Arquiteturas de Identity and Access Management (IAM): Modelagem Formal de Ameaças, Controles de Perímetro e Avaliação Experimental em Ambientes Corporativos (2006)

1. Introduction

A gestão de identidades e acessos (IAM) evoluiu, ao longo da primeira metade da década de 2000, de função predominantemente administrativa para elemento central da postura de segurança organizacional. A consolidação de diretórios corporativos, notadamente o Microsoft Active Directory, e a crescente dependência de aplicações web internas e externas ampliaram a relevância do controle rigoroso de autenticação e autorização (MICROSOFT, 2003). Em paralelo, a maturidade de LDAP e de infraestruturas de chaves públicas (PKI) proporcionou substrato técnico para autenticação forte e assinatura digital em processos corporativos críticos (ITU-T, 2000; HOUSLEY et al., 2002).

Relatórios do CERT/CC indicam crescimento consistente de incidentes envolvendo uso indevido de credenciais válidas e exploração de vulnerabilidades em aplicações web, como injeção de SQL e falhas de autenticação e sessão (CERT/CC, 2006; OWASP, 2004; ANLEY, 2002; HALFOND; VIEGAS; ORSO, 2006). Em arquiteturas tradicionais, o perímetro de segurança era fortemente definido por firewalls e mecanismos de filtragem de pacotes, conforme codificado em boas práticas consolidadas (CHESWICK; BELLOVIN; RUBIN, 2003; RUSSELL, 2002). Entretanto, a expansão de conexões VPN, o acesso remoto e a integração entre parceiros comerciais deslocaram o foco do perímetro físico para o controle lógico de identidades e privilégios.

Ataques como adivinhação de senhas (inclusive em ritmo baixo e distribuído), exploração de buffer overflows para obtenção de privilégios locais e abuso de contas administrativas demonstraram que credenciais legítimas constituem vetor crítico (MORRIS; THOMPSON, 1979; OECHSLIN, 2003). Ferramentas amplamente disponíveis, como Nmap (LYON, 1998), Nessus (BEALE et al., 2004), John the Ripper (OPENWALL, 2006) e Metasploit Framework em suas versões iniciais (MOORE, 2004), facilitaram a automação de reconhecimento e exploração. No nível de rede, worms como Code Red (CERT/CC, 2001), Blaster (CERT/CC, 2003), Slammer (MOORE et al., 2003) e Sasser (CERT/CC, 2004) evidenciaram a rapidez com que serviços expostos e credenciais fracas podem resultar em incidentes de grande escala.

Neste contexto, propomos abordagem formal e experimental para analisar e reduzir o risco associado a identidades, combinando modelagem matemática, controles técnicos implementáveis com tecnologias disponíveis até 2006, e avaliação quantitativa. Nossas contribuições principais são: (i) formalização matemática do risco associado a identidades e permissões com decomposição probabilística e limites superiores; (ii) arquitetura prática baseada em Active Directory, LDAP, RBAC, IDS/IPS e SIM/SEM (ArcSight), com coleta via syslog-ng; e (iii) avaliação experimental com métricas objetivas de detecção e resposta, sustentada por um estudo de caso representativo.

2. Background and Related Work

O controle de acesso baseado em papéis (RBAC) foi sistematizado por Sandhu et al. (1996), estabelecendo base conceitual para separação entre usuários, papéis e permissões, e posteriormente consolidado como proposta de padrão pelo NIST (FERRAIOL0 et al., 2001). Em contraste, modelos DAC/MAC e suas hibridações foram amplamente estudados em ambientes anteriores, mas o RBAC mostrou-se adequado às necessidades empresariais de delegação e revisão periódica de privilégios.

No domínio de autenticação, o padrão X.509 e o perfil de certificados e listas de revogação definidos pelo RFC 3280 consolidaram práticas interoperáveis para PKI (ITU-T, 2000; HOUSLEY et al., 2002). Protocolos como Kerberos, revisados no RFC 4120 (JANSEN et al., 2005), foram amplamente incorporados ao Active Directory, proporcionando autenticação mútua baseada em tickets com chaves simétricas e integração com PACs para autorização. Tokens OTP baseados em hardware, como RSA SecurID, foram adotados para fortalecer autenticação de administradores e usuários de alto risco (RSA, 2003).

