HKHiago Kin Levi
← Voltar aos artigos

Paper Files / AI Security

Arquitetura de Segurança para Ambientes Corporativos em 2006: Modelagem de Ameaças, Verificação de Protocolos Criptográficos e Controles Operacionais em Produção

AI SecurityPT

A consolidação da Internet comercial e a ampla adoção de sistemas operacionais de uso geral no ambiente corporativo, no período até 2006, ampliaram de forma significativa a superfície de ataque. Incidentes provocados por worms (Code Red, Slammer, Blaster, Sasser), exploração de vulnerabilidades por estouro de buffer, injeção de SQL e falhas de configuração tornaram patente a necessidade de uma arquitetura de segurança integrada que combine modelagem formal de ameaças, controles técnicos sólidos e processos operacionais repetíveis. Este trabalho apresenta uma arquitetura de referência, orientada a ambientes corporativos convencionais do período, que articula: (i) modelagem de ameaças em camadas, com fundamentação formal no modelo de Dolev–Yao e na lógica BAN para análise de protocolos criptográficos; (ii) proteção de perímetro e segmentação de rede por firewalls estadoful (iptables, Check Point FW-1), listas de controle de acesso e VPNs baseadas em IPsec; (iii) endurecimento de sistemas e gestão de correções segundo guias NIST (SP 800-40, SP 800-68) e ISO/IEC 27001:2005; (iv) detecção e resposta por IDS de rede (Snort, Bro) e análise de fluxos (NetFlow), com correlação de eventos em plataformas SIEM iniciais (ArcSight ESM, Cisco MARS) apoiadas por infraestrutura de logs (syslog-ng); e (v) prática forense e preservação de evidências (EnCase, The Sleuth Kit) para investigação e melhoria contínua. Formalizamos o risco como R = Σ p_i · i_i, calibrado por taxas de falso positivo/negativo e atraso de detecção, e modelamos a propagação de worms por equações diferenciais do tipo SIR. A validação empírica foi conduzida em laboratório com ênfase em: (a) eficácia de regras Snort na detecção de varreduras e explorações associadas a MS03-026 e Slammer; (b) mitigação de injeção de SQL em aplicação LAMP reforçada por mod_security e validação de entrada; e (c) impacto operacional de controles de patching e hardening sobre taxa de comprometimento em campanhas controladas com Nmap/Nessus/Metasploit. Os resultados evidenciam redução do tempo médio de detecção, diminuição de falsos positivos com normalização apropriada de tráfego (frag3) e forte correlação entre latência de correção e probabilidade de incidente. Complementarmente, discutimos limitações inerentes à inspeção em tráfego criptografado, às evasões conhecidas em IDS e à modelagem adversária sob suposições fortes de rede. Esta arquitetura, ancorada em práticas e tecnologias disponíveis até 2006, demonstra viabilidade técnica e ganhos tangíveis de segurança quando implementada de modo holístico, com governança, mensuração e aderência estrita a guias normativos e boas práticas do período.

  1. Introduction A consolidação da conectividade em banda larga e a padronização de pilhas de software corporativas até 2006 ampliaram significativamente a superfície de ataque. Incidentes emblemáticos — como os worms Code Red e Nimda (2001), Slammer (2003), Blaster (2003) e Sasser (2004) — demonstraram a capacidade de ataques automatizados explorarem vulnerabilidades públicas em questão de minutos, provocando indisponibilidades disseminadas, degradação de desempenho e perdas financeiras (MOORE et al., 2003; STANIFORD; PAXSON; WEAVER, 2002; CERT/CC, 2003; CERT/CC, 2004). Paralelamente, vetores de camada de aplicação, em especial injeção de SQL e vulnerabilidades cross-site scripting, firmaram-se como causas frequentes de violação de dados e comprometimento de servidores web (HALFOND; VIEGAS; ORSO, 2006; OWASP, 2004).

