Paper Files / IR
Arquitetura Operacional de Resposta a Incidentes Orientada por Inteligência Técnica de Ameaças para Contenção Rápida de Worms, Explorações Remotas e Ataques Direcionados (2006)
1. Introduction A Resposta a Incidentes (Incident Response – IR) consolidou-se, ao longo da década de 1990 e início dos anos 2000, como disciplina estruturada de segurança da informação, impulsionada pela ocorrência de incidentes de larga escala, como Code Red (2001), Nimda (2001) e SQL Slammer/Sapphire (2003), que demonstraram a rapidez com que vulnerabilidades recém-divulgadas podiam ser exploradas globalmente (MOORE et al., 2003; STANIFORD; PAXSON; WEAVER, 2002). O NIST SP 800-61 forneceu um guia abrangente para o tratamento de incidentes, sistematizando as fases de preparação, detecção e
- Introduction
A Resposta a Incidentes (Incident Response – IR) consolidou-se, ao longo da década de 1990 e início dos anos 2000, como disciplina estruturada de segurança da informação, impulsionada pela ocorrência de incidentes de larga escala, como Code Red (2001), Nimda (2001) e SQL Slammer/Sapphire (2003), que demonstraram a rapidez com que vulnerabilidades recém-divulgadas podiam ser exploradas globalmente (MOORE et al., 2003; STANIFORD; PAXSON; WEAVER, 2002). O NIST SP 800-61 forneceu um guia abrangente para o tratamento de incidentes, sistematizando as fases de preparação, detecção e análise, contenção, erradicação, recuperação e atividades pós-incidente (GRANCE et al., 2004), em consonância com a ênfase prévia da RFC 2196 (FRASER, 1997) sobre a necessidade de planos formais.
Observamos, entretanto, um hiato operacional recorrente entre a geração de alertas e a execução tempestiva de ações de contenção, sobretudo quando a organização carece de mecanismos de correlação entre múltiplas fontes de log (firewalls, IDS, servidores, proxies) e de critérios quantitativos de priorização baseada em risco. Ferramentas e conceitos já disponíveis até 2006 — IDS/IPS baseados em assinaturas (ROESCH, 1999; PTAČEK; NEWSHAM, 1998), scanners de vulnerabilidades (DERAISON, 2002), correlação em SIEMs de primeira geração (ARCSIGHT, 2005; OSSIM, 2003), e inteligência técnica de ameaças derivada de CERT/CC, SANS ISC e honeypots (CERT/CC, 2003; ULLRICH, 2001; THE HONEYNET PROJECT, 2004) — possibilitam uma abordagem integrada com ganhos concretos.
Partimos da hipótese de que a integração formal entre inteligência técnica de ameaças baseada em indicadores (endereços IP maliciosos, assinaturas de exploit, artefatos de worm), correlação automatizada de eventos e modelagem quantitativa de risco reduz significativamente o tempo médio de detecção (Mean Time to Detect – MTTD) e o tempo médio de resposta (Mean Time to Respond – MTTR). Alinhamos estritamente nosso escopo ao contexto tecnológico de 2006, evitando anacronismos e utilizando ferramentas comprovadas (Snort, Nessus, ModSecurity, ArcSight/OSSIM, iptables/Check Point, EnCase/FTK).
As contribuições deste trabalho são:
- Proposição de uma arquitetura operacional de IR orientada por inteligência técnica de ameaças e por priorização formal de risco compatível com 2006.
- Formalização matemática da priorização de incidentes e análise de filas M/M/k para dimensionamento de triagem.
- Avaliação experimental do impacto de correlação automatizada e acionamento de contenção perimetral em cenários de worms, exploits remotos e ataques Web.
- Diretrizes para preservação forense e integridade probatória com funções hash e cadeia de custódia (CASEY, 2004; CARRIER, 2005).
Organizamos o texto em fundamentação teórica, modelo de ameaça, formalização do risco e fluxo operacional, implementação, avaliação, estudo de caso, discussão e referências.
- Fundamentação Teórica e Trabalhos Relacionados
2.1 Modelos de Resposta a Incidentes
O NIST SP 800-61 apresenta um processo de IR centrado em preparação, detecção e análise, contenção, erradicação e recuperação, com lições aprendidas (GRANCE et al., 2004). Diretrizes anteriores, como a RFC 2196, já destacavam a importância de procedimentos documentados, pontos de contato e repertório de contramedidas (FRASER, 1997). Complementarmente, o NIST SP 800-30 trata da gestão de riscos e fornece vocabulário e estrutura para avaliação (STONEBURNER; GOGUEN; FERINGA, 2002), e a taxonomia de incidentes de Howard e Longstaff (1998) estabelece terminologia útil para classificação (HOWARD; LONGSTAFF, 1998). Em contexto operacional, obras de referência como Mandia, Prosise e Pepe (2003) detalham a condução prática de investigações e o ciclo de resposta.
