Paper Files / IAM
Arquiteturas Avançadas de Identity and Access Management (IAM): Modelagem Formal de Ameaças, Endurecimento Operacional e Avaliação Empírica em Ambientes Corporativos Distribuídos (2006)
advanced_sql_injection.pdf. Acesso em: 13 abr. 2006. ANSI. INCITS 359-2004: Role Based Access Control. Washington, DC: American National Standards Institute, 2004. Disponível em: https://webstore.ansi.org. Acesso em: 13 abr. 2006. BEJTLICH, R. The Tao of Network Security Monitoring. Boston: Addison-Wesley, 2004. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/tao-of-network-security-monitoring/P200000003313. Acesso em: 13 abr. 2006. BELL, D. E.; LAPADULA, L. J. Secure Computer Systems: Mathematical Foundations. Bedford, MA: MITRE, 1973. Disponível em: https://apps.dtic.mil/st
- Introduction
Até meados da década de 2000, a segurança corporativa apoiava-se majoritariamente em firewalls de borda, segmentação e inspeção de pacotes (CHESWICK; BELLOVIN; RUBIN, 2003). A crescente dependência de aplicações web, integrações B2B, acesso remoto via VPN e serviços publicamente expostos deslocou a superfície de ataque para o plano de identidade: senhas, chaves, atributos e autorizações (NIST, 2004a; STALLINGS, 2005). Relatórios de 2005–2006 já apontavam grande proporção de incidentes envolvendo comprometimento de credenciais, abuso de privilégios e falhas de autenticação/autorização, frequentemente explorados por phishing, worms e vulnerabilidades de aplicações (CERT/CC, 2006; SYMANTEC, 2006; DHAMIJA; TYGAR; HEARST, 2006).
Definimos Identity and Access Management (IAM) como o conjunto de políticas, processos e mecanismos criptográficos destinados a garantir que sujeitos autenticados obtenham somente as autorizações mínimas necessárias ao desempenho de suas funções (SALTZER; SCHROEDER, 1975; NIST, 2004a). Formalmente, caracterizamos IAM por uma política de controle de acesso $P$ sobre conjuntos de sujeitos $U$ e objetos $R$, mediada por autenticação, autorização e auditoria. Defendemos que IAM deve ser concebido e mantido como sistema formalmente especificável e auditável, indo além de práticas ad hoc de configuração.
Nossas contribuições são: (i) formalização de propriedades de segurança aplicáveis a arquiteturas IAM corporativas em 2006; (ii) um framework de endurecimento operativo alinhado às tecnologias disponíveis à época — X.509 (RFC 3280), Kerberos V5 (RFC 4120), HOTP (RFC 4226), IPsec (RFC 4301), RBAC (ANSI INCITS 359-2004), SAML 2.0; e (iii) avaliação empírica com ferramentas contemporâneas — Snort, Nmap, Nessus, ArcSight ESM, EnCase/FTK, Metasploit — em ambiente corporativo distribuído. Analisamos a eficácia em métricas como privilégios excessivos, MTTD, MTTR e taxa de bloqueio de escalonamentos indevidos, sempre com referências datadas até 2006 e evitando qualquer anacronismo tecnológico.
- Background and Related Work
Os fundamentos de controle de acesso remontam a DAC, MAC e RBAC (SANDHU et al., 1996; BELL; LAPADULA, 1973; LAMPSON, 1974). RBAC foi consolidado por Sandhu et al. (1996) e posteriormente padronizado no ANSI INCITS 359-2004, incluindo hierarquias de papéis e separação de deveres (ANSI, 2004; CLARK; WILSON, 1987). Em notação de conjuntos:
- $UA \subseteq U \times Roles$ mapeia usuários a papéis;
- $PA \subseteq Roles \times R$ mapeia papéis a permissões.
Uma requisição $req(u,o)$ é autorizada se existe $r \in Roles$ tal que $(u,r) \in UA$ e $(r,o) \in PA$ (SANDHU et al., 1996; ANSI, 2004). Em ambientes distribuídos, federação de identidade emergiu com SAML 2.0 (OASIS, 2005), permitindo assertions assinadas entre domínios, baseadas em PKI (RFC 3280; HOUSLEY; POLK, 2001).
No plano criptográfico, AES (FIPS 197) e HMAC (RFC 2104) sustentam confidencialidade e integridade, inclusive em TLS com AES (RFC 3268) e VPNs IPsec (RFC 4301) (FIPS, 2001; KENT; SEO, 2005; Housley; POLK, 2001). Para autenticação de dois fatores, HOTP (RFC 4226) padronizou OTPs baseados em HMAC-SHA-1, amplamente implantáveis em tokens e soft-tokens da época (M’RAIHI et al., 2005). Kerberos V5 consolidou-se como protocolo de autenticação em domínios corporativos (RFC 4120, 2005).
