Modelos de inteligência artificial para detecção de atividades humanas focados na detecção de Advanced Persistent Threat (AI-APT)

Abstract

Advanced Persistent Threat (APT), ou ameaça persistente avançada e Inteligência Artificial (IA) (inteligências artificiais) são dois assuntos que vêm ganhando cada vez mais a atenção da comunidade científica. Diversas organizações possuem os seus dados fragilizados devido à contextos de APT, dentre eles, o da exfiltração de dados. A partir da difusão de ambientes de nuvem, os problemas aumentaram, tornando cada vez mais difícil a detecção e contra-medidas contra casos de exfiltração de dados. Nesse contexto, as tecnologias de IA e Aprendizagem de Máquina (AM) podem se tornar ferramentas indispensáveis no combate à esse tipo de ameaça, mas, ao mesmo tempo, essas tecnologias são desafiadas pela complexidade exigida por um ataque de exfiltração de dados aos modelos. Há uma quantidade de dados enorme neste contexto, e exemplos escassos de ataque, o que o torna um exemplo de problema de classificação extremamente complexo para qualquer técnica. Muitos dados, alto desbalanceamento de classes e comportamentos sutis e não identificáveis claramente nos dados. É neste cerne que este trabalho se introduz, propomos a construção de um ambiente de desenvolvimento de soluções para problemas de APT, a partir do uso do Aprendizagem Profunda (AP) e Meta-Learning (MetL). Foi realizada uma extensa revisão da literatura, com foco em sistemas de DLPS, mapeando o estado da arte da aplicação de algoritmos de machine learning no contexto da exfiltração de dados. Em seguida, foram selecionados os modelos mais relevantes para a construção de algoritmos de detecção de exfiltração de dados: Redes densas com uso de entropia, redes diferenciais robustas e transformers. Uma tecnologia de Meta-Learning (MetL) foi escolhida e estudada para conferir qualidade à construção dos modelos, e permitir a criação futura de processos de autoML. Um banco de dados de envio de pacotes pela nuvem foi criado, visando construir um banco de dados de casos de exfiltação de dados. Foi selecionado um banco de dados no domínio RAH para validar os modelos modelados, uma vez que os casos de exfiltração de dados também se encontram neste domínio. Os modelos foram testados no banco de dados criado de pacotes, levando à conclusão de que este ainda era muito pequeno para ser utilizado. Os modelos foram então testados no banco de dados RAH, chegando-se à seleção do modelo transformer como o mais promissor para solucionar o problema, chegando a 90% de acurácia. As redes robustas ainda não foram descartadas, sendo sugeridas algumas mudanças para trabalhos futuros. Os objetivos gerais e específicos do trabalho foram alcançados, permitindo a construção de uma base sólida para a pesquisa e desenvolvimento do sistema de DLPS em parceria com o exército brasileiro.