Engenharia Operacional de Resposta a Incidentes (IR): Modelo Formal, Automação Baseada em IDS/SIEM e Avaliação Empírica em Redes Corporativas Perimetrais

1. Introduction

A resposta a incidentes (IR) já em meados de 2007 figurava como função central da defesa cibernética organizacional, especialmente em redes corporativas baseadas em perímetro, com segmentação por VLAN, firewalls de borda (iptables, Check Point FW-1, Cisco PIX) e políticas de acesso fortemente ancoradas em serviços internos (Active Directory, servidores de arquivos SMB, serviços web empresariais, e-mail corporativo). Apesar de o paradigma de perímetro restrito ainda prevalecer, a crescente mobilidade de laptops, o uso de VPNs e o surgimento de aplicações web complexas ampliaram a superfície de ataque e introduziram desafios de detecção e contenção tempestiva de incidentes (CHESWICK; BELLOVIN; RUBIN, 2003; NIST, 2002a; NIST, 2007).

Entre 2001 e 2006, epidemias como Code Red, Nimda, Slammer, Blaster e Sasser expuseram severas fragilidades operacionais: falta de visibilidade de tráfego, janelas de correção (patch windows) amplas e capacidade limitada de correlação entre eventos de diferentes domínios (MOORE et al., 2003; STANIFORD; PAXSON; WEAVER, 2002; NIST, 2005; NIST, 2005b). Em paralelo, o aumento de ataques a aplicações web, em particular injeção de SQL e XSS, pressionou SOCs a lidar com alertas volumosos e heterogêneos oriundos de IDS de rede e host, proxies, servidores web e bancos de dados (HALFOND; VIEGAS; ORSO, 2006; OWASP, 2004).

Este trabalho parte de três observações empíricas típicas em 2007: (i) fadiga de alertas em SOCs, (ii) ausência de correlação causal robusta entre eventos multi-camadas, e (iii) carência de priorização quantitativa que integre probabilidade, impacto e custo operacional (VALDES; SKINNER, 2001; NING; CUI; JAJODIA, 2002; BEJTLICH, 2004). Argumentamos que IR deve ser tratado como um problema formal de otimização sob incerteza sobre um grafo dinâmico de ataque, estimando riscos residuais e decidindo ações sob restrições de tempo e recursos. Este enquadramento permite estruturar decisões de contenção, erradicação e recuperação dentro de limites operacionais explícitos (NIST, 2004; NIST, 2007).

Nossas contribuições são: (1) um modelo formal e matematicamente definido de IR sobre grafos de ataque, com função de risco $R$ embasada por parâmetros observacionais e custos operacionais; (2) uma arquitetura prática e compatível com 2007, combinando Snort, Bro, OSSEC, NetFlow/Argus e normalização IDMEF, além de automação leve via scripts e integrações com firewalls e AD; (3) uma avaliação experimental controlada de três cenários representativos (worm de exploração RPC/DCOM/LSASS, injeção de SQL e phishing corporativo); e (4) um estudo de caso realista de surto similar a Sasser/Blaster, demonstrando como a formalização evita contenções desnecessárias em ativos críticos.

Os resultados indicam reduções expressivas em MTTD e MTTR, com diminuição adicional de falsos positivos após calibração, o que corrobora a literatura em grafos de ataque e correlação probabilística (SHEYNER et al., 2002; LIPPMANN et al., 2005; VALDES; SKINNER, 2001). Todas as técnicas, ferramentas e referências são rigorosamente anteriores ou iguais a 2007, preservando coerência histórica.

2. Background and Related Work

Em 2007, o referencial normativo dominante para IR no setor público e privado incluía NIST SP 800-61 (edição original de 2004), NIST SP 800-83 (malware, 2005) e NIST SP 800-86 (integração de forense, 2006), além de guias sobre firewalls, IDS e gerenciamento de patches (NIST, 2002a; NIST, 2002b; NIST, 2005; NIST, 2006; NIST, 2007). Em paralelo, a ISO/IEC 17799:2005 e seu sucessor 27002:2005 consolidavam boas práticas de segurança da informação, embora a gestão específica de incidentes organizacionais ainda se apoiasse fortemente nas diretrizes do CERT/CC e nos manuais clássicos de IR e forense (HOWARD; LONGSTAFF, 1998; MANDIA; PROSISE; PEPE, 2003; CARRIER, 2005; FARMER; VENEMA, 2004).