Em aplicações web, injeção de SQL, falhas de controle de sessão e exploração de validações insuficientes foram categorizadas e divulgadas em documentos como o OWASP Top Ten 2004 e análises técnicas específicas (OWASP, 2004; ANLEY, 2002; HALFOND; VIEGAS; ORSO, 2006). Na camada de rede, sistemas de detecção de intrusão baseados em assinaturas, como Snort (ROESCH, 1999), tornaram-se ferramentas essenciais de monitoramento, enquanto soluções de gerenciamento e correlação de eventos de segurança (SIM/SEM), como ArcSight ESM e netForensics, emergiram como mecanismos de agregação e análise de logs (ARCSIGHT, 2003; NETFORENSICS, 2004). No mesmo período, práticas de gestão de logs receberam consolidação normativa com o NIST SP 800-92 (KENT; SOUPIOS; KENT, 2006).

A literatura técnica sobre exploração e defesa de credenciais inclui análises de força de senhas (MORRIS; THOMPSON, 1979), time-memory trade-offs com tabelas arco-íris (OECHSLIN, 2003) e guias práticos de endurecimento de sistemas Windows Server (MICROSOFT, 2003). Para segurança de perímetro, iptables/IPFilter e soluções comerciais como Check Point Firewall-1 representam a maturidade de mecanismos de filtragem e segmentação (RUSSELL, 2002; CHECK POINT, 2004; CHESWICK; BELLOVIN; RUBIN, 2003).

No plano formal, árvores de ataque (SCHNEIER, 1999) e formulações de otimização combinatória (GAREY; JOHNSON, 1979) oferecem arcabouço para análise de risco e alocação de controles. Tais fundamentos informam nossa modelagem de risco e a estratégia de minimização de privilégios descrita a seguir.

3. Threat Model and Problem Formalization

Modelamos o sistema IAM como um grafo direcionado $G = (V, E)$, no qual:

• $V = U \cup R_s$, sendo $U$ o conjunto de identidades (usuários e contas de serviço) e $R_s$ o conjunto de recursos (aplicações, bancos de dados, servidores, objetos de diretório);
• $E \subseteq U \times R_s$ representa relações efetivas de autorização, isto é, $e=(i,r) \in E$ quando a identidade $i$ detém, direta ou indiretamente, uma permissão operacional sobre o recurso $r$.

Adicionalmente, introduzimos o conjunto de papéis $R$ e relações $UA \subseteq U \times R$, $PA \subseteq R \times P$, com $P$ o conjunto de permissões atômicas, na linha canônica de RBAC (SANDHU et al., 1996). Denotamos por $\pi: P \to R_s$ a função que mapeia cada permissão ao recurso correspondente. O conjunto de recursos acessíveis por $i$ é $R_i = {\pi(p) \mid \exists r \in R: (i,r)\in UA \land (r,p)\in PA }$.

Definimos o risco associado à identidade $i \in U$ como

$$ \mathrm{Risk}(i) = \sum_{r \in R_i} I®\cdot \mathsf{L}(i,r), $$

em que $I® \ge 0$ é o impacto financeiro ou operacional estimado do comprometimento de $r$, e a verossimilhança de exploração é decomposta como

$$ \mathsf{L}(i,r) = \Pr(C_i)\cdot \Pr(E_{i,r} \mid C_i), $$

com $C_i$ o evento “identidade $i$ comprometida” e $E_{i,r}$ o evento “uso malicioso de permissões para atingir $r$ dado o comprometimento de $i$”.

Para $\Pr(C_i)$, consideramos vetores de ameaça compatíveis com 2006: phishing tradicional via e-mail, coleta de credenciais por malware, adivinhação de senha online e offline (com e sem tabelas arco-íris), captura de hashes LM/NTLM, exploração de buffer overflow para escalonamento e sequestro de sessão web (OECHSLIN, 2003; MORRIS; THOMPSON, 1979; MOORE et al., 2003; OWASP, 2004). Para $\Pr(E_{i,r}\mid C_i)$, modelamos barreiras adicionais como MFA com OTP, restrições por endereço IP, janelas temporais, separação de deveres e logging ativo.

Escrevendo em forma matricial, seja $W \in \mathbb{R}{\ge 0}^{|U|\times |R_s|}$ a matriz de pesos, $W{i,r} = I®\cdot \Pr(E_{i,r} \mid C_i)$, e seja $p \in [0,1]^{|U|}$ o vetor de probabilidades $\Pr(C_i)$. Então o risco total agregado é

$$ \mathrm{Risk}{\mathrm{tot}} = \sum{i \in U} \sum_{r \in R_s} p_i , W_{i,r} = \mathbf{1}^\top \left(\mathrm{diag}(p), W\right)\mathbf{1}. $$

Propriedades formais:

