HKHiago Kin Levi
← Voltar aos artigos

Paper Files / Research

Arquitetura Orientada a Ameaças para Detecção e Resposta à Movimentação Lateral em Redes Corporativas com Telemetria Multicamadas e Correlação de Alertas

ResearchPT

A movimentação lateral, entendida como o conjunto de ações que permitem a um intruso deslocar-se entre hosts e domínios de confiança após um acesso inicial, constitui elemento central em incidentes corporativos desde o advento de redes Windows integradas a serviços de diretório e file sharing. Em 2007, redes corporativas tipicamente combinam Windows 2000/XP/Server 2003, servidores Unix, segmentos DMZ e enlaces VPN, com monitoramento predominantemente baseado em IDS de rede, registros de segurança do Windows e exportação de fluxos (NetFlow). Nesta obra delineamos e avaliamos uma arquitetura orientada a ameaças, sem dependência de taxonomias recentes, que integra telemetria multicamadas (host, rede e serviços), normalização em IDMEF, e correlação temporal estruturada por grafos de ataque para detecção e resposta a movimentação lateral. A proposta enfatiza técnicas e ferramentas disponíveis até 2007, como Snort 2.6, Bro (atual Zeek) 1.x, OSSEC HIDS, Cisco NetFlow v5, Sguil/BASE para análise, Prelude-IDS para correlação IDMEF e mecanismos nativos de auditoria dos sistemas operacionais. Formalizamos o problema por meio de uma função de decisão sobre sequências de eventos $E$ e um grafo de comunicação $G$, maximizando a taxa de verdadeiros positivos (TPR) e minimizando a taxa de falsos positivos (FPR) com restrições práticas de latência de processamento. A metodologia envolve: i) seleção e configuração de fontes de telemetria compatíveis com Windows Server 2003/XP (IDs 528, 540, 592; Kerberos 672/673; Service Control Manager 7035/7036), Unix syslog, fluxos NetFlow, Snort/DCE-RPC e Bro/conn; ii) normalização para IDMEF e enriquecimento com contexto de ativos e contas; iii) taxonomia de técnicas de movimentação lateral baseada em literatura clássica (uso de PsExec, SMB Admin$, at.exe, RDP, autenticação NTLM e Pass-the-Hash, WMI e DCOM) e documentos técnicos Microsoft/Sysinternals; iv) correlação temporal e por dependência causal, com janela deslizante e escores bayesianos; v) resposta operacional com playbooks de contenção (desabilitação de contas, bloqueio de fluxos 445/TCP, remoção de serviços remotos). Em laboratório com Windows XP SP2 e Windows Server 2003 R2, sensores Snort/Bro/OSSEC e coletor NetFlow, executamos 28 campanhas controladas (PsExec, Pass-the-Hash com NTLM, execução remota via at.exe, RDP brute force). Obtivemos TPR geral de 92,1%, FPR de 4,6% e tempo médio até detecção de 7,8 minutos, superando um baseline puramente por assinaturas (TPR 69,4%, latência 41,5 minutos). Um estudo de caso com exploração MS06-040 seguido de lateralização por PsExec ilustra a correlação multissensor que sustentou decisão de contenção em 12 minutos. Os resultados comprovam a viabilidade, em 2007, de uma abordagem integrada e formalmente fundamentada para detecção de movimentação lateral com tecnologias amplamente disponíveis, respeitando os limites de implantação e de desempenho dos ambientes corporativos da época.

  1. Introduction

A movimentação lateral permanece, em 2007, um dos aspectos mais estratégicos dos incidentes de segurança em redes corporativas heterogêneas, compostas por domínios Windows 2000/XP/Server 2003, serviços Unix e segmentos DMZ, frequentemente interligados por VPNs e roteadores que exportam fluxos NetFlow. Após o acesso inicial, tipicamente por exploração de vulnerabilidades em serviços expostos (p. ex., MS06-040 no Server Service) ou credenciais obtidas por engenharia social, o atacante busca expandir privilégios e deslocar-se entre hosts por meios legítimos e sem gerar ruídos excessivos (BEJTLICH, 2004; CERT/CC, 2003; CERT/CC, 2004).

