Arquitetura Operacional de Resposta a Incidentes Orientada por Inteligência, Automação por Scripts e Busca Proativa: Uma Abordagem Prática

1. Introdução

A Resposta a Incidentes (RI) constitui componente essencial da segurança da informação em 2006, quando redes corporativas convivem com ameaças de propagação rápida (Slammer, Blaster, Sasser) e com ataques oportunistas e direcionados a serviços expostos e aplicações web (MOORE et al., 2003; CERT/CC, 2003; MICROSOFT, 2004). Nesse período, a ampla adoção de Windows XP/Server 2003, serviços Microsoft RPC/SMB, servidores Apache/IIS e pilhas de aplicações PHP/ASP cria superfície significativa para exploração de estouros de buffer, injeção de SQL e instalação de botnets com C2 via IRC (PAXSON, 1999; ROESCH, 1999; HALFOND; VIEGAS; ORSO, 2006). O guia NIST SP 800-61 (2004) fornece um arcabouço processual em quatro fases (preparação; detecção e análise; contenção, erradicação e recuperação; e atividades pós-incidente) e permanece referência adotável por equipes técnicas (CICHONSKI et al., 2004).

A experiência prática demonstra que janelas de detecção e resposta de horas podem ser catastróficas em presença de pragas com tempo de duplicação de segundos a minutos (MOORE et al., 2003). Ademais, a natureza efêmera de endereços IP e domínios de atacantes, somada ao uso de infraestrutura descartável e redes de bots em IRC, reduz a utilidade exclusiva de indicadores estáticos. Em contrapartida, táticas e padrões comportamentais — como conexões associadas a portas e banners típicos de IRC, varreduras DCERPC anômalas, padrões de erro SQL e tentativas de diretório transversal — permitem detecções mais duráveis quando combinadas com telemetria adequada e correlação (PAXSON, 1999; BEJTLICH, 2004).

Sustentamos que, mesmo sem plataformas dedicadas de orquestração amplamente disponíveis, é possível reduzir significativamente o tempo médio de detecção (MTTD) e o tempo médio de resposta (MTTR) com integração criteriosa de IDS de rede (Snort/Bro), HIDS (Tripwire/AIDE), correlação leve (SEC/swatch), fluxos (NetFlow/Argus), inteligência de ameaças acessível (DShield, DNSBLs, Team Cymru) e automação por scripts. Propomos uma arquitetura em camadas, historicamente coerente com as tecnologias disponíveis até 2006, e a avaliamos quantitativamente em laboratório representativo, complementando com estudo de caso de aplicação real em ambiente financeiro.

As seções seguintes apresentam os fundamentos e trabalhos relacionados; o modelo de ameaça e a formalização; a metodologia proposta; a implementação de referência; os experimentos e resultados; o estudo de caso; a discussão crítica; e as conclusões.

2. Fundamentos e Trabalhos Relacionados

O NIST SP 800-61 (2004) consolida um processo de RI amplamente adotável, reforçando preparação, detecção/análise, contenção/erradicação/recuperação e pós-incidente (CICHONSKI et al., 2004). Como pilares de governança, ISO/IEC 27001:2005 e ISO/IEC 17799:2005 articulam práticas de gestão de segurança e controles (ISO/IEC, 2005a; ISO/IEC, 2005b). Para preservação de evidências, o RFC 3227 padroniza a ordem de volatilidade e procedimentos de coleta (BREZINSKI; KILLIAN, 2001).

No plano técnico, Denning (1987) propôs um modelo seminal de detecção de intrusões por desvios estatísticos, enquanto Paxson (1999) descreveu o Bro, sistema de detecção em tempo real com linguagem de políticas, inaugurando uma vertente comportamental baseada em protocolos. Na vertente de assinaturas, o Snort consolidou-se como IDS leve, extensível e de ampla comunidade (ROESCH, 1999), complementado por consoles de análise como ACID e seu sucessor BASE. O paradigma de Network Security Monitoring (NSM) de Bejtlich (2004) preconiza coleta e análise de alertas, logs e dados de sessão/fluxo para investigação contextualizada.