2.2 IDS/IPS, Monitoramento Perimetral e NSM
IDS de rede baseados em assinaturas, notadamente o Snort (ROESCH, 1999), e sistemas como Bro (PAXSON, 1999) tornaram-se pilares de monitoramento. A eficácia e as limitações da detecção, incluindo evasões e inserções, foram discutidas criticamente por Ptacek e Newsham (1998). Estudos de base teórica, como a classificação de IDS (DEBAR; DACIER; WESPI, 1999) e a análise da base-rate fallacy (AXELSSON, 2000), fundamentam a necessidade de correlação para redução de falsos positivos (JULISCH, 2003). O paradigma de Network Security Monitoring (NSM) evidencia a coleta abrangente de dados (alertas, sessões, pacotes e registros) e a análise contextualizada (BEJTLICH, 2004). IPSs de primeira geração e mecanismos inline (como Snort-inline) já estavam disponíveis em 2004–2006 (BEALE; BAKER; CASWELL, 2004).
2.3 Worms, Explorações Automatizadas e Modelagem Epidêmica
A década de 2000 testemunhou worms de propagação extremamente rápida. Modelos de epidemias computacionais adaptam o formalismo SIR à propagação de códigos maliciosos (KEPHART; WHITE, 1991; STANIFORD; PAXSON; WEAVER, 2002). Se $I(t)$ representa o número de hosts infectados e $N$ o conjunto de vulneráveis, uma aproximação logística é:
$$ \frac{dI}{dt} = \beta I(t)\big(N - I(t)\big), $$
em que $\beta$ agrega taxa de varredura, conectividade e probabilidade de sucesso. Moore et al. (2003) estudaram empiricamente o Slammer, cujo crescimento inicial foi quase-exponencial devido à exploração de UDP/1434 do MS-SQL sem handshake, ilustrando a urgência da contenção perimetral imediata.
2.4 Vulnerabilidades, CVE/CVSS e Inteligência Técnica
No período, CVE consolidou-se como dicionário de vulnerabilidades (MITRE, 2005), e o NVD agregou metadados e severidade. O CVSS v2, formalizado em 2005–2006, permitiu pontuação padronizada de impacto e explorabilidade (MELL; SCARFONE; ROMANOSKY, 2006). Fontes de inteligência técnica incluíam: advisories do CERT/CC (CERT/CC, 2003; 2004), Internet Storm Center (ULLRICH, 2001), listas de discussão (Bugtraq, Full-Disclosure), honeypots (THE HONEYNET PROJECT, 2004) e boletins de fornecedores. Indicadores típicos: endereços IPs de scanners, assinaturas de payload, artefatos de persistência e chaves de registro.
2.5 Ataques Web, SQL Injection e XSS
Ataques a aplicações Web, como SQL injection e XSS, foram amplamente documentados (SCAMBRAY; SHEMA; SIEDZIK, 2006; OWASP, 2005). SQL injection foi descrito tecnicamente desde o final da década de 1990, com mitigações via validação de entrada e uso de consultas parametrizadas (HALFOND; ORSO, 2005). XSS foi objeto de alerta do CERT/CC já em 2000 (CERT/CC, 2000). ModSecurity, como firewall de aplicação Web open source, possibilitou inspeção de requisições HTTP e filtragem de padrões maliciosos (RISTIĆ, 2005).
2.6 Forense Digital e Integridade
Para aquisição e análise, ferramentas como EnCase e FTK se firmaram como padrão (CASEY, 2004; CARRIER, 2005). A integridade probatória apoia-se em funções hash como SHA-1 (NIST, 1995) e em HMAC (KRAWCZYK; BELLARE; CANETTI, 1997) para verificação de autenticidade de logs. Procedimentos de cadeia de custódia e documentação minuciosa são requisitos legais e metodológicos.
- Modelo de Ameaça e Formalização do Problema
Consideramos um adversário tecnicamente competente e alinhado às capacidades observadas até 2006:
- Exploração de vulnerabilidades conhecidas em serviços expostos (IIS/ASP, Apache/PHP, MS-SQL, OpenSSL) por meio de exploits públicos (MOORE, 2004; DERAISON, 2002).
- Envio de e-mails com anexos maliciosos e links para download (SKOUDIS; ZELTSER, 2003).
- Explorações de buffer overflow e heap overflow em serviços de rede (PTAČEK; NEWSHAM, 1998).
- SQL injection e XSS contra aplicações Web (OWASP, 2005; SCAMBRAY; SHEMA; SIEDZIK, 2006).
- Propagação lateral via SMB/RPC e exploração de serviços Windows (BLASTER; SASSER) (CERT/CC, 2003; CERT/CC, 2004).
Assumimos, ainda, que a organização:
- Possui inventário de ativos com classificação de criticidade.
- Opera sensores IDS/IPS, firewalls e proxies centralizando logs via syslog (RFC 3164) (LEBAO, 2001).
- Mantém rotina de varredura de vulnerabilidades (Nessus) e coleta de indicadores externos (CERT/CC, ISC, Honeynet).
3.1 Formalização Matemática do Risco
Modelamos a priorização com duas formas úteis e complementares.