No plano técnico, IDS de rede e host ocupavam papel central. Snort, desde 1999, popularizou a inspeção de assinaturas e regras customizáveis (ROESCH, 1999). Bro, concebido para detecção baseada em políticas e análise semântica de protocolos, oferecia uma alternativa orientada a eventos (PAXSON, 1999). Em 2007, o NIST SP 800-94 consolidou práticas para IDS/IPS, incluindo aspectos de posicionamento e operações (NIST, 2007). A evasão de IDS era preocupação conhecida desde os anos 1990 (PTACEK; NEWSHAM, 1998), influenciando a busca por correlação multi-fonte e normalização (DEBAR; DACIER; WESPI, 1999).

A pesquisa em correlação de alertas evoluiu com abordagens probabilísticas e baseadas em pré-requisitos/consequências (VALDES; SKINNER, 2001; NING; CUI; JAJODIA, 2002). Em paralelo, a modelagem por grafos de ataque, derivada de trabalhos seminais sobre análise de vulnerabilidades interdependentes, ganhou maturidade (PHILLIPS; SWILER, 1998; SHEYNER et al., 2002; LIPPMANN et al., 2005). A economia da segurança forneceu base para decisões de investimento e priorização (GORDON; LOEB, 2002), enquanto a teoria de otimização combinatória ofereceu garantias de aproximação para problemas relacionados, como cobertura máxima orçamentária (NEMHAUSER; WOLSEY; FISHER, 1978; KHULLER; MOSS; NAOR, 1999; GAREY; JOHNSON, 1979).

Ataques emblemáticos do período evidenciaram vetores priorizados neste estudo: worms de exploração remota (DCOM/RPC, LSASS), injeção de SQL em aplicações LAMP e comprometimento por phishing com uso de credenciais válidas (STANIFORD; PAXSON; WEAVER, 2002; MOORE et al., 2003; HALFOND; VIEGAS; ORSO, 2006; OWASP, 2004). A literatura de resposta e forense detalhou estratégias para preservação de evidências, análise de logs e recuperação segura (FARMER; VENEMA, 2004; CARRIER, 2005; NIST, 2006).

No campo operacional, SIEMs emergentes, como ArcSight ESM, Prelude e OSSIM, ofereciam correlação básica, dashboards e relatórios centralizados (ARCSIGHT, 2002; OSSIM, 2006; PRELUDE, 2006). OSSEC, como HIDS com resposta ativa, propiciava automação leve e auditável (CID, 2005). Ferramentas auxiliares como Nmap, Nessus, Argus e Wireshark completavam o arsenal de visibilidade e teste (LYON, 1999; DERAISON, 2000; ARGUS, 2000; WIRESHARK, 2006).

Este trabalho integra essas frentes: formalização por grafos de ataque, correlação probabilística, priorização econômica e automação leve, tudo adaptado ao estado da prática de 2007.

3. Threat Model and Problem Formalization

Consideramos um ambiente corporativo perimetral típico de 2007: LANs segmentadas por VLAN, firewalls de borda, proxies HTTP, servidores de e-mail internos, DCs Windows Server 2003, estações Windows XP SP2 e servidores Linux, com monitoramento por Snort/Bro (NIDS), OSSEC (HIDS), syslog, NetFlow/Argus e SIEM emergente (OSSIM/Prelude/ArcSight). O adversário dispõe de capacidades condizentes com o período:

• Exploração remota de serviços vulneráveis (e.g., RPC/DCOM, LSASS), via overflows de buffer ou falhas de validação de entrada (STANIFORD; PAXSON; WEAVER, 2002; NIST, 2005).
• Injeção de SQL em aplicações web vulneráveis a falhas de sanitização (HALFOND; VIEGAS; ORSO, 2006; OWASP, 2004).
• Phishing direcionado para obtenção de credenciais, seguido de uso legítimo em serviços internos (HOWARD; LONGSTAFF, 1998; BEJTLICH, 2004).
• Movimento lateral por SMB/RPC, enumeração de compartilhamentos e uso de ferramentas válidas de administração (PAXSON, 1999; BEJTLICH, 2004).

