Arquitetura Operacional de Resposta a Incidentes e Análise Pericial de Sistemas Orientada à Inteligência: Correlação Multi-Fonte e Análise de Memória em Ambientes de Rede UNIX (1986)

1. Introduction

A década de 1980 caracteriza-se por uma transição estrutural profunda na forma como sistemas computacionais são implantados, administrados e interconectados. A consolidação da arquitetura TCP/IP, formalizada por Cerf e Kahn (1974) e posteriormente especificada em detalhes por Postel (1980, 1981a, 1981b), permitiu a interligação de redes heterogêneas sob um modelo de interconexão robusto e escalável. Paralelamente, a disseminação de redes locais Ethernet a 10 Mbps, conforme descrito por Metcalfe e Boggs (1976), transformou a topologia interna de laboratórios e universidades, substituindo terminais isolados por estações de trabalho interligadas em segmentos compartilhados.

O sistema operacional UNIX, cuja estrutura e filosofia foram delineadas por Ritchie e Thompson (1974), emergiu como plataforma predominante em ambientes acadêmicos e de pesquisa. As distribuições 4.2BSD (JOY; LEFFLER; FABRY, 1983) e 4.3BSD (UNIVERSITY OF CALIFORNIA, 1986a) incorporaram suporte nativo a TCP/IP, ampliando significativamente a conectividade entre instituições. Serviços como sendmail (ALLMAN, 1983), rlogin, rsh e FTP tornaram-se componentes rotineiros da operação diária, favorecendo colaboração científica, mas também expondo sistemas a interações remotas potencialmente maliciosas.

A expansão dessa infraestrutura trouxe consigo uma ampliação proporcional da superfície de ataque. Morris e Thompson (1979) demonstraram empiricamente a fragilidade de senhas escolhidas por usuários em ambientes de tempo compartilhado, evidenciando que controles baseados apenas em autenticação textual eram insuficientes para garantir segurança. Relações de confiança implementadas por arquivos como .rhosts e hosts.equiv, documentadas no manual do 4.3BSD (UNIVERSITY OF CALIFORNIA, 1986b), introduziram mecanismos de autenticação implícita baseados em identidade de host, frequentemente configurados sem rigor adequado.

Relatórios estratégicos como o Computer Security Technology Planning Study (ANDERSON, 1972) já haviam alertado para a necessidade de trilhas de auditoria abrangentes e mecanismos de accountability. Posteriormente, o Trusted Computer System Evaluation Criteria (DEPARTMENT OF DEFENSE, 1983) formalizou requisitos de auditoria e controle de acesso como critérios centrais de avaliação. Contudo, na prática operacional cotidiana, observamos que a maioria das organizações mantinha práticas fragmentadas, com análise isolada de logs locais e ausência de correlação sistemática entre múltiplas fontes de evidência.

Neste contexto, defendemos que a resposta a incidentes deve ser tratada não como atividade ad hoc, mas como processo formalmente modelado e apoiado por arcabouço matemático consistente. Inspiramo-nos na noção de causalidade distribuída de Lamport (1978), segundo a qual a relação happens-before estabelece uma ordem parcial entre eventos em sistemas distribuídos. Complementarmente, incorporamos o modelo de detecção baseado em perfis estatísticos proposto por Denning (1986), que estrutura a identificação de desvios comportamentais a partir de parâmetros mensuráveis.

Modelamos o incidente como um grafo dirigido $G = (V, E)$, no qual cada vértice representa um evento observável proveniente de uma fonte específica — log de sistema, accounting de processos, captura de rede ou imagem de memória — e cada aresta representa uma relação temporal ou causal inferida. O objetivo da reconstrução é determinar uma sequência linearizada $S$ consistente com as restrições parciais e que maximize a probabilidade condicional:

$$ \hat{S} = \arg\max_S P(S \mid E, \Theta), $$

onde $E$ representa o conjunto de evidências coletadas e $\Theta$ corresponde a parâmetros do modelo de ameaça, incluindo perfis históricos de uso normal.

