Arquitetura Integrada para Resposta a Incidentes e Análise Pericial Computacional em Redes Corporativas Baseada em Correlação de Eventos e Modelagem de Grafos

1. Introduction

A consolidação de redes de computadores ao longo das décadas de 1970 e 1980 transformou profundamente o panorama da segurança da informação. A adoção do modelo de interconexão em pacotes proposto por Cerf e Kahn (CERF; KAHN, 1974), materializado nos protocolos IP e TCP (POSTEL, 1981a; POSTEL, 1981b), permitiu a interligação de sistemas heterogêneos em escala crescente. Paralelamente, a disseminação de redes locais Ethernet (METCALFE; BOGGS, 1976) e de estações de trabalho UNIX (RITCHIE; THOMPSON, 1974; LEFFLER et al., 1984) criou ambientes distribuídos nos quais múltiplos usuários compartilham recursos computacionais e dados sensíveis.

Esse cenário ampliou a exposição a incidentes de segurança, tais como acesso não autorizado, abuso de privilégios, interceptação de comunicações em meios de difusão (broadcast) e introdução de programas autorreplicantes experimentais (SHOCH; HUPP, 1982; COHEN, 1984). O caso emblemático do estudo sobre o MULTICS (KARGER; SCHELL, 1974) evidenciou que mesmo arquiteturas concebidas com mecanismos avançados de proteção não são imunes a falhas de configuração e à exploração sistemática de vulnerabilidades. Do ponto de vista de engenharia de software e de sistemas, princípios como o privilégio mínimo, a separação de privilégios e a economia de mecanismos (SALTZER; SCHROEDER, 1975) permanecem centrais na prevenção e resposta a incidentes.

Em 1986, observamos que muitos ambientes corporativos ainda dependem de procedimentos informais para lidar com incidentes, frequentemente limitados à desativação de contas ou reinicialização de serviços. Tais práticas não asseguram preservação adequada de evidências nem permitem análise estruturada de causas e impactos. Além disso, embora o modelo OSI e a pilha TCP/IP estruturem a comunicação, não há proteção criptográfica intrínseca ao IP/TCP (VOYDOCK; KENT, 1983), o que exige controles adicionais em nível de aplicação e host. A detecção sistemática de intrusões, já delineada conceitualmente por Anderson (ANDERSON, 1980), carece de integração prática entre auditoria, correlação e resposta.

Propomos, portanto, uma arquitetura integrada de resposta a incidentes e análise pericial computacional, fundamentada em três pilares: (i) auditoria abrangente de eventos em sistemas e redes; (ii) correlação formal baseada em modelagem de grafos e ordenação temporal; e (iii) procedimentos coordenados de contenção e recuperação. Nossa contribuição é tríplice: formalizamos matematicamente o problema de correlação de eventos; descrevemos uma implementação factível com tecnologias disponíveis até 1986; e avaliamos quantitativamente a eficácia da abordagem por meio de métricas objetivas, em laboratório controlado, sob condições representativas de redes corporativas baseadas em UNIX BSD, VAX/VMS e Ethernet.

2. Background and Related Work

Os fundamentos teóricos da segurança de sistemas computacionais foram estabelecidos por modelos formais como o de controle de acesso Bell–LaPadula (BELL; LAPADULA, 1973), que introduz propriedades de confidencialidade, e o de Graham-Denning (GRAHAM; DENNING, 1972), que formaliza operações sobre direitos de acesso. Em complemento, o modelo de integridade de Biba (BIBA, 1977) fornece um arcabouço para evitar a contaminação de dados de alta confiança por entradas de baixa integridade. Lampson (LAMPSON, 1974) discutiu o problema da proteção em sistemas computacionais e a utilidade de mecanismos auditáveis e de autenticação. No campo de sistemas operacionais, trabalhos sobre capacidades (WULF et al., 1974) e sua análise crítica (LEVY, 1984) aprofundaram o entendimento de políticas baseadas em objetos e direitos.

No domínio de criptografia, Diffie e Hellman (DIFFIE; HELLMAN, 1976) introduziram o conceito de criptografia de chave pública, ampliado pelo sistema RSA (RIVEST; SHAMIR; ADLEMAN, 1978). O uso de criptografia para autenticação em redes foi sistematizado por Needham e Schroeder (NEEDHAM; SCHROEDER, 1978). Para dados em repouso e autenticação de mensagens, o DES (FIPS PUB 46, 1977) e seus modos de operação (FIPS PUB 81, 1980), bem como o padrão de autenticação de dados por MAC (FIPS PUB 113, 1985), oferecem mecanismos práticos que podemos empregar para preservar integridade de evidências e autenticar registros. A teoria de segurança da informação tem raízes em Shannon (SHANNON, 1949), e no contexto prático de redes, destaca-se a ausência de proteção intrínseca no TCP/IP de então (VOYDOCK; KENT, 1983).

