Arquitetura Operacional de Resposta a Incidentes Baseada em Correlação de Eventos, IDS/IPS e Análise Forense: Modelo Formal, Implementação e Avaliação Empírica em Ambientes Corporativos (2006)

1. Introduction

A segurança de redes corporativas em 2006 caracteriza-se por forte dependência de controles de perímetro, tais como firewalls com inspeção de estado, proxies e sistemas de detecção e prevenção de intrusões (IDS/IPS) predominantemente baseados em assinaturas (DENNING, 1987; CHESWICK; BELLOVIN; RUBIN, 2003; ROESCH, 1999). Apesar desses mecanismos, incidentes decorrentes de worms de propagação automática, exploração de serviços expostos e uso indevido de credenciais legítimas permanecem frequentes, como evidenciado por estudos de epidemias como Code Red, Slammer e Blaster (CERT/CC, 2001; MOORE et al., 2003; CERT/CC, 2003). A literatura técnica demonstra que vulnerabilidades conhecidas, particularmente estouros de buffer e falhas de validação de entrada, continuam sendo vetores predominantes de comprometimento (ALEPH ONE, 1996; FORRISTAL, 2002; HOWARD; LIPNER, 2003; CHESS; WEST, 2004).

O guia do NIST para tratamento de incidentes (GRANCE; KENT; KIM, 2004) estabelece quatro fases fundamentais: preparação; detecção e análise; contenção, erradicação e recuperação; e atividades pós-incidente. Todavia, muitas organizações implementam tais fases de maneira ad hoc, sem modelagem formal do processo decisório nem métricas quantitativas consistentes. Simultaneamente, a literatura de correlação de alertas e detecção distribuída discute mecanismos de agregação e priorização de eventos, mas com aplicação desigual na prática corporativa (PORRAS; NEUMANN, 1997; VALDES; SKINNER, 2001; PAXSON, 1999).

Propomos, portanto, uma arquitetura operacional de resposta a incidentes baseada em correlação estruturada de eventos, integração entre IDS/IPS (Snort), análise de vulnerabilidades (Nessus), testes controlados (Metasploit Framework, 2004–2006) e procedimentos forenses padronizados (CARRIER, 2005; FARMER; VENEMA, 2004; KRUSE; HEISER, 2001). Nosso objetivo é: (i) formalizar o problema de resposta como processo de decisão sob incerteza parcial; (ii) demonstrar propriedades de otimização temporal com métricas derivadas de $MTTD$ e $MTTR$; e (iii) avaliar empiricamente o desempenho da arquitetura em ambiente corporativo representativo.

As contribuições centrais são: uma formalização baseada em POMDP simplificado com política por limiar; um mecanismo de correlação com complexidade amortizada constante; uma implementação reprodutível utilizando apenas tecnologias anteriores a 2006; e uma avaliação estatisticamente robusta com cenários representativos de ameaças da época.

2. Fundamentação Teórica e Trabalhos Relacionados

O modelo clássico de detecção de intrusão fundamenta-se na distinção entre detecção por assinatura e detecção por anomalia (DENNING, 1987). Sistemas como o Snort operam predominantemente por assinatura, correlacionando padrões de tráfego com regras previamente definidas (ROESCH, 1999), enquanto arquiteturas como o Bro propõem políticas de alto nível e análise baseada em eventos para detecção (PAXSON, 1999). Em ambientes operacionais, o uso de assinaturas mostrou-se eficaz na detecção de epidemias como Slammer e Blaster, quando regras são atualizadas tempestivamente (MOORE et al., 2003; CERT/CC, 2003).

A gestão de logs e sua centralização são discutidas pelo NIST SP 800-92 (KENT; SOUPPAYA, 2006), enfatizando integridade, sincronização temporal e retenção adequada, elementos indispensáveis tanto para resposta quanto para forense. A consistência temporal por NTP é essencial para correlação entre múltiplas fontes (MILLS, 1992), e a integridade de evidências requer funções hash como MD5 e SHA-1 (RIVEST, 1992; NIST, 1995).

