🤖 AI

AnonShield: Scalable On-Premise Pseudonymization for CSIRT Vulnerability Data

O artigo apresenta o AnonShield, um sistema de pseudonimização local de alto rendimento que utiliza NER acelerado por GPU e processamento de fluxo para alcançar uma aceleração de até 738x no processamento de dados de vulnerabilidade, mantendo alta precisão, permitindo, assim, o compartilhamento de dados em conformidade e escalável para CSIRTs.

Autores originais: Cristhian Kapelinski, Douglas Lautert, Beatriz Machado, Diego Kreutz, Isadora Garcia Ferrão

Publicado 2026-06-16

📖 4 min de leitura☕ Leitura rápida

CC BY 4.0

Autores originais: Cristhian Kapelinski, Douglas Lautert, Beatriz Machado, Diego Kreutz, Isadora Garcia Ferrão

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine uma equipe de segurança (chamada de CSIRT) que atua como uma gigante agência de detetives digitais. Todos os dias, eles escaneiam suas redes de computadores para encontrar "bugs" ou fraquezas (vulnerabilidades). Esses escaneamentos produzem relatórios massivos que são como fotos detalhadas de cenas de crimes.

O problema é que essas fotos contêm informações sensíveis. Elas não mostram apenas o bug; elas também mostram os nomes dos edifícios, os números específicos das salas e até os nomes das pessoas que moram lá. Se a equipe quiser compartilhar essas fotos com especialistas externos para obter ajuda, ou usá-las para treinar IA, eles precisam borrar esses nomes primeiro. Esse processo é chamado de pseudonimização.

O artigo apresenta uma nova ferramenta chamada AnonShield para realizar esse trabalho de borrar. Veja como ela funciona, explicado de forma simples:

O Problema: O Jeito Antigo "Lento e Arriscado"

Anteriormente, tentar borrar esses relatórios massivos era como tentar limpar um armazém gigante com uma escova de dentes.

Muito Lento: As ferramentas antigas (como a versão anterior, AnonLFI v2.0) levavam mais de 92 horas para processar um único arquivo grande. Isso é como passar quatro dias inteiros limpando apenas um quarto.
Muito Arriscado: Algumas ferramentas tentavam fazer o trabalho enviando os dados para a "nuvem" (servidores externos). Isso é como enviar suas fotos secretas de crimes para um estranho para que elas sejam borradas. Isso quebra as regras de privacidade de dados porque os dados saem do edifício.
Muito Desajeitado: Outras ferramentas eram como um martelo bruto; elas acabavam borrando detalhes técnicos importantes (como o nome do próprio bug) junto com os nomes sensíveis, tornando o relatório inútil para análise.

A Solução: AnonShield

O AnonShield é como fazer um upgrade de uma escova de dentes para um aspirador industrial de alta velocidade que funciona inteiramente dentro do seu próprio edifício.

1. O Motor Superveloz (Aceleração por GPU)
Pense na ferramenta antiga como um único trabalhador lendo um livro página por página. O AnonShield contrata toda uma equipe de trabalhadores (usando uma placa de vídeo poderosa, ou GPU) que pode ler e borrar milhares de páginas ao mesmo tempo.

O Resultado: Um trabalho que costumava levar 92 horas agora leva menos de 10 minutos. Esse é um aumento de velocidade de quase 738 vezes.

2. O Filtro Inteligente (Consciente de Contexto)
Imagine que você está editando uma história. Você precisa borrar os nomes das pessoas, mas não quer borrar os nomes dos monstros ou das armas, porque a história é sobre lutar contra esses monstros.

O AnonShield é inteligente o suficiente para saber a diferença. Ele reconhece termos específicos de cibersegurança (como códigos "CVE" ou "CPE") e sabe mantê-los claros enquanto borra os nomes sensíveis.
Ele usa uma configuração "consciente de esquema" (schema-aware), que é como ter uma lista de verificação. Se a lista diz "Borrar tudo na coluna 'Nome do Host'", ele faz isso instantaneamente sem nem precisar ler o texto, tornando o processo ainda mais rápido.

3. A "Tinta Mágica" (Pseudonimização)
Em vez de apenas riscar um nome (o que destrói os dados), o AnonShield o substitui por um código único e inquebrável (como um codinome secreto).

Se o nome "Servidor-1" aparece 100 vezes no relatório, o AnonShield o altera para o mesmo código (por exemplo, "X-999") todas as vezes.
Isso mantém os dados úteis: os analistas ainda podem ver que o "X-999" foi atacado três vezes, embora não saibam que era o "Servidor-1".
Somente o líder da equipe com a chave secreta pode transformar o código de volta no nome real.