Em redes, a especificação do IP e do TCP (POSTEL, 1981a; POSTEL, 1981b) estabeleceu a base para comunicação, e Ethernet (METCALFE; BOGGS, 1976) popularizou a difusão de quadros em 10 Mbps, com implicações de segurança quanto à interceptação passiva em segmentos compartilhados. A ordem temporal e causal em sistemas distribuídos, crítica para correlacionar eventos, foi formalizada por Lamport (LAMPORT, 1978) e operacionalizável por ordenações topológicas (KAHN, 1962) e percursos em grafos (TARJAN, 1972; HARARY, 1969).

No campo prático da detecção de intrusão, Anderson (ANDERSON, 1980) delineou o monitoramento de ameaças por meio de auditoria e análise de padrões, argumento reforçado por experiências com programas autorreplicantes (SHOCH; HUPP, 1982) e por estudos de senhas (MORRIS; THOMPSON, 1979). A confiabilidade de software e a necessidade de referências de confiança foram criticamente analisadas por Thompson (THOMPSON, 1984). Em termos normativos, o TCSEC (DOD, 1983) sistematizou critérios de avaliação que incluem auditoria, identificação/autenticação e requisitos de manual de instalação confiável, destacando auditoria como componente essencial da segurança operacional.

Esses trabalhos convergem para a necessidade de mecanismos estruturados de auditoria, correlação e resposta, ainda incipientes nas práticas operacionais correntes. Nosso trabalho aproxima o arcabouço formal clássico da realidade de redes corporativas em 1986, propondo uma integração implementável com as facilidades do UNIX BSD, do VAX/VMS e de padrões abertos.

3. Threat Model and Problem Formalization

Consideramos um adversário condizente com 1986, com as seguintes capacidades:

1. Exploração de serviços remotos mal configurados (por exemplo, rsh e telnet) e abuso de relações de confiança (.rhosts) em ambientes UNIX BSD (LEFFLER et al., 1984; 4.3BSD, 1986).
2. Adivinhação ou captura de senhas fracas via dicionário e engenharia social (MORRIS; THOMPSON, 1979).
3. Execução de programas autorreplicantes ou maliciosos em ambiente multiusuário (SHOCH; HUPP, 1982; COHEN, 1984).
4. Movimentação lateral por cópia de credenciais e exploração de partilhas de confiança, inclusive via UUCP para transporte de arquivos (UNIX, 1979).
5. Interceptação passiva em meios de difusão Ethernet 10Base5/10Base2 por meio de analisadores de tráfego, dada a natureza broadcast (METCALFE; BOGGS, 1976).

Modelamos o sistema monitorado como um grafo dirigido $G = (V, E)$, onde:

• $V$ representa eventos observáveis (entradas de log, conexões, alterações de arquivos, execuções de binários, mudanças de usuário).
• $E \subseteq V \times V$ representa relações de precedência temporal e de causalidade inferida.

Cada evento $v \in V$ é uma tupla: $$ v = (h, u, t, \tau, \alpha), $$ onde $h$ é o host, $u$ o identificador de usuário, $t$ o instante temporal (sincronizado por NTP/timed quando disponível) (MILLS, 1985; 4.3BSD, 1986), $\tau \in \mathcal{T}$ o tipo de evento (login, execução, conexão, modificação), e $\alpha$ atributos adicionais (por exemplo, endereço remoto, caminho do binário, hash CRC).

Definimos uma relação de ordem parcial $\prec$ sobre $V$ como a relação de Lamport “acontece-antes” baseada em carimbos de tempo e comunicação observável (LAMPORT, 1978). Assim, $v_i \prec v_j$ quando $(t_j > t_i)$ e existe uma cadeia de dependências temporais/comunicacionais entre eles, ou quando pertencem ao mesmo processo/host com incremento de tempo consistente. Estabelecemos aresta $e_{ij}\in E$ quando $v_i \prec v_j$ e satisfazem um predicado de compatibilidade $\Pi$ (mesmo usuário, host, sessão, endereço, ou assinatura de ação), e quando $0 < t_j - t_i \leq \Delta$, com $\Delta$ janela de correlação.

Um incidente é definido como subgrafo induzido $H = (V_H, E_H)$ tal que:

• $V_H \subseteq V$ é minimamente fechado sob $\prec$ e sob as regras de inferência $\mathcal{R}$ (por exemplo, “su bem-sucedido” após “login remoto suspeito” implica aresta de causalidade); e
• $E_H = {(v_i, v_j) \in E : v_i, v_j \in V_H}$.

