Arquitetura Operacional de Resposta a Incidentes e Computação Forense Orientada a Inteligência: Modelagem Formal, Automação e Avaliação Experimental em Ambientes Corporativos (1986)

1. Introduction

A interconexão de sistemas computacionais, em especial via ARPANET e redes locais Ethernet, consolidou, entre 1979 e 1986, um cenário operacional no qual serviços de rede padronizados por TCP/IP tornaram-se onipresentes em universidades, laboratórios e corporações (CERF; KAHN, 1974; METCALFE; BOGGS, 1976; POSTEL, 1981a; POSTEL, 1981b). Nesse contexto, sistemas UNIX multiusuário em arquiteturas VAX e Sun-3, bem como mainframes e microcomputadores conectados a gateways, passaram a compartilhar recursos e serviços, ampliando a superfície de ataque e elevando a complexidade da administração segura (RITCHIE; THOMPSON, 1974; 4.3BSD, 1986).

Eventos documentados — como a exploração de senhas fracas (MORRIS; THOMPSON, 1979), o abuso de relações de confiança em rlogin/rsh e falhas de configuração em serviços de rede (GRAMPP; MORRIS, 1984), além de experiências com programas autorreplicantes em ambientes de pesquisa (SHOCH; HUPP, 1982) e a primeira formulação teórica sistemática sobre vírus (COHEN, 1984) — evidenciam que vulnerabilidades lógicas e administrativas podem ser exploradas de forma recorrente e com impacto significativo. Se, por um lado, princípios de projeto seguro e modelos formais de confidencialidade e integridade já estavam estabelecidos (BELL; LAPADULA, 1973; LAMPSON, 1973; DENNING, 1976; BIBA, 1977; SALTZER; SCHROEDER, 1975), por outro, observava-se lacuna na integração operacional entre auditoria contínua, detecção objetiva de sinais anômalos e procedimentos forenses reprodutíveis e juridicamente defensáveis no âmbito corporativo (ANDERSON, 1980; PARKER, 1976; FEDERAL RULES OF EVIDENCE, 1975).

Neste trabalho, propomos uma arquitetura operacional de resposta a incidentes e computação forense orientada a inteligência. Nossas contribuições são: (i) formalização matemática para priorização de incidentes sob restrição orçamentária, explicitando sua estrutura combinatória e propondo algoritmos eficientes na prática; (ii) integração entre auditoria, detecção baseada em estatística clássica e investigação pós-incidente ancorada em cadeia de custódia; (iii) avaliação experimental em laboratório com infraestrutura e ferramentas condizentes com 1986 (4.3BSD, syslog, contabilidade de processos, cópia bit a bit com dd, somas de verificação sum); e (iv) estabelecimento de métricas e procedimentos de documentação cronológica. Demonstramos que a aplicação disciplinada desses componentes reduz tempos de detecção e resposta e reforça a integridade probatória, atendendo simultaneamente a exigências técnicas e legais.

2. Fundamentação Teórica e Trabalhos Relacionados

A segurança de sistemas até 1986 conta com corpo teórico consolidado. O modelo de Anderson (1980) organiza prevenção, detecção e resposta a partir de auditoria e correlação de eventos, propondo vigilância sistemática sobre trilhas de auditoria. Os princípios de Saltzer e Schroeder (1975) — privilégio mínimo, economia de mecanismo, separação de privilégios e falha segura — orientam o projeto de mecanismos eficazes. No plano formal, a confidencialidade é descrita por Bell-LaPadula (BELL; LAPADULA, 1973) e pela teoria de fluxos de informação em reticulados (DENNING, 1976; LAMPSON, 1973), enquanto a integridade é tratada pelo modelo de Biba (BIBA, 1977). A formulação de políticas e modelos de segurança em molduras matemáticas foi expandida por Goguen e Meseguer (GOGUEN; MESEGUER, 1982). Em ambientes UNIX, Grampp e Morris (1984) documentam fragilidades comuns e medidas de reforço.

