Metodologias Operacionais para Pesquisa em Segurança de Sistemas em Redes TCP/IP: Modelagem de Ameaças, Detecção de Intrusão e Exploração de Vulnerabilidades em Ambientes UNIX Conectados à ARPANET

1. Introduction

A interconexão crescente de sistemas computacionais durante a década de 1980 transformou profundamente o cenário de segurança da informação. O que inicialmente era um conjunto relativamente restrito de sistemas conectados à ARPANET evoluiu para uma infraestrutura muito mais ampla, envolvendo universidades, laboratórios governamentais e centros de pesquisa conectados por meio da NSFNET. Essa expansão trouxe benefícios substanciais para colaboração científica, compartilhamento de recursos computacionais e comunicação eletrônica. Contudo, também ampliou drasticamente a superfície de ataque disponível a adversários capazes de explorar vulnerabilidades em protocolos e serviços de rede.

Historicamente, os mecanismos de segurança em sistemas computacionais foram projetados com foco predominante em ambientes isolados ou em redes de confiança limitada. Trabalhos pioneiros como o relatório RAND de Ware (WARE, 1970) e o modelo de segurança multinível Bell–LaPadula (BELL; LAPADULA, 1973) enfatizavam o controle de acesso e a confidencialidade de dados em ambientes governamentais classificados. Embora esses modelos tenham fornecido bases teóricas importantes, eles não abordavam adequadamente ameaças provenientes de redes amplamente interconectadas.

A emergência de incidentes reais evidenciou essas lacunas. Um exemplo particularmente notável ocorreu em novembro de 1988, quando um worm autorreplicante explorou vulnerabilidades em serviços UNIX amplamente utilizados, incluindo o modo de depuração do sendmail e um erro de transbordamento de buffer no daemon fingerd. O incidente resultou na paralisação de milhares de sistemas conectados à Internet nascente e motivou uma onda significativa de pesquisas em segurança de redes (SPAFFORD, 1989; EICHIN; ROCHLIS, 1989).

Em resposta a esses eventos, pesquisadores passaram a investigar métodos sistemáticos para detecção de intrusões e análise de comportamento anômalo em sistemas computacionais. O trabalho seminal de Dorothy Denning (DENNING, 1987) propôs um modelo estatístico para detecção de intrusões baseado em análise de trilhas de auditoria, enquanto sistemas experimentais como o IDES (Intrusion Detection Expert System) procuraram operacionalizar esses conceitos em ambientes reais.

Apesar desses avanços, ainda existe uma lacuna significativa entre teoria e prática na condução de pesquisas em segurança operacional. Muitos estudos concentram-se em modelos formais abstratos, enquanto incidentes reais frequentemente exploram detalhes específicos de implementação em sistemas operacionais e protocolos de rede.

Este artigo busca preencher essa lacuna propondo uma metodologia integrada de pesquisa em segurança de sistemas conectados por TCP/IP. Nosso enfoque combina:

• modelagem formal de ameaças,
• experimentação prática em ambientes UNIX,
• análise empírica de tráfego de rede,
• avaliação estatística de mecanismos de detecção.

A hipótese central deste trabalho é que a integração dessas abordagens permite compreender melhor tanto os vetores de ataque quanto os mecanismos defensivos em redes distribuídas.

Ao longo do artigo, descrevemos o desenvolvimento de um ambiente experimental que simula serviços típicos de redes acadêmicas conectadas à NSFNET, incluindo servidores sendmail, ftp, telnet e finger. Utilizando instrumentação de rede e análise de logs de sistema, conduzimos experimentos controlados para observar padrões de atividade legítima e intrusiva.

Os resultados demonstram que mesmo mecanismos relativamente simples de monitoramento podem fornecer indicadores úteis de comportamento anômalo quando combinados com modelos estatísticos apropriados.

2. Background and Related Work

A pesquisa em segurança de sistemas possui raízes profundas na literatura de sistemas operacionais e teoria da informação. Um dos primeiros estudos abrangentes foi conduzido por Ware (1970), que analisou vulnerabilidades estruturais em sistemas compartilhados por múltiplos usuários. Esse trabalho destacou a importância de mecanismos de controle de acesso robustos e auditoria de atividades.

Posteriormente, Bell e LaPadula (1973) introduziram um modelo formal de controle de acesso baseado em níveis de classificação. O modelo define duas propriedades fundamentais:

• simple security property: um sujeito não pode ler dados classificados em nível superior
• -property: um sujeito não pode escrever dados em nível inferior

Essas regras podem ser formalmente representadas como restrições em uma relação de acesso:

$$ \text{permitido}(s,o) = \begin{cases} 1 & \text{se } L(s) \ge L(o) \ 0 & \text{caso contrário} \end{cases} $$

onde $L(s)$ representa o nível de segurança do sujeito e $L(o)$ o nível do objeto.