No monitoramento, IDS como Snort evoluíram para detecção baseada em assinaturas e pré-processadores (ROESCH, 1999), enquanto a gestão de eventos via syslog (RFC 3164) e plataformas comerciais de correlação (e.g., ArcSight ESM) já estavam presentes (BEJTLICH, 2004). Ferramentas de varredura como Nmap (LYON, 2004) e Nessus 2.x (TENABLE, 2005) permitiram identificar serviços expostos e vulnerabilidades. Vulnerabilidades críticas recorrentes englobam buffer overflows (ALEPH ONE, 1996), injeção SQL (ANLEY, 2002) e falhas de autenticação/gestão de sessão (OWASP, 2004). Incidentes emblemáticos como Code Red, Blaster, Sasser e Slammer evidenciaram a velocidade de propagação e os riscos de configurações frágeis (MOORE et al., 2003; SYMANTEC, 2006).
A análise formal da segurança de modelos de acesso inclui resultados clássicos sobre decidibilidade e segurança estrutural (HARRISON; RUZZO; ULLMAN, 1976) e propriedades de não interferência (GOGUEN; MESEGUER, 1982). Tais fundamentos orientam nossa formalização e avaliação.
- Threat Model and Problem Formalization
Modelamos o sistema como $S = (U, R, P, C, T)$, onde:
- $U$ é o conjunto de identidades (usuários, serviços);
- $R$ é o conjunto de recursos (objetos protegidos);
- $P$ é o conjunto de políticas de acesso (regras, restrições);
- $C$ é o conjunto de condições contextuais (tempo, localização lógica, canal);
- $T$ é o conjunto de transições de estado do sistema (operações administrativas, logins, ativações de papéis).
A função de autorização é: $$ Auth: U \times R \times C \rightarrow {0,1}. $$ Definimos o conjunto de privilégios efetivos de $u$ como: $$ Priv(u) = { r \in R \mid \exists c \in C : Auth(u,r,c)=1 }. $$
3.1 Propriedades de Segurança
-
Menor privilégio (SALTZER; SCHROEDER, 1975): $$ \forall u \in U,; Priv(u) \subseteq Necessario(u), $$ onde $Necessario(u)$ é derivado de função de papel $RoleReq(u)$ e restrições organizacionais (ANSI, 2004; CLARK; WILSON, 1987).
-
Ausência de escalonamento indevido: Seja $\sigma \in \Sigma$ um estado do sistema e $Priv_\sigma(u)$ o conjunto de privilégios efetivos de $u$ em $\sigma$. Não deve existir sequência de transições $t_1,\dots,t_k \in T$ tal que $$ \sigma_0 \xrightarrow{t_1} \sigma_1 \xrightarrow{t_2} \dots \xrightarrow{t_k} \sigma_k \quad\text{e}\quad Priv_{\sigma_k}(u) \supset Priv_{\sigma_0}(u) $$ sem que $\exists, t_i \in T$ explicitamente autorizado por $P$ a expandir $Priv(u)$ e devidamente auditado (HARRISON; RUZZO; ULLMAN, 1976).
-
Separação de deveres (SoD) estática: $$ \neg \exists u \in U : (u,r_1) \in UA \land (u,r_2) \in UA, $$ quando $r_1 \perp r_2$ (papéis mutuamente exclusivos) (ANSI, 2004; CLARK; WILSON, 1987).
-
Restrição temporal: $$ Auth(u,o,c)=1 \Rightarrow hora© \in [8,18] \land dia_util©=\text{verdadeiro}. $$
-
Vinculação de canal seguro: se $Auth(u,o,c)=1$ e $o \in R_{sens}$, então $canal©$ deve satisfazer $TLS_AES \lor IPsec$ (RFC 3268; KENT; SEO, 2005).
Assumimos um adversário controlando o canal de rede (capaz de observação, reenvio e injeção de mensagens), mas incapaz de quebrar primitivos criptográficos padronizados (modelo de Dolev-Yao aplicado às camadas relevantes) e com capacidade de phishing para obter credenciais válidas (GOGUEN; MESEGUER, 1982; DHAMIJA; TYGAR; HEARST, 2006). Consideramos ainda exploração de vulnerabilidades de aplicação web (ANLEY, 2002; OWASP, 2004).
Complexidade: a avaliação de uma requisição em RBAC puro é $O(|Roles|)$, enquanto restrições (SoD, tempo, canal) introduzem custo adicional $O(|P|\cdot k)$, onde $k$ é o número de atributos e predicados contextuais avaliados por requisição, coerente com resultados clássicos para checagens de políticas com restrições (ANSI, 2004).
- Proposed Methodology
4.1 Governança de Identidade e Inventário
Implementamos inventário automatizado por meio de:
- consultas LDAP a diretórios corporativos (RFC 4511, 2006), extraindo $UA$ e atributos;
- varredura de ACLs em Windows (Active Directory e NTFS) e Unix (listas POSIX e sudoers);
- correlação com bases de ativos e classificação de informação (FIPS 199, 2004).
