Modelo oculto de Markov reconstrói a linha do tempo de ataques a subestações digitais
Pesquisadores propõem o SubCASP, um método baseado em Modelos Ocultos de Markov (HMM) que funde logs de múltiplos IDS para inferir em que fase de um ataque uma subestação digital IEC 61850 se encontra, prever o próximo passo do adversário e reconstruir o caminho retrospectivo do ataque. O diferencial é justamente essa reconstrução retrospectiva, que é essencialmente uma tarefa de investigação forense de intrusão em ambiente de tecnologia operacional (OT).
Subestações digitais compatíveis com IEC 61850 trocam mensagens (GOOSE, MMS, Sampled Values) entre IEDs para operar disjuntores e proteções com baixa latência. Esse mesmo protocolo, por priorizar velocidade e não autenticação forte, pode ser abusado por um invasor para forjar comandos de abertura/fechamento de disjuntores, causando blecautes ou danos a equipamentos. O artigo parte de uma limitação prática dos IDS hoje usados nesse ambiente: eles reportam sintomas isolados (um alerta aqui, um alerta ali) sem amarrar esses eventos numa narrativa de ataque com fases, o que dificulta tanto a resposta em tempo real quanto a reconstrução forense pós-incidente.
A proposta, batizada SubCASP (Substation Cyber Attack Strategy Phasing), usa um Modelo Oculto de Markov para tratar as fases do ataque como estados latentes que precisam ser inferidos a partir de observações ruidosas — no caso, os logs fundidos de múltiplos IDS. As fases seguem uma modelagem de ameaças baseada no MITRE ATT&CK (ICS), de modo que a saída do modelo não é apenas 'há uma anomalia', mas 'o invasor está na fase X da cadeia de ataque, provavelmente seguirá para a fase Y, e o caminho percorrido até aqui foi Z'. Esse terceiro elemento — o caminho retrospectivo — é o que aproxima o trabalho de uma reconstrução de timeline forense: a partir de artefatos de log incompletos e ruidosos, tenta-se recompor a sequência real de ações do atacante.
Os autores treinaram e avaliaram o SubCASP em um dataset de grafos de ataque reproduzível, testando o modelo sob diferentes níveis de observabilidade dos IDS e, mais importante, em cenários com logs faltantes — situação comum em ambientes OT reais, onde nem todo equipamento gera telemetria confiável ou onde o próprio invasor pode suprimir logs. Os resultados indicam robustez do método mesmo com essa degradação de dados, o que é o ponto relevante do ponto de vista prático: um framework de correlação/timeline que dependa de visibilidade completa tem pouca serventia em campo.
Para quem atua em resposta a incidentes de infraestrutura crítica, o valor do trabalho está menos no HMM em si e mais no problema que ele tenta resolver: como transformar uma pilha de alertas fragmentados de múltiplos sensores em uma narrativa investigativa coerente, com fase atual, previsão de próximo passo e reconstrução do que já aconteceu. É essencialmente engenharia de correlação de logs e timeline forense aplicada a um domínio (subestações IEC 61850) onde ferramentas tradicionais de DFIR corporativo não se encaixam bem, e onde a janela de decisão para conter o ataque antes que ele acione um disjuntor é curta.