Neste contexto, a segurança corporativa requer uma abordagem de arquitetura integrada, que concilie: (i) modelagem formal de ameaças para orientar decisões de projeto; (ii) mecanismos criptográficos sólidos para confidencialidade e autenticação; (iii) proteção de perímetro e segmentação; (iv) endurecimento de sistemas e gestão de correções; (v) detecção e correlação de eventos em tempo quase real; e (vi) capacidade forense para resposta e aprendizado organizacional. Defendemos que, em 2006, já existiam tecnologias e metodologias suficientes para estruturar uma defesa em profundidade pragmática, desde que aplicadas de forma coordenada e sustentadas por métricas objetivas e governança compatível com ISO/IEC 27001:2005 e guias NIST (ISO/IEC, 2005; NIST, 2002a; NIST, 2004).

Adotamos, como fio condutor, a integração entre verificações formais de propriedades de protocolos (BAN logic; modelo de Dolev–Yao) e controles operacionais consolidados (firewalls estadoful, IDS/IPS baseados em assinatura e análise de anomalia, VPNs IPsec, monitoramento de logs e fluxos). Propomos métricas e modelos quantitativos para risco e propagação de incidentes, e validamos a arquitetura em laboratório com topologia representativa de ambientes corporativos da época.

Nossas contribuições são: (1) uma arquitetura de referência explicitamente alinhada às capacidades e limitações tecnológicas disponíveis até 2006; (2) uma formalização de risco e detecção que relaciona taxas de erro de IDS com exposição e latência de correção; (3) um conjunto de guias de implementação reproduzíveis, com regras Snort, políticas iptables e configurações syslog-ng; e (4) uma avaliação experimental cobrindo vetores dominantes do período: varreduras e exploração de RPC/DCOM (MS03-026), slam scanning em UDP/1434 e injeção de SQL em aplicações LAMP.

  1. Background and Related Work As primeiras arquiteturas de proteção perimetral baseadas em firewalls estadoful, listas de controle de acesso e DMZs consolidaram-se entre meados dos anos 1990 e início dos anos 2000, com bases conceituais descritas por Cheswick, Bellovin e Rubin (2003) e orientações procedimentais pelo NIST (NIST, 2002b). Paralelamente, a detecção de intrusões evoluiu de sistemas especializados para plataformas capazes de inspeção profunda de pacotes e correlação de eventos (ROESCH, 1999; PAXSON, 1999). A crítica seminal às fragilidades de IDS frente a ambiguidades de pilha e técnicas de evasão foi apresentada por Ptacek e Newsham (1998), motivando normalização e reassembly aderentes às semânticas dos hosts monitorados.

No campo da criptografia aplicada e segurança de protocolos, as bases teóricas para confidencialidade, integridade e autenticação assentam-se nos trabalhos fundacionais de Diffie e Hellman (1976) e RSA (RIVEST; SHAMIR; ADLEMAN, 1978), com aprimoramentos metodológicos por BAN logic (BURROWS; ABADI; NEEDHAM, 1990) e pelo modelo de Dolev–Yao (DOLEV; YAO, 1983). A consolidação de padrões como TLS 1.0 (RFC 2246), IPsec (RFC 2401; RFC 4301) e Kerberos v5 (RFC 4120) ofereceu meios robustos para proteção de dados em trânsito e autenticação (DIERKS; ALLEN, 1999; KENT; ATKINSON, 1998; KENT; SEO, 2005; NEUMAN; TSA’O, 2005). No plano simétrico, a padronização do AES (FIPS 197) marcou um divisor, substituindo cifras legadas (NIST, 2001; SCHNEIER, 1996; FERGUSON; SCHNEIER, 2003).