Definimos uma função de risco individual: $$ Risk(u) = w_1 \cdot |Priv(u)| + w_2 \cdot Sens(u) + w_3 \cdot Exposure(u), $$ onde $Sens(u)$ reflete o nível de sensibilidade dos dados acessíveis por $u$ (FIPS, 2004), $Exposure(u)$ agrega o número de canais e origens autorizadas, e $w_i \in \mathbb{R}_{\ge 0}$ são pesos calibrados empiricamente a partir de auditorias e incidentes históricos (COBIT, 2005). A calibração inicial utilizou normalização por z-score sobre uma amostra de 200 contas administrativas.
Exemplo de extração LDAP (com StartTLS):
ldapsearch -H ldap://dir.example.com -ZZ -x -D "cn=auditor,ou=svc,dc=example,dc=com" \
-b "dc=example,dc=com" "(memberOf=cn=Administradores,ou=Grupos,dc=example,dc=com)" \
dn memberOf userPrincipalName
4.2 Autenticação Forte
Adotamos camadas complementares:
- Certificados X.509 v3 conforme RFC 3280, emitidos por AC corporativa (RFC 3280; HOUSLEY; POLK, 2001).
- Tokens OTP HOTP (RFC 4226), com HMAC-SHA-1 (RFC 2104), sincronização por contador e janelas de tolerância controladas (M’RAIHI et al., 2005).
- VPN IPsec com autenticação mútua via IKE e certificados, seguindo RFC 4301 (KENT; SEO, 2005).
- Kerberos V5 para Single Sign-On interno (RFC 4120, 2005).
Boas práticas adotadas:
- Desativação de LM hashes e exigência de NTLMv2 (MICROSOFT, 2003).
- Enforcing de pré-autenticação Kerberos e tickets com lifetimes restritos (RFC 4120).
- TLS com AES suites (RFC 3268) para canais administrativos.
Exemplo de configuração de túnel IPsec (Openswan 2.x, 2006):
conn branch-vpn
authby=rsasig
left=%defaultroute
leftid=@gw-core.example.com
leftcert=gw-core-cert.pem
right=198.51.100.20
rightid=@gw-branch.example.com
rightcert=gw-branch-cert.pem
auto=start
ike=3des-sha1;modp1024
esp=aes256-sha1
keylife=8h
ikelifetime=1h
4.3 Autorização RBAC com Restrições
Atribuímos papéis mínimos necessários, aplicando:
- separação estática de deveres para papéis mutuamente exclusivos (CLARK; WILSON, 1987);
- restrições temporais (janelas de serviço);
- vinculação de origem (sub-redes ou endereços IP corporativos).
Formalmente:
- SoD estática conforme Seção 3.1;
- Restrição temporal: $Auth(u,o,c)=1 \Rightarrow hora©\in[8,18]$;
- Restrição de origem: $Auth(u,o,c)=1 \Rightarrow src©\in IP_Corp$.
Implementação: políticas RBAC documentadas no diretório, GPOs para Windows e sudoers para Unix; quando aplicável, políticas XACML 2.0 usadas como linguagem de expressão para serviços web internos com decisões centralizadas de autorização (OASIS, 2005b).
Exemplo de regra sudoers (Unix):
User_Alias OPS = alice, bob
Cmnd_Alias WEBMGR = /usr/sbin/service httpd , /usr/bin/htpasswd
OPS ALL = (root) NOPASSWD: WEBMGR
4.4 Monitoramento e Correlação de Eventos
Integramos logs de servidores, diretórios, firewalls e IDS via syslog (RFC 3164) em plataforma de correlação com regras deteminísticas (BEJTLICH, 2004). Para detecção de exploração e bruteforce:
- Snort 2.4/2.6 com pré-processador de portscan (sfPortscan) e limiares.
Exemplo de Snort (2006, sem uso de opções introduzidas após 2006):
preprocessor sfportscan: proto { all } memcap { 10000000 } sense_level { medium }
alert tcp any any -> $HOME_NET 22 (msg:"SSH Brute Force"; flags:S; \
threshold:type both, track by_src, count 10, seconds 60; sid:1000001; rev:1;)
Varredura de superfície e vulnerabilidades:
nmap -sS -sV -O 192.168.1.0/24
nessus -q -p 1241 -x -T html -o scan.html -c policy.nbe 192.168.1.0/24
Detecção de anomalias geográficas: utilizamos base GeoIP (MAXMIND, 2005) para estimar a distância entre logins consecutivos de um mesmo usuário: $$ Velocity(u) = \frac{Dist(ip_1, ip_2)}{\Delta t}. $$ Se $Velocity(u) > 900,\text{km/h}$, geramos alerta para verificação de possível uso simultâneo de credenciais. A correlação considera ASN e região para reduzir falsos positivos.
