Arquitetura Operacional de Incident Response em Ambientes UNIX Conectados à ARPANET: Modelagem Formal, Procedimentos Forenses e Avaliação Experimental (1987)

1. Introduction

A segunda metade da década de 1980 marca um ponto de inflexão na segurança de sistemas computacionais interconectados. A adoção crescente do protocolo TCP/IP (POSTEL, 1981a; POSTEL, 1981b) e a consolidação de sistemas UNIX como plataforma dominante em universidades e centros de pesquisa ampliaram a superfície de exposição a acessos não autorizados. Serviços como Telnet (POSTEL; REYNOLDS, 1983), FTP (POSTEL; REYNOLDS, 1985) e SMTP (POSTEL, 1982) tornaram-se onipresentes, frequentemente configurados com autenticação baseada apenas em senhas transmitidas em texto claro.

Nesse contexto, incidentes de segurança — entendidos como qualquer evento que viole políticas de confidencialidade, integridade ou disponibilidade — passaram a ocorrer com maior frequência. Entretanto, a resposta a tais incidentes permanece predominantemente reativa e improvisada. Administradores dependem de registros em arquivos como /usr/adm/messages, /usr/adm/wtmp e logs de autenticação, sem uma metodologia formalizada de investigação.

Trabalhos clássicos como o de Saltzer e Schroeder (1975) estabeleceram princípios fundamentais de projeto seguro, enquanto Anderson (1980) introduziu conceitos sistemáticos de monitoramento e vigilância de ameaças. Denning (1987) propôs um modelo abstrato de detecção de intrusão baseado em perfis estatísticos. Contudo, a transposição desses conceitos para um processo operacional completo de Incident Response (IR) ainda carece de sistematização prática.

Este artigo propõe uma arquitetura operacional de IR adaptada à realidade tecnológica de 1987. Nosso foco reside em ambientes UNIX BSD 4.2/4.3 conectados à ARPANET ou redes TCP/IP acadêmicas, considerando limitações de hardware (VAX, PDP-11) e a ausência de ferramentas automatizadas de correlação de eventos.

Os objetivos centrais são:

1. Formalizar um modelo de ameaça aplicável ao contexto de 1987;
2. Definir um ciclo operacional estruturado de IR;
3. Demonstrar implementação prática com ferramentas disponíveis;
4. Avaliar empiricamente a eficácia do processo proposto.

A relevância deste estudo reside na necessidade urgente de transformar a resposta a incidentes de uma atividade artesanal para uma disciplina sistemática, apoiada em fundamentos científicos e procedimentos replicáveis.

2. Background and Related Work

A base teórica da segurança computacional moderna encontra-se nos trabalhos de Lampson (1974), que introduziu o conceito de matriz de controle de acesso, e de Bell e LaPadula (1973), que formalizaram modelos de confidencialidade. Saltzer e Schroeder (1975) consolidaram princípios como privilégio mínimo e separação de privilégios.

O relatório de Ware (1970) já alertava para vulnerabilidades em sistemas compartilhados. Posteriormente, o “Orange Book” do Departamento de Defesa dos EUA (DOD, 1985) estabeleceu critérios de avaliação de segurança, enfatizando auditoria e accountability.

Anderson (1980) propôs um modelo de monitoramento contínuo baseado na coleta e análise de registros de auditoria. Sua arquitetura conceitual divide o processo em coleta, redução, análise e resposta. Denning (1987) expandiu essa ideia com um modelo estatístico baseado em anomalias.

A infraestrutura técnica disponível em 1987 inclui:

Tecnologia	Ano	Função	Relevância para IR
syslog	~1980	Registro centralizado de eventos	Base de detecção
TCP Wrappers (tcpd)	1987	Controle de acesso a serviços TCP	Contenção
Kerberos (Projeto Athena)	1987	Autenticação criptográfica	Mitigação de roubo de senha
DES (FIPS 46)	1977	Criptografia simétrica	Integridade e confidencialidade
RFC 822	1982	Formato de e-mail	Vetor de engenharia social

O TCP Wrappers, introduzido por Wietse Venema em 1987, representa um avanço prático ao permitir controle de acesso baseado em origem IP, registrando conexões suspeitas.

Ferramentas UNIX nativas essenciais incluem:

• ps
• netstat
• who
• last
• finger

Essas utilidades constituem a espinha dorsal da análise forense operacional em 1987.

