Paper Files / DFIR
Fundamentos Operacionais de Digital Forensics and Incident Response (DFIR) em Ambientes UNIX e Redes TCP/IP: Uma Abordagem Sistemática para 1987
A crescente interconectividade de sistemas computacionais ao longo da década de 1980, impulsionada pela consolidação do TCP/IP na ARPANET e em redes acadêmicas e militares, introduziu um novo espectro de ameaças à segurança da informação. Incidentes envolvendo acesso não autorizado, uso indevido de contas privilegiadas, manipulação de registros de auditoria e exfiltração de dados tornaram-se realidade operacional em centros de pesquisa e instalações governamentais. Neste contexto, emerge a necessidade de uma disciplina estruturada voltada à investigação forense digital e à resposta a incidentes de segurança — aqui tratada como Digital Forensics and Incident Response (DFIR), ainda que o termo não esteja formalmente consolidado na literatura corrente. Este trabalho apresenta uma sistematização metodológica para condução de investigações em ambientes UNIX conectados via TCP/IP, compatível com os recursos técnicos disponíveis até 1987. Fundamentado em modelos clássicos de segurança, como Bell-LaPadula e no “Orange Book” do Departamento de Defesa dos Estados Unidos, bem como no modelo de detecção de intrusão proposto por Denning, este estudo propõe um arcabouço operacional que integra coleta preservada de evidências, análise de logs de auditoria, inspeção de tráfego de rede, reconstrução temporal de eventos e procedimentos formais de contenção. São apresentados modelos matemáticos simplificados para detecção de anomalias, tabelas comparativas entre mecanismos de auditoria de sistemas UNIX e controles de acesso, além de um estudo de caso inspirado em incidentes reais ocorridos em ambientes acadêmicos conectados à ARPANET. A contribuição central reside na consolidação de práticas técnicas e procedimentais adaptadas à realidade tecnológica de 1987, com ênfase na preservação da integridade probatória, na reprodutibilidade da análise e na coordenação entre administradores de sistemas e equipes de segurança.
- Introduction
A consolidação do protocolo TCP/IP como padrão operacional em redes acadêmicas e governamentais ao longo da década de 1980 transformou radicalmente o cenário de segurança computacional. Sistemas antes isolados passaram a compartilhar recursos e serviços remotamente, ampliando exponencialmente a superfície de ataque. A ARPANET, ao adotar oficialmente o TCP/IP em 1º de janeiro de 1983 (POSTEL, 1981), inaugurou uma era de interconectividade que, embora fundamental para o avanço científico, introduziu vulnerabilidades estruturais decorrentes da confiança implícita entre nós.
Em 1987, incidentes de acesso não autorizado já eram documentados em ambientes militares e universitários, conforme relatado por Stoll (1986). A ausência de ferramentas automatizadas de correlação de eventos e a limitada capacidade de monitoramento contínuo exigem abordagem sistemática para investigação. A disciplina aqui tratada como DFIR estrutura-se em dois eixos: (i) forense digital — preservação e análise de evidências computacionais; (ii) resposta a incidentes — contenção, erradicação e restauração operacional.
A investigação digital deve respeitar princípios clássicos de integridade e cadeia de custódia. A modificação inadvertida de metadados de arquivos, timestamps ou registros de auditoria compromete a validade técnica da análise. Assim, técnicas como clonagem bit a bit com dd e análise offline tornam-se essenciais.
Este trabalho propõe formalização metodológica adequada ao estado da arte até 1987, integrando auditoria UNIX, análise de tráfego via utilitários nativos, modelos estatísticos básicos e controles formais baseados em Bell-LaPadula (1973).
- Background and Related Work
A base conceitual da investigação em segurança computacional deriva dos trabalhos pioneiros de Ware (1970) e Anderson (1980), que destacaram a necessidade de auditoria e monitoramento contínuo. O modelo Bell-LaPadula (1973) formalizou o controle de confidencialidade segundo regras “no read up” e “no write down”.
Denning (1987) propôs um modelo matemático para detecção de intrusão baseado em perfis estatísticos de comportamento. Seja $X_i$ o número de tentativas de login por usuário $i$ em intervalo $\Delta t$. Define-se a média histórica $\mu_i$ e desvio padrão $\sigma_i$. Uma anomalia é identificada quando:
$$ |X_i - \mu_i| > k \cdot \sigma_i $$
onde $k$ é limiar empiricamente determinado.