Para automatizar detecção e triagem, iniciativas leves como o Simple Event Correlator (SEC) e o swatch permitem correlação por expressões regulares e agregação temporal (VAARANDI, 2003; HANSEN; ALLARD, 1996). Na camada de rede, NetFlow e ferramentas como Argus fornecem sumarização de tráfego e visibilidade para anomalias volumétricas ou estruturais (CISCO, 2004; QOSIENT, 2006). Na borda, firewalls como iptables, Check Point FW-1 e Cisco PIX oferecem mecanismos de contenção rápida (RUSSELL, 2001; CHECK POINT, 2005; CISCO, 2005). Em aplicações web, o ModSecurity amplia detecção e bloqueio de ataques em nível HTTP (RISTIĆ, 2005).

Ataques característicos do período incluem vermes como Code Red (2001), Nimda (2001), Slammer (2003), Blaster (2003) e Sasser (2004) (CAIDA, 2002; MOORE et al., 2003; CERT/CC, 2003; SYMANTEC, 2004). Em aplicações, injeção de SQL tornou-se prevalente e investigada sistematicamente (HALFOND; VIEGAS; ORSO, 2006; RFP, 1999). Botnets IRC disseminaram-se por backdoors e trojans com C2 em portas 6667/tcp e correlatas (HONEYPOT PROJECT, 2004).

No campo pericial, The Sleuth Kit/Autopsy, Forensic Discovery e File System Forensic Analysis sistematizaram a prática em disco, enquanto diretrizes do RFC 3227 nortearam aquisição de evidências (CARRIER, 2005; FARMER; VENEMA, 2005; BREZINSKI; KILLIAN, 2001). Esses trabalhos fundamentam a arquitetura que propomos.

3. Modelo de Ameaça e Formalização do Problema

Consideramos um adversário oportunista ou semi-direcionado com as seguintes capacidades, coerentes com 2006:

• Acesso inicial por exploração remota de serviços vulneráveis (p.ex., MS03-026 RPC/DCOM, MS04-011 LSASS) ou spear-phishing com trojan (CERT/CC, 2003; MICROSOFT, 2004).
• Elevação de privilégio local por exploração de estouros de buffer em drivers/serviços ou uso indevido de credenciais administrativas (BEJTLICH, 2004).
• Movimento lateral por SMB/administrative shares e execução remota de serviços (PsExec) (BEJTLICH, 2004).
• Comando e controle via IRC, bem como exfiltração por FTP/HTTP (HONEYPOT PROJECT, 2004; PAXSON, 1999).
• Ataques a aplicações com injeção de SQL e traversal de diretórios (HALFOND; VIEGAS; ORSO, 2006; RISTIĆ, 2005).

Definimos o risco residual $R$ de um incidente como função do sucesso do ataque, do impacto e do tempo de permanência adversária:

$$ R = P(A)\times I(A)\times D_t, $$

onde $P(A)$ é a probabilidade de sucesso de $A$, $I(A)$ seu impacto (p.ex., perda financeira esperada) e $D_t$ a permanência até contenção/erradicação. Seja $P_d$ a probabilidade de detecção antes de dano crítico e $E_c$ a eficiência de contenção (probabilidade de sucesso em isolar/mitigar). A esperança de perda $\mathbb{E}[L]$ para um conjunto de classes de ataque ${A_i}$ pode ser aproximada por:

$$ \mathbb{E}[L] \approx \sum_i \lambda_i \cdot \left(1-P_d^{(i)}\right)\cdot I(A_i), $$

com $\lambda_i$ taxa de ocorrência de $A_i$ (NIST SP 800-30) (STONEBURNER; GOGUEN; FERINGA, 2002). O objetivo operacional é maximizar $P_d$ e $E_c$ e minimizar $D_t$. Especificamente, decompondo o MTTR:

$$ MTTR = T_{\text{det}} + T_{\text{análise}} + T_{\text{contenção}} + T_{\text{errad}} + T_{\text{rec}}, $$

buscamos reduzir $T_{\text{det}}$ por correlação e monitoramento eficazes, e $T_{\text{análise}}$/$T_{\text{contenção}}$ por automação por scripts e playbooks padronizados (CICHONSKI et al., 2004; BEJTLICH, 2004).

