RECAL corrige viés de relações em grafos de proveniência para detectar APTs com menos falsos positivos
Um novo framework não supervisionado, o RECAL, ataca um problema pouco discutido em sistemas de detecção de intrusão baseados em proveniência (PIDS): a frequência de tipos de relação em grafos de auditoria pode variar em até 140.000 vezes, fazendo os modelos ignorarem padrões raros e relevantes. Testado nos datasets DARPA Engagement 3, o método reduziu a taxa de falsos positivos em até 105 vezes mantendo F1 acima de 99,9%.
PIDS (Provenance-based Intrusion Detection Systems) são sistemas que reconstroem grafos de proveniência a partir de logs de auditoria do sistema operacional — processos, arquivos, sockets e as relações causais entre eles — para identificar Ameaças Persistentes Avançadas (APTs) que se escondem no comportamento normal do sistema. O artigo mostra que a maioria das abordagens atuais trata todas as relações do grafo (leitura, escrita, execução, conexão de rede etc.) de forma uniforme, mesmo quando sua frequência estatística é radicalmente diferente: no dataset CADETS, por exemplo, algumas relações ocorrem até 140 mil vezes mais que outras.
O RECAL resolve isso com duas técnicas combinadas. A primeira é um aprendizado de grafo com mascaramento balanceado por relação, que força o modelo a prestar atenção também aos padrões de interação raros, em vez de se especializar apenas nas relações mais frequentes. A segunda é uma calibração do erro de reconstrução: em vez de comparar erros brutos entre relações distintas, o método normaliza cada erro contra a distribuição de erro esperada (benigna) daquela relação específica, produzindo uma pontuação de anomalia comparável entre tipos de relação heterogêneos.
A relevância prática está diretamente ligada à investigação forense de intrusões via análise de logs e artefatos de proveniência: um SOC ou perito que precisa vasculhar grafos de auditoria em busca de indícios de comprometimento sofre tanto com alarmes falsos (que geram fadiga e desviam atenção de indícios reais) quanto com detecções perdidas em relações raras, que é justamente onde muitas técnicas de evasão de APT se escondem. Nos três datasets DARPA E3 avaliados, o RECAL atingiu F1 de 99,99%, 99,93% e 99,99%, superando a melhor baseline em cada caso, e reduziu a taxa média de falsos positivos em aproximadamente 105x, 4x e 41x frente ao melhor concorrente em cada dataset.
Vale notar que os ganhos foram medidos em datasets de referência acadêmicos (DARPA Engagement 3), amplamente usados mas já conhecidos e relativamente controlados; a generalização para ambientes de produção heterogêneos, com volumes e tipos de log diferentes dos usados no treino, ainda precisa ser validada por quem for considerar essa abordagem em um pipeline real de detecção e resposta a incidentes.