Arquiteturas e Métodos para Detecção de Intrusões em Sistemas UNIX Conectados por Redes TCP/IP: Modelagem Estatística, Auditoria de Eventos e Correlação Temporal (1988)

1. Introduction

A década de 1980 testemunhou a consolidação de redes de longa distância baseadas no conjunto de protocolos TCP/IP, padronizados por Postel (1981; 1982), e sua adoção crescente em universidades, centros de pesquisa e organizações governamentais. Sistemas UNIX, especialmente variantes BSD e System V, tornaram-se a plataforma predominante para servidores de correio eletrônico, compartilhamento de arquivos via NFS e execução remota por meio de rsh e telnet. Essa interconectividade, embora catalisadora de colaboração científica, ampliou substancialmente o risco de acesso não autorizado.

O modelo tradicional de segurança, fundamentado em controle de acesso discricionário, autenticação por senha e isolamento físico, mostrou-se insuficiente diante de ameaças remotas explorando erros de configuração, vulnerabilidades de implementação e confiança excessiva entre domínios administrativos. O incidente amplamente divulgado do worm de 1988, que explorou falhas no sendmail e no serviço finger, demonstrou a capacidade de um agente automatizado propagar-se exponencialmente em redes TCP/IP.

Em 1980, Anderson propôs diretrizes para monitoramento e auditoria em ambientes governamentais, enfatizando a importância da análise de trilhas de auditoria para identificação de abuso interno. Posteriormente, Denning (1987) formalizou um modelo estatístico de detecção de intrusão baseado em perfis comportamentais. Contudo, a implementação prática desses conceitos em ambientes operacionais interconectados ainda carece de sistematização técnica adaptada às limitações computacionais vigentes.

Este artigo aborda a detecção como problema central de segurança operacional, distinto mas complementar aos mecanismos preventivos. Nosso objetivo é apresentar uma arquitetura integrada de detecção adequada a sistemas UNIX conectados por TCP/IP, combinando auditoria local, monitoramento de rede e modelagem estatística leve. O enfoque é eminentemente prático, considerando restrições de memória, capacidade de processamento e armazenamento típicas de 1988.

Argumentamos que a detecção eficaz requer três pilares: (1) coleta confiável de eventos relevantes; (2) modelagem formal do comportamento normal; (3) mecanismos de correlação e alerta em tempo quase real. Ao longo do texto, descrevemos como esses pilares podem ser implementados com ferramentas e técnicas disponíveis atualmente, oferecendo subsídios técnicos para implantação imediata em ambientes acadêmicos e corporativos.

2. Background and Related Work

A literatura sobre segurança computacional anterior a 1988 concentra-se majoritariamente em modelos de controle de acesso e avaliação formal de sistemas confiáveis. O critério TCSEC, publicado pelo Department of Defense (DOD, 1985), estabelece requisitos para auditoria e accountability em sistemas classificados, definindo que eventos relevantes devem ser registrados e analisáveis.

Anderson (1980) foi pioneiro ao destacar que trilhas de auditoria são úteis apenas se acompanhadas de análise sistemática capaz de identificar padrões suspeitos. Ele propôs a categorização de ameaças em intrusões externas e abuso interno, recomendando monitoramento contínuo.

Denning (1987) avançou ao propor um modelo estatístico de detecção baseado em perfis. Seu trabalho define um conjunto de métricas $M = {m_1, m_2, …, m_n}$ associadas a cada usuário ou processo, com limiares adaptativos. Um desvio significativo indica possível intrusão. A decisão pode ser formalizada como:

$$ H_0: X \sim \mathcal{N}(\mu, \sigma^2) \quad \text{vs.} \quad H_1: X \not\sim \mathcal{N}(\mu, \sigma^2) $$

onde $X$ representa a métrica observada.

No contexto de redes, as RFCs 791 (IP), 792 (ICMP) e 793 (TCP) (POSTEL, 1981; 1981a; 1981b) definem os protocolos fundamentais cuja análise pode revelar padrões anômalos, como excesso de conexões SYN ou fluxos ICMP incomuns.

Trabalhos de Bishop (1987) exploram a possibilidade de sistemas de detecção baseados em regras, enquanto pesquisas sobre análise de tráfego em redes locais Ethernet (METCALFE; BOGGS, 1976) indicam a viabilidade de captura de pacotes para monitoramento.

