Resumo Técnico: Sistema de Controle de Acesso Baseado em Risco para Combater Ransomware

1. O Problema

O crescimento das ameaças de ransomware exige mecanismos de controle de acesso robustos e adaptáveis capazes de identificar e bloquear atividades de criptografia não autorizadas em tempo real.

• Limitações das Abordagens Atuais: Modelos tradicionais de controle de acesso (DAC/MAC estático) carecem de adaptabilidade probabilística. Soluções baseadas em sandboxing, introspecção de hipervisor ou telemetria de chamadas de sistema (syscalls) possuem desvantagens significativas:
  • Sandboxing/VMI: Alto custo de virtualização e latência.
  • eBPF/Syscalls: Embora eficientes, muitas vezes fornecem granularidade insuficiente para distinguir comportamentos complexos de criptografia sem gerar falsos positivos ou exigir integração profunda no kernel.
  • Falta de Aplicação: A maioria das soluções foca apenas na detecção, sem uma integração nativa e auditable com o mecanismo de aplicação de políticas do sistema operacional (como o SELinux) para bloqueio imediato.

O objetivo deste trabalho é preencher essa lacuna criando um sistema que detecte criptografia maliciosa com base em padrões comportamentais de baixo nível e aplique bloqueios imediatos através de políticas de controle de acesso obrigatório (MAC), minimizando a interrupção de operações legítimas.

2. Metodologia

A proposta apresenta uma arquitetura de Controle de Acesso Baseado em Risco (Risk-Based Access Control - RiskBAC) de duas camadas, integrada ao kernel Linux via ftrace e ao SELinux.

A. Coleta de Dados e Rastreamento (ftrace)

Diferente de abordagens que usam apenas chamadas de sistema, o sistema utiliza o function graph tracer do ftrace do Linux.

• Granularidade: Captura a execução de funções do kernel, incluindo hierarquias de chamadas e dependências, fornecendo uma visão muito mais detalhada do comportamento do processo.
• Atributos Coletados:
  • Rastreamento de funções do kernel (trilhas de execução).
  • Contadores de recursos (uso de CPU, memória RSS/VMS).
  • Contadores de I/O (leitura/escrita, bytes).
• Construção do Dataset: Um conjunto de dados especializado foi criado executando utilitários benignos, ferramentas criptográficas legítimas (OpenSSL, GnuPG) e amostras de ransomware em ambientes controlados. O dataset foi processado para extrair features (características) baseadas em grafos (ex: betweenness centrality, clustering coefficient) e frequências de chamadas de função.

B. Arquitetura de Detecção (Duas Camadas)

O sistema emprega dois detectores que consomem o mesmo vetor de 36 features selecionadas:

1. Camada de Regras ($E_{RULE}$): Um conjunto de regras extraído de uma árvore de decisão (surrogata de um modelo de Random Forest). É projetado para ser interpretável, rápido e auditable.
2. Camada de Modelo ($E_{ML}$): Um classificador baseado em XGBoost treinado para maximizar a utilidade do defensor (priorizando a detecção de falsos negativos, ou seja, não deixar o ransomware passar).

C. Integração com SELinux e Política de Risco

A inovação central é o acoplamento da inferência de ML com o SELinux (Mandatory Access Control).

• Mecanismo: O sistema calcula um risco $R = P_{enc}(x) \cdot I(ctx)$, onde $P_{enc}$ é a probabilidade de criptografia e $I$ é o impacto do contexto (usuário, aplicativo, caminho, tipo de arquivo).
• Aplicação: Dois booleans do SELinux (rule_block e ml_block) atuam como pontos de estrangulamento (choke points).
  • Se o detector identificar risco, os daemons em espaço de usuário alteram esses booleans.
  • A política SELinux, escrita em CIL (Common Intermediate Language), nega automaticamente permissões de escrita/anexação para processos no domínio encryption_t que não estejam em listas brancas estritas (ex: user1 + openssl + $HOME/**).
• Whitelisting: Permite que ferramentas criptográficas legítimas funcionem apenas em contextos específicos (usuário, caminho e tipo de arquivo), bloqueando qualquer tentativa de desvio (ex: OpenSSL tentando criptografar um arquivo em /srv/shared).