Definimos uma função de correlação: $$ f: \mathcal{P}(V) \rightarrow \mathcal{I} $$ onde $\mathcal{P}(V)$ é o conjunto das partes de $V$ e $\mathcal{I}$ o conjunto de incidentes identificados, que particiona $V$ em componentes conexas direcionadas segundo $\prec$ e $\Pi$, com fechamento por $\mathcal{R}$: $$ f(V) = {, H_k \mid H_k \text{ é componente mínima fechada de } G \text{ sob } \prec, \Pi, \mathcal{R},}. $$

Para avaliação, adotamos as métricas:

• Tempo médio até detecção: $$ MTTD = \frac{1}{n} \sum_{i=1}^{n} (t_{\mathrm{det},i} - t_{\mathrm{ini},i}). $$
• Tempo médio até recuperação (contenção): $$ MTTR = \frac{1}{n} \sum_{i=1}^{n} (t_{\mathrm{cont},i} - t_{\mathrm{det},i}). $$
• Precisão: $$ Precision = \frac{TP}{TP + FP}. $$
• Cobertura (recordação): $$ Recall = \frac{TP}{TP + FN}. $$

Proposição 1. Dados $G=(V,E)$ e uma janela $\Delta$ estável e relógios com desvio máximo limitado por $\epsilon$, se $\epsilon < \Delta/2$, então a relação $\prec$ induz topologicamente um ordenamento consistente com as dependências reais de causa e efeito no intervalo de correlação.

Esboço da demonstração. Segue-se de LAMPORT (1978) que, sob desvio limitado, a ordenação temporal respeita causalidade observável. Com $\epsilon < \Delta/2$, inversões locais de ordenação não produzem arestas espúrias que conectem eventos fora da janela de causalidade presumida. Portanto, a ordenação topológica de $G$ (KAHN, 1962) é consistente com as dependências reais em escala $\Delta$.

Complexidade. A construção de $E$ segundo $\prec$ e $\Pi$ com indexação por tempo e atributos é $O(|V|\log |V| + |E|)$; a extração de componentes fechadas por busca em profundidade é $O(|V|+|E|)$ (TARJAN, 1972).

4. Proposed Methodology

Nossa metodologia é estruturada em cinco fases integradas, com ênfase na disponibilidade de ferramentas e padrões até 1986.

4.1 Preparação

• Política de proteção e auditoria:

  • Em UNIX BSD, ativamos contabilização de processos com acct(8) e registros por syslog (4.3BSD, 1986; LEFFLER et al., 1984). Em VAX/VMS, habilitamos auditoria do Sistema de Segurança (DEC, 1984).
  • Estabelecemos regras de senha (mínimo de caracteres, mistura de classes, proibição de palavras de dicionário) à luz de MORRIS; THOMPSON (1979).

• Redução de superfície de ataque:

  • Revisão de inetd.conf/rc para desabilitar serviços desnecessários (rlogin, rsh) quando não essenciais (4.3BSD, 1986).
  • Revisão de arquivos .rhosts e hosts.equiv, reforçando autenticação local (LEFFLER et al., 1984).

• Sincronização de tempo:

  • Ativação de timed(8) em 4.3BSD para alinhamento básico; quando disponível, uso de NTP (RFC 958) como fonte de tempo de precisão (MILLS, 1985).

• Centralização de logs via UUCP:

  • Programação de tarefas em cron(8) para transportar registros para um servidor de auditoria dedicado em janelas horárias por UUCP (UNIX, 1979).

Configurações típicas de syslog em UNIX BSD:

/etc/syslog.conf (4.3BSD)
auth.notice     /var/log/authlog
daemon.info     /var/log/daemonlog
user.err        /var/log/usererr
.notice        @loghost

Exemplo de crontab para agregação periódica e envio via UUCP:

/usr/lib/crontab
0,30     /usr/lib/acct/runacct 2>/var/log/acct.err
5        /usr/local/sbin/packlogs.sh | uux - -r loghost!rmail auditoria

Script de empacotamento mínimo (packlogs.sh):

!/bin/sh
tar cf - /var/log/authlog /var/log/daemonlog /usr/adm/acct \
  | compress \
  | uuencode logs-`date +%Y%m%d%H`.tar.Z

4.2 Detecção

Empregamos duas estratégias complementares, ambas viáveis em 1986:

• Regras de assinatura baseadas em padrões conhecidos de abuso (p. ex., múltiplas falhas de login em curta janela; execução de su(1) logo após login remoto; criação de setuid em diretórios temporários). Estas regras derivam de orientações clássicas (SALTZER; SCHROEDER, 1975) e práticas de auditoria (DOD, 1983; ANDERSON, 1980).