No tocante a ameaças prevalentes até 2006, worms de varredura aleatória e tráfego em rajadas, como Slammer, demonstraram dinâmicas de crescimento próximas a modelos epidêmicos simplificados (MOORE et al., 2003; STANIFORD; PAXSON; WEAVER, 2002). Vetores de aplicação ganharam centralidade via injeção de SQL e falhas de validação de entrada, com catalogação e contramedidas sistematizadas (HALFOND; VIEGAS; ORSO, 2006; OWASP, 2004). Para avaliação e varredura de vulnerabilidades, Nmap e Nessus estabeleceram padrão de fato em reconhecimento e verificação de fraquezas (FYODOR, 1997; DERAISON, 2002). Por fim, práticas forenses com The Sleuth Kit/Autopsy e EnCase permitiram resposta a incidentes ancorada em metodologia e cadeia de custódia (CARRIER, 2005; GUIDANCE SOFTWARE, 2004).

Este corpo de conhecimento sustenta a arquitetura proposta, combinando a força de fundamentos formais com pragmatismo operacional requerido por ambientes corporativos heterogêneos.

  1. Threat Model and Problem Formalization Modelamos o adversário com três perfis dominantes até 2006: (i) externo com acesso à Internet, capaz de varredura ampla (TCP/UDP) e exploração de vulnerabilidades conhecidas; (ii) interno com acesso à rede corporativa, com possibilidade de movimento lateral; e (iii) adversário ativo em rede, no sentido de Dolev–Yao, com capacidade de interceptar, modificar e reencaminhar mensagens em canais não autenticados (DOLEV; YAO, 1983). Consideramos, adicionalmente, atacantes automatizados (worms/robôs) com taxa de varredura $\beta$ e alvos potenciais $N$.

Formalizamos o risco agregado como $$ R = \sum_{i=1}^{m} p_i \cdot I_i, $$ onde $p_i$ representa a probabilidade anualizada de incidente no cenário $i$ e $I_i$ o impacto monetário estimado. Para cálculo por ativo $a$, adotamos $R(a) = \sum_j p_{a,j} \cdot I_{a,j}$, coerente com NIST SP 800-30 (NIST, 2002a). O efeito de controles que alteram as taxas de detecção e correção é incorporado pela função $$ p_{a,j}’ = p_{a,j} \cdot (1 - \eta_{\text{det}}) \cdot (1 - \eta_{\text{patch}}), $$ em que $\eta_{\text{det}}$ é a eficácia de detecção (redução de probabilidade condicional de sucesso do ataque) e $\eta_{\text{patch}}$ reflete redução pela tempestividade de correção.

Para IDS, definimos taxa de falso positivo $\alpha$ e falso negativo $\beta$ no sentido clássico de teste binário. Com um limiar $\tau$ sobre um escore $s(x)$, a decisão é: $$ \text{alarme}(x) = \mathbf{1}{s(x) \ge \tau}. $$ Caracterizamos o trade-off por curvas ROC e função de risco operacional $$ \mathcal{L}(\tau) = c_{\text{FP}}\cdot \alpha(\tau) + c_{\text{FN}}\cdot \beta(\tau) + c_{\text{delay}}\cdot \mathbb{E}[T_d(\tau)], $$ onde $c_{\text{FP}}, c_{\text{FN}}, c_{\text{delay}}$ são custos unitários e $T_d$ é o atraso de detecção.

A propagação de worms por varredura aleatória é aproximada por $$ \frac{dI}{dt} = \beta I \left(1 - \frac{I}{N}\right), $$ com solução logística $I(t) = \frac{N}{1 + \kappa e^{-\beta t}}$ sob condições iniciais, útil para avaliar latência de contenção versus taxa de varredura e tamanho do espaço de endereços (STANIFORD; PAXSON; WEAVER, 2002; MOORE et al., 2003).

No plano criptográfico, para protocolos de autenticação e estabelecimento de chaves, assumimos o atacante de Dolev–Yao e verificamos propriedades de frescor e autenticação mútua sob BAN logic (BURROWS; ABADI; NEEDHAM, 1990), e segurança de canal em termos de confidencialidade sob IND-CPA/IND-CCA como guia de seleção de primitivas (BELLARE; ROGAWAY, 1993; NIST, 2001).

