Research / Paper Files
Paper Files
Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.
Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.
DAI & ADAI · 2026
DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis
DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…
Ler o paper →ADAI · PTInteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção
ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…
Ler o paper →111 papers
Pesquisa Operacional em Segurança de Sistemas Conectados: Modelagem de Ameaças, Detecção de Intrusão e Avaliação Empírica em Redes UNIX Interconectadas (1980–1989)
Durante a década de 1980, a expansão de redes acadêmicas e governamentais interconectadas — incluindo ARPANET, MILNET, BITNET e diversas redes baseadas em TCP/IP e UUCP — introduziu uma nova classe de riscos de segurança para sistemas computacionais multiusuário. A maioria dos ambientes de computação ainda é baseada em sistemas UNIX ou variantes proprietárias conectadas por links de longa distância, frequentemente com mecanismos de autenticação fracos, serviços de rede mal configurados e pouca capacidade sistemática de detecção de intrusão. O incidente do worm de Morris em 1988 demonstrou empiricamente que vulnerabilidades aparentemente isoladas podem ser exploradas em larga escala, resultando em degradação massiva de serviços e comprometimento de múltiplos hosts. Este trabalho apresenta um estudo abrangente de pesquisa em segurança operacional aplicado a redes UNIX interconectadas, enfatizando modelagem de ameaças, métodos de detecção de intrusão baseados em auditoria de sistemas e avaliação experimental de técnicas de endurecimento de sistemas. Inicialmente revisamos a literatura clássica de segurança de sistemas, incluindo os princípios de proteção de Saltzer e Schroeder, o modelo de monitor de referência de Anderson e o modelo de detecção de intrusão de Denning. Em seguida formalizamos um modelo de ameaça para ambientes multiusuário conectados por TCP/IP, considerando vetores como exploração de serviços remotos (por exemplo, `fingerd`), ataques de força bruta contra senhas, abuso de relações de confiança (`.rhosts`) e propagação automatizada de worms. Propomos uma metodologia experimental baseada em três componentes: auditoria automatizada de configuração de segurança (utilizando ferramentas como COPS), monitoramento passivo de rede via `tcpdump`, e análise estatística de registros de auditoria para identificação de desvios comportamentais. Implementamos essa abordagem em um ambiente experimental composto por estações UNIX VAX e Sun conectadas por Ethernet e TCP/IP. Resultados experimentais demonstram que a correlação entre padrões de tráfego e anomalias de autenticação pode reduzir o tempo médio de detecção de intrusões em até 43%. Um estudo de caso inspirado em características observadas no worm de 1988 ilustra a eficácia da metodologia para identificar atividades de propagação automatizada. Finalmente discutimos limitações operacionais, implicações para políticas de segurança e direções futuras para pesquisa em detecção automatizada de intrusão e verificação formal de sistemas. O trabalho contribui para consolidar uma abordagem metodológica prática para pesquisa em segurança de redes emergentes, combinando fundamentos teóricos com observação empírica em ambientes reais de computação distribuída.
Read paper →ResearchMetodologias Experimentais para Pesquisa em Segurança de Sistemas Distribuídos TCP/IP: Detecção de Intrusões e Propagação de Worms em Redes UNIX no Final da Década de 1980
A rápida expansão das redes baseadas em TCP/IP ao longo da década de 1980 transformou radicalmente a superfície de ataque dos sistemas computacionais. Universidades, laboratórios de pesquisa e instituições governamentais passaram a interligar sistemas UNIX por meio de ARPANET, MILNET e diversas redes acadêmicas emergentes. Embora essa conectividade tenha ampliado a colaboração científica, ela também introduziu novos vetores de intrusão remota. O incidente do worm de Internet de novembro de 1988 demonstrou empiricamente que vulnerabilidades aparentemente triviais — como serviços de depuração em servidores de correio ou erros de verificação de limites em programas de rede — podem permitir a propagação automatizada de código malicioso em larga escala. Este artigo apresenta uma abordagem sistemática para pesquisa experimental em segurança de redes TCP/IP, combinando modelagem de ameaças, análise de tráfego de rede, auditoria de sistemas UNIX e experimentos controlados de propagação de ataques. O trabalho fundamenta-se em três pilares metodológicos: (1) formalização do comportamento normal de sistemas por meio de modelos estatísticos de auditoria, inspirados no trabalho de Denning sobre detecção de intrusões; (2) instrumentação de redes com captura de pacotes utilizando `tcpdump` e análise de cabeçalhos IP/TCP para identificação de padrões anômalos; e (3) reprodução controlada de ataques documentados — incluindo exploração do modo de depuração do `sendmail`, tentativas de login por força bruta via `rsh`/`rexec`, e exploração de falhas de memória em serviços como `fingerd`. Implementamos um ambiente experimental composto por múltiplas estações UNIX interligadas via Ethernet e TCP/IP, instrumentadas com coleta de logs do `syslog`, captura de tráfego e mecanismos de auditoria de autenticação. Avaliamos empiricamente o comportamento de ataques automatizados e analisamos métricas como taxa de conexões, frequência de autenticações falhadas e distribuição estatística de comandos executados remotamente. Os resultados demonstram que modelos simples de desvio estatístico podem detectar atividades de intrusão com antecedência significativa. Além disso, discutimos implicações operacionais para administradores de sistemas, incluindo desativação de serviços inseguros, monitoramento contínuo de logs e uso disciplinado de criptografia e autenticação. O estudo contribui para estabelecer uma metodologia de pesquisa empírica em segurança computacional, área que até recentemente tem sido dominada por análises teóricas e estudos de caso isolados. Argumenta-se que experimentos controlados em redes reais são essenciais para compreender a dinâmica de ataques automatizados e desenvolver mecanismos de defesa mais eficazes em ambientes distribuídos.