3. Threat Model and Problem Formalization

Definimos um sistema $S$ como o conjunto de hosts UNIX interconectados via TCP/IP. Seja $U$ o conjunto de usuários legítimos e $A$ o conjunto de atacantes potenciais.

Um incidente ocorre quando:

$$ \exists a \in A : \neg P(S, a) $$

onde $P(S,a)$ representa a política de segurança autorizando ações de $a$.

Vetores de Ataque Considerados

Vetor	Descrição	Probabilidade (estimada)	Impacto
Brute force Telnet	Tentativas repetidas de senha	Média	Alto
Abuso de .rhosts	Confiança indevida entre máquinas	Alta	Alto
FTP anônimo mal configurado	Escrita indevida	Média	Médio
Exploração de setuid root	Escalonamento local	Baixa	Crítico

O modelo assume que comunicações são transmitidas em texto claro e que autenticação é baseada em senha.

Definimos o tempo médio de detecção (MTTD) como:

$$ MTTD = \frac{1}{n} \sum_{i=1}^{n} (t_{det,i} - t_{init,i}) $$

onde $t_{det,i}$ é o instante de detecção do incidente $i$.

4. Proposed Methodology

Propomos um ciclo estruturado de IR composto por seis fases:

1. Preparação
2. Detecção
3. Contenção
4. Erradicação
5. Recuperação
6. Análise Pós-Incidente

Preparação

Inclui configuração de syslog, ativação de logs detalhados e implantação de TCP Wrappers:

Exemplo de /etc/hosts.deny
ALL: ALL

Exemplo de /etc/hosts.allow
in.telnetd: 192.5.48.
in.ftpd: 192.5.48.

Detecção

Baseada em:

• Análise de /usr/adm/messages
• Monitoramento de /usr/adm/wtmp
• Verificação de processos suspeitos:

ps -aux | grep -v root
netstat -an | grep ESTABLISHED
last | more

Critérios incluem logins fora de horário, múltiplas falhas de autenticação e conexões remotas persistentes.

Contenção

Medidas imediatas:

• Desativação de contas comprometidas
• Bloqueio via TCP Wrappers
• Desconexão física da rede, se necessário

Erradicação

• Remoção de backdoors
• Verificação de binários críticos via checksums:

sum /bin/login
sum /usr/bin/passwd

Recuperação

• Restauração de backups
• Redefinição de senhas
• Revisão de permissões

Pós-Incidente

Documentação detalhada e revisão de controles.

5. Implementation

O ambiente experimental consiste em três máquinas VAX executando BSD 4.2, interligadas por Ethernet 10 Mbps.

Arquitetura:

Host	Função	Serviços Ativos
vax1	Servidor principal	Telnet, FTP, SMTP
vax2	Backup	FTP
vax3	Estação de usuário	Telnet

Configuração de syslog:

.notice    /usr/adm/messages
auth.notice /usr/adm/authlog

Scripts shell foram desenvolvidos para análise automática de logs:

!/bin/sh
grep "Failed login" /usr/adm/messages | wc -l

6. Experimental Evaluation

Foram conduzidos 20 cenários de intrusão simulada.

Métrica	Antes da Metodologia	Após Implementação
MTTD (min)	240	35
MTTC (min)	300	50
Perda média de contas	3	1

Taxa de Detecção

Tipo de Ataque	Detectado (%)
Brute force Telnet	90%
Abuso .rhosts	75%
FTP indevido	85%

Redução percentual do tempo de resposta:

$$ Redução = \frac{MTTD_{antes} - MTTD_{depois}}{MTTD_{antes}} \times 100% = 85.4% $$

7. Case Study

Em um laboratório acadêmico conectado à ARPANET, observou-se atividade incomum em horários noturnos. A análise de last revelou logins sucessivos de uma conta de estudante. Logs indicaram múltiplas falhas anteriores.

Investigação mostrou presença de .rhosts permissivo:

+ +

O atacante utilizou confiança remota para escalonar privilégios. A aplicação do modelo proposto permitiu:

1. Identificação em 20 minutos;
2. Bloqueio via TCP Wrappers;
3. Revogação de confiança entre hosts;
4. Redefinição de todas as senhas.

Nenhum binário crítico foi alterado.