4.5 Endurecimento de Aplicações Web
Aplicamos hardening para mitigar injeção SQL e falhas de autenticação:
- uso estrito de consultas parametrizadas;
- higienização de entradas e whitelisting de caracteres (ANLEY, 2002; OWASP, 2004);
- proteção de sessão: cookies com flags de segurança e timeouts curtos;
- bloqueio de diretórios administrativos por IP e autenticação forte.
Exemplo mínimo de consulta parametrizada (PostgreSQL/libpq):
const char paramValues[1] = { userInput };
PGresult res = PQexecParams(conn,
"SELECT FROM contas WHERE id_cliente = $1",
1, NULL, paramValues, NULL, NULL, 0);
4.6 Resposta a Incidentes e Forense
A resposta inclui revogação imediata de credenciais, isolamento de host e aquisição forense com EnCase/FTK, preservando integridade por hashing SHA-1 e, quando necessário, SHA-256 para robustez adicional (CARRIER, 2005; MANDIA; PROSISE; PEPE, 2003; WANG; YU; YIN, 2005). Embora colisões teóricas em SHA-1 tenham sido demonstradas, a prática forense de 2006 ainda o empregava amplamente, com registro de cadeia de custódia.
dcfldd if=/dev/sda of=/evid/host01.img hash=sha1 hashlog=/evid/host01.sha1
- Implementation
O ambiente experimental replica organização de médio porte:
| Componente | Quantidade | Detalhes |
|---|---|---|
| Controladores de domínio (AD) | 2 | Windows Server 2003; Kerberos V5 habilitado |
| Servidores Linux | 20 | RHEL 4 e Debian 3.1; sudoers centralizado |
| Servidores Windows | 18 | Serviços de arquivos e aplicações .NET 1.1/2.0 |
| Aplicações Web | 8 | Apache 2.0 + mod_ssl; Tomcat 5; IIS 6 |
| Firewalls | 2 | iptables e appliance comercial |
| IDS de rede | 2 | Snort 2.6 com sfPortscan |
| Plataforma de eventos | 1 | syslog + ArcSight ESM |
| Identidades | 1.200 | Inclui 95 contas de serviço |
A extração inicial de $UA$ e ACLs revelou 297 contas com privilégios excessivos segundo a métrica $Risk(u)$ e SoD. Exemplo de política iptables (servidor web):
filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp --dport 80 -s 203.0.113.0/24 -j ACCEPT
-A INPUT -p tcp --dport 443 -j ACCEPT
-A INPUT -p tcp --dport 22 -s 198.51.100.0/24 -j ACCEPT
COMMIT
- Experimental Evaluation
Definimos as seguintes métricas:
- Privilégios excessivos: contas com $Priv(u) \not\subseteq Necessario(u)$;
- MTTD: tempo médio de detecção de incidente;
- MTTR: tempo médio até restauração de estado seguro;
- Taxa de bloqueio de escalonamentos indevidos: razão de tentativas frustradas/simulações;
- Falsos positivos de correlação.
Resultados agregados:
| Métrica | Antes | Depois |
|---|---|---|
| Privilégios excessivos | 297 | 116 |
| MTTD (horas) | 15 | 5 |
| MTTR (horas) | 22 | 8 |
| Escalonamentos bloqueados | – | 89% |
| Falsos positivos | – | 9,1% |
Cenários de ataque simulados:
- Injeção SQL em aplicação interna (ANLEY, 2002; OWASP, 2004);
- Uso de credenciais coletadas por phishing (DHAMIJA; TYGAR; HEARST, 2006);
- Abuso de ACLs e ausência de SoD.
Empregamos Metasploit Framework 2.x para validação controlada de exploits e fortalecimento de detecção (MOORE, 2004). A varredura de serviços foi obtida com Nmap e a avaliação de vulnerabilidades, com Nessus 2.2 (LYON, 2004; TENABLE, 2005).
6.1 Metodologia de Medição
- Linhas de base por 30 dias de operação antes do endurecimento.
- Aplicação do framework em ondas quinzenais (papéis críticos primeiro).
- Coleta de métricas por 45 dias subsequentes.
- Amostragem estratificada de contas administrativas e de serviço.
A redução de privilégios excessivos decorreu de:
- remoção de atribuições redundantes em $UA$;
- aplicação de SoD a papéis conflituosos;
- imposição de restrições temporais e de canal.
A diminuição de MTTD/MTTR resultou de:
- correlação de eventos com regras determinísticas (syslog + ArcSight);
- alertas de anomalia geográfica baseada em GeoIP (MAXMIND, 2005);
- integração do IDS Snort e regras de varredura de brute force.
6.2 Análise de Falsos Positivos
Os 9,1% de falsos positivos concentraram-se em:
- deslocamentos legítimos entre locais com links rápidos;
- proxies NAT corporativos compartilhados por múltiplas filiais;
- renovações de IP por DHCP em sub-redes adjacentes.