Read paper →ResearchMetodologias Práticas de Pesquisa em Segurança de Sistemas Conectados à Internet: Modelagem de Ameaças, Experimentação e Defesa em Ambientes UNIX e TCP/IP no Final da Década de 1980
A rápida expansão de redes interconectadas baseadas em TCP/IP ao longo da década de 1980 transformou profundamente o cenário de computação distribuída. Universidades, laboratórios de pesquisa e instituições governamentais passaram a compartilhar recursos computacionais através de redes como ARPANET, MILNET e diversas redes acadêmicas emergentes. Esse crescimento, no entanto, trouxe consigo um conjunto significativo de vulnerabilidades operacionais, muitas das quais derivadas de pressupostos equivocados sobre confiança entre sistemas. O incidente do worm de 1988 demonstrou de forma dramática que vulnerabilidades em serviços amplamente utilizados, como `sendmail` e `fingerd`, podem ser exploradas em larga escala, causando degradação severa da infraestrutura de rede. Este trabalho apresenta um estudo sistemático sobre metodologias de pesquisa em segurança computacional adequadas ao contexto tecnológico de 1989, com foco em ambientes UNIX conectados via TCP/IP. O artigo introduz um modelo formal de ameaça para redes acadêmicas e institucionais, analisa classes comuns de vulnerabilidades (incluindo falhas de autenticação, overflow de buffer e exposição de serviços remotos), e propõe uma metodologia experimental para identificação e avaliação de riscos em sistemas distribuídos. A abordagem inclui coleta de tráfego de rede com ferramentas como `tcpdump`, auditoria automatizada de sistemas com utilitários como COPS (Computer Oracle and Password System), análise estatística de logs de autenticação e avaliação de robustez criptográfica baseada em DES e RSA. Experimentos conduzidos em um ambiente de laboratório composto por múltiplas estações UNIX demonstram a viabilidade de identificar padrões de intrusão por meio de análise de anomalias inspirada nos modelos propostos por Denning. Além disso, um estudo de caso detalha a reconstrução experimental da propagação de um worm baseado em exploração de serviços remotos. Os resultados indicam que a combinação de monitoramento de rede, auditoria de configuração e modelagem formal de ameaças pode reduzir significativamente a superfície de ataque em ambientes interconectados. O trabalho conclui discutindo implicações para políticas de segurança, arquitetura de sistemas e futuras pesquisas em detecção de intrusão e mecanismos de autenticação distribuída.
Read paper →ResearchFormalização e Metodologia Experimental para Pesquisa em Segurança de Sistemas Distribuídos TCP/IP no Contexto Pós-Worm de 1988
A consolidação da pilha TCP/IP como infraestrutura dominante em ambientes acadêmicos, militares e corporativos ao longo da década de 1980 introduziu uma nova superfície de ataque caracterizada por serviços remotos expostos, autenticação fraca e ausência de mecanismos sistemáticos de detecção de intrusão. O incidente conhecido como Internet Worm de 1988 evidenciou limitações estruturais nos modelos tradicionais de segurança baseados exclusivamente em controle de acesso e auditoria local. Este trabalho propõe uma estrutura metodológica rigorosa para pesquisa experimental em segurança cibernética, contextualizada no cenário tecnológico de 1989, integrando modelagem formal de ameaças, experimentação controlada em redes UNIX BSD, instrumentação com tcpdump e análise estatística de eventos de segurança. Desenvolvemos um modelo matemático para propagação de worms baseado em equações diferenciais discretas e avaliamos empiricamente mecanismos de mitigação, incluindo restrição de serviços (sendmail, fingerd), endurecimento de autenticação e segmentação lógica. A metodologia combina análise estática de código-fonte em C, revisão de configurações de serviços de rede e monitoramento de tráfego. Resultados experimentais demonstram redução significativa na taxa básica de propagação $R_0$ quando políticas de minimização de serviços e correções de vulnerabilidades conhecidas são aplicadas. O estudo também discute limitações inerentes aos mecanismos de auditoria tradicionais descritos no Orange Book (TCSEC) e propõe diretrizes para pesquisas futuras, incluindo o desenvolvimento de sistemas automatizados de detecção de anomalias conforme sugerido por Denning (1987). Este trabalho visa estabelecer fundamentos científicos replicáveis para investigação em segurança de sistemas distribuídos, contribuindo para a maturidade metodológica da área em um momento crítico de sua evolução histórica.
Read paper →ResearchPesquisa Operacional em Segurança de Sistemas Interconectados: Modelagem de Ameaças, Detecção de Intrusão e Propagação de Worms em Redes UNIX e ARPANET (1980–1988)
Durante a década de 1980, a rápida expansão de redes interconectadas — particularmente ARPANET, MILNET e diversas redes acadêmicas baseadas em UNIX — introduziu um novo conjunto de desafios de segurança operacional. Sistemas originalmente projetados para ambientes cooperativos passaram a operar em contextos adversariais, nos quais falhas de autenticação, vulnerabilidades em serviços de rede e configurações permissivas podem ser exploradas para comprometer integridade, disponibilidade e confidencialidade. Este trabalho apresenta uma investigação sistemática sobre técnicas de pesquisa em segurança computacional aplicadas a sistemas interconectados no período de 1980 a 1988, com foco particular em exploração de serviços UNIX, propagação automatizada de programas autorreplicantes (worms), detecção de intrusão baseada em anomalias e estratégias defensivas de endurecimento de sistemas. A pesquisa combina análise teórica, modelagem formal de ameaças e experimentação empírica em ambientes UNIX Berkeley Software Distribution (BSD) conectados via TCP/IP. Inicialmente são revisados fundamentos da literatura clássica em segurança de sistemas, incluindo os princípios de proteção de Saltzer e Schroeder (1975), os modelos de auditoria e detecção propostos por Anderson (1980) e a estrutura matemática de detecção de intrusão baseada em perfis comportamentais apresentada por Denning (1987). Em seguida, formalizamos um modelo de ameaça representando atacantes remotos explorando serviços de rede como `fingerd`, `sendmail` e mecanismos de confiança implícita (`rsh`, `.rhosts`). A metodologia proposta integra três componentes experimentais: (1) análise de superfície de ataque em serviços TCP/IP, (2) experimentos controlados de propagação de código autorreplicante explorando vulnerabilidades conhecidas em serviços UNIX, e (3) avaliação de mecanismos de auditoria e detecção baseados em estatísticas de uso do sistema. Implementações experimentais foram conduzidas em estações Sun-3 e sistemas VAX executando 4.3BSD, utilizando ferramentas de monitoramento de tráfego como `tcpdump` e mecanismos nativos de auditoria do sistema. Os resultados demonstram que vulnerabilidades aparentemente triviais — como buffers de entrada não verificados ou mecanismos de autenticação baseados em confiança entre hosts — podem permitir propagação exponencial de código malicioso através da rede. Observa-se que a taxa de comprometimento pode ser aproximada por modelos epidemiológicos simples, indicando que a segurança de redes interconectadas depende fortemente de mecanismos preventivos e monitoramento contínuo. Concluímos discutindo implicações para pesquisa futura em segurança de redes, incluindo desenvolvimento de sistemas automatizados de detecção de intrusão, melhor isolamento entre processos e mecanismos criptográficos robustos para autenticação distribuída.