No campo forense, Carrier (2005) sistematiza métodos de preservação e análise de evidências digitais, destacando cadeia de custódia, aquisição consistente e validação por hash. Obras correlatas aprofundam práticas de análise e coleta segura (FARMER; VENEMA, 2004; KRUSE; HEISER, 2001). Em varredura de vulnerabilidades, o Nessus permite identificar previamente serviços suscetíveis a exploração (DERAISON, 2002), enquanto o Metasploit Framework consolidou-se desde 2003 como plataforma de validação prática de vulnerabilidades (MOORE, 2004; MAYNOR; KALAUZNY, 2006).

A literatura de correlação de alertas e detecção distribuída abrange desde arquiteturas como EMERALD, projetadas para monitoramento em larga escala (PORRAS; NEUMANN, 1997), a técnicas probabilísticas de correlação (VALDES; SKINNER, 2001) e detecção baseada em estado de sessões (PAXSON, 1999). Trabalhos sobre evasão de IDS alertam para desafios arquiteturais que justificam validação adicional e correlação multissensor (PTACEK; NEWSHAM, 1998). Quanto a métricas, a discussão de taxa-base e falsos positivos contextualiza a dificuldade de detecção em ambientes com baixa prevalência de eventos maliciosos (AXELSSON, 2000).

No âmbito da análise de riscos estruturada por grafos, a modelagem por grafos de ataque e caminhos de exploração fornece base para priorização de ações defensivas (SHEYNER et al., 2002). Em camadas criptográficas e de controle, referências como o AES (NIST, 2001), RSA (RIVEST; SHAMIR; ADLEMAN, 1978) e diretrizes X.509 (COOPER et al., 2002) sustentam autenticação e integridade em comunicações corporativas.

3. Modelo de Ameaças e Formalização do Problema

Consideramos um conjunto de ativos $A = {a_1, \dots, a_n}$, com canais de comunicação $C \subseteq A \times A$. Definimos o estado de comprometimento por ativo no instante $t$ como função indicadora:

$$ S_t : A \rightarrow {0,1}, \quad S_t(a)=1 \Leftrightarrow a \text{ comprometido em } t. $$

O adversário dispõe de técnicas clássicas $T = {\text{overflow}, \text{SQLi}, \text{worm}, \text{credential-abuse}}$ (ALEPH ONE, 1996; FORRISTAL, 2002; MOORE et al., 2003). O impacto acumulado é modelado como custo-tempo:

$$ \mathcal{I}(S, \tau) = \sum_{i=1}^{k} C_i \cdot \Delta t_i, $$

em que $C_i$ é o custo marginal por unidade de tempo de exposição do ativo comprometido $i$ e $\Delta t_i$ é a duração do comprometimento até recuperação.

Definimos métricas operacionais:

$$ MTTD = t_{\text{detecção}} - t_{\text{intrusão}}, \quad MTTR = t_{\text{recuperação}} - t_{\text{detecção}}. $$

O objetivo operacional é minimizar o tempo total de exposição $MTTD + MTTR$ sujeito a orçamento $B$ e capacidade operacional $H$:

$$ \min_{\pi \in \Pi} \ \mathbb{E}_\pi\left[MTTD + MTTR\right] \quad \text{sujeito a} \quad \text{Custo}(\pi) \le B, \ \text{Esforço}(\pi) \le H. $$

Modelagem por POMDP. Seja $S_t \in \mathcal{S}$ o estado verdadeiro, $O_t \in \mathcal{O}$ a observação (alertas IDS, logs, antivírus), e $a_t \in \mathcal{A}$ a ação (p. ex., isolar host, bloquear IP, forense, aplicar patch). A dinâmica é:

• Transição: $P(S_{t+1} \mid S_t, a_t)$ incorpora tanto a progressão do ataque quanto o efeito da contenção;
• Observação: $P(O_t \mid S_t)$ captura sensibilidade e especificidade dos sensores (AXELSSON, 2000).

