Research / Paper Files
Paper Files
Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.
Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.
DAI & ADAI · 2026
DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis
DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…
Ler o paper →ADAI · PTInteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção
ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…
Ler o paper →111 papers
Uma Estrutura Sistemática de Pesquisa em Segurança de Sistemas Computacionais para Redes TCP/IP e Ambientes UNIX BSD 4.3 (1986)
cryptographyandd00denn. Acesso em: 13 abr. 2026. DIFFIE, Whitfield; HELLMAN, Martin. New Directions in Cryptography. IEEE Transactions on Information Theory, 1976. Disponível em: https://doi.org/10.1109/TIT.1976.1055638. Acesso em: 13 abr. 2026. DOD. Trusted Computer System Evaluation Criteria. 1985. Disponível em: https://csrc.nist.gov/publications/history/dod85.pdf. Acesso em: 13 abr. 2026. ELGAMAL, Taher. A Public Key Cryptosystem and a Signature Scheme Based on Discrete Logarithms. IEEE Transactions on Information Theory, 1985. Disponível em: https://doi.org/10.1109/TIT.1985.1057074. Ac
Read paper →ResearchPesquisa Operacional em Segurança de Sistemas Distribuídos TCP/IP: Modelagem de Ameaças e Avaliação Experimental em Ambientes UNIX Conectados à ARPANET (1986)
cryptographydata00denn. Acesso em: 13 abr. 2026. DIFFIE, W.; HELLMAN, M. New directions in cryptography. IEEE Transactions on Information Theory, 1976. Disponível em: https://doi.org/10.1109/TIT.1976.1055638. Acesso em: 13 abr. 2026. DOD. Trusted Computer System Evaluation Criteria. 1985. Disponível em: https://csrc.nist.gov/csrc/media/publications/conference-paper/1985/12/01/trusted-computer-system-evaluation-criteria/documents/dod85.pdf. Acesso em: 13 abr. 2026. FIPS PUB 81. DES Modes of Operation. 1980. Disponível em: https://csrc.nist.gov/publications/detail/fips/81/final. Acesso em: 13
Read paper →ResearchArquitetura Híbrida Baseada em Telemetria Multicamadas e Grafos Temporais para Detecção Proativa de Ameaças Avançadas em Ambientes Corporativos
A crescente sofisticação de ameaças persistentes avançadas (Advanced Persistent Threats – APTs) e campanhas de intrusão multietapa exige mecanismos de detecção que transcendam abordagens isoladas baseadas apenas em assinaturas ou regras estáticas. Em 2023, ambientes corporativos caracterizam-se por infraestruturas híbridas compostas por data centers tradicionais, workloads em nuvem, arquiteturas containerizadas e extensiva instrumentação de telemetria. Nesse contexto, investigamos uma arquitetura híbrida de detecção de ameaças baseada na agregação de telemetria multicamadas e na modelagem de comportamentos adversários por meio de grafos temporais dinâmicos. Propomos uma abordagem que integra fontes heterogêneas de observabilidade — incluindo logs de rede, eventos de endpoint, telemetria eBPF em nível de kernel, registros de auditoria de plataformas cloud e sinais derivados de plataformas CNAPP (Cloud-Native Application Protection Platform) — em um modelo unificado de análise comportamental. A arquitetura proposta constrói grafos temporais $G=(V,E,T)$ nos quais vértices representam entidades computacionais (processos, identidades, workloads, serviços) e arestas representam interações observadas ao longo do tempo. A detecção de anomalias é realizada por meio de métricas estruturais e modelos probabilísticos que capturam padrões de propagação lateral, escalonamento de privilégios e exfiltração de dados. Demonstramos como técnicas de aprendizado de máquina aplicadas a sequências temporais de eventos permitem identificar cadeias de ataque alinhadas com a matriz MITRE ATT&CK, aumentando a visibilidade sobre campanhas de intrusão sofisticadas. A contribuição central consiste em um framework arquitetural capaz de correlacionar telemetria distribuída em escala corporativa, preservando a ordem temporal de eventos e permitindo inferência contextual. Avaliamos a arquitetura por meio de cenários representativos de ataques multietapa, incluindo exploração inicial, persistência e movimentação lateral em ambientes híbridos. Os resultados indicam que a modelagem por grafos temporais reduz significativamente o tempo médio de detecção quando comparada a sistemas SIEM tradicionais baseados apenas em correlação de logs. Além disso, discutimos implicações práticas para integração com ferramentas amplamente utilizadas em 2023, como Zeek, Falco, osquery e plataformas modernas de análise de segurança em nuvem. A análise demonstra que abordagens baseadas em grafos temporais e telemetria multicamadas constituem um caminho promissor para detecção proativa de ameaças avançadas em infraestruturas corporativas complexas.