No ecossistema Windows, a lateralização frequentemente recorre a mecanismos e protocolos nativos: compartilhamentos administrativos (ADMIN$, C$) via SMB, execução remota de comandos por PsExec, agendamento de tarefas com at.exe, invocação remota do Service Control Manager (SCM) por DCE/RPC, autenticação por NTLM/LM e RDP, além de execuções via WMI/DCOM em ambientes mais maduros (SYSINTERNALS, 2001; MICROSOFT, 2003; PTACEK; NEWSHAM, 1998). Tais movimentos podem ocorrer sem exploits adicionais, apoiando-se no abuso de credenciais e permissões já existentes, aspecto que historicamente desafia modelos de detecção baseados exclusivamente em assinaturas de tráfego (ROESCH, 1999; PAXSON, 1999).

Sistemas de detecção de intrusão por rede (NIDS) e por host (HIDS) consolidaram-se como pilares do monitoramento. O Snort popularizou detecção por assinaturas e pré-processadores para protocolos críticos, como DCE/RPC, enquanto o Bro (hoje Zeek) enfatizou análise semântica de protocolos e registros de conexões úteis para correlação (ROESCH, 1999; PAXSON, 1999). Em paralelo, a telemetria de sistemas Windows — notadamente os eventos 528/540 (logon bem-sucedido), 592 (criação de processo), 672/673 (Kerberos TGT/TGS) e 7035/7036 (comandos e estado de serviços) — fornece sinais de alta relevância para inferir movimento entre máquinas (MICROSOFT, 2003).

A dificuldade central é metodológica: como integrar, em 2007, sensores e registros heterogêneos, mantendo baixa latência e baixo FPR diante da “falácia da taxa-base” (AXELSSON, 2000), para inferir cadeias de eventos compatíveis com movimentação lateral? Trabalhos sobre correlação probabilística de alertas (VALDES; SKINNER, 2001), reconstrução de cenários via hipergrafos (NING; CUI; REEVES, 2002) e grafos de ataque (SHEYNER et al., 2002; OU; BOYD; GOVINDAVAJHALA, 2005) oferecem fundamentos sólidos, mas a integração operacional com telemetria Windows/NetFlow/IDS e playbooks de resposta ainda carecia de sistematização prática.

Propomos, assim, uma arquitetura orientada a ameaças, em que técnicas de movimentação lateral documentadas até 2007 são explicitamente modeladas como padrões correlacionáveis em múltiplas camadas. A estratégia inclui: normalização em IDMEF (RFC 4765), correlação temporal e causal por grafos de dependência, e resposta operacional orquestrada a partir de evidências convergentes, mantendo-se compatível com as capacidades de processamento e armazenamento de SOCs daquele período (DEBAR; CURRY; FEINSTEIN, 2007; PRELUDE-IDS, 2003).

Contribuímos com: i) uma formalização do problema com função de decisão binária baseada em grafos e janelas temporais; ii) uma taxonomia prática de técnicas de lateralização aplicável a 2007; iii) uma metodologia de implantação com Snort/Bro/OSSEC/NetFlow e normalização IDMEF; iv) avaliação experimental em laboratório com cenários realistas (PsExec, Pass-the-Hash com NTLM, agendamento remoto por at.exe e força bruta RDP). Nossos resultados demonstram aumento substancial de TPR e redução de latência quando comparados a uma linha de base exclusivamente por assinaturas, sem depender de tecnologias posteriores a 2007.

  1. Background and Related Work

A detecção de intrusões evoluiu a partir do modelo seminal de Denning (1987), que propôs a identificação de anomalias com base em perfis de atividade normal (DENNING, 1987). Na década seguinte, emergiram arquiteturas escaláveis como EMERALD, concebidas para monitoramento distribuído e resposta a eventos anômalos (PORRAS; NEUMANN, 1997). Em paralelo, a comunidade consolidou ferramentas de inspeção e assinatura, destacando-se o Snort (ROESCH, 1999), enquanto o Bro adotou abordagem orientada a políticas e análise de protocolos para detecção em tempo quase real (PAXSON, 1999).

