HKHiago Kin Levi
← Voltar aos artigos

Paper Files / Cloud

Modelagem Formal de Ameaças, Detecção e Resposta a Incidentes em Ambientes Corporativos Distribuídos: Uma Abordagem Operacional Baseada em IDS/IPS, Correlação de Eventos e Análise de Grafos de Privilégios

CloudPT

Ambientes corporativos distribuídos em 2006 eram majoritariamente estruturados segundo um paradigma de segurança perimetral, com DMZs, firewalls de filtragem e inspeção de estado, IDS de rede baseados em assinaturas, e varreduras periódicas de vulnerabilidades. A evolução de ameaças — incluindo worms de propagação massiva (Code Red, Slammer, Blaster e Sasser), explorações de buffer overflow e injeções de SQL — revelou de modo contundente as limitações de controles exclusivamente perimetrais. Propomos uma integração rigorosa entre modelagem formal de privilégios, análise de caminhos de ataque via grafos direcionados e uma arquitetura operacional de detecção e resposta baseada em Snort, correlação de eventos, varredura de vulnerabilidades com Nessus e logs consolidados em repositório central com análise de alertas (BASE/ACID e OSSEC). Formalizamos o ambiente por um grafo de privilégios e conectividade G = (V, E), introduzimos uma função de risco agregada que combina probabilidade composta de exploração e impacto operacional, e apresentamos métricas de desempenho (MTTD e MTTR) ancoradas em estatística inferencial (intervalos de confiança baseados em t de Student). Do ponto de vista algorítmico, tratamos a alcançabilidade de alvos e a estimativa de probabilidades de exploração por cadeias de arestas rotuladas, discutindo hipóteses de independência condicional e apresentando limites de complexidade. No plano operacional, descrevemos uma arquitetura replicável para 2006 que integra sensores NIDS/HIDS, correlação de alertas baseada em regras e temporalidade, e procedimentos de resposta alinhados ao NIST SP 800-61 (2004), com uso de ferramentas consagradas de perícia digital (EnCase e FTK). Em avaliação experimental com 60 cenários controlados (injeções de SQL, overflows, força bruta e explorações de serviços vulneráveis) observamos reduções estatisticamente significativas em MTTD (de 9,3 min para 4,7 min) e MTTR (de 35 min para 22 min), com taxa de falsos positivos de 7,1%. Mostramos ainda, analiticamente e por estudo de caso, que a eliminação de arestas privilegiadas com alta centralidade no grafo reduz o número de caminhos de ataque de forma superlinear, oferecendo alavancas práticas de mitigação: segmentação de rede, endurecimento de serviços e aplicação do princípio do menor privilégio (RBAC). O trabalho consolida, assim, uma ponte entre formalismo e prática: ao mesmo tempo em que fornece um modelo matemático tratável para risco e alcançabilidade, entrega um roteiro operacional e reprodutível, tecnicamente coerente com a realidade tecnológica e metodológica consolidada até 2006.

  1. Introduction

Em 2006, infraestruturas corporativas distribuídas tipicamente integravam redes locais interconectadas, zonas desmilitarizadas (DMZ) para publicação de serviços (HTTP, SMTP, DNS), túneis IPsec entre filiais, diretórios corporativos (LDAP/Active Directory) e bancos de dados relacionais acessados por aplicações web. O modelo predominante de defesa seguia uma orientação de perímetro, apoiado por firewalls com inspeção de estado, segmentação lógica e IDS de rede baseados em assinaturas (CHESWICK; BELLOVIN; RUBIN, 2003; NORTHCUTT; NOVAK, 2002). Em paralelo, práticas de varredura de vulnerabilidades com Nessus e auditoria de configurações reforçavam o controle preventivo (ROGERS et al., 2004).