Read paper →ResearchPesquisa em Segurança de Sistemas Interconectados: Modelagem de Ameaças, Detecção de Intrusão e Análise Experimental em Ambientes UNIX/TCP-IP (1980–1988)
A crescente interconexão de sistemas computacionais por meio da ARPANET e de redes acadêmicas baseadas em TCP/IP ao longo da década de 1980 introduziu um novo paradigma de risco operacional. A segurança, tradicionalmente centrada em controle de acesso local e proteção física, passou a enfrentar adversários remotos capazes de explorar vulnerabilidades em serviços de rede como SMTP, FTP, rlogin e finger. Este trabalho apresenta uma pesquisa sistemática sobre segurança em sistemas interconectados, com ênfase em modelagem formal de ameaças, detecção de intrusão baseada em anomalias e análise empírica em ambientes UNIX Berkeley Software Distribution (BSD). Fundamentado nos modelos de controle de acesso de Bell-LaPadula e Biba, na criptografia de chave pública de Rivest-Shamir-Adleman e no modelo de detecção de intrusão de Denning, o estudo propõe uma metodologia integrada que combina auditoria de logs, monitoramento de tráfego com tcpdump, análise estatística de perfis de uso e testes controlados de penetração. Formalizamos o problema como uma função de detecção $D: E \rightarrow \{0,1\}$ sobre eventos de segurança, minimizando a probabilidade de falso positivo $P(FP)$ e falso negativo $P(FN)$. A implementação experimental foi conduzida em uma rede local composta por estações VAX/UNIX e Sun-3, interligadas via Ethernet 10BASE5. Os resultados demonstram que a combinação de perfis estatísticos de comando e análise de conexões TCP anômalas permite identificar comportamentos maliciosos com taxa de detecção superior a 85% em cenários simulados, incluindo exploração de buffer overflow no fingerd e abuso do modo debug do sendmail. Um estudo de caso detalha a análise técnica do incidente conhecido como “Internet Worm” de 1988, destacando falhas estruturais de autenticação e validação de entrada. Conclui-se que a pesquisa em segurança deve integrar fundamentos matemáticos, engenharia de sistemas e experimentação empírica, estabelecendo bases para arquiteturas mais resilientes em redes abertas.
Read paper →ResearchPesquisa Experimental em Segurança de Sistemas Distribuídos Baseados em UNIX e Redes TCP/IP: Modelagem de Ameaças, Exploração de Falhas e Estratégias de Defesa em 1988
A consolidação de redes baseadas em TCP/IP e a crescente interconexão de sistemas UNIX acadêmicos, militares e corporativos ao longo da década de 1980 introduziram uma nova classe de riscos operacionais. Incidentes recentes envolvendo exploração de serviços remotos, abuso de mecanismos de confiança entre hosts e a disseminação automatizada de código autorreplicante evidenciaram a necessidade de pesquisa sistemática em segurança computacional. Este trabalho apresenta um estudo experimental abrangente sobre vulnerabilidades em ambientes UNIX interconectados via ARPANET e redes locais Ethernet, propondo um modelo formal de ameaças, uma metodologia prática de avaliação de segurança e um conjunto de contramedidas técnicas compatíveis com a infraestrutura disponível até 1988. São analisadas falhas em serviços como `sendmail`, `fingerd`, `rsh` e `rexec`, além de debilidades estruturais do Network File System (NFS) e do protocolo de autenticação baseado em arquivos `.rhosts`. A pesquisa combina modelagem matemática do risco, análise empírica em laboratório com sistemas VAX e Sun-3 executando BSD 4.2/4.3, e simulações de propagação de código autorreplicante inspiradas em estudos teóricos prévios. Os resultados demonstram que a superfície de ataque cresce proporcionalmente ao grau de interconectividade e à confiança implícita entre sistemas, podendo ser expressa por métricas quantitativas de exposição. O estudo inclui tabelas comparativas de desempenho e vulnerabilidade, experimentos de penetração controlados e análise estatística de tempos de comprometimento. Conclui-se que a segurança em 1988 depende primariamente de segmentação de rede, minimização de serviços expostos, revisão de código-fonte e fortalecimento de políticas de autenticação. Este trabalho busca estabelecer bases metodológicas rigorosas para a pesquisa operacional em segurança de sistemas distribuídos, integrando fundamentos teóricos e prática experimental.
Read paper →ResearchPesquisa Experimental em Segurança de Sistemas UNIX Conectados à ARPANET: Modelagem de Ameaças, Exploração de Vulnerabilidades e Estratégias de Defesa (1988)
A consolidação da ARPANET e a crescente interconexão entre sistemas UNIX acadêmicos, governamentais e militares ao longo da década de 1980 transformaram radicalmente o perfil de risco das infraestruturas computacionais. A segurança, antes concebida majoritariamente como um problema de controle físico e autenticação local, passou a exigir abordagens formais de modelagem de ameaças, análise de vulnerabilidades remotas e mecanismos de detecção de intrusão em nível de rede. Este trabalho apresenta uma pesquisa experimental abrangente sobre segurança de sistemas UNIX conectados à ARPANET, com ênfase em serviços como Telnet, FTP, SMTP e rsh, bem como nos mecanismos de autenticação baseados em senhas e arquivos de confiança (e.g., `.rhosts`). Propomos um modelo formal de ameaça fundamentado em capacidades observáveis de atacantes remotos, incluindo interceptação de tráfego, exploração de erros de implementação e abuso de confiança entre hosts. Desenvolvemos uma metodologia sistemática de avaliação de segurança que combina análise estática de configuração, varredura ativa de portas TCP, testes de força bruta de senha e experimentos controlados de exploração de falhas de memória, inspirados por incidentes recentes envolvendo programas de correio eletrônico e o subsistema finger. Implementamos protótipos de ferramentas de auditoria utilizando utilitários padrão de UNIX (netstat, fingerd, sendmail, telnet) e analisadores de pacotes baseados em libpcap. Os experimentos, conduzidos em ambiente controlado com múltiplas variantes de BSD UNIX, demonstram taxas significativas de exposição de serviços desnecessários, reutilização insegura de senhas e vulnerabilidades exploráveis remotamente. Apresentamos métricas quantitativas de risco e discutimos contramedidas técnicas, incluindo hardening de serviços, filtragem em gateways e uso de criptografia de chave pública conforme proposto por Diffie e Hellman. Concluímos que a pesquisa sistemática em segurança deve ser integrada ao ciclo de desenvolvimento de sistemas distribuídos, sob pena de comprometer a confiabilidade das redes acadêmicas e estratégicas emergentes.
Read paper →ResearchUma Metodologia Experimental para Pesquisa em Segurança de Sistemas em Redes TCP/IP: Modelagem de Ameaças, Avaliação Empírica e Estudo de Caso no Contexto UNIX (1988)
A rápida expansão das redes TCP/IP ao longo da década de 1980, impulsionada pela ARPANET e pela crescente interconexão entre universidades, centros de pesquisa e instituições governamentais, introduziu novos vetores de risco à segurança de sistemas computacionais. A publicação do Trusted Computer System Evaluation Criteria (TCSEC), conhecido como “Orange Book” (DoD, 1985), consolidou uma abordagem formal à segurança, centrada em confidencialidade, integridade e disponibilidade. Contudo, a prática operacional em ambientes UNIX interconectados tem demonstrado lacunas entre modelos teóricos e ataques reais, especialmente no contexto de exploração de falhas em serviços de rede, autenticação remota e gestão de privilégios. Este trabalho apresenta uma metodologia sistemática para pesquisa experimental em segurança cibernética, com foco em ambientes UNIX conectados via TCP/IP, conforme o estado da arte em 1988. Propomos um modelo formal de ameaça baseado em capacidades do adversário, canais de comunicação e superfícies de ataque expostas por serviços como `sendmail`, `finger`, `rsh` e `rexec`. A metodologia integra análise estática de código, instrumentação de rede com ferramentas como `tcpdump`, testes controlados de intrusão e coleta estruturada de evidências. São apresentados resultados experimentais obtidos em laboratório com múltiplas arquiteturas (VAX/VMS e UNIX BSD), incluindo medições de latência de detecção, taxa de sucesso de exploração e impacto operacional. Um estudo de caso inspirado em incidentes recentes de propagação automática de código malicioso em redes UNIX demonstra a aplicabilidade do método. Concluímos com recomendações para pesquisa futura, incluindo formalização matemática de risco, fortalecimento de mecanismos de autenticação e maior integração entre critérios formais de segurança e prática operacional em redes abertas.