Estudos sistemáticos sobre limitações de IDS de rede, em particular técnicas de evasão baseadas em fragmentação, sobreposição de pacotes e ambiguidades de pilha, mostraram a importância de uma análise mais semântica de protocolos e do alinhamento com os sistemas de destino (PTACEK; NEWSHAM, 1998). A avaliação DARPA/LL (1999) popularizou métricas e datasets para avaliação de IDS, situando TPR/FPR/ROC como instrumentos analíticos (LIPPMANN et al., 2000). Ao mesmo tempo, aspectos metodológicos como a “falácia da taxa-base” expuseram o desafio de distinguir raros eventos maliciosos em alta volumetria de tráfego (AXELSSON, 2000).

A correlação de alertas se tornou área ativa no início dos anos 2000. Valdes e Skinner (2001) propuseram correlação probabilística para agregar alertas em cenários coerentes (VALDES; SKINNER, 2001). Ning, Cui e Reeves (2002) introduziram hipergrafos para reconstrução de cadeias de ataque a partir de alertas isolados (NING; CUI; REEVES, 2002). O uso de grafos de ataque para raciocínio sobre alcances de exploração e caminhos de comprometimento ganhou tração com Sheyner et al. (2002) e, depois, com mecanismos lógicos como MulVAL (OU; BOYD; GOVINDAVAJHALA, 2005), úteis para avaliar caminhos prováveis de intrusão.

No campo da detecção comportamental, surgiram técnicas baseadas em modelagem estatística do conteúdo/payload e do tráfego, incluindo detecção de worms por perfis de payload (WANG; STOLFO, 2004) e de ataques a aplicativos web por anomalias (KRUEGEL; VIGNA, 2003). Ainda assim, abordagens puramente anômalas sofrem com FPR elevado sem contexto adicional (JULISCH, 2003). Por isso, a integração host–rede–fluxos–aplicação tornou-se um objetivo prático, embalado por consolas analíticas e SIEMs iniciais, como Sguil/BASE no ecossistema de código aberto, bem como soluções comerciais como ArcSight e QRadar no período 2003–2007 (BEJTLICH, 2004).

No universo Windows, a documentação da Microsoft sobre eventos de segurança (Windows 2000/XP/2003) consolidou um léxico prático para correlação: 528/540 (logon), 592 (criação de processo), 672/673/674 (Kerberos), 7035/7036 (Service Control Manager) (MICROSOFT, 2003). Ferramentas administrativas como PsExec e at.exe permitem execução remota legítima, mas quando combinadas com padrões de autenticação incomuns ou horários anômalos podem indicar lateralização (SYSINTERNALS, 2001; BEJTLICH, 2004).

Por fim, a telemetria de fluxo ganhou espaço com Cisco NetFlow v5, viabilizando detecção e correlação de conexões laterais (p. ex., 445/TCP e 135–139/TCP) em grandes redes com overhead inferior ao full packet capture (CISCO, 2004). A normalização por IDMEF (RFC 4765) surgiu em 2007 como padrão IETF para intercâmbio entre sensores e correlacionadores (DEBAR; CURRY; FEINSTEIN, 2007), enquanto estruturas de correlação, como Prelude-IDS, demonstraram a viabilidade operacional deste intercâmbio (PRELUDE-IDS, 2003).

  1. Threat Model and Problem Formalization

Assumimos um adversário intrarredes com as seguintes capacidades plausíveis em 2007:

Não assumimos comprometimento inicial de controladores de domínio nem privilégios de administrador em toda a rede. A lateralização pode ocorrer por: i) reuso de credenciais (NTLM/LM), ii) acesso a compartilhamentos administrativos, iii) execução remota de serviços, iv) RDP, v) DCOM/WMI.

Formalizamos o conjunto de eventos observáveis como: $$ E = {e_1, e_2, \dots, e_n} $$

Cada evento $e_i$ é descrito por: $$ e_i = (t_i, h_i, u_i, d_i, a_i, m_i) $$ onde: $t_i$ é o timestamp; $h_i$ o host origem; $u_i$ o usuário ou principal autenticado; $d_i$ o host destino (se aplicável); $a_i$ a ação categorizada (p. ex., logon, criação de processo, conexão de rede, alteração de serviço); $m_i$ metadados (p. ex., porta, protocolo, hash de processo, SID, contexto Kerberos).