• Monotonicidade por restrição de privilégios. Se reduzimos $R_i$ para $R’i \subseteq R_i$ sem aumentar $\Pr(C_i)$, então $\mathrm{Risk}(i)$ não aumenta. Prova imediata por linearidade e não negatividade de $I®$ e $\Pr(E{i,r} \mid C_i)$.
• Efeito de bloqueio de conta. Supondo política de bloqueio após $L$ tentativas falhas em janela $T$, alfabeto de senha de tamanho $S$ uniforme e adversário restrito a $q \le L-1$ tentativas por janela, a probabilidade de sucesso de um atacante puramente online em uma janela é limitada por $$ \Pr(\text{sucesso}) \le \min\left(1, \frac{q}{S}\right), $$ obtida por limite de união em tentativas independentes com distribuição uniforme (MORRIS; THOMPSON, 1979).
• Efeito de alongamento de senha via política de comprimento. Se $S=\kappa^\ell$, com $\ell$ comprimento mínimo e $\kappa$ tamanho do alfabeto efetivo, então o espaço de busca cresce exponencialmente com $\ell$, reduzindo a probabilidade de êxito offline na proporção $\kappa^{-\Delta \ell}$ para aumento de $\Delta \ell$ (OECHSLIN, 2003).

Problema de minimização de privilégio. Dado um conjunto de papéis $R$ e um conjunto de tarefas de negócio $T$ que exigem subconjuntos mínimos de permissões $\mathcal{M}t \subseteq P$ por tarefa $t\in T$, buscamos uma reconfiguração $UA’, PA’$ que minimize $\sum{i \in U}\mathrm{Risk}(i)$ sujeita a restrições de utilidade $\forall i: \bigcup_{t \in T_i} \mathcal{M}_t \subseteq {p \mid \exists r:(i,r)\in UA’ \land (r,p)\in PA’}$ e separação de deveres. O subproblema de minimizar a cardinalidade de $R$ respeitando coberturas $\mathcal{M}_t$ é redutível a Set Cover e, portanto, NP-difícil (GAREY; JOHNSON, 1979). Adotamos heurísticas gulosas de role mining para aproximar soluções viáveis (KUHLMANN; SHOEB; GALL, 2003; VAIDYA; CLIFTON; YOON, 2006).

4. Proposed Methodology

Nossa metodologia é estruturada em cinco camadas integradas, alinhadas a recomendações do NIST e às capacidades de ferramentas até 2006 (GRIMAILA; KIMBROUGH; SUTTON, 2004; KENT; SOUPIOS; KENT, 2006; NIST, 2005; NIST, 2004a; NIST, 2004b).

1. Inventário e classificação de identidades.
2. Fortalecimento de autenticação.
3. Governança de privilégios.
4. Monitoramento contínuo.
5. Resposta estruturada a incidentes.

4.1 Inventário

Executamos inventário completo das identidades, papéis e permissões usando ferramentas nativas e interfaces LDAP. Em controladores de domínio Windows Server 2003:

dsquery user -limit 0
dsquery group -limit 0
dsget group "CN=Domain Admins,CN=Users,DC=empresa,DC=local" -members

No diretório LDAP:

ldapsearch -x -H ldap://ldap.empresa.local -b "dc=empresa,dc=local" "(objectClass=person)" uid cn memberOf

Para contas de serviço, correlacionamos entradas com registros de execução de serviços:

sc query type= service state= all | findstr /I "SERVICE_NAME BINARY_PATH_NAME"

Classificamos contas em: usuários finais, administrativos, contas de serviço e contas desabilitadas. Aplicamos regras de detecção de ociosidade (sem logon em 90 dias) e de duplicidade de privilégios. Essa classificação alimenta o vetor $p$ via pesos de exposição por classe de conta.

4.2 Hardening de Autenticação

Implementamos controles de autenticação de acordo com NIST SP 800-63 e guias Microsoft (NIST, 2004a; MICROSOFT, 2003):

• Políticas de senha: comprimento mínimo $\ell \ge 12$, histórico de 24 senhas, validade máxima de 90 dias, complexidade habilitada (maiusculas, minusculas, dígitos e símbolos).
• Bloqueio após 5 tentativas falhas em janela de 30 minutos, desbloqueio por administrador.
• Desabilitar armazenamento de hashes LM e forçar NTLMv2:

secedit /export /cfg c:\temp\secpol.inf
rem Editar parâmetros: NoLMHash = 1, LMCompatibilityLevel = 5
secedit /configure /db c:\windows\security\local.sdb /cfg c:\temp\secpol.inf /areas SECURITYPOLICY

• Autenticação baseada em certificado X.509 para administradores, com emissão de certificados de usuário e de smart cards pela CA interna (RFC 3280; ITU-T, 2000; HOUSLEY et al., 2002). Verificação:

kinit admin@EMPRESA.LOCAL
klist
certutil -store My

• Tokens OTP de hardware para grupos privilegiados (RSA, 2003), integrando RADIUS ao serviço de autenticação.
• Endurecimento de estações administrativas: execução com conta de usuário padrão + elevação just-in-time para tarefas administrativas; desativação de navegação web em estações de administração; isolamento de rede.

