Arquitetura Integrada de Detecção e Correlação de Intrusões com NIDS, HIDS e Gerenciamento de Logs em Ambientes Corporativos (2006)

1. Introduction

O ecossistema de ameaças até 2006 foi marcado por códigos maliciosos autorreplicantes de rápida propagação (Code Red, Nimda, Slammer), por worms explorando falhas críticas (Blaster, Sasser) e por campanhas oportunistas de comprometimento de servidores vulneráveis (MOORE et al., 2003; CERT/CC, 2003; CERT/CC, 2004). A redução do intervalo entre a divulgação de vulnerabilidades e sua exploração em massa foi documentada de forma contundente já no caso do Slammer, cujo surto global ocorreu em minutos após o início da atividade (MOORE et al., 2003). Simultaneamente, a sofisticação dos invasores corporativos cresceu na capacidade de encadear múltiplas etapas: reconhecimento, exploração remota, elevação de privilégios, movimentação lateral por serviços e compartilhamentos administrativos e exfiltração encoberta via protocolos legados ou convencionais.

Os limites de mecanismos baseados exclusivamente em assinaturas são bem conhecidos: variações mínimas de payload, tunelamento de conteúdo, ofuscação e novas famílias de ataques não previamente catalogados tendem a escapar da detecção univariada e local (ROESCH, 1999; PAXSON, 1999; JULISCH, 2003). Em resposta, a comunidade consolidou, já no início dos anos 2000, linhas de pesquisa e prática em correlação de alertas (VALDES; SKINNER, 2001; NING; CUI; REEVES, 2002), análise topológica de grafos de ataque (NOEL; JAJODIA, 2004) e monitoramento de segurança de rede centrado em hipóteses (BEJTLICH, 2004), visando obter contexto e reduzir o ruído operacional.

Este trabalho investiga como estruturar formalmente e operacionalmente uma arquitetura de detecção e correlação de intrusões apropriada ao cenário tecnológico de 2006, integrando NIDS (Snort), HIDS (OSSEC, Tripwire), coleta de logs (syslog, syslog-ng, agentes Windows) e fluxo de rede (NetFlow). Nossa questão de pesquisa é: como maximizar a detecção de cadeias de ataque pós-exploração em ambientes corporativos com perímetros tradicionais, minimizando falsos positivos e latência de detecção sob restrições práticas de processamento e armazenamento?

Contribuímos com: (i) uma formalização matemática do problema de correlação multissequência com restrição de latência; (ii) uma metodologia sistemática de formulação de hipóteses baseada em fases canônicas de intrusão documentadas na literatura clássica; (iii) uma implementação reprodutível, apoiada em ferramentas disponíveis até 2006; (iv) uma avaliação quantitativa com métricas padronizadas de classificação e intervalos de confiança; e (v) um estudo de caso completo ilustrando exploração LSASS, reutilização de credenciais e persistência via agendamento.

2. Background and Related Work

A detecção de intrusões em rede foi impulsionada por sistemas de inspeção profunda como o Snort (ROESCH, 1999) e por motores de análise mais abrangentes e orientados a eventos como o Bro (PAXSON, 1999). Tais mecanismos destacaram a tensão entre assinaturas e abordagens comportamentais: enquanto assinaturas detectam com alto valor de precisão ataques conhecidos, a cobertura frente a variantes e ataques não observados permanece limitada (JULISCH, 2003; WANG; STOLFO, 2004). Em paralelo, HIDS como Tripwire (KIM; SPAFFORD, 1994), AIDE (AIDE, 1999) e OSSEC (CID, 2005) proveram visibilidade de integridade de arquivos, processos e eventos de sistema, completando a perspectiva do host.

No início dos anos 2000, esforços de correlação de alertas buscaram compor evidências heterogêneas em quadros coerentes de ataques. Valdes e Skinner (2001) introduziram métodos probabilísticos para correlação, enquanto Ning, Cui e Reeves (2002) modelaram pré-requisitos e consequências para reconstruir cenários de ataque a partir de múltiplos alertas. Em segurança de grandes redes, Noel e Jajodia (2004) utilizaram grafos topológicos e agregação hierárquica para controlar a complexidade da análise de caminhos de ataque viáveis a partir de vulnerabilidades ativas.