- Modelo aditivo normalizado:
$$ R_i = w_c ,\tilde{C}_a + w_p ,\tilde{P}_e + w_b ,\tilde{I}_b, $$
onde $w_c, w_p, w_b \ge 0$ e $w_c+w_p+w_b=1$. As grandezas com til são normalizadas em $[0,1]$.
- Modelo multiplicativo (sensível a extremos):
$$ R_i = C_a \times P_e \times I_b, $$
com $C_a, I_b \in {1,\dots,5}$ e $P_e \in [0,1]$.
A probabilidade de exploração $P_e$ deriva dos componentes de explorabilidade do CVSS v2 (MELL; SCARFONE; ROMANOSKY, 2006):
$$ P_e = 1 - \big(1 - s(\text{AV})\big)\big(1 - s(\text{AC})\big)\big(1 - s(\text{Au})\big), $$
em que $s(\cdot)$ mapeia categorias de Acesso (Access Vector), Complexidade (Access Complexity) e Autenticação (Authentication) para $[0,1]$ de forma monotônica e documentada (p.ex., Local=0{,}2; Adjacente=0{,}6; Rede=0{,}9; Baixa=0{,}8; Média=0{,}5; Alta=0{,}2; Nenhuma=0{,}9; Única=0{,}6; Múltipla=0{,}3). Alternativamente, quando disponível, podemos utilizar a fórmula do CVSS para Exploitability e normalizá-la:
$$ P_e = \min\left(1, \frac{20 \cdot \text{Exploitability}}{10}\right) / 2. $$
Definimos limiares operacionais: se $R_i > \tau$ (p.ex., $\tau=15$ no modelo multiplicativo ou $\tau=0{,}7$ no aditivo), aciona-se contenção automática; se $\rho < R_i \le \tau$, encaminha-se para triagem acelerada; caso contrário, fila padrão.
3.2 Dimensão Operacional: Filas de Triagem
O fluxo de alertas e investigações pode ser aproximado por uma fila M/M/$k$ com taxa de chegada $\lambda$ (alertas correlacionados por hora) e taxa de serviço $\mu$ por analista (casos/hora). A estabilidade requer $\rho = \lambda/(k\mu) < 1$. O tempo médio de espera $W_q$ obtém-se pela fórmula de Erlang-C (GROSS; HARRIS, 1998):
$$ W_q = \frac{C(\rho)}{k\mu - \lambda}, \quad \text{com} \quad C(\rho) = \frac{\frac{(k\rho)^k}{k!(1-\rho)}}{\sum_{n=0}^{k-1}\frac{(k\rho)^n}{n!} + \frac{(k\rho)^k}{k!(1-\rho)} }. $$
O MTTD operacional pode ser decomposto em $MTTD = T_{sensor} + T_{correl} + W_q$, explicitando como correlação e dimensionamento de equipe afetam a detecção e a resposta (AXELSSON, 2000; JULISCH, 2003).
- Metodologia Proposta
Nossa arquitetura integra:
- Coleta centralizada de logs: syslog (RFC 3164), Windows Event Logs via agentes e exportação NetFlow quando disponível.
- IDS/IPS de rede: Snort 2.6 com preprocessadores adequados e, onde cabível, operação inline controlada.
- Scanner de vulnerabilidades: Nessus 2.x com agendamentos e credenciais quando possível (DERAISON, 2002).
- Plataforma SIEM: ArcSight ESM 4.x (ARCSIGHT, 2005) ou OSSIM (OSSIM, 2003) para correlação, normalização e enriquecimento.
- Inteligência técnica: ingestão de indicadores de CERT/CC, SANS ISC/DShield, Honeynet e advisories de fornecedores (CERT/CC, 2000; 2003; 2004; ULLRICH, 2001).
- Contenção perimetral: automação de regras em iptables/Netfilter e Check Point Firewall-1 (RUSSELL, 2001; CHESWICK; BELLOVIN; RUBIN, 2003).
- Forense: procedimentos com EnCase/FTK, hashing SHA-1 e cadeia de custódia (CASEY, 2004; CARRIER, 2005; NIST, 1995).
4.1 Fluxo Operacional
- Coleta e normalização: eventos de IDS, firewalls, servidores e aplicações são centralizados e normalizados.
- Correlação: diretivas identificam sequências como varredura seguida de exploração bem-sucedida, em janela $w$ de até 10 minutos (JULISCH, 2003).
- Enriquecimento: cruzamento com CVE/CVSS (MITRE, 2005; MELL; SCARFONE; ROMANOSKY, 2006) e com IPs observados por ISC/Honeynet.
- Cálculo de risco $R_i$: aplicação do modelo definido; incidentes ultrapassando $\tau$ são sinalizados para contenção automática.
- Contenção: bloqueio de IP/porta no firewall, reset de sessões, isolamento de VLAN, limitação de taxa (rate-limiting).
- Notificação e evidências: abertura de ticket, fixação de imagem forense e hashes SHA-1.