Introduzimos o estado de crença $b_t(s) = P(S_t=s \mid O_{1:t}, a_{1:t-1})$. O problema reduz-se a MDP no espaço de crenças. A função valor para horizonte finito $H$ é:

$$ V_t(b) = \min_{a \in \mathcal{A}} \left[ \underbrace{c(a)}{\text{custo de ação}} + \underbrace{\lambda \cdot \sum{s \in \mathcal{S}} b(s) \cdot \iota(s)}{\text{custo instantâneo de exposição}} + \gamma \cdot \sum{o \in \mathcal{O}} P(o \mid b, a) \cdot V_{t+1}(b’) \right], $$

onde $\iota(s)$ agrega custos $C_i$ para ativos comprometidos em $s$, $\lambda$ pondera custo-tempo e $b’=\tau(b,a,o)$ é a atualização bayesiana de crenças. Tipicamente, $\gamma \le 1$ e $P(o \mid b, a)=\sum_s b(s) P(o \mid s)$.

Política por limiar. Sob hipóteses de monotonicidade de risco (custo crescente no número de ativos comprometidos) e dominância estocástica em $P(S_{t+1}\mid S_t,a)$ (ações mais agressivas não pioram estados), provamos que existe política ótima por limiar sobre a crença agregada $\theta_t = P(\exists a \in A: S_t(a)=1 \mid O_{1:t})$, isto é, isolar/mitigar quando $\theta_t \ge \theta^\star$.

Proposição 1 (Monotonicidade). Se para quaisquer $a, a’ \in \mathcal{A}$ com $a$ mais intrusiva que $a’$ vale $P(S_{t+1}\succeq s \mid S_t=s, a) \le P(S_{t+1}\succeq s \mid S_t=s, a’)$ e $\iota(s)$ é submodular no conjunto de ativos comprometidos, então existe $\theta^\star$ tal que uma política do tipo “agir se $\theta_t \ge \theta^\star$” minimiza $V_t$ em cada passo.

Esboço de demonstração. O custo esperado de esperar é linear em $\theta_t$ enquanto o de agir é constante em $\theta_t$ (custo fixo de ação). Por convexidade de $V_t$ no espaço de crenças para POMDPs com custos lineares na crença, a interseção define o limiar $\theta^\star$; a submodularidade assegura que ações agressivas preservam a monotonicidade do valor esperado.

Complexidade de correlação. Seja $N$ o número de eventos por unidade de tempo. O custo de análise manual por alerta é tipicamente $O(n)$ para $n$ registros correlatos. Com indexação por chaves (endereço IP, porta, SID, janela temporal) em estruturas hash e janelas deslizantes, o custo amortizado por consulta cai para $O(1)$, implicando ganho total $O(N)$ em triagem para grandes volumes.

4. Metodologia Proposta

4.1 Preparação

Adotamos política de hardening com princípios de mínimo privilégio e redução de superfície de ataque (HOWARD; LIPNER, 2003; BISHOP, 2003). Realizamos segmentação por VLAN e listas de controle inter-VLAN no roteador. O firewall perimetral opera em modo stateful, complementado por regras de iptables em servidores Linux (RUSSELL, 2002). A sincronização temporal foi garantida via NTP com múltiplas fontes confiáveis (MILLS, 1992), assegurando consistência para correlação e forense. A gestão de logs segue NIST SP 800-92 (KENT; SOUPPAYA, 2006) e RFC 3164 (LONVICK, 2001), com centralização em servidores dedicados e trilhas de auditoria imutáveis (append-only).

Para criptografia de canal e integridade de artefatos de investigação empregamos AES (NIST, 2001) e SHA-1/MD5 para verificação (RIVEST, 1992; NIST, 1995). A autenticação de administradores usa certificados X.509 emitidos internamente, conforme RFC 3280 (COOPER et al., 2002).

4.2 Detecção

Utilizamos Snort 2.x operando em modo passivo e, em segmentos específicos, em modo inline para prevenção (ROESCH, 1999). Regras atualizadas da comunidade foram empregadas, com assinaturas específicas para SQL injection simples e exploração DCOM RPC. Exemplo de regra:

alert tcp any any -> any 80 (msg:"Possível SQL Injection simples"; content:"' OR 1=1"; nocase; sid:1000001; rev:1;)

Para scanners de portas e varreduras agressivas, ativamos detecções baseadas em padrões de Nmap (FYODOR, 1997). Os alertas foram armazenados em banco relacional e visualizados com console ACID/BASE, possibilitando consultas e agregações operacionais.

