Research / Paper Files

Paper Files

Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.

Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.

DAI & ADAI · 2026

DAI · PT

DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis

DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…

Ler o paper →ADAI · PT

Inteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção

ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…

Ler o paper →

Todos Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

111 papers

Research

Arquitetura Híbrida para Detecção Proativa de Ameaças Persistentes Avançadas em Ambientes Corporativos Baseada em Correlação Multi-Fonte e Modelagem Formal de TTPs

A detecção de Ameaças Persistentes Avançadas (APTs) em ambientes corporativos constitui um problema estrutural caracterizado por ataques multiestágio, baixa taxa base de ocorrência e elevado impacto operacional. Em 2017, incidentes como WannaCry e NotPetya evidenciaram a capacidade de adversários explorarem vulnerabilidades amplamente disseminadas e combinarem exploração remota, movimentação lateral e exfiltração de dados em escalas globais. Soluções tradicionais baseadas exclusivamente em assinaturas mostram-se insuficientes frente a técnicas polimórficas e uso de ferramentas legítimas do sistema operacional (Living-off-the-Land). Por outro lado, abordagens puramente anômalas sofrem com elevadas taxas de falsos positivos, conforme formalizado pelo problema da base-rate fallacy. Neste trabalho, propomos uma arquitetura híbrida para detecção proativa de APTs fundamentada em (i) correlação multi-fonte de eventos provenientes de IDS de rede, monitoramento de endpoints e análise de memória; e (ii) modelagem formal de cadeias de ataque representadas como grafos direcionados baseados em Táticas, Técnicas e Procedimentos (TTPs) conforme a matriz MITRE ATT&CK, já amplamente adotada até 2017. Formalizamos o problema como inferência probabilística sobre grafos de eventos, definindo propriedades de correção e completude parcial, bem como limites de complexidade. Implementamos um protótipo integrando Suricata, Zeek (Bro), Sysmon, Elastic Stack 5.x, regras YARA e regras Sigma convertidas para consultas Elasticsearch. A avaliação experimental utilizou os conjuntos de dados UNSW-NB15, CIC-IDS2017 e logs corporativos reais anonimizados, medindo TPR, FPR, precisão e latência sob cargas de até 15.000 eventos por segundo. Os resultados indicam TPR médio de 93,7%, FPR de 3,4% e redução de 38,6% em falsos positivos quando comparado a mecanismos isolados baseados apenas em regras. Demonstramos que a correlação estruturada de TTPs reduz ruído operacional e permite detecção quase em tempo real com latência média inferior a 5 segundos. Concluímos que a combinação de modelagem formal e integração operacional de ferramentas maduras constitui abordagem viável e escalável para SOCs corporativos em 2017.

2014-06-29Read paper →Research

Uma Arquitetura Híbrida para Detecção e Resposta a Ameaças Baseada em Correlação Probabilística de TTPs e Análise Comportamental em Ambientes Corporativos de Alta Complexidade (2017)

A crescente complexidade das infraestruturas corporativas até 2017, caracterizada pela consolidação de ambientes virtualizados, adoção progressiva de computação em nuvem, mobilidade e integração de cadeias de suprimento digitais, ampliou significativamente a superfície de ataque organizacional. Relatórios empíricos do período indicam aumento consistente na sofisticação de campanhas multiestágio, incluindo ransomware, espionagem corporativa e comprometimentos persistentes avançados (APTs). Nesse contexto, centros de operações de segurança (SOCs) enfrentam desafios estruturais decorrentes do elevado volume de eventos, fragmentação de fontes de telemetria e limitações inerentes a mecanismos de detecção baseados exclusivamente em assinaturas. Este trabalho propõe uma arquitetura híbrida para detecção e resposta a ameaças fundamentada na correlação probabilística de Táticas, Técnicas e Procedimentos (TTPs) inspirados na matriz MITRE ATT&CK (versões públicas até 2017), combinada com análise comportamental multi-fonte. Formalizamos cadeias de ataque como grafos direcionados ponderados e modelamos a inferência de intrusão por meio de uma formulação bayesiana condicionada a restrições operacionais de latência. Introduzimos algoritmos para construção incremental do grafo de ataque e priorização de alertas com base em risco contextual, visando reduzir falsos positivos e otimizar métricas como Mean Time to Detect (MTTD) e Mean Time to Respond (MTTR). Implementamos um protótipo utilizando ferramentas disponíveis até 2017, incluindo Suricata, Sysmon, Elastic Stack 5.x, YARA, TheHive e integrações STIX/TAXII. A avaliação experimental, conduzida em ambiente controlado com 320 máquinas virtuais e 8 TB de logs, demonstra redução de 39,8% no MTTD e de 31,2% no MTTR em comparação com um SIEM tradicional baseado em regras estáticas, mantendo taxa de falso positivo inferior a 5%. Os resultados indicam que a modelagem explícita de transições entre TTPs, aliada à correlação temporal e contextual, constitui abordagem viável e eficaz para detecção de ataques multiestágio em ambientes corporativos de alta complexidade no cenário tecnológico de 2017.

2014-06-22Read paper →Research

Detecção Proativa de Ameaças Baseada em Correlação Multi-Camada de TTPs do MITRE ATT&CK com Telemetria de Rede e Endpoint: Uma Arquitetura Operacional Orientada à Pesquisa Aplicada (2017)

A detecção de ameaças cibernéticas em 2017 encontra-se em transição entre modelos predominantemente baseados em assinaturas e abordagens orientadas a comportamento e inteligência contextual. A consolidação do framework MITRE ATT&CK como base estruturada de táticas, técnicas e procedimentos (TTPs) observados em ataques reais oferece uma oportunidade concreta para formalizar a correlação de eventos distribuídos ao longo da kill chain. Contudo, plataformas tradicionais de SIEM ainda operam majoritariamente sob regras isoladas, resultando em altas taxas de falsos positivos e dificuldade na identificação precoce de cadeias de ataque multi-etapa. Neste trabalho, propomos uma arquitetura de detecção proativa baseada na correlação multi-camada de telemetria de rede e endpoint, ancorada em modelagem formal por grafos direcionados acíclicos (DAGs) e em um mecanismo probabilístico de agregação temporal. Formalizamos o problema como a inferência de sequências observáveis de eventos $S \subseteq O$ tais que $P(Attack|S) > \theta$, onde $\theta$ é limiar adaptativo estimado a partir de estatísticas empíricas. Implementamos um protótipo utilizando Suricata 3.x, Sysmon 6.x, Elastic Stack 5.x e mecanismo de correlação em Python, avaliando-o em ambiente controlado com 14 cenários de ataque representativos de ameaças prevalentes até 2017, incluindo exploração de aplicações expostas, execução de scripts, movimento lateral via SMB/RDP e extração de credenciais. Os resultados indicam aumento de precisão de 0,74 para 0,91 e redução de falsos positivos em 37,4% quando comparado a um baseline baseado exclusivamente em regras de SIEM. Discutimos implicações operacionais, limitações do modelo e requisitos de escalabilidade. Concluímos que a integração formal de TTPs do ATT&CK com correlação temporal multi-camada constitui abordagem viável e eficaz para centros de operações de segurança (SOC) em ambientes corporativos de médio e grande porte em 2017.

