ProHunter: A Comprehensive APT Hunting System Based on Whole-System Provenance

Resumo Técnico: ProHunter

1. O Problema

As Ameaças Persistentes Avançadas (APTs) representam um desafio crítico na cibersegurança devido à sua natureza furtiva, execução em estágios e capacidade de se misturar a atividades normais do sistema. Embora a caça a ameaças baseada em proveniência (provenance-based threat hunting) seja uma abordagem promissora que combina logs de auditoria com Inteligência de Ameaças Cibernéticas (CTI), os sistemas existentes enfrentam três limitações principais:

1. Ineficiência de Memória e Tempo: Os grafos de proveniência do sistema inteiro gerados em ambientes reais são massivos (milhões de nós e arestas), tornando impossível armazená-los e analisá-los continuamente sob orçamentos de memória restritos (ex: <100 MB/host).
2. Amostragem Imprecisa de Atividades Maliciosas: Isolar o subgrafo de ameaça (a parte do grafo que contém o ataque) é difícil devido à "explosão de dependências" (ex: processos como explorer.exe acumulam muitas dependências benignas) e à imitação de comportamentos normais pelos atacantes. Sistemas atuais dependem excessivamente de indicadores de comprometimento (IoCs) explícitos, falhando quando estes não estão disponíveis.
3. Lacunas Semânticas: Existe um desalinhamento significativo entre os relatórios de CTI (que usam terminologia de alto nível, como "executar scan ARP") e os logs de auditoria (que registram eventos de baixo nível, como "execução de cmd.exe"). Isso dificulta o mapeamento preciso entre o grafo de consulta (derivado da CTI) e o grafo de proveniência.

2. Metodologia

O ProHunter é um sistema de caça a ameaças baseado em proveniência, projetado para ser eficiente, preciso e independente da plataforma. Sua arquitetura segue um pipeline de três estágios:

A. Construção do Grafo de Proveniência Puro (PPG) e Compactação
Para resolver o problema de escalabilidade (C1), o ProHunter introduz uma estrutura de dados compacta em memória:

• Abstração Semântica: Substitui nomes de nós e tipos específicos por tipos abstratos de nível intermediário (ex: util process, sys file) usando campos de 4 bits. Isso alinha a semântica entre CTI e logs e reduz drasticamente o uso de memória.
• Codificação Hierárquica: Reconhece que a maioria dos nós tem poucas dependências (nós esparsos). Utiliza uma codificação de índice relativo compacta para nós esparsos e apenas promove nós com "explosão de dependências" para estruturas estendidas quando necessário.
• Resultado: Permite armazenar grafos de proveniência de longo prazo com apenas 3–25 MB por dia, permitindo análise em tempo real.

B. Amostragem de Grafos de Ameaça
Para superar a dependência de IoCs explícitos (C2), o sistema utiliza um algoritmo de amostragem heurístico baseado em Busca em Largura (BFS):

• Fluxo de Informação Suspeito: Em vez de depender apenas de IoCs, o algoritmo rastreia fluxos de informação anômalos (ex: um processo de usuário acessando arquivos de sistema e enviando dados para uma rede pública).
• Regras de Amostragem Adaptativas: Aplica regras específicas baseadas no tipo de nó abstrato e no status de "explosão de dependências" para filtrar ruído benigno e capturar interações suspeitas, mesmo sem indicadores iniciais conhecidos.
• Generalização: Funciona com qualquer nó do sistema como Ponto de Interesse (POI), não apenas com IoCs.

C. Representação e Correspondência de Ataque
Para fechar a lacuna semântica (C3), o ProHunter emprega um modelo de aprendizado profundo adaptativo:

• Rede de Isomorfismo de Grafos (GIN) Adaptativa: Utiliza uma GIN personalizada que integra passagem de mensagens intra-grafo (para capturar comportamentos locais) e inter-grafo (para alinhar padrões entre o grafo de ameaça e o grafo de consulta).
• Aprimoramento de Recursos: Combina abstração de nós e atenção para focar em padrões estruturalmente e semanticamente similares, permitindo que o sistema entenda que cmd.exe executando um script pode corresponder a "executar scan ARP" descrito na CTI.
• Treinamento: Utiliza aprendizado contrastivo para aprender representações robustas, distinguindo grafos benignos de maliciosos mesmo na ausência de IoCs explícitos.

3. Contribuições Principais

1. Sistema ProHunter: Uma solução completa que integra compactação de grafos, amostragem heurística e correspondência semântica adaptativa.
2. Estrutura de Armazenamento Eficiente: Um novo formato de grafo de proveniência que utiliza abstração semântica e codificação hierárquica para reduzir o uso de memória em até 75% comparado a métodos anteriores (como Sleuth).
3. Algoritmo de Amostragem Heurístico: Um método que não depende de IoCs pré-existentes, capaz de identificar ameaças baseando-se em fluxos de informação suspeitos e anomalias contextuais.
4. Correspondência Semântica Adaptativa: Uma abordagem de representação de grafos que preenche a lacuna entre CTI e logs de auditoria, capturando semânticas de ataque tanto localizadas quanto globalizadas.
5. Validação Abrangente: Avaliação extensiva em múltiplos conjuntos de dados do DARPA (E3, E5, OpTC), cobrindo 28 cenários de ataque em diferentes sistemas operacionais (Windows, Linux, FreeBSD, Android).

4. Resultados Experimentais

Os testes demonstraram que o ProHunter supera os sistemas de ponta (SOTA) em eficiência e precisão:

• Eficiência de Memória: Consome apenas 3–25 MB/dia para armazenar grafos de proveniência, permitindo a análise de campanhas de APT de até 90 dias.
• Precisão na Amostragem: Alcança uma cobertura de semântica de ataque >70% com uma taxa de ruído (nós irrelevantes) de apenas 2–3 nós em média.
• Desempenho de Caça a Ameaças:
  • Recall (Revocação): 100% em todos os datasets de teste.
  • Taxa de Falsos Positivos (FPR): Média inferior a 1%.
  • AUC (Área sob a Curva ROC): Até 0.99.
• Robustez: Mantém alta precisão mesmo quando não há sinais de POI explícitos (IoCs), diferentemente de sistemas concorrentes que falham nesse cenário.
• Desempenho de Tempo: O processamento de janelas de 5 minutos de eventos ocorre em menos de 1 segundo, com amostragem de grafos em 0,03s e correspondência em 0,18s.

5. Significado e Impacto

O ProHunter representa um avanço significativo na detecção de APTs ao resolver o dilema entre a necessidade de dados detalhados de longo prazo e as restrições de recursos computacionais.

• Viabilidade Operacional: Ao reduzir drasticamente a pegada de memória, torna viável a implementação de caça a ameaças contínua em ambientes de produção.
• Resiliência a Evasão: Ao não depender exclusivamente de IoCs estáticos, o sistema é mais robusto contra ataques que utilizam técnicas de ofuscação ou que exploram vetores desconhecidos.
• Ponte Semântica: A capacidade de alinhar automaticamente descrições de alto nível de inteligência de ameaças com logs de baixo nível reduz a carga de trabalho manual dos analistas e aumenta a taxa de detecção de ataques complexos e persistentes.

Em suma, o ProHunter oferece uma solução prática e escalável para a detecção proativa de ameaças persistentes, superando as barreiras de escalabilidade e precisão que limitavam as abordagens anteriores baseadas em proveniência.