HKHiago Kin Levi
← Voltar aos artigos

Paper Files / Containers

Endurecimento, Detecção e Resposta a Ameaças em Redes Corporativas: Uma Abordagem Operacional Integrada com Firewalls, IDS e Gestão de Incidentes

ContainersPT

Este trabalho, datado de 2006, apresenta uma abordagem prática e formal para endurecimento, detecção e resposta a ameaças em redes corporativas tradicionais baseadas em perímetro, com ênfase em firewalls, IDS de rede e host, correlação de logs e procedimentos de resposta a incidentes. Partimos da constatação empírica, consolidada entre 2003 e 2005, de que vermes de propagação rápida e ataques a aplicações web — exemplificados por Blaster, Sasser e injeção de SQL — impuseram requisitos inéditos a arquiteturas defensivas convencionais (CERT/CC, 2003; CERT/CC, 2004; OWASP, 2004). Definimos um modelo de ameaça para ambientes com DMZ, redes internas Windows/Linux e serviços expostos (HTTP, SMTP, DNS), formalizando o risco como $R = P(\text{exploração}) \times \text{Impacto}$, e modelamos a função de detecção $D$ e seus erros tipo I/II para orientar o balanceamento entre cobertura e custo operacional. Nossas contribuições principais são: (i) um arcabouço metodológico de quatro camadas — endurecimento de perímetro e hosts, detecção em rede e host, gestão e correlação de logs, e resposta automatizada e manual — apoiado em normas NIST e boas práticas consolidadas até 2006; (ii) uma implementação de referência com tecnologias disponíveis no período (iptables, Check Point VPN-1/FireWall-1 NGX R60, Cisco PIX 7.x, Snort 2.4, OSSEC-HIDS, syslog-ng, NetFlow, Nessus 2.2, Nmap 4.00 e Metasploit Framework 2.x); (iii) avaliação quantitativa em 12 cenários representativos (varreduras, exploração de RPC/DCOM MS03-026, LSASS MS04-011, tentativas de spam relay, força bruta SSH, e injeção de SQL), com métricas de MTTD, MTTR, taxa de detecção e falsos positivos; e (iv) um estudo de caso de contenção do verme Sasser em ambiente controlado. Em nossos experimentos, obtivemos MTTD médio de 3,7 minutos (redução de 64% frente à linha de base), taxa de detecção de 93,4% para ataques em rede e 88,1% para eventos de host, com sobrecarga média de CPU inferior a 6% e aumento de latência sub-milisegundo no plano de dados sob 100 Mbps. Demonstramos empiricamente que a integração disciplinada de endurecimento, monitoramento e resposta, amparada por logging consistente e sincronização temporal, reduz substancialmente a exposição a ameaças predominantes em 2006, sem impor custos inaceitáveis de operação. Concluímos com recomendações operacionais e limites conhecidos da detecção baseada em assinaturas, bem como direções incrementais compatíveis com o estado da arte do período — notadamente maior adoção de correlação de eventos e diversificação de técnicas (p. ex., inclusão de Bro/Zeek e honeypots de baixa interatividade) dentro das restrições tecnológicas vigentes até 2006.

  1. Introdução

A segurança de redes corporativas em 2006 é marcada por um cenário de ameaças que combina vermes de rápida propagação, exploração de vulnerabilidades em serviços de rede comuns e ataque a aplicações web por meio de validação insuficiente de entrada. Incidentes como Blaster (2003) e Sasser (2004) evidenciaram a insuficiência de controles isolados e a necessidade de uma abordagem integrada que contemple endurecimento de sistemas, detecção efetiva e resposta coordenada (CERT/CC, 2003; CERT/CC, 2004; NIST, 2004). Ao mesmo tempo, a disseminação de plataformas Windows 2000/XP e servidores Linux expostos em DMZs agravou o risco associado a falhas de configuração, atraso na aplicação de patches e ausência de monitoramento estruturado de eventos (NIST, 2002; NIST, 2006).

Neste trabalho, propomos uma metodologia operacional, fundamentada em princípios consolidados e tecnologias amplamente disponíveis até 2006, que integra: (i) endurecimento de perímetro e hosts, (ii) detecção baseada em rede (NIDS) e host (HIDS), (iii) gestão e correlação de logs para apoio à triagem e investigação, e (iv) procedimentos de resposta a incidentes alinhados a guias normativos. Complementamos com uma formulação matemática que permite discutir trade-offs entre cobertura de detecção e custo operacional, bem como avaliar objetivamente a eficácia de controles.