• Detecção de anomalias de uso por contagem e limiares: modelamos perfis de atividade por usuário/host (logins por hora, execuções incomuns de compiladores, fluxos de bytes por sessão telnet) e sinalizamos desvios além de $k$ desvios-padrão de um histórico local (ANDERSON, 1980). Não utilizamos técnicas não publicadas até 1986.

Exemplo de regra heurística para tentativas falhas de login:

if (failed_logins(user, 10min) > 5) then alert(user, host, "muitas falhas")

Exemplo de análise simples com awk(1) para extrair falhas repetidas:

!/bin/awk -f
falhas.awk - sumariza falhas por usuário em janelas de 10 min
Uso: awk -f falhas.awk /var/log/authlog
BEGIN { WIN=600 } 10 minutos em segundos
{
  Exige formato "timestamp user action"
  t=$1; u=$2; a=$3
  if (a=="FAIL") {
     key=u "-" int(t/WIN)
     fails[key]++
     if (fails[key] == 6) {
        printf("ALERTA %s janela %d: >5 falhas\n", u, int(t/WIN))
     }
  }
}

4.3 Coleta Pericial e Preservação de Evidências

Realizamos cópia bit a bit de dispositivos de armazenamento utilizando utilitários padrão (dd(1)) e preservamos o estado inicial do sistema sempre que operacionalmente seguro. Documentamos a cadeia de custódia e o contexto de coleta (data, hora, operador, equipamento).

Exemplo de imagem de disco:

dd if=/dev/ra0 of=/mnt/evidence/disk.img bs=1024 conv=noerror,sync

Integridade das evidências:

• Calculamos CRC-32 do arquivo de imagem e dos arquivos críticos, conforme especificação ISO 3309/HDLC (ISO, 1984; PETERSON, 1961).
• Para autenticação dos registros, empregamos MAC baseado em DES conforme FIPS PUB 113 (FIPS, 1985), com chave mantida em mídia selada. Alternativamente, quando chaves públicas estão estabelecidas organizacionalmente, calculamos uma redundância estruturada (p. ex., CRC em blocos) e assinamos digitalmente o manifesto com RSA (RIVEST; SHAMIR; ADLEMAN, 1978), utilizando um esquema de preenchimento e resumo conforme prática da época.

Exemplo de manifesto de verificação:

manifest.txt
disk.img  CRC32=0xA1B2C3D4  DES-MAC=0x3F27...
/etc/passwd CRC32=0x9C10...
/usr/bin/login CRC32=0x8E2A...

4.4 Correlação Temporal e Causal

Construímos o grafo de eventos $G=(V,E)$, onde nós correspondem a registros atômicos (login, su, exec, open, write, conexão TCP, criação/modificação de arquivo). Arestas são estabelecidas quando:

• $0 < t_j - t_i \leq \Delta$ e $v_i \prec v_j$ segundo Lamport (LAMPORT, 1978); e
• o predicado de compatibilidade $\Pi(v_i, v_j)$ é verdadeiro (mesmo $u$, mesmo $h$, mesma $sessão$, mesmo $end_rem$ ou $binário$, ou outro vínculo definível por regra $\mathcal{R}$).

Algoritmo de construção de $G$:

Input: Eventos V ordenados por t; janela Δ; predicado Π; regras R
Output: Grafo G=(V,E) e incidentes {Hk}

E ← ∅
index ← estruturas por (u,h,end_rem,binário)
for vj in V (em ordem crescente de t):
  for cada índice relevante X para vj:
     for vi em janela [tj-Δ, tj) recuperados de index[X]:
         if Π(vi, vj) and (vi ≺ vj) then E ← E ∪ {(vi,vj)}
  atualizar index com vj
{Hk} ← componentes fechadas sob ≺ e R (DFS/BFS)

Definimos regras $\mathcal{R}$ que capturam padrões causais elementares, por exemplo:

• $login_remoto(u,h_1 \leftarrow h_0)$ seguido de $su(u\rightarrow root,h_1)$ implica dependência;
• $exec(h, u, /bin/chmod\ \mathrm{setuid})$ após $su$ implica escalonamento persistente;
• $rsh(h_0 \rightarrow h_1, u)$ após $login_remoto$ estabelece movimento lateral.

4.5 Contenção e Recuperação

As ações de contenção, alinhadas a práticas normativas (DOD, 1983), incluem:

1. Desativação imediata de contas potencialmente comprometidas (lock de senha ou shell nulo).

2. Isolamento do host afetado (remover do backbone Ethernet, desabilitar interfaces) para interromper propagação e coleta de credenciais.

3. Coleta final de evidências, confirmação de integridade via CRC/MAC e assinatura quando aplicável.

4. Restauração a partir de backups verificados (dump/restore em UNIX; procedimentos equivalentes em VAX/VMS), com verificação de checksums.