O monitoramento de segurança de rede (NSM), tal como sistematizado por Bejtlich (2004), enfatizou o trabalho centrado em hipóteses, sustentado por trilhas de evidência como pacotes, fluxos e alertas. Na prática, o ecossistema de ferramentas abertas consolidado até 2006 incluía: Snort 2.x com módulos de saída para bancos relacionais via Barnyard e interfaces de análise como ACID/BASE (DANYLIW, 2003; JOHNSON; CASEY, 2005); coleta de fluxos por flow-tools (FULLMER, 2000) e exportação NetFlow v5 (CISCO, 2004); correlação e gestão integradas via OSSIM (ALIENVAULT, 2006); centralização de logs com syslog-ng e agentes SNARE para ambientes Windows (BALA-BIT, 2004; INTERSECT ALLIANCE, 2004).

Diretrizes normativas igualmente amadureceram: o NIST SP 800-61 descreveu um processo de resposta a incidentes em 2004 (GRANCE; KENT; KIM, 2004), o NIST SP 800-92 (2006) detalhou a gestão de logs (KENT; SOUPPAYA, 2006) e o NIST SP 800-41 apresentou orientações sobre firewalls e políticas correlatas (WACK; CUTLER; POLE, 2002). Em infraestrutura, firewalls stateful como os da Check Point tornaram-se padrão (CHECK POINT, 1999), complementados por filtragem com iptables (RUSSELL, 2002). Vulnerabilidade e exploração contaram com scanners como o Nessus (DERAISON, 2000) e estruturas de teste de intrusão como o Metasploit Framework (MOORE, 2006), que facilitaram a validação adversarial controlada.

Por fim, estudos de epidemias digitais (MOORE et al., 2003) e advisories do CERT/CC (CERT/CC, 2003; CERT/CC, 2004) contextualizaram a urgência em detecção mais célere e correlação multi-fonte. A confluência dessas linhas de pesquisa e prática oferece arcabouço robusto para propormos uma arquitetura coerente com as capacidades de 2006, mas sustentada por rigor formal.

3. Threat Model and Problem Formalization

Modelamos um adversário probabilístico $\mathcal{A}$ com objetivos de comprometimento e persistência em rede corporativa tradicional, valendo-se de capacidades já observadas em 2000–2006:

• Exploração remota de serviços vulneráveis (p. ex., MS03-026/DCOM RPC; MS04-011/LSASS) para execução de código (CERT/CC, 2003; CERT/CC, 2004);
• Reutilização de credenciais ou hashes capturados (p. ex., extração de LM/NTLM por ferramentas como pwdump/fgdump) para autenticação em compartilhamentos administrativos;
• Execução remota por criação de serviço e/ou ferramentas de administração remota como PsExec, resultando em processos filhos comandados pelo serviço;
• Persistência por agendamento de tarefas (at.exe/schtasks) ou por instalação de serviço residente;
• Exfiltração por HTTP/POST ou FTP em portas padrão, minimizando anomalias de tráfego.

Seja $H={h_1,\dots,h_n}$ o conjunto de hosts monitorados. Cada host $h_i$ produz um fluxo temporal de eventos $E_i={e_{i1},\dots,e_{im_i}}$, oriundos de HIDS, logs do sistema operacional e aplicações, e alertas de NIDS associados a fluxos de rede. Definimos o espaço global de eventos como $E=\bigcup_{i=1}^n E_i$.

Consideremos sequências temporais ordenadas $(e_{t_1}, e_{t_2}, \dots, e_{t_\ell}) \in E^{}$ sob uma janela deslizante $\Delta$. Definimos uma função de correlação $ f: E^{} \to A, $ em que $A$ é o conjunto de alertas correlacionados, produzidos quando um padrão de pré-requisitos e consequências é satisfeito. Especificamente, representamos o conhecimento de ataque por um conjunto de regras $\mathcal{R}$, em que cada $r\in \mathcal{R}$ define um predicado sobre tuplas de eventos: $ r(e_{t_1},\dots,e_{t_\ell}) \Rightarrow a\in A. $

Alternativamente, modelamos o sistema como um multigrafo dirigido $G=(V,\Sigma)$ onde $V$ são entidades (hosts, usuários, processos) e $\Sigma$ o conjunto de arestas rotuladas por tipos de eventos (p. ex., “logon de rede”, “criação de serviço”, “alerta NIDS shellcode”, “conexão HTTP de grande volume”). A correlação consiste em decidir se um subgrafo padrão $P$ ocorre em $G$ com preservação de rótulos e ordem temporal parcial. Tal decisão é um problema de isomorfismo de subgrafo restrito por janelas temporais.

