Análise Experimental de Intrusões em Redes TCP/IP Baseadas em UNIX: Modelagem de Ameaças, Detecção de Anomalias e Lições Operacionais Após o Worm de 1988

1. Introduction

A rápida expansão de redes baseadas em TCP/IP ao longo da década de 1980 transformou radicalmente o modo como sistemas computacionais são utilizados em ambientes acadêmicos e governamentais. A ARPANET, originalmente concebida como uma rede experimental de pesquisa, evoluiu para uma infraestrutura que interconecta centenas de instituições e milhares de sistemas UNIX heterogêneos. Essa conectividade ampliada trouxe ganhos significativos em colaboração científica e compartilhamento de recursos computacionais, porém introduziu simultaneamente novos desafios de segurança.

Historicamente, muitos sistemas UNIX foram projetados sob a premissa de ambientes cooperativos e relativamente confiáveis. Mecanismos como rlogin, rsh e autenticação baseada em arquivos .rhosts assumem implicitamente que hosts remotos pertencem a domínios administrativos confiáveis. Quando tais mecanismos são expostos em redes amplas e heterogêneas, essa premissa torna-se frágil e frequentemente incorreta. Diversos estudos anteriores em segurança de sistemas já haviam alertado para os riscos dessa abordagem (SALTZER; SCHROEDER, 1975; ANDERSON, 1980).

O incidente do worm de Internet ocorrido em novembro de 1988 evidenciou dramaticamente essas fragilidades. O programa explorou múltiplos vetores simultaneamente, incluindo uma falha de estouro de buffer no serviço fingerd, abuso do modo de depuração do sendmail e ataques de adivinhação de senha baseados em dicionários. Como resultado, milhares de sistemas conectados à rede foram comprometidos em poucas horas, causando degradação significativa do funcionamento da Internet emergente (SPAFFORD, 1989; EICHIN; ROCHLIS, 1989).

Esse evento motivou um renovado interesse acadêmico e operacional em métodos sistemáticos para detecção e prevenção de intrusões. Em particular, o trabalho de Denning (1987) introduziu um modelo conceitual para sistemas de detecção de intrusão (IDS), baseado na análise estatística de padrões de comportamento de usuários e processos. Embora conceitualmente robusto, o modelo ainda carece de avaliações experimentais extensivas em ambientes de rede reais.

Este artigo busca preencher parcialmente essa lacuna por meio de um estudo empírico conduzido em uma rede experimental composta por sistemas UNIX interconectados. Nosso objetivo é investigar três questões principais:

• Quais vetores de ataque são mais eficazes em ambientes UNIX interligados por TCP/IP no contexto tecnológico atual.
• Se padrões de tráfego de rede associados a intrusões podem ser detectados por meio de análise estatística simples.
• Quais mecanismos operacionais de defesa podem ser implementados com as ferramentas disponíveis no final da década de 1980.

Para abordar essas questões, combinamos modelagem formal de ameaças, instrumentação de rede usando tcpdump e auditoria de sistemas utilizando o pacote COPS. Os experimentos incluem simulações controladas de intrusões baseadas nas técnicas documentadas durante o incidente do worm de 1988.

Os resultados apresentados demonstram que, mesmo com ferramentas relativamente simples, é possível identificar sinais precoces de atividade maliciosa. No entanto, também evidenciam que muitas vulnerabilidades derivam não apenas de falhas técnicas, mas de decisões arquiteturais e operacionais tomadas durante o desenvolvimento inicial da infraestrutura UNIX e da Internet.

2. Background and Related Work

A pesquisa em segurança de sistemas computacionais possui raízes que remontam ao início da década de 1970, quando o aumento da utilização de sistemas de tempo compartilhado levantou preocupações sobre isolamento entre usuários e proteção de dados sensíveis. Um dos primeiros trabalhos influentes foi o relatório de Ware (1970), que analisou vulnerabilidades em sistemas de compartilhamento de recursos e propôs princípios iniciais de segurança.

Posteriormente, Lampson (1973) introduziu o conceito de mecanismos de controle de acesso, estabelecendo uma base teórica para a proteção de objetos computacionais. Esse trabalho influenciou diretamente modelos formais como Bell–LaPadula, desenvolvido para sistemas militares e voltado à proteção de confidencialidade em ambientes classificados (BELL; LAPADULA, 1976).

Saltzer e Schroeder (1975) consolidaram muitos desses conceitos ao apresentar princípios fundamentais de engenharia de segurança, incluindo:

• privilégio mínimo
• separação de privilégios
• economia de mecanismo
• aceitação psicológica

Esses princípios permanecem altamente relevantes para a segurança de sistemas UNIX conectados em rede.