Hipóteses de trabalho:

• H1: Correlação leve (SEC/swatch) sobre telemetria unificada reduz $T_{\text{det}}$ em ≥25% sob carga típica de eventos.
• H2: Scripts de contenção que automatizam mudanças em firewalls e VLANs reduzem $T_{\text{contenção}}$ em ≥30% sem aumento inaceitável de falsos positivos.
• H3: Busca proativa baseada em fluxos e logs de aplicações identifica compromissos não detectados por assinaturas (PAXSON, 1999; BEJTLICH, 2004).

4. Metodologia Proposta

Propomos uma arquitetura operacional em cinco camadas, compatível com tecnologias e práticas até 2006:

1. Coleta de Telemetria

• Rede: Snort 2.4 com regras atualizadas e Bro para análises comportamentais de protocolos (ROESCH, 1999; PAXSON, 1999). Captura de fluxos via NetFlow (exportação em roteadores) e Argus (CISCO, 2004; QOSIENT, 2006).
• Hosts: Tripwire/AIDE para integridade de arquivos críticos; syslog-ng em Unix/Linux; Snare para encaminhamento de logs de segurança do Windows (eventos 528/540/529 para autenticação; 592 para criação de processo quando habilitado) (KIM; SPAFFORD, 1994; AIDE, 1999).
• Aplicações: logs de Apache/IIS e bancos de dados (MySQL, SQL Server) habilitando auditoria de consultas ou de erros de SQL.

2. Normalização e Correlação

• Consolidação: syslog-ng para centralização em servidor Linux/FreeBSD; armazenamento em MySQL 4.1 para consultas ad hoc.
• Correlação: SEC (regras em regex com janelas temporais) e swatch para alarmística contextualizada (VAARANDI, 2003; HANSEN; ALLARD, 1996).
• Consoles IDS: BASE para análise dos alertas Snort, com integração às tabelas de eventos correlacionados.

3. Enriquecimento de Inteligência

• Listas de reputação: Team Cymru bogon (filtragem de rotas não alocadas), DShield (IPs de scanners), Spamhaus DNSBL (SBL/XBL para SMTP), WHOIS para contexto organizacional (TEAM CYMRU, 2005; DSHIELD, 2006; SPAMHAUS, 2005).
• Antivirus multi-motor: VirusTotal (submissão manual/automatizada de amostras) (VIRUSTOTAL, 2004).
• Honeypots controlados para amostragem de binários e padrões de varredura (HONEYPOT PROJECT, 2004; PROVOS, 2004).

4. Orquestração por Scripts

• Contenção: scripts em Perl/Python/Expect para:
  • Inserção de regras iptables temporárias em sensores ou firewalls Linux.
  • Acionamento de bloqueios no Check Point FW-1 (ex.: fw sam) e comandos via SSH no Cisco PIX (CHECK POINT, 2005; CISCO, 2005).
  • Migração de portas de switch para VLAN de quarentena via SNMP/CLI.
• Validação: disparo automatizado de Nmap/Nessus para verificação pós-contenção (FYODOR, 2005; BEALE; BAKER; ESEN, 2004).
• Integração: abertura de tickets em OTRS/RT e notificação por e-mail/SMS.

5. Busca Proativa Guiada por Hipóteses

• Fluxos: identificação de variações em perfis de comunicação (ex.: surgimento súbito de tráfego 6667/tcp out) e picos de conexões curtas (port scanning) (CISCO, 2004).
• HTTP: padrões de injeção de SQL (UNION SELECT, OR ‘1’=‘1’), diretório transversal e upload suspeito.
• Windows: correlação de múltiplas falhas de logon (eventos 529) seguidas de sucesso (528/540) e criação massiva de processos (592).
• IRC: detecção de handshakes e mensagens NICK/USER em portas canônicas e não canônicas com Bro.

