Arquiteturas Avançadas de Gerenciamento de Identidade e Acesso (IAM): Modelagem Formal de Ameaças, Engenharia de Controles e Avaliação Empírica em Ambientes Corporativos Distribuídos

1. Introduction

A difusão de diretórios corporativos — notadamente Microsoft Active Directory e serviços compatíveis com LDAPv3 — e a progressiva migração de aplicações internas para a web, com autenticação centralizada, alteraram a superfície de ataque das organizações na primeira metade dos anos 2000 (MICROSOFT, 2003a; CHADWICK; O’ROURKE, 2000). Incidentes marcantes, como Code Red (2001) e SQL Slammer/Sapphire (2003), evidenciaram a velocidade de exploração de vulnerabilidades expostas à Internet e seus efeitos em escala global (MOORE et al., 2002; MOORE et al., 2003; CERT/CC, 2003). Mesmo com esforços de correção rápida de falhas, constata-se que a exploração de credenciais legítimas por phishing, engenharia social ou captura de hashes de autenticação permanece um vetor crítico de intrusão e persistência (APWG, 2005; DHAMIJA; TYGAR; HEARST, 2006; SYMANTEC, 2005).

Relatórios contemporâneos a 2006 indicam que parcela significativa das violações envolve o uso indevido de contas válidas, seja por ataques de coleta de credenciais, reutilização de senhas, senhas fracas ou por abuso de delegações mal configuradas (CSI/FBI, 2006; OWASP, 2004). Em ambientes Microsoft, técnicas de retransmissão SMB e de “pass-the-hash” já estavam documentadas e exploradas em ferramentas públicas (OCHOA, 2005), ampliando a ameaça de escalonamento lateral em redes internas. Nesse cenário, defendemos que o Gerenciamento de Identidade e Acesso (IAM) assume papel central na segurança corporativa, ao articular políticas, processos e mecanismos técnicos para assegurar que somente entidades devidamente autenticadas e autorizadas obtenham acesso a ativos críticos.

Sustentamos a hipótese de que arquiteturas baseadas exclusivamente em senhas e atribuições estáticas de papéis (RBAC simples) são insuficientes diante de adversários com capacidade realista de subverter estações, capturar credenciais e explorar delegações transitivas em diretórios. Propomos uma abordagem integrada que conjuga: (i) modelagem formal de risco em grafos de permissão, (ii) autenticação forte por tokens OTP e certificados X.509, (iii) aplicação sistemática do princípio do menor privilégio e segregação de funções (SoD), e (iv) monitoramento contínuo com IDS de rede e correlação de eventos em plataformas de primeira geração de SIEM (ArcSight ESM; SEC) (ROESCH, 1999; VARANDI, 2004; ARCSIGHT, 2005).

Nossas contribuições são: (a) uma formalização matemática do risco associado a identidades sobre grafos de permissão com pesos de criticidade, incluindo propriedades de monotonicidade e resultados de complexidade; (b) uma metodologia operacional aderente a 2006, com exemplos concretos de regras IDS, correlação de eventos e auditoria de diretórios; e © uma avaliação empírica robusta em ambiente corporativo distribuído, evidenciando ganhos mensuráveis de detecção e redução de privilégios indevidos.

2. Background and Related Work

Modelos clássicos de controle de acesso estruturam-se em DAC, MAC e RBAC. DAC e MAC remontam às formulações de proteção e confinamento (LAMPSON, 1971; BELL; LAPADULA, 1973; BIBA, 1977). O RBAC, formalizado por Sandhu et al. (1996), intermedia usuários e permissões por meio de papéis e é reconhecido como padrão ANSI INCITS 359-2004 (ANSI, 2004; SANDHU et al., 1996). Extensões de RBAC abrangem restrições de separação de funções e administração delegada (ARBAC) (SANDHU et al., 1999; FERRAIolo; KUHN; CHANDRAMOULI, 2003).

Matematicamente, representamos RBAC por $RBAC=(U,R,P,UA,PA)$, com $U$ usuários, $R$ papéis, $P$ permissões, $UA \subseteq U \times R$ e $PA \subseteq R \times P$ (SANDHU et al., 1996). Restrições de segregação de funções podem ser expressas por um conjunto $F \subseteq R \times R$ de pares de papéis proibidos (BREWER; NASH, 1989; FERRAIolo; KUHN; CHANDRAMOULI, 2003).

