Arquitetura Multicamadas para Detecção Proativa de Ameaças Avançadas: Correlação de Telemetria, Modelagem Comportamental e Fontes de Inteligência em Ambientes Corporativos

1. Introduction

A detecção de ameaças constitui o núcleo operacional de capacidades defensivas em segurança da informação, especialmente quando consideramos a dinâmica de 2006: a sofisticação de worms como Code Red/Nimda (2001), Slammer (2003), Blaster (2003) e Sasser (2004), e a ubiquidade de ataques a aplicações web, em particular injeção de SQL e inclusão remota de arquivos (RFP, 1998; OWASP, 2004; STANIFORD; PAXSON; WEAVER, 2002; MOORE et al., 2003). Mecanismos preventivos como firewalls corporativos (iptables, Cisco PIX/ASA, Check Point), listas de controle de acesso e endurecimento de sistemas (hardening) reduzem a superfície de ataque, mas não eliminam a necessidade de monitoramento e detecção contínua (NORTHCUTT; NOVAK, 2003).

Historicamente, a detecção de intrusões emergiu com o modelo estatístico de Denning, que propôs perfis de normalidade e detecção de desvios (DENNING, 1987). Na década seguinte, sistemas como Snort (ROESCH, 1999) e Bro (PAXSON, 1999) consolidaram a análise de tráfego em tempo real, combinando assinaturas e inspeção profunda de protocolos. Em paralelo, abordagens de correlação de alertas e redução de ruído enfrentaram o problema de altas taxas de falsos positivos e redundância de alarmes (JULISCH, 2001; JULISCH, 2003; NING; CAO; GOLESH, 2002).

Ainda que o termo “ameaças persistentes avançadas” estivesse apenas emergindo na comunidade de defesa, já se observavam campanhas direcionadas com exploração de vulnerabilidades de dia-zero e técnicas de permanência utilizando privilégios válidos, serviços administrativos e credenciais obtidas por spearphishing. Nesses contextos, a mera dependência de assinaturas se mostrava insuficiente, exigindo camadas adicionais: modelagem comportamental, correlação temporal e espacial, e enriquecimento com fontes de reputação e contexto (AXELSSON, 2000; VALDES; SKINNER, 2001).

Este trabalho apresenta uma arquitetura multicamadas, factível em 2006, que integra: (i) coleta e normalização de telemetria multifonte (syslog, eventos Windows via agentes, IDS de rede, fluxos NetFlow/Argus e logs de aplicações), (ii) enriquecimento com GeoIP, WHOIS, DNSBLs e dados comunitários (DShield), (iii) detecção por regras e correlação (Snort, Bro e SEC), (iv) modelagem comportamental por média móvel exponencial e testes de desvio, e (v) classificação supervisionada (Random Forest) com validação cruzada. Almejamos reduzir o tempo médio de detecção (MTTD), aumentar a taxa de verdadeiros positivos (TPR) e controlar a taxa de falsos positivos (FPR), preservando latências compatíveis com resposta operacional.

Contribuímos ao: (a) formalizar uma função de decisão com custo sensível a FPR/FNR sob restrições de latência; (b) especificar um pipeline de 2006 com ferramentas e formatos disponíveis (RFC 3164/syslog, NetFlow v5, MySQL/PostgreSQL); © demonstrar ganhos experimentais frente a um baseline por assinatura; e (d) discutir limitações e extensões condizentes com a época, como modelos de estados ocultos (HMM) para sequências (RABINER, 1989) e integração com coletores de eventos e SIEMs iniciais.

2. Background and Related Work

A base teórica da detecção de intrusões remonta ao modelo de Denning, que propôs perfis estatísticos para usuários e objetos, com detecção baseada em desvios significativos (DENNING, 1987). Taxonomias subsequentes consolidaram a classificação de IDS por fonte de dados (rede/host), método (assinatura/anomalia), escopo e tempo de resposta (AXELSSON, 2000). Na prática, sistemas de rede por assinatura como Snort ganharam adoção ampla pelo equilíbrio entre desempenho e expressividade de regras (ROESCH, 1999), enquanto Bro (PAXSON, 1999) introduziu uma linguagem de eventos capaz de capturar semânticas de protocolo.

A avaliação de IDS no final dos anos 1990 e início dos 2000 foi fortemente influenciada pelos datasets DARPA, embora críticas metodológicas tenham ressaltado limitações de realismo e generalização (LIPPMANN et al., 2000; MCHUGH, 2000). Em paralelo, a mineração de dados e a detecção de anomalias avançaram com extração de características e classificação supervisionada/não supervisionada (LEE; STOLFO; MOK, 1999; BARBARA et al., 2001; MAHONEY; CHAN, 2003). Técnicas de avaliação como curvas ROC tornaram-se padrão para comparação de detectores, em especial em domínios desbalanceados (FAWCETT, 2006; PROVOST; FAWCETT, 2001).

