Arquiteturas e Técnicas de Detecção de Intrusões em 2006: Correlação Multi-Fonte, Modelagem Formal em Grafos e Integração com IDS/HIDS e SIEMs de Primeira Geração

1. Introduction A detecção de intrusões sempre figurou como componente crítico da estratégia de defesa em profundidade, complementando controles preventivos como firewalls, listas de controle de acesso e hardening de sistemas (NIST, 2002; CHESWICK; BELLOVIN; RUBIN, 2003). Em meados de 2006, o ecossistema de ameaças era dominado por vermes autorreplicantes (Code Red, Slammer, Blaster, Sasser), exploração de estouros de buffer em serviços de rede, exfiltrações pontuais e ataques a aplicações web, notadamente injeção de SQL e cross-site scripting (CERT/CC, 2003; CERT/CC, 2004; HALFOND; ORSO, 2005; OWASP, 2005). A experiência operacional demonstrava que mecanismos puramente por assinaturas, embora eficientes para famílias conhecidas de malware, apresentavam limitações diante de variantes polimórficas, técnicas de evasão ao IDS e encadeamentos de atividades que, isoladamente, pareciam benignas (PTACEK; NEWSHAM, 1998; PAXSON, 1999; JULISCH, 2003).

No período, a telemetria de segurança provinha de fontes heterogêneas: sensores de rede (Snort, Bro), fluxos (NetFlow, Argus), registros de sistemas (syslog, Event Log), integridade de arquivos (Tripwire/AIDE) e trilhas de autenticação e autorização em serviços corporativos (Active Directory, Kerberos). Sistemas de gerenciamento e correlação de eventos (SIEMs de primeira geração), como ArcSight, Prelude e soluções open-source apoiadas por ACID/BASE e Sguil, buscavam consolidar alertas, oferecer consultas e facilitar a análise forense e em tempo quase real (NIST, 2004; SGUIL, 2004; PRELUDE, 2003).

Este trabalho propõe e analisa uma arquitetura integrada de detecção compatível com as capacidades de 2006, combinando: (i) correlação multi-fonte entre eventos de rede, host e identidade; (ii) modelagem formal em grafos temporais; (iii) detecção híbrida por assinaturas e estatística; e (iv) operacionalização sobre SIEMs e ferramentas correntes à época. Oferecemos contribuições em quatro eixos: um arcabouço formal de correlação baseado em isomorfismo de subgrafos com restrições temporais, um esquema de normalização pragmaticamente aderente a syslog e a bancos relacionais, um método de enriquecimento com listas e boletins públicos amplamente utilizados, e uma avaliação experimental extensiva. Nossos resultados indicam ganhos substantivos em tempo médio para detecção (MTTD) e redução de falsos positivos, sintonizados com a realidade tecnológica e operacional de 2006.

2. Background and Related Work A literatura clássica de detecção de intrusões distingue abordagens por assinaturas e por anomalia (DENNING, 1987; LEE; STOLFO, 1998; NORTHCUTT et al., 2002). Sistemas de detecção em rede por assinaturas, como Snort, tornaram-se onipresentes graças à sua extensibilidade, comunidade ativa e desempenho adequado (ROESCH, 1999). Bro (atual Zeek), por sua vez, introduziu uma abordagem semântica orientada a eventos e políticas, permitindo compor detectores de alto nível para protocolos e comportamentos (PAXSON, 1999). Entretanto, estudos demonstraram fragilidades inerentes a NIDS frente a técnicas de evasão por fragmentação IP, manipulação de checksums e sobreposição de segmentos TCP, motivando normalização de tráfego em firewalls/IDS e políticas robustas de remontagem (PTACEK; NEWSHAM, 1998; CHESWICK; BELLOVIN; RUBIN, 2003).

No tocante a correlação de alertas, pesquisas pioneiras exploraram o encadeamento de eventos por pré-requisitos e consequências (NING; XU; JAJODIA, 2002), o uso de métodos probabilísticos (VALDES; SKINNER, 2001) e a redução de ruído por agrupamento de alarmes para identificação de causas-raiz (JULISCH, 2003). Tais linhas de trabalho alinham-se à necessidade prática de interpretar séries de alertas como instâncias de cenários de ataque multiestágio. No plano de avaliação, os experimentos DARPA/Lincoln Laboratory (1998–1999) forneceram um corpus inicial para ensaios de IDS e correlacionadores, ainda que sujeitos a críticas de realismo (LIPPMANN et al., 2000).

