Paper Files / Detection
Arquitetura Operacional para Detecção de Intrusões em Redes TCP/IP e Sistemas UNIX: Modelagem Estatística, Auditoria de Logs e Monitoramento de Tráfego em Tempo Real (1988)
A crescente interconexão de sistemas computacionais por meio de redes TCP/IP e ambientes UNIX multiusuário tem ampliado significativamente a superfície de ataque disponível a agentes maliciosos. Incidentes recentes, incluindo a propagação do worm de Morris em 1988, demonstram que mecanismos tradicionais de controle de acesso e autenticação são insuficientes para prevenir abusos internos e externos. Este trabalho apresenta uma arquitetura integrada de detecção de intrusões baseada em três pilares complementares: (i) análise estatística de comportamento de usuários, (ii) monitoramento de tráfego de rede com inspeção de cabeçalhos IP/TCP e (iii) auditoria sistemática de logs de sistemas UNIX. Formalizamos o problema de detecção como um teste estatístico de hipótese entre comportamento legítimo e comportamento anômalo, modelando perfis de usuários com distribuições de probabilidade e métricas de divergência. A metodologia proposta combina limiares adaptativos, correlação temporal de eventos e análise de assinaturas de exploração conhecidas, como exploração de serviços `sendmail`, `fingerd` e abusos de `rsh`. Implementamos um protótipo operacional em ambiente BSD 4.3 com instrumentação de logs (`syslog`), captura de pacotes via interfaces BPF experimentais e scripts em linguagem C e shell para agregação de eventos. A avaliação experimental foi conduzida em uma rede acadêmica com 32 estações VAX e SUN, demonstrando taxa de detecção de 87% para cenários simulados de exploração remota, com taxa de falsos positivos inferior a 5% sob carga normal. Apresentamos estudo de caso detalhado inspirado em padrões observados durante a propagação do worm de 1988, analisando como a arquitetura teria identificado atividade anômala precocemente. Concluímos que a detecção baseada em anomalia, quando combinada com auditoria de eventos e monitoramento de rede, constitui abordagem viável e operacionalmente eficaz no contexto tecnológico de 1988, ainda que apresente desafios de escalabilidade e calibração estatística.
- Introduction
A década de 1980 testemunhou a consolidação de redes interconectadas baseadas na pilha TCP/IP, originalmente desenvolvida sob financiamento da DARPA (POSTEL, 1981a; POSTEL, 1981b). Sistemas UNIX tornaram-se predominantes em ambientes acadêmicos, militares e corporativos, oferecendo capacidades multiusuário e multiprogramação que ampliaram significativamente a produtividade computacional. Contudo, tais características também expandiram a superfície de ataque, introduzindo riscos operacionais inéditos.
O incidente do worm de Morris, ocorrido em novembro de 1988, evidenciou dramaticamente as fragilidades inerentes à confiança implícita entre nós da ARPANET e de redes acadêmicas interconectadas. Explorando vulnerabilidades em serviços como fingerd, sendmail e mecanismos de confiança baseados em .rhosts, o worm propagou-se exponencialmente, causando indisponibilidade significativa (EICHIN; ROCHLIS, 1989). Este evento demonstrou que mecanismos preventivos tradicionais — autenticação por senha e listas de controle de acesso — são insuficientes diante de ameaças automatizadas e exploratórias.
Nesse contexto, surge a necessidade de mecanismos de detecção, capazes de identificar comportamentos anômalos ou maliciosos mesmo após a falha de controles preventivos. O conceito de monitoramento de auditoria para detecção de abuso foi formalmente introduzido por Anderson (1980), que propôs modelos estatísticos para distinguir uso legítimo de atividades suspeitas. Posteriormente, Denning (1987) consolidou a noção de Intrusion Detection Systems (IDS) baseados em análise estatística e regras de detecção.
Este trabalho apresenta uma arquitetura operacional de detecção compatível com as limitações tecnológicas de 1988. Diferentemente de abordagens puramente teóricas, nosso enfoque privilegia implementabilidade prática em sistemas BSD UNIX, utilizando ferramentas disponíveis como tcpdump (LBNL, 1988), syslog e mecanismos de auditoria nativos. O objetivo é propor um sistema integrado que combine:
- Modelagem estatística de perfis de usuários;
- Monitoramento de tráfego TCP/IP;
- Correlação temporal de eventos de sistema.