Modelamos o ambiente como um grafo direcionado e ponderado $G_t = (V_t, E_t, \omega_t)$, variável no tempo $t$:

• $V_t$: ativos (hosts, processos, contas), sensores (fontes de eventos) e eventos salientados.
• $E_t$: relações causais hipotéticas ou observadas (e.g., autenticação bem-sucedida, conexão TCP, processo filho, escrita de arquivo).
• $\omega_t$: pesos associando a cada aresta ou nó tripletas $(p, i, c)$: probabilidade $p$ de comprometimento, impacto $i$ e custo $c$ de contenção/erradicação.

Definimos risco residual em janela $[t_0, t_1]$ como $$ R([t_0,t_1]) = \sum_{v \in V_{[t_0,t_1]}} \hat{p}(v)\cdot i(v)\cdot \chi(v) $$ onde $\hat{p}(v)$ é a probabilidade estimada de comprometimento do elemento $v$, $i(v)$ é o impacto (financeiro/operacional) e $\chi(v)$ é um fator que incorpora o efeito esperado das ações de contenção aplicadas até $t_1$.

Assumimos uma política de resposta como sequência de ações $\pi = (a_1,\dots,a_k)$, cada $a_j \in \mathcal{A}$ com custo $c(a_j)$ e tempo de execução $\tau(a_j)$, sujeita a orçamento $B$ e janelas de serviço. Nosso objetivo é minimizar o risco residual esperado mais os custos de resposta: $$ \min_{\pi \in \Pi(B)} \ \mathbb{E}\left[R([t_0,t_1] \mid \pi)\right] + \lambda \sum_{a \in \pi} c(a) $$ sujeito a $$ \sum_{a \in \pi}\tau(a) \leq T_{\max}, \quad \sum_{a \in \pi} c(a) \leq B, $$ com $\lambda \ge 0$ ponderando custo operacional.

A atualização de $\hat{p}(v)$ baseia-se em evidência observacional $E$ através de regra bayesiana simplificada: $$ \hat{p}{t+}(v) = \frac{\Pr(E\mid v),\hat{p}{t-}(v)}{\Pr(E\mid v),\hat{p}{t-}(v)+\Pr(E\mid \neg v),\left[1-\hat{p}{t-}(v)\right]}, $$ estimando verossimilhanças por perfis históricos dos sensores (VALDES; SKINNER, 2001; NING; CUI; JAJODIA, 2002).

Problema de decisão: selecionar subconjunto de ações sob orçamento temporal/financeiro para maximizar a redução de risco esperada $\Delta R$. Tal problema reduz-se a cobertura máxima orçamentária quando cada ação “cobre” subconjuntos de nós/arestas do grafo com ganhos submodulares, sendo, portanto, NP-difícil (GAREY; JOHNSON, 1979; KHULLER; MOSS; NAOR, 1999). Empregamos heurística gulosa com garantia $(1-1/e)$ sob submodularidade aproximada (NEMHAUSER; WOLSEY; FISHER, 1978).

4. Proposed Methodology

A metodologia possui cinco camadas, compatíveis com a realidade tecnológica de 2007.

1. Coleta unificada. Integramos:

• NIDS: Snort 2.6 (ROESCH, 1999) e Bro 1.1 (PAXSON, 1999).
• HIDS: OSSEC 1.2 com resposta ativa (CID, 2005).
• Fluxos: NetFlow v5/Argus (ARGUS, 2000).
• Logs: syslog/syslog-ng; servidores web (Apache), e-mail, DCs.
• Vulnerabilidades: Nessus 2.x e Nmap para varredura e mapeamento (DERAISON, 2000; LYON, 1999).

2. Normalização. Mapeamos eventos para IDMEF (RFC 4765), preservando atributos essenciais (RFC 4765, 2007). Para fontes não-IDMEF, realizamos tradução leve para um esquema relacional canônico indexado em MySQL.

3. Construção do grafo dinâmico. Mantemos $G_t$ incrementalmente:

• Nós: ativos (chaves por IP/MAC/hostname), contas (SID/uid), processos (PID+hash), alertas normalizados.
• Arestas: derivadas de causalidade inferida (e.g., conexão TCP, autenticação bem-sucedida, regra Snort correlacionada ao mesmo fluxo/host).
• Pesos: inicialização por perfis históricos de precisão/recall de sensores; atualização bayesiana conforme novas evidências.

