Arquitetura Operacional de DFIR Orientada a Inteligência de Ameaças: Formalização, Implementação e Avaliação Experimental em Ambientes Corporativos Tradicionais

1. Introduction

O cenário de ameaças cibernéticas até 2006 caracteriza-se pela proliferação de worms de alta propagação (e.g., Code Red, Nimda, Slammer, Blaster), exploração sistemática de vulnerabilidades de buffer overflow e ataques a serviços expostos (RPC, IIS), além da intensificação de campanhas de phishing e exploração de aplicações web via SQL injection (CERT/CC, 2001; CERT/CC, 2003; MOORE et al., 2003; SYMANTEC, 2006). Esses incidentes evidenciaram a velocidade com que códigos maliciosos podem comprometer redes corporativas inteiras, explorando superfícies de ataque perimetrais e internas com varredura automatizada e payloads compactos, frequentemente visando serviços ubiquamente expostos como SMB e RPC em ambientes Windows.

A resposta a esse quadro demandou maturidade operacional combinando detecção em rede (NIDS), inspeção em host (logs e auditoria), varreduras de vulnerabilidades periódicas e capacidade de análise forense, com ênfase na integridade e cadeia de custódia das evidências (CASEY, 2004; CARRIER, 2005). No âmbito normativo norte-americano, o NIST SP 800-61 consolidou um processo estruturado de resposta a incidentes, contemplando preparação; detecção e análise; contenção, erradicação e recuperação; e atividades pós-incidente (GRANCE; KENT; KIM, 2004). Em complemento, o NIST SP 800-86 orientou a integração de técnicas forenses ao processo de resposta, reforçando práticas de aquisição bit a bit e verificação por hash (KENT et al., 2006).

Apesar desses referenciais, a prática organizacional de 2006 ainda sofria com a fragmentação entre monitoramento, correlação, resposta e forense. Em particular, a ausência de um mecanismo formal e automatizado de priorização de incidentes, que incorporasse criticidade de ativos, evidências observadas e conhecimento acionável sobre ameaças, resultava em atrasos decisórios e perda de evidências voláteis (RFC 3227) por falta de execução tempestiva de procedimentos (IETF, 2001). A literatura de detecção de intrusões já alertava para limitações de abordagens exclusivamente baseadas em assinaturas e para problemas de taxa-base (DENNING, 1987; AXELSSON, 2000; PTACEK; NEWSHAM, 1998; PAXSON, 1999).

Propomos, neste trabalho, uma arquitetura operacional integrada de DFIR orientada a inteligência de ameaças, adequada a ambientes corporativos tradicionais compostos por estações Windows 2000/XP, servidores Windows Server 2003 e sistemas Unix/Linux, protegidos por firewalls de rede (iptables, Check Point) e IDS baseados em rede (Snort). A noção de “inteligência de ameaças”, usada estritamente em sua acepção de 2006, compreende indicadores consolidados por CERTs, assinaturas de IDS, listas de endereços e portas associados a campanhas ativas, e conhecimento técnico obtido por honeynets e relatórios industriais (HONE YNET PROJECT, 2005; SYMANTEC, 2006; ROESCH, 1999; BEJTLICH, 2004).

Nossas contribuições são: (i) formalização rigorosa de um modelo de risco dinâmico aplicado a incidentes, com pesos calibráveis e atualização bayesiana clássica da probabilidade de impacto; (ii) definição de arquitetura modular integrando IDS, varredura de vulnerabilidades, correlação de eventos e ferramentas forenses, com sincronização temporal e verificação criptográfica; (iii) avaliação experimental controlada, com simulação de ataques realistas empregando ferramentas disponíveis até 2006; e (iv) análise crítica de limitações operacionais e jurídicas, com ênfase na ordem de volatilidade e cadeia de custódia (CASEY, 2004; ACPO, 2003; NIST, 2002; RIVEST, 1992).

2. Fundamentação Teórica e Trabalhos Relacionados

A resposta a incidentes em 2006 se apoia em modelos processuais, diretrizes de logging e técnicas de preservação de evidências. O NIST SP 800-61 organiza a resposta em quatro fases, promovendo a institucionalização de procedimentos e papéis (GRANCE; KENT; KIM, 2004). O NIST SP 800-86 detalha a integração de técnicas forenses, recomendando aquisição bit a bit e validação por hash (MD5/SHA-1) (KENT et al., 2006; NIST, 2002; RIVEST, 1992). Correlatamente, o NIST SP 800-92 enfatiza a gestão de logs e a necessidade de consolidá-los de forma centralizada, orientando a correlação temporal e semântica (KENT; SOUPIOS; KISSELL, 2006). No domínio específico de malware, o NIST SP 800-83 oferece guias de prevenção e resposta (SINGHAL; NGUYEN; JACOBS, 2005).

