Segurança de Redes e Aplicações em 2006: Modelagem de Ameaças, Exploração de Vulnerabilidades e Estratégias Defensivas em Perímetro, IDS e Aplicações Web

1. Introduction

O período de 2001 a 2006 consolidou uma nova realidade operacional para a segurança da informação em redes corporativas. A proliferação de serviços expostos à Internet, o crescimento de aplicações web dinâmicas baseadas em PHP/ASP/CGI e a ubiquidade de estações Windows 2000/XP introduziram vetores de ataque explorados tanto por agentes oportunistas quanto por intrusos sofisticados. Surtos de worms como Code Red (2001), Nimda (2001), SQL Slammer (2003), Blaster (2003) e Sasser (2004) evidenciaram o custo sistêmico da fragilidade em serviços de infraestrutura amplamente implantados (MOORE et al., 2002; STANIFORD; PAXSON; WEAVER, 2002; CERT/CC, 2003a; CERT/CC, 2003b; CERT/CC, 2004).

Neste contexto, definimos uma abordagem integrada que combina modelagem formal de ameaças, experimentação controlada e avaliação empírica de estratégias defensivas clássicas em 2006: firewalls de filtragem de pacotes e proxies, IDS/IPS baseados em assinaturas e anomalias, hardening e segmentação, e práticas de engenharia segura para aplicações web. Concentramo-nos em categorias de vulnerabilidades predominantes na época, em particular: estouro de buffer em serviços de rede e bibliotecas C (ALEPH ONE, 1996; WHEELER, 2000), injeção de SQL e XSS em aplicações web (OWASP, 2004; HALFOND; VIEGAS; ORSO, 2006; KLEIN, 2005), e fraquezas de configuração e autenticação (CHESWICK; BELLOVIN; RUBIN, 2003; ANDERSON, 2001).

Propomos um modelo de risco operacional que explicita a relação entre exposição, janela de patch e presença de código-exploração público, e demonstramos como políticas de filtragem, detecção e correlação de eventos podem reduzir o risco efetivo. Para sustentar os resultados, implementamos um laboratório realista reproduzindo arquiteturas corporativas típicas: perímetro com iptables, sub-redes DMZ e internas, serviços web e banco de dados, estações de trabalho heterogêneas, e monitoração com Snort, Bro, OSSEC e syslog-ng (ROESCH, 1999; PAXSON, 1999; CID, 2005).

Nossas contribuições são: (i) uma formalização de ameaças e de custo-benefício para intrusos compatível com 2006, (ii) uma metodologia reprodutível para medição de eficácia defensiva com métricas estatísticas e validação cruzada, (iii) evidência empírica sobre detecção e contenção de ataques em perímetro e aplicação, e (iv) um estudo de caso que reconstrói a dinâmica de propagação de worms e seus pontos de contenção.

2. Background and Related Work

A literatura de segurança de redes e aplicações até 2006 fornece fundamentos sólidos para nossa análise. Em termos de princípios, o trabalho seminal de Saltzer e Schroeder (1975) define diretrizes como privilégio mínimo, design aberto e proteção completa, enquanto modelos de segurança de fluxo de informação como Bell-LaPadula (1973) e Biba (1977) oferecem abstrações úteis para confidencialidade e integridade. Em criptografia aplicada, algoritmos assimétricos (RSA) e simétricos (AES) consolidaram-se como pilares de protocolos como TLS/SSL e IPsec (RIVEST; SHAMIR; ADELMAN, 1978; NIST, 2001; RFC 2246, 1999; RFC 2401, 1998; STALLINGS, 2003).

No domínio de detecção de intrusões, Snort propôs uma arquitetura leve baseada em assinaturas e inspeção profunda de pacotes (ROESCH, 1999), enquanto Bro explorou análise semântica de protocolos e políticas declarativas (PAXSON, 1999). O uso de NetFlow para visibilidade de tráfego e de ferramentas de correlação de eventos como ACID/BASE e OSSEC HIDS complementou o ecossistema de detecção (LIPPMANN et al., 2000; CID, 2005; ROMIG; HALL; CLARK, 1999). Em firewalls e perímetro, a obra de Cheswick, Bellovin e Rubin (2003) consolidou boas práticas arquiteturais de defesa em profundidade.