Em criptografia e autenticação, os fundamentos que permitem mecanismos de assinatura, troca de chaves e autenticação mútua foram estabelecidos por Diffie e Hellman (1976), Rivest, Shamir e Adleman (1978) e Needham e Schroeder (1978), com avanços em segurança semântica (GOLDWASSER; MICALI, 1984) e pseudorrandomicidade (BLUM; MICALI, 1984). No plano normativo e de avaliação, o DoD 5200.28-STD (ORANGE BOOK) estabelece critérios e classes de avaliação para sistemas confiáveis (DOD, 1985), e a normatização federal para criptografia define o DES e seus modos de operação, além de autenticação de dados (NBS, 1977; NBS, 1980; NBS, 1985). Na camada de rede, os padrões de IP e TCP (POSTEL, 1981a; POSTEL, 1981b), ICMP (POSTEL, 1981c), ARP (PLUMMER, 1982) e a infraestrutura de sincronização temporal (MILLS, 1985) fornecem a base operacional para auditorias consistentes em redes distribuídas.

Identificamos como lacuna, até 1986, uma integração metodologicamente rigorosa entre: (i) modelagem quantitativa para priorização de resposta; (ii) detecção operacional via estatística clássica aplicada a trilhas de auditoria; e (iii) procedimentos forenses reprodutíveis compatíveis com as regras de evidência. A arquitetura aqui proposta pretende preencher essa lacuna.

Tabela 1 — Contribuições fundamentais e relevância.

Autor(es)	Ano	Contribuição Principal	Relevância
Anderson	1980	Monitoramento e vigilância de ameaças	Base para auditoria e correlação
Saltzer; Schroeder	1975	Princípios de projeto seguro	Orientam mecanismos operacionais
Bell; LaPadula	1973	Confidencialidade formal (MLS)	Base de controle de acesso
Denning	1976	Fluxo de informação em reticulados	Política e verificação de fluxos
Biba	1977	Integridade de informação	Restrições de escrita/leitura
Grampp; Morris	1984	Segurança do UNIX	Diretrizes operacionais
DoD 5200.28-STD	1985	Critérios de avaliação (TCSEC)	Conformidade e avaliação

3. Modelo de Ameaças e Formalização do Problema

Consideramos um domínio corporativo com $N$ ativos computacionais interconectados (estações UNIX, servidores de arquivos, gateways e terminais). O adversário dispõe de capacidades de:

• Tentativa sistemática de senhas por dicionário/força bruta explorando políticas fracas (MORRIS; THOMPSON, 1979).
• Abuso de relações de confiança e serviços remotos (rlogin, rsh) mediante manipulação de arquivos de confiança e nomes de host (GRAMPP; MORRIS, 1984).
• Inserção de código autorreplicante e programas de varredura em partições compartilhadas ou via serviços de cópia remota (SHOCH; HUPP, 1982; COHEN, 1984).

Definimos o risco do ativo $i$ como: $$ R_i = P(A_i), I_i, E_i, $$ onde $P(A_i)$ é a probabilidade estimada de ocorrência de ataque relevante ao ativo $i$ em um horizonte $T$, $I_i$ é o impacto (financeiro/operacional ponderado) e $E_i$ o grau de exposição (um escalar normalizado que capta conectividade externa, criticidade do serviço e atratividade do alvo).

Sob orçamento $B$ e custos $C_i$ para investigação/mitigação, a priorização de resposta consiste em: $$ \max_{S \subseteq {1,\dots,N}} \sum_{i \in S} R_i \quad \text{sujeito a} \quad \sum_{i \in S} C_i \le B, $$ estrutura isomorfa à mochila 0-1, problema NP-completo por redução clássica (KARP, 1972). Adotamos três métodos práticos:

• Heurística gulosa por razão $R_i/C_i$ (eficiente e com bom desempenho médio).
• Programação dinâmica pseudo-polinomial quando $B$ é moderado.
• Relaxação Lagrangiana com ajuste iterativo do multiplicador $\lambda$ para aproximar a solução ótima.

Estimamos $P(A_i)$ por dois caminhos complementares:

• Frequência histórica de eventos por ativo, modelando chegadas como processo de Poisson com taxa $\lambda_i$, de modo que $P(A_i) = 1 - e^{-\lambda_i T}$ (COOPER, 1981).
• Detecção de desvios via estatística clássica: um contador $X_t$ (p.ex., tentativas de login mal sucedidas por hora) é sinalizado como anômalo se $|X_t - \mu_i| > \theta \sigma_i$, com $\mu_i$ e $\sigma_i$ estimados de janelas históricas (SHEWHART, 1931; BARNETT; LEWIS, 1978). Tipicamente, usamos $\theta \in [2,3]$ conforme a tolerância a falsos positivos.

