Arquitetura Orientada à Pesquisa para Detecção e Resposta ao Abuso de Binários Nativos em Ambientes Corporativos Windows

1. Introduction

A evolução das intrusões em ambientes corporativos Windows, desde meados da década de 1990 até 2006, evidenciou crescente sofisticação tática por parte de adversários, que passaram a explorar funcionalidades administrativas legítimas para execução de comandos, persistência e movimentação lateral (NORTHCUTT; NOVAK, 2002; SKOUDIS; LISTON, 2006). Em lugar de implantar binários externos — mais fáceis de detectar por soluções antivírus baseadas em assinaturas — tornou-se frequente o abuso de utilitários já presentes no sistema, como cmd.exe, wmic.exe, net.exe, at.exe, rundll32.exe e os interpretadores cscript.exe e wscript.exe (MICROSOFT, 2003c; MICROSOFT, 2003d).

O cenário de ameaças à época inclui worms e explorações de vulnerabilidades críticas — Code Red (2001), SQL Slammer (2003), Blaster (2003) e Sasser (2004) — que catalisaram a adoção de IDS de rede baseados em assinatura, como o Snort (ROESCH, 1999), e de políticas de auditoria em Windows para aumentar a visibilidade de atividades suspeitas (MOORE et al., 2003; MICROSOFT, 2003). No entanto, o abuso de binários nativos coloca um desafio distinto: sequências de eventos aparentemente benignos, quando observadas isoladamente, tornam-se indicativas de intrusão quando analisadas na sua composição e encadeamento temporal (AMOROSO, 1999; NORTHCUTT; NOVAK, 2002).

A literatura de detecção de intrusões reconhece as limitações impostas pela baixa taxa base de eventos maliciosos (AXELSSON, 2000) e a necessidade de combinar abordagem baseada em assinaturas com análise de anomalias e correlação entre múltiplas fontes (DENNING, 1987; PAXSON, 1999; ILGUN; KEMMERER; PORRAS, 1995). Nesse contexto, propomos uma arquitetura orientada à pesquisa que unifica telemetria de host e de rede, normalização e enriquecimento de eventos, modelagem formal de sequências de processos e correlação na camada de SEM/SIM disponível à época (ArcSight ESM, netForensics) (ARCSIGHT, 2005; NETFORENSICS, 2004).

Focamos ambientes Windows XP e Windows Server 2003, amplamente implantados em corporações e suportados por documentação detalhada de auditoria e segurança (MICROSOFT, 2003; MICROSOFT, 2003c). A principal contribuição teórica consiste na formalização matemática da detecção de abuso de binários nativos como um problema de classificação de cadeias de eventos temporais dependentes, com regras determinísticas expressáveis por autômatos finitos determinísticos (AFDs) e um componente estatístico calibrado por dados de base (DENNING, 1987; AXELSSON, 2000). Complementamos com um estudo experimental reproduzível, procedimentos forenses e um estudo de caso envolvendo a exploração MS03-026 e execução remota com PsExec (MICROSOFT, 2003b; RUSSINOVICH, 2004).

2. Background and Related Work

A fundamentação teórica para detecção de intrusões em sistemas computacionais remonta ao modelo de Denning (1987), que introduziu a auditoria contínua e perfis de comportamento para identificação de desvios. A dicotomia entre assinaturas e anomalias foi explorada por múltiplos trabalhos subsequentes, incluindo a detecção por padrões de estado (ILGUN; KEMMERER; PORRAS, 1995) e a inspeção de tráfego de rede em tempo real com Bro (PAXSON, 1999) e com Snort (ROESCH, 1999). A problemática da “base-rate fallacy” em IDS foi formalmente discutida por Axelsson (2000), enfatizando que, quando a taxa base de ataques é muito baixa, a precisão cai mesmo para detectores com alta sensibilidade.

No ecossistema Windows, a disponibilidade de auditoria de segurança — eventos de logon, acesso a objetos, rastreamento de processos — oferece uma base sólida para correlação de eventos (MICROSOFT, 2003; MICROSOFT, 2003c). Em paralelo, plataformas comerciais de gestão e correlação de eventos (SEM/SIM) como ArcSight e netForensics já suportavam, antes de 2006, coleta e normalização de logs de múltiplas fontes, enriquecimento e correlação baseada em regras (ARCSIGHT, 2005; NETFORENSICS, 2004). A centralização de logs via syslog (RFC 3164) e a utilização de agentes Windows como o SNARE facilitaram a consolidação e preservação de evidências (LONVICK, 2001; INTERSECT ALLIANCE, 2003).