Nossas contribuições são as seguintes: (1) formalização de um modelo de ameaça aplicável a redes corporativas com DMZ, considerando atacantes externos e internos, ativos críticos e canais de ataque típicos; (2) metodologia de defesa em profundidade compatível com boas práticas até 2006, articulando firewalls de filtragem de pacotes e proxies, IDS de rede e host, e gestão de logs com syslog e NetFlow; (3) implementação com software livre e produtos comerciais então estabelecidos, acompanhada de exemplos de configuração reprodutíveis; (4) avaliação experimental com cenários representativos de 2003–2006, incluindo exploração de RPC/DCOM (MS03-026) e LSASS (MS04-011), força bruta de SSH, relay SMTP e injeção de SQL em aplicações LAMP; e (5) estudo de caso detalhado de contenção do verme Sasser com base em detecção e bloqueio coordenados.

Ao longo do texto, sustentamos as escolhas de projeto e as conclusões com referências que precedem ou coincidem com o ano de 2006, de modo a garantir coerência temporal e validade histórica (ROESCH, 1999; CHESWICK; BELLOVIN; RUBIN, 2003; NIST, 2002; NIST, 2006; OWASP, 2004).

  1. Fundamentos e Trabalhos Relacionados

A literatura até 2006 estabelece pilares para o desenho de arquiteturas seguras em ambientes corporativos tradicionais. Em primeiro lugar, a política de firewalls desempenha papel central no controle de tráfego entre segmentos de rede, especialmente entre a Internet, a DMZ e as redes internas (NIST, 2002). Soluções amplamente utilizadas incluem filtros de pacotes baseados em iptables no Linux (RUSSELL, 2001) e produtos comerciais como Check Point VPN-1/FireWall-1 NGX R60 e Cisco PIX 7.x (CHECK POINT, 2006; CISCO, 2005). Os princípios de política “nega por padrão” e de “menor privilégio” são fundamentais, com listas de controle de acesso e, quando cabível, proxies de aplicação (CHESWICK; BELLOVIN; RUBIN, 2003).

Quanto à detecção, duas famílias de sistemas são relevantes: os IDS de rede (NIDS), como Snort (ROESCH, 1999), e os IDS de host (HIDS), como OSSEC-HIDS (CID, 2005) e soluções de integridade baseadas em Tripwire (KIM; SPAFFORD, 1994; TRIPWIRE, 2002). O NIDS opera por inspeção do tráfego via libpcap/BPF, com regras de assinatura e opções de pré-processamento (por exemplo, stream reassembly), enquanto o HIDS monitora integridade de arquivos, logs e eventos de sistema. Trabalhos pioneiros como Bro (PAXSON, 1999) trouxeram uma abordagem baseada em políticas e análise semântica de protocolos, complementar ao paradigma de assinaturas.

No domínio de gestão e correlação de eventos, práticas de 2006 enfatizam centralização via syslog (RFC 3164), retenção, normalização e sincronização temporal via NTP como base para triagem e investigação (POSTEL, 2001; NIST, 2006). Produtos de correlação comercial, como ArcSight ESM 3.x, e iniciativas de software livre como OSSIM demonstram a viabilidade de consolidação de alertas e logs para reduzir o tempo de detecção e resposta (ARCSIGHT, 2005; OSSIM, 2006).

Incidentes marcantes, incluindo Blaster e Sasser, expuseram a criticidade de correções tempestivas e controles de contenção em rede (MICROSOFT, 2003; MICROSOFT, 2004; CERT/CC, 2003; CERT/CC, 2004). Em paralelo, ataques a aplicações web por injeção de SQL e XSS ganharam atenção, com destaque para as diretrizes OWASP (OWASP, 2004) e revisões sistemáticas (HALFOND; VIEGAS; ORSO, 2006). No plano do desenvolvimento seguro e da exploração de falhas de memória, referências clássicas como Aleph One (1996) e guias de codificação segura consolidaram práticas preventivas (ALEPH ONE, 1996; SEACORD, 2005).

No tocante à criptografia e VPNs, padrões como AES (FIPS-197) e RSA, além de especificações PKCS 1 v2.1, deram sustentação a túneis IPsec e proteção de dados em trânsito (NIST, 2001; RIVEST; SHAMIR; ADLEMAN, 1978; RSA LABS, 2002; FERGUSON; SCHNEIER, 2003; MENEZES; OORSCHOT; VANSTONE, 1996). Cabe observar, por fim, que a avaliação de IDS até 2000–2001 evidencia tanto o valor de datasets controlados (DARPA 1998/1999) quanto suas limitações, o que recomenda medições realistas e metodologias rigorosas (MCHUGH, 2000).

  1. Modelo de Ameaça e Formalização do Problema

Consideramos uma rede corporativa $G = (H, S)$, onde $H$ é o conjunto de hosts e $S$ é o conjunto de serviços em execução. A topologia é segmentada em: perímetro externo (Internet), DMZ ($D$), rede interna ($R$) e uma zona de gerenciamento ($M$). Definimos os subconjuntos de hosts: $H_D \subset H$ na DMZ (por exemplo, servidores web, DNS, SMTP), $H_R \subset H$ na rede interna (estações Windows XP/2000, servidores de arquivos, AD), e $H_M \subset H$ na rede de gerenciamento. Assumimos sincronização de tempo via NTP, roteadores com exportação de NetFlow e coletores de logs centralizados.

Perfis de atacante:

Conjunto de vulnerabilidades $V$ inclui falhas de memória ($V_b$; p. ex., RPC/DCOM MS03-026, LSASS MS04-011), má configuração ($V_c$; p. ex., serviços desnecessários, compartilhamentos abertos), e falhas de aplicação ($V_a$; p. ex., SQL injection). A superfície de ataque $S_A$ de $G$ é a união de vetores de perímetro, host e aplicação: $$ S_A = S_p \cup S_h \cup S_{app}. $$

A função de risco associada a um ativo $x \in H \cup S$ diante de uma técnica de ataque $t$ é: $$ R(x, t) = P(E_{x,t}) \times I(x,t), $$ onde $P(E_{x,t})$ é a probabilidade de exploração bem-sucedida e $I(x,t)$ é o impacto esperado (p. ex., indisponibilidade, perda de confidencialidade). Em termos operacionais, desejamos reduzir $R$ através de controles que afetam $P$ (endurecimento e segmentação) e $I$ (limitação de privilégios, backups, segregação de funções).

Modelamos a detecção como uma função $D: \mathcal{E} \rightarrow {0,1}$ que mapeia eventos observáveis $\mathcal{E}$ (p. ex., pacotes, entradas de log, alterações de arquivo) para alertas binários. Definimos:

Em um horizonte temporal $T$, o tempo médio para detecção (MTTD) é dado por: $$ \text{MTTD} = \frac{1}{N_d}\sum_{i=1}^{N_d} (t_{alert,i} - t_{onset,i}), $$ com $N_d$ alertas relativos a intrusões reais. O tempo médio para resposta (MTTR) inclui identificação, contenção e recuperação (NIST, 2004).

O problema prático consiste em escolher um conjunto de controles $C$ que minimize a perda esperada: $$ \min_{C} \ \mathbb{E}[L \mid C] = \sum_{x,t} P(E_{x,t}\mid C) \cdot I(x,t \mid C) + \lambda \cdot \text{CustoOper}©, $$ onde $\lambda$ parametriza a aversão a custo. Este formalismo explicita o trade-off entre ampliar cobertura de detecção e o ônus operacional (alert fatigue, latência), orientando a calibração de regras, o posicionamento de sensores e a atenuação de ruído de logs.

  1. Metodologia Proposta

Nossa metodologia organiza-se em quatro camadas complementares e interdependentes, sustentadas por guias normativos e práticas recomendadas até 2006 (NIST, 2002; NIST, 2004; NIST, 2006).

4.1 Endurecimento de Perímetro e Hosts

No perímetro, propomos política “nega por padrão” com listas de permissão estritas, registro de tentativas bloqueadas e segmentação clara entre Internet, DMZ e redes internas. Em Linux, iptables possibilita filtragem de pacotes estadoful, NAT e registro via target LOG (RUSSELL, 2001). Em plataformas comerciais, Check Point VPN-1/FireWall-1 NGX R60 e Cisco PIX 7.x oferecem recursos de inspeção de estado, controle de aplicações e integração com VPNs IPsec (CHECK POINT, 2006; CISCO, 2005).

No host, recomendamos desativação de serviços desnecessários, aplicação célere de patches, configuração segura (CIS Benchmarks), autenticação forte e gerenciamento de privilégios com o princípio do menor privilégio (CIS, 2005; SEACORD, 2005). Em Linux, SELinux em modo targeted pode mitigar escaladas de privilégio e limitar danos de serviços comprometidos (NSA, 2004). Em Windows, GPOs e recomendações de hardening devem restringir superfícies (MICROSOFT, 2003; MICROSOFT, 2004).

