TGL-APT usa aprendizado em grafos temporais para acelerar investigação de APTs em grafos de proveniência
Pesquisadores propõem o TGL-APT, um framework que aplica destilação de grafos de proveniência guiada por 'nós information-bottleneck' para tornar a investigação de ataques APT mais rápida e barata. Em datasets DARPA E3, o método atingiu F1-scores de até 95,7% reduzindo tempo de treinamento, latência de detecção e uso de memória em relação ao estado da arte (KAIROS).
Grafos de proveniência — que registram relações causais entre processos, arquivos, sockets de rede e outras entidades de um sistema — são uma das bases mais ricas para reconstruir a cadeia de eventos de uma intrusão do tipo Advanced Persistent Threat (APT). O problema prático é que esses grafos crescem explosivamente em ambientes reais: a atividade maliciosa é uma fração ínfima de um volume massivo de atividade rotineira, o que torna a análise do grafo completo cara computacionalmente e dificulta correlacionar evidências espalhadas ao longo de sequências de ataque longas e multiestágio.
O TGL-APT ataca esse problema com três componentes que se complementam. Primeiro, uma etapa de destilação de grafo guiada por 'information bottleneck' identifica os nós estruturalmente influentes ou comportamentalmente distintivos — os pontos por onde passa a informação relevante para o ataque — e descarta redundância preservando a capacidade de reconstrução causal (o que os autores chamam de 'alcançabilidade causal'). Segundo, um módulo de aprendizado temporal adaptativo mantém e atualiza continuamente esse conjunto de nós centrais à medida que sua relevância muda ao longo do tempo, em vez de tratar o grafo como estático. Terceiro, um mecanismo de alinhamento de 'fingerprint' espaço-temporal correlaciona atividades suspeitas fragmentadas que aparecem em entidades diferentes e em janelas de tempo distintas, permitindo reconstruir o processo de ataque completo e caracterizar seus estágios — essencialmente automatizando parte do trabalho de correlação de timeline que hoje é manual em investigações de intrusão.
Os resultados nos três datasets DARPA Engagement 3 (referência padrão em pesquisa de detecção baseada em proveniência) mostram F1-scores de 95,7%, 90,9% e 88,9%, superando a baseline KAIROS enquanto reduz tempo de treinamento em ~39%, latência de detecção em ~33% e uso de memória em ~22%.
Para quem trabalha com resposta a incidentes, o valor prático não está apenas na acurácia de detecção, mas na viabilidade operacional: grafos de proveniência completos de ambientes corporativos podem ter bilhões de arestas, e qualquer técnica que reduza a complexidade computacional sem perder a cadeia causal relevante ajuda times de DFIR e threat hunting a investigar ataques longos (semanas ou meses, típico de APT) com os mesmos recursos. É um lembrete também de que a automação de correlação de IOCs/TTPs via grafos temporais está amadurecendo rápido, e ferramentas comerciais de EDR/XDR provavelmente incorporarão abordagens semelhantes nos próximos ciclos de produto.