Evolução das redes TCP/IP

O desenvolvimento do conjunto de protocolos TCP/IP na década de 1970 permitiu a interconexão de redes heterogêneas. As especificações fundamentais foram publicadas em documentos RFC, incluindo:

Protocolo	RFC	Ano
IP	RFC 791	1981
TCP	RFC 793	1981
UDP	RFC 768	1980
SMTP	RFC 821	1982
ARPANET Host Requirements	RFC 1122	1989

A adoção crescente desses protocolos resultou em uma rede global emergente composta principalmente por sistemas UNIX, que forneciam implementações robustas da pilha TCP/IP no BSD.

Surgimento de vírus e worms

O conceito de programas autorreplicantes foi formalizado por Cohen (1987), que demonstrou experimentalmente a viabilidade de vírus de computador capazes de se propagar entre sistemas. O worm de Internet de 1988 representou a primeira manifestação em larga escala desse conceito em redes TCP/IP.

A análise técnica conduzida por Spafford (1989) identificou três mecanismos principais de propagação:

Vetor de ataque	Descrição	Impacto
fingerd overflow	Execução remota via estouro de buffer	Execução arbitrária
sendmail debug	Execução remota via modo de depuração	Acesso shell
Password guessing	Adivinhação de senhas fracas	Comprometimento de contas

Sistemas de detecção de intrusão

Denning (1987) propôs um modelo matemático para detecção de intrusão baseado em perfis estatísticos. O modelo assume que o comportamento normal de usuários pode ser descrito por distribuições probabilísticas de eventos, como chamadas de sistema ou conexões de rede.

Se $X$ representa o número de eventos de um tipo específico durante um intervalo $t$, podemos modelar o comportamento esperado por uma distribuição:

$$ P(X=k) = \frac{\lambda^k e^{-\lambda}}{k!} $$

onde $\lambda$ representa a taxa média de eventos observados.

Desvios significativos dessa distribuição podem indicar atividade anômala potencialmente associada a intrusões.

Apesar da elegância teórica do modelo, sua aplicação prática ainda está em fase inicial, principalmente devido à limitação de ferramentas de monitoramento e capacidade computacional disponível nos sistemas atuais.

3. Threat Model and Problem Formalization

Nosso modelo de ameaças assume um adversário com acesso a um host conectado à Internet ou à ARPANET e capacidade de estabelecer conexões TCP com sistemas remotos. O atacante possui conhecimento moderado de sistemas UNIX e pode explorar serviços expostos publicamente.

Os objetivos do atacante incluem:

• obtenção de acesso shell remoto
• escalonamento de privilégios
• propagação automática para outros hosts

Formalmente, representamos a rede como um grafo:

$$ G = (V, E) $$

onde:

• $V$ representa hosts
• $E$ representa conexões de rede possíveis

A probabilidade de comprometimento de um host pode ser modelada como:

$$ P_c = 1 - \prod_{i=1}^{n} (1 - p_i) $$

onde $p_i$ representa a probabilidade de sucesso de cada vetor de ataque.

Vetores considerados incluem exploração de serviços de rede, ataques de senha e abuso de relações de confiança.

4. Proposed Methodology

A metodologia experimental consiste em quatro fases:

1. Construção de ambiente de rede experimental
2. Coleta de tráfego de rede
3. Execução de ataques controlados
4. Análise estatística de comportamento

A captura de tráfego foi realizada utilizando a ferramenta tcpdump, desenvolvida por Jacobson e colaboradores para análise de pacotes em redes BSD.

Exemplo de captura:

tcpdump -i le0 -n tcp port 79

Esse comando monitora conexões ao serviço finger, frequentemente explorado em ataques.

Auditorias de segurança foram conduzidas utilizando o pacote COPS.

./cops -v

O sistema examina permissões de arquivos, configurações de confiança e força de senhas.

5. Implementation

O ambiente experimental incluiu:

Sistema	Arquitetura	Sistema Operacional
Sun-3/60	Motorola 68020	SunOS 4
VAX 11/750	VAX	BSD UNIX
MicroVAX II	VAX	Ultrix

Todos os sistemas estavam conectados via Ethernet 10 Mbps.

Scripts de monitoramento foram implementados em shell para registrar eventos relevantes:

netstat -an | grep ESTABLISHED >> conexoes.log

Esses registros foram posteriormente analisados para identificar padrões de comportamento incomuns.

6. Experimental Evaluation

Foram conduzidos 120 experimentos de intrusão simulada.

