Arquiteturas e Operações de Segurança em Redes Corporativas (2007): Modelagem de Ameaças, Hardening de Servidores e Resposta a Incidentes com Firewalls, IDS/IPS e SIEM

1. Introduction

Em 2007, a segurança de redes corporativas é predominantemente organizada em torno de perímetros bem definidos, com firewalls de borda, listas de controle em roteadores, proxies e redes desmilitarizadas (DMZ) mediando o acesso entre a Internet e redes internas. O aumento da conectividade, a ampla adoção de serviços web e de e-mail e a coexistência de plataformas Windows 2000/XP/Server 2003, Linux 2.4/2.6 e FreeBSD compõem um cenário de risco considerável, agravado pela persistência de vulnerabilidades exploráveis remotamente (por exemplo, transbordamento de buffer em serviços RPC/DCOM e LSASS) e por ataques a aplicações web como injeção de SQL e XSS, destacados no OWASP Top 10 (OWASP, 2007). Episódios como Code Red, Nimda, Slammer, Blaster e Sasser demonstraram a velocidade e o impacto de propagação de worms, explorando falhas conhecidas e configurações frágeis (MOORE et al., 2003; CERT/CC, 2001; MICROSOFT, 2003; MICROSOFT, 2004).

A defesa efetiva exige a combinação de endurecimento de sistemas, segmentação de rede, políticas de autenticação e autorização robustas, monitoramento e correlação de eventos, e detecção por IDS/IPS com ajuste fino para reduzir falsos positivos e lidar com evasões conhecidas (PTACEK; NEWSHAM, 1998; AXELSSON, 2000). Além disso, processos disciplinados de resposta a incidentes e coleta forense são cruciais para contenção, erradicação e aprendizado organizacional (NIST, 2004; CASEY, 2004). Embora a criptografia deva ser corretamente empregada (TLS, SSH, IPsec) e a gestão de chaves devidamente regulamentada por uma PKI funcional (RFC 2459), a realidade operacional indica que falhas de configuração, software desatualizado e validação de entrada insuficiente são, em 2007, os vetores dominantes de violação (STALLINGS, 2006; HOWARD; LEBLANC, 2002; ANLEY, 2002).

Nesta contribuição, propomos e validamos uma arquitetura e um conjunto de procedimentos sustentados por modelagem formal de risco, práticas consolidadas de hardening, detecção com Snort e Bro, correlação com SIEMs da época e resposta a incidentes baseada em normas do NIST. Integramos ainda ferramentas de avaliação de vulnerabilidades e exploração controlada (Nmap, Nessus, Metasploit) para fechar o ciclo entre descoberta, correção e verificação. Nosso objetivo é oferecer clareza conceitual e prescritiva, bem como resultados quantitativos que permitam a replicação em ambientes corporativos típicos do período.

2. Background and Related Work

Fundamentamos nossa abordagem nas diretrizes do NIST para incidentes (SP 800-61) e para firewalls (SP 800-41), nas práticas de gestão de risco (SP 800-30) e em recomendações de configuração segura amplamente aceitas (CIS Benchmarks, ISO/IEC 17799:2005) (NIST, 2002; NIST, 2004; ISO/IEC, 2005; CIS, 2006). No tocante a perímetros, a literatura clássica em firewalls analisa arquitetura, filtragem, proxies e armadilhas comuns (CHESWICK; BELLOVIN; RUBIN, 2003). Para criptografia e protocolos de proteção em trânsito, referimo-nos ao FIPS-197 (AES), ao TLS 1.0 (RFC 2246) e ao IPsec (RFC 2401) (NIST, 2001; Dierks; Allen, 1999; KENT; ATKINSON, 1998).

No domínio de detecção, Snort (ROESCH, 1999) tornou-se a solução de código aberto predominante para a detecção baseada em assinaturas, enquanto o Bro (atualmente conhecido como Zeek, mas denominado Bro à época) destaca-se por uma abordagem baseada em políticas e análises de nível de aplicação (PAXSON, 1999). Os desafios de evasão e inserção de tráfego para confundir IDSs foram sistematizados por Ptacek e Newsham (1998), e as dificuldades inerentes ao problema da detecção, em particular a falácia da taxa-base, foram discutidas por Axelsson (2000). O problema de alarmes excessivos e de análise de causa raiz motivou trabalhos de redução e agrupamento de alertas (JULISCH, 2003).

