PyGraphistry: análise de grafos para detecção de ameaças em dados corporativos

Pesquisadores publicaram um fluxo de trabalho completo no PyGraphistry — uma ferramenta de análise de gráficos de código aberto — para detectar anomalias e investigar incidentes em dados de acesso corporativo. O pipeline funciona diretamente em Colab e não requer infraestrutura complexa.

De onde os dados vêm

No coração do fluxo de trabalho está um conjunto de dados sintético que imita um ambiente corporativo real. Contém cinco entidades: usuários, dispositivos, endereços IP, serviços e funções — adicionalmente marcados com geolocalização. A partir desses dados, um gráfico é construído: usuário → dispositivo → IP → serviço forma uma cadeia de nós e arestas. O conjunto sintético permite que o pipeline seja testado sem usar dados corporativos reais. Mas a estrutura é intencionalmente próxima ao que se encontra em sistemas SIEM corporativos e logs do Active Directory.

O que acontece com o gráfico

Após construir a estrutura básica, o gráfico é enriquecido com várias camadas de análise:

• Pontuações de risco — avaliação numérica do perigo para cada nó com base em suas propriedades e conexões
• Métricas de centralidade — PageRank, centralidade de intermediação e outros indicadores do peso do nó na rede
• Detecção de comunidade — algoritmo agrupa automaticamente nós em clusters
• Isolation Forest — algoritmo de aprendizado de máquina para detectar nós anômalos: aqueles que são mais difíceis de isolar em uma árvore aleatória recebem uma pontuação de anomalia alta
• Layout UMAP — redução de dimensionalidade não linear que coloca compactamente objetos similares próximos

Cada camada adiciona um atributo aos nós e arestas e é visível na visualização interativa como cor, tamanho ou dica.

Três modos de visualização

PyGraphistry junto com PyVis cria três visualizações do mesmo gráfico. O gráfico completo mostra toda a rede de interconexões — dispositivos, usuários, serviços e endereços IP — e é usado para a visão geral inicial. O analista vê imediatamente quais nós formam clusters densos e quais se destacam.

O gráfico de ego foca em um nó específico e seu entorno imediato. Este é o modo chave para investigação: quando a suspeita recai sobre um usuário ou endereço IP específico, o gráfico de ego mostra todas as conexões diretas e indiretas do objeto sem ruído extra. A visualização de alto risco filtra apenas nós com pontuações de perigo altas — aqueles onde Isolation Forest detectou desvio da norma. Isso reduz o espaço de investigação por ordens de magnitude: em vez de milhares de objetos, o analista trabalha com dezenas.

Por que a abordagem de gráfico é importante para segurança

A análise tradicional em SIEM funciona com tabelas de eventos planas: linha por linha, evento por evento. Isso torna difícil detectar ataques complexos de múltiplos estágios porque cada evento individual parece inofensivo. Gráfico inverte a lógica: em vez de sequência temporal, o analista vê a estrutura da rede. Um caminho de ataque — uma cadeia de nós com conexões anômalas — fica visualmente aparente. Combinado com Isolation Forest, a anomalia é visível não apenas como um valor atípico numérico, mas como um nó visualmente isolado ou excessivamente conectado no gráfico.

O que isso significa

A análise de gráfico para segurança cibernética permaneceu por muito tempo no domínio de plataformas comerciais caras. Um fluxo de trabalho aberto no PyGraphistry abaixa o limite de entrada: pequenas equipes de segurança obtêm uma ferramenta pronta para uso que pode ser adaptada aos registros reais do Active Directory ou CloudTrail.