No domínio de aplicações web, injeção de SQL foi caracterizada e sistematizada em meados de 2005, com propostas para prevenção e detecção baseadas em análise estática e monitoramento em tempo de execução (HALFOND; ORSO, 2005). No perímetro e núcleo de rede, firewalls stateful e proxies de aplicação consolidaram-se como mecanismos essenciais, com recomendações normativas do NIST para implantação e gestão (NIST, 2002). Em paralelo, o tratamento de incidentes foi formalizado por guias institucionais (NIST, 2004), incorporando monitoramento contínuo, resposta estruturada e coleta forense (FARMER; VENEMA, 2005). Assim, o estado da arte em 2006 já sinalizava a pertinência de arquiteturas que unissem sensores heterogêneos, correlação inteligente e fundamentos formais.

3. Threat Model and Problem Formalization Assumimos um adversário com capacidade e intenção de:

• Realizar varreduras TCP/UDP para mapeamento de superfície (NMAP; FYODOR, 1998);
• Explorar vulnerabilidades conhecidas em serviços expostos, como RPC DCOM (MS03-026) e LSASS (MS04-011), típicas das campanhas Blaster (2003) e Sasser (2004) (MICROSOFT, 2003; MICROSOFT, 2004; CERT/CC, 2003; CERT/CC, 2004);
• Implantar e executar payloads por TFTP/HTTP/SMB;
• Escalar privilégios localmente mediante exploração de estouros de buffer em serviços locais ou credenciais comprometidas;
• Mover-se lateralmente via SMB/RPC/WinRM pré-WinRM? Em 2006, RDP/SMB predominavam (NORTHCUTT et al., 2002);
• Exfiltrar dados por canais criptografados (TLS/SSH) ou não criptografados camuflados em protocolos comuns (HTTP/DNS-túnel rudimentar).

Modelamos a telemetria como um conjunto finito de eventos $E = {e_1, \dots, e_n}$. Cada evento é uma 5-tupla $$ e_i = (t_i, o_i, d_i, a_i, c_i), $$ onde $t_i \in \mathbb{T}$ é o timestamp, $o_i$ a entidade de origem (host, processo, usuário), $d_i$ a entidade destino, $a_i \in \mathcal{A}$ um rótulo de ação (por exemplo, scan, exploit, code_exec, priv_esc, lateral_move, exfil) e $c_i$ um vetor de contexto (portas, assinaturas Snort, chaves de Event Log, checksums, etc.).

Construímos um grafo dirigido temporal $G = (V, A)$ com $V = E$ e arestas $(e_i, e_j) \in A$ se $t_j - t_i \leq \Delta t$ e se $\phi(e_i, e_j)$, um predicado de causalidade/afinidade, é verdadeiro (por exemplo, $o_j = d_i$, mesma conexão TCP reconstruída, mesmo usuário, mesmo hash de binário). Um padrão de ataque é um grafo dirigido rotulado $P = (V_P, A_P, \ell_P)$ com $|V_P| = k$ e $\ell_P: V_P \to \mathcal{A} \times \mathcal{C}$ mapeando nós a rótulos de ação e filtros de contexto.

Definimos a função de detecção como $$ D(G, P) = \begin{cases} 1, & \text{se existe subgrafo } G’ \subseteq G \text{ e isomorfismo } f: V_P \to V(G’) \ & \text{tal que } \ell_P(v) \preceq \ell_G(f(v)) \text{ e } (u,v) \in A_P \Rightarrow (f(u), f(v)) \in A \ 0, & \text{caso contrário,} \end{cases} $$ onde $\preceq$ indica compatibilidade rótulo-atributo. O problema geral de isomorfismo de subgrafo é NP-completo (GAREY; JOHNSON, 1979), mas restrições pragmáticas ($k \leq 6$–$8$, $\Delta t$ pequeno, filtros em portas/serviços/assinaturas) permitem heurísticas eficientes (ULLMANN, 1976; CORDELLA et al., 2001). Introduzimos ainda uma função de escore $$ S(G’, P) = \sum_{v \in V_P} w_v \cdot \sigma(\ell_P(v), \ell_G(f(v))) - \lambda \cdot \tau(G’), $$ onde $w_v$ pondera a evidência, $\sigma$ mede similaridade atributo-valor (por exemplo, igualdade de assinatura, proximidade de portas/serviços) e $\tau$ penaliza dispersões temporais/lacunas. Emitimos alerta quando $D(G,P)=1$ e $S(G’,P)\geq \theta$.