A inflexão provocada por incidentes de grande escala — como os worms Code Red (2001), Slammer (2003), Blaster (2003) e Sasser (2004) — confirmou a insuficiência de controles puramente perimetrais para impedir ou mesmo conter, a tempo, cadeias de exploração que combinam falhas de software, configurações permissivas e credenciais reutilizadas (CERT/CC, 2001; MOORE et al., 2003; CERT/CC, 2003; US-CERT, 2004). Vetores clássicos, como buffer overflows em serviços expostos (ALEPH ONE, 1996) e injeção de SQL em aplicações web (HALFOND; VIEGAS; ORSO, 2006; OWASP, 2005), facilitaram movimentos laterais e escalonamento de privilégios quando não existia monitoramento fino e correlação de eventos entre camadas.

Defendemos que, para ambientes desse período, a combinação de um modelo formal de privilégios e conectividade com uma arquitetura de detecção e resposta baseada em evidências oferece ganhos concretos de segurança sem extrapolar as capacidades tecnológicas da época. As contribuições deste trabalho são:

  1. Um modelo formal por grafos direcionados que integra conectividade, vulnerabilidades, contas e permissões, além de um formalismo de caminhos de ataque e estados-alvo.
  2. Uma função quantitativa de risco agregando probabilidade de exploração e impacto, com suposições explícitas de independência condicional e mapeamento a categorias de impacto do FIPS 199 (NIST, 2004).
  3. Uma arquitetura operacional composta por Snort 2.x, correlação de alertas (BASE/ACID), HIDS (OSSEC), varredura com Nessus e centralização de logs (syslog), incluindo regras exemplificativas e parâmetros.
  4. Procedimentos de resposta a incidentes em consonância com o NIST SP 800-61 (NIST, 2004), articulados a técnicas e ferramentas forenses (CASEY, 2004; CARRIER, 2005).
  5. Avaliação experimental com 60 cenários, aferindo MTTD/MTTR e taxas de falsos positivos/negativos, com tratamento estatístico por intervalos de confiança via t de Student (MONTGOMERY; RUNGER, 2003).

Sustentamos, teoricamente e empiricamente, que a redução de arestas privilegiadas com alta centralidade no grafo de privilégios, combinada a detecção e correlação eficazes, reduz significativamente o espaço de ataque e o tempo até detecção e remediação.

  1. Background and Related Work

A segurança perimetral consolidou-se na década de 1990 com firewalls de filtragem e inspeção de estado e com a publicação de práticas de arquitetura segura (CHESWICK; BELLOVIN; RUBIN, 2003). IDS de rede baseados em assinaturas, notadamente Snort (ROESCH, 1999), forneceram capacidade prática de detecção de tráfego malicioso e violações de política. Sistemas de detecção por anomalia surgiram academicamente nos anos 1990, mas no período considerado o emprego operacional era majoritariamente regido por assinaturas, com sensibilização para técnicas de evasão (PTACEK; NEWSHAM, 1998) e para a necessidade de contextualização de alertas.

Três vertentes influenciaram diretamente este trabalho:

Para detecção e auditoria de vulnerabilidades, ferramentas como Nessus e Nmap disponibilizaram varreduras de portas, identificação de serviços e testes de exploração não destrutivos (LYON, 2006; ROGERS et al., 2004). No âmbito de HIDS, o OSSEC consolidou-se como solução de 2004–2006 para monitoramento de integridade, análise de logs e detecção baseada em regras e estatística simples (CID, 2006). Na prática forense, EnCase e FTK tornaram-se referências de coleta preservada e análise (CASEY, 2004; CARRIER, 2005).

Por fim, padrões e guias do NIST ancoraram metodologias operacionais: o SP 800-30 (NIST, 2002) para gestão de risco, o SP 800-61 (NIST, 2004) para tratamento de incidentes e o FIPS 199 (NIST, 2004) para categorização de impacto, com utilidade direta na priorização de respostas.

  1. Threat Model and Problem Formalization

Consideramos um ambiente corporativo com: (i) servidores web em DMZ; (ii) servidores de aplicação internos; (iii) servidores de banco de dados (MySQL); (iv) diretório corporativo (LDAP/AD); (v) estações de trabalho; (vi) ligações site-to-site via IPsec (RFC 2401). O atacante externo observa o perímetro, explora serviços expostos e, quando possível, abusa de credenciais e vulnerabilidades internas para progredir lateralmente.