Quanto à correlação e redução de alarmes, abordagens de clusterização e construção de cenários de ataque foram propostas para reduzir redundância e inferir sequências causais a partir de alertas de múltiplos sensores (JULISCH, 2001; JULISCH, 2003; NING; CAO; GOLESH, 2002; VALDES; SKINNER, 2001). No contexto de 2006, soluções comerciais iniciais de gestão de eventos e informações de segurança (SIEM) já existiam, mas, no âmbito de software livre, a combinação de syslog-ng, SEC, Sguil, BASE e bancos de dados relacionais configurava uma alternativa viável para correlação e análise.

A paisagem de ameaças relevante até 2006 inclui worms de alta velocidade (STANIFORD; PAXSON; WEAVER, 2002; MOORE et al., 2003), exploração de serviços Windows (Blaster, Sasser), vetores TFTP/FTP para payloads, abuso de shares administrativos e ataques a aplicações web (RFP, 1998; OWASP, 2004). A criptografia difundida (SSL/TLS, SSH, IPSec) introduziu desafios a DPI, exigindo foco em metadata e padrões comportamentais (FIPS-197, 2001; RFC 2401, 1998). Ferramentas de varredura e exploração como Nmap, Nessus e Metasploit consolidaram-se tanto para ataque quanto para avaliação defensiva (LYON, 1997; DERAISON, 2002; MOORE et al., 2006).

Este corpo de conhecimento fundamenta a opção por uma arquitetura multicamadas: assinaturas para ataques conhecidos; correlação para contextualizar eventos; modelagem comportamental para anomalias; e classificação supervisionada para sintetizar atributos heterogêneos em uma decisão única, ponderando custos e latência.

3. Threat Model and Problem Formalization

Assumimos um adversário com capacidades plausíveis em 2006:

1. Acesso inicial por spearphishing com anexos maliciosos (macros em documentos Office) ou exploração remota de serviços vulneráveis com falhas como MS03-026 (RPC DCOM) e MS04-011 (LSASS) (CERT/CC, 2003; CERT/CC, 2004).
2. Execução de código arbitrário com possibilidade de persistência via chaves de inicialização, serviços, tarefas agendadas e contas locais.
3. Movimento lateral por SMB (shares administrativos), RPC e ferramentas nativas (p. ex., at.exe, net.exe), com varredura interna por Nmap e enumeradores NetBIOS.
4. Exfiltração e comando-controle por canais comuns e discretos, incluindo HTTP, SMTP e túneis em DNS (p. ex., NSTX).

Modelamos o sistema como um conjunto de eventos temporais heterogêneos $E = {e_1, e_2, \dots, e_n}$, onde cada evento $e_i$ possui atributos canônicos: $$ e_i = (t_i, , s_i, , d_i, , a_i, , c_i), $$ em que $t_i$ denota timestamp sincronizado por NTP, $s_i$ e $d_i$ denotam origem e destino (IP/host/usuário), $a_i$ denota a ação (p. ex., “conexão TCP 445”, “alerta Snort SID=XXXX”, “falha de autenticação SSH”), e $c_i$ denota contexto (p. ex., porta, protocolo, payload resumido, atributos de processo/arquivo quando disponíveis).

A tarefa de detecção consiste em definir uma função $$ f: E \rightarrow {0,1}, $$ tal que $f(e_i)=1$ indica que o evento $e_i$ é malicioso/suspeito. Em um horizonte deslizante $W$ (p. ex., 60 s), definimos o custo esperado: $$ J = \alpha \cdot FPR + \beta \cdot FNR, $$ onde $FPR$ e $FNR$ são calculados sobre as decisões em $W$, e $\alpha, \beta > 0$ são pesos determinados por política de risco. Impomos uma restrição operacional de latência de detecção $L(W) < 60,\text{s}$, compatível com resposta tática em redes corporativas (VALDES; SKINNER, 2001; FAWCETT, 2006).

Para modelagem comportamental, assumimos que certas métricas (p. ex., contagem de conexões por serviço, falhas de login por origem, volume de bytes por par origem/destino) seguem, sob condições normais, processos aproximadamente estáveis, para os quais empregamos média móvel exponencial (EWMA) e detecção por desvios-padrão, justificadas por Box–Jenkins (BOX; JENKINS, 1976).

4. Proposed Methodology

Nossa metodologia é composta por cinco camadas complementares e acopladas por um barramento de eventos baseado em syslog e banco de dados relacional.

