HKHiago Kin Levi
← Voltar aos artigos

Paper Files / Cloud

Modelagem Operacional de Ameaças e Defesa em Redes Corporativas Perimetrais: Uma Abordagem Baseada em Grafos de Ataque, STRIDE e Engenharia de Detecção

CloudPT

As redes corporativas de meados da década de 2000 caracterizam-se por perímetros bem definidos, serviços expostos em DMZ, uso extensivo de VPNs baseadas em IPsec e pilhas de aplicações mistas (Windows 2000/2003, Linux 2.4/2.6, servidores IIS/Apache e bancos de dados SQL Server/Oracle). Nesse contexto, incidentes emblemáticos — como os worms Slammer (2003), Blaster (2003) e Sasser (2004) — evidenciaram que a combinação de vulnerabilidades exploráveis, exposição indevida e falhas de monitoramento permite escaladas rápidas e devastadoras. Propomos uma metodologia operacional e formalmente fundamentada para modelagem de ameaças e defesa que integra: (i) grafos de ataque para representar caminhos de comprometimento; (ii) categorização STRIDE para estruturação sistemática de ameaças; (iii) mensuração de superfície de ataque via pesos de exposição e severidade (com apoio do CVSS v1); (iv) engenharia de detecção com IDS de rede (Snort, Bro) e HIDS (OSSEC), correlacionados por SIEMs incipientes (ArcSight, OSSIM); e (v) validação prática com simulação adversária baseada em Nmap, Nessus e Metasploit. Formalizamos a superfície de ataque S como soma ponderada do conjunto de vulnerabilidades e exposições por ativo e zona de confiança, e definimos um problema de otimização que busca minimizar o risco esperado sujeito a restrições de disponibilidade e desempenho. Em um laboratório que replica uma rede perimetral típica de 2006 — firewall Check Point/iptables, DMZ com Apache e IIS 6.0, SQL Server 2000, Active Directory 2003, Snort/Bro e OSSEC, com correlação em OSSIM — realizamos experimentos com exploração controlada de DCOM/RPC (MS03-026), LSASS (MS04-011), variações de ataques de injeção de SQL e tentativas de replicação de comportamento de worms. Observamos reduções mensuráveis da superfície de ataque (54–68%) após reforço de regras de firewall, correção seletiva e implantação de sensores; tempo médio de detecção reduzido (3,8–6,1 min) e taxas de verdadeiros positivos superiores a 90% para classes de ataques com boa assinatura. Oferecemos regras concretas de detecção (Snort), exemplos de endurecimento (iptables/Windows GPO) e políticas de correlação (OSSIM), além de uma análise das limitações intrínsecas (evasão de IDS, cobertura de logs, custos operacionais). Concluímos que a integração disciplinada de modelagem formal, instrumentação clássica de perímetro e validação adversarial, adequada ao estado da prática de 2006, constitui caminho efetivo para reduzir risco operacional em redes corporativas e acelerar resposta a incidentes, preservando requisitos de disponibilidade.

  1. Introdução

As infraestruturas corporativas em 2006 são predominantemente on-premises, com perímetros claramente definidos, zonas desmilitarizadas (DMZ) para exposição de serviços públicos, redes internas segmentadas e acesso remoto via VPNs IPsec. A arquitetura típica combina plataformas Microsoft Windows 2000/2003 e distribuições Linux 2.4/2.6, servidores web IIS 6.0 e Apache 2.x, e bancos de dados como Microsoft SQL Server 2000 e Oracle 9i. O modelo de defesa por camadas inclui firewalls de aplicação/estado (por exemplo, Check Point FireWall-1, pf do OpenBSD e iptables do Linux), IDS/IPS de rede, agentes de auditoria em servidores críticos e práticas de gestão de patches e antivírus.

Entretanto, a experiência recente com worms como Code Red/Nimda (2001), Slammer (2003), Blaster (2003) e Sasser (2004) demonstrou que a confluência de vulnerabilidades exploráveis, exposição desnecessária de serviços e falta de telemetria correlacionada favorece compromissos em escala de minutos (MOORE et al., 2003; STANIFORD; PAXSON; WEAVER, 2002; CERT/CC, 2003a; CERT/CC, 2003b). Além disso, vetores como transbordamento de buffer (ALEPH ONE, 1996) e injeção de SQL (HALFOND; VIEGAS; ORSO, 2006; OWASP, 2004) continuam prevalentes, muitas vezes auxiliados por configurações frágeis de servidores web e falta de validação de entrada.

Defendemos que a resposta adequada exige metodologia que una: (i) modelagem formal de ameaças e caminhos de ataque, por meio de grafos de ataque (SHEYNER et al., 2002; PHILLIPS; SWILER, 1998) e árvores de ataque (SCHNEIER, 1999); (ii) categorização de ameaças via STRIDE para abarcar Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service e Elevation of Privilege; (iii) mensuração da superfície de ataque com base em exposição, criticidade de ativos e severidade (CVSS v1); (iv) engenharia de detecção com IDS de rede (Snort, Bro) e HIDS (OSSEC) (ROESCH, 1999; PAXSON, 1999; CID, 2005); e (v) validação experimental por simulação adversarial controlada usando Nmap, Nessus e Metasploit (LYON, 1997; DERAISON, 2002; MOORE, 2004).

Nossas contribuições principais são: a) uma formalização operacional da superfície de ataque $S$ adequada ao cenário de 2006, que relaciona exposição de serviços, severidade de falhas e valor de ativos; b) um procedimento sistemático de instrumentação de perímetro e de hosts com regras específicas de detecção, correlações e endurecimento; c) uma avaliação experimental reproduzível em laboratório que quantifica reduções de $S$, melhorias de tempo de detecção e taxas de alerta, com estudos de caso envolvendo vetores historicamente relevantes.

  1. Fundamentos e Trabalhos Relacionados

A literatura de detecção de intrusões amadureceu substancialmente no final dos anos 1990, com taxonomias e avaliações críticas de arquiteturas e limites (DEBAR; DACIER; WESPI, 1999; AXELSSON, 2000). Ptacek e Newsham demonstraram possibilidades de evasão de IDS baseados em rede por manipulação de fragmentação e anomalias de protocolo, reforçando a necessidade de inspeção robusta e reassembly consistente (PTACEK; NEWSHAM, 1998). Em paralelo, Paxson projetou o Bro (atual Zeek), orientado à análise de alto nível de protocolos e eventos (PAXSON, 1999), enquanto Roesch apresentou o Snort como IDS de rede leve, baseado em assinaturas e com linguagem de regras extensível (ROESCH, 1999).

No que concerne à modelagem de ameaças, as árvores de ataque (SCHNEIER, 1999) fornecem decomposição hierárquica de objetivos adversários, enquanto grafos de ataque formalizam a conectividade entre estados do sistema e pré-condições de exploração (PHILLIPS; SWILER, 1998; SHEYNER et al., 2002). Na análise de incidentes, Howard e Longstaff propuseram uma linguagem comum e um ciclo de vida de ataques, articulando atributos e fases recorrentes (HOWARD; LONGSTAFF, 1998). Para aplicações web, a injeção de SQL foi sistematizada e classificada com contramedidas por Halfond, Viegas e Orso (2006), e o OWASP consolidou riscos prevalentes em seu Top Ten 2004 (OWASP, 2004).

A segurança de redes perimetrais repousa também em fundações de protocolos e criptografia: problemas de projeto do TCP/IP foram documentados por Bellovin (1989), enquanto padrões criptográficos como RSA (RIVEST; SHAMIR; ADLEMAN, 1978) e AES (FIPS-197, 2001) sustentaram a consolidação de VPNs IPsec (KENT; ATKINSON, 1998) e TLS (RFC 2246, 1999). Na operação e forense, ferramentas como Tripwire (KIM; SPAFFORD, 1994), EnCase (GUIDANCE, 2003), FTK (ACCESSDATA, 2003) e literatura especializada (CARRIER, 2005; FARMER; VENEMA, 2005) facilitaram detecção de alterações e resposta a incidentes.