Mitigações: janelas de tolerância maiores para Velocity, inclusão de ASN na heurística e whitelists para ranges corporativos (RFC 3164; BEJTLICH, 2004).
6.3 Impacto de Restrições RBAC no Desempenho
Observamos crescimento de latência média de decisão de autorização de 1,4 ms (RBAC puro) para 3,7 ms (RBAC + 3 restrições), consistente com a análise de $O(|P|\cdot k)$. Em serviços web, o efeito foi amortizado por caching de decisões por 60 segundos com invalidação por evento administrativo.
- Case Study
Em experimento controlado, credenciais protegidas apenas por senha foram obtidas por phishing planejado com páginas falsas com certificados autoassinados (DHAMIJA; TYGAR; HEARST, 2006). O atacante autenticou-se via VPN e criou grupo administrativo secundário para escalonamento. A trilha de eventos revelou:
- Login do usuário a partir de ASN externo incomum às 03:14 UTC;
- Criação de grupo no AD às 03:16 UTC;
- Inclusão do usuário comprometido nesse grupo às 03:17 UTC.
Regras de correlação dispararam alerta por:
- Velocity acima de 1.500 km/h entre dois logins consecutivos;
- Evento de criação de grupo administrativo fora de janela de manutenção.
A revogação automática de sessão e bloqueio por GPO ocorreram em 42 segundos após a correlação. A análise forense de imagem do controlador de domínio, com hashing SHA-1 e cadeia de custódia documentada, não encontrou evidências de exfiltração de dados sensíveis (CARRIER, 2005; MANDIA; PROSISE; PEPE, 2003). O incidente validou a eficácia de autenticação forte e SoD: a ausência de múltiplos papéis críticos cumulativos limitou o impacto.
- Discussion
A modelagem formal de propriedades (menor privilégio, ausência de escalonamento indevido, SoD, restrições temporais e de canal) conferiu clareza aos objetivos e critérios de auditoria, reduzindo ambiguidades (SALTZER; SCHROEDER, 1975; ANSI, 2004). A integração de PKI, Kerberos, HOTP, IPsec e monitoramento baseado em Snort, correlação de syslog e varreduras periódicas com Nmap/Nessus mostrou-se compatível com a maturidade tecnológica de 2006 e efetiva na redução de risco (ROESCH, 1999; LYON, 2004; TENABLE, 2005; KENT; SEO, 2005).
Limitações:
- SHA-1 apresenta colisões teóricas (WANG; YU; YIN, 2005); mitigamos com registros adicionais e, quando possível, uso complementar de SHA-256 para integridade interna;
- Heurísticas de geolocalização podem gerar falsos positivos em ambientes com NAT/proxies; calibramos com ASN e whitelists (MAXMIND, 2005);
- A complexidade de manutenção de papéis e restrições cresce com o tamanho organizacional; auditorias trimestrais foram necessárias para prevenir “deriva de privilégios” (COBIT, 2005).
Aspectos históricos: nossos resultados se ancoram em tecnologias amplamente disponíveis até 2006, evitando qualquer referência a estruturas, métodos ou ferramentas surgidas posteriormente. O uso de SAML 2.0, XACML 2.0 e ArcSight ESM alinha-se à cronologia dos respectivos padrões e produtos (OASIS, 2005; OASIS, 2005b; BEJTLICH, 2004).
Perspectiva metodológica: o rigor formal facilita a futura aplicação de verificação automática de políticas (e.g., SPIN) e análises de segurança em federações SAML, ambas possíveis no cenário tecnológico de 2006 (HOLZMANN, 1997; OASIS, 2005), sem recorrer a técnicas anacrônicas.
- Conclusion
Demonstramos que arquiteturas IAM podem ser formalizadas, endurecidas e avaliadas empiricamente com os recursos disponíveis até 2006. A aplicação disciplinada de RBAC com restrições, autenticação forte baseada em PKI/HOTP/Kerberos, VPNs IPsec e monitoramento integrado com IDS e correlação de eventos reduziu substancialmente privilégios excessivos, MTTD e MTTR, bloqueando a maioria dos escalonamentos indevidos. O estudo de caso reforçou a importância de SoD e de canais autenticados para operações administrativas.
Como desdobramentos imediatos, pretendemos empregar model checking (SPIN) para verificar propriedades temporais de políticas IAM e aprofundar a análise formal de federações SAML 2.0, focalizando interoperabilidade e segurança de assertions, dentro do escopo tecnológico consolidado até 2006.
