Paper Files / DFIR
Metodologia Operacional de Digital Forensics and Incident Response em Ambientes UNIX Conectados à ARPANET: Modelagem, Preservação de Evidências e Análise Pós-Intrusão (1988)
Este artigo apresenta uma metodologia sistemática para Digital Forensics and Incident Response (DFIR) aplicada a ambientes UNIX conectados à ARPANET e a outras redes TCP/IP emergentes no final da década de 1980. Motivado por incidentes recentes envolvendo exploração de vulnerabilidades em serviços como sendmail, fingerd e rexec, bem como pela propagação automatizada de código autorreplicante em redes acadêmicas e militares, propomos um arcabouço técnico-operacional para identificação, contenção, erradicação e análise forense de intrusões. O trabalho consolida fundamentos de auditoria de sistemas UNIX, análise de logs, captura e inspeção de tráfego via tcpdump, verificação de integridade por checksums criptográficos (MD4) e preservação de evidências magnéticas em fitas e discos. Formalizamos o modelo de ameaça considerando adversários com acesso remoto via TCP/IP, exploração de buffer overflow e abuso de confiança entre hosts, estabelecendo uma taxonomia de artefatos digitais relevantes: registros de autenticação, tabelas de processos, descritores de arquivos, dumps de memória e traços de rede. Apresentamos métricas quantitativas para estimar tempo de detecção ($T_d$), tempo de contenção ($T_c$) e impacto operacional ($I_o$), bem como experimentos controlados em sistemas VAX/VMS e BSD 4.3. Os resultados indicam que a adoção de auditoria ativa, políticas restritivas de confiança entre máquinas e procedimentos padronizados de aquisição de evidências reduz significativamente o tempo médio de resposta a incidentes e a propagação lateral. Um estudo de caso detalha a análise de um incidente de execução remota via fingerd, demonstrando técnicas práticas de reconstrução temporal e validação de integridade. Concluímos discutindo limitações inerentes à volatilidade da memória, à ausência de ferramentas dedicadas de forense digital e à necessidade de desenvolvimento de utilitários especializados para aquisição confiável de evidências em sistemas multiusuário.
- Introduction
A crescente interconexão de sistemas computacionais por meio da ARPANET e de redes acadêmicas baseadas no conjunto de protocolos TCP/IP transformou profundamente o panorama operacional dos centros de processamento de dados ao longo da década de 1980. Sistemas UNIX (particularmente BSD 4.x) e VAX/VMS tornaram-se plataformas predominantes em universidades, laboratórios de pesquisa e instituições governamentais, promovendo colaboração distribuída, mas também ampliando a superfície de ataque disponível a agentes maliciosos.
Incidentes recentes envolvendo execução remota de código, exploração de serviços de rede mal configurados e abuso de relações de confiança entre máquinas demonstram que os mecanismos tradicionais de administração de sistemas — centrados em backups periódicos e controle de acesso local — são insuficientes para lidar com ameaças distribuídas. A introdução de programas autorreplicantes capazes de explorar vulnerabilidades em serviços como sendmail e fingerd evidencia a necessidade de procedimentos formais para detecção, resposta e investigação pós-incidente.
Neste contexto, surge a disciplina que denominamos Digital Forensics and Incident Response (DFIR): um conjunto integrado de práticas técnicas voltadas à identificação de intrusões, contenção de danos, preservação de evidências digitais e reconstrução dos eventos que culminaram na violação. Embora auditoria de sistemas e análise de logs sejam práticas estabelecidas (ANDERSON, 1980), a formalização de um ciclo completo de resposta a incidentes em ambientes distribuídos ainda carece de sistematização.
A principal dificuldade reside na natureza volátil das evidências digitais. Tabelas de processos, estados de memória, conexões TCP ativas e buffers de kernel podem ser alterados ou destruídos rapidamente após a detecção de uma intrusão. Além disso, sistemas multiusuário apresentam complexidade adicional na correlação de eventos entre múltiplos hosts, exigindo sincronização temporal e análise cruzada de registros.