Para fluxo de análise, modelamos a fila de processamento de alertas por uma aproximação $M/M/1$ com taxa de chegada $\lambda$ e de serviço $\mu$, de modo que o tempo médio de espera é $W_q = \frac{\lambda}{\mu(\mu - \lambda)}$ e o tempo total $W = \frac{1}{\mu - \lambda}$ sempre que $\rho = \lambda/\mu < 1$ (COOPER, 1981). Essa aproximação informa o dimensionamento de equipe.

4. Metodologia Proposta

Nossa metodologia compreende cinco fases integradas: preparação, detecção, contenção, erradicação/análise forense e lições aprendidas. Cada fase utiliza somente mecanismos disponíveis até 1986.

4.1 Preparação

• Políticas e trilhas de auditoria: Ativamos o syslog e definimos arquivos de log específicos para autenticação e serviços. Em 4.3BSD, ajustamos:

echo "auth.           /var/log/authlog" >> /etc/syslog.conf
echo "daemon.         /var/log/daemonlog" >> /etc/syslog.conf
kill -HUP `cat /etc/syslog.pid`

• Contabilidade de processos: Habilitamos accounting para rastrear comandos executados:

accton /usr/adm/pacct

• Sincronização temporal: Utilizamos o serviço timed do 4.3BSD, ajustado por fonte de tempo de referência; quando disponível, seguimos a recomendação do Network Time Protocol (RFC 958) para consistência temporal entre hosts (MILLS, 1985).
• Backups e preservação: Estabelecemos rotina de backups integrais incrementais em mídia magnética (fitas), com registro imutável por impressão de sumários diários em impressora de linha dedicada, a fim de criar rastro físico complementar à trilha eletrônica (FEDERAL RULES OF EVIDENCE, 1975).
• Princípios de projeto e endurecimento: Aplicamos privilégio mínimo, senhas fortes e segmentação administrativa (SALTZER; SCHROEDER, 1975), além de revisão de permissões, remoção de serviços desnecessários e verificação das relações de confiança em rlogin/rsh (GRAMPP; MORRIS, 1984).

4.2 Detecção

• Monitoração estatística: Mantemos perfis por host/usuário de tentativas de login mal sucedidas, uso de su e acessos remotos. Um exemplo mínimo de apuração:

grep -i "LOGIN FAILURE" /var/log/authlog | awk '{print $1,$2,$3,$(NF)}' | sort | uniq -c

• Gráficos de controle: Construímos, por janela $W$, médias $\mu$ e desvios $\sigma$ para contadores relevantes. Sinalizamos anomalias com $|X_t-\mu|>\theta\sigma$ e com limites de Shewhart para séries estacionárias (SHEWHART, 1931).
• Correlação manual e semiautomática: Eventos com anomalia são cruzados com contabilidade de processos:

lastcomm | egrep -i "su|rsh|rlogin"

• Integração de fontes: Cruzamos logs de daemon e de kernel para identificar mensagens ICMP incomuns (POSTEL, 1981c), p.ex. excesso de port unreachable remetido a um mesmo origem, indicativo de sondagem rudimentar.

4.3 Contenção

• Isolamento de rede: Removemos temporariamente a conectividade do host suspeito, fisicamente (desconexão do cabo) ou logicamente:

ifconfig le0 down

• Revogação de credenciais e relações de confiança: Remoção de entradas suspeitas em /etc/hosts.equiv e ~/.rhosts e redefinição de senhas de contas expostas (MORRIS; THOMPSON, 1979; GRAMPP; MORRIS, 1984).
• Preservação imediata: Congelamento de logs e criação de cópias de segurança de diretórios críticos antes de qualquer modificação corretiva.