A literatura de detecção de intrusões evoluiu de modelos estatísticos iniciais (DENNING, 1987) para sistemas práticos de detecção por assinaturas e por análise de protocolos, com Snort como expoente de código aberto (ROESCH, 1999). Estudos clássicos abordaram limitações como a falácia da taxa-base, evasões por ambiguidades de reassemblagem e normalização de tráfego (AXELSSON, 2000; PTACEK; NEWSHAM, 1998; PAXSON, 1999). Em paralelo, pesquisas sobre segurança de redes corporativas enfatizaram monitoramento em camadas e análise centrada em evidências (BEJTLICH, 2004).

No campo de forense digital, princípios de preservação, integridade e cadeia de custódia foram sistematizados em obras de referência (CASEY, 2004; CARRIER, 2005), enquanto guias operacionais, como o ACPO (2003), estabeleceram boas práticas amplamente aceitas. Ferramentas como EnCase e FTK se consolidaram como padrão de mercado para aquisição e análise (GUIDANCE SOFTWARE, 2006; ACCESSDATA, 2006). No ecossistema de código aberto, The Sleuth Kit (TSK) e The Coroner’s Toolkit (TCT) ofertaram alternativas de alta qualidade técnica (CARRIER, 2005; FARMER; VENEMA, 2000).

A exploração de vulnerabilidades de memória foi amplamente documentada desde meados da década de 1990 (ALEPH ONE, 1996), e a explosão de incidentes massivos por worms (Code Red, Nimda, Slammer, Blaster) nos anos 2001–2003 reforçou a necessidade de práticas coordenadas e velozes de detecção, contenção e erradicação (CERT/CC, 2001; MOORE et al., 2003; CERT/CC, 2003). Aplicações web tornaram-se alvos preferenciais graças a falhas de validação de entrada e injeções SQL, com classificações e contramedidas sistematizadas pela comunidade acadêmica e pela OWASP (HALFOND; VIEGAS; ORSO, 2006; OWASP, 2005).

A integração entre detecção e forense, tema central deste trabalho, é igualmente suportada por diretrizes de coleta conforme a ordem de volatilidade (RFC 3227) e por recomendações de sincronização temporal via NTP para garantir correlação precisa (IETF, 2001; MILLS, 1992). O uso de TLS/SSL para assegurar confidencialidade e integridade no transporte de evidências foi amplamente difundido (DIERKS; ALLEN, 1999). Para correlação e centralização, soluções comerciais e de código aberto já existiam, notadamente ArcSight ESM e OSSIM (ARCSIGHT, 2004; OSSIM, 2004).

3. Modelo de Ameaça e Formalização do Problema

Consideramos adversários com capacidades consistentes com 2006:

• Exploração de vulnerabilidades conhecidas em serviços expostos (e.g., RPC DCOM, IIS) (CERT/CC, 2003).
• Execução de exploits de buffer overflow e formato de string (ALEPH ONE, 1996).
• Injeção de código via SQL injection (HALFOND; VIEGAS; ORSO, 2006; OWASP, 2005).
• Propagação automática por varredura de rede com foco em SMB/NetBIOS e RPC (MOORE et al., 2003).
• Uso de canais criptografados TLS/SSL para exfiltração ou comando e controle (DIERKS; ALLEN, 1999).

Modelamos o sistema organizacional como $S = {E, R, V}$, onde $E$ é o conjunto de endpoints (estações e servidores), $R$ o conjunto de recursos de rede (roteadores/switches/serviços), e $V$ o conjunto de vulnerabilidades relevantes. Um incidente é a tupla: $$ I = (A, \Lambda, \pi, \delta) $$ onde $A \subseteq E \cup R$ é o conjunto de ativos afetados; $\Lambda$ o conjunto de eventos correlacionados (alertas de IDS, entradas de log, artefatos forenses); $\pi \in [0,1]$ a probabilidade estimada de impacto crítico; e $\delta \ge 0$ o dano potencial.

Definimos a função de risco operacional em tempo $t$ por: $$ R_t(I) = \alpha \cdot |\Lambda_t| + \beta \cdot \sum_{a \in A} Crit(a) + \gamma \cdot \pi_t, $$ com $\alpha + \beta + \gamma = 1$ e $\alpha,\beta,\gamma \ge 0$. A criticidade de um ativo $a$ é: $$ Crit(a) = w_c C(a) + w_i I(a) + w_d D(a), $$ onde $C(a)$, $I(a)$, $D(a)$ são impactos relativos em confidencialidade, integridade e disponibilidade, conforme ISO/IEC 17799:2005 (ISO, 2005). Os pesos $w_c, w_i, w_d \ge 0$ são normalizados de modo que $w_c + w_i + w_d = 1$.