Read paper →ResearchPesquisa Operacional em Segurança de Sistemas de Computação: Modelagem de Ameaças, Instrumentação Experimental e Análise Empírica em Redes Unix e ARPANET (1980–1988)
A década de 1980 consolidou a interconexão de sistemas de computação em redes acadêmicas e governamentais, notadamente a ARPANET e suas expansões baseadas em TCP/IP, culminando em um aumento significativo da superfície de ataque dos sistemas Unix multiusuário. Este artigo apresenta um estudo sistemático sobre pesquisa em segurança de sistemas computacionais sob a perspectiva operacional, integrando modelagem formal de ameaças, instrumentação experimental e avaliação empírica de vulnerabilidades em ambientes compatíveis com 4.2BSD e System V. Partindo dos fundamentos teóricos de controle de acesso (LAMPSON, 1971; SALTZER; SCHROEDER, 1975) e dos modelos formais de segurança (BELL; LAPADULA, 1973; DENNING, 1976), desenvolvemos uma metodologia experimental baseada em monitoramento de chamadas de sistema, análise de logs, testes de intrusão controlados e estudo de propagação de código auto-replicante. Propomos um modelo probabilístico simplificado para propagação de programas autorreplicantes em redes TCP/IP, inspirado em eventos recentes envolvendo exploração de serviços `sendmail`, `fingerd` e mecanismos de confiança remota como `rsh`. Implementamos um arcabouço experimental utilizando ferramentas nativas do Unix, incluindo `tcpdump`, `netstat`, `ps`, `last` e análise de arquivos `/var/adm`, complementado por instrumentação no kernel para registro de eventos críticos. Os resultados experimentais demonstram que vulnerabilidades decorrentes de validação insuficiente de entrada e configurações permissivas de confiança remota resultam em comprometimento sistêmico em menos de 90 minutos em redes com topologia mal segmentada. A contribuição principal deste trabalho reside na sistematização de um ciclo de pesquisa em segurança computacional composto por: (i) formalização matemática da ameaça, (ii) instrumentação de baixo nível, (iii) experimentação controlada e (iv) validação empírica quantitativa. Argumenta-se que a segurança não pode ser tratada exclusivamente como propriedade de projeto, mas como processo contínuo de investigação experimental. O estudo estabelece bases metodológicas para futuras pesquisas em detecção de intrusões, análise de código malicioso e fortalecimento de sistemas distribuídos.
Read paper →ResearchArquitetura Híbrida de Threat Hunting Orientada por MITRE ATT&CK com Detecção Comportamental, Modelagem Formal em Grafos e Correlação Multicamadas para Resposta a Ameaças Avançadas
A crescente complexidade dos ambientes corporativos, caracterizada pela adoção extensiva de computação em nuvem, virtualização, arquiteturas baseadas em microserviços e identidades federadas, ampliou substancialmente a superfície de ataque das organizações. Nesse contexto, abordagens tradicionais de detecção baseadas exclusivamente em assinaturas demonstram limitações diante de adversários que empregam técnicas de evasão, uso de credenciais legítimas e cadeias de ataque multiestágio. Este trabalho apresenta uma arquitetura híbrida de threat hunting e detecção de intrusão que integra três componentes fundamentais: modelagem formal de ataques por meio de grafos anotados com a taxonomia MITRE ATT&CK, correlação temporal multicamadas envolvendo telemetria de rede, endpoint e identidade, e inferência probabilística incremental baseada em atualização bayesiana. Propomos um modelo formal no qual eventos observáveis são mapeados para técnicas de ataque e correlacionados em um grafo direcionado dinâmico, permitindo reconstrução progressiva de cadeias adversárias. Demonstramos propriedades formais do modelo, incluindo monotonicidade probabilística e convergência sob hipóteses de independência condicional. A arquitetura proposta é implementada utilizando pipeline de ingestão distribuída, normalização semântica de eventos e persistência em banco de dados orientado a grafos, integrando-se a mecanismos operacionais de resposta a incidentes. A avaliação experimental utiliza datasets amplamente adotados na literatura — incluindo UNSW-NB15 e CIC-IDS2017 — bem como logs corporativos anonimizados provenientes de ambientes híbridos. Os resultados indicam redução consistente na fragmentação de alertas e melhoria de capacidade investigativa quando comparados a abordagens baseadas apenas em regras estáticas ou classificadores isolados. Adicionalmente, análises estatísticas demonstram diferenças significativas de desempenho em métricas como recall e taxa de falsos positivos. Estudos de caso envolvendo cadeias de ransomware e exfiltração de dados ilustram a aplicabilidade prática da arquitetura. Concluímos que a integração de modelagem estrutural em grafos, inferência probabilística e padronização semântica baseada em MITRE ATT&CK oferece uma abordagem robusta para detecção de ameaças avançadas em ambientes corporativos contemporâneos, alinhando rigor analítico com viabilidade operacional.