No tocante a SIEMs, soluções comerciais como ArcSight ESM já ofereciam, em 2002, correlação de eventos e gerenciamento de alertas em larga escala (ARCSIGHT, 2002), enquanto o ecossistema open source evoluiu com OSSIM (KARG et al., 2004). A experiência devastadora com worms acelerou estudos de propagação e contenção (STANIFORD; PAXSON; WEAVER, 2002; MOORE et al., 2003; CERT/CC, 2003a; CERT/CC, 2003b), destacando a importância de contenções reativas (ACLs, filtros temporários) e de correções rápidas (MS03-026, MS04-011).

Nossa metodologia sintetiza esses fundamentos e os aplica a um ambiente representativo de 2006, preenchendo a lacuna entre tratamentos formalizados de caminhos de ataque e práticas de instrumentação e correlação no perímetro.

  1. Modelo de Ameaças e Formalização do Problema

Consideramos um ambiente corporativo $E$ com zonas de segurança $Z = {\text{Internet}, \text{DMZ}, \text{Intranet}, \text{Admin}}$ e um conjunto de hosts $H$, serviços $Srv$, vulnerabilidades $V$ e relações de confiança/alcance representadas por um grafo dirigido $G=(N,A)$, no qual $N = H \cup Z$ e $A$ modela conectividade efetiva (após políticas de firewall e ACLs).

Definimos a superfície de ataque como função das seguintes variáveis:

Formalizamos a superfície de ataque total como: $$ S = \sum_{h \in H} \alpha(h) \cdot \sum_{v \in V_h} e(v,h) \cdot b(v) \cdot \left(1 + \sum_{s \in Srv_h} \lambda , p(s)\right), $$ onde $V_h$ e $Srv_h$ são, respectivamente, vulnerabilidades e serviços de $h$, e $\lambda \ge 0$ calibra o peso de serviços privilegiados (por exemplo, RPC/135, SMB/445, SQL/1433). Observamos que $e(v,h)$ depende das regras de firewall e de publicação de serviços, logo controles de perímetro alteram $S$ ao reduzir caminhos exploráveis.

Representamos caminhos de ataque por um grafo de estados $G_A=(X,E_A)$, no qual cada estado $x \in X$ codifica um subconjunto de pré-condições satisfeitas (por exemplo, “acesso à porta 1433/UDP no host $h$” e “versão vulnerável do SQL Server em $h$”), e cada aresta $x \to x’$ representa a exploração de $v$ que adiciona capacidades ao adversário. A probabilidade de sucesso em um caminho $\pi$ é modelada por $P(\pi) = \prod_{e \in \pi} q(e)$, com $q(e) \in [0,1]$ estimado por evidência empírica e severidade.

Assumimos um adversário $A$ com capacidades compatíveis com 2006: varredura e fingerprinting (Nmap), exploração de vulnerabilidades conhecidas (Metasploit), ataques de injeção em aplicações web sem validação (OWASP, 2004), e uso de malware autorreplicante (STANIFORD; PAXSON; WEAVER, 2002). Os objetivos incluem: persistência em hosts críticos, exfiltração de dados e movimentação lateral. O problema de defesa é selecionar um vetor de controles $x \in \mathcal{X}$ (regras de firewall, sensores, patches) que minimize a perda esperada: $$ \min_{x \in \mathcal{X}} ; \mathbb{E}[L \mid x] = \sum_{\pi \in \Pi(G_A(x))} P(\pi \mid x) \cdot C(\pi), $$ sujeito a restrições de disponibilidade $A(x) \ge A_0$ e desempenho $D(x) \ge D_0$. A redução de $P(\pi)$ advém de cortes de arestas (filtragem), diminuição de $q(e)$ (patching/mitigações) e aumento da detecção oportuna (interrupção antes do terminal).

Definimos métricas operacionais:

  1. Metodologia Proposta

Nossa metodologia compreende cinco fases iterativas, cada qual com insumos formais e artefatos práticos.