Do ponto de vista ofensivo, incidentes documentados demonstram o uso de ferramentas administrativas e scripts embutidos para evitar a detecção: execução remota com PsExec, abusos de at.exe para persistência e uso de WMIC para enumeração e execução distribuída (RUSSINOVICH, 2004; MICROSOFT, 2003a). Embora worms como Blaster e Sasser tivessem como vetor inicial falhas RPC e LSASS (MICROSOFT, 2003b; MICROSOFT, 2004), ações subsequentes em muitos incidentes revelam a exploração de binários nativos para consolidação do compromisso (SKOUDIS; LISTON, 2006).

A literatura correlata também abrange práticas forenses e de resposta a incidentes, como a coleta de evidências segundo a RFC 3227 (BREZINSKI; KILLALEA, 2002) e as diretrizes do NIST para resposta e integração de forense ao ciclo de incidente (GRANCE; KENT; KIM, 2004; KENT; CHEVALIER; GRANCE, 2006). Em termos de bases criptográficas para verificação e integridade, cabe notar as recomendações de uso de SHA-1 em detrimento de MD5 diante de colisões conhecidas desde 2004 (WANG; FENG; LAI, 2004; WANG; YIN; YU, 2005), ainda que SHA-1 também tenha sofrido abalos teóricos.

Identificamos, por fim, uma lacuna específica: a formalização matemática clara e operacional de sequências de processos — onde cada ato isolado é legítimo — que se tornam maliciosas pela sua composição temporal. Nosso trabalho busca preencher essa lacuna com uma abordagem rigorosa, implementável e alinhada ao estado da prática de 2006.

3. Threat Model and Problem Formalization

Consideramos um adversário que obtém acesso inicial por meio de engenharia social com anexos de macro em documentos Office, execução de scripts VBScript maliciosos ou exploração de vulnerabilidades críticas como MS03-026 (RPC DCOM) e MS04-011 (LSASS) (MICROSOFT, 2003b; MICROSOFT, 2004). Após obter execução de código, o atacante evita implantar binários externos e utiliza exclusivamente utilitários nativos para:

1. Execução remota de comandos por canais legítimos (por exemplo, PsExec sobre SMB);
2. Criação e modificação de contas e grupos via net.exe;
3. Agendamento de tarefas para persistência com at.exe;
4. Coleta e exfiltração de dados usando comandos embutidos e protocolos permitidos (por exemplo, FTP ou SMB) (RUSSINOVICH, 2004; SKOUDIS; LISTON, 2006).

Definimos cada evento de criação de processo como um vetor: $$ e_i = (p_i, pp_i, c_i, u_i, t_i, h_i) $$ em que:

• $p_i$ é o nome do processo;
• $pp_i$ é o processo pai observado;
• $c_i$ é a linha de comando efetiva;
• $u_i$ identifica o usuário de segurança (SID);
• $t_i$ é o timestamp (sincronizado por NTP);
• $h_i$ é o hash do executável (preferencialmente SHA-1).

A sequência temporalmente ordenada é: $$ S = \langle e_1, e_2, \dots, e_n \rangle \quad \text{com } t_1 < t_2 < \dots < t_n. $$

Nosso objetivo é definir uma função de decisão: $$ f(S): \mathcal{S} \rightarrow {0,1} $$ tal que $f(S) = 1$ indica comportamento malicioso.

Modelamos $f$ como a combinação de regras determinísticas $R_j$ e um escore estatístico $A(S)$: $$ f(S) = \begin{cases} 1, & \text{se } \exists j ; R_j(S) = 1 \ 1, & \text{se } A(S) > \theta \ 0, & \text{caso contrário.} \end{cases} $$