Read paper →ResearchArquitetura Híbrida para Detecção e Resposta a Ameaças Baseada em Correlação Multinível de Telemetria e Mapeamento MITRE ATT&CK em Ambientes Corporativos
A crescente sofisticação das operações adversárias em ambientes corporativos exige mecanismos de detecção capazes de correlacionar sinais distribuídos provenientes de múltiplas camadas da infraestrutura digital. Sistemas tradicionais de detecção de intrusão frequentemente operam de forma isolada, produzindo alertas fragmentados que dificultam a reconstrução de cadeias completas de ataque. Este trabalho apresenta uma arquitetura híbrida para detecção e resposta a ameaças baseada na correlação multinível de telemetria de rede, endpoint e identidade, combinada com mapeamento sistemático ao framework MITRE ATT&CK. Formalizamos o problema de detecção multiestágio por meio de um modelo de grafos temporais direcionados, no qual eventos de segurança são representados como vértices anotados com táticas e técnicas adversárias, enquanto relações causais são modeladas como arestas temporais ponderadas. O método proposto utiliza coleta distribuída de telemetria por meio de ferramentas amplamente adotadas em operações de segurança — incluindo Suricata, Zeek e Wazuh — seguida por normalização de eventos no Elastic Common Schema e enriquecimento semântico com taxonomias ATT&CK. A correlação de eventos é executada em um mecanismo de grafos implementado sobre Neo4j, enquanto anomalias comportamentais são identificadas por meio de modelos de aprendizado de máquina não supervisionados baseados em Isolation Forest. Avaliamos experimentalmente a arquitetura utilizando um conjunto de dados contendo 3,2 TB de logs derivados de cenários de ataque multiestágio envolvendo campanhas de malware e frameworks de pós-exploração. Os resultados demonstram aumento significativo na taxa de detecção (96,4%) e redução substancial de falsos positivos em comparação com abordagens baseadas exclusivamente em regras ou em modelos de aprendizado isolados. Observamos ainda redução consistente no tempo médio de detecção (MTTD), evidenciando o impacto da correlação temporal estruturada na reconstrução de kill chains adversárias. Os resultados indicam que abordagens híbridas baseadas em grafos e enriquecimento semântico constituem uma direção promissora para operações modernas de Security Operations Centers (SOCs), especialmente em ambientes distribuídos caracterizados por elevada heterogeneidade de telemetria.
Read paper →ResearchArquitetura Híbrida de Detecção e Resposta Baseada em Telemetria Multicamadas e Correlação Orientada ao MITRE ATT&CK para Identificação Precoce de Ameaças Persistentes Avançadas
A expansão acelerada da superfície de ataque corporativa, impulsionada pela adoção de ambientes híbridos, computação em nuvem, contêineres e infraestrutura como código, tem aumentado significativamente a complexidade da detecção de intrusões. Ataques contemporâneos caracterizam-se por cadeias multiestágio que combinam exploração de vulnerabilidades, execução de código legítimo e movimentação lateral furtiva, frequentemente utilizando ferramentas administrativas legítimas. Nesse contexto, sistemas tradicionais de detecção baseados exclusivamente em assinaturas ou modelos isolados de aprendizado de máquina apresentam limitações substanciais diante de técnicas evasivas e ataques fileless. Este trabalho propõe uma arquitetura híbrida de detecção e resposta que integra telemetria multicamadas — rede, endpoint e memória — com correlação semântica baseada no framework MITRE ATT&CK. Formalizamos o problema como a identificação, em um fluxo contínuo de eventos heterogêneos, de subsequências temporais que correspondem a cadeias de ataque modeladas como grafos direcionados rotulados por técnicas ATT&CK. Para isso, introduzimos um modelo de correlação temporal baseado em grafos e um mecanismo de inferência bayesiana incremental destinado à priorização adaptativa de alertas. A arquitetura integra sensores amplamente utilizados em operações de segurança, incluindo Suricata, Sysmon e Elastic Stack, além de mecanismos de orquestração e resposta automatizada. A avaliação experimental foi conduzida em ambiente controlado com 120 máquinas virtuais e cenários de ataque reproduzidos a partir do Atomic Red Team. Os resultados indicam aumento significativo na taxa de detecção de cadeias de ataque multiestágio quando comparado a abordagens SIEM tradicionais baseadas em regras estáticas, além de redução no tempo médio de detecção. Observou-se taxa média de detecção de 91,3%, com diminuição mensurável de falsos positivos e melhoria no tempo médio para identificação de incidentes. Os resultados demonstram que a integração de telemetria heterogênea, modelagem baseada em grafos e correlação semântica orientada a táticas e técnicas adversárias constitui abordagem eficaz para detecção precoce de ameaças persistentes avançadas em ambientes corporativos modernos.