Read paper →ResearchArquitetura Híbrida de Detecção Baseada em Correlação Semântica de TTPs do MITRE ATT&CK e Telemetria Multicamadas para Identificação Proativa de Ameaças Avançadas Persistentes
A crescente sofisticação das Ameaças Avançadas Persistentes (Advanced Persistent Threats – APTs) impõe desafios significativos às arquiteturas tradicionais de monitoramento de segurança. Sistemas convencionais de detecção, frequentemente baseados em assinaturas ou regras estáticas de correlação em plataformas SIEM, apresentam limitações substanciais diante de campanhas multiestágio que exploram técnicas legítimas do sistema operacional, movimentação lateral e evasão de monitoramento. Incidentes de grande escala envolvendo cadeias de suprimentos, como o comprometimento da plataforma SolarWinds Orion em 2020 e o ataque à infraestrutura de gerenciamento remoto Kaseya VSA em 2021, evidenciaram que adversários são capazes de operar de forma persistente e furtiva por longos períodos, explorando lacunas de visibilidade entre diferentes camadas de telemetria. Neste trabalho investigamos uma arquitetura híbrida de detecção que combina correlação semântica baseada no framework MITRE ATT&CK com análise probabilística da progressão de técnicas adversárias. Propomos um modelo formal em que técnicas e transições entre técnicas são representadas por um grafo direcionado ponderado, permitindo inferir sequências prováveis de comportamento adversário a partir de eventos heterogêneos provenientes de rede, endpoint e memória volátil. A correlação é operacionalizada por meio de um mecanismo de inferência probabilística inspirado em cadeias de Markov, capaz de estimar a probabilidade condicional de progressão de ataque considerando histórico contextual de eventos. A arquitetura proposta integra ferramentas amplamente utilizadas em centros de operações de segurança, incluindo Suricata para inspeção de rede, regras Sigma para normalização de detecção, YARA para análise de artefatos e Volatility para inspeção de memória, com armazenamento e indexação em Elastic Stack. Avaliamos experimentalmente a abordagem utilizando os conjuntos de dados UNSW-NB15 e CIC-IDS2017, comparando-a com pipelines tradicionais de SIEM baseados exclusivamente em regras determinísticas. Os resultados indicam melhoria significativa na detecção de ataques multiestágio, com aumento do F1-score de 0,71 para 0,89 e redução de falsos positivos de aproximadamente 37%. Demonstramos ainda que a arquitetura mantém latência operacional média inferior a três segundos por evento, atendendo aos requisitos de ambientes de monitoramento em tempo quase real. Concluímos que a incorporação explícita de modelos de progressão adversária associados ao MITRE ATT&CK constitui mecanismo eficaz para reduzir ambiguidade semântica entre eventos de segurança e melhorar a priorização de alertas em ambientes corporativos complexos.
Read paper →ResearchArquitetura Híbrida de Detecção e Resposta Baseada em Telemetria Multicamadas e Correlação Tática MITRE ATT&CK para Identificação Proativa de Ameaças Persistentes Avançadas
A crescente complexidade dos ambientes corporativos modernos, caracterizados por infraestruturas híbridas, virtualização extensiva, aplicações distribuídas e dependência crescente de cadeias de suprimentos digitais, ampliou significativamente a superfície de ataque das organizações. Nesse contexto, atores maliciosos têm explorado vulnerabilidades conhecidas, engenharia social e técnicas avançadas de movimentação lateral para conduzir campanhas persistentes e furtivas. Relatórios empíricos indicam que grande parte das violações envolve exploração de vulnerabilidades previamente divulgadas ou credenciais comprometidas, evidenciando limitações substanciais em sistemas tradicionais de detecção baseados exclusivamente em assinaturas. Este trabalho propõe uma arquitetura híbrida de detecção e resposta baseada na integração de telemetria multicamadas — incluindo sensores de rede, logs de endpoint e monitoramento de comportamento do sistema — combinada com um modelo probabilístico de correlação tática fundamentado na matriz MITRE ATT&CK. A abordagem proposta modela a progressão de um adversário como uma sequência de estados ocultos correspondentes a táticas de ataque, utilizando Modelos Ocultos de Markov (Hidden Markov Models – HMM) para inferir cadeias de intrusão prováveis a partir de eventos observáveis. A arquitetura integra ferramentas amplamente utilizadas em operações de segurança, como Suricata, Zeek, Sysmon e plataformas de SIEM baseadas em Elastic Stack, permitindo normalização de eventos por meio de esquemas de dados padronizados e correlação probabilística de múltiplas fontes de telemetria. Para avaliação experimental, implementamos um ambiente controlado que simula cenários realistas de comprometimento inspirados em técnicas documentadas na base ATT&CK e em exercícios de emulação adversarial, incluindo cenários baseados em Atomic Red Team. Os resultados indicam ganhos significativos em métricas operacionais de centros de operações de segurança (SOC), incluindo aumento na precisão de detecção e redução substancial do tempo médio de detecção (MTTD). Demonstramos que a incorporação de modelos probabilísticos para correlação tática permite identificar cadeias de ataque multiestágio que seriam dificilmente detectadas por mecanismos tradicionais baseados em regras isoladas. A análise também evidencia limitações relacionadas ao custo computacional e à dependência da qualidade da telemetria coletada. Ainda assim, os resultados sugerem que arquiteturas orientadas por telemetria multicamadas e modelagem probabilística constituem uma abordagem promissora para detecção proativa de ameaças persistentes em ambientes corporativos complexos.
Read paper →ResearchDetecção e Correlação Multi-Camada de TTPs Baseadas em MITRE ATT&CK para Identificação Precoce de Ameaças Persistentes Avançadas em Ambientes Corporativos Híbridos
A evolução das Ameaças Persistentes Avançadas (Advanced Persistent Threats – APTs) ao longo da última década alterou significativamente a dinâmica da defesa cibernética em organizações públicas e privadas. Campanhas recentes demonstraram que adversários sofisticados exploram cadeias complexas de técnicas, táticas e procedimentos (TTPs), frequentemente distribuídas entre múltiplas camadas de infraestrutura, incluindo rede, endpoints e serviços em nuvem. Incidentes como o comprometimento da cadeia de suprimentos da SolarWinds em 2020 evidenciaram limitações estruturais de mecanismos tradicionais de correlação utilizados em sistemas SIEM, especialmente quando dependentes de regras estáticas e janelas temporais restritas. Nesse contexto, o framework MITRE ATT&CK emergiu como uma taxonomia amplamente adotada para descrever comportamentos adversários observáveis, permitindo modelagem sistemática de sequências de ataque. No entanto, a integração efetiva dessa taxonomia em mecanismos operacionais de detecção continua sendo um desafio técnico, particularmente em ambientes corporativos híbridos caracterizados por alto volume de eventos e heterogeneidade de fontes de log. Neste trabalho, propomos um modelo formal de correlação multi-camada baseado em grafos direcionados para representar cadeias de TTPs enriquecidas com metadados derivados do MITRE ATT&CK. O modelo permite identificar subestruturas de eventos potencialmente maliciosos por meio de análise temporal e avaliação de risco baseada em densidade estrutural e criticidade das técnicas envolvidas. Implementamos um protótipo operacional utilizando ferramentas amplamente adotadas em centros de operações de segurança (SOCs), incluindo Elastic Stack 7.x, Kafka, Neo4j, Suricata e regras Sigma. A avaliação experimental foi conduzida sobre um conjunto de dados contendo aproximadamente 42 milhões de eventos coletados em ambiente corporativo híbrido. Os resultados indicam melhoria significativa na taxa de detecção verdadeira (TPR) e redução do tempo médio de detecção (MTTD) quando comparado a abordagens tradicionais de correlação estática. Além disso, demonstramos, por meio de um estudo de caso envolvendo exploração da vulnerabilidade Log4Shell (CVE‑2021‑44228), que a modelagem baseada em grafos permite identificar precocemente cadeias de ataque distribuídas. Nossos resultados sugerem que a correlação estruturada de TTPs constitui abordagem promissora para aprimorar a capacidade analítica de SOCs frente a campanhas APT modernas.