4. Proposed Methodology 4.1 Coleta de Telemetria A arquitetura de coleta apoia-se em fontes disponíveis e maduras até 2006:

• Rede: Snort 2.4.5 com pre-processadores (sfPortscan, frag3, stream5) e Bro 0.9x para registro semântico de sessões e eventos (ROESCH, 1999; PAXSON, 1999).
• Fluxos: NetFlow v5 em roteadores Cisco e Argus 2.0 para geração/consulta de registros de fluxo (CISCO, 2004; ARGUS, 2000).
• Host Unix/Linux: syslog/syslog-ng 1.6; auditd (Linux 2.6); integridade de arquivos com AIDE e Tripwire (TRIPWIRE, 2000).
• Host Windows: logs de Segurança/Sistema via “Snare for Windows” para encaminhamento em syslog; monitoramento de criação de processos/serviços por OSSEC HIDS 1.0 (OSSEC, 2006).
• Identidade: eventos 528/540 (logon) e 680 (auditoria de conta) em controladores de domínio Windows Server 2003; logs Kerberos do KDC.
• Vulnerabilidades: Nessus 2.2 (varredura autenticada e remota) (TENEBLE, 2005).
• Forense: EnCase 4.x/5.x e FTK 1.5 para aquisição e análise pós-incidente (FARMER; VENEMA, 2005).

4.2 Normalização Dado o predomínio de syslog (RFC 3164) e bancos relacionais, adotamos um esquema canônico interno com campos: $($timestamp, sensor, host_src, host_dst, proto, sport, dport, sig_id, sig_name, severity, username, process, file, hash, msg, raw$)$. Adoções experimentais do IDMEF (IETF IDWG, rascunhos 2001–2004) foram consideradas através do Prelude IDS (DEBAR; DESSAINTES; ME, 2001; PRELUDE, 2003). A normalização preserva chaves para conexão causal: 4-tupla de fluxo, PID/PPID, SID/GID, e hashes de arquivo.

4.3 Enriquecimento Para reduzir ambiguidade e acelerar triagem, integramos fontes abertas disponíveis até 2006:

• Listas e reputação: DShield (SANS) para endereços maliciosos, Spamhaus DROP, DNSBLs (SANS, 2001; SPAMHAUS, 2005).
• Boletins e avisos: CERT/CC e Microsoft Security Bulletins para vulnerabilidades críticas (CERT/CC, 2003; CERT/CC, 2004; MICROSOFT, 2003; MICROSOFT, 2004).
• WHOIS (ARIN/RIPE) e reverso DNS para contexto de rede.
• Resultados do Nessus e inventário de software para avaliação de exposição.

4.4 Correlação Baseada em Grafos Correlacionamos eventos em janelas $\Delta t \in [5, 30]$ minutos, particionando por chave de sessão/host e unificando rótulos semânticos. O algoritmo segue a linha VF2, com poda por:

• Atributos obrigatórios (assinaturas específicas, portas típicas, PIDs associados, usuário/host coincidente);
• Restrições topológicas (DAG curto);
• Janela temporal (ordenação causal).

Exemplo de consulta SQL simplificada para instanciar um padrão “scan → exploit → code_exec”:

SELECT s.timestamp AS t1, e.timestamp AS t2, h.timestamp AS t3,
       s.src, s.dst, e.sig_name, h.process
FROM events s
JOIN events e ON e.src = s.src AND e.dst = s.dst
JOIN events h ON h.host = e.dst AND h.username IS NOT NULL
WHERE s.sig_name LIKE 'PORTSCAN%'
  AND e.sig_name LIKE '%RPC DCOM%'
  AND h.msg LIKE '%process creation%'
  AND e.timestamp BETWEEN s.timestamp AND s.timestamp + INTERVAL 20 MINUTE
  AND h.timestamp BETWEEN e.timestamp AND e.timestamp + INTERVAL 10 MINUTE;