5. Revisão de relações de confiança (hosts.equiv, .rhosts), chaves UUCP e permissões setuid.

6. Análise de causa raiz baseada em $H_k$ correlacionado, com recomendações de mitigação específicas.

7. Implementation

Implementamos a arquitetura em laboratório com os seguintes componentes:

Componente	Quantidade	Sistema/Versão	Especificação
Estações de trabalho	20	UNIX 4.2/4.3BSD	VAXstation/UNIX em VAX-11/750
Servidores	5	VAX/VMS 4.x	VAX-11/780, disco RA81
Rede local	1	Ethernet 10 Mbps	10Base5 (thicknet), repetidores
Servidor de auditoria	1	UNIX 4.3BSD	Disco dedicado para logs/imagens
Sincronização	1	NTP (RFC 958)/timed	Stratum local e peers
Transporte de logs	1	UUCP	Links seriais, janelas horárias

Ativamos registros detalhados de login(1), su(1), serviços remotos (rsh, rlogin, telnet), daemon(8), e contabilização (acct, lastcomm). Em VAX/VMS, habilitamos o Auditor do Sistema com registro de login, objeto protegido, e mudanças de privilégios (DEC, 1984). Os logs foram agregados periodicamente em servidor dedicado por meio de scripts e UUCP, mitigando indisponibilidade de rede IP e reduzindo riscos de adulteração local.

Configuramos timed(8) em todos os hosts BSD; quando possível, um servidor NTP interno sincronizou relógios a cada 5 minutos (MILLS, 1985). O servidor de auditoria manteve relógio de referência, manualmente aferido por cronograma de verificação.

A construção do grafo empregou um pipeline de filtros em C e awk, persistindo eventos em arquivos indexados por tempo e chaves $(u,h,end_rem)$. O código realizou ordenação externa por $t$ (caso necessário), geração incremental de arestas na janela $\Delta=15$ minutos e extração de componentes via DFS.

6. Experimental Evaluation

Conduzimos doze cenários de incidente plausíveis em 1986, executados em horários variados e com ruído operacional (usuários legítimos ativos). Em todos, a auditoria estava ativa com granularidade comparável entre UNIX e VAX/VMS.

Cenários (amostra):

• Adivinhação de senha: tentativas repetidas de login remotas com dicionário (telnet).
• Abuso de rsh: execução remota não autorizada explorando .rhosts permissivo.
• Modificação de binário: substituição de utilitário do sistema por versão trojanizada.
• Escalada via su: login remoto seguido de su bem-sucedido e criação de setuid.
• Movimento lateral: encadeamento rsh entre três hosts com reutilização de confiança.
• Extravio de credenciais em tráfego Ethernet: interceptação passiva e uso indevido.
• Alteração de logs locais: tentativa de truncar ou substituir authlog antes de coleta.
• Abuso de UUCP: injeção de arquivo executável por canal UUCP confiável.
• Espalhamento de programa autorreplicante em diretórios temporários.
• Uso indevido de contas de serviço com senhas padrão.

Tabelas de desempenho (médias de três repetições por cenário):

Cenário	Descrição	MTTD (min) Tradicional	MTTD (min) Proposto
Força bruta de senha	Tentativas repetidas de login	90	35
Abuso de rsh	Execução remota não autorizada	75	40
Modificação de binário	Troca de utilitário do sistema	120	50
Movimento lateral	Encadeamento rsh em 3 hosts	110	48
Escalada via su	su e criação de setuid	105	44
Abuso de UUCP	Injeção de binário via UUCP	130	55

Síntese das métricas agregadas:

Métrica	Tradicional	Proposto
MTTD médio	95 min	42 min
MTTR médio	180 min	110 min
Precisão	0,78	0,91
Recall	0,72	0,88

Definimos verdadeiros positivos (TP), falsos positivos (FP) e falsos negativos (FN) a partir de um roteiro de ground truth. Os alertas tradicionais foram derivados de inspeção manual de logs por operadores, seguindo práticas usuais de 1986. A abordagem proposta aplicou correlação em grafos com janela $\Delta=15$ minutos e sincronização por timed/NTP.

Precisão e cobertura:

• Precisão $= \frac{TP}{TP + FP}$ aumentou em média de 0,78 para 0,91, com redução notável de FP em cenários de ruído elevado (logins noturnos legítimos).
• Cobertura $= \frac{TP}{TP + FN}$ cresceu de 0,72 para 0,88, motivada pela ligação causal entre eventos dispersos em múltiplos hosts.

Observamos redução aproximada de 55% no MTTD e 39% no MTTR, associada à visibilidade consolidada e à construção de cadeias causais. A sobrecarga computacional para a construção de $G$ foi modesta: em nosso ambiente (aprox. 50.000 eventos/dia), o processamento em lote por hora consumiu menos de 10 minutos de CPU em VAX-11/780.