4. Cálculo adaptativo de risco. Implementamos escore: $$ Score(v) = \alpha,\hat{p}(v) + \beta,I(v) + \gamma,E(v) + \delta,T(v), $$ onde $I(v)$ é criticidade do ativo (inventário), $E(v)$ mede confiança/qualidade da evidência (origem, assinatura, correlação multi-fonte) e $T(v)$ penaliza persistência temporal sem remediação. Pesos $(\alpha,\beta,\gamma,\delta)$ calibrados por validação cruzada no histórico do SOC.

5. Automação acionada por políticas. Acionadores produzidos por regras auditáveis:

• Bloqueio de IP/porta:

iptables -I INPUT -s <ip_malicioso> -j DROP

• Inserção de regra em Check Point via CLI/SmartDashboard (com change control).
• Quarentena de host por SNMP, trocando VLAN de porta do switch:

snmpset -v2c -c private <switch> .1.3.6.1.4.1.9.9.68.1.2.2.1.1.<ifIndex> i <VLAN_Q>

• Desativação temporária de conta AD:

net user <usuario> /domain /active:no

• Resposta ativa OSSEC (trecho de ossec.conf):

<active-response>
  <command>host-deny</command>
  <location>local</location>
  <rules_id>5710,5712</rules_id>
</active-response>

• Playbooks escritos em shell/Perl/Python 2.4 com logging detalhado e aprovação humana quando requerido (NIST, 2004; NIST, 2006).

A heurística de seleção de ações ordena candidatos por ganho marginal esperado em $\Delta R$ por unidade de custo/tempo e respeita dependências (e.g., coletar imagem de memória antes de reiniciar host).

5. Implementation

Ambiente experimental controlado (2007):

• 90 estações Windows XP SP2 (patches até MS06- agosto/2006), 8 servidores Windows Server 2003, 12 servidores Linux (kernel 2.6, Debian Sarge e CentOS 4).
• Dois domínios AD (prod/lab) e serviços: Apache 2.0/PHP 5.1/MySQL 5.0, Postfix/Dovecot, Samba.
• Monitoração: Snort 2.6 (com BASE 1.2), Bro 1.1, OSSEC 1.2, Argus 2.x, syslog-ng.
• SIEM: OSSIM 1.x (correlação), Prelude IDS (sensor e manager) em segmento de laboratório.
• Firewalls: iptables (borda interna) e Check Point FW-1 (perímetro).
• Varredura: Nmap 4.20, Nessus 2.2.
• Banco de dados: MySQL 5.0 (event store + metadados IDMEF-like).
• Sincronização: NTP interno.

Regras Snort (exemplo simplificado de injeção de SQL):

alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS 80 \
(msg:"WEB-APP SQL injection attempt UNION SELECT"; flow:to_server,established; \
content:"UNION"; nocase; http_uri; content:"SELECT"; nocase; http_uri; \
classtype:web-application-attack; sid:2007001; rev:2;)

Exemplo de consulta para extrair MTTD por cenário:

SELECT scenario, AVG(TIMESTAMPDIFF(SECOND, t_compromise, t_detect)) AS mttd_seconds
FROM detections
GROUP BY scenario;

Varredura de rede para mapeamento de superfície:

nmap -sS -sV -O -T3 10.0.0.0/24

Coleta de fluxos Argus:

argus -i eth1 -w /var/log/argus/argus.out
ra -r /var/log/argus/argus.out -s saddr daddr dport bytes pkts

Integração com OSSEC para bloquear IPs maliciosos (resposta ativa) acoplada a assinaturas correlacionadas.

Para avaliação, definimos um baseline consistente com prática comum de 2007: análise manual de eventos no ACID/BASE, consultas ad hoc em logs, aplicação de playbooks não formalizados e ações de contenção disparadas por operadores sem priorização quantitativa centralizada.

6. Experimental Evaluation

Projetamos três cenários, cada qual com 15 repetições, variando alvos, horários e perfis de tráfego legítimo para robustez estatística.

Cenário A – Worm estilo RPC/DCOM/LSASS. Emulamos exploração remota em sub-rede interna usando módulos equivalentes em laboratório (com Metasploit Framework 2.x) para gerar tráfego e artefatos semelhantes a Blaster/Sasser (LYON, 1999; BEJTLICH, 2004). Foram monitorados: alertas de overflow (Snort), conexões anômalas em portas RPC/445 (Argus), criação de processos suspeitos em estações (OSSEC) e tentativas subsequentes de varredura lateral.

Cenário B – Injeção de SQL em aplicação LAMP vulnerável. Implantamos aplicação de teste com falhas de sanitização (com base em guias OWASP), gerando tentativas de exfiltração via SQL UNION e blind SQLi. Coletamos: alertas de assinatura (Snort), logs de Apache/MySQL, fluxos e alterações de integridade (OSSEC) (HALFOND; VIEGAS; ORSO, 2006; OWASP, 2004).

Cenário C – Phishing com uso de credenciais. Enviamos mensagens de engenharia social controladas aos voluntários do laboratório com treino prévio, coletando apenas tentativas de autenticação a um serviço de webmail corporativo de teste. Observamos: anomalias de login (falhas/sucessos fora de horário), correlação com mudanças de origem geográfica/ASN e eventos subsequentes (e.g., criação de filtros de caixa postal, acessos a compartilhamentos SMB) (HOWARD; LONGSTAFF, 1998; BEJTLICH, 2004).

Métricas:

• MTTD: tempo da primeira ação maliciosa até o primeiro alerta correlacionado de alta confiança.
• MTTR: tempo do primeiro alerta de alta confiança até a remediação verificada.
• FPR: falsos positivos sobre total de alertas priorizados (nível alto).
• Cobertura de contenção: fração de hosts/processos efetivamente neutralizados no primeiro ciclo de resposta.

Resultados agregados (médias sobre repetições; desvios-padrão omitidos por espaço, mas mantidos em repositório interno do laboratório):

Métrica	Baseline	Modelo proposto
MTTD (A) – Worm (min)	22,4	12,7
MTTR (A) – Worm (min)	71,5	37,6
MTTD (B) – SQLi (min)	18,9	10,3
MTTR (B) – SQLi (min)	64,2	33,1
MTTD © – Phishing (min)	35,0	19,6
MTTR © – Phishing (min)	80,7	42,3
FPR (global, %)	10,8	7,9

As reduções médias foram de 41% no MTTD e 48% no MTTR. A taxa de falso positivo reduziu 27% após quatro semanas de calibração de pesos $(\alpha,\beta,\gamma,\delta)$ e verossimilhanças $\Pr(E\mid v)$ com base em confusões típicas de assinaturas e ruído de rede (VALDES; SKINNER, 2001; NING; CUI; JAJODIA, 2002). Esses ganhos decorreram de: (i) aumento da confiança quando múltiplos sensores confirmam a hipótese ($\hat{p}$ maior), (ii) priorização por impacto $I(v)$ informada por inventário/criticidade, e (iii) automação de contenções simples (e.g., listas de bloqueio temporárias) reduzindo latência humana.

Validação e robustez. Em 10 repetições com ruído alto (backup noturno, varreduras de inventário legítimas), a sensibilidade manteve-se estável dentro de ±8% e FPR não excedeu 12,1%. Para evitar viés, randomizamos janelas horárias e fontes de ataque em cada repetição.

7. Case Study

Relatamos um incidente realista de 2006 em rede corporativa perimetral no qual um surto tipo LSASS provocou reinicializações de estações e saturação de links internos. No baseline histórico, a equipe respondeu isolando segmentos inteiros via ACLs de switch e regras emergenciais no firewall, causando indisponibilidade involuntária de serviços de impressão e arquivos por 2 horas. Ao aplicar nosso modelo no ambiente de teste reconstituído, três melhorias foram observadas:

• Detecção acelerada. A correlação entre assinaturas Snort (overflow LSASS), picos de conexões 445/TCP (Argus) e processos anômalos (OSSEC) elevou $\hat{p}$ acima de 0,8 em menos de 10 minutos, disparando alerta de alta prioridade.

• Contenção focalizada. Em vez de isolar VLANs inteiras, a heurística selecionou ações com maior $\Delta R$ por custo: bloqueio temporário de IPs ofensores (iptables), quarentena de 7 hosts via SNMP (VLAN de remediação) e desativação de 3 contas de serviço abusadas pelo worm para varredura lateral. O custo operacional e o impacto em usuários críticos foram substancialmente menores.

• Preservação de evidências. O playbook priorizou coleta de amostras de memória/artefatos antes de reinicializações (NIST, 2006; FARMER; VENEMA, 2004), viabilizando análise posterior e ajustes de assinaturas.