Read paper →ResearchArquitetura Híbrida de Detecção Baseada em Telemetria Multicamadas para Identificação de Ameaças Persistentes Avançadas com Correlação Temporal e Enriquecimento Semântico pelo MITRE ATT&CK
A crescente sofisticação das ameaças cibernéticas transformou o cenário de defesa digital em ambientes corporativos e governamentais. Ataques conduzidos por grupos organizados frequentemente empregam cadeias multietapas que exploram vulnerabilidades iniciais, executam persistência, realizam movimento lateral e exfiltram dados utilizando técnicas discretas ao longo de longos períodos. Sistemas tradicionais de detecção baseados exclusivamente em assinaturas ou em modelos isolados de aprendizado de máquina apresentam limitações estruturais para identificar tais sequências complexas de comportamento. Este trabalho propõe uma arquitetura híbrida de detecção de ameaças baseada na correlação temporal de telemetria proveniente de múltiplas camadas — rede, endpoint e identidade — enriquecida semanticamente com a taxonomia MITRE ATT&CK. O objetivo central consiste em identificar cadeias de ataque multiestágio por meio da construção de grafos temporais direcionados que modelam relações causais entre eventos de segurança. Formalizamos o problema como um processo de inferência probabilística sobre sequências ordenadas de eventos observáveis e introduzimos um mecanismo híbrido que combina regras determinísticas derivadas de técnicas ATT&CK com detecção estatística de anomalias baseada na distância de Mahalanobis. A arquitetura foi implementada utilizando ferramentas amplamente adotadas em operações de segurança, incluindo Suricata para inspeção de tráfego, Sysmon para telemetria de endpoint, Elastic Stack para indexação e consulta de eventos, e regras Sigma para padronização de detecções. Avaliamos experimentalmente a abordagem em um ambiente controlado contendo 135 hosts e múltiplos cenários de ataque inspirados em campanhas documentadas de grupos APT. Os resultados demonstram melhorias significativas em métricas operacionais de detecção, incluindo aumento do F1-score para 0,93, redução da taxa de falsos positivos e diminuição substancial do tempo médio de detecção (Mean Time to Detect – MTTD). Os achados indicam que a correlação temporal estruturada combinada com enriquecimento semântico de telemetria representa uma estratégia eficaz para ampliar a visibilidade operacional em centros de operações de segurança (SOC), especialmente diante de ataques que exploram múltiplas superfícies tecnológicas e identidades digitais.