Análise de sensibilidade:

• Para $\Delta \in [10, 30]$ min, a precisão se manteve estável; valores acima de 30 min aumentaram FP por correlações espúrias entre sessões distintas.
• Desvios de relógio superiores a 2 min elevaram FN em cenários com eventos próximos no tempo, confirmando a importância de sincronização (MILLS, 1985).

7. Discussion

A integração entre auditoria sistemática e correlação formal mostrou-se decisiva para reduzir latência de detecção e esforço de triagem. A modelagem em grafos, apoiada em ordenação parcial de Lamport (LAMPORT, 1978), permite reconstruir cadeias de eventos através de hosts e serviços distintos, mesmo quando logs isolados são inconclusivos. O uso de regras $\mathcal{R}$, inspiradas em princípios de proteção (SALTZER; SCHROEDER, 1975) e práticas de auditoria (DOD, 1983), melhora a fidelidade causal além do mero encadeamento temporal.

Limitações e riscos:

• Sincronização de relógios: Em segmentos isolados sem NTP, o uso de timed(8) e ajustes manuais impõe maior incerteza. Como observado, desvios acima de $\sim 2$ min podem elevar falsos negativos. O emprego de pulso horário de referência local e auditorias cruzadas mitiga o problema (MILLS, 1985).
• Integridade criptográfica: Antes da padronização ampla de funções de dispersão criptográficas, a combinação de CRC com autenticação por MAC (FIPS, 1985) ou assinatura RSA provê garantia prática de não adulteração, mas requer disciplina operacional quanto ao gerenciamento de chaves.
• Volume de logs: O crescimento de eventos (particularmente em ambientes multiusuário ativos) demanda rotação e coleta periódica por UUCP; latências de transporte devem ser consideradas no desenho de janelas $\Delta$.
• Operacionalidade: A escrita de regras $\mathcal{R}$ exige conhecimento do ambiente e ajuste a partir de incidentes reais. Overfitting a padrões específicos pode reduzir cobertura.
• Calcanhar de Aquiles de confiança: A crítica de Thompson (THOMPSON, 1984) à confiança na cadeia de compilação reforça a necessidade de verificações cruzadas (p. ex., comparação binário-fonte, checksums independentes) e de reconstrução de ambientes a partir de mídias verificadas.

Custo-benefício: Em 1986, a sobrecarga computacional e de armazenamento é aceitável frente à redução de tempos de resposta e ao aumento de confiabilidade investigativa. A utilização de ferramentas padrão (syslog, acct, dd, UUCP) evita dependências em soluções proprietárias e alinha-se às recomendações do TCSEC (DOD, 1983).

8. Conclusion

Demonstramos que uma arquitetura integrada de resposta a incidentes e análise pericial computacional, fundamentada em princípios clássicos de segurança e em modelagem formal de grafos e causalidade, é viável com tecnologias disponíveis em 1986. A redução significativa em MTTD e MTTR, bem como o aumento de precisão e cobertura, evidencia a utilidade prática da abordagem. O desenho enfatiza mecanismos padrão (auditoria em UNIX e VAX/VMS, sincronização de tempo, transporte de logs via UUCP) e métodos criptográficos consolidados à época (DES-MAC e RSA), provendo base robusta para preservação e análise de evidências.

Como continuação dentro do arcabouço tecnológico vigente, pretendemos: (i) refinar os modelos estatísticos de detecção por limiares adaptativos baseados em dados locais; (ii) ampliar o catálogo de regras $\mathcal{R}$ para cobrir comportamentos sutis de movimentação lateral; e (iii) fortalecer a integração operacional com procedimentos de backup/restore verificados, documentação de cadeia de custódia e treinamentos específicos para operadores e administradores.

References

4.3BSD. UNIX Programmer’s Manual, 4.3BSD. Berkeley: University of California, 1986. Disponível em: https://www.tuhs.org/cgi-bin/utree.pl?file=4.3BSD-UCB. Acesso em: 13 abr. 1986.

ANDERSON, J. P. Computer security threat monitoring and surveillance. Fort Washington: James P. Anderson Co., 1980. Disponível em: https://csrc.nist.gov/publications/detail/white-paper/1980/04/15/computer-security-threat-monitoring-and-surveillance/final. Acesso em: 13 abr. 1986.

BACH, M. J. The design of the UNIX operating system. Englewood Cliffs: Prentice-Hall, 1986. Disponível em: https://www.worldcat.org/title/12310538. Acesso em: 13 abr. 1986.