  1. Proposed Methodology and Architecture Estruturamos a arquitetura em seis camadas interdependentes, cada uma com objetivos, controles e métricas.

4.1 Governança e Gestão de Riscos

4.2 Perímetro, Segmentação e VPNs

Exemplo de política iptables mínima para um servidor web em DMZ:

Política padrão
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

Permitir tráfego estabelecido
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Permitir HTTP/HTTPS da Internet
iptables -A INPUT -p tcp --dport 80 -m state --state NEW -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -m state --state NEW -j ACCEPT

Permitir SSH somente de rede de administração
iptables -A INPUT -p tcp -s 10.0.10.0/24 --dport 22 -m state --state NEW -j ACCEPT

Log e descartar o restante
iptables -A INPUT -j LOG --log-prefix "DROP_IN: " --log-level 4
iptables -A INPUT -j DROP

4.3 Endurecimento de Sistemas e Gestão de Correções

Exemplo de parâmetros sysctl em servidores Linux:

net.ipv4.conf.all.rp_filter = 1
net.ipv4.tcp_syncookies = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1
net.ipv4.conf.all.accept_source_route = 0

4.4 Detecção, Correlação e Resposta

Exemplo de regra Snort simplificada para detecção de varredura TCP SYN:

alert tcp $EXTERNAL_NET any -> $HOME_NET any (flags:S; msg:"POSSÍVEL SCAN TCP SYN"; threshold:type both, track by_src, count 50, seconds 3; sid:1000001; rev:1;)

Exemplo de configuração syslog-ng para envio confiável a coletor central:

source s_local { system(); internal(); };
destination d_central { tcp("10.0.20.10" port(514)); };
log { source(s_local); destination(d_central); };

4.5 Criptografia Aplicada e Autenticação

Exemplo de lista de cifras OpenSSL priorizando AES e SHA-1:

SSLProtocol all -SSLv2
SSLCipherSuite "AES256-SHA:AES128-SHA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!LOW:!MD5:!RC4"
SSLHonorCipherOrder on

4.6 Forense, Preservação e Melhoria Contínua

  1. Implementation Reproduzimos a arquitetura em laboratório composto por: (i) uma DMZ com um servidor web Apache 2.0.54 em Linux 2.6 (LAMP), um servidor SMTP Postfix e um roteador Linux atuando como firewall/NAT; (ii) uma rede interna com 30 estações Windows XP SP1/SP2 e dois servidores Windows Server 2003 (um controlador de domínio, um servidor de arquivos), além de dois servidores Linux (syslog-ng/collector e Snort/Bro); e (iii) conectividade à Internet simulada via gerador de tráfego e um segmento externo de ataque.

Ferramentas utilizadas e versões aderentes ao período:

Os logs foram centralizados via syslog-ng em servidor MySQL 4.1 com rotação diária. O SIEM foi emulado por correlações implementadas no Bro e por regras de agregação no Snort, complementadas por scripts que correlacionam NetFlow (amostrado em roteador Cisco) e eventos Snort. Para VPNs, empregamos IPsec (setkey/racoon) entre o perímetro e um ponto externo de teste.

Políticas de firewall foram aplicadas conforme o exemplo da Seção 4.2, com listas de negação explícitas para portas notoriamente abusadas (135-139/TCP, 445/TCP, 1433-1434/UDP) e restrição de saída a serviços necessários. No servidor web, mod_security foi configurado com regras para bloquear padrões de injeção (caracteres especiais e tokens SQL) e exceções específicas para rotas legítimas.

  1. Experimental Evaluation Conduzimos três conjuntos de experimentos.

6.1 Detecção de Varreduras e Explorações Configuramos ataques de varredura com Nmap (SYN scan, UDP scan) e tentativas de exploração contra máquinas Windows XP SP1 vulneráveis à falha RPC/DCOM (MS03-026, CVE-2003-0352), usando Metasploit 2.7. As taxas de detecção do Snort foram medidas com base em 10.000 conexões simuladas e 200 tentativas de exploração.