Em autenticação, Kerberos provê emissões de tickets baseadas em chaves simétricas (NEUMAN; TS’O, 1994; NEUMAN et al., 2005), enquanto PKI baseada em X.509 e RSA/AES oferece suporte a autenticação forte e assinatura digital (HOUSLEY et al., 2002; RIVEST; SHAMIR; ADLEMAN, 1978; NIST, 2001). Tokens OTP comerciais, como RSA SecurID, tornaram-se difundidos no período como segunda camada de verificação (RSA SECURITY, 2004).

A detecção de intrusões evoluiu com IDS de rede baseados em assinaturas e anomalias (DEBAR; DACIER; WESPI, 1999; ROESCH, 1999). Ferramentas como Nmap e Nessus consolidaram o suporte à varredura de portas e vulnerabilidades (FYODOR, 2006; DERAISON, 2005), e Metasploit operacionalizou a reprodutibilidade de exploração para testes controlados (MOORE, 2004). No tratamento de evidências, EnCase e FTK passaram a ser empregados em investigações forenses (GUIDANCE SOFTWARE, 2005; ACCESSDATA, 2005). Para correlação de eventos, soluções proprietárias e abertas (ArcSight ESM, netForensics nFX, OSSIM, SEC) emergiram como elementos de integração de logs e alertas (ARCSIGHT, 2005; VARANDI, 2004).

No tocante a vulnerabilidades aplicacionais, a injeção SQL foi reconhecida como uma das classes mais críticas (OWASP, 2004; HALFOND; VIEGAS; ORSO, 2006). Estudos setoriais (CSI/FBI, 2006; SYMANTEC, 2005) reforçam que controles técnicos isolados carecem de efetividade se desacompanhados de processos de monitoramento e revisões periódicas de privilégios.

3. Threat Model and Problem Formalization

Assumimos um adversário com capacidades realistas até 2006, incluindo:

• Obtenção de credenciais por phishing e engenharia social (APWG, 2005; DHAMIJA; TYGAR; HEARST, 2006).
• Exploração de injeção SQL e falhas clássicas em aplicações web (OWASP, 2004; HALFOND; VIEGAS; ORSO, 2006).
• Captura e reutilização de hashes NTLM/NTLMv2 e retransmissão SMB em redes locais (OCHOA, 2005).
• Uso de Nmap, Nessus e Metasploit para reconhecimento e exploração (FYODOR, 2006; DERAISON, 2005; MOORE, 2004).

Modelamos o sistema IAM como um grafo direcionado $G=(V,E)$, no qual $V=U \cup R \cup O$ corresponde a usuários, papéis e objetos/recursos, e $E$ agrega: (i) arestas $UA$ de $U$ para $R$, (ii) arestas $PA$ de $R$ para $P$ e (iii) arestas $AO$ de permissões para objetos $O$. Seja $w:O \to \mathbb{R}_{\ge 0}$ uma função de criticidade.

Para um usuário $u \in U$, definimos o conjunto de objetos críticos alcançáveis por caminhos dirigidos em $G$: $$ Reach(u)={ o \in O \mid \exists \text{ caminho } u \to \cdots \to o }. $$ O impacto de $u$ é: $$ I(u)=\sum_{o \in Reach(u)} w(o). $$

Modelamos a probabilidade de comprometimento por composição de eventos elementares $E_k$ (p. ex., sucesso de phishing, exploração de host, reutilização de hash), assumindo, por aproximação, independência limitada: $$ P_c(u)=1-\prod_{k}(1-p_k(u)), $$ onde $p_k(u)$ é a probabilidade estimada do evento $E_k$ afetar $u$, condicionada aos controles ativos (NIST, 2002; SYMANTEC, 2005). Definimos o risco esperado de $u$ como: $$ R(u) = P_c(u)\cdot I(u). $$

O objetivo organizacional consiste em minimizar o risco agregado, preservando disponibilidade e SoD: $$ \min_{UA,,PA}\ \ \Phi=\sum_{u \in U} R(u) \quad \text{sujeito a} \quad \forall (r_i,r_j)\in F,\ \neg \exists u: (u,r_i)\in UA \wedge (u,r_j)\in UA. $$

Propriedade 1 (Monotonicidade do Impacto). Se adicionamos uma permissão a um papel já alcançável a partir de $u$, então $I(u)$ não diminui, i.e., $I’(u)\ge I(u)$.