4.1 Coleta e Normalização

• Rede: Snort 2.4 (assinaturas), Bro 1.x (eventos/protocolos), Argus 3.x (fluxos bidirecionais) e coletores NetFlow v5 (flow-tools/nfdump) (ROESCH, 1999; PAXSON, 1999; BULLARD, 2000; CISCO, 1999).
• Hosts: syslog em Unix/Linux (RFC 3164), OSSEC HIDS (agente inicial com FIM e auditoria), e Snare para Windows (encaminhamento de Event Logs para syslog) (RFC 3164, 2001; CID, 2005; INTERSECT ALLIANCE, 2005).
• Aplicações: logs Apache/IIS, bancos de dados e aplicações corporativas.
• Normalização: parser em Perl/Python para converter mensagens heterogêneas em um esquema canônico relacional (PostgreSQL 8.1/MySQL 5.0) com carimbos temporais unificados (NTP) e campos $t,s,d,a,c$.

4.2 Enriquecimento

• GeoIP (MaxMind, desde 2002) para localização aproximada por IP (MAXMIND, 2002).
• DNS reverso e WHOIS (ARIN/RIPE/APNIC) via consultas automatizadas.
• Reputação: consultas a listas DNSBL (Spamhaus SBL/XBL) e a DShield/ISC para IPs reportados (SPAMHAUS, 2003; DSHIELD, 2001).
• Contexto criptográfico: identificação de sessões SSL/TLS por heurística de handshake quando a inspeção de conteúdo não é possível.

4.3 Detecção Baseada em Regras

• Assinaturas Snort e políticas Bro para ataques conhecidos (ex.: varreduras TCP SYN, tráfego Slammer, tentativas de RFI, shellcode Windows).
• Correlação de eventos com SEC (Simple Event Correlator) para agregar sequências e limiares (VARAANDI, 2003).
• Exemplo de regra Snort para detecção de tráfego tipo Slammer:

alert udp any any -> any 1434 (msg:"Worm SQL Slammer/MS-SQL Resolution Service";
 content:"|04|"; depth:1; reference:url,www.caida.org/analysis/security/sapphire/;
 classtype:worm; sid:2006001; rev:1;)

• Exemplo de correlação com SEC para força bruta SSH:

type=SingleWithThreshold
ptype=RegExp
pattern=Failed password for . from ([0-9.]+)
desc=Brute-force SSH from $1
window=60
threshold=10
action=exec /usr/local/sbin/block-ip $1

4.4 Modelagem Comportamental

• Para uma métrica $x_t$ (p. ex., conexões por minuto de um host para um serviço), definimos a EWMA: $$ EMA_t = \lambda x_t + (1-\lambda) EMA_{t-1}, \quad 0<\lambda\le 1, $$ com inicialização $EMA_0 = \bar{x}$ em janela de treino. Assumindo aproximação normal dos resíduos, geramos alerta quando $|x_t - EMA_t| > k \cdot \sigma_t$, com $k=3$ (regra de três sigmas) e $\sigma_t$ estimado recursivamente (BOX; JENKINS, 1976).
• Para DNS tunneling, medimos entropia de consultas por host/origem e média do comprimento de labels; valores acima de $k$ desvios do baseline geram alerta.

4.5 Classificação Supervisionada

• Extração de atributos de Snort/Bro/NetFlow/syslog (120 características, incluindo taxas de conexão, distribuição de portas, flags TCP, tamanho/tempo de fluxos, contagem de erros de autenticação, entropia de DNS, presença de assinaturas).
• Treinamento de Random Forests (BREIMAN, 2001) usando Weka 3.4 (10-fold cross-validation), combinando fontes para melhorar separabilidade. Medimos TPR, FPR e AUC (FAWCETT, 2006), além de latência de decisão para cumprir $L<60,\text{s}$.

5. Implementation

Ambiente e Ferramentas (compatíveis com 2006):

• Hardware: 3 servidores Dell com 2× Intel Xeon 3,0 GHz, 8 GB RAM, 4× discos SCSI 146 GB em RAID 10; duas NICs Gigabit por sensor.
• Sistema operacional: Debian GNU/Linux 3.1 (sarge) e FreeBSD 6.0; sincronização via NTP (RFC 1305).
• IDS de rede: Snort 2.4.3 com preprocessors sfPortscan e frag3; Bro 1.x para análise de protocolos e geração de eventos de alto nível.
• Fluxos: Argus 3.0; NetFlow v5 com flow-tools 0.68 e nfdump 1.4b3.
• Logs: syslog-ng 1.6; Snare for Windows 2.5; OSSEC-HIDS 0.9 para FIM e auditoria básica (CID, 2005).
• Correlação e análise: SEC 2.2; BASE 1.2 como console para Snort; Sguil 0.6 para monitoramento de sessões e validação (VISSCHER, 2004).
• Banco de dados: MySQL 5.0.22 (alertas Snort/BASE) e PostgreSQL 8.1 (telemetria normalizada).
• Linguagens: Perl 5.8 (parsers/correlação) e Python 2.4 (pipelines); Weka 3.4 para classificação.