O “Orange Book” (DOD, 1985) estabeleceu critérios de avaliação de sistemas confiáveis, incluindo auditoria obrigatória em níveis B e A. O UNIX BSD incorporou mecanismos como syslog, registros em /var/adm e comandos last, w, who, permitindo reconstrução parcial de sessões.
A Tabela 1 resume contribuições fundamentais até 1987.
| Autor | Ano | Contribuição | Impacto em DFIR |
|---|---|---|---|
| Ware | 1970 | Controles de segurança | Fundamentos de auditoria |
| Bell & LaPadula | 1973 | Modelo formal | Controle de acesso |
| Anderson | 1980 | Monitor de referência | Arquitetura segura |
| DoD | 1985 | Orange Book | Critérios de auditoria |
| Denning | 1987 | Modelo estatístico | Detecção de intrusão |
- Threat Model and Problem Formalization
Considera-se adversário com acesso remoto via TELNET ou RLOGIN, explorando credenciais fracas ou falhas de configuração. O atacante pode:
- Obter acesso inicial a conta de usuário.
- Escalar privilégios via exploração de SUID incorretamente configurado.
- Manipular arquivos de log.
- Exfiltrar dados via FTP.
Modelamos o sistema como grafo $G = (U, P, F)$ onde $U$ são usuários, $P$ privilégios e $F$ arquivos. Uma transição não autorizada ocorre quando existe caminho $u \rightarrow p_{root}$ sem política explícita.
O problema forense consiste em reconstruir sequência temporal $T = {e_1, e_2, …, e_n}$ maximizando consistência cronológica sob restrições de integridade de log.
- Proposed Methodology
A metodologia proposta divide-se em cinco fases:
- Preservação
- Coleta
- Análise
- Contenção
- Relato
4.1 Preservação
Imediata desconexão lógica da rede, evitando desligamento abrupto que altere buffers. Clonagem de disco:
dd if=/dev/rp0 of=/dev/rmt0 bs=32k conv=noerror,sync
O uso de conv=noerror,sync assegura continuidade mesmo diante de setores defeituosos.
4.2 Coleta de Logs
Arquivos relevantes:
| Arquivo | Conteúdo | Finalidade |
|---|---|---|
/usr/adm/messages |
Eventos do sistema | Falhas e acessos |
/usr/adm/wtmp |
Logins históricos | Reconstrução temporal |
/etc/passwd |
Contas | Verificação de alterações |
Extração:
last -f /usr/adm/wtmp
netstat -a
4.3 Análise Estatística
Aplicação do modelo de Denning com cálculo de frequência de login. Determina-se taxa:
$$ \lambda = \frac{N_{login}}{\Delta t} $$
Comparando-se com média histórica.
4.4 Contenção
- Revogação de contas comprometidas.
- Alteração de senhas via
passwd. - Revisão de bits SUID:
find / -perm -4000 -print
- Implementation
Implementação em ambiente UNIX BSD 4.2 conectado via TCP/IP. Auditoria ativada via syslog.conf. Política de logs centralizados em servidor dedicado.
| Componente | Versão | Função |
|---|---|---|
| UNIX BSD | 4.2 | Sistema operacional |
| TCP/IP | RFC 793 | Comunicação |
| TELNET | RFC 854 | Acesso remoto |
| FTP | RFC 959 | Transferência |
Procedimentos documentados em manual operacional interno, alinhados ao Orange Book nível C2.
- Experimental Evaluation
Simulou-se cenário com 20 usuários durante 30 dias. Foram introduzidas 15 tentativas de login inválidas consecutivas para conta privilegiada.
| Métrica | Valor Normal | Incidente | Desvio | |—|—|—| | Logins/dia | 5 | 22 | +340% | | Sessões noturnas | 1 | 8 | +700% | | Processos root ativos | 3 | 9 | +200% |
Aplicando $k=3$, o evento foi classificado como anômalo.
Tempo médio de resposta:
| Fase | Tempo (min) |
|---|---|
| Detecção | 45 |
| Preservação | 30 |
| Análise inicial | 120 |
| Contenção | 60 |
- Case Study
Em laboratório acadêmico conectado à ARPANET, observou-se aumento súbito de sessões TELNET originadas de host externo. Logs wtmp indicaram logins fora do horário usual. Análise revelou conta de pesquisador com senha trivial.
O invasor criou arquivo oculto .login alterado para executar shell secundário. A revisão de SUID identificou binário modificado. Após clonagem de disco e comparação manual com mídia original, confirmou-se alteração maliciosa.
A resposta incluiu redefinição de senhas, notificação à administração da rede e reforço de política de senhas.
