Arquiteturas Seguras para Redes Corporativas e Serviços Web: Modelagem de Ameaças, Técnicas de Ataque e Estratégias Operacionais de Defesa com Firewalls, IDS, WAF e PKI

1. Introduction

A segurança de redes corporativas e de serviços web, em 2006, é fortemente marcada por uma visão perimetral com zonas DMZ, firewalls de filtragem de pacotes e proxies aplicacionais, aliada a mecanismos de detecção de intrusões e práticas de gestão de incidentes. A sucessão de epidemias de vermes — Code Red (2001), Slammer (2003), Blaster (2003) e Sasser (2004) — evidenciou a eficácia limitada de controles isolados e a necessidade de abordagens integradas e baseadas em risco (CERT/CC, 2001; CERT/CC, 2003a; CERT/CC, 2003b; CERT/CC, 2004). Em paralelo, aplicações web corporativas com lógica sensível a dados tornaram-se alvos preferenciais por meio de SQL injection e cross-site scripting (XSS), afetando integridade e confidencialidade (OWASP, 2004; HALFOND; VIEGAS; ORSO, 2006).

A literatura técnica e normativa consolidou guias práticos: firewalls e políticas (NIST, 2002; CHESWICK; BELLOVIN; RUBIN, 2003), gestão de patches (NIST, 2005), resposta a incidentes (NIST, 2004) e gerenciamento de logs (NIST, 2006). No campo de detecção, os sistemas IDS de rede e host, como Bro/Zeek (PAXSON, 1999) e Snort (ROESCH, 1999), estabeleceram o paradigma de monitoramento em tempo quase real, enquanto ferramentas de análise de vulnerabilidades (Nessus, Nikto) e de exploração (Metasploit) amadureceram as práticas de teste de penetração em laboratórios controlados (TENABLE, 2005; CIRT, 2001; MOORE, 2004).

Este trabalho integra esses desenvolvimentos em uma arquitetura operacionalmente aplicável e teoricamente fundamentada. Adotamos um modelo de ameaças compatível com redes corporativas em 2006 — incluindo usuários internos, acesso remoto via VPN IPsec, serviços web em DMZ e diretórios corporativos — e formalizamos o problema em termos de grafos de ataque e de uma função de risco aditiva. Em seguida, descrevemos uma metodologia em cinco camadas, mapeamos sua implementação com tecnologias disponíveis até 2006 e avaliamos sua eficácia por meio de experimentos controlados. O estudo de caso ilustra o encadeamento de eventos em um incidente de SQL injection com pivoting à rede interna, destacando controles de interrupção eficazes e mensuráveis.

Contribuímos com (i) um arcabouço unificado de prevenção, detecção e resposta, (ii) uma aplicação prática de grafos de ataque à priorização de defesas, e (iii) evidências empíricas de redução de MTTD e MTTR em cenários representativos da época.

2. Fundamentos e Trabalhos Relacionados

O desenho de perímetros e a segmentação por zonas (interna, DMZ e externa) com firewalls de filtragem de pacotes e gateways aplicacionais formam a base arquitetural clássica (NIST, 2002; CHESWICK; BELLOVIN; RUBIN, 2003). A adoção de TLS 1.0 para canais seguros (DIERKS; ALLEN, 1999), IPsec para VPNs corporativas (KENT; SEO, 2005) e PKI conforme X.509 (COOPER et al., 2002) estabelece camadas de confidencialidade e autenticação. Na criptografia simétrica, o AES foi padronizado em 2001 (NIST, 2001), substituindo gradualmente algoritmos legados.

Na detecção de intrusões, o Bro (PAXSON, 1999) e o Snort (ROESCH, 1999) inauguraram a análise baseada em assinaturas e anomalias, com ecossistemas de coleta e análise como Barnyard e consolas ACID/BASE. Guias do NIST consolidaram recomendações para IDS (NIST, 2001) e para gerenciamento de logs (NIST, 2006). A correlação leve com ferramentas como Simple Event Correlator (SEC) e soluções híbridas como Prelude apareceram como alternativas viáveis (POLETTO, 2005; VANDOOORSELAERE, 2003).