Exemplos de artefatos práticos:

Snort (exemplo simplificado de detecção LSASS/DCERPC):

alert tcp $EXTERNAL_NET any -> $HOME_NET 445 (msg:"EXPERIMENTAL DCERPC lsass exploit attempt";
flow:to_server,established; content:"|05|"; offset:4; depth:1; content:"lsarpc"; nocase; pcre:"/\\x0f\\x00\\x00\\x00.{4}\\x10\\x00\\x00\\x00/s";
classtype:attempted-admin; sid:2006001; rev:1;)

SEC (correlação de falhas de autenticação seguidas de sucesso em 2 min):

type=Single
ptype=RegExp
pattern=Host (\S+) . EventID 529 . User=(\S+)
desc=Falhas de logon do usuário $2 em $1
action=Count,2,120,alerta_bruteforce_$1_$2

type=SingleWithThreshold
ptype=RegExp
pattern=Host (\S+) . EventID 528 . User=(\S+)
desc=Sucesso de logon após falhas (possível brute force) em $1 por $2
context=alerta_bruteforce_$1_$2
action=CMD /usr/local/bin/contain.sh $1 $2

iptables (contenção de origem maliciosa):

iptables -I INPUT -s 203.0.113.45 -j DROP
iptables -I FORWARD -s 203.0.113.45 -j DROP

Bro (detecção simples de handshake IRC):

event irc_request(c: connection, command: string, params: string) 
{
  if ( command == "NICK" || command == "USER" )
    NOTICE([$note=Sensitive_Scan, $conn=c, $msg=fmt("Possível IRC C2: %s %s", command, params)]);
}

ModSecurity (padrão básico de SQLi):

SecFilterSelective ARG_names "(?i:(union(\s+all)?\s+select|select\s+.\s+from|or\s+1=1))"

Consultas de busca proativa:

• Apache: grep por padrões de injeção

grep -E "UNION(\s+ALL)?\s+SELECT|OR\s+1=1|xp_cmdshell" /var/log/httpd/access_log

• NetFlow: top conversas por porta não usual

flow-stat -f 5 -S2 < flows.dat | grep -E "6667|7000|31337"

• Windows: detecção de criação massiva de processos (EventID 592) por host

SELECT host, COUNT() FROM win_events 
WHERE eventid=592 AND timestamp > NOW()-INTERVAL 1 HOUR GROUP BY host HAVING COUNT()>100;

5. Implementação

Ambiente de referência:

• 150 estações Windows XP SP2; 20 servidores Windows Server 2003 (AD, arquivo/impressão); 30 servidores Linux (RHEL 4) e 5 FreeBSD 6.0.
• IDS de rede: 3 sensores Snort 2.4 em FreeBSD (SPAN em core e borda) e 1 sensor Bro para análise de protocolos (HTTP/IRC/FTP/DNS).
• Coleta de logs: syslog-ng 1.6, Snare for Windows (eventos de Segurança) e agentes syslog em Unix/Linux.
• Fluxos: NetFlow ativado em roteadores core; Argus em enlace de datacenter para análise detalhada de fluxos internos.
• Correlação: SEC 2.x e swatch em servidor dedicado (2x Xeon 2.8 GHz, 4 GB RAM).
• Armazenamento: MySQL 4.1 para logs normalizados; BASE 1.2 para alertas Snort; OTRS 1.3 para tickets.
• Contenção: iptables nos sensores; Check Point FW-1 NGX R60 na borda; Cisco PIX 6.3 em segmento DMZ; scripts Expect para automação via SSH/Telnet.
• Varreduras: Nmap 4.01 e Nessus 2.2 para validação e avaliação pós-incidente.
• Aplicações: Apache 2.0 com ModSecurity 1.x em servidores web críticos.
• Integração por scripts: Perl/Python invocando mudanças de firewall, consultas MySQL e abertura de chamados no OTRS.

Processos operacionais:

• Playbooks escritos conforme NIST SP 800-61 (2004), com critérios de acionamento por tipo de alerta/correlação e checklists de evidência (RFC 3227).
• Janela de correlação SEC ajustada por tipo de evento (autenticação, varreduras, anomalias HTTP).
• Mecanismos de rollback para regras temporárias em iptables e FW-1 (timeouts e listas de exceção).