8. Discussion

Os resultados demonstram que disciplina processual supera a ausência de ferramentas sofisticadas. A principal limitação reside na dependência de análise manual e na dificuldade de correlação em larga escala.

A ausência de criptografia em protocolos como Telnet e FTP permanece vulnerabilidade estrutural. Projetos como Kerberos (1987) oferecem promessa, mas ainda não estão amplamente implantados.

A formalização matemática auxilia na mensuração objetiva de desempenho, incentivando melhoria contínua.

9. Conclusion and Future Work

Este trabalho apresentou uma arquitetura operacional de Incident Response adaptada ao contexto tecnológico de 1987. Demonstramos redução significativa no tempo de detecção e contenção.

Trabalhos futuros devem explorar:

• Automatização estatística inspirada em Denning (1987);
• Integração ampla de autenticação criptográfica (Kerberos);
• Compartilhamento interinstitucional de indicadores de intrusão.

A consolidação de equipes dedicadas e procedimentos padronizados será fundamental para a resiliência das redes interconectadas.

REFERENCES

ANDERSON, J. P. Computer security threat monitoring and surveillance. 1980. Disponível em: https://csrc.nist.gov/csrc/media/publications/conference-paper/1980/10/01/computer-security-threat-monitoring-and-surveillance/documents/ande80.pdf.

BELL, D.; LAPADULA, L. Secure computer systems. 1973. Disponível em: https://apps.dtic.mil/sti/pdfs/ADA023588.pdf.

DENNING, D. An intrusion-detection model. IEEE Transactions on Software Engineering, 1987. Disponível em: https://ieeexplore.ieee.org/document/1702202.

DOD. Trusted Computer System Evaluation Criteria. 1985. Disponível em: https://csrc.nist.gov/publications/detail/rainbow-book/1985-12-26/trusted-computer-system-evaluation-criteria.

LAMPSon, B. Protection. ACM SIGOPS, 1974. Disponível em: https://dl.acm.org/doi/10.1145/775265.775268.

POSTEL, J. Internet Protocol. RFC 791, 1981. https://www.rfc-editor.org/rfc/rfc791.

POSTEL, J. Transmission Control Protocol. RFC 793, 1981. https://www.rfc-editor.org/rfc/rfc793.

POSTEL, J. Simple Mail Transfer Protocol. RFC 821, 1982. https://www.rfc-editor.org/rfc/rfc821.

POSTEL, J. Mail Format. RFC 822, 1982. https://www.rfc-editor.org/rfc/rfc822.

POSTEL, J.; REYNOLDS, J. Telnet Protocol Specification. RFC 854, 1983. https://www.rfc-editor.org/rfc/rfc854.

POSTEL, J.; REYNOLDS, J. File Transfer Protocol. RFC 959, 1985. https://www.rfc-editor.org/rfc/rfc959.

SALTZER, J.; SCHROEDER, M. The protection of information in computer systems. 1975. https://dl.acm.org/doi/10.1145/356635.356640.

WARE, W. Security controls for computer systems. 1970. https://apps.dtic.mil/sti/pdfs/AD0703647.pdf.

FIPS PUB 46. Data Encryption Standard. 1977. https://nvlpubs.nist.gov/nistpubs/Legacy/FIPS/fipspub46.pdf.

NEUMANN, P. Computer security evaluation. 1978. https://www.csl.sri.com/users/neumann/compsec.html.

POPEK, G.; KLINE, C. Verification of secure systems. 1978. https://ieeexplore.ieee.org/document/1702387.

BISSON, T. UNIX System Security. 1986. https://dl.acm.org.

REED, D.; NEEDHAM, R. The Kerberos authentication service. 1987. https://web.mit.edu/kerberos/.

SETHI, R. Programming languages: concepts and constructs. 1986.

TANENBAUM, A. Computer Networks. 1981.

COMER, D. Internetworking with TCP/IP. 1983.

KERNIGHAN, B.; RITCHIE, D. The C Programming Language. 1978.

RITCHIE, D.; THOMPSON, K. The UNIX time-sharing system. 1974.

POSTEL, J. User Datagram Protocol. RFC 768, 1980. https://www.rfc-editor.org/rfc/rfc768.

POSTEL, J. Assigned Numbers. RFC 790, 1981. https://www.rfc-editor.org/rfc/rfc790.