A exploração de vulnerabilidades de memória teve como marco a análise prática de Aleph One sobre estouro de pilha (ALEPH ONE, 1996), ampliada por técnicas de exploração format string, heap overflow e bypass de proteções emergentes (WHEELER, 2000; CRAMER; FELDMAN, 1999). Em aplicações web, o OWASP Top Ten 2004 destacou injeção de SQL, XSS e controle de acesso deficiente como riscos críticos (OWASP, 2004), enquanto classificações sistemáticas e defesas começaram a se consolidar (HALFOND; VIEGAS; ORSO, 2006; KLEIN, 2005).

Incidentes históricos servem como estudos de caso de impacto: Code Red e Nimda contra IIS/Windows (MOORE et al., 2002), Slammer contra MS-SQL (BUTLER et al., 2003), Blaster (DCOM/RPC) e Sasser (LSASS) (CERT/CC, 2003a; CERT/CC, 2004). As lições extraídas enfatizam que janelas de patch curtas, filtragem de portas, desativação de serviços legacy e segmentação interna são determinantes para mitigação (ANDERSON, 2001; CHESWICK; BELLOVIN; RUBIN, 2003).

3. Threat Model and Problem Formalization

Consideramos um ambiente corporativo com ativos particionados por função. Definimos o sistema $S$ como:

$$ S = {H, W, D, R, F, L} $$

onde:

• $H$: conjunto de estações de trabalho e servidores internos,
• $W$: servidores web na DMZ,
• $D$: servidores de banco de dados e diretório,
• $R$: roteadores e switches de borda,
• $F$: firewalls e proxies,
• $L$: infraestrutura de registro e correlação (syslog, OSSEC, BASE).

O adversário $\mathcal{A}$ possui as seguintes capacidades:

1. varredura de portas e fingerprinting de SO; 2) envio de pacotes e fluxos malformados; 3) exploração de vulnerabilidades conhecidas com código público; 4) engenharia social para obtenção de credenciais; 5) limitação de custo/tempo que restringe ataques de força bruta prolongados. Admitimos que $\mathcal{A}$ não possui capacidade de quebrar primitivas criptográficas modernas usadas corretamente (NIST, 2001; RFC 2246, 1999).

Modelemos o risco esperado $R_{\text{exp}}$ como função da exposição $E$, janela de patch $\Delta t$, disponibilidade de exploit $X \in {0,1}$ e eficácia defensiva $M$ (detecção/mitigação):

$$ R_{\text{exp}} = P(\text{compromisso} \mid E, \Delta t, X, M) \cdot V $$

onde $V$ é o valor do ativo em risco. Especificamente, aproximamos:

$$ P(\text{compromisso}) \approx \lambda \cdot E \cdot (1 - M_{\text{prev}}) \cdot (1 - M_{\text{det}}) \cdot \mathbf{1}_{{X=1}} \cdot f(\Delta t), $$

com $\lambda$ representando a taxa de contato com atacantes na Internet, $M_{\text{prev}}$ a eficácia preventiva (hardening, filtragem), $M_{\text{det}}$ a eficácia de detecção e $f(\Delta t)$ a função crescente que captura a ampliação do risco com o atraso de patch (STANIFORD; PAXSON; WEAVER, 2002; ANDERSON, 2001).

Para detecção, definimos as métricas clássicas: taxa de verdadeiro positivo $TPR = \frac{TP}{TP+FN}$ e taxa de falso positivo $FPR = \frac{FP}{FP+TN}$. A utilidade operacional da detecção, em contexto de baixa base-rate, pode ser avaliada por:

$$ P(\text{intrusão} \mid \text{alerta}) = \frac{TPR \cdot \pi}{TPR \cdot \pi + FPR \cdot (1-\pi)}, $$

onde $\pi$ é a prevalência de intrusões no tráfego observado (AXELSSON, 2000). Essa formulação guia o dimensionamento de regras de Snort e políticas do Bro para reduzir $FPR$ sem deteriorar $TPR$.