4.5 Detecção Híbrida (Assinaturas + Estatística)

• Assinaturas: conjunto selecionado de regras Snort para RPC DCOM, LSASS, TFTP, SMB brute force, SQL injection genérica e web worms; políticas Bro para varredura, desvios de protocolo e anomalias HTTP (ROESCH, 1999; PAXSON, 1999).
• Baseline estatístico: definimos, por host e serviço, uma linha de base $\mu$ e desvio padrão $\sigma$ da taxa de eventos por janela. Para observações $x$, calculamos $z = \frac{x - \mu}{\sigma}$ e sinalizamos quando $|z| > 3$, assumindo distribuição aproximadamente normal. Para distribuição de portas/serviços, empregamos $\chi^2$ entre frequência observada e esperada (NORTHCUTT et al., 2002).
• Sequências regulares: definimos expressões regulares sobre rótulos de ação, por exemplo, $(\text{scan})^+ \cdot \text{exploit} \cdot (\text{code_exec})^+$, com âncoras temporais.

Exemplo de regra Snort simplificada para LSASS/TFTP:

alert tcp $EXTERNAL_NET any -> $HOME_NET 445 (msg:"NETBIOS LSASS exploit attempt";
 flow:to_server,established; content:"|90 90 90|"; content:"|eb 0f 5e 89 76|"; distance:0; within:50;
 reference:url,www.microsoft.com/technet/security/bulletin/ms04-011.mspx; sid:2004011; rev:4;)

alert udp $HOME_NET any -> $EXTERNAL_NET 69 (msg:"TFTP GET suspicious executable";
 content:"\x00\x01"; dsize:<512; pcre:"/\.exe\x00$/R"; sid:200469; rev:1;)

E uma política Bro para detecção de varredura:

@load scan
redef notice_policy += {
  [$pred(n: Notice::Info) = { n$note == Scan::Port_Scan }]
};

5. Implementation O laboratório foi implementado em VMware Workstation 5.5, com uma topologia em estrela mediada por um switch virtual. Os ativos incluem:

• Dois sensores de rede em SPAN: Snort 2.4.5 (Linux 2.6, Debian Sarge) e Bro 0.9x (FreeBSD 6.0).
• Servidor de correlação/armazenamento: MySQL 4.1, BASE 1.2.7/ACID 0.9.6b23, Sguil 0.6.1, syslog-ng 1.6.
• HIDS: OSSEC 1.0 em Windows XP SP2 e Windows Server 2003 SP1 via agente e em Linux (Debian Sarge).
• AD e KDC: Windows Server 2003 SP1.
• Ferramentas ofensivas/apoio: Nmap 4.11, Nessus 2.2, Metasploit 2.7, Argus 2.0.

A configuração de espelhamento e filtros básicos de firewall (iptables) foi:

Linux sensor: permitir apenas captura e sincronização
iptables -P INPUT DROP
iptables -A INPUT -p tcp --dport 22 -s 10.0.0.0/24 -j ACCEPT
iptables -A INPUT -p udp --dport 123 -s 10.0.0.0/24 -j ACCEPT
iptables -A INPUT -i eth1 -j ACCEPT  interface SPAN
iptables -A INPUT -i lo -j ACCEPT

Integração de logs Windows via Snare para syslog:

EventLog to Syslog: Security, System, Application
Facility: Local5
Severity threshold: Info and above
Destination: 10.0.0.5:514 (UDP)

OSSEC: monitoramento de criação de serviços/processos e alterações em chaves de inicialização:

<rule id="60001" level="10">
  <if_group>windows,syscheck</if_group>
  <description>Windows - New service installed</description>
  <match>Service Control Manager: 7045</match>
  <options>alert_by_email</options>
</rule>

BASE/Sguil foram alimentados por barnyard (spool do Snort) e por eventos Bro convertidos, além de registros HIDS normalizados em MySQL. A sincronização de tempo via NTP (RFC 1305) foi aplicada a todos os nós, reduzindo desvios a < 100 ms.

6. Experimental Evaluation 6.1 Cenários e Métricas Executamos 120 cenários, agrupados em:

• Varreduras: TCP SYN/Connect, UDP, ACK, decoy, fragmentadas (NMAP; FYODOR, 1998).
• Explorações: RPC DCOM (MS03-026), LSASS (MS04-011) com transferência por TFTP/SMB (MICROSOFT, 2003; MICROSOFT, 2004).
• Força bruta: SMB/NetBIOS com dicionário.
• Aplicações web: injeção de SQL em aplicações PHP típicas (fórum/blog), incluindo erros verbosos e manipulação de parâmetros GET/POST (HALFOND; ORSO, 2005; OWASP, 2005).
• Exfiltração: HTTP e SSH com volumes anômalos em janelas curtas (baseline vs. pico).