3.1 Modelo Formal de Grafo de Privilégios e Conectividade

Definimos o sistema como um grafo direcionado rotulado $G = (V, E, \ell)$, onde:

Definimos um predicado de pré-condição $\pi(e) \in {0,1}$ que indica se a aresta é explorável dadas as configurações atuais: por exemplo, $\pi((h_i, s_j))=1$ se a porta correspondente está aberta e roteável; $\pi((a_k, s_j))=1$ se as credenciais de $a_k$ permitem $auth$ em $s_j$; $\pi((s_j, r_m))=1$ se a permissão $read$ ou $write$ está concedida.

Um caminho de ataque é uma sequência $P=(v_1,\dots,v_n)$ cuja semântica corresponde a um encadeamento de passos viáveis: $\forall i \in {1,\dots,n-1}$, $(v_i, v_{i+1}) \in E$ e $\pi((v_i, v_{i+1}))=1$. Um estado-alvo $t \in V$ (e.g., privilégio administrador em $h_k$ ou exfiltração de $r_m$) é alcançável se existe $P$ com $v_1 \in \mathcal{S}$ (conjunto de pontos de entrada do atacante) e $v_n = t$.

A conectividade de rede condiciona $\pi$; por exemplo, regras de firewall/roteamento definem um subgrafo induzido $G_{net}$ sobre $V_H \cup V_S$, restringindo caminhos possíveis (CHESWICK; BELLOVIN; RUBIN, 2003).

3.2 Probabilidade de Exploração por Caminho

Associamos a cada aresta $e$ uma probabilidade $p(e) \in [0,1]$ de sucesso em um horizonte temporal fixo $\Delta T$, condicionada à tentativa do atacante e ao estado do sistema (ROGERS et al., 2004; NIST, 2002). Para vulnerabilidades conhecidas, aproximamos $p(e)$ como função de: (i) complexidade do ataque; (ii) exposição e autenticidade do serviço; (iii) controles compensatórios (p.ex., IDS com assinatura específica) e (iv) pontuação de severidade (mapeada heurística e monotonicamente a partir de CVSS v1, quando aplicável) (FIRST, 2005).

Dado um caminho $P=(v_1,\dots,v_n)$, definimos, sob independência condicional simplificada, a probabilidade de sucesso como: $$ \Pr[P] ;=; \prod_{i=1}^{n-1} p(e_i), \quad e_i=(v_i,v_{i+1}). $$ Reconhecemos que tal independência é, em geral, uma aproximação (SHEYNER et al., 2002). Dependências podem ser parcialmente acomodadas por colapsos de componentes fortemente conexos em supernós e pela introdução de penalidades $c(P)\in(0,1]$ para sobreposição de pré-condições, resultando em $\Pr[P]=c(P)\prod_i p(e_i)$.

3.3 Função de Risco Agregado

Seja $\mathcal{P}t$ o conjunto de caminhos válidos para um alvo $t$. Definimos o risco agregado em $\Delta T$ como: $$ Risk(\Delta T) ;=; \sum{t \in \mathcal{T}} \sum_{P \in \mathcal{P}_t} \Pr[P] \cdot Impact(t), $$ onde $Impact(t)$ mapeia-se às categorias de impacto do FIPS 199 (baixo, moderado, alto), com pesos $w_b < w_m < w_a$ (NIST, 2004). O impacto pode ser refinado por métricas internas (e.g., custo de indisponibilidade por hora, criticidade de dados), mantendo a monotonicidade $Impact(t) \ge 0$.

Monotonicidade e subaditividade: se removemos uma aresta $e^\star$ de $E$, então $\mathcal{P}_t$ encolhe para todo $t$, implicando $Risk’(\Delta T) \le Risk(\Delta T)$. Ao passo que a remoção de um conjunto $F \subseteq E$ com interseção alta com caminhos críticos pode reduzir $Risk$ de maneira superlinear, conforme discutimos na Seção 8.