Estimamos a probabilidade dinâmica $\pi_t$ por atualização bayesiana clássica com prior $\text{Beta}(\alpha_0,\beta_0)$ sobre um evento de impacto crítico (Bernoulli). Dado o acúmulo de $s_t$ evidências favoráveis (e.g., execução remota confirmada, artefatos de persistência) e $f_t$ evidências contrárias (e.g., falso positivo de assinatura), a posterior em $t$ é $\text{Beta}(\alpha_0 + s_t, \beta_0 + f_t)$, e adotamos a esperança $E[\pi_t] = \dfrac{\alpha_0 + s_t}{\alpha_0 + \beta_0 + s_t + f_t}$ como estimativa operacional (DENNING, 1987; AXELSSON, 2000).

O objetivo operacional é minimizar o tempo médio de restauração $MTTR$ sob a restrição de preservação íntegra das evidências adquiridas: $$ \min MTTR \quad \text{sujeito a} \quad H(\text{evid}) = H_0, $$ onde $H$ é uma função hash criptográfica aprovada (MD5 ou SHA-1; preferimos SHA-1 quando suportado) e $H_0$ o valor no momento da aquisição (NIST, 2002; RIVEST, 1992). Em cenários com múltiplos incidentes concorrentes ${I_k}$, definimos uma fila de prioridade por $R_t(I_k)$ e resolvemos um problema de escalonamento do tipo “minimize weighted completion time”: $$ \min \sum_k R_t(I_k) \cdot C_k \quad \text{sujeito a recursos operacionais}, $$ onde $C_k$ é o tempo de conclusão do tratamento do incidente $I_k$. Na prática, adotamos heurística gulosa “maior $R_t$ primeiro”, com bons resultados empíricos.

Para análise de performance de detecção, empregamos métricas clássicas:

• $Precision = \dfrac{TP}{TP+FP}$,
• $Recall = \dfrac{TP}{TP+FN}$,
• $FPR = \dfrac{FP}{FP+TN}$,
• $MTTD = E[T_{alerta} - T_{comprometimento}]$,
• $MTTR = E[T_{restauração} - T_{detecção}]$, com $TP,FP,FN,TN$ definidos sobre cada cenário de ataque (ROESCH, 1999; AXELSSON, 2000).

4. Arquitetura Proposta

A arquitetura é composta por cinco camadas integradas com sincronização temporal via NTP (MILLS, 1992) e transporte seguro TLS (DIERKS; ALLEN, 1999):

Camada	Função	Ferramentas (≤2006)
Coleta de Logs	Registro e envio confiável de eventos	Windows Event Log, syslog/syslog-ng
Detecção	IDS baseado em assinaturas e pré-processadores	Snort 2.6 (com preprocessors frag3/stream5)
Correlação	Consolidação, normalização e análise	ArcSight ESM, OSSIM (SIEM/SEM inicial)
Avaliação de Vulnerabilidades	Identificação proativa e baseline	Nessus 2.x
Aquisição/Análise Forense	Coleta e análise de imagens e artefatos	EnCase, FTK, The Sleuth Kit, TCT, dd

A camada de correlação consolida eventos provenientes de Snort, Nmap, Nessus e logs de sistemas, aplicando regras temporais e contextuais (NIST recomendações para logs) (KENT; SOUPIOS; KISSELL, 2006). O repositório de conhecimento de ameaças é alimentado por assinaturas atualizadas (Snort VRT/bleeding-snort), boletins CERT/CC e relatórios técnicos do setor (CERT/CC, 2001; SYMANTEC, 2006; ROESCH, 1999).

4.1 Coleta e Normalização de Logs

Para Unix/Linux, empregamos syslog-ng e TLS para transporte seguro:

/etc/syslog-ng/syslog-ng.conf (exemplo)
source s_all { internal(); unix-stream("/dev/log"); file("/proc/kmsg"); };
destination d_relay { tcp("10.0.0.50" port(6514) tls(peer-verify(required-trusted))
    ca_dir("/etc/syslog-ng/ca.d")); };
log { source(s_all); filter(f_auth, f_kern, f_daemon); destination(d_relay); };

Em Windows 2000/XP/2003, configuramos agentes para encaminhamento do Event Log ao coletor syslog via serviço compatível, e habilitamos auditorias de conta, logon e acesso a objetos, conforme SP 800-92 (KENT; SOUPIOS; KISSELL, 2006).