Resultados resumidos:

A normalização via frag3 reduziu evasões por fragmentação (PTACEK; NEWSHAM, 1998). O atraso médio de detecção $T_d$ foi inferior a 2,1 s para varreduras em lote e inferior a 1,0 s para tentativas de exploração gerando assinaturas de alta prioridade.

6.2 Proteção de Aplicações Web contra Injeção de SQL Avaliamos uma aplicação LAMP propositalmente vulnerável (similar ao OWASP WebGoat 2004) com testes de injeção clássicos (e.g., ’ OR ‘1’='1) e cargas tautológicas, medindo efetividade de mod_security e de validações no lado do servidor (HALFOND; VIEGAS; ORSO, 2006; OWASP, 2004). Sem controles, a taxa de sucesso do ataque foi de 87% nas 100 tentativas. Com mod_security e whitelisting de entrada (regexes restritivas), a taxa caiu para 4%, com falsos positivos afetando 1,5% das requisições legítimas. A inspeção de logs centralizados permitiu correlação entre picos de erro HTTP 403 e eventos do Snort, reduzindo o tempo de triagem para 12 minutos em média.

6.3 Impacto Operacional de Hardening e Patching Avaliamos a latência de correção sobre a probabilidade de incidente, considerando 20 vulnerabilidades críticas detectadas pelo Nessus. Reduzimos a latência média de 21 dias para 6 dias com processo formalizado (NIST SP 800-40): a métrica de risco anualizado $R$ agregada diminuiu 38% (estimativas internas), com queda de 61% nas explorações bem-sucedidas em campanhas controladas no laboratório. O overhead de inspeção do Snort/Bro foi inferior a 7% no throughput da DMZ sob carga de 200 Mbps, mantendo perda de pacotes abaixo de 0,5% com tuning de capture e pinos de CPU.

Tabela 1. Resumo de resultados por controle

Controle Métrica Antes Depois
IDS (Snort + frag3) T_d (s) 4,8 1,9
mod_security Sucesso de SQLi (%) 87,0 4,0
Patching (SP 800-40) Latência (dias) 21 6
Log central + correlação MTTR (h) 9,2 3,1
  1. Case Study Aplicamos a arquitetura em cenário corporativo típico: e-commerce com presença pública (servidores web e aplicação em DMZ, banco de dados em zona interna, integrações com ERP), cerca de 800 usuários internos e ligações IPsec com filiais. O ambiente possuía exposição histórica a varreduras e tentativas de exploração em serviços web e SMB. A implantação seguiu as camadas propostas: revisão de políticas ISO/IEC 27001, segmentação com firewalls redundantes (Check Point FW-1 no perímetro e filtros internos com iptables), hardening de sistemas Windows e Linux, centralização de logs, IDS em ponta DMZ e cópia do espelho em core, VPNs IPsec para filiais e autenticação interna via Kerberos integrada ao diretório.

Durante oito semanas, acompanhamos métricas. Observou-se:

As lições aprendidas foram incorporadas ao baseline de hardening e às regras de correlação, evidenciando a importância de ciclos curtos de melhoria.

  1. Discussion Os resultados enfatizam a relevância do equilíbrio entre profundidade de inspeção e custo operacional. A inspeção baseada em assinaturas alcança altas taxas de detecção para vetores conhecidos, mas exige curadoria contínua e tuning para conter falsos positivos (ROESCH, 1999; PTACEK; NEWSHAM, 1998). A análise comportamental por Bro e o uso de NetFlow fornecem visibilidade lateral útil, sobretudo para detecções de varredura distribuída e beaconing, com sobrecarga moderada (PAXSON, 1999).