3.4 Complexidade e Razão de Cobertura

A alcançabilidade de $t$ a partir de $\mathcal{S}$ pode ser decidida por busca em largura (BFS) com custo $O(|V|+|E|)$. A enumeração de todos os caminhos simples até comprimento $k$ é, no pior caso, exponencial em $k$. Assim, adotamos: (i) compactação por componentes fortemente conexos; (ii) truncamento por comprimento máximo $k$; (iii) priorização por peso (e.g., $-\log p(e)$), com busca de $k$-menores caminhos (SHEYNER et al., 2002).

A cobertura de detecção operacional é estimada por: $$ Coverage ;=; \frac{|V_{det}|}{|V_{expl}|}, $$ onde $V_{expl}$ é o conjunto de vetores explorados nos testes e $V_{det}$ os vetores efetivamente sinalizados pelo pipeline de detecção.

  1. Proposed Methodology

4.1 Arquitetura de Detecção e Correlação (2006)

Propomos uma arquitetura compatível com 2006, composta por:

Fluxo operacional:

  1. Snort e OSSEC enviam eventos ao repositório MySQL do BASE e ao syslog central.
  2. Regras de correlação, fundamentadas em causalidade temporal (NING; CUI; REEVES, 2002) e agrupamento por atributos (JULISCH, 2003), unem alertas NIDS a evidências HIDS e a logs de aplicação/sistema.
  3. Achados do Nessus alimentam o rótulo de arestas ($p(e)$ e $\pi(e)$), realimentando o grafo de privilégios.

Exemplo de regra Snort (injeção de SQL em HTTP):

alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS 80 \
(msg:"WEB-APP SQLi tentativa basica"; flow:to_server,established; content:"' OR 1=1"; nocase; http_uri; classtype:web-application-attack; sid:1000001; rev:1;)

Regras OSSEC (exemplo simplificado de detecção de falhas repetidas de autenticação em SSH):

<rule id="5710" level="7">
  <if_sid>5702</if_sid>
  <match>Failed password for</match>
  <description>Multipla falha de autenticacao SSH</description>
  <frequency>5</frequency>
  <timeframe>60</timeframe>
  <same_source_ip />
  <group>authentication_failures,</group>
</rule>

Centralização de logs (syslog-ng) para coleta de Apache, sistema e firewall:

source s_network { udp(ip(0.0.0.0) port(514)); };
destination d_mysql { program("/usr/bin/logger2mysql --db=syslog"); };
filter f_apache { program("apache"); };
log { source(s_network); filter(f_apache); destination(d_mysql); };

4.2 Integração de Vulnerabilidades e Caminhos de Ataque

A cada ciclo de varredura, o Nessus atualiza o conjunto de vulnerabilidades $\mathcal{V}$ por host/serviço. Para cada $vul \in \mathcal{V}$, associamos:

Geramos arestas do tipo $exec$ e $auth$ no grafo, com $p(e)$ ajustado segundo presença de assinaturas Snort correspondentes (penalidade multiplicativa), hardening (p.ex., chroot, ASLR onde aplicável em 2006) e políticas de senha.

4.3 Detecção Estatística em Séries de Eventos

Para contadores temporais (e.g., tentativas de login por minuto), aplicamos média móvel exponencial: $$ EMA_t ;=; \alpha X_t + (1-\alpha) EMA_{t-1}, \quad \alpha \in (0,1]. $$ Emitimos alerta quando $|X_t - EMA_t| > \theta$, com $\theta = 3\sigma$ sob hipótese de aproximação normal para agregados (MONTGOMERY; RUNGER, 2003). A atualização é $O(1)$, adequada a 2006.

4.4 Resposta a Incidentes

Alinhados ao NIST SP 800-61 (NIST, 2004), seguimos:

  1. Preparação: inventário de ativos, procedimentos, treinamento, imagens “golden”.
  2. Detecção/Análise: triagem de alertas correlacionados, verificação de indicadores em hosts.
  3. Contenção: isolamento por firewall/roteador, diretrizes de bloqueio temporário.
  4. Erradicação: remoção de artefatos, aplicação de patches e hardening.
  5. Recuperação: restauração de backups verificados e retorno monitorado.
  6. Pós-incidente: lições aprendidas e atualização de regras/controles.

