Resumo Técnico: Da Telemetria às Técnicas

Declaração do Problema

Os métodos tradicionais de detecção de ameaças baseados em assinaturas e regras têm dificuldade em identificar ataques cibernéticos modernos porque dependem de indicadores de comprometimento (IOCs) predefinidos e falham em capturar padrões comportamentais complexos. Embora abordagens centradas no comportamento usando telemetria de sistema tenham ganhado tração, lacunas significativas de pesquisa permanecem. Estudos existentes frequentemente dependem de características estáticas ou regras manuais, limitando a generalização entre comportamentos de ataque heterogêneos. Além disso, muitas abordagens tratam eventos de segurança como observações independentes, ignorando as relações sequenciais e semânticas incorporadas nos comportamentos adversários. Adicionalmente, o uso de modelos de linguagem de propósito geral muitas vezes carece de compreensão específica do domínio da cibersegurança, e o severo desequilíbrio de classes em conjuntos de dados de segurança dificulta a detecção confiável de técnicas adversárias de baixa frequência.

Metodologia

Este artigo propõe um framework centrado no comportamento para classificar técnicas do MITRE ATT&CK usando telemetria Sysmon gerada através de emulações de ataque do Atomic Red Team. A metodologia foca na reconstrução de eventos discretos do Sysmon em sequências comportamentalmente significativas e na avaliação de diferentes paradigmas de aprendizado para classificação.

1. Pré-processamento de Dados e Seleção de Características

O estudo utilizou o repositório de dados de ataque do Splunk, especificamente conjuntos de dados gerados por simulações do Atomic Red Team dentro do ambiente Attack Range. Logs XML brutos do Sysmon passaram por um rigoroso pipeline de pré-processamento:

• Seleção de Características: Do esquema heterogêneo do Sysmon, as características foram selecionadas com base em sua capacidade de capturar o contexto de execução de processos, relacionamentos, interações de recursos e padrões temporais. Campos chave retidos incluíram EventID, UtcTime, GUIDs de processo (ProcessGUID, ParentProcessGUID, etc.) e atributos específicos do evento como CommandLine, Image e TargetFilename.
• Normalização e Abstração: Artefatos específicos do ambiente (ex: caminhos de arquivos específicos, SIDs de usuário, GUIDs específicos da máquina) foram anonimizados ou substituídos por tokens genéricos (ex: [USER], [GUID], [BASE64]) para evitar que os modelos aprendam ruído específico do host.
• Deduplicação: Eventos redundantes foram removidos, reduzindo o conjunto de dados de 427.774 para 148.500 eventos.

2. Estratégias de Correlação de Eventos

Duas estratégias distintas foram empregadas para reconstruir sequências comportamentais a partir de eventos discretos:

• Correlação baseada em GUID: Esta abordagem aproveita identificadores persistentes de processo (ProcessGUID) gerados pelo Sysmon para reconstruir a linhagem do processo e as relações causais. Ela agrupa eventos por hierarquia de processo, interações entre processos (ex: injeção, acesso) e ciclo de vida, preservando o contexto estrutural da cadeia de ataque, independentemente da reutilização de PID.
• Correlação baseada em Tempo: Esta abordagem agrupa eventos que ocorrem dentro de uma janela de um segundo compartilhando o mesmo rótulo MITRE ATT&CK. Ela se baseia na proximidade cronológica para capturar padrões comportamentais sem a reconstrução explícita do relacionamento entre processos.

3. Paradigmas de Aprendizado e Tratamento de Desequilíbrio

O estudo avaliou duas categorias de modelos sob várias estratégias de mitigação de desequilíbrio de classe:

• Aprendizado de Máquina (ML) Tradicional: Três classificadores de ensemble (LightGBM, Extra Trees, Random Forest) foram treinados em embeddings numéricos gerados pelo SecBERT. Para abordar o desequilíbrio de classe, o SMOTE (Synthetic Minority Over-sampling Technique) foi aplicado ao espaço de embedding.
• Modelos Baseados em Transformer: Dois modelos de linguagem específicos de cibersegurança, SecBERT e SecureBERT, foram ajustados (fine-tuned) diretamente nas representações textuais comportamentais. Em vez de sobreamostragem sintética, estratégias ao nível do algoritmo foram usadas: Adaptive Focal Loss (ajustando dinamicamente o parâmetro de foco) e Cost-Sensitive Focal Loss (incorporando penalidades ponderadas por classe). Uma configuração de linha de base sem mitigação explícita de desequilíbrio também foi testada.