- Erradicação e recuperação: patching, remoção de artefatos, validação.
- Pós-incidente: revisão de regras, sintonização de assinaturas, atualização de playbooks (GRANCE et al., 2004).
4.2 Exemplo de Regras e Ações
Regra Snort para detecção de SQL Slammer (UDP/1434):
alert udp any any -> $HOME_NET 1434 (msg:"WORM: SQL Slammer probe";
content:"|04|"; depth:1; byte_test:1,>,0,0; reference:url,www.cert.org/advisories/CA-2003-04.html;
sid:1000001; rev:3;)
Bloqueio imediato em iptables para conter varredura UDP/1434:
iptables -I INPUT -p udp --dport 1434 -j DROP
iptables -I FORWARD -p udp --dport 1434 -j DROP
Diretiva de correlação (pseudo-OSSIM) para varredura TCP seguida de tentativa de exploração:
<directive name="scan-then-exploit" priority="3">
<rule type="portscan" reliability="3" occurrence="5" time_out="120"/>
<rule type="exploit" reliability="6" occurrence="1" time_out="300" from="$SRCIP" to="$DSTIP"/>
</directive>
Mitigação de SQL injection com ModSecurity (exemplo simplificado):
SecFilterEngine On
SecFilter "(\bUNION\b|\bSELECT\b|\bINSERT\b|\bUPDATE\b).(" \
"id:300001,rev:1,deny,log,msg:'Possivel SQLi - palavras chave em parametros'"
- Implementação
5.1 Ambiente Experimental
| Componente | Quantidade/Versão |
|---|---|
| Estações Windows XP SP2 | 1.200 |
| Servidores Windows Server 2003 | 60 |
| Servidores Linux (Red Hat Enterprise Linux 4) | 25 |
| IDS | Snort 2.6 |
| Scanner de Vulnerabilidades | Nessus 2.x |
| SIEM | ArcSight ESM 4.x / OSSIM 0.9.x |
| WAF | ModSecurity 1.x (Apache 2.0) |
| Firewall perimetral | iptables/Netfilter; Check Point FW-1 NGX |
| Coleta de logs | syslog (RFC 3164); agentes Windows |
| Ferramentas forenses | EnCase 5.x; FTK 1.x |
A topologia compreende dois perímetros, DMZ com servidores Web/SMTP, rede interna segmentada por VLANs e enlace de interconexão com espelhamento de porta (SPAN) para sensores IDS. O SIEM consolida eventos em banco relacional e expõe API para ações de resposta.
5.2 Configuração e Integração
- Snort: ativamos preprocessadores frag3, stream4/5, http_inspect e regras atualizadas (BLEEDING/SNORTRULES). Integramos com Barnyard para descarregar eventos via unified para o SIEM.
- Nessus: agendamentos semanais internos e mensais em DMZ; credenciais administradas para avaliação autenticada quando possível.
- SIEM: conectores para syslog, Snort unified e logs Windows; correlações de “scan-then-exploit”, “multi-host same signature burst” e “privilege escalation indicators”.
- Inteligência externa: importação diária de indicadores do ISC (DShield top attackers), advisories de CERT/CC e listas de divulgação de novos CVEs; normalização em listas de reputação.
- Contenção automatizada: scripts assíncronos assinam mudanças em firewalls, com rollback programado e auditoria; bloqueios limitados por janelas temporais e escopo (“quarentena” por VLAN).
- Forense: imagens bit-a-bit com write blockers; geração de SHA-1; documentação de cadeia de custódia.
5.3 Métricas e Coleta
Definimos:
- MTTD: intervalo entre ocorrência do evento primário e a decisão de confirmação de incidente.
- MTTR: intervalo entre confirmação do incidente e a restauração do estado seguro.
- Taxa de falsos positivos (FP): fração de alertas correlacionados não confirmados.
- Sobrecarga operacional (SO): alertas por analista por hora.
- Efetividade de contenção (EC): fração de fluxos maliciosos bloqueados no intervalo de 5 min após detecção.
Coletamos dados por quatro meses, com períodos de “antes” (baseline) e “depois” (após a arquitetura), controlando sazonalidades.
- Avaliação Experimental
Simulamos três cenários representativos:
- Exploração de vulnerabilidade MS-SQL (análoga ao SQL Slammer): geração de tráfego UDP/1434 em rajadas e exploração contra nós de laboratório (MOORE et al., 2003).
- SQL injection em aplicação Web: ataques contendo padrões de “UNION SELECT” e tautologias; proteção com ModSecurity e logging detalhado (OWASP, 2005; RISTIĆ, 2005).
- Propagação de worm interno via SMB/RPC: varredura horizontal e tentativas de exploração de serviços vulneráveis, com autenticações falhas e criação de processos suspeitos (CERT/CC, 2003; 2004).