2014-06-15Read paper →Research

Arquitetura Híbrida para Detecção e Resposta Automatizada a Ameaças Baseada em Correlação Multicamadas de Telemetria, Modelagem Formal de TTPs e Aprendizado Estatístico Robusto

Propomos e avaliamos uma arquitetura híbrida para detecção e resposta a ameaças avançadas fundamentada na correlação multicamadas de telemetria, modelagem formal de técnicas, táticas e procedimentos (TTPs) e inferência estatística Bayesiana. Em 2017, o cenário de ameaças é caracterizado por campanhas multiestágio, movimento lateral baseado em credenciais válidas, uso de ferramentas legítimas do sistema e ransomware autopropagável, como evidenciado pelo surto do WannaCry explorando a vulnerabilidade CVE-2017-0144. Embora soluções como SIEM, IDS/IPS e agentes de monitoramento de endpoint estejam amplamente implantadas, observamos limitações estruturais quanto à fragmentação semântica dos eventos, elevada taxa de falsos positivos e baixa capacidade de correlação temporal contextualizada. Formalizamos o problema de detecção como inferência probabilística sobre um grafo temporal dinâmico $G_t = (V_t, E_t)$, no qual entidades e eventos são integrados por meio de um modelo de ataque expresso como padrões de subgrafos temporais. Introduzimos um algoritmo de correlação incremental com complexidade $O(|E|\log|V|)$ e um mecanismo de priorização baseado na razão de verossimilhança logarítmica, permitindo estimar $P(Attack \mid E_{1:t})$ de forma operacionalmente viável. Implementamos a arquitetura utilizando ferramentas disponíveis até 2017, incluindo Suricata 4.x, Zeek (Bro), OSSEC/Wazuh 2.x, Elastic Stack 5.x, Apache Kafka 0.10 e YARA 3.x. Avaliamos o sistema com o conjunto CIC-IDS2017, amostras reais de malware e logs corporativos sintéticos, comparando-o com abordagens baseadas exclusivamente em SIEM e aprendizado supervisionado isolado. Os resultados demonstram aumento estatisticamente significativo na taxa de detecção (TPR de 96,1%) e redução de falsos positivos (FPR de 6,2%), com diminuição do tempo médio de detecção (MTTD). Concluímos que a integração formal entre modelagem de TTPs, correlação temporal e inferência estatística oferece ganhos substanciais de precisão e interpretabilidade, mantendo viabilidade operacional em ambientes com milhares de endpoints.

2014-06-08Read paper →Research

Arquitetura Adaptativa de Detecção Baseada em TTPs para Identificação Precoce de Movimentação Lateral em Redes Corporativas

A movimentação lateral constitui uma das fases mais críticas do ciclo de vida de um ataque avançado, permitindo ao adversário expandir seu controle interno após o acesso inicial e alcançar ativos de alto valor, como controladores de domínio e servidores de dados sensíveis. Relatórios empíricos anteriores a 2018 indicam que o uso de credenciais válidas e ferramentas administrativas legítimas representa vetor predominante em violações corporativas (VERIZON, 2018; SYMANTEC, 2018). Nesse contexto, abordagens tradicionais baseadas exclusivamente em assinaturas mostram-se insuficientes para distinguir atividades administrativas legítimas de técnicas conhecidas como “living off the land”. Neste trabalho, propomos uma arquitetura adaptativa de detecção fundamentada na modelagem formal da movimentação lateral como desvio estrutural em grafos direcionados de autenticação. Definimos a rede corporativa como grafo ponderado $G = (V, E)$, no qual arestas representam eventos autenticados e pesos refletem frequência histórica. Introduzimos a métrica de Desvio Estrutural Temporal $D(G_t)$, baseada em normalização estatística por média e desvio padrão históricos, e propomos o algoritmo SLMD (Structural Lateral Movement Deviation), que combina correlação orientada a TTPs do MITRE ATT&CK (versões disponíveis até 2018) com análise de centralidade e entropia temporal. Implementamos a arquitetura com ferramentas consolidadas até 2018, incluindo Suricata 4.x, Zeek (Bro) 2.5, Elastic Stack 6.x, Sigma e YARA, e conduzimos avaliação experimental em ambiente virtualizado com 120 máquinas e 42 cenários de ataque envolvendo técnicas como Pass-the-Hash, uso de WMI e exploração do EternalBlue (CVE-2017-0144). Os resultados demonstram redução de 38% no tempo médio de detecção (MTTD) e diminuição significativa da taxa de falsos positivos em comparação a correlações tradicionais de SIEM. Concluímos que a modelagem estrutural orientada a TTPs oferece ganhos quantitativos e qualitativos relevantes para resposta a incidentes, mantendo viabilidade computacional e aderência a práticas consolidadas de segurança corporativa até 2018.

2013-07-09Read paper →Research

Arquitetura Híbrida de Detecção Baseada em Telemetria Multi-Camada e Correlação Tática MITRE ATT&CK para Identificação Proativa de Ameaças Avançadas em Ambientes Corporativos

A expansão da superfície de ataque corporativa, impulsionada pela adoção de arquiteturas híbridas, serviços em nuvem e mobilidade corporativa, impõe desafios significativos aos Centros de Operações de Segurança (SOCs). Estudos empíricos indicam que o tempo médio de permanência de atacantes em ambientes comprometidos frequentemente ultrapassa 100 dias, evidenciando limitações de abordagens isoladas baseadas exclusivamente em assinaturas ou detecção pontual de anomalias. Neste trabalho, propomos uma arquitetura híbrida de detecção fundamentada na correlação de telemetria multi-camada — incluindo rede, endpoint e logs de aplicação — integrada ao modelo tático do framework MITRE ATT&CK (versões publicadas até 2018). Formalizamos o problema de correlação como a identificação de subgrafos temporais ponderados que maximizam uma função de risco sob restrições temporais e contextuais. Introduzimos algoritmos lineares para agregação temporal e pontuação probabilística de cadeias de ataque, demonstrando sua viabilidade operacional em ambientes corporativos com alto volume de eventos. A implementação utiliza ferramentas amplamente adotadas até 2018, incluindo Suricata 4.x, Wazuh/OSSEC, Sysmon, Elastic Stack 6.x e YARA 3.x. Avaliamos a proposta em um ambiente experimental com 120 hosts e 2,3 TB de logs ao longo de 30 dias, incluindo 42 cenários de ataque simulados com base em técnicas documentadas no ATT&CK. Os resultados indicam taxa de detecção verdadeira de 94,2%, redução de 47,3% no tempo médio de detecção (MTTD) e diminuição significativa de falsos positivos em comparação com baseline baseado exclusivamente em assinaturas. Discutimos limitações, implicações operacionais e alinhamento com regulamentações como o GDPR (2018). Concluímos que a correlação tática orientada por ATT&CK, quando formalmente modelada e operacionalmente integrada, representa avanço substancial na detecção proativa de ameaças avançadas em ambientes corporativos contemporâneos a 2018.

