ANCHOR: investigação de intrusões assistida por LLM sobre grafos de proveniência do sistema

Sistemas de detecção de intrusão baseados em proveniência (PIDS) constroem grafos causais a partir de logs de auditoria do sistema operacional — processos, arquivos, sockets de rede — para sinalizar subgrafos anômalos como possíveis indícios de ataque. O problema prático, que o artigo do ANCHOR ataca diretamente, é que esses alertas chegam fragmentados e sem contexto: um analista recebe dezenas de subgrafos anômalos isolados, sem saber se pertencem ao mesmo incidente, em que ordem ocorreram, nem se representam de fato atividade maliciosa ou apenas comportamento incomum, porém legítimo, daquele ambiente específico.

O ANCHOR resolve isso combinando curadoria de evidências com raciocínio de LLM fundamentado em dois tipos de contexto. O "Deployment Context" cruza baselines de interação específicas daquele ambiente (quais processos normalmente tocam quais arquivos, por exemplo) com conhecimento de segurança sobre técnicas de alto risco, permitindo calibrar julgamentos de anomalia por tipo de relação em vez de tratar todo desvio estatístico como suspeito. Já o "Case Context", operacionalizado por um Attack-Tracking Cache com confiança controlada, preserva o estado da investigação entre janelas de tempo sucessivas, permitindo correlacionar uma evidência nova com descobertas de alta confiança já estabelecidas anteriormente no mesmo caso — em vez de reanalisar cada janela isoladamente, o sistema reconstrói incrementalmente uma narrativa de ataque ligada por estágios da kill chain.

A validação empírica usa os datasets DARPA Transparent Computing E3/E5, o benchmark de referência da área para pesquisa em proveniência de sistemas, cobrindo cenários de ataque simulados (red team) coletados sob três sistemas operacionais diferentes. Os autores reportam ganhos tanto na recuperação de indicadores de comprometimento (IoCs) quanto na atribuição correta de evidências a estágios específicos do ataque, mantendo esses ganhos mesmo com o mesmo modelo de LLM fixo entre comparações — ou seja, a melhoria vem da arquitetura de contexto e não apenas de trocar por um modelo mais forte.

Na prática, isso é relevante para equipes de resposta a incidentes e threat hunting porque ataca o principal gargalo do triagem de PIDS: o volume de falsos positivos e a dificuldade de costurar evidências dispersas em uma linha do tempo coerente sem um analista sênior dedicado a isso. Um sistema que processa um dia inteiro de auditoria a custo de API na casa de dólares, preservando causalidade e limites temporais entre eventos, aponta para um caminho de automação assistida (não substituição) da reconstrução forense de intrusões a partir de logs de proveniência — desde que os resultados continuem sendo validados por um analista humano antes de embasar conclusões periciais.