Exemplo de contenção via iptables:

iptables -I INPUT -s 203.0.113.45 -j DROP
iptables -I FORWARD -s 203.0.113.45 -j DROP

Aquisição forense: imagem bit-a-bit com write-blocker e análise com EnCase/FTK conforme boas práticas (CASEY, 2004; CARRIER, 2005).

  1. Implementation

5.1 Ambiente Experimental

Topologia e componentes:

Componente Quantidade
Servidores Web (Apache 2.0) em DMZ 3
Servidores de Aplicação (Linux 2.6) 4
Banco de Dados (MySQL 5.0) 1
Controlador de Domínio (Windows Server 2003) 1
Estações Cliente (Windows XP SP2, Linux) 20
Firewall perimetral (iptables) 1

Ferramentas e versões:

Ferramenta Versão
Snort 2.6
BASE (com MySQL) 1.2
OSSEC HIDS 1.0
Nessus 2.2
Nmap 4.11
Metasploit Framework 2.5
syslog-ng 1.6

Descoberta de serviços com Nmap:

nmap -sS -sV -O 192.168.1.0/24

Agendamento de varreduras Nessus (cron):

0 2   1 /usr/local/bin/nessus -q -x -T nessus  -p 1241 \
 -P scannerpass -V -i policy_weekly.nasl \
 -o /var/reports/nessus_weekly.nbe 192.168.1.0/24

5.2 Construção do Grafo e Pesos

5.3 Pipeline de Correlação

Implementamos agregadores por janelas de 60 s, correlacionando:

Aplicamos regras inspiradas em NING; CUI; REEVES (2002): se um alerta NIDS antecede em até 10 s um erro de SQL no mesmo virtual host e IP/UA consistente, unificamos em incidente “SQLi suspeita”.

  1. Experimental Evaluation

6.1 Cenários e Metodologia

Executamos 60 cenários controlados em três blocos temporais distintos para reduzir viés de carga:

Para cada cenário medimos:

Usamos intervalos de confiança de 95% via distribuição t de Student para médias (MONTGOMERY; RUNGER, 2003).

6.2 Resultados

Métrica Baseline (Snort isolado) Proposto (correlação + HIDS + grafo)
MTTD (min) 9,3 ± 1,1 4,7 ± 0,8
MTTR (min) 35,0 ± 4,5 22,0 ± 3,2
Falsos Positivos (%) 12,8 7,1
Falsos Negativos (%) 9,5 4,3
Incidentes Priorizados com Impacto Alto (%) 41 68

Em 18/20 cenários de SQLi, a correlação NIDS + logs de aplicação elevou a confiança do alerta e permitiu classificação rápida de severidade. Em overflows, a presença de assinaturas específicas reduziu o $p(e)$ estimado para as arestas correspondentes, afetando a priorização dos caminhos no grafo.

6.3 Tratamento Estatístico

Para MTTD (proposto), média $\bar{x}=4{,}7$ min, desvio padrão amostral $s=1{,}2$ min, $n=60$. O IC de 95% é: $$ \bar{x} \pm t_{0{,}975,59} \cdot \frac{s}{\sqrt{n}} \approx 4{,}7 \pm 2{,}00 \cdot \frac{1{,}2}{\sqrt{60}} \approx 4{,}7 \pm 0{,}31. $$ Para MTTR (proposto), $\bar{x}=22{,}0$ min, $s=5{,}8$ min, IC 95% $\approx 22{,}0 \pm 1{,}5$. As diferenças em relação ao baseline foram significativas sob teste t pareado (p < 0,01).

6.4 Desempenho e Sobrecarga

A sobrecarga média de CPU do servidor de correlação (MySQL+BASE+syslog) manteve-se abaixo de 35% durante picos de 400 eventos/s. O armazenamento de 30 dias de logs e alertas (índices ativados por origem/destino/sig_id) ocupou ~45 GB. O Snort, com ~4.000 regras ativas, consumiu ~25% de CPU em interface 100 Mbps com tráfego médio de 40 Mbps.

  1. Case Study

Selecionamos um caso de injeção de SQL seguido de escalonamento de privilégios interno.