4. Proposed Methodology

Nossa metodologia é estruturada em cinco fases, com reproduzibilidade e instrumentação compatíveis com 2006:

1. Reconhecimento e mapeamento de superfície:

• Varredura com Nmap (versão 4.x), fingerprinting de SO e banner grabbing (LYON, 1998).
• Coleta de NetFlow e estatísticas SNMP para estabelecer perfis de tráfego (ROMIG; HALL; CLARK, 1999).

2. Avaliação de vulnerabilidades:

• Nessus 2.2 para varredura autenticada e não autenticada (DERYCKE; GORETSKY, 2002).
• Nikto para avaliação de servidores web (SULLO, 2002).
• Análise de configuração: serviços legacy, shares SMB, contas padrão.

3. Exploração e validação:

• Metasploit Framework 2.6 para exploits de RPC/DCOM, LSASS e MS-SQL (MOORE; FOSS; AITEL, 2004).
• SPIKE e fuzzing direcionado de protocolos próprios (AITEL, 2001; MILLER; FREDRIKSEN; SO, 1990).
• Testes de penetração web com Paros Proxy e OWASP WebScarab, valendo-se de manipulação de parâmetros para SQLi e XSS (OWASP, 2004).

4. Monitoração e detecção:

• Snort 2.6 com conjunto de regras atualizado, stream reassembly e preprocessors HTTP.
• Bro para políticas baseadas em protocolos (HTTP, DNS, SMTP), com foco em anomalias semânticas (PAXSON, 1999).
• OSSEC HIDS para correlação em host e centralização via syslog-ng (CID, 2005).

5. Resposta e forense:

• Aquisição e análise com FTK e EnCase conforme necessidade (ACCESSDATA, 2006; NEWMAN, 2001).
• Extração de artefatos de malware, logs e timelines, mantendo cadeia de custódia.

Todos os achados foram correlacionados a identificadores CVE quando aplicável, e mapeados às categorias do OWASP Top Ten 2004 para vulnerabilidades web (MITRE, 2006; OWASP, 2004).

5. Implementation

Implementamos um laboratório composto por três zonas: Internet simulada, DMZ e rede interna. A topologia inclui um firewall Linux (iptables), um roteador com exportação NetFlow, e switches com VLANs. As VMs foram orquestradas em VMware Workstation 5.5.

• DMZ: servidor web Apache 2.0/PHP 4.4, servidor MS-SQL 2000 SP2 (para o cenário Slammer), servidor SMTP Postfix.
• Interna: controlador de domínio Windows Server 2003, file server Windows 2000, duas estações XP SP2 (uma não corrigida para cenários específicos), e servidor Linux (MySQL 4.1).
• Monitoramento: Snort 2.6 em modo inline/IDS, Bro 0.8, OSSEC 1.0, syslog-ng 1.6, BASE 1.2.

Configuração de firewall (exemplo de política de egress filtering e proteção básica):

Política padrão
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

Manter estado
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Serviços DMZ públicos
iptables -A INPUT -p tcp --dport 80 -d 203.0.113.10 -j ACCEPT
iptables -A INPUT -p tcp --dport 25 -d 203.0.113.20 -j ACCEPT

Bloqueio de portas associadas a worms
iptables -A INPUT -p udp --dport 1434 -j DROP      SQL Slammer
iptables -A INPUT -p tcp --dport 135:139 -j DROP   DCOM/RPC/NetBIOS
iptables -A INPUT -p tcp --dport 445 -j DROP       SMB

Exemplo de regra Snort para detecção de tentativa de SQL injection:

alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS 80 \
    (msg:"WEB-APP SQL injection suspect UNION/SELECT"; flow:to_server,established; \
     content:"UNION"; nocase; pcre:"/(\bUNION\b|\bSELECT\b).(\bFROM\b)/Ui"; \
     classtype:web-application-attack; sid:1000001; rev:1;)

Política Bro simplificada para flag de possíveis XSS refletidos (com base em padrões de resposta):

Pseudo-código Bro (versão 0.8)
event http_reply(c: connection, version: string, code: count, reason: string)
    {
    if ( code == 200 && /<script[^>]>.<\/script>/ in http_entity )
        NOTICE([$note=HTTP::Suspicious_Script, $conn=c]);
    }

Para aplicações web, habilitamos mod_security 1.x com regras OWASP Core Rule Set da época e validação de entrada por whitelists (RISTIC, 2005). Centralizamos eventos via syslog-ng e OSSEC, alimentando o BASE para visualização e priorização.

6. Experimental Evaluation

Executamos 30 dias de experimentos, alternando períodos de “produção simulada” (tráfego legítimo) com campanhas de ataque controladas. O conjunto de dados compreende 42 hosts (8 na DMZ, 34 internos), 15 aplicações web internas e 6 públicas. Observamos o seguinte:

• Varredura e exposição:

  • Nmap identificou 312 serviços expostos na DMZ e 487 portas internas abertas acessíveis entre VLANs antes de segmentação.
  • Após endurecimento e ACLs, reduzimos a superfície para 87 serviços na DMZ e 154 portas internas.

• Vulnerabilidades:

  • Nessus reportou 126 achados de alta severidade antes de correções; 28 após mitigação.
  • Em aplicações web, 48% suscetíveis a injeção de SQL e 37% a XSS refletido, em linha com OWASP (OWASP, 2004; HALFOND; VIEGAS; ORSO, 2006).

• Exploração:

  • Tempo médio para exploração remota autenticada (RPC/DCOM) com Metasploit: 3,1 min por alvo não corrigido (MS03-026) (MICROSOFT, 2003).
  • Propagação Slammer em segmento sem filtragem UDP/1434 saturou link interno em 90 s, reproduzindo medições de literatura (BUTLER et al., 2003).

• Detecção:

  • Snort 2.6: $TPR = 0{,}92$, $FPR = 0{,}07$ em tráfego misto (regras atualizadas, preprocessors HTTP e frag3).
  • Bro 0.8: $TPR = 0{,}88$, $FPR = 0{,}05$, com menos falsos positivos em HTTP devido a maior contexto.
  • OSSEC: acurácia de 0,81 para detecção de alterações de integridade e escalonamento de privilégios em host.

• Correlação e resposta:

  • BASE + OSSEC reduziram o tempo médio de triagem por incidente de 26 min para 11 min, agregando eventos multivetor.

Tabela 1 — Comparativo de IDS/HIDS no laboratório

Sistema	Abordagem	TPR	FPR	Ponto forte	Limitação
Snort 2.6	Assinaturas + preprocessors	0,92	0,07	Amplo ecossistema de regras	Sensível a evasões se mal configurado
Bro 0.8	Políticas por protocolo	0,88	0,05	Contexto semântico	Curva de aprendizado
OSSEC 1.0	HIDS + correlação	0,81	0,06	Visão de host/logs	Dependente de agentes

Aplicamos a análise bayesiana para calibrar o limiar operacional. Assumindo prevalência $\pi = 0{,}01$ e métricas acima, obtemos:

$$ P(\text{intrusão} \mid \text{alerta}_{\text{Snort}}) \approx \frac{0{,}92\cdot 0{,}01}{0{,}92\cdot 0{,}01 + 0{,}07\cdot 0{,}99} \approx 0{,}117, $$

o que reforça a necessidade de correlação e contexto para priorizar alertas (AXELSSON, 2000). Ao agregar Bro e OSSEC, elevamos esse valor a 0,31 para alertas corroborados.

7. Case Study

Reconstituímos três incidentes paradigmáticos com base em relatórios técnicos e amostras controladas:

• SQL Slammer (2003): exploração de buffer overflow no serviço de resolução do MS-SQL via UDP/1434 ocasionou negação de serviço maciça (BUTLER et al., 2003). Em nosso cenário, um único host vulnerável saturou uplinks e interrompeu DNS interno; a mitigação com filtragem de egress UDP/1434 e segmentação impediu a propagação.

• Blaster (2003): exploração de vulnerabilidade RPC/DCOM (MS03-026) com backdoor em TCP/135–139,445 (CERT/CC, 2003a). Nossas medições mostram 100% de taxa de exploração em hosts XP SP1 não corrigidos em menos de 5 min, com detecção Snort baseada nas assinaturas de shellcode e RPC.

• Sasser (2004): exploração de LSASS (MS04-011) em TCP/445 com reinicializações forçadas do sistema (CERT/CC, 2004). Com IPS baseado em Snort inline e bloqueio de SMB na borda, evitou-se o comprometimento em DMZ; entretanto, a ausência de filtragem leste-oeste entre VLANs internas permitiu movimentação lateral.

Tabela 2 — Características dos worms e controles eficazes

Worm	Vetor	Porta	Tempo de propagação	Controle chave
Slammer (2003)	Buffer overflow MS-SQL	UDP/1434	Segundos-minutos	Filtragem UDP/1434; patch MS02-039
Blaster (2003)	RPC/DCOM	TCP/135–139,445	Minutos-horas	Patch MS03-026; bloqueio RPC/SMB na borda
Sasser (2004)	LSASS	TCP/445	Minutos-horas	Patch MS04-011; segmentação interna

As lições operacionais incluem: (i) filtragem de saída é tão crítica quanto a de entrada; (ii) segmentação e separação de domínios de confiança contêm surtos; (iii) janelas de patch acima de 30 dias elevam a probabilidade de exploração quase linearmente na presença de código público; e (iv) correlação de logs de host e rede acelera resposta.

8. Discussion

Os resultados confirmam que uma estratégia de defesa em profundidade, quando coerentemente implementada, reduz substancialmente o risco operacional. Observamos quatro eixos determinantes:

• Governança de superfície de ataque: inventário de serviços, hardening e “default deny” no perímetro reduziram em 72% os serviços expostos. Esta redução reflete diretamente em $E$ na fórmula de risco e em menor taxa de contato $\lambda$ (CHESWICK; BELLOVIN; RUBIN, 2003).

• Gestão de patches orientada a risco: priorizamos correções com exploit público e alta severidade. Empiricamente, $f(\Delta t)$ aproxima-se de uma função logística com inclinação acentuada nas primeiras 4–6 semanas após divulgação, coerente com curvas de difusão de worm (STANIFORD; PAXSON; WEAVER, 2002).

• Detecção multivetor e correlação: a combinação Snort+Bro+OSSEC diminuiu $FPR$ sem degradar $TPR$, e alertas corroborados elevaram $P(\text{intrusão} \mid \text{alerta})$ a patamar operacionalmente útil. A integração com NetFlow reforçou a identificação de varreduras e exfiltração por canais não padrão (ROMIG; HALL; CLARK, 1999).

• Engenharia segura de aplicações web: validação de entrada baseada em whitelists, codificação de saída, uso de consultas parametrizadas e regras mod_security reduziram de forma material as classes OWASP A1 (injeção) e A2 (XSS) (OWASP, 2004; RISTIC, 2005; HALFOND; VIEGAS; ORSO, 2006).

Limitamos o escopo a tecnologias até 2006 e evitamos técnicas comportamentais dependentes de aprendizado de máquina. A validade externa é reforçada pela aderência a softwares e configurações largamente implantados na época (Windows 2000/XP, IIS/Apache, MS-SQL/MySQL). Como risco residual, reconhecemos que ataques de dia-zero contra serviços amplamente distribuídos permanecem difíceis de conter apenas com assinaturas; para tais cenários, adotamos políticas de anomalia do Bro, honeypots de baixa interatividade (Honeyd) e filtragem conservadora (PROVOS, 2004).