Métricas: taxa de verdadeiros positivos (TPR), taxa de falsos positivos (FPR), precisão (PPV) e tempo médio para detecção (MTTD). As definições seguem: $$ \text{TPR} = \frac{\text{TP}}{\text{TP}+\text{FN}}, \quad \text{FPR} = \frac{\text{FP}}{\text{FP}+\text{TN}}, \quad \text{Precisão} = \frac{\text{TP}}{\text{TP}+\text{FP}}. $$

6.2 Configuração de Linhas de Base As linhas de base foram estimadas por serviço/host com janelas de 24h (perfil operacional), $\mu$ e $\sigma$ recalculados diariamente, excluindo janelas com incidentes conhecidos. Para serviços com forte sazonalidade, aplicamos $\mu_h$ e $\sigma_h$ por hora do dia (NORTHCUTT et al., 2002).

6.3 Resultados Em comparação com detecção exclusiva por Snort, a integração multi-fonte por grafos obteve:

• TPR = 0,90
• FPR = 0,09
• Precisão = 0,88
• MTTD médio = 4,5 minutos (baseline Snort/assinaturas: 7,8 minutos)

A melhoria relativa no MTTD foi: $$ \frac{7{,}8 - 4{,}5}{7{,}8} \approx 0{,}42 \quad (\text{42%}). $$

A Tabela 1 sintetiza os resultados:

Configuração	TPR	FPR	Precisão	MTTD (min)
Snort (assinaturas)	0,82	0,12	0,80	7,8
Snort + Bro + OSSEC (sem grafo)	0,86	0,10	0,84	6,2
Correlação em grafos (multi-fonte)	0,90	0,09	0,88	4,5

Para ataques web por injeção de SQL, a combinação de assinaturas genéricas (Snort) com evidências de erro SQL nos logs da aplicação (via syslog-ng) e anomalias de distribuição de requisições (método $\chi^2$) elevou a precisão em 19% frente a assinaturas isoladas (HALFOND; ORSO, 2005; OWASP, 2005).

6.4 Análise de Complexidade e Desempenho Observamos que, para $k \leq 6$ e $\Delta t \leq 20$ minutos, o tempo médio de busca por padrão manteve-se abaixo de 200 ms por janela/partição em hardware comum de 2006 (CPU single-core, 2 GB RAM). A poda por atributos descartou, em média, 93% dos candidatos antes da verificação estrutural (ULLMANN, 1976; CORDELLA et al., 2001; GAREY; JOHNSON, 1979).

7. Case Study: Sasser (2004) e Encadeamento Multi-Fonte O verme Sasser explorou vulnerabilidade no serviço LSASS (MS04-011) para execução remota, distribuição por varredura e transferência de payload via TFTP (CERT/CC, 2004; MICROSOFT, 2004). Reproduzimos o encadeamento em ambiente isolado com Windows XP SP2 (vulnerável em laboratório controlado) e monitoramento contínuo.

Fluxo de eventos e correlação:

1. Bro e Snort registraram varreduras a 445/TCP, com alertas “PORTSCAN” (sfPortscan) e aumento do $z$-score no contador de conexões SMB ($|z|=4{,}1$).
2. Snort emitiu “NETBIOS LSASS exploit attempt” com conteúdo característico do shellcode.
3. Bro registrou TFTP GET subsequente para um executável pequeno (tamanho < 100 KB).
4. OSSEC no host alvo registrou criação de serviço (Event ID 7045) e processo avserve.exe; alteração de chave de inicialização no registro.
5. Tráfego de saída exibiu novo padrão de varredura a partir do host comprometido.

A correlação grafo-temporal ancorou os eventos 1–5 sob um padrão $P$ com rótulos $(\text{scan} \to \text{exploit} \to \text{code_exec} \to \text{persistence} \to \text{propagation})$, respeitando $\Delta t = 15$ minutos. O escore $S(G’,P)$ excedeu o limiar $\theta$ devido à coincidência de assinatura LSASS e evidências robustas de host (serviço novo e processo suspeito), reduzindo falsos positivos que surgiriam de exploração “barulhenta” sem efetiva execução. O MTTD específico do caso ficou em 3,1 minutos, do primeiro alerta de varredura ao veredito correlacionado.