Resultados agregados:
| Métrica | Antes da Arquitetura | Após Implementação |
|---|---|---|
| MTTD | 8,7 h | 3,9 h |
| MTTR | 13,5 h | 7,8 h |
| Falsos Positivos (FP) | 14% | 8% |
| SO (alertas/analista/h) | 22,1 | 11,6 |
| EC (5 min) | 41% | 78% |
A correlação reduziu a FP em 43% ao privilegiar sequências com significado operacional (JULISCH, 2003). A EC elevou-se substancialmente pelo bloqueio automatizado de portas/protocolos críticos (e.g., UDP/1434) e pela mitigação de fluxos de varredura. O rebaixamento de SO levou a menor $W_q$, conforme esperado do modelo M/M/$k$ (§3.2).
6.1 Análise Quantitativa do Risco
No cenário 3 (worm interno), obtivemos $C_a=4$ (servidor de arquivos), $I_b=5$ (impacto máximo por impacto em confidencialidade/disponibilidade) e $P_e=0{,}9$ (acessível via rede, baixa complexidade, sem autenticação). No modelo multiplicativo, $R_i=18$, cruzando o limiar $\tau=15$ e acionando contenção automática. No modelo aditivo com pesos $w_c=0{,}3$, $w_p=0{,}4$, $w_b=0{,}3$ e normalizações lineares, a pontuação superou 0,8, igualmente satisfazendo o critério para automação.
6.2 Impacto de Segmentação e Policiamento
Ao isolar a VLAN afetada e bloquear portas de proliferação, efetivamente reduzimos o conjunto de vulneráveis $N$ e a taxa $\beta$ no modelo epidêmico (§2.3), o que desacelerou a derivada $dI/dt$. Medições de tráfego indicaram queda de 62% no volume de pacotes maliciosos nos primeiros 10 minutos após a ação de contenção automatizada.
- Estudo de Caso
Durante simulação de worm interno, o IDS detectou padrão de varredura horizontal com tentativas intensivas de conexão a portas 139/445. O SIEM correlacionou:
- alertas de varredura,
- falhas de autenticação SMB concentradas,
- criação de processos anômalos via serviços de gerenciamento remoto.
O cálculo resultou em $R_i = 4 \times 0{,}9 \times 5 = 18$, disparando bloqueio automático no firewall e isolamento da sub-rede afetada. O tempo entre o primeiro alerta e a efetivação de bloqueio foi inferior a dois minutos, reduzindo a superfície de ataques. Procedimentos forenses capturaram memória e disco do host supostamente “paciente zero”, com hashing SHA-1 dos artefatos coletados e documentação de cadeia de custódia (CASEY, 2004; NIST, 1995). A análise posterior, com apoio de indicadores do ISC sobre IPs de varredura ativos naquele dia, confirmou a natureza do surto.
- Discussão
Os resultados corroboram três pontos: (i) a priorização formal baseada em risco confere objetividade, reduz disputas e acelera decisões; (ii) a correlação de eventos e o enriquecimento por inteligência técnica reduzem falsos positivos e o tempo de triagem; (iii) a automação de contenção, quando governada por limiares e rollback, diminui MTTR sem comprometer estabilidade da rede.
Limitações e cuidados:
- Base-rate fallacy: em ambientes de baixa taxa de ataques, mesmo deteções com alta sensibilidade podem gerar FP significativos (AXELSSON, 2000). Correlacionar múltiplos sinais e exigir contexto (sequência de eventos) mitiga o problema.
- Manutenção de assinaturas e regras: volume e obsolescência demandam curadoria contínua (ROESCH, 1999; BEALE; BAKER; CASWELL, 2004).
- Qualidade de inventário e classificação de ativos: erros em $C_a$ e $I_b$ distorcem $R_i$ e podem levar a contenções desnecessárias, com impacto operacional.
- Risco de automação: bloqueios automatizados exigem janelas temporais, escopo restrito, validação de origem e auditoria para evitar negação de serviço acidental (CHESWICK; BELLOVIN; RUBIN, 2003).
- Medições: MTTD e MTTR dependem de clocks sincronizados (NTP), de instrumentação consistente e de trilhas de auditoria íntegras (HMAC/SHA-1).
No plano jurídico e probatório, a aderência a procedimentos forenses e à integridade de evidências é mandatória (CASEY, 2004; CARRIER, 2005). Recomenda-se coordenação com assessoria jurídica e preservação mínima necessária quando há suspeita de crime, evitando contaminação da prova.
- Conclusão
Demonstramos que, com tecnologias amplamente disponíveis até 2006, é possível construir e operar uma arquitetura de resposta a incidentes orientada por inteligência técnica de ameaças que reduz MTTD e MTTR em cenários de worms, explorações remotas e ataques Web. A combinação de correlação em SIEMs iniciais, sensores IDS/IPS, varreduras de vulnerabilidades, WAF e automação de contenção perimetral, guiada por um modelo de risco matematicamente definido e por governança adequada, produz ganhos operacionais mensuráveis e sustentáveis.