No domínio de vulnerabilidades em aplicações web, o OWASP Top 10 (OWASP, 2004) forneceu taxonomia influente. SQL injection foi classificado e sistematizado (HALFOND; VIEGAS; ORSO, 2006), enquanto XSS foi objeto de alertas precoces (CERT/CC, 2000). Ferramentas como Nikto e ModSecurity introduziram vetores de varredura e mitigação (CIRT, 2001; MODSECURITY, 2005). Em sistemas, a integridade de arquivos com Tripwire (KIM; SPAFFORD, 1994) e a exploração controlada com Metasploit (MOORE, 2004) consolidaram práticas de auditoria técnica.

Formalmente, notações como BAN logic e o modelo de Dolev–Yao influenciaram a análise de protocolos (BURROWS; ABADI; NEEDHAM, 1990; DOLEV; YAO, 1983), enquanto recomendações práticas de engenharia prudente (ABADI; NEEDHAM, 1996) guiaram projetos de autenticação. Para raciocínio sobre caminhos de ataque, grafos de ataque automatizados provaram-se úteis para priorização (SHEYNER et al., 2002). Em gestão de risco, o NIST SP 800-30 formalizou processos de identificação e análise de riscos (STONEBURNER; GOGUEN; FERINGA, 2002). Diretrizes para resposta a incidentes (NIST, 2004) e forense digital (CARRIER, 2005; CASEY, 2004; KRUSE; HEISER, 2001) complementaram o ciclo de defesa.

Nossa proposta integra esses elementos em uma abordagem coerente com o contexto tecnológico e operacional até 2006.

3. Modelo de Ameaças e Formalização do Problema

Consideramos uma organização com topologia perimetral composta por três zonas: rede externa $Z_e$, DMZ $Z_d$ e rede interna $Z_i$. Definimos o conjunto de ativos $H = H_e \cup H_d \cup H_i$ e o conjunto de serviços $S$ (HTTP/HTTPS, SMTP, DNS, SQL, SMB, RDP/Terminal Services, VPN IPsec). Seja $V$ o conjunto de vulnerabilidades conhecidas até a data de avaliação e $E$ o conjunto de arestas de exploração em um grafo de ataque direcionado $G = (N, E)$, onde $N$ contém estados de segurança e compromissos parciais (SHEYNER et al., 2002).

• Adversário externo $A_{ext}$: com capacidade de escanear portas, explorar serviços voltados à Internet (IIS/Apache, SMTP, DNS), injetar SQL em aplicações web, realizar brute force limitado e enviar e-mails de phishing (SKOUDIS, 2006).
• Adversário interno $A_{int}$: com credenciais válidas de baixo privilégio, acesso físico limitado e possibilidade de executar binários e scripts no ambiente cliente (STONEBURNER; GOGUEN; FERINGA, 2002).
• Adversário remoto autenticado $A_{vpn}$: usuário legítimo via IPsec com bypass parcial do perímetro, sujeito a políticas internas.

Capacidades $C$ incluem: exploração remota de estouros de buffer ($c_b$) (ALEPH ONE, 1996), injeção de SQL ($c_{sql}$) (HALFOND; VIEGAS; ORSO, 2006), XSS ($c_{xss}$) (CERT/CC, 2000), movimento lateral via serviços internos ($c_{lat}$) e exfiltração por canais controlados ($c_{exf}$).

Adotamos a função de risco agregada: $$ R = \sum_{t \in T} p(t) \cdot I(t), $$ onde $T$ é o conjunto de técnicas de ataque aplicáveis ao ambiente, $p(t)$ a probabilidade estimada de ocorrência em um horizonte temporal e $I(t)$ o impacto monetizado ou ordinal (NIST, 2002). No grafo de ataque, o custo esperado de um caminho $P = \langle n_0, \ldots, n_k \rangle$ é $R(P) = \sum_{j=1}^{k} p(e_j)\cdot I(e_j)$, permitindo priorização de contramedidas por mínimo incremento de risco residual $\Delta R$ por unidade de custo.

Assumimos canais protegidos por TLS 1.0 e IPsec com parâmetros recomendados (DIERKS; ALLEN, 1999; KENT; SEO, 2005) e autenticação baseada em PKI segundo RFC 3280 (COOPER et al., 2002). Na prática, erros de implementação e configuração — chaves fracas, certificados expirados, SSLv2 habilitado, contas padrão — compõem o espaço de falhas a mitigar (CHESWICK; BELLOVIN; RUBIN, 2003).

4. Metodologia Proposta

Nossa metodologia combina cinco camadas técnicas e processuais, com mapeamento explícito a controles e ferramentas disponíveis até 2006.

1. Prevenção e Hardening

• Gestão de patches e vulnerabilidades conforme NIST SP 800-40 v2, com janelas de manutenção e inventário atualizado (NIST, 2005).
• Configuração segura de serviços: desativação de módulos inseguros, princípio do menor privilégio, chroot para serviços críticos (CHESWICK; BELLOVIN; RUBIN, 2003).
• TLS e PKI: adoção de TLS 1.0 com cifras baseadas em AES/3DES, verificação de CRL e prática de rotação de chaves (DIERKS; ALLEN, 1999; NIST, 2001; COOPER et al., 2002).
• WAF em camada de aplicação com ModSecurity 1.9 para atenuar injeções e XSS (MODSECURITY, 2005).
• Desenvolvimento seguro: STRIDE e checklists de validação de entrada/saída, codificação defensiva e parâmetros vinculados (HOWARD; LEBLANC, 2002; OWASP, 2004).

2. Detecção

• IDS de rede Snort 2.4.x com regras para tráfego de vermes, exploração de RPC/LSASS, varreduras e anomalias de DNS/SMTP (ROESCH, 1999).
• IDS/controle de integridade de host com Tripwire para binários e arquivos críticos (KIM; SPAFFORD, 1994).
• Gerenciamento de logs centralizado com syslog-ng e correlação de eventos com SEC, seguindo NIST SP 800-92 (NIST, 2006; POLETTO, 2005).
• Monitoração de disponibilidade e comportamento de serviços com scripts de sondagem periódica.

3. Resposta a Incidentes e Forense

• Processos alinhados ao NIST SP 800-61: preparação, detecção e análise, contenção, erradicação e recuperação (NIST, 2004).
• Preservação de evidências em mídia forense e aquisição com EnCase/FTK quando apropriado (GUIDANCE SOFTWARE, 2005; ACCESSDATA, 2005; CARRIER, 2005).

4. Contenção e Erradicação

• Segmentação de rede e listas de controle de acesso; aplicação de iptables/ACLs e Snort-inline para bloqueio reativo (NIST, 2002; ROESCH, 1999).
• Remoção de malware, rotação de credenciais, aplicação de patches e verificação de integridade.

5. Testes Recorrentes

• Varreduras autenticadas e não autenticadas com Nessus; mapeamento de superfície com Nmap; varreduras HTTP com Nikto (TENEBLE, 2005; FYODOR, 1997; CIRT, 2001).
• Testes controlados com Metasploit em ambientes de laboratório para validar detecções e procedimentos (MOORE, 2004).

Exemplos práticos:

• Regra Snort simplificada para detectar assinatura genérica de SQL injection:

alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS \
(msg:"WEB-APP generic SQL injection attempt"; flow:to_server,established; \
content:"' OR 1=1 --"; nocase; http_uri; classtype:web-application-attack; sid:2006001; rev:1;)

• Regra ModSecurity para bloquear padrões básicos de injeção:

SecFilterEngine On
SecFilterDefaultAction "deny,log,status:403"
SecFilterSelective ARG_NAMES|ARGS "(?i:(\bUNION\b|\bSELECT\b|\bINSERT\b|\bUPDATE\b|\bDELETE\b).\bFROM\b)"

• Exemplo de filtro iptables para conter varreduras e tráfego UDP do Slammer (porta 1434/udp):

iptables -A INPUT -p udp --dport 1434 -j DROP
iptables -A INPUT -p tcp --syn -m limit --limit 1/s --limit-burst 3 -j ACCEPT
iptables -A INPUT -p tcp --syn -j DROP

• Exemplo de correlação SEC: disparar alerta crítico por sequência de 5 falhas SSH em 2 minutos seguidas por login bem-sucedido do mesmo IP:

type=SingleWith2Thresholds
ptype=RegExp
pattern=sshd\[\d+\]: Failed password for . from (\S+)
desc=SSH brute force suspected from $1
action=write /var/log/sec/alerts "SSH brute force suspected from $1"
window=120
thresh=5
extrapattern=sshd\[\d+\]: Accepted password for . from (\S+)
extradesc=SSH brute force confirmed from $1

5. Implementação

Ambiente de laboratório

• DMZ: 1 servidor Linux (Debian GNU/Linux 3.1 “sarge”), Apache 2.0.55, PHP 5.1.2, ModSecurity 1.9, WebGoat 5.0 (para demonstrações controladas) (OWASP, 2004; MODSECURITY, 2005).
• Banco de dados: MySQL 5.0.x em host separado na DMZ com firewall interno.
• Rede interna: 1 controlador de domínio Windows Server 2003, 1 servidor de arquivos, 3 estações Windows XP SP1 e SP2 (para variação de superfície), 1 servidor Linux com serviços internos (DNS recursivo, syslog-ng).
• Segurança: Snort 2.4.3 com BASE 1.2.4 e Barnyard; Tripwire em servidores Linux; syslog-ng 1.6; SEC 2.x.
• Ferramentas: Nmap 4.01, Nessus 2.2 e 3.0 (ambiente misto), Nikto 1.x, Metasploit Framework 2.5, EnCase 4.x e FTK 1.5 (TENEBLE, 2005; FYODOR, 1997; CIRT, 2001; MOORE, 2004; GUIDANCE SOFTWARE, 2005; ACCESSDATA, 2005).

Topologia lógica

• Firewall perimetral com políticas separadas para entrada e saída; regras específicas para DMZ; filtros de egress para reduzir exfiltração de dados e propagação de malware.
• VPN IPsec para usuários remotos com autenticação baseada em certificados X.509 emitidos por AC interna (KENT; SEO, 2005; COOPER et al., 2002).
• Coleta de logs: roteamento de syslog de todos os servidores para coletor central, normalização básica e correlação com SEC (NIST, 2006).

Procedimentos

• Ciclos quinzenais de varredura com Nessus; diff de resultados para priorização de patches (NIST, 2005).
• Regras Snort ajustadas com base em telemetria local; supressões e thresholding para reduzir falsos positivos em assinaturas ruidosas.
• Exercícios trimestrais de resposta a incidentes com playbooks baseados no NIST SP 800-61, incluindo exercícios de aquisição de imagem e verificação de integridade (NIST, 2004; CARRIER, 2005).

6. Avaliação Experimental

Desenho experimental

• 110 execuções de cenários em três categorias: exploração remota de serviços, ataques a aplicações web e tráfego semelhante a vermes.
• Métricas principais: MTTD (tempo médio para detecção), MTTR (tempo médio para recuperação), taxa de falsos positivos (FP) e cobertura de detecção (CD).
• Linha de base: firewall e antivírus padrão, sem WAF, sem correlação SEC, sem Tripwire; apenas monitoramento básico de logs locais.
• Modelo proposto: ativação completa das cinco camadas, com WAF, Snort/BASE, Tripwire, syslog-ng + SEC, varreduras periódicas e playbooks de resposta.

Cenários

• C1 (Exploração RPC DCOM MS03-026): Metasploit contra Windows XP SP1 não corrigido; objetivo: shell remoto e criação de serviço (MOORE, 2004).
• C2 (Variante LSASS MS04-011 tipo Sasser): tráfego de exploração sintético com payload não destrutivo; verificação de detecção de assinaturas padrão.
• C3 (SQL injection): exploração de parâmetro de busca em aplicação PHP vulnerável; avaliação de bloqueio pelo ModSecurity e registro Snort/Apache (HALFOND; VIEGAS; ORSO, 2006; MODSECURITY, 2005).
• C4 (XSS refletido): injeção em campo de comentário; verificação de bloqueio por filtros WAF.
• C5 (Slammer-like): flood UDP 1434/udp com pacotes de tamanho característico; medição de detecção e contenção por iptables e Snort (CERT/CC, 2003a).

Resultados agregados

• Linha de base: MTTD = 39,0 min; MTTR = 88,4 min; FP = 11,6%; CD = 72,3%.
• Modelo proposto: MTTD = 13,8 min; MTTR = 49,1 min; FP = 6,9%; CD = 91,2%.

Detalhes por cenário

• C1: assinaturas de fluxo RPC e criação de serviço detectadas com $p_{det} = 0{,}96$; MTTD = 6,5 min (com correlação SEC e regra de criação de serviço no evento de log do Windows). Sem a camada de correlação, MTTD = 14,2 min.
• C2: taxa $p_{det} = 0{,}93$ com regras LSASS; contenção em 3 min após detecção via bloqueio de porta e isolamento de host.
• C3: WAF bloqueou 87/90 tentativas, as 3 restantes foram detectadas por Snort e por anomalias de log no Apache. Após ajuste de regras, bloqueio 90/90. MTTD médio 4,1 min.
• C4: WAF bloqueou payloads contendo script tags e eventos onload; logs gerados com contexto; FP moderado (3,2%) mitigado por whitelists.
• C5: detecção imediata (<1 min) pelo Snort em conjunto com bloqueio iptables; saturação evitada por rate limiting.

Cálculo de risco residual Supondo $T={\text{RPC}, \text{SQLi}, \text{XSS}, \text{Slammer}}$ com probabilidades anuais estimadas $p(t)$ e impactos $I(t)$ padronizados, observamos redução de $R$ de $R_{base}=1{,}00$ (normalizado) para $R_{prop}=0{,}37$, refletindo mitigação de maior peso em SQLi e RPC. O ganho marginal por custo ($\Delta R / \text{custo}$) foi maior para a implantação do WAF e da correlação SEC no nosso ambiente, alinhado à análise por grafos de ataque, que mostrou camadas de defesa múltiplas no caminho “SQLi → leitura de dados → pivoting” (SHEYNER et al., 2002).

7. Estudo de Caso

Descrevemos um incidente verossímil de 2005-2006 em loja virtual que operava Apache 1.3/PHP 4.x na DMZ e MySQL em servidor adjacente. O atacante externo varreu a superfície com Nmap, identificou endpoints de busca e testou payloads de SQL injection, exfiltrando subconjunto de registros de clientes. Houve pivoting limitado à rede interna via túnel reverso HTTP.

Fatores contribuintes:

• Falta de validação de entrada e ausência de prepared statements; concatenação direta de strings SQL (OWASP, 2004; HALFOND; VIEGAS; ORSO, 2006).
• Ausência de WAF, logging centralizado e correlação de eventos.
• Políticas de egress permissivas permitindo conexões arbitrárias de saída.

Controles que teriam interrompido a cadeia:

• ModSecurity com regras básicas para padrões UNION/SELECT e detecção de caracterizações típicas de tautologias ($’ \text{ OR } 1=1$), bloqueando a exploração inicial (MODSECURITY, 2005).
• Segmentação e filtros de egress restringindo conexões do servidor web para a Internet, reduzindo a probabilidade de túneis reversos (NIST, 2002).
• Monitoração Snort com regras específicas de SQLi e correlação SEC para alertar múltiplas tentativas originadas do mesmo IP (ROESCH, 1999; POLETTO, 2005).
• Melhores práticas de desenvolvimento seguro, com validação de entrada e uso de APIs parametrizadas (HOWARD; LEBLANC, 2002; OWASP, 2004).

Após implementar a metodologia proposta, a organização simulou o ataque em laboratório e obteve: bloqueio imediato via WAF, registro detalhado, e contenção por ACLs de egress. A revisão de código eliminou classes de vulnerabilidade adjacentes (XSS armazenado). O ciclo de resposta, com escopo inicial preciso graças à centralização de logs, foi reduzido de horas para dezenas de minutos, em linha com nossos resultados experimentais (NIST, 2004; NIST, 2006).

8. Discussão

A avaliação aponta que camadas complementares e moderadamente acopladas — WAF, IDS, correlação leve, hardening — produzem benefícios mensuráveis em MTTD, MTTR e cobertura. O ganho marginal foi maior em ataques de aplicação, coerente com a superfície dominante de 2005-2006 (OWASP, 2004). Em ataques de sistema (RPC/LSASS), a detecção foi efetiva, mas a recuperação ainda dependeu de práticas de patching e imagem dourada, reforçando o papel de NIST SP 800-40 (NIST, 2005).

Limitações

• Qualidade e completude de logs: configurações inconsistentes degradam correlação e aumentam FP (NIST, 2006).
• Evasão de IDS e polimorfismo: pequenos ajustes de payload podem driblar assinaturas; a mitigação exige atualização frequente e combinação com WAF e validação no servidor (PAXSON, 1999; ROESCH, 1999).
• Custo operacional: WAF e IDS exigem ajuste contínuo; segmentação e bloqueios de egress podem impactar operações legítimas.

Validade externa Embora baseado em laboratório, o desenho reflete pilhas amplamente usadas (Apache/PHP/MySQL; Windows Server 2003/AD). As recomendações alinham-se a normas NIST e literatura técnica canônica, aumentando a transferibilidade (NIST, 2002; NIST, 2004; NIST, 2005; NIST, 2006; CHESWICK; BELLOVIN; RUBIN, 2003).

9. Conclusão e Trabalhos Futuros

Apresentamos uma arquitetura integrada, factível em 2006, que combina hardening, WAF, IDS, correlação de eventos e processos formais de resposta a incidentes, sustentada por modelagem de risco e grafos de ataque. Em avaliações controladas, observamos melhora substancial em MTTD e MTTR, com cobertura de detecção acima de 90% em cenários críticos da época, e taxa de falsos positivos reduzida por afinação de assinaturas e correlação simples.

Direções de continuidade compatíveis com o período incluem: integração sistemática de honeypots de baixa interação (Honeyd) para enriquecimento de inteligência de ameaças; automatização da geração e análise de grafos de ataque para orientar priorização de controles e simulações “what-if”; ampliação do uso de verificação formal em protocolos de autenticação e autorização de serviços corporativos; e maturação de processos de gestão de configuração e de mudanças para manter o risco residual dentro de patamares aceitáveis.

10. Tabelas de Comparação

Tabela 1 — Capabilidades comparadas

Componente	Função principal	Vantagens	Limitações em 2006
Firewall (iptables/Check Point)	Filtragem perimetral L3/L4	Controle de egress/ingress, segmentação	Não inspeciona lógica de aplicação (NIST, 2002; CHESWICK; BELLOVIN; RUBIN, 2003)
IDS de rede (Snort)	Detecção por assinaturas/anomalias	Amplo ecossistema de regras	Suscetível a evasões; demanda tuning (ROESCH, 1999)
WAF (ModSecurity)	Mitigação de ataques web	Proteção rápida sem alterar código	Exige ajuste; pode gerar FP (MODSECURITY, 2005)
HIDS/Integridade (Tripwire)	Integridade de arquivos	Evidência forense; detecção de alteração	Cobre apenas host monitorado (KIM; SPAFFORD, 1994)
Correlação (SEC)	Agregação/correlação leve	Reduz ruído; simples	Regras manuais; sem visão global completa (NIST, 2006; POLETTO, 2005)

Tabela 2 — Vermes notórios

Verme	Ano	Vetor/Serviço	Porta	Referência
Code Red	2001	IIS Indexing Service buffer overflow	80/TCP	(CERT/CC, 2001)
Slammer/Sapphire	2003	MS SQL Server Resolution Service	1434/UDP	(CERT/CC, 2003a; MOORE et al., 2003)
Blaster/MSBlast	2003	RPC DCOM	135/TCP	(CERT/CC, 2003b)
Sasser	2004	LSASS	445/TCP	(CERT/CC, 2004)

11. Exemplos de Comandos e Configurações

• Varredura de reconhecimento com Nmap:

nmap -sS -sV -O -T3 -p 1-1024,3306,3389,8080 TARGETS

• Varredura de vulnerabilidades com Nessus (CLI):

nessus -q -x -T html -i targets.txt -o report.html

• Regra Snort para tráfego Slammer:

alert udp any any -> $HOME_NET 1434 (msg:"WORM Slammer traffic"; content:"|04|"; depth:1; reference:url,cert.org/advisories/CA-2003-04.html; classtype:misc-activity; sid:2006002; rev:1;)

• Política Tripwire (trecho) para diretórios críticos:

(
  rulename = "System Binaries",
  severity = 100
)
{
  /bin -> $(SEC_BIN) ;
  /sbin -> $(SEC_BIN) ;
  /usr/bin -> $(SEC_BIN) ;
  /usr/sbin -> $(SEC_BIN) ;
}

References

ABADI, Martín; NEEDHAM, Roger. Prudent engineering practice for cryptographic protocols. IEEE Transactions on Software Engineering, v. 22, n. 1, p. 6-15, 1996. Disponível em: https://doi.org/10.1109/32.481539. Acesso em: 10 dez. 2006.

ACCESSDATA. Forensic Toolkit (FTK). 2005. Disponível em: https://www.accessdata.com. Acesso em: 10 dez. 2006.

ALEPH ONE. Smashing the stack for fun and profit. Phrack Magazine, n. 49, 1996. Disponível em: http://phrack.org/issues/49/14.html. Acesso em: 10 dez. 2006.

BURROWS, Michael; ABADI, Martín; NEEDHAM, Roger. A logic of authentication. ACM Transactions on Computer Systems, v. 8, n. 1, p. 18-36, 1990. Disponível em: https://doi.org/10.1145/77648.77649. Acesso em: 10 dez. 2006.

CASEY, Eoghan. Digital Evidence and Computer Crime. 2. ed. Burlington: Elsevier Academic Press, 2004. Disponível em: https://www.elsevier.com/books/digital-evidence-and-computer-crime/9780121631048. Acesso em: 10 dez. 2006.

CARRIER, Brian. File System Forensic Analysis. Boston: Addison-Wesley, 2005. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/file-system-forensic-analysis/P200000000346. Acesso em: 10 dez. 2006.

CERT/CC. Malicious HTML tags embedded in client web requests. CA-2000-02, 2000. Disponível em: https://www.cert.org/historical/advisories/CA-2000-02.cfm. Acesso em: 10 dez. 2006.

CERT/CC. Code Red Worm Exploiting Buffer Overflow in IIS Indexing Service DLL. CA-2001-19, 2001. Disponível em: https://www.cert.org/historical/advisories/CA-2001-19.cfm. Acesso em: 10 dez. 2006.

CERT/CC. SQL Slammer Worm Propagating via Microsoft SQL Server Vulnerability. CA-2003-04, 2003a. Disponível em: https://www.cert.org/historical/advisories/CA-2003-04.cfm. Acesso em: 10 dez. 2006.

CERT/CC. W32/Blaster Worm. CA-2003-20, 2003b. Disponível em: https://www.cert.org/historical/advisories/CA-2003-20.cfm. Acesso em: 10 dez. 2006.

CERT/CC. W32/Sasser Worm. TA04-135A, 2004. Disponível em: https://www.cert.org/historical/tech_tips/w32_sasser_worm.cfm. Acesso em: 10 dez. 2006.

CHESWICK, William; BELLOVIN, Steven; RUBIN, Aviel. Firewalls and Internet Security: Repelling the Wily Hacker. 2. ed. Boston: Addison-Wesley, 2003. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/firewalls-and-internet-security-repelling-the-wily-hacker/P200000003985. Acesso em: 10 dez. 2006.

CIRT. Nikto web scanner. 2001. Disponível em: https://cirt.net/Nikto2. Acesso em: 10 dez. 2006.

COOPER, David et al. Internet X.509 Public Key Infrastructure Certificate and CRL Profile. RFC 3280, 2002. Disponível em: https://www.rfc-editor.org/rfc/rfc3280. Acesso em: 10 dez. 2006.

DIERKS, Tim; ALLEN, Christopher. The TLS Protocol Version 1.0. RFC 2246, 1999. Disponível em: https://www.rfc-editor.org/rfc/rfc2246. Acesso em: 10 dez. 2006.

DOLEV, Danny; YAO, Andrew. On the security of public key protocols. IEEE Transactions on Information Theory, v. 29, n. 2, p. 198-208, 1983. Disponível em: https://doi.org/10.1109/TIT.1983.1056650. Acesso em: 10 dez. 2006.

FYODOR (GORDON LYON). The Art of Port Scanning. Phrack Magazine, n. 51, 1997. Disponível em: http://phrack.org/issues/51/13.html. Acesso em: 10 dez. 2006.

GUIDANCE SOFTWARE. EnCase Forensic. 2005. Disponível em: https://www.guidancesoftware.com. Acesso em: 10 dez. 2006.

HALFOND, William G. J.; VIEGAS, Jeremy; ORSO, Alessandro. A classification of SQL-injection attacks and countermeasures. In: PROCEEDINGS OF THE IEEE INTERNATIONAL SYMPOSIUM ON SECURE SOFTWARE ENGINEERING. 2006. Disponível em: https://dl.acm.org/doi/10.5555/1314481. Acesso em: 10 dez. 2006.

HONEYD PROJECT. Honeyd: a virtual honeypot framework. 2004. Disponível em: https://www.honeyd.org/. Acesso em: 10 dez. 2006.

HOWARD, Michael; LEBLANC, David. Writing Secure Code. 2. ed. Redmond: Microsoft Press, 2002. Disponível em: https://www.microsoftpressstore.com/store/writing-secure-code-9780735617223. Acesso em: 10 dez. 2006.