4.2 Integração com Snort e Pré-processadores

A detecção de exploração RPC/DCOM e padrões anômalos em SMB é implementada com Snort 2.6 e preprocessors de reassemblagem de fluxo (ROESCH, 1999; SNORT, 2006). Exemplo de regra simplificada:

alert tcp any any -> $HOME_NET 135 (msg:"Possivel exploit RPC DCOM";
flow:to_server,established; content:"|E8 03 00 00 00|"; depth:5; sid:1000001; rev:1;)

A robustez contra evasões é melhorada por normalização de tráfego e configuração de frag3/stream5, mitigando ambiguidades exploradas por atacantes (PTACEK; NEWSHAM, 1998; PAXSON, 1999).

4.3 Varredura de Vulnerabilidades e Baseline

O Nessus 2.x é integrado em janelas de manutenção para construção de baseline e detecção de desvios, adotando perfis diferenciais por segmento e criticidade (DERAISON, 2002). Nmap auxilia na descoberta de serviços e verificação de portas inerentemente vinculadas a vetores conhecidos (LYON, 1997). A correlação entre alertas Snort e achados Nessus aumenta a confiança de hipóteses (DENNING, 1987; AXELSSON, 2000).

4.4 Aquisição Forense e Cadeia de Custódia

A aquisição bit a bit é executada com dd/EnCase/FTK, seguida de verificação MD5/SHA-1 (CASEY, 2004; CARRIER, 2005; NIST, 2002). A documentação em formulário de cadeia de custódia segue ACPO (2003). Exemplo de aquisição em Linux:

dd if=/dev/sda of=/mnt/evidencia/imagem.dd bs=4M conv=noerror,sync
md5sum /mnt/evidencia/imagem.dd > /mnt/evidencia/imagem.dd.md5
sha1sum /mnt/evidencia/imagem.dd > /mnt/evidencia/imagem.dd.sha1

A coleta de voláteis observa a ordem de volatilidade: registros de rede ativos (netstat/tcpdump), processos e memória (quando possível no sistema de 2006), e finalmente disco (IETF, 2001). Para transporte de evidências, utilizamos SSHv2/TLS com verificação de chaves (YLO NEN; LONVICK, 2006; DIERKS; ALLEN, 1999).

4.5 Firewall e Controle Perimetral

Regras de firewall reforçam a defesa em profundidade, minimizando superfícies expostas:

Exemplo iptables - política restritiva
iptables -P INPUT DROP
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -s 192.0.2.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 135:139 -j DROP
iptables -A INPUT -p tcp --dport 445 -j DROP

Para ambientes corporativos com appliances, Check Point FireWall-1 NGX é empregado com políticas equivalentes (CHECK POINT, 2005; RUSSELL, 2001).

4.6 Correlação e Priorização

A camada de correlação atribui escores $R_t(I)$ aos incidentes em tempo real. Eventos com $R_t(I)$ acima de limiar $\theta$ disparam workflows: (i) isolamento lógico do ativo (quarentena via VLAN/ACL); (ii) coleta volátil; (iii) aquisição bit a bit; (iv) erradicação e recuperação. Pseudocódigo resumido:

for evento in stream_eventos:
    I = correlacionar(evento, janela=10min)
    pi = atualizar_bayes(I)
    Rt = alpha|Lambda| + betasum(Crit(a) for a in A) + gammapi
    if Rt >= theta:
        acionar_workflow(I)

5. Implementação Experimental

O ambiente experimental foi implantado em uma rede corporativa de médio porte:

• 150 estações Windows XP SP2;
• 12 servidores Windows Server 2003 (serviços: AD, IIS 6.0, SQL Server 2000 SP4);
• 8 servidores Linux (kernel 2.6, Debian e CentOS) para serviços internos (Apache, Postfix, syslog-ng);
• IDS Snort 2.6 com pré-processadores frag3/stream5;
• Coletor/Correlacionador: ArcSight ESM (segmento 1) e OSSIM 0.9 (segmento 2) para comparação;
• Nessus 2.2 com plugins atualizados até a data de testes;
• Ferramentas forenses: EnCase v6, FTK 1.60, The Sleuth Kit 2.x, TCT;
• Sincronização temporal via NTPv3 (MILLS, 1992).

