NetSecBed: A Container-Native Testbed for Reproducible Cybersecurity Experimentation

1. O Problema

A pesquisa em cibersegurança enfrenta uma crise de reprodutibilidade e validade temporal. Embora a comunidade dependa cada vez mais de evidências experimentais (rastros de tráfego, logs, conjuntos de dados rotulados), a maioria dos conjuntos de dados públicos é estática, desatualizada e limitada em ambientes heterogêneos.

• Desafios Principais:
  • Obsolescência: Mudanças contínuas em stacks de protocolos, comportamentos de serviço e estratégias adversárias reduzem a validade temporal de coleções estáticas.
  • Falta de Controle: Dificuldade em reexecutar experimentos com condições idênticas, especialmente em ambientes complexos (IoT, IIoT, multi-protocolo).
  • Viés Operacional: Dependência de pipelines manuais ou parciais que introduzem variabilidade não controlada, dificultando a comparação entre estudos.
  • Fragmentação: Testbeds existentes otimizam dimensões isoladas (ex: apenas realismo físico ou apenas baixo custo), mas falham em cobrir simultaneamente escalabilidade, heterogeneidade de protocolos e reprodutibilidade sistemática.

2. Metodologia e Arquitetura

O NetSecBed propõe uma mudança de paradigma: em vez de tratar a execução de ataques como tarefas operacionais isoladas, ele formaliza a experimentação como um pipeline controlado, observável e reprodutível.

• Arquitetura Container-Nativa:

  • O sistema é construído sobre containers (Docker), onde atacantes, serviços-alvo e geradores de tráfego benigno são encapsulados como componentes de propósito único.
  • Isolamento Estrito: Cada cenário de ataque é um container independente, garantindo que a execução seja auditável e livre de interferências externas.
  • Repositório de Artefatos: Inclui 60 cenários de ataque, 9 serviços-alvo (Web, MySQL, SSH, Telnet, SMB, MQTT, CoAP, Zenoh, XRCE-DDS) e geradores de tráfego benigno parametrizáveis.

• Camadas do Sistema:

  1. Repositório de Artefatos: Metadados declarativos (YAML) descrevem cada cenário, mapeando-o para o MITRE ATT&CK (táticas e técnicas), garantindo rastreabilidade semântica.
  2. Orquestração e Execução: Um motor transforma especificações abstratas em um ciclo de vida controlado: Aquecimento (Warmup) → Ataque → Resfriamento (Cooldown). O sistema realiza sondas de disponibilidade e latência contínuas durante todo o ciclo.
  3. Processamento de Dados: Coleta de pacotes (pcap), logs e telemetria. A extração de características é feita por múltiplos mecanismos independentes (TShark, Scapy, NTLFlowLyzer) para verificar consistência e viés.
  4. Geração de Artefatos: Consolidação automática em conjuntos de dados tabulares, relatórios visuais e evidências de execução.

• Princípio Metodológico: Separação explícita entre a especificação declarativa do cenário e a orquestração da execução. Isso permite que novos ataques sejam adicionados apenas através de especificações YAML e containers, sem modificar o núcleo do sistema.

3. Principais Contribuições

1. Arquitetura Observável e Nativa em Containers: Um framework que padroniza o ciclo de vida experimental completo, desde a seleção do cenário até a consolidação do conjunto de dados.
2. Catálogo Estruturado e Extensível: Integração de 60 cenários de ataque cobrindo protocolos tradicionais e emergentes (IoT/IIoT), todos mapeados para o MITRE ATT&CK.
3. Pipeline Automatizado de Geração de Dados: Capacidade de gerar continuamente artefatos de pesquisa (pcaps, logs, métricas) com rastreabilidade total de origem e parâmetros.
4. Redução de Viés Operacional: Ao automatizar a execução e a coleta de dados, o framework melhora a comparabilidade entre experimentos heterogêneos e suporta a renovação contínua de conjuntos de dados.

4. Resultados da Avaliação

Os autores validaram o NetSecBed utilizando um ataque DoS SYN Flood contra um serviço HTTP, variando a intensidade do ataque (níveis L0 e L3) e analisando o impacto em diferentes fases (aquecimento, ataque, resfriamento).

• Cenário de Baixa Intensidade (L0): O serviço manteve 100% de taxa de sucesso e latência baixa (p50 ~3ms) em todas as fases, confirmando a robustez da base.
• Cenário de Alta Intensidade (L3):
  • Durante o Ataque: A taxa de sucesso caiu para 55,6%. A latência mediana (p50) disparou para 1275,74 ms, e os percentis p95/p99 atingiram 2002,2 ms (limite de censura).
  • Recuperação: Na fase de resfriamento, o serviço recuperou 100% de sucesso e a latência retornou aos níveis de base (~4ms), demonstrando que a degradação foi localizada temporalmente ao ataque.
• Métricas de Recursos: O monitoramento do host mostrou que o ataque aumentou o uso de CPU, elevou a carga do sistema (load average) e aumentou o uso de memória (de ~76% para ~90%), com recuperação parcial apenas após o fim do ataque.
• Conclusão dos Resultados: O framework conseguiu capturar, quantificar e reproduzir com precisão a degradação do serviço e a dinâmica de recuperação, gerando evidências controladas e auditáveis.

5. Significado e Impacto

O NetSecBed representa um avanço significativo no estado da arte para pesquisa em cibersegurança, especialmente em ambientes ubíquos e de computação pervasiva (IoT/IIoT).

• Reprodutibilidade Científica: Permite que pesquisadores gerem e compartilhem não apenas dados brutos, mas o processo completo de geração, facilitando a auditoria e a reexecução de estudos.
• Validade Externa: Ao suportar uma vasta gama de protocolos (incluindo modernos como Zenoh e XRCE-DDS) e permitir a renovação contínua de dados, o framework mitiga o problema da obsolescência dos conjuntos de dados estáticos.
• Escalabilidade: A abordagem baseada em containers permite a expansão incremental do catálogo de ataques sem reengenharia do sistema, tornando-o uma infraestrutura viável para benchmarks de larga escala e treinamento de modelos de detecção de intrusão mais robustos.

Em resumo, o NetSecBed preenche a lacuna entre a necessidade de realismo experimental e a exigência de rigor metodológico, oferecendo uma infraestrutura padronizada para a próxima geração de pesquisas em segurança cibernética.