Abordagem Cross-layer para Detecção de Intrusão Integrando eBPF e Machine Learning - Arioza, Daniel; Nobre, Jeferson Campos; Granville, Lisandro Zambenedetti (Anais do Simpósio Brasileiro de Redes de Computadores e Sistemas Distribuídos (SBRC), 2025)
A crescente sofisticação de ataques multi-vetor desafia a segurança computacional, tornando a correlação eficiente entre eventos de rede e sistema em um mesmo host um problema crítico. Este trabalho apresenta o CrossLayerGuardian, um sistema híbrido de detecção de intrusão (IDS) com arquitetura baseada em eBPF para coleta eficiente e correlação cross-layer. Diferente de abordagens híbridas que apenas combinam fontes de dados, nossa abordagem cross-layer foca na correlação ativa e temporalmente consciente entre eventos de rede e sistema para identificar ataques complexos dentro de um único host. A solução integra processamento de rede de alto desempenho (XDP) e monitoramento granular de syscalls, sincronizados por timestamps de kernel para garantir ordenação causal. Eventos correlacionados são analisados por um ensemble adaptativo de aprendizado de máquina, com pré-filtragem no kernel para reduzir overhead. A avaliação experimental demonstrou throughput de 850 Mbps com overhead de CPU inferior a 8%, comparável a sistemas estado da arte baseados em eBPF. O CrossLayerGuardianalcançou taxas de detecção superiores a 95% para ataques de rede e multi-vetor, com falsos positivos abaixo de 1,2%. Os resultados confirmam que a arquitetura proposta oferece uma solução eficiente para correlação cross-domain em host único, equilibrando desempenho e precisão.