Fase 1 — Descoberta e Inventário:

Exemplo de comando:

nmap -sS -sV -O -p 135,139,445,80,1433,1434,21,22,25,110,443 10.0.0.0/24
nmap -sU -p 1434 --version-all 10.0.10.5

Fase 2 — Avaliação de Vulnerabilidades:

Fase 3 — Endurecimento e Políticas de Perímetro:

Exemplo de iptables para bloquear UDP/1434 e restringir RPC:

iptables -A INPUT -p udp --dport 1434 -j DROP
iptables -A INPUT -p tcp --dport 135 -s 10.0.0.0/16 -j ACCEPT
iptables -A INPUT -p tcp --dport 135 -j DROP
iptables -A INPUT -p tcp -m multiport --dports 139,445 -s 10.0.0.0/16 -j ACCEPT
iptables -A INPUT -p tcp -m multiport --dports 139,445 -j DROP

Fase 4 — Telemetria e Detecção:

Exemplo de regra Snort para tentativa de download do Blaster via TFTP:

alert udp any any -> any 69 (msg:"TFTP GET msblast.exe"; content:"|00|msblast.exe|00|"; classtype:trojan-activity; sid:1000001; rev:1;)

Exemplo de regra OSSEC para detecção de falha repetida de autenticação SSH:

<rule id="100100" level="7">
  <if_matched_sid>5710</if_matched_sid>
  <frequency>6</frequency>
  <timeframe>120</timeframe>
  <description>Brute force SSH detectado</description>
  <group>authentication_failures,syslog,</group>
</rule>

Fase 5 — Simulação Adversária e Validação:

  1. Implementação

Construímos um laboratório que replica uma topologia corporativa típica de 2006:

Virtualização com VMware Workstation 5.5 e hosts físicos dedicados para o firewall e o roteamento de perímetro. No total, 18 nós, 6 sub-redes, 1 DMZ, 2 uplinks WAN simulados e 1 enlace de VPN IPsec entre um escritório remoto e a sede.

Inventário sintetizado:

A coleta de logs utilizou syslog-ng com filtros granulares por facility/severity e normalização básica. O OSSIM agregou eventos de NIDS, HIDS, firewall e sistema operacional. Desenvolvemos correlações simples, por exemplo: “alerta Snort de tentativa Slammer” AND “pico de tráfego UDP/1434” AND “log de SQL Server” em janela de 60 segundos resulta em incidente de prioridade alta.

  1. Avaliação Experimental

Desenhamos experimentos em três classes de ataque: (i) exploração de serviços de sistema Windows (DCOM/RPC e LSASS); (ii) exploração de serviços de banco de dados (Slammer/UDP/1434 e SQL injection); e (iii) movimentação lateral via compartilhamentos SMB e brute force de senhas.

Cenário A — MS03-026 (DCOM/RPC):

Cenário B — MS04-011 (LSASS):

Cenário C — Slammer (UDP/1434) e SQL injection:

Cenário D — Movimentação lateral e brute force:

Síntese de métricas agregadas:

Tabela 1 — Comparação de IDS usados

IDS Tipo Vantagens Limitações (2006)
Snort (ROESCH, 1999) NIDS baseado em assinaturas Ampla base de regras, leve, extensível Evasão por fragmentação, sensível a tuning (PTACEK; NEWSHAM, 1998)
Bro (PAXSON, 1999) NIDS com análise de protocolos Detecção por políticas, logs ricos Curva de aprendizado; necessidade de scripts
OSSEC (CID, 2005) HIDS (logs, integridade) Visibilidade de host, rootkit, GPG-signed Cobertura limitada de tráfego, tuning de regras

Tabela 2 — Características de worms relevantes

Worm Ano Vetor Porta Efeito Primário
Slammer (MOORE et al., 2003; CERT/CC, 2003a) 2003 Buffer overflow SQL SSRP UDP/1434 DDoS de banda, propagação em segundos
Blaster (CERT/CC, 2003b) 2003 RPC DCOM (MS03-026) TCP/135 + TFTP/69 Execução remota, TFTP de payload
Sasser (MS, 2004) 2004 LSASS (MS04-011) TCP/445 Crash/reboot, propagação em LANs
  1. Estudo de Caso

Cenário realista: uma filial se conecta via VPN IPsec à matriz. Um servidor IIS 6.0 na DMZ hospeda um aplicativo de atendimento; um SQL Server 2000 armazena dados internos; estações XP SP1 coexistem com XP SP2. O firewall de perímetro permite 80/443 para a DMZ e 25/110 para o servidor de e-mail. Políticas internas permitem 445/TCP entre sub-redes legadas.

