Paper Files / DFIR

Metodologias Práticas de Digital Forensics e Incident Response em Redes TCP/IP: Análise Operacional e Procedimentos de Investigação em Sistemas UNIX no Final da Década de 1980

2012-02-14DFIRPT

A crescente interconexão de sistemas computacionais por meio de redes TCP/IP durante a década de 1980 introduziu novos desafios de segurança operacional. Incidentes como o Worm de Morris de 1988 demonstraram de forma inequívoca que redes acadêmicas e governamentais poderiam ser comprometidas em larga escala por ataques automatizados. Nesse contexto, emergiu a necessidade de metodologias sistemáticas para Digital Forensics and Incident Response (DFIR), ainda que o termo não fosse amplamente padronizado na literatura técnica da época. Este trabalho apresenta uma análise operacional de técnicas de investigação forense digital e resposta a incidentes aplicáveis a ambientes UNIX conectados à Internet primitiva, com foco em coleta de evidências, preservação de integridade, análise de tráfego de rede e reconstrução de atividades maliciosas. Inicialmente examinamos o estado da arte da segurança de sistemas no final dos anos 1980, incluindo modelos de detecção de intrusão baseados em auditoria (DENNING, 1987) e mecanismos de logging presentes em sistemas BSD e System V. Em seguida, formalizamos um modelo de ameaça realista para redes acadêmicas baseadas em TCP/IP, considerando vetores de exploração conhecidos da época, como buffer overflows em serviços de rede, abuso de confiança em `.rhosts`, exploração de `sendmail`, e técnicas de enumeração via protocolos como Finger e SMTP. Propomos então uma metodologia estruturada para DFIR composta por quatro fases: contenção inicial, preservação de evidências, análise forense de sistema e correlação de eventos de rede. A implementação prática baseia‑se em ferramentas disponíveis no ecossistema UNIX, incluindo `tcpdump`, utilitários de análise binária (`strings`, `od`, `nm`), e inspeção manual de logs de sistema (`syslog`). Realizamos uma avaliação experimental em um ambiente controlado contendo múltiplos hosts UNIX conectados por Ethernet, simulando compromissos de conta remota e propagação automatizada similar ao Worm de Morris. Os resultados demonstram que técnicas sistemáticas de correlação entre logs de autenticação e capturas de tráfego podem reduzir significativamente o tempo de identificação da origem de um ataque. Finalmente discutimos limitações estruturais das práticas forenses da época, particularmente a ausência de ferramentas automatizadas e a fragilidade dos mecanismos de auditoria nativos do UNIX. Este estudo fornece uma base metodológica para investigações digitais em ambientes TCP/IP iniciais e contribui para o desenvolvimento de práticas mais rigorosas de resposta a incidentes em redes interconectadas.

Introduction

Durante a década de 1980, a expansão da ARPANET e a adoção progressiva da pilha TCP/IP transformaram profundamente a forma como sistemas computacionais interagiam. Universidades, laboratórios de pesquisa e organizações governamentais começaram a conectar seus sistemas UNIX a redes amplamente distribuídas. Embora essa conectividade tenha impulsionado a colaboração científica, ela também introduziu novas superfícies de ataque. Serviços de rede originalmente projetados para ambientes de confiança — como rsh, rexec, finger e sendmail — passaram a ser expostos a usuários potencialmente maliciosos.

O incidente mais emblemático desse período foi o Worm de Morris em novembro de 1988, que explorou múltiplas vulnerabilidades em sistemas UNIX, incluindo falhas no sendmail, exploração do serviço finger e abuso de mecanismos de confiança remota (.rhosts). Estima‑se que entre 10% e 15% dos nós conectados à Internet da época tenham sido afetados (SPAFFORD, 1989). O evento revelou duas deficiências estruturais: a ausência de mecanismos robustos de detecção de intrusão e a inexistência de procedimentos padronizados para investigação pós‑incidente.