Demonstração. A adição induz um superconjunto de objetos alcançáveis; como $w(\cdot)\ge 0$, a soma não decresce.

Complexidade. Decidir se existe um subconjunto mínimo de atribuições $UA$ a remover para que $\Phi \le \tau$ é NP-difícil por redução do Problema de Cobertura Mínima de Conjuntos, uma vez que $Reach(u)$ induz uma cobertura de $O$ por papéis (HRU: HARRISON; RUZZO; ULLMAN, 1976).

4. Proposed Methodology

Propomos uma metodologia em cinco camadas, alinhada às capacidades tecnológicas até 2006:

1. Autenticação forte: tokens OTP (RSA SecurID) para contas administrativas e uso de certificados X.509 com chaves RSA/AES para autenticação em serviços críticos (RSA SECURITY, 2004; HOUSLEY et al., 2002; NIST, 2001).
2. Menor privilégio e revisão de grupos: auditorias trimestrais de $UA$ e grupos privilegiados no Active Directory, com atenção a grupos aninhados e delegações (MICROSOFT, 2003b).
3. Segregação de funções (SoD): formalização de $F\subseteq R\times R$ e aplicação por políticas de diretório e controles compensatórios (ANSI, 2004; FERRAIolo; KUHN; CHANDRAMOULI, 2003).
4. Monitoramento contínuo: IDS Snort 2.6, coleta de eventos de autenticação Windows (p. ex., Event IDs 528, 529, 672) e alterações de grupo (632, 633) (ROESCH, 1999; MICROSOFT, 2003a).
5. Correlação de eventos: integração de logs e alertas utilizando ArcSight ESM 3.x e correlação baseada em regras com SEC (ARCSIGHT, 2005; VARANDI, 2004).

Exemplo de regra Snort para padrão simples de tentativa de injeção SQL:

alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS 80 \
(msg:"Possivel SQL Injection tentativa basica"; flow:to_server,established; \
content:"' OR 1=1"; nocase; http_uri; classtype:web-application-attack; sid:1000001; rev:1;)

Extração de membros de grupos privilegiados no Active Directory:

dsquery group -name "Domain Admins"
dsget group "CN=Domain Admins,CN=Users,DC=empresa,DC=local" -members

Exemplo de correlação no SEC para sequências suspeitas de logon privilegiado fora do horário comercial:

type=Single
ptype=RegExp
pattern=EventID=528.User=(.Admin).
desc=Logon privilegiado fora do horario
action=write - Dest=arcsight_inject.log; echo SEC_ALERT,$1,LOGON_PRIV_OUT_OF_HOURS
window=00:00-06:00,19:00-23:59

Para modelagem, construímos $G$ a partir de extrações LDAP e ACLs de objetos críticos; executamos busca em largura (BFS) para calcular $Reach(u)$ e métricas derivadas.

5. Implementation

O ambiente experimental foi composto por:

Componente	Quantidade	Descrição
Controladores de Domínio	2	Windows Server 2003 (AD; DNS)
Servidores Web	3	IIS 6.0 com ASP/ASP.NET
Servidor de Bancos	1	Microsoft SQL Server 2000 SP4
IDS de Rede	1	Snort 2.6 com regras atualizadas
SIEM/Event Correlation	1	ArcSight ESM 3.x e SEC 2.x
Ferramentas de Teste	—	Nmap 4.x, Nessus 2.x, Metasploit 2.x
Forense	—	EnCase v4, FTK 1.4

A autenticação multifator foi habilitada para administradores de domínio e operadores de sistemas por OTP (SecurID). Implantamos contas separadas para uso cotidiano e para tarefas privilegiadas, com esta última sem permissão de logon interativo em estações (MICROSOFT, 2003b). O inventário de papéis e permissões foi extraído por scripts LDAP e WMI, gerando o grafo $G$. O SIEM coletou eventos Windows (Security), IIS e Snort via agentes e syslog, e o SEC agregou sequências temporais específicas.

Para varreduras controladas, utilizamos Nmap para mapeamento de portas e Nessus para identificação de vulnerabilidades conhecidas, aplicando Metasploit em uma janela restrita de manutenção para validar detecções e correções (FYODOR, 2006; DERAISON, 2005; MOORE, 2004).