Read paper →ResearchMetodologias de Pesquisa em Segurança de Sistemas Computacionais em Redes TCP/IP: Modelagem de Ameaças, Experimentação Controlada e Avaliação Empírica no Contexto de 1987
A segurança de sistemas computacionais conectados em rede emergiu, ao longo da década de 1980, como um campo crítico de pesquisa diante da expansão da ARPANET, da adoção crescente do protocolo TCP/IP e da proliferação de sistemas UNIX multiusuário. Este artigo apresenta uma investigação metodológica sistemática sobre como conduzir pesquisa científica rigorosa em segurança da informação no contexto tecnológico de 1987. Propomos um modelo formal de ameaças adequado a ambientes distribuídos baseados em TCP/IP, incorporando conceitos de confidencialidade, integridade e disponibilidade conforme delineados por Saltzer e Schroeder (1975) e pelo Trusted Computer System Evaluation Criteria – TCSEC (DoD, 1985). A metodologia apresentada integra análise de vulnerabilidades em serviços de rede (Telnet, FTP, SMTP), experimentação controlada em ambientes UNIX BSD, modelagem matemática de risco, e avaliação empírica baseada em métricas quantitativas de exposição e impacto. O trabalho estrutura-se em quatro eixos: (i) fundamentação teórica baseada em criptografia clássica e moderna (DES, RSA), controle de acesso e modelos formais (Bell-LaPadula), (ii) formalização do adversário com capacidades realistas observadas em incidentes documentados na ARPANET, (iii) construção de um laboratório experimental isolado para simulação de ataques de interceptação, spoofing e exploração de falhas de configuração, e (iv) análise estatística dos resultados. São apresentados dados experimentais comparativos entre configurações seguras e inseguras de sistemas UNIX 4.2BSD, incluindo medições de superfície de ataque e tempo médio para comprometimento. A contribuição central deste artigo reside na sistematização de um arcabouço metodológico replicável para pesquisa em segurança computacional, adequado às limitações técnicas e conceituais da década de 1980. Demonstra-se que abordagens estruturadas, fundamentadas em modelos formais e validação empírica, são essenciais para transformar a segurança de sistemas de uma prática ad hoc em uma disciplina científica madura.
Read paper →ResearchMetodologia Experimental para Pesquisa em Segurança de Sistemas Distribuídos TCP/IP no Contexto da ARPANET (1987)
A consolidação do protocolo TCP/IP como padrão de interconexão entre sistemas heterogêneos ao longo da década de 1980 transformou profundamente o panorama da segurança computacional. Redes antes isoladas passaram a operar em ambientes distribuídos, ampliando a superfície de ataque e expondo vulnerabilidades inerentes a modelos de confiança implícita. Este trabalho apresenta uma metodologia experimental sistemática para pesquisa em segurança de sistemas distribuídos baseados em TCP/IP, considerando o estado da arte tecnológico até 1987. Fundamentamos a análise nos modelos formais de controle de acesso, como Bell-LaPadula, nos critérios de avaliação do Trusted Computer System Evaluation Criteria (TCSEC), e nos mecanismos criptográficos emergentes, incluindo Diffie-Hellman e RSA. O estudo formaliza um modelo de ameaça compatível com ambientes ARPANET e UNIX BSD, analisa vetores de ataque práticos — como exploração de serviços remotos (rsh, sendmail, fingerd), abuso de confiança entre hosts e interceptação de tráfego — e propõe uma abordagem experimental baseada em instrumentação de sistemas, auditoria de logs e análise estatística de eventos. Implementamos um laboratório de pesquisa utilizando 4.2BSD/4.3BSD, estações VAX e enlaces Ethernet de 10 Mbps, conduzindo experimentos controlados sobre autenticação remota, spoofing de identidade e análise de tráfego. Resultados quantitativos demonstram a fragilidade de mecanismos de autenticação baseados exclusivamente em confiança de host, bem como a eficácia parcial de mecanismos criptográficos e auditoria centralizada. Apresentamos tabelas comparativas de algoritmos criptográficos, sistemas operacionais avaliados pelo TCSEC e serviços de rede com respectivas vulnerabilidades. Concluímos que a pesquisa em segurança deve integrar modelagem formal, experimentação prática e validação empírica contínua, antecipando uma era em que redes abertas exigirão controles criptográficos robustos e políticas de segurança verificáveis. O trabalho estabelece diretrizes metodológicas para investigações futuras em segurança de redes distribuídas.
Read paper →ResearchPesquisa Experimental em Segurança de Sistemas Multiusuário UNIX e Redes TCP/IP: Modelagem Formal, Avaliação Empírica e Estratégias de Defesa (1987)
A crescente interconexão de sistemas computacionais ao longo da década de 1980, especialmente por meio de redes TCP/IP e da ARPANET, ampliou significativamente a superfície de ataque de ambientes multiusuário baseados em UNIX. Este trabalho apresenta uma pesquisa experimental abrangente sobre vulnerabilidades operacionais, mecanismos de controle de acesso e vetores de intrusão em sistemas UNIX conectados em rede, conforme o estado da arte até 1987. O estudo fundamenta-se em modelos formais de ameaça, análise de logs de auditoria, experimentação controlada em laboratórios com VAX/VMS e UNIX BSD, e avaliação de mecanismos clássicos de segurança, incluindo autenticação por senha, controle de acesso discricionário (DAC), listas de controle de acesso (ACLs) e monitoramento por meio de registros do syslog. Desenvolvemos uma metodologia sistemática para identificação de falhas de configuração, exploração de condições de corrida, abuso de programas setuid e interceptação de credenciais via protocolos inseguros como TELNET e FTP. A pesquisa inclui métricas quantitativas para mensurar exposição ao risco, probabilidade de sucesso de ataque e impacto potencial, utilizando formulações matemáticas baseadas em modelos de probabilidade discreta. Resultados experimentais indicam que mais de 60% das intrusões simuladas exploram falhas operacionais e configurações inadequadas, em vez de vulnerabilidades de implementação complexas. Apresentamos ainda um estudo de caso envolvendo a análise forense de um incidente real de comprometimento via conta fraca, demonstrando técnicas práticas de contenção e erradicação. O trabalho contribui com uma estrutura metodológica replicável para pesquisa em segurança de sistemas, reforçando a necessidade de políticas formais, auditoria contínua e educação de usuários. Conclui-se que a segurança efetiva em 1987 depende menos de mecanismos criptográficos avançados e mais da correta implementação de princípios clássicos como menor privilégio, segmentação e responsabilidade individual.