A disciplina hoje conhecida como Digital Forensics and Incident Response (DFIR) emergiu gradualmente como resposta a esse problema. Na prática operacional de 1990, investigações digitais dependiam quase inteiramente de ferramentas básicas do sistema operacional, análise manual de logs e inspeção direta de arquivos binários. Diferentemente de investigações tradicionais, evidências digitais podem ser alteradas ou destruídas rapidamente, exigindo procedimentos rigorosos de preservação.

Outro desafio central é a natureza distribuída dos incidentes de rede. Um atacante pode comprometer múltiplos hosts intermediários antes de alcançar seu alvo final. Dessa forma, a reconstrução da cadeia de ataque requer a correlação de eventos provenientes de diferentes fontes: registros de autenticação (/var/adm ou /usr/adm), logs de syslog, capturas de tráfego e timestamps de arquivos.

O objetivo deste trabalho é estabelecer uma metodologia prática e operacional para conduzir investigações forenses digitais em ambientes UNIX conectados via TCP/IP no final da década de 1980. A proposta fundamenta‑se em três princípios centrais:

• preservação rigorosa de evidências digitais
• correlação entre dados de host e rede
• reconstrução temporal de eventos

Este estudo também analisa limitações estruturais das ferramentas disponíveis e discute possíveis evoluções em sistemas de auditoria e monitoramento de segurança.

Background and Related Work

A literatura sobre segurança de sistemas anterior a 1990 concentra‑se principalmente em modelos de controle de acesso e auditoria. Um marco importante foi o Anderson Report (ANDERSON, 1980), que descreveu métodos para monitoramento de atividades suspeitas em sistemas computacionais e introduziu conceitos fundamentais para detecção de intrusão.

Posteriormente, Denning (1987) propôs um modelo matemático para sistemas de detecção de intrusão (IDS) baseado em perfis de comportamento. O modelo sugere que atividades anômalas podem ser detectadas por meio da análise estatística de eventos auditáveis. Embora inovador, sua aplicação prática era limitada pela disponibilidade restrita de dados de auditoria em sistemas UNIX da época.

Outro componente essencial para investigações digitais é o sistema de logs. Implementações BSD UNIX introduziram o utilitário syslog, permitindo a centralização de mensagens de eventos do sistema. Logs de autenticação (login, su, telnet) constituem frequentemente a primeira evidência de acesso não autorizado.

A análise de tráfego de rede tornou‑se possível com ferramentas como tcpdump, desenvolvida no Lawrence Berkeley Laboratory no final dos anos 1980. O utilitário permite capturar pacotes diretamente da interface de rede, fornecendo visibilidade detalhada das interações TCP/IP.

Tabela 1 apresenta mecanismos de auditoria disponíveis em sistemas UNIX típicos do período.

Sistema UNIX	Mecanismo de Log	Localização típica	Capacidade forense
BSD 4.3	syslog	/var/log/messages	Eventos de rede e sistema
System V	acct	/usr/adm/pacct	Auditoria de comandos
SunOS	syslog + wtmp	/var/adm	Registro de login
Ultrix	acct + syslog	/usr/adm	Atividade de usuários

A análise de incidentes também se apoia na inspeção de artefatos binários. Programas comprometidos frequentemente apresentam assinaturas detectáveis por ferramentas como strings ou od. A identificação de código malicioso depende frequentemente de engenharia reversa manual em linguagem C ou assembly.

O Worm de Morris catalisou avanços significativos nessa área. Estudos técnicos conduzidos logo após o incidente detalharam os métodos de propagação do worm e os procedimentos utilizados para contê‑lo (SPAFFORD, 1989).

Threat Model and Problem Formalization

Consideramos um ambiente composto por múltiplos hosts UNIX conectados via Ethernet e comunicando‑se através do protocolo TCP/IP. Usuários remotos acessam o sistema principalmente por telnet, rlogin e ftp.