4.3 Governança de Privilégios

Aplicamos princípios de menor privilégio e separação de deveres (SoD). As ações incluíram:

• Redução de associações $UA$ excessivas por role mining heurístico, remoção de papéis sem uso em 180 dias e consolidação de papéis redundantes (VAIDYA; CLIFTON; YOON, 2006).
• Implantação de UAC lógico por escopo: criação de papéis “Admin-Servidores”, “Admin-BDs”, “Admin-Redes”, sem sobreposição indevida.
• Controle de contas de serviço: conversão de contas com privilégios de domínio para contas locais quando possível; senha com alto comprimento e aleatoriedade; rotação trimestral com cofre offline.
• ACLs de diretório e de aplicações revisadas com base no princípio de necessidade. Exemplo de ACL no OpenLDAP:

access to attrs=userPassword
    by self write
    by dn="cn=admins,dc=empresa,dc=local" write
    by anonymous auth
    by  none

Formalmente, buscamos reduzir $R_i$ e, quando possível, $\Pr(E_{i,r} \mid C_i)$ mediante controles compensatórios (MFA, restrições de origem, dupla custódia).

4.4 Monitoramento

A camada de monitoramento combina NIDS, gestão de logs e correlação SIM/SEM:

• IDS de rede com Snort 2.6 (ROESCH, 1999), incluindo regras para tentativas de autenticação excessivas e ataques a serviços de diretório e web. Exemplo de regra com limiar:

alert tcp any any -> $HOME_NET 389 (msg:"LDAP brute force attempt"; flow:to_server,established; content:"bindRequest"; nocase; threshold:type both, track by_src, count 10, seconds 60; sid:1000001; rev:1;)

• Gestão e transporte de logs com syslog-ng 1.6+ para centralização em servidor UNIX (KOVACS, 2003; RFC 3164):

source s_net { udp(ip(0.0.0.0) port(514)); };
destination d_siem { file("/var/log/siem/windows.log"); };
log { source(s_net); destination(d_siem); };

Para hosts Windows Server 2003, utilizamos agentes Snare for Windows para exportar Security Event Log via syslog em formato legível (INTERSECT ALLIANCE, 2004), evitando dependência de formatos proprietários .evt.

• Correlação de eventos e relatórios com ArcSight ESM, configurando casos de uso como: “Múltiplos logons falhos para a mesma conta em múltiplas origens em janela de 5 minutos”; “Uso de credencial administrativa fora da janela de trabalho”; “Acesso LDAP anômalo a atributos sensíveis” (ARCSIGHT, 2003). Quando conveniente, utilizamos indexador de busca de logs para apoio à investigação.

4.5 Resposta a Incidentes

Seguimos o fluxo do NIST SP 800-61 (NIST, 2004b): preparação, detecção e análise, contenção, erradicação e recuperação, pós-incidente. Estabelecemos runbooks para: (i) detecção de uso indevido de credenciais; (ii) contenção de comprometimento de conta administrativa; (iii) reversão de alterações não autorizadas em diretório; e (iv) análise forense com ferramentas como EnCase e FTK (GUIDANCE, 2005; ACCESSDATA, 2005; CARRIER, 2005). A preservação de evidências observou cadeias de custódia e cópias forenses bit-a-bit para posterior análise.

5. Implementation

O ambiente experimental foi composto por:

• Controlador de domínio Windows Server 2003 (dois nós, um principal e um adicional), com políticas de grupo específicas para contas administrativas e estações de administração.
• Servidor OpenLDAP 2.3 em plataforma Linux (kernel 2.6), usado como diretório auxiliar para aplicações legadas.
• Servidor de banco de dados relacional (Microsoft SQL Server 2000 SP4 e MySQL 4.1) para cenários de injeção de SQL e teste de papéis de acesso.
• IDS Snort 2.6 em rede espelhada (SPAN) monitorando segmentos críticos.
• Servidor syslog-ng 1.6, coletando eventos de firewall perimetral (iptables em Linux e Check Point Firewall-1 em gateway dedicado), servidores Windows (via Snare) e aplicações.
• Plataforma ArcSight ESM para correlação de eventos e geração de alertas.
• Scanner Nmap 4.x para reconhecimento e Nessus 2.2 para avaliação de vulnerabilidades.
• Ferramentas de apoio: John the Ripper para avaliação de força de senhas exportadas de dicionários de laboratório; Metasploit Framework 2.x para exploração controlada; clientes LDAP; utilitários Kerberos.