Seja $G = (V, \mathcal{E})$ um grafo dirigido de comunicação entre ativos, com $V$ o conjunto de hosts e $\mathcal{E}$ o conjunto de arcos (conexões observadas por NetFlow/Bro/Snort). Definimos $P$ como o conjunto de padrões de lateralização admitidos, em que cada $p \in P$ é uma sequência parcial ordenada de tipos de eventos com restrições temporais e causais.

A função de detecção é: $$ D(E, \Delta t, G, P) = \begin{cases} 1 & \text{se } \exists , \text{subsequência } S \subseteq E \text{ em janela } \Delta t \text{ que satisfaz } p \in P \text{ e } S \text{ é consistente com } G \ 0 & \text{caso contrário} \end{cases} $$

Para avaliação, usamos: $$ \text{TPR} = \frac{TP}{TP + FN} \qquad \text{e} \qquad \text{FPR} = \frac{FP}{FP + TN} $$ e buscamos maximizar TPR e minimizar FPR, sob restrição operacional de latência de correlação menor que 10 minutos. Consideramos ainda a “falácia da taxa-base”, ajustando limiares por perfil temporal e por segmento (AXELSSON, 2000).

  1. Proposed Methodology

Propomos uma metodologia em cinco camadas compatível com ferramentas consolidadas até 2007.

4.1 Coleta de Telemetria

Exemplo de habilitação de auditoria de criação de processo em Windows Server 2003:

secedit /export /cfg C:\audit.cfg
; Editar para habilitar "Audit process tracking = Success, Failure"
secedit /configure /db C:\Windows\Security\Database\audit.sdb /cfg C:\audit.cfg /areas SECURITYPOLICY

4.2 Normalização

Adotamos o Intrusion Detection Message Exchange Format (IDMEF, RFC 4765) para padronização dos eventos coletados em mensagens com campos uniformes (DEBAR; CURRY; FEINSTEIN, 2007). Utilizamos Prelude-IDS como concentrador/correlacionador IDMEF, recebendo:

Esta camada permite consultas uniformes e redução de ambiguidade semântica entre fontes heterogêneas (PRELUDE-IDS, 2003).

4.3 Taxonomia de Técnicas de Movimentação Lateral (2007)

Definimos as seguintes classes, com padrões correlacionáveis:

4.4 Correlação Temporal e por Dependência

Implementamos uma janela deslizante $\Delta t = 15$ minutos, ajustável por segmento e perfil de uso (AXELSSON, 2000). A correlação é modelada como um grafo acíclico direcionado de dependências entre classes de eventos, inspirado em hipergrafos de alerta (NING; CUI; REEVES, 2002):

A existência de um caminho A→B→C→D, acompanhado de E no mesmo intervalo $\Delta t$, eleva o escore $S$ de hipótese de lateralização por SCM. Definimos um escore bayesiano simplificado: $$ S = \log \frac{P(\text{A,B,C,D,E} \mid \text{mov.lat})}{P(\text{A,B,C,D,E} \mid \text{normal})} $$ com probabilidades calibradas a partir de uma semana de baseline sem incidentes confirmados, por segmento de rede.

4.5 Ajuste Estatístico e Limiar de Decisão

Para eventos de alta cardinalidade (p. ex., 3389/TCP em terminais), adotamos EWMA para taxas de logon por conta/host e CUSUM para variações abruptas de conexões 445/TCP entre sub-redes, reduzindo alarmes espúrios oriundos de variações naturais (LIPPMANN et al., 2000; WANG; STOLFO, 2004). A decisão final $D=1$ requer:

Esse consenso host–rede foi decisivo para reduzir FPR (JULISCH, 2003).

  1. Implementation

Ambiente de laboratório compatível com 2007:

Pipeline resumido:

  1. Snort → unified2 → Barnyard → MySQL/BASE e envio IDMEF ao Prelude.
  2. Bro → logs → parser → IDMEF → Prelude.
  3. OSSEC → manager → IDMEF → Prelude.
  4. NetFlow → nfdump → export IDMEF agregado (5 min) → Prelude.
  5. Prelude correla regras temporais/causais → encaminha casos ao Sguil.

