No mundo digital, as equipes de segurança são constantemente bombardeadas com fluxos de dados de computadores e servidores. Esses registros (logs) registram cada ação que uma máquina realiza: a abertura de um arquivo, o início de um programa, uma conexão sendo estabelecida. Durante anos, o objetivo da cibersegurança tem sido reunir essas notas dispersas para visualizar o quadro geral de um ataque. O desafio é que as notas costumam estar incompletas. Os invasores são habilidosos em esconder seus rastros, deletar logs ou embaralhar a ordem dos eventos. Além disso, uma única ação de computador pode significar muitas coisas diferentes dependendo do contexto; um programa iniciando pode ser uma atualização inofensiva ou o início de um roubo. Métodos tradicionais tentam resolver isso combinando padrões específicos com ameaças conhecidas, mas frequentemente falham quando as evidências são desorganizadas ou quando os invasores usam ferramentas familiares de maneiras novas e inesperadas.

Uma equipe de pesquisadores da Universidade Gachon, na Coreia do Sul, propôs uma nova maneira de pensar sobre este problema. Eles chamam seu sistema de SCOPE. Em vez de tentar forçar cada entrada de log individual em uma caixa rígida, o SCOPE trata a análise como um processo de raciocínio sob incerteza. Ele aceita que os dados que recebe são falhos e incompletos, e constrói um modelo capaz de lidar com peças ausentes sem desmoronar. Os pesquisadores testaram seu sistema contra um conjunto de trinta e cinco cenários de ataque conhecidos, onde a sequência real de eventos já estava documentada. Eles descobriram que o SCOPE conseguia reconstruir o caminho geral de um ataque com uma precisão muito maior do que os métodos existentes, mesmo quando metade das evidências digitais estava faltando. Mais importante ainda, o sistema conseguiu identificar padrões de ataque complexos que nunca havia visto antes, desde que esses padrões fossem feitos de blocos de construção conhecidos organizados em uma nova ordem.

A dificuldade central na análise desses logs é que os eventos individuais são pequenos demais para contar uma história por si só. Uma única entrada de log pode mostrar um arquivo sendo criado, mas não explica o porquê. Para resolver isso, os pesquisadores primeiro agrupam eventos relacionados em blocos maiores e significativos. Eles procuram por eventos que acontecem próximos uns dos outros no tempo, envolvem os mesmos processos de computador ou tocam os mesmos arquivos e conexões de rede. Isso cria um "grupo de comportamento" que representa uma etapa coerente de um ataque, como um hacker tentando roubar senhas, em vez de apenas uma lista de alterações de arquivos isoladas. Este agrupamento é projetado para ser robusto; se alguns eventos no meio forem perdidos ou deletados, o sistema ainda pode reconhecer o grupo porque as peças restantes estão ligadas pelo seu contexto compartilhado.

Uma vez formados esses grupos, o sistema enfrenta o próximo desafio: decidir o que cada grupo realmente representa. No passado, os sistemas tentavam atribuir um rótulo único a um grupo, como "Roubo de Senha". Se esse rótulo estivesse errado, toda a análise quebraria. O SCOPE evita essa armadida mantendo múltiplas possibilidades abertas ao mesmo tempo. Para cada grupo de comportamento, ele gera uma lista de rótulos potenciais com diferentes níveis de probabilidade. Ele não força uma decisão final imediatamente. Em vez disso, mantém essas opções em um estado de incerteza, permitindo que o sistema considere o quadro completo antes de chegar a uma resposta. Essa abordagem reconhece que a mesma ação pode parecer coisas diferentes dependendo do que acontece a seguir.

A etapa final é conectar esses grupos em uma cadeia completa. Os pesquisadores utilizam um método que pontua o quão bem um comportamento segue outro baseando-se em dois fatores principais: o fluxo lógico de um ataque e a conexão física entre eles. Eles sabem que certos tipos de ações geralmente acontecem em uma ordem específica, como obter acesso a um sistema antes de roubar dados. Eles também buscam ligações físicas, como um arquivo criado em uma etapa sendo usado na próxima. Ao combinar essas pistas lógicas e físicas, o sistema pode preencher as lacunas onde a evidência está faltando. Se uma etapa estiver faltando, o sistema não para; ele simplesmente conecta as etapas sobreviventes, reconhecendo que o salto é maior do que o normal, mas ainda assim possível. Isso permite que o sistema reconstrua uma história contínaneous quando partes da linha do tempo foram apagadas.

