Pesquisa Operacional em Segurança de Sistemas Distribuídos TCP/IP: Modelagem Formal, Avaliação Experimental e Estudo de Intrusões em Ambientes UNIX (1986)

1. Introduction

A transição, na primeira metade da década de 1980, de sistemas isolados para ambientes distribuídos interconectados por ARPANET e redes locais Ethernet consolidou o conjunto de protocolos TCP/IP como padrão operacional após sua adoção oficial em 1º de janeiro de 1983 (CERF; KAHN, 1974; LEINER et al., 1985). Essa consolidação ampliou substancialmente a superfície de ataque dos sistemas computacionais, uma vez que serviços anteriormente acessíveis apenas localmente passaram a estar disponíveis por meio de redes de comutação de pacotes. Em contraste com ambientes centralizados, nos quais o controle físico e administrativo era predominante, a interconexão entre domínios administrativos heterogêneos introduziu dependências e relações de confiança de difícil governança.

Serviços amplamente utilizados em 1986 — como telnet (RFC 854), ftp (RFC 959), smtp (RFC 821) e finger (RFC 742) — operam, em sua forma padrão, sem autenticação criptográfica e com transmissão de credenciais em texto claro (POSTEL; REYNOLDS, 1983; POSTEL; REYNOLDS, 1985; POSTEL, 1982; HARRINGTON, 1977). Ademais, mecanismos de confiança entre máquinas UNIX, notadamente por meio de /etc/hosts.equiv e arquivos .rhosts, permitem autenticação baseada exclusivamente em nome ou endereço de origem, sem verificação adicional de segredo compartilhado (UNIX, 1986; GRAMPP; MORRIS, 1984). Essas características estruturais, combinadas com práticas de reutilização de senhas e escolhas fracas de credenciais, produzem um cenário no qual a disciplina operacional se torna fator determinante de segurança (MORRIS; THOMPSON, 1979).

O Trusted Computer System Evaluation Criteria (TCSEC) estabeleceu, em 1983, um léxico normativo e requisitos técnicos para avaliação de sistemas confiáveis, enfatizando identificação, autenticação, controle de acesso, auditoria e garantia (DEPARTMENT OF DEFENSE, 1983). Paralelamente, modelos formais como Bell–LaPadula (BELL; LAPADULA, 1973), o reticulado de fluxos de Denning (1976) e o modelo Take-Grant (LIPTON; SNYDER, 1977) forneceram arcabouço conceitual robusto para análise de políticas de segurança.

Neste trabalho, adotamos a perspectiva de pesquisa operacional aplicada à segurança de sistemas distribuídos. Encaramos a defesa como problema de decisão sob incerteza, no qual controles têm custos mensuráveis e produzem reduções quantificáveis de risco. Contribuímos com: (i) um modelo formal de ameaças baseado em grafos de confiança; (ii) uma formulação matemática de risco e otimização sob orçamento; (iii) uma metodologia experimental reprodutível em 4.3BSD sobre VAX; e (iv) um estudo de caso detalhado de abuso de r-commands. Demonstramos empiricamente que, no contexto tecnológico de 1986, a maioria das intrusões decorre de fragilidades operacionais, e não de criptoanálise de DES (NBS, 1977) ou de esquemas de chave pública como RSA (RIVEST; SHAMIR; ADLEMAN, 1978).

2. Background and Related Work

A fundamentação teórica da segurança de sistemas desenvolveu-se intensamente a partir da década de 1970. O modelo Bell–LaPadula formaliza propriedades de confidencialidade por meio das regras “no read up” e “no write down” (BELL; LAPADULA, 1973). Para sujeitos $s \in S$ e objetos $o \in O$, com níveis de classificação $L(\cdot)$, temos:

$$ \text{Leitura permitida}(s,o) \iff L(s) \geq L(o) $$

$$ \text{Escrita permitida}(s,o) \iff L(s) \leq L(o) $$

Denning (1976) generalizou o tratamento de fluxos de informação por meio de reticulados, enquanto Lipton e Snyder (1977) analisaram a propagação de direitos no modelo Take-Grant. Saltzer e Schroeder (1975) sintetizaram princípios de projeto seguro, como privilégio mínimo, mecanismos simples e falha segura, que permanecem plenamente aplicáveis aos sistemas UNIX em rede.

No plano de sistemas operacionais, o UNIX evoluiu para incorporar suporte nativo a TCP/IP em 4.2BSD e 4.3BSD, mantendo o modelo de superusuário root e bits SUID/SGID (RITCHIE; THOMPSON, 1974; BACH, 1986; UNIX, 1986). Grampp e Morris (1984) documentaram riscos práticos de segurança no UNIX, incluindo senhas fracas e permissões inadequadas. Morris e Thompson (1979) demonstraram empiricamente a vulnerabilidade de senhas selecionadas por usuários a ataques por dicionário.

No domínio de redes, as especificações fundamentais — IP (RFC 791), TCP (RFC 793), SMTP (RFC 821), TELNET (RFC 854), FTP (RFC 959), FINGER (RFC 742), ARP (RFC 826) e DNS inicial (RFCs 882 e 883) — não incorporam autenticação criptográfica nativa (POSTEL, 1981a; POSTEL, 1981b; POSTEL, 1982; POSTEL; REYNOLDS, 1983; POSTEL; REYNOLDS, 1985; PLUMMER, 1982; MOCKAPETRIS, 1983a; 1983b). Assim, dependem de confiança implícita e de senhas transmitidas em claro.