Para $A(S)$, adotamos um modelo de Markov de primeira ordem aprendido a partir de dados benignos. Seja $\mathcal{P}$ o conjunto de pares ordenados observados $\langle p_{i-1} \to p_i \rangle$. A probabilidade de transição $P(p_i \mid p_{i-1})$ é estimada por frequência relativa com suavização de Laplace: $$ \hat{P}(p_i \mid p_{i-1}) = \frac{N(p_{i-1} \to p_i) + \alpha}{\sum_{q} N(p_{i-1} \to q) + \alpha \cdot |\mathcal{V}|}, $$ onde $N(\cdot)$ é a contagem nos dados de base, $\alpha > 0$ é hiperparâmetro e $\mathcal{V}$ é o vocabulário de processos. Definimos o escore como soma de surpresas negativas: $$ A(S) = - \sum_{i=2}^{n} \log \hat{P}(p_i \mid p_{i-1}). $$ Quanto menor a probabilidade das transições observadas sob o modelo benigno, maior o escore e, consequentemente, a suspeita. O limiar $\theta$ é calibrado por controle da taxa de falsos positivos em um conjunto de validação, conforme abordagem de teste de razões de verossimilhança no espírito de Neyman-Pearson (AXELSSON, 2000).

Complementamos com atributos derivados da linha de comando $c_i$, incluindo o comprimento $|c_i|$ e a entropia de Shannon: $$ H(c_i) = - \sum_{k} p_k \log_2 p_k, $$ onde $p_k$ é a frequência relativa do caractere $k$ em $c_i$, útil para identificar ofuscação simples (AMOROSO, 1999).

4. Proposed Methodology

4.1 Coleta de Telemetria

Ativamos políticas de auditoria avançada no Windows XP/2003, com ênfase em:

• Audit process tracking (por exemplo, Event ID 592/4688);
• Audit logon/logoff (sucesso e falha);
• Audit object access (em diretórios críticos).

A configuração pode ser realizada via Diretiva de Grupo ou linha de comando (secedit/auditpol) (MICROSOFT, 2003c). Exemplo de aplicação por linha de comando em servidores 2003:

secedit /configure /db c:\windows\security\audit.sdb /cfg c:\templates\audit.inf /overwrite

Para transmissão dos eventos a um servidor central syslog (RFC 3164), utilizamos o SNARE for Windows:

• SNARE é configurado para encaminhar categorias de segurança ao coletor central em UDP/514 (INTERSECT ALLIANCE, 2003; LONVICK, 2001).

A sincronização de tempo é obrigatória para correlação precisa (RFC 1305/NTP) (MILLS, 1992). Em paralelo, implantamos IDS de rede Snort 2.x com regras específicas para tráfego SMB/RPC e tentativas de exploração conhecidas (ROESCH, 1999).

Exemplo de regra Snort:

alert tcp any any -> any 445 (msg:"Possível exploração SMB (NOP sled)"; flow:to_server,established; content:"|90 90 90 90|"; sid:1000001; rev:1;)

4.2 Normalização e Enriquecimento

Os eventos recebidos (Windows Security, System, Application; Snort; registros de Active Directory; logs de servidor de arquivos SMB) são mapeados para um esquema comum com campos: $(p, pp, c, u, t, h, srcIP, dstIP, host, channel)$.

O enriquecimento adiciona:

• DNS reverso de srcIP e dstIP;
• Mapeamento SID → nome do usuário e grupos;
• Indicação de privilégios (por exemplo, se $u$ ∈ Administradores);
• Origem geográfica aproximada (quando aplicável em ambientes com saída à Internet);
• Carimbo de integridade do repositório de logs (Tripwire) (KIM; SPAFFORD, 2000).

4.3 Extração de Atributos

A partir dos eventos normalizados, extraímos:

• Comprimento $|c_i|$ e entropia $H(c_i)$;
• Indicadores de uso de parâmetros sensíveis em $c_i$ (por exemplo, “/add”, “/domain”, “/create”);
• Frequência relativa de processos por usuário (contagens normalizadas);
• Relações pai-filho raras com transição $\langle pp \to p \rangle$ pouco frequente sob o baseline;
• Janelas temporais com bursts anômalos de criação de processo. Também mantemos contadores de falhas de logon ($\text{Falhas}(u)$ por janela $\Delta t$) para correlacionar com escaladas subsequentes (NORTHCUTT; NOVAK, 2002).