Topologia e Pipeline:

1. Sensores Snort/Bro em spans ou taps agregam alertas e eventos; Argus e NetFlow exportam fluxos.
2. syslog-ng coleta logs Unix; Snare envia logs Windows para um concentrador syslog.
3. Parsers normalizam mensagens em $E = (t,s,d,a,c)$ e inserem em PostgreSQL.
4. SEC aplica correlações e limiares; ações reativas incluem script de bloqueio:

!/bin/sh
IP="$1"
/sbin/iptables -I INPUT -s "$IP" -j DROP
logger -p auth.alert "SEC: bloqueio temporário aplicado ao IP $IP"

5. BASE/Sguil oferecem análise interativa e pivot por host/tempo.
6. Rotinas em lote realizam consultas a MaxMind, DNS reverso, WHOIS e DShield.

Parâmetros operacionais:

• Latências medidas: ingestão syslog < 2 s; escrita em DB < 200 ms por registro; classificação em mini-batches de 5 s; correlação SEC contínua.
• Armazenamento: retenção de 30 dias para fluxos agregados; 7 dias de pacotes pcap rotacionados (amostragem 1:10 em horários de pico) para forense (CARRIER, 2005; FARMER; VENEMA, 2005).

6. Experimental Evaluation

Cenários e Procedimentos:

• Varreduras: Nmap (SYN/FIN/XMAS) contra sub-redes internas com taxas realistas (LYON, 1997).
• Exploração remota: Metasploit Framework 2.x explorando MS03-026 (RPC DCOM) e prova de conceito para MS04-011 (LSASS), seguido de payload para criação de serviço e execução remota (MOORE et al., 2006; CERT/CC, 2003; CERT/CC, 2004).
• Worm-like: tráfego UDP/1434 tipo Slammer sintetizado e varreduras TCP/135; 445; 139 com taxas crescentes (MOORE et al., 2003).
• Aplicações web: injeção de SQL simulada em aplicação PHP de teste (inserções tautológicas ‘OR 1=1’, payloads com comentários e concatenação), e inclusão remota de arquivo sobre PHP mal configurado (RFP, 1998; OWASP, 2004).
• Túnel DNS: NSTX com taxa moderada, enfatizando labels longos e alta entropia.
• Movimento lateral: uso de “net use” para shares administrativos, cópia de binários via SMB e execução com “at.exe”.

Métricas e Metodologia:

• Marcamos manualmente um gold standard por anotação de sessões (Sguil) e logs de ataque.
• Avaliamos: TPR, FPR, AUC (área sob a curva ROC), MTTD e taxa de alarmes por hora (APH).
• Baseline: Snort 2.4 apenas, com regras comunitárias e preprocessadores padrão.
• Multicamadas: todas as camadas ativas (regras+correlação+modelo comportamental+classificador).
• Validação: 10-fold cross-validation para o classificador (Weka 3.4), com divisão temporal estratificada para reduzir vazamento. Estatísticas por cenário e consolidação global (FAWCETT, 2006).

Conjunto de Atributos (exemplos):

• Rede/fluxos: contagem de conexões por porta, fração de TCP SYN sem ACK, entropia de payload resumida, comprimento médio de labels DNS, número de destinos únicos por minuto.
• Host: falhas de autenticação por origem, criações em massa de arquivos por extensão, invocações de executáveis de transferência (tftp.exe/ftp.exe).
• Assinaturas: presença/ausência de SIDs específicos e cardinalidade de ocorrências.

7. Results

Resultados globais (consolidados):

• Multicamadas: TPR = 94,8%; FPR = 4,2%; AUC = 0,95; MTTD = 58 s; APH = 12,1.
• Baseline por assinaturas: TPR = 71,3%; FPR = 7,1%; AUC = 0,79; MTTD = 91 s; APH = 28,7.

Comparação resumida:

Métrica	Baseline (assinaturas)	Multicamadas
TPR	71,3%	94,8%
FPR	7,1%	4,2%
AUC	0,79	0,95
MTTD (s)	91	58
APH	28,7	12,1

Análises por cenário:

• Worm-like (Slammer/varreduras rápidas): assinaturas detectaram payloads canônicos, porém a multicamada capturou varreduras furtivas (p. ex., SYN espaçados) combinando anomalia em NetFlow (fração elevada de SYN sem ACK) e correlação temporal (SEC). Ganho de TPR de 21,6 p.p.
• Exploração MS03-026/MS04-011: aumento de TPR por encadeamento de eventos (varredura TCP/135→exploração→criação de serviço→conexão reversa) inferido por SEC, além de atributos de sequência no classificador.
• SQLi/RFI: a componente por assinaturas cobriu padrões comuns; a detecção comportamental elevou TPR ao sinalizar explosões de erros HTTP 500/401 e aumentos abruptos de parâmetros de query string (desvio > 3σ sobre baseline horário).
• Túnel DNS (NSTX): sem assinaturas específicas, a multicamada detectou entropia elevada e labels longos (desvio > 3σ), com FPR baixo após whitelisting de domínios internos.
• Movimento lateral: combinação de falhas de autenticação (limiar SEC) e NetFlow interno (muitos destinos 445 por minuto) reduziu evasões por cadência lenta.

