ProvAgent: Threat Detection Based on Identity-Behavior Binding and Multi-Agent Collaborative Attack Investigation

O artigo apresenta o ProvAgent, um framework que supera as limitações da colaboração humano-modelo na detecção de Ameaças Persistentes Avançadas (APTs) ao integrar modelos tradicionais de triagem, aprendizado de contraste em grafos para vinculação identidade-comportamento e uma investigação autônoma colaborativa entre múltiplos agentes, resultando em detecção superior e reconstrução de ataques com baixo custo.

O essencial

Imagine que você é o chefe de segurança de um prédio gigante e movimentado (uma empresa). Todos os dias, milhares de pessoas entram e saem, usam as portas, ligam computadores, imprimem documentos e acessam a internet.

O problema é que os ladrões modernos (os APTs ou Ameaças Persistentes Avançadas) não são como os ladrões de antigamente que quebram uma janela. Eles são mestres do disfarce. Eles se vestem de funcionários, usam as mesmas chaves e fazem as mesmas coisas que todos os outros, mas com um objetivo secreto: roubar dados ou destruir o sistema.

O artigo que você leu apresenta uma nova solução chamada ProvAgent. Para explicar como ele funciona, vamos usar uma analogia de um Detetive de Polícia com uma Equipe de Inteligência Artificial.

O Problema: O Caos dos Alertas

Antes do ProvAgent, os sistemas de segurança funcionavam assim:

1. O Sistema Tradicional (O Guardião Exausto): Ele vigia todas as câmeras. Se alguém abrir uma porta duas vezes em um minuto, ele grita "ALERTA!". O problema é que ele grita tudo o tempo todo. Funcionários que correm, entregadores de pizza e sistemas automáticos geram milhões de "falsos positivos".
2. O Analista Humano (O Detetive Cansado): O chefe de segurança (o analista humano) recebe milhares de alertas por dia. Ele fica exausto, com "fadiga de alerta", e acaba ignorando os perigos reais porque está ocupado demais verificando coisas inofensivas.

A Solução: ProvAgent

O ProvAgent muda as regras do jogo. Em vez de apenas um guardião gritando, ele cria uma equipe de detetives inteligentes que trabalham juntos. Ele tem duas partes principais:

1. O "Filtro de Identidade" (EPD) – O Guardião que conhece os rostos

A primeira parte do sistema é como um porteiro muito esperto que não olha apenas para o que a pessoa está fazendo, mas para quem ela é.

• A Analogia: Imagine que você tem um funcionário chamado "João", que é um contador. O trabalho dele é usar planilhas e calculadoras. Se, de repente, o João começa a usar uma furadeira elétrica e a quebrar paredes, o porteiro sabe que algo está errado, mesmo que o João esteja usando o uniforme certo.
• Como funciona: O ProvAgent aprende o "perfil" de cada entidade (processos, arquivos, conexões). Ele sabe que um processo chamado nginx (um servidor web) deve fazer coisas de web. Se esse mesmo processo começa a agir como um programa de edição de vídeo ou tenta acessar arquivos secretos, o sistema diz: "Ei, isso não combina com a identidade dele!".
• O Resultado: Em vez de gritar sobre tudo, ele só avisa quando a identidade e o comportamento não batem. Isso reduz drasticamente o número de falsos alarmes.

2. A "Equipe de Detetives" (MAI) – Os Investigadores Autônomos

Quando o "Filtro" encontra algo suspeito, ele não apenas manda um alerta para um humano. Ele aciona uma equipe de agentes de IA que trabalham sozinhos para investigar o caso. Eles funcionam como um esquadrão de polícia com papéis específicos:

• O Analista (O Verificador): Ele pega o alerta e compara com o comportamento normal de "João". "Será que o João realmente precisa de uma furadeira hoje? Ou é apenas uma tarefa estranha?" Ele filtra o que é apenas uma atividade incomum, mas legítima.
• O Investigador (O Rastreador): Se o Analista confirmar que há algo errado, o Investigador começa a rastrear. Ele olha para trás e para frente no tempo: "Quem entrou antes do João? O que ele fez depois? Ele enviou dados para quem?". Ele tenta reconstruir a história do crime.
• O Líder (O Estrategista): Ele olha para o quadro geral. "Temos um roubo de dados, mas falta a parte da fuga. Será que o ladrão usou um túnel secreto que ainda não encontramos?" O Líder cria hipóteses e manda a equipe verificar.
• O Relator (O Escriba): Quando a investigação termina, ele escreve um relatório claro e simples para o chefe humano, explicando exatamente o que aconteceu, quem foi o ladrão e como parar.