Exemplo de política iptables mínima para um servidor web na DMZ:

Política padrão
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

Permitir tráfego estabelecido
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Permitir HTTP/HTTPS a partir de Internet
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

Permitir SSH apenas a partir da rede de gerenciamento
iptables -A INPUT -p tcp -s 10.0.50.0/24 --dport 22 -j ACCEPT

Registrar e descartar o restante
iptables -A INPUT -j LOG --log-prefix "DROP_INPUT " --log-level 4
iptables -A INPUT -j DROP

4.2 Detecção em Rede e Host

Implementamos NIDS com Snort 2.4, posicionando sensores na borda da DMZ e no trânsito entre DMZ e rede interna. Regras atualizadas e pré-processadores (p. ex., stream4) são cruciais para robustez contra evasion (ROESCH, 1999). Para HIDS, OSSEC-HIDS provê monitoramento de integridade, análise de logs e resposta ativa, enquanto Tripwire reforça a garantia de integridade (CID, 2005; TRIPWIRE, 2002). Regras específicas para ataques comuns de 2003–2006 — incluindo RPC/DCOM (MS03-026), LSASS (MS04-011), varreduras SYN e injeção de SQL — compõem o corpus de detecção.

Exemplos de regras Snort ilustrativas:

Varredura de portas TCP (SYN scan)
alert tcp $EXTERNAL_NET any -> $HOME_NET any (flags:S; msg:"SCAN TCP SYN"; threshold:type both, track by_src, count 20, seconds 3; sid:1000001; rev:1;)

Exploração RPC/DCOM (MS03-026) - assinatura simplificada
alert tcp $EXTERNAL_NET any -> $HOME_NET 135 (msg:"EXPLOIT DCOM MS03-026 attempt"; flow:to_server,established; content:"|05 00 0b|"; depth:3; sid:1000002; rev:1;)

Tentativa de injeção de SQL em HTTP
alert tcp $EXTERNAL_NET any -> $HOME_NET 80 (msg:"WEB-APP SQL Injection attempt"; flow:to_server,established; content:"UNION SELECT"; nocase; http_uri; sid:1000003; rev:1;)

Exemplo de monitoramento OSSEC de integridade e eventos críticos em Linux:

<syscheck>
  <frequency>7200</frequency>
  <directories check_all="yes">/etc,/usr/bin,/usr/sbin,/bin</directories>
  <ignore>/etc/mtab</ignore>
</syscheck>

<localfile>
  <log_format>syslog</log_format>
  <location>/var/log/messages</location>
</localfile>

<rule id="100010" level="10">
  <if_matched_sid>1002</if_matched_sid>
  <description>Alteração crítica em /etc/passwd detectada</description>
</rule>

4.3 Gestão e Correlação de Logs

Consolidamos logs via syslog-ng, com transporte confiável dentro do domínio administrativo e segregação por origem e criticidade (POSTEL, 2001; NIST, 2006). Recomendamos sincronização NTP para garantir ordenação temporal de eventos. A correlação pode ser implementada com ArcSight ESM 3.x ou OSSIM, combinando alertas de IDS, eventos de autenticação, NetFlow e registros de firewall para reduzir MTTD e apoiar resposta (ARCSIGHT, 2005; OSSIM, 2006).

Exemplo de configuração simplificada do syslog-ng para envio seguro a um coletor:

source s_local { file("/var/log/messages"); };
destination d_remote { tcp("10.0.60.10" port(514)); };
log { source(s_local); destination(d_remote); };

4.4 Resposta Automatizada e Manual

A resposta segue o ciclo proposto pelo NIST SP 800-61: preparação, detecção/análise, contenção, erradicação e recuperação (NIST, 2004). Automatizamos contenção tática integrando Snort a mecanismos de bloqueio temporário (p. ex., Snortsam/Guardian para injeção de regras iptables) e ajustando ACLs em roteadores. A erradicação envolve aplicação de patches (WSUS/apt/yum), remoção de malware e validação de integridade. A recuperação contempla restauração de backups e verificação de serviço. Práticas de preservação de evidência e cadeia de custódia são seguidas com apoio de ferramentas forenses como EnCase e FTK (CARRIER, 2005; CASEY, 2004; GUIDANCE SOFTWARE, 2003; ACCESSDATA, 2004).

  1. Implementação

Desenvolvemos um ambiente de referência com três segmentos de rede: Internet simulada, DMZ e rede interna. O backbone opera a 100 Mbps, com roteamento estático entre segmentos e exportação de NetFlow v5.

