From Threat Intelligence to Detection: Knowledge-driven Enrichment and Template-based Rule Grounding for Automated Sigma Rule Generation
Este artigo apresenta o AUTOSIGMA, um framework automatizado que transforma inteligência de ameaças cibernéticas não estruturada em regras Sigma acionáveis ao combinar enriquecimento baseado em conhecimento, fundamentação baseada em templates e validação baseada em LLM para superar as limitações de escalabilidade e precisão da criação manual de regras.
Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo
No mundo de alto risco da cibersegurança, os defensores frequentemente se veem reagindo a ataques muito tempo depois de eles terem começado. As informações sobre esses ataques geralmente chegam na forma de relatórios detalhados escritos por especialistas em inteligência. Esses documentos descrevem como grupos criminosos sofisticados, conhecidos como Ameaças Persistentes Avançadas (APTs), infiltram-se em redes, movimentam-se e roubam dados. No entanto, esses relatórios são escritos em linguagem comum, repletos de detalhes narrativos e contexto humano, o que os torna difíceis de serem lidos e processados imediatamente por computadores. Para interromper um ataque em tempo real, os sistemas de segurança precisam de instruções específicas chamadas regras de detecção. Essas regras atuam como filtros precisos, examinando milhões de eventos digitais para encontrar os padrões exatos de uma ameaça específica. Criar essas regras manualmente é um processo lento e propenso a erros que exige profunda expertise e, quando um analista humano termina de escrever uma regra para uma nova ameaça, os atacantes já podem ter mudado seus métodos.
O desafio central reside em preencher a lacuna entre uma história escrita por humanos sobre um ataque e o código técnico rígido que um computador precisa para caçá-lo. As equipes de segurança precisam de uma maneira de traduzir automaticamente essas narrativas não estruturadas em lógica de detecção acionável sem perder a nuance que torna a ameaça real. Se essa tradução puder ser automatizada, as organizações poderiam implantar defesas no momento em que uma nova ameaça é descoberta, em vez de esperar dias ou semanas pela análise manual. Este é o problema que uma equipe de pesquisadores se propôs a resolver ao desenvolver um novo sistema projetado para ler relatórios de ameaças e gerar instantaneamente as salvaguardas digitais necessárias.
Os pesquisadores criaram um sistema chamado AUTOSIGMA, que atua como um tradutor automatizado entre a inteligência humana e a defesa de máquina. Em vez de simplesmente pedir que um computador adivinhe as regras com base em uma descrição de texto, o sistema segue um processo cuidadoso de várias etapas que imita como um especialista humano pensaria, mas com a velocidade de uma máquina. Primeiro, o sistema lê o relatório de ameaça bruto e o decompõe, identificando os principais atores, as ferramentas utilizadas e as etapas específicas que os atacantes seguiram. Ele vai além ao consultar vastos bancos de dados externos de vulnerabilidades conhecidas e técnicas de ataque para preencher quaisquer detalhes ausentes. Se um relatório menciona uma falha de software específica, mas não explica como ela funciona, o sistema pesquisa essa falha em um banco de dados global para compreender plenamente seu comportamento. Isso garante que o sistema tenha uma imagem completa do ataque, mesmo que o relatório original tenha sido vago ou incompleto.
Uma vez que o sistema compreende todo o escopo do ataque, ele decompõe o cenário complexo em pequenas etapas individuais. Um único ataque pode envolver dezenas de ações, e tentar capturar todas elas em uma única regra seria ineficaz. Ao separar o ataque em partes atômicas, o sistema pode criar uma regra específica para cada etapa, tornando a detecção muito mais precisa. A próxima fase é onde o sistema recorre à experiência coletiva da comunidade de segurança. Ele pesquisa através de uma biblioteca massiva e constantemente atualizada de regras de detecção existentes para encontrar aquelas que são semelhantes às etapas que acabou de identificar. Pense nisso como um mestre construtor olhando para uma biblioteca de plantas comprovadas antes de construir uma nova casa; o sistema utiliza esses padrões existentes e validados como uma fundação. Isso evita que o sistema invente regras do zero que possam ser falhas ou errar o alvo, garantindo que as novas regras estejam fundamentadas na lógica que já foi testada por especialistas.
Com uma base sólida e uma compreensão clara da ameaça, o sistema então gera a regra de detecção real. No entanto, ele não para por aí. Os pesquisadores projetaram um mecanismo de verificação único onde dois modelos de inteligência artificial trabalham juntos em um ciclo. Um modelo atua como o criador, escrevendo a regra com base nos detalhes da ameaça e no projeto escolhido. O segundo modelo atua como um juiz rigoroso, revisando a regra para ver se ela faz sentido, se segue o formato técnico correto e se realmente capturará a ameaça sem causar alarmes falsos. Se o juiz encontrar um erro, ele envia a regra de volta para o criador com um feedback específico sobre como corrigi-la. Esse ciclo se repete até que a regra esteja perfeita. Esse processo de ida e volta é crucial porque detecta erros que um único modelo poderia perder, como um detalhe ausente ou uma lacuna lógica, garantindo que o resultado final seja confiável o suficiente para ser usado em sistemas de segurança do mundo real.
Os pesquisadores testaram este sistema usando relatórios do mundo real de alguns dos grupos cibercriminosos mais notórios da história, incluindo APT41, APT28 e APT29. Eles compararam as regras geradas pelo AUTOSIGMA contra as produzidas por outras ferramentas automatizadas e contra os outputs de modelos de linguagem avançados usados por eles próprios. Os resultados mostraram que o sistema deles foi significativamente melhor em produzir regras que eram tecnicamente corretas e relevantes para as ameaças específicas descritas. Ele conseguiu cobrir mais técnicas de ataque conhecidas e foi mais robusto ao lidar com relatórios mal formatados ou com falta de detalhes. O estudo sugere que, ao combinar conhecimento externo, modelos de regras existentes e um processo rigoroso de autoverificação, é possível automatizar a criação de regras de detecção de alta qualidade. Essa abordagem não apenas acelera o processo; ela melhora a qualidade da defesa, permitindo que as equipes de segurança respondam a ameaças em evolução com um nível de precisão e velocidade que os métodos manuais não conseguem igualar.
Afogado em artigos na sua área?
Receba digests diários dos artigos mais recentes que correspondam às suas palavras-chave de pesquisa — com resumos técnicos, no seu idioma.