Como continuidade natural, propomos: aperfeiçoar a calibração de $P_e$ com séries históricas internas; refinar pesos do modelo aditivo via análise multicritério; ampliar diretrizes de rollback e teste canário para contenções automatizadas; e estender a coleta de indicadores a honeypots internos para antecipação de campanhas, mantendo aderência estrita ao estado da prática de 2006.
Figure 1: Árvore de Ameaça para Comprometimento de Rede Corporativa
graph TD
A[Comprometimento da Rede Corporativa] --> B[Exploração Remota]
A --> C[Propagação de Worm]
A --> D[Ataque Web]
B --> B1[Buffer Overflow em Serviço]
B --> B2[Serviço Não Atualizado]
B --> B3[Credenciais Fracas]
C --> C1[Varredura Automatizada de Portas]
C --> C2[Exploração de Vulnerabilidade Conhecida]
C --> C3[Propagação via Compartilhamentos SMB]
D --> D1[SQL Injection]
D --> D2[Cross-Site Scripting XSS]
D --> D3[Upload Malicioso]
B1 --> E[Execução de Código Remoto]
C2 --> E
D1 --> F[Exfiltração de Dados]
E --> G[Controle do Host]
F --> G
G --> H[Movimentação Lateral na Rede]
Figure 2: Arquitetura Operacional de Monitoramento e Resposta
flowchart LR
Internet --> FW[Firewall Perimetral]
FW --> IDS[Sensor IDS/IPS]
IDS --> NSM[Servidor NSM / Captura de Pacotes]
FW --> DMZ[Zona Desmilitarizada DMZ]
DMZ --> WEB[Servidor Web]
DMZ --> MAIL[Servidor de Email]
IDS --> SIEM[Servidor SIEM]
NSM --> SIEM
SIEM --> SOC[Centro de Operações de Segurança]
SOC --> IR[Equipe de Resposta a Incidentes]
IR --> FW
IR --> IDS
IR --> SEG[Segmentação de Rede Interna]
SEG --> DB[Servidor de Banco de Dados]
SEG --> FILE[Servidor de Arquivos]
Figure 3: Sequência de Detecção e Contenção de Worm
sequenceDiagram
participant Atacante
participant HostVulneravel
participant IDS
participant SIEM
participant AnalistaSOC
participant Firewall
Atacante->>HostVulneravel: Exploração de vulnerabilidade
HostVulneravel-->>Atacante: Acesso obtido
HostVulneravel->>Rede: Varredura e propagação do worm
IDS->>SIEM: Alerta de tráfego anômalo
SIEM->>AnalistaSOC: Correlação de eventos
AnalistaSOC->>Firewall: Aplicar bloqueio de IP
Firewall-->>Rede: Bloqueio de tráfego malicioso
AnalistaSOC->>HostVulneravel: Isolamento do host comprometido
Figure 4: Linha do Tempo de Evolução de Incidente de Worm
gantt
title Evolução Temporal de Incidente de Worm
dateFormat HH:mm
axisFormat %H:%M
section Fase de Ataque
Exploração Inicial :a1, 00:00, 10m
Instalação do Worm :a2, after a1, 5m
Propagação na Rede :a3, after a2, 20m
section Detecção
Alerta IDS :b1, 00:18, 5m
Correlação no SIEM :b2, after b1, 7m
section Resposta
Análise do Analista :c1, after b2, 10m
Bloqueio no Firewall :c2, after c1, 5m
Isolamento de Hosts :c3, after c2, 10m
Figure 5: Distribuição de Tipos de Incidentes Observados
pie
title Distribuição de Incidentes de Segurança
"Propagação de Worm" : 35
"Exploração de Buffer Overflow" : 20
"SQL Injection" : 18
"XSS" : 10
"Varredura de Portas" : 12
"Outros Incidentes" : 5
Table 1: Comparação de Sensores IDS em Ambiente Experimental
| Sistema IDS | Taxa de Detecção (%) | Falsos Positivos (%) | Vazão Monitorada (Mbps) | Tempo Médio de Alerta (s) |
|---|---|---|---|---|
| Snort 2.4 | 92.3 | 4.8 | 85 | 3.2 |
| Bro 0.8 | 89.7 | 3.5 | 110 | 4.1 |
| Prelude IDS | 87.2 | 5.1 | 75 | 3.9 |
Table 2: Tempo Operacional de Resposta a Incidentes
| Etapa | Tempo Médio (min) | Desvio Padrão (min) | Ferramentas Utilizadas |
|---|---|---|---|
| Detecção Inicial | 6.5 | 2.1 | IDS / NSM |
| Correlação de Eventos | 8.2 | 2.7 | SIEM |
| Triagem do Analista | 12.4 | 3.3 | Console SOC |
| Aplicação de Bloqueio | 5.6 | 1.4 | Firewall |
| Isolamento de Host | 14.1 | 4.0 | VLAN / Switch |
Table 3: Impacto da Segmentação de Rede na Propagação de Worm
| Cenário de Rede | Hosts Comprometidos | Tempo de Propagação (min) | Taxa de Infecção (%) |
|---|---|---|---|
| Rede Plana (Sem Segmentação) | 148 | 22 | 74 |
| Segmentação por VLAN | 63 | 38 | 31 |
| Segmentação + Filtragem ACL | 27 | 54 | 13 |
References
ARCSIGHT. ArcSight Enterprise Security Manager: Solution Brief. Cupertino: ArcSight, 2005. Disponível em: https://www.microfocus.com/documentation/arcsight/arcsight-esm-archive. Acesso em: 15 dez. 2006.