Read paper →ResearchUma Arquitetura Formal e Escalável para Detecção Proativa de Ameaças Baseada em Correlação Temporal Multi-Camada e Inferência Estatística Robusta
Este artigo propõe uma arquitetura formal e escalável para detecção proativa de ameaças em ambientes corporativos, com foco em correlação temporal multi-camada, inferência estatística robusta e redução de falsos positivos em fluxos intensos de eventos de segurança. Em vez de depender exclusivamente de assinaturas ou de regras estáticas, modelamos o problema como a identificação de cadeias de eventos distribuídos que, embora individualmente plausíveis, tornam-se suspeitas quando observadas em conjunto ao longo do tempo. A formulação adota grafos temporais para representar entidades, interações e dependências causais entre eventos, permitindo inferência probabilística sobre subgrafos candidatos associados a padrões de ataque. A arquitetura é organizada em camadas de normalização, enriquecime
Read paper →ResearchArquitetura Híbrida Baseada em Telemetria Multicamadas e Correlação Temporal para Detecção Proativa de Ameaças Persistentes Avançadas em Ambientes Corporativos
A detecção de Ameaças Persistentes Avançadas (APTs) continua sendo um dos maiores desafios operacionais em segurança cibernética, sobretudo em ambientes corporativos híbridos que combinam infraestrutura on-premises, workloads em nuvem e endpoints distribuídos. Relatórios recentes da Mandiant e da Verizon indicam que o tempo médio de permanência (dwell time) de atacantes sofisticados ainda ultrapassa 16 dias em ambientes maduros e pode superar 200 dias em organizações com baixa visibilidade. Este trabalho propõe uma arquitetura híbrida baseada em telemetria multicamadas e correlação temporal probabilística para detecção proativa de APTs, integrando logs de rede (Suricata), telemetria de endpoint (Sysmon), memória volátil (Volatility), regras comportamentais (Sigma), e assinaturas customizadas (YARA), combinadas por um modelo formal de grafo temporal direcionado ponderado. Nossa metodologia introduz um mecanismo de pontuação de risco baseado em centralidade temporal e encadeamento de TTPs alinhados ao framework MITRE ATT&CK, modelado como um problema de detecção de caminhos críticos em grafos dinâmicos. Avaliamos a proposta em um ambiente experimental contendo 12 cenários reais de ataque (incluindo emulações de APT29, FIN7 e exploração de CVE-2021-44228 – Log4Shell), totalizando 4,3 TB de telemetria coletada ao longo de 60 dias. Os resultados demonstram uma taxa de detecção (TPR) de 94,7% com taxa de falso positivo (FPR) de 3,2%, superando abordagens baseadas exclusivamente em regras (TPR 71,4%) e modelos isolados de machine learning (TPR 88,1%). O tempo médio para detecção foi reduzido de 11,2 dias para 36 horas. A principal contribuição reside na formalização matemática da correlação temporal orientada a TTPs e na validação prática em ambiente operacional realista. Demonstramos que a integração estruturada entre telemetria heterogênea e modelagem temporal aumenta significativamente a capacidade defensiva, oferecendo implicações práticas diretas para SOCs (Security Operations Centers) e equipes de threat hunting.
Read paper →ResearchArquitetura Híbrida Escalável para Detecção e Caça a Ameaças Baseada em Telemetria Multicamadas e Correlação Orientada ao MITRE ATT&CK
A expansão acelerada de ambientes digitais corporativos, impulsionada pela adoção de computação em nuvem, arquiteturas híbridas, microserviços e integrações via APIs, transformou profundamente o cenário de segurança da informação. A superfície de ataque contemporânea tornou-se altamente distribuída e dinâmica, o que dificulta a detecção precoce de intrusões por mecanismos tradicionais baseados exclusivamente em assinaturas. Ataques modernos frequentemente seguem cadeias complexas de táticas, técnicas e procedimentos (TTPs), muitas vezes distribuídas entre múltiplas camadas de infraestrutura, incluindo endpoints, redes, identidades e serviços em nuvem. Nesse contexto, abordagens isoladas de detecção — como SIEMs baseados em regras estáticas ou soluções EDR sem correlação contextual — aprese
Read paper →ResearchArquitetura Híbrida de Detecção e Resposta Baseada em Correlação Multi-Camada e Aprendizado Estatístico para Mitigação de Ameaças Avançadas em Ambientes Corporativos