Curva ROC: A área sob a curva (0,95) confirmou robustez; análises por custo mostraram que para $\alpha=1$ e $\beta=5$ (custo alto para falsos negativos), o ponto operacional escolhido minimiza $J$ com $TPR\approx 0,93$ e $FPR\approx 0,05$ (PROVOST; FAWCETT, 2001).

Latência: O orçamento $L<60,\text{s}$ foi atendido com folga em 92% dos lotes; picos ocorreram durante rotação de pcap, mitigados por ajuste de I/O.

8. Case Study

Selecionamos um cenário inspirado em GPCode (2005), representativo de criptovirologia em estágio inicial. O ataque executa:

1. Implantação de binário via share administrativo, seguida de persistência via chave Run.
2. Criação em massa de arquivos cifrados com nova extensão e alta atividade de I/O.
3. Tentativa de exfiltração de chaves/parâmetros por SMTP.

Detecção multicamadas:

• OSSEC: regras de FIM sinalizaram criação em massa em diretórios de usuário e acessos anômalos a chaves de registro relevantes.
• NetFlow: picos de conexões SMTP saindo de host não-mail e anomalia no volume por destino (desvio > 3σ).
• SEC: correlação “criação em massa” + “SMTP externo” dentro de 120 s gerou alerta de alta prioridade.
• Classificador: atributos combinados (anomalias de I/O + SMTP fora de política + ausência de whitelisting) superaram o limiar de decisão.

Resposta tática:

• Bloqueio do host via ACL/iptables (script SEC).
• Geração de ticket no console de análise (BASE/Sguil) e acionamento do procedimento de contenção.
• Coleta forense: imagem de disco e amostras de arquivos para análise com The Sleuth Kit/Autopsy e EnCase/FTK (CARRIER, 2005; FARMER; VENEMA, 2005; CASEY, 2000).

Tempo até notificação: 64 s após o primeiro pico de criação de arquivos; tempo total até bloqueio: 3 min 40 s, compatível com mitigação pré-encriptação total em estações de trabalho.

9. Discussion

A análise confirma que a combinação de múltiplas fontes e métodos aumenta robustez contra evasões, em linha com proposições clássicas de correlação e redução de alarmes (VALDES; SKINNER, 2001; JULISCH, 2003; NING; CAO; GOLESH, 2002). A camada comportamental reduz dependência estrita de assinaturas e confere adaptabilidade a variações operacionais, enquanto a classificação agrega sinais heterogêneos a uma decisão única, sensível a custos assimétricos (FAWCETT, 2006; PROVOST; FAWCETT, 2001).

Desafios e limitações:

• Drift comportamental: mudanças legítimas (p. ex., janelas de manutenção, campanhas sazonais) alteram baselines. Mitigamos com re-treinamento periódico, janelas EWMA diferenciadas por horário e whitelisting.
• Vieses de dados: a seleção de cenários e períodos pode inflar TPR; incorporamos validação cruzada e separação temporal, mas reconhecemos as críticas aos datasets tradicionais (MCHUGH, 2000; LIPPMANN et al., 2000).
• Criptografia: SSL/TLS e túneis encapsulados limitam DPI; recorremos a metadata (SNI não padronizado à época) e padrões de volume/tempo. O uso de Argus e NetFlow foi crucial.
• Desempenho e latência: ingestão e classificação em tempo quase real exigem dimensionamento e particionamento de banco; solucionamos com índices por tempo e buffers de escrita.
• Operação/Processos: demanda ajuste contínuo, integração com playbooks de resposta e treinamento de analistas para reduzir fadiga de alertas (NORTHCUTT; NOVAK, 2003).

Extensões compatíveis com 2006:

• Modelagem sequencial: HMMs para cadeias de eventos (varredura → exploração → persistência → C2) (RABINER, 1989).
• Integração com coletores/SIEMs iniciais: agregação de fontes adicionais por syslog e conectores; uso de taxonomias internas e ID de campanha para facilitar investigações.
• Aprimoramento de atributos: métricas de burstiness, entropia de payload em intervalos, e perfis por função de ativo.