4.4 Regras Determinísticas e Autômatos

Regras representadas como AFDs permitem detecção eficiente em fluxo (ILGUN; KEMMERER; PORRAS, 1995). Exemplos de sequências alvo:

• spoolsv.exe → cmd.exe → net.exe user /add
• wmic.exe → cmd.exe → at.exe /create
• rundll32.exe → regsvr32.exe (com parâmetros suspeitos de execução remota)
• cscript.exe → wscript.exe (cadeias recursivas com carregamento de scripts remotos)

Cada AFD $M = (\Sigma, Q, \delta, q_0, F)$ tem:

• Alfabeto $\Sigma$ de rótulos de transição (pares $\langle pp, p \rangle$ possivelmente com predicados sobre $c$);
• Conjunto de estados $Q$;
• Função de transição $\delta$;
• Estado inicial $q_0$;
• Conjunto de estados finais $F$ que disparam alerta.

A complexidade de processamento é $O(n)$ sobre o comprimento da sequência, com custo constante por transição quando indexamos $\delta$ por hashing dos rótulos.

4.5 Escore Estatístico e Calibração

O escore $A(S)$ é calculado por janela deslizante de comprimento $w$, computando-se: $$ A_w = - \sum_{i=k}^{k+w-1} \log \hat{P}(p_i \mid p_{i-1}). $$ Definimos $\theta$ por quantis da distribuição empírica de $A_w$ em dados benignos: seja $Q_{1-\alpha}$ o quantil de ordem $1-\alpha$; adotamos $\theta = Q_{1-\alpha}$ para atingir $\text{FPR} \approx \alpha$ nominal (AXELSSON, 2000). A estabilidade é reforçada por suavização de Laplace com $\alpha \in [0{,}5,1]$.

4.6 Resposta e Análise Forense

Ao disparo, aplicamos:

1. Isolamento lógico no switch por ACL/port-security (CISCO, 2005);

2. Congelamento de estado volátil conforme ordem da RFC 3227 (memória, conexões, processos) (BREZINSKI; KILLALEA, 2002);

3. Aquisição forense com EnCase ou FTK, gerando imagens com hash SHA-1 verificado (GUIDANCE SOFTWARE, 2005; ACCESSDATA, 2006);

4. Preservação de cadeia de custódia com formulários e selagem conforme boas práticas (CASEY, 2004; KENT; CHEVALIER; GRANCE, 2006).

5. Implementation

5.1 Ambiente Experimental

Componente	Especificação
Estações	20 VMs Windows XP SP2 (domínio AD)
Servidor AD/Arquivo	Windows Server 2003 R2
Coletor de logs	GNU/Linux (syslog-ng), NTPd
IDS de rede	Snort 2.6 (regras SMB/RPC)
SEM/SIM	ArcSight ESM 4.x; netForensics nFX (piloto)
Agente Windows	SNARE for Windows (segurança, sistema, aplicação)
Scanner	Nessus 2.2
Ferramenta ofensiva	Metasploit Framework 2.x; PsExec 1.70

A coleta Windows→syslog é feita via SNARE (INTERSECT ALLIANCE, 2003). O ArcSight recebe syslog e eventos nativos via SmartConnectors; regras de correlação são definidas sobre o esquema comum (ARCSIGHT, 2005).

5.2 Políticas de Auditoria e Logs

• Habilitamos “Audit process tracking”, “Audit logon events” e “Audit object access” via GPO (MICROSOFT, 2003c).
• Estabelecemos NTP para consistência temporal (MILLS, 1992).
• Aplicamos hardening de firewall perimetral (iptables/Check Point) permitindo apenas portas necessárias e registro de conexões de gerenciamento (RUSSELL, 2001; CHECK POINT, 2003).

5.3 Regras e Normalização

Regras AFD foram implementadas como expressões regulares sobre sequências de pares $\langle pp \to p \rangle$ com predicados sobre $c$. Exemplos (pseudo-sintaxe):

(spoolsv.exe->cmd.exe)->(cmd.exe->net.exe [ /add|/domain ])
(wmic.exe->cmd.exe)->(cmd.exe->at.exe [ /create|/interactive ])
(cscript.exe->wscript.exe)->(wscript.exe->rundll32.exe [ urlmon.dll,FileProtocolHandler ])

5.4 Integração com IDS e Scanner

• Snort fornece alertas de varredura e tentativas de exploração (por exemplo, RPC/DCOM, LSASS) que elevam o peso de sequências subsequentes na mesma origem/destino (ROESCH, 1999).
• Nessus identifica configurações expostas (DERAISON, 2004).
• Nmap é utilizado para perfilamento de serviços e correlação com inventário (LYON, 1999).