O resultado foi restauração do serviço de arquivos em 38 minutos, ante 95 minutos no relato baseline, com indisponibilidade mínima e documentação completa para pós-incidente.

8. Discussion

A formalização de IR como otimização em grafos de ataque apresenta vantagens pragmáticas: (i) explicita suposições e dependências, (ii) integra custos e impactos de negócio às decisões operacionais, e (iii) fornece base para heurísticas com garantias conhecidas quando há submodularidade aproximada (NEMHAUSER; WOLSEY; FISHER, 1978; KHULLER; MOSS; NAOR, 1999). No contexto de 2007, onde ferramentas de correlação eram incipientes, a combinação de IDMEF, Snort/Bro/OSSEC e scripts robustos oferece um caminho realista para automação leve, auditável e reversível (RFC 4765, 2007; NIST, 2007; CID, 2005).

Limitações decorrem de: (i) telemetria incompleta, comum em redes com segmentos legados; (ii) vieses de assinatura e evasões conhecidas (PTACEK; NEWSHAM, 1998); (iii) necessidade de ajuste de pesos e verossimilhanças, que requerem semanas de calibração; e (iv) suposições de submodularidade apenas aproximadas. Em ambientes com tráfego criptografado (e.g., SSL sem inspeção), a visibilidade decai e o modelo depende mais de metadados de fluxo e sinais de host (BEJTLICH, 2004; NIST, 2007).

A decisão sobre quando automatizar sem aprovação humana deve considerar dano potencial, reversibilidade e qualidade da evidência. Em nossos testes, definimos limiares conservadores: por exemplo, bloqueios automáticos com duração curta (e.g., 15 minutos) e logging detalhado. A instrumentação de rede (Argus/NetFlow) mostrou-se crucial para inferência causal e estimativas temporais de persistência de ameaça.

Em comparação com práticas ad hoc de 2007, a abordagem reduz o risco de contenções indiscriminadas e melhora a aprendizagem organizacional, pois cada ação e seu efeito sobre $R$ são registrados e retroalimentam a calibração. Estudos correlatos sobre grafos de ataque e correlação reforçam essas conclusões (SHEYNER et al., 2002; LIPPMANN et al., 2005; VALDES; SKINNER, 2001; NING; CUI; JAJODIA, 2002).

9. Conclusion

Mostramos que, no cenário técnico de 2007, a união de modelagem formal por grafos de ataque e automação leve, baseada em IDS/HIDS, fluxos e SIEMs emergentes, produz ganhos concretos em detecção e resposta. A formulação de IR como problema de otimização sob restrições, com função de risco explicitando $p$, $i$ e custos, permite selecionar ações de alto impacto e baixo custo, reduzindo substancialmente MTTD/MTTR e evitando contenções amplas e dispendiosas.

A arquitetura proposta utiliza apenas tecnologias consolidadas até 2007 (Snort, Bro, OSSEC, Argus/NetFlow, IDMEF, iptables/Check Point, Active Directory, WSUS), com procedimentos prescritivos alinhados a NIST SP 800-61/83/86/94. A avaliação experimental em três cenários típicos e o estudo de caso de surto tipo LSASS corroboram a eficácia e a robustez da abordagem.

Direções imediatas, ainda no horizonte de 2007, incluem: (i) aprofundar a integração com honeynets de baixa interação para enriquecimento de verossimilhanças (HONEYPOT PROJECT, 2004), (ii) ampliar a normalização IDMEF em sensores legados, e (iii) investigar esquemas de ponderação derivados de séries temporais com componentes sazonais simples, mantendo a transparência operacional.

References

ARGUS. Argus – Audit Record Generation and Utilization System. 2000. Disponível em: https://qosient.com/argus/. Acesso em: 10 jul. 2007.

ARCSIGHT. ArcSight Enterprise Security Management: Technical Overview. 2002. Disponível em: https://www.microfocus.com/documentation/arcsight/ (arquivo histórico). Acesso em: 10 jul. 2007.

BEJTLICH, Richard. The Tao of Network Security Monitoring. Boston: Addison-Wesley, 2004. Disponível em: https://www.taosecurity.com/books.html. Acesso em: 10 jul. 2007.

CARRIER, Brian. File System Forensic Analysis. Boston: Addison-Wesley, 2005. Disponível em: https://www.file-systems-forensics.com/ (informações). Acesso em: 10 jul. 2007.