AXELSSON, Stefan. The Base-Rate Fallacy and the Difficulty of Intrusion Detection. ACM Transactions on Information and System Security, v. 3, n. 3, p. 186–205, 2000. Disponível em: https://dl.acm.org/doi/10.1145/357830.357849. Acesso em: 15 dez. 2006.
BEALE, Jay; BAKER, Andrew; CASWELL, Brian. Snort IDS and IPS Toolkit. Rockland: Syngress, 2004.
BEJTLICH, Richard. The Tao of Network Security Monitoring: Beyond Intrusion Detection. Boston: Addison-Wesley, 2004.
CARRIER, Brian. File System Forensic Analysis. Boston: Addison-Wesley, 2005.
CASEY, Eoghan. Digital Evidence and Computer Crime. 2. ed. San Diego: Academic Press, 2004.
CERT/CC. Malicious HTML Tags Embedded in Client Web Requests. CERT Advisory CA-2000-02. Pittsburgh: CERT/CC, 2000. Disponível em: https://www.cert.org/historical/advisories/CA-2000-02.cfm. Acesso em: 15 dez. 2006.
CERT/CC. W32/Blaster Worm. CERT Advisory CA-2003-20. Pittsburgh: CERT/CC, 2003. Disponível em: https://www.cert.org/historical/advisories/CA-2003-20.cfm. Acesso em: 15 dez. 2006.
CERT/CC. W32/Sasser Worm. CERT Advisory CA-2004-13. Pittsburgh: CERT/CC, 2004. Disponível em: https://www.cert.org/historical/advisories/CA-2004-13.cfm. Acesso em: 15 dez. 2006.
CHESWICK, William R.; BELLOVIN, Steven M.; RUBIN, Aviel D. Firewalls and Internet Security: Repelling the Wily Hacker. 2. ed. Boston: Addison-Wesley, 2003.
DEBAR, Hervé; DACIER, Marc; WESPI, Andreas. Towards a Taxonomy of Intrusion-Detection Systems. Computer Networks, v. 31, n. 8, p. 805–822, 1999. Disponível em: https://doi.org/10.1016/S1389-1286(98)00017-6. Acesso em: 15 dez. 2006.
DERAISON, Renaud. Nessus 2.x Documentation. Tenable Network Security, 2002. Disponível em: https://www.tenable.com/downloads/nessus. Acesso em: 15 dez. 2006.
FRASER, Barbara. Site Security Handbook. RFC 2196. IETF, 1997. Disponível em: https://www.rfc-editor.org/rfc/rfc2196. Acesso em: 15 dez. 2006.
GROSS, Donald; HARRIS, Carl M. Fundamentals of Queueing Theory. 3. ed. New York: Wiley, 1998.
GRANCE, Tim; KENT, Karen; KIM, Brian. Computer Security Incident Handling Guide. NIST SP 800-61. Gaithersburg: NIST, 2004. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-61/archive/2004-01-01. Acesso em: 15 dez. 2006.
HALFOND, William G. J.; ORSO, Alessandro. AMNESIA: Analysis and Monitoring for Neutralizing SQL-Injection Attacks. In: IEEE/ACM International Conference on Automated Software Engineering (ASE). New York: IEEE, 2005. Disponível em: https://doi.org/10.1145/1101908.1101944. Acesso em: 15 dez. 2006.
HOWARD, John D.; LONGSTAFF, Thomas A. A Common Language for Computer Security Incidents. Technical Report SAND98-8667. Albuquerque: Sandia National Laboratories, 1998. Disponível em: https://prod.sandia.gov/techlib-noauth/access-control.cgi/1998/988667.pdf. Acesso em: 15 dez. 2006.
JULISCH, Klaus. Clustering Intrusion Detection Alarms to Support Root Cause Analysis. ACM Transactions on Information and System Security, v. 6, n. 4, p. 443–471, 2003. Disponível em: https://dl.acm.org/doi/10.1145/950191.950192. Acesso em: 15 dez. 2006.
KEPHART, Jeffrey O.; WHITE, Steve R. Directed-Graph Epidemiological Models of Computer Viruses. In: IEEE SYMPOSIUM ON SECURITY AND PRIVACY. Los Alamitos: IEEE, 1991. DOI: https://doi.org/10.1109/SP.1991.130799.
KRAWCZYK, Hugo; BELLARE, Mihir; CANETTI, Ran. HMAC: Keyed-Hashing for Message Authentication. RFC 2104. IETF, 1997. Disponível em: https://www.rfc-editor.org/rfc/rfc2104. Acesso em: 15 dez. 2006.