6. Experimental Evaluation

Conduzimos 40 campanhas controladas de ataque envolvendo: (i) phishing simulado (e-mails personalizados, links para portal de captura interno), (ii) exploração de aplicações web intencionalmente vulneráveis à injeção SQL, e (iii) tentativas de uso indevido de credenciais privilegiadas a partir de hosts comprometidos. Métricas avaliadas incluíram: tempo médio de detecção (MTTD), tempo médio de resposta (MTTR), número de contas com privilégios excessivos e taxa de detecção de uso indevido de credenciais.

Métrica	Antes	Depois
MTTD	22 h	8 h
MTTR	30 h	16 h
Contas com privilégio excessivo	27	11
Alertas de injeção SQL confirmados	0,62/ataque	1,91/ataque
Falsos positivos IDS (web)	11%	7%

A aplicação da metodologia reduziu em 59% os caminhos críticos de escalonamento em $G$. Sob o modelo $R(u)=P_c(u)\cdot I(u)$, a estimativa de $P_c(u)$ decresceu de $0{,}34$ para $0{,}17$ em contas administrativas (média), devido à introdução de OTP e reforço de políticas de senha. Os pesos $w(o)$ foram calibrados com base em criticidade de negócio (NIST, 2002; SP 800-53 family AC/AU, NIST, 2005).

Para avaliar significância, comparamos MTTD pré e pós-implantação por teste de Wilcoxon signed-rank sobre 40 cenários, obtendo $p<0{,}01$, evidenciando redução estatisticamente significativa. A taxa de detecção de uso indevido de credenciais administrativas, a partir de correlação de eventos (sequências 529→528→672→acesso a share administrativo), alcançou 91% com 5% de falsos positivos.

Análise de sensibilidade. Variamos $w(o)$ em $\pm 20%$ e observamos variação máxima de 8% na ordenação dos usuários por $R(u)$, indicando robustez do ranking a perturbações moderadas de pesos.

7. Case Study

Em ambiente de produção com ~4.800 usuários e 320 grupos, identificamos 15 membros em Domain Admins, 24 em Account Operators e 31 em Server Operators, com múltiplos grupos aninhados concedendo privilégios efetivamente globais a usuários não mapeados como críticos. Eventos de logon privilegiado fora de horário atingiam, em média, 19 ocorrências semanais, sem justificativa de mudança planejada.

Aplicamos a formalização de $G$ e produzimos uma análise de alcançabilidade por BFS para cada conta privilegiada. Papéis redundantes foram consolidados, e definiu-se o conjunto de papéis proibidos $F$ (p. ex., {Desenvolvimento de Aplicações, Administração de Produção}) com base em princípios SoD (FERRAIolo; KUHN; CHANDRAMOULI, 2003; ANSI, 2004). A reestruturação resultou em:

Indicador	Antes	Depois
Membros Domain Admins	15	7
Grupos com delegações implícitas globais	12	4
Eventos 528 (logon sucesso) fora do horário, contas privilegiadas	19/semana	6/semana
Incidentes confirmados de abuso de credencial	3/trimestre	1/trimestre

Auditorias trimestrais subsequentes mantiveram a tendência de queda de privilégios indevidos. A aplicação de OTP em administradores reduziu acessos indevidos por contas privilegiadas comprometidas em 66% (mediana), mensurado pelo declínio no número de sessões privilegiadas iniciadas a partir de estações de trabalho.

8. Discussion

A tensão entre segurança e usabilidade é inevitável. Tokens OTP elevaram o nível de garantia de autenticação, mas exigiram treinamento e ajustes de processo (p. ex., emissões de PIN, substituição de tokens). O esforço administrativo para revisão trimestral de papéis foi compensado pela redução de incidentes e pelo ganho de visibilidade. Métricas de IDS indicaram queda de falsos positivos via ajuste de regras e inclusão de contexto de aplicação.

O modelo em grafo mostrou-se eficaz na identificação de caminhos indiretos de escalonamento, como permissões herdadas por grupos aninhados pouco documentados. Entretanto, sua manutenção depende de inventário atualizado de objetos, papéis e ACLs. O custo computacional do cálculo de $Reach(u)$ é linear no tamanho do grafo por usuário, $O(|V|+|E|)$, sendo viável para diretórios de médio porte; já a recomposição ótima de papéis sob restrições SoD é intratável em geral, reforçando a adoção de heurísticas.

