ARQUITETURA DATA-CENTRIC MULTIFONTE PARA CURADORIA DE EVENTOS DE CIBERSEGURANÇA NA DETECÇÃO DE RANSOMWARE

Abstract

A detecção de ransomware permanece desafiadora devido ao volume, à heterogeneidade e à contextualização limitada da telemetria de cibersegurança. Este trabalho propõe uma arquitetura data-centric multifonte para curadoria de eventos de cibersegurança, destinada a transformar observações fragmentadas em representações estruturadas, rastreáveis e adequadas ao consumo por modelos de aprendizado de máquina. A arquitetura organiza, em um único fluxo, ingestão, normalização, agregação temporal, preservação de conflitos, curadoria de atributos, enriquecimento contextual, detecção e persistência de artefatos. No protótipo, eventos de Zabbix e Wazuh são agregados por host e por janela temporal de 30 segundos, enquanto registros de firewall são estruturados de forma independente; conflitos entre campos são preservados por sufixos de origem. A camada de detecção estruturada utiliza Isolation Forest, complementada por regras semânticas e por contexto pós-detecção. Em um holdout sintético desbalanceado com 4.600 eventos, a representação curada obteve F1-score de 0,6455, ROC AUC de 0,9648 e Average Precision de 0,7060. Entretanto, o baseline com atributos brutos apresentou F1-score de 0,9278, ROC AUC de 0,9996 e Average Precision de 0,9847, superando a representação curada no cenário experimental avaliado. Esse resultado sugere que o cenário sintético concentra sinais discriminativos em atributos diretos, limitando a possibilidade de atribuir ganhos preditivos à curadoria. Os resultados sustentam a viabilidade da arquitetura para a construção de representações auditáveis e o suporte à priorização de alertas, mas também evidenciam a necessidade de validação futura com telemetria operacional e comparações controladas entre diferentes níveis de curadoria.