Componentes e versões:

Topologia lógica:

Fluxo de atualização de assinaturas e configuração:

Exemplos de comandos de apoio:

Varredura de portas completa com Nmap
nmap -sS -sV -O -p- -T3 192.0.2.0/24

Execução de política de firewall Check Point (no SmartDashboard/SmartCenter)
(operacionalmente, aplicação de política "DMZ_strict_R60" após validações)

NetFlow no roteador Cisco (conceitual):
ip flow-export version 5
ip flow-export destination 10.0.60.20 9995
ip route-cache flow

Para avaliação de VPN e confidencialidade de dados, configuramos túneis IPsec entre dois gateways (AES-128, HMAC-SHA1, DH Group 2), verificados com sniffers passivos para confirmar criptografia de dados sensíveis (NIST, 2001; RSA LABS, 2002).

  1. Avaliação Experimental

6.1 Cenários

Definimos 12 cenários representativos:

  1. Varredura TCP SYN horizontal em DMZ.
  2. Exploração RPC/DCOM (MS03-026) contra hosts XP SP1 internos.
  3. Exploração LSASS (MS04-011) com tentativa de propagação estilo Sasser.
  4. Força bruta SSH (dicionário) contra servidor Linux na DMZ.
  5. Tentativa de open relay em servidor SMTP.
  6. Injeção de SQL em aplicação PHP vulnerável (parâmetro GET).
  7. Upload de webshell via falha de validação em upload PHP.
  8. Varredura UDP (TFTP/DNS amplification probes).
  9. Brute force de contas de domínio via SMB (autenticação NetBIOS/NTLM).
  10. Escalonamento interno: host comprometido exfiltra dados via HTTP POST.
  11. Modificação de arquivos críticos em servidor Linux (teste HIDS).
  12. Execução de binário não autorizado em servidor Windows (detecção HIDS/OSSEC agent-Windows).

Cada cenário foi executado três vezes para robustez estatística, com carga de fundo de 40% de ocupação de link no horário de pico simulado.

6.2 Métricas e Metodologia

Medimos:

A detecção por NIDS e HIDS foi considerada conjunta: alerta válido ocorre quando ao menos um dos sensores dispara e o correlator converte a detecção em incidente confirmado. Estabelecemos intervalo de confiança de 95% para médias, assumindo normalidade aproximada pelo TCL dada a repetição multi-execução.

6.3 Resultados

Resumo quantitativo:

Cenário TD (NIDS) TD (HIDS) MTTD (min) MTTR (min) TFP (%) Overhead CPU (%)
1. Varredura SYN 0,99 n/a 0,4 2,1 3,2 2,1
2. DCOM MS03-026 0,94 0,71 2,6 6,3 4,0 3,5
3. LSASS MS04-011 0,91 0,75 2,9 7,1 4,6 3,8
4. Brute force SSH 0,88 0,79 3,2 5,8 5,3 2,9
5. SMTP open relay 0,92 n/a 2,0 4,9 2,7 2,0
6. SQL injection 0,86 0,65 4,1 9,3 6,8 3,0
7. Upload webshell 0,83 0,72 5,0 10,7 7,2 3,2
8. Varredura UDP 0,90 n/a 1,8 4,5 3,5 2,2
9. Brute SMB 0,87 0,80 3,5 8,2 5,9 3,1
10. Exfiltração HTTP 0,78 0,70 6,2 12,4 6,5 3,7
11. Modif. crítica Linux n/a 0,95 1,1 3,6 2,1 1,8
12. Binário não autorizado n/a 0,88 1,9 4,4 2,9 2,0

Resultados agregados:

A integração de logs (syslog-ng), correlação (ArcSight/OSSIM) e NetFlow foi determinante para casos de exfiltração e SQL injection, nos quais a evidência isolada em camadas pode ser sutil (OWASP, 2004; NIST, 2006).

6.4 Exemplos Representativos

  1. Estudo de Caso: Contenção do Sasser (LSASS MS04-011)

Reproduzimos uma campanha de comprometimento em ambiente isolado: um host Windows XP SP1 vulnerável foi exposto internamente e um atacante externo simulou a exploração LSASS com ferramentas disponíveis em 2004–2005. A sequência temporal observada foi:

Comparação de antes/depois:

Medida Antes (sem integração) Depois (com integração)
MTTD 8,9 min 3,0 min
MTTR 22,4 min 9,2 min
Hosts secundários infectados 5/10 0/10
Tráfego 445/TCP pós-exploração Alto por 20 min Contido em 5 min

O estudo reforça que a combinação de NIDS afinado, telemetria de fluxo e runbook de contenção reduz substancialmente o impacto de vermes como Sasser.