Por que isso é incrível?

1. Economia de Tempo e Dinheiro: O sistema faz o trabalho pesado de checar milhões de logs sozinho. O custo para investigar um dia inteiro de ataques é de apenas 6 centavos de dólar (em termos de computação em nuvem).
2. Sem Fadiga: Como a IA faz a investigação inicial, o analista humano só recebe casos que já foram filtrados e têm uma alta chance de serem reais.
3. Reconstrução Completa: Em vez de apenas dizer "houve um erro", o ProvAgent conta a história completa do ataque: "O ladrão entrou pela porta dos fundos, roubou os arquivos e tentou sair pela janela, mas foi pego".
4. Resistência a Disfarces: Mesmo que o ladrão tente se disfarçar de um funcionário bom, o sistema percebe que o comportamento não combina com a identidade, como um ator que esquece o roteiro.

Resumo Final

O ProvAgent é como transformar a segurança cibernética de um "porteiro que grita com todo mundo" para uma "equipe de detetives de elite que sabe exatamente quem é quem e investiga crimes complexos sozinha". Ele usa inteligência artificial para entender a personalidade de cada programa no computador e, quando algo age de forma estranha para sua personalidade, ele aciona uma investigação automática que revela o crime antes que o humano precise suar a camisa.

Resumo técnico

Resumo Técnico: ProvAgent

1. O Problema

As Ameaças Persistentes Avançadas (APTs) representam um desafio crítico para a cibersegurança moderna devido à sua natureza multiestágio e furtiva. As abordagens atuais de detecção baseadas em proveniência (P-EDR) enfrentam dois paradoxos fundamentais:

1. Ceticismo do Especialista: Analistas humanos desconfiam da capacidade dos modelos tradicionais de identificar ataques complexos, exigindo validação manual.
2. Dependência do Especialista: Analistas não conseguem processar manualmente grandes volumes de logs brutos para detectar ameaças sem a ajuda de modelos.

Isso resulta em um paradigma de colaboração humano-modelo que gera fadiga de alertas (alert fatigue), onde analistas são sobrecarregados por falsos positivos e não conseguem investigar profundamente as ameaças reais. Além disso, métodos existentes frequentemente falham em distinguir operações administrativas benignas de ataques maliciosos devido à falta de consistência entre a identidade de uma entidade (ex: nome do processo, caminho do arquivo) e seu comportamento.

2. Metodologia

O ProvAgent propõe uma nova paradigma que evolui da colaboração humano-modelo para uma colaboração entre sistemas multiagentes e modelos tradicionais. O sistema é composto por dois módulos principais:

A. Módulo de Detecção Baseada em Perfil de Entidade (EPD - Entity-Profile-based Detection)

• Objetivo: Realizar triagem inicial de anomalias em grandes volumes de logs com baixo custo computacional e alta fidelidade (poucos falsos positivos).
• Técnica: Utiliza Aprendizado por Contraste em Grafos (Graph Contrastive Learning).
• Mecanismo:
  • Constrói grafos de proveniência a partir de logs de auditoria.
  • Define a "identidade" de forma granular (ex: nginx é diferente de cat, mesmo ambos sendo processos).
  • Treina um GNN (Rede Neural Gráfica) para aprender embeddings que agrupam entidades com a mesma identidade e comportamento benigno, e separam entidades com identidades diferentes.
  • Detecção: Identifica anomalias quando o comportamento observado de uma entidade não é consistente com o perfil de sua identidade declarada (ex: um processo nginx executando ações típicas de um utilitário find).
  • Gera alertas de alta qualidade que servem como pontos de entrada para a investigação.

