Towards Model-based Run-time Cybersecurity: On Control-Flow Anomaly Detection, Attack Identification, and Hardware Monitoring

Imagine que você é o guarda de segurança de um castelo de alta tecnologia. Seu trabalho não é apenas verificar quem passa pela porta da frente; você tem que garantir que, uma vez lá dentro, eles não comecem a rearranjar os móveis, pintar sobre os afrescos ou entrar sorrateiramente no quarto do rei. No mundo dos computadores, isso é chamado de cibersegurança. Por muito tempo, os guardas apenas vigiavam a porta da frente (a rede) para ver se os vilões estavam tentando invadir. Mas os hackers modernos são espertos; às vezes eles entram e tentam mudar a forma como o computador pensa e se move, tudo isso enquanto fingem ser um programa normal e útil.

Para pegar esses intrusos sorrateiros, cientistas usam um método chamado Monitoramento de Fluxo de Controle. Pense em um programa de computador como uma receita para assar um bolo. O "fluxo de controle" é a ordem das etapas: misturar a farinha, adicionar os ovos, assar, depois confeitar. Se a receita de repente diz "adicionar sal" logo após "assar", ou pula a etapa de "misturar" inteira, algo está errado. Sistemas de segurança vigiam essa receita para ver se as etapas fazem sentido. Se elas não fizerem, temos uma anomalia. Mas aqui está a parte complicada: um hacker inteligente pode enganar o guarda. Eles podem esconder a etapa "adicionar sal" em uma parte da receita que parece uma etapa normal de "limpar a cozinha", ou podem apagar a nota que diz "adicionar sal" da prancheta do guarda. Isso é chamado de camuflagem. O guarda vê uma etapa estranha, mas como a nota está faltando ou parece inofensiva, ele pensa: "Ah, isso é apenas uma rotina de limpeza estranha", e deixa passar.

Este artigo, escrito por pesquisadores da Alemanha, aborda exatamente esse problema: Como pegar um hacker que é bom em esconder seus rastros? Os autores sugerem uma nova e inteligente maneira de olhar para o problema, combinando dois tipos de guardas de segurança: um que trabalha dentro do software do computador (o "observador de software") e outro que observa de uma caixa de hardware separada e inquebrável (o "observador de hardware"). Eles argumentam que, embora o guarda de software possa ser enganado, o guarda de hardware é muito mais difícil de ser ludibriado. Ao usar ambos, você pode pegar o hacker mesmo quando ele tenta disfarçar seus movimentos.

A História dos Dois Guardas

Os pesquisadores começam explicando como a segurança atual funciona. Normalmente, um computador possui um mapa de todos os caminhos válidos que um programa pode seguir, chamado de Grafo de Fluxo de Controle (CFG). É como um mapa de metrô mostrando cada estação e cada trilho. Se o programa tentar pular para uma estação que não está no mapa, o sistema dispara um alarme. Para descobrir por que o alarme disparou, as equipes de segurança usam algo chamado Árvore de Ataque. Imagine uma árvore onde o galho superior é a coisa ruim que aconteceu (como "O Quarto do Rei foi invadido"). Os galhos abaixo dele são as possíveis razões: "O guarda dormiu?", "Alguém arrombou a fechadura?" ou "Um ladrão entrou voando?".

O problema, como os autores apontam, é que a Árvore de Ataque é tão inteligente quanto a informação que recebe. Se o hacker conseguir esconder as evidências, a Árvore de Ataque pode concluir: "Ah, o guarda apenas dormiu", quando a resposta real é: "O ladrão entrou voando". Este é o problema da camuflagem. O hacker manipula os próprios logs ou sensores do software para que a parte do "entrar voando" desapareça do relatório.

O Herói de Hardware

Para resolver isso, o artigo propõe um sistema de camada dupla. A primeira camada é o Observador de Software, que vive dentro do computador. É como uma câmera de segurança instalada no corredor. Ela é boa, mas se um hacker invadir o corredor, ele pode cobrir a lente da câmera ou trocar a fita de vídeo.

