1. Ausência de detectores SIEM públicos baseados em ML — disponibilizamos os primeiros modelos de ML prontos para produção e com licenças abertas para detecção de reverse shells LOTL.
2. Fragilidade adversarial — avaliamos os modelos sob ataques de evasão e envenenamento e fornecemos checkpoints treinados adversariamente que sobrevivem a todos os ataques testados.

O framework sintetiza um corpus de treinamento de 1 milhão de comandos a partir de 34 templates de reverse shell e avalia 14 arquiteturas de modelos em um ponto de operação de FPR = 10⁻⁶ — refletindo as restrições reais de fadiga de alertas em SIEM.

Principais Resultados

Desempenho no conjunto de teste reservado (held-out) em heurísticas de linha de base e arquiteturas QuasarNix. O TPR é reportado como média ± desvio padrão em dez execuções de treinamento independentes com FPR = 10⁻⁶. O negrito marca o melhor resultado; o asterisco (*) destaca os modelos discutidos no artigo.

Linhas de base

QuasarNix — Modelos Tabulares (One-Hot Encoding)

QuasarNix — Modelos Sequenciais (Embeddings de Tokens)

Destaque: o GBDT atinge 60% de TPR com FPR = 10⁻⁶ — 18× superior ao das assinaturas (3,37%) — treinando em 14 segundos em hardware comum.

Robustez Adversarial

Perturbações de Shell Escape

A tabela abaixo cataloga técnicas de shell escape do Linux do arsenal do atacante. A terceira coluna indica se a técnica sobrevive à normalização de telemetria do kernel auditd — apenas as quatro entradas em negrito produzem um registro EXECVE distinto e constituem a verdadeira superfície de ataque.

Apenas 4 de 15 técnicas sobrevivem à normalização em nível de kernel e são usadas como espaço de ataque adversarial.

Evasão e Treinamento Adversarial

Três famílias de ataques são avaliadas — injeção de conteúdo benigno, perturbações de shell escape e um híbrido de ambas:

• Injeção de conteúdo benigno devasta todos os modelos neurais; o GBDT mantém ≥93% de acurácia graças à sua ponderação por importância de características.
• Perturbações de shell escape reduzem GBDT e CNN a 0% de acurácia com orçamento máximo de perturbação e sem defesas.
• Treinamento adversarial torna ineficazes os três tipos de ataque em todas as arquiteturas avaliadas.

Robustez contra Envenenamento

Além da evasão em tempo de inferência, avaliamos ataques em tempo de treinamento:

Poluição por inversão de rótulos (0–20% dos rótulos de treinamento invertidos): os modelos se degradam gradualmente; o GBDT demonstra resistência inerente por meio da votação do ensemble, permanecendo funcional em altas taxas de poluição.

Ataque de backdoor (0,01–1% de taxa de envenenamento, 2–10 gatilhos de tokens): gatilhos curtos (2–4 tokens) não conseguem instalar backdoors confiáveis devido à sua prevalência no tráfego benigno. A instalação ideal de backdoor exige gatilhos de 6–10 tokens com taxa de envenenamento ≥0,03%.

Destaque: Ataques de envenenamento exigem injeção substancial de dados, estatisticamente detectável, para terem sucesso. O mecanismo de ensemble do GBDT oferece robustez inerente sem custo de treinamento adversarial.

Validação da Indústria

Após a publicação deste trabalho, a Google lançou um sistema de produção conceitualmente alinhado na CAMLIS 2025 (arXiv:2512.08802): um pipeline de dois estágios YARA + ML implantado em dezenas de milhares de sistemas, processando até 250 bilhões de eventos por dia. Esse sistema valida de forma independente o paradigma híbrido de ML para detecção em SIEM e o ciclo de feedback de aprendizado ativo proposto aqui, demonstrando sua viabilidade em escala industrial.

Conjunto de Dados e Modelos Pré-treinados

Estrutura do Repositório

Configuração do Ambiente

Citação