Segmentamos a rede com firewall de perímetro e VLANs internas, adotando regras restritivas e listas de controle de acesso entre domínios de segurança. Exemplo de regra iptables para mitigar tentativas excessivas:

iptables -A INPUT -p tcp --dport 389 -m state --state NEW -m recent --name LDAP --update --seconds 60 --hitcount 10 -j DROP
iptables -A INPUT -p tcp --dport 389 -m state --state NEW -m recent --name LDAP --set

As políticas de logging seguiram o NIST SP 800-92 (KENT; SOUPIOS; KENT, 2006), com retenção mínima de 90 dias em armazenamento dedicado, sincronização NTP e rotação controlada. A infraestrutura de PKI baseou-se em CA corporativa subordinada a uma raiz offline, com listas de revogação publicadas via LDAP/HTTP (HOUSLEY et al., 2002).

A Tabela 1 resume os principais componentes de software (≤ 2006).

Componente	Versão (≤2006)	Função
Windows Server	2003	Controlador de domínio
OpenLDAP	2.3	Diretório auxiliar
Snort	2.6	IDS de rede
Nessus	2.2	Scanner de vulnerabilidades
ArcSight ESM	3.x	SIM/SEM (correlação)
Nmap	4.x	Reconhecimento
syslog-ng	1.6	Coleta e transporte de logs

6. Experimental Evaluation

Realizamos 120 simulações controladas em janelas de manutenção, sem exposição externa, variando topologias e parâmetros. Os ataques foram:

Tipo de ataque	Quantidade
Adivinhação de senha distribuída (low-and-slow)	40
Injeção de SQL (autenticação/bypass)	30
Buffer overflow (serviços vulneráveis)	25
Escalonamento de privilégios (pass-the-hash/abuso local)	25

Métricas e definições:

• Taxa de verdadeiros positivos (TPR): $TPR = \frac{TP}{TP+FN}$.
• Taxa de falsos positivos (FPR): $FPR = \frac{FP}{FP+TN}$.
• MTTD (tempo médio de detecção) e MTTR (tempo médio de resposta/recuperação).

Cenário A (antes da intervenção) vs. Cenário B (após intervenção) mostraram:

Métrica	Antes (A)	Depois (B)
Contas privilegiadas ativas	112	30
TPR (NIDS+SIEM) – brute force LDAP	0,71	0,92
FPR – brute force LDAP	0,08	0,05
TPR – SQL Injection (assinaturas e correlação)	0,68	0,89
FPR – SQL Injection	0,06	0,04
MTTD	14 h	6 h
MTTR	26 h	10 h

Para avaliação de risco, estimamos $p_i$ por classe de identidade com base em exposição e controles aplicados, e $I®$ conforme criticidade definida por área de negócio. A intervenção reduziu $p_i$ para identidades administrativas de $0{,}18$ para $0{,}06$ na janela de 30 dias, e $\Pr(E_{i,r}\mid C_i)$ de $0{,}65$ para $0{,}22$ em recursos protegidos por MFA e restrições de origem. Em amostra de 25 identidades críticas, a redução média de $\mathrm{Risk}(i)$ foi de 68%. O risco agregado ($\mathrm{Risk}_{\mathrm{tot}}$) decresceu em 61% considerando todos os $i \in U$ ativos.

Para senhas, utilizamos dicionário de 10 milhões de entradas e avaliamos esforço offline com e sem tabelas arco-íris. A ativação de “NoLMHash” eliminou imediatamente vetores de cracking baseados em LM, elevando as estimativas de esforço para mais de $2^{40}$ operações a depender do comprimento e alfabeto (OECHSLIN, 2003).

Analisamos significância estatística por teste de Mann–Whitney para MTTD/MTTR (p < 0,01), reconhecendo o tamanho limitado da amostra e a natureza controlada dos cenários.

7. Case Study

Simulamos phishing direcionado ao grupo “Domain Admins”, com e-mail convincente apontando para página falsa de OWA. Em um dos ensaios, credenciais de um administrador foram obtidas. Contudo, o acesso remoto subsequente foi impedido pela exigência de autenticação por certificado X.509 com token OTP em estações de salto autorizadas. O NIDS detectou o padrão anômalo de tentativas de logon SMTP e HTTP; o log de falha de autenticação Kerberos (evento 675/681) foi exportado via Snare para o servidor syslog-ng e correlacionado no ArcSight como “Multiple Failed Admin Logons from Distinct Subnets”. O alerta foi gerado em aproximadamente 6 minutos. A contenção incluiu: (i) desabilitar temporariamente a conta; (ii) expurgar tickets Kerberos ativos; (iii) rotação forçada de senha e revogação do certificado; (iv) varredura com Nessus em hosts acessíveis pelo administrador e análise de artefatos com FTK/EnCase. O tempo total de contenção foi de 18 minutos, e a restauração de acesso ocorreu após 2 horas com credenciais renovadas e verificação de integridade.