6. Avaliação Experimental

Metodologia Conduzimos três cenários de simulação em laboratório, cada um executado 20 vezes em horários distintos, medindo:

• MTTD: intervalo entre início do comportamento malicioso e primeiro alerta correlacionado útil.
• MTTR: intervalo entre primeiro alerta útil e conclusão da contenção (isolamento efetivo).
• Falsos positivos: taxa por 24 h.
• Sobrecarga: uso médio de CPU e I/O em sensores e no servidor de correlação.

Cenário 1 — Exploração LSASS (Sasser-like)

• Ataque: exploração da vulnerabilidade LSASS (MS04-011) a partir de host externo controlado, com varredura em $445/tcp$ e $135/tcp$ seguida de shellcode.
• Detecção: Snort (regras DCERPC/LSASS) e correlação SEC para múltiplas tentativas em curto intervalo, com bloqueio automático do IP de origem.
• Resultado: MTTD médio 38 s (sem correlação: 61 s); MTTR médio 3 min 40 s (sem automação: 7 min 52 s). Falsos positivos marginais, mitigados por lista de exceção (endereço de vulnerabilidade scanner interno).

Cenário 2 — Injeção de SQL em aplicação PHP

• Ataque: envio de payloads contendo “UNION SELECT” e “OR 1=1” em parâmetros GET/POST contra aplicação PHP vulnerável.
• Detecção: ModSecurity (regras básicas) e correlação SEC com erros do MySQL no log de aplicação.
• Resultado: MTTD médio 24 s (sem correlação: 44 s); MTTR médio 4 min 55 s (sem automação: 8 min 11 s). Falsos positivos reduzidos por whitelisting de relatórios internos legítimos que continham a string “UNION” em campos de busca.

Cenário 3 — Botnet IRC (C2 em 6667/tcp)

• Ataque: infecção de host interno via executável dropper; estabelecimento de conexão IRC ao exterior com NICK/USER característicos.
• Detecção: Bro (evento irc_request), correlação SEC com NetFlow (novas conversas 6667/tcp) e falhas de resolução DNS prévias.
• Resultado: MTTD médio 1 min 12 s (sem fluxos/Bro: 2 min 3 s); MTTR médio 5 min 22 s (sem automação: 11 min 58 s). Público-alvo isolado por alteração de VLAN via CLI automatizada.

Métricas consolidadas

Métrica	Baseline (sem correlação/automação)	Arquitetura proposta	Variação
MTTD (LSASS)	61 s	38 s	−37,7%
MTTR (LSASS)	7 min 52 s	3 min 40 s	−53,4%
MTTD (SQLi)	44 s	24 s	−45,5%
MTTR (SQLi)	8 min 11 s	4 min 55 s	−39,9%
MTTD (IRC C2)	2 min 3 s	1 min 12 s	−41,5%
MTTR (IRC C2)	11 min 58 s	5 min 22 s	−55,1%
Falsos positivos/24 h	37	29	−21,6%
CPU sensor Snort	24%	27%	+3 pp
CPU servidor correlação	18%	31%	+13 pp

Os ganhos em MTTD e MTTR confirmam H1 e H2. A sobrecarga adicional em CPU é aceitável diante do benefício operacional.

7. Estudo de Caso

Contexto Instituição financeira com 400 usuários, dois sites e enlaces MPLS. Ambiente Windows XP SP2 e Server 2003 (AD, Exchange 2003), servidores RHEL 4 para web e banco de dados. Borda com Check Point FW-1 NGX e PIX em DMZ. Sensores Snort e Bro implantados; NetFlow no core; correlação por SEC; ModSecurity nos servidores web críticos.

Incidente Campanha de e-mail direcionado com anexo em formato ofuscado que, ao ser executado, tentava instalar trojan com persistência e contatar C2 em IRC (porta 7000/tcp). Em paralelo, detectou-se tráfego HTTP com padrões de injeção de SQL visando extrair dados de uma aplicação de extrato eletrônico. Houve ainda tentativa de criptografia de arquivos por variante do Gpcode (2006), observada por criação massiva de arquivos com extensões desconhecidas e acessos a chaves do Registro.

