#ebpf — Autópsia Digital

panoramaAD-2026-163 · 2026-09-14

Pesquisadores mapeiam telemetria de kernel via eBPF para tecnicas MITRE ATT&CK usando LLMs locais

O framework Trace2ATT&CK coleta chamadas de sistema em nivel de kernel via eBPF, correlaciona os comandos do atacante em um grafo de proveniencia e usa modelos de linguagem locais, com e sem RAG ancorado na base ATT&CK, para sugerir tecnicas correspondentes com justificativa. Testado em 347 testes do Atomic Red Team em Linux, o RAG superou consistentemente o prompting puro, e representar os eventos como grafo de proveniencia teve desempenho muito superior a usar a telemetria bruta. Por rodar inteiramente com LLMs open-weight locais, a abordagem evita enviar dados sensiveis de telemetria a APIs de terceiros.

#artigo-cientifico #ttps-iocs #ebpf #mitre-attack #threat-hunting

Fonte ↗

panoramaAD-2026-121 · 2026-08-13

Estudo mapeia falhas de integridade nas ferramentas de telemetria de kernel usadas em proveniência forense

Pesquisadores analisam as principais abordagens de captura de telemetria de kernel para sistemas de proveniência de segurança, identificando eBPF como a tecnologia mais promissora e classificando oito sistemas de proveniência e cinco agentes de captura existentes. A conclusão mais relevante é preocupante: a maioria dessas ferramentas não consegue garantir integridade nem disponibilidade dos eventos capturados, o que as torna inadequadas para uso forense em produção.

#artigo-cientifico #ebpf #proveniencia #forense-de-sistema #logs

Fonte ↗