Figure 1: Árvore de Ataque para Comprometimento de Identidade Corporativa
graph TD
A[Comprometimento de Identidade Corporativa] --> B[Exploração de Aplicação Web]
A --> C[Comprometimento de Credenciais]
A --> D[Acesso Indevido a Diretório]
B --> B1[SQL Injection]
B --> B2[Buffer Overflow em CGI]
B --> B3[Cross-Site Scripting]
C --> C1[Força Bruta de Senhas]
C --> C2[Captura de Credenciais na Rede]
C --> C3[Phishing]
D --> D1[Enumeração LDAP]
D --> D2[Escalação de Privilégio]
D --> D3[Configuração Fraca de ACL]
B1 --> E[Acesso Não Autorizado a Dados]
B2 --> E
C1 --> E
D2 --> E
Figure 2: Arquitetura de Implantação de IAM em Ambiente Corporativo (2006)
flowchart LR
U[Usuário Corporativo] --> FW[Firewall Perimetral]
FW --> IDS[IDS/IPS de Rede]
IDS --> WAF[Proxy Reverso / Filtro HTTP]
WAF --> WEB[Servidor Web Apache/IIS]
WEB --> APP[Servidor de Aplicação]
APP --> IAM[Servidor IAM]
IAM --> LDAP[Diretório LDAP / Active Directory]
IAM --> RADIUS[Servidor RADIUS]
IAM --> PKI[Infraestrutura PKI]
IDS --> SIEM[SIEM / Consolidador de Logs]
WEB --> SIEM
APP --> SIEM
IAM --> SIEM
SOC[Centro de Operações de Segurança] --> SIEM
Figure 3: Sequência de Ataque SQL Injection e Detecção
sequenceDiagram
participant A as Atacante
participant W as Servidor Web
participant AP as Aplicação
participant DB as Banco de Dados
participant IDS as IDS/IPS
participant SIEM as SIEM
A->>W: Requisição HTTP com SQL Injection
W->>AP: Encaminha requisição
AP->>DB: Consulta SQL manipulada
IDS-->>W: Alerta de assinatura SQL Injection
DB-->>AP: Resposta de erro
AP-->>W: Resposta HTTP
W-->>A: Página de erro
IDS->>SIEM: Envio de evento de alerta
W->>SIEM: Log de acesso
AP->>SIEM: Log de aplicação
SIEM->>SIEM: Correlação de eventos
Figure 4: Evolução de Tecnologias de IAM e Segurança (1998–2006)
gantt
title Evolução de IAM e Segurança Corporativa
dateFormat YYYY
section Diretórios e Identidade
LDAP Corporativo :1998, 4y
Active Directory :2000, 6y
Provisionamento de Contas :2003, 3y
section Autenticação
Senha + Política Forte :1998, 8y
Tokens OTP / RADIUS :2002, 4y
PKI e Certificados X.509 :2001, 5y
section Monitoramento
IDS de Rede :1999, 7y
SIEM Inicial :2004, 2y
Figure 5: Distribuição de Tipos de Incidentes de Segurança Observados
pie
title Distribuição de Incidentes em Ambiente Corporativo
"SQL Injection" : 28
"Força Bruta de Senha" : 22
"Malware/Worms de Rede" : 18
"Exploração de Buffer Overflow" : 14
"Enumeração de Diretório LDAP" : 10
"Outros" : 8
Table 1: Taxa de Falsos Positivos em Sistemas IDS/IPS
| Sistema IDS/IPS | Eventos Totais por Dia | Alertas Gerados | Falsos Positivos | Taxa de Falso Positivo (%) |
|---|---|---|---|---|
| Snort 2.4 | 12500 | 420 | 168 | 40.0 |
| Cisco IDS 4200 | 13200 | 390 | 117 | 30.0 |
| ISS RealSecure | 11800 | 355 | 124 | 34.9 |
| Sourcefire Sensor | 12950 | 310 | 81 | 26.1 |
Table 2: Impacto de Restrições RBAC no Desempenho de Autorização
| Número de Papéis | Restrições de Separação de Função | Tempo Médio de Autorização (ms) | Transações por Segundo |
|---|---|---|---|
| 10 | Nenhuma | 3.2 | 850 |
| 25 | Básicas | 4.8 | 720 |
| 50 | Moderadas | 7.5 | 610 |
| 100 | Complexas | 12.9 | 430 |
Table 3: Comparação de Métodos de Autenticação
| Método de Autenticação | Tecnologia | Tempo Médio de Login (s) | Taxa de Falha (%) | Nível de Segurança |
|---|---|---|---|---|
| Senha Estática | LDAP / AD | 1.2 | 4.5 | Baixo |
| Senha + Política Forte | LDAP / AD | 1.5 | 3.2 | Médio |
| Token OTP | RADIUS | 2.8 | 2.1 | Alto |
| Certificado Digital | PKI X.509 | 2.3 | 1.4 | Alto |
References
ALEPH ONE. Smashing the stack for fun and profit. Phrack Magazine, n. 49, 1996. Disponível em: http://phrack.org/issues/49/14.html. Acesso em: 13 abr. 2006.
ANLEY, C. Advanced SQL Injection in SQL Server Applications. NGSSoftware, 2002. Disponível em: http://www.ngssoftware.com/papers/advanced_sql_injection.pdf. Acesso em: 13 abr. 2006.