A contribuição central deste trabalho consiste em: (i) propor uma arquitetura operacional integrada de coleta e preservação de evidências; (ii) formalizar a reconstrução de incidentes como problema de ordenação causal ponderada; (iii) definir métricas quantitativas de desempenho forense; e (iv) validar empiricamente a abordagem em ambiente controlado baseado em 4.3BSD interconectado via Ethernet.

2. Fundamentação Teórica e Trabalhos Correlatos

2.1 Princípios Clássicos de Proteção

Saltzer e Schroeder (1975) estabeleceram princípios fundamentais que permanecem atuais: privilégio mínimo, separação de privilégios, economia de mecanismo, mediação completa e design aberto. Esses princípios fundamentam nossa decisão de isolar o servidor de logs, restringir privilégios administrativos e registrar todas as ações críticas. Lampson (1974) discutiu a noção de matriz de controle de acesso, enfatizando a importância de mecanismos sistemáticos de proteção em sistemas multiprogramados.

Bell e LaPadula (1973) formalizaram modelo matemático de confidencialidade baseado em níveis de segurança, introduzindo as propriedades simple security e star property. Biba (1977) apresentou modelo dual focado na integridade da informação. Embora sistemas UNIX convencionais não implementem esses modelos formalmente, utilizamos suas categorias conceituais para classificar impactos observados durante incidentes.

Graham e Denning (1972) descreveram modelo formal de proteção baseado em regras de criação e deleção de sujeitos e objetos, oferecendo base teórica para análise de alterações indevidas de contas e privilégios. Esses trabalhos sustentam a necessidade de auditoria estruturada.

2.2 Auditoria e Detecção de Intrusões

Anderson (1972) destacou a importância de registros detalhados para investigação posterior, argumentando que a ausência de trilhas confiáveis inviabiliza responsabilização. O TCSEC (DEPARTMENT OF DEFENSE, 1983) incorporou requisitos explícitos de auditoria, incluindo geração, proteção e análise de registros.

Denning (1986) propôs modelo genérico de detecção baseado em perfis estatísticos e regras de exceção. Sua formulação define métricas como contagem de eventos por unidade de tempo e frequência de comandos, comparadas a limites derivados de comportamento histórico. Em nossa arquitetura, utilizamos tais princípios para ponderar probabilidades associadas a sequências reconstruídas.

Ware (1970) e o relatório do National Bureau of Standards (1979) também enfatizaram controles administrativos e monitoramento contínuo como componentes essenciais de segurança.

2.3 Redes e Protocolos

Cerf e Kahn (1974) definiram arquitetura de interconexão baseada em datagramas. Postel (1980) especificou UDP; Postel (1981a) definiu IP; Postel (1981b) detalhou TCP, incluindo handshake de três vias, estados de conexão e números de sequência. A compreensão desses mecanismos é essencial para reconstrução de sessões remotas.

Mockapetris (1983a, 1983b) introduziu o Domain Name System, permitindo mapear endereços IP a nomes simbólicos, elemento crucial para análise contextual. Mills (1985) propôs o Network Time Protocol, fornecendo mecanismo de sincronização hierárquica de relógios.

2.4 Implementações UNIX e Ferramentas

Joy, Leffler e Fabry (1983) documentaram 4.2BSD, incluindo utilitários como ps, netstat e adb. McKusick et al. (1984) descreveram a implementação do Fast File System, detalhando estrutura de inodes e timestamps, fundamentais para análise pericial de alterações em arquivos críticos como /etc/passwd.

Morris (1985) analisou fraquezas na implementação TCP/IP do 4.2BSD, demonstrando que vulnerabilidades podem residir na própria pilha de rede. Essa observação reforça a necessidade de monitoramento externo ao host comprometido.

3. Modelo de Ameaça e Formalização do Problema

Assumimos adversário com acesso remoto via TCP/IP, capaz de explorar serviços como sendmail (ALLMAN, 1983), abusar de rlogin/rsh e explorar programas setuid indevidamente configurados (MORRIS; THOMPSON, 1979). Consideramos também possibilidade de modificação ou deleção de logs locais.

