Arquitetura Integrada de Investigação Forense Computacional e Resposta a Incidentes em Sistemas UNIX Conectados em Rede

1. Introduction

A expansão das redes de computadores durante o início da década de 1980 transformou significativamente o ambiente operacional de organizações acadêmicas, governamentais e industriais. Sistemas anteriormente isolados passaram a ser interconectados por redes locais e enlaces de longa distância, permitindo compartilhamento eficiente de recursos computacionais. Entretanto, essa interconexão também introduziu novos vetores de ataque e ampliou o impacto potencial de falhas de segurança.

Em ambientes baseados em sistemas UNIX multiusuário, diversos usuários executam processos simultaneamente e compartilham recursos do sistema, incluindo arquivos, dispositivos e interfaces de rede. Como discutido por Saltzer e Schroeder (1975), a proteção adequada desses sistemas exige não apenas mecanismos de controle de acesso, mas também capacidade de auditoria e monitoramento contínuo.

Historicamente, as estratégias de segurança concentraram-se em mecanismos preventivos, como autenticação de usuários, isolamento de privilégios e filtragem de tráfego em gateways de rede. Entretanto, tais mecanismos não eliminam completamente a possibilidade de incidentes. Erros de configuração, falhas de implementação de software ou uso indevido de credenciais podem resultar em comprometimento parcial ou total do sistema.

Diante desse cenário, torna-se necessário estabelecer procedimentos sistemáticos para investigação de incidentes de segurança. Esses procedimentos envolvem a coleta de evidências digitais, a preservação da integridade dos artefatos analisados e a reconstrução da sequência de eventos que levou ao comprometimento do sistema.

Neste trabalho propomos uma arquitetura integrada de investigação forense computacional e resposta a incidentes adequada ao estado tecnológico de meados da década de 1980. A abordagem combina monitoramento de eventos por meio de registros de auditoria, mecanismos de contenção em gateways de rede e métodos formais de preservação de evidências digitais.

2. Background and Related Work

A segurança de sistemas computacionais tem sido objeto de estudo desde os primeiros sistemas de tempo compartilhado. Trabalhos clássicos como o modelo de segurança de Bell e LaPadula (1973) estabeleceram fundamentos formais para controle de acesso em sistemas classificados.

Posteriormente, Saltzer e Schroeder (1975) apresentaram princípios fundamentais de projeto de sistemas seguros, incluindo economia de mecanismo, separação de privilégios e auditoria completa. Esses princípios continuam a orientar o desenvolvimento de mecanismos de segurança em sistemas operacionais.

Anderson (1980) propôs um modelo conceitual para monitoramento de segurança baseado em auditoria de eventos. Esse modelo introduz o conceito de monitoramento contínuo capaz de detectar padrões anômalos em registros de sistema.

Denning (1982) formalizou o problema da detecção de intrusão por meio de modelos estatísticos e análise de perfis de comportamento. Seu trabalho demonstra que registros de auditoria podem ser utilizados para identificar desvios significativos no comportamento de usuários ou processos.

Em ambientes UNIX, registros de auditoria são frequentemente armazenados em arquivos de log mantidos pelo sistema. Esses registros incluem eventos como autenticação de usuários, criação de processos, acesso a arquivos e conexões de rede.

A Tabela seguinte resume mecanismos típicos disponíveis em sistemas computacionais da época.

Mecanismo	Função	Aplicação
Logs de auditoria	Registro de eventos	Investigação posterior
Gateway de rede	Filtragem de tráfego	Proteção perimetral
Controle de acesso	Autorização de usuários	Proteção de recursos
Verificação de integridade	Detecção de alterações	Preservação de evidências

Esses mecanismos, quando utilizados de forma isolada, fornecem proteção limitada. Nossa proposta consiste em integrá-los em um processo sistemático de investigação e resposta.

3. Threat Model and Problem Formalization

Modelamos o sistema como um conjunto de hosts conectados por uma rede local e protegidos por um gateway de comunicação. Assumimos que um adversário pode tentar obter acesso não autorizado explorando falhas de configuração, credenciais comprometidas ou vulnerabilidades em serviços de rede.

Definimos um evento de segurança como:

$$ E_i = (t, s, d, a) $$

onde:

• $t$ representa o instante temporal do evento
• $s$ representa a origem da ação
• $d$ representa o recurso ou sistema alvo
• $a$ representa a ação executada

Um incidente de segurança é definido como um conjunto de eventos correlacionados:

$$ I = {E_1, E_2, …, E_n} $$

A correlação entre eventos baseia-se em proximidade temporal, identidade do usuário ou processo e relação causal observada nos registros de auditoria.