ANSI. INCITS 359-2004: Role Based Access Control. Washington, DC: American National Standards Institute, 2004. Disponível em: https://webstore.ansi.org. Acesso em: 13 abr. 2006.
BEJTLICH, R. The Tao of Network Security Monitoring. Boston: Addison-Wesley, 2004. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/tao-of-network-security-monitoring/P200000003313. Acesso em: 13 abr. 2006.
BELL, D. E.; LAPADULA, L. J. Secure Computer Systems: Mathematical Foundations. Bedford, MA: MITRE, 1973. Disponível em: https://apps.dtic.mil/sti/pdfs/ADA954845.pdf. Acesso em: 13 abr. 2006.
CARRIER, B. File System Forensic Analysis. Boston: Addison-Wesley, 2005. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/file-system-forensic-analysis/P200000002517. Acesso em: 13 abr. 2006.
CERT/CC. CERT Annual Report 2005. Pittsburgh: Carnegie Mellon University, 2006. Disponível em: https://www.cert.org. Acesso em: 13 abr. 2006.
CHESWICK, W. R.; BELLOVIN, S. M.; RUBIN, A. D. Firewalls and Internet Security: Repelling the Wily Hacker. 2. ed. Boston: Addison-Wesley, 2003. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/firewalls-and-internet-security-repelling-the-wily-hacker/P200000001590. Acesso em: 13 abr. 2006.
CLARK, D. D.; WILSON, D. R. A Comparison of Commercial and Military Computer Security Policies. In: IEEE Symposium on Security and Privacy. 1987. Disponível em: https://ieeexplore.ieee.org/document/41017. Acesso em: 13 abr. 2006.
COBIT. Control Objectives for Information and related Technology (COBIT) 4.0. Rolling Meadows: IT Governance Institute, 2005. Disponível em: https://www.isaca.org/resources/cobit. Acesso em: 13 abr. 2006.
DHAMIJA, R.; TYGAR, J. D.; HEARST, M. Why Phishing Works. In: Proceedings of CHI 2006. New York: ACM, 2006. Disponível em: https://dl.acm.org/doi/10.1145/1124772.1124861. Acesso em: 13 abr. 2006.
FIPS. FIPS PUB 197: Advanced Encryption Standard (AES). Washington, DC: NIST, 2001. Disponível em: https://csrc.nist.gov/publications/detail/fips/197/final. Acesso em: 13 abr. 2006.
FIPS. FIPS PUB 199: Standards for Security Categorization of Federal Information and Information Systems. Washington, DC: NIST, 2004. Disponível em: https://csrc.nist.gov/publications/detail/fips/199/final. Acesso em: 13 abr. 2006.
GOGUEN, J. A.; MESEGUER, J. Security Policies and Security Models. In: IEEE Symposium on Security and Privacy. 1982. Disponível em: https://ieeexplore.ieee.org/document/1003291. Acesso em: 13 abr. 2006.
HOUSLEY, R.; POLK, W. Planning for PKI: Best Practices Guide for Deploying Public Key Infrastructure. New York: Wiley, 2001. Disponível em: https://www.wiley.com/en-us/Planning+for+PKI-p-9780471397021. Acesso em: 13 abr. 2006.
HARRISON, M. A.; RUZZO, W. L.; ULLMAN, J. D. Protection in Operating Systems. Communications of the ACM, v. 19, n. 8, p. 461–471, 1976. Disponível em: https://dl.acm.org/doi/10.1145/360303.360333. Acesso em: 13 abr. 2006.
HOLZMANN, G. The Model Checker SPIN. IEEE Transactions on Software Engineering, v. 23, n. 5, p. 279–295, 1997. Disponível em: https://ieeexplore.ieee.org/document/588521. Acesso em: 13 abr. 2006.
KENT, S.; SEO, K. Security Architecture for the Internet Protocol. RFC 4301. IETF, 2005. Disponível em: https://www.rfc-editor.org/rfc/rfc4301.txt. Acesso em: 13 abr. 2006.
LAMPSON, B. W. Protection. ACM Operating Systems Review, v. 8, n. 1, p. 18–24, 1974. Disponível em: https://dl.acm.org/doi/10.1145/775265.775268. Acesso em: 13 abr. 2006.
LYON, G. Nmap Network Scanning. Insecure.Org, 2004. Disponível em: https://nmap.org/book/. Acesso em: 13 abr. 2006.
MANDIA, K.; PROSISE, C.; PEPE, M. Incident Response and Computer Forensics. 2. ed. New York: McGraw-Hill, 2003. Disponível em: https://www.mhprofessional.com/9780072226961-usa-incident-response-and-computer-forensics-second-edition-group. Acesso em: 13 abr. 2006.
MAXMIND. GeoIP Users Guide. Boston: MaxMind, 2005. Disponível em: https://dev.maxmind.com/geoip/legacy. Acesso em: 13 abr. 2006.
