🤖 machine learning

Reliable Hierarchical Operating System Fingerprinting via Conformal Prediction

Este artigo introduz e avalia duas estratégias de Predição Conforme estruturadas, CP baseada em Níveis e CP baseada em Projeção, para abordar as limitações da classificação plana em fingerprinting de SO, demonstrando um compromisso fundamental entre os conjuntos de predição mais restritos e amigáveis ao ser humano do primeiro e os conjuntos estruturalmente consistentes e prontos para políticas do segundo.

Autores originais: Rubén Pérez-Jove, Osvaldo Simeone, Alejandro Pazos, Jose Vázquez-Naya

Publicado 2026-07-16

📖 6 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Rubén Pérez-Jove, Osvaldo Simeone, Alejandro Pazos, Jose Vázquez-Naya

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você é um detetive digital tentando descobrir que tipo de computador está falando com você na internet. É um laptop Windows, um celular Android ou um servidor Linux? Este trabalho de detetive é chamado de "fingerprinting de SO" (identificação de sistema operacional). Normalmente, os detetives procuram por nuances minúsculas e únicas na forma como esses computadores enviam mensagens — como a maneira específica como iniciam um aperto de mão (handshake) ou o tamanho de seus pacotes de dados. Mas há um problema: a internet é um lugar caótico. Às vezes, as pistas são embaçadas e um detetive padrão pode gritar com confiança: "É definitivamente um Android!", quando na verdade é um iPhone. Em segurança de alto risco, esse erro confiante pode ser desastroso.

Para resolver isso, cientistas usam uma ferramenta matemática chamada "Predição Conformal". Pense nisso não como uma bola de cristal que dá uma única resposta, mas como uma rede de segurança. Em vez de dizer "É X", ela diz: "É quase certamente um destes três: X, Y ou Z". Isso oferece uma garantia: se você configurar sua rede de segurança para capturar 95% dos casos, ela realmente capturará 95% das vezes, não importa o quão estranhos os dados fiquem. Mas há um detalhe: os sistemas operacionais não são apenas uma lista plana de nomes; eles são uma árvore genealógica. O Windows é o avô, o Windows 10 é o pai e o Windows 10 22H2 é o filho. Se sua rede de segurança disser "É um Mac", mas também "É Windows 10", isso é uma bagunça lógica. Este artigo explora como construir uma rede de segurança que respeite a árvore genealógica, garantindo que, se você adivinhar um filho, também adivinhe o pai correto.

O Problema da Árvore Genealógica

No mundo da segurança de rede, identificar um Sistema Operacional (SO) é como tentar identificar uma pessoa em uma multidão apenas pelo som de seus passos. Você pode ouvir uma bota pesada (Windows), um tênis leve (Linux) ou uma marca específica de calçado de corrida (Android). Tradicionalmente, os sistemas de segurança agem como um detetive de visão única que aponta para uma pessoa e diz: "Aquele é o suspeito!". Mas se o detetive estiver errado, todo o plano de segurança falha.

Os autores deste artigo perceberam que os SOs possuem uma hierarquia natural, como uma árvore genealógica. No topo, você tem famílias amplas como "Windows" ou "Linux". Abaixo disso, estão as versões principais como "Windows 10" ou "Ubuntu 20.04". No nível mais baixo, estão as versões menores específicas, como "Windows 10 22H2". O problema é que os métodos padrão de "rede de segurança" (Predição Conformal) geralmente tratam cada SO como um item separado e não relacionado em uma lista. Se você pedir que eles adivinhem, eles podem fornecer uma lista que inclui "Windows 10" e "Android 11", mas esquece de incluir a família "Windows", ou pior, podem dizer que "Android" é a família, mas "Windows 10" é a versão específica. Isso é como dizer: "Este animal é um cachorro, mas também é um gato". Não faz sentido.

Duas Maneiras de Construir a Rede de Segurança

Os pesquisadores testaram duas estratégias diferentes para corrigir essa bagunça lógica, usando um conjunto de dados de mais de 100.000 registros de tráfego de rede reais de uma universidade. Eles queriam ver qual método poderia fornecer uma lista de possibilidades segura e lógica sem ser muito vaga.

Estratégia 1: Os Adivinhos Independentes (CP por Nível/Level-wise CP)
Imagine que você tem três detetives diferentes trabalhando no mesmo caso. Um detetive olha apenas para o nome da família, outro apenas para a versão principal e um terceiro apenas para a versão menor. Eles não conversam entre si.

Como funciona: Cada detetive constrói sua própria rede de segurança de forma independente.
O Resultado: Este método é muito aguçado. Ele fornece listas muito pequenas e específicas. Se o detetive da família tiver certeza de que é "Windows", a lista é minúscula.
A Falha: Como eles não conversam, às vezes eles se contradizem. O detetive da família pode dizer "É Linux", enquanto o detetive da versão menor diz "É Windows 10". Isso cria uma "Taxa de Inconsistência Hierárquica" (HIR) de cerca de 30% a 40% em seus testes. É eficiente, mas é logicamente quebrado.