Sequência do incidente:

  1. Um intruso externo realiza varredura Nmap, identifica IIS 6.0 com cabeçalhos e um formulário de login vulnerável a injeção de SQL.
  2. Após exploração de SQL injection, obtém credenciais fracas de um serviço interno.
  3. Conecta-se por VPN de cliente desprotegida (senhas fracas em PPTP antigo) a um segmento interno legado e explora uma estação XP SP1 via MS03-026, obtendo shell remoto.
  4. Tenta movimento lateral por SMB a um servidor de arquivos e varre 445/TCP.

Nossa instrumentação:

Resultado: não houve exfiltração confirmada; superfície de ataque remanescente reduzida por despublicação de serviços desnecessários e reforço de ACLs. O ciclo completo de identificação, contenção e mitigação foi executado sem indisponibilidade material do serviço DMZ.

  1. Discussão

Observamos que a maior parcela de $S$ residia em exposições indevidas de serviços de sistema (RPC/SMB) e em softwares desatualizados. A modelagem via grafos de ataque ajudou a priorizar controles que efetivamente “cortam” caminhos de alto valor, reduzindo $P(\pi)$. Em particular, bloqueios de 135/445/TCP em segmentos não administrativos e filtragem de 1434/UDP na borda eliminaram precondições críticas para classes de exploração historicamente prevalentes. Ao mesmo tempo, controles em aplicações — sanitização de entradas e uso de parâmetros preparados — reduziram a probabilidade de sucesso de injeções de SQL (HALFOND; VIEGAS; ORSO, 2006; OWASP, 2004).

A engenharia de detecção beneficiou-se da complementaridade entre NIDS e HIDS. Enquanto Snort e Bro forneceram visão horizontal do tráfego, OSSEC possibilitou correlação local de eventos e integridade de arquivos. SIEM (OSSIM/ArcSight) reduziu $MTTD$ por consolidação de sinais fracos em narrativas coerentes de ataque, aproximando a detecção do nível de campanha. Embora taxas de $FPR \approx 0{,}08$ imponham custos operacionais, ajustes incrementais (refinamento de regras e supressões baseadas em contexto) mostraram ser suficientes para evitar fadiga de alertas.

Limitações incluem: (i) suscetibilidade de NIDS a técnicas de evasão (PTACEK; NEWSHAM, 1998); (ii) dependência de cobertura de logs e relógios sincronizados (NTP) para correlação temporal confiável; (iii) desafio de manter assinaturas atualizadas e tuning contínuo; (iv) custos de oportunidade da aplicação de patches emergenciais, em especial para sistemas legados. Ainda, detectores baseados apenas em assinaturas apresentam sensibilidade limitada a variantes inéditas, ressaltando o papel de regras comportamentais (por exemplo, picos anômalos em 1434/UDP) e contenções por política.

A formalização de $S$ e o uso de $G_A$ mostraram-se úteis para justificar tecnicamente decisões de governança de risco, associando ganhos de segurança a mudanças concretas de configuração. As métricas $MTTD$ e $MTTR$ destacaram gargalos operacionais (por exemplo, janelas de aprovação de ACLs), orientando melhorias processuais.

  1. Considerações Finais

Apresentamos uma abordagem integrada e aderente ao estado da arte de 2006 para modelagem operacional de ameaças e defesa em redes corporativas perimetrais. Combinando STRIDE, grafos/árvores de ataque e uma mensuração explícita de superfície de ataque com instrumentação tradicional (Snort, Bro, OSSEC, firewalls e ACLs), demonstramos reduções significativas de risco e melhoria na detecção e resposta. A avaliação experimental e o estudo de caso indicam que cortes judiciais de exposição, correção seletiva, correlação de eventos e exercícios adversariais controlados compõem um ciclo eficaz de proteção.