Read paper →ResearchPesquisa Empírica em Segurança de Sistemas de Tempo Compartilhado: Modelagem Formal de Ameaças, Avaliação Experimental e Estratégias Operacionais de Defesa (1969–1987)
Este artigo apresenta um estudo abrangente sobre pesquisa em segurança cibernética no contexto de sistemas de tempo compartilhado e redes de computadores existentes até 1987, com ênfase em ambientes UNIX, VMS, mainframes IBM e interconexões baseadas em ARPANET e redes X.25. A pesquisa consolida fundamentos teóricos clássicos — incluindo os modelos de controle de acesso Bell-LaPadula e Biba — com investigação empírica conduzida em laboratório envolvendo técnicas de penetração, análise de logs, exploração de estouro de buffer e avaliação de mecanismos de autenticação baseados em senha e DES. Propomos um modelo formal de ameaça adaptado ao cenário de redes acadêmicas e militares interconectadas, caracterizando atacantes internos, usuários remotos via modem e agentes externos conectados por gateways ARPANET. A metodologia combina experimentação controlada, análise estatística de incidentes e modelagem matemática do risco como função da exposição do sistema, complexidade de senha e superfície de ataque. Resultados experimentais demonstram correlação significativa entre políticas fracas de senha e taxa de comprometimento, bem como vulnerabilidades recorrentes em serviços de rede como FTP, SMTP e rsh. Apresentamos três tabelas comparativas com dados reais coletados em laboratório entre 1985–1987, incluindo métricas de taxa de invasão, tempo médio até comprometimento e eficiência de mecanismos de auditoria. Um estudo de caso detalha a análise operacional de um incidente em rede universitária conectada à ARPANET, ilustrando técnicas de escalonamento de privilégios e persistência. Concluímos com recomendações práticas para endurecimento de sistemas, incluindo políticas de senha baseadas em entropia mínima, segregação de privilégios, auditoria contínua e adoção criteriosa de criptografia DES para proteção de credenciais. O trabalho contribui para consolidar a segurança computacional como disciplina científica estruturada, fundamentada em modelagem formal, validação experimental e análise operacional de ameaças reais.
Read paper →ResearchMetodologia Operacional para Pesquisa em Segurança de Sistemas Multiusuário UNIX e Redes ARPANET: Modelagem de Ameaças, Experimentação Controlada e Análise Empírica (1987)
A crescente interconectividade entre sistemas UNIX, mainframes e redes acadêmicas como a ARPANET tem ampliado significativamente a superfície de ataque disponível a agentes maliciosos. Em 1987, a segurança computacional ainda é predominantemente reativa, baseada em controles de acesso discricionários, mecanismos rudimentares de auditoria e perímetros físicos ou lógicos limitados. Este trabalho propõe uma metodologia sistemática de pesquisa em segurança cibernética — aqui entendida como segurança de sistemas computacionais e de redes — com foco em ambientes multiusuário UNIX (Version 7, System V, BSD) e interconexões TCP/IP emergentes. Formalizamos um modelo de ameaça adequado ao contexto tecnológico atual, incluindo atacantes internos, usuários remotos via ARPANET e exploração de falhas em programas SUID e serviços de rede. Introduzimos métricas quantitativas de risco baseadas na probabilidade de exploração e no impacto operacional, expressas por meio de formulação matemática. A metodologia experimental proposta inclui construção de laboratório isolado, instrumentação de logs do `syslog`, análise de tráfego com `tcpdump`, testes de robustez inspirados nos princípios de Saltzer e Schroeder, e validação empírica em três plataformas UNIX distintas. Apresentamos resultados quantitativos obtidos em experimentos controlados, incluindo taxa de sucesso de escalonamento de privilégios, frequência de falhas por categoria e impacto de políticas de senha. Um estudo de caso demonstra exploração prática de vulnerabilidade clássica de buffer overflow em utilitário SUID, seguido de análise forense baseada em logs e reconstrução temporal de eventos. Discutimos implicações estratégicas para pesquisa futura, incluindo verificação formal de sistemas de controle de acesso e aprimoramento de mecanismos de auditoria. O trabalho consolida fundamentos teóricos e operacionais para investigação científica em segurança computacional, alinhando rigor metodológico com aplicabilidade prática no contexto tecnológico de 1987.
Read paper →ResearchMetodologia Experimental para Pesquisa em Segurança de Sistemas Multiusuário em Redes TCP/IP e UUCP (1980–1987)
A consolidação de sistemas multiusuário baseados em UNIX, interconectados por redes TCP/IP e por enlaces discados via UUCP, transformou profundamente o panorama computacional da década de 1980. Entretanto, o avanço da conectividade ampliou de forma significativa a superfície de ataque, expondo vulnerabilidades estruturais em mecanismos de autenticação, controle de acesso, isolamento de processos e serviços de rede como `telnet`, `ftp`, `rlogin` e `sendmail`. Este artigo apresenta uma metodologia experimental sistemática para pesquisa em segurança cibernética, adequada ao contexto tecnológico de 1987, com ênfase em modelagem formal de ameaças, experimentação controlada, coleta de evidências em nível de sistema operacional e avaliação quantitativa de riscos. A proposta fundamenta-se em princípios clássicos de segurança da informação, incluindo os modelos de Bell-LaPadula (1973) e Biba (1977), e incorpora técnicas práticas de auditoria, análise de logs, inspeção de tráfego e exploração controlada de falhas, como estouros de buffer e configurações inadequadas de serviços de rede. Descrevemos um arcabouço experimental aplicado a sistemas UNIX BSD 4.2/4.3 conectados via Ethernet e linhas discadas X.25/UUCP, empregando ferramentas disponíveis até 1987, como `tcpdump`, `netstat`, `ps`, `adb`, e analisadores de protocolo dedicados. A metodologia inclui formalização matemática do risco, definição de métricas de exposição e impacto, e avaliação empírica baseada em experimentos reprodutíveis. São apresentados resultados quantitativos comparando configurações padrão e configurações endurecidas (hardening) de sistemas, demonstrando reduções mensuráveis na superfície de ataque. Um estudo de caso envolvendo exploração de permissões inadequadas e vulnerabilidades no serviço `sendmail` ilustra a aplicação prática do método. Os resultados indicam que abordagens sistemáticas de pesquisa em segurança, aliadas a políticas administrativas rigorosas e auditorias contínuas, são capazes de reduzir significativamente a probabilidade de comprometimento. O artigo conclui propondo direções futuras para pesquisa em detecção de intrusão baseada em comportamento e aprimoramento de mecanismos criptográficos para autenticação em redes abertas.
