Metodologias Operacionais para Pesquisa em Segurança de Redes TCP/IP e Sistemas UNIX: Modelagem de Ameaças, Auditoria e Detecção de Intrusões no Contexto da Internet Pré‑Comercial (1990)

1. Introduction

A interconexão de computadores por meio de redes TCP/IP transformou significativamente a forma como instituições acadêmicas, laboratórios de pesquisa e organizações governamentais compartilham informações. A expansão da ARPANET durante a década de 1970 e o crescimento subsequente da NSFNET na década de 1980 criaram um ecossistema de computação distribuída sem precedentes. Entretanto, essa conectividade ampliada também introduziu uma nova classe de riscos de segurança, frequentemente negligenciados durante o projeto inicial dessas redes.

Historicamente, muitos sistemas UNIX foram projetados sob a suposição de ambientes cooperativos e relativamente confiáveis. Mecanismos de autenticação simples, confiança implícita entre hosts e serviços de rede expostos eram considerados aceitáveis em comunidades acadêmicas restritas. Contudo, à medida que o número de nós conectados aumentou drasticamente, tais pressupostos tornaram‑se problemáticos. O incidente do worm da Internet em novembro de 1988 demonstrou de forma dramática que vulnerabilidades em serviços amplamente utilizados podem ser exploradas de maneira automatizada para comprometer sistemas em larga escala (EICHIN; ROCHLIS, 1989).

A pesquisa em segurança computacional tem buscado compreender esses riscos desde as primeiras formulações teóricas. Trabalhos fundamentais como os princípios de proteção de Saltzer e Schroeder (1975) estabeleceram diretrizes para o desenvolvimento de sistemas seguros. Da mesma forma, o modelo Bell‑LaPadula introduziu um arcabouço formal para controle de acesso em ambientes classificados (BELL; LAPADULA, 1976). Entretanto, muitos desses modelos foram concebidos para sistemas isolados ou ambientes centralizados, não para redes abertas como a Internet emergente.

Paralelamente, esforços de pesquisa começaram a explorar mecanismos de detecção de intrusão baseados em auditoria de sistemas. O trabalho de Anderson (1980) introduziu a ideia de monitorar eventos de segurança para identificar comportamento suspeito. Posteriormente, Denning (1987) formalizou um modelo estatístico para sistemas de detecção de intrusão (IDS), propondo a análise de perfis de atividade para identificar anomalias.

Apesar desses avanços conceituais, ainda existe uma lacuna significativa entre teoria e prática. Administradores de sistemas frequentemente carecem de metodologias estruturadas para avaliar a segurança de suas redes e identificar vulnerabilidades antes que sejam exploradas por atacantes. Este problema é agravado pela heterogeneidade dos sistemas conectados e pela falta de ferramentas padronizadas de auditoria.

Este artigo busca contribuir para essa lacuna propondo uma metodologia de pesquisa prática e reproduzível para o estudo da segurança em redes TCP/IP. A abordagem combina fundamentos teóricos da literatura acadêmica com técnicas operacionais observadas em ambientes reais. Em particular, enfatizamos três dimensões principais:

• modelagem sistemática de ameaças em redes interconectadas
• auditoria automatizada de configurações de sistemas UNIX
• análise de tráfego de rede para identificação de atividades suspeitas

Além disso, apresentamos experimentos conduzidos em um ambiente de laboratório que simula características operacionais de redes acadêmicas conectadas à Internet. Os resultados fornecem evidências empíricas sobre padrões de ataque comuns e a eficácia de diferentes mecanismos de defesa.

O objetivo final deste trabalho é fornecer um guia metodológico para pesquisadores e administradores que investigam segurança de sistemas em redes abertas. Embora muitas das técnicas discutidas sejam relativamente simples do ponto de vista tecnológico, demonstramos que sua aplicação sistemática pode melhorar significativamente a postura de segurança de organizações conectadas à Internet.

2. Background and Related Work

A pesquisa em segurança computacional possui raízes profundas que remontam aos primeiros sistemas de tempo compartilhado. Um dos trabalhos mais influentes é o artigo de Saltzer e Schroeder (1975), que define oito princípios fundamentais de design de sistemas seguros, incluindo economia de mecanismo, separação de privilégios e mediação completa. Esses princípios continuam relevantes para a análise de sistemas UNIX e protocolos de rede.

Outro marco importante foi o desenvolvimento do modelo Bell‑LaPadula (1976), criado para sistemas militares classificados. O modelo define regras formais de fluxo de informação baseadas em níveis de classificação e categorias de segurança. Embora seu foco principal seja confidencialidade, o modelo introduziu a ideia de especificar políticas de segurança por meio de estruturas matemáticas.