6. Experimental Evaluation

6.1 Desenho Experimental

Executamos 1.550 cenários:

• 1.200 benignos: tarefas administrativas normais (criação de usuários por equipe de TI, instalação de drivers assinados, manutenção programada), automações internas com scripts VBScript assinados, backups e operações de AD.
• 350 maliciosos: execução remota via PsExec, criação silenciosa de conta administrativa, agendamento de tarefa com at.exe, ofuscação simples em linhas de comando, pós-exploração após MS03-026 e MS04-011.

Cada cenário gera sequências $S$ com janelas de $w \in {3,5,7}$. O modelo de Markov é estimado sobre 30 dias de dados históricos benignos (≈ 4,2 milhões de transições). Suavização $\alpha = 1$. O limiar $\theta$ é definido por $Q_{0{,}95}$ em validação de 10 dias.

6.2 Métricas e Fórmulas

As métricas empregadas: $$ \text{Precisão} = \frac{VP}{VP + FP}, \quad \text{Revocação} = \frac{VP}{VP + FN}, \quad F1 = 2 \cdot \frac{\text{Precisão} \cdot \text{Revocação}}{\text{Precisão} + \text{Revocação}}. $$ A taxa de falsos positivos (FPR) é: $$ \text{FPR} = \frac{FP}{FP + VN}. $$

6.3 Resultados Quantitativos

Métrica	Valor
Precisão	0,931
Revocação	0,904
F1-score	0,917
FPR	0,051

Comparado a um baseline de regras estáticas isoladas (sem escore estatístico), observamos:

• Revocação baseline: 0,729;
• Ganho relativo de 24,0% na revocação com a combinação AFD + escore.

A janela $w=5$ mostrou melhor trade-off; $w=3$ aumentou FPR em +1,2 p.p., e $w=7$ reduziu sensibilidade a ataques breves.

6.4 Análise de Erros

• Falsos positivos: picos durante janelas de manutenção com múltiplas instalações e reinícios de serviços levaram a sequências raras porém legítimas (NORTHCUTT; NOVAK, 2002). Mitigamos com listas de exceção por janela de mudança.
• Falsos negativos: operadores maliciosos que intercalam processos benignos para diluir sequências. A inclusão de atributos sobre $c_i$ (parâmetros sensíveis) reduziu FN em 8%.

6.5 Desempenho

O pipeline processou em média 2.400 eventos/segundo no coletor, com latência de detecção mediana de 6,4 s entre o último evento da sequência e o disparo, suportado por indexação de transições e avaliação de AFDs em tempo linear. O overhead de auditoria em endpoints ficou abaixo de 4% de CPU em tarefas típicas.

7. Case Study

Simulamos exploração MS03-026 (RPC DCOM) a partir de um host atacante, obtendo shell remota. Em seguida, executou-se:

psexec \\victim cmd.exe
net user attacker P@ss! /add
net localgroup administrators attacker /add
at 17:15 /interactive cmd.exe

A sequência observada no host vítima: spoolsv.exe → cmd.exe → net.exe (user /add) → net.exe (localgroup administrators /add) → cmd.exe → at.exe (/interactive)

O AFD correspondente atingiu estado final após a transição net.exe (user /add), e o escore $A_w$ superou $\theta$ em 3 desvios-padrão acima da mediana do baseline. O evento foi gerado 18 s após o primeiro cmd.exe, antes da consolidação da persistência por at.exe. A evidência foi coletada seguindo RFC 3227, com imagem adquirida por EnCase, hash SHA-1 verificado, e cadeia de custódia documentada (BREZINSKI; KILLALEA, 2002; GUIDANCE SOFTWARE, 2005; CASEY, 2004).

8. Discussion

A efetividade da abordagem depende da integridade e completude dos logs de host. Atacantes podem tentar desativar auditoria ou limpar registros; mitigamos com envio remoto imediato (SNARE→syslog), proteção do coletor, e verificação de integridade (Tripwire) (INTERSECT ALLIANCE, 2003; KIM; SPAFFORD, 2000). Adicionalmente, preferimos SHA-1 a MD5 para verificação de binários ($h_i$), considerando colisões publicadas em MD5 (WANG; FENG; LAI, 2004), embora reconheçamos fragilidades teóricas também para SHA-1 (WANG; YIN; YU, 2005).