Embora eficaz para preservar confidencialidade, o modelo Bell–LaPadula não aborda explicitamente integridade ou ataques baseados em exploração de software.

Posteriormente, Biba (1977) propôs um modelo complementar focado em integridade de dados. Nesse modelo, as regras principais são inversas às do Bell–LaPadula, restringindo operações de escrita e leitura de forma a prevenir contaminação de dados de alta integridade.

Outro avanço conceitual significativo foi apresentado por Saltzer e Schroeder (1975), que estabeleceram princípios fundamentais de projeto seguro, incluindo:

• economia de mecanismo
• separação de privilégios
• mediação completa
• design aberto

Esses princípios permanecem relevantes para análise de segurança em sistemas UNIX contemporâneos.

Sistemas iniciais de detecção de intrusão

A partir da década de 1980, pesquisadores começaram a explorar métodos para detectar intrusões com base em análise de comportamento.

Denning (1987) propôs um modelo geral de detecção de intrusão baseado em análise estatística de eventos de auditoria. O modelo define perfis de comportamento normal para usuários e sistemas, permitindo identificar desvios significativos.

Diversos sistemas experimentais foram desenvolvidos com base nesse conceito.

Sistema	Instituição	Método principal	Ano
IDES	SRI International	Regras + estatística	1987
Haystack	Lawrence Livermore	Análise de logs	1988
NADIR	Los Alamos	Anomalia estatística	1989

Esses sistemas analisam trilhas de auditoria geradas por sistemas operacionais, buscando padrões associados a atividades suspeitas, como:

• tentativas repetidas de login
• execução incomum de comandos privilegiados
• acesso a arquivos sensíveis

Vulnerabilidades em serviços de rede

O crescimento da Internet acadêmica levou à implantação generalizada de serviços de rede em sistemas UNIX. Muitos desses serviços foram desenvolvidos com foco em funcionalidade, não em segurança.

Entre os exemplos mais relevantes encontram-se:

Serviço	Porta	Função	Problemas históricos
SMTP (sendmail)	25	correio eletrônico	modo debug explorável
Finger (fingerd)	79	consulta de usuários	vulnerável a overflow
RSH	514	execução remota	confiança baseada em host

O worm de 1988 explorou múltiplos desses vetores simultaneamente, demonstrando o potencial de propagação automática em redes amplas.

3. Threat Model and Problem Formalization

Para conduzir pesquisa experimental consistente em segurança de redes, é necessário definir explicitamente um modelo de ameaça.

Consideramos um adversário com as seguintes capacidades:

• acesso remoto via TCP/IP
• conhecimento público de protocolos
• capacidade de enviar entradas malformadas para serviços de rede
• acesso limitado a contas comprometidas

O objetivo do adversário é obter acesso privilegiado ou propagar código malicioso entre sistemas.

Formalmente, podemos modelar um sistema como um grafo:

$$ G = (H, S, C) $$

onde:

• $H$ representa o conjunto de hosts
• $S$ representa serviços de rede
• $C$ representa conexões TCP/IP

Uma vulnerabilidade em um serviço $s \in S$ pode permitir que um atacante transforme acesso remoto em execução de código local.

A probabilidade de intrusão bem-sucedida pode ser aproximada como:

$$ P(I) = 1 - \prod_{i=1}^{n}(1 - p_i) $$

onde $p_i$ representa a probabilidade de exploração de cada vulnerabilidade independente.

Esse modelo simplificado permite avaliar risco agregado em redes com múltiplos serviços expostos.

4. Proposed Methodology

A metodologia proposta neste estudo combina três componentes principais:

1. coleta de tráfego de rede
2. análise de logs de sistema
3. experimentos de exploração controlada

Instrumentação de rede

Para observar atividades de rede em tempo real utilizamos o utilitário tcpdump, desenvolvido no final da década de 1980 para captura de pacotes em redes Ethernet.

Exemplo de captura de tráfego associado a serviços sensíveis:

tcpdump -i le0 -n 'tcp port 25 or tcp port 79 or tcp port 514'

Essa captura permite identificar conexões relacionadas a SMTP, Finger e RSH.

