Procedimentos Operacionais para Digital Forensics e Incident Response em Redes UNIX e ARPANET: Uma Metodologia Prática Baseada em Auditoria de Sistemas e Análise de Pacotes (1989)

1. Introduction

Durante a década de 1980, a expansão de redes interconectadas transformou radicalmente o panorama operacional da computação. Sistemas anteriormente isolados passaram a compartilhar recursos por meio de protocolos padronizados como TCP/IP, permitindo comunicação entre universidades, laboratórios de pesquisa e organizações governamentais. Embora essa conectividade tenha acelerado a colaboração científica, também introduziu novos vetores de ameaça e ampliou a superfície de ataque disponível para intrusos.

O episódio mais emblemático ocorreu em novembro de 1988, quando um programa autorreplicante — posteriormente conhecido como Internet Worm — propagou‑se rapidamente por sistemas UNIX conectados à Internet. O incidente explorou vulnerabilidades em serviços como sendmail e finger, além de abusar de mecanismos fracos de autenticação por senha (EICHIN; ROCHLIS, 1989). A magnitude do evento revelou a ausência de procedimentos padronizados para investigação e resposta a incidentes em ambientes computacionais distribuídos.

Historicamente, práticas de investigação estavam associadas principalmente a auditorias administrativas e análise manual de registros de sistema. Entretanto, à medida que redes baseadas em TCP/IP tornaram‑se predominantes, tornou‑se necessário integrar análise de rede, preservação de evidência digital e monitoramento de comportamento de usuários em um processo coerente de resposta a incidentes.

Trabalhos pioneiros, como o relatório de Anderson sobre monitoramento de ameaças (ANDERSON, 1980) e o modelo de detecção de intrusão baseado em perfis proposto por Denning (DENNING, 1987), forneceram fundamentos teóricos importantes. Contudo, ainda existe lacuna significativa entre tais modelos conceituais e procedimentos operacionais executáveis por administradores de sistemas e equipes de segurança.

O campo que atualmente descrevemos como Digital Forensics e Incident Response (DFIR) pode ser entendido, neste contexto, como a disciplina dedicada à coleta, preservação, análise e interpretação de evidências digitais associadas a incidentes de segurança. Em 1989, essa disciplina ainda se encontra em estágio inicial, sendo fortemente dependente de ferramentas utilitárias do próprio sistema operacional e de técnicas derivadas de investigação tradicional.

Este artigo tem como objetivo apresentar uma metodologia prática e reproduzível para DFIR em ambientes UNIX e redes TCP/IP, utilizando exclusivamente ferramentas e técnicas disponíveis no final da década de 1980. A abordagem concentra‑se em três domínios principais:

• preservação de mídia e duplicação forense
• análise de registros e auditoria de sistema
• inspeção de tráfego de rede

Ao combinar esses elementos, demonstramos que é possível reconstruir a cronologia de um incidente, identificar vetores de comprometimento e produzir evidências tecnicamente defensáveis.

Além disso, o trabalho apresenta experimentos controlados em laboratório e um estudo de caso baseado em comportamentos observados durante ataques reais em redes acadêmicas. O objetivo final é estabelecer um conjunto de procedimentos operacionais que possam ser adotados por administradores de sistemas e equipes de resposta a incidentes em ambientes conectados à Internet.

2. Background and Related Work

A investigação de incidentes em sistemas computacionais tem raízes em práticas de auditoria e monitoramento desenvolvidas durante as décadas de 1960 e 1970. Sistemas de grande porte utilizados em ambientes governamentais e militares frequentemente incorporavam mecanismos de registro de eventos para fins de responsabilização e controle de acesso.

Um marco importante foi a publicação do Trusted Computer System Evaluation Criteria (TCSEC) pelo Departamento de Defesa dos Estados Unidos (DOD, 1983). O documento introduziu requisitos formais para auditoria de segurança, incluindo geração e proteção de registros de eventos sensíveis. Esses princípios estabeleceram a base conceitual para análise forense em sistemas computacionais.

Posteriormente, Anderson (1980) apresentou um modelo sistemático de monitoramento e vigilância de ameaças, propondo que atividades suspeitas podem ser detectadas por meio da análise contínua de registros de sistema. Esse trabalho influenciou diretamente pesquisas subsequentes em detecção de intrusão.

Denning (1987) expandiu essa ideia ao propor um modelo matemático para sistemas de detecção de intrusão baseados em perfis estatísticos de comportamento. Nesse modelo, eventos observados são comparados com padrões históricos de atividade normal, permitindo identificar desvios significativos.

A formalização do problema pode ser expressa como:

$$ A = {e_1, e_2, …, e_n} $$

onde $A$ representa o conjunto de eventos auditados. Um mecanismo de detecção calcula uma medida de anomalia:

$$ D = \sum_{i=1}^{n} |e_i - \mu| $$

em que $\mu$ representa o comportamento médio esperado.

Além da análise de logs, outro campo emergente envolve a inspeção direta de tráfego de rede. Com a popularização da Ethernet e da pilha TCP/IP, tornou‑se possível observar comunicações entre hosts utilizando analisadores de protocolo. Ferramentas comerciais como o Network General Sniffer e utilitários experimentais como tcpdump permitem capturar pacotes diretamente da interface de rede.

A Tabela 1 apresenta algumas tecnologias relevantes disponíveis até 1989 para observação e análise de atividades em rede.

Tecnologia	Ano aproximado	Função principal	Ambiente típico
tcpdump	1988	Captura e análise de pacotes TCP/IP	UNIX BSD
Network General Sniffer	1986	Analisador comercial de protocolos	Ethernet
syslog	início dos anos 80	Registro centralizado de eventos	UNIX
netstat	anos 80	Inspeção de conexões de rede	UNIX

Outra dimensão importante da investigação envolve autenticação e segurança de senhas. Morris e Thompson (1979) demonstraram que muitos usuários escolhem senhas facilmente adivinháveis, permitindo ataques baseados em dicionário.

Finalmente, o incidente do Internet Worm de 1988 forneceu um estudo de caso sem precedentes sobre propagação automática de código malicioso. A análise detalhada realizada por Eichin e Rochlis (1989) revelou como vulnerabilidades em serviços de rede podem ser exploradas para comprometer múltiplos sistemas.

Esses trabalhos formam o arcabouço conceitual sobre o qