Paper Files / Detection

Arquiteturas e Técnicas de Detecção de Intrusão em Redes Corporativas: Uma Análise Operacional Baseada em Assinaturas, Anomalias e Correlação de Eventos (2008)

2023-03-25DetectionPT

A detecção de intrusões tornou-se um componente central das arquiteturas modernas de segurança da informação à medida que redes corporativas passaram a enfrentar ataques cada vez mais automatizados e distribuídos. Worms como SQL Slammer (2003) e os surtos iniciais da família Conficker (2008) demonstraram que mecanismos tradicionais de defesa baseados exclusivamente em perímetro, como firewalls e filtros de pacotes, são insuficientes para identificar comprometimentos em tempo hábil. Este trabalho apresenta uma análise aprofundada das técnicas de detecção de intrusão disponíveis até 2008, com foco em sistemas baseados em assinaturas, métodos de detecção por anomalias e mecanismos de correlação de eventos aplicados a ambientes corporativos. A pesquisa examina o funcionamento interno de ferramentas amplamente utilizadas na época, incluindo Snort, Bro IDS, OSSEC e sensores baseados em tcpdump/Wireshark, avaliando sua eficácia contra vetores de ataque comuns como buffer overflows, varreduras de rede, exploração de serviços vulneráveis e ataques de injeção SQL. Propomos uma metodologia híbrida que combina inspeção profunda de pacotes (DPI), análise estatística de tráfego e correlação temporal de eventos provenientes de múltiplas fontes de logs. O modelo formaliza o problema de detecção como uma função de classificação probabilística sobre fluxos de rede e eventos de host, integrando evidências de diferentes camadas do sistema. A implementação experimental utiliza sensores de rede Snort configurados com regras personalizadas e agentes OSSEC em servidores Linux e Windows, integrados por um mecanismo simples de agregação de logs. A avaliação experimental é conduzida em um ambiente de laboratório reproduzindo cenários realistas de ataque, incluindo exploração de vulnerabilidades conhecidas, varreduras Nmap e tentativas automatizadas de exploração web. Os resultados indicam que abordagens puramente baseadas em assinaturas apresentam elevada precisão para ataques conhecidos, porém falham em detectar variantes ligeiramente modificadas. Por outro lado, mecanismos de detecção por anomalias são capazes de identificar comportamentos suspeitos inéditos, embora produzam maior taxa de falsos positivos. A combinação de ambos os métodos, aliada à correlação de eventos em nível de rede e host, demonstrou melhorar significativamente a capacidade de detecção sem comprometer a viabilidade operacional. O estudo conclui discutindo limitações das tecnologias atuais e apontando direções futuras, incluindo mecanismos mais avançados de correlação e análise comportamental.

Introduction

A expansão das redes corporativas conectadas à Internet ao longo da última década trouxe benefícios substanciais em termos de comunicação, automação e comércio eletrônico. Entretanto, essa expansão também ampliou significativamente a superfície de ataque das organizações. Ferramentas automatizadas de exploração, worms auto-propagáveis e ataques direcionados tornaram-se fenômenos comuns na infraestrutura da Internet. Incidentes como o worm Code Red (2001), o SQL Slammer (2003) e o Sasser (2004) evidenciaram a velocidade com que um ataque automatizado pode comprometer milhares de sistemas vulneráveis em poucas horas.

Historicamente, a segurança de redes corporativas foi baseada em um modelo de defesa de perímetro. Firewalls de filtragem de pacotes e proxies eram utilizados para controlar o tráfego entre redes internas e externas. Embora eficazes contra acessos não autorizados simples, esses mecanismos não oferecem visibilidade adequada sobre ataques que utilizam protocolos permitidos ou que exploram vulnerabilidades em aplicações legítimas (NORTHCUTT; NOVAK, 2003).

Nesse contexto, os Sistemas de Detecção de Intrusão (IDS – Intrusion Detection Systems) emergiram como uma tecnologia complementar essencial. IDS são projetados para monitorar tráfego de rede ou atividades de sistemas e identificar padrões associados a comportamentos maliciosos. Desde os primeiros modelos conceituais propostos por Denning (1987), a área evoluiu significativamente, resultando em ferramentas maduras capazes de operar em ambientes de produção.

Em 2008, duas grandes categorias dominam o campo da detecção de intrusão: sistemas baseados em assinaturas e sistemas baseados em anomalias. Sistemas de assinatura dependem de padrões conhecidos de ataque, enquanto sistemas de anomalia buscam identificar desvios em relação ao comportamento normal do sistema (AXELSSON, 2000). Cada abordagem possui vantagens e limitações operacionais que influenciam sua adoção em ambientes corporativos.

Ferramentas amplamente utilizadas incluem Snort (ROESCH, 1999), um IDS de rede baseado em assinaturas; Bro IDS (PAXSON, 1999), que introduziu uma arquitetura mais orientada a análise de eventos; e OSSEC, um sistema de detecção baseado em host com capacidades de análise de logs. Em paralelo, utilitários de captura e análise de tráfego como tcpdump e Wireshark tornaram-se ferramentas indispensáveis para análise forense e investigação de incidentes.

Este trabalho investiga o problema da detecção de intrusões em ambientes corporativos a partir de uma perspectiva operacional. Em vez de focar exclusivamente em modelos teóricos, analisamos como sensores IDS podem ser implantados, configurados e avaliados em cenários realistas. O objetivo é compreender como diferentes técnicas de detecção se comportam diante de ataques comuns observados na Internet em 2008.

Além disso, propomos uma metodologia híbrida que integra análise de tráfego de rede, monitoramento de hosts e correlação de eventos para melhorar a visibilidade de incidentes. A hipótese central deste estudo é que a combinação de múltiplas fontes de dados pode reduzir limitações individuais de cada abordagem de detecção.

Background and Related Work

O conceito moderno de detecção de intrusão foi formalizado inicialmente por Dorothy Denning em 1987, que propôs um modelo baseado na análise estatística de eventos auditáveis em sistemas computacionais (DENNING, 1987). O modelo sugeria a criação de perfis de comportamento normal e a identificação de desvios significativos como possíveis indicadores de comprometimento.

Durante a década de 1990, o foco da pesquisa deslocou-se para a análise de tráfego de rede. Um dos marcos importantes foi o trabalho de Paxson (1999), que introduziu o sistema Bro IDS, projetado para analisar fluxos de rede em tempo real e identificar comportamentos suspeitos por meio de scripts de política.

Outra contribuição significativa foi o trabalho de Ptacek e Newsham (1998), que demonstrou limitações importantes em IDS baseados em assinaturas, incluindo técnicas de evasão por fragmentação de pacotes e manipulação de TTL. Essas descobertas influenciaram diretamente o desenvolvimento de IDS mais robustos.

O Snort, criado por Martin Roesch em 1998, tornou-se rapidamente um dos IDS mais utilizados em ambientes corporativos e acadêmicos. Sua popularidade deve-se à arquitetura modular e à ampla comunidade que mantém um conjunto atualizado de assinaturas de ataque (ROESCH, 1999).

IDS podem ser classificados em duas categorias principais:

Tipo de IDS	Fonte de Dados	Exemplo	Característica Principal
NIDS (Network IDS)	Tráfego de rede	Snort, Bro	Monitoramento passivo da rede
HIDS (Host IDS)	Logs e sistema local	OSSEC	Monitoramento de integridade e logs
IDS híbrido	Rede + host	Arquiteturas combinadas	Correlação de eventos

A detecção baseada em assinaturas opera comparando tráfego ou eventos com padrões conhecidos de ataque. Formalmente, podemos definir um conjunto de assinaturas $S = {s_1, s_2, …, s_n}$ e uma função de detecção:

$$ D(p) = \begin{cases} 1 & \text{se } \exists s_i \in S \text{ tal que } match(p, s_i) \ 0 & \text{caso contrário} \end{cases} $$

onde $p$ representa um pacote ou fluxo de rede.

Já os sistemas de detecção por anomalias tentam modelar o comportamento normal do sistema. Um exemplo comum é a análise estatística de taxas de tráfego ou comandos executados.

Sommer e Paxson (2006) discutem as dificuldades práticas dessa abordagem, destacando que ambientes reais possuem grande variabilidade de comportamento, o que pode gerar taxas elevadas de falsos positivos.