Ferramentas de auditoria disponíveis em UNIX incluem acct, syslog (BERKLEY UNIX), e mecanismos de logging de sendmail. Esses componentes fornecem dados brutos essenciais para qualquer sistema de detecção.

A Tabela 1 resume contribuições relevantes até 1988.

Autor	Ano	Contribuição Principal	Relevância para Detecção
Anderson	1980	Monitoramento e auditoria	Base conceitual
Denning	1987	Modelo estatístico	Formalização matemática
DoD (TCSEC)	1985	Requisitos de auditoria	Normativo
Postel	1981-82	TCP/IP	Base para análise de rede
Bishop	1987	Regras de detecção	Assinaturas simples

3. Threat Model and Problem Formalization

Consideramos um ambiente composto por múltiplos sistemas UNIX interconectados via TCP/IP, com usuários locais autenticados por senha e serviços expostos como telnet, ftp, smtp e finger.

3.1 Atores

1. Intruso externo remoto: tenta explorar serviços expostos.
2. Usuário interno malicioso: abusa de privilégios.
3. Processo automatizado (worm): propaga-se explorando vulnerabilidades.

3.2 Superfície de Ataque

• Serviços TCP escutando em portas conhecidas.
• Confiança entre hosts via .rhosts.
• Senhas fracas.
• Vulnerabilidades em serviços como sendmail.

Formalizamos o problema como detecção de sequência de eventos $E = {e_1, e_2, …, e_t}$ onde cada evento pertence ao espaço $\Omega$ de logs e pacotes. Desejamos classificar a sequência como normal ou intrusiva.

Definimos uma função de decisão:

$$ D(E) = \begin{cases} 1 & \text{se } P(E|H_1) > \theta \ 0 & \text{caso contrário} \end{cases} $$

onde $\theta$ é um limiar ajustado empiricamente.

4. Proposed Methodology

Nossa metodologia combina três camadas:

1. Auditoria de Sistema
2. Monitoramento de Rede
3. Correlação Estatística

4.1 Auditoria de Sistema

Utilizamos acct para registrar comandos executados e syslog para eventos do kernel e serviços. Métricas coletadas incluem:

• Número de logins por usuário
• Duração média de sessão
• Frequência de comandos privilegiados

4.2 Monitoramento de Rede

Captura de pacotes em gateway utilizando interface Ethernet em modo promíscuo. Analisamos:

• Taxa de conexões TCP por unidade de tempo
• Distribuição de portas destino
• Padrões ICMP

4.3 Correlação Temporal

Eventos são agregados em janelas $\Delta t = 5$ minutos. Calculamos média móvel:

$$ \mu_t = \alpha x_t + (1-\alpha)\mu_{t-1} $$

com $0 < \alpha < 1$.

4.4 Limiar Adaptativo

Para cada métrica:

$$ \theta = \mu + k\sigma $$

onde $k$ é escolhido empiricamente (tipicamente $k=3$).

5. Implementation

Implementação em BSD UNIX 4.3 em VAX-11/780.

5.1 Configuração do syslog

/etc/syslog.conf
auth.notice    /var/log/authlog
daemon.info    /var/log/daemonlog
.err          /var/log/errorlog

Reinicialização:

kill -HUP `cat /var/run/syslog.pid`

5.2 Ativação do accounting

/etc/rc.local:
if [ -x /usr/lib/acct/startup ]; then
    /usr/lib/acct/startup
fi

5.3 Captura de Pacotes (Exemplo em C simplificado)

int s = socket(AF_INET, SOCK_RAW, IPPROTO_TCP);
ioctl(s, SIOCGIFFLAGS, &ifr);
ifr.ifr_flags |= IFF_PROMISC;
ioctl(s, SIOCSIFFLAGS, &ifr);

Logs são processados por programa em C que calcula médias e desvios padrão incrementalmente.

6. Experimental Evaluation

Ambiente com 10 estações Sun-3 e 1 VAX-11/780 como gateway.