  1. Discussão

Os resultados confirmam a hipótese de que controles isolados — por exemplo, apenas firewall ou apenas antivírus — são insuficientes para mitigar ameaças prevalentes até 2006. A defesa em profundidade, articulando endurecimento, detecção contínua e resposta disciplinada, apresenta ganhos materiais de MTTD e MTTR. A detecção baseada em assinaturas teve excelente desempenho contra varreduras e explorações conhecidas (RPC/DCOM, LSASS), mas sua eficácia diminui em exfiltrações stealth e variantes de SQL injection não canônicas (ROESCH, 1999; PAXSON, 1999; OWASP, 2004). Nesses casos, a correlação entre múltiplas fontes — NIDS, HIDS, logs de aplicação e NetFlow — foi determinante para elevar a taxa de detecção sem inflacionar falsos positivos (NIST, 2006).

Do ponto de vista operacional, o custo marginal em CPU e latência foi modesto, sobretudo após otimização de regras e tuning de pré-processadores em Snort. Entretanto, ressaltamos limitações: (i) manutenção de assinaturas e patches exige disciplina e processos; (ii) falsos positivos persistem em cenários de alto dinamismo de aplicações web; (iii) a blindagem contra 0-days permanece limitada, a menos que complementada por políticas restritivas (p. ex., hardening agressivo, whitelisting de aplicações, SELinux) (NSA, 2004; SEACORD, 2005).

A prática contínua de exercícios de resposta, tabelas de comunicação, inventário e classificação de ativos, bem como a adoção de benchmarks de configuração (CIS) e de guias normativos (NIST SP 800-41, 61 e 92), mostrou-se crítico para operacionalizar a abordagem e sustentá-la no tempo (NIST, 2002; NIST, 2004; NIST, 2006; CIS, 2005).

  1. Conclusão

Apresentamos uma abordagem integrada e historicamente coerente com 2006 para endurecimento, detecção e resposta a ameaças em redes corporativas tradicionais. A formalização do risco e da detecção, aliada a uma metodologia de quatro camadas e a uma implementação com tecnologias maduras à época, permite reduzir significativamente a superfície de ataque e o impacto de incidentes característicos do período. A avaliação experimental e o estudo de caso do Sasser demonstram melhorias mensuráveis em MTTD, MTTR e contenção de propagação, com sobrecarga operacional aceitável.

Como direções incrementais compatíveis com o estado da arte até 2006, recomendamos: (i) ampliação de políticas restritivas em servidores críticos (p. ex., SELinux targeted/strict em serviços sensíveis); (ii) adoção complementar de Bro para análise semântica de protocolos; (iii) uso controlado de honeypots de baixa interatividade para inteligência de ameaças; (iv) fortalecimento de correlação de eventos por normalização adicional de logs e maior uso de NetFlow; e (v) continuidade de exercícios de resposta e revisão periódica de regras e playbooks. Em conjunto, tais iniciativas consolidam a resiliência operacional diante das ameaças então predominantes.

Referências

ACCESSDATA. Forensic Toolkit (FTK) 1.20 User Manual. 2004. Disponível em: https://www.accessdata.com. Acesso em: 10 dez. 2006.

ALEPH ONE. Smashing the Stack for Fun and Profit. Phrack Magazine, v. 7, n. 49, 1996. Disponível em: http://phrack.org/issues/49/14.html. Acesso em: 10 dez. 2006.

ARCSIGHT. ArcSight Enterprise Security Manager 3.0: Solution Overview. 2005. Disponível em: https://community.microfocus.com/cyberres/productdocs/w/arcsighttips/33560/arcsight-esm-overview-2005 (arquivo histórico). Acesso em: 10 dez. 2006.

CASEY, Eoghan. Digital Evidence and Computer Crime. 2. ed. Amsterdam: Elsevier Academic Press, 2004. Disponível em: https://www.elsevier.com/books/digital-evidence-and-computer-crime/casey/978-0-12-163104-8. Acesso em: 10 dez. 2006.

CERT/CC. CA-2003-20 W32/Blaster Worm. 2003. Disponível em: https://www.cert.org/historical/advisories/CA-2003-20.cfm. Acesso em: 10 dez. 2006.

CERT/CC. CA-2004-13 W32/Sasser Worm. 2004. Disponível em: https://www.cert.org/historical/advisories/CA-2004-13.cfm. Acesso em: 10 dez. 2006.