Para exploração controlada e testes de penetração, o Metasploit Framework consolidou uma base modular, complementada por varreduras com Nmap e avaliações de vulnerabilidades com Nessus (MOORE, 2004; FYODOR, 1997; DERAISON, 2000). No campo de aplicações web, as vulnerabilidades dominantes e técnicas de exploração/defesa foram amplamente divulgadas por OWASP (2007) e por análises técnicas de injeção de SQL (ANLEY, 2002) e validação de entrada (HOWARD; LEBLANC, 2002; STUTTARD; PINTO, 2007). A resposta a incidentes e a forense digital receberam tratamentos abrangentes em monografias de referência (CASEY, 2004; KRUSE; HEISER, 2001; CARRIER, 2005).

Este corpo de conhecimento, consolidado até 2007, fundamenta a integração que propomos entre modelagem de ameaças, endurecimento prescritivo, detecção e resposta operacional.

3. Threat Model and Problem Formalization

Modelamos a rede corporativa como um quíntuplo: $$ \mathcal{N} = { H, S, D, \Sigma, P } $$ onde:

• $H$ é o conjunto de hosts, particionado em zonas: $H = H_{\mathrm{DMZ}} \cup H_{\mathrm{int}} \cup H_{\mathrm{seg}}$, com DMZ, rede interna corporativa e segmentos de alta segurança;
• $S$ é o conjunto de serviços expostos (por exemplo, HTTP, SMTP, SSH, RDP, SMB, DNS), com uma função $E: S \to { \mathrm{borda}, \mathrm{interna} }$ indicando a exposição;
• $D$ representa os ativos de dados, classificados por confidencialidade, integridade e disponibilidade com $C(I)$, $I(I)$, $A(I)$ para $I \in D$ conforme política interna (ISO/IEC, 2005);
• $\Sigma$ é o conjunto de fluxos de rede permitidos por políticas;
• $P$ é o conjunto de políticas e controles (ACLs, regras de firewall, regras de IDS, políticas de senha).

Adotamos uma função de risco agregado: $$ R = \sum_{i=1}^{n} p_i \cdot I_i $$ onde para cada cenário $i$, $p_i$ é a probabilidade de exploração bem-sucedida em um horizonte de tempo e $I_i$ o impacto monetizado ou ordinal (NIST, 2002). Para avaliação relativa, empregamos a decomposição $p_i = v_i \cdot e_i$, em que $v_i$ captura a probabilidade de exploração da vulnerabilidade (severidade técnica e disponibilidade de exploit) e $e_i$ a exposição resultante da topologia, serviços e autenticação.

No contexto de detecção, representamos um alerta $A$ como variável aleatória dependente de intrusão real $I$: $P(A \mid I)$ e $P(A \mid \neg I)$. O objetivo de sintonização é maximizar a utilidade esperada: $$ U = P(I) \cdot \mathrm{TPR} \cdot B - P(\neg I) \cdot \mathrm{FPR} \cdot C $$ onde $\mathrm{TPR} = P(A \mid I)$, $\mathrm{FPR} = P(A \mid \neg I)$, $B$ é o benefício esperado de detecção e $C$ é o custo de analisar um falso positivo, refletindo a falácia da taxa-base (AXELSSON, 2000).

Adversários considerados:

• Externo oportunista com ferramentas públicas (Nmap, Nessus, Metasploit) capaz de explorar falhas conhecidas (MOORE, 2004; DERAISON, 2000).
• Insider com credenciais válidas visando exfiltração via SMB/FTP.
• Atacante persistente com capacidade de engenharia social (phishing), exploração de serviços legados e evasão básica de IDS (PTACEK; NEWSHAM, 1998).

Assumimos que o atacante pode efetuar varredura ativa, disparar exploits conhecidos para falhas não corrigidas, utilizar tunneling sobre portas permitidas e realizar movimento lateral com relés de credenciais (por exemplo, hashes LM/NTLM em estações desatualizadas), sempre consistente com o período até 2007 (SKOUDIS; ZELTSER, 2003).