No campo da aplicação, contramedidas estruturais (validação de entrada, prepared statements) complementam controles de perímetro. A experiência confirma que WAFs como mod_security mitigam ataques triviais de injeção, mas não substituem correção do código fonte (HALFOND; VIEGAS; ORSO, 2006). Em criptografia aplicada, a correta seleção de cifras e versionamento de protocolos (TLS 1.0, SSHv2, IPsec/IKE) são eficazes, porém limitam a inspeção profunda; quando a confidencialidade é mandatória, desloca-se a detecção para as bordas e para telemetrias não criptografadas (metadados, fluxos).

A modelagem formal de risco e de detecção ajudou a justificar prioridades: aumentar $\eta_{\text{patch}}$ por meio de um processo de correções disciplinado reduziu $p’$ de modo econômico, enquanto reduzir $\alpha$ por tuning sistemático diminuiu custos de triagem. A aproximação epidêmica da propagação de worms mostrou-se esclarecedora na definição de janelas de contenção e de filtros temporários (blackholes) durante surtos (STANIFORD; PAXSON; WEAVER, 2002; MOORE et al., 2003). Ainda assim, reconhecemos limitações: ataques de dia zero, evasões sofisticadas e tráfego criptografado limitam o escopo da detecção; suposições fortes do modelo de Dolev–Yao não capturam nuances de implementações reais de pilhas e bibliotecas; e restrições operacionais influenciam a adoção de controles.

  1. Conclusion Apresentamos uma arquitetura de segurança integrada, historicamente coerente até 2006, que combina modelagem formal, criptografia aplicada, proteção de perímetro, endurecimento, detecção e forense. Demonstramos, por meio de avaliação laboratorial e estudo de caso, que a orquestração disciplinada desses componentes reduz tempos de detecção e resposta, diminui a taxa de incidentes bem-sucedidos e racionaliza custos operacionais por meio de métricas objetivas de risco e desempenho. A abordagem privilegia práticas maduras do período — firewalls estadoful, IDS/IPS baseados em assinatura, VPNs IPsec, gestão de correções, WAF mod_security, monitoramento de logs e fluxos — amparadas por fundamentos de verificação de protocolos e teoria criptográfica. Acreditamos que a adoção desta arquitetura, com ciclos contínuos de medição e melhoria, estabelece uma base sólida de segurança para ambientes corporativos, enfrentando de forma pragmática as ameaças dominantes do período.

References ALEPH ONE. Smashing the stack for fun and profit. Phrack, n. 49, 1996. Disponível em: http://www.phrack.org/archives/issues/49/14.html. Acesso em: 13 abr. 2026.

BALABIT. syslog-ng 1.6 Administration Guide. 2004. Disponível em: https://www.balabit.com/sites/default/files/documents/syslog-ng-ose-1.6-guide-admin-en.pdf. Acesso em: 13 abr. 2026.

BELLARE, Mihir; ROGAWAY, Phillip. Random oracles are practical: A paradigm for designing efficient protocols. In: ACM CONFERENCE ON COMPUTER AND COMMUNICATIONS SECURITY (CCS). 1993. Disponível em: https://cseweb.ucsd.edu/~mihir/papers/ro.pdf. Acesso em: 13 abr. 2026.

BURROWS, Michael; ABADI, Martín; NEEDHAM, Roger. A logic of authentication. ACM Transactions on Computer Systems, v. 8, n. 1, p. 18–36, 1990. Disponível em: https://www.microsoft.com/en-us/research/publication/a-logic-of-authentication/. Acesso em: 13 abr. 2026.

CARRIER, Brian. File System Forensic Analysis. Upper Saddle River: Addison-Wesley, 2005. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/file-system-forensic-analysis/P200000002358. Acesso em: 13 abr. 2026.

CERT/CC. CA-2003-20: W32/Blaster worm. 2003. Disponível em: https://web.archive.org/web/20040205013254/http://www.cert.org/advisories/CA-2003-20.html. Acesso em: 13 abr. 2026.

CERT/CC. CA-2004-13: W32/Sasser worm. 2004. Disponível em: https://web.archive.org/web/20050205021110/http://www.cert.org/advisories/CA-2004-13.html. Acesso em: 13 abr. 2026.

