Resumo Técnico: Cyber Persistence Detector (CPD)

Declaração do Problema

Atacantes de Ameaças Persistentes Avançadas (APT) dependem cada vez mais de técnicas de persistência cibernética para manter acesso de longo prazo aos sistemas das vítimas, frequentemente evadindo detecção ao empregar estratégias "lentas e discretas" que fragmentam as fases do ataque ao longo do tempo. Embora existam Sistemas de Detecção de Intrusão Baseados em Proveniência (PIDS) e sistemas de detecção baseados em regras (por exemplo, Elastic, Sigma), eles enfrentam limitações significativas na detecção dessas ameaças:

• Sistemas baseados em regras frequentemente disparam altas taxas de falsos positivos (FPs) ao sinalizar funcionalidades benignas do sistema (por exemplo, chaves de execução do Registro) sem avaliar o contexto mais amplo ou a execução maliciosa subsequente. Por outro lado, regras excessivamente relaxadas para reduzir FPs levam a altos falsos negativos (FNs).
• PIDS existentes (baseados em aprendizado e baseados em heurística) lutam para conectar fases de ataque desconexas. Eles frequentemente falham em vincular a "configuração de persistência" inicial (por exemplo, criação de uma tarefa agendada) com a subsequente "execução de persistência" (por exemplo, uma conexão remota iniciada por essa tarefa), especialmente quando esses eventos são separados por reinicializações do sistema ou atrasos temporais. Isso resulta em grafos de ataque fragmentados e de baixa gravidade, que são frequentemente despriorizados ou totalmente ignorados.
• Lacunas de Dados: Estruturas de registro padrão frequentemente ignoram eventos de comunicação entre processos (IPC) (por exemplo, Windows ALPC), criando lacunas nos grafos de proveniência que impedem a vinculação das ações iniciais do atacante aos processos do sistema que eles manipulam.

Metodologia

Os autores propõem o Cyber Persistence Detector (CPD), um sistema projetado para detectar ameaças de persistência relacionando causalmente as fases de "configuração de persistência" e "execução de persistência". O CPD opera com a percepção de que ataques de persistência eficazes consistem em duas fases distintas, mas vinculadas: uma fase de configuração que modifica o estado do sistema e uma fase de execução que utiliza esse estado para estabelecer acesso remoto.

O sistema emprega um pipeline de quatro etapas:

1. Detecção de Configuração de Persistência: O CPD processa logs de auditoria do sistema para identificar atividades que correspondem a regras de detecção específicas derivadas do MITRE ATT&CK (por exemplo, modificações em chaves de execução do Registro, tarefas agendadas ou configurações de serviço). Esses eventos são registrados em uma Tabela de Configuração de Persistência.
2. Detecção de Execução de Persistência: O sistema identifica processos que iniciam ou aceitam conexões remotas. Ele realiza rastreamento reverso nesses processos para gerar subgrafos e verifica-os contra Regras de Detecção de Execução de Persistência (por exemplo, processos específicos do sistema como explorer.exe ou services.exe lendo as chaves modificadas). Correspondências são registradas em uma Tabela de Execução de Persistência.
3. Criação de Aresta de Dependência Pseudo (Pseudo-aresta): O CPD alinha entradas das tabelas de Configuração e Execução com base em rótulos TTP (Táticas, Técnicas e Procedimentos), ordem temporal e atributos específicos. Quando um alinhamento é encontrado, ele cria uma pseudo-aresta para vincular causalmente os grafos atômicos desconexos de configuração e execução. Isso cria um grafo de ataque abrangente e conciso que abrange possíveis limites de reinicialização.
4. Redução de Falsos Positivos e Triagem de Alertas: Para abordar o alto volume de atividades benignas que imitam persistência (por exemplo, serviços de atualização legítimos), o CPD introduz um Algoritmo de Redução de Falsos Positivos. Este algoritmo calcula uma pontuação de anomalia/ameaça para cada pseudo-aresta com base em:
   • Indicadores baseados em Causalidade: Grau de indireção nas cadeias de processos, presença de táticas de acesso a credenciais e a execução de múltiplas técnicas de persistência em conjunto.
   • Indicadores baseados em Correlação: Fatores contextuais, como a legitimidade da conta de domínio do computador de acesso, criação de conta local após movimento lateral e o uso de ferramentas de acesso remoto.
   • Pontuação: O algoritmo atribui pesos aos indicadores e classifica as pseudo-arestas. Apenas aquelas que excedem um limiar específico de pontuação de ameaça (ou dentro do "orçamento de alertas" de um analista) são sinalizadas como verdadeiros positivos.