Este trabalho propõe um modelo metodológico estruturado para DFIR em 1988, fundamentado em ferramentas e técnicas disponíveis atualmente: tcpdump para captura de pacotes (JACOBSON; LERES; MCCANNE, 1988), utilitários UNIX como ps, netstat, last, w, who, strings, sum, além de algoritmos criptográficos emergentes como MD4 (RIVEST, 1988) para verificação de integridade. A contribuição central consiste em:
- Formalização de um modelo de ameaça realista para ambientes TCP/IP;
- Definição de métricas quantitativas para avaliação de resposta;
- Protocolo operacional para aquisição e preservação de evidências;
- Avaliação experimental em ambiente controlado.
Acreditamos que a sistematização aqui apresentada representa um passo fundamental para a consolidação de práticas forenses digitais em ambientes distribuídos.
- Background and Related Work
A auditoria de sistemas computacionais tem raízes na segurança de sistemas multiusuário da década de 1970. Anderson (1980) apresentou um modelo seminal para monitoramento de segurança em sistemas governamentais, destacando a importância de trilhas de auditoria (audit trails) como mecanismo de detecção de atividades anômalas. Saltzer e Schroeder (1975) estabeleceram princípios fundamentais de projeto seguro, incluindo separação de privilégios e princípio do menor privilégio, diretamente relevantes para análise pós-incidente.
No domínio de redes, a padronização do TCP/IP (POSTEL, 1981a; 1981b) viabilizou comunicação interoperável, mas também introduziu novos vetores de ataque. A ausência de autenticação robusta no protocolo TCP e a confiança implícita em serviços como rsh e rexec criaram oportunidades para exploração remota. O estudo de Morris e Thompson (1979) sobre segurança de senhas no UNIX revelou fragilidades estruturais na escolha de credenciais, problema recorrente em incidentes investigados.
O surgimento de ferramentas de captura de tráfego, como tcpdump, possibilitou observação detalhada de fluxos de pacotes em tempo real. Embora originalmente concebida para depuração de protocolos, tal ferramenta demonstra grande utilidade forense ao registrar sessões suspeitas. Paralelamente, o desenvolvimento de algoritmos criptográficos públicos, como RSA (RIVEST; SHAMIR; ADLEMAN, 1978) e MD4 (RIVEST, 1988), fornece base matemática para verificação de integridade de arquivos.
A literatura sobre resposta a incidentes ainda é incipiente. Relatórios técnicos da DARPA e do DoD enfatizam controles preventivos, mas oferecem pouca orientação operacional para investigação pós-intrusão. Assim, nossa abordagem integra princípios clássicos de segurança, técnicas de administração UNIX e análise de tráfego de rede em um modelo coeso.
- Threat Model and Problem Formalization
Consideramos um adversário com as seguintes capacidades:
- Acesso remoto via TCP/IP;
- Capacidade de explorar vulnerabilidades de buffer overflow em serviços C;
- Conhecimento de relações de confiança (
/etc/hosts.equiv,.rhosts); - Capacidade de executar código com privilégios do usuário explorado.
Definimos o sistema como um conjunto de hosts $H = {h_1, h_2, …, h_n}$ conectados por enlaces TCP/IP. Cada host mantém logs $L_i(t)$ dependentes do tempo.
O tempo total de resposta a incidente é modelado como:
$$ T_r = T_d + T_c + T_e + T_a $$
onde:
- $T_d$ = tempo de detecção
- $T_c$ = tempo de contenção
- $T_e$ = tempo de erradicação
- $T_a$ = tempo de análise forense
O impacto operacional é aproximado por:
$$ I_o = \sum_{i=1}^{n} C_i \cdot \Delta t_i $$
onde $C_i$ representa custo por unidade de tempo do host $h_i$ comprometido.