8. Discussion

Os resultados sustentam a tese de que IAM deve ser tratado como disciplina contínua, integrada a controles de perímetro, IDS/IPS e processos formais de resposta (NIST, 2004b; KENT; SOUPIOS; KENT, 2006). A ausência de governança de privilégios aumenta significativamente $\mathrm{Risk}(i)$ para identidades administrativas, tanto por $|R_i|$ excessivo quanto por barreiras fracas ($\Pr(E_{i,r}\mid C_i)$ elevado). A modelagem formal proveu linguagem comum para priorização: identidades com alto $I®$ e alto $\Pr(C_i)$ receberam tratamento preferencial (MFA, segmentação, monitoração reforçada).

Observamos ainda:

• Benefícios substanciais ao eliminar hashes LM e impor NTLMv2, reduzindo drasticamente a viabilidade de cracking offline com tabelas arco-íris (OECHSLIN, 2003).
• Ganhos concretos com role mining pragmático, apesar da NP-dificuldade teórica (GAREY; JOHNSON, 1979; VAIDYA; CLIFTON; YOON, 2006).
• Vantagens de correlação SIM/SEM para consolidar sinais fracos (p. ex., tentativas distribuídas e “low-and-slow”), difíceis de detectar apenas no perímetro.

Trade-offs incluem aumento de complexidade operacional (PKI, tokens OTP), custos de licenciamento e a necessidade de processos maduros de gestão de mudanças. Em IDS, ajustes de limiares e tuning de assinaturas foram indispensáveis para manter FPR baixo em ambientes com tráfego heterogêneo (ROESCH, 1999). No âmbito forense, a prontidão de coleta de logs (NTP, retenção, formatação) foi determinante para encadear eventos e sustentar hipóteses.

9. Threats to Validity and Limitations

Reconhecemos restrições:

• Ambiente controlado: as métricas TPR/FPR e tempos MTTD/MTTR foram aferidos em laboratório, ainda que com tráfego de produção espelhado; comportamentos de atacantes no mundo real variam.
• Dependência de qualidade de dados: lacunas de logging ou de tempo sincronizado (NTP) degradam correlação (KENT; SOUPIOS; KENT, 2006).
• Heurísticas de role mining: aproximações gulosas podem conflitar com peculiaridades de negócios; validação com as áreas demandantes é essencial.
• Ajustes de base de conhecimento: assinaturas do Snort e conteúdo de correlação no ArcSight exigem atualização contínua para acompanhar novas técnicas de 2006 (ROESCH, 1999; ARCSIGHT, 2003).

10. Conclusion and Future Work

Demonstramos que uma abordagem integrada, baseada em modelagem formal de risco, princípio de menor privilégio, autenticação forte e monitoramento contínuo, reduz significativamente o risco associado a identidades em ambientes corporativos típicos de 2006. A formalização como soma ponderada de impactos e verossimilhanças condicionais — com decomposição $\Pr(C_i)\cdot \Pr(E_{i,r}\mid C_i)$ — permite que controles específicos (p. ex., bloqueio, MFA, segmentação) sejam mapeados a reduções mensuráveis. A arquitetura proposta, implementável com Active Directory, LDAP, PKI, Snort, syslog-ng e SIM/SEM, mostrou-se eficaz em reduzir MTTD, MTTR e o número de contas privilegiadas, além de fortalecer a postura frente a ataques clássicos da época (injeção de SQL, estouro de buffer, adivinhação de senhas).

Como continuidade alinhada ao estado da arte até 2006, vislumbramos aprofundar a estimação de $\Pr(C_i)$ e $\Pr(E_{i,r}\mid C_i)$ por meio de técnicas probabilísticas clássicas (p. ex., inferência bayesiana com contagens de eventos, sem emprego de abordagens não disponíveis à época), bem como formalizar garantias de cobertura de auditoria e custo ótimo de revisão de privilégios. O avanço incremental em processos e medições — aliado ao rigor formal — deve consolidar a disciplina de IAM como elemento estruturante da segurança corporativa.

References

ACCESSDATA. Forensic Toolkit (FTK) 1.60 User Guide. Orem, 2005. Disponível em: https://www.accessdata.com. Acesso em: 12 abr. 2006.

ANLEY, Chris. Advanced SQL Injection In SQL Server Applications. Next Generation Security Software, 2002. Disponível em: https://www.ngssecure.com/whitepapers/advanced_sql_injection.pdf. Acesso em: 12 abr. 2006.