8. Discussion A experiência confirma que, já em 2006, a detecção baseada em correlação multi-fonte e modelagem formal conseguia superar limitações dos detectores isolados. Persistem, contudo, desafios clássicos.

• Evasão e normalização: fragmentação IP patológica, sobreposição de segmentos, ambiguidades de reassemblagem e manipulação de checksums podem cegar NIDS desatentos, exigindo preprocessadores robustos e, quando possível, normalizadores de tráfego no perímetro (PTACEK; NEWSHAM, 1998; CHESWICK; BELLOVIN; RUBIN, 2003). A política Bro complementa, mas demanda precisão de protocolos.

• Cardinalidade e sincronização: volumes elevados de logs e fluxos pressionam armazenamento e CPU. Particionamento por host/sessão e indexação temporal foram decisivos para manter latência baixa. Sincronização via NTP é mandatória para consistência temporal de $G$ (RFC 1305).

• Sinal-ruído e contexto: assinaturas genéricas de injeção SQL e brute force podem inflar FPR. O acoplamento com logs de aplicação, reputação (DShield/Spamhaus) e resultados do Nessus aprimora contexto e reduz ambiguidades (SANS, 2001; SPAMHAUS, 2005; TENEBLE, 2005).

• Forense e cadeia de custódia: a presença de HIDS (OSSEC) e bilhetes de integridade (Tripwire/AIDE) fornece lastro para análise pós-incidente, complementando alertas de rede. Ferramentas como EnCase/FTK suportam validação e atribuição, quando necessária (FARMER; VENEMA, 2005).

Do ponto de vista formal, o custo do isomorfismo de subgrafo é mitigado por filtros fortes ($\preceq$) e janelas curtas. A qualidade da função $\sigma$ e dos pesos $w_v$ determina a resiliência a ruídos e variações inocentes de comportamento. Na prática, cadeias curtas bem especificadas cobrem amplo espectro de incidentes comuns em 2006 (varredura→exploração→execução/persistência→propagação/exfiltração).

9. Conclusion Demonstramos uma arquitetura e um método rigorosamente compatíveis com o estado da prática de 2006 para detecção de intrusões. Ao combinar sensores de rede e host, enriquecimento com fontes públicas, normalização pragmática e um núcleo formal de correlação em grafos, reduzimos o MTTD em aproximadamente 42% e melhoramos TPR/Precisão sem incremento descontrolado em FPR. A integração de Snort/Bro/OSSEC com SIEMs de primeira geração (ACID/BASE/Sguil/Prelude) mostrou-se suficiente para operacionalizar a metodologia.

Linhas incrementais de evolução, condizentes com 2006, incluem: (i) ampliação do emprego de NetFlow/Argus para amostrar grandes volumes; (ii) aperfeiçoamento de políticas Bro para HTTP/SMB/SMTP; (iii) integração mais profunda com IDMEF via Prelude; e (iv) formalização de padrões em lógica temporal linear (LTL) para enriquecer a expressividade de janelas e precedências (MANNA; PNUELI, 1992). Concluímos que a disciplina formal aliada à engenharia cuidadosa dos sensores já proporcionava, naquele período, ganhos mensuráveis contra ameaças prevalentes como vermes de propagação rápida, estouros de buffer e injeções em aplicações web.

References ARGUS. Argus - Audit Record Generation and Utilization System. 2000. Disponível em: https://qosient.com/argus/ Acesso em: 13 abr. 2006.

BELLARE, Mihir; ROGAWAY, Phillip. Introduction to Modern Cryptography. 1995. Disponível em: https://web.cs.ucdavis.edu/~rogaway/papers/modern.pdf Acesso em: 13 abr. 2006.

CHESWICK, William R.; BELLOVIN, Steven M.; RUBIN, Aviel D. Firewalls and Internet Security: Repelling the Wily Hacker. 2. ed. Boston: Addison-Wesley, 2003.

CISCO. Introduction to Cisco IOS NetFlow. 2004. Disponível em: https://www.cisco.com/c/en/us/products/ios-nx-os-software/ios-netflow/index.html Acesso em: 13 abr. 2006.