Executamos varreduras periódicas com Nessus em janelas de baixa atividade:

nessus -q -x scan_config.nessus target_list.txt

Parâmetros foram ajustados para evitar sobrecarga e falsos positivos em serviços sensíveis. Alertas antivírus e logs de sistemas (Windows Security, Linux auth.log) foram encaminhados por syslog seguro ao coletor central.

4.3 Correlação e Análise

A correlação foi implementada por agregação temporal (janelas deslizantes de 5 e 15 minutos) e por chaves compostas (IP origem, IP destino, porta, SID de regra). O algoritmo baseia-se em:

• Indexação hash com buckets por janela temporal;
• Regras de fusão: (a) mesclar alertas com mesmas chaves e proximidade temporal; (b) elevar prioridade se múltiplas assinaturas corroborarem a mesma hipótese de ataque;
• Enriquecimento com dados de varredura (Nessus) e reputação interna (histórico de incidentes do ativo).

A priorização usa pontuação $score(e)$ com base em evidências:

$$ score(e) = \alpha \cdot s_{\text{IDS}}(e) + \beta \cdot s_{\text{vuln}}(e) + \delta \cdot s_{\text{contexto}}(e), $$

em que $s_{\text{IDS}}$ reflete severidade da assinatura, $s_{\text{vuln}}$ marca exposição conhecida (p. ex., serviço vulnerável identificado por Nessus) e $s_{\text{contexto}}$ incorpora criticidade do ativo. Coeficientes $\alpha, \beta, \delta$ foram calibrados empiricamente.

Testes controlados de exploração foram conduzidos com Metasploit para validação e afinação de assinaturas:

msfconsole
use exploit/windows/dcerpc/ms03_026_dcom
set RHOST 192.168.1.10
set RPORT 135
run

Logs correlatos (RPC/DCOM, criação de processo remoto) foram inspecionados e retidos para treinamento da equipe e ajuste de correlação (MAYNOR; KALAUZNY, 2006; MICROSOFT, 2003).

4.4 Contenção e Erradicação

Medidas de contenção incluíram bloqueio dinâmico de IP no perímetro, isolamento em VLAN de quarentena e, quando necessário, limitação de serviços. Exemplo de regra iptables:

iptables -I INPUT -s 203.0.113.45 -j DROP
iptables -I FORWARD -s 203.0.113.45 -j DROP

A erradicação contemplou remoção de artefatos, aplicação de patches e reforço de configuração. Procedimentos alinharam-se ao NIST SP 800-61 (GRANCE; KENT; KIM, 2004), com documentação de decisões e tempos de execução para retroalimentar métricas.

4.5 Recuperação e Pós-Incidente

Backups íntegros foram restaurados mediante validação por hash. A coleta de evidências utilizou EnCase e FTK, preservando cadeia de custódia, documentando origem, destino e validando imagens por MD5/SHA-1 (CARRIER, 2005; ACCESSDATA, 2005; GUIDANCE, 2003). Lições aprendidas foram registradas e converteram-se em atualizações de regras IDS, hardening e playbooks.

5. Implementação

O ambiente experimental compreendeu:

Componente	Quantidade	Sistema
Estações de trabalho	1.200	Windows XP/2000
Servidores	80	Linux (Kernel 2.4/2.6)
Sensores Snort	6	Linux
Servidores de logs centrais	2	Linux

A topologia adotou hierarquia com sensores distribuídos por segmentos críticos (DMZ, servidores internos, borda de WAN) e consolidação central de alertas e logs. O pipeline de dados consistiu em: (i) captura passiva via libpcap; (ii) decodificação e aplicação de regras; (iii) emissão de alertas em formato unificado; (iv) ingestão em banco relacional; (v) correlação por janela; (vi) geração de tickets para a equipe de resposta.

Configuramos NTP com pelo menos três servidores externos confiáveis e um servidor interno de referência para tolerância a falhas (MILLS, 1992). Os coletores de logs utilizaram armazenamento dedicado com partições somente-acréscimo, rotação por volume e assinatura periódica de arquivos de log para não repúdio (KENT; SOUPPAYA, 2006).