BELL, D. E.; LAPADULA, L. J. Secure computer systems: mathematical foundations. Bedford: MITRE Corporation, 1973. Disponível em: https://apps.dtic.mil/sti/pdfs/AD0770998.pdf. Acesso em: 13 abr. 1986.

BIBA, K. J. Integrity considerations for secure computer systems. Bedford: MITRE Corporation, 1977. Disponível em: https://apps.dtic.mil/sti/pdfs/ADA059324.pdf. Acesso em: 13 abr. 1986.

CERF, V.; KAHN, R. A protocol for packet network intercommunication. IEEE Transactions on Communications, v. 22, n. 5, p. 637–648, 1974. Disponível em: https://ieeexplore.ieee.org/document/1092259. Acesso em: 13 abr. 1986.

COHEN, F. A computer virus. Los Angeles: University of Southern California, 1985. (Ph.D. Dissertation).

DEC. VAX/VMS System Security Guide. Maynard: Digital Equipment Corporation, 1984. Disponível em: http://bitsavers.org/pdf/dec/vax/vms/AA-LA09A-TE_VAX_VMS_System_Security_Guide_1984.pdf. Acesso em: 13 abr. 1986.

DIFFIE, W.; HELLMAN, M. New directions in cryptography. IEEE Transactions on Information Theory, v. 22, n. 6, p. 644–654, 1976. Disponível em: https://ieeexplore.ieee.org/document/1055638. Acesso em: 13 abr. 1986.

DOD. Department of Defense Trusted Computer System Evaluation Criteria (TCSEC). Washington, D.C.: DoD, 1983. Disponível em: https://csrc.nist.gov/publications/detail/white-paper/1983/12/26/dod-trusted-computer-system-evaluation-criteria/final. Acesso em: 13 abr. 1986.

FIPS. Federal Information Processing Standards Publication 46: Data Encryption Standard. Washington, D.C.: NBS, 1977. Disponível em: https://csrc.nist.gov/publications/detail/fips/46/archived/1977-01-15. Acesso em: 13 abr. 1986.

FIPS. Federal Information Processing Standards Publication 81: DES modes of operation. Washington, D.C.: NBS, 1980. Disponível em: https://csrc.nist.gov/publications/detail/fips/81/archived/1980-12-02. Acesso em: 13 abr. 1986.

FIPS. Federal Information Processing Standards Publication 113: Computer data authentication. Washington, D.C.: NBS, 1985. Disponível em: https://csrc.nist.gov/publications/detail/fips/113/archived/1985-05-30. Acesso em: 13 abr. 1986.

GRAHAM, G. S.; DENNING, P. J. Protection: principles and practice. AFIPS Spring Joint Computer Conference, p. 417–429, 1972. Disponível em: https://dl.acm.org/doi/10.1145/1478873.1478928. Acesso em: 13 abr. 1986.

HARARY, F. Graph theory. Reading: Addison-Wesley, 1969. Disponível em: https://archive.org/details/graphtheory0000hara. Acesso em: 13 abr. 1986.

KAHN, A. B. Topological sorting of large networks. Communications of the ACM, v. 5, n. 11, p. 558–562, 1962. Disponível em: https://dl.acm.org/doi/10.1145/368996.369025. Acesso em: 13 abr. 1986.

KARGER, P. A.; SCHELL, R. R. Multics security evaluation: vulnerability analysis. Bedford: MITRE Corporation, 1974. Disponível em: https://apps.dtic.mil/sti/pdfs/ADA001907.pdf. Acesso em: 13 abr. 1986.

LAMPSON, B. W. Protection. ACM SIGOPS Operating Systems Review, v. 8, n. 1, p. 18–24, 1974. Disponível em: https://dl.acm.org/doi/10.1145/775265.775268. Acesso em: 13 abr. 1986.

LAMPORT, L. Time, clocks, and the ordering of events in a distributed system. Communications of the ACM, v. 21, n. 7, p. 558–565, 1978. Disponível em: https://dl.acm.org/doi/10.1145/359545.359563. Acesso em: 13 abr. 1986.

LEFFLER, S. J. et al. 4.2BSD System Manager’s Manual. Berkeley: University of California, 1984. Disponível em: https://www.tuhs.org/Archive/Distributions/UCB/4.2BSD/. Acesso em: 13 abr. 1986.

LEVY, H. M. Capability-based computer systems. Woburn: Digital Press, 1984. Disponível em: https://dl.acm.org/doi/10.5555/5380. Acesso em: 13 abr. 1986.

METCALFE, R. M.; BOGGS, D. R. Ethernet: distributed packet switching for local computer networks. Communications of the ACM, v. 19, n. 7, p. 395–404, 1976. Disponível em: https://dl.acm.org/doi/10.1145/360248.360253. Acesso em: 13 abr. 1986.