Estratégia 2: O Projetor Ascendente (CP Baseado em Projeção/Projection-based CP)
Agora, imagine que você tem apenas um detetive que olha para o detalhe mais ínfimo (a versão menor) e então sobe pela árvore genealógica.

Como funciona: O detetive encontra a folha específica (ex: "Windows 10 22H2") e então diz: "Ok, se for este, também deve ser 'Windows 10' e 'Windows'". Ele projeta a resposta para cima para preencher as lacunas.
O Resultado: Este método é perfeitamente lógico. A "Taxa de Inconsistência Hierárquica" é exatamente zero. Você nunca terá uma família "Windows" com um filho "Android".
A Falha: É um pouco mais cauteloso. Como ele tem que incluir todos os pais possíveis de um palpite específico, as listas nos níveis superiores (nível de família) ficam maiores. Se o detetive estiver incerto sobre a versão específica, toda a árvore genealógica é incluída na rede de segurança, tornando a lista menos precisa nos níveis superiores.

O Grande Trade-off

A principal descoberta do artigo é um trade-off fundamental entre ser eficiente (listas pequenas e precisas) e ser consistente (listas logicamente perfeitas).

Se você precisar que um humano leia os resultados: Os "Adivinhos Independentes" (CP por Nível) são melhores. Um analista humano pode olhar para uma lista que diz "Família: Windows, Versão: Android 11" e perceber: "Ah, a máquina está confusa sobre a versão, mas é definitivamente Windows". Eles podem usar o cérebro para corrigir o erro.
Se você precisar que um computador tome uma decisão: O "Projetor Ascendente" (CP Baseado em Projeção) é o vencedor. Sistemas automatizados não conseguem lidar com contradições. Se um computador for instruído a "Bloquear Android", mas a lista disser "Família: Windows", o computador trava. O método de Projeção garante que a lista sempre faça sentido, mesmo que a lista seja um pouco mais longa.

O Que Eles Descobriram

Os pesquisadores realizaram seus testes 50 vezes para ter certeza. Eles descobriram que ambos os métodos conseguiram capturar a resposta correta pelo menos 95% das vezes (quando configurados para esse alvo), provando que as redes de segurança funcionam. No entanto, o método "Independente" produziu listas cerca de 10-20% menores no nível da família, mas eram logicamente bagunçadas. O método de "Projeção" produziu listas perfeitamente lógicas, mas as listas de nível de família eram ligeiramente maiores porque tinham que considerar todas as possibilidades.

No fim, o artigo sugere que não existe um único método "melhor". Depende de quem está usando a resposta. Se um humano estiver fazendo o trabalho forense, o método preciso, porém bagunçado, é aceitável. Mas se um robô estiver bloqueando o acesso a uma rede, ele precisa da lista perfeitamente lógica e ligeiramente maior para evitar cometer um erro bobo. Os autores disponibilizaram seu código e dados para que outros possam testar esses métodos em suas próprias redes, ajudando a tornar a internet um lugar mais seguro, onde sabemos exatamente com o que estamos lidando.

Resumo Técnico: Identificação Hierárquica Confiável de Sistemas Operacionais via Predição Conformal

Definição do Problema
A identificação de Sistemas Operacionais (SO) é um componente crítico de segurança de rede, gestão de ativos e resposta a incidentes. No entanto, os métodos convencionais de identificação baseiam-se tipicamente em predições pontuais (gerando um único rótulo de SO), que são frágeis sob condições de severo desequilíbrio de classes e da natureza de conjunto aberto (open-set) do tráfego de rede. Em ambientes de alto risco, como a aplicação de políticas de Bring-Your-Own-Device (BYOD), uma predição confiante, porém incorreta, pode levar a brechas de segurança. Além disso, as abordagens padrão tratam a identificação de SO como um problema de classificação plana, ignorando a hierarquia taxonômica inerente aos sistemas operacionais (ex: Família $\to$ Versão Principal $\to$ Versão Secundária). Essa simplificação falha em distinguir entre a severidade operacional de confundir duas versões da mesma família de SO versus classificar incorretamente a própria família. Adicionalmente, os métodos existentes carecem de mecanismos formais de quantificação de incerteza.

Metodologia
Os autores propõem enquadrar a identificação de SO como um problema de classificação hierárquica e aplicar a Predição Conformal (CP) para gerar conjuntos de predição com cobertura marginal garantida. O estudo utiliza um conjunto de dados de 109.663 registros de fluxo de rede passiva de um ambiente universitário, apresentando 112 características distribuídas pelas camadas IP, TCP, TLS e HTTP. Os rótulos da verdade fundamental (ground truth) são estruturados em três níveis: família do SO, versão principal e versão secundária.