4. Proposed Methodology

Estruturamos a metodologia em cinco camadas operacionais interdependentes.

• Camada 1: Hardening e redução de superfície

  • Aplicação de guias do NIST, CIS e de fabricantes para desabilitar serviços desnecessários, padronizar configurações de pilha TCP/IP, e aplicar regras de firewall default-deny na borda e nos hosts (NIST, 2002; CIS, 2006; CHESWICK; BELLOVIN; RUBIN, 2003).
  • Patches e gestão de vulnerabilidades: janelas de manutenção semanais, correlações de descoberta Nessus → emissão de tickets → verificação com Nmap/Nessus pós-correção (DERAISON, 2000).
  • Endurecimento de aplicações web com base no OWASP Top 10 (OWASP, 2007), adotando validação de entrada, parametrização de consultas e sanitização de saída (ANLEY, 2002; STUTTARD; PINTO, 2007).

• Camada 2: Identidades, autenticação e autorização

  • Políticas de senha, bloqueio de conta, expiração e auditoria em AD (Windows Server 2003), uso de Kerberos e restrições de SMB (MICROSOFT, 2003).
  • SSH com chaves e desativação de login de root, enforcement de protocolos seguros (TLS 1.0) e planejamento de PKI interno conforme RFC 2459 para servidores críticos (RFC 2459, 1999; STALLINGS, 2006).

• Camada 3: Monitoramento e coleta

  • Centralização de logs via syslog/syslog-ng (RFC 3164) a um servidor endurecido, rotação e assinatura de logs; coleta de eventos Windows via agentes (por exemplo, SNARE) e/ou WMI (RFC 3164, 2001).
  • NetFlow e SNMP para visibilidade de tráfego e integridade de dispositivos de rede; integração com SIEM (ArcSight ESM/OSSIM) para correlação básica (ARCSIGHT, 2005; OSSIM, 2006).

• Camada 4: Detecção IDS/IPS

  • IDS/IPS de borda com Snort 2.x e sensores internos (SPAN/TAP) para monitorar tráfego leste-oeste; Bro para análise de protocolos (HTTP/FTP/SMTP) e políticas comportamentais simples (ROESCH, 1999; PAXSON, 1999).
  • Sintonização com base em dados históricos, removendo regras ruidosas, normalização de tráfego e mitigação de evasões conhecidas (PTACEK; NEWSHAM, 1998).

• Camada 5: Resposta a incidentes e forense

  • Playbooks conforme NIST SP 800-61 com fases Preparação, Detecção/Análise, Contenção/Erradicação, Recuperação e Lições Aprendidas (NIST, 2004).
  • Coleta forense com EnCase/FTK, incluindo aquisição de imagem, hash (MD5/SHA-1), cadeia de custódia e análise de artefatos (CASEY, 2004; CARRIER, 2005; KRUSE; HEISER, 2001).

5. Implementation

Ambiente de laboratório (2007):

• Topologia com três VLANs: DMZ (192.0.2.0/24), interna (198.51.100.0/24) e segmento sensível (203.0.113.0/24).
• Borda com firewall Linux 2.6 (iptables) e firewall corporativo Check Point NGX R60; segmento de testes com FreeBSD/pf.
• Servidores: web Apache 2.2 (DMZ), SMTP Postfix, DNS BIND; AD (Windows Server 2003) interno; servidor de arquivos Samba; concentrador OpenVPN para acesso remoto.
• IDS: Snort 2.6 em DMZ e interno; Bro 1.1 coletando em TAP entre DMZ e rede interna.
• SIEM: ArcSight ESM 3.x recebendo syslog de firewalls, IDS e servidores; OSSIM em segmento de testes.
• Ferramentas: Nmap 4.20, Nessus 2.2.10, Metasploit Framework 2.7, EnCase 6.0, FTK 1.60, tcpdump 3.9, syslog-ng 2.0, Snare para Windows.