4.4 Erradicação e Análise Forense

• Imagem bit a bit: Realizamos cópia de discos e partições em modo bruto:

dd if=/dev/rsd0 of=/evidence/disk_image.img bs=1024

• Verificação de integridade: Calculamos soma de verificação para a imagem e tabelamos os valores:

sum /evidence/disk_image.img > /evidence/disk_image.img.sum

• Ambiente de análise: Montamos a imagem somente para leitura em host isolado, inspecionando i-nodes, timestamps e binários candidatos a modificação indevida. Correlacionamos com accounting (pacct) para reconstruir linha do tempo.
• Cadeia de custódia: Preenchemos formulários de coleta, transferência e armazenamento, com assinaturas e carimbos de data/hora, seguindo boas práticas aceitas (FEDERAL RULES OF EVIDENCE, 1975; PARKER, 1976).
• Confirmação e erradicação: Após análise, removemos artefatos maliciosos, restauramos binários de backups confiáveis, reforçamos permissões e verificamos integridade por amostragem adicional.

4.5 Lições Aprendidas

• Cronologia dos eventos, vulnerabilidades exploradas e decisões tomadas, com referências cruzadas a entradas de log e somas de verificação.
• Recomendações de mitigação: ajustes em políticas, mudanças em serviços habilitados, e criação de filtros no gateway quando aplicável (p.ex., restrições de roteamento e de serviços não utilizados).
• Treinamento: Divulgação interna de indicadores de comprometimento e de procedimentos de notificação.

5. Implementação Experimental

Implementamos a arquitetura em um laboratório composto por:

Componente	Quantidade	Observações
VAX-11/780 c/ 4.3BSD	4	Servidores principais e de arquivos
Estações Sun-3 (SunOS 3.x)	12	Desenvolvimento e serviços de usuário
Microcomputadores PC/AT	20	Conectados via terminais seriais e gateways
Gateways TCP/IP	3	Roteamento entre sub-redes Ethernet e linhas seriais
Impressora de linha	1	Registro físico de ocorrências críticas
Fitas de backup (9-track)	30	Rotação semanal e mensal

Topologia: duas sub-redes Ethernet 10 Mb/s interligadas por gateway e um segmento de terminais seriais multiportas. A Tabela abaixo resume serviços monitorados.

Serviço	Porta/Protocolo	Artefatos de Log	Risco Primário
login/rlogin	TCP 513	authlog, wtmp, pacct	Adivinhação de senha e abuso de confiança
rsh/rexec	TCP 514/512	daemonlog, pacct	Execução remota indevida
smtp (mailer)	TCP 25	daemonlog	Abusos de encaminhamento
ftp	TCP 21	daemonlog, pacct	Transferência de binários maliciosos

Geramos 50 exercícios controlados ao longo de 8 semanas: 20 de tentativas de senha, 20 de abuso de confiança em rlogin/rsh, 10 de inserção de programa autorreplicante experimental em diretórios compartilhados (SHOCH; HUPP, 1982; COHEN, 1984).

6. Avaliação Experimental

6.1 Métricas e Métodos

Métricas:

• Tempo médio de detecção (TMD): da ocorrência do evento inicial à sinalização.
• Tempo médio de resposta (TMR): da sinalização ao isolamento.
• Taxa de falsos positivos (FP): proporção de alertas não confirmados.
• Custo médio por incidente: horas técnicas e indisponibilidade ponderadas.

Aplicamos teste t bilateral para médias com $\alpha=0{,}05$, após verificação de normalidade aproximada por inspeção gráfica. Modelamos o fluxo de alertas como $M/M/1$ para dimensionar equipe, medindo $\lambda$ e $\mu$ empiricamente (COOPER, 1981).

6.2 Resultados

Métrica	Antes	Depois	Variação
Tempo Médio de Detecção	72 h	46 h	−36%
Tempo Médio de Resposta	120 h	70 h	−41%
Falsos Positivos	17%	9%	−47%
Custo Médio por Incidente	1,00 (base)	0,66	−34%

Diferenças em TMD e TMR foram estatisticamente significativas ($p < 0{,}05$). Observamos, adicionalmente, que a utilização do esquema de priorização sob orçamento $B$ aumentou a fração de risco mitigado por unidade de custo em 29% na média, quando comparada à priorização ad hoc (gulosa por impacto isolado). A Tabela a seguir compara estratégias.