Análise de logs

Logs de autenticação e atividade de comandos são coletados de arquivos como:

• /usr/adm/messages
• /usr/adm/wtmp
• /usr/adm/sulog

Esses dados são processados para construção de perfis de comportamento de usuários.

Modelagem estatística

Para cada usuário definimos métricas como:

• frequência de login
• duração média de sessão
• número de comandos executados

O desvio estatístico pode ser calculado por:

$$ z = \frac{x - \mu}{\sigma} $$

onde:

• $x$ é a observação atual
• $\mu$ é a média histórica
• $\sigma$ é o desvio padrão

Valores elevados de $|z|$ indicam comportamento potencialmente anômalo.

5. Implementation

O ambiente experimental foi construído utilizando estações de trabalho Sun baseadas em SunOS e hosts VAX executando BSD UNIX.

A rede experimental consistia em:

Tipo de sistema	Quantidade	Sistema operacional
Sun Workstation	6	SunOS 4.x
VAX	3	BSD 4.3
Gateway TCP/IP	1	UNIX

Serviços habilitados incluíam:

• sendmail
• ftpd
• telnetd
• fingerd

Para análise de tráfego, um host dedicado executava tcpdump conectado a um segmento Ethernet compartilhado.

Teste de exploração controlada

Para avaliar comportamento de serviços vulneráveis, realizamos testes controlados contra o servidor SMTP.

Exemplo de sessão SMTP explorando modo debug historicamente presente em algumas configurações de sendmail:

telnet target.host 25
HELO attacker
DEBUG
MAIL FROM:<test@host>
RCPT TO:<"|/bin/sh">
DATA
test
.
QUIT

Embora muitas instalações tenham desabilitado essa funcionalidade após 1988, sistemas mal configurados ainda podem apresentar comportamento semelhante.

6. Experimental Evaluation

Durante um período de observação de quatro semanas, coletamos aproximadamente 2.3 milhões de pacotes TCP/IP e mais de 40 mil eventos de login.

Distribuição de tráfego por serviço

Serviço	Conexões observadas	Percentual
SMTP	41,220	38%
FTP	29,510	27%
Telnet	24,880	23%
Finger	12,940	12%

O tráfego SMTP representou a maior fração, refletindo a importância do correio eletrônico em redes acadêmicas.

Eventos anômalos detectados

Tipo de evento	Ocorrências
tentativas repetidas de login	42
conexões finger incomuns	18
execuções rsh inesperadas	11

Em vários casos, conexões anômalas estavam associadas a scripts automatizados tentando enumerar usuários.

Comparação de algoritmos criptográficos

Algoritmo	Tipo	Tamanho de chave	Uso típico
DES	simétrico	56 bits	comunicação segura
RSA	assimétrico	512–1024 bits	troca de chaves
Diffie–Hellman	troca de chave	variável	estabelecimento de segredo

A segurança de RSA baseia-se na dificuldade de fatoração de números grandes:

$$ N = p \times q $$

onde $p$ e $q$ são números primos grandes.

7. Case Study

Um incidente observado durante os experimentos envolveu tentativas automatizadas de exploração do serviço finger.

A análise de pacotes revelou sequências de entrada anormalmente longas enviadas para a porta 79. Esse comportamento é consistente com tentativas de explorar vulnerabilidades de transbordamento de buffer semelhantes às utilizadas no worm de 1988.

A captura de tráfego revelou padrões repetitivos:

• conexão TCP
• envio de cadeia longa de caracteres
• encerramento imediato da conexão

Embora os testes não tenham comprometido o sistema experimental, demonstraram claramente como ataques automatizados podem explorar vulnerabilidades em serviços aparentemente triviais.

8. Discussion

Os resultados obtidos reforçam a hipótese de que a segurança em redes distribuídas não pode depender exclusivamente de mecanismos de controle de acesso tradicionais.

Vulnerabilidades em software de rede frequentemente permitem contornar completamente essas proteções.

Além disso, observamos que:

• atividades maliciosas frequentemente apresentam padrões estatísticos detectáveis
• muitos incidentes resultam de configurações inadequadas
• relações de confiança entre hosts ampliam o impacto de uma única intrusão

A integração entre monitoramento de rede e análise de logs de host mostrou-se particularmente eficaz.

9. Conclusion and Future Work

Este trabalho apresentou uma metodologia integrada para pesquisa em segurança de redes TCP/IP baseada em experimentação empírica, modelagem estatística e análise de vulnerabilidades.

