Tecnologia: rede de sensores e IA
Como a NetProtector recolhe dados de uma rede mundial de sensores e, com várias camadas de IA, deteta, classifica e repele ataques.
A rede de sensores
A NetProtector recolhe dados onde os ataques se tornam visíveis – nos próprios clientes, nos grandes pontos de interligação da Internet, em iscos deliberadamente colocados e junto de parceiros.
São analisados, entre outros:
- Deep Packet Inspection nas camadas 2 a 7 do modelo OSI,
- fluxos de dados NetFlow/IPFIX para a análise de tráfego,
- consultas e respostas DNS (DNS passivo),
- metadados do estabelecimento de ligações TLS e SSH – sem desencriptação,
- dados Syslog e registos de eventos.
No conjunto, resultam daqui milhões de eventos por segundo. Nenhum ser humano consegue analisar este volume – é precisamente aqui que entra a IA.
Análise por IA em quatro camadas
A análise decorre em várias fases, cada uma combinando diferentes métodos de machine learning. Assim, da massa de eventos resultam poucos alertas priorizados e regras de proteção concretas.
Camada 1 – Deteção de anomalias
Os autoencoders aprendem, sem regras predefinidas (de forma não supervisionada), como é o tráfego de dados normal. Os padrões normais podem ser comprimidos e reconstruídos de forma eficiente; as anomalias destacam-se nesse processo. As redes LSTM (Long Short-Term Memory) analisam sequências temporais e reconhecem padrões suspeitos ao longo de horas ou dias – por exemplo, a fase de reconhecimento gradual de um ataque APT (Advanced Persistent Threat).
Camada 2 – Classificação
Métodos de ensemble como Random Forest e Gradient Boosting atribuem as anomalias detetadas a tipos de ataque: DDoS, comunicação de malware com servidores de Command-and-Control, Lateral Movement ou exfiltração de dados. Os modelos Transformer analisam registos e mensagens de erro no seu contexto – de forma semelhante à forma como os modelos de linguagem compreendem textos, mas aqui especializados em eventos de segurança.
Camada 3 – Fusão de Threat Intelligence
Uma Graph Neural Network modela as relações entre endereços IP, domínios, amostras de malware e atacantes sob a forma de um grafo de conhecimento. Assim, a IA reconhece ligações que permanecem invisíveis para os seres humanos ou para as bases de dados clássicas – por exemplo, que vários ataques aparentemente independentes têm origem no mesmo grupo.
Camada 4 – Correlação e decisão
O Correlation Engine agrega os sinais de todos os sensores e avalia cada evento segundo a probabilidade, o dano potencial e a urgência. Daqui resultam alertas priorizados e regras de proteção que são distribuídos por todos os appliances.
Aprender sem expor dados
Com o Federated Learning, a IA aprende também a partir das redes dos clientes – sem que conteúdos de dados sensíveis saiam da respetiva rede. Apenas são partilhadas as melhorias aprendidas pelo modelo. Assim, a experiência prática contribui para a proteção de todos.
O ser humano continua a fazer parte do ciclo de aprendizagem
Onde muitos sinais são avaliados, surgem também falsos positivos. Por isso, os analistas de segurança confirmam ou corrigem as avaliações da IA (Supervised Learning); em casos incertos, o sistema solicita esclarecimentos de forma direcionada (Active Learning). Os novos modelos são testados de forma controlada antes do rollout. O objetivo é uma taxa de erro em constante diminuição e previsões cada vez mais precisas.
Saiba como a NetProtector se integra na sua rede e nas suas ferramentas em Integração e operação.