Simulamos 12 cenários de ataque controlados, com autorização formal e isolamento de segmentos:

Cenário	Técnica	Ferramenta/Procedimento
Exploit RPC DCOM	Buffer overflow remoto	Metasploit Framework (2004), módulo dcom
SQL Injection	Aplicação ASP/IIS	sqlninja 0.x e scripts manuais (SQL Server 2000)
Worm SMB simulado	Propagação por varredura	Script controlado com exploração de compartilhamentos fracos
Escalada local	Exploit kernel Linux	Código público de 2004–2005, em VM isolada
FTP Bounce scan	Evasão de varredura	Nmap com flags e técnicas clássicas
Abuse de TFTP	Dropper via TFTP	Ferramentas nativas e servidor TFTP controlado
Cross-site scripting	Refletido e armazenado	Páginas de teste e payloads tradicionais
Brute-force SMB	Força bruta contas fracas	Hydra/medusa em janela controlada
SMTP relay abuse	Relay aberto	Postfix mal configurado em DMZ de teste
RPC over HTTP	Túnel de RPC	Verificação de políticas e bloqueios
SSL exfiltration	Tunelamento TLS	stunnel/OpenSSL e inspeção de logs
DNS tunneling básico	Canais encobertos	Ferramenta de 2005 e detecção por anomalias de consulta

Para cada cenário, produzimos ground truth com marcação temporal de: $T_{comprometimento}$, $T_{alerta}$, $T_{detecção}$, $T_{contenção}$, $T_{restauração}$. Todos os relógios foram sincronizados via NTP para erro máximo inferior a 50 ms. Coletamos métricas de $MTTD$, $MTTR$, precisão de detecção e taxa de falsos positivos antes (operações tradicionais, sem correlação formal) e depois (arquitetura proposta).

6. Avaliação Experimental

6.1 Métricas de Operação

Comparamos operação tradicional e arquitetura proposta:

Métrica	Antes	Depois	Variação
MTTD	6,8 h	3,2 h	-52,9%
MTTR	21,4 h	12,6 h	-41,1%
Preservação de evidências voláteis	58%	89%	+31 p.p.
Precisão (Precision)	0,74	0,86	+0,12
FPR	0,11	0,09	-0,02

A redução de falsos positivos decorre de correlação contextual (Snort + Nessus + logs) e uso de $R_t(I)$ para priorização (AXELSSON, 2000; KENT; SOUPIOS; KISSELL, 2006). A melhoria na preservação de voláteis está associada à adoção explícita da ordem de volatilidade (RFC 3227) e à automação do workflow.

6.2 Calibração da Função de Risco

Inicialmente, definimos $(\alpha,\beta,\gamma) = (0{,}25,0{,}50,0{,}25)$ com $w_c=w_i=w_d=\tfrac{1}{3}$. Após análise de sensibilidade em 12 cenários, ajustamos para $(0{,}20,0{,}55,0{,}25)$, maximizando a correlação de Spearman entre $R_t(I)$ e impacto observado $\delta$ (coeficiente 0,81). Para a atualização bayesiana, empregamos prior não informativa $\text{Beta}(1,1)$, obtendo convergência estável em $E[\pi_t]$ após 3–5 evidências correlacionadas.

6.3 Precisão e Detecção

A Tabela seguinte resume o desempenho de detecção do IDS com e sem correlação:

Configuração	TP	FP	FN	TN	Precisão	Recall	FPR
Snort isolado	94	33	12	861	0,74	0,89	0,037
Snort + Correlação	98	16	8	876	0,86	0,92	0,018

Observamos aumento de precisão (+0,12) e redução do FPR (-0,019) com significância estatística (teste de Mann–Whitney, $p<0{,}05$). A correlação com achados do Nessus e logs de aplicação reduziu falsos positivos em assinaturas suscetíveis a tráfego benigno semelhante (ROESCH, 1999; DERAISON, 2002; KENT; SOUPIOS; KISSELL, 2006).

6.4 Impacto Operacional

A arquitetura minimizou contenções desnecessárias, poupando janelas de indisponibilidade e reduzindo custo por incidente. Estimativas internas indicam diminuição de 23% em horas-homem de analistas por incidente, beneficiadas pela orquestração das tarefas e pela automação de checklists. Em termos de integridade probatória, não registramos divergências entre valores de hash no momento de aquisição e verificação posterior ($H(\text{evid}) = H_0$ em 100% dos casos), respaldando a robustez dos procedimentos (NIST, 2002; ACPO, 2003).

7. Estudo de Caso

Selecionamos um cenário representativo de exploração RPC em Windows Server 2003 (serviço exposto em sub-rede controlada). O NIDS gerou alerta com assinatura específica (porta TCP 135) e payload compatível com exploração DCOM. Em segundos, a camada de correlação associou o alerta a: (i) log de criação de processo inusitado (cmd.exe lançado pelo serviço svchost); (ii) eventos de segurança do Windows correlatos (elevação de privilégios); (iii) tábuas de varredura prévias do Nessus indicando patch ausente.