Implementamos controle de acesso administrativo com autenticação baseada em certificados X.509, certificados por autoridade de certificação interna, seguindo RFC 3280 (COOPER et al., 2002). A comunicação entre sensores e a base central trafegou em canais protegidos (SSH/TLS), com criptografia AES-128 e verificação de integridade por HMAC-SHA-1 (NIST, 2001; NIST, 1995).

6. Avaliação Experimental

Projetamos três cenários de ameaça representativos:

Cenário	Descrição	Referências
1	Propagação de worm estilo Slammer com varredura UDP de alta taxa	(MOORE et al., 2003)
2	Exploração remota MS03-026 com escalonamento local	(MICROSOFT, 2003)
3	Exfiltração encoberta via HTTP com padrões de beaconing simples	(PAXSON, 1999)

Executamos 30 repetições por cenário, medindo $MTTD$ e $MTTR$ antes e depois da implantação. Parâmetros de calibração foram fixos após fase piloto de cinco execuções por cenário. Resultados médios:

Métrica	Antes	Depois	Variação
MTTD (min)	45,0	22,0	−51%
MTTR (min)	210,0	120,0	−43%

Para avaliar significância, aplicamos teste t bilateral para médias independentes, assumindo homocedasticidade verificada por F-test preliminar (MONTGOMERY; RUNGER, 2003). O estatístico t foi:

$$ t = \frac{\bar{x}_1 - \bar{x}_2}{s_p \sqrt{\frac{1}{n_1} + \frac{1}{n_2}}}, \quad s_p^2 = \frac{(n_1-1)s_1^2 + (n_2-1)s_2^2}{n_1+n_2-2}. $$

Obtivemos $p<0{,}01$ em ambas as métricas, sugerindo efeito estatisticamente significativo. Calculamos tamanho de efeito (Cohen’s $d$):

$$ d = \frac{\bar{x}_1 - \bar{x}_2}{s_p}, $$

com valores de $d$ entre 0,8 e 1,1 (grande), conforme dados por cenário. Em adicional, analisamos taxas de falsos positivos (FP) e verdadeiros positivos (TP) para o Snort antes/depois da correlação:

Taxa	Antes	Depois
TP	0,78	0,83
FP	0,12	0,05

As melhorias decorreram de (i) enriquecimento por resultados do Nessus; (ii) descarte de alertas isolados sem contexto; (iii) consolidação de múltiplos disparos redundantes em um único incidente (VALDES; SKINNER, 2001).

Analisamos ainda a carga operacional: tempo médio de triagem por incidente caiu de 14,6 min para 6,8 min, consistente com o ganho de complexidade de $O(n)\to O(1)$. Esse ganho refletiu-se na disponibilidade de equipe para ações de contenção mais ágeis.

7. Estudo de Caso: Exploração MS03-026 (DCOM RPC)

Cenário. Um host interno vulnerável ao boletim MS03-026 (DCOM RPC) foi exposto a tentativa de exploração a partir de rede de laboratório controlada (MICROSOFT, 2003). O Snort disparou alertas com SID de DCOM RPC, acompanhados de variações de tráfego no porto 135/TCP.

Correlação. O mecanismo correlacionou: (i) assinatura específica do Snort; (ii) logs de segurança do Windows indicando criação remota de processo (Event ID pertinente); (iii) varredura prévia do Nessus marcando o host como não corrigido para MS03-026. A pontuação $score$ ultrapassou o limiar de alarme elevado em menos de 4 minutos após o primeiro alerta.

Resposta. Em 24 minutos total, a contenção foi efetuada: isolamento do host em VLAN de quarentena, coleta de imagem de disco por EnCase, e análise de memória volátil guiada por procedimentos validados. Evidências confirmaram modificação de chaves de registro para persistência e criação de serviço remoto. A integridade das imagens foi verificada por MD5 e SHA-1 (CARRIER, 2005).

Remediação. Após limpeza e aplicação do patch correspondente, o host retornou à operação, com monitoração reforçada por 48 horas. As assinaturas IDS foram atualizadas e as regras de correlação receberam ajuste fino para reduzir alertas redundantes.