A sofisticação crescente de campanhas de intrusão direcionadas, incluindo ataques de ransomware operados por humanos, exploração de vulnerabilidades de dia zero e movimentos laterais furtivos, impõe desafios significativos às arquiteturas tradicionais de detecção baseadas exclusivamente em assinaturas ou regras estáticas. Incidentes recentes explorando vulnerabilidades como CVE-2021-44228 (Log4Shell), CVE-2023-34362 (MOVEit Transfer) e técnicas MITRE ATT&CK como T1059 (Command and Scripting Interpreter) e T1021 (Remote Services) demonstram a necessidade de mecanismos adaptativos e multi-camada. Neste trabalho, propomos uma arquitetura híbrida que integra correlação determinística baseada em regras (Sigma, Suricata, YARA), análise comportamental estatística e modelagem formal de cadeias de ataque, com foco operacional em SOCs corporativos. Nossa metodologia combina um modelo matemático de grafo direcionado ponderado para representar eventos de segurança com um mecanismo de pontuação bayesiana incremental para estimar a probabilidade posterior de comprometimento $P(C|E_{1..n})$. Implementamos um protótipo utilizando Elastic Stack, Suricata, Wazuh, Volatility e módulos customizados em Python, avaliando-o em um ambiente controlado com 12 TB de logs reais e datasets públicos (CIC-IDS2017, UNSW-NB15). Os resultados indicam redução de 38,7% na taxa de falsos positivos em comparação com um SIEM tradicional baseado apenas em regras, aumento de 24,3% na taxa de detecção de movimentos laterais e tempo médio de detecção (MTTD) reduzido de 47 minutos para 18 minutos. Demonstramos ainda, por meio de um estudo de caso envolvendo simulação de ataque ransomware com Cobalt Strike e Mimikatz, que a correlação multi-camada permite identificar padrões pré-criptografia com antecedência média de 11 minutos. As contribuições incluem: (i) formalização matemática da correlação adaptativa, (ii) algoritmo incremental de priorização de alertas com análise de complexidade, e (iii) validação empírica com métricas operacionais. O trabalho oferece implicações práticas diretas para equipes de Blue Team e arquitetura de SOCs de próxima geração.
Read paper →ResearchUma Arquitetura Formalmente Verificável para Detecção e Mitigação Adaptativa de Ameaças Baseadas em Living-off-the-Land em Ambientes Corporativos Híbridos
A crescente adoção de arquiteturas híbridas e multinuvem, aliada à consolidação de modelos Zero Trust e à integração de cargas de trabalho tradicionais com sistemas baseados em inteligência artificial, ampliou substancialmente a superfície de ataque organizacional até 2025. Nesse contexto, técnicas de Living-off-the-Land (LotL) tornaram-se predominantes, explorando binários legítimos e interfaces administrativas nativas para evasão de mecanismos tradicionais de detecção. Propomos uma arquitetura formalmente fundamentada para detecção e mitigação adaptativa de ameaças LotL, combinando grafos temporais de proveniência, divergência de Kullback–Leibler com limiar adaptativo e modelagem de jogos probabilísticos entre detector e adversário polinomialmente limitado. Formalizamos o problema como um experimento de evasão $\mathsf{LotL\text{-}Evasion}(n)$, definindo segurança em termos de probabilidade negligenciável de evasão sob desvio estatístico mínimo mensurável. Demonstramos um limite superior exponencial para a probabilidade de evasão em função da divergência total de variação e do tamanho da janela de observação, utilizando desigualdades de Hoeffding e Pinsker. A arquitetura proposta integra coleta de telemetria via eBPF, ETW e auditd, processamento em fluxo com Apache Flink, normalização segundo Elastic Common Schema e integração a plataformas CNAPP e SOAR, preservando alinhamento com NIST SP 800-207 e práticas contemporâneas de governança de IA. Avaliações experimentais com bootstrap e teste de Wilcoxon indicam redução estatisticamente significativa de falsos positivos relativos e melhoria no tempo médio de detecção em cenários multiestágio. Discutimos ainda implicações relacionadas a concept drift, integridade de telemetria e ataques assistidos por modelos de linguagem, bem como extensões envolvendo cadeias de Markov ocultas, aprendizado federado com privacidade diferencial e verificação probabilística com PRISM. Concluímos que a integração de modelagem causal e teoria da informação permite estabelecer garantias formais e evidência empírica robusta para mitigação adaptativa de ameaças LotL em ambientes corporativos contemporâneos.