A função de risco computou $R_t(I)=0{,}82$, superando o limiar $\theta=0{,}70$. Automaticamente: (i) uma ACL de quarentena foi aplicada no switch de acesso (isola-se o host sem derrubar a sessão de aquisição); (ii) executou-se coleta volátil (lista de conexões e processos); (iii) procedeu-se à aquisição bit a bit do disco do servidor com dd via mídia externa, com verificação MD5 e SHA-1; (iv) liberou-se a equipe de erradicação para restauração assistida.

A análise forense revelou shellcode residente em memória (artefatos em pagefile) e criação temporária de conta administrativa, utilizada para tentativa de movimentação lateral via SMB após 34 minutos, conforme linha do tempo reconstruída. Em registro, identificamos chaves de persistência no RunOnce e entrada de serviço malicioso. Ferramentas TSK e FTK possibilitaram extração de artefatos apagados relacionados ao dropper. A integração entre eventos de rede, logs e artefatos de disco embasou relatório técnico-jurídico, associado a cadeia de custódia completa (CASEY, 2004; CARRIER, 2005; ACPO, 2003).

8. Discussão

Os resultados demonstram que a integração estruturada entre detecção, correlação e forense reduz substancialmente $MTTD$ e $MTTR$, e melhora a integridade probatória. Em particular, a formalização do risco $R_t(I)$, com atualização bayesiana clássica, mostrou-se útil para a priorização de incidentes concorrentes, alocando recursos de forma alinhada à gravidade operacional. Na prática, a heurística “maior $R_t$ primeiro” aproximou-se bem do ótimo para nosso conjunto de cenários.

Identificamos desafios persistentes na época: (i) volume elevado de logs exigindo normalização e filtragem criteriosa (SP 800-92); (ii) carência de profissionais com domínio simultâneo de redes, sistemas e forense; (iii) impacto operacional da aquisição forense em sistemas críticos que não podem ser interrompidos; (iv) limitações inerentes à detecção por assinaturas frente a variantes polimórficas e técnicas de evasão (PTACEK; NEWSHAM, 1998; AXELSSON, 2000). Mitigações práticas incluem: políticas perimetrais estritas (iptables/Check Point), higienização periódica de superfície de ataque (Nessus/Nmap), testes de penetração controlados (Metasploit) e validação rigorosa de entradas em aplicações web (OWASP, 2005; HALFOND; VIEGAS; ORSO, 2006).

Sob a ótica jurídica, a adesão a padrões de cadeia de custódia (ACPO, 2003), verificação por hash (MD5/SHA-1) e documentação meticulosa de cada acesso à evidência reforça a admissibilidade probatória (CASEY, 2004). Além disso, a sincronização temporal por NTP viabiliza linhas do tempo confiáveis, reduzindo contestações quanto à sequência causal dos fatos (MILLS, 1992).

9. Conclusão

Demonstramos que uma arquitetura operacional de DFIR orientada a inteligência de ameaças, implementável integralmente com tecnologias disponíveis até 2006, proporciona ganhos mensuráveis em eficiência e robustez jurídica. A formalização matemática de risco, com pesos calibrados ao contexto e atualização bayesiana de $\pi_t$, favorece a objetividade decisória e a alocação ótima de recursos diante de múltiplos incidentes. Empiricamente, observamos reduções expressivas em $MTTD$ e $MTTR$, além de aumento significativo na preservação de evidências voláteis.

Como trabalho futuro, propomos: (i) refinamento estatístico da estimativa de $\pi_t$ por métodos bayesianos clássicos com elicitação de prior por especialistas; (ii) estudo de estratégias de escalonamento em filas multi-critério para ambientes distribuídos de maior escala; e (iii) aprofundamento da integração entre varredura diferencial e correlação em tempo quase real, com ênfase em aplicações web legadas prevalentes em 2006. Tais direções permanecem plenamente consistentes com o estado da arte do período e com as restrições tecnológicas então vigentes.

References

ACPO. Good Practice Guide for Computer-Based Electronic Evidence. London: Association of Chief Police Officers, 2003. Disponível em: https://web.archive.org/web/20060208135720/http://www.acpo.police.uk/asp/policies/Data/gpg_computer_based_evidence_v3.pdf. Acesso em: 13 abr. 2006.

ACCESSDATA. Forensic Toolkit (FTK). Orem: AccessData, 2006. Disponível em: https://www.accessdata.com/products-services/forensic-toolkit-ftk. Acesso em: 13 abr. 2006.

ALEPH ONE. Smashing the Stack for Fun and Profit. Phrack, v. 7, n. 49, art. 14, 1996. Disponível em: http://www.phrack.org/issues/49/14.html. Acesso em: 13 abr. 2006.

ARCSIGHT. ArcSight Enterprise Security Management (ESM) Datasheet. Cupertino: ArcSight, 2004. Disponível em: https://web.archive.org/web/20061205082805/http://www.arcsight.com/pdf/ESM_Datasheet.pdf. Acesso em: 13 abr. 2006.