Estratégia	Regra	Risco Mitigado por Unidade de Custo
Ad hoc	Impacto $I_i$ isolado	1,00 (base)
Gulosa	Razão $R_i/C_i$	1,22
Dinâmica	DP pseudo-polinomial	1,29

6.3 Análise

A redução de FP decorreu de dois fatores: (i) estabilização de perfis por host/usuário com janelas móveis e limites $\theta=3$, conforme gráficos de controle (SHEWHART, 1931); (ii) correlação com pacct e restrição de investigações a eventos com $R_i/C_i$ acima de quantil $q=0{,}75$. O dimensionamento por $M/M/1$ sugeriu $\mu \approx 0{,}12$ incidentes/hora por analista; com $\lambda \approx 0{,}2$ incidentes/hora em picos, ajustamos a escala de plantão para manter $\rho<0{,}8$, reduzindo filas e TMR.

7. Estudos de Caso

7.1 Tentativas Sistemáticas de Senha

Em sub-rede de desenvolvimento, observamos elevação do contador de “LOGIN FAILURE” acima de $\mu+3\sigma$ para dois hosts. A análise de pacct revelou tentativas subsequentes de su. Isolamos a origem por ifconfig e alteramos credenciais afetadas. A inspeção de /etc/passwd indicou senhas triviais para três contas, confirmando o vetor (MORRIS; THOMPSON, 1979). O ciclo detecção–isolamento foi reduzido para 6 h, contra 14 h no cenário anterior.

7.2 Abuso de Relações de Confiança em rlogin

Identificamos acessos remotos anômalos de host pouco utilizado a servidor de arquivos. A correlação entre daemonlog e pacct indicou execução de rcp e rsh fora do horário de expediente. Inspeção em ~/.rhosts revelou entrada permissiva. Após o isolamento, removemos a entrada e restringimos hosts.equiv. O incidente motivou revisão ampla das relações de confiança (GRAMPP; MORRIS, 1984).

7.3 Programa Autorrepricante Experimental

Em ambiente controlado, introduzimos programa autorreplicante limitado a diretório temporário, inspirado em experiências acadêmicas (SHOCH; HUPP, 1982; COHEN, 1984). Observamos crescimento anômalo do uso de disco e da taxa de criações de arquivos por minuto ($X_t$) além de $\mu+3\sigma$. A imagem do disco foi criada com dd e verificada por sum. A análise em host isolado revelou a rotina de replicação e tempo de ativação. O isolamento ocorreu em 4 h a partir da detecção. A reconstrução cronológica mostrou-se precisa, apoiada na sincronização temporal inter-host (MILLS, 1985).

8. Discussão

A formalização em termos de mochila 0-1 promoveu disciplina na alocação de recursos, maximizando o risco mitigado sob o orçamento $B$. Embora a estimativa de $P(A_i)$ dependa de séries históricas estáveis, o uso de processos de Poisson e gráficos de controle conferiu robustez suficiente na prática, especialmente quando agregamos janelas por período de atividade.

A adoção de princípios de projeto seguro (SALTZER; SCHROEDER, 1975), combinada com verificação sistemática de configurações UNIX (GRAMPP; MORRIS, 1984), reduziu a incidência de vetores elementares. Do ponto de vista probatório, a dupla ancoragem — eletrônica (logs e somas de verificação) e física (impressões imutáveis) — reforçou a autenticidade, em alinhamento com as exigências de cadeia de custódia (FEDERAL RULES OF EVIDENCE, 1975; PARKER, 1976). Limitações permanecem: somas “sum” não são criptograficamente fortes; quando aplicável, pode-se complementar a verificação de integridade por autenticação de dados baseada em DES, conforme FIPS PUB 113 (NBS, 1985), desde que disponíveis módulos apropriados.

Quanto à detecção, evitamos dependência de perfis excessivamente específicos, preferindo medidas de dispersão e limites fixados por tolerância operacional. Observamos que ruídos decorrentes de tarefas de manutenção podem ser reduzidos por listas de controle (whitelists) de janelas e origens esperadas. A integração com sincronização temporal (MILLS, 1985) mostrou-se crucial para reconstrução precisa de eventos em ambientes distribuídos.

9. Aspectos Legais e Organizacionais

A documentação de cadeia de custódia, com registros de coleta, selagem, transferência e análise, é requisito para a admissibilidade de evidências, devendo ser tratada com a mesma diligência de controles físicos tradicionais (FEDERAL RULES OF EVIDENCE, 1975). Politicamente, a definição de autoridade decisória durante incidentes (p.ex., autorização para isolar sistemas críticos) deve ser formalizada e revisada periodicamente. Treinamentos periódicos mitigam erros humanos e encurtam tempos de resposta, reforçando a cultura de privilégio mínimo e segregação de funções (SALTZER; SCHROEDER, 1975).