2013-07-03Read paper →Research

Arquitetura Operacional para Detecção e Resposta a Intrusões em Ambientes Cloud-Native: Correlação de Telemetria, ATT&CK e Monitoramento em Tempo Real (2018)

A rápida adoção de arquiteturas cloud-native e de orquestração de contêineres, particularmente Kubernetes e Docker, introduziu novos vetores de ataque e desafios operacionais para equipes de segurança. Em 2018, organizações passaram a migrar workloads críticos para ambientes altamente dinâmicos, onde instâncias efêmeras, pipelines DevOps e infraestrutura como código alteram profundamente a superfície de ataque tradicional. Este artigo apresenta uma arquitetura operacional para pesquisa e implementação de detecção e resposta a intrusões (IDR) em ambientes cloud-native, baseada na correlação de telemetria de múltiplas camadas: host, rede, runtime de contêiner e logs de orquestração. A proposta integra conceitos do framework MITRE ATT&CK, monitoramento de chamadas de sistema via eBPF, análise de tráfego com Zeek/Suricata e análise comportamental baseada em baseline estatístico. A metodologia proposta foi testada em um ambiente experimental composto por um cluster Kubernetes de quatro nós executando serviços web vulneráveis intencionalmente. Ataques reais observados no cenário global entre 2016 e 2018 foram reproduzidos, incluindo exploração via EternalBlue (CVE-2017-0144), Drupalgeddon2 (CVE-2018-7600) e comprometimento de contêiner seguido de movimento lateral. O sistema de detecção correlacionou eventos provenientes de Falco, Zeek, OSQuery e logs do Kubernetes API Server, produzindo alertas enriquecidos com mapeamento ATT&CK. Os resultados experimentais demonstram que a correlação multi‑fonte reduz significativamente falsos positivos e melhora a visibilidade sobre atividades maliciosas em ambientes efêmeros. A abordagem também facilita operações de threat hunting, permitindo reconstrução de cadeias de ataque completas. A avaliação quantitativa mostra melhoria de até 38% na taxa de detecção em comparação com sistemas IDS isolados baseados apenas em rede. O estudo discute implicações operacionais para equipes de segurança, incluindo integração com pipelines DevSecOps, implantação automatizada via infraestrutura como código e uso de telemetria para resposta automatizada. A análise evidencia que arquiteturas modernas exigem estratégias de defesa igualmente distribuídas e orientadas a dados. Finalmente, são apresentados caminhos para pesquisas futuras, incluindo integração com aprendizado de máquina para detecção de anomalias e mecanismos de resposta autônoma em tempo real.

2013-06-26Read paper →Research

Arquitetura Híbrida para Detecção e Resposta a Movimentos Laterais Baseada em Correlação Multi-Fonte, Modelagem Formal de Ameaças e Integração com MITRE ATT&CK (2018)

O movimento lateral constitui uma das fases mais críticas do ciclo de vida de ataques direcionados, permitindo que um comprometimento inicial evolua para controle abrangente de domínio e exfiltração de ativos sensíveis. Em 2017–2018, incidentes como NotPetya e campanhas de ransomware direcionado evidenciaram a eficácia de técnicas baseadas em credenciais válidas, abuso de ferramentas administrativas e exploração de relações de confiança no Active Directory. Neste trabalho, propomos uma arquitetura híbrida para detecção de movimentos laterais que integra correlação multi-fonte (telemetria de rede, endpoint e identidade), modelagem formal baseada em grafos temporais e alinhamento sistemático com a matriz MITRE ATT&CK (versões publicadas até 2018). Formalizamos o ambiente corporativo como um grafo direcionado temporal $G_t = (V, E_t)$, no qual vértices representam identidades e ativos computacionais, e arestas representam eventos autenticados ao longo de janelas discretas de tempo. Definimos uma função de risco $R(v)$ que combina centralidade estrutural, entropia comportamental e desvio estatístico em relação a um baseline adaptativo. Avaliamos a abordagem em ambiente controlado com 120 endpoints Windows 10 e infraestrutura Active Directory, simulando técnicas como Pass-the-Hash, Kerberoasting e uso de PsExec. Os resultados indicam melhoria substancial em relação a uma linha de base baseada exclusivamente em regras estáticas: aumento do F1-score de 0,71 para 0,94, redução do MTTD de 47 para 6,8 minutos e diminuição de falsos positivos de 12% para 3,2%, com significância estatística ($p < 0{,}01$). Discutimos limitações operacionais, impacto computacional e implicações para equipes de defesa em 2018, destacando a relevância da integração entre modelagem formal e inteligência estruturada de ameaças.

2013-06-19Read paper →Research

Metodologia Operacional para Pesquisa Empírica em Detecção de Intrusões em Ambientes Cloud-Native: Integração de Telemetria, MITRE ATT&CK e Análise Comportamental (2019)

A rápida adoção de arquiteturas cloud-native, containers e orquestração baseada em Kubernetes introduziu novas superfícies de ataque que desafiam métodos tradicionais de pesquisa em segurança. Enquanto grande parte da literatura até 2018 focou em detecção baseada em assinatura ou análise isolada de logs, operações reais de defesa cibernética exigem metodologias empíricas capazes de integrar múltiplas fontes de telemetria, correlacionar comportamentos adversários e avaliar técnicas defensivas em ambientes distribuídos. Este trabalho apresenta uma metodologia operacional para pesquisa aplicada em detecção de intrusões em ambientes cloud-native, alinhando coleta de telemetria de runtime, modelagem de ameaças baseada no framework MITRE ATT&CK e análise comportamental estatística. A proposta é orientada por práticas observadas em operações de red teaming e threat hunting conduzidas entre 2017 e 2019 em infraestruturas híbridas que utilizam Kubernetes, Docker e workloads em nuvem pública. O estudo formaliza um modelo de ameaça adaptado a ambientes containerizados, define métricas quantitativas para detecção de atividades maliciosas e descreve uma arquitetura experimental baseada em ferramentas amplamente utilizadas até 2019, incluindo Falco, Zeek, Suricata, Elastic Stack e Terraform. A metodologia é validada por meio de experimentos controlados envolvendo simulação de técnicas adversárias documentadas no MITRE ATT&CK, como execução remota de comandos, movimento lateral e persistência via containers comprometidos. Os resultados demonstram que a correlação de eventos de runtime com telemetria de rede reduz significativamente a taxa de falsos positivos em comparação com abordagens baseadas apenas em logs de sistema. Além disso, a aplicação de modelos probabilísticos para pontuação de eventos permite priorização mais eficiente de alertas em ambientes de alta escala. Um estudo de caso envolvendo a exploração de um cluster Kubernetes mal configurado ilustra a aplicação prática da metodologia em um cenário realista de intrusão envolvendo mineração de criptomoeda e movimentação lateral. Este trabalho contribui com um arcabouço replicável para pesquisa aplicada em segurança operacional, permitindo que pesquisadores e equipes de defesa avaliem técnicas de detecção em ambientes cloud-native de forma sistemática e baseada em evidências.

2012-08-09Read paper →Research

Arquitetura Híbrida para Detecção Proativa de Ameaças Baseada em Correlação Multicamadas, Modelagem Formal de Adversários e Integração ao MITRE ATT&CK (2019)

A detecção de ameaças cibernéticas em 2019 enfrenta desafios estruturais decorrentes da consolidação de infraestruturas híbridas, da adoção crescente de práticas DevOps e da sofisticação de campanhas como WannaCry (2017), NotPetya (2017) e Ryuk (2018). Embora sistemas de detecção baseados em assinaturas permaneçam amplamente implantados, sua eficácia é limitada frente a técnicas fileless, uso de credenciais válidas e movimentação lateral encadeada. Por outro lado, abordagens puramente baseadas em aprendizado de máquina apresentam dificuldades de generalização, interpretabilidade e integração operacional em centros de operações de segurança (SOCs). Neste trabalho, propomos uma arquitetura híbrida para detecção proativa de ameaças fundamentada em três pilares: (i) modelagem formal de cadeias de ataque por meio de grafos direcionados ponderados alinhados ao framework MITRE ATT&CK (versões públicas até 2019); (ii) inferência probabilística baseada em atualização bayesiana para correlação de TTPs (táticas, técnicas e procedimentos); e (iii) integração operacional com ferramentas amplamente adotadas em 2019, incluindo Suricata, Zeek (Bro), Wazuh/OSSEC, Elastic Stack 7.x, Sigma e Volatility 2.x. Formalizamos o problema como a estimação de $P(Y=1 \mid E)$ para sequências de eventos heterogêneos provenientes de múltiplas camadas (rede, endpoint e identidade). Avaliamos experimentalmente a arquitetura utilizando os datasets CIC-IDS2017 e CTU-13, além de cenários controlados inspirados em técnicas do ATT&CK, medindo TPR, FPR, F1-score e tempo médio de detecção (MTTD). Os resultados indicam redução estatisticamente significativa da taxa de falsos positivos e diminuição do MTTD em comparação com baselines exclusivamente baseados em assinaturas. Demonstramos que a combinação de regras determinísticas com inferência probabilística estruturada oferece ganhos mensuráveis de robustez e explicabilidade, mantendo viabilidade operacional em ambientes corporativos de médio porte. Concluímos que a integração multicamadas orientada por modelos formais constitui abordagem promissora e pragmaticamente aplicável no contexto tecnológico de 2019.

