Pipeline acadêmico converte laudos de sandbox de malware em inteligência com nível de confiança explícito para infraestrutura crítica
Pesquisadores ligados ao consórcio europeu CYBERGUARD, com participação da autoridade nacional de cibersegurança da Romênia, apresentam o CG-CTI, um pipeline que transforma a saída bruta de um sandbox de malware (CAPEv2) em objetos STIX 2.1 com TTPs e IOCs, cada um rotulado com um grau de confiança calculado a partir de proveniência e corroboração cruzada. Esse rótulo de confiança decide se o indicador pode acionar resposta automática ou se precisa passar por revisão humana antes de ser usado.
O trabalho ataca um problema concreto de quem opera um SOC ou CSIRT: um sandbox de malware como o CAPEv2 produz relatórios de comportamento extensos e detalhados, mas não diz quão confiável é cada observação isolada, o que obriga analistas a revisar manualmente um volume grande de dados antes de decidir o que vale a pena transformar em regra de bloqueio ou alerta. O CG-CTI propõe automatizar essa triagem sem eliminar o julgamento humano nos casos de baixa confiança.
Tecnicamente, o pipeline recebe o output do sandbox e o converte para STIX 2.1, o formato padrão da indústria para representar indicadores de comprometimento e técnicas de ataque (TTPs). Esses objetos são então correlacionados em um grafo de conhecimento junto com dados de outros sensores de infraestrutura crítica, e cada nó recebe um status de confiança derivado de três fatores: proveniência da fonte, corroboração por múltiplas observações independentes e durabilidade (se o indicador continua sendo observado ao longo do tempo, ou foi visto uma única vez). Esse status é o que decide o roteamento: indicadores corroborados ficam elegíveis para ação automática (como bloqueio em um firewall ou IDS), enquanto os de baixa confiança são encaminhados para revisão de analista ou mantidos apenas como contexto. Uma etapa final usa um modelo de linguagem para narrar a evidência qualificada, mas cada frase gerada precisa citar o objeto STIX que a sustenta, de forma que afirmações sem respaldo nos dados sejam descartadas antes de chegar ao analista.
A relevância prática está em transformar análise de malware em um insumo auditável para automação de resposta a incidentes sem abrir mão de rastreabilidade — cada decisão de bloqueio automático remete a uma cadeia de evidência (qual sandbox, qual corroboração, qual grau de confiança) que pode ser revisada posteriormente, algo próximo ao conceito de cadeia de custódia aplicado a inteligência de ameaças. Isso é particularmente relevante para operadores de infraestrutura crítica, onde uma automação de bloqueio baseada em evidência fraca pode causar indisponibilidade, e uma automação ausente pode significar reação tardia a um ataque real.
Como limitação, o sistema foi avaliado dentro do próprio projeto CYBERGUARD, usando um corpus de malware rotulado e o sandbox ao vivo, mas a técnica de qualificação de confiança depende da qualidade e diversidade dos sensores correlacionados: menos fontes corroborantes tendem a empurrar mais indicadores para revisão manual, reduzindo o ganho de automação em ambientes com poucos sensores.