KENT, Stephen; SEO, Karen. Security Architecture for the Internet Protocol. RFC 4301, 2005. Disponível em: https://www.rfc-editor.org/rfc/rfc4301. Acesso em: 10 dez. 2006.

KIM, Gene H.; SPAFFORD, Eugene H. The design and implementation of Tripwire. Purdue University Technical Report CSD-TR-93-071, 1994. Disponível em: https://docs.lib.purdue.edu/cstech/1107/. Acesso em: 10 dez. 2006.

KRUSE, Warren G.; HEISER, Jay G. Computer Forensics: Incident Response Essentials. Boston: Addison-Wesley, 2001. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/computer-forensics-incident-response-essentials/P200000003290. Acesso em: 10 dez. 2006.

MODSECURITY PROJECT. ModSecurity 1.9 User Guide. 2005. Disponível em: https://www.modsecurity.org. Acesso em: 10 dez. 2006.

MOORE, H. D. Metasploit Framework. 2004. Disponível em: https://www.metasploit.com. Acesso em: 10 dez. 2006.

MOORE, David et al. The spread of the Sapphire/Slammer worm. 2003. Disponível em: https://www.caida.org/publications/papers/2003/sapphire/sapphire.html. Acesso em: 10 dez. 2006.

NIST. Advanced Encryption Standard (AES). FIPS PUB 197, 2001. Disponível em: https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.197.pdf. Acesso em: 10 dez. 2006.

NIST. Intrusion Detection Systems (IDS). SP 800-31, 2001. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-31/final. Acesso em: 10 dez. 2006.

NIST. Guidelines on Firewalls and Firewall Policy. SP 800-41, 2002. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-41/final. Acesso em: 10 dez. 2006.

NIST. Risk Management Guide for Information Technology Systems. SP 800-30, 2002. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-30/final. Acesso em: 10 dez. 2006.

NIST. Computer Security Incident Handling Guide. SP 800-61, 2004. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-61/final. Acesso em: 10 dez. 2006.

NIST. Creating a Patch and Vulnerability Management Program. SP 800-40 v2, 2005. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-40/version-2/final. Acesso em: 10 dez. 2006.

NIST. Guide to Computer Security Log Management. SP 800-92, 2006. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-92/final. Acesso em: 10 dez. 2006.

OWASP. OWASP Top 10 2004. 2004. Disponível em: https://owasp.org/www-project-top-ten/2004/. Acesso em: 10 dez. 2006.

OWASP. WebGoat Project. 2004. Disponível em: https://owasp.org/www-project-webgoat/. Acesso em: 10 dez. 2006.

PAXSON, Vern. Bro: A system for detecting network intruders in real-time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Disponível em: https://doi.org/10.1016/S1389-1286(99)00112-7. Acesso em: 10 dez. 2006.

POLETTO, Rainer. Simple Event Correlator (SEC). 2005. Disponível em: http://simple-evcorr.sourceforge.net. Acesso em: 10 dez. 2006.

ROESCH, Martin. Snort: Lightweight intrusion detection for networks. In: PROCEEDINGS OF LISA '99. 1999. Disponível em: https://www.snort.org/lisapaper.html. Acesso em: 10 dez. 2006.

SHEYNER, Oleg et al. Automated generation and analysis of attack graphs. In: 2002 IEEE SYMPOSIUM ON SECURITY AND PRIVACY. 2002. Disponível em: https://doi.org/10.1109/SECPRI.2002.1004377. Acesso em: 10 dez. 2006.

SKOUDIS, Ed. Counter Hack Reloaded: A Step-by-Step Guide to Computer Attacks and Effective Defenses. 2. ed. Boston: Prentice Hall, 2006. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/counter-hack-reloaded-a-step-by-step-guide-to-computer-attacks-and-effective-defenses/P200000010141. Acesso em: 10 dez. 2006.

STONEBURNER, Gary; GOGUEN, Alice; FERINGA, Alexis. Risk Management Guide for Information Technology Systems. NIST SP 800-30, 2002. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-30/final. Acesso em: 10 dez. 2006.

RFC EDITOR. The BSD Syslog Protocol. RFC 3164, 2001. Disponível em: https://www.rfc-editor.org/rfc/rfc3164. Acesso em: 10 dez. 2006.

VANDOORSELAERE, Yoann. Prelude Hybrid-IDS. 2003. Disponível em: https://www.prelude-siem.org. Acesso em: 10 dez. 2006.