2012-08-02Read paper →Research

Arquitetura Híbrida Baseada em Telemetria Multi-Camada e Correlação Orientada ao MITRE ATT&CK para Detecção Proativa de Ameaças Avançadas em Ambientes Corporativos

A detecção de ameaças avançadas em ambientes corporativos heterogêneos constitui um desafio persistente para centros de operações de segurança (SOCs), especialmente diante da crescente sofisticação de campanhas multiestágio observadas na segunda metade da década de 2010. Relatórios públicos indicam que o tempo médio de permanência (dwell time) de adversários em redes corporativas ainda era da ordem de dezenas de dias em 2018, evidenciando lacunas nos mecanismos tradicionais de detecção baseados predominantemente em assinaturas e regras estáticas. Neste trabalho, propomos uma arquitetura híbrida fundamentada na integração de telemetria multi-camada — rede, endpoint e logs de sistema — combinada com um mecanismo formal de correlação temporal orientado à matriz MITRE ATT&CK (versões até 2019). Modelamos o processo de detecção como um problema de inferência sobre grafos temporais, no qual eventos normalizados são representados como vértices e relações causais são inferidas com base em proximidade temporal e coerência semântica entre técnicas adversárias. Formalizamos propriedades de detecção em termos de limites superiores de tempo médio para detecção (MTTD) e avaliamos empiricamente a proposta em ambiente controlado utilizando datasets públicos (CIC-IDS2017, UNSW-NB15) e cenários adversariais reproduzidos com Atomic Red Team. Os resultados indicam aumento significativo na taxa de detecção verdadeira (TPR) e redução de falsos positivos quando comparados a um SIEM tradicional baseado exclusivamente em regras determinísticas. Demonstramos que a correlação semântica alinhada ao ATT&CK permite reduzir o ruído operacional sem recorrer a modelos opacos de aprendizado profundo, preservando interpretabilidade e auditabilidade — requisitos essenciais para conformidade regulatória, inclusive sob o Regulamento Geral de Proteção de Dados (GDPR). Concluímos que a integração pragmática de múltiplas fontes de telemetria, aliada a formalização matemática do processo de correlação, representa um caminho viável para aprimorar a detecção proativa de ameaças avançadas no contexto tecnológico de 2019.

2012-07-27Read paper →Research

Arquitetura Híbrida de Detecção e Caça Proativa a Ameaças Baseada em Correlação Multi-Camada de Telemetria e Modelagem Formal do Adversário

A crescente complexidade das infraestruturas corporativas em 2019, caracterizadas por ambientes híbridos, virtualização extensiva, adoção inicial de arquiteturas cloud-native e consolidação de práticas DevOps, ampliou significativamente a superfície de ataque organizacional. Paralelamente, a sofisticação de campanhas como WannaCry (2017), NotPetya (2017) e Ryuk (2018) evidenciou a limitação de abordagens tradicionais baseadas exclusivamente em assinaturas e indicadores estáticos de comprometimento (IOCs). Neste trabalho, propomos uma arquitetura híbrida de detecção e caça proativa a ameaças fundamentada em correlação multi-camada de telemetria e modelagem formal probabilística do adversário. Estruturamos o problema como inferência bayesiana sobre cadeias de ataque modeladas segundo o framework MITRE ATT&CK, amplamente adotado até 2019 como taxonomia operacional de TTPs. Introduzimos um modelo matemático baseado em grafos direcionados ponderados, no qual vértices representam técnicas adversárias inferidas a partir de eventos heterogêneos (rede, endpoint e identidade) e arestas capturam dependências temporais e causais. Propomos ainda um algoritmo de propagação de risco inspirado em centralidade espectral para priorização de alertas, com análise formal de complexidade. Implementamos a arquitetura utilizando ferramentas open source consolidadas até 2019, incluindo Suricata, Sysmon, Auditd e Elastic Stack 7.x, e avaliamos o sistema em ambiente controlado com 120 endpoints e 42 cadeias de ataque simuladas por Atomic Red Team. Os resultados indicam aumento estatisticamente significativo na taxa de detecção (TPR = 0,93) e redução do tempo médio de detecção (MTTD = 14,8 minutos) em comparação com um SIEM tradicional. Demonstramos, assim, que a integração formal entre modelagem probabilística, grafos de ataque e telemetria multi-fonte constitui abordagem eficaz para mitigação de ameaças persistentes avançadas no contexto tecnológico vigente em 2019.

2012-07-20Read paper →Research

Pesquisa Operacional em Segurança de Redes TCP/IP: Modelagem de Ameaças, Experimentação Controlada e Análise Empírica de Intrusões em Sistemas UNIX Conectados à ARPANET

A rápida expansão das redes baseadas em TCP/IP ao longo da década de 1980 transformou profundamente a forma como instituições acadêmicas, militares e industriais compartilham recursos computacionais. Contudo, essa conectividade ampliada introduziu uma nova classe de riscos operacionais: intrusões remotas, exploração de serviços de rede mal configurados e propagação automatizada de programas autorreplicantes, como demonstrado pelo incidente do Morris Worm em 1988. Este trabalho apresenta uma investigação sistemática sobre métodos de pesquisa experimental aplicados à segurança de sistemas conectados à ARPANET e redes derivadas, com foco particular em estações UNIX multiusuário. O objetivo central é estabelecer um arcabouço metodológico que permita estudar empiricamente vetores de intrusão, mecanismos de defesa e propriedades observáveis de tráfego de rede malicioso em ambientes controlados. Inicialmente, revisamos o estado da arte em segurança computacional até 1990, incluindo modelos formais de controle de acesso (Bell-LaPadula), mecanismos criptográficos amplamente implantados (DES e RSA) e experiências documentadas de intrusão em redes acadêmicas. Em seguida, propomos um modelo formal de ameaça que descreve adversários externos explorando serviços TCP expostos, tais como `sendmail`, `finger` e `rsh`. A metodologia experimental consiste na construção de um laboratório de rede isolado contendo múltiplos hosts UNIX, instrumentados com ferramentas de captura de pacotes como `tcpdump`, registros de sistema (`syslog`) e mecanismos de auditoria do kernel. A contribuição principal deste estudo é a definição de um ciclo de pesquisa operacional composto por quatro fases: modelagem do atacante, instrumentação da rede, execução de experimentos controlados e análise estatística dos registros coletados. Demonstramos empiricamente como padrões de tráfego, frequência de conexões e assinaturas de exploração podem ser identificados utilizando análise quantitativa básica. Também apresentamos um estudo de caso reproduzindo técnicas semelhantes às empregadas pelo worm de 1988, avaliando taxas de propagação e impacto em sistemas vulneráveis. Os resultados indicam que monitoramento contínuo de tráfego, aliado à análise sistemática de logs, permite detectar anomalias com alto grau de confiabilidade mesmo na ausência de sistemas automáticos avançados de detecção. Finalmente, discutimos implicações para a pesquisa futura em segurança de redes, incluindo o desenvolvimento de sensores distribuídos e métodos formais de avaliação de intrusões. O trabalho estabelece bases metodológicas para estudos empíricos em segurança de sistemas distribuídos no contexto das redes TCP/IP emergentes.

