POC : Detecção de Ataques MITRE e Enriquecimento de Alertas com IA

Este repositório demonstra um pipeline de aprendizado de máquina para detectar técnicas MITRE ATT&CK a partir de logs e enriquecer a saída usando um LLM local.

Visão Geral

O projeto é dividido em dois componentes principais:

1. Modelo de Aprendizado de Máquina (ML) – classifica logs em técnicas MITRE ATT&CK
2. Enriquecimento com LLM – enriquece a previsão do ML com explicações amigáveis para analistas e insights acionáveis

Modelo de Aprendizado de Máquina

Objetivo

O modelo de ML é treinado para prever uma técnica MITRE (ou BENIGN) a partir de eventos de log.
Isso permite automatizar a detecção e a categorização de comportamento potencialmente malicioso.

Abordagem

• Característica: campo commandline dos logs
• Vetorização: TF-IDF (Frequência do Termo – Frequência Inversa do Documento)
• Modelo: RandomForestClassifier (robusto, interpretável, eficiente em CPU)
• Alvo: mitre_label (por exemplo, T1059.001, T1105, BENIGN)

Treinamento

python scripts/train_mitre_model.py

Este script:

• Carrega o dataset dataset_full_160k.csv

• Divide os dados em conjuntos de treino/teste

• Converte linhas de comando em vetores TF-IDF

• Treina o modelo Random Forest

• Avalia o desempenho (precisão, recall, F1-score, matriz de confusão)

• Salva o modelo treinado e o vetorizador:

  • models/mitre_ml_model.pkl

  • models/tfidf_vectorizer.pkl

Enriquecimento com LLM

Objetivo

Quando o modelo de ML prevê uma técnica MITRE, o LLM enriquece o resultado fornecendo:

• Explicação da técnica

• Por que o comando corresponde à técnica

• Intenção do atacante

• Etapas de investigação recomendadas

• Regras de detecção sugeridas

Esta etapa conecta a previsão bruta do ML a insights acionáveis para o analista de SOC.

Uso

O LLM local (ex.: Phi-3 via Ollama) é chamado com um prompt contendo:

• Previsão do ML

• Linha de comando bruta

python scripts/enrich_with_llm.py

Dependências Python

pip3 install -r requirements.txt

Bibliotecas

• pandas
• scikit-learn
• requests

Notas

• O test_model.py é usado para testar seu modelo, é opcional.
• Os scripts são projetados para serem executados localmente, em um ambiente Python 3.13+ com as dependências listadas.
• Instale o Ollama em sua máquina e adicione o modelo Phi-3 mini.