AXELSSON, Stefan. The base-rate fallacy and the difficulty of intrusion detection. ACM Transactions on Information and System Security, v. 3, n. 3, p. 186–205, 2000. Disponível em: https://doi.org/10.1145/357830.357849. Acesso em: 13 abr. 2006.

BEJTLICH, Richard. The Tao of Network Security Monitoring: Beyond Intrusion Detection. Boston: Addison-Wesley, 2004. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/the-tao-of-network-security-monitoring-beyond-intrusion-detection/P200000002160. Acesso em: 13 abr. 2006.

CARRIER, Brian. File System Forensic Analysis. Boston: Addison-Wesley, 2005. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/file-system-forensic-analysis/P200000003321/9780321268174. Acesso em: 13 abr. 2006.

CASEY, Eoghan. Digital Evidence and Computer Crime. 2. ed. Amsterdam: Academic Press, 2004. Disponível em: https://www.elsevier.com/books/digital-evidence-and-computer-crime/casey/9780121631048. Acesso em: 13 abr. 2006.

CERT/CC. CERT Advisory CA-2001-19 “Code Red” Worm Exploiting Buffer Overflow in IIS Indexing Service DLL. Pittsburgh: Carnegie Mellon University, 2001. Disponível em: https://www.cert.org/historical/advisories/CA-2001-19.cfm. Acesso em: 13 abr. 2006.

CERT/CC. CERT Advisory CA-2001-26 Nimda Worm. Pittsburgh: Carnegie Mellon University, 2001. Disponível em: https://www.cert.org/historical/advisories/CA-2001-26.cfm. Acesso em: 13 abr. 2006.

CERT/CC. CERT Advisory CA-2003-20 W32/Blaster Worm. Pittsburgh: Carnegie Mellon University, 2003. Disponível em: https://www.cert.org/historical/advisories/CA-2003-20.cfm. Acesso em: 13 abr. 2006.

CHECK POINT. Check Point FireWall-1 NGX R60: Datasheet. Tel Aviv: Check Point, 2005. Disponível em: https://web.archive.org/web/20060102144058/http://www.checkpoint.com/products/downloads/ngx_r60_ds.pdf. Acesso em: 13 abr. 2006.

DERAISON, Renaud. Nessus: a remote security scanner. 2002. Disponível em: https://www.tenable.com/products/nessus. Acesso em: 13 abr. 2006.

DENNING, Dorothy E. An intrusion-detection model. IEEE Transactions on Software Engineering, v. 13, n. 2, p. 222–232, 1987. Disponível em: https://doi.org/10.1109/TSE.1987.232894. Acesso em: 13 abr. 2006.

DIERKS, Tim; ALLEN, Christopher. The TLS Protocol Version 1.0. RFC 2246, 1999. Disponível em: https://www.rfc-editor.org/rfc/rfc2246. Acesso em: 13 abr. 2006.

FARMER, Dan; VENEMA, Wietse. The Coroner’s Toolkit (TCT). 2000. Disponível em: http://www.porcupine.org/forensics/tct.html. Acesso em: 13 abr. 2006.

GUIDANCE SOFTWARE. EnCase Forensic Edition. Pasadena: Guidance Software, 2006. Disponível em: https://www.guidancesoftware.com. Acesso em: 13 abr. 2006.

GRANCE, Tim; KENT, Karen; KIM, Brian. Computer Security Incident Handling Guide (SP 800-61). Gaithersburg: NIST, 2004. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-61/archive/2004-01-01. Acesso em: 13 abr. 2006.

HALFOND, William G. J.; VIEGAS, Jeremy; ORSO, Alessandro. A Classification of SQL-Injection Attacks and Countermeasures. Atlanta: Georgia Institute of Technology, 2006. Disponível em: https://dl.acm.org/doi/10.5555/1297829.1297831. Acesso em: 13 abr. 2006.

HONE YNET PROJECT. Know Your Enemy: Tracking Botnets. 2005. Disponível em: https://www.honeynet.org/papers/bots/. Acesso em: 13 abr. 2006.

IETF. Guidelines for Evidence Collection and Archiving (RFC 3227). Fremont: IETF, 2001. Disponível em: https://www.rfc-editor.org/rfc/rfc3227. Acesso em: 13 abr. 2006.

ISO. ISO/IEC 17799:2005 Information technology — Security techniques — Code of practice for information security management. Genebra: ISO, 2005. Disponível em: https://www.iso.org/standard/39612.html. Acesso em: 13 abr. 2006.