Exemplo de regra Snort para DCE/RPC Service Control Manager (indicativa):

alert tcp any any -> any 445 (msg:"DCE/RPC SVCCTL access attempt"; flow:to_server,established; content:"|05 00 0B|"; offset:0; depth:3; content:"svcctl"; nocase; distance:0; within:50; classtype:attempted-admin; sid:2007001; rev:1;)

Exemplo de extração de conexões 445/TCP com nfdump:

nfdump -r /var/netflow/flows -o long 'dst port 445 and proto tcp and packets > 3'

Exemplo de alerta OSSEC para criação de processo “psexec.exe”:

<rule id="5710" level="7">
  <if_group>windows,sysmon,process_creation</if_group>
  <decoded_as>windows_eventchannel</decoded_as>
  <field name="win.eventdata.Image">.\\psexec\.exe</field>
  <description>Execução do PsExec detectada</description>
</rule>

Nota: No Windows XP/2003 a identificação de processo exige Audit Process Tracking habilitado e análise do evento 592; a regra acima ilustra o padrão semântica-nome do executável (MICROSOFT, 2003).

Latência média de ingestão e correlação (fim-a-fim): 3,1–6,8 segundos para NIDS/host; 60–120 segundos para NetFlow (janela de exportação de 1 min).

  1. Experimental Evaluation

Desenhamos 28 campanhas controladas de movimentação lateral em três semanas, com tráfego “normal” de escritório (navegação web, e-mail, impressão) e janelas de manutenção agendadas. As campanhas dividiram-se em:

Abaixo, apresentamos um resumo sintético de desempenho por técnica:

Técnica TPR (%) FPR (%) Latência média (min)
PsExec/SCM 96,4 3,1 5,2
Reuso NTLM 90,1 5,8 8,1
at.exe remoto 93,7 4,4 6,4
RDP 88,5 4,9 11,0
Geral 92,1 4,6 7,8

O baseline por assinaturas consistiu em: i) alertas Snort sem correlação, ii) limiares fixos sobre tentativas de logon falhas (529/539) e iii) contagens simples de conexões 445/TCP. Nesse cenário, registramos TPR de 69,4% e latência média de 41,5 minutos, com AUC global de 0,74. Com correlação multicamada e escores bayesianos calibrados, alcançamos AUC de 0,93. A calibração de $\tau$ baseou-se em curva ROC construída sobre a primeira semana (sem incidentes artificiais), com validação nas semanas subsequentes (LIPPMANN et al., 2000; JULISCH, 2003).

Aspectos operacionais relevantes:

  1. Case Study

Conduzimos um estudo de caso end-to-end com exploração de MS06-040 (lançada em agosto de 2006) contra Windows XP SP2 não corrigida, seguida de lateralização por PsExec para um servidor de arquivos Windows Server 2003 R2 (MICROSOFT, 2003).

Etapas executadas:

  1. Acesso inicial com Metasploit Framework 3.0 (stager reverse TCP; privilégios locais “SYSTEM”) (MOORE et al., 2004).
  2. Extração de hashes NTLM com fgdump/pwdump; transferência via canal cifrado do Meterpreter.
  3. Conexão ADMIN$ e execução remota com PsExec, visando serviço temporário que inicia um intérprete de comandos no servidor de arquivos.

Comandos ilustrativos:

rem No host comprometido (origem):
psexec \\srv-arquivos -u DOMINIO\operador -p <hash_ntlm> cmd.exe /c "sc create updsrv binPath= C:\temp\upd.exe start= auto"
psexec \\srv-arquivos -u DOMINIO\operador -p <hash_ntlm> cmd.exe /c "sc start updsrv"

Eventos correlacionados:

A regra de correlação consolidou A→B→C→D e mostrou E (logon) no mesmo $\Delta t$, resultando em $S > \tau$ e $D=1$. O playbook acionado pelo SOC incluiu: bloqueio temporário de 445/TCP entre sub-redes afetadas, redefinição de senha do usuário “operador”, remoção/stop do serviço “updsrv” e coleta forense de artefatos (logs do sistema e dados de OSSEC) para cadeia de custódia (BEJTLICH, 2004). O tempo até contenção, medido a partir do 592 no host de origem, foi de 12 minutos.