4. A Promessa de "Sem Nuvem"
Tudo acontece ali mesmo, no computador onde os dados residem. Nenhum dado é enviado para a internet. Isso mantém a organização segura contra hackers e mantém a conformidade com as leis de privacidade (como o GDPR).

Os Resultados

Os pesquisadores testaram esta ferramenta em um conjunto de dados massivo de mais de 70.000 registros (cerca de 550 MB de dados).

Velocidade: Eles passaram de dias de espera para minutos.
Precisão: A ferramenta foi incrivelmente precisa. Ela encontrou e borrou com sucesso 96,7% das informações sensíveis (Recall) enquanto mantinha os dados úteis para análise (F1-score de 94,2%).
Confiabilidade: Ela lidou com formatos de arquivos bagunçados (como PDFs com imagens) e planilhas enormes sem travar.

Em Resumo

O AnonShield é uma ferramenta que permite às equipes de segurança compartilhar seus relatórios de vulnerabilidade de forma segura e rápida. Ele atua como um editor superveloz e inteligente que vive dentro do seu próprio computador, substituindo nomes sensíveis por códigos secretos para que os dados possam ser usados para análise ou treinamento de IA sem nunca revelar quem ou o que foi escaneado. Ele transforma um trabalho de 4 dias em uma tarefa de 10 minutos.

Resumo Técnico: AnonShield

Declaração do Problema

As Equipes de Resposta a Incidentes de Segurança Computacional (CSIRTs) enfrentam um desafio operacional crítico: a necessidade de compartilhar dados de varredura de vulnerabilidades (de ferramentas como OpenVAS e Tenable) para análise, pipelines de aprendizado de máquina e geração de dados sintéticos, mantendo a conformidade rigorosa com as regulamentações de soberania de dados e privacidade (GDPR, LGPD). Esses relatórios contêm Informações de Identificação Pessoal (PII) sensíveis, identificadores de rede (IPs, nomes de host) e credenciais junto com achados técnicos.

As soluções existentes não atendem aos requisitos específicos para implantações de CSIRT em larga escala:

Ferramentas baseadas em nuvem (ex: Google Cloud DLP, Amazon Comprehend) violam a soberania dos dados ao exigir a transmissão de dados para endpoints externos.
Ferramentas genéricas on-premise (ex: Microsoft Presidio) carecem de reconhecedores para entidades específicas de cibersegurança (CVEs, CPEs, hashes criptográficos), deixando perfis de vulnerabilidade expostos.
Iterações de pesquisas anteriores (AnonLFI v1.0 e v2.0) sofrem com problemas de escalabilidade. O AnonLFI v2.0, embora suporte formatos hierárquicos (XML/JSON) e OCR, requer mais de 92 horas para processar um conjunto de dados de 550 MB (70.951 registros) devido ao parsing de DOM intensivo em memória e à falta de aceleração de hardware, tornando-o impraticável para uso operacional.

Metodologia: O Framework AnonShield

O AnonShield é um sistema de pseudonimização de alto rendimento e on-premise, projetado para processar dados de vulnerabilidade localmente. Ele substitui entidades sensíveis por pseudônimos determinísticos (slugs HMAC-SHA256) para preservar a integridade referencial entre os relatórios sem expor os dados originais.

O framework opera através de cinco estágios sequenciais:

Processamento de Entrada: Suporta formatos heterogêneos (XML, JSON, JSONL, CSV, TXT, LOG, PDF, DOCX, XLSX). Arquivos grandes são tratados via I/O de streaming (usando ijson para JSON e SAX para XML) para evitar o carregamento total na memória.
Detecção de Entidades (NER): Utiliza uma abordagem híbrida combinando:
- Modelos Transformer acelerados por GPU: Modelos configuráveis como Davlan/xlm-roberta-base-ner-hrl ou o focado em cibersegurança attack-vector/SecureModernBERT-NER.
- Padrões de RegEx Customizados: 21 padrões cobrindo IPs, URLs, hashes, certificados, identificadores CVE/CPE e credenciais.
- Cache LRU: Amortiza buscas repetidas entre os registros.
Pseudonimização: As entidades são substituídas por slugs HMAC-SHA256 computados usando uma chave secreta definida pelo operador. O comprimento do slug é configurável (0–64 caracteres hexadecimais) e o tipo da entidade é preservado como um prefixo (ex: [IP_ADDRESS_48624b5cdc]).
Persistência: Um banco de dados SQLite local armazena o mapeamento entre as entidades originais e os slugs, permitindo a reidentificação controlada por administradores que detêm a chave e o banco de dados.
Saída: Formatos estruturados preservam o esquema e a estrutura, com apenas os valores sendo substituídos. Formatos não estruturados (PDF, DOCX, imagens) são processados via OCR ou extração de texto e entregues como texto puro.