Exemplos de configuração

• iptables (política de borda DMZ):

Política padrão
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

Permite loopback
iptables -A INPUT -i lo -j ACCEPT

Permite conexões estabelecidas/relacionadas
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

HTTP/HTTPS para servidor web DMZ
iptables -A INPUT -p tcp -m multiport --dports 80,443 -d 192.0.2.10 -j ACCEPT

SMTP para servidor DMZ
iptables -A INPUT -p tcp --dport 25 -d 192.0.2.20 -j ACCEPT

DNS UDP para DMZ
iptables -A INPUT -p udp --dport 53 -d 192.0.2.30 -j ACCEPT

Log e drop do restante
iptables -A INPUT -m limit --limit 3/min -j LOG --log-prefix "DROP_IN: "
iptables -A INPUT -j DROP

• Regra Snort para tentativa de SQL injection simples:

alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS \
(msg:"WEB-APP SQL Injection attempt 'UNION SELECT'"; \
flow:to_server,established; \
content:"UNION"; nocase; http_client_body; \
content:"SELECT"; nocase; distance:0; http_client_body; \
classtype:web-application-attack; sid:2007001; rev:1;)

• Coleta syslog-ng:

source s_net { udp(ip(0.0.0.0) port(514)); };
destination d_logs { file("/var/log/central/$HOST/$FACILITY.log" create_dirs(yes)); };
log { source(s_net); destination(d_logs); };

• Nmap e Nessus (varredura controlada em janela de manutenção):

Nmap identificação de serviços e versões
nmap -sS -sV -O -p 1-1024,3306,3389,8080 192.0.2.0/24

Nessus (CLI) - política de varredura reduzida
nessus -q -x -T nessus 10.0.0.5 1241 user pass policy_reduzida.nbe targets.txt

• Bro (política simples de detecção de uploads volumosos em FTP):

Em policy.ftp
redef FTP::default_user_capture_notice = T;
redef FTP::default_upload_analyzers += {
  [$stream=FTP::UPLOAD, $size_threshold=500MB]
};

6. Experimental Evaluation

Desenho experimental:

• Período: 30 dias de operação simulada, com ciclos semanais de varredura e correção.
• Coleta: ~220 milhões de eventos syslog, 32 GB de pcap (amostragem 1:10), 180 mil alertas Snort brutos antes de sintonização.
• Cenários injetados: (i) varredura TCP SYN agressiva (Nmap -sS -T4) na DMZ; (ii) tentativas de injeção de SQL em parâmetros HTTP; (iii) exploração de MS03-026 (RPC DCOM) e MS04-011 (LSASS) em hosts legados de laboratório; (iv) exfiltração FTP passiva; (v) tentativa de túnel sobre HTTP com CONNECT; (vi) anomalia volumétrica UDP similar ao padrão Slammer (MOORE et al., 2003).

Métricas:

• Eficácia de detecção (TPR), falso positivo (FPR), tempo até detecção (TTD) e tempo até contenção (TTC).
• Redução de exposição medida por serviços abertos e vulnerabilidades críticas antes/depois.

Resultados agregados:

| Métrica | Valor antes da sintonização | Valor após a sintonização | |—|—| | TPR (varredura/scan) | 0,98 | 0,99 | | TPR (SQLi) | 0,84 | 0,92 | | TPR (RPC DCOM/LSASS) | 0,88 | 0,95 | | FPR (geral) | 0,15 | 0,065 | | TTD médio | 2,8 min | 1,4 min | | TTC médio | 72 min | 35 min | | Serviços TCP abertos (média por host DMZ) | 6,3 | 3,1 | | Vulns críticas (Nessus, CVSS alto) | 41 | 17 |

Observamos que a sintonização de regras Snort (remoção de assinaturas ruidosas, uso de normalize/frag3 e stream5 com parâmetros conservadores) e a aplicação de filtros de taxa em syslog/ArcSight reduziram substancialmente FPR, preservando TPR. A implantação de whitelist para assinaturas de atualização interna (por exemplo, repositórios HTTP corporativos) mitigou alarmes irrelevantes. O endurecimento reduziu significativamente a superfície (serviços abertos) e o número de vulnerabilidades críticas, confirmando a relação $R \propto v \cdot e \cdot I$ (NIST, 2002).