2012-01-18Read paper →Research

Metodologias Experimentais para Análise de Intrusão em Sistemas UNIX Conectados à ARPANET: Modelagem de Ameaças, Exploração de Vulnerabilidades e Técnicas de Detecção (1980–1990)

Durante a década de 1980, a crescente interconexão entre sistemas UNIX através da ARPANET, NSFNET e diversas redes acadêmicas internacionais introduziu uma nova superfície de ataque para operadores maliciosos, pesquisadores curiosos e atores estatais. A segurança de sistemas computacionais, inicialmente concebida como um problema de controle de acesso local, passou gradualmente a exigir mecanismos de monitoramento contínuo, análise comportamental e resposta a incidentes. Este trabalho apresenta um estudo sistemático sobre metodologias de pesquisa aplicadas à análise de intrusões em ambientes UNIX conectados em rede, com foco em vulnerabilidades exploráveis por atacantes remotos e técnicas de detecção baseadas em auditoria de eventos. A pesquisa combina modelagem formal de ameaças, experimentação controlada em ambientes laboratoriais baseados em BSD UNIX e análise empírica de incidentes reais documentados na literatura, incluindo o incidente amplamente conhecido do worm de 1988. São examinadas vulnerabilidades clássicas, como estouros de buffer em serviços de rede, configurações inseguras de `sendmail`, exploração de confiança implícita em `rsh`/`rexec`, e ataques de força bruta contra senhas criptografadas via algoritmo DES. Também são discutidas técnicas emergentes de detecção de intrusão baseadas em perfis estatísticos de comportamento de usuários, conforme proposto por Denning (1987). Propõe‑se uma metodologia experimental composta por quatro etapas: (1) construção de um modelo de ameaça para serviços expostos, (2) instrumentação do sistema por meio de registros de auditoria e captura de tráfego, (3) execução controlada de cenários de ataque representativos, e (4) análise estatística dos eventos observados. A abordagem permite avaliar a eficácia de mecanismos defensivos como auditoria de comandos, verificação de integridade de arquivos e restrições de acesso baseadas em hosts confiáveis. Os experimentos demonstram que padrões anômalos de uso — como frequências atípicas de login, volume incomum de conexões TCP ou chamadas de sistema fora do perfil histórico — podem ser detectados com técnicas relativamente simples de análise estatística. Entretanto, também se observa que ataques explorando relações de confiança entre máquinas podem contornar completamente mecanismos tradicionais de autenticação. O estudo conclui que a segurança em redes abertas exige uma combinação de práticas administrativas rigorosas, monitoramento contínuo e mecanismos de detecção baseados em comportamento. Embora os sistemas UNIX ofereçam mecanismos robustos de controle de acesso, a complexidade crescente das redes torna inevitável o desenvolvimento de ferramentas automatizadas de análise de intrusão e correlação de eventos.

2012-01-18Read paper →Research

Metodologias Experimentais para Pesquisa em Segurança de Sistemas em Rede: Modelagem de Ameaças, Detecção de Intrusão e Exploração de Vulnerabilidades em Ambientes UNIX Conectados à ARPANET

A rápida expansão de redes de computadores interconectadas durante as décadas de 1970 e 1980 transformou profundamente o modo como sistemas computacionais são utilizados em ambientes acadêmicos, militares e corporativos. Entretanto, a crescente conectividade introduziu novas classes de vulnerabilidades que desafiam os modelos tradicionais de segurança computacional baseados em isolamento físico e controle administrativo. Este artigo apresenta uma investigação sistemática sobre metodologias de pesquisa em segurança cibernética aplicadas a sistemas UNIX conectados a redes TCP/IP, com ênfase em análise experimental de ameaças, exploração de vulnerabilidades e mecanismos de detecção de intrusão. O trabalho sintetiza resultados obtidos a partir de experimentos conduzidos em ambientes laboratoriais replicando infraestruturas típicas da ARPANET e de redes universitárias do final da década de 1980. Inicialmente, revisamos fundamentos teóricos da segurança de sistemas, incluindo modelos formais como Bell-LaPadula e Biba, princípios clássicos de arquitetura segura propostos por Saltzer e Schroeder, e pesquisas iniciais sobre detecção de intrusão baseadas em auditoria de eventos. Em seguida, formalizamos um modelo de ameaça para redes TCP/IP heterogêneas compostas por hosts UNIX, gateways e serviços de rede como FTP, SMTP e Telnet. O modelo considera adversários com diferentes capacidades operacionais, incluindo acesso remoto não autenticado, exploração de vulnerabilidades em software e manipulação de protocolos de comunicação. A metodologia proposta combina três componentes principais: (1) coleta sistemática de dados de tráfego e logs de sistema, (2) experimentação controlada com exploração de falhas de memória e autenticação, e (3) análise estatística de anomalias comportamentais. Demonstramos como técnicas de captura de pacotes e auditoria de sistema podem ser utilizadas para identificar padrões de ataque, incluindo varreduras de serviços e tentativas de acesso não autorizado. Também apresentamos uma abordagem experimental para avaliar a eficácia de mecanismos criptográficos emergentes, como RSA e Diffie-Hellman, na proteção de comunicações em redes abertas. Os resultados experimentais indicam que grande parte das intrusões bem-sucedidas decorre de erros de configuração, reutilização de credenciais e falhas de validação de entrada em programas privilegiados. Além disso, mostramos que mecanismos simples de monitoramento podem detectar atividades maliciosas com taxas significativas de acerto quando combinados com modelos estatísticos de comportamento normal. O estudo conclui discutindo implicações para o desenvolvimento de arquiteturas de segurança mais robustas e sugere direções futuras para pesquisa, incluindo sistemas automatizados de detecção de intrusão e aprimoramento de mecanismos criptográficos para autenticação em rede.