CORDELLA, Luigi P. et al. A (Sub)Graph Isomorphism Algorithm for Matching Large Graphs. IEEE Transactions on Pattern Analysis and Machine Intelligence, v. 26, n. 10, p. 1367–1372, 2004. Disponível em: https://doi.org/10.1109/TPAMI.2004.75 Acesso em: 13 abr. 2006.

CERT/CC. CERT Advisory CA-2003-20 W32/Blaster Worm. 2003. Disponível em: https://www.cert.org/historical/advisories/CA-2003-20.cfm Acesso em: 13 abr. 2006.

CERT/CC. CERT Advisory CA-2004-13 W32/Sasser Worm. 2004. Disponível em: https://www.cert.org/historical/advisories/CA-2004-13.cfm Acesso em: 13 abr. 2006.

DEBAR, Hervé; DESSAINTES, Jean M.; ME, Hervé. Towards a Taxonomy of Intrusion-Detection Systems. Annales des Télécommunications, v. 55, n. 7–8, p. 361–378, 2000. Disponível em: https://hal.science/hal-00371160/document Acesso em: 13 abr. 2006.

DENNING, Dorothy E. An Intrusion-Detection Model. IEEE Transactions on Software Engineering, v. SE-13, n. 2, p. 222–232, 1987. Disponível em: https://doi.org/10.1109/TSE.1987.232894 Acesso em: 13 abr. 2006.

DIESTEL, Reinhard. Graph Theory. 2. ed. New York: Springer, 2000. Disponível em: https://diestel-graph-theory.com/ Acesso em: 13 abr. 2006.

FARMER, Dan; VENEMA, Wietse. Forensic Discovery. Boston: Addison-Wesley, 2005.

FERGUSON, Niels; SCHNEIER, Bruce. Practical Cryptography. New York: Wiley, 2003.

FYODOR. The Art of Port Scanning. Phrack Magazine, v. 7, n. 51, 1997/1998. Disponível em: http://www.phrack.org/issues/51/14.html Acesso em: 13 abr. 2006.

GAREY, Michael R.; JOHNSON, David S. Computers and Intractability: A Guide to the Theory of NP-Completeness. San Francisco: W. H. Freeman, 1979.

HALFOND, William G. J.; ORSO, Alessandro. AMNESIA: Analysis and Monitoring for Neutralizing SQL-Injection Attacks. In: Proceedings of the 20th IEEE/ACM International Conference on Automated Software Engineering (ASE). 2005. Disponível em: https://doi.org/10.1145/1101908.1101926 Acesso em: 13 abr. 2006.

JULISCH, Klaus. Clustering Intrusion Detection Alarms to Support Root Cause Analysis. ACM Transactions on Information and System Security (TISSEC), v. 6, n. 4, p. 443–471, 2003. Disponível em: https://doi.org/10.1145/950191.950192 Acesso em: 13 abr. 2006.

LEE, Wenke; STOLFO, Salvatore J. Data Mining Approaches for Intrusion Detection. In: Proceedings of the 7th USENIX Security Symposium. 1998. Disponível em: https://www.usenix.org/conference/7th-usenix-security-symposium/data-mining-approaches-intrusion-detection Acesso em: 13 abr. 2006.

LIPPMANN, Richard et al. Evaluating Intrusion Detection Systems: The 1998 DARPA Off-Line Intrusion Detection Evaluation. In: Proceedings of the DARPA Information Survivability Conference and Exposition (DISCEX). 2000. Disponível em: https://doi.org/10.1109/DISCEX.2000.821514 Acesso em: 13 abr. 2006.

MANNA, Zohar; PNUELI, Amir. The Temporal Logic of Reactive and Concurrent Systems: Specification. New York: Springer, 1992.

MICROSOFT. Microsoft Security Bulletin MS03-026: Buffer Overrun in RPC Interface Could Allow Code Execution. 2003. Disponível em: https://docs.microsoft.com/security-updates/securitybulletins/2003/ms03-026 Acesso em: 13 abr. 2006.

MICROSOFT. Microsoft Security Bulletin MS04-011: Security Update for Microsoft Windows. 2004. Disponível em: https://docs.microsoft.com/security-updates/securitybulletins/2004/ms04-011 Acesso em: 13 abr. 2006.

