Estudo em cyber range avalia agentes autônomos de resposta a incidentes de rede
Pesquisadores testaram agentes autônomos de resposta a incidentes — tanto heurísticos quanto treinados por aprendizado por reforço — em um cyber range com topologia de rede variável, emulação de ataques (red team) e usuários simulados. Os agentes precisam decidir quando isolar ou conter hosts comprometidos sem derrubar serviços legítimos, e os agentes de aprendizado por reforço superaram as heurísticas fixas, embora o desempenho dependa muito do comportamento do adversário e dos usuários simulados.
O estudo constrói um ambiente de teste (cyber range) originalmente pensado para treinar operadores humanos, com uma rede emulada de topologia variável, um time vermelho automatizado simulando movimentação lateral e comprometimento de hosts, e agentes de usuário simulando tráfego legítimo. Sobre essa rede, alertas são gerados por uma plataforma SIEM e traduzidos para uma linguagem de modelagem de dados que os agentes de resposta conseguem interpretar — ou seja, o pipeline reproduz de forma simplificada o que um SOC real recebe de seus sensores antes de decidir uma ação de contenção.
Os autores comparam duas abordagens de decisão: agentes heurísticos, que seguem regras fixas predefinidas de resposta a determinados alertas, e políticas aprendidas por reinforcement learning, otimizadas em um simulador de ataques para minimizar um custo combinado entre o risco de o time vermelho comprometer mais hosts e o custo de disponibilidade gerado pelas próprias medidas defensivas (por exemplo, isolar um servidor de produção por engano).
O resultado central é que as políticas de aprendizado por reforço venceram as heurísticas na maioria dos cenários, mas o desempenho de ambas caiu de forma significativa quando a estratégia do adversário simulado mudava ou quando o comportamento dos usuários legítimos ficava mais parecido com atividade maliciosa — um sinal de que esses agentes ainda generalizam mal para condições fora do que foi visto em treinamento.
Para equipes de resposta a incidentes, o valor prático do trabalho está menos no resultado numérico e mais na metodologia: cyber ranges com red team automatizado e métricas explícitas de custo de disponibilidade oferecem uma forma de avaliar produtos de 'resposta automatizada' antes de confiar neles em produção, algo relevante à medida que fornecedores de SOAR e XDR passam a oferecer contenção autônoma como recurso. O próprio artigo reforça que a dependência forte do comportamento do adversário é motivo de cautela: um agente que funciona bem contra um padrão de ataque testado pode falhar silenciosamente diante de um TTP não visto no treinamento, o que tem implicações diretas para quem avalia esse tipo de automação antes de um incidente real.