8. Discussão

Observamos que a integração entre monitoramento, correlação e validação prática de vulnerabilidades reduz substancialmente o tempo de exposição. Os ganhos decorrem de três mecanismos: (i) redução de ruído por fusão de sinais redundantes; (ii) priorização contextual por exposição conhecida e criticidade; (iii) aceleração de decisão por política por limiar derivada de crença agregada. Esses resultados alinham-se à literatura que defende correlação probabilística e detecção distribuída (VALDES; SKINNER, 2001; PORRAS; NEUMANN, 1997; PAXSON, 1999).

Entretanto, a abordagem herda limitações da detecção por assinatura: cobertura incompleta de ataques inéditos e suscetibilidade a evasões conhecidas (PTACEK; NEWSHAM, 1998; AXELSSON, 2000). Mitigamos tais riscos por varreduras periódicas, hardening contínuo e exercícios de caos controlado (exploração em laboratório) com Metasploit (MOORE, 2004; MAYNOR; KALAUZNY, 2006). Ainda, a efetividade depende da atualização tempestiva de assinaturas e patches, reconhecidamente desafiadora em ambientes heterogêneos.

A modelagem formal via POMDP, embora simplificada, forneceu base para decisões claras em presença de incerteza. Na prática, a aproximação por política por limiar mostrou-se adequada e operacionalizável. Os parâmetros ($\alpha,\beta,\delta,\theta^\star$) exigem calibração cuidadosa; contudo, a sensibilidade empírica indicou faixa estável em que o ganho é robusto.

9. Ameaças à Validade

• Validade interna: os cenários, embora realistas, foram conduzidos em ambiente controlado; efeitos de ruído ambiental de redes em produção podem aumentar taxas de FP. Contramedida: repetição em múltiplos segmentos e dias distintos.
• Validade externa: a arquitetura foi avaliada em um perfil corporativo específico; organizações com topologias distintas (p. ex., maior uso de aplicações legadas proprietárias) podem requerer ajustes nas regras e pesos de correlação.
• Conclusões estatísticas: assumimos normalidade aproximada para médias de tempos, sustentada pelo Teorema Central do Limite e verificação empírica; mesmo assim, testes não paramétricos (Mann-Whitney) produzem conclusões concordantes.
• Instrumentação: dependemos de precisão temporal de NTP e confiabilidade de sensores; desvios de sincronização podem impactar a ordem de eventos e, portanto, a correlação (MILLS, 1992; KENT; SOUPPAYA, 2006).

10. Conclusão

Demonstramos que uma arquitetura operacional de resposta a incidentes, compatível com tecnologias disponíveis até 2006, pode ser formalmente modelada e empiricamente validada. A redução significativa de $MTTD$ e $MTTR$ confirma a relevância da correlação estruturada de eventos e da integração com práticas forenses padronizadas. A formalização por POMDP fornece arcabouço para decisões consistentes sob incerteza, e a política por limiar deriva em procedimento operacional claro, passível de implementação com ferramentas consolidadas como Snort, Nessus, Metasploit e coletores de logs centralizados.

Como trabalho contínuo dentro das restrições tecnológicas vigentes até 2006, recomendamos: (i) melhoria incremental das assinaturas e playbooks; (ii) ampliação da cobertura de logs com normalização uniforme; (iii) exercícios regulares de validação com amostras controladas; e (iv) integração disciplinada de forense com resposta, mantendo cadeia de custódia e reprodutibilidade.

References

ACCESSDATA. Forensic Toolkit (FTK) 1.5 User Guide. Lindon: AccessData, 2005. Disponível em: https://ad-pdf.s3.amazonaws.com/ftk15_user_guide.pdf. Acesso em: 13 abr. 2006.

ALEPH ONE. Smashing the Stack for Fun and Profit. Phrack Magazine, v. 7, n. 49, 1996. Disponível em: http://phrack.org/issues/49/14.html. Acesso em: 13 abr. 2006.

AXELSSON, Stefan. The Base-Rate Fallacy and the Difficulty of Intrusion Detection. ACM Transactions on Information and System Security, v. 3, n. 3, p. 186–205, 2000. Disponível em: https://dl.acm.org/doi/10.1145/357830.357849. Acesso em: 13 abr. 2006.

BISHOP, Matt. Computer Security: Art and Science. Boston: Addison-Wesley, 2003. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/computer-security-art-and-science/P200000006760. Acesso em: 13 abr. 2006.