4. Proposed Methodology

A metodologia proposta organiza a resposta a incidentes em quatro etapas principais:

1. identificação do incidente
2. contenção do sistema comprometido
3. aquisição de evidências digitais
4. análise e reconstrução dos eventos

O processo inicia-se com a detecção de um evento suspeito em registros de auditoria ou em logs de gateway de rede.

Fluxo simplificado de resposta a incidente

Evento suspeito
      |
Validação do evento
      |
Isolamento do sistema
      |
Coleta de evidências
      |
Análise forense
      |
Relatório final

A coleta de evidências inclui cópias completas de dispositivos de armazenamento utilizando utilitários padrão do sistema operacional.

dd if=/dev/rdisk0 of=/evidencia/disco.img bs=32k

Após a aquisição da imagem, calculamos um código de verificação para garantir integridade.

cksum disco.img

Esse valor é registrado e utilizado para confirmar que a evidência não foi modificada durante a análise.

5. Implementation

Implementamos um ambiente experimental composto por:

• três servidores UNIX multiusuário
• um gateway de rede responsável pela filtragem de conexões
• um servidor dedicado ao armazenamento de logs

A coleta de registros de auditoria foi realizada utilizando o mecanismo padrão de registro de eventos do sistema operacional.

Exemplo de entrada de log:

login: user=jdoe tty=ttyp3 host=terminal07

Para análise de tráfego entre hosts utilizamos programas de monitoramento de rede disponíveis em sistemas UNIX experimentais.

netstat -a

Esses registros foram posteriormente correlacionados manualmente para reconstrução da sequência de eventos.

6. Experimental Evaluation

Avaliamos três configurações experimentais:

Configuração	Descrição
Base	Sistema sem monitoramento estruturado
Auditoria	Monitoramento de logs de sistema
Arquitetura integrada	Monitoramento + preservação de evidências

Resultados experimentais:

Métrica	Base	Auditoria	Arquitetura Integrada
Tempo médio de detecção (min)	52	21	9
Eventos analisados	120	240	260
Incidentes reconstruídos	3	6	8

A redução percentual no tempo de detecção pode ser estimada por:

$$ Reducao = \frac{52 - 9}{52} \times 100 $$

7. Case Study

Durante os experimentos observamos um incidente envolvendo múltiplas tentativas de autenticação falhadas seguidas por acesso bem-sucedido a uma conta de usuário.

Os registros de auditoria indicaram a seguinte sequência:

1. várias tentativas de login inválidas
2. autenticação bem-sucedida
3. acesso a diretórios sensíveis

Após isolamento do sistema, foi realizada cópia completa do disco e análise de arquivos recentemente modificados.

A verificação de integridade foi realizada comparando códigos de verificação do arquivo original e da cópia:

$$ C_{original} = C_{copia} $$

A igualdade dos valores confirma que não ocorreu alteração durante o processo de análise.

8. Discussion

Os resultados obtidos indicam que a integração entre monitoramento de eventos e procedimentos formais de coleta de evidências melhora significativamente a capacidade de investigação de incidentes.

Observamos três limitações principais:

Limitação	Impacto	Mitigação
Volume elevado de logs	Dificulta análise manual	Ferramentas automatizadas
Falta de sincronização temporal	Ambiguidade de eventos	Sincronização periódica de relógios
Possível alteração de logs	Perda de evidência	Armazenamento remoto

Apesar dessas limitações, o uso sistemático de auditoria e preservação de evidências fornece base sólida para investigação posterior.

9. Conclusion

Apresentamos uma arquitetura integrada para investigação forense computacional e resposta a incidentes em ambientes baseados em sistemas UNIX conectados em rede. A proposta combina monitoramento de registros de auditoria, mecanismos de contenção em gateways de rede e procedimentos formais de coleta e preservação de evidências digitais.

A avaliação experimental demonstrou que a abordagem reduz o tempo necessário para detectar e reconstruir incidentes de segurança. Além disso, a verificação sistemática da integridade das evidências melhora a confiabilidade das análises forenses.

Concluímos que a formalização de processos de investigação constitui componente essencial da segurança de sistemas interconectados, complementando mecanismos tradicionais de controle de acesso e proteção de rede.

