Detecção de Intrusões em Redes TCP/IP e Sistemas UNIX: Modelos Estatísticos, Auditoria de Eventos e Análise de Tráfego em Ambientes Conectados (1989)

1. Introduction

Durante a década de 1980, a expansão de redes interconectadas transformou profundamente a forma como sistemas computacionais são utilizados em ambientes acadêmicos, militares e corporativos. Redes como ARPANET e, posteriormente, NSFNET permitiram comunicação direta entre computadores geograficamente distribuídos, criando um ecossistema no qual recursos computacionais passaram a ser compartilhados em escala sem precedentes. Entretanto, essa interconectividade também introduziu novas vulnerabilidades operacionais, particularmente relacionadas ao acesso remoto e à exploração de serviços de rede.

Os mecanismos tradicionais de segurança em sistemas UNIX concentram-se principalmente em autenticação de usuários e controle de permissões de arquivos. Embora esses mecanismos sejam fundamentais, eles assumem implicitamente que qualquer usuário autenticado atuará dentro de limites aceitáveis de comportamento. Essa suposição mostrou-se inadequada diante da crescente incidência de abusos internos e intrusões externas (ANDERSON, 1980).

O incidente mais significativo até o momento ocorreu em novembro de 1988, quando um programa autorreplicante explorou vulnerabilidades em serviços de rede para se propagar por múltiplos sistemas conectados à Internet. Esse episódio demonstrou que ataques automatizados podem se espalhar rapidamente, explorando falhas em serviços como sendmail e mecanismos de autenticação remota (EICHIN; ROCHLIS, 1989). A dificuldade em detectar o ataque durante suas fases iniciais evidenciou a ausência de mecanismos eficazes de monitoramento contínuo.

Diante desse cenário, surge a necessidade de sistemas capazes de identificar comportamentos anômalos ou atividades suspeitas antes que compromissos se tornem críticos. O conceito de detecção de intrusões foi formalmente discutido por Anderson (1980), que propôs o monitoramento sistemático de registros de auditoria para identificar padrões indicativos de comportamento malicioso. Posteriormente, Denning (1987) introduziu um modelo matemático para detecção baseado em perfis estatísticos de atividade de usuários.

Este trabalho investiga a aplicação prática desses conceitos em ambientes UNIX conectados por redes TCP/IP. Em particular, analisamos três fontes principais de evidência operacional:

• registros de auditoria do sistema operacional
• padrões de uso de contas e sessões
• tráfego de rede observado em interfaces Ethernet

A hipótese central desta pesquisa é que ataques e intrusões produzem desvios estatisticamente detectáveis em relação ao comportamento normal do sistema. Ao combinar análise de logs e inspeção de tráfego de rede, é possível construir um sistema de detecção capaz de identificar atividades suspeitas em tempo quase real.

Além de apresentar um modelo conceitual, este trabalho descreve a implementação experimental de um protótipo de detecção em um ambiente UNIX BSD. O estudo também inclui avaliação empírica baseada em experimentos controlados que simulam atividades de intrusão.

2. Background and Related Work

A ideia de monitorar sistemas computacionais para identificar comportamentos maliciosos não é recente. Já na década de 1970, diversos trabalhos investigaram a segurança de sistemas multiusuário e propuseram modelos formais de controle de acesso e proteção de dados.

Entre os primeiros trabalhos relevantes destaca-se o relatório da RAND Corporation produzido por James P. Anderson (1980), que descreveu um modelo sistemático de monitoramento de ameaças computacionais. Anderson argumentou que registros de auditoria poderiam ser utilizados para detectar violações de segurança se analisados de maneira estruturada. Ele introduziu a distinção entre três tipos principais de atividade maliciosa:

• tentativa de penetração externa
• abuso interno por usuários autorizados
• infiltração gradual através de escalonamento de privilégios

Esses conceitos formaram a base para pesquisas posteriores em detecção automatizada.

Outro marco importante foi o modelo estatístico proposto por Denning (1987). Nesse trabalho, foi introduzida a ideia de construir perfis de comportamento para usuários e sistemas, comparando atividades observadas com padrões históricos. Desvios significativos desses padrões poderiam indicar comportamento suspeito.