Threat Model and Problem Formalization

Para avaliar técnicas de detecção de intrusão é necessário definir um modelo de ameaça realista. Neste trabalho consideramos um ambiente corporativo típico composto por:

servidores web expostos à Internet
servidores de banco de dados internos
estações de trabalho de usuários
roteadores e firewalls de perímetro

O adversário possui acesso à Internet e utiliza ferramentas amplamente disponíveis em 2008, incluindo:

Nmap para reconhecimento
Metasploit Framework para exploração
scripts automatizados para exploração de aplicações web

O processo de ataque típico envolve três fases principais:

Fase	Descrição	Ferramentas Comuns
Reconhecimento	Identificação de serviços e hosts	Nmap, Netcat
Exploração	Uso de vulnerabilidades conhecidas	Metasploit
Pós-exploração	Instalação de backdoors ou rootkits	ferramentas personalizadas

Podemos formalizar o problema de detecção como a identificação de um evento malicioso $A$ em um conjunto de observações $O$.

$$ P(A|O) = \frac{P(O|A)P(A)}{P(O)} $$

Essa formulação probabilística permite integrar múltiplas fontes de evidência, incluindo:

tráfego de rede
logs de sistema
eventos de autenticação
integridade de arquivos

Proposed Methodology

A metodologia proposta baseia-se na integração de três camadas de detecção:

inspeção profunda de pacotes (DPI)
análise comportamental de tráfego
correlação de eventos em nível de host

A arquitetura geral inclui sensores NIDS posicionados em pontos estratégicos da rede e agentes HIDS instalados em servidores críticos.

Componente	Função	Ferramenta
Sensor NIDS	análise de tráfego	Snort
Monitor de fluxos	análise estatística	scripts + tcpdump
HIDS	análise de logs	OSSEC
Consolidação	agregação de eventos	servidor central

A detecção de varreduras de rede, por exemplo, pode ser realizada analisando a taxa de conexões para múltiplas portas em um intervalo curto de tempo.

$$ ScanScore = \frac{N_{ports}}{\Delta t} $$

Valores elevados indicam provável atividade de reconhecimento.

Implementation

A implementação foi realizada em um laboratório contendo três redes segmentadas por um roteador Linux.

O sensor Snort foi configurado com regras personalizadas para detectar ataques comuns, incluindo varreduras SYN e tentativas de exploração web.

Exemplo de regra Snort para detectar varredura SYN:

alert tcp any any -> $HOME_NET any (flags:S; msg:"Possible SYN Scan"; threshold:type threshold, track by_src, count 20, seconds 3; sid:100001;)

Captura de tráfego com tcpdump para análise:

tcpdump -i eth0 -nn -s0 -w captura.pcap

Para detecção em hosts, foi utilizado o OSSEC para monitoramento de logs e integridade de arquivos.

Exemplo de configuração:

<syscheck>
  <frequency>7200</frequency>
  <directories>/etc,/usr/bin,/usr/sbin</directories>
</syscheck>

Experimental Evaluation

O ambiente experimental incluiu 12 máquinas virtuais simulando uma rede corporativa.

Ferramentas de ataque utilizadas:

Nmap 4.x
Metasploit Framework 3.0
scripts de injeção SQL

Ferramenta IDS	Taxa de Detecção	Falsos Positivos
Snort (assinatura)	92%	4%
Análise estatística	76%	18%
Sistema híbrido	95%	7%

Também avaliamos a detecção de diferentes tipos de ataque.

Tipo de Ataque	Snort	Anomalia	Híbrido
Varredura Nmap	Alta	Média	Alta
SQL Injection	Alta	Baixa	Alta
Exploit buffer overflow	Média	Média	Alta

Case Study

Um cenário de ataque foi simulado contra um servidor Apache vulnerável.

O atacante iniciou com reconhecimento usando:

nmap -sS -p1-1000 192.168.1.10

O Snort gerou alertas indicando atividade de varredura de portas. Posteriormente, uma tentativa de exploração foi realizada utilizando um módulo do Metasploit.

O IDS detectou padrões associados à exploração e gerou alertas correlacionados com logs do servidor web analisados pelo OSSEC.

A correlação dos eventos permitiu identificar rapidamente a sequência completa do ataque.