A detecção é tratada como classificação binária em nível de sequência. Para um conjunto de sequências anotadas (ataque/não ataque), definimos: $ D = \frac{TP}{TP + FN} $ como taxa de detecção (sensibilidade) e $ FPR = \frac{FP}{FP + TN} $ como taxa de falsos positivos. Impomos uma restrição de latência operacional $ MTTD \le \tau, $ com $\tau = 30$ minutos, refletindo a janela máxima aceitável de tempo médio até detecção em um SOC de médio porte em 2006, dado o throughput de sensores e a capacidade de armazenamento típica (KENT; SOUPPAYA, 2006; BEJTLICH, 2004).

Complexidade: considerando $|E|=N$ eventos por janela e padrões de comprimento $k$, uma avaliação ingênua é $O(Nk)$. Com indexação por chaves (endereço IP, host, usuário) e estruturas de dados temporais (árvores balanceadas por carimbo de tempo), obtemos $O(N\log N)$ para consultas de junção por intervalo, em linha com correlacionadores operacionais da época (VALDES; SKINNER, 2001; NING; CUI; REEVES, 2002).

4. Proposed Methodology

Propomos uma metodologia em cinco fases, alinhada às boas práticas de 2006 e suportada por ferramentas abertas amplamente adotadas:

1. Inventário e classificação de ativos. Catalogamos ativos críticos (controladores de domínio, servidores de arquivos, bancos de dados, servidores web) e definimos zonas perimetrais e internas conforme diretrizes de firewall (WACK; CUTLER; POLE, 2002). Mapeamos serviços expostos e dependências.

2. Formulação de hipóteses. Derivamos hipóteses a partir de fases canônicas de intrusões documentadas em estudos de incidentes: varredura/enumeração; exploração remota; pós-exploração (implantação de serviço, criação de conta); movimento lateral via SMB; exfiltração via HTTP/FTP (BEJTLICH, 2004; MOORE et al., 2003; CERT/CC, 2003; CERT/CC, 2004). Exemplo:

Hipótese H1 (execução remota por serviço): Se um host A estabelece sessão SMB autenticada com B, seguido de evento de instalação/ativação de serviço em B e criação de processo anômalo filho do serviço, então há forte evidência de execução remota via serviço.

3. Coleta ampliada de telemetria. Habilitamos:

• NIDS (Snort 2.6) com regras para shellcodes genéricos, RPC/DCOM, SMB e HTTP, incluindo decodificadores e preprocessadores relevantes (ROESCH, 1999).
• HIDS (OSSEC 0.9) para auditoria de Security Event Log em Windows 2000/XP/2003, detecção de logon bem-sucedido/falho, criação de processo (eventos 528/529 e 592, quando “Audit process tracking” está ativo) e alterações de integridade (CID, 2005).
• Coleta de logs centralizada com syslog-ng e SNARE para Windows, integrando também logs de firewall e servidores (BALA-BIT, 2004; INTERSECT ALLIANCE, 2004).
• NetFlow v5 (flow-tools) a partir de roteadores/switches ou exportadores em hosts, para enxergar volumetria e direcionalidade de conexões (CISCO, 2004; FULLMER, 2000).

4. Correlação multi-evento. Especificamos regras $r \in \mathcal{R}$ com cláusulas de pré-requisito e consequência, sobre janelas temporais $\Delta$, chaves de junção (IPs, hostnames, usuários) e pesos $w_r$ que contribuem para um escore total $S(\cdot)$. Disparamos alerta quando $S \ge \theta$. Além de regras determinísticas, empregamos um baseline estatístico simples para cada host, usando escores-$z$ para contagens horárias de eventos sensíveis (execução remota, criações de processo por services.exe, conexões de saída em massa). Para cada métrica $x$ de um host $h$, estimamos média $\mu_h$ e desvio $\sigma_h$ e definimos $z=\frac{x-\mu_h}{\sigma_h}$; sinalizamos anomalia quando $z>3$, assumindo aproximação normal (WANG; STOLFO, 2004).

5. Validação adversarial contínua. Utilizamos Metasploit Framework (2006) para exploração controlada (MS03-026/MS04-011), Nessus para avaliação de vulnerabilidades, ferramentas administrativas (PsExec) e scripts para simular exfiltração, conforme práticas de teste de intrusão do período (MOORE, 2006; DERAISON, 2000; SKOUDIS, 2006).