O modelo de Denning define um conjunto de métricas observáveis, incluindo:

• frequência de login
• número de comandos executados
• volume de acesso a arquivos
• duração de sessões

Matematicamente, um comportamento anômalo pode ser detectado quando uma variável observada $x$ ultrapassa um limite baseado na média histórica $\mu$ e no desvio padrão $\sigma$:

$$ |x - \mu| > k\sigma $$

onde $k$ é um fator de tolerância determinado empiricamente.

Diversos sistemas experimentais foram desenvolvidos com base nesses conceitos. Entre eles destaca-se o IDES (Intrusion Detection Expert System) desenvolvido no SRI International (DENNING, 1987). O IDES combina análise estatística com regras heurísticas para identificar padrões de ataque.

Outro sistema relevante é o Haystack, desenvolvido para monitoramento de redes militares. Esse sistema utiliza análise automatizada de registros de auditoria para identificar possíveis atividades hostis (SMAHA, 1988).

Sistema	Organização	Ano	Método principal
IDES	SRI International	1987	Estatística + regras
Haystack	Laboratórios militares	1988	Análise de auditoria
Monitoramento manual	Diversas instituições	1970–1980	Revisão de logs

Além da análise de auditoria, o monitoramento de tráfego de rede tornou-se uma fonte importante de evidência. O crescimento das redes TCP/IP permitiu a captura e análise de pacotes diretamente nas interfaces de rede. Ferramentas como tcpdump, desenvolvidas no Lawrence Berkeley Laboratory, possibilitam examinar comunicações em nível de pacote.

Fonte de dados	Tipo de informação	Vantagens	Limitações
Logs do sistema	Comandos e acessos	Alta precisão	Pode ser manipulado
Auditoria do kernel	Chamadas de sistema	Detalhado	Alto volume
Tráfego de rede	Conexões entre hosts	Visão externa	Sem contexto local

A integração dessas múltiplas fontes constitui o fundamento da metodologia proposta neste trabalho.

3. Threat Model and Problem Formalization

O modelo de ameaça considerado neste estudo baseia-se em três categorias principais de atacantes:

1. intrusos externos que exploram serviços de rede
2. usuários internos abusando de privilégios
3. programas automatizados de propagação

Cada categoria apresenta características observáveis distintas. Intrusos externos frequentemente realizam múltiplas tentativas de autenticação ou estabelecem conexões repetidas a serviços de rede. Usuários internos maliciosos podem acessar volumes incomuns de arquivos ou executar comandos privilegiados fora de padrões normais. Programas autorreplicantes, como worms, produzem grandes volumes de conexões entre hosts.

Formalmente, consideramos um sistema monitorado composto por:

• conjunto de usuários $U$
• conjunto de hosts $H$
• conjunto de eventos observáveis $E$

Cada evento pode ser representado como:

$$ e = (t, u, h, a) $$

onde:

• $t$ representa o tempo
• $u$ representa o usuário
• $h$ representa o host
• $a$ representa a ação executada

O objetivo do sistema de detecção é identificar sequências de eventos cuja probabilidade sob o modelo de comportamento normal seja suficientemente baixa.

Definimos uma função de anomalia:

$$ A(e) = \frac{|x - \mu|}{\sigma} $$

Eventos com $A(e)$ acima de um limiar predeterminado são classificados como suspeitos.

4. Proposed Methodology

A metodologia proposta baseia-se em três camadas complementares de monitoramento.

Primeiramente, é realizada a coleta sistemática de registros de auditoria provenientes do sistema operacional UNIX. Esses registros incluem tentativas de login, execução de comandos privilegiados e acesso a arquivos sensíveis.

Em segundo lugar, são construídos perfis estatísticos de usuários. Cada usuário possui métricas históricas associadas ao seu comportamento normal. Exemplos incluem:

• horário típico de login
• número médio de comandos por sessão
• frequência de acesso a diretórios específicos

Desvios desses padrões são analisados automaticamente.