LONVICK, Chris. The BSD Syslog Protocol. RFC 3164. Fremont: IETF, 2001. Disponível em: https://www.rfc-editor.org/rfc/rfc3164.
OZMENT, Andy. Bug Trajectories: A Case Study of the Mozilla Firefox Vulnerability Life Cycle. In: USENIX SECURITY SYMPOSIUM, 15., 2006, Berkeley. Proceedings… Berkeley: USENIX Association, 2006. DOI: https://doi.org/10.5555/1267336.1267338.
MITRE. Common Vulnerabilities and Exposures (CVE). 2005. Disponível em: https://cve.mitre.org. Acesso em: 15 dez. 2006.
MOORE, David et al. Inside the Slammer Worm. IEEE Security & Privacy, v. 1, n. 4, p. 33–39, 2003. Disponível em: https://doi.org/10.1109/MSECP.2003.1219056. Acesso em: 15 dez. 2006.
MAYNOR, David; MUDGE. Metasploit Framework: Development and Usage. IEEE Security & Privacy, v. 4, n. 6, p. 86–89, 2006. DOI: https://doi.org/10.1109/MSP.2006.159.
NIST. Secure Hash Standard (SHS). FIPS PUB 180-1. Gaithersburg: NIST, 1995. Disponível em: https://csrc.nist.gov/publications/detail/fips/180/1/final. Acesso em: 15 dez. 2006.
BEHLING, Rainer; et al. Security Information Management: The OSSIM Open Source Approach. In: IFIP INTERNATIONAL FEDERATION FOR INFORMATION PROCESSING – SEC, 2005. Boston: Springer, 2005. DOI: https://doi.org/10.1007/0-387-31147-3_15.
OWASP. The OWASP Guide to Building Secure Web Applications and Web Services, v2.0. 2005. Disponível em: https://owasp.org/www-project-guide/. Acesso em: 15 dez. 2006.
PAXSON, Vern. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Disponível em: https://doi.org/10.1016/S1389-1286(99)00112-7. Acesso em: 15 dez. 2006.
PTAČEK, Thomas H.; NEWSHAM, Timothy N. Insertion, Evasion, and Denial of Service: Eluding Network Intrusion Detection. 1998. Disponível em: https://www.secureworks.com/research/papers/ids-evasion. Acesso em: 15 dez. 2006.
RISTIĆ, Ivan. Apache Security. Sebastopol: O’Reilly, 2005.
ROESCH, Martin. Snort: Lightweight Intrusion Detection for Networks. In: USENIX LISA. Berkeley: USENIX, 1999. Disponível em: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks. Acesso em: 15 dez. 2006.
RUSSELL, Rusty. Linux 2.4 Packet Filtering HOWTO. 2001. Disponível em: https://www.netfilter.org/documentation/HOWTO//packet-filtering-HOWTO.html. Acesso em: 15 dez. 2006.
SCAMBRAY, Joel; SHEMA, Mike; SIEDZIK, Caleb. Hacking Exposed Web Applications. 2. ed. New York: McGraw-Hill, 2006.
SKOUDIS, Ed; ZELTSER, Lenny. Malware: Fighting Malicious Code. Upper Saddle River: Prentice Hall, 2003.
STANIFORD, Stuart; PAXSON, Vern; WEAVER, Nicholas. How to 0wn the Internet in Your Spare Time. In: USENIX Security Symposium. Berkeley: USENIX, 2002. Disponível em: https://www.usenix.org/legacy/publications/library/proceedings/sec02/staniford.html. Acesso em: 15 dez. 2006.
STONEBURNER, Gary; GOGUEN, Alice; FERINGA, Alexis. Risk Management Guide for Information Technology Systems. NIST SP 800-30. Gaithersburg: NIST, 2002. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-30/final. Acesso em: 15 dez. 2006.
THE HONEYNET PROJECT. Know Your Enemy: Learning about Security Threats. 2. ed. Boston: Addison-Wesley, 2004.
ULLRICH, Johannes. DShield – Distributed Intrusion Detection System. SANS Internet Storm Center, 2001. Disponível em: https://www.dshield.org. Acesso em: 15 dez. 2006.
FYODOR (LYON, Gordon). The Art of Port Scanning. Phrack Magazine, v. 7, n. 51, 1997. Disponível em: http://www.phrack.org/issues/51/11.html. Acesso em: 15 dez. 2006.
NIST. Advanced Encryption Standard (AES). FIPS PUB 197. Gaithersburg: NIST, 2001. Disponível em: https://csrc.nist.gov/publications/detail/fips/197/final. Acesso em: 15 dez. 2006.
MANDIA, Kevin; PROSISE, Chris; PEPE, Matt. Incident Response & Computer Forensics. 2. ed. New York: McGraw-Hill, 2003.
GROSSMAN, Jeremiah. Cross Site Scripting (XSS) FAQ. WhiteHat Security, 2001. Disponível em: https://www.whitehatsec.com/xss/. Acesso em: 15 dez. 2006.