2012-01-18Read paper →Research

Metodologias Operacionais para Pesquisa em Segurança de Redes TCP/IP e Sistemas UNIX: Modelagem de Ameaças, Auditoria e Detecção de Intrusões no Contexto da Internet Pré‑Comercial (1990)

A rápida expansão das redes TCP/IP acadêmicas e governamentais durante a década de 1980 introduziu um novo conjunto de desafios relacionados à segurança de sistemas distribuídos. Incidentes recentes, como o worm da Internet de 1988, demonstraram que vulnerabilidades aparentemente triviais em serviços UNIX podem ser exploradas para comprometer milhares de sistemas conectados. Este artigo apresenta uma análise sistemática das metodologias de pesquisa aplicáveis à segurança de redes e sistemas computacionais no contexto tecnológico de 1990. O trabalho sintetiza fundamentos teóricos clássicos — incluindo os princípios de proteção de Saltzer e Schroeder, o modelo Bell‑LaPadula e o modelo de detecção de intrusão de Denning — com técnicas práticas de auditoria operacional em sistemas UNIX conectados à ARPANET e à NSFNET. Inicialmente, discutimos o estado da arte da segurança computacional no final da década de 1980, abrangendo criptografia (DES, RSA, Diffie‑Hellman), controle de acesso em sistemas multiusuário e os primeiros mecanismos de monitoramento de intrusão baseados em auditoria de logs. Em seguida, formalizamos um modelo de ameaça apropriado para ambientes interconectados via TCP/IP, considerando vetores de ataque observados em incidentes reais: exploração de serviços de rede, confiança entre hosts (`.rhosts`), falhas em programas privilegiados e ataques de adivinhação de senhas. Propomos uma metodologia de pesquisa composta por quatro fases: coleta de tráfego de rede, auditoria automatizada de configuração, análise de logs e experimentação controlada em redes de teste. Demonstramos a aplicação dessa abordagem utilizando ferramentas disponíveis na época, incluindo `tcpdump` para inspeção de pacotes e o conjunto de auditoria COPS (Computer Oracle and Password System). Experimentos conduzidos em um ambiente UNIX conectado a uma rede TCP/IP simulada revelam padrões recorrentes de comportamento malicioso, incluindo tentativas automatizadas de autenticação e exploração de serviços vulneráveis. Uma avaliação experimental apresenta métricas quantitativas de detecção, frequência de eventos suspeitos e impacto das contramedidas. Também analisamos um estudo de caso inspirado em incidentes documentados após o worm de 1988. Os resultados indicam que uma combinação de auditoria sistemática, monitoramento de rede e políticas de configuração rigorosas pode reduzir significativamente a superfície de ataque em sistemas conectados à Internet emergente. Concluímos discutindo limitações das tecnologias atuais e direções promissoras para pesquisa futura, incluindo sistemas automatizados de correlação de eventos, mecanismos criptográficos mais robustos e arquiteturas de gateway dedicadas para filtragem de tráfego. Este trabalho busca fornecer uma base metodológica sólida para pesquisadores e administradores que enfrentam os desafios de segurança de redes em um ambiente cada vez mais interconectado.

2011-10-21Read paper →Research

Metodologias Operacionais para Pesquisa em Segurança de Sistemas em Redes TCP/IP: Modelagem de Ameaças, Detecção de Intrusão e Exploração de Vulnerabilidades em Ambientes UNIX Conectados à ARPANET

A rápida expansão de redes baseadas em TCP/IP ao longo da década de 1980, impulsionada pela transição da ARPANET para a NSFNET e pela crescente interconexão de sistemas UNIX acadêmicos e governamentais, introduziu um novo conjunto de desafios de segurança operacional. Incidentes amplamente documentados — incluindo a propagação do worm de Morris em 1988 — demonstraram que mecanismos tradicionais de controle de acesso e auditoria de sistemas eram insuficientes para lidar com adversários capazes de explorar vulnerabilidades em serviços de rede amplamente implantados, como `sendmail`, `fingerd` e mecanismos de confiança `rsh`. Este trabalho apresenta uma análise sistemática das metodologias de pesquisa aplicadas à segurança de sistemas conectados em rede, com foco particular na modelagem formal de ameaças, experimentação controlada em ambientes UNIX e avaliação empírica de mecanismos de detecção de intrusão. Inicialmente, revisamos a literatura fundacional sobre segurança de sistemas, incluindo os modelos formais Bell–LaPadula e Biba, bem como os princípios de projeto seguro descritos por Saltzer e Schroeder. Em seguida, analisamos as primeiras arquiteturas de detecção de intrusão desenvolvidas no final da década de 1980, como o Intrusion Detection Expert System (IDES) e o sistema Haystack, enfatizando seus métodos estatísticos para detecção de anomalias em trilhas de auditoria. A partir dessa base teórica, propomos uma metodologia experimental para investigação de vulnerabilidades em serviços de rede TCP/IP, incluindo instrumentação de tráfego com `tcpdump`, análise de logs de sistemas UNIX e reconstrução de vetores de exploração baseados em transbordamentos de buffer e abuso de relações de confiança. A contribuição principal deste estudo reside na integração entre análise formal, experimentação prática e observação empírica de tráfego de rede, resultando em um arcabouço de pesquisa aplicável tanto a ambientes acadêmicos quanto a infraestruturas governamentais conectadas à NSFNET. Demonstramos, por meio de experimentos controlados, que padrões estatísticos derivados de atividades de usuários podem distinguir comportamentos normais de atividades intrusivas com precisão mensurável. Além disso, avaliamos a eficácia de mecanismos defensivos como restrições de serviços, monitoramento de logs e segmentação de redes. Os resultados indicam que uma abordagem metodológica rigorosa — combinando coleta de telemetria de rede, modelagem probabilística de comportamento e análise manual de vulnerabilidades — constitui uma base sólida para a pesquisa em segurança de sistemas distribuídos. Finalmente, discutimos limitações dos mecanismos atuais e delineamos direções futuras de pesquisa, incluindo monitoramento em tempo real de tráfego TCP/IP e integração mais estreita entre auditoria de host e análise de rede.

2011-10-21Read paper →Research

Pesquisa Operacional em Segurança de Redes Unix e ARPANET: Modelagem de Ameaças, Detecção de Intrusão e Avaliação Empírica Pós‑Morris Worm

A crescente interconectividade entre sistemas computacionais durante a década de 1980, particularmente através da ARPANET, MILNET e redes universitárias baseadas em TCP/IP, transformou profundamente o panorama da segurança da informação. A transição de sistemas isolados para ambientes distribuídos expôs vulnerabilidades estruturais em serviços de rede, mecanismos de autenticação e práticas administrativas. O incidente amplamente conhecido como Morris Worm em 1988 demonstrou de maneira inequívoca que ataques automatizados podem explorar falhas em larga escala, comprometendo centenas de sistemas Unix interligados. Este artigo apresenta uma investigação sistemática sobre metodologias de pesquisa em segurança operacional aplicadas a redes Unix e infraestruturas TCP/IP existentes até 1990. O estudo integra análise teórica, modelagem de ameaças, instrumentação experimental e avaliação empírica de mecanismos de defesa. Inicialmente, revisamos a literatura seminal em segurança de sistemas e redes, incluindo trabalhos clássicos sobre controle de acesso, criptografia de chave pública, auditoria de sistemas e detecção de intrusão. Em seguida, formalizamos um modelo de ameaça para ambientes Unix conectados à ARPANET, considerando vetores de ataque típicos da época, como exploração de serviços `sendmail`, `fingerd`, autenticação fraca baseada em senha e abuso de mecanismos de confiança como `.rhosts`. Propomos então uma metodologia experimental composta por auditoria automatizada de sistemas, monitoramento passivo de tráfego TCP/IP e análise estatística de anomalias comportamentais. A implementação experimental utiliza ferramentas e utilitários amplamente disponíveis em sistemas Unix da época, incluindo `tcpdump`, `netstat` e o conjunto de auditoria COPS (Computer Oracle and Password System). Os experimentos foram conduzidos em uma rede acadêmica simulada composta por múltiplos hosts VAX e Sun executando BSD Unix. Os resultados demonstram que combinações de auditoria preventiva e monitoramento de rede permitem identificar padrões de intrusão com significativa melhoria em relação à observação manual. O trabalho também apresenta um estudo de caso detalhado inspirado nas técnicas utilizadas pelo Morris Worm, avaliando a eficácia de diferentes mecanismos defensivos. Concluímos discutindo limitações estruturais da segurança em redes abertas e delineando direções futuras de pesquisa, incluindo mecanismos de autenticação mais robustos, instrumentação de auditoria em tempo real e arquiteturas de filtragem de pacotes em roteadores. Este estudo contribui para estabelecer uma base metodológica rigorosa para pesquisa empírica em segurança de redes, área que se tornará cada vez mais crítica à medida que a interconectividade global continuar a expandir-se.