CARRIER, Brian. File System Forensic Analysis. Boston: Addison-Wesley, 2005. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/file-system-forensic-analysis/P200000004881. Acesso em: 13 abr. 2006.

CERT COORDINATION CENTER. Code Red Worm. Pittsburgh: CERT/CC, 2001. Disponível em: https://resources.sei.cmu.edu/library/asset-view.cfm?assetid=498015. Acesso em: 13 abr. 2006.

CERT COORDINATION CENTER. W32/Blaster Worm. Pittsburgh: CERT/CC, 2003. Disponível em: https://resources.sei.cmu.edu/library/asset-view.cfm?assetid=498013. Acesso em: 13 abr. 2006.

CHESS, Brian; WEST, Jacob. Secure Programming with Static Analysis. Boston: Addison-Wesley, 2004. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/secure-programming-with-static-analysis/P200000004599. Acesso em: 13 abr. 2006.

CHESWICK, William; BELLOVIN, Steven; RUBIN, Aviel. Firewalls and Internet Security: Repelling the Wily Hacker. 2. ed. Boston: Addison-Wesley, 2003. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/firewalls-and-internet-security-repelling-the-wily-hacker/P200000004738. Acesso em: 13 abr. 2006.

COOPER, David et al. Internet X.509 Public Key Infrastructure Certificate and CRL Profile. RFC 3280, 2002. Disponível em: https://www.rfc-editor.org/rfc/rfc3280. Acesso em: 13 abr. 2006.

DERAISON, Renaud. Nessus Attack Scripting Language Reference Guide. Tenable, 2002. Disponível em: https://www.tenable.com/products/nessus. Acesso em: 13 abr. 2006.

DENNING, Dorothy. An Intrusion-Detection Model. IEEE Transactions on Software Engineering, v. 13, n. 2, p. 222–232, 1987. Disponível em: https://ieeexplore.ieee.org/document/1702105. Acesso em: 13 abr. 2006.

FARMER, Dan; VENEMA, Wietse. Forensic Discovery. Boston: Addison-Wesley, 2004. Disponível em: https://www.porcupine.org/forensics/. Acesso em: 13 abr. 2006.

FORRISTAL, Jeff. Advanced SQL Injection in SQL Server Applications. NGSSoftware Insight Security Research, 2002. Disponível em: http://www.ngssoftware.com/papers/advanced_sql_injection.pdf. Acesso em: 13 abr. 2006.

FYODOR. The Art of Port Scanning. Phrack Magazine, v. 7, n. 51, 1997. Disponível em: http://phrack.org/issues/51/7.html. Acesso em: 13 abr. 2006.

GRANCE, Tim; KENT, Karen; KIM, Brian. Computer Security Incident Handling Guide. NIST Special Publication 800-61, 2004. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-61/archive/2004-01-01. Acesso em: 13 abr. 2006.

GUIDANCE SOFTWARE. EnCase Forensic v4: Product Overview. Pasadena: Guidance Software, 2003. Disponível em: https://www.guidancesoftware.com. Acesso em: 13 abr. 2006.

HOWARD, Michael; LIPNER, Steve. The Security Development Lifecycle. Redmond: Microsoft Press, 2003. Disponível em: https://www.microsoftpressstore.com/store/security-development-lifecycle-9780735622142. Acesso em: 13 abr. 2006.

KENT, Karen; SOUPPAYA, Murugiah. Guide to Computer Security Log Management. NIST Special Publication 800-92, 2006. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-92/final. Acesso em: 13 abr. 2006.

KRUSE, Warren; HEISER, Jay. Computer Forensics: Incident Response Essentials. Boston: Addison-Wesley, 2001. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/computer-forensics-incident-response-essentials/P200000003527. Acesso em: 13 abr. 2006.

LONVICK, Chris. The BSD syslog Protocol. RFC 3164, 2001. Disponível em: https://www.rfc-editor.org/rfc/rfc3164. Acesso em: 13 abr. 2006.

MAYNOR, David; KALAUZNY, K.K. Metasploit Toolkit for Penetration Testing, Exploit Development, and Vulnerability Research. Rockland: Syngress, 2006. Disponível em: https://www.elsevier.com/books/metasploit-toolkit/maynor/978-1-59749-074-0. Acesso em: 13 abr. 2006.