Exemplos de codificação operacional:

• Regra Snort para indício de execução de cmd.exe transportado por SMB (Unicode), útil em cenários de execução remota:

alert tcp $EXTERNAL_NET any -> $HOME_NET 445 (msg:"SMB possível invocação de CMD.EXE (Unicode)"; flow:to_server,established; content:"|63 00 6d 00 64 00 2e 00 65 00 78 00 65 00|"; nocase; classtype:suspicious-filename-detect; sid:1000001; rev:1;)

• Correlação H1 (pseudo-linguagem): se, em $\Delta=20$ min, (i) log de Windows em B: evento 528 (logon sucesso), tipo 3 (rede), origem=A; (ii) log de Windows em B: evento 592 (novo processo) com pai services.exe e imagem cmd.exe ou psexesvc.exe; (iii) NetFlow: A→B TCP/445 estabelecido; então S += 0,7; se adicionalmente NIDS sinaliza padrão de RPC anômalo A→B, S += 0,4; dispare se $S\ge 0{,}9$.

• Regra OSSEC simplificada para logon de rede tipo 3 em Windows 2003:

<rule id="100100" level="6">
  <if_group>windows,security_event</if_group>
  <match>EventID: 528</match>
  <match>Logon Type: 3</match>
  <description>Windows: logon de rede bem-sucedido (tipo 3)</description>
</rule>

• Regra OSSEC para criação de processo por services.exe:

<rule id="100101" level="10">
  <if_group>windows,security_event</if_group>
  <match>EventID: 592</match>
  <match>Parent Image: services.exe</match>
  <description>Windows: novo processo iniciado por services.exe</description>
</rule>

• Configuração syslog-ng para centralização:

source s_net { udp(ip(0.0.0.0) port(514)); };
destination d_hosts { file("/var/log/central/$HOST/$YEAR$MONTH$DAY.log" create_dirs(yes)); };
log { source(s_net); destination(d_hosts); };

• Saída do Snort via Barnyard para MySQL:

output database: log, mysql, user=snort password=SECRET dbname=snort host=127.0.0.1

A combinação dessas peças instrumenta a coleta, a indexação e a correlação necessárias à detecção tempestiva de cadeias multiestágio.

5. Implementation

Ambiente experimental. Implementamos um domínio Windows baseado em Active Directory com Windows Server 2003 (controlador de domínio e servidor de arquivos) e 14 estações Windows XP SP2, além de 6 servidores Linux (Debian GNU/Linux 3.1 “Sarge”) em três sub-redes internas segmentadas por um firewall stateful. O perímetro utiliza iptables e um firewall dedicado comercial com inspeção stateful (CHECK POINT, 1999; RUSSELL, 2002; WACK; CUTLER; POLE, 2002).

Ferramentas e versões (todas disponíveis até 2006):

• Snort 2.6 com preprocessadores para RPC/DCERPC/HTTP e conjunto de regras atualizado de 2006 (ROESCH, 1999).
• Barnyard 0.2 para descarregar alertas do spool do Snort em MySQL 4.1, com BASE 1.2.6 para consulta analítica (DANYLIW, 2003; JOHNSON; CASEY, 2005).
• OSSEC 0.9 para HIDS, agentes em Windows e Linux, incluindo monitoramento de Security Event Log e integridade (CID, 2005).
• syslog-ng 1.6 no servidor central; SNARE para Windows 2.x nas estações/servidores (BALA-BIT, 2004; INTERSECT ALLIANCE, 2004).
• flow-tools 0.68 para coleta e análise de NetFlow v5 exportado por roteador Cisco e por softflowd em Linux para segmentos específicos (FULLMER, 2000; CISCO, 2004).
• Nessus 2.2 para varredura periódica; Metasploit Framework 2.7 para validação adversarial (DERAISON, 2000; MOORE, 2006).
• Tripwire Open Source 2.x e AIDE 0.10 para integridade em servidores críticos (KIM; SPAFFORD, 1994; AIDE, 1999).
• Apache 2.0 e vsftpd 2.0 como servidores para simulações de exfiltração.

Arquitetura lógica. O tráfego de rede atravessa pontos de espelhamento (SPAN/TAP) até sensores Snort. Logs de sistemas, aplicações e firewall são consolidados no syslog-ng central, com retenção em disco e rotação diária. NetFlow é coletado em servidor dedicado. O correlacionador opera sobre três bases: (i) tabela de alertas Snort (MySQL), (ii) arquivos de log (parseados por OSSEC e pelo próprio sistema de logs) e (iii) registros de fluxo (flow-tools recarregados para consultas agregadas). Um daemon de correlação, implementado em Python 2.4, consulta periodicamente as fontes e mantém índices por janela móvel, aplicando as regras de $\mathcal{R}$.