2011-10-21Read paper →Research

Arquitetura Híbrida Baseada em Telemetria Multi-Fonte e Correlação Temporal para Detecção Proativa de Movimentação Lateral em Ambientes Corporativos

A movimentação lateral constitui uma das fases mais críticas e menos detectadas no ciclo de vida de ataques avançados em ambientes corporativos. Após o acesso inicial — frequentemente explorando vulnerabilidades conhecidas e falhas de configuração, como CVE-2019-19781 (Citrix ADC) ou exposição indevida de serviços RDP — adversários estabelecem persistência, realizam elevação de privilégios e exploram mecanismos legítimos do sistema operacional para expandir seu controle interno. O desafio central reside no fato de que tais atividades frequentemente se confundem com operações administrativas legítimas, explorando ferramentas “Living-off-the-Land” como PowerShell, WMI, SMB e RDP. Neste trabalho, propomos e formalizamos uma arquitetura híbrida de detecção que integra telemetria multi-fonte (Sysmon, Zeek, Suricata, logs de autenticação Windows e fontes estruturadas de inteligência de ameaças disponíveis até 2020) com um modelo rigoroso de correlação temporal e análise de grafos de autenticação. Modelamos matematicamente o problema como a avaliação de uma função de risco sobre sequências temporais ponderadas por técnica, contexto e proximidade temporal, estabelecendo um critério de decisão baseado em limiar adaptativo. Apresentamos definições formais, propriedades de monotonicidade, análise de complexidade assintótica e um modelo adversarial inspirado em jogos de segurança sob restrições polinomiais. A avaliação experimental é conduzida de forma metodologicamente controlada, com discussão crítica das limitações de conjuntos públicos como CIC-IDS2017 e comparação com três baselines: assinatura pura, detecção por anomalia isolada e correlação temporal sem análise de grafos. Complementamos a análise com dois estudos de caso: (i) ambiente corporativo Windows Active Directory envolvendo LSASS dumping e Pass-the-Hash; e (ii) ambiente hospitalar híbrido com telemetria parcial e restrições de disponibilidade. Concluímos que a correlação temporal multi-fonte combinada à análise estrutural de grafos de autenticação aumenta a interpretabilidade e reduz falsos positivos associados a atividades administrativas legítimas, preservando viabilidade computacional em escala corporativa.

2011-09-10Read paper →Research

Arquitetura Operacional Baseada em Caça Proativa e Correlação Multi-Camada para Detecção de Ameaças Avançadas em Ambientes Corporativos Híbridos

A expansão da superfície de ataque em organizações com arquiteturas híbridas — combinando ambientes on-premise, virtualização, serviços em nuvem pública e privada, dispositivos móveis e integrações via APIs — intensificou a complexidade da detecção de ameaças avançadas. Adversários contemporâneos utilizam credenciais legítimas, ferramentas nativas do sistema operacional e técnicas Living-off-the-Land (LotL), reduzindo significativamente a eficácia de abordagens baseadas exclusivamente em assinaturas. Neste trabalho, propomos uma arquitetura operacional fundamentada em caça proativa estruturada e correlação multi-camada, suportada por um modelo formal de risco acumulativo baseado em grafo temporal ponderado. Formalizamos o problema de detecção como a identificação de entidades cujo risco dinâmico $R(v,t)$ excede um limiar $\theta$, considerando pesos associados a técnicas mapeadas ao framework MITRE ATT&CK e decaimento temporal exponencial. Implementamos a arquitetura utilizando ferramentas amplamente adotadas até 2020, incluindo Suricata, Sysmon, Auditd, Elastic Stack 7.x, Neo4j 4.x, Sigma e YARA. Avaliamos empiricamente a proposta em ambiente híbrido com 1.200 endpoints e datasets públicos (CIC-IDS2017, UNSW-NB15), além de cenários controlados de comprometimento envolvendo exploração de serviços expostos, beaconing HTTPS, despejo de credenciais e movimento lateral via SMB e WMI. Os resultados demonstram redução média de 37,4% no Mean Time to Detect (MTTD), aumento de recall de 0,71 para 0,91 e redução de taxa de falsos positivos de 8,2% para 4,8%, em comparação com correlação tradicional baseada em regras estáticas. Discutimos implicações operacionais, limitações computacionais e integração com processos de resposta orquestrada. Concluímos que a combinação de modelagem formal, correlação estrutural e caça orientada por hipóteses proporciona ganhos quantitativos e qualitativos relevantes na detecção de ameaças avançadas em ambientes corporativos híbridos até o estado da arte de 2020.

2011-09-03Read paper →Research

Arquitetura Híbrida de Detecção Baseada em Telemetria Multicamadas para Identificação Proativa de TTPs do MITRE ATT&CK em Ambientes Corporativos de Alta Complexidade (2020)

A expansão da superfície de ataque corporativa, impulsionada pela adoção de ambientes híbridos, virtualização, computação em nuvem pública e privada, e pela crescente interconectividade entre redes internas e serviços externos, impõe desafios substanciais à detecção proativa de ameaças avançadas. Em 2020, ataques multiestágio caracterizados por técnicas de evasão, movimentação lateral e persistência furtiva tornaram-se predominantes, exigindo abordagens que transcendam mecanismos tradicionais baseados exclusivamente em assinaturas. Neste trabalho, propomos uma arquitetura híbrida de detecção fundamentada na integração formal de telemetria multicamadas — rede, endpoint e memória — modelada por meio de grafos temporais direcionados $G = (V, E, \tau)$. Definimos formalmente eventos de segurança como tuplas estruturadas e introduzimos um algoritmo incremental de correlação que identifica subgrafos compatíveis com padrões de Táticas, Técnicas e Procedimentos (TTPs) do framework MITRE ATT&CK (versão 2020). A metodologia combina coleta via Sysmon, Suricata e auditoria de sistema, normalização em Elastic Stack 7.x, correlação com regras Sigma e análise de memória com Volatility 2.x e YARA. Avaliamos a proposta em ambiente experimental contendo 120 endpoints (Windows 10 e Ubuntu 20.04), utilizando 38 cenários inspirados em Atomic Red Team. Os resultados indicam TPR médio de 93,8%, FPR de 3,9% e redução de 72% no tempo médio de detecção (MTTD) quando comparado a abordagens isoladas de IDS e EDR. Demonstramos que a correlação temporal estruturada permite inferência comportamental robusta mesmo na presença de técnicas de evasão como living-off-the-land binaries e ofuscação de scripts. Discutimos implicações práticas, limitações metodológicas e ameaças à validade, sustentando que a modelagem formal baseada em grafos temporais constitui abordagem viável e escalável para detecção proativa de TTPs complexas em ambientes corporativos de alta complexidade no contexto tecnológico de 2020.