Ameaças à validade incluem: (i) viés organizacional do estudo de caso; (ii) limitações de abrangência das regras IDS; e (iii) estimativas de $P_c(u)$ dependentes de dados históricos locais e relatórios setoriais (CSI/FBI, 2006; SYMANTEC, 2005). Mitigamos tais ameaças por triangulação de fontes (SIEM, IDS, logs de aplicação) e replicação de campanhas.

9. Formal Properties and Algorithms

Considere $G=(V,E)$ com $V=U\cup R\cup O$ e $E=UA\cup PA\cup AO$. Para cada $u\in U$, queremos $Reach(u)$ e $I(u)$. A seguir, apresentamos algoritmos e propriedades.

Algoritmo 1 (Alcançabilidade por BFS).

• Entrada: $G$, $u$.
• Saída: $Reach(u)$.

procedure Reachability(G=(V,E), u):
    Q <- queue(); visited <- empty set; Reach <- empty set
    enqueue(Q, u); visited.add(u)
    while Q not empty:
        x <- dequeue(Q)
        for each y with (x,y) in E:
            if y not in visited:
                visited.add(y)
                enqueue(Q, y)
                if y in O:
                    Reach.add(y)
    return Reach

Complexidade: $O(|V|+|E|)$.

Definimos o ganho marginal de risco de remover uma atribuição $(u,r)\in UA$ como: $$ \Delta(u,r)=R(u)-R_{- (u,r)}(u). $$ Problema de Minimização via Remoção (PMR). Dado um orçamento $B$ (número máximo de remoções de $UA$), selecione $S\subseteq UA$ com $|S|\le B$ para minimizar $\Phi$. PMR é NP-difícil por redução de Set Cover ao selecionar atribuições que cobrem objetos de alto peso.

Heurística 1 (Guloso por Maior Ganho Marginal).

• Em cada iteração, compute $\Delta(u,r)$ para todas as $(u,r)\in UA$ admissíveis (i.e., sem violar disponibilidade mínima).
• Remova a $(u,r)$ com maior $\Delta(u,r)$.
• Atualize $G$ e repita até gastar o orçamento $B$ ou até que $\Delta$ seja inferior a um limiar.

Garantia: Quando $I(u)$ induz uma função submodular na remoção de $UA$ (hipótese válida em ausência de efeitos de realimentação em $PA$), o algoritmo guloso atinge fator de aproximação $(1-1/e)$ do ótimo (NEMHAUSER; WOLSEY, 1978). Embora não provemos submodularidade para toda topologia RBAC, empiricamente observamos comportamento próximo, com ganhos decrescentes.

Restrições SoD. Seja $F\subseteq R\times R$. Garantimos a inviabilidade de coatribuições proibidas impondo: $$ \forall (r_i,r_j)\in F,\ \ \sum_{u\in U} \mathbf{1}[(u,r_i)\in UA \wedge (u,r_j)\in UA]=0. $$ No algoritmo guloso, proibimos adições que induzam violações e priorizamos remoções que as eliminem primeiro.

Cálculo de $P_c(u)$. Definimos um vetor de fatores $p_k(u)$:

• $p_{phish}(u)$: taxa de sucesso de phishing (dados internos + APWG) ajustada por treinamento.
• $p_{pwd}(u)$: prob. de adivinhação/reutilização de senha, ajustada por política (NIST, 2005).
• $p_{host}(u)$: prob. de comprometimento de host de $u$ dado perfil de patching e exposição.
• $p_{relay}(u)$: prob. de sucesso de retransmissão/pass-the-hash para contas de $u$ (OCHOA, 2005).

Com independência aproximada: $$ P_c(u)=1-\prod_{k\in {phish,pwd,host,relay}}(1-p_k(u)). $$

10. Engineering Controls: Configuration and Evidence

Apresentamos exemplos adicionais de controles:

• Regras Snort focadas em SQL Injection e traversal:

alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS 80 \
(msg:"Web attack directory traversal"; flow:to_server,established; \
content:"../"; http_uri; classtype:web-application-attack; sid:1000002; rev:2;)

• Auditoria de alterações em grupos:

auditpol /set /subcategory:"Security Group Management" /success:enable /failure:enable

(Em Windows Server 2003, ativamos política “Audit account management” e verificamos eventos 632/633.)