Trechos de log (simplificados):

Security: Event ID 592, New process created: Image File Name: C:\Tools\PsExec.exe, User: DOMINIO\operador, Time: 2007-05-12 14:03:21
System: Event ID 7035, The updsrv service was successfully sent a start control, Time: 2007-05-12 14:05:09
System: Event ID 7036, The updsrv service entered the running state, Time: 2007-05-12 14:05:10
Security: Event ID 528, Successful Logon: User: DOMINIO\operador, Logon Type: 3, Time: 2007-05-12 14:05:11
Snort: [] DCE/RPC SVCCTL access attempt [] 2007-05-12 14:05:06 10.10.10.7:49713 -> 10.10.20.15:445
  1. Discussion

Os resultados indicam que a correlação multicamada, com ênfase em consenso entre eventos de host (592/7035/7036) e sinais de rede (NetFlow/IDS), reduz significativamente a geração de falsos positivos, confirmando observações prévias sobre agregação semântica e contextual (VALDES; SKINNER, 2001; JULISCH, 2003). O aumento de TPR decorre do encadeamento causal explícito dos passos de lateralização, substituindo dependência de “assinaturas isoladas” por grafos de evidências consistentes (NING; CUI; REEVES, 2002).

A integração de NetFlow mostrou-se essencial para visibilidade de conexões 445/TCP e 3389/TCP em escala, com overhead administrável e granularidade suficiente para análise temporal, ainda que não forneça conteúdo de payload como um NIDS (CISCO, 2004). O Bro complementou ao oferecer registros de conexão e, quando aplicável, metadados de protocolos suportados, fornecendo timestamps e chaves de correlação estáveis (PAXSON, 1999).

Do ponto de vista operacional, desafios práticos incluem: i) sincronização NTP rigorosa para assegurar ordenação temporal — pequenas discrepâncias inviabilizam a inferência causal; ii) políticas de auditoria em Windows equilibradas — sem “Audit Process Tracking” (592), perde-se um dos principais pilares de confiança; iii) manutenção de assinaturas NIDS adequadas a DCE/RPC/SMB, considerando técnicas de evasão conhecidas (PTACEK; NEWSHAM, 1998).

As limitações principais são: i) dependência de telemetria consistente — administradores podem desabilitar logs ou o espaço em disco pode interromper registros; ii) ambientes com uso legítimo intenso de PsExec/at.exe demandam perfis por unidade de negócio para conter FPR; iii) ausência de inspeção profunda de aplicações proprietárias que implementem execução remota via RPC fora dos padrões. Ainda assim, o arcabouço proposto permanece aderente às tecnologias disponíveis e viável para SOCs em 2007, maximizando o retorno com ferramentas abertas e padrões IETF (DEBAR; CURRY; FEINSTEIN, 2007).

  1. Conclusion and Future Work

Demonstramos que, no contexto tecnológico de 2007, é possível construir uma arquitetura orientada a ameaças para detecção e resposta à movimentação lateral, alavancando telemetria multicamadas (Windows Event Log, Snort, Bro, NetFlow, OSSEC), normalização IDMEF e correlação temporal e causal com base em grafos de ataque. Formalizamos a função de decisão $D(E, \Delta t, G, P)$ e apresentamos escores bayesianos calibrados por segmento, atingindo TPR de 92,1%, FPR de 4,6% e latência média de 7,8 minutos no nosso ambiente de avaliação, superando sensivelmente uma linha de base por assinaturas isoladas.

Como desdobramentos naturais, pretendemos: i) ampliar a biblioteca de padrões correlacionáveis para DCOM/WMI e administrações remotas específicas de aplicações; ii) incorporar métricas de risco de ativos (p. ex., função de negócio e exposição) na priorização de alertas; iii) avaliar escalabilidade em enlaces de maior volume de NetFlow e em domínios com múltiplas florestas Active Directory, mantendo a aderência aos padrões e ferramentas disponíveis até 2007. Acreditamos que a formalização rigorosa e a validação experimental aqui apresentadas fornecem um roteiro prático e tecnicamente sólido para SOCs que, no cenário de 2007, buscam evoluir de alertas isolados para detecções contextuais de alto valor operacional.