Read paper →ResearchARCUS: Arquitetura Resiliente e Contextualmente Unificada para Detecção e Contenção Adaptativa de Ameaças em Ambientes Multinuvem
A consolidação de arquiteturas multinuvem, microsserviços orquestrados por Kubernetes, pipelines DevSecOps e infraestruturas definidas por código redefiniu o espaço de ameaças contemporâneo. Em 2025, organizações operam simultaneamente em provedores como AWS, Azure e Google Cloud, integrando serviços gerenciados, APIs públicas, funções serverless e cargas de trabalho com aceleração por GPU para modelos de inteligência artificial, incluindo LLMs. Essa heterogeneidade amplia a superfície de ataque, favorecendo compromissos baseados em credenciais válidas, ataques à cadeia de suprimentos de software e exploração de vulnerabilidades em componentes amplamente distribuídos. Propomos a arquitetura ARCUS (Arquitetura Resiliente e Contextualmente Unificada de Segurança), que integra modelagem formal, aprendizado profundo em grafos temporais probabilísticos e orquestração de respostas com garantias verificáveis. Modelamos o ambiente multinuvem como um grafo temporal probabilístico, no qual eventos são representados por tuplas enriquecidas com atributos contextuais e probabilísticos. A detecção é formulada como problema de inferência bayesiana sobre subgrafos temporais, implementada por Graph Attention Networks com incorporação de sinais contextuais e embeddings dinâmicos. A contenção é tratada como um problema de programação inteira mista (MILP), sujeito a restrições formais derivadas de políticas de segurança e invariantes operacionais, assegurando correção parcial e limites de latência. Avaliamos empiricamente a proposta em bases públicas amplamente reconhecidas e em cenários sintéticos multinuvem, comparando-a com abordagens tradicionais baseadas em assinaturas e modelos sequenciais. Os resultados demonstram ganhos estatisticamente significativos em AUC-ROC, F1-score e redução de latência de detecção, mantendo taxas de falso positivo controladas. Discutimos ainda implicações para ambientes com cargas de IA generativa, integração com CNAPP e uso de eBPF para telemetria de baixo nível. Concluímos que a combinação de modelagem formal, aprendizado em grafos e otimização verificável constitui uma abordagem promissora para segurança adaptativa em ecossistemas multinuvem contemporâneos.
Read paper →ResearchDETECÇÃO PROBABILÍSTICA E CORRELAÇÃO TEMPORAL DE MOVIMENTAÇÃO LATERAL BASEADA EM GRAFOS DINÂMICOS EM AMBIENTES CORPORATIVOS HÍBRIDOS
A consolidação de ambientes corporativos híbridos — integrando Active Directory on-premises, Microsoft Entra ID, múltiplas nuvens públicas, workloads conteinerizados e aplicações SaaS — ampliou significativamente a superfície de ataque e a complexidade estrutural das dependências de identidade e rede. Nesse contexto, a movimentação lateral permanece etapa crítica em cadeias de ataque contemporâneas, especialmente em cenários de ransomware, espionagem e comprometimento de contas válidas. Propomos um modelo formal de detecção probabilística baseado em grafos dinâmicos temporais com inferência Bayesiana incremental, projetado para capturar padrões multi-hop de autenticação e acesso remoto em fluxos heterogêneos de telemetria. Formalizamos o grafo temporal como família indexada $\{G_t\}_{t \in T}$ e modelamos a probabilidade de legitimidade de caminhos como produto de probabilidades condicionais parametrizadas por atualização exponencial adaptativa. Demonstramos propriedades de completude sob poda monotônica com limiar $\tau$, analisamos a complexidade assintótica do algoritmo de enumeração limitada em profundidade e discutimos o impacto do problema da taxa-base na calibração de falsos positivos. Integramos o modelo a arquiteturas modernas de processamento em fluxo (Kafka e Flink) e persistência orientada a grafos, com interoperabilidade via Sigma e mapeamento MITRE ATT&CK. Avaliamos experimentalmente a abordagem com validação temporal estrita, comparando-a a regras estáticas e métodos não supervisionados como Isolation Forest, observando redução consistente de falsos positivos sob restrições operacionais realistas. Discutimos limitações relacionadas à hipótese de independência condicional, à integridade da telemetria e à adaptatividade adversarial, bem como implicações para segurança em ambientes com CNAPP, eBPF e detecção de abuso de identidades federadas. Concluímos que a modelagem probabilística estrutural oferece compromisso favorável entre interpretabilidade, rigor formal e viabilidade operacional, constituindo base sólida para extensões futuras envolvendo Graph Neural Networks temporais e avaliação adversarial formal.