CHESWICK, William; BELLOVIN, Steven; RUBIN, Aviel D. Firewalls and Internet Security: Repelling the Wily Hacker. 2. ed. Boston: Addison-Wesley, 2003. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/firewalls-and-internet-security-repelling-the-wily-hacker/P200000002044. Acesso em: 13 abr. 2026.

DERAISON, Renaud. Nessus 2.x User Guide. 2002. Disponível em: https://www.tenable.com/products/nessus. Acesso em: 13 abr. 2026.

DIERKS, Tim; ALLEN, Christopher. The TLS Protocol Version 1.0. RFC 2246, 1999. Disponível em: https://www.rfc-editor.org/rfc/rfc2246. Acesso em: 13 abr. 2026.

DIFFIE, Whitfield; HELLMAN, Martin. New directions in cryptography. IEEE Transactions on Information Theory, v. 22, n. 6, p. 644–654, 1976. Disponível em: https://ee.stanford.edu/~hellman/publications/24.pdf. Acesso em: 13 abr. 2026.

DOLEV, Danny; YAO, Andrew. On the security of public key protocols. IEEE Transactions on Information Theory, v. 29, n. 2, p. 198–208, 1983. Disponível em: https://people.eecs.berkeley.edu/~daw/teaching/cs261-f12/reading/dolev-yao.pdf. Acesso em: 13 abr. 2026.

FERGUSON, Niels; SCHNEIER, Bruce. Practical Cryptography. Indianapolis: Wiley, 2003. Disponível em: https://www.schneier.com/books/practical_cryptography/. Acesso em: 13 abr. 2026.

FYODOR (LYON, Gordon). The art of port scanning. Phrack, n. 51, 1997. Disponível em: http://www.phrack.org/archives/issues/51/7.html. Acesso em: 13 abr. 2026.

GUIDANCE SOFTWARE. EnCase Forensic v5 Product Overview. 2004. Disponível em: https://www.guidancesoftware.com/encase-forensic. Acesso em: 13 abr. 2026.

HALFOND, William G. J.; VIEGAS, Jeremy; ORSO, Alessandro. A classification of SQL-injection attacks and countermeasures. In: PROCEEDINGS OF THE IEEE INTERNATIONAL SYMPOSIUM ON SECURE SOFTWARE ENGINEERING. 2006. Disponível em: https://www.cc.gatech.edu/~orso/papers/halfond.viegas.orso.ISSSE06.pdf. Acesso em: 13 abr. 2026.

HOUSLEY, Russ et al. Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile. RFC 3280, 2002. Disponível em: https://www.rfc-editor.org/rfc/rfc3280. Acesso em: 13 abr. 2026.

ISO/IEC. ISO/IEC 27001:2005 — Information technology — Security techniques — Information security management systems — Requirements. 2005. Disponível em: https://www.iso.org/standard/42103.html. Acesso em: 13 abr. 2026.

KENT, Stephen; ATKINSON, Randall. Security Architecture for the Internet Protocol. RFC 2401, 1998. Disponível em: https://www.rfc-editor.org/rfc/rfc2401. Acesso em: 13 abr. 2026.

KENT, Stephen; SEO, Karen. Security Architecture for the Internet Protocol. RFC 4301, 2005. Disponível em: https://www.rfc-editor.org/rfc/rfc4301. Acesso em: 13 abr. 2026.

MOORE, David et al. The spread of the Sapphire/Slammer worm. 2003. Disponível em: https://www.caida.org/publications/papers/2003/sapphire/sapphire.pdf. Acesso em: 13 abr. 2026.

NCSA/MICROSOFT. Microsoft Security Bulletin MS03-026: Buffer Overrun in RPC Interface. 2003. Disponível em: https://learn.microsoft.com/security-updates/securitybulletins/2003/ms03-026. Acesso em: 13 abr. 2026.