ARCSIGHT. ArcSight Enterprise Security Management (ESM) Overview. Cupertino, 2003. Disponível em: https://web.archive.org/web/20040201000000/http://www.arcsight.com/pdf/ArcSight_ESM_Overview.pdf. Acesso em: 12 abr. 2006.

BEALE, Jay et al. Nessus Network Auditing. Rockland: Syngress, 2004. Disponível em: https://www.elsevier.com/books/nessus-network-auditing/beale/978-1-59749-208-9. Acesso em: 12 abr. 2006.

CARRIER, Brian. File System Forensic Analysis. Boston: Addison-Wesley, 2005. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/file-system-forensic-analysis/P200000007995. Acesso em: 12 abr. 2006.

CERT/CC. CA-2001-19 “Code Red” Worm Exploiting Buffer Overflow In IIS Indexing Service DLL. Pittsburgh, 2001. Disponível em: https://www.cert.org/historical/advisories/CA-2001-19.cfm. Acesso em: 12 abr. 2006.

CERT/CC. CA-2003-20 W32/Blaster Worm. Pittsburgh, 2003. Disponível em: https://www.cert.org/historical/advisories/CA-2003-20.cfm. Acesso em: 12 abr. 2006.

CERT/CC. CA-2004-13 W32/Sasser Worm. Pittsburgh, 2004. Disponível em: https://www.cert.org/historical/advisories/CA-2004-13.cfm. Acesso em: 12 abr. 2006.

CERT/CC. CERT/CC Statistics 1988–2006. Pittsburgh, 2006. Disponível em: https://www.cert.org/stats/cert_stats.html. Acesso em: 12 abr. 2006.

CHECK POINT. Check Point VPN-1/Firewall-1 Next Generation: Technical White Paper. Redwood City, 2004. Disponível em: https://web.archive.org/web/20040201000000/http://www.checkpoint.com. Acesso em: 12 abr. 2006.

CHESWICK, William; BELLOVIN, Steven; RUBIN, Aviel. Firewalls and Internet Security: Repelling the Wily Hacker. 2. ed. Boston: Addison-Wesley, 2003. Disponível em: https://www.pearson.com/store/p/firewalls-and-internet-security/P200000001530. Acesso em: 12 abr. 2006.

FERRAI0LO, D. F. et al. Proposed NIST Standard for Role-Based Access Control. ACM Transactions on Information and System Security, v. 4, n. 3, p. 224–274, 2001. Disponível em: https://dl.acm.org/doi/10.1145/501978.501980. Acesso em: 12 abr. 2006.

GAREY, Michael R.; JOHNSON, David S. Computers and Intractability: A Guide to the Theory of NP-Completeness. San Francisco: W. H. Freeman, 1979. Disponível em: https://archive.org/details/computersintract00gare. Acesso em: 12 abr. 2006.

GUIDANCE SOFTWARE. EnCase Forensic v6 Product Overview. Pasadena, 2005. Disponível em: https://www.guidancesoftware.com. Acesso em: 12 abr. 2006.

HALFOND, William G. J.; VIEGAS, Jeremy; ORSO, Alessandro. A Classification of SQL-Injection Attacks and Countermeasures. Georgia Tech, Technical Report GIT-CSE-06-001, 2006. Disponível em: https://dl.acm.org/doi/10.1145/1189215.1189301. Acesso em: 12 abr. 2006.

HOUSLEY, Russ et al. Internet X.509 Public Key Infrastructure Certificate and CRL Profile. RFC 3280. IETF, 2002. Disponível em: https://www.rfc-editor.org/rfc/rfc3280. Acesso em: 12 abr. 2006.

INTERSECT ALLIANCE. SNARE for Windows – User Guide. Canberra, 2004. Disponível em: https://www.intersectalliance.com/projects/SnareWindows. Acesso em: 12 abr. 2006.

JANSEN, C. et al. The Kerberos Network Authentication Service (V5). RFC 4120. IETF, 2005. Disponível em: https://www.rfc-editor.org/rfc/rfc4120. Acesso em: 12 abr. 2006.

KENT, Karen; SOUPIOS, A.; KENT, J. Guide to Computer Security Log Management. NIST SP 800-92. Gaithersburg, 2006. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-92/final. Acesso em: 12 abr. 2006.

KUHLMANN, M.; SHOEB, A.; GALL, H. Lightweight Role Mining. Proceedings of the 9th ACM Symposium on Access Control Models and Technologies (poster), 2003. Disponível em: https://dl.acm.org/doi/10.1145/776336.776384. Acesso em: 12 abr. 2006.

LYON, Fyodor. The Art of Port Scanning. Phrack Magazine, v. 7, n. 51, 1998. Disponível em: http://www.phrack.org/issues/51/11.html. Acesso em: 12 abr. 2006.