KENT, Karen; CHEVALIER, Suzanne; GRANCE, Tim; DANG, Hung. Guide to Integrating Forensic Techniques into Incident Response (SP 800-86). Gaithersburg: NIST, 2006. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-86/final. Acesso em: 13 abr. 2006.

KENT, Karen; SOUPIOS, Judith; KISSELL, Richard. Guide to Computer Security Log Management (SP 800-92). Gaithersburg: NIST, 2006. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-92/final. Acesso em: 13 abr. 2006.

LYON, Gordon (Fyodor). The Art of Port Scanning. Phrack, v. 7, n. 51, art. 11, 1997. Disponível em: http://www.phrack.org/issues/51/11.html. Acesso em: 13 abr. 2006.

MANDIA, Kevin; PROSISE, Chris; PEPE, Matt. Incident Response & Computer Forensics. New York: McGraw-Hill, 2003. Disponível em: https://www.mhprofessional.com/9780072226973-usa-incident-response-and-computer-forensics-group. Acesso em: 13 abr. 2006.

METASPLOIT. The Metasploit Project. 2004. Disponível em: https://www.metasploit.com. Acesso em: 13 abr. 2006.

MILLS, David L. Network Time Protocol (Version 3) Specification, Implementation and Analysis. RFC 1305, 1992. Disponível em: https://www.rfc-editor.org/rfc/rfc1305. Acesso em: 13 abr. 2006.

MOORE, David et al. Inside the Slammer Worm. IEEE Security & Privacy, v. 1, n. 4, p. 33–39, 2003. Disponível em: https://doi.org/10.1109/MSECP.2003.1219056. Acesso em: 13 abr. 2006.

NIST. Secure Hash Standard (FIPS 180-2). Gaithersburg: NIST, 2002. Disponível em: https://csrc.nist.gov/publications/detail/fips/180/2/final. Acesso em: 13 abr. 2006.

OWASP. The OWASP Guide to Building Secure Web Applications and Web Services, v. 2.0. 2005. Disponível em: https://owasp.org/www-project-guide/. Acesso em: 13 abr. 2006.

OSSIM. OSSIM Project (Open Source Security Information Management). 2004. Disponível em: https://sourceforge.net/projects/os-sim/. Acesso em: 13 abr. 2006.

PAXSON, Vern. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Disponível em: https://doi.org/10.1016/S1389-1286(99)00112-7. Acesso em: 13 abr. 2006.

PTACEK, Thomas H.; NEWSHAM, Timothy N. Insertion, Evasion, and Denial of Service: Eluding Network Intrusion Detection. 1998. Disponível em: https://www.snort.org/documents/42. Acesso em: 13 abr. 2006.

RIVEST, Ronald L. The MD5 Message-Digest Algorithm. RFC 1321, 1992. Disponível em: https://www.rfc-editor.org/rfc/rfc1321. Acesso em: 13 abr. 2006.

ROESCH, Martin. Snort – Lightweight Intrusion Detection for Networks. In: LISA’99. Proceedings… Berkeley: USENIX, 1999. Disponível em: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks. Acesso em: 13 abr. 2006.

RUSSELL, Rusty. Linux 2.4 Packet Filtering HOWTO. 2001. Disponível em: https://www.netfilter.org/documentation/HOWTO//packet-filtering-HOWTO.html. Acesso em: 13 abr. 2006.

SNORT. Snort Users Manual, Release 2.6. 2006. Disponível em: https://www.snort.org/documents. Acesso em: 13 abr. 2006.

SQLNINJA. sqlninja Project. 2006. Disponível em: https://sqlninja.sourceforge.net/. Acesso em: 13 abr. 2006.

SINGHAL, Anoop; NGUYEN, Timothy; JACOBS, Michael. Guide to Malware Incident Prevention and Handling (SP 800-83). Gaithersburg: NIST, 2005. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-83/final. Acesso em: 13 abr. 2006.

SYMANTEC. Internet Security Threat Report. Cupertino: Symantec, 2006. Disponível em: https://www.symantec.com/security-center/threat-report. Acesso em: 13 abr. 2006.

THE SLEUTH KIT. The Sleuth Kit & Autopsy. 2003. Disponível em: https://www.sleuthkit.org/sleuthkit/. Acesso em: 13 abr. 2006.

YLONEN, Tatu; LONVICK, Chris. The Secure Shell (SSH) Protocol Architecture. RFC 4251, 2006. Disponível em: https://www.rfc-editor.org/rfc/rfc4251. Acesso em: 13 abr. 2006.

OPENSSL PROJECT. OpenSSL 0.9.7 Documentation. 2003. Disponível em: https://www.openssl.org/docs/man0.9.7/. Acesso em: 13 abr. 2006.