Pesquisadores mapeiam telemetria de kernel via eBPF para tecnicas MITRE ATT&CK usando LLMs locais
O framework Trace2ATT&CK coleta chamadas de sistema em nivel de kernel via eBPF, correlaciona os comandos do atacante em um grafo de proveniencia e usa modelos de linguagem locais, com e sem RAG ancorado na base ATT&CK, para sugerir tecnicas correspondentes com justificativa. Testado em 347 testes do Atomic Red Team em Linux, o RAG superou consistentemente o prompting puro, e representar os eventos como grafo de proveniencia teve desempenho muito superior a usar a telemetria bruta. Por rodar inteiramente com LLMs open-weight locais, a abordagem evita enviar dados sensiveis de telemetria a APIs de terceiros.
Mapear o comportamento observado de um sistema comprometido para as taticas, tecnicas e procedimentos (TTPs) catalogados no MITRE ATT&CK e hoje, na maioria dos times de resposta a incidentes, um trabalho manual feito por analistas experientes lendo logs e relatorios de threat intelligence. O artigo ataca esse gargalo por outro angulo: em vez de depender de relatorios retrospectivos de CTI, que so existem depois que o ataque ja foi documentado por terceiros, os autores capturam evidencia de baixo nivel diretamente do kernel, via eBPF, enquanto o comportamento adversario acontece.
Tecnicamente, o pipeline funciona em tres etapas. Primeiro, sondas eBPF capturam chamadas de sistema geradas pelos comandos do atacante durante a execucao de testes de ataque real (Atomic Red Team). Segundo, esses eventos brutos sao correlacionados em um grafo de proveniencia, uma estrutura que conecta processos, arquivos e chamadas de rede pela relacao causal entre eles -- a mesma logica de grafo de proveniencia usada em ferramentas de investigacao forense de memoria e timeline. Terceiro, esse grafo e reduzido a uma representacao compacta e alimentado a um LLM, que sugere candidatos de tecnica ATT&CK com uma justificativa textual, em duas variantes: prompting direto e RAG consultando a base de conhecimento ATT&CK antes de responder.
Os resultados quantitativos sustentam duas escolhas de design centrais. RAG supera consistentemente o prompting puro, o que era esperado dado que ancorar a resposta em documentacao reduz alucinacao de tecnicas inexistentes. Mais interessante e o segundo achado: representar o comportamento como grafo de proveniencia supera de forma substancial usar a telemetria bruta diretamente, o que sugere que a estrutura relacional entre eventos carrega mais sinal para o LLM do que a sequencia de chamadas de sistema isolada. A avaliacao em 347 testes padronizados do Atomic Red Team da ao resultado uma base de comparacao razoavelmente rigorosa, ainda que limitada a tecnicas conhecidas e a ambiente Linux.
A relevancia pratica para equipes de DFIR e response e dupla. Primeiro, o uso de LLMs open-weight rodando localmente elimina a necessidade de enviar telemetria potencialmente sensivel (comandos, caminhos de arquivo, enderecos internos) a uma API externa, um requisito comum em ambientes regulados ou classificados. Segundo, automatizar o primeiro rascunho de mapeamento ATT&CK a partir de evidencia de kernel pode acelerar significativamente a fase de triagem em um incidente, deixando para o analista humano a validacao das tecnicas sugeridas em vez da leitura exaustiva de logs brutos -- desde que a equipe trate as saidas do LLM como hipoteses a verificar, nao como veredito final.