Como desdobramentos imediatos, destacamos: (i) ampliar a cobertura de sensores em pontos de estrangulamento e servidores críticos; (ii) consolidar uma base de assinaturas e políticas de correlação específicas ao ambiente; (iii) institucionalizar janelas de manutenção para correção rápida em função de priorização por $S$ e $G_A$; (iv) intensificar testes de penetração periódicos com base em cenários históricos (Slammer, Blaster, Sasser) e vetores web clássicos. Essa agenda pragmática, aliada à disciplina de engenharia e mensuração de risco, sustenta a resiliência operacional das redes corporativas no cenário de ameaças vigente em 2006.

  1. Apêndice A — Exemplos de Configuração

Exemplo de regra Snort para tentativa de exploração LSASS:

alert tcp any any -> $HOME_NET 445 (msg:"EXPLOIT LSASS attempt"; flow:to_server,established; content:"|90 90 90 90|"; depth:256; reference:url,www.microsoft.com/technet/security/bulletin/MS04-011.mspx; classtype:attempted-admin; sid:1000002; rev:1;)

Exemplo de syslog-ng para roteamento por facility:

source s_net { udp(ip(0.0.0.0) port(514)); };
destination d_ossim { udp("10.0.1.20" port(4001)); };
filter f_auth { facility(auth, authpriv); };
log { source(s_net); filter(f_auth); destination(d_ossim); };

Exemplo de política Tripwire para diretórios críticos em Linux: /etc/tripwire/twpol.txt (trecho)

(
  rulename = "Arquivos de sistema críticos",
  severity = 100
)
{
  /bin          -> $(SEC_CRIT) ;
  /sbin         -> $(SEC_CRIT) ;
  /etc          -> $(SEC_CRIT) ;
  /usr/bin      -> $(SEC_CRIT) ;
  /usr/sbin     -> $(SEC_CRIT) ;
}
  1. Apêndice B — Mapeamento STRIDE e Controles

Tabela 3 — Exemplo de mapeamento STRIDE para controles clássicos

Categoria STRIDE Exemplo de ameaça Controles sugeridos (2006)
Spoofing Falsificação de IP/TCP Filtragem ingress/egress, RFC 2827, correção de pilha TCP, logs Bro (BELLOVIN, 1989)
Tampering Alteração de binários Tripwire, assinaturas digitais, permissões e ACLs
Repudiation Negação de ações Logs assinados, sincronização NTP, HIDS OSSEC
Information Disclosure Vazamento via SQLi Validação de entrada, prepared statements, ACLs de DB
Denial of Service Slammer, SYN flood Filtragem 1434/UDP, SYN cookies, rate limiting
Elevation of Privilege MS03-026, MS04-011 Patches, segmentação, Snort/Bro, GPO restringindo serviços
  1. Referências

ACCESSDATA. Forensic Toolkit (FTK) Product Overview. Lindon: AccessData, 2003. Disponível em: https://www.accessdata.com/.

ADAMS, Carlisle; LLOYD, Steve. Understanding PKI: Concepts, Standards, and Deployment Considerations. 2. ed. Boston: Addison-Wesley, 2003. Disponível em: https://dl.acm.org/doi/10.5555/861615.

ARCSIGHT. ArcSight ESM: Enterprise Security Manager — Technical Whitepaper. Cupertino: ArcSight, 2002. Disponível em: https://www.microfocus.com/documentation/arcsight/.

AXELSSON, Stefan. Intrusion Detection Systems: A Survey and Taxonomy. Göteborg: Chalmers University of Technology, 2000. Disponível em: https://citeseerx.ist.psu.edu/document?repid=rep1&type=pdf&doi=8d17e8a2bb0d6b8dd2d1e2c2a1a8f7a507e7d4b1.

BALABIT. syslog-ng Administrator Guide. Budapeste: BalaBit IT Security, 2001. Disponível em: https://www.balabit.com/network-security/syslog-ng.

BELLOVIN, Steven M. Security Problems in the TCP/IP Protocol Suite. ACM Computer Communications Review, v. 19, n. 2, p. 32–48, 1989. Disponível em: https://www.cs.columbia.edu/~smb/papers/ipext.pdf.