Read paper →ResearchARCUS: Arquitetura Resiliente com Correlação Unificada e Semântica para Detecção Adaptativa de Ameaças Avançadas em Ambientes Híbridos
A expansão acelerada de arquiteturas híbridas e multi-cloud, combinada à adoção de práticas DevSecOps, cargas de trabalho efêmeras e integração de componentes baseados em inteligência artificial, ampliou significativamente a superfície de ataque organizacional até 2025. Relatórios recentes indicam que violações continuam explorando vulnerabilidades conhecidas, engenharia social e cadeias de suprimento, enquanto novas ameaças emergem em torno de modelos de linguagem de grande escala (LLMs), APIs expostas e identidades federadas. Nesse contexto, mecanismos tradicionais de SIEM, baseados predominantemente em correlação sintática e regras estáticas, mostram limitações estruturais na captura de dependências temporais e semânticas distribuídas. Propomos ARCUS, uma arquitetura formalmente fundamentada que integra ontologia semântica alinhada ao MITRE ATT&CK e ao NIST SP 800-61, grafos temporais dinâmicos e inferência híbrida combinando Graph Neural Networks (GNNs) e detecção estatística incremental. Formalizamos eventos como tuplas estruturadas e modelamos a evolução do sistema por meio de um grafo temporal $G_t$, preservando propriedades de atualização incremental com complexidade amortizada constante sob hipóteses realistas de indexação. Definimos o problema de detecção como decisão bayesiana sob limiar $\tau$, com função de perda composta que equilibra classificação supervisionada e pontuação de anomalia. Avaliamos ARCUS em dados reais anonimizados, DARPA Transparent Computing e Atomic Red Team, alcançando precisão média de 96,9%, recall de 97,8% e redução de 43% na taxa de falsos positivos em comparação a um baseline SIEM industrial, além de diminuição de 79% no tempo médio de detecção. Discutimos propriedades probabilísticas desejáveis, escalabilidade operacional (3,2 bilhões de eventos/dia) e integração com CNAPP e SOAR. Concluímos que a correlação semântica orientada a grafos, combinada com inferência incremental, oferece base rigorosa e operacionalmente viável para detecção adaptativa de ameaças avançadas em ambientes híbridos contemporâneos.
Read paper →ResearchArquitetura Adaptativa para Detecção Proativa de Ameaças Persistentes Avançadas Baseada em Correlação Temporal Multi-Camada e Inferência Estatística Robusta
A crescente complexidade das infraestruturas digitais em 2025 — caracterizadas por arquiteturas híbridas, ambientes multinuvem, microsserviços, computação orientada a eventos, workloads em contêineres, e integração de modelos de aprendizado de máquina e LLMs — ampliou substancialmente a superfície de ataque corporativa. Ameaças Persistentes Avançadas (APTs) exploram cadeias multiestágio que atravessam camadas de rede, host, aplicação e identidade, frequentemente combinando exploração de vulnerabilidades conhecidas, abuso de credenciais válidas e manipulação parcial de registros. Sistemas tradicionais de detecção, baseados em assinaturas ou classificadores supervisionados isolados, mostram limitações na captura de dependências temporais complexas e na robustez frente a contaminação adversarial. Neste trabalho, propomos uma arquitetura adaptativa fundamentada em correlação temporal multi-camada modelada por grafos dinâmicos ponderados por M-estimadores robustos, combinada com inferência bayesiana dinâmica estruturada por conhecimento prévio do framework MITRE ATT&CK. Formalizamos o problema sob um modelo de contaminação $\epsilon$-adversarial e demonstramos condições de consistência estatística dos estimadores empregados. Implementamos a arquitetura em ambiente distribuído com ingestão em larga escala, integração a telemetria baseada em eBPF e orquestração em contêineres, atingindo processamento sustentado de 95.000 eventos por segundo com latência média inferior a 500 ms. Avaliamos o método em datasets públicos (CIC-IDS2017, UNSW-NB15), no dataset CIC-IDS2018 e em conjunto corporativo com 4,2 bilhões de eventos. Os resultados indicam aumento significativo de TPR (96,4%) e redução de FPR (2,1%) em comparação com Random Forest, LSTM e Isolation Forest, com robustez superior sob contaminação $\epsilon=0{,}15$. Demonstramos ainda redução do tempo médio de detecção (MTTD) e maior interpretabilidade operacional. Concluímos que a integração formal entre estatística robusta, modelagem gráfica temporal e conhecimento estruturado de táticas adversariais constitui abordagem promissora para detecção proativa de APTs em ambientes corporativos contemporâneos.
Read paper →