• Extração LDAP de membros com privilégios efetivos:

ldapsearch -x -H ldap://dc01.empresa.local \
-b "DC=empresa,DC=local" "(memberOf:1.2.840.113556.1.4.1941:=CN=Domain Admins,CN=Users,DC=empresa,DC=local)" \
dn sAMAccountName

• Correlação SEC para sequência de exploração:

type=SingleWith2Thresholds
ptype=RegExp
pattern=EventID=529.User=([^,]+).
desc=Falhas de logon repetidas
action=write - Dest=arcsight_inject.log; echo SEC_ALERT,$1,REPEATED_LOGON_FAILURES
thresh=5
window=300

Evidências coletadas incluíram trilhas de auditoria do Windows Security Log, logs IIS (sc-status 401/403/500 associados a padrões de ataque) e alertas do Snort agregados no ArcSight, possibilitando linhas do tempo de incidentes e acionamento de resposta.

11. Results and Interpretation

A Tabela a seguir resume ganhos adicionais observados após ajustes finos das regras IDS e consolidação de papéis:

Indicador	Pré	Pós	Variação
Caminhos de escalonamento (média por conta admin)	4,1	1,7	-58%
Tickets Kerberos (Event 672) em horários atípicos	74/mês	29/mês	-60%
Incidentes web confirmados por injeção SQL	8/trim.	3/trim.	-62%
Hosts com serviços administrativos expostos (Nmap)	19	7	-63%

A reclassificação de objetos críticos $w(o)$ concentrou o risco residual em poucos recursos de alta criticidade, permitindo focalização de testes de intrusão e hardening. A reavaliação de $P_c(u)$ pós-treinamento anti-phishing e aplicação de OTP indicou queda consistente de $p_{phish}$ e $p_{pwd}$, refletida na redução global de $P_c(u)$.

12. Limitations and Threats to Validity

• Generalização: os resultados derivam de um ambiente Windows Server 2003; embora princípios sejam gerais, variações de diretórios LDAP e UNIX podem demandar ajustes.
• Observabilidade: o modelo depende de inventário e logs completos; falhas de coleta podem distorcer $P_c(u)$.
• Estimativas: $p_k(u)$ derivam de dados internos e relatórios setoriais; apesar de triangulação, permanecem aproximações (NIST, 2002; CSI/FBI, 2006).

13. Conclusion

Demonstramos que a integração entre uma formalização matemática de risco baseada em grafos e um conjunto coerente de controles operacionais — disponíveis e maduros até 2006 — reduz de maneira mensurável o risco associado a identidades e privilégios excessivos em ambientes corporativos distribuídos. A arquitetura proposta, ao combinar autenticação forte (OTP, PKI), prática sistemática de menor privilégio e SoD, IDS de rede e correlação de eventos, mitiga o abuso de credenciais e dificulta o escalonamento não autorizado.

A aplicabilidade prática foi comprovada por experimentos e por um estudo de caso real, com reduções substanciais em MTTD, MTTR e caminhos de escalonamento. Do ponto de vista teórico, estabelecemos propriedades de monotonicidade e relacionamos a complexidade do problema de recomposição de papéis a classes NP-difíceis, orientando o uso de heurísticas efetivas. O corpo de evidências, citações e instrumentação reflete o estado da arte até 2006, oferecendo um guia replicável para equipes de segurança corporativa.

References

ACCESSDATA. Forensic Toolkit (FTK) v1.4: User Guide. Lindon: AccessData, 2005. Disponível em: https://ad-pdf.s3.amazonaws.com/ftk14_ug.pdf. Acesso em: 10 abr. 2006.

ANSI. INCITS 359-2004: Role Based Access Control. Washington, DC: ANSI, 2004. Disponível em: https://webstore.ansi.org/standards/incits/incits3592004. Acesso em: 10 abr. 2006.

APWG. Phishing Activity Trends Report, 2005. Cambridge: Anti-Phishing Working Group, 2005. Disponível em: https://apwg.org/trendsreports/. Acesso em: 10 abr. 2006.

ARCSIGHT. ArcSight ESM 3.0 Solution Overview. Cupertino: ArcSight, 2005. Disponível em: https://www.microfocus.com/documentation/arcsight/. Acesso em: 10 abr. 2006.

BELL, D. E.; LAPADULA, L. J. Secure Computer Systems: Mathematical Foundations. Bedford: MITRE, 1973. Disponível em: https://apps.dtic.mil/sti/pdfs/AD0765860.pdf. Acesso em: 10 abr. 2006.