NIST. Intrusion Detection Systems (SP 800-31). Gaithersburg: NIST, 2001. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-31/final Acesso em: 13 abr. 2006.

NIST. Guidelines on Firewalls and Firewall Policy (SP 800-41). Gaithersburg: NIST, 2002. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-41/final Acesso em: 13 abr. 2006.

NIST. Guidelines on Network Security Testing (SP 800-42). Gaithersburg: NIST, 2003. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-42/final Acesso em: 13 abr. 2006.

NIST. Computer Security Incident Handling Guide (SP 800-61). Gaithersburg: NIST, 2004. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-61/final Acesso em: 13 abr. 2006.

NORTHCUTT, Stephen; NOVELLI, Judy; HOENIG, Scott. Network Intrusion Detection. 3. ed. Indianapolis: New Riders, 2002.

OSSEC. OSSEC HIDS - Open Source Host-based Intrusion Detection System. 2006. Disponível em: https://www.ossec.net/ Acesso em: 13 abr. 2006.

OWASP. OWASP Guide v2.0. 2005. Disponível em: https://owasp.org/www-project-guide/ Acesso em: 13 abr. 2006.

PAXSON, Vern. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Disponível em: https://doi.org/10.1016/S1389-1286(99)00112-7 Acesso em: 13 abr. 2006.

PRELUDE. Prelude-IDS: Hybrid IDS Framework with IDMEF Support. 2003. Disponível em: https://www.prelude-siem.org/ Acesso em: 13 abr. 2006.

PTACEK, Thomas H.; NEWSHAM, Timothy N. Insertion, Evasion, and Denial of Service: Eluding Network Intrusion Detection. 1998. Disponível em: https://insecure.org/stf/secnet_ids/secnet_ids.html Acesso em: 13 abr. 2006.

RFC 3164. The BSD Syslog Protocol. 2001. Disponível em: https://www.rfc-editor.org/rfc/rfc3164 Acesso em: 13 abr. 2006.

RFC 1305. Network Time Protocol (Version 3) Specification. 1992. Disponível em: https://www.rfc-editor.org/rfc/rfc1305 Acesso em: 13 abr. 2006.

ROESCH, Martin. Snort: Lightweight Intrusion Detection for Networks. In: Proceedings of the 13th USENIX Systems Administration Conference (LISA '99). 1999. Disponível em: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks Acesso em: 13 abr. 2006.

SANS/DShield. DShield - Internet Storm Center. 2001. Disponível em: https://www.dshield.org/ Acesso em: 13 abr. 2006.

SGUIL. Sguil: The Analyst Console for Network Security Monitoring. 2004. Disponível em: http://sguil.sourceforge.net/ Acesso em: 13 abr. 2006.

SPAMHAUS. The Spamhaus DROP List. 2005. Disponível em: https://www.spamhaus.org/drop/ Acesso em: 13 abr. 2006.

TENEBLE (TENABLE NETWORK SECURITY). Nessus 2.2 Reference Guide. 2005. Disponível em: https://docs.tenable.com/nessus/Content/PDFs/Archive/Nessus_2.2_Reference.pdf Acesso em: 13 abr. 2006.

ULLMANN, Julian R. An Algorithm for Subgraph Isomorphism. Journal of the ACM, v. 23, n. 1, p. 31–42, 1976. Disponível em: https://doi.org/10.1145/321921.321925 Acesso em: 13 abr. 2006.

VALDES, Alfonso; SKINNER, Keith. Probabilistic Alert Correlation. In: Proceedings of the 4th International Symposium on Recent Advances in Intrusion Detection (RAID). 2001. Disponível em: https://doi.org/10.1007/3-540-45474-8_19 Acesso em: 13 abr. 2006.

TRIPWIRE. Tripwire Open Source for Linux. 2000. Disponível em: https://sourceforge.net/projects/tripwire/ Acesso em: 13 abr. 2006.

METASPLOIT. The Metasploit Framework. 2004–2006. Disponível em: https://www.metasploit.com/ Acesso em: 13 abr. 2006.

GARFINKEL, Simson; SPAFFORD, Gene. Practical UNIX and Internet Security. 3. ed. Sebastopol: O’Reilly, 2003. Disponível em: https://www.oreilly.com/library/view/practical-unix-and/0596003234/ Acesso em: 13 abr. 2006.