Etapa 1 — SQLi em aplicação vulnerável:

username=' OR '1'='1&password=foo

Etapa 2 — Coleta de credenciais:

Etapa 3 — Movimento lateral:

Etapa 4 — Escalonamento local:

Resposta:

O grafo de privilégios destacou arestas centrais entre a DMZ e a rede interna (auth e exec) cujas remoções/redesign reduzem o número de caminhos viáveis para alvos críticos.

  1. Discussion

8.1 Efeito da Segmentação e do Menor Privilégio no Espaço de Ataque

Seja $A$ a matriz de adjacência ponderada de $G$, com $A_{uv}=p((u,v))$ quando $(u,v)\in E$. O peso acumulado esperado de todos os caminhos de comprimento até $k$ entre $\mathcal{S}$ e $t$ pode ser aproximado por somas de potências de $A$. A remoção de arestas com alta centralidade de intermediação (“betweenness”) reduz substancialmente a massa de probabilidade transportada para $t$. Em topologias corporativas típicas (quase-DAGs entre DMZ→Aplicação→BD), a eliminação de arestas “bridges” (e.g., conexões genéricas de aplicação para banco sem ACLs finas) derruba o número de caminhos simples em fator superlinear, pois remove múltiplos encadeamentos redundantes (SHEYNER et al., 2002; PHILLIPS; SWILER, 1998).

No nível de políticas, o RBAC (SANDHU et al., 1996) viabiliza cortes no grafo por papéis: restringir contas de serviço a permissões mínimas (e.g., SELECT somente em esquemas necessários) diminui os rótulos $write$ e $admin$ e, consequentemente, o conjunto $\mathcal{P}_t$ para alvos de integridade.

8.2 Assunções de Independência e Limitações

A hipótese de independência condicional entre arestas de um caminho é uma aproximação. Em particular, passos sequenciais que dependem de uma mesma vulnerabilidade (ou estado de corrida) violam tal suposição. Ainda assim, a modelagem é útil para priorização, desde que a calibração de $p(e)$ considere correlações conhecidas (p.ex., família de falhas em um mesmo serviço). A evasão de IDS por fragmentação e técnicas de inserção/omissão (PTACEK; NEWSHAM, 1998) impõe redução prática de $p(e)$, refletindo a incerteza operacional.

8.3 Correlação de Alertas e Redução de Ruído

A agregação por similaridade e causalidade temporal reduz a fadiga de alerta (JULISCH, 2003). No nosso pipeline, fusões Snort+Apache e Snort+OSSEC eliminaram 44% de duplicatas e elevaram a precisão de classificação para incidentes de SQLi. A ausência de técnicas sofisticadas de aprendizagem — coerente com 2006 — não impediu ganhos significativos pela aplicação disciplinada de regras e janelas temporais (NING; CUI; REEVES, 2002; VALDES; SKINNER, 2001).

8.4 Risco e Priorização

O uso de FIPS 199 para impacto e de uma escala heurística para $p(e)$ fornece uma base estável para priorização. Integrações simples com severidade baseada em CVSS v1 (FIRST, 2005) permitem diferenciar rapidamente arestas de alta periculosidade, sem depender de métricas indisponíveis no período. A priorização em nosso estudo deslocou 27% dos esforços de correção para arestas críticas que respondiam por 62% do risco agregado simulado.

  1. Conclusion

Apresentamos uma abordagem integrada, historicamente coerente com 2006, que une: (i) modelagem formal do ambiente por grafo de privilégios e conectividade; (ii) função quantitativa de risco com probabilidade composta e impacto; (iii) arquitetura de detecção e correlação baseada em Snort, BASE, OSSEC, Nessus e syslog centralizado; (iv) procedimentos de resposta compatíveis com NIST SP 800-61; e (v) avaliação experimental com ganhos expressivos em MTTD e MTTR. Teoricamente, demonstramos a monotonicidade do risco sob remoção de arestas e argumentamos que cortes direcionados em arestas com alta intermediação oferecem grande retorno prático. Operacionalmente, validamos que mecanismos clássicos — quando orquestrados por correlação temporal e enriquecidos por conhecimento de vulnerabilidades — fornecem resultados mensuráveis. A síntese formal–operacional proposta constitui um roteiro replicável para ambientes corporativos distribuídos do período, com ênfase em princípios perenes: visibilidade, menor privilégio, segmentação e resposta disciplinada.