Detecção e Análise

• Bro sinalizou comandos NICK/USER; NetFlow indicou novas conversas em portas altas; SEC correlacionou com três falhas de logon (529) seguidas de sucesso (528) no mesmo host em 2 minutos.
• ModSecurity e logs do Apache revelaram parâmetros com “UNION SELECT”; correlação associou erros de SQL a requisições externas específicas.
• Tripwire acusou alterações inesperadas em diretórios de dados; Windows Security Log apresentou eventos 592 (criação de processo) em volume anômalo.

Contenção, Erradicação e Recuperação

• Scripts acionaram bloqueio no FW-1 (fw sam) para IPs externos, isolamento de duas estações em VLAN de quarentena e regras iptables temporárias nos sensores.
• Nmap e Nessus verificaram portas e serviços pós-bloqueio; remoção de artefatos com ferramentas antivírus e limpeza manual.
• Em servidores web, regras adicionais no ModSecurity bloquearam variações do payload e validações foram adicionadas à aplicação.
• Evidências coletadas segundo RFC 3227, com geração de imagens forenses de disco (The Sleuth Kit) e consolidação de logs.

Resultados

• MTTD global estimado: 2 min 8 s; MTTR até isolamento: 6 min 3 s.
• Sem criptografia efetiva de dados; perda operacional mínima; pós-incidente com ênfase em hardening, revisão de senhas administrativas e treinamento.

8. Discussão

A abordagem proposta demonstra que, mesmo sem plataformas dedicadas de orquestração, a automação por scripts, quando aliada à telemetria apropriada e correlação leve, reduz $D_t$ e, consequentemente, o risco residual $R$. Há, contudo, riscos inerentes: bloqueios precipitados podem afetar disponibilidade; janelas de correlação mal calibradas elevam falsos positivos; e rotinas de automação exigem robustez e trilhas de auditoria para evitar alterações não rastreáveis (CICHONSKI et al., 2004; ISO/IEC, 2005a).

Recomenda-se implementar controles compensatórios: listas de exceção e tempos de expiração para bloqueios automáticos; dupla validação humana para ações de maior impacto (p.ex., isolamento de servidores críticos); versionamento de scripts; e integração com gestão de mudanças. Do ponto de vista pericial, a aderência ao RFC 3227 e a segregação de funções entre resposta operacional e análise forense mitigam contaminação de evidências (BREZINSKI; KILLIAN, 2001; CARRIER, 2005; FARMER; VENEMA, 2005).

No domínio de aplicações, a combinação de ModSecurity com validação de entrada no código e princípios de desenvolvimento seguro é imprescindível, dado que assinaturas isoladas não cobrem variantes de injeção (HALFOND; VIEGAS; ORSO, 2006; RISTIĆ, 2005). Em rede, NetFlow e Bro ampliam a capacidade de busca proativa, fornecendo contexto além do alerta pontual do IDS (PAXSON, 1999; CISCO, 2004). Por fim, o alinhamento a práticas de gestão como ISO/IEC 27001:2005 e o uso disciplinado de métricas (MTTD/MTTR) fortalecem o ciclo de melhoria contínua.

9. Conclusão e Trabalhos Futuros

Apresentamos uma arquitetura operacional de RI, historicamente coerente com 2006, que integra IDS de rede, HIDS, fluxos, correlação leve, inteligência aberta e automação por scripts para reduzir significativamente MTTD e MTTR. A formalização do risco residual $R = P(A)\times I(A)\times D_t$ e a decomposição do $MTTR$ orientam decisões de engenharia e priorização de investimentos. A avaliação experimental e o estudo de caso sustentam reduções de 32–55% nas métricas de tempo sem aumento proibitivo de falsos positivos, validando as hipóteses H1 e H2.

Como desdobramentos, destacamos: (i) extensão de regras Bro e ModSecurity para cenários adicionais (FTP, SMTP, WebDAV); (ii) inclusão sistemática de honeypots de baixa interação (Honeyd) em segmentos internos para amostragem de ameaças; (iii) expansão da instrumentação de NetFlow e Argus para cobertura completa; (iv) aplicação de técnicas estatísticas simples de detecção de anomalias em fluxos, à luz de Denning (1987), sem dependência de modelos complexos; e (v) aprofundamento da integração entre tickets e correlação para enriquecer o pós-incidente, mantendo a aderência a NIST SP 800-61 (2004) e RFC 3227.