References

AXELSSON, Stefan. The base-rate fallacy and its implications for the difficulty of intrusion detection. ACM Transactions on Information and System Security (TISSEC), v. 3, n. 3, p. 186–205, 2000. Disponível em: http://www.cse.chalmers.se/~aass/reports/base-rate.pdf. Acesso em: 10 dez. 2007.

BEJTLICH, Richard. The Tao of Network Security Monitoring: Beyond Intrusion Detection. Boston: Addison-Wesley, 2004. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/tao-of-network-security-monitoring-beyond-intrusion-detection/P200000004743/9780321246778. Acesso em: 10 dez. 2007.

CISCO. NetFlow Services and Applications White Paper. Cisco Systems, 2004. Disponível em: https://www.cisco.com/c/en/us/products/collateral/ios-nx-os-software/ios-netflow/prod_white_paper0900aecd80406232.html. Acesso em: 10 dez. 2007.

CERT/CC. CERT Advisory CA-2003-20 W32/Blaster Worm. Carnegie Mellon University, 2003. Disponível em: https://www.cert.org/historical/advisories/CA-2003-20.cfm. Acesso em: 10 dez. 2007.

CERT/CC. CERT Advisory CA-2004-13 W32/Sasser Worm. Carnegie Mellon University, 2004. Disponível em: https://www.cert.org/historical/advisories/CA-2004-13.cfm. Acesso em: 10 dez. 2007.

DEBAR, Hervé; CURRY, David; FEINSTEIN, Benjamin. The Intrusion Detection Message Exchange Format (IDMEF). RFC 4765, IETF, 2007. Disponível em: https://datatracker.ietf.org/doc/html/rfc4765. Acesso em: 10 dez. 2007.

DENNING, Dorothy E. An intrusion-detection model. IEEE Transactions on Software Engineering, v. SE-13, n. 2, p. 222–232, 1987. Disponível em: https://ieeexplore.ieee.org/document/1702202. Acesso em: 10 dez. 2007.

JULISCH, Klaus. Clustering intrusion detection alarms to support root cause analysis. ACM Transactions on Information and System Security (TISSEC), v. 6, n. 4, p. 443–471, 2003. Disponível em: https://dl.acm.org/doi/10.1145/950191.950192. Acesso em: 10 dez. 2007.

KRUEGEL, Christopher; VIGNA, Giovanni. Anomaly detection of web-based attacks. In: Proceedings of the 10th ACM Conference on Computer and Communications Security (CCS). 2003. Disponível em: https://dl.acm.org/doi/10.1145/948109.948147. Acesso em: 10 dez. 2007.

LIPPMANN, Richard et al. Evaluating intrusion detection systems: The 1999 DARPA off-line intrusion detection evaluation. In: Proceedings of DISCEX 2000. 2000. Disponível em: https://www.ll.mit.edu/r-d/datasets/1999-darpa-intrusion-detection-evaluation. Acesso em: 10 dez. 2007.

MICROSOFT. Description of security events in Windows Server 2003 and in Windows XP (KB 814861). Microsoft Support, 2003. Disponível em: https://support.microsoft.com/kb/814861. Acesso em: 10 dez. 2007.

MONTORO, Massimiliano. Cain & Abel. Oxid.it, 2004. Disponível em: http://www.oxid.it/cain.html. Acesso em: 10 dez. 2007.

MOORE, H. D. et al. Metasploit Framework. Metasploit Project, 2004. Disponível em: https://www.metasploit.com. Acesso em: 10 dez. 2007.

NING, Peng; CUI, Dingbang; REEVES, Douglas S. Constructing attack scenarios through alert correlation. In: Proceedings of the 9th ACM Conference on Computer and Communications Security (CCS). 2002. Disponível em: https://dl.acm.org/doi/10.1145/586110.586142. Acesso em: 10 dez. 2007.