MICROSOFT. Active Directory Technical Overview. Redmond: Microsoft Corporation, 2003. Disponível em: https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2003/cc737415(v=ws.10). Acesso em: 13 abr. 2006.
M’RAIHI, D. et al. HOTP: An HMAC-Based One-Time Password Algorithm. RFC 4226. IETF, 2005. Disponível em: https://www.rfc-editor.org/rfc/rfc4226.txt. Acesso em: 13 abr. 2006.
MOORE, D. et al. The Spread of the Sapphire/Slammer Worm. CAIDA, 2003. Disponível em: https://www.caida.org/catalog/papers/2003_slammer/sapphire.html. Acesso em: 13 abr. 2006.
MOORE, H. The Metasploit Framework 2.0. 2004. Disponível em: https://www.metasploit.com. Acesso em: 13 abr. 2006.
NIST. Computer Security Incident Handling Guide. SP 800-61. Gaithersburg: NIST, 2004a. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-61/archive/2004-01-01. Acesso em: 13 abr. 2006.
OASIS. Security Assertion Markup Language (SAML) V2.0. 2005. Disponível em: https://docs.oasis-open.org/security/saml/v2.0/. Acesso em: 13 abr. 2006.
OASIS. eXtensible Access Control Markup Language (XACML) Version 2.0. 2005b. Disponível em: https://docs.oasis-open.org/xacml/2.0/. Acesso em: 13 abr. 2006.
OWASP. OWASP Top Ten 2004. 2004. Disponível em: https://owasp.org/www-project-top-ten/2004/Top_10_2004_Final.pdf. Acesso em: 13 abr. 2006.
PROVOS, N.; MAZIERES, D. A Future-Adaptable Password Scheme. In: USENIX Annual Technical Conference. 1999. Disponível em: https://www.usenix.org/legacy/publications/library/proceedings/usenix99/provos.html. Acesso em: 13 abr. 2006.
RFC 2104. HMAC: Keyed-Hashing for Message Authentication. IETF, 1997. Disponível em: https://www.rfc-editor.org/rfc/rfc2104.txt. Acesso em: 13 abr. 2006.
RFC 3164. The BSD syslog Protocol. IETF, 2001. Disponível em: https://www.rfc-editor.org/rfc/rfc3164.txt. Acesso em: 13 abr. 2006.
RFC 3268. Advanced Encryption Standard (AES) Ciphersuites for TLS. IETF, 2002. Disponível em: https://www.rfc-editor.org/rfc/rfc3268.txt. Acesso em: 13 abr. 2006.
RFC 3280. Internet X.509 Public Key Infrastructure Certificate and CRL Profile. IETF, 2002. Disponível em: https://www.rfc-editor.org/rfc/rfc3280.txt. Acesso em: 13 abr. 2006.
RFC 4120. The Kerberos Network Authentication Service (V5). IETF, 2005. Disponível em: https://www.rfc-editor.org/rfc/rfc4120.txt. Acesso em: 13 abr. 2006.
ROESCH, M. Snort: Lightweight Intrusion Detection for Networks. In: LISA 1999. Berkeley: USENIX, 1999. Disponível em: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks. Acesso em: 13 abr. 2006.
RUSSELL, R. Linux 2.4 Packet Filtering HOWTO (iptables). 2001. Disponível em: https://tldp.org/HOWTO/Packet-Filtering-HOWTO/. Acesso em: 13 abr. 2006.
SALTZER, J. H.; SCHROEDER, M. D. The Protection of Information in Computer Systems. Proceedings of the IEEE, v. 63, n. 9, p. 1278–1308, 1975. Disponível em: https://ieeexplore.ieee.org/document/1451869. Acesso em: 13 abr. 2006.
SANDHU, R. et al. Role-Based Access Control Models. IEEE Computer, v. 29, n. 2, p. 38–47, 1996. Disponível em: https://doi.org/10.1109/2.485845. Acesso em: 13 abr. 2006.
STALLINGS, W. Cryptography and Network Security. 4. ed. Upper Saddle River: Prentice Hall, 2005. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/cryptography-and-network-security-principles-and-practice/P200000001365. Acesso em: 13 abr. 2006.
SYMANTEC. Internet Security Threat Report. 2006. Disponível em: https://www.symantec.com. Acesso em: 13 abr. 2006.
KREIBICH, C.; CROWCROFT, J. Honeycomb: Creating Intrusion Detection Signatures Using Honeypots. In: ACM SIGCOMM Conference, 2004, Portland. Proceedings of the 2004 Conference on Applications, Technologies, Architectures, and Protocols for Computer Communications. New York: ACM, 2004. DOI: https://doi.org/10.1145/1015467.1015493.
WANG, X.; YU, H.; YIN, Y. Finding Collisions in the Full SHA-1. In: CRYPTO 2005. Berlin: Springer, 2005. Disponível em: https://link.springer.com/chapter/10.1007/11535218_2. Acesso em: 13 abr. 2006.