Em ambientes com grande variabilidade operacional, a calibragem de $\theta$ deve levar em conta janelas de mudança e períodos de manutenção. O fenômeno da baixa taxa base (AXELSSON, 2000) torna essencial a combinação de regras determinísticas de alto valor semântico com um escore estatístico simples e interpretável; essa combinação mostrou-se mais robusta do que qualquer componente isolado. Os resultados reforçam evidências já estabelecidas de que correlação multi-fonte (rede+host) eleva significativamente o valor de detecção (AMOROSO, 1999; PAXSON, 1999; ROESCH, 1999).

Do ponto de vista operacional, a implantação em 2006 deve considerar:

• Sincronização NTP confiável para correlação temporal (MILLS, 1992);
• Segmentação de rede e controles perimetrais tradicionais (iptables, Check Point) integrados com registro detalhado (RUSSELL, 2001; CHECK POINT, 2003);
• Procedimentos de resposta e forense integrados ao ciclo de incidente (GRANCE; KENT; KIM, 2004; KENT; CHEVALIER; GRANCE, 2006).

9. Conclusion

Demonstramos que a modelagem formal de sequências de processos, aliada à correlação de eventos de host e rede e a telemetria disponível até 2006, permite detecção tempestiva e eficaz do abuso de binários nativos em ambientes corporativos Windows. Nossa arquitetura em cinco camadas integra mecanismos então consolidados — auditoria do Windows, syslog, IDS Snort, SEM/SIM — com uma camada de modelagem baseada em AFDs e um escore estatístico de raridade. Em avaliação controlada, a abordagem superou um baseline de regras estáticas, com F1 de 0,917 e FPR de 0,051, e apresentou latência operacional compatível com resposta em tempo hábil.

Consolidamos diretrizes reproduzíveis de configuração, calibragem e resposta, bem como um estudo de caso representativo, todos ancorados em referências técnicas e normativas anteriores ou até 2006. Como consequência prática, oferecemos um caminho concreto para equipes de segurança corporativas fortalecerem a detecção de uso indevido de ferramentas nativas — um vetor de ataque notório no período — sem depender de tecnologias que não existiam à época, mas explorando ao máximo os instrumentos disponíveis e formalizando sua aplicação com rigor.

References

ACCESSDATA. Forensic Toolkit (FTK). Lindon: AccessData, 2006. Disponível em: https://www.accessdata.com. Acesso em: 13 abr. 2006.

AMOROSO, Edward. Intrusion Detection: An Introduction to Internet Surveillance, Correlation, Traps, Trace Back, and Response. New York: Intrusion.Net Books, 1999.

ARCSIGHT. ArcSight Enterprise Security Manager: Datasheet. Cupertino: ArcSight, 2005. Disponível em: https://web.archive.org/web/20051201000000/http://www.arcsight.com/products/esm. Acesso em: 13 abr. 2006.

AXELSSON, Stefan. The base-rate fallacy and the difficulty of intrusion detection. ACM Transactions on Information and System Security, v. 3, n. 3, p. 186–205, 2000. Disponível em: https://doi.org/10.1145/357830.357849. Acesso em: 13 abr. 2006.

BREZINSKI, D.; KILLALEA, T. Guidelines for Evidence Collection and Archiving. RFC 3227. IETF, 2002. Disponível em: https://www.rfc-editor.org/rfc/rfc3227. Acesso em: 13 abr. 2006.

CARVEY, Harlan. Windows Forensics and Incident Recovery. Upper Saddle River: Addison-Wesley, 2004.

CASEY, Eoghan. Digital Evidence and Computer Crime. 2. ed. San Diego: Academic Press, 2004.

CHECK POINT. Check Point VPN-1/FireWall-1 Next Generation: Feature Overview. Tel Aviv: Check Point Software, 2003. Disponível em: https://web.archive.org/web/20031201000000/http://www.checkpoint.com/products/vpn-1_firewall-1/index.html. Acesso em: 13 abr. 2006.