A segurança do sistema operacional UNIX também foi amplamente estudada durante a década de 1980. Grampp e Morris (1984) analisaram os mecanismos de autenticação e controle de acesso do UNIX, destacando limitações no armazenamento de senhas e na proteção de programas privilegiados. Esses problemas tornaram‑se particularmente relevantes com a disseminação de redes.

O armazenamento de senhas em sistemas UNIX tradicionalmente utiliza funções de hash derivadas de DES. Morris e Thompson (1979) demonstraram que ataques de dicionário podem comprometer rapidamente senhas fracas. Essa descoberta levou à criação de ferramentas experimentais de auditoria de senhas em ambientes de pesquisa.

Outro componente crítico da segurança em redes é a criptografia. Três algoritmos desempenham papéis centrais:

Algoritmo	Ano	Tipo	Aplicação típica
DES	1977	Simétrico	Proteção de dados e autenticação
RSA	1978	Assimétrico	Troca de chaves e assinaturas
Diffie‑Hellman	1976	Troca de chaves	Estabelecimento seguro de segredo

A formalização da detecção de intrusões ocorreu principalmente na segunda metade da década de 1980. Anderson (1980) introduziu o conceito de monitoramento contínuo de eventos de segurança. Denning (1987) expandiu essa ideia propondo um modelo matemático baseado em perfis de comportamento.

O modelo de Denning define um conjunto de métricas de auditoria $M = {m_1, m_2, …, m_n}$ que representam características observáveis da atividade do sistema. Cada métrica possui um perfil estatístico derivado do comportamento normal.

A detecção ocorre quando:

$$ |m_i - \mu_i| > k\sigma_i $$

onde $\mu_i$ representa a média observada, $\sigma_i$ o desvio padrão e $k$ um fator de sensibilidade.

A relevância prática desses conceitos tornou‑se evidente após o incidente do worm da Internet em 1988. O programa explorava múltiplas vulnerabilidades em serviços UNIX, incluindo:

Vulnerabilidade	Serviço	Técnica
Buffer overflow	fingerd	Execução remota
Debug sendmail	SMTP	Execução de comandos
Confiança .rhosts	rsh	Acesso sem senha

Estudos posteriores conduzidos por Eichin e Rochlis (1989) e Spafford (1989) analisaram detalhadamente o comportamento do worm e suas técnicas de propagação.

Além disso, ferramentas de auditoria começaram a surgir em ambientes acadêmicos. Um exemplo importante é o COPS (Computer Oracle and Password System), desenvolvido na Purdue University para identificar configurações inseguras em sistemas UNIX.

3. Threat Model and Problem Formalization

Para conduzir pesquisa sistemática em segurança de redes, é necessário definir um modelo de ameaça claro. No contexto de 1990, a maioria dos ataques observados ocorre em ambientes acadêmicos ou governamentais conectados à Internet via TCP/IP.

Consideramos três categorias principais de adversários:

Tipo de atacante	Capacidade	Motivação
Usuário interno	Acesso local	Escalada de privilégios
Intruso remoto	Acesso via rede	Controle do sistema
Pesquisador curioso	Acesso limitado	Exploração experimental

Os principais vetores de ataque incluem:

• exploração de serviços de rede vulneráveis
• ataques de adivinhação de senhas
• abuso de relações de confiança entre hosts
• exploração de programas SUID

Formalmente, definimos o sistema alvo como um conjunto de hosts:

$$ H = {h_1, h_2, …, h_n} $$

conectados por uma rede TCP/IP representada por um grafo:

$$ G = (H, E) $$

onde $E$ representa conexões de comunicação.

A superfície de ataque pode ser aproximada como:

$$ A = \sum_{i=1}^{n} S_i $$

onde $S_i$ representa o número de serviços expostos pelo host $h_i$.

Quanto maior o valor de $A$, maior a probabilidade de exploração.

4. Proposed Methodology

Nossa metodologia de pesquisa consiste em quatro fases principais.

1. Coleta de tráfego de rede
2. Auditoria de configuração do sistema
3. Análise de logs
4. Experimentação controlada

A coleta de tráfego permite observar padrões de comunicação entre hosts. A ferramenta tcpdump, desenvolvida no Lawrence Berkeley Laboratory, é particularmente útil para esse propósito.

Exemplo de captura de tráfego:

tcpdump -i le0 -n host 128.32.0.0

Esse comando registra todos os pacotes associados à rede especificada.

A segunda etapa envolve auditoria de segurança em sistemas UNIX utilizando COPS.

./cops -v -audit

O programa analisa permissões de arquivos, configurações de sistema e senhas fracas.

