Resumo Técnico: CLOUDBURST – Observações em Camadas de Nuvem Usando Faróis para Vigilância Unificada em Tempo Real e Atribuição de Ameaças

1. Declaração do Problema

Ambientes modernos nativos de nuvem (AWS, GCP, Azure, OCI) apresentam uma superfície de ameaça de exfiltração fundamentalmente diferente em comparação com cenários tradicionais baseados em arquivos. Os atacantes não roubam apenas arquivos; eles roubam artefatos efêmeros, como URLs assinadas do S3, imagens de contêiner, segredos do Kubernetes, módulos de estado do Terraform e tokens de função IAM. A literatura acadêmica existente e os frameworks de honeytoken (por exemplo, contra-ataque passivo, Canarytokens) focam principalmente em cenários baseados em arquivos ou móveis e falham em abordar propriedades únicas nativas de nuvem:

• Efemeridade da Infraestrutura: Em ambientes containerizados (por exemplo, Kubernetes), a infraestrutura que dispara uma chamada de retorno do farol pode deixar de existir antes que a análise de atribuição comece, invalidando a suposição de que "a máquina que disparou o farol ainda está em execução".
• Complexidade do IAM: As chamadas de API em nuvem carregam contexto de identidade rico (por exemplo, ARNs de função assumida, e-mails de contas de serviço) que oferece telemetria superior, mas requer interpretação complexa de cadeias de assunção de função e logs de auditoria habilitados (CloudTrail/Log de Auditoria).
• Normalização Multi-Provedor: Os atacantes frequentemente roteiam credenciais roubadas através de diferentes provedores de nuvem, exigindo que sistemas de atribuição normalizem a telemetria entre formatos distintos.

As ferramentas atuais carecem de uma taxonomia formal para faróis nativos de nuvem e de uma métrica que quantifique como a rotatividade da infraestrutura degrada a qualidade da atribuição ao longo do tempo.

2. Metodologia

O artigo apresenta o CLOUDBURST, uma taxonomia formal e um framework de medição projetados para avaliar faróis passivos nativos de nuvem.

2.1 Framework Formal: Pontuação de Atribuição em Nuvem (CAS)

A contribuição central é a Pontuação de Atribuição em Nuvem (CAS), uma métrica unificada definida como:
$$CAS(c) = w_1C_f(1 - E_p) + w_2I_c + w_3(1 - E_p)I_c + w_4M_b$$
Onde:

• $C_f$: Fidelidade da chamada de retorno (qualidade da informação por chamada de retorno).
• $E_p$: Penalidade de efemeridade, modelando a perda de qualidade de atribuição devido à rotatividade da infraestrutura (reinícios de pods, escalonamento automático).
• $I_c$: Cobertura do IAM (fração do contexto de identidade capturada).
• $M_b$: Bônus multi-nuvem (ganho de correlação a partir de evidências entre provedores).
• $w_i$: Pesos somando 1.

O framework modela explicitamente o Decaimento Efêmero, onde a penalidade $E_p$ aumenta como função do tempo, reinícios de pods e eventos de escalonamento, demonstrando matematicamente como a qualidade da atribuição se degrada em ambientes containerizados.

2.2 Taxonomia de Vetores de Farol

O CLOUDBURST define seis classes distintas de vetores de farol, cada uma com propriedades de ameaça únicas e suporte de provedor:

1. URLs Assinadas do S3: URLs assinadas com limite de tempo embutidas em dados roubados.
2. Imagens de Contêiner Marcarizadas: Imagens OCI com camadas de verificação de saúde embutidas.
3. Funções IAM Canary: Funções/contas de serviço dormentes sem caminho de invocação legítimo.
4. Módulos Terraform Envenenados: Módulos com fontes de dados HTTP embutidas.
5. Faróis de Segredos do Kubernetes: Segredos que disparam chamadas de retorno via webhooks de admissão ou logs de auditoria.
6. Disparadores de Funções Serverless: Funções de "código morto" que disparam na invocação.

2.3 Configuração Experimental

A avaliação envolveu:

• Implantação: 21 instâncias de farol em quatro provedores de nuvem (AWS, GCP, Azure, OCI).
• Simulação de Atacante: Três níveis de sofisticação (Inexperiente, Avançado, APT) variando em roteamento (TOR/VPN), rotatividade de infraestrutura e tempo de permanência.
• Modelos de Scanner: Três modelos de detecção (AWS Macie/GCP DLP, Checkov/tfsec, Prisma Cloud/Wiz) para medir Resistência à Detecção (DR).
• Métricas: CAS, Resistência à Detecção (DR), Chamadas de Retorno para Detecção (CTD) e dinâmicas de Decaimento Efêmero ao longo de 48 horas.