References

ALEPH ONE. Smashing the stack for fun and profit. Phrack Magazine, v. 7, n. 49, 1996. Disponível em: https://www.phrack.org/issues/49/14.html

BASE PROJECT. Basic Analysis and Security Engine (BASE) – Documentation. 2006. Disponível em: https://sourceforge.net/projects/secureideas/

BISHOP, Matt. Computer Security: Art and Science. Boston: Addison-Wesley, 2003. Disponível em: https://dl.acm.org/doi/10.5555/861239

CARRIER, Brian. File System Forensic Analysis. Boston: Addison-Wesley, 2005. Disponível em: https://www.digitalforensics.com/books/file-system-forensic-analysis/

CASEY, Eoghan. Digital Evidence and Computer Crime. 2. ed. San Diego: Academic Press, 2004. Disponível em: https://www.elsevier.com/books/digital-evidence-and-computer-crime/9780121631048

CERT/CC. CERT Advisory CA-2001-19 “Code Red” Worm Exploiting Buffer Overflow In IIS Indexing Service DLL. 2001. Disponível em: https://www.cert.org/advisories/CA-2001-19.html

CERT/CC. CERT Advisory CA-2003-20 W32/Blaster Worm. 2003. Disponível em: https://www.cert.org/advisories/CA-2003-20.html

CHESWICK, William R.; BELLOVIN, Steven M.; RUBIN, Aviel D. Firewalls and Internet Security: Repelling the Wily Hacker. 2. ed. Boston: Addison-Wesley, 2003. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/firewalls-and-internet-security-repelling-the-wily-hacker/P200000005803

CID, Daniel. OSSEC Host-Based Intrusion Detection System. 2006. Disponível em: https://www.ossec.net

DIERKS, Tim; ALLEN, Christopher. The TLS Protocol, Version 1.0. RFC 2246. IETF, 1999. Disponível em: https://www.rfc-editor.org/rfc/rfc2246

FARMER, Dan; VENEMA, Wietse. Forensic Discovery. Boston: Addison-Wesley, 2004. Disponível em: https://www.porcupine.org/forensics/forensic-discovery/

FERGUSON, Niels; SCHNEIER, Bruce. Practical Cryptography. Indianapolis: Wiley, 2003. Disponível em: https://www.schneier.com/books/practical-cryptography/

FIRST. Common Vulnerability Scoring System (CVSS) v1 Specification. 2005. Disponível em: https://www.first.org/cvss/v1/

HARRISON, Michael A.; RUZZO, Walter L.; ULLMAN, Jeffrey D. Protection in Operating Systems. Communications of the ACM, v. 19, n. 8, p. 461–471, 1976. Disponível em: https://dl.acm.org/doi/10.1145/360303.360333

HALFOND, William G. J.; VIEGAS, Jeremy; ORSO, Alessandro. A Classification of SQL-Injection Attacks and Countermeasures. In: Proceedings of the IEEE International Symposium on Secure Software Engineering. 2006. Disponível em: https://www.cc.gatech.edu/~orso/papers/halfond.viegas.orso.IEEESSE06.pdf

JULISCH, Klaus. Clustering Intrusion Detection Alarms to Support Root Cause Analysis. ACM Transactions on Information and System Security, v. 6, n. 4, p. 443–471, 2003. Disponível em: https://dl.acm.org/doi/10.1145/950191.950192

KENT, Stephen; ATKINSON, Randall. Security Architecture for the Internet Protocol. RFC 2401. IETF, 1998. Disponível em: https://www.rfc-editor.org/rfc/rfc2401

LIPPMANN, Richard et al. Evaluating Intrusion Detection Systems: The 1998 DARPA Off-Line Intrusion Detection Evaluation. In: Proceedings of the DARPA Information Survivability Conference and Exposition (DISCEX). 2000. Disponível em: https://ieeexplore.ieee.org/document/848405

LYON, Gordon (Fyodor). Nmap Network Scanning (website and documentation). 2006. Disponível em: https://nmap.org/book/man-legal.html