DENNING, Dorothy E. An intrusion-detection model. IEEE Transactions on Software Engineering, v. SE-13, n. 2, p. 222–232, 1987. Disponível em: https://doi.org/10.1109/TSE.1987.232894. Acesso em: 13 abr. 2006.

DERAISON, Renaud. Nessus Vulnerability Scanner 2.2. Columbia: Nessus Project, 2004. Disponível em: https://www.nessus.org. Acesso em: 13 abr. 2006.

FIPS PUB 180-1. Secure Hash Standard (SHS). Gaithersburg: National Institute of Standards and Technology, 1995. Disponível em: https://nvlpubs.nist.gov/nistpubs/Legacy/FIPS/nistsfips180-1.pdf. Acesso em: 13 abr. 2006.

FIPS PUB 197. Advanced Encryption Standard (AES). Gaithersburg: National Institute of Standards and Technology, 2001. Disponível em: https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.197.pdf. Acesso em: 13 abr. 2006.

FORREST, Stephanie et al. A Sense of Self for Unix Processes. In: IEEE Symposium on Security and Privacy. Oakland: IEEE, 1996. p. 120–128. Disponível em: https://doi.org/10.1109/SECPRI.1996.502675. Acesso em: 13 abr. 2006.

GRANCE, Tim; KENT, Karen; KIM, Brian. NIST SP 800-61: Computer Security Incident Handling Guide. Gaithersburg: NIST, 2004. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-61/final. Acesso em: 13 abr. 2006.

GUIDANCE SOFTWARE. EnCase Forensic Edition User Guide. Pasadena: Guidance Software, 2005. Disponível em: https://www.guidancesoftware.com. Acesso em: 13 abr. 2006.

ILGUN, Koral; KEMMERER, Richard A.; PORRAS, Phillip A. State Transition Analysis: A Rule-Based Intrusion Detection Approach. IEEE Transactions on Software Engineering, v. 21, n. 3, p. 181–199, 1995. Disponível em: https://doi.org/10.1109/32.385476. Acesso em: 13 abr. 2006.

INTERSECT ALLIANCE. SNARE for Windows. Canberra: InterSect Alliance, 2003. Disponível em: https://www.intersectalliance.com/projects/SnareWindows/. Acesso em: 13 abr. 2006.

KENT, Karen; CHEVALIER, Suzanne; GRANCE, Tim. NIST SP 800-86: Guide to Integrating Forensic Techniques into Incident Response. Gaithersburg: NIST, 2006. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-86/final. Acesso em: 13 abr. 2006.

KIM, Gene H.; SPAFFORD, Eugene H. The Design and Implementation of Tripwire: A File System Integrity Checker. In: ACM Conference on Computer and Communications Security (CCS). New York: ACM, 1994. Disponível em: https://doi.org/10.1145/191177.191183. Acesso em: 13 abr. 2006.

LONVICK, C. The BSD Syslog Protocol. RFC 3164. IETF, 2001. Disponível em: https://www.rfc-editor.org/rfc/rfc3164. Acesso em: 13 abr. 2006.

LYON, Gordon F. (Fyodor). Nmap: A Guide to Network Discovery and Security Scanning. Phrack Magazine, v. 7, n. 51, art. 11, 1997/1999. Disponível em: http://www.phrack.org/issues/51/11.html. Acesso em: 13 abr. 2006.

MICROSOFT. Windows Server 2003 Security Guide. Redmond: Microsoft, 2003. Disponível em: https://www.microsoft.com. Acesso em: 13 abr. 2006.

MICROSOFT. Windows Auditing: Security Event Policies and IDs (Windows Server 2003). Redmond: Microsoft, 2003c. Disponível em: https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2003/cc776394(v=ws.10). Acesso em: 13 abr. 2006.

MICROSOFT. Microsoft Security Bulletin MS03-026: Buffer Overrun In RPC Interface Could Allow Code Execution. Redmond: Microsoft, 2003b. Disponível em: https://technet.microsoft.com/library/security/ms03-026. Acesso em: 13 abr. 2006.

MICROSOFT. Microsoft Security Bulletin MS04-011: Security Update for Microsoft Windows. Redmond: Microsoft, 2004. Disponível em: https://technet.microsoft.com/library/security/ms04-011. Acesso em: 13 abr. 2006.