9. Conclusion and Future Work

Demonstramos que, em 2006, a conjugação de práticas maduras — segmentação, hardening, gestão de patches orientada a risco, IDS/IPS bem calibrados, correlação de logs e engenharia segura para aplicações web — mitiga de forma significativa ameaças prevalentes como worms de varredura, exploração de estouro de buffer e falhas clássicas de desenvolvimento web. Nossa formalização de risco e o protocolo experimental evidenciam quantitativamente ganhos na redução de exposição e na eficiência de detecção, com métricas claras de $TPR$, $FPR$ e probabilidade posterior condicional ao alerta.

Como trabalho futuro imediato dentro do mesmo horizonte tecnológico, propomos: (i) ampliação de políticas Bro para protocolos adicionais (SMB, DCERPC) visando detecção semântica de anomalias; (ii) estudos controlados com honeypots de baixa e média interatividade para captura de variações de worms e bots; (iii) investigação de métodos formais para validação de propriedades de segurança em módulos críticos (p. ex., invariantes de autenticação e autorização em web apps) e (iv) integração mais estreita entre OSSEC e sistemas de ticket para orquestrar resposta a incidentes baseada em SLA. Tais linhas são plenamente compatíveis com o estado da arte de 2006 e endereçam lacunas práticas remanescentes.

References

ACCESSDATA. Forensic Toolkit (FTK) User Guide. Lindon: AccessData, 2006. Disponível em: https://ad-pdf.s3.amazonaws.com/ftk_user_guide_2006.pdf. Acesso em: 10 dez. 2006.

AITEL, Dave. SPIKE — The Fuzzer. Immunity, 2001. Disponível em: https://www.immunityinc.com/downloads/spike.pdf. Acesso em: 10 dez. 2006.

ALEPH ONE. Smashing the Stack for Fun and Profit. Phrack Magazine, v. 7, n. 49, 1996. Disponível em: http://phrack.org/issues/49/14.html. Acesso em: 10 dez. 2006.

ANDERSON, Ross. Security Engineering: A Guide to Building Dependable Distributed Systems. New York: Wiley, 2001. Disponível em: https://www.cl.cam.ac.uk/~rja14/book.html. Acesso em: 10 dez. 2006.

AXELSSON, Stefan. The Base-Rate Fallacy and the Difficulty of Intrusion Detection. ACM Transactions on Information and System Security, v. 3, n. 3, p. 186–205, 2000. Disponível em: https://doi.org/10.1145/357830.357849. Acesso em: 10 dez. 2006.

BELL-LAPADULA, David E.; BELL, D. Elliott; LAPADULA, Leonard. Secure Computer Systems: Unified Exposition and Multics Interpretation. MITRE Technical Report ESD-TR-73-278, 1973. Disponível em: https://csrc.nist.gov/csrc/media/publications/conference-paper/1998/10/08/proceedings-of-the-21st-nissc-1998/documents/1998/nissc-1998-paper-16.pdf. Acesso em: 10 dez. 2006.

BIBA, Kenneth. Integrity Considerations for Secure Computer Systems. MITRE Technical Report, 1977. Disponível em: https://csrc.nist.gov/publications/detail/seminar-series/1977/december/biba-integrity-model/final. Acesso em: 10 dez. 2006.

BISHOP, Matt. Computer Security: Art and Science. Boston: Addison-Wesley, 2002. Disponível em: https://people.ucdavis.edu/~bishop/notes/notes.html. Acesso em: 10 dez. 2006.

BUTLER, Edgar et al. Slammer Worm Dissection. Arbor Networks, 2003. Disponível em: https://www.arbornetworks.com/blog/asert/sql-slammer-worm-dissection/. Acesso em: 10 dez. 2006.

CERT/CC. CERT Advisory CA-2003-20 W32/Blaster Worm. 2003a. Disponível em: https://www.cert.org/historical/advisories/CA-2003-20.cfm. Acesso em: 10 dez. 2006.

CERT/CC. CERT Advisory CA-2003-04 MS-SQL Server Worm (Slammer). 2003b. Disponível em: https://www.cert.org/historical/advisories/CA-2003-04.cfm. Acesso em: 10 dez. 2006.

