede (Snort), monitoramento de integridade e logs de sistema (OSSEC e Windows Event Logs), análise de fluxo (NetFlow), e mecanismos de análise forense (Volatility e The Sleuth Kit), centralizados em um mecanismo de correlação implementado sobre infraestrutura SIEM compatível com práticas da época. Avaliamos empiricamente a proposta utilizando bases de dados amplamente empregadas até 2011, incluindo DARPA 1999, KDD Cup 1999 e traços NetFlow reais anonimizados, além de cenários experimentais inspirados em campanhas APT documentadas. Os resultados indicam redução significativa da taxa de falsos positivos e do tempo médio de detecção em comparação com correlação estática tradicional, mantendo elevada taxa de detecção. Concluímos que a modelagem formal baseada em grafos e inferência probabilística oferece base teórica sólida para enfrentar campanhas persistentes e multiestágio, contribuindo para o avanço metodológico da detecção de intrusão em ambientes corporativos complexos.

2020-12-20Read paper →Research

Metodologia Operacional para Pesquisa em Campanhas APT e Exploração Direcionada: Análise Empírica de Intrusões Avançadas na Infraestrutura Corporativa (2008–2011)

A ascensão de campanhas de intrusão altamente direcionadas entre 2008 e 2011 alterou profundamente o paradigma da pesquisa em segurança cibernética. Ataques como Operation Aurora, Stuxnet e a violação da RSA demonstraram que adversários com recursos estatais ou quase-estatais são capazes de combinar exploração de vulnerabilidades zero‑day, spear phishing, engenharia social e movimentação lateral silenciosa para comprometer organizações estratégicas por longos períodos sem detecção. Este artigo apresenta uma metodologia prática de pesquisa voltada para a análise operacional de campanhas APT (Advanced Persistent Threats), utilizando ferramentas e técnicas amplamente disponíveis até 2011. A abordagem proposta integra análise estática e dinâmica de malware, investigação forense de memória, coleta de telemetria de rede e exploração controlada em ambientes de laboratório virtualizados. O objetivo central é estabelecer um processo replicável de pesquisa capaz de identificar padrões táticos de intrusão, reconstruir cadeias de ataque e avaliar a eficácia de mecanismos de detecção existentes. A metodologia é implementada em um ambiente experimental composto por sensores de rede baseados em Snort e Bro, análise dinâmica com Cuckoo Sandbox, investigação de memória com Volatility e simulações de exploração utilizando o framework Metasploit. Resultados experimentais obtidos a partir da análise de amostras associadas a campanhas de espionagem digital entre 2009 e 2011 demonstram que a correlação entre artefatos de memória, logs de rede e comportamento de malware permite reconstruir com precisão estágios críticos da intrusão, incluindo persistência e exfiltração de dados. Além disso, os experimentos evidenciam limitações relevantes em sistemas tradicionais de detecção baseados em assinatura, especialmente diante de variantes de malware com pequenas mutações binárias. O estudo apresenta métricas quantitativas para avaliação de detecção e propõe um modelo formal de risco operacional para priorização de análise em ambientes corporativos. Finalmente, discute implicações práticas para equipes de resposta a incidentes e centros de operação de segurança. A contribuição principal deste trabalho é fornecer uma estrutura metodológica pragmática para pesquisa aplicada em segurança ofensiva e defensiva, alinhada ao cenário tecnológico e às ameaças emergentes observadas até 2011.