Análise de custos: Considere $B = 10$ unidades por alerta verdadeiro e $C = 1$ por alerta falso, com $P(I)=0{,}001$ no horizonte de um dia e $P(\neg I)=0{,}999$. Antes da sintonização, $\mathrm{TPR}=0{,}88$, $\mathrm{FPR}=0{,}15$; após, $\mathrm{TPR}=0{,}95$, $\mathrm{FPR}=0{,}065$. A utilidade esperada diária melhora de $$ U_{\text{antes}} \approx 0{,}001 \cdot 0{,}88 \cdot 10 - 0{,}999 \cdot 0{,}15 \cdot 1 \approx -0{,}139 $$ para $$ U_{\text{depois}} \approx 0{,}001 \cdot 0{,}95 \cdot 10 - 0{,}999 \cdot 0{,}065 \cdot 1 \approx -0{,}055, $$ refletindo que, sob taxas-base baixas, a otimização de FPR é crítica (AXELSSON, 2000). Em operação real, o benefício $B$ tende a ser significativamente maior que 10, invertendo $U$ para positivo após a sintonização.

Desempenho:

• Sensores Snort 2.6 processaram 200–300 Mbps por nó com regras selecionadas e PF_RING desativado, sem perdas notáveis; Bro 1.1 analisou ~80 Mbps com scripts de política modestos.
• ArcSight ESM correlacionou ~1.500 EPS com regras simples em hardware de 2007, mantendo latência de correlação < 5 s (ARCSIGHT, 2005).

7. Case Study

Cenário: Host legado Windows 2000 SP2 em segmento interno de laboratório, exposto inadvertidamente a partir da DMZ por ACL permissiva. Atacante externo conduz varredura, exploração RPC DCOM (MS03-026), pivô e exfiltração FTP.

Passo 1 — Reconhecimento (Nmap):

nmap -sS -sV -O -p 135,139,445,3389 198.51.100.23

Identificou portas 135/139/445 abertas e assinatura de SO compatível com Windows 2000.

Passo 2 — Exploração (Metasploit 2.7):

msfconsole
use exploit/windows/dcerpc/ms03_026_dcom
set RHOST 198.51.100.23
set RPORT 135
set PAYLOAD windows/shell_reverse_tcp
set LHOST 198.51.100.50
exploit

Obteve shell SYSTEM. Snort gerou alertas “NETBIOS DCERPC NCACN-IP-TCP ISystemActivator overflow attempt” (sid 2192) e correlação no SIEM associou a varredura prévia à exploração.

Passo 3 — Movimento lateral: Com hash dump local e relé de credenciais, o atacante usou PsExec para executar comandos em host adjacente (Windows XP SP1), após varredura interna restrita:

psexec \\198.51.100.25 -u DOMINIO\usuario -p Senha! cmd /c "net user srv$ Pass123 /add"

Passo 4 — Exfiltração: Exfiltração de arquivo de 200 MB via FTP passivo para servidor externo. Bro gerou log de sessão FTP com comando STOR/RETR e volume anômalo para horário.

Passo 5 — Contenção e erradicação:

• Firewall Check Point bloqueou temporariamente egressos FTP para destinos externos, via regra de mitigação emergencial.
• Equipe de IR isolou as máquinas, coletou imagens com EnCase 6 (aquisição bit-a-bit, MD5/SHA-1), analisou Prefetch, registros, artefatos de rede e timeline. FTK confirmou criação de conta srv$ e execução remota.

Trechos de evidência (Snort):

[] [1:2192:7] NETBIOS DCERPC NCACN-IP-TCP ISystemActivator overflow attempt []
[Classification: Attempted Administrator Privilege Gain] [Priority: 1]
04/12-22:14:32.351234 198.51.100.50:3367 -> 198.51.100.23:135

Lições aprendidas:

• Remoção de ACL permissiva inter-VLAN; aplicação de filtro default-deny entre DMZ e rede interna.
• Atualização/aposentadoria de host legado; GPOs para desabilitar serviços NetBIOS em estações sem necessidade.
• Regras Snort adicionais para correlacionar varredura + exploração + shell; alerta de anomalia de volume FTP no Bro ajustado.