3. Principais Contribuições

1. Rastreamento em Nível de Função para Segurança: Primeira obra a sistematicamente traduzir rastreamento de funções do kernel (via function graph tracer) em decisões de controle de acesso informadas por ML.
2. Arquitetura de Dupla Camada: Combina a velocidade e interpretabilidade de regras extraídas com a precisão e generalização de modelos de ensemble (XGBoost), permitindo bloqueio precoce sem sacrificar a cobertura.
3. Integração Nativa com SELinux: Implementa um módulo CIL auditável que permite a revogação dinâmica de permissões de escrita em tempo real, baseada em risco probabilístico, sem depender de soluções externas de sandbox.
4. Seleção de Features e Análise de "Elbow": Desenvolvimento de pipelines para selecionar as 36 características mais relevantes de um conjunto inicial de 113, equilibrando custo computacional e qualidade de detecção.
5. Dataset Especializado: Criação de um dataset rico em grafos de chamadas de função e métricas de recursos, superando a granularidade de datasets baseados apenas em syscalls.

4. Resultados Experimentais

Os testes foram realizados em uma estação de trabalho Linux (Kernel 6.14) comparando o protótipo com bases de referência (eBPF e Sandbox/Cuckoo).

• Eficácia de Detecção:
  • O sistema alcançou um Macro-F1 de 0,98 na configuração de duas camadas (OR lógico).
  • O modelo XGBoost isolado atingiu F1 de 0,97, enquanto a camada de regras atingiu 0,95.
  • Detecção bem-sucedida de ransomwares reais de "dia zero" (não presentes no conjunto de treinamento).
• Latência e Bloqueio Precoce:
  • Latência de Decisão: A camada de regras bloqueou em média 16 ms (mínimo de 11 ms), enquanto o modelo levou cerca de 28 ms.
  • Dados Bloqueados: O sistema bloqueou a criptografia após escrever apenas 10-20 KB de dados, prevenindo a perda massiva de arquivos.
• Custo Operacional (Overhead):
  • O protótipo atual (baseado em espaço de usuário) apresenta um custo de CPU e memória significativo (picos de CPU a 100% e ~32-35 GiB de RAM) devido à análise de grafos em espaço de usuário.
  • Conclusão: O overhead é considerado um limite superior de engenharia atual; a arquitetura em si é viável, mas a migração para módulos do kernel (C/C++ ou eBPF) é necessária para implantação empresarial, o que reduziria drasticamente o custo.
• Comparação com Baselines:
  • Superou a abordagem de Sandbox (Cuckoo) em latência e custo de infraestrutura.
  • Oferece maior granularidade e contexto (grafos de chamadas) em comparação com abordagens puras de eBPF/syscall, embora o eBPF seja mais rápido em nível de evento individual.

5. Significado e Conclusão

O trabalho demonstra que é possível construir um sistema de defesa contra ransomware que é explicável (via regras extraídas), adaptável (via ML) e aplicável nativamente (via SELinux).

• Mudança de Paradigma: Move a detecção de uma abordagem reativa (após a criptografia ou em sandbox) para uma abordagem proativa e baseada em risco, integrando a inteligência de ameaças diretamente no ponto de decisão de acesso do sistema operacional.
• Viabilidade: Embora o protótipo atual tenha um custo de recursos elevado devido à implementação em espaço de usuário, a arquitetura valida o conceito de que o rastreamento de funções do kernel, combinado com políticas MAC dinâmicas, oferece um caminho prático para a proteção de sistemas Linux de produção.
• Futuro: O próximo passo crítico é a otimização do coletor e do detector para o espaço do kernel (kernel-space), eliminando a sobrecarga de troca de contexto e tornando a solução viável para ambientes corporativos de alta escala.

Em resumo, o paper propõe uma solução híbrida robusta que une a precisão da aprendizagem de máquina com a segurança garantida do controle de acesso obrigatório, oferecendo uma defesa eficaz contra a capacidade central do ransomware: a criptografia não autorizada.