Cada evento é modelado como:

$$ e_i = (t_i, h_i, tipo_i, p_i), $$

onde $t_i$ é timestamp, $h_i$ host de origem, $tipo_i$ categoria (processo, rede, arquivo, memória) e $p_i$ parâmetros associados.

A relação de precedência $\prec$ é definida por:

1. Ordem temporal local.
2. Relação pai-filho de processos.
3. Sequência TCP conforme especificação (POSTEL, 1981b).
4. Dependência de acesso a arquivo antes de modificação de conteúdo.

Aplicamos algoritmo de ordenação topológica de Kahn (1962) para obter linearização consistente. A completude forense é:

$$ C_f = \frac{|E_{corr}|}{|E_{ataque}|}. $$

A taxa de detecção é:

$$ TD = \frac{N_{detectados}}{N_{executados}}. $$

4. Metodologia Proposta

4.1 Arquitetura de Coleta

Implementamos servidor dedicado de logs executando syslogd configurado para receber mensagens remotas. Accounting de processos é habilitado via accton. Captura Ethernet realizada por estação dedicada com interface em modo promíscuo.

4.2 Procedimento Detalhado

Passo 1 – Preparação

• Configurar /etc/syslog.conf para encaminhamento remoto.
• Ativar accounting:

accton /usr/adm/pacct

Passo 2 – Sincronização Temporal

• Configurar daemon NTP conforme Mills (1985).
• Verificar offset máximo aceitável (< 100 ms).

Passo 3 – Coleta de Rede

• Ativar captura:

ifconfig le0 promisc
tcpdump -i le0 -w captura.log

Passo 4 – Preservação

• Copiar evidências para fita magnética.
• Calcular CRC-32.
• Registrar responsável e horário.

Passo 5 – Análise de Memória

sync
reboot
savecore /var/crash
adb -k /vmunix /var/crash/vmcore.0

Passo 6 – Construção do Grafo

• Extrair eventos.
• Criar matriz de adjacência.
• Aplicar ordenação topológica.

5. Implementação Experimental

Ambiente composto por três VAX-11/780 executando 4.3BSD, interligados via Ethernet 10 Mbps. Carga média de 35 usuários simultâneos. Logs coletados por 30 dias.

Tabela 1 – Volume Médio Diário de Eventos

Fonte	Média	Desvio Padrão
syslog	12.500	1.200
acct	8.300	950
netstat	1.440	0
Ethernet	25.000	3.500
DNS consultas	2.100	300

Gráfico – Distribuição Relativa

Ethernet |████████████████████| 25000
syslog   |███████████         | 12500
acct     |████████            | 8300
DNS      |███                 | 2100
netstat  |█                   | 1440

6. Avaliação Experimental

Executamos 30 incidentes controlados.

Tabela 2 – Taxa de Detecção

Cenário	Executados	Manual	Proposto
Correio	10	7	9
rsh	10	8	9
setuid	10	6	9
Total	30	21	27

Gráfico – Percentual Total

Manual    |██████████████      | 70%
Proposto  |███████████████████ | 90%

Tabela 3 – Completude Forense Média

Cenário	Manual	Proposto
Correio	0,62	0,88
rsh	0,68	0,85
setuid	0,63	0,89
Média	0,64	0,87

Gráfico – Completude Média

Manual    |███████████         | 0.64
Proposto  |██████████████████  | 0.87

Tabela 4 – Tempo Médio (horas)

Métrica	Manual	Proposto
Detecção	2,87	1,70
Contenção	5,50	3,17

Redução média de detecção: 40,7%.

Tabela 5 – Correlação Causal Correta

Fonte Isolada	Eventos Correlacionados Corretamente
syslog	58%
acct	61%
Rede	65%
Multi-fonte	91%

Gráfico – Precisão de Correlação

syslog     |███████████         | 58%
acct       |████████████        | 61%
Rede       |█████████████       | 65%
Multi-fonte|███████████████████ | 91%

7. Estudo de Caso

Reconstruímos 23 eventos encadeados. Captura Ethernet confirmou handshake TCP (POSTEL, 1981b). syslog registrou invocação anômala de sendmail (ALLMAN, 1983). acct indicou execução de /bin/sh. Timestamp de inode conforme descrito por McKusick et al. (1984) revelou modificação de /etc/passwd. Análise de vmcore identificou socket ESTABLISHED associado ao PID suspeito. Grafo resultante apresentou $C_f=0,91$.