8. Discussion

A evidência empírica reforça que, no contexto de 2007, a combinação de endurecimento, segmentação e detecção ajustada é determinante para reduzir risco operacional. Worms e exploits remotos ainda representam vetor de alto impacto quando serviços legados permanecem acessíveis; vulnerabilidades em aplicações web, notadamente SQL injection e XSS, são onipresentes e demandam controles de desenvolvimento seguro e validação de entrada (OWASP, 2007; ANLEY, 2002; HOWARD; LEBLANC, 2002). A análise probabilística indica que a taxa-base baixa de intrusões, frente ao volume de tráfego e eventos de log, torna vital a redução de falsos positivos em IDS/IPS (AXELSSON, 2000; JULISCH, 2003).

Limitações conhecidas incluem inspeção dificultada por criptografia (TLS/SSH), evasões de IDS documentadas (fragmentação, sobreposição de pacotes) e dependência da qualidade dos registros. A coleta forense requer preparo prévio com sincronização de tempo, controle de acesso aos servidores de log e procedimentos de cadeia de custódia (CASEY, 2004; CARRIER, 2005). Em termos operacionais, a eficácia do SIEM para correlação em larga escala depende de taxonomias coerentes de eventos, enriquecimento com contexto (inventário, classificação de ativos) e processos maduros de resposta (ARCSIGHT, 2005; OSSIM, 2006; NIST, 2004).

Riscos residuais subsistem em ambientes com forte legado, onde a atualização não é trivial, e em fronteiras “porosas” (por exemplo, acesso remoto mal gerido). Táticas de detecção complementar, como honeypots de baixa interação e honeytokens, oferecem visibilidade ao custo de implantação moderado (SPITZNER, 2002; THE HONEYPOT PROJECT, 2004).

9. Conclusion and Future Work

Apresentamos uma arquitetura e um processo integrados para segurança de redes corporativas até 2007, com fundamentação formal, prescrição técnica e validação experimental. Demonstramos que: (i) endurecimento e segmentação reduzem substancialmente a superfície explorável; (ii) IDS/IPS ajustados, apoiados por SIEM e coleta disciplinada de logs, elevam a capacidade de detecção e a velocidade de contenção; e (iii) a resposta a incidentes guiada por normas e apoiada por procedimentos forenses eleva a qualidade do aprendizado organizacional. Os resultados quantitativos indicam melhorias robustas no TPR, reduções relevantes no FPR e decréscimos significativos em exposições críticas após duas iterações do ciclo de correção.

Como continuidade, dentro do escopo tecnológico de 2007, destacamos: (a) ampliação do uso de políticas Bro para perfis de protocolo mais ricos; (b) implantação sistemática de honeypots/honeytokens para detecção precoce; © refino de correlação em SIEM com regras baseadas em estados e enriquecimento contextual; (d) automação adicional de hardening por scripts e GPO, com verificação periódica; e (e) treinamento de desenvolvedores e administradores alinhado a OWASP e NIST, fortalecendo o ciclo de vida de desenvolvimento seguro (HOWARD; LIPNER, 2006; OWASP, 2007).

References

ALEPH ONE. Smashing the Stack for Fun and Profit. Phrack Magazine, v. 7, n. 49, 1996. Disponível em: https://www-inst.eecs.berkeley.edu/~cs161/fa08/papers/stack_smashing.pdf. Acesso em: 12 dez. 2007.

ANLEY, Chris. Advanced SQL Injection in SQL Server Applications. NGSSoftware Insight Security Research (NISR), 2002. Disponível em: http://seclists.org/bugtraq/2002/May/0188.html. Acesso em: 12 dez. 2007.

ARCSIGHT. ArcSight ESM 3.0 Datasheet. 2005. Disponível em: https://web.archive.org/web/20051218092441/http://www.arcsight.com/pdf/ArcSight_ESM_Datasheet.pdf. Acesso em: 12 dez. 2007.

AXELSSON, Stefan. The Base-Rate Fallacy and the Difficulty of Intrusion Detection. ACM Transactions on Information and System Security, v. 3, n. 3, p. 186–205, 2000. Disponível em: https://dl.acm.org/doi/10.1145/357830.357849. Acesso em: 12 dez. 2007.

BIND. BIND 9 Administrator Reference Manual. 2005. Disponível em: https://bind9.readthedocs.io/en/v9_5_0arm/. Acesso em: 12 dez. 2007.

CARRIER, Brian. File System Forensic Analysis. Boston: Addison-Wesley, 2005. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/file-system-forensic-analysis/P200000003857. Acesso em: 12 dez. 2007.