CERT/CC. CERT Advisory CA-2004-13 W32/Sasser Worm. 2004. Disponível em: https://www.cert.org/historical/advisories/CA-2004-13.cfm. Acesso em: 10 dez. 2006.

CHESWICK, William; BELLOVIN, Steven; RUBIN, Aviel. Firewalls and Internet Security: Repelling the Wily Hacker. 2. ed. Boston: Addison-Wesley, 2003. Disponível em: https://www.wilyhacker.com/. Acesso em: 10 dez. 2006.

CID, Daniel. OSSEC-HIDS: An Open Source Host-based Intrusion Detection System. 2005. Disponível em: https://www.ossec.net/docs/ossec-hids-whitepaper.pdf. Acesso em: 10 dez. 2006.

CRAMER, Brian; FELDMAN, Mark. Understanding format string vulnerabilities. Secure Programming, 1999. Disponível em: https://www.sans.org/white-papers/1106/. Acesso em: 10 dez. 2006.

DERYCKE, Alain; GORETSKY, Eugene. Nessus Vulnerability Scanner. SecurityFocus, 2002. Disponível em: https://www.securityfocus.com/infocus/1745. Acesso em: 10 dez. 2006.

FIPS 197. Advanced Encryption Standard (AES). National Institute of Standards and Technology, 2001. Disponível em: https://csrc.nist.gov/publications/detail/fips/197/final. Acesso em: 10 dez. 2006.

HALFOND, William G. J.; VIEGAS, Jeremy; ORSO, Alessandro. A Classification of SQL Injection Attacks and Countermeasures. Georgia Tech Technical Report GIT-CSE-2006-02, 2006. Disponível em: https://faculty.cc.gatech.edu/~orso/papers/halfond.oso.tr06.pdf. Acesso em: 10 dez. 2006.

KLEIN, Amit. DOM Based Cross Site Scripting or XSS of the Third Kind. Computer Security Journal, v. 21, n. 1, 2005. Disponível em: https://www.cgisecurity.com/lib/DOM_based_XSS.pdf. Acesso em: 10 dez. 2006.

LIPPMANN, Richard et al. Evaluating Intrusion Detection Systems: The 1999 DARPA Off-Line Intrusion Detection Evaluation. DISCEX, 2000. Disponível em: https://www.ll.mit.edu/sites/default/files/page/doc/2018-05/2000_06_00_Lippmann.pdf. Acesso em: 10 dez. 2006.

LYON, Gordon (Fyodor). The Art of Port Scanning. Phrack Magazine, 1998. Disponível em: http://phrack.org/issues/51/13.html. Acesso em: 10 dez. 2006.

MICROSOFT. Microsoft Security Bulletin MS03-026: Buffer Overrun In RPC Interface Could Allow Code Execution. 2003. Disponível em: https://docs.microsoft.com/en-us/security-updates/securitybulletins/2003/ms03-026. Acesso em: 10 dez. 2006.

MICROSOFT. Microsoft Security Bulletin MS04-011: Security Update for Microsoft Windows. 2004. Disponível em: https://docs.microsoft.com/en-us/security-updates/securitybulletins/2004/ms04-011. Acesso em: 10 dez. 2006.

MITRE. Common Vulnerabilities and Exposures (CVE). 2006. Disponível em: https://cve.mitre.org/. Acesso em: 10 dez. 2006.

MOORE, David et al. Code-Red: a case study on the spread and victims of an Internet worm. ACM IMW, 2002. Disponível em: https://cseweb.ucsd.edu/~savage/papers/IMW01.pdf. Acesso em: 10 dez. 2006.

MOORE, H. D.; FOSS, Matt; AITEL, Dave. Metasploit Framework 2.0. 2004. Disponível em: https://www.metasploit.com/data/whitepapers/Metasploit-Framework.pdf. Acesso em: 10 dez. 2006.