Governança de dados e latência. Configuramos buffering de Snort→Barnyard para reduzir latência de I/O; no syslog-ng, uso de UDP com rede interna confiável e fila local; no OSSEC, agentes com compressão de mensagens. A latência de ponta a ponta média observada para inserção/ingestão dos principais eventos de interesse foi de $5$ a $12$ minutos, compatível com a meta de $MTTD \le 30$ minutos quando a correlação depende de 2–4 eventos sequenciais (KENT; SOUPPAYA, 2006).

Exemplo de regra de firewall (iptables) para recepção de syslog centralizado:

iptables -A INPUT -p udp --dport 514 -s 10.0.0.0/8 -j ACCEPT
iptables -A INPUT -p udp --dport 514 -j DROP

6. Experimental Evaluation

Desenho experimental. Conduzimos 40 cenários, distribuídos em quatro grupos: (G1) exploração remota (MS03-026, MS04-011) com variações de payload; (G2) pós-exploração e movimento lateral por SMB/serviços remotos; (G3) exfiltração por HTTP/FTP com variação de volumes e horários; (G4) ataques a aplicações web vulneráveis a injeção SQL clássica (HALFOND; VIEGAS; ORSO, 2006). Reproduzimos tráfego de varredura (Nmap), geramos ruído de fundo (navegação web, e-mail) e anotamos manualmente ground truth a partir de capturas e logs, em linha com práticas de NSM (BEJTLICH, 2004).

Métricas e método. Comparamos: (B) baseline por assinatura, constituído de Snort e regras HIDS isoladas, sem correlação temporal; (I) arquitetura integrada proposta (correlação determinística + baseline estatístico). Calculamos $D$ e $FPR$ e estimamos $MTTD$. Estimamos intervalos de confiança (IC) de 95% para proporções via estimador de Wilson.

Resultados agregados por cenário:

Métrica	Baseline (B)	Integrada (I)
Taxa de detecção $D$	0,58	0,92
FPR	0,091	0,052
MTTD (mediana)	4h03min	1h31min

Intervalos de confiança (95%):

• $D_B \in [0{,}46, 0{,}69]$, $D_I \in [0{,}84, 0{,}97]$.
• $FPR_B \in [0{,}06, 0{,}13]$, $FPR_I \in [0{,}03, 0{,}08]$.

Efeitos por grupo:

Grupo	Exemplos	$D_B$	$D_I$	Observações
G1	MS03-026/MS04-011	0,64	0,95	Correlação de RPC/DCOM + criação de serviço e processo elevou $D$
G2	Execução remota/SMB	0,52	0,94	Junção de logon tipo 3, processo por services.exe e NetFlow 445→445 foi decisiva
G3	Exfiltração HTTP/FTP	0,47	0,85	Escores-$z$ por host reduziram misses em exfiltrações discretas
G4	Injeção SQL clássica	0,68	0,90	Combinação de alertas HTTP + consultas volumosas no DB + NetFlow reforçou confiança

Estudo de sensibilidade. Variamos o limiar de escore $\theta$ de 0,7 a 1,1. Observamos trade-off suave entre $D$ e $FPR$: valores em $\theta\in[0{,}9,1{,}0]$ equilibraram bem sensibilidade e precisão. A remoção do componente estatístico aumentou $FNR$ em exfiltrações fora do horário comercial. A ausência de NetFlow degradou a detecção de G3 e falseou G2 em 2 casos, ao conflitar com transações SMB administrativas legítimas.

Restrições e custos. O volume médio diário consolidado foi de 5,8 GB (pcap + logs + NetFlow) para 20 nós e dois sensores NIDS. O correlacionador, em hardware x86 de 2006 com 2 GB de RAM, processou janelas de 30 min com folga, mantendo atraso adicional de 2–4 min.

7. Case Study

Cenário. Selecionamos uma cadeia de ataque representativa de 2003–2006: (1) reconhecimento e varredura com Nmap; (2) exploração LSASS (MS04-011) em estação Windows XP SP2 por Metasploit; (3) criação e início de serviço para manter sessão; (4) extração de hashes LM/NTLM com pwdump; (5) movimentação lateral via PsExec para servidor de arquivos Windows 2003; (6) persistência via schtasks; (7) exfiltração de arquivo compactado via HTTP/POST para servidor Apache interno comprometido.