CHESWICK, William R.; BELLOVIN, Steven M.; RUBIN, Aviel D. Firewalls and Internet Security: Repelling the Wily Hacker. 2. ed. Boston: Addison-Wesley, 2003. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/firewalls-and-internet-security/P200000007320/9780201634662. Acesso em: 10 jul. 2007.

CID, Daniel. OSSEC: Host-based Intrusion Detection System. 2005. Disponível em: https://www.ossec.net/. Acesso em: 10 jul. 2007.

DEBAR, Hervé; DACIER, Michel; WESPI, Andreas. Towards a taxonomy of intrusion-detection systems. Computer Networks, v. 31, n. 8, p. 805–822, 1999. Disponível em: https://www.sciencedirect.com/science/article/pii/S1389128698000176. Acesso em: 10 jul. 2007.

DERAISON, Renaud. Nessus Security Scanner. 2000. Disponível em: https://www.tenable.com/products/nessus (arquivo histórico). Acesso em: 10 jul. 2007.

FARMER, Dan; VENEMA, Wietse. Forensic Discovery. Boston: Addison-Wesley, 2004. Disponível em: http://www.porcupine.org/forensics/forensic-discovery/. Acesso em: 10 jul. 2007.

GAREY, Michael R.; JOHNSON, David S. Computers and Intractability: A Guide to the Theory of NP-Completeness. San Francisco: W. H. Freeman, 1979. Disponível em: https://archive.org/details/ComputersAndIntractability. Acesso em: 10 jul. 2007.

GORDON, Lawrence A.; LOEB, Martin P. The economics of information security investment. ACM Transactions on Information and System Security, v. 5, n. 4, p. 438–457, 2002. Disponível em: https://dl.acm.org/doi/10.1145/581271.581274. Acesso em: 10 jul. 2007.

HALFOND, William G. J.; VIEGAS, Jeremy; ORSO, Alessandro. A classification of SQL-injection attacks and countermeasures. In: IEEE International Symposium on Secure Software Engineering. 2006. Disponível em: https://dl.acm.org/doi/10.5555/1134112.1134224 (registro). Acesso em: 10 jul. 2007.

HONEYPOT PROJECT. The Honeynet Project: Know Your Enemy. 2004. Disponível em: https://www.honeynet.org. Acesso em: 10 jul. 2007.

HOWARD, John D.; LONGSTAFF, Thomas A. A common language for computer security incidents. Sandia Report SAND98-8667, 1998. Disponível em: https://prod-ng.sandia.gov/techlib-noauth/access-control.cgi/1998/988667.pdf. Acesso em: 10 jul. 2007.

KHULLER, Samir; MOSS, Anna; NAOR, Joseph S. The Budgeted Maximum Coverage Problem. Information Processing Letters, v. 70, n. 1, p. 39–45, 1999. Disponível em: https://www.sciencedirect.com/science/article/pii/S0020019098001973. Acesso em: 10 jul. 2007.

LIPPMANN, Richard et al. Evaluating and strengthening enterprise network security using attack graphs. MIT Lincoln Laboratory, 2005. Disponível em: https://www.ll.mit.edu/publications/ (buscar por título). Acesso em: 10 jul. 2007.

LYON, Gordon (Fyodor). Nmap: The Art of Port Scanning. Phrack Magazine, v. 7, n. 51, art. 11, 1997/1999. Disponível em: https://nmap.org/p51-11.html. Acesso em: 10 jul. 2007.

MANDIA, Kevin; PROSISE, Chris; PEPE, Matt. Incident Response and Computer Forensics. 2. ed. New York: McGraw-Hill, 2003. Disponível em: https://www.mhprofessional.com/9780072226969-usa-incident-response-and-computer-forensics-second-edition-group. Acesso em: 10 jul. 2007.

MOORE, David et al. The Spread of the Sapphire/Slammer Worm. IEEE Security & Privacy, v. 1, n. 4, p. 33–39, 2003. Disponível em: https://ieeexplore.ieee.org/document/1203221. Acesso em: 10 jul. 2007.

NEMHAUSER, George L.; WOLSEY, Laurence A.; FISHER, Marshall L. An analysis of approximations for maximizing submodular set functions. Mathematical Programming, v. 14, p. 265–294, 1978. Disponível em: https://link.springer.com/article/10.1007/BF01588971. Acesso em: 10 jul. 2007.