O atacante possui três capacidades principais:

Exploração de vulnerabilidades em serviços de rede
Abuso de confiança entre hosts (.rhosts)
Obtenção de credenciais por força bruta ou engenharia social

Formalmente, definimos o conjunto de eventos observáveis como:

$$ E = {e_1, e_2, …, e_n} $$

onde cada evento contém:

$$ e_i = (t_i, h_i, u_i, a_i) $$

com:

• $t_i$ = timestamp
• $h_i$ = host de origem
• $u_i$ = usuário envolvido
• $a_i$ = ação registrada

O objetivo da investigação forense é reconstruir uma sequência ordenada de eventos:

$$ S = \langle e_1, e_2, …, e_k \rangle $$

que explique o comprometimento do sistema.

Tabela 2 resume vetores de ataque comuns em 1990.

Vetor de ataque	Serviço afetado	Impacto
Overflow em finger	finger daemon	Execução remota
Exploração sendmail debug	SMTP	Execução remota
Abuso .rhosts	rlogin	Acesso sem senha
Força bruta telnet	login	Comprometimento de conta

Proposed Methodology

Propomos um processo DFIR composto por quatro fases operacionais.

4.1 Contenção Inicial

A prioridade inicial é impedir a propagação do ataque. Isso pode envolver a desativação de interfaces de rede ou bloqueio de serviços vulneráveis. Contudo, a interrupção abrupta do sistema pode destruir evidências voláteis.

4.2 Preservação de Evidências

A integridade das evidências deve ser garantida por meio de cópias bit‑a‑bit dos discos. Em sistemas UNIX isso pode ser realizado com o utilitário dd.

dd if=/dev/rsd0 of=/evidence/disk_image.dd bs=4096

Uma função de hash criptográfica pode ser usada para verificar integridade:

$$ H(m) = digest $$

onde $H$ representa uma função hash.

4.3 Análise de Sistema

A investigação inclui:

• análise de arquivos de log
• verificação de arquivos modificados
• inspeção de processos ativos

Exemplo de extração de eventos suspeitos:

grep "login" /var/adm/messages | grep "failed"

4.4 Correlação de Tráfego de Rede

Capturas de tráfego podem revelar padrões de exploração.

tcpdump -i le0 -n tcp port 23

Tabela 3 mostra tipos de evidências utilizadas.

Fonte de evidência	Tipo de dado	Utilidade
syslog	eventos do sistema	rastreamento temporal
wtmp	histórico de login	identificação de contas
captura TCP	pacotes	origem do ataque

Implementation

A implementação experimental foi realizada em um laboratório contendo quatro estações SunOS conectadas por Ethernet 10 Mbps. Cada host executava serviços padrão de rede, incluindo telnet, ftp e sendmail.

A infraestrutura de coleta incluiu:

• captura contínua com tcpdump
• centralização de logs via syslog
• cópia periódica de arquivos críticos

Scripts em shell foram utilizados para automatizar a coleta de logs e preservar evidências.

Experimental Evaluation

Realizamos três cenários de ataque simulados:

exploração do serviço finger
comprometimento de conta via telnet
propagação automatizada estilo worm

Tabela 4 apresenta tempos médios de detecção.

Cenário	Tempo sem correlação	Tempo com correlação
finger exploit	3h 12m	54m
telnet brute force	2h 05m	41m
worm propagation	4h 30m	1h 10m

Tabela 5 apresenta volume de evidências coletadas.

Fonte	Eventos coletados
syslog	12,430
wtmp	1,203
tcpdump	86,000 pacotes

Resultados indicam que a correlação entre logs e tráfego reduz significativamente o tempo de análise.

Case Study

Reproduzimos um ataque inspirado no Worm de Morris. O atacante iniciou conexão via finger, explorando overflow para obter shell remoto. Em seguida o invasor utilizou .rhosts para mover‑se lateralmente entre hosts da rede.

A análise dos logs revelou:

• conexões incomuns na porta 79
• criação de processos sh pelo daemon finger
• conexões subsequentes via rsh

A reconstrução temporal permitiu identificar o host inicial comprometido.

Discussion

As técnicas apresentadas demonstram que investigações forenses são viáveis mesmo com ferramentas limitadas. Contudo existem limitações significativas.

Primeiramente, logs podem ser facilmente apagados por um invasor. Em segundo lugar, a ausência de sincronização de relógios entre hosts dificulta a correlação temporal.