Principais Contribuições

1. Framework Centrado no Comportamento: O artigo propõe um framework sistemático que reconstrói a telemetria Sysmon em sequências comportamentais contextuais usando tanto correlação de eventos baseada em GUID quanto temporal.
2. Avaliação Comparativa: Realiza uma comparação abrangente entre classificadores de aprendizado de máquina tradicionais e modelos Transformer específicos de cibersegurança para classificação de técnicas do MITRE ATT&CK.
3. Análise de Estratégia de Desequilíbrio: O estudo investiga tanto o tratamento de desequilíbrio de classe ao nível de dados (SMOTE) quanto ao nível do algoritmo (variantes de Focal Loss) para identificar combinações eficazes para este domínio específico.
4. Validação de Estratégia de Correlação: Identifica empiricamente a combinação mais eficaz de estratégia de correlação, paradigma de aprendizado e tratamento de desequilíbrio para o reconhecimento de técnicas do ATT&CK.

Resultados Experimentais

Os experimentos envolveram 24 configurações em dois conjuntos de dados (correlacionados por GUID e correlacionados por Tempo) e múltiplos modelos.

• Estratégia de Correlação: A correlação baseada em GUID superou consistentemente a correlação baseada em tempo em todos os classificadores avaliados. Isso indica que preservar o contexto comportamental do nível de processo (linhagem e interação) contribui mais substancialmente para o reconhecimento de técnicas do que o agrupamento temporal isolado.
• Desempenho do Modelo:
  • Melhor Geral: O modelo SecureBERT treinado em sequências correlacionadas por GUID sem mitigação explíc-ita de desequilíbrio de classe alcançou o melhor desempenho (Acurácia: 0.586, F1 Macro: 0.357).
  • ML Tradicional: Entre os modelos tradicionais, o LightGBM com SMOTE em dados correlacionados por GUID teve o melhor desempenho (Acurácia: 0.501).
  • Tratamento de Desequilíbrio: Para modelos Transformer, a linha de base (sem aprendizado sensível ao custo) geralmente superou as variantes de Focal Loss. Em contraste, o SMOTE proporcionou melhorias consistentes para modelos de ML tradicional, particularmente em dados correlacionados por GUID.
• Análise por Classe: Técnicas com padrões comportamentais distintos (ex: T1588, T1059) alcançaram altos scores de F1 (>0.9), enquanto técnicas com comportamentos sobrepostos (ex: mecanismos de persistência como T1547, T1543) ou baixas contagens de amostras (ex: T1553) tiveram dificuldades, sendo frequentemente confundidas com "Remoção de Indicador" (T1070) ou outras técnicas de persistência.

Significância e Alegações

O artigo alega que a qualidade da representação comportamental tem uma influência maior no desempenho da classificação do que a escolha do classificador isoladamente. O principal achado é que preservar os relacionamentos estruturais de processo (via correlação baseada em GUID) antes do aprendizado de representação semântica aumenta significativamente o desempenho da classificação de técnicas.

O estudo conclui que a combinação de correlação de eventos baseada em GUID e o modelo baseline SecureBERT fornece o framework mais eficaz para a identificação automatizada de técnicas do MITRE ATT&CK a partir de telemetria Sysmon. Os autores observam que seus achados oferecem orientação prática para selecionar combinações eficazes de estratégia de correlação de eventos, modelos de aprendizado e tratamento de desequilíbrio para classificação de ameaças cibernéticas centrada no comportamento.

Os autores reconhecem limitações, especificamente que os dados foram gerados em um ambiente de laboratório controlado (Atomic Red Team) em vez de ambientes empresariais do mundo real, e que a estrutura complexa das sequências correlacionadas limita a aplicabilidade de técnicas convencionais de aumento de dados. Eles sugerem que trabalhos futuros avaliem o framework em telemetria de larga escala do mundo real e investiguem métodos de aumento de dados conscientes do contexto.