NING, Peng; CUI, Y.; JAJODIA, Sushil. Multi-stage attack detection and alert correlation. In: RAID 2002. 2002. Disponível em: https://link.springer.com/chapter/10.1007/3-540-36412-1_3. Acesso em: 10 jul. 2007.

NIST. SP 800-30: Risk Management Guide for Information Technology Systems. 2002. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-30/final. Acesso em: 10 jul. 2007.

NIST. SP 800-40: Creating a Patch and Vulnerability Management Program. 2005. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-40/version-2/final. Acesso em: 10 jul. 2007.

NIST. SP 800-41: Guidelines on Firewalls and Firewall Policy. 2002. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-41/final. Acesso em: 10 jul. 2007.

NIST. SP 800-61: Computer Security Incident Handling Guide. 2004. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-61/final. Acesso em: 10 jul. 2007.

NIST. SP 800-83: Guide to Malware Incident Prevention and Handling. 2005. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-83/final. Acesso em: 10 jul. 2007.

NIST. SP 800-86: Guide to Integrating Forensic Techniques into Incident Response. 2006. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-86/final. Acesso em: 10 jul. 2007.

NIST. SP 800-94: Guide to Intrusion Detection and Prevention Systems (IDPS). 2007. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-94/final. Acesso em: 10 jul. 2007.

OWASP. OWASP Top Ten 2004. 2004. Disponível em: https://owasp.org/www-project-top-ten/2004/. Acesso em: 10 jul. 2007.

PAXSON, Vern. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Disponível em: https://www.icir.org/vern/papers/bro-CN99.pdf. Acesso em: 10 jul. 2007.

PHILLIPS, Cynthia; SWILER, Laura. A Graph-Based System for Network-Vulnerability Analysis. In: NSPW 1998. 1998. Disponível em: https://dl.acm.org/doi/10.1145/310889.310919. Acesso em: 10 jul. 2007.

PRELUDE. Prelude Hybrid IDS. 2006. Disponível em: https://www.prelude-siem.org. Acesso em: 10 jul. 2007.

PTACEK, Thomas H.; NEWSHAM, Timothy N. Insertion, Evasion, and Denial of Service: Eluding Network Intrusion Detection. 1998. Disponível em: https://www.cs.columbia.edu/~smb/papers/IDS-evasion.pdf. Acesso em: 10 jul. 2007.

RFC 4765. The Intrusion Detection Message Exchange Format (IDMEF). 2007. Disponível em: https://datatracker.ietf.org/doc/rfc4765/. Acesso em: 10 jul. 2007.

ROESCH, Martin. Snort: Lightweight Intrusion Detection for Networks. In: LISA 1999. 1999. Disponível em: https://www.snort.org. Acesso em: 10 jul. 2007.

STANIFORD, Stuart; PAXSON, Vern; WEAVER, Nicholas. How to Own the Internet in Your Spare Time. In: USENIX Security 2002. 2002. Disponível em: https://www.usenix.org/legacy/publications/library/proceedings/sec02/full_papers/staniford/staniford_html/. Acesso em: 10 jul. 2007.

WIRESHARK. Wireshark Network Protocol Analyzer. 2006. Disponível em: https://www.wireshark.org. Acesso em: 10 jul. 2007.

FIPS 197. Advanced Encryption Standard (AES). 2001. Disponível em: https://csrc.nist.gov/publications/detail/fips/197/final. Acesso em: 10 jul. 2007.

RIVEST, Ronald L.; SHAMIR, Adi; ADELMAN, Leonard. A method for obtaining digital signatures and public-key cryptosystems. Communications of the ACM, v. 21, n. 2, p. 120–126, 1978. Disponível em: https://dl.acm.org/doi/10.1145/359340.359342. Acesso em: 10 jul. 2007.

OSSIM. OSSIM: Open Source Security Information Management. 2006. Disponível em: https://www.alienvault.com/open-threat-exchange/blog/ossim-open-source-siem (arquivo histórico). Acesso em: 10 jul. 2007.

ALEPH ONE. Smashing the Stack for Fun and Profit. Phrack Magazine, v. 49, art. 14, 1996. Disponível em: http://phrack.org/issues/49/14.html. Acesso em: 10 jul. 2007.