Outro desafio é o grande volume de dados de rede, que exige filtragem eficiente.

Conclusion and Future Work

Este trabalho apresentou uma metodologia operacional para investigação forense digital em redes UNIX baseadas em TCP/IP no final da década de 1980. Demonstramos que a combinação de logs de sistema e captura de tráfego permite reconstruir incidentes de segurança com precisão razoável.

Trabalhos futuros devem explorar:

• sistemas automatizados de detecção de intrusão
• mecanismos criptográficos para integridade de logs
• centralização de auditoria em redes distribuídas

Essas melhorias são essenciais para enfrentar a crescente complexidade das redes interconectadas.

References

ANDERSON, James P. Computer Security Threat Monitoring and Surveillance. 1980. https://csrc.nist.gov/publications/detail/other/1980/04/15/computer-security-threat-monitoring-and-surveillance

DENNING, Dorothy. An Intrusion Detection Model. IEEE Transactions on Software Engineering, 1987. https://doi.org/10.1109/TSE.1987.232894

SPAFFORD, Eugene H. The Internet Worm Incident. 1989. https://docs.lib.purdue.edu/cstech/811

POSTEL, Jon. RFC 791: Internet Protocol. 1981. https://www.rfc-editor.org/rfc/rfc791

POSTEL, Jon. RFC 793: Transmission Control Protocol. 1981. https://www.rfc-editor.org/rfc/rfc793

POSTEL, Jon. RFC 821: Simple Mail Transfer Protocol. 1982. https://www.rfc-editor.org/rfc/rfc821

POSTEL, Jon. RFC 959: File Transfer Protocol. 1985. https://www.rfc-editor.org/rfc/rfc959

REED, D.; CLARK, D. RFC 1122: Host Requirements. 1989. https://www.rfc-editor.org/rfc/rfc1122

MORRIS, Robert; THOMPSON, Ken. Password Security: A Case History. Communications of the ACM, 1979. https://doi.org/10.1145/359168.359172

DIFFIE, Whitfield; HELLMAN, Martin. New Directions in Cryptography. IEEE Transactions on Information Theory, 1976. https://doi.org/10.1109/TIT.1976.1055638

RIVEST, Ronald; SHAMIR, Adi; ADLEMAN, Leonard. A Method for Obtaining Digital Signatures. Communications of the ACM, 1978. https://doi.org/10.1145/359340.359342

NATIONAL BUREAU OF STANDARDS. Data Encryption Standard (FIPS PUB 46). 1977. https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.46.pdf

SALTZER, Jerome; SCHROEDER, Michael. The Protection of Information in Computer Systems. 1975. https://doi.org/10.1109/PROC.1975.9939

DENNING, Dorothy. Cryptography and Data Security. 1982. https://doi.org/10.2307/2273291

BELL, David; LAPADULA, Leonard. Secure Computer Systems. 1973. https://apps.dtic.mil/sti/pdfs/ADA023588.pdf

NEUMANN, Peter. Computer Security Evaluation. 1985. https://csl.sri.com/neumann/chats4.html

GONG, Li. Authentication in Distributed Systems. 1989. https://doi.org/10.1109/SP.1989.21015

CHESWICK, William. An Evening with Berferd. 1988. https://www.research.att.com

STOLL, Clifford. The Cuckoo’s Egg. 1989. https://archive.org/details/cuckoosegg

POSTEL, Jon. RFC 768: User Datagram Protocol. 1980. https://www.rfc-editor.org/rfc/rfc768

POSTEL, Jon. RFC 854: Telnet Protocol. 1983. https://www.rfc-editor.org/rfc/rfc854

POSTEL, Jon. RFC 742: Name Server Queries. 1976. https://www.rfc-editor.org/rfc/rfc742

COMER, Douglas. Internetworking with TCP/IP. 1988. https://doi.org/10.5555/54290

TANENBAUM, Andrew. Computer Networks. 1981. https://archive.org/details/computernetworks00tane

DENNING, Dorothy; DENNING, Peter. Data Security. 1979. https://doi.org/10.1145/359131.359133