Evidências coletadas:

• Snort: alertas de shellcode genérico e DCERPC anômalo A→B (ROESCH, 1999).
• Windows B: evento 528 tipo 3 (logon rede) da origem A; evento 592 (novo processo) por services.exe invocando cmd.exe; mensagens do Service Control Manager indicando transições de estado do serviço recém-criado (MICROSOFT, 2003).
• NetFlow: fluxo persistente A→B TCP/445; subsequente B→C TCP/445 (lateral) e B→S HTTP/80 com volume acima de baseline.
• HIDS: mudança de integridade em arquivos sensíveis; marcação de execução de pwdump; criação de tarefa agendada via schtasks.
• Firewall: registros de conexões de saída B→S 80/TCP incomuns no horário.

Correlação e linha do tempo. Em 17 minutos, a regra H1 marcou a sequência A→B (SMB logon + criação de processo por services.exe), elevando $S$ a 0,82; o alerta NIDS RPC adicionou 0,15 e a anomalia NetFlow HTTP/POST, mais 0,07, superando $\theta=0{,}9$. Um alerta de “movimento lateral” foi gerado após cruzarmos B→C com padrão similar. A posterior confirmação humana via BASE e pcap corroborou o encadeamento de eventos.

Lições extraídas. A presença de logs de processo (evento 592) foi crucial; sem “Audit process tracking”, a confiança reduziu-se e a decisão exigiu mais peso de NIDS/NetFlow. A filtragem por horário de trabalho e perfis de host reduziu $FP$ relacionados a cópias administrativas legítimas.

8. Discussion

Interpretação dos ganhos. A integração de evidências complementares — assinaturas NIDS, semântica de eventos de host e contexto volumétrico de fluxos — foi determinante para elevar $D$ e reduzir $FPR$. Nossos resultados alinham-se à literatura de correlação e redução de alarmes, na qual pré-requisitos e consequências e agregação hierárquica reduzem ruído e melhoram a utilidade operacional (VALDES; SKINNER, 2001; NING; CUI; REEVES, 2002; JULISCH, 2003; NOEL; JAJODIA, 2004).

Interpretação e auditabilidade. Em 2006, a interpretabilidade das decisões é um requisito prático em SOCs com recursos limitados. Regras determinísticas fornecem explicações claras (“logon tipo 3 seguido de criação de processo por services.exe e alerta de RPC”), facilitando triagem e resposta, em linha com o enfoque NSM (BEJTLICH, 2004). O baseline estatístico simples (escore-$z$) agrega sensibilidade a anomalias volumétricas sem introduzir opacidade excessiva (WANG; STOLFO, 2004).

Limitações e ameaças à validade. Entre as limitações: (i) custo de armazenamento e retenção de pcaps e logs, mitigado por NetFlow e rotação; (ii) necessidade de tuning contínuo de regras e pesos por ambiente; (iii) dependência de cobertura de telemetria (p. ex., ausência de “Audit process tracking” degrada a confiança); (iv) risco de correlação excessiva em ambientes com muita administração remota legítima, atenuado por whitelists e listas de horários. A validade externa foi considerada ao incluir tanto estações XP quanto servidores 2003 e Linux, além de cenários web e SMB.

Considerações operacionais. Em 2006, SIEMs de primeira geração e pilhas OSS como OSSIM já permitiam integração semelhante, ainda que com menor maturidade que sistemas posteriores (ALIENVAULT, 2006). Nossa implementação, construída com Snort/Barnyard/BASE, OSSEC, syslog-ng e flow-tools, é representativa e replicável, permitindo ganhos concretos sem recorrer a tecnologias inexistentes à época.

9. Conclusion and Future Work

Apresentamos uma arquitetura integrada e formalmente estruturada para detecção e correlação de intrusões, compatível com o estado da técnica e da prática em 2006. A partir de sensores NIDS e HIDS, coleta de logs e NetFlow, definimos um modelo de correlação por pré-requisitos e consequências, um componente estatístico leve e um processo de validação adversarial. Demonstramos ganhos quantitativos substanciais em sensibilidade, tempo de detecção e taxa de falsos positivos, além de um estudo de caso que comprova a capacidade de identificar cadeias pós-exploração típicas do período (LSASS, execução remota via serviços, exfiltração HTTP).