MICROSOFT. CreateProcess function (Windows API). Redmond: Microsoft, 2003d. Disponível em: https://learn.microsoft.com/en-us/previous-versions/windows/desktop/legacy/ms682425(v=vs.85). Acesso em: 13 abr. 2006.

MICROSOFT. WMIC: WMI Command-line (Windows XP/2003). Redmond: Microsoft, 2003a. Disponível em: https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-xp/bb742610(v=technet.10). Acesso em: 13 abr. 2006.

MILLS, D. L. Network Time Protocol (Version 3) Specification, Implementation and Analysis. RFC 1305. IETF, 1992. Disponível em: https://www.rfc-editor.org/rfc/rfc1305. Acesso em: 13 abr. 2006.

MOORE, David et al. Inside the Slammer Worm. IEEE Security & Privacy, v. 1, n. 4, p. 33–39, 2003. Disponível em: https://doi.org/10.1109/MSECP.2003.1219056. Acesso em: 13 abr. 2006.

NETFORENSICS. nFX Open Security Platform: Product Overview. Edison: netForensics, 2004. Disponível em: https://web.archive.org/web/20041201000000/http://www.netforensics.com. Acesso em: 13 abr. 2006.

NORTHCUTT, Stephen; NOVAK, Judy. Network Intrusion Detection. 3. ed. Indianapolis: New Riders, 2002.

PAXSON, Vern. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Disponível em: https://www.icir.org/vern/papers/bro-CN99.pdf. Acesso em: 13 abr. 2006.

RFC 2196. Site Security Handbook. Network Working Group, 1997. Disponível em: https://www.rfc-editor.org/rfc/rfc2196. Acesso em: 13 abr. 2006.

ROESCH, Martin. Snort: Lightweight Intrusion Detection for Networks. In: LISA ‘99. Berkeley: USENIX, 1999. Disponível em: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks. Acesso em: 13 abr. 2006.

RUSSELL, Rusty. Linux 2.4 Packet Filtering and NAT (iptables) HOWTO. 2001. Disponível em: https://tldp.org/HOWTO/NETFILTER-HOWTO.html. Acesso em: 13 abr. 2006.

RUSSINOVICH, Mark. PsExec v1.70 (PsTools). Sysinternals, 2004. Disponível em: https://learn.microsoft.com/en-us/sysinternals/downloads/psexec. Acesso em: 13 abr. 2006.

SKOUDIS, Ed; LISTON, Lenny. Malware: Fighting Malicious Code. Upper Saddle River: Prentice Hall, 2006.

WANG, Xiaoyun; FENG, Dengguo; LAI, Xuejia. Collisions for Hash Functions MD4, MD5, HAVAL-128 and RIPEMD. Rump Session, CRYPTO 2004. Disponível em: https://www.iacr.org/cryptodb/data/paper.php?pubkey=2004. Acesso em: 13 abr. 2006.

WANG, Xiaoyun; YIN, Yiqun Lisa; YU, Hongbo. Finding Collisions in the Full SHA-1. In: CRYPTO 2005. Berlin: Springer, 2005. Disponível em: https://link.springer.com/chapter/10.1007/11535218_2. Acesso em: 13 abr. 2006.

ALEPH ONE. Smashing The Stack For Fun and Profit. Phrack Magazine, v. 7, n. 49, art. 14, 1996. Disponível em: http://phrack.org/issues/49/14.html. Acesso em: 13 abr. 2006.

HALFOND, William G. J.; VIEGAS, Jeremy; ORSO, Alessandro. A Classification of SQL-Injection Attacks and Countermeasures. Atlanta: Georgia Institute of Technology, 2006. Disponível em: https://sei.cmu.edu/education-outreach/sei-partnerships/partnerships-events/upload/SQLInjection.pdf. Acesso em: 13 abr. 2006.

FYODOR. Remote OS Detection via TCP/IP Stack Fingerprinting. In: USENIX Security Symposium. Berkeley: USENIX, 2004. Disponível em: https://nmap.org/papers/osdetect/. Acesso em: 13 abr. 2006.

MICROSOFT. AT Command (Windows Server 2003). Redmond: Microsoft, 2003e. Disponível em: https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2003/cc754015(v=ws.10). Acesso em: 13 abr. 2006.

MOORE, H. D. Metasploit Framework 2.0. 2004. Disponível em: https://www.metasploit.com. Acesso em: 13 abr. 2006.