10. Conclusão

Apresentamos uma arquitetura operacional de resposta a incidentes e computação forense orientada a inteligência, adequada ao estado tecnológico de 1986. Nossa abordagem integra modelagem quantitativa do risco sob orçamento, detecção baseada em estatística clássica aplicada a trilhas de auditoria e procedimentos forenses meticulosos, com ênfase em reprodutibilidade e cadeia de custódia. Em laboratório representativo de um ambiente corporativo, observamos reduções substanciais nos tempos médios de detecção e resposta, bem como diminuição da taxa de falsos positivos, mantendo a integridade probatória.

A generalidade da formulação — apoiada em fundamentos clássicos de segurança, avaliação e criptografia — sugere que a adoção disciplinada de princípios e procedimentos aqui delineados pode elevar significativamente a maturidade operacional de organizações interconectadas por TCP/IP e redes locais. Trabalhos futuros, no escopo das tecnologias vigentes, incluem o refinamento dos esquemas de autenticação e a extensão dos mecanismos de auditoria para cobrir classes adicionais de canais encobertos (KEMMERER, 1983), sempre preservando o rigor metodológico e a conformidade normativa.

References

ANDERSON, James P. Computer Security Threat Monitoring and Surveillance. Fort Washington: James P. Anderson Co., 1980. Disponível em: https://csrc.nist.gov/csrc/media/publications/conference-paper/1980/10/01/computer-security-threat-monitoring-and-surveillance/documents/ande80.pdf. Acesso em: 13 abr. 1986.

BARNETT, Vic; LEWIS, Toby. Outliers in Statistical Data. 2. ed. New York: Wiley, 1978. Disponível em: https://archive.org/details/OutliersInStatisticalData. Acesso em: 13 abr. 1986.

BELL, David E.; LAPADULA, Leonard J. Secure Computer Systems: Mathematical Foundations. Bedford: MITRE, 1973. Disponível em: https://apps.dtic.mil/sti/pdfs/AD0777688.pdf. Acesso em: 13 abr. 1986.

BIBA, Kenneth J. Integrity Considerations for Secure Computer Systems. Bedford: MITRE, 1977. Disponível em: https://apps.dtic.mil/sti/pdfs/ADA039324.pdf. Acesso em: 13 abr. 1986.

BLUM, Manuel; MICALI, Silvio. How to Generate Cryptographically Strong Sequences of Pseudo Random Bits. SIAM Journal on Computing, v. 13, n. 4, p. 850–864, 1984. Disponível em: https://doi.org/10.1137/0213025. Acesso em: 13 abr. 1986.

CERF, Vinton G.; KAHN, Robert E. A Protocol for Packet Network Intercommunication. IEEE Transactions on Communications, v. 22, n. 5, p. 637–648, 1974. Disponível em: https://www.cs.princeton.edu/courses/archive/fall06/cos561/papers/cerf74.pdf. Acesso em: 13 abr. 1986.

COHEN, Fred. Computer Viruses — Theory and Experiments. IFIP Security and Privacy Conference, 1984. Disponível em: https://all.net/books/virus/viruses.html. Acesso em: 13 abr. 1986.

COOPER, Robert B. Introduction to Queueing Theory. 2. ed. New York: North Holland, 1981. Disponível em: https://archive.org/details/IntroductionToQueueingTheoryCooper. Acesso em: 13 abr. 1986.

DENNING, Dorothy E. A Lattice Model of Secure Information Flow. Communications of the ACM, v. 19, n. 5, p. 236–243, 1976. Disponível em: https://dl.acm.org/doi/10.1145/360051.360056. Acesso em: 13 abr. 1986.

DENNING, Dorothy E. Cryptography and Data Security. Reading: Addison-Wesley, 1982. Disponível em: https://dl.acm.org/doi/book/10.5555/281552. Acesso em: 13 abr. 1986.

DIFFIE, Whitfield; HELLMAN, Martin E. New Directions in Cryptography. IEEE Transactions on Information Theory, v. 22, n. 6, p. 644–654, 1976. Disponível em: https://ee.stanford.edu/~hellman/publications/24.pdf. Acesso em: 13 abr. 1986.