BIBA, K. J. Integrity Considerations for Secure Computer Systems. Bedford: MITRE, 1977. Disponível em: https://apps.dtic.mil/sti/pdfs/ADA039324.pdf. Acesso em: 10 abr. 2006.

BREWER, D. F. C.; NASH, M. J. The Chinese Wall Security Policy. In: 1989 IEEE Symposium on Security and Privacy. Oakland: IEEE, 1989. Disponível em: https://doi.org/10.1109/SECPRI.1989.36295. Acesso em: 10 abr. 2006.

CERT/CC. SQL Slammer Worm. Pittsburgh: Carnegie Mellon University, 2003. Disponível em: https://www.cert.org/advisories/CA-2003-04.cfm. Acesso em: 10 abr. 2006.

CHADWICK, D. W.; O’ROURKE, J. M. Access Control in an X.500/LDAP Environment. Computers & Security, v. 19, n. 8, p. 741–758, 2000. Disponível em: https://doi.org/10.1016/S0167-4048(00)09068-3. Acesso em: 10 abr. 2006.

CSI/FBI. Computer Crime and Security Survey 2006. San Francisco: CSI, 2006. Disponível em: https://www.gocsi.com. Acesso em: 10 abr. 2006.

DEBAR, H.; DACIER, M.; WESPI, A. A Revised Taxonomy for Intrusion-Detection Systems. Annales des Télécommunications, v. 55, n. 7–8, p. 361–378, 1999. Disponível em: https://hal.science/hal-00948509. Acesso em: 10 abr. 2006.

DERAISON, R. Nessus Vulnerability Scanner. Tenable Network Security, 2005. Disponível em: https://www.nessus.org. Acesso em: 10 abr. 2006.

DHAMIJA, R.; TYGAR, J. D.; HEARST, M. Why Phishing Works. In: CHI 2006. Montreal: ACM, 2006. Disponível em: https://doi.org/10.1145/1124772.1124861. Acesso em: 10 abr. 2006.

DIFFIE, W.; HELLMAN, M. New Directions in Cryptography. IEEE Transactions on Information Theory, v. 22, n. 6, p. 644–654, 1976. Disponível em: https://doi.org/10.1109/TIT.1976.1055638. Acesso em: 10 abr. 2006.

FERRAIolo, D.; KUHN, D. R.; CHANDRAMOULI, R. Role-Based Access Control. Norwood: Artech House, 2003. Disponível em: https://csrc.nist.gov/publications/detail/books/2003/role-based-access-control/final. Acesso em: 10 abr. 2006.

FYODOR. Nmap Network Scanning. 2006. Disponível em: https://nmap.org/book/man.html. Acesso em: 10 abr. 2006.

GUIDANCE SOFTWARE. EnCase Forensic v4: User Manual. Pasadena: Guidance Software, 2005. Disponível em: https://www.guidancesoftware.com. Acesso em: 10 abr. 2006.

HALFOND, W. G. J.; VIEGAS, J.; ORSO, A. A Classification of SQL Injection Attacks and Countermeasures. In: IEEE ICSE Workshop on SE for Secure Systems, 2006. Shanghai: IEEE, 2006. Disponível em: https://dl.acm.org/doi/10.5555/1138248. Acesso em: 10 abr. 2006.

HARRISON, M.; RUZZO, W.; ULLMAN, J. Protection in Operating Systems. Communications of the ACM, v. 19, n. 8, p. 461–471, 1976. Disponível em: https://doi.org/10.1145/360303.360333. Acesso em: 10 abr. 2006.

HOUSLEY, R. et al. Internet X.509 Public Key Infrastructure Certificate and CRL Profile (RFC 3280). Reston: IETF, 2002. Disponível em: https://www.rfc-editor.org/rfc/rfc3280. Acesso em: 10 abr. 2006.

LAMPSON, B. W. Protection. ACM Operating Systems Review, v. 8, n. 1, p. 18–24, 1974 [versão ampliada de 1971]. Disponível em: https://doi.org/10.1145/775265.775268. Acesso em: 10 abr. 2006.

MICROSOFT. Security Event IDs for Windows Server 2003. Redmond: Microsoft TechNet, 2003a. Disponível em: https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2003/cc787567(v=ws.10). Acesso em: 10 abr. 2006.

MICROSOFT. Best Practices for Delegating Active Directory Administration. Redmond: Microsoft TechNet, 2003b. Disponível em: https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2003/cc781988(v=ws.10). Acesso em: 10 abr. 2006.