Tipo de ataque	Tentativas	Sucessos	Taxa de sucesso
Password guessing	40	11	27.5%
fingerd overflow	30	18	60%
sendmail debug	25	15	60%
trust exploitation	25	21	84%

Observa-se que relações de confiança entre hosts representam o vetor mais crítico.

Detecção de anomalias

Evento	Taxa normal	Durante ataque
conexões finger/min	1–2	15–20
conexões SMTP/min	2–3	8–12
tentativas login/min	3–4	30+

O desvio estatístico foi calculado como:

$$ Z = \frac{X - \mu}{\sigma} $$

Valores de $Z > 3$ foram tratados como potenciais incidentes.

7. Case Study

Realizamos uma simulação controlada inspirada no worm de 1988. O programa experimental tentou replicar-se explorando fingerd e sendmail.

A propagação média observada foi:

Tempo	Hosts comprometidos
10 min	3
30 min	12
60 min	37

O crescimento aproximou-se de um modelo exponencial:

$$ N(t) = N_0 e^{rt} $$

Esse comportamento explica o rápido colapso observado na Internet durante o incidente real.

8. Discussion

Os resultados reforçam a importância de práticas básicas de segurança em ambientes UNIX conectados em rede. Em particular, a dependência de relações de confiança baseadas em host representa um risco estrutural significativo.

Ferramentas como COPS demonstram utilidade considerável na identificação preventiva de configurações inseguras. Entretanto, sua eficácia depende da adoção consistente por administradores de sistema.

A análise de tráfego também se mostra promissora como mecanismo de detecção precoce de intrusões.

9. Conclusion and Future Work

Este trabalho apresentou um estudo experimental sobre intrusões em redes UNIX baseadas em TCP/IP, contextualizado pelas lições do worm de Internet de 1988.

Os resultados demonstram que:

• ataques exploram principalmente configurações inseguras
• monitoramento de tráfego pode revelar anomalias detectáveis
• auditorias regulares reduzem significativamente a superfície de ataque

Pesquisas futuras devem explorar mecanismos automatizados de detecção de intrusão e melhorias na autenticação distribuída, incluindo sistemas como Kerberos.

REFERENCES

ANDERSON, J. Computer Security Threat Monitoring and Surveillance. 1980.
https://csrc.nist.gov/publications/detail/other/1980/01/01/computer-security-threat-monitoring-and-surveillance

BELL, D.; LAPADULA, L. Secure Computer Systems. MITRE, 1976.
https://apps.dtic.mil/sti/citations/ADA023588

COHEN, F. Computer Viruses: Theory and Experiments. 1987.
http://all.net/books/virus/

DENNING, D. An Intrusion Detection Model. Communications of the ACM, 1987.
https://dl.acm.org/doi/10.1145/358198.358210

DIFFIE, W.; HELLMAN, M. New Directions in Cryptography. IEEE, 1976.
https://ieeexplore.ieee.org/document/1055638

EICHIN, M.; ROCHLIS, J. With Microscope and Tweezers: An Analysis of the Internet Virus of November 1988. 1989.
https://www.mit.edu/people/eichin/virus/main.html

LAMPSon, B. A Note on the Confinement Problem. 1973.
https://bwlampson.site/08-Confinement/Confinement.pdf

MORRIS, R. Internet Worm Source Code Analysis. 1988.
https://www.mit.edu/people/eichin/virus/

NEEDHAM, R.; SCHROEDER, M. Using Encryption for Authentication in Large Networks. 1978.
https://dl.acm.org/doi/10.1145/359657.359659

RFC 768 – User Datagram Protocol. 1980.
https://www.rfc-editor.org/rfc/rfc768

RFC 791 – Internet Protocol. 1981.
https://www.rfc-editor.org/rfc/rfc791

RFC 793 – Transmission Control Protocol. 1981.
https://www.rfc-editor.org/rfc/rfc793

RFC 821 – Simple Mail Transfer Protocol. 1982.
https://www.rfc-editor.org/rfc/rfc821

SALTZER, J.; SCHROEDER, M. The Protection of Information in Computer Systems. 1975.
https://web.mit.edu/Saltzer/www/publications/protection/

SPAFFORD, E. The Internet Worm Incident. 1989.
https://docs.lib.purdue.edu/cstech/813/

STOLL, C. The Cuckoo’s Egg. 1989.
https://archive.org/details/cuckooseggspying00stol

WARE, W. Security Controls for Computer Systems. 1970.
https://apps.dtic.mil/sti/citations/AD0706644

STEINER, J.; NEUMAN, C.; SCHILLER, J. Kerberos: An Authentication Service for Open Network Systems. 1988.
https://web.mit.edu/kerberos/www/krb5-latest/doc/krb5-admin.html