3. Resultados Principais

3.1 Desempenho dos Vetores

• Funções IAM Canary alcançaram a maior CAS média (0,450) e alta Resistência à Detecção (DR = 0,873), tornando-as o vetor mais implantável. Elas fornecem a telemetria mais rica (ARNs completos de principal) e apresentam o menor risco efêmero.
• URLs Assinadas do S3 alcançaram a maior Resistência à Detecção (DR = 0,890), sobrevivendo a todos os três modelos de scanner porque seu formato de URL e padrões de acesso se assemelham à recuperação legítima de dados.
• Disparadores de Funções Serverless exibiram a pior Resistência à Detecção (DR = 0,611) devido a padrões explícitos de chamada de retorno HTTP de saída detectáveis por scanners CNAPP.
• Segredos do Kubernetes mostraram a degradação mais rápida da CAS devido à alta rotatividade de pods.

3.2 Decaimento Efêmero

Uma descoberta crítica é o rápido decaimento da qualidade da atribuição. Em todos os vetores, a CAS degradou-se de aproximadamente 0,79 na implantação para 0,18–0,22 dentro de 48 horas ($p < 0,001$). Isso estabelece um modelo quantitativo de decaimento de atribuição, provando que faróis nativos de nuvem devem ser projetados para disparo rápido ou persistência, pois a infraestrutura que dispara a chamada de retorno frequentemente desaparece antes da análise.

3.3 Agnosticismo de Provedor

A análise estatística (teste de Kruskal-Wallis, $H=1,99, p=0,57$) confirmou nenhuma diferença significativa na CAS entre os provedores de nuvem. Isso indica que a eficácia do CLOUDBURST é agnóstica ao provedor, permitindo estratégias de implantação uniformes em estates multi-nuvem.

3.4 Lacuna de Confiança na Atribuição

Apesar de altos valores de CAS para vetores específicos, nenhuma configuração alcançou uma posterior de atribuição de alta confiança ($P(H|E) \ge 0,85$). A posterior máxima observada foi $\approx 0,52$ (Canary IAM vs. APT). O artigo identifica isso como um "resultado nulo honesto", quantificando a lacuna entre as capacidades atuais de farol e a confiança operacional de atribuição.

4. Contribuições

1. Primeira Taxonomia Formal: Uma classificação de seis classes de vetores de farol nativos de nuvem com propriedades de ameaça quantificadas.
2. Pontuação de Atribuição em Nuvem (CAS): Uma métrica modelando explicitamente penalidades efêmeras, profundidade de cobertura do IAM e correlação multi-nuvem.
3. Modelo de Decaimento Efêmero: Um modelo quantitativo demonstrando como a rotatividade de infraestrutura containerizada degrada a qualidade da atribuição.
4. Avaliação Empírica: Um estudo abrangente em quatro provedores e três níveis de sofisticação de atacante, comparando com modelos de scanner do mundo real.
5. Framework de Implantação: Uma estratégia de recomendação em camadas baseada nas compensações entre CAS e DR.

5. Significado e Alegações

O artigo posiciona o CLOUDBURST como a camada fundamental para uma pilha completa de atribuição pós-exfiltração, complementando trabalhos existentes sobre implantação de farol (contra-ataque passivo), geração de token (PHANTOM) e acumulação longitudinal (ARCANE).

• Realidade Operacional: O principal significado é o estabelecimento do problema de decaimento efêmero como um desafio de engenharia mensurável. A descoberta de que a qualidade da atribuição cai abaixo de limites acionáveis dentro de 48 horas exige uma mudança nos princípios de design: migrar da atribuição baseada em "acumulação" para atribuição baseada em "primeira chamada de retorno" ou o uso de âncoras persistentes (como funções IAM).
• Orientação Estratégica: O estudo identifica Funções IAM Canary como o vetor primário superior devido ao seu equilíbrio de alta CAS, baixo risco efêmero e agnosticismo de provedor, enquanto destaca URLs Assinadas do S3 como as mais resistentes à evasão.
• Limitações e Trabalho Futuro: Os autores afirmam modestamente que os vetores de farol atuais, por si só, são insuficientes para atribuição de alta confiança ($P \ge 0,85$). Eles propõem que fechar essa lacuna requer sinais suplementares: gráficos de infraestrutura de nuvem, direcionamento de setor da vítima e agrupamento temporal. O artigo não alega resolver a atribuição inteiramente, mas fornece o framework de medição e a taxonomia necessários para integrar faróis nativos de nuvem em um pipeline de atribuição mais amplo.