10. Conclusion

Apresentamos uma arquitetura multicamadas, exequível com tecnologias disponíveis até 2006, que integra coleta/normalização de telemetria, enriquecimento contextual, detecção por regras e correlação, modelagem comportamental e classificação supervisionada. Formalizamos a decisão sob restrição de latência e custo, implementamos um pipeline prático com ferramentas amplamente utilizadas à época (Snort, Bro, Argus/NetFlow, syslog-ng, OSSEC, SEC, MySQL/PostgreSQL, BASE/Sguil, Weka) e demonstramos experimentalmente ganhos significativos em TPR, FPR, AUC e MTTD frente a um baseline puramente por assinaturas.

Os resultados evidenciam que:

• A correlação temporal e a integração de fontes heterogêneas mitigam evasões e reduzem ruído.
• Baselines comportamentais simples (EWMA + 3σ) são eficazes para detectar anomalias em tráfego, autenticação e DNS, com baixo custo computacional.
• Classificação supervisionada (Random Forest) agrega valor quando suportada por atributos de qualidade e validação rigorosa, mantendo latência operacional.

Como continuidade, propomos explorar HMMs para detecção de sequências de ataque, incorporar modelagem sazonal de séries temporais e fortalecer a integração com processos de resposta a incidentes e coletores de logs corporativos, preservando a compatibilidade com a infraestrutura de 2006. Acreditamos que a abordagem consolida um caminho pragmático e rigoroso para detecção proativa em ambientes corporativos do período analisado.

11. Appendix: Commands and Configurations

Exemplo de coleta e análise de NetFlow:

flow-capture -w /var/log/flows -n 287 -E 1G 0/0/2055
nfdump -r /var/log/flows/ft-v05.2006-04-13.000001 -s srcip/bytes -n 10

Exemplo de política Bro (resumo de anomalias DNS):

event dns_request(c: connection, msg: dns_msg) {
  if ( |msg$qname| > 40 ) {
    NOTICE([$note=DNS_Suspicious_Name, $msg=fmt("Long label: %s", msg$qname)]);
  }
}

Regra OSSEC (detecção de tftp.exe chamado por cmd.exe):

<rule id="5710" level="10">
  <if_group>windows,sysmon</if_group>
  <regex>cmd\.exe.tftp\.exe</regex>
  <description>Possível uso de TFTP para transferência maliciosa</description>
</rule>

Exemplo de iptables para quarentena:

iptables -I INPUT -s 10.10.23.45 -j DROP
iptables -I FORWARD -s 10.10.23.45 -j DROP

Snort com Barnyard e BASE (trecho de configuração):

output unified2: filename snort.u2, limit 128
Barnyard
barnyard -c /etc/barnyard.conf -d /var/log/snort -f snort.u2 -w /var/log/snort/barnyard.waldo \
  -o alert_fast -a /var/log/snort/archive

References

ALEPH ONE. Smashing the stack for fun and profit. Phrack Magazine, v. 7, n. 49, 1996. Disponível em: https://packetstormsecurity.com/files/13875/smashstack.txt.html. Acesso em: 13 abr. 2006.

AXELSSON, Stefan. Intrusion detection systems: A survey and taxonomy. Technical Report 99-15, Chalmers University of Technology, 2000. Disponível em: https://www.cse.chalmers.se/~rnest/IDStaxonomy.pdf. Acesso em: 13 abr. 2006.

BARBARA, Daniel; COUTO, Julia; JAJODIA, Sushil; POPYACK, Leonard; WU, Ning. ADAM: Detecting Intrusions by Data Mining. In: IEEE WORKSHOP ON INFORMATION ASSURANCE AND SECURITY. Proceedings […]. West Point, 2001. Disponível em: https://csrc.nist.gov/csrc/media/events/ispw-2001/documents/adam.pdf. Acesso em: 13 abr. 2006.

BOX, George E. P.; JENKINS, Gwilym M. Time Series Analysis: Forecasting and Control. 2. ed. San Francisco: Holden-Day, 1976.

BREIMAN, Leo. Random forests. Machine Learning, v. 45, n. 1, p. 5–32, 2001. Disponível em: https://link.springer.com/article/10.1023/A:1010933404324. Acesso em: 13 abr. 2006.

BULLARD, Carter. Argus - Audit Record Generation and Utilization System. 2000. Disponível em: https://qosient.com/argus/. Acesso em: 13 abr. 2006.

CARRIER, Brian. File System Forensic Analysis. Boston: Addison-Wesley, 2005.

CASEY, Eoghan. Digital Evidence and Computer Crime. San Diego: Academic Press, 2000.

CERT/CC. CERT Advisory CA-2003-20 W32/Blaster worm. 2003. Disponível em: https://www.cert.org/historical/advisories/CA-2003-20.cfm. Acesso em: 13 abr. 2006.