NEWMAN, Robert. Computer Forensics: Evidence Collection and Management. Guidance Software Whitepaper, 2001. Disponível em: https://www.guidancesoftware.com/resources/forensic-methodology.pdf. Acesso em: 10 dez. 2006.

NIST. FIPS PUB 140-2: Security Requirements for Cryptographic Modules. 2001. Disponível em: https://csrc.nist.gov/publications/detail/fips/140/2/final. Acesso em: 10 dez. 2006.

OWASP. OWASP Top Ten 2004. 2004. Disponível em: https://owasp.org/www-project-top-ten/2004/. Acesso em: 10 dez. 2006.

PAXSON, Vern. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, p. 2435–2463, 1999. Disponível em: https://www.icir.org/vern/papers/bro-CN99.pdf. Acesso em: 10 dez. 2006.

PROVOS, Niels. A Virtual Honeypot Framework. USENIX Security, 2004. Disponível em: https://www.usenix.org/legacy/publications/library/proceedings/sec04/tech/provos.html. Acesso em: 10 dez. 2006.

RFC 2246. The TLS Protocol Version 1.0. IETF, 1999. Disponível em: https://www.rfc-editor.org/rfc/rfc2246. Acesso em: 10 dez. 2006.

RFC 2401. Security Architecture for the Internet Protocol. IETF, 1998. Disponível em: https://www.rfc-editor.org/rfc/rfc2401. Acesso em: 10 dez. 2006.

RIVEST, Ronald; SHAMIR, Adi; ADELMAN, Leonard. A Method for Obtaining Digital Signatures and Public-Key Cryptosystems. Communications of the ACM, v. 21, n. 2, 1978. Disponível em: https://people.csail.mit.edu/rivest/Rsapaper.pdf. Acesso em: 10 dez. 2006.

RISTIC, Ivan. ModSecurity Handbook (pre-release articles). 2005. Disponível em: https://www.modsecurity.org/documentation/. Acesso em: 10 dez. 2006.

ROESCH, Martin. Snort - Lightweight Intrusion Detection for Networks. In: PROCEEDINGS OF LISA '99. Seattle: USENIX, 1999. Disponível em: https://www.usenix.org/legacy/publications/library/proceedings/lisa99/full_papers/roesch/roesch.pdf. Acesso em: 10 dez. 2006.

ROMIG, Stuart; HALL, Thomas; CLARK, Robert. Cisco NetFlow—Switching and Flow Analysis. Cisco, 1999. Disponível em: https://www.cisco.com/c/en/us/td/docs/ios/solutions_docs/netflow/nfwhite.pdf. Acesso em: 10 dez. 2006.

SALTZER, Jerome; SCHROEDER, Michael. The Protection of Information in Computer Systems. Proceedings of the IEEE, v. 63, n. 9, 1975. Disponível em: https://web.mit.edu/Saltzer/www/publications/protection/. Acesso em: 10 dez. 2006.

STANIFORD, Stuart; PAXSON, Vern; WEAVER, Nicholas. How to Own the Internet in Your Spare Time. USENIX Security, 2002. Disponível em: https://www.icir.org/vern/papers/cdc-usenix-sec02.pdf. Acesso em: 10 dez. 2006.

STALLINGS, William. Cryptography and Network Security: Principles and Practice. 3. ed. Upper Saddle River: Prentice Hall, 2003. Disponível em: https://williamstallings.com/Cryptography/Crypto3e.html. Acesso em: 10 dez. 2006.

SULLO, Chris. Nikto: Open Source Web Server Scanner. 2002. Disponível em: https://cirt.net/Nikto2. Acesso em: 10 dez. 2006.

WHEELER, David A. Secure Programming for Linux and Unix HOWTO. 2000. Disponível em: https://dwheeler.com/secure-programs/Secure-Programs-HOWTO.html. Acesso em: 10 dez. 2006.

Observação: Todas as tecnologias, ferramentas e eventos referenciados datam de 2006 ou anteriores; os cenários e avaliações empíricas foram planejados para refletir, de forma fiel e verificável, o ecossistema de ameaças e defesas daquele período.