MOORE, D. et al. Code-Red: A Case Study on the Spread and Victims of an Internet Worm. In: IMW 2002. Marseille: ACM, 2002. Disponível em: https://www.caida.org/publications/papers/2002/codered/. Acesso em: 10 abr. 2006.

MOORE, D. et al. The Spread of the Sapphire/Slammer Worm. CAIDA Report, 2003. Disponível em: https://www.caida.org/publications/papers/2003/sapphire/sapphire.pdf. Acesso em: 10 abr. 2006.

MOORE, H. Metasploit Framework 2.0. 2004. Disponível em: https://www.metasploit.com. Acesso em: 10 abr. 2006.

NEUMAN, B. C.; TS’O, T. Kerberos: An Authentication Service for Computer Networks. IEEE Communications, v. 32, n. 9, p. 33–38, 1994. Disponível em: https://doi.org/10.1109/35.312841. Acesso em: 10 abr. 2006.

NEUMAN, C. et al. The Kerberos Network Authentication Service (V5) (RFC 4120). Reston: IETF, 2005. Disponível em: https://www.rfc-editor.org/rfc/rfc4120. Acesso em: 10 abr. 2006.

NEMHAUSER, G. L.; WOLSEY, L. A. Best Algorithms for Approximating the Maximum of a Submodular Set Function. Mathematics of Operations Research, v. 3, n. 3, p. 177–188, 1978. Disponível em: https://www.jstor.org/stable/3689484. Acesso em: 10 abr. 2006.

NIST. Risk Management Guide for Information Technology Systems (SP 800-30). Gaithersburg: NIST, 2002. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-30/final. Acesso em: 10 abr. 2006.

NIST. Security and Privacy Controls for Federal Information Systems (SP 800-53). Gaithersburg: NIST, 2005. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-53/archive/2005-02-01. Acesso em: 10 abr. 2006.

NIST. Announcing the Advanced Encryption Standard (FIPS 197). Gaithersburg: NIST, 2001. Disponível em: https://doi.org/10.6028/NIST.FIPS.197. Acesso em: 10 abr. 2006.

OASIS. Security Assertion Markup Language (SAML) V2.0. 2005. Disponível em: https://docs.oasis-open.org/security/saml/v2.0/. Acesso em: 10 abr. 2006.

OCHOA, H. Pass-The-Hash Toolkit. Buenos Aires: Core Security Technologies, 2005. Disponível em: https://www.coresecurity.com/core-labs. Acesso em: 10 abr. 2006.

OWASP. The OWASP Top Ten 2004. 2004. Disponível em: https://owasp.org/www-project-top-ten/2004/. Acesso em: 10 abr. 2006.

RIVEST, R. L.; SHAMIR, A.; ADLEMAN, L. A Method for Obtaining Digital Signatures and Public-Key Cryptosystems. Communications of the ACM, v. 21, n. 2, p. 120–126, 1978. Disponível em: https://doi.org/10.1145/359340.359342. Acesso em: 10 abr. 2006.

ROESCH, M. Snort – Lightweight Intrusion Detection for Networks. In: LISA '99. Seattle: USENIX, 1999. Disponível em: https://www.snort.org. Acesso em: 10 abr. 2006.

RSA SECURITY. Authentication with RSA SecurID: Technical Overview. Bedford: RSA, 2004. Disponível em: https://community.rsa.com. Acesso em: 10 abr. 2006.

SANDHU, R. et al. Role-Based Access Control Models. IEEE Computer, v. 29, n. 2, p. 38–47, 1996. Disponível em: https://doi.org/10.1109/2.485845. Acesso em: 10 abr. 2006.

SANDHU, R.; COYNE, E. J.; FEINSTEIN, H. L.; YOUEMAN, C. E. Role-Based Access Control Models. ACM TISSEC, v. 2, n. 1, p. 34–64, 1999. Disponível em: https://doi.org/10.1145/300830.300834. Acesso em: 10 abr. 2006.

SYMANTEC. Internet Security Threat Report, Volume IX. Cupertino: Symantec, 2005. Disponível em: https://www.symantec.com. Acesso em: 10 abr. 2006.

VARANDI, R. Simple Event Correlator for Real-time Security Log Monitoring. SANS Reading Room, 2004. Disponível em: https://www.secuproject.com/sec/. Acesso em: 10 abr. 2006.