NERD (Network Exfiltration Rootkit Detector) : um sistema imune artificial multi-agente para detecção de rootkits por exfiltração em rede

Abstract

Desde sua primeira aparição nos anos 1990 rootkits se apresentam como grandes ameaças à computação. Estes malwares são capazes de ocultar a presença e a atividade de um agente malicioso e seus associados sendo especialmente difíceis de detectar devido à sua capacidade de subverter o Sistema Operacional. Geralmente, rootkits são ferramentas utilizadas em campanhas de ataque cibernético, como APT’s, que visam exfiltrar informações confidenciais ou propriedade intelectual, para facilitar a manutenção e a ocultação da presença do adversário. Neste contexto, diversas ferramentas foram propostas na literatura para detecção destes programas por meio de diferentes técnicas. Entre elas a arquitetura MADEX é um Sistema Imune Artificial para análise de fluxo capaz de detectar obfuscação de tráfego. Este trabalho desenvolve a proposta do MADEX com o objetivo de elevar sua tolerância à carga de rede sem comprometer a capacidade de detecção. A arquitetura NERD resultante é capaz de suportar tráfego acima do limite da implementação original do MADEX e com melhor performance de detecção. A acurácia obtida foi de 99,996% e a taxa de falso positivo, abaixo de 0,08%.