B. Módulo de Investigação Multi-Agente (MAI - Multi-Agent Investigation)

• Objetivo: Realizar investigação autônoma profunda, validando alertas, eliminando falsos positivos e reconstruindo a narrativa completa do ataque.
• Arquitetura: Orquestra quatro agentes especializados em um ciclo fechado de "Hipótese-Verificação":
  1. Analista (Analyst): Atua como guardião baseado em evidências. Valida alertas comparando-os com um repositório de comportamentos benignos para filtrar variações operacionais legítimas.
  2. Investigador (Investigator): Realiza análise forense em nível de evento. Explora o grafo de proveniência ao redor dos IOCs (Indicadores de Comprometimento) validados para descobrir novos elos da cadeia de ataque e expandir a investigação.
  3. Líder (Leader): Realiza raciocínio estratégico de alto nível. Tenta conectar os eventos fragmentados em uma cadeia de ataque coerente (Kill Chain). Gera hipóteses sobre etapas faltantes ou IOCs suspeitos que não se encaixam na narrativa, direcionando o Investigador e o Analista a verificá-las.
  4. Relator (Reporter): Sintetiza as descobertas em relatórios legíveis por humanos, apresentando a narrativa do ataque e orientações de remediação.
• Inovação: Diferente de sistemas que usam LLMs apenas como classificadores passivos, o ProvAgent concede autoridade investigativa aos agentes, permitindo que eles atuem como analistas ativos, formulando e testando hipóteses iterativamente.

3. Principais Contribuições

1. Framework Sinérgico: Integra a eficiência de modelos tradicionais (EPD) com o raciocínio robusto de uma arquitetura multiagente (MAI).
2. Detecção Baseada em Perfil (EPD): Propõe o uso de aprendizado por contraste para vincular identidade e comportamento de forma granular, reduzindo drasticamente falsos positivos causados por heterogeneidade operacional benigna.
3. Investigação Multi-Agente (MAI): Introduz um framework onde LLMs atuam como analistas autônomos com autoridade para investigar, validar e expandir pistas, operando em um ciclo de hipótese-verificação.
4. Validação Abrangente: Avaliação em conjuntos de dados reais (DARPA E3, E5 e OpTC) demonstrando superioridade sobre o estado da arte (SOTA).

4. Resultados

• Desempenho de Detecção: O ProvAgent superou seis métodos SOTA (incluindo Threatrace, Kairos, Flash, Orthrus, MAGIC e OCR-APT) na detecção de anomalias, alcançando um equilíbrio superior entre Taxa de Verdadeiros Positivos (TP) e Falsos Positivos (FP).
  • Em comparação com o Orthrus (que tem muitos falsos negativos) e o Threatrace (que gera muitos falsos positivos), o ProvAgent identificou ataques críticos com custos de falsos positivos significativamente menores.
• Investigação e Reconstrução:
  • O módulo MAI conseguiu reconstruir narrativas de ataque quase completas.
  • Ao contrário de sistemas que apenas filtram alertas, o ProvAgent expandiu o conjunto de IOCs detectados em 160,7% após a investigação, descobrindo ataques que foram inicialmente perdidos pelo EPD.
  • Reduziu falsos positivos, refinando os alertas iniciais.
• Custo e Eficiência:
  • A investigação automatizada foi realizada a um custo mínimo de $0,06 por dia (usando modelos de linguagem como DeepSeek-V3.2 e GPT-5.2).
  • O tempo médio de processamento diário foi de aproximadamente 0,25 horas.
• Robustez: O sistema demonstrou forte resistência a ataques de imitação (mimicry attacks), onde adversários injetam estruturas benignas para enganar detectores, graças ao vínculo estrito entre identidade e comportamento aprendido pelo EPD.

5. Significado e Impacto

O ProvAgent representa um avanço significativo na automação da resposta a incidentes de segurança (SOAR) e na detecção de APTs.

• Mudança de Paradigma: Transita de uma dependência de analistas humanos para validar alertas ruidosos para um sistema onde agentes autônomos realizam a investigação profunda, liberando os humanos para tarefas de alto nível.
• Qualidade de Alerta: Resolve o problema da "fadiga de alertas" ao priorizar a qualidade (fidelidade) dos alertas em vez da quantidade, focando em pontos de pivô críticos do ataque.
• Explicabilidade: O sistema fornece explicações interpretáveis para as anomalias (baseadas na inconsistência identidade-comportamento) e gera relatórios detalhados que ajudam os analistas a entenderem a cadeia de ataque completa.
• Viabilidade Econômica: Demonstra que a investigação automatizada profunda com LLMs é viável economicamente, tornando-se acessível para operações de segurança em larga escala.

Em resumo, o ProvAgent preenche a lacuna cognitiva entre a detecção automatizada e o raciocínio humano, oferecendo um sistema capaz de detectar, investigar e reconstruir ataques complexos de forma autônoma, precisa e econômica.