Resumo Técnico: Uma Plataforma de Monitoramento de Endpoints Baseada em Microsserviços com Modelos Preditivos de PLN

Declaração do Problema

As organizações enfrentam um duplo desafio no cenário digital moderno: o risco de vazamento de dados sensíveis e a circulação de linguagem odiosa ou prejudicial dentro dos canais de comunicação do local de trabalho. As soluções atuais frequentemente abordam essas questões de forma isolada — separando o rastreamento de produtividade, a prevenção de perda de dados (DLP) e a detecção de discurso de ódio — o que limita a capacidade de correlacionar sinais entre diferentes fontes de dados e atrasa a resposta a incidentes. Além disso, o aumento do trabalho remoto e as ramificações legais de ambientes de trabalho hostis (por exemplo, indenizações significativas concedidas em casos como o processo contra a Tesla) tornam necessária uma abordagem proativa e integrada de monitoramento que equilibre segurança, conformidade e bem-estar dos funcionários sem comprometer o desempenho do sistema.

Metodologia

A solução proposta é um framework unificado baseado em microsserviços, projetado para coletar telemetria de endpoints e aplicar modelos preditivos de Processamento de Linguagem Natural (PLN) para alertas em tempo real. A metodologia segue uma abordagem de engenharia orientada por requisitos, estruturada em quatro etapas: elicitação de requisitos, design arquitetural, implementação e avaliação.

Arquitetura e Componentes

O sistema é construído sobre uma arquitetura modular composta por três camadas principais:

1. Camada de Endpoint (Agente Spyware): Um agente de monitoramento baseado em Python compilado em um executável. Ele opera via multithreading para capturar:

   • Tráfego de Rede: Inspeção em tempo real de pacotes DNS para identificar sites bloqueados ou consultas maliciosas.
   • Teclas Digitadas: Keylogging para capturar texto digitado para análise de conteúdo.
   • Processos: Varredura em busca de processos maliciosos com base em listas definidas pelo administrador.
   • Portas: Varredura em busca de portas abertas e banners de serviços vulneráveis.
   • Captura de Tela: Captura de telas ao gerar alertas para contexto probatório.
   • Lógica de Decisão: Os alertas são acionados com base em uma pontuação de risco ponderada ($S(t)$) derivada de indicadores binários (por exemplo, DNS bloqueado, palavras-chave proibidas, processos maliciosos).

2. Camada de Orquestração de Serviços (API Gateway e Backend):

   • API Central: Construída com Spring Boot e containerizada via Docker, gerenciando o fluxo de dados entre componentes.
   • Gerenciamento de Dados: Utiliza PostgreSQL para armazenamento persistente (alertas, dados de usuários, imagens) e Redis para cache de baixa latência de consultas frequentes (TTL de 20 segundos).
   • Processamento Assíncrono: O RabbitMQ gerencia a ingestão e o roteamento de eventos, desacoplando a ingestão de telemetria do processamento de alertas e tarefas de classificação.
   • Otimizações: O sistema emprega inicialização preguiçosa, desabilita configurações automáticas desnecessárias, utiliza o contêiner de servlet Undertow para I/O não bloqueante e implementa indexação sequencial de banco de dados para minimizar a sobrecarga de recursos.

3. Pipeline Preditivo de PLN:

   • Processamento de Dados: O texto passa por normalização (minúsculas, limpeza, remoção de stopwords, stemming/lematização) e é vetorizado usando TF-IDF.
   • Modelos: Três modelos tradicionais de aprendizado de máquina foram treinados e avaliados para cada idioma (Português, Espanhol, Inglês): Regressão Logística (com regularização L1), Máquina de Vetores de Suporte (kernel RBF) e Naive Bayes Multinomial (com suavização de Laplace).
   • Mecanismo de Fallback: O sistema integra o GPT-3 (via o modelo text-davinci-003) como uma camada secundária de verificação para frases não sinalizadas pelos modelos primários. Discrepâncias são registradas para futuro retreinamento.
   • Classificação: O pipeline identifica o idioma de entrada, aplica o modelo correspondente e retorna uma classificação JSON estruturada.

Front-End e Governança

Uma aplicação web responsiva permite que administradores gerenciem listas negras, visualizem alertas e configurem políticas. Inclui controle de acesso baseado em funções, gerenciamento seguro de sessões e um recurso para que os usuários gerem logs JSON criptograficamente assinados (SHA-256) de alertas para garantir auditabilidade e integridade dos dados.