8. Discussão

A integração multi-fonte demonstrou ganhos quantitativos robustos. A ordenação causal reduziu ambiguidades temporais. A análise de memória complementou lacunas deixadas por logs manipuláveis.

8.1 Limitações

Dependência de logging prévio adequado; sincronização temporal imperfeita; necessidade de reinicialização para savecore; escalabilidade limitada; possíveis técnicas de evasão não contempladas na literatura até 1986.

8.2 Ameaças à Validade

Ambiente controlado pode não refletir produção real; volume de tráfego maior pode degradar captura.

9. Considerações Legais

Assinaturas RSA (RIVEST; SHAMIR; ADLEMAN, 1978) podem autenticar relatórios. O Computer Fraud and Abuse Act (UNITED STATES, 1986) reforça relevância jurídica.

10. Conclusão

Demonstramos que tecnologias disponíveis até 1986 permitem arquitetura robusta de resposta a incidentes baseada em correlação multi-fonte, modelagem formal e análise de memória. A aplicação disciplinada de princípios clássicos e formalismo matemático produz ganhos mensuráveis e fortalece rigor científico e jurídico.

References

ALLMAN, E. Sendmail – An Internetwork Mail Router. In: UNIX Programmer’s Manual, 4.2BSD, 1983.
ANDERSON, J. P. Computer Security Technology Planning Study. ESD-TR-73-51, 1972.
BELL, D.; LAPADULA, L. Secure Computer Systems. MITRE, 1973.
BIBA, K. Integrity Considerations for Secure Computer Systems. MITRE, 1977.
CERF, V.; KAHN, R. A Protocol for Packet Network Intercommunication. IEEE Transactions on Communications, 1974.
DEPARTMENT OF DEFENSE. Trusted Computer System Evaluation Criteria. DoD 5200.28-STD, 1983.
DENNING, D. An Intrusion-Detection Model. IEEE Transactions on Software Engineering, 1986.
GRAHAM, G.; DENNING, P. Protection—Principles and Practice. AFIPS, 1972.
JOY, W.; LEFFLER, S.; FABRY, R. 4.2BSD System Manual. University of California, 1983.
KAHN, A. Topological Sorting of Large Networks. Communications of the ACM, 1962.
LAMPORT, L. Time, Clocks, and the Ordering of Events in a Distributed System. CACM, 1978.
LAMPSON, B. Protection. ACM Operating Systems Review, 1974.
METCALFE, R.; BOGGS, D. Ethernet. Communications of the ACM, 1976.
MCKUSICK, M. et al. A Fast File System for UNIX. ACM TOCS, 1984.
MILLS, D. Network Time Protocol. RFC 958, 1985.
MORRIS, R.; THOMPSON, K. Password Security. CACM, 1979.
MORRIS, R. A Weakness in the 4.2BSD Unix TCP/IP Software. AT&T Bell Labs, 1985.
MOCKAPETRIS, P. Domain Names – Concepts and Facilities. RFC 882, 1983.
MOCKAPETRIS, P. Domain Names – Implementation and Specification. RFC 883, 1983.
POSTEL, J. User Datagram Protocol. RFC 768, 1980.
POSTEL, J. Internet Protocol. RFC 791, 1981.
POSTEL, J. Transmission Control Protocol. RFC 793, 1981.
RITCHIE, D.; THOMPSON, K. The UNIX Time-Sharing System. CACM, 1974.
RIVEST, R.; SHAMIR, A.; ADLEMAN, L. A Method for Obtaining Digital Signatures and Public-Key Cryptosystems. CACM, 1978.
SALTZER, J.; SCHROEDER, M. The Protection of Information in Computer Systems. Proceedings of the IEEE, 1975.
UNITED STATES. Computer Fraud and Abuse Act. Public Law 99-474, 1986.
UNIVERSITY OF CALIFORNIA. 4.3BSD System Manual. Berkeley, 1986.