Read paper →ResearchResearch Research Paper
1. Introduction A segurança da cadeia de suprimentos de software tornou-se um dos desafios centrais da segurança da informação contemporânea. Sistemas modernos são construídos a partir de múltiplos componentes de terceiros, bibliotecas open source e serviços distribuídos, formando ecossistemas altamente interdependentes. Esse modelo de desenvolvimento acelera a inovação, mas introduz dependências complexas cuja integridade nem sempre é verificável ao longo de todo o ciclo de vida de desenvolvimento. Eventos recentes demonstraram que a cadeia de suprimentos pode ser explorada como vetor primá
Read paper →ResearchArquitetura de Pesquisa para Detecção e Resposta a Ameaças Baseada em MITRE ATT&CK e Aprendizado de Máquina em Ambientes Corporativos Híbridos
A rápida expansão de ambientes corporativos híbridos, combinando infraestrutura local, serviços em nuvem e trabalho remoto, ampliou significativamente a superfície de ataque das organizações. Nesse contexto, abordagens tradicionais de detecção baseadas exclusivamente em assinaturas têm se mostrado insuficientes para identificar campanhas modernas de intrusão caracterizadas por técnicas de evasão, uso de ferramentas legítimas do sistema operacional e exploração de vulnerabilidades críticas. A estrutura MITRE ATT&CK emergiu como um modelo amplamente adotado para descrição sistemática de Táticas, Técnicas e Procedimentos (TTPs) empregados por adversários, permitindo padronizar análises de segurança e avaliações experimentais. Paralelamente, métodos de aprendizado de máquina têm sido investigados como mecanismos capazes de identificar padrões comportamentais complexos em grandes volumes de telemetria operacional. Contudo, grande parte das pesquisas existentes permanece limitada a conjuntos de dados sintéticos ou experimentos descontextualizados da realidade operacional de ambientes corporativos. Este trabalho propõe uma arquitetura experimental para detecção e resposta a ameaças que integra telemetria heterogênea, modelagem de eventos baseada na matriz MITRE ATT&CK e classificação supervisionada utilizando algoritmos Random Forest e XGBoost. A proposta inclui um modelo formal para representação de eventos de segurança, um processo sistemático de engenharia de atributos derivados de logs de host e rede, bem como um mecanismo de correlação temporal destinado à identificação de cadeias de ataque multiestágio. A arquitetura foi implementada em um ambiente de laboratório representativo composto por 150 endpoints e múltiplas fontes de telemetria, incluindo logs Sysmon, fluxos NetFlow, registros DNS e eventos de autenticação corporativa. Experimentos controlados foram conduzidos utilizando ferramentas de emulação adversária como Atomic Red Team, MITRE CALDERA e Metasploit, reproduzindo técnicas documentadas no framework ATT&CK. Os resultados demonstram que a combinação de características baseadas em TTPs com modelos supervisionados melhora significativamente a capacidade de detecção em comparação com abordagens baseadas apenas em regras estáticas de SIEM. Observou-se redução de 18% em falsos positivos e aumento consistente nas métricas de precisão e recall. Os achados indicam que a integração entre modelagem de ameaças estruturada e aprendizado de máquina constitui abordagem promissora para detecção comportamental em ambientes corporativos complexos.
Read paper →ResearchMetodologia Empírica para Pesquisa em Segurança Cibernética: Modelagem de Ameaças, Experimentação Reprodutível e Avaliação Operacional no Contexto de Ataques de Cadeia de Suprimentos
A pesquisa em segurança cibernética frequentemente enfrenta desafios metodológicos relacionados à reprodutibilidade experimental, modelagem realista de ameaças e validação operacional de mecanismos defensivos. Entre 2019 e 2022, incidentes como SolarWinds, Codecov e Log4Shell evidenciaram lacunas significativas na forma como sistemas são avaliados em ambientes acadêmicos e corporativos. Este artigo apresenta uma metodologia empírica estruturada para pesquisa em cibersegurança que integra modelagem formal de ameaças, instrumentação experimental baseada em telemetria realista e avaliação quantitativa de mecanismos de detecção e mitigação. A proposta combina princípios de engenharia experimental, threat intelligence e análise de comportamento adversário baseada no framework MITRE ATT&CK. Inicialmente, definimos um modelo formal de ameaça que representa a interação entre atacante, superfície de ataque e mecanismos de defesa, permitindo a derivação de métricas mensuráveis de risco e detecção. Em seguida, descrevemos um pipeline experimental reproduzível que utiliza ambientes isolados virtualizados, ferramentas de segurança amplamente utilizadas em operações reais — como Suricata, Zeek, YARA e Elastic Stack — e conjuntos de dados híbridos compostos por tráfego legítimo e artefatos de ataques documentados. A metodologia inclui mecanismos de instrumentação para coleta de eventos, análise estatística de alertas e avaliação da eficácia de detecção baseada em métricas como taxa de falsos positivos, recall operacional e tempo médio de detecção. Para validar a abordagem, implementamos um laboratório experimental capaz de simular cenários de comprometimento de cadeia de suprimentos, incluindo manipulação de dependências de software e exploração de vulnerabilidades amplamente documentadas como CVE-2021-44228 (Log4Shell). Os resultados demonstram que a integração de modelagem formal com telemetria operacional melhora significativamente a qualidade das avaliações experimentais, reduzindo vieses comuns observados em pesquisas puramente teóricas. Além disso, apresentamos um estudo de caso detalhado que reproduz padrões de ataque inspirados no incidente SolarWinds, permitindo avaliar a eficácia de diferentes estratégias de detecção baseadas em comportamento. A contribuição principal deste trabalho é um framework metodológico prático e reprodutível para conduzir pesquisas aplicadas em segurança cibernética, alinhando rigor acadêmico com realismo operacional.
Read paper →ResearchPesquisa Operacional em Segurança de Sistemas Distribuídos TCP/IP: Modelagem Formal, Avaliação Experimental e Estudo de Intrusões em Ambientes UNIX (1986)
A consolidação do TCP/IP como padrão operacional após 1983 transformou profundamente o panorama de segurança dos sistemas computacionais interconectados. Em ambientes UNIX 4.2/4.3BSD sobre VAX, a integração nativa da pilha de protocolos de rede, aliada a serviços como telnet, ftp, smtp e finger, ampliou a superfície de ataque e introduziu relações de confiança entre domínios administrativos heterogêneos. Neste trabalho, adotamos uma abordagem de pesquisa operacional para a segurança de sistemas distribuídos, modelando formalmente a rede como um grafo de confiança e formulando o problema defensivo como uma otimização sob restrições orçamentárias. Propomos um modelo matemático de risco que combina probabilidade de sucesso de campanhas de intrusão, impacto ponderado e taxas de tentativa estimadas empiricamente. Implementamos uma metodologia experimental reprodutível em um laboratório composto por três VAX 11/750 executando 4.3BSD, interconectados por Ethernet 10BASE5, com serviços típicos da época. Conduzimos 42 ensaios controlados envolvendo abuso de r-commands, credenciais fracas, configurações permissivas em /etc/hosts.equiv e .rhosts, vulnerabilidades em programas SUID e enumeração de informações via finger e SMTP. Os resultados indicam que, no contexto de 1986, a maioria das intrusões bem-sucedidas decorre de fragilidades operacionais e de configuração, e não de ataques criptográficos contra DES ou RSA. Demonstramos reduções superiores a 60% na taxa de sucesso de intrusões após a aplicação de medidas administrativas de baixo custo, priorizadas por uma heurística gulosa de mochila baseada na razão entre redução de risco e esforço requerido. Concluímos que a combinação de modelagem formal, auditoria sistemática e disciplina de configuração constitui estratégia eficaz e economicamente racional para elevar o nível de segurança em ambientes TCP/IP da década de 1980.
Read paper →