CHECK POINT. VPN-1/FireWall-1 NGX R60 Product Information. 2006. Disponível em: https://www.checkpoint.com/downloads/product-related/vpn-1-firewall-ngx-r60.pdf. Acesso em: 10 dez. 2006.

CHESWICK, William R.; BELLOVIN, Steven M.; RUBIN, Aviel D. Firewalls and Internet Security: Repelling the Wily Hacker. 2. ed. Boston: Addison-Wesley, 2003. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/firewalls-and-internet-security-repelling-the-wily-hacker/P200000000993. Acesso em: 10 dez. 2006.

CID, Daniel B. OSSEC-HIDS: Host-based Intrusion Detection System. 2005. Disponível em: https://www.ossec.net. Acesso em: 10 dez. 2006.

CISCO. Cisco PIX Security Appliance Software Version 7.0—Configuration Guide. 2005. Disponível em: https://www.cisco.com/c/en/us/support/security/pix-500-series-security-appliances/products-installation-and-configuration-guides-list.html. Acesso em: 10 dez. 2006.

CIS. Center for Internet Security—Windows XP Benchmark v2.0.1. 2005. Disponível em: https://www.cisecurity.org/benchmark/microsoft_windows. Acesso em: 10 dez. 2006.

FIPS PUB 197. Announcing the Advanced Encryption Standard (AES). Gaithersburg: NIST, 2001. Disponível em: https://csrc.nist.gov/publications/detail/fips/197/final. Acesso em: 10 dez. 2006.

FERGUSON, N.; SCHNEIER, B. Practical Cryptography. New York: Wiley, 2003. Disponível em: https://www.schneier.com/books/practical-cryptography/. Acesso em: 10 dez. 2006.

FYODOR. The Art of Port Scanning. Phrack Magazine, v. 7, n. 51, 1997. Disponível em: http://phrack.org/issues/51/14.html. Acesso em: 10 dez. 2006.

FYODOR. Remote OS Detection via TCP/IP Stack Fingerprinting. 1998. Disponível em: https://insecure.org/nmap/osdetect/. Acesso em: 10 dez. 2006.

GUIDANCE SOFTWARE. EnCase Forensic v4 User Guide. 2003. Disponível em: https://www.guidancesoftware.com (arquivo histórico). Acesso em: 10 dez. 2006.

HALFOND, William G. J.; VIEGAS, Jeremy; ORSO, Alessandro. A Classification of SQL-Injection Attacks and Countermeasures. In: Proceedings of the IEEE International Symposium on Secure Software Engineering. 2006. Disponível em: https://dl.acm.org/doi/10.5555/1266840.1266844. Acesso em: 10 dez. 2006.

HONEYNET PROJECT. Know Your Enemy: Learning About Security Threats. 2. ed. Boston: Addison-Wesley, 2004. Disponível em: https://www.honeynet.org. Acesso em: 10 dez. 2006.

KIM, Gene H.; SPAFFORD, Eugene H. The Design and Implementation of Tripwire: A File System Integrity Checker. In: Proceedings of the 2nd ACM Conference on Computer and Communications Security. 1994. Disponível em: https://dl.acm.org/doi/10.1145/191177.191225. Acesso em: 10 dez. 2006.

MCHUGH, John. Testing Intrusion Detection Systems: A Critique of the 1998 and 1999 DARPA Intrusion Detection System Evaluations as Performed by Lincoln Laboratory. ACM Transactions on Information and System Security, v. 3, n. 4, p. 262–294, 2000. Disponível em: https://dl.acm.org/doi/10.1145/382912.382923. Acesso em: 10 dez. 2006.

MENEZES, A. J.; VAN OORSCHOT, P. C.; VANSTONE, S. A. Handbook of Applied Cryptography. Boca Raton: CRC Press, 1996. Disponível em: https://cacr.uwaterloo.ca/hac/. Acesso em: 10 dez. 2006.

MICROSOFT. Security Bulletin MS03-026: Buffer Overrun in RPC Interface Could Allow Code Execution. 2003. Disponível em: https://docs.microsoft.com/en-us/security-updates/securitybulletins/2003/ms03-026. Acesso em: 10 dez. 2006.

MICROSOFT. Security Bulletin MS04-011: Security Update for Microsoft Windows. 2004. Disponível em: https://docs.microsoft.com/en-us/security-updates/securitybulletins/2004/ms04-011. Acesso em: 10 dez. 2006.