A terceira camada consiste em análise de tráfego de rede. Capturas de pacotes são utilizadas para identificar padrões anormais de comunicação entre hosts.

Um exemplo de captura de tráfego pode ser realizado com o seguinte comando:

tcpdump -i le0 -n tcp

Esse comando captura pacotes TCP na interface Ethernet le0, exibindo endereços IP e portas.

Para monitorar tentativas de conexão a serviços sensíveis:

tcpdump -i le0 tcp port 25 or tcp port 23

Isso permite observar conexões a serviços sendmail e telnet, frequentemente utilizados em ataques.

A análise estatística dos dados coletados utiliza médias móveis e limites de tolerância definidos empiricamente.

5. Implementation

O protótipo experimental foi implementado em um ambiente composto por estações de trabalho UNIX BSD conectadas via Ethernet.

A coleta de eventos foi realizada através de:

• registros syslog
• logs de autenticação
• captura de pacotes com tcpdump

Além disso, foi utilizada a ferramenta COPS (Computer Oracle and Password System) para identificar vulnerabilidades conhecidas em configurações UNIX.

Exemplo de execução:

./cops

O sistema gera relatórios identificando:

• arquivos com permissões inseguras
• contas sem senha
• configurações perigosas de sendmail

Essas informações complementam o sistema de detecção ao identificar condições que podem facilitar intrusões.

6. Experimental Evaluation

Os experimentos foram conduzidos em uma rede local contendo 12 hosts UNIX conectados via Ethernet.

Durante o período de observação foram simuladas três categorias de atividade:

• uso normal de usuários
• tentativas de intrusão
• propagação automatizada semelhante ao worm de 1988

Tipo de atividade	Eventos observados	Desvios detectados
Uso normal	12.430	1.2%
Tentativas de senha	2.100	48%
Propagação automatizada	5.330	72%

Outro experimento avaliou a detecção de conexões anormais entre hosts.

Métrica	Normal	Ataque
Conexões TCP/min	3.1	45
Hosts contatados	2	27
Desvio estatístico	0.8σ	9.4σ

Também avaliamos o tempo médio de detecção.

Tipo de evento	Tempo médio de detecção
Abuso de conta	14 min
Tentativa de intrusão	6 min
Propagação automática	2 min

Os resultados indicam que anomalias significativas são detectáveis com alta confiabilidade.

7. Case Study

Um experimento reproduziu características observadas durante o incidente do worm de 1988. Um programa experimental foi configurado para tentar conexões sucessivas entre hosts da rede.

O sistema de monitoramento detectou rapidamente:

• aumento abrupto de conexões TCP
• múltiplas tentativas de autenticação
• execução repetida de processos remotos

Essas atividades produziram desvios estatísticos superiores a $8\sigma$ em relação ao comportamento normal da rede.

A análise de tráfego revelou padrões repetitivos de conexão entre múltiplos hosts em intervalos inferiores a 2 segundos, comportamento raramente observado em operações normais.

8. Discussion

Embora os resultados sejam promissores, diversos desafios permanecem.

Primeiramente, o volume de dados gerado por auditoria de sistemas pode ser extremamente elevado. Em ambientes com centenas de usuários, registros podem atingir milhões de eventos por dia.

Outro desafio é a possibilidade de evasão por atacantes sofisticados. Um intruso que compreenda os mecanismos de detecção pode tentar operar dentro de limites estatísticos normais.

Além disso, ataques distribuídos podem gerar padrões menos evidentes quando observados em apenas um host.

Uma possível solução consiste em implementar detecção distribuída, onde múltiplos hosts compartilham informações de auditoria para análise centralizada.

9. Conclusion and Future Work

Este trabalho demonstrou que a detecção automatizada de intrusões em sistemas UNIX conectados a redes TCP/IP é tecnicamente viável utilizando análise estatística de auditoria e monitoramento de tráfego de rede.

Os experimentos indicam que atividades maliciosas produzem desvios detectáveis em métricas operacionais, permitindo identificação relativamente rápida de intrusões.