Contribuições Principais

O artigo apresenta três contribuições primárias:

1. Arquitetura Unificada: Um framework modular de microsserviços que integra monitoramento de endpoints (keylogging, sniffing de rede, auditoria de processos) com PLN preditivo em um único pipeline, abordando a lacuna em soluções fragmentadas.
2. Orquestração de Alertas em Tempo Real: Um sistema escalável que utiliza RabbitMQ e Redis para lidar com ingestão de dados de alto volume e entregar alertas de baixa latência, capaz de detectar indicadores de exfiltração de dados e violações de políticas simultaneamente.
3. Detecção Multilíngue de Discurso de Ódio: A aplicação de modelos baseados em transformadores e de ML tradicional para detectar indicadores de risco de discurso de ódio em Português, Espanhol e Inglês, alcançando alta precisão enquanto mantém eficiência computacional adequada para ambientes corporativos em tempo real.

Resultados Experimentais

O sistema foi avaliado em um ambiente controlado (Intel i5-3470, 8GB RAM, Kali Linux) usando contêineres Docker.

• Desempenho e Escalabilidade:

  • Agente Spyware: Demonstrou uma pegada negligenciável, com utilização de CPU e memória consistentemente abaixo de 1% durante monitoramento sustentado.
  • Latência: O ciclo total de detecção (captura local até classificação na API) teve uma média de aproximadamente 700 ms. O API Gateway do Spyware alcançou um tempo médio de resposta de inferência de 500 ms.
  • Escalabilidade: A análise de regressão linear de testes de carga (até 10.000 requisições paralelas) mostrou uma forte correlação linear entre o volume de requisições e o uso de recursos (CPU, memória, tempo de resposta). O sistema manteve tempos de resposta abaixo do limite de 1 segundo mesmo sob altas cargas, com o uso de heap de memória subindo para 39% em 10.000 requisições.
  • Segurança: O API Gateway mitigou com sucesso injeção de SQL, injeção de comandos e ataques XSS após a aplicação de correções de vulnerabilidade iniciais.

• Precisão do Modelo Preditivo:

  • Os modelos alcançaram uma precisão média de 87% em todos os idiomas e dobras.
  • O Naive Bayes Multinomial mostrou uma ligeira vantagem de desempenho sobre a Regressão Logística e a SVM.
  • Métrica de Área do Polígono (PAM): Utilizada para avaliar o equilíbrio entre Precisão, Recall, F1-Score, Especificidade e AUC-ROC. O Naive Bayes Multinomial produziu a maior área do polígono, indicando um equilíbrio superior de métricas, enquanto a Regressão Logística demonstrou o desempenho mais uniforme entre os eixos.
  • Análise de Erros: Uma taxa de erro de aproximadamente 13% foi observada, principalmente devido a falsos positivos em capitalização enfática e falsos negativos em termos ofuscantes obscuros.

Significância e Alegações

Os autores afirmam que este trabalho fornece uma abordagem cientificamente fundamentada para abordar simultaneamente a prevenção de perda de dados e a conformidade no local de trabalho. A significância da pesquisa reside em sua demonstração de que modelos tradicionais de aprendizado de máquina (Regressão Logística, SVM, Naive Bayes) podem oferecer um trade-off mais sustentável entre poder preditivo e requisitos de hardware em comparação com arquiteturas baseadas em Transformadores intensivas em recursos (como BERT) para monitoramento corporativo em tempo real.

O artigo enfatiza que o framework proposto não é meramente uma ferramenta punitiva, mas um mecanismo para fomentar um local de trabalho mais seguro e inclusivo. Ao centralizar capacidades de monitoramento e predição, o sistema permite que as organizações detectem indicadores de exfiltração de dados e violações de políticas prontamente. Os autores concluem que a solução é viável para implantação em ambientes de hardware diversos, desde estações de trabalho legadas até sistemas corporativos modernos, desde que considerações éticas relativas à transparência e consentimento dos funcionários sejam estritamente observadas. Trabalhos futuros são sugeridos para focar em validação de produção em larga escala, otimização de tempo de execução usando imagens nativas (por exemplo, GraalVM) e a integração de técnicas de privacidade diferencial.