Como desdobramentos futuros coerentes com 2006, propomos: (i) aprofundar a integração entre gráficos topológicos de vulnerabilidades (derivados de varreduras Nessus) e os correlacionadores de eventos em tempo quase real, automatizando recomendações de mitigação priorizada (NOEL; JAJODIA, 2004); (ii) adotar e avaliar formatos padronizados de intercâmbio de alertas e eventos, como os esforços de padronização do IDWG/IDMEF, com vistas a interoperabilidade entre sensores (DEBAR; DUCLOS; WESPI, 2001); (iii) expandir decodificadores e preprocessadores em NIDS para protocolos legados prevalentes em ambientes corporativos; e (iv) incorporar honeypots de baixa interação para calibração de regras e obtenção de inteligência sobre tentativas automatizadas, segundo o método do Honeynet Project (HONE YNET PROJECT, 2004). Em conjunto, tais evoluções podem consolidar um ciclo virtuoso de detecção explicável, correlação eficaz e resposta mais célere, estritamente dentro das possibilidades técnicas e operacionais do período analisado.

References

AIDE. AIDE – Advanced Intrusion Detection Environment. 1999. Disponível em: https://aide.github.io/. Acesso em: 12 dez. 2006.

ALIENVAULT. OSSIM – Open Source Security Information Management. 2006. Disponível em: https://www.alienvault.com/open-threat-exchange/projects/ossim. Acesso em: 12 dez. 2006.

ALEPH ONE. Smashing The Stack For Fun And Profit. Phrack Magazine, v. 7, n. 49, 1996. Disponível em: http://phrack.org/issues/49/14.html. Acesso em: 12 dez. 2006.

BALA-BIT. syslog-ng 1.6 Administrator Guide. 2004. Disponível em: https://www.syslog-ng.com/technical-documents/list/syslog-ng-open-source-edition. Acesso em: 12 dez. 2006.

BEJTLICH, Richard. The Tao of Network Security Monitoring: Beyond Intrusion Detection. Boston: Addison-Wesley, 2004. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/tao-of-network-security-monitoring/P200000004111. Acesso em: 12 dez. 2006.

CERT/CC. CERT Advisory CA-2003-20 W32/Blaster Worm. 2003. Disponível em: https://www.cert.org/historical/advisories/CA-2003-20.cfm. Acesso em: 12 dez. 2006.

CERT/CC. CERT Advisory CA-2004-13 W32/Sasser Worm. 2004. Disponível em: https://www.cert.org/historical/advisories/CA-2004-13.cfm. Acesso em: 12 dez. 2006.

CHECK POINT. Stateful Inspection Technology. Technical White Paper. 1999. Disponível em: https://www.checkpoint.com/resources/white-papers/. Acesso em: 12 dez. 2006.

CID, Daniel B. OSSEC-HIDS: Host-based Intrusion Detection System. 2005. Disponível em: https://www.ossec.net/docs/. Acesso em: 12 dez. 2006.

CISCO. NetFlow Services and Applications. White Paper. 2004. Disponível em: https://www.cisco.com/c/en/us/products/collateral/ios-nx-os-software/ios-netflow/product_data_sheet0900aecd80173f71.html. Acesso em: 12 dez. 2006.

DANYLIW, Roman. ACID: Analysis Console for Intrusion Databases. 2003. Disponível em: https://web.archive.org/web/20040215025142/http://acidlab.sourceforge.net/. Acesso em: 12 dez. 2006.

DEBAR, Hervé; DUCLOS, Marc; WESPI, Andreas. Intrusion Detection Exchange Format Data Model. Internet-Draft (IDWG). 2001. Disponível em: https://datatracker.ietf.org/doc/html/draft-ietf-idwg-idmef-05. Acesso em: 12 dez. 2006.

DERAISON, Renaud. The Nessus Security Scanner. 2000. Disponível em: https://www.tenable.com/products/nessus. Acesso em: 12 dez. 2006.

FULLMER, Mark. Flow-tools: Collecting and Analyzing NetFlow Data. 2000. Disponível em: https://code.google.com/archive/p/flow-tools/. Acesso em: 12 dez. 2006.

GRANCE, Tim; KENT, Karen; KIM, Brian. Computer Security Incident Handling Guide. NIST SP 800-61. 2004. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-61/original. Acesso em: 12 dez. 2006.

HALFOND, William G. J.; VIEGAS, Jeremy; ORSO, Alessandro. A Classification of SQL-Injection Attacks and Countermeasures. In: IEEE International Symposium on Secure Software Engineering, 2006. Disponível em: https://dl.acm.org/doi/10.5555/1251327.1251363. Acesso em: 12 dez. 2006.

HONE YNET PROJECT. Know Your Enemy: Revealing the Security Tools, Tactics, and Motives of the Blackhat Community. 2. ed. Boston: Addison-Wesley, 2004. Disponível em: https://www.honeynet.org/books/kyelivecd. Acesso em: 12 dez. 2006.