Os pesquisadores testaram esta abordagem utilizando um conjunto de dados de trinta e cinco cenários de ataque que incluíam registros de "verdade fundamental" (ground-truth) sobre exatamente o que aconteceu. Eles compararam o SCOPE com vários outros métodos líderes, incluindo sistemas baseados em regras que buscam padrões específicos, sistemas baseados em grafos que mapeiam conexões e sistemas que utilizam modelos de linguagem de grande escala para adivinhar a história. O SCOPE superou todos eles. Ele identificou corretamente as técnicas específicas usadas nos ataques cerca de 84% das vezes ao observar as cinco principais sugestões. Ao medir o quão bem ele reconstruía a sequência inteira de eventos, alcançou uma pontuação de 0,68, o que é significativamente superior ao segundo melhor método.

Talvez a descoberta mais significativa tenha sido como o sistema lidou com dados ausentes. Os pesquisadores simularam uma situação em que até 50% dos eventos de log eram removidos aleatoriamente, mimetizando um cenário onde um invasor removeu com sucesso seus rastros. Enquanto o desempenho de outros sistemas caiu drasticamente à medida que os dados desapareciam, o SCOPE permaneceu estável. Mesmo com metade das evidências ausentes, ele manteve uma pontuação de reconstrução de aproximadamente 0,57, que ainda é superior ao melhor escore alcançado por qualquer outro método quando todos os dados estavam presentes. Isso sugere que a capacidade do sistema de raciocinar sobre a incerteza e ligar as peças de evidência sobreviventes o torna muito mais resiliente à perda de dados do mundo real.

O sistema também demonstrou capacidade de reconhecer combinações de ataques inéditas. Na cibersegurança, os invasores frequentemente pegam ferramentas conhecidas e as utilizam de novas maneiras. Sistemas tradicionais costumam falhar aqui porque são treinados apenas em sequências específicas e conhecidas. O SCOPE, no entanto, não depende da memorização de sequências específicas. Em vez disso, ele entende a compatibilidade de diferentes etapas de ataque. Nos testes, ele reconstruiu com sucesso cadeias coerentes de técnicas conhecidas que nunca haviam aparecido juntas nos dados de treinamento. Ele alcançou uma taxa de "coerência-novidade" de 0,83, o que significa que pôde identificar e ligar corretamente essas novas combinações em 83% dos casos em que ocorreram. Isso indica que o sistema pode generalizar seu conhecimento para ameaças não vistas, desde que os componentes individuais sejam familiares.

Uma escolha de design fundamental no SCOPE é como ele utiliza a inteligência artificial. Os pesquisadores utilizaram um modelo de linguagem de grande escala, um tipo de IA capaz de compreender a linguagem natural, mas apenas para uma tarefa específica: descrever os grupos de comportamento em texto simples. O modelo não toma as decisões finais sobre o que é o ataque ou como as peças se encaixam. Essas decisões são tomadas por um processo matemático determinístico que pontua as conexões entre as etapas. Essa separação garante que o sistema não "alucine" ou invente detalhes que não sejam suportados pelos dados. O modelo de linguagem atua apenas como um tradutor, transformando logs de computador brutos em uma descrição que o sistema de pontuação possa entender, enquanto o sistema de pontuação permanece o juiz rigoroso da cadeia final.

Os pesquisadores reconhecem que seu trabalho é baseado em um conjunto de dados controlado e que ambientes empresariais do mundo real são muito mais complexos. Eles observam que seu sistema não é um substituto para gatilhos de detecção de baixo nível, mas sim uma ferramenta para dar sentido aos dados que esses gatilhos produzem. O sistema foi projetado para trabalhar com a natureza incompleta e ruidosa dos logs reais, oferecendo uma maneira de recuperar a narrativa de um ataque mesmo quando a evidência está fragmentada. Ao tratar a análise de ataques como um problema de raciocínio sob incerteza, em vez de simples correspondência de padrões, os pesquisadores criaram uma estrutura que é mais robusta aos truques que os invasores usam para esconder seus rastros. Os resultados sugerem que o futuro da análise de ataques pode não residir em encontrar mais dados, mas em raciocinar de forma mais eficaz com os dados que restam.