PyGraphistry: análise de grafos para detectar ameaças em dados corporativos

Pesquisadores publicaram um workflow completo baseado no PyGraphistry, ferramenta open source de análise de grafos, para detectar anomalias e investigar incidentes em dados de acesso corporativos. O pipeline roda direto no Colab e não exige infraestrutura complexa.

De onde vêm os dados

O workflow parte de um conjunto de dados sintético que imita um ambiente corporativo real. Ele traz cinco entidades: usuários, dispositivos, endereços IP, serviços e funções, com geolocalizações marcadas adicionalmente. Com esses dados, monta-se o grafo: usuário → dispositivo → IP → serviço formam uma cadeia de nós e arestas.

O conjunto sintético permite testar o pipeline sem usar dados corporativos reais. Sua estrutura é deliberadamente próxima da que aparece em sistemas SIEM corporativos e em logs do Active Directory.

O que acontece com o grafo

Depois de montada a estrutura básica, o grafo é enriquecido com várias camadas de análise:

• Pontuações de risco — uma nota numérica de perigo para cada nó, com base em suas propriedades e conexões
• Métricas de centralidade — PageRank, betweenness centrality e outros indicadores do peso de um nó na rede
• Detecção de comunidades — um algoritmo agrupa os nós automaticamente em clusters
• Isolation Forest — algoritmo de ML para detectar nós anômalos: os mais difíceis de isolar em uma árvore aleatória recebem uma pontuação de anomalia alta
• Layout UMAP — redução de dimensionalidade não linear que posiciona objetos semelhantes próximos uns dos outros de forma compacta

Cada camada adiciona um atributo a nós e arestas e aparece na visualização interativa como cor, tamanho ou dica pop-up.

Três modos de visualização

O PyGraphistry, junto com o PyVis, cria três visões do mesmo grafo. O grafo completo mostra toda a rede de relações entre dispositivos, usuários, serviços e endereços IP e serve para a visão geral inicial. O analista vê de imediato quais nós formam clusters densos e quais ficam isolados.

O ego-grafo foca em um nó específico e em sua vizinhança imediata. É o modo central da investigação: quando a suspeita recai sobre um usuário ou endereço IP, o ego-grafo mostra todas as conexões diretas e indiretas do objeto, sem ruído desnecessário.

A visão de alto risco filtra apenas os nós com pontuação de perigo alta, aqueles em que o Isolation Forest registrou desvio da norma. Isso reduz o espaço de investigação em dezenas de vezes: em vez de milhares de objetos, o analista trabalha com dezenas.

Por que a abordagem em grafos importa para a segurança

A análise tradicional em SIEM trabalha com tabelas planas de eventos: linha a linha, evento a evento. Isso dificulta a detecção de ataques complexos em várias etapas, porque cada evento isolado parece inofensivo.

O grafo inverte a lógica: em vez de uma sequência temporal, o analista vê a estrutura da rede. O caminho do ataque, uma cadeia de nós com conexões anômalas, torna-se visível. Combinada ao Isolation Forest, a anomalia aparece não só como um outlier numérico, mas também como um nó visualmente isolado ou com conexões em excesso.

O que isso significa

A análise de grafos para cibersegurança ficou por muito tempo restrita a plataformas comerciais caras. Um workflow aberto em PyGraphistry reduz a barreira de entrada: equipes de segurança pequenas ganham uma ferramenta pronta que podem adaptar a logs reais do Active Directory ou do CloudTrail.