DOD. Department of Defense Trusted Computer System Evaluation Criteria (DoD 5200.28-STD). Washington, D.C.: DoD, 1985. Disponível em: https://csrc.nist.gov/publications/detail/dod/5200.28-std/final. Acesso em: 13 abr. 1986.

FEDERAL RULES OF EVIDENCE (FRE). Regras Federais de Prova dos Estados Unidos. Washington, D.C.: 1975. Disponível em: https://uscode.house.gov/view.xhtml?path=/prelim@title28/title28a/node218&edition=prelim. Acesso em: 13 abr. 1986.

GOGUEN, Joseph; MESEGUER, José. Security Policies and Security Models. In: 1982 IEEE Symposium on Security and Privacy. Proceedings… Oakland, 1982. p. 11–20. Disponível em: https://ieeexplore.ieee.org/document/638633. Acesso em: 13 abr. 1986.

GOLDWASSER, Shafi; MICALI, Silvio. Probabilistic Encryption. Journal of Computer and System Sciences, v. 28, n. 2, p. 270–299, 1984. Disponível em: https://doi.org/10.1016/0022-0000(84)90070-9. Acesso em: 13 abr. 1986.

GRAMPP, Frederick T.; MORRIS, Robert H. UNIX Operating System Security. Bell System Technical Journal, v. 63, n. 8, p. 1649–1672, 1984. Disponível em: https://archive.org/details/bstj63-8-1649. Acesso em: 13 abr. 1986.

KARGER, Paul A.; SCHELL, Roger R. Multics Security Evaluation: Vulnerability of Multics to Penetration. Cambridge: MITRE/USAF ESD, 1974. Disponível em: https://apps.dtic.mil/sti/citations/ADA009467. Acesso em: 13 abr. 1986.

KARP, Richard M. Reducibility Among Combinatorial Problems. In: MILLER, R. E.; THATCHER, J. W. (ed.). Complexity of Computer Computations. New York: Plenum, 1972. p. 85–103. Disponível em: https://www.cs.princeton.edu/courses/archive/fall05/cos521/handouts/karp.pdf. Acesso em: 13 abr. 1986.

KEMMERER, Richard A. Shared Resource Matrix Methodology: An Approach to Identifying Covert Channels. ACM Transactions on Computer Systems, v. 1, n. 3, p. 256–277, 1983. Disponível em: https://dl.acm.org/doi/10.1145/357369.357371. Acesso em: 13 abr. 1986.

LAMPSON, Butler W. Protection. In: Proceedings of the Fifth Princeton Symposium on Information Sciences and Systems, 1971. Disponível em: https://bwlampson.site/08-Protection/WebPage.html. Acesso em: 13 abr. 1986.

LAMPSON, Butler W. A Note on the Confinement Problem. Communications of the ACM, v. 16, n. 10, p. 613–615, 1973. Disponível em: https://dl.acm.org/doi/10.1145/362375.362389. Acesso em: 13 abr. 1986.

METCALFE, Robert M.; BOGGS, David R. Ethernet: Distributed Packet Switching for Local Computer Networks. Communications of the ACM, v. 19, n. 7, p. 395–404, 1976. Disponível em: https://dl.acm.org/doi/10.1145/360248.360253. Acesso em: 13 abr. 1986.

MILLS, David L. Network Time Protocol (NTP). RFC 958, 1985. Disponível em: https://www.rfc-editor.org/rfc/rfc958. Acesso em: 13 abr. 1986.

MORRIS, Robert; THOMPSON, Ken. Password Security: A Case History. Communications of the ACM, v. 22, n. 11, p. 594–597, 1979. Disponível em: https://dl.acm.org/doi/10.1145/359168.359172. Acesso em: 13 abr. 1986.

NBS. National Bureau of Standards. FIPS PUB 46: Data Encryption Standard. Washington, D.C.: NBS, 1977. Disponível em: https://nvlpubs.nist.gov/nistpubs/FIPS/NBSFIPS46.pdf. Acesso em: 13 abr. 1986.

NBS. National Bureau of Standards. FIPS PUB 81: DES Modes of Operation. Washington, D.C.: NBS, 1980. Disponível em: https://nvlpubs.nist.gov/nistpubs/FIPS/NBSFIPS81.pdf. Acesso em: 13 abr. 1986.