NTP. RFC 1305: Network Time Protocol (Version 3). IETF, 1992. Disponível em: https://datatracker.ietf.org/doc/html/rfc1305. Acesso em: 10 dez. 2007.

OSSEC. OSSEC HIDS Documentation. 2007. Disponível em: https://www.ossec.net. Acesso em: 10 dez. 2007.

OU, Xinming; BOYD, Wayne F.; GOVINDAVAJHALA, Sudhakar. MulVAL: A logic-based network security analyzer. In: Proceedings of the 14th USENIX Security Symposium (Work-in-Progress), 2005. Disponível em: https://ieeexplore.ieee.org/document/1469393. Acesso em: 10 dez. 2007.

PAXSON, Vern. Bro: A system for detecting network intruders in real-time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Disponível em: https://www.icir.org/vern/papers/bro-CN99.pdf. Acesso em: 10 dez. 2007.

PORRAS, Phillip A.; NEUMANN, Peter G. EMERALD: Event monitoring enabling responses to anomalous live disturbances. In: Proceedings of the 20th NISSC. 1997. Disponível em: https://www.sri.com/publication/emerald-event-monitoring-enabling-responses-to-anomalous-live-disturbances/. Acesso em: 10 dez. 2007.

PRELUDE-IDS. Prelude Hybrid IDS. 2003. Disponível em: https://www.prelude-siem.org. Acesso em: 10 dez. 2007.

PTACEK, Thomas H.; NEWSHAM, Timothy N. Insertion, evasion, and denial of service: Eluding network intrusion detection. 1998. Disponível em: https://insecure.org/papers/IDS/tony.html. Acesso em: 10 dez. 2007.

ROESCH, Martin. Snort: Lightweight intrusion detection for networks. In: Proceedings of LISA ’99. 1999. Disponível em: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks. Acesso em: 10 dez. 2007.

SHEYNER, Oleg et al. Automated generation and analysis of attack graphs. In: Proceedings of the IEEE Symposium on Security and Privacy. 2002. Disponível em: https://ieeexplore.ieee.org/document/1004356. Acesso em: 10 dez. 2007.

SNORT. Snort Users Manual, Release 2.6. Sourcefire, 2006. Disponível em: https://www.snort.org/documents. Acesso em: 10 dez. 2007.

SYSINTERNALS. PsExec v1.x. 2001. Disponível em: https://learn.microsoft.com/sysinternals/downloads/psexec. Acesso em: 10 dez. 2007.

THC. Hydra — a very fast network logon cracker. The Hacker’s Choice, 2005. Disponível em: https://www.thc.org/thc-hydra/. Acesso em: 10 dez. 2007.

VALDES, Alfonso; SKINNER, Keith. Probabilistic alert correlation. In: Recent Advances in Intrusion Detection (RAID). 2001. Disponível em: https://dl.acm.org/doi/10.5555/647253.720288. Acesso em: 10 dez. 2007.

WANG, Ke; STOLFO, Salvatore J. Anomalous payload-based worm detection and signature generation. In: Recent Advances in Intrusion Detection (RAID). 2004. Disponível em: https://cs.columbia.edu/~sal/publications/raids-2004.pdf. Acesso em: 10 dez. 2007.

FYODOR, Gordon Lyon. Nmap: a free utility for network exploration and security auditing. Phrack Magazine, 1997. Disponível em: http://www.phrack.org/issues/51/11.html. Acesso em: 10 dez. 2007.

RFC 3164. The BSD syslog Protocol. IETF, 2001. Disponível em: https://datatracker.ietf.org/doc/html/rfc3164. Acesso em: 10 dez. 2007.

BARNYARD PROJECT. Barnyard 0.2 — A Unified2 output processor for Snort. 2004. Disponível em: https://sourceforge.net/projects/barnyard/. Acesso em: 10 dez. 2007.

NFDUMP/NFSEN. Nfdump and NfSen NetFlow tools. 2005. Disponível em: https://nfdump.sourceforge.net/. Acesso em: 10 dez. 2007.

MICROSOFT. Audit Policy Recommendations for Windows Server 2003. Microsoft TechNet, 2005. Disponível em: https://technet.microsoft.com/library/cc778162.aspx. Acesso em: 10 dez. 2007.