A relevância deste estudo reside na necessidade urgente de fortalecer a resiliência de infraestruturas críticas interconectadas. Ao formalizar o problema de detecção e demonstrar sua viabilidade operacional, contribuímos para a consolidação de uma disciplina emergente dentro da segurança da informação.
- Background and Related Work
A segurança computacional como disciplina formal consolidou-se ao longo das décadas de 1970 e 1980, com contribuições fundamentais do Departamento de Defesa dos Estados Unidos. O Trusted Computer System Evaluation Criteria (TCSEC), conhecido como Orange Book (DoD, 1985), estabeleceu requisitos de auditoria e accountability como componentes essenciais de sistemas confiáveis.
Anderson (1980) foi pioneiro ao propor um modelo sistemático de monitoramento de auditoria para detectar violações de política de segurança. Seu trabalho introduziu a noção de perfis comportamentais e limites estatísticos para identificar desvios significativos. Denning (1987) expandiu esse conceito, formalizando modelos de detecção baseados em anomalia e assinatura.
No domínio de redes, a especificação do IP (POSTEL, 1981a) e TCP (POSTEL, 1981b) definiu os fundamentos técnicos que possibilitam tanto comunicação distribuída quanto vetores de ataque. A ausência de autenticação forte nos protocolos originais facilita técnicas como IP spoofing e exploração de serviços confiáveis.
A criptografia também evoluiu significativamente, com a introdução do algoritmo RSA (RIVEST; SHAMIR; ADLEMAN, 1978) e do padrão DES (NBS, 1977). Contudo, tais mecanismos protegem principalmente confidencialidade e integridade, não abordando diretamente detecção de intrusões após comprometimento.
Tabela 1 apresenta comparação entre abordagens de detecção existentes até 1988.
| Abordagem | Base Conceitual | Fonte de Dados | Vantagens | Limitações |
|---|---|---|---|---|
| Auditoria Manual | Logs do sistema | Arquivos wtmp, messages |
Simplicidade | Reativa e lenta |
| Modelo Estatístico (Anderson) | Desvios padrão | Logs de login/comando | Detecta abuso interno | Sensível a limiares |
| Regras de Assinatura | Padrões conhecidos | Eventos específicos | Baixo falso positivo | Não detecta ataques novos |
| Monitoramento de Rede | Análise de pacotes | Tráfego IP/TCP | Visibilidade externa | Alto volume de dados |
A convergência dessas abordagens sugere que sistemas híbridos oferecem melhor desempenho operacional.
- Threat Model and Problem Formalization
Consideramos um ambiente composto por $N$ usuários legítimos interagindo com um sistema UNIX multiusuário conectado via TCP/IP a uma rede externa. O atacante pode assumir uma das seguintes formas:
- Usuário interno abusando de privilégios;
- Ator externo explorando serviços de rede;
- Código automatizado (worm) propagando-se.
Formalizamos a detecção como teste de hipóteses:
- $H_0$: comportamento legítimo
- $H_1$: comportamento intrusivo
Seja $X$ vetor de características observáveis (frequência de login, comandos executados, conexões de rede). Definimos função de decisão:
$$ \delta(X) = \begin{cases} 1, & \text{se } P(X|H_1) - P(X|H_0) > \tau \ 0, & \text{caso contrário} \end{cases} $$
onde $\tau$ é limiar determinado empiricamente.
A taxa de falso positivo é dada por:
$$ \alpha = P(\delta(X)=1 | H_0) $$
e a taxa de detecção:
$$ \beta = P(\delta(X)=1 | H_1) $$
Nosso objetivo é maximizar $\beta$ minimizando $\alpha$ sob restrições computacionais.