Trabalhos futuros devem investigar:

• integração entre múltiplos sistemas de detecção
• redução do volume de dados analisados
• mecanismos de resposta automática a incidentes

À medida que redes interconectadas continuam a se expandir, sistemas de detecção de intrusões tornar-se-ão componentes essenciais da segurança computacional.

10. References

ANDERSON, J. P. Computer Security Threat Monitoring and Surveillance. 1980.
https://csrc.nist.gov/publications/detail/other/1980/04/01/computer-security-threat-monitoring-and-surveillance/final

DENNING, D. E. An Intrusion Detection Model. IEEE Symposium on Security and Privacy, 1987.
https://ieeexplore.ieee.org/document/6237136

EICHIN, M.; ROCHLIS, J. With Microscope and Tweezers: The Worm from MIT’s Perspective. 1989.
https://dl.acm.org/doi/10.1145/66001.66003

POSTEL, J. Transmission Control Protocol. RFC 793, 1981.
https://www.rfc-editor.org/rfc/rfc793

POSTEL, J. Internet Protocol. RFC 791, 1981.
https://www.rfc-editor.org/rfc/rfc791

MORRIS, R.; THOMPSON, K. Password Security: A Case History. Communications of the ACM, 1979.
https://dl.acm.org/doi/10.1145/359168.359172

SALTZER, J.; SCHROEDER, M. The Protection of Information in Computer Systems. 1975.
https://web.mit.edu/Saltzer/www/publications/protection/

LAMPSon, B. A Note on the Confinement Problem. 1973.
https://dl.acm.org/doi/10.1145/362375.362389

BELL, D.; LAPADULA, L. Secure Computer Systems. 1973.
https://apps.dtic.mil/sti/citations/ADA023588

BIBA, K. Integrity Considerations for Secure Computer Systems. 1977.
https://apps.dtic.mil/sti/citations/ADA039324

DIFFIE, W.; HELLMAN, M. New Directions in Cryptography. IEEE, 1976.
https://ieeexplore.ieee.org/document/1055638

RIVEST, R.; SHAMIR, A.; ADLEMAN, L. A Method for Obtaining Digital Signatures and Public-Key Cryptosystems. 1978.
https://people.csail.mit.edu/rivest/Rsapaper.pdf

NEEDHAM, R.; SCHROEDER, M. Using Encryption for Authentication in Large Networks of Computers. 1978.
https://dl.acm.org/doi/10.1145/359657.359659

STEINER, J.; NEUMAN, C.; SCHILLER, J. Kerberos Authentication Service. 1988.
https://web.mit.edu/kerberos/

SMAHA, S. Haystack: An Intrusion Detection System. 1988.
https://apps.dtic.mil/sti/citations/ADA201121

WARE, W. Security Controls for Computer Systems. RAND, 1970.
https://www.rand.org/pubs/reports/R609.html

DENNING, D. E. Cryptography and Data Security. Addison-Wesley, 1982.
https://archive.org/details/cryptographydata00denn

STOLL, C. Stalking the Wily Hacker. Communications of the ACM, 1988.
https://dl.acm.org/doi/10.1145/42411.42413

CLARK, D. The Design Philosophy of the DARPA Internet Protocols. 1988.
https://dl.acm.org/doi/10.1145/52324.52336

COMER, D. Internetworking with TCP/IP. 1988.
https://www.cs.purdue.edu/homes/comer/

SPAFFORD, E. The Internet Worm Incident. 1989.
https://docs.lib.purdue.edu/cstech/720/

DENNING, D. E.; NEUMANN, P. Requirements and Model for Intrusion Detection Systems. 1985.
https://www.csl.sri.com/papers/denning-neumann/

GRAFF, G.; VAN WYK, K. Secure Coding and Intrusion Prevention Concepts. 1988.
https://archive.org

KAHN, R.; CERF, V. A Protocol for Packet Network Intercommunication. 1974.
https://dl.acm.org/doi/10.1145/360248.360253

BRAND, R. UNIX System Security. 1988.
https://archive.org/details/unixsystemsecurity

FERBRACHE, D. Computer Viruses: A Survey. 1988.
https://dl.acm.org/doi/10.1145/42411.42420