A preservação de evidência exige minimizar alteração do estado $S(t)$ após detecção:
$$ \min \left| S(t_d) - S(t_a) \right| $$
- Proposed Methodology
Nossa metodologia divide-se em cinco fases:
- Identificação
- Contenção
- Aquisição de Evidências
- Análise
- Relato
Identificação
Monitoramento contínuo de logs:
tail -f /usr/adm/messages
last | grep -v "reboot"
netstat -a | grep ESTABLISHED
Aquisição de Tráfego
tcpdump -i le0 -w incidente.cap host suspeito
Verificação de Integridade
md4sum /bin/login
sum /bin/sh
- Implementation
Implementamos a metodologia em ambiente BSD 4.3 em VAX-11/780. Scripts shell automatizam coleta de:
- Lista de processos (
ps -aux) - Conexões (
netstat -an) - Usuários ativos (
who) - Checksums de binários críticos
Tabela 1 — Ferramentas Utilizadas (1988)
| Ferramenta | Finalidade | Plataforma |
|---|---|---|
| tcpdump | Captura de pacotes | BSD UNIX |
| ps | Processos ativos | UNIX |
| netstat | Conexões de rede | UNIX |
| sum | Checksum básico | UNIX |
| MD4 | Hash criptográfico | Multiplataforma |
- Experimental Evaluation
Conduzimos 12 simulações de intrusão explorando vulnerabilidade em fingerd.
Tabela 2 — Tempos Médios (em minutos)
| Fase | Média | Desvio Padrão |
|---|---|---|
| Detecção ($T_d$) | 47 | 12 |
| Contenção ($T_c$) | 18 | 5 |
| Erradicação ($T_e$) | 35 | 9 |
| Análise ($T_a$) | 120 | 25 |
Tabela 3 — Redução de Propagação
| Com Auditoria | Hosts Comprometidos |
|---|---|
| Não | 5.3 |
| Sim | 1.2 |
Resultados indicam redução de 77% na propagação lateral.
- Case Study
Em novembro de 1988, detectamos execução anômala de fingerd. Logs indicavam entrada de string excessivamente longa. Captura via tcpdump revelou payload com instruções shellcode. A análise de memória mostrou processo sh executado sob contexto de daemon.
Reconstruímos cronologia correlacionando timestamps de /usr/adm/messages com captura de pacotes. Checksums MD4 identificaram modificação em /usr/lib/sendmail.
- Discussion
A principal limitação reside na ausência de ferramentas dedicadas para aquisição forense de memória volátil. Dumps completos exigem interrupção do sistema, impactando disponibilidade. Além disso, sincronização temporal imprecisa entre hosts dificulta reconstrução exata.
A adoção de políticas restritivas de confiança e auditoria ativa demonstrou impacto significativo na redução de danos.
- Conclusion and Future Work
Formalizamos uma metodologia prática de DFIR adaptada à realidade tecnológica de 1988. Demonstramos que combinação de auditoria sistemática, captura de tráfego e verificação criptográfica de integridade permite investigação eficaz de intrusões.
Trabalhos futuros devem focar no desenvolvimento de utilitários especializados para aquisição de memória sem desligamento do sistema, bem como mecanismos automatizados de correlação de logs distribuídos.
- References
ANDERSON, J. P. Computer Security Threat Monitoring and Surveillance. Fort Washington: James P. Anderson Co., 1980. Disponível em: https://csrc.nist.gov/publications/detail/other/1980/10/01/computer-security-threat-monitoring-and-surveillance/final
DENNING, D. E. An Intrusion-Detection Model. IEEE Transactions on Software Engineering, 1987. Disponível em: https://ieeexplore.ieee.org/document/1702202
MORRIS, R.; THOMPSON, K. Password Security: A Case History. Communications of the ACM, 1979. Disponível em: https://dl.acm.org/doi/10.1145/359168.359172
POSTEL, J. RFC 791: Internet Protocol. 1981. Disponível em: https://www.rfc-editor.org/rfc/rfc791
POSTEL, J. RFC 793: Transmission Control Protocol. 1981. Disponível em: https://www.rfc-editor.org/rfc/rfc793
RIVEST, R.; SHAMIR, A.; ADLEMAN, L. A Method for Obtaining Digital Signatures and Public-Key Cryptosystems. CACM, 1978. Disponível em: https://dl.acm.org/doi/10.1145/359340.359342
RIVEST, R. The MD4 Message-Digest Algorithm. 1988. Disponível em: https://www.rfc-editor.org/rfc/rfc1320
SALTZER, J.; SCHROEDER, M. The Protection of Information in Computer Systems. Proceedings of the IEEE, 1975. Disponível em: https://ieeexplore.ieee.org/document/1451869
(Additional references omitted for brevity)