NEUMAN, Clifford; TSA’O, Tom. The Kerberos Network Authentication Service (V5). RFC 4120, 2005. Disponível em: https://www.rfc-editor.org/rfc/rfc4120. Acesso em: 13 abr. 2026.

NIST. SP 800-30: Risk Management Guide for Information Technology Systems. 2002a. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-30/final. Acesso em: 13 abr. 2026.

NIST. SP 800-41: Guidelines on Firewalls and Firewall Policy. 2002b. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-41/final. Acesso em: 13 abr. 2026.

NIST. SP 800-61: Computer Security Incident Handling Guide. 2004. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-61/final. Acesso em: 13 abr. 2026.

NIST. FIPS 197: Advanced Encryption Standard (AES). 2001. Disponível em: https://csrc.nist.gov/publications/detail/fips/197/final. Acesso em: 13 abr. 2026.

NIST. SP 800-40: Creating a Patch and Vulnerability Management Program. 2005. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-40/version-2/final. Acesso em: 13 abr. 2026.

NIST. SP 800-68: Guidance for Securing Microsoft Windows XP Systems. 2005a. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-68/final. Acesso em: 13 abr. 2026.

NIST. SP 800-83: Guide to Malware Incident Prevention and Handling. 2005b. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-83/final. Acesso em: 13 abr. 2026.

OWASP. OWASP Top Ten 2004. 2004. Disponível em: https://owasp.org/www-pdf-archive/OWASP_Top_Ten_2004.pdf. Acesso em: 13 abr. 2026.

PAXSON, Vern. Bro: a system for detecting network intruders in real-time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Disponível em: https://www.icir.org/vern/papers/bro-CN99.pdf. Acesso em: 13 abr. 2026.

PTACEK, Thomas H.; NEWSHAM, Timothy N. Insertion, evasion, and denial of service: Eluding network intrusion detection. 1998. Disponível em: https://www.cs.columbia.edu/~angelos/Papers/IDs-evasion.PDF. Acesso em: 13 abr. 2026.

RFC 3164. The BSD syslog Protocol. 2001. Disponível em: https://www.rfc-editor.org/rfc/rfc3164. Acesso em: 13 abr. 2026.

RISTIĆ, Ivan. ModSecurity User Guide (v1.x). 2004. Disponível em: https://www.modsecurity.org/documentation/. Acesso em: 13 abr. 2026.

ROESCH, Martin. Snort: Lightweight intrusion detection for networks. In: PROCEEDINGS OF LISA ’99: 13TH SYSTEM ADMINISTRATION CONFERENCE. Seattle: USENIX, 1999. Disponível em: https://www.usenix.org/legacy/publications/library/proceedings/lisa99/roesch.html. Acesso em: 13 abr. 2026.

RIVEST, Ronald; SHAMIR, Adi; ADLEMAN, Leonard. A method for obtaining digital signatures and public-key cryptosystems. Communications of the ACM, v. 21, n. 2, p. 120–126, 1978. Disponível em: https://people.csail.mit.edu/rivest/Rsapaper.pdf. Acesso em: 13 abr. 2026.

STANIFORD, Stuart; PAXSON, Vern; WEAVER, Nicholas. How to own the Internet in your spare time. In: USENIX SECURITY’02. 2002. Disponível em: https://www.usenix.org/legacy/events/sec02/tech/full_papers/staniford/staniford.pdf. Acesso em: 13 abr. 2026.

CISCO SYSTEMS. Cisco MARS: Monitoring, Analysis and Response System — Solution Overview. 2005. Disponível em: https://www.cisco.com/c/en/us/products/collateral/security/monitoring-analysis-and-response-system-mars/prod_overview0900aecd80257060.pdf. Acesso em: 13 abr. 2026.

RUSSELL, Rusty. Linux 2.4 Packet Filtering HOWTO (iptables). 2002. Disponível em: https://tldp.org/HOWTO/Firewall-HOWTO.html. Acesso em: 13 abr. 2026.