CARRIER, Brian. File System Forensic Analysis. Upper Saddle River: Addison-Wesley, 2005. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/file-system-forensic-analysis/P200000009072.

CERT/CC. CA-2003-04: MS-SQL Server Worm (Sapphire/Slammer). Pittsburgh: Carnegie Mellon University, 2003a. Disponível em: https://www.cert.org/historical/advisories/CA-2003-04.cfm.

CERT/CC. CA-2003-20: W32/Blaster Worm. Pittsburgh: Carnegie Mellon University, 2003b. Disponível em: https://www.cert.org/historical/advisories/CA-2003-20.cfm.

CHAPMAN, Brent; ZWICKY, Elizabeth D. Building Internet Firewalls. 2. ed. Sebastopol: O’Reilly, 2000. Disponível em: https://www.oreilly.com/library/view/building-internet-firewalls/1565928717/.

CHESWICK, William R.; BELLOVIN, Steven M.; RUBIN, Aviel D. Firewalls and Internet Security: Repelling the Wily Hacker. 2. ed. Boston: Addison-Wesley, 2003. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/firewalls-and-internet-security-repelling-the-wily-hacker/P200000002264.

CID, Daniel B. OSSEC HIDS — Host-based Intrusion Detection. 2005. Disponível em: https://www.ossec.net/.

DEBAR, Hervé; DACIER, Marc; WESPI, Andreas. A Taxonomy of Intrusion-Detection Systems. Computer Networks, v. 31, n. 8, p. 805–822, 1999. Disponível em: https://www.sciencedirect.com/science/article/pii/S1389128698000171.

DERAISON, Renaud. NASL — Nessus Attack Scripting Language Reference Guide. Tenable Network Security, 2002. Disponível em: https://www.tenable.com/products/nessus.

FARMER, Dan; VENEMA, Wietse. Forensic Discovery. Boston: Addison-Wesley, 2005. Disponível em: https://www.porcupine.org/forensics/.

FIRST. Common Vulnerability Scoring System (CVSS) v1 — Specification. Forest Hill: FIRST, 2005. Disponível em: https://www.first.org/cvss/v1/.

FIPS-197. Advanced Encryption Standard (AES). Gaithersburg: NIST, 2001. Disponível em: https://csrc.nist.gov/publications/detail/fips/197/final.

GUIDANCE SOFTWARE. EnCase Forensic — Product Overview. Pasadena: Guidance Software, 2003. Disponível em: https://www.guidancesoftware.com/.

HALFOND, William G. J.; VIEGAS, Jeremy; ORSO, Alessandro. A Classification of SQL-Injection Attacks and Countermeasures. In: PROCEEDINGS OF THE IEEE INTERNATIONAL SYMPOSIUM ON SECURE SOFTWARE ENGINEERING (ISSSE). Arlington, 2006. Disponível em: https://www.cc.gatech.edu/~orso/papers/halfond.viegas.orso.ISSSE06.pdf.

HOWARD, John. An Analysis of Security Incidents on the Internet 1989–1995. Ph.D. Thesis. Pittsburgh: Carnegie Mellon University, 1997. Disponível em: https://www.cert.org/research/JHThesis/.

HOWARD, John D.; LONGSTAFF, Thomas A. A Common Language for Computer Security Incidents. Albuquerque: Sandia National Laboratories, SAND98-8667, 1998. Disponível em: https://prod-ng.sandia.gov/techlib-noauth/access-control.cgi/1998/988667.pdf.

KARG, Dominique; et al. OSSIM — Open Source Security Information Management. 2004. Disponível em: https://ossim.org/.

KENT, Stephen; ATKINSON, Randall. RFC 2401 — Security Architecture for the Internet Protocol. IETF, 1998. Disponível em: https://www.rfc-editor.org/rfc/rfc2401.

KIM, Gene H.; SPAFFORD, Eugene H. The Design and Implementation of Tripwire: A File System Integrity Checker. Purdue University Technical Report CSD-TR-93-071, 1994. Disponível em: https://spaf.cerias.purdue.edu/tech-reps/93-071.pdf.