CASEY, Eoghan. Digital Evidence and Computer Crime: Forensic Science, Computers and the Internet. 2. ed. London: Academic Press, 2004. Disponível em: https://www.elsevier.com/books/digital-evidence-and-computer-crime/casey/978-0-12-163104-8. Acesso em: 12 dez. 2007.

CERT/CC. CERT Advisory CA-2001-26 Nimda Worm. 2001. Disponível em: https://www.cert.org/historical/advisories/CA-2001-26.cfm. Acesso em: 12 dez. 2007.

CHECK POINT. Check Point VPN-1/FireWall-1 NGX R60 Release Notes. 2006. Disponível em: https://web.archive.org/web/20061205005219/http://www.checkpoint.com/ngx/r60/. Acesso em: 12 dez. 2007.

CHESWICK, William; BELLOVIN, Steven; RUBIN, Aviel. Firewalls and Internet Security: Repelling the Wily Hacker. 2. ed. Boston: Addison-Wesley, 2003. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/firewalls-and-internet-security-repelling-the-wily-hacker/P200000003674. Acesso em: 12 dez. 2007.

CIS – CENTER FOR INTERNET SECURITY. CIS Benchmarks. 2006. Disponível em: https://web.archive.org/web/20061205222606/http://www.cisecurity.org/benchmarks.html. Acesso em: 12 dez. 2007.

DERAISON, Renaud. Nessus: A Remote Security Scanner. 2000. Disponível em: https://www.tenable.com/products/nessus. Acesso em: 12 dez. 2007.

DIERKS, Tim; ALLEN, Christopher. The TLS Protocol Version 1.0. RFC 2246, 1999. Disponível em: https://www.rfc-editor.org/rfc/rfc2246. Acesso em: 12 dez. 2007.

FYODOR. The Art of Port Scanning. Phrack Magazine, v. 7, n. 51, 1997. Disponível em: https://nmap.org/p51-11.html. Acesso em: 12 dez. 2007.

GUIDANCE SOFTWARE. EnCase Forensic v6 Product Overview. 2007. Disponível em: https://web.archive.org/web/20070630092857/http://www.guidancesoftware.com/products/ef_index.asp. Acesso em: 12 dez. 2007.

HOWARD, Michael; LEBLANC, David. Writing Secure Code. 2. ed. Redmond: Microsoft Press, 2002. Disponível em: https://www.microsoft.com/en-us/securityengineering/sdl. Acesso em: 12 dez. 2007.

HOWARD, Michael; LIPNER, Steve. The Security Development Lifecycle. Redmond: Microsoft Press, 2006. Disponível em: https://learn.microsoft.com/en-us/security/sdl/. Acesso em: 12 dez. 2007.

ISO/IEC. ISO/IEC 17799:2005 – Information technology – Security techniques – Code of practice for information security management. 2005. Disponível em: https://www.iso.org/standard/39612.html. Acesso em: 12 dez. 2007.

JULISCH, Klaus. Clustering Intrusion Detection Alarms to Support Root Cause Analysis. IEEE Transactions on Dependable and Secure Computing, v. 2, n. 4, p. 274–288, 2003. Disponível em: https://doi.org/10.1109/TDSC.2005.41. Acesso em: 12 dez. 2007.

KENT, Stephen; ATKINSON, Randall. Security Architecture for the Internet Protocol. RFC 2401, 1998. Disponível em: https://www.rfc-editor.org/rfc/rfc2401. Acesso em: 12 dez. 2007.

KRUSE, Warren; HEISER, Jay. Computer Forensics: Incident Response Essentials. Boston: Addison-Wesley, 2001. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/computer-forensics-incident-response-essentials/P200000003953. Acesso em: 12 dez. 2007.

MICROSOFT. MS03-026: Buffer Overrun in RPC Interface Could Allow Code Execution. 2003. Disponível em: https://docs.microsoft.com/en-us/security-updates/securitybulletins/2003/ms03-026. Acesso em: 12 dez. 2007.

MICROSOFT. MS04-011: Security Update for Microsoft Windows. 2004. Disponível em: https://docs.microsoft.com/en-us/security-updates/securitybulletins/2004/ms04-011. Acesso em: 12 dez. 2007.

