Mapeamento de telemetria de ICS para o ATT&CK for ICS assistido por gêmeo digital, com raciocínio de dependência orientado por evidências
Pesquisadores propõem um framework que usa um gêmeo digital (digital twin) de um sistema de controle industrial para detectar desvios de estado físico, converter esses desvios em descrições preservadoras de evidência e mapeá-los para técnicas do MITRE ATT&CK for ICS por meio de um LLM com retrieval-augmented reasoning. O resultado é um grafo de dependência tipado que tenta reconstruir a cadeia de ações do atacante a partir apenas da telemetria de processo. A avaliação em SWaT mostrou redução de falsos positivos, mas recall moderado e nenhuma generalização consistente para os datasets externos BATADAL e WADI.
O trabalho ataca um problema clássico da forense em ambientes OT/ICS: diferente de uma rede corporativa, onde há logs de host, de rede e de EDR em abundância, um sistema de controle industrial frequentemente só expõe variações de sensores e atuadores (pressão, vazão, nível). Essas variações mostram o efeito físico de um ataque, mas não a ação técnica que o causou, dificultando a reconstrução de TTPs no estilo MITRE ATT&CK. Os autores propõem usar um gêmeo digital — uma simulação sincronizada do processo físico — para servir de baseline e detectar divergências entre o comportamento esperado e o observado.
Cada divergência detectada é convertida em uma "descrição preservadora de evidência", ou seja, um registro estruturado do desvio de estado que mantém rastreabilidade até a leitura de telemetria original. Esses registros alimentam um pipeline de raciocínio com LLM e retrieval-augmented generation, que busca na base de técnicas do ATT&CK for ICS as entradas mais compatíveis com o padrão de desvio observado. O resultado de cada mapeamento é então inserido em um grafo de dependência tipado, que tenta amarrar tecnicamente uma técnica à outra ao longo do tempo — uma espécie de reconstrução de cadeia de ataque (kill chain) construída a partir de evidência física em vez de evidência de rede ou de host.
O valor prático, caso a abordagem maturasse, seria dar a analistas de resposta a incidentes em ambientes industriais uma forma estruturada de produzir relatórios de TTPs e cadeias de evidência a partir de dados de processo (SCADA/PLC), que hoje são difíceis de interpretar sem profundo conhecimento de engenharia do processo controlado. É, em essência, uma ferramenta de triagem forense para telemetria OT, pensada para preencher a lacuna entre "o que mudou na planta" e "qual técnica de ataque do adversário causou essa mudança".
Os próprios autores são cautelosos quanto à maturidade do método: no testbed SWaT a inclusão do gêmeo digital reduziu falsos positivos em média 34%, mas o recall ficou em torno de 0,63 (variando de 0,50 a 0,70) e as melhorias de F1 não foram consistentes entre as rodadas nem estatisticamente significativas. Mais relevante ainda, o ganho observado em SWaT não se transferiu para os datasets externos BATADAL e WADI, e um benchmark de dependências expôs propagação de erros de mapeamento para relações não sustentadas pela evidência. Os autores concluem explicitamente que o método não estabelece atribuição autônoma confiável nem reconstrução causal geral — um alerta importante contra o uso do framework em produção sem validação humana extensiva.