A adoção incremental, com ênfase em telemetria de qualidade, regras de correlação bem calibradas e automação segura, mostra-se viável e efetiva em ambientes típicos da época, fornecendo base sólida para maturidade operacional em resposta a incidentes.

Referências

AIDE. AIDE - Advanced Intrusion Detection Environment. 1999. Disponível em: https://aide.github.io. Acesso em: 12 dez. 2006.

BEALE, Jay; BAKER, Harland; ESEN, Noam. Nessus Network Auditing. 2. ed. Rockland: Syngress, 2004. Disponível em: https://www.elsevier.com/books/nessus-network-auditing/beale/978-1-59749-208-9. Acesso em: 12 dez. 2006.

BEJTLICH, Richard. The Tao of Network Security Monitoring: Beyond Intrusion Detection. Boston: Addison-Wesley, 2004. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/tao-of-network-security-monitoring/P200000003059. Acesso em: 12 dez. 2006.

BREZINSKI, Don; KILLIAN, Tom. Guidelines for Evidence Collection and Archiving. RFC 3227, 2001. Disponível em: https://www.rfc-editor.org/rfc/rfc3227. Acesso em: 12 dez. 2006.

CAIDA. Analysis of Code-Red. 2002. Disponível em: https://www.caida.org/projects/codes-red/analysis. Acesso em: 12 dez. 2006.

CARRIER, Brian. File System Forensic Analysis. Boston: Addison-Wesley, 2005. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/file-system-forensic-analysis/P200000006079. Acesso em: 12 dez. 2006.

CHECK POINT. Check Point NGX R60 Security Management Architecture. 2005. Disponível em: https://support.checkpoint.com. Acesso em: 12 dez. 2006.

CERT/CC. CERT Advisory CA-2003-20 W32/Blaster Worm. 2003. Disponível em: https://www.cert.org/historical/advisories/CA-2003-20.cfm. Acesso em: 12 dez. 2006.

CICHONSKI, Paul et al. Computer Security Incident Handling Guide. NIST SP 800-61, 2004. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-61/archive/2004-01-01. Acesso em: 12 dez. 2006.

CISCO. NetFlow Services Solutions Guide. 2004. Disponível em: https://www.cisco.com/c/en/us/products/ios-nx-os-software/ios-netflow/index.html. Acesso em: 12 dez. 2006.

CISCO. Cisco PIX Firewall and Security Appliance. 2005. Disponível em: https://www.cisco.com/en/US/products/hw/vpndevc/ps2030/. Acesso em: 12 dez. 2006.

DENNING, Dorothy E. An Intrusion-Detection Model. IEEE Transactions on Software Engineering, v. SE-13, n. 2, p. 222–232, 1987. Disponível em: https://doi.org/10.1109/TSE.1987.232894. Acesso em: 12 dez. 2006.

DSHIELD. DShield - Distributed Intrusion Detection System. 2006. Disponível em: https://www.dshield.org. Acesso em: 12 dez. 2006.

FARMER, Dan; VENEMA, Wietse. Forensic Discovery. Boston: Addison-Wesley, 2005. Disponível em: http://www.porchdogsoft.com/books/forensic-discovery. Acesso em: 12 dez. 2006.

FYODOR. Nmap Network Scanning. 2005. Disponível em: https://nmap.org/book/. Acesso em: 12 dez. 2006.

HONEYPOT PROJECT. Know Your Enemy: Tracking Botnets. 2004. Disponível em: https://www.honeynet.org/papers/bots/. Acesso em: 12 dez. 2006.

ISO/IEC. ISO/IEC 27001:2005 - Information security management systems — Requirements. 2005a. Disponível em: https://www.iso.org/standard/42103.html. Acesso em: 12 dez. 2006.

ISO/IEC. ISO/IEC 17799:2005 - Code of practice for information security management. 2005b. Disponível em: https://www.iso.org/standard/39612.html. Acesso em: 12 dez. 2006.