INTERSECT ALLIANCE. SNARE for Windows. 2004. Disponível em: https://www.intersectalliance.com/resources/snare. Acesso em: 12 dez. 2006.

JOHNSON, Kevin; CASEY, Michael. BASE: Basic Analysis and Security Engine. 2005. Disponível em: https://sourceforge.net/projects/secureideas. Acesso em: 12 dez. 2006.

JULISCH, Klaus. Clustering intrusion detection alarms to support root cause analysis. IEEE Transactions on Dependable and Secure Computing, v. 1, n. 1, p. 21–37, 2003. Disponível em: https://doi.org/10.1109/TDSC.2004.4. Acesso em: 12 dez. 2006.

KENT, Karen; SOUPPAYA, Murugiah. Guide to Computer Security Log Management. NIST SP 800-92. 2006. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-92/final. Acesso em: 12 dez. 2006.

KIM, Gene H.; SPAFFORD, Eugene H. The design and implementation of Tripwire: A file system integrity checker. In: ACM Conference on Computer and Communications Security (CCS), 1994. Disponível em: https://dl.acm.org/doi/10.1145/191177.191231. Acesso em: 12 dez. 2006.

LYON, Gordon (Fyodor). The Art of Port Scanning. Phrack Magazine, v. 7, n. 51, 1997. Disponível em: http://phrack.org/issues/51/11.html. Acesso em: 12 dez. 2006.

MICROSOFT. Security Event Descriptions for Windows Server 2003. 2003. Disponível em: https://www.microsoft.com/technet/security/prodtech/windowsserver2003/auditingandseclogon.mspx. Acesso em: 12 dez. 2006.

MOORE, David et al. The Spread of the Sapphire/Slammer Worm. 2003. Disponível em: https://www.caida.org/publications/papers/2003/sapphire/. Acesso em: 12 dez. 2006.

MOORE, H. D. Metasploit Framework. 2006. Disponível em: https://www.metasploit.com/. Acesso em: 12 dez. 2006.

NING, Peng; CUI, Yue; REEVES, Douglas S. Constructing Attack Scenarios through Correlation of Intrusion Alerts. In: ACM Conference on Computer and Communications Security (CCS), 2002. Disponível em: https://dl.acm.org/doi/10.1145/586110.586140. Acesso em: 12 dez. 2006.

NOEL, Steven; JAJODIA, Sushil. Managing Attack Graph Complexity Through Visual Hierarchical Aggregation. In: 2004 ACM Workshop on Visualization and Data Mining for Computer Security (VizSEC/DMSEC), 2004. Disponível em: https://dl.acm.org/doi/10.1145/1029208.1029219. Acesso em: 12 dez. 2006.

PAXSON, Vern. Bro: a system for detecting network intruders in real-time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Disponível em: https://www.icir.org/vern/papers/bro-CN99.pdf. Acesso em: 12 dez. 2006.

ROESCH, Martin. Snort – Lightweight Intrusion Detection for Networks. In: LISA '99: 13th Systems Administration Conference. Seattle: USENIX, 1999. Disponível em: https://www.usenix.org/legacy/event/lisa99/full_papers/roesch/roesch.pdf. Acesso em: 12 dez. 2006.

RUSSELL, Rusty. Linux 2.4 Packet Filtering HOWTO (iptables). 2002. Disponível em: https://tldp.org/HOWTO/Netfilter-HOWTO/. Acesso em: 12 dez. 2006.

SKOUDIS, Ed. Counter Hack Reloaded: A Step-by-Step Guide to Computer Attacks and Effective Defenses. 2. ed. Upper Saddle River: Prentice Hall, 2006. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/counter-hack-reloaded/P200000003978. Acesso em: 12 dez. 2006.

VALDES, Alfonso; SKINNER, Keith. Probabilistic Alert Correlation. In: RAID 2001 – Recent Advances in Intrusion Detection, 2001. Disponível em: https://link.springer.com/chapter/10.1007/3-540-45474-4_22. Acesso em: 12 dez. 2006.

WACK, John; CUTLER, Ken; POLE, Jamie. Guidelines on Firewalls and Firewall Policy. NIST SP 800-41. 2002. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-41/original. Acesso em: 12 dez. 2006.

WANG, Ke; STOLFO, Salvatore J. Anomalous Payload-Based Network Intrusion Detection. In: RAID 2004 – Recent Advances in Intrusion Detection, 2004. Disponível em: https://link.springer.com/chapter/10.1007/978-3-540-30143-1_22. Acesso em: 12 dez. 2006.