O núcleo da metodologia envolve o treinamento de classificadores MLP (Perceptron Multicamadas) independentes para cada nível da hierarquia, envolvendo-os com duas estratégias distintas de CP estruturada:

CP por Nível (L-CP): Esta abordagem aplica a Predição Conformal independentemente em cada nível da hierarquia. Cada nível (família, principal, secundária) é calibrado separadamente usando seus próprios escores de não conformidade e conjunto de calibração. Isso gera conjuntos de predição distintos para cada nível com garantias de cobertura marginal específicas para aquele nível.
CP Baseada em Projeção (P-CP): Esta abordagem aplica a CP apenas no nível folha (versão secundária). O conjunto de predição resultante é então projetado para cima para níveis mais grosseiros ao incluir todos os ancestrais de qualquer folha retida. Isso garante que os conjuntos de predição sejam hierarquicamente consistentes e aninhados (ou seja, uma criança predita implica que seu pai também é predito).

A avaliação emprega um framework rigoroso utilizando 50 iterações de Monte Carlo e introduz uma métrica inovadora, a Taxa de Inconsistência Hierárquica (HIR), para quantificar violações lógicas (ex: violações de "órfão", onde uma criança é predita sem seu pai, ou violações "estéreis", onde um pai é predito sem nenhum filho).

Principais Contribuições

Primeira Aplicação de CP Hierárquica: O artigo apresenta a primeira aplicação de Predição Conformal à identificação hierárquica de SO, abordando desafios específicos de consistência taxonômica e incerteza multinível.
Estratégias de CP Estruturada: A introdução e avaliação de L-CP e P-CP, que oferecem diferentes compromissos entre eficiência local e consistência estrutural global.
Métrica de Avaliação Inovadora: A proposta da Taxa de Inconsistência Hierárquica (HIR) para medir a coerência lógica em predições hierárquicas, indo além das métricas padrão de cobertura e tamanho de conjunto.
Reprodutibilidade: O lançamento de uma implementação completa e de código aberto do framework e do pipeline experimental.

Resultados
Os resultados experimentais, avaliados através de níveis de significância ( $\alpha$ ) de 0,02 a 0,20, revelam um compromisso fundamental entre eficiência por nível e consistência estrutural:

Validade: Ambos os métodos satisfazem as garantias de cobertura marginal. O L-CP atinge taxas de cobertura próximas ao alvo nominal ( $1-\alpha$ ) em todos os níveis. O P-CP exibe sobrecobert (over-coverage) sistemática em níveis mais grosseiros (ex: atingindo ~96% de cobertura de família quando o alvo é 90%) porque o conjunto da família é construído como a união dos ancestrais de folhas válidas.
Eficiência (Tamanho do Conjunto): O L-CP produz conjuntos de predição mais estreitos no nível da família (ex: tamanho médio do conjunto $\approx$ 0,92 em $\alpha=0,10$ ) comparado ao P-CP ( $\approx$ 1,06). Os conjuntos do L-CP podem cair abaixo de 1,0 devido a frequentes conjuntos vazios, sinalizando alta incerteza ou amostras fora da distribuição (out-of-distribution).
Consistência Estrutural (HIR): O P-CP atinge um HIR de exatamente 0,0 para todos os $\alpha$ , garantindo conjuntos aninhados e coerentes. Em contraste, o L-CP sofre de frequentes violações taxonômicas, com o HIR atingindo o pico em torno de 37% em $\alpha=0,25$ . O HIR do L-CP é não monotônico, impulsionado pela dessincronização entre níveis (ex: um pai retornando um singleton enquanto um filho retorna um conjunto vazio).
Usabilidade: O L-CP atinge altas taxas de singleton (predições precisas) no nível da família mais rapidamente que o P-CP. No entanto, o P-CP produz menos conjuntos vazios em níveis mais grosseiros, pois uma família só é descartada se todos os seus descendentes folha forem rejeitados.

Significância e Implicações Operacionais
O artigo conclui que a escolha entre L-CP e P-CP depende do cenário específico de implantação operacional:

Aplicação de Políticas Automatizadas: Os autores recomendam o P-CP. Sistemas automatizados exigem coerência lógica para executar políticas (ex: "Bloquear todas as versões do Android exceto 11+"). Uma saída inconsistente do L-CP (ex: predizendo "Android 11" enquanto a predição da família é "Windows") é inaplicável para lógica automatizada. A garantia de conjuntos aninhados do P-CP assegura que cada predição corresponda a um caminho válido na taxonomia do SO.
Triagem Forense: Os autores sugerem que o L-CP pode ser preferível para analistas humanos. Analistas frequentemente priorizam a família do SO para rotear incidentes e podem usar conhecimento de domínio para resolver inconsistências estruturais. Uma predição de família mais estreita e calibrada do L-CP é mais valiosa do que um conjunto inflado por ruído de nível folha, mesmo que as predições de versão secundária sejam inconsistentes.

O trabalho fornece um passo fundamental para uma visibilidade de rede mais confiável, movendo-se além de predições pontuais frágeis para conjuntos hierárquicos calibrados, permitindo que operadores troquem explicitamente o tamanho do conjunto de predição pela confiabilidade. Trabalhos futuros são propostos para mitigar perdas de eficiência em métodos consistentes através de calibração híbrida ou funções de perda hierárquica, e para explorar o Mondrian CP para lidar com desequilíbrio extremo de classes.

O Problema da Árvore Genealógica

Duas Maneiras de Construir a Rede de Segurança

O Grande Trade-off

O Que Eles Descobriram

Mais como este