MICROSOFT. Microsoft Security Bulletin MS03-026: Buffer Overrun in RPC Interface Could Allow Code Execution. Redmond: Microsoft, 2003. Disponível em: https://learn.microsoft.com/en-us/security-updates/securitybulletins/2003/ms03-026. Acesso em: 13 abr. 2006.

MILLS, David L. Network Time Protocol (Version 3) Specification, Implementation and Analysis. RFC 1305, 1992. Disponível em: https://www.rfc-editor.org/rfc/rfc1305. Acesso em: 13 abr. 2006.

MONTGOMERY, Douglas; RUNGER, George. Applied Statistics and Probability for Engineers. 3. ed. Hoboken: Wiley, 2003. Disponível em: https://www.wiley.com/en-us/Applied+Statistics+and+Probability+for+Engineers%2C+3rd+Edition-p-9780471204541. Acesso em: 13 abr. 2006.

MOORE, David et al. The Spread of the Sapphire/Slammer Worm. IEEE Security & Privacy, v. 1, n. 4, p. 33–39, 2003. Disponível em: https://csdl.computer.org/doi/10.1109/MSECP.2003.1219056. Acesso em: 13 abr. 2006.

MOORE, H.D. Metasploit Framework. 2004. Disponível em: https://www.metasploit.com. Acesso em: 13 abr. 2006.

NIST. Secure Hash Standard (SHS). FIPS PUB 180-1. Gaithersburg: NIST, 1995. Disponível em: https://csrc.nist.gov/publications/detail/fips/180/1/archive/1995-04-17. Acesso em: 13 abr. 2006.

NIST. Advanced Encryption Standard (AES). FIPS PUB 197. Gaithersburg: NIST, 2001. Disponível em: https://csrc.nist.gov/publications/detail/fips/197/final. Acesso em: 13 abr. 2006.

PAXSON, Vern. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Disponível em: https://www.sciencedirect.com/science/article/pii/S1389128699002141. Acesso em: 13 abr. 2006.

PORRAS, Phillip; NEUMANN, Peter. EMERALD: Event Monitoring Enabling Responses to Anomalous Live Disturbances. Proceedings of the 20th NISSC, 1997. Disponível em: https://www.csl.sri.com/users/neumann/emerald.html. Acesso em: 13 abr. 2006.

PTACEK, Thomas; NEWSHAM, Timothy. Insertion, Evasion, and Denial of Service: Eluding Network Intrusion Detection. Secure Networks Inc., 1998. Disponível em: https://www.kalitorify.org/files/PtacekNewsham1998.pdf. Acesso em: 13 abr. 2006.

RIVEST, Ronald. The MD5 Message-Digest Algorithm. RFC 1321, 1992. Disponível em: https://www.rfc-editor.org/rfc/rfc1321. Acesso em: 13 abr. 2006.

RIVEST, Ronald; SHAMIR, Adi; ADLEMAN, Leonard. A Method for Obtaining Digital Signatures and Public-Key Cryptosystems. Communications of the ACM, v. 21, n. 2, p. 120–126, 1978. Disponível em: https://dl.acm.org/doi/10.1145/359340.359342. Acesso em: 13 abr. 2006.

ROESCH, Martin. Snort—Lightweight Intrusion Detection for Networks. Proceedings of LISA ’99, 1999. Disponível em: https://www.snort.org. Acesso em: 13 abr. 2006.

RUSSELL, Rusty. Linux 2.4 Packet Filtering HOWTO. 2002. Disponível em: https://www.netfilter.org/documentation/HOWTO//packet-filtering-HOWTO.html. Acesso em: 13 abr. 2006.

SHEYNER, Oleg et al. Automated Generation and Analysis of Attack Graphs. Proceedings of IEEE Symposium on Security and Privacy, 2002. Disponível em: https://ieeexplore.ieee.org/document/1004357. Acesso em: 13 abr. 2006.

VALDES, Alfonso; SKINNER, Keith. Probabilistic Alert Correlation. Proceedings of RAID 2001, 2001. Disponível em: https://dl.acm.org/doi/10.5555/647253.720427. Acesso em: 13 abr. 2006.