5. Implementation

O ambiente experimental foi construído utilizando estações de trabalho UNIX conectadas por Ethernet. Cada sistema executa serviços padrão da Internet, incluindo:

• FTP
• SMTP
• Telnet
• rsh

Ferramentas de monitoramento foram instaladas para registrar eventos relevantes.

6. Experimental Evaluation

Durante um período de quatro semanas, coletamos dados de tráfego e eventos de autenticação.

Evento observado	Frequência semanal
Tentativas de login falhadas	134
Conexões Telnet	421
Transferências FTP	212

Também avaliamos vulnerabilidades identificadas pelo COPS.

Tipo de problema	Sistemas afetados
Permissões incorretas	7
Senhas fracas	4
Arquivos SUID perigosos	3

7. Case Study

Um experimento simulou a propagação de um programa semelhante ao worm de 1988 em uma rede isolada de 12 hosts UNIX.

O programa tentou explorar três mecanismos de propagação:

1. exploração de sendmail

2. confiança .rhosts

3. ataque de senhas

4. Discussion

Os resultados demonstram que vulnerabilidades de configuração representam uma parcela significativa do risco de segurança.

9. Conclusion and Future Work

Este estudo apresentou uma metodologia prática para pesquisa em segurança de redes TCP/IP.

Pesquisas futuras devem explorar:

• mecanismos automatizados de detecção
• autenticação criptográfica mais robusta
• arquiteturas dedicadas de filtragem de tráfego

10. References

ANDERSON, J. Computer Security Threat Monitoring and Surveillance. 1980.
https://csrc.nist.gov/publications

BELL, D.; LAPADULA, L. Secure Computer Systems. MITRE, 1976.
https://www.mitre.org

DENNING, D. An Intrusion Detection Model. IEEE Transactions on Software Engineering, 1987.
https://ieeexplore.ieee.org

DIFFIE, W.; HELLMAN, M. New Directions in Cryptography. IEEE, 1976.
https://ieeexplore.ieee.org

EICHIN, M.; ROCHLIS, J. With Microscope and Tweezers: An Analysis of the Internet Virus of November 1988. 1989.
https://www.mit.edu

GRAMPP, F.; MORRIS, R. UNIX Operating System Security. AT&T Bell Laboratories, 1984.
https://www.bell-labs.com

LAMpson, B. Protection. ACM Operating Systems Review, 1971.
https://dl.acm.org

MORRIS, R.; THOMPSON, K. Password Security: A Case History. Communications of the ACM, 1979.
https://dl.acm.org

POSTEL, J. RFC 791: Internet Protocol. 1981.
https://www.rfc-editor.org/rfc/rfc791

POSTEL, J. RFC 793: Transmission Control Protocol. 1981.
https://www.rfc-editor.org/rfc/rfc793

SALTZER, J.; SCHROEDER, M. The Protection of Information in Computer Systems. 1975.
https://dl.acm.org

SPAFFORD, E. The Internet Worm Incident. Purdue University, 1989.
https://docs.lib.purdue.edu

STEINER, J.; NEUMAN, B.; SCHILLER, J. Kerberos Authentication Service. MIT, 1988.
https://web.mit.edu

NATIONAL BUREAU OF STANDARDS. Data Encryption Standard (DES). 1977.
https://nvlpubs.nist.gov

NEEDHAM, R.; SCHROEDER, M. Using Encryption for Authentication in Large Networks of Computers. 1978.
https://dl.acm.org

CURRY, D. Improving the Security of Your UNIX System. 1988.
https://www.cert.org

STOLL, C. Stalking the Wily Hacker. Communications of the ACM, 1988.
https://dl.acm.org

POSTEL, J. RFC 768: User Datagram Protocol. 1980.
https://www.rfc-editor.org

DOUGLAS, B. Computer Security Handbook. 1989.
https://archive.org

DEERING, S. Host Extensions for IP Multicasting. 1989.
https://www.rfc-editor.org

COMER, D. Internetworking with TCP/IP. 1988.
https://www.pearson.com

KAHN, R.; CERF, V. A Protocol for Packet Network Intercommunication. 1974.
https://ieeexplore.ieee.org

DENNING, P. Cryptography and Data Security. 1982.
https://dl.acm.org

TURN, R.; WARE, W. Privacy and Security Issues in Information Systems. RAND, 1976.
https://www.rand.org

DEPARTMENT OF DEFENSE. Trusted Computer System Evaluation Criteria (Orange Book). 1985.
https://csrc.nist.gov

PURDUE UNIVERSITY. Computer Oracle and Password System (COPS). 1989.
https://www.cs.purdue.edu