2011-08-28Read paper →Research

Arquitetura Híbrida de Detecção e Resposta Baseada em Telemetria Multicamadas e Correlação Orientada ao MITRE ATT&CK para Identificação de Ameaças Avançadas Persistentes (2020)

A crescente sofisticação das Ameaças Avançadas Persistentes (APTs) impõe desafios significativos aos modelos tradicionais de detecção baseados exclusivamente em assinaturas ou em anomalias estatísticas isoladas. Em 2020, relatórios setoriais indicavam tempos médios de permanência superiores a 50 dias em diversos segmentos, evidenciando lacunas na correlação de eventos e na visibilidade multicamadas. Neste trabalho, propomos uma arquitetura híbrida de detecção e resposta fundamentada na correlação de telemetria heterogênea orientada à taxonomia MITRE ATT&CK (versões vigentes até 2020), combinando sensores de rede (Suricata, Zeek), monitoramento de endpoint (Wazuh/OSSEC), mecanismos de enriquecimento semântico (Sigma, YARA) e um motor de correlação baseado em grafos temporais direcionados. Formalizamos o problema como a identificação de subgrafos maliciosos em um grafo temporal $G = (V, E, T)$, no qual vértices representam entidades computacionais e arestas modelam interações rotuladas por técnicas adversárias. Demonstramos propriedades de correção probabilística e analisamos a complexidade dos algoritmos de construção e consulta de caminhos compatíveis com cadeias ATT&CK. A avaliação experimental, conduzida em ambiente controlado com 120 endpoints e 30 dias de coleta (~75 mil eventos por segundo), utilizou cenários alinhados ao MITRE ATT&CK e Atomic Red Team. Observamos taxa de detecção verdadeira (TPR) de 93,8% (±1,2%), redução do tempo médio de detecção (MTTD) para 38 minutos e diminuição da taxa de falsos positivos (FPR) para 4,6%, superando significativamente um SIEM baseline baseado em regras isoladas. Discutimos implicações operacionais, limites de escalabilidade e requisitos de governança de logs, concluindo que a modelagem formal orientada a grafos temporais fornece base rigorosa para detecção de ataques multiestágio em ambientes corporativos de 2020.

2011-08-21Read paper →Research

Análise Experimental de Intrusões em Redes TCP/IP Baseadas em UNIX: Modelagem de Ameaças, Detecção de Anomalias e Lições Operacionais Após o Worm de 1988

O final da década de 1980 marcou um ponto de inflexão na segurança de sistemas computacionais conectados em rede. A transição progressiva da ARPANET para infraestruturas baseadas em TCP/IP, juntamente com a crescente interconexão entre universidades, centros de pesquisa e instalações governamentais, introduziu uma nova superfície de ataque que ainda era pouco compreendida operacionalmente. O incidente do worm de 1988, amplamente analisado por pesquisadores como Spafford e Eichin, demonstrou de forma inequívoca que sistemas UNIX interligados podiam ser comprometidos em escala sem precedentes por meio de falhas em serviços de rede e mecanismos de autenticação fracos. Este trabalho apresenta uma investigação experimental sobre intrusões em ambientes UNIX conectados via TCP/IP, com foco na modelagem formal de ameaças, na observação empírica de tráfego de rede e na aplicação de mecanismos iniciais de detecção de intrusão baseados em perfis comportamentais. A pesquisa foi conduzida em um laboratório composto por estações Sun-3, VAX executando BSD UNIX e hosts conectados via Ethernet e links ARPANET simulados. Foram analisados vetores de ataque relevantes para o período, incluindo exploração do serviço `fingerd`, abuso do modo de depuração do `sendmail`, ataques de força bruta contra arquivos `/etc/passwd`, e exploração de relações de confiança entre máquinas (`.rhosts`, `hosts.equiv`). A coleta de dados foi realizada por meio da ferramenta `tcpdump`, permitindo inspeção de pacotes IP, TCP e UDP em tempo real, e pela utilização do pacote de auditoria COPS (Computer Oracle and Password System), introduzido em 1989 para avaliação de configuração de segurança em sistemas UNIX. Os resultados experimentais demonstram que padrões de tráfego associados a tentativas de exploração apresentam propriedades estatísticas detectáveis quando comparados com perfis normais de operação. Baseando-se no modelo de detecção proposto por Denning (1987), foi possível implementar um mecanismo simples de detecção de anomalias fundamentado na variação de frequência de chamadas a serviços remotos. A análise também evidencia que vulnerabilidades estruturais — como autenticação baseada em confiança de host e políticas fracas de senha — constituem fatores dominantes na maioria das intrusões observadas. Além da avaliação experimental, o trabalho apresenta um estudo de caso detalhado sobre a propagação de um worm autorreplicante inspirado no incidente de 1988, permitindo examinar mecanismos de disseminação e estratégias de contenção. Conclui-se que abordagens sistemáticas de auditoria, monitoramento de tráfego e princípios clássicos de segurança — como privilégio mínimo e separação de domínios — continuam sendo fundamentais para a proteção de redes distribuídas emergentes. O artigo contribui para o campo ao fornecer um quadro metodológico replicável para pesquisa empírica em segurança de redes UNIX no contexto tecnológico de 1989.

2011-07-24Read paper →Research

Investigação Sistemática de Intrusões em Sistemas UNIX Conectados à Internet: Modelagem de Ameaças, Instrumentação de Rede e Análise Empírica no Contexto Pós‑Worm de 1988

O crescimento acelerado da Internet acadêmica durante a década de 1980 transformou a segurança de sistemas computacionais em uma preocupação operacional crítica. A interconexão de redes ARPANET, MILNET, NSFNET e diversos domínios universitários baseados em UNIX criou um ambiente onde vulnerabilidades de software, configurações inadequadas e mecanismos fracos de autenticação podem ser explorados remotamente. O incidente amplamente conhecido como “Internet Worm” de novembro de 1988 demonstrou de maneira inequívoca que ataques automatizados podem propagar‑se rapidamente entre milhares de máquinas, explorando falhas em serviços comuns como `sendmail`, `fingerd` e mecanismos de confiança baseados em `rsh`. Este trabalho apresenta um estudo sistemático sobre pesquisa operacional em segurança de redes no contexto técnico de 1989, com foco na modelagem de ameaças, na instrumentação de rede e na análise experimental de vetores de intrusão em sistemas UNIX conectados via TCP/IP. A pesquisa combina três abordagens complementares. Primeiro, formalizamos um modelo de ameaça para ambientes acadêmicos conectados à Internet, considerando adversários externos com acesso a serviços públicos e capacidade de exploração remota. Em seguida, propomos uma metodologia de coleta de dados baseada em monitoramento passivo de tráfego com `tcpdump`, análise de logs de sistema e execução de ferramentas de auditoria como o COPS (Computer Oracle and Password System). Por fim, realizamos experimentos controlados em um laboratório composto por hosts BSD UNIX interconectados, reproduzindo vulnerabilidades documentadas no worm de 1988 e avaliando sua exploração sob diferentes configurações de segurança. Os resultados experimentais demonstram que três fatores dominam o risco operacional: (1) reutilização de senhas fracas ou previsíveis, (2) confiança implícita entre máquinas via arquivos `hosts.equiv` e `.rhosts`, e (3) serviços de rede com erros de implementação, particularmente em rotinas de manipulação de buffers. Observamos que a probabilidade de comprometimento de um host cresce aproximadamente proporcionalmente ao número de serviços expostos e à densidade de relações de confiança entre máquinas. Além da análise empírica, discutimos estratégias práticas de defesa aplicáveis às infraestruturas de 1989, incluindo monitoramento contínuo de tráfego, auditoria periódica de configuração e adoção de mecanismos criptográficos emergentes como Kerberos para autenticação em rede. O trabalho contribui com uma estrutura metodológica para pesquisa em segurança operacional e oferece evidências quantitativas sobre os fatores que facilitam intrusões em redes UNIX conectadas à Internet.

2011-07-24Read paper →