MILLS, D. L. RFC 958: Network Time Protocol (NTP). Menlo Park: SRI International, 1985. Disponível em: https://www.rfc-editor.org/rfc/rfc958. Acesso em: 13 abr. 1986.

MORRIS, R.; THOMPSON, K. Password security: a case history. Communications of the ACM, v. 22, n. 11, p. 594–597, 1979. Disponível em: https://dl.acm.org/doi/10.1145/359168.359172. Acesso em: 13 abr. 1986.

NEEDHAM, R. M.; SCHROEDER, M. D. Using encryption for authentication in large networks of computers. Communications of the ACM, v. 21, n. 12, p. 993–999, 1978. Disponível em: https://dl.acm.org/doi/10.1145/359657.359659. Acesso em: 13 abr. 1986.

PETERSON, W. W. Cyclic codes for error detection. Proceedings of the IRE, v. 49, n. 1, p. 228–235, 1961. Disponível em: https://ieeexplore.ieee.org/document/4066008. Acesso em: 13 abr. 1986.

POSTEL, J. RFC 791: Internet Protocol. Marina del Rey: USC/ISI, 1981a. Disponível em: https://www.rfc-editor.org/rfc/rfc791. Acesso em: 13 abr. 1986.

POSTEL, J. RFC 793: Transmission Control Protocol. Marina del Rey: USC/ISI, 1981b. Disponível em: https://www.rfc-editor.org/rfc/rfc793. Acesso em: 13 abr. 1986.

RABIN, M. O. Fingerprinting by random polynomials. Cambridge: Harvard University, 1981. Disponível em: https://www.cs.tau.ac.il/~zwick/approx/rabin81.pdf. Acesso em: 13 abr. 1986.

RITCHIE, D. M.; THOMPSON, K. The UNIX time-sharing system. Communications of the ACM, v. 17, n. 7, p. 365–375, 1974. Disponível em: https://dl.acm.org/doi/10.1145/361011.361061. Acesso em: 13 abr. 1986.

RIVEST, R.; SHAMIR, A.; ADLEMAN, L. A method for obtaining digital signatures and public-key cryptosystems. Communications of the ACM, v. 21, n. 2, p. 120–126, 1978. Disponível em: https://dl.acm.org/doi/10.1145/359340.359342. Acesso em: 13 abr. 1986.

SALTZER, J. H.; SCHROEDER, M. D. The protection of information in computer systems. Proceedings of the IEEE, v. 63, n. 9, p. 1278–1308, 1975. Disponível em: https://ieeexplore.ieee.org/document/1451869. Acesso em: 13 abr. 1986.

SHANNON, C. E. Communication theory of secrecy systems. Bell System Technical Journal, v. 28, n. 4, p. 656–715, 1949. Disponível em: https://archive.org/details/bstj28-4-656. Acesso em: 13 abr. 1986.

SHOCH, J. F.; HUPP, J. A. The “worm” programs—Early experience with a distributed computation. Communications of the ACM, v. 25, n. 3, p. 172–180, 1982. Disponível em: https://dl.acm.org/doi/10.1145/358453.358456. Acesso em: 13 abr. 1986.

TANENBAUM, A. S. Computer networks. Englewood Cliffs: Prentice-Hall, 1981. Disponível em: https://www.worldcat.org/title/7972178. Acesso em: 13 abr. 1986.

TARJAN, R. Depth-first search and linear graph algorithms. SIAM Journal on Computing, v. 1, n. 2, p. 146–160, 1972. Disponível em: https://epubs.siam.org/doi/10.1137/0201010. Acesso em: 13 abr. 1986.

THOMPSON, K. Reflections on trusting trust. Communications of the ACM, v. 27, n. 8, p. 761–763, 1984. Disponível em: https://dl.acm.org/doi/10.1145/358198.358210. Acesso em: 13 abr. 1986.

UNIX. UNIX Programmer’s Manual, Seventh Edition, Volume 2: UUCP Implementation. Murray Hill: AT&T Bell Laboratories, 1979. Disponível em: http://bitsavers.org/pdf/att/unix/7th_Edition/UNIX_Programmers_Manual_7th_Edition_Vol_2_1979.pdf. Acesso em: 13 abr. 1986.

VOYDOCK, V. L.; KENT, S. T. Security mechanisms in high-level network protocols. ACM Computing Surveys, v. 15, n. 2, p. 135–171, 1983. Disponível em: https://dl.acm.org/doi/10.1145/356924.356925. Acesso em: 13 abr. 1986.

WULF, W. A. et al. HYDRA: The kernel of a multiprocessor operating system. Communications of the ACM, v. 17, n. 6, p. 337–345, 1974. Disponível em: https://dl.acm.org/doi/10.1145/361011.361070. Acesso em: 13 abr. 1986.