NBS. National Bureau of Standards. FIPS PUB 113: Computer Data Authentication. Washington, D.C.: NBS, 1985. Disponível em: https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.113.pdf. Acesso em: 13 abr. 1986.

NEUMANN, Peter G. The RISKS Digest: Forum on Risks to the Public in Computers and Related Systems. ACM SIGSOFT Software Engineering Notes, v. 10, n. 1, 1985.

PLUMMER, David C. An Ethernet Address Resolution Protocol. RFC 826, 1982. Disponível em: https://www.rfc-editor.org/rfc/rfc826. Acesso em: 13 abr. 1986.

POSTEL, Jon. Internet Protocol. RFC 791, 1981b. Disponível em: https://www.rfc-editor.org/rfc/rfc791. Acesso em: 13 abr. 1986.

POSTEL, Jon. Transmission Control Protocol. RFC 793, 1981a. Disponível em: https://www.rfc-editor.org/rfc/rfc793. Acesso em: 13 abr. 1986.

POSTEL, Jon. Internet Control Message Protocol. RFC 792, 1981c. Disponível em: https://www.rfc-editor.org/rfc/rfc792. Acesso em: 13 abr. 1986.

RIVEST, Ronald L.; SHAMIR, Adi; ADLEMAN, Leonard. A Method for Obtaining Digital Signatures and Public-Key Cryptosystems. Communications of the ACM, v. 21, n. 2, p. 120–126, 1978. Disponível em: https://dl.acm.org/doi/10.1145/359340.359342. Acesso em: 13 abr. 1986.

RITCHIE, Dennis M.; THOMPSON, Ken. The UNIX Time-Sharing System. Communications of the ACM, v. 17, n. 7, p. 365–375, 1974. Disponível em: https://dl.acm.org/doi/10.1145/361011.361061. Acesso em: 13 abr. 1986.

SALTZER, Jerome H.; SCHROEDER, Michael D. The Protection of Information in Computer Systems. Proceedings of the IEEE, v. 63, n. 9, p. 1278–1308, 1975. Disponível em: https://ieeexplore.ieee.org/document/1451869. Acesso em: 13 abr. 1986.

SHEWHART, Walter A. Economic Control of Quality of Manufactured Product. New York: Van Nostrand, 1931. Disponível em: https://archive.org/details/in.ernet.dli.2015.218271. Acesso em: 13 abr. 1986.

SHOCH, John F.; HUPP, Jon A. The Worm Programs — Early Experience with a Distributed Computation. Communications of the ACM, v. 25, n. 3, p. 172–180, 1982. Disponível em: https://dl.acm.org/doi/10.1145/358557.358561. Acesso em: 13 abr. 1986.

TANENBAUM, Andrew S. Computer Networks. Englewood Cliffs: Prentice-Hall, 1981. Disponível em: https://www.worldcat.org/title/7541731. Acesso em: 13 abr. 1986.

THOMPSON, Ken. Reflections on Trusting Trust. Communications of the ACM, v. 27, n. 8, p. 761–763, 1984. Disponível em: https://dl.acm.org/doi/10.1145/358198.358210. Acesso em: 13 abr. 1986.

UCB. University of California, Berkeley. 4.3BSD System Manager’s Manual. Berkeley: UCB, 1986. Disponível em: https://minnie.tuhs.org/cgi-bin/utree.pl?file=4.3BSD. Acesso em: 13 abr. 1986.

ISO. International Organization for Standardization. ISO 7498: Information Processing Systems — Open Systems Interconnection — Basic Reference Model. Genebra: ISO, 1984. Disponível em: https://www.iso.org/standard/20269.html. Acesso em: 13 abr. 1986.

NEEDHAM, Roger M.; SCHROEDER, Michael D. Using Encryption for Authentication in Large Networks of Computers. Communications of the ACM, v. 21, n. 12, p. 993–999, 1978. Disponível em: https://dl.acm.org/doi/10.1145/359657.359659. Acesso em: 13 abr. 1986.

PARKER, Donn B. Crime by Computer. New York: Charles Scribner’s Sons, 1976. Disponível em: https://www.worldcat.org/title/2233884. Acesso em: 13 abr. 1986.