Principais Características Arquiteturais:

Configuração Consciente de Esquema: Um mecanismo (anonymization_config) permite políticas por campo (ex: force_anonymize, fields_to_exclude) para ignorar o overhead de NER, aumentando significativamente o desempenho.
Múltiplas Estratégias: Os usuários podem selecionar entre:
- Standalone: Maior rendimento, ignora o Presidio completamente.
- Híbrida/Filtrada: Equilibra precisão e desempenho ao restringir os reconhecedores para entidades relevantes à cibersegurança.
- Presidio: Maximiza o recall, mas pode introduzir falsos positivos de padrões irrelevantes ao domínio.

Principais Contribuições

Arquitetura Escalável: Um sistema capaz de processar conjuntos de dados de vulnerabilidade em escala operacional (até 550 MB, ~71k registros) on-premise com complexidade quase linear.
Avaliação Abrangente: Uma análise comparativa de quatro estratégias (standalone, híbrida, presidio, filtrada) contra gerações anteriores (AnonLFI v1.0/v2.0) e ferramentas comerciais, utilizando conjuntos de dados que variam de testbeds heterogêneos a dados operacionais reais.
Validação de Precisão: Uma avaliação estatística usando uma amostra anotada por especialistas (67 registros, 13 tipos de entidades) para medir Precisão, Recall e F1-Score.

Resultados Experimentais

A avaliação utilizou quatro conjuntos de dados (D1–D3), incluindo um conjunto de dados operacional de 550 MB da CAIS/RNP (D2) contendo 70.951 registros de vulnerabilidade.

Desempenho (Throughput & Latência):

Aceleração (Speedup): O AnonShield reduz o tempo de processamento para o conjunto de dados operacional de 550 MB de um estimado de >92 horas (AnonLFI v2.0) para menos de 10 minutos (453 segundos), alcançando uma aceleração de 738×.
Escalabilidade: O AnonShield demonstra complexidade quase linear ( $\alpha \approx 1$ ). Em contraste, o AnonLFI v2.0 degrada superlinearmente devido ao parsing de DOM.
Otimização: Habilitar a configuração consciente de esquema para dados CSV reduziu ainda mais o tempo de execução para 12,55 segundos (34.341 KB/s), um ganho de 46,9× sobre a inferência completa de NER.
Independência de Hardware: Mesmo em hardware apenas com CPU, o AnonShield alcança uma aceleração $\ge$ 535× sobre o AnonLFI v2.0, confirmando que os ganhos são arquiteturais e não meramente dependentes de hardware.

Precisão:

Métricas: As estratégias Filtrada e Híbrida alcançaram um F1-score de 94,2% e um Recall de 96,7%.
Comparação: Isso representa uma melhoria significativa em relação ao AnonLFI v1.0 (F1: 23,7%) e v2.0 (F1: 54,0%).
Análise de Erros: Os Falsos Negativos foram primariamente determinísticos (nomes de organizações não reconhecidos em strings de atribuição e artefatos estruturais como números de porta em texto livre). Os Falsos Positivos foram significativamente reduzidos nos modos Filtrado/Híbrido ao suprimir reconhecedores irrelevantes ao domínio (ex: classificar incorretamente strings de versão como datas).

Significância e Alegações

O artigo postula que a pseudonimização escalável e on-premise de dados de vulnerabilidade é operacionalmente viável sem sacrificar a utilidade analítica. Ao alcançar alto rendimento e alto recall, o AnonShield permite:

Compartilhamento de Dados em Conformidade: Facilitando o uso de dados de vulnerabilidade em pipelines de LLM e geração de dados sintéticos enquanto adere ao GDPR e à LGPD.
Viabilidade Operacional: Passando de tempos de processamento impraticáveis (>92 horas) para capacidades próximas do tempo real (<10 minutos) para ambientes empresariais de larga escala.
Segurança Contextual: Reconhecendo que identificadores de cibersegurança (CVEs, CPEs) são sensíveis em contextos específicos, o sistema permite controle refinado sobre o que é pseudonimizado, abordando uma lacuna deixada por ferramentas genéricas de PII.

Os autores reconhecem as limitações atuais, incluindo a dependência de bibliotecas de OCR específicas para PDFs de imagem única e a dificuldade inerente de publicar dados de vulnerabilidade brutos mesmo após a pseudonimização (devido ao risco de estreitar o espaço de busca de um atacante). Consequentemente, eles posicionam a pseudonimização como um passo complementar à geração de dados sintéticos para compartilhamento externo, permanecendo essencial para a análise assistida por LLM interna.