Inovações Técnicas Principais

• Pseudo-arestas: Essas arestas virtuais preenchem as lacunas temporais e lógicas entre as fases de configuração e execução, permitindo a reconstrução de narrativas de ataque completas, mesmo quando os eventos são separados por reinicializações ou tempo.
• Arestas Guiadas por Especialistas: Para mitigar a necessidade de volumes massivos de logs de IPC (como Windows ALPC), que frequentemente estão ausentes ou são grandes demais para armazenar, o CPD utiliza conhecimento especializado de políticas do SO (por exemplo, vincular sc.exe a services.exe com base no nome do serviço e no tempo) para inferir dependências ausentes. Isso reduz os requisitos de armazenamento de logs em uma média de 37%.
• Triagem Contextual: Diferentemente de sistemas que dependem exclusivamente de assinaturas estáticas, o CPD avalia as consequências do uso da funcionalidade do sistema, distinguindo entre uso benigno e exploração maliciosa ao analisar o contexto mais amplo da cadeia de morte.

Contribuições Principais

1. Sistema de Detecção Inovador: Introdução do CPD, o primeiro sistema de detecção especificamente direcionado a ameaças de persistência usando análises de proveniência para vincular fases de configuração e execução.
2. Arestas de Dependência Pseudo: Um mecanismo para relacionar causalmente fases de persistência desconexas, melhorando a detecção de ataques furtivos e multietapa.
3. Arestas Guiadas por Especialistas: Uma técnica para refinar grafos de proveniência e reduzir o volume de logs inferindo links de IPC ausentes com base em políticas do SO, evitando a necessidade de registro exaustivo.
4. Algoritmo de Triagem de Alertas: Um algoritmo inovador que reduz falsos positivos analisando a proximidade de técnicas e táticas relacionadas da cadeia de morte dentro do grafo de proveniência.
5. Avaliação Abrangente: Implementação e teste em conjuntos de dados diversos, incluindo conjuntos de dados públicos (DARPA E5, OpTC) e conjuntos de dados derivados de planos de emulação estritos do MITRE ATT&CK (APT29, Sandworm).

Resultados

Avaliações conduzidas em conjuntos de dados públicos e emulados pelo MITRE demonstram o seguinte:

• Redução de Falsos Positivos: O CPD reduz a taxa média de falsos positivos em 93% em comparação com regras de SIEM de código aberto de última geração (Elastic, Sigma, Chronicle) e sistemas EDR comerciais (VMware CBC).
• Precisão: O sistema detecta com sucesso ataques de persistência reais que outros sistemas perdem, particularmente aqueles envolvendo fases fragmentadas ou persistência baseada em reinicialização.
• Redução de Logs: O uso de arestas guiadas por especialistas reduz os requisitos de armazenamento de logs em uma média de 37% (até 53% em cenários específicos) ao eliminar a necessidade de registro completo de ALPC.
• Desempenho: O CPD alcança um tempo de resposta inferior a um minuto para todo o seu pipeline. Em comparações com PIDS baseados em aprendizado (KAIROS, FLASH), o CPD é significativamente mais rápido (315 vezes mais rápido que o KAIROS, 156 vezes mais rápido que o FLASH) e consome menos memória (4 vezes menos), mantendo ao mesmo tempo maior precisão na detecção de persistência.
• Qualidade do Grafo: O sistema gera grafos de ataque concisos e explicáveis que distinguem claramente entre configuração e execução, auxiliando analistas de segurança na resposta rápida a incidentes.

Significado e Alegações

O artigo afirma que o CPD aborda uma lacuna crítica na defesa contra APTs ao deslocar o foco da detecção isolada de mau uso da funcionalidade do sistema para a relação causal entre configuração e execução. Os autores afirmam que:

• A persistência é frequentemente mal compreendida na pesquisa acadêmica e em sistemas de detecção, que falham em reconhecer a natureza de duas fases desses ataques.
• Ao evitar suposições otimistas sobre o comportamento de persistência e a necessidade de dados de treinamento, o CPD oferece uma solução confiável, explicável e transferível.
• O sistema satisfaz cinco propriedades-chave para detecção eficaz de ameaças: confiabilidade, explicabilidade, profundidade analítica, contextualidade e transferibilidade.
• O CPD é projetado para ser prático em ambientes empresariais, capaz de reduzir a fadiga de alertas enquanto garante que ameaças genuínas de persistência sejam priorizadas para investigação.

Os autores enfatizam que, embora o sistema dependa da estrutura MITRE ATT&CK, seus princípios subjacentes (segmentação em configuração/execução e vinculação causal) são generalizáveis, tornando-o adaptável a ameaças emergentes sem exigir retreinamento frequente e complexo.