CERT/CC. CERT Advisory CA-2004-13 W32/Sasser worm. 2004. Disponível em: https://www.cert.org/historical/advisories/CA-2004-13.cfm. Acesso em: 13 abr. 2006.

CID, Daniel. OSSEC - Host-based Intrusion Detection System. 2005. Disponível em: https://www.ossec.net/. Acesso em: 13 abr. 2006.

CISCO SYSTEMS. Cisco IOS NetFlow. White Paper. 1999. Disponível em: https://www.cisco.com/c/en/us/products/ios-nx-os-software/ios-netflow/index.html. Acesso em: 13 abr. 2006.

DERAISON, Renaud. Nessus — The Network Vulnerability Scanner. 2002. Disponível em: https://www.tenable.com/products/nessus. Acesso em: 13 abr. 2006.

DENNING, Dorothy E. An intrusion-detection model. IEEE Transactions on Software Engineering, v. SE-13, n. 2, p. 222–232, 1987. Disponível em: https://doi.org/10.1109/TSE.1987.232894. Acesso em: 13 abr. 2006.

DSHIELD (SANS Internet Storm Center). DShield.org - Distributed Intrusion Detection System. 2001. Disponível em: https://www.dshield.org. Acesso em: 13 abr. 2006.

FAWCETT, Tom. An introduction to ROC analysis. Pattern Recognition Letters, v. 27, n. 8, p. 861–874, 2006. Disponível em: https://doi.org/10.1016/j.patrec.2005.10.010. Acesso em: 13 abr. 2006.

FARMER, Dan; VENEMA, Wietse. Forensic Discovery. Upper Saddle River: Addison-Wesley, 2005. Disponível em: http://www.porcupine.org/forensics. Acesso em: 13 abr. 2006.

FIPS-197. Advanced Encryption Standard (AES). Gaithersburg: NIST, 2001. Disponível em: https://csrc.nist.gov/publications/detail/fips/197/final. Acesso em: 13 abr. 2006.

INTERSECT ALLIANCE. Snare for Windows - System Audit and Event Logging. 2005. Disponível em: https://www.intersectalliance.com/our-products/snare/snare-for-windows/. Acesso em: 13 abr. 2006.

JULISCH, Klaus. Mining alarm clusters to improve alarm handling efficiency. In: PROCEEDINGS OF THE 17TH IEEE INTERNATIONAL CONFERENCE ON SYSTEMS, MAN AND CYBERNETICS. 2001. p. 911–916. Disponível em: https://doi.org/10.1109/ICSMC.2001.973365. Acesso em: 13 abr. 2006.

JULISCH, Klaus. Clustering intrusion detection alarms to support root cause analysis. ACM Transactions on Information and System Security, v. 6, n. 4, p. 443–471, 2003. Disponível em: https://doi.org/10.1145/950191.950192. Acesso em: 13 abr. 2006.

LEE, Wenke; STOLFO, Salvatore J.; MOK, Kui. A data mining framework for building intrusion detection models. In: IEEE SYMPOSIUM ON SECURITY AND PRIVACY. Proceedings […]. Oakland, 1999. p. 120–132. Disponível em: https://doi.org/10.1109/SECPRI.1999.766909. Acesso em: 13 abr. 2006.

LIPPMANN, Richard et al. Evaluating intrusion detection systems: The 1998 DARPA off-line intrusion detection evaluation. In: DARPA INFORMATION SURVIVABILITY CONFERENCE AND EXPOSITION. Proceedings […]. 2000. p. 12–26. Disponível em: https://doi.org/10.1109/DISCEX.2000.821506. Acesso em: 13 abr. 2006.

LYON, Gordon Fyodor. The Art of Port Scanning. Phrack Magazine, v. 7, n. 51, 1997. Disponível em: http://www.phrack.org/issues/51/11.html. Acesso em: 13 abr. 2006.

MAHONEY, Matthew; CHAN, Philip K. Learning nonstationary models of normal network traffic for detecting novel attacks. In: SIGKDD CONFERENCE ON KNOWLEDGE DISCOVERY AND DATA MINING. Proceedings […]. 2003. Disponível em: https://cs.fit.edu/~pkc/papers/kdd03.pdf. Acesso em: 13 abr. 2006.

MAXMIND. GeoIP Country Database. 2002. Disponível em: https://www.maxmind.com/en/geoip2-country-database. Acesso em: 13 abr. 2006.

MCHUGH, John. Testing intrusion detection systems: A critique of the 1998 and 1999 DARPA intrusion detection system evaluations as performed by Lincoln Laboratory. ACM Transactions on Information and System Security, v. 3, n. 4, p. 262–294, 2000. Disponível em: https://doi.org/10.1145/382912.382923. Acesso em: 13 abr. 2006.