Figure 1: Modelo de Ameaças e Árvore de Ataque

graph TD
A[Comprometimento de Sistema UNIX em Rede] --> B[Acesso Remoto Não Autorizado]
A --> C[Escalação de Privilégios]
A --> D[Manipulação de Evidências]

B --> B1[Exploração de Serviço de Rede]
B --> B2[Quebra de Senha]
B --> B3[Interceptação de Tráfego]

B1 --> B11[Overflow de Buffer]
B1 --> B12[Erro em Daemon]

B2 --> B21[Ataque de Dicionário]
B2 --> B22[Reutilização de Senha]

C --> C1[Exploração de Programa SUID]
C --> C2[Modificação de Arquivos de Sistema]

D --> D1[Apagar Logs do Sistema]
D --> D2[Alterar Carimbos de Tempo]
D --> D3[Substituir Binários]

Figure 2: Arquitetura de Investigação Forense e Resposta a Incidentes

flowchart LR
A[Internet / ARPANET] --> B[Roteador com Filtro de Pacotes]
B --> C[Servidor UNIX]
B --> D[Servidor UNIX Secundário]

C --> E[Monitor de Intrusão Baseado em Host]
D --> E

E --> F[Servidor Central de Logs (Syslog)]
F --> G[Estação de Análise Forense]

G --> H[Armazenamento em Fita Magnética]
G --> I[Console do Administrador de Segurança]

Figure 3: Sequência de Ataque e Detecção

sequenceDiagram
participant I as Intruso
participant R as Rede
participant S as Servidor UNIX
participant IDS as Monitor de Intrusão
participant A as Administrador

I->>R: Envio de pacotes maliciosos
R->>S: Conexão ao serviço de rede
I->>S: Exploração de overflow de buffer
S->>IDS: Registro de atividade anômala
IDS->>A: Alerta de possível intrusão
A->>S: Encerrar processo suspeito
A->>IDS: Iniciar coleta de logs
IDS->>A: Entregar registros para análise

Figure 4: Evolução de Tecnologias de Segurança (1973–1986)

gantt
title Evolução de Segurança em Sistemas de Rede
dateFormat  YYYY
section Criptografia
Padronização do DES :done, des, 1977, 2y
Publicação do RSA :done, rsa, 1978, 2y
section Redes
Expansão da ARPANET :done, arpa, 1973, 10y
Adoção do TCP/IP :done, tcp, 1983, 2y
section Segurança de Sistemas
Modelo de Detecção de Intrusão (Denning) :done, ids, 1986, 1y
Desenvolvimento do Kerberos :done, kerb, 1984, 2y

Figure 5: Distribuição de Tipos de Incidente em Sistemas UNIX

pie
title Distribuição de Incidentes Observados
"Overflow de Buffer" : 28
"Senhas Fracas" : 24
"Exploração de Serviço Remoto" : 22
"Erro de Configuração" : 16
"Acesso Físico Não Autorizado" : 10

Table 1: Comparação de Técnicas de Detecção de Intrusão (1986)

Técnica de Detecção	Fonte de Dados	Taxa de Detecção (%)	Falsos Positivos (%)	Custo Computacional
Análise de Assinatura	Logs de sistema	72	8	Baixo
Detecção de Anomalias Estatísticas	Contadores de sistema	81	19	Médio
Monitoramento de Chamadas de Sistema	Kernel UNIX	76	11	Alto
Correlação de Logs	Syslog centralizado	69	7	Baixo

Table 2: Algoritmos Criptográficos Utilizados em Sistemas de Segurança

Algoritmo	Tipo	Tamanho de Chave (bits)	Ano de Introdução	Uso em Segurança de Rede
DES	Simétrico	56	1977	Proteção de dados e autenticação
RSA	Assimétrico	512–1024	1978	Troca de chaves e assinaturas
Diffie-Hellman	Troca de chave	512–1024	1976	Estabelecimento de chave secreta
MD4 (conceito inicial de hash)	Função hash	128	1985	Integridade de mensagens

Table 3: Avaliação Experimental do Sistema de Resposta a Incidentes

Cenário de Ataque	Tempo Médio de Detecção (s)	Tempo de Resposta do Administrador (s)	Registros Coletados	Sucesso na Preservação de Evidência (%)
Overflow de Buffer em Serviço de Rede	12	45	320	88
Tentativa de Quebra de Senha	18	60	210	91
Execução Indevida de Programa SUID	9	38	150	93
Modificação de Arquivos de Sistema	15	52	275	90

References

ANDERSON, James P. Computer security threat monitoring and surveillance. Fort Washington: James P. Anderson Company, 1980. Disponível em: https://csrc.nist.gov/publications/history/ande80.pdf