- Proposed Methodology
Nossa metodologia baseia-se em três camadas complementares:
4.1 Perfil Estatístico de Usuários
Para cada usuário $u$, coletamos métricas:
- Número médio de logins por dia
- Distribuição horária de acesso
- Frequência de comandos privilegiados (
su,passwd)
Modelamos cada métrica como variável aleatória com média $\mu_u$ e desvio padrão $\sigma_u$. Um evento é sinalizado quando:
$$ |x - \mu_u| > k\sigma_u $$
onde $k$ tipicamente assume valor 3 (critério de 3 desvios padrão).
4.2 Monitoramento de Tráfego TCP/IP
Utilizamos captura passiva de pacotes via tcpdump:
tcpdump -i le0 -n 'tcp port 25 or tcp port 79'
Isso permite identificar:
- Conexões repetitivas ao
sendmail - Exploração de
fingerd - Tentativas de login remoto via
rsh
4.3 Correlação Temporal
Eventos são agregados em janelas de tempo $\Delta t = 5$ minutos. Se múltiplos alertas ocorrerem dentro da janela, o nível de severidade aumenta.
- Implementation
Implementamos protótipo em BSD 4.3. Logs foram coletados via syslog.conf:
.info /var/log/messages
auth.notice /var/log/authlog
Scripts em C analisam logs periodicamente:
if (login_count[user] > mean[user] + 3stddev[user]) {
printf("ALERTA: comportamento anômalo\n");
}
O sistema executa como daemon, consumindo menos de 5% de CPU em VAX-11/780.
- Experimental Evaluation
Testamos em rede com 32 hosts.
Tabela 2 – Resultados de Detecção
| Cenário | Tentativas | Detectadas | Taxa (%) |
|---|---|---|---|
Exploração fingerd |
20 | 18 | 90 |
Abuso rsh |
15 | 13 | 86.7 |
| Login anômalo | 25 | 22 | 88 |
Tabela 3 – Falsos Positivos
| Situação Normal | Alertas | Total Eventos | Taxa FP (%) |
|---|---|---|---|
| Período Diurno | 5 | 200 | 2.5 |
| Período Noturno | 7 | 150 | 4.6 |
Resultados indicam $\beta = 0.87$ e $\alpha = 0.038$.
- Case Study
Simulamos padrão similar ao worm de 1988: conexões repetidas a sendmail seguidas de execução remota. O sistema detectou aumento abrupto de conexões TCP na porta 25, combinado com criação anômala de processos.
Alerta foi gerado após 4 minutos de atividade, permitindo isolamento manual do host comprometido.
- Discussion
A abordagem demonstra viabilidade prática, mas enfrenta desafios:
- Escalabilidade em redes maiores
- Ajuste fino de limiares
- Volume de logs
Integração com mecanismos criptográficos pode fortalecer autenticação, mas detecção permanece essencial.
- Conclusion and Future Work
Demonstramos que sistemas de detecção baseados em estatística e monitoramento de rede são factíveis em 1988. Trabalhos futuros incluem:
- Automação de resposta
- Integração com mecanismos de controle de acesso
- Refinamento de modelos probabilísticos
- References
ANDERSON, J. P. Computer Security Threat Monitoring and Surveillance. 1980. Disponível em: https://csrc.nist.gov/publications/detail/report/1980/10/15/computer-security-threat-monitoring-and-surveillance
DENNING, D. E. An Intrusion-Detection Model. IEEE Transactions on Software Engineering, 1987. Disponível em: https://ieeexplore.ieee.org/document/1702202
POSTEL, J. Internet Protocol. RFC 791, 1981. https://www.rfc-editor.org/rfc/rfc791
POSTEL, J. Transmission Control Protocol. RFC 793, 1981. https://www.rfc-editor.org/rfc/rfc793
RIVEST, R.; SHAMIR, A.; ADLEMAN, L. A Method for Obtaining Digital Signatures and Public-Key Cryptosystems. 1978. https://people.csail.mit.edu/rivest/Rsapaper.pdf
NBS. Data Encryption Standard. FIPS PUB 46, 1977. https://csrc.nist.gov/publications/detail/fips/46/final
DoD. Trusted Computer System Evaluation Criteria. 1985. https://csrc.nist.gov/publications/detail/rainbow-series/5200-28-std/final
EICHIN, M.; ROCHLIS, J. With Microscope and Tweezers. 1989. https://www.mit.edu/people/eichin/virus/main.html