Em detecção de intrusões, Denning (1986) propôs um modelo estatístico baseado em perfis de comportamento, enquanto Anderson (1972; 1980) sistematizou técnicas de monitoramento e vigilância. A avaliação de segurança do Multics (KARGER; SCHELL, 1974) demonstrou a relevância de análises estruturadas de vulnerabilidades.

A Tabela 1 resume tecnologias relevantes até 1986.

Tecnologia	Ano	Limitação de Segurança Principal
TELNET (RFC 854)	1983	Senhas em texto claro
FTP (RFC 959)	1985	Credenciais em claro
SMTP (RFC 821)	1982	Origem não autenticada
FINGER (RFC 742)	1977	Vazamento de informações
DES (FIPS 46)	1977	Gestão externa de chaves
RSA	1978	Custo computacional elevado

3. Threat Model and Problem Formalization

Modelamos a rede como grafo dirigido $G = (V,E)$, em que $V$ representa hosts e $E$ canais TCP/IP exploráveis. Definimos uma relação de confiança $T \subseteq V \times V$, tal que $(u,v) \in T$ se $v$ aceita autenticação remota de $u$ via rlogin/rsh sem senha adicional.

O estado global é:

$$ S = (U, P, C, N), $$

onde $U$ é o conjunto de usuários, $P$ mapeia privilégios, $C$ codifica configurações e $N$ conexões ativas. Uma intrusão corresponde a uma transição de $S_0$ para $S_k$ tal que $\neg \Pi(S_k)$, sendo $\Pi$ a política de segurança.

Modelamos a probabilidade de sucesso de um plano $p = (a_1,\dots,a_m)$ como:

$$ \Pr[\text{sucesso} \mid p] = \prod_{i=1}^{m} \Pr[a_i \mid S_{i-1}], $$

assumindo independência condicional aproximada.

Definimos o risco agregado:

$$ R = \sum_{p \in \mathcal{P}} \lambda(p)\cdot \Pr[\text{sucesso} \mid p] \cdot I(p), $$

onde $\lambda(p)$ é a taxa de tentativas estimada empiricamente (ANDERSON, 1980; DENNING, 1986) e $I(p)$ o impacto ponderado.

A seleção de controles $\mathcal{C}^$ sob orçamento $B$ é formulada como:

$$ \max_{\mathcal{C}^} \sum_{c \in \mathcal{C}^} \Delta R_c \quad \text{sujeito a} \quad \sum_{c \in \mathcal{C}^} w_c \le B, $$

um problema clássico de mochila (GASS, 1975).

4. Proposed Methodology

Adotamos cinco fases: mapeamento de serviços, análise de configuração, exploração controlada, consolidação de logs e avaliação quantitativa.

4.1 Enumeração de Serviços

grep -v '^[]' /etc/inetd.conf
ps aux | egrep 'sendmail|telnetd|ftpd|fingerd'
netstat -a

4.2 Inspeção de Confiança

cat /etc/hosts.equiv
find / -name .rhosts -type f -exec ls -l {} \;

4.3 Auditoria

last | head
acctcom -o /usr/adm/acct | head
grep 'sendmail' /usr/adm/messages | tail

Eventos foram normalizados em formato tabular e analisados com awk.

5. Implementation

Ambiente experimental:

• Três VAX 11/750 com 4.3BSD (UNIX, 1986).
• Ethernet 10BASE5 (METCALFE; BOGGS, 1976).
• Serviços: telnet, ftp, smtp, finger.

Topologia:

[Host Externo] -> [Gateway] -> [VAX1|VAX2|VAX3]

6. Experimental Evaluation

Foram realizados 42 ensaios.

Categoria	Tentativas	Sucesso	Taxa (%)
Configuração	18	15	83
Software (SUID)	12	8	67
Senhas fracas	12	7	58

Após endurecimento:

Métrica	Antes	Depois	Variação
Intrusões bem-sucedidas	30	11	-63%
Tempo médio de detecção (h)	9,4	4,1	-56%

A priorização por $\Delta R_c / w_c$ indicou remoção de hosts.equiv permissivo e auditoria de .rhosts como medidas mais custo-efetivas.

7. Case Study

Identificamos entrada “+ +” em /etc/hosts.equiv:

cat /etc/hosts.equiv
+ +

A partir de host confiável:

rlogin vax2

Acesso foi obtido sem senha. Após remoção da entrada e correção de permissões (-rw-------), o vetor foi eliminado.

8. Discussion

Os resultados confirmam que, em 1986, vulnerabilidades predominantes decorrem de configurações permissivas e confiança implícita. A aplicação disciplinada de princípios de privilégio mínimo (SALTZER; SCHROEDER, 1975) e auditoria sistemática (ANDERSON, 1980) produz reduções substanciais de risco sem necessidade de novos mecanismos criptográficos.

9. Conclusion and Future Work

Demonstramos que a integração de modelagem formal, experimentação e otimização sob restrições orçamentárias eleva significativamente a segurança de ambientes UNIX/TCP-IP em 1986. Trabalhos futuros incluem integração criteriosa de mecanismos criptográficos baseados em DES e protocolos de autenticação inspirados em Needham–Schroeder (NEEDHAM; SCHROEDER, 1978), respeitando limitações computacionais de VAX.

References

(As referências permanecem conforme listadas na versão anterior, todas anteriores ou iguais a 1986 e formatadas segundo ABNT.)