2020-09-22Read paper →Research

Arquitetura Híbrida de Detecção Baseada em Telemetria Multicamadas e Modelagem Formal de Ameaças para Identificação de APTs em Ambientes Corporativos Distribuídos (2011)

A emergência das Ameaças Persistentes Avançadas (APTs) no final da década de 2000, evidenciada por incidentes como Operation Aurora e Stuxnet, redefiniu o panorama da segurança corporativa ao introduzir campanhas multietapas, direcionadas e com elevado grau de furtividade. Arquiteturas tradicionais de detecção baseadas exclusivamente em assinaturas mostraram-se insuficientes diante de adversários que combinam spear phishing, exploração de vulnerabilidades conhecidas, movimentação lateral e canais de comando e controle (C2) criptografados. Neste trabalho, propomos uma arquitetura híbrida de detecção fundamentada em telemetria multicamadas — rede, host e memória volátil — integrada a um modelo formal probabilístico para representação da progressão de ataques. Formalizamos a cadeia de intrusão como um grafo dirigido $G = (V, E)$, no qual vértices representam eventos observáveis e arestas codificam dependências temporais e causais. A inferência de comprometimento é expressa por uma função de verossimilhança $P(A \mid G)$ derivada de um modelo de Markov de primeira ordem. Desenvolvemos um algoritmo incremental de correlação temporal com complexidade amortizada $O(|V| + |E|)$, adequado a ambientes corporativos distribuídos. A implementação emprega ferramentas amplamente adotadas até 2011, incluindo Snort, OSSEC, Syslog-ng, MySQL, Volatility e Metasploit para geração controlada de cenários de ataque. A avaliação experimental, conduzida em um ambiente com 200 máquinas virtuais e múltiplos cenários inspirados em campanhas APT conhecidas, demonstra redução estatisticamente significativa no tempo médio de detecção (MTTD) e na taxa de falsos positivos quando comparada a abordagens isoladas. Os resultados sustentam que a integração formal entre múltiplas fontes de telemetria, aliada a modelagem matemática rigorosa da progressão de ataque, constitui mecanismo eficaz para identificação precoce de campanhas persistentes em ambientes corporativos distribuídos no contexto tecnológico de 2011.

2020-06-25Read paper →Research

Uma Arquitetura Híbrida de Detecção e Resposta a Ameaças Baseada em Correlação Semântica de Cadeias de Ataque e Análise Comportamental Multicamadas em Ambientes Corporativos

A intensificação das campanhas de ameaças persistentes avançadas (Advanced Persistent Threats – APTs) entre 2007 e 2011 evidenciou limitações estruturais das abordagens tradicionais de detecção baseadas exclusivamente em assinaturas ou correlação temporal simples. Incidentes como a Operação Aurora (2009–2010), o malware Stuxnet (2010) e a violação da RSA (2011) demonstraram a eficácia de ataques multiestágio, caracterizados por spear phishing, movimentação lateral, uso de ferramentas legítimas do sistema e exfiltração encoberta. Neste trabalho, propomos uma arquitetura híbrida de detecção e resposta fundamentada em correlação semântica de cadeias de ataque modeladas formalmente como grafos probabilísticos multicamadas. Diferentemente de abordagens centradas apenas em eventos isolados, nossa proposta integra telemetria de rede (Snort e Bro), logs de sistemas Windows e Linux, análise de memória com Volatility e detecção baseada em assinaturas (YARA), correlacionando tais evidências por meio de um modelo bayesiano incremental. Formalizamos o problema como a identificação de subgrafos de alta probabilidade em um grafo direcionado rotulado, no qual vértices representam entidades (hosts, processos, usuários) e arestas correspondem a relações observáveis enriquecidas semanticamente segundo fases da cadeia de ataque. Avaliamos empiricamente a arquitetura em um ambiente corporativo controlado composto por 120 estações Windows 7 e 8 servidores Linux, simulando 32 cenários inspirados em campanhas APT documentadas até 2011. Os resultados indicam redução significativa no tempo médio de detecção (MTTD) e na taxa de falsos positivos quando comparados a um SIEM baseado apenas em regras temporais. Demonstramos que a incorporação de correlação semântica e inferência probabilística melhora a contextualização operacional sem sacrificar escalabilidade. Concluímos que a modelagem formal de cadeias de ataque constitui abordagem promissora para lidar com ameaças persistentes avançadas no contexto tecnológico vigente até 2011.

2020-03-29Read paper →