NIST. SP 800-30: Risk Management Guide for Information Technology Systems. 2002. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-30/archive/2002-07-01. Acesso em: 10 dez. 2006.

NIST. SP 800-41: Guidelines on Firewalls and Firewall Policy. 2002. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-41/final. Acesso em: 10 dez. 2006.

NIST. SP 800-53: Recommended Security Controls for Federal Information Systems. 2005. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-53/archive/2005-02-01. Acesso em: 10 dez. 2006.

NIST. SP 800-61: Computer Security Incident Handling Guide. 2004. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-61/archive/2004-01-01. Acesso em: 10 dez. 2006.

NIST. SP 800-92: Guide to Computer Security Log Management. 2006. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-92/final. Acesso em: 10 dez. 2006.

NSA. Security-Enhanced Linux (SELinux) Overview. 2004. Disponível em: https://www.nsa.gov/What-We-Do/Research/SELinux/. Acesso em: 10 dez. 2006.

OSSIM. Open Source Security Information Management (OSSIM) Project. 2006. Disponível em: https://www.alienvault.com/community (arquivo histórico). Acesso em: 10 dez. 2006.

OWASP. The OWASP Top Ten 2004. 2004. Disponível em: https://owasp.org/www-project-top-ten/2004. Acesso em: 10 dez. 2006.

PAXSON, Vern. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Disponível em: https://dl.acm.org/doi/10.5555/316188.316190. Acesso em: 10 dez. 2006.

POSTEL, R. RFC 3164: The BSD Syslog Protocol. IETF, 2001. Disponível em: https://www.rfc-editor.org/rfc/rfc3164. Acesso em: 10 dez. 2006.

RIVEST, R. L.; SHAMIR, A.; ADLEMAN, L. A Method for Obtaining Digital Signatures and Public-Key Cryptosystems. Communications of the ACM, v. 21, n. 2, p. 120–126, 1978. Disponível em: https://dl.acm.org/doi/10.1145/359340.359342. Acesso em: 10 dez. 2006.

ROESCH, Martin. Snort: Lightweight Intrusion Detection for Networks. In: Proceedings of the 13th USENIX System Administration Conference (LISA ’99). 1999. Disponível em: https://www.snort.org. Acesso em: 10 dez. 2006.

RSA LABS. PKCS 1 v2.1: RSA Cryptography Standard. 2002. Disponível em: https://www.rsa.com/rsalabs/node.asp?id=2125. Acesso em: 10 dez. 2006.

RUSSELL, Rusty. Linux 2.4 Packet Filtering HOWTO. 2001. Disponível em: https://www.netfilter.org/documentation/HOWTO//packet-filtering-HOWTO.html. Acesso em: 10 dez. 2006.

SCHNEIER, Bruce. Applied Cryptography. 2. ed. New York: Wiley, 1996. Disponível em: https://www.schneier.com/books/applied-cryptography/. Acesso em: 10 dez. 2006.

SEACORD, Robert C. Secure Coding in C and C++. Boston: Addison-Wesley, 2005. Disponível em: https://www.informit.com/store/secure-coding-in-c-and-c-plus-plus-9780321335722. Acesso em: 10 dez. 2006.

SPITZNER, Lance. Honeypots: Tracking Hackers. Boston: Addison-Wesley, 2002. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/honeypots-tracking-hackers/P200000000769. Acesso em: 10 dez. 2006.

TENABLE. Nessus 2.2 User Guide. 2004. Disponível em: https://www.tenable.com/products/nessus. Acesso em: 10 dez. 2006.

TRIPWIRE. Tripwire for Servers 4.0—Technical Overview. 2002. Disponível em: https://www.tripwire.com (arquivo histórico). Acesso em: 10 dez. 2006.

CARRIER, Brian. File System Forensic Analysis. Boston: Addison-Wesley, 2005. Disponível em: https://www.pearson.com/store/p/file-system-forensic-analysis/P100000301008. Acesso em: 10 dez. 2006.

CISCO. NetFlow Services and Applications. 2002. Disponível em: https://www.cisco.com/c/en/us/products/ios-nx-os-software/ios-netflow/index.html. Acesso em: 10 dez. 2006.

NTP. Network Time Protocol (Version 3) Specification, Implementation and Analysis. RFC 1305. 1992. Disponível em: https://www.rfc-editor.org/rfc/rfc1305. Acesso em: 10 dez. 2006.

MICROSOFT. Windows Server 2003 Security Guide. 2003. Disponível em: https://www.microsoft.com/download/details.aspx?id=19763. Acesso em: 10 dez. 2006.