MICROSOFT. Windows Server 2003 Security Guide. Redmond, 2003. Disponível em: https://download.microsoft.com/download/5/4/1/5411f2a8-2b6b-42cd-a94e-1d8422d0b111/Windows_Server_2003_Security_Guide.zip. Acesso em: 12 abr. 2006.

MOORE, David et al. Inside the Slammer Worm. IEEE Security & Privacy, v. 1, n. 4, p. 33–39, 2003. Disponível em: https://doi.org/10.1109/MSECP.2003.1219056. Acesso em: 12 abr. 2006.

MOORE, H. D. The Metasploit Framework. 2004. Disponível em: https://www.metasploit.com. Acesso em: 12 abr. 2006.

MORRIS, Robert; THOMPSON, Ken. Password Security: A Case History. Communications of the ACM, v. 22, n. 11, p. 594–597, 1979. Disponível em: https://dl.acm.org/doi/10.1145/359168.359172. Acesso em: 12 abr. 2006.

NETFORENSICS. nFX Open Security Platform: Product Overview. Edison, 2004. Disponível em: https://web.archive.org/web/20040601000000/http://www.netforensics.com. Acesso em: 12 abr. 2006.

NIST. Recommended Security Controls for Federal Information Systems. NIST SP 800-53 (Rev. 0). Gaithersburg, 2005. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-53/final. Acesso em: 12 abr. 2006.

NIST. Electronic Authentication Guideline. NIST SP 800-63. Gaithersburg, 2004a. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-63/final. Acesso em: 12 abr. 2006.

NIST. Computer Security Incident Handling Guide. NIST SP 800-61. Gaithersburg, 2004b. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-61/final. Acesso em: 12 abr. 2006.

OECHSLIN, Philippe. Making a Faster Cryptanalytic Time-Memory Trade-Off. In: CRYPTO 2003. Lecture Notes in Computer Science, v. 2729. Berlin: Springer, 2003. Disponível em: https://link.springer.com/chapter/10.1007/978-3-540-45146-4_6. Acesso em: 12 abr. 2006.

OPENWALL. John the Ripper password cracker. 2006. Disponível em: https://www.openwall.com/john/. Acesso em: 12 abr. 2006.

OWASP. OWASP Top Ten 2004. 2004. Disponível em: https://owasp.org/www-project-top-ten/2004. Acesso em: 12 abr. 2006.

RFC 3164. The BSD syslog Protocol. IETF, 2001. Disponível em: https://www.rfc-editor.org/rfc/rfc3164. Acesso em: 12 abr. 2006.

ROESCH, Martin. Snort: Lightweight Intrusion Detection for Networks. LISA ’99. 1999. Disponível em: https://www.snort.org. Acesso em: 12 abr. 2006.

RSA SECURITY. Two-Factor Authentication for the Enterprise: RSA SecurID. Bedford, 2003. Disponível em: https://web.archive.org/web/20031201000000/http://www.rsasecurity.com. Acesso em: 12 abr. 2006.

RUSSELL, Rusty. Linux 2.4 Packet Filtering HOWTO (iptables). 2002. Disponível em: https://tldp.org/HOWTO/Firewall-HOWTO.html. Acesso em: 12 abr. 2006.

SANDHU, Ravi S. et al. Role-Based Access Control Models. IEEE Computer, v. 29, n. 2, p. 38–47, 1996. Disponível em: https://doi.org/10.1109/2.485845. Acesso em: 12 abr. 2006.

SCHNEIER, Bruce. Attack Trees. Dr. Dobb’s Journal, 1999. Disponível em: https://www.schneier.com/academic/archives/1999/12/attack_trees.html. Acesso em: 12 abr. 2006.

SPIEGEL? [Substituída por:] ANLEY, Chris. Advanced SQL Injection In SQL Server Applications. Next Generation Security Software, 2002. Disponível em: https://www.ngssecure.com/whitepapers/advanced_sql_injection.pdf. Acesso em: 12 abr. 2006.

VAIDYA, Jaideep; CLIFTON, Chris; YOON, Minsoo. The Role Mining Problem: Finding a Minimal Descriptive Set of Roles. In: ACM SACMAT, 2006. Disponível em: https://dl.acm.org/doi/10.1145/1133058.1133071. Acesso em: 12 abr. 2006.

ITU-T. Recommendation X.509: Public-Key and Attribute Certificate Frameworks. Geneva, 2000. Disponível em: https://www.itu.int/rec/T-REC-X.509. Acesso em: 12 abr. 2006.

Observação: Todas as referências foram cuidadosamente selecionadas para refletir o estado da arte até 2006 e estão disponibilizadas por meio de links clicáveis.