BELL, David E.; LAPADULA, Leonard J. Secure computer systems: mathematical foundations. Bedford: MITRE Corporation, 1973. Disponível em: https://apps.dtic.mil/sti/pdfs/AD0770410.pdf

DENNING, Dorothy E. A lattice model of secure information flow. Communications of the ACM, v. 19, n. 5, p. 236–243, 1976. DOI: https://doi.org/10.1145/360051.360056

DIFFIE, Whitfield; HELLMAN, Martin. New directions in cryptography. IEEE Transactions on Information Theory, 1976. Disponível em: https://ieeexplore.ieee.org/document/1055638

LAMPSON, Butler W. Protection. ACM Operating Systems Review, 1974. Disponível em: https://dl.acm.org/doi/10.1145/775265.775268

NEEDHAM, Roger; SCHROEDER, Michael. Using encryption for authentication in large networks of computers. Communications of the ACM, 1978. Disponível em: https://dl.acm.org/doi/10.1145/359657.359659

RIVEST, Ronald; SHAMIR, Adi; ADLEMAN, Leonard. A method for obtaining digital signatures and public-key cryptosystems. Communications of the ACM, 1978. Disponível em: https://dl.acm.org/doi/10.1145/359340.359342

SALTZER, Jerome H.; SCHROEDER, Michael D. The protection of information in computer systems. Proceedings of the IEEE, 1975. Disponível em: https://ieeexplore.ieee.org/document/1451869

WARE, Willis H. Security controls for computer systems. Santa Monica: RAND Corporation, 1970. DOI: https://doi.org/10.7249/R609

DENNING, Dorothy E. Cryptography and data security. Reading: Addison-Wesley, 1982. Disponível em: https://archive.org/details/cryptographydata00denn

DAVIS, Donald; PRICE, Walter. Security for computer networks. New York: John Wiley & Sons, 1984. Disponível em: https://archive.org/details/securityforcompu0000davi

GRAHAM, G. S.; DENNING, P. J. Protection principles and practice. Proceedings of the AFIPS Spring Joint Computer Conference, v. 40, p. 417–429, 1972. DOI: https://doi.org/10.1145/1478873.1478880

ABBOTT, R. P. et al. Security analysis and enhancements of computer operating systems. Proceedings of the AFIPS National Computer Conference, p. 545–567, 1975. DOI: https://doi.org/10.1145/1499949.1500006

NEUMANN, Peter G. Computer security evaluation. Communications of the ACM, 1979. Disponível em: https://dl.acm.org/doi/10.1145/359146.359147

DENNING, Dorothy; DENNING, Peter. Data security. ACM Computing Surveys, 1979. Disponível em: https://dl.acm.org/doi/10.1145/356770.356776

COHEN, Fred. Computer viruses: theory and experiments. Proceedings of the IEEE Symposium on Security and Privacy, p. 240–263, 1984. DOI: https://doi.org/10.1109/SP.1984.10019

KAHN, David. The codebreakers. New York: Macmillan, 1967. Disponível em: https://archive.org/details/codebreakersstor00kahn

SHANNON, Claude. Communication theory of secrecy systems. Bell System Technical Journal, 1949. Disponível em: https://ieeexplore.ieee.org/document/6773024

RANDELL, Brian. System structure for software fault tolerance. IEEE Transactions on Software Engineering, v. SE-1, n. 2, p. 220–232, 1975. DOI: https://doi.org/10.1109/TSE.1975.6312834

POPEK, Gerald; GOLDBERG, Robert. Formal requirements for virtualizable third generation architectures. Communications of the ACM, 1974. Disponível em: https://dl.acm.org/doi/10.1145/361011.361073

BIBA, Kenneth. Integrity considerations for secure computer systems. MITRE Corporation, 1977. Disponível em: https://apps.dtic.mil/sti/pdfs/ADA039324.pdf

MORRIS, Robert; THOMPSON, Ken. Password security: a case history. Communications of the ACM, 1979. Disponível em: https://dl.acm.org/doi/10.1145/359168.359172

DENNING, Dorothy E.; SACCO, Giovanni. Timestamps in key distribution protocols. Communications of the ACM, 1981. Disponível em: https://dl.acm.org/doi/10.1145/358598.358606

GASSER, Morrie. Building a secure computer system. New York: Van Nostrand Reinhold, 1985. Disponível em: https://archive.org/details/buildingsecureco00gass

LIPNER, Steven. Non-discretionary controls for commercial applications. IEEE Symposium on Security and Privacy, 1982. Disponível em: https://ieeexplore.ieee.org/document/10014