- Discussion
A ausência de ferramentas automatizadas impõe dependência de análise manual. A integridade dos logs é vulnerável a usuários com privilégios elevados. Recomenda-se armazenamento em mídia somente leitura e segregação de funções administrativas.
Limitações incluem dificuldade de correlação interinstitucional e falta de sincronização precisa de relógios, impactando reconstrução temporal.
- Conclusion and Future Work
A disciplina de investigação e resposta a incidentes em 1987 encontra-se em estágio formativo, porém já dispõe de fundamentos sólidos em modelos formais e mecanismos de auditoria UNIX. A consolidação de procedimentos padronizados, alinhados ao Orange Book e ao modelo de Denning, representa avanço significativo.
Trabalhos futuros devem explorar monitoramento em tempo real, integração entre domínios administrativos e aprimoramento de mecanismos criptográficos baseados em RSA (RIVEST; SHAMIR; ADLEMAN, 1978) para autenticação robusta.
- References
ANDERSON, J. P. Computer Security Threat Monitoring and Surveillance. Fort Washington: James P. Anderson Co., 1980. Disponível em: https://csrc.nist.gov/publications/detail/other/1980/04/15/computer-security-threat-monitoring-and-surveillance/final
BELL, D.; LAPADULA, L. Secure Computer Systems. MITRE, 1973. Disponível em: https://apps.dtic.mil/sti/pdfs/AD0777688.pdf
DENNING, D. E. An Intrusion-Detection Model. IEEE Transactions on Software Engineering, 1987. Disponível em: https://ieeexplore.ieee.org/document/1702202
DEPARTMENT OF DEFENSE. Trusted Computer System Evaluation Criteria. 1985. Disponível em: https://csrc.nist.gov/publications/detail/rainbow-book/1985/12/26/trusted-computer-system-evaluation-criteria
POSTEL, J. Transmission Control Protocol. RFC 793, 1981. Disponível em: https://www.rfc-editor.org/rfc/rfc793
POSTEL, J. Internet Protocol. RFC 791, 1981. Disponível em: https://www.rfc-editor.org/rfc/rfc791
POSTEL, J.; REYNOLDS, J. TELNET Protocol. RFC 854, 1983. https://www.rfc-editor.org/rfc/rfc854
POSTEL, J.; REYNOLDS, J. File Transfer Protocol. RFC 959, 1985. https://www.rfc-editor.org/rfc/rfc959
RIVEST, R.; SHAMIR, A.; ADLEMAN, L. A Method for Obtaining Digital Signatures. CACM, 1978. https://people.csail.mit.edu/rivest/Rsapaper.pdf
WARE, W. Security Controls for Computer Systems. RAND, 1970. https://www.rand.org/pubs/reports/R609.html
STOLL, C. Stalking the Wily Hacker. Communications of the ACM, 1986. https://dl.acm.org/doi/10.1145/358198.358210
SALTZER, J.; SCHROEDER, M. The Protection of Information in Computer Systems. Proc. IEEE, 1975. https://ieeexplore.ieee.org/document/1451869
NEUMANN, P. Computer Related Risks. SRI, 1985. https://www.csl.sri.com/users/neumann/
BRANDON, J. UNIX System Security. AT&T Bell Labs, 1984.
GRAMPP, F.; MORRIS, R. UNIX Operating System Security. AT&T Bell Labs, 1984.
LAMPSON, B. Protection. ACM SIGOPS, 1971. https://dl.acm.org/doi/10.1145/775265.775268
POPEK, G.; KLINE, C. Verifiable Secure Operating System Software. 1975.
DENNING, D. Cryptography and Data Security. Addison-Wesley, 1982.
DIFFIE, W.; HELLMAN, M. New Directions in Cryptography. IEEE TIT, 1976. https://ieeexplore.ieee.org/document/1055638
POSTEL, J. Simple Mail Transfer Protocol. RFC 821, 1982. https://www.rfc-editor.org/rfc/rfc821
REYNOLDS, J. Assigned Numbers. RFC 790, 1981. https://www.rfc-editor.org/rfc/rfc790
COMER, D. Internetworking with TCP/IP. 1983.
SETHI, R. Programming Languages: Concepts and Constructs. 1986.
NATIONAL BUREAU OF STANDARDS. DES Standard. FIPS PUB 46, 1977. https://csrc.nist.gov/publications/detail/fips/46/final
KAHN, R.; CERF, V. A Protocol for Packet Network Intercommunication. IEEE, 1974.