6.1 Cenários

1. Uso normal (7 dias)
2. Ataque de força bruta via telnet
3. Exploração de confiança .rhosts
4. Simulação de propagação tipo worm

6.2 Resultados

Cenário	Taxa de Detecção	Falsos Positivos	Overhead CPU
Força bruta	92%	4%	6%
.rhosts	88%	5%	5%
Worm simulado	95%	7%	8%
Uso normal	—	3%	4%

6.3 Comparação de Métodos

Método	Sensibilidade	Especificidade	Custo Computacional
Limiar Fixo	Média	Alta	Baixo
Estatístico	Alta	Média	Médio
Regras	Média	Alta	Baixo

6.4 Métricas de Rede

Métrica	Normal (média/hora)	Ataque	Desvio (%)
Conexões TCP	120	480	+300%
ICMP	30	95	+216%
Logins falhos	5	140	+2700%

Os resultados indicam eficácia superior da abordagem híbrida.

7. Case Study

Em novembro de 1988, durante testes internos, detectamos aumento abrupto na taxa de conexões TCP destinadas à porta 25 (SMTP). A métrica excedeu $\theta = \mu + 3\sigma$ após 4 minutos.

Análise correlacionada mostrou múltiplos processos sendmail iniciados, consumo elevado de CPU e tentativas subsequentes de conexão a outros hosts. O sistema gerou alerta automático, permitindo isolamento manual do host afetado.

A resposta rápida limitou a propagação a dois sistemas internos. Logs confirmaram exploração de vulnerabilidade conhecida no modo debug do sendmail. O evento validou empiricamente a utilidade da correlação entre métricas de rede e sistema.

8. Discussion

A principal limitação observada reside na dependência de perfis históricos estáveis. Mudanças legítimas no padrão de uso podem gerar falsos positivos. Ajuste dinâmico de $k$ e $\alpha$ mitiga parcialmente esse problema.

Outra limitação é a ausência de correlação distribuída automática entre múltiplos domínios administrativos. A troca manual de logs permanece necessária.

O custo computacional, embora não desprezível, mostrou-se aceitável em hardware atual. Estratégias de amostragem podem reduzir overhead adicionalmente.

9. Conclusion and Future Work

Demonstramos que a detecção de intrusões em 1988 é viável mediante combinação de auditoria UNIX, monitoramento TCP/IP e modelagem estatística leve. A abordagem híbrida supera métodos isolados, mantendo custo computacional administrável.

Trabalhos futuros devem explorar padronização de formatos de log, mecanismos automáticos de compartilhamento interinstitucional e resposta automatizada controlada. A consolidação de redes interconectadas torna imperativa a adoção de monitoramento contínuo como componente central da segurança operacional.

10. References

ANDERSON, J. P. Computer Security Threat Monitoring and Surveillance. Fort Washington: James P. Anderson Co., 1980. Disponível em: https://csrc.nist.gov/publications/detail/other/1980/04/15/computer-security-threat-monitoring-and-surveillance/final

BISHOP, M. Security Problems with the UNIX Operating System. 1987.

DENNING, D. E. An Intrusion-Detection Model. IEEE Transactions on Software Engineering, 1987. Disponível em: https://ieeexplore.ieee.org/document/1702202

DEPARTMENT OF DEFENSE. Trusted Computer System Evaluation Criteria (TCSEC). 1985. Disponível em: https://csrc.nist.gov/publications/detail/rainbow-series/5200-28-std/final

POSTEL, J. RFC 791: Internet Protocol. 1981. Disponível em: https://www.rfc-editor.org/rfc/rfc791

POSTEL, J. RFC 792: ICMP. 1981. Disponível em: https://www.rfc-editor.org/rfc/rfc792

POSTEL, J. RFC 793: TCP. 1981. Disponível em: https://www.rfc-editor.org/rfc/rfc793

METCALFE, R.; BOGGS, D. Ethernet: Distributed Packet Switching. Communications of the ACM, 1976. Disponível em: https://dl.acm.org/doi/10.1145/360248.360253

RITCHIE, D.; THOMPSON, K. The UNIX Time-Sharing System. CACM, 1974. Disponível em: https://dl.acm.org/doi/10.1145/361011.361061

MORRIS, R.; THOMPSON, K. Password Security: A Case History. CACM, 1979. Disponível em: https://dl.acm.org/doi/10.1145/359168.359172

(Additional references omitted for brevity in this format.)