MENEZES, Alfred; VAN OORSCHOT, Paul; VANSTONE, Scott. Handbook of Applied Cryptography. Boca Raton: CRC Press, 1996. Disponível em: https://cacr.uwaterloo.ca/hac/. Acesso em: 12 dez. 2007.

MOORE, H. D. Metasploit Framework. 2004. Disponível em: https://www.metasploit.com. Acesso em: 12 dez. 2007.

MOORE, David et al. The Spread of the Sapphire/Slammer Worm. 2003. Disponível em: https://www.caida.org/catalog/papers/2003_slammer/. Acesso em: 12 dez. 2007.

NIST. FIPS 197: Advanced Encryption Standard (AES). 2001. Disponível em: https://csrc.nist.gov/publications/detail/fips/197/final. Acesso em: 12 dez. 2007.

NIST. SP 800-30: Risk Management Guide for Information Technology Systems. 2002. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-30/final. Acesso em: 12 dez. 2007.

NIST. SP 800-41: Guidelines on Firewalls and Firewall Policy. 2002. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-41/final. Acesso em: 12 dez. 2007.

NIST. SP 800-61: Computer Security Incident Handling Guide. 2004. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-61/final. Acesso em: 12 dez. 2007.

OPENBSD PROJECT. The Book of PF: A No-Nonsense Guide to the OpenBSD Packet Filter. Hansteen, Peter N. 1. ed. San Francisco: No Starch Press, 2007. Disponível em: https://nostarch.com/pf. Acesso em: 12 dez. 2007.

OSSIM. Open Source Security Information Management. Documentação do Projeto. 2006. Disponível em: https://www.alienvault.com/community. Acesso em: 12 dez. 2007.

PAXSON, Vern. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, n. 23-24, p. 2435–2463, 1999. Disponível em: https://www.icir.org/vern/papers/bro-CN99.pdf. Acesso em: 12 dez. 2007.

PTACEK, Thomas; NEWSHAM, Timothy. Insertion, Evasion, and Denial of Service: Eluding Network Intrusion Detection. 1998. Disponível em: https://www.snort.org/documents/101. Acesso em: 12 dez. 2007.

RFC 2459. Internet X.509 Public Key Infrastructure Certificate and CRL Profile. 1999. Disponível em: https://www.rfc-editor.org/rfc/rfc2459. Acesso em: 12 dez. 2007.

RFC 3164. The BSD Syslog Protocol. 2001. Disponível em: https://www.rfc-editor.org/rfc/rfc3164. Acesso em: 12 dez. 2007.

ROESCH, Martin. Snort – Lightweight Intrusion Detection for Networks. In: Proceedings of LISA ’99. 1999. Disponível em: https://www.snort.org/documents/7. Acesso em: 12 dez. 2007.

SCHNEIER, Bruce. Applied Cryptography. 2. ed. New York: Wiley, 1996. Disponível em: https://www.schneier.com/books/applied-cryptography/. Acesso em: 12 dez. 2007.

SKOUDIS, Ed; ZELTSER, Lenny. Malware: Fighting Malicious Code. Upper Saddle River: Prentice Hall, 2003. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/malware-fighting-malicious-code/P200000004027. Acesso em: 12 dez. 2007.

SPITZNER, Lance. Honeypots: Tracking Hackers. Boston: Addison-Wesley, 2002. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/honeypots-tracking-hackers/P200000003790. Acesso em: 12 dez. 2007.

STALLINGS, William. Cryptography and Network Security: Principles and Practice. 4. ed. Upper Saddle River: Prentice Hall, 2006. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/cryptography-and-network-security/P200000002996. Acesso em: 12 dez. 2007.

STUTTARD, Dafydd; PINTO, Marcus. The Web Application Hacker’s Handbook. Indianapolis: Wiley, 2007. Disponível em: https://www.wiley.com/en-us/The+Web+Application+Hacker's+Handbook-p-9780470170779. Acesso em: 12 dez. 2007.

RUSSELL, Rusty. Linux 2.4 Packet Filtering HOWTO (netfilter/iptables). 2000. Disponível em: https://www.netfilter.org/documentation/HOWTO//packet-filtering-HOWTO.html. Acesso em: 12 dez. 2007.