LYON, Gordon (Fyodor). Nmap: The Art of Port Scanning. Phrack Magazine, v. 7, n. 51, 1997. Disponível em: https://nmap.org/p51-11.html.

MICROSOFT. MS03-026 — Buffer Overrun In RPC Interface Could Allow Code Execution. Redmond: Microsoft, 2003. Disponível em: https://docs.microsoft.com/en-us/security-updates/securitybulletins/2003/ms03-026.

MICROSOFT. MS04-011 — Security Update for Microsoft Windows. Redmond: Microsoft, 2004. Disponível em: https://docs.microsoft.com/en-us/security-updates/securitybulletins/2004/ms04-011.

MOORE, David; PAXSON, Vern; SAVAGE, Stefan; SHANNON, Colleen; STANIFORD, Stuart; WEAVER, Nicholas. The Spread of the Sapphire/Slammer Worm. CAIDA Report, 2003. Disponível em: https://www.caida.org/publications/papers/2003/sapphire/sapphire.html.

MOORE, H. D. The Metasploit Framework. 2004. Disponível em: https://www.metasploit.com/.

OWASP. The OWASP Top Ten — 2004. 2004. Disponível em: https://owasp.org/www-project-top-ten/2004/.

PAXSON, Vern. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Disponível em: https://www.icir.org/vern/papers/bro-CN99.pdf.

PHILLIPS, Cynthia; SWILER, Laura. A Graph-Based System for Network-Vulnerability Analysis. In: PROCEEDINGS OF THE 1998 NEW SECURITY PARADIGMS WORKSHOP (NSPW). Charlottesville, 1998. Disponível em: https://dl.acm.org/doi/10.1145/310889.310919.

PTACEK, Thomas H.; NEWSHAM, Timothy N. Insertion, Evasion, and Denial of Service: Eluding Network Intrusion Detection. Secure Networks, 1998. Disponível em: https://insecure.org/stf/secnet_ids/secnet_ids.html.

RFC 2246. The TLS Protocol Version 1.0. IETF, 1999. Disponível em: https://www.rfc-editor.org/rfc/rfc2246.

RIVEST, Ronald L.; SHAMIR, Adi; ADLEMAN, Leonard. A Method for Obtaining Digital Signatures and Public-Key Cryptosystems. Communications of the ACM, v. 21, n. 2, p. 120–126, 1978. Disponível em: https://dl.acm.org/doi/10.1145/359340.359342.

ROESCH, Martin. Snort: Lightweight Intrusion Detection for Networks. In: PROCEEDINGS OF THE 13TH USENIX SYSTEMS ADMINISTRATION CONFERENCE (LISA ’99). Seattle, 1999. Disponível em: https://www.snort.org/documents/snort-white-paper.

SCHNEIER, Bruce. Attack Trees. Dr. Dobb’s Journal, v. 24, n. 12, p. 21–29, 1999. Disponível em: https://www.schneier.com/academic/archives/1999/12/attack_trees.html.

SPITZNER, Lance. Honeypots: Tracking Hackers. Boston: Addison-Wesley, 2002. Disponível em: https://www.symantec.com/connect/articles/honeypots-tracking-hackers.

STANIFORD, Stuart; PAXSON, Vern; WEAVER, Nicholas. How to Own the Internet in Your Spare Time. In: PROCEEDINGS OF THE 11TH USENIX SECURITY SYMPOSIUM. San Francisco, 2002. Disponível em: https://dl.acm.org/doi/10.5555/647253.720293.

TRAFCOM. iptables — The Linux Netfilter/Iptables Project Documentation. 2001. Disponível em: https://www.netfilter.org/documentation/.

OPENBSD PROJECT. PF: The OpenBSD Packet Filter. 2001. Disponível em: https://www.openbsd.org/faq/pf/.

ADICIONAL:

Observação: Todas as obras citadas estão datadas até 2006 e apresentam links clicáveis às fontes originais ou páginas oficiais dos projetos, aderindo às normas ABNT no estilo autor-data no corpo do texto.