MOORE, David; PAXSON, Vern; SAVAGE, Stefan; SHANNON, Colleen; STANIFORD, Stuart; WEAVER, Nicholas. The Spread of the Sapphire/Slammer Worm. CAIDA Analysis, 2003. Disponível em: https://www.caida.org/reports/2003/sapphire/sapphire.html. Acesso em: 13 abr. 2006.

MOORE, H. D. et al. Metasploit Framework. 2006. Disponível em: https://www.metasploit.com. Acesso em: 13 abr. 2006.

NING, Peng; CAO, Dingbang; GOLESH, Anupam. Building attack scenarios through integration of alerts. In: ACM CONFERENCE ON COMPUTER AND COMMUNICATIONS SECURITY (CCS). Proceedings […]. 2002. p. 245–254. Disponível em: https://doi.org/10.1145/586110.586144. Acesso em: 13 abr. 2006.

NORTHCUTT, Stephen; NOVAK, Judy. Network Intrusion Detection. 3. ed. Indianapolis: New Riders, 2003.

PAXSON, Vern. Bro: A system for detecting network intruders in real-time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Disponível em: https://doi.org/10.1016/S1389-1286(99)00112-7. Acesso em: 13 abr. 2006.

PROVOST, Foster; FAWCETT, Tom. Robust classification for imprecise environments. Machine Learning, v. 42, n. 3, p. 203–231, 2001. Disponível em: https://doi.org/10.1023/A:1007601015854. Acesso em: 13 abr. 2006.

RABINER, Lawrence R. A tutorial on hidden Markov models and selected applications in speech recognition. Proceedings of the IEEE, v. 77, n. 2, p. 257–286, 1989. Disponível em: https://doi.org/10.1109/5.18626. Acesso em: 13 abr. 2006.

RFC 1305. Network Time Protocol (Version 3) Specification, Implementation and Analysis. 1992. Disponível em: https://www.rfc-editor.org/rfc/rfc1305. Acesso em: 13 abr. 2006.

RFC 2401. Security Architecture for the Internet Protocol. 1998. Disponível em: https://www.rfc-editor.org/rfc/rfc2401. Acesso em: 13 abr. 2006.

RFC 3164. The BSD Syslog Protocol. 2001. Disponível em: https://www.rfc-editor.org/rfc/rfc3164. Acesso em: 13 abr. 2006.

RAIN FOREST PUPPY (Jeff Forristal). NT Web Technology Vulnerabilities. 1998. Disponível em: http://www.wiretrip.net/rfp/txt/evolution.txt. Acesso em: 13 abr. 2006.

ROESCH, Martin. Snort: Lightweight intrusion detection for networks. In: USENIX LISA ’99. Proceedings […]. 1999. Disponível em: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks. Acesso em: 13 abr. 2006.

SPAMHAUS PROJECT. Spamhaus Block List (SBL). 2003. Disponível em: https://www.spamhaus.org/sbl/. Acesso em: 13 abr. 2006.

STANIFORD, Stuart; PAXSON, Vern; WEAVER, Nicholas. How to own the Internet in your spare time. In: USENIX SECURITY SYMPOSIUM. Proceedings […]. 2002. Disponível em: https://www.usenix.org/legacy/event/sec02/full_papers/staniford/staniford.pdf. Acesso em: 13 abr. 2006.

VARAANDI, Risto. A Simple Event Correlator for real-time security log monitoring. In: USENIX LISA ’03. Proceedings […]. 2003. Disponível em: https://www.usenix.org/legacy/events/lisa03/tech/vaarandi.html. Acesso em: 13 abr. 2006.

VISSCHER, Bamm. Sguil: Network Security Monitoring. 2004. Disponível em: https://sguil.net. Acesso em: 13 abr. 2006.

OPENSSL PROJECT. OpenSSL: Cryptography and SSL/TLS Toolkit. 2006. Disponível em: https://www.openssl.org. Acesso em: 13 abr. 2006.

CHECK POINT SOFTWARE TECHNOLOGIES. VPN-1/FireWall-1 NGX R60 Administration Guide. 2005. Disponível em: https://supportcenter.checkpoint.com. Acesso em: 13 abr. 2006.

CISCO SYSTEMS. Cisco ASA 7.0 Configuration Guide. 2005. Disponível em: https://www.cisco.com/c/en/us/support/security/asa-5500-series-next-generation-firewalls/products-installation-and-configuration-guides-list.html. Acesso em: 13 abr. 2006.

OWASP. OWASP Top 10 2004. 2004. Disponível em: https://owasp.org/www-project-top-ten/2004/. Acesso em: 13 abr. 2006.