Generation of Human Comprehensible Access Control Policies from Audit Logs

1. Problema Identificado

O artigo aborda a desconexão crítica entre as políticas de controle de acesso ideais (definidas por stakeholders) e a realidade operacional registrada nos logs de sistemas.

• Complexidade e Opacidade: Sistemas modernos, como o Controle de Acesso Baseado em Atributos (ABAC), são flexíveis, mas complexos. A lógica de acesso muitas vezes evolui organicamente em sistemas legados (como DAC ou RBAC), levando a uma "deriva de política" onde os logs refletem permissões reais que divergem dos objetivos de segurança.
• Barreiras Técnicas e Cognitivas:
  • Técnica: A mineração de políticas exige scripts personalizados, conhecimento profundo de parsing de logs e algoritmos complexos, criando uma barreira de entrada alta para analistas de segurança.
  • Cognitiva: O resultado da mineração é um conjunto de regras formais sintáticas (lógica booleana complexa) que são incompreensíveis para gestores, diretores e outras partes interessadas não técnicas, impedindo a validação e o alinhamento com os objetivos de segurança.
• Lacuna Semântica: Não existe, até o momento, uma tentativa robusta de preencher a lacuna entre a lógica formal executável por máquinas e a intenção de política centrada no ser humano.

2. Metodologia: Framework LANTERN

Os autores propõem o LANTERN (LLM-based ABAC Natural Translation and Explanation for Rule Navigation), um framework híbrido de duas etapas que combina algoritmos simbólicos determinísticos com a capacidade linguística de Grandes Modelos de Linguagem (LLMs).

Arquitetura de Duas Etapas:

1. Etapa 1: Geração de Código e Mineração de Regras (Code Generation):

   • Em vez de exigir que o usuário escreva scripts de parsing, o LLM atua como um desenvolvedor Python. O usuário fornece apenas exemplos de formato de dados (logs, atributos de usuários e recursos).
   • O LLM gera um script Python personalizado (parse_data_file) para interpretar esses formatos específicos e integrar-se a um algoritmo de mineração de políticas existente (baseado em uma versão aprimorada do algoritmo seed-based de Xu e Stoller).
   • O algoritmo de mineração (determinístico) processa os logs e extrai as regras ABAC formais (conjunto mínimo de regras que cobrem os logs sem excessos).
   • Vantagem: Remove a barreira técnica de implementação e garante a precisão lógica da extração de regras.

2. Etapa 2: Tradução e Resumo de Políticas (Policy Summarization):

   • As regras ABAC formais (incompreensíveis para não especialistas) são enviadas a um LLM (utilizando o Gemini 2.5 Pro).
   • O LLM é instruído via prompt engineering estruturado a atuar como um "Analista de Cibersegurança" traduzindo regras técnicas para linguagem natural de negócios.
   • O output inclui resumos executivos, documentação de conformidade e explicações focadas no impacto nos negócios, mapeando jargões técnicos para conceitos organizacionais (ex: "regra de permissão" -> "política de proteção de ativos").

Engenharia de Prompt e Design:

• O sistema utiliza prompts modulares que definem papéis, estrutura de tarefas, exemplos de formato (few-shot learning) e diretrizes de saída.
• A arquitetura evita que o LLM tente "inventar" a lógica de mineração (o que causaria alucinações), restringindo-o à geração de código de integração e à tradução linguística.

3. Contribuições Principais

• Síntese de Políticas Legíveis por Humanos: Primeiro framework a gerar políticas de controle de acesso em linguagem natural diretamente a partir de logs e valores de atributos, tornando-as interpretáveis por decisores.
• Arquitetura Híbrida: Combina a extração simbólica de regras (garantindo fidelidade semântica e precisão) com a transformação linguística baseada em LLM (garantindo clareza e escalabilidade).
• Estratégia de Prompting e Chunking: Permite que o sistema lide com logs de tamanhos variáveis e conjuntos de atributos diversos mantendo a precisão da inferência.
• Avaliação Empírica Extensa: Demonstração de eficácia usando múltiplos conjuntos de dados sintéticos e benchmarks da literatura.
• Disposição Aberta: O código-fonte e uma versão web pública do LANTERN foram disponibilizados para reprodutibilidade.

4. Resultados Experimentais

Os experimentos foram conduzidos em conjuntos de dados sintéticos (ABAC e DAC) e benchmarks públicos (Healthcare, University).

• Validação da Geração de Código (RQ1): O LLM gerou scripts Python válidos e compatíveis para três formatos de dados distintos (com colchetes, CSV e delimitado por pipe), satisfazendo critérios de correção sintática e compatibilidade de interface.
• Desempenho de Mineração (RQ2):
  • O pipeline alcançou 100% de cobertura de permissões em logs ABAC com densidade moderada (600-800 entradas).
  • Em logs legados (DAC), o sistema identificou a lógica de negócios subjacente, alcançando 80-89% de cobertura em logs densos, ignorando permissões puramente discricionárias sem padrão.
  • O tempo de execução escalou suavemente com a complexidade, sendo o algoritmo de mineração (NP-Completo) o gargalo, não a camada de integração do LLM.
• Compreensibilidade (RQ3): Uma avaliação automatizada (usando Claude 3.5 Sonnet como verificador) mostrou que as políticas geradas em linguagem natural tinham uma precisão média de 90% a 99,8% em comparação com as regras formais. Políticas com 8 a 22 regras atingiram quase 100% de precisão.
• Estudo de Ablação (RQ4):
  • Apenas LLM: Falhou em logs grandes (>500 entradas) devido a limitações de janela de contexto e dificuldade de raciocínio lógico complexo.
  • LANTERN (Híbrido): Foi a única abordagem que escalou consistentemente, mantendo alta cobertura e precisão mesmo em logs de 10.000 entradas, provando que a combinação de algoritmos determinísticos para lógica e LLMs para linguagem é a arquitetura ideal.

5. Significado e Conclusão

O trabalho do LANTERN representa uma mudança de paradigma na governança de segurança. Ele transforma a mineração de políticas de uma tarefa exclusiva para especialistas técnicos em um processo acessível e conversacional.

• Impacto Prático: Permite que organizações migrem sistemas legados para ABAC ou auditem suas políticas atuais sem depender de consultores externos ou equipes de desenvolvimento pesadas.
• Alinhamento Estratégico: Ao traduzir regras técnicas em narrativas de negócios, facilita a validação por parte de gestores, garantindo que as políticas implementadas realmente reflitam os objetivos de segurança da organização.
• Limitações Futuras: O sistema depende da qualidade dos logs de entrada (dados sintéticos limpos foram usados) e a natureza não determinística dos LLMs exige cautela. O trabalho futuro focará em lidar com dados do mundo real, ruidosos e incompletos, e em testar escalabilidade em milhões de entradas.

Em resumo, o LANTERN demonstra que a integração de modelos de linguagem com algoritmos de mineração tradicionais é a chave para tornar a segurança de acesso controlável, auditável e compreensível para humanos.