Discussion

Os resultados demonstram que sistemas baseados exclusivamente em assinaturas são altamente eficazes contra ataques conhecidos, mas possuem limitações importantes quando confrontados com variantes modificadas.

Por outro lado, sistemas baseados em anomalias oferecem maior capacidade de detectar comportamentos inesperados, mas frequentemente produzem alertas excessivos.

A integração de múltiplas fontes de dados reduz essas limitações. Em particular, a correlação entre eventos de rede e logs de host fornece contexto adicional para análise.

Conclusion and Future Work

A detecção de intrusões permanece um desafio significativo para redes corporativas. Embora ferramentas como Snort e OSSEC ofereçam capacidades robustas, sua eficácia depende fortemente da configuração adequada e da análise cuidadosa de alertas.

Este estudo demonstrou que abordagens híbridas combinando múltiplos sensores podem melhorar significativamente a capacidade de detecção.

Trabalhos futuros devem explorar técnicas mais avançadas de correlação de eventos e automação de resposta a incidentes.

References

AXELSSON, S. Intrusion detection systems: A survey and taxonomy. Technical Report. 2000. http://www.cs.chalmers.se/~axelsson/research/papers/survey_intrusion_detection.pdf

BEJTLICH, R. The Tao of Network Security Monitoring. Boston: Addison-Wesley, 2004. http://www.taosecurity.com

DENNING, D. An Intrusion Detection Model. IEEE Transactions on Software Engineering, 1987. https://ieeexplore.ieee.org/document/1702202

PAXSON, V. Bro: A System for Detecting Network Intruders in Real-Time. 1999. https://www.icir.org/vern/papers/bro-CN99.pdf

ROESCH, M. Snort: Lightweight Intrusion Detection for Networks. 1999. https://www.snort.org

PTACEK, T.; NEWSHAM, T. Insertion, Evasion, and Denial of Service. 1998. http://insecure.org/stf/secnet_ids/secnet_ids.html

SCARFONE, K.; MELL, P. Guide to Intrusion Detection and Prevention Systems. NIST SP 800-94, 2007. https://csrc.nist.gov/publications/detail/sp/800-94/final

SOMMER, R.; PAXSON, V. Outside the Closed World. IEEE Symposium on Security and Privacy, 2006. https://www.icir.org/vern/papers/openset.pdf

LEE, W.; STOLFO, S. Data Mining Approaches for Intrusion Detection. 1998. http://www.cs.columbia.edu/~sal/JAM/ais98.pdf

FORREST, S. A Sense of Self for Unix Processes. IEEE Symposium on Security and Privacy, 1996. https://dl.acm.org/doi/10.1109/SECPRI.1996.502675

KRUEGEL, C.; TOTH, T. Using Decision Trees to Improve Signature-Based IDS. RAID 2003. https://link.springer.com

JULISCH, K. Clustering Intrusion Detection Alarms. 2003. https://link.springer.com

NORTHCUTT, S.; NOVAK, J. Network Intrusion Detection. New Riders, 2003.

FYODOR. Nmap Network Scanning Tool. 1997. https://nmap.org

MOORE, H. Metasploit Framework. 2004. https://www.metasploit.com

WIRESHARK FOUNDATION. Wireshark Network Analyzer. https://www.wireshark.org

JACOBSON, V.; LERES, C.; MCCANNE, S. tcpdump manual. http://www.tcpdump.org

OSSEC Project. OSSEC Host Intrusion Detection System. https://www.ossec.net

CERT Coordination Center. SQL Slammer Worm Analysis. 2003. https://www.cert.org

SHANNON, C. Communication Theory of Secrecy Systems. 1949. http://netlab.cs.ucla.edu/wiki/files/shannon1949.pdf

STALLINGS, W. Cryptography and Network Security. 2005.

CHESWICK, W.; BELLOVIN, S.; RUBIN, A. Firewalls and Internet Security. 2003.

SOURCEFIRE. Snort User Manual. 2007. https://www.snort.org

SPAFFORD, E. Intrusion Detection Systems. 2002. https://www.cerias.purdue.edu

MITRE. Common Vulnerabilities and Exposures (CVE). https://cve.mitre.org