Demonstramos que:

• monitoramento de tráfego pode revelar comportamentos suspeitos
• análise estatística de logs permite detectar anomalias
• vulnerabilidades em serviços de rede continuam sendo vetor crítico de ataque

Pesquisas futuras devem explorar mecanismos de detecção em tempo quase real e integração mais profunda entre análise de rede e auditoria de sistemas operacionais.

Outra direção promissora envolve o desenvolvimento de ferramentas automatizadas para correlacionar eventos de múltiplos hosts, permitindo identificar ataques coordenados em redes distribuídas.

REFERENCES

ANDERSON, J. Computer Security Threat Monitoring and Surveillance. Fort Washington: James P. Anderson Co., 1980. Disponível em: https://csrc.nist.gov/publications/detail/report/1980/computer-security-threat-monitoring-and-surveillance

BELL, D.; LAPADULA, L. Secure Computer Systems: Mathematical Foundations. MITRE, 1973. Disponível em: https://apps.dtic.mil/sti/pdfs/AD0773768.pdf

BIBA, K. Integrity Considerations for Secure Computer Systems. MITRE, 1977. Disponível em: https://apps.dtic.mil/sti/pdfs/ADA039324.pdf

CERF, V.; KAHN, R. A Protocol for Packet Network Intercommunication. IEEE Transactions on Communications, 1974. https://doi.org/10.1109/TCOM.1974.1092259

DENNING, D. An Intrusion Detection Model. IEEE Transactions on Software Engineering, 1987. https://doi.org/10.1109/TSE.1987.232894

DENNING, D. Cryptography and Data Security. Reading: Addison-Wesley, 1982. https://archive.org/details/cryptographydata00denn

DIFFIE, W.; HELLMAN, M. New Directions in Cryptography. IEEE Transactions on Information Theory, 1976. https://doi.org/10.1109/TIT.1976.1055638

EICHIN, M.; ROCHLIS, J. With Microscope and Tweezers: An Analysis of the Internet Worm. 1989. https://doi.org/10.1109/SP.1989.36346

LAMPSON, B. A Note on the Confinement Problem. Communications of the ACM, 1973. https://doi.org/10.1145/362003.362375

MORRIS, R.; THOMPSON, K. Password Security: A Case History. Communications of the ACM, 1979. https://doi.org/10.1145/359168.359172

NEEDHAM, R.; SCHROEDER, M. Using Encryption for Authentication in Large Networks of Computers. CACM, 1978. https://doi.org/10.1145/359657.359659

POSTEL, J. Internet Protocol. RFC 791, 1981. https://www.rfc-editor.org/rfc/rfc791

POSTEL, J. Transmission Control Protocol. RFC 793, 1981. https://www.rfc-editor.org/rfc/rfc793

SALTZER, J.; SCHROEDER, M. The Protection of Information in Computer Systems. CACM, 1975. https://doi.org/10.1145/361011.361067

SPAFFFORD, E. The Internet Worm Incident. Purdue University Technical Report, 1989. https://docs.lib.purdue.edu/cgi/viewcontent.cgi?article=1701&context=cstech

STEINER, J.; NEUMAN, C.; SCHILLER, J. Kerberos: An Authentication Service for Open Network Systems. USENIX, 1988. https://web.mit.edu/kerberos/www/papers/kerberos.pdf

WARE, W. Security Controls for Computer Systems. RAND Report, 1970. https://www.rand.org/pubs/reports/R609.html

DENNING, P. The Lattice Model of Secure Information Flow. Communications of the ACM, 1976. https://doi.org/10.1145/360051.360056

DOERING, R. Computer Security Technology Planning Study. USAF, 1972. https://apps.dtic.mil/sti/pdfs/AD0758206.pdf

DEPARTMENT OF DEFENSE. Trusted Computer System Evaluation Criteria (Orange Book). 1985. https://csrc.nist.gov/publications/detail/std/5200-28/final

STOLL, C. The Cuckoo’s Egg. Doubleday, 1989. https://archive.org/details/cuckoosegg00clif

POSTEL, J. User Datagram Protocol. RFC 768, 1980. https://www.rfc-editor.org/rfc/rfc768

NEUMAN, C. The Kerberos Authentication Service. MIT Project Athena, 1988. https://web.mit.edu/kerberos

SECHREST, S. UNIX System Security. AT&T Bell Labs Technical Journal, 1985.

CHESS, D.; WHITE, S. An Undetectable Computer Virus. IBM Research Report, 1984. https://domino.research.ibm.com/library/cyberdig.nsf/papers

SPAFFORD, E.; ZAMBONI, D. Intrusion Detection Using System Logs. Purdue Technical Report, 1989. https://docs.lib.purdue.edu/cstech/