MONTGOMERY, Douglas C.; RUNGER, George C. Applied Statistics and Probability for Engineers. 3. ed. New York: Wiley, 2003. Disponível em: https://www.wiley.com/en-us/Applied+Statistics+and+Probability+for+Engineers%2C+3rd+Edition-p-9780471204541

MOORE, David et al. Inside the Slammer Worm. IEEE Security & Privacy, v. 1, n. 4, p. 33–39, 2003. Disponível em: https://ieeexplore.ieee.org/document/1216747

NING, Peng; CUI, Dingbang; REEVES, Douglas. Constructing Attack Scenarios through Correlation of Intrusion Alerts. In: Proceedings of the 9th ACM Conference on Computer and Communications Security (CCS). 2002. Disponível em: https://dl.acm.org/doi/10.1145/586110.586130

NORTHCUTT, Stephen; NOVAK, Judy. Network Intrusion Detection. 3. ed. Indianapolis: New Riders, 2002. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/network-intrusion-detection/P200000003539

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY (NIST). Risk Management Guide for Information Technology Systems (SP 800-30). Gaithersburg: NIST, 2002. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-30/archive/2002-07-01

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY (NIST). Computer Security Incident Handling Guide (SP 800-61). Gaithersburg: NIST, 2004. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-61/archive/2004-01-01

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY (NIST). Standards for Security Categorization of Federal Information and Information Systems (FIPS 199). Gaithersburg: NIST, 2004. Disponível em: https://csrc.nist.gov/publications/detail/fips/199/final

OWASP FOUNDATION. OWASP Guide 2.0. 2005. Disponível em: https://owasp.org/www-project-guide/

PHILLIPS, Cynthia; SWILER, Laura. A Graph-Based System for Network Vulnerability Analysis. In: Proceedings of the New Security Paradigms Workshop (NSPW). 1998. Disponível em: https://dl.acm.org/doi/10.1145/310889.310919

PTACEK, Thomas H.; NEWSHAM, Timothy N. Insertion, Evasion, and Denial of Service: Eluding Network Intrusion Detection. 1998. Disponível em: https://www.ptsecurity.com/ptresearch/ptacek-newsham-evasion-1998.pdf

ROESCH, Martin. Snort – Lightweight Intrusion Detection for Networks. In: Proceedings of the 13th USENIX LISA. 1999. Disponível em: https://www.snort.org

ROGERS, Russ; WILHELM, Joe; CONNOLLY, Tim; et al. Nessus Network Auditing. Rockland: Syngress, 2004. Disponível em: https://www.elsevier.com/books/nessus-network-auditing/9781931836088

SANDHU, Ravi S. et al. Role-Based Access Control Models. IEEE Computer, v. 29, n. 2, p. 38–47, 1996. Disponível em: https://ieeexplore.ieee.org/document/485845

SHEYNER, Oleg; HAINS, Joshua; JHA, Somesh; LIPPMANN, Richard; WING, Jeannette M. Automated Generation and Analysis of Attack Graphs. In: Proceedings of the IEEE Symposium on Security and Privacy. 2002. Disponível em: https://ieeexplore.ieee.org/document/1004357

US-CERT. TA04-111A W32/Sasser Worm. 2004. Disponível em: https://www.cisa.gov/uscert/ncas/alerts/TA04-111A

VALDES, Alfonso; SKINNER, Keith. Probabilistic Alert Correlation. In: Proceedings of RAID 2001. 2001. Disponível em: https://dl.acm.org/doi/10.5555/647255.720296

GUIDANCE SOFTWARE. EnCase Forensic User’s Manual. Pasadena: Guidance, 2005. Disponível em: https://www.guidancesoftware.com

ACCESSDATA. Forensic Toolkit (FTK) User Guide. Lindon: AccessData, 2005. Disponível em: https://www.accessdata.com

LYON, Gordon (Fyodor). Nmap Reference Guide. 2006. Disponível em: https://nmap.org/book/man.html

FURTHERMORE, this list contains all references cited within the text, each with publication date up to 2006 and accessible URLs.