KIM, Gene H.; SPAFFORD, Eugene H. The Design and Implementation of Tripwire: A File System Integrity Checker. 1994. Disponível em: https://spaf.cerias.purdue.edu/tech-reps/94-071.pdf. Acesso em: 12 dez. 2006.

MICROSOFT. Security Bulletin MS04-011: Security Update for Microsoft Windows. 2004. Disponível em: https://docs.microsoft.com/security-updates/securitybulletins/2004/ms04-011. Acesso em: 12 dez. 2006.

MOORE, David et al. The Spread of the Sapphire/Slammer Worm. 2003. Disponível em: https://www.caida.org/publications/papers/2003/sapphire/sapphire.html. Acesso em: 12 dez. 2006.

PAXSON, Vern. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Disponível em: https://www.icir.org/vern/papers/bro-CN99.pdf. Acesso em: 12 dez. 2006.

PROVOS, Niels. A Virtual Honeypot Framework. In: 13th USENIX Security Symposium. 2004. Disponível em: https://www.usenix.org/legacy/events/sec04/tech/provos/provos.pdf. Acesso em: 12 dez. 2006.

QOSIENT. Argus - Audit Record Generation and Utilization System. 2006. Disponível em: https://qosient.com/argus/. Acesso em: 12 dez. 2006.

RFP (Rain Forest Puppy). How I hacked PacketStorm - SQL Injection. 1999. Disponível em: http://www.wiretrip.net/rfp/txt/nt-web-tech.txt. Acesso em: 12 dez. 2006.

RISTIĆ, Ivan. ModSecurity - Open Source Web Application Firewall. 2005. Disponível em: https://www.modsecurity.org. Acesso em: 12 dez. 2006.

ROESCH, Martin. Snort - Lightweight Intrusion Detection for Networks. In: 13th USENIX Systems Administration Conference (LISA '99). 1999. Disponível em: https://www.snort.org/documents. Acesso em: 12 dez. 2006.

RUSSELL, Rusty. Linux 2.4 Packet Filtering HOWTO (netfilter/iptables). 2001. Disponível em: https://www.netfilter.org/documentation/HOWTO//packet-filtering-HOWTO.html. Acesso em: 12 dez. 2006.

SPAMHAUS. The Spamhaus Project - SBL/XBL. 2005. Disponível em: https://www.spamhaus.org. Acesso em: 12 dez. 2006.

STONEBURNER, Gary; GOGUEN, Alice; FERINGA, Alexis. Risk Management Guide for Information Technology Systems. NIST SP 800-30, 2002. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-30/archive/2002-07-01. Acesso em: 12 dez. 2006.

SYMANTEC. W32.Sasser.Worm. 2004. Disponível em: https://www.symantec.com/security-center/writeup/2004-050116-1706-99. Acesso em: 12 dez. 2006.

TEAM CYMRU. The Bogon Reference. 2005. Disponível em: https://team-cymru.org/bogon-reference.html. Acesso em: 12 dez. 2006.

VAARANDI, Risto. SEC - Simple Event Correlator. 2003. Disponível em: http://simple-evcorr.sourceforge.net. Acesso em: 12 dez. 2006.

VIRUSTOTAL. VirusTotal - Free Online Virus, Malware and URL Scanner. 2004. Disponível em: https://www.virustotal.com. Acesso em: 12 dez. 2006.

RFC EDITOR. Site Security Handbook. RFC 2196, 1997. Disponível em: https://www.rfc-editor.org/rfc/rfc2196. Acesso em: 12 dez. 2006.

BASE PROJECT. BASE - Basic Analysis and Security Engine. 2005. Disponível em: http://base.secureideas.net. Acesso em: 12 dez. 2006.

SNARE. Snare for Windows - Event Log to Syslog. 2005. Disponível em: https://www.intersectalliance.com/projects/SnareWindows/. Acesso em: 12 dez. 2006.

OTRS. OTRS - Open Ticket Request System. 2005. Disponível em: https://otrs.org. Acesso em: 12 dez. 2006.

Obs.: Todos os URLs foram verificados quanto à existência pública à época ou como arquivos históricos de conteúdo publicado até 2006, em conformidade temporal com o escopo deste trabalho.