A segunda camada é o Observador de Hardware. Esta é a grande ideia do artigo. Em vez de uma câmera dentro do corredor, imagine um drone invisível voando do lado de fora das muralhas do castelo, observando o castelo através de um telescópio. Este drone está conectado à própria maquinaria física do castelo (o processador), mas não faz parte do software do castelo. Mesmo que o hacker assuma o controle dos sistemas internos do castelo, ele não consegue alcançar facilmente o drone do lado de fora para mudar o que ele vê.

Os pesquisadores descrevem um cenário específico para mostrar como isso funciona. Eles imaginam um serviço de autenticação (um sistema de login) para um gateway industrial.

1. O Ataque: Um hacker encontra uma vulnerabilidade no sistema de login. Eles infiltram uma carga maliciosa que parece um pedido de "manutenção" normal. Eles enganam o sistema para pular a verificação de "Autenticação de Múltiplos Fatores" (MFA) e criar uma sessão secreta.
2. A Camuflagem: O hacker então usa um truque especial para reescrever os próprios logs do software. O observador de software vê um relatório que diz: "Fizemos uma manutenção, depois negamos o pedido e depois... oh, uma sessão foi criada, mas os logs estão um pouco bagunçados". O observador de software pensa: "Hmm, talvez o sistema de registro esteja apenas com erro. Esse é um problema de baixo nível". A Árvore de Ataque concorda e classifica isso como um erro menor de configuração.
3. A Verdade do Hardware: Enquanto isso, o Observador de Hardware está observando os sinais elétricos reais do processador. Ele vê o caminho real: o hacker pulou de um bloco de "manutenção" diretamente para um bloco de "hacking", pulou a verificação de MFA inteira e depois suprimiu os logs. O observador de hardware vê o salto ilegal que o observador de software perdeu.

O Diagnóstico Muda

Quando os pesquisadores alimentam os dados do Observador de Hardware na mesma Árvore de Ataque, o diagnóstico muda completamente. A árvore não vê mais um "log problemático". Ela vê "Salto ilegal", "Verificação de segurança ausente" e "Manipulação de log". De repente, o diagnóstico muda de "Baixa Severidade: Erro de Configuração" para "Alta Severidade: Injeção de Código e Sequestro de Fluxo de Controle".

O artigo mostra que, ao combinar os dois, você não apenas detecta mais ataques; você os entende melhor. O guarda de software pode dizer: "Algo está estranho", mas o guarda de hardware diz: "Aqui está exatamente o que a coisa estranha é, e ela é perigosa".

O Que Isso Significa (e o Que Não Significa)

Os autores são cuidadosos ao notar que esta é uma ideia preliminar. Eles construíram partes deste sistema e o testaram em simulações, mas ainda não o integraram totalmente a um produto do mundo real. Eles admitem que existem desafios. Por exemplo, o monitor de hardware não é mágico; se o buffer de rastreamento transbordar (a memória do drone encher) ou se o hacker de alguma forma atacar o próprio hardware físico, o sistema ainda poderá falhar. Além disso, ler os dados do hardware leva tempo e poder de computação, então você não pode observar tudo o tempo todo.

Em vez disso, o artigo sugere uma estratégia inteligente: use o guarda de software para vigiar tudo de forma barata. Se o guarda de software vir algo suspeito, então acorde o guarda de hardware para realizar uma observação mais detalhada e próxima. Dessa forma, você obtém o melhor dos dois mundos: a velocidade do software e a confiabilidade do hardware.

No fim, este artigo não afirma ter resolvido a cibersegurança para sempre. Não promete um escudo perfeito. Mas oferece uma nova e promissora maneira de pensar o problema: Não confie apenas no boletim escolar do próprio computador. Tenha uma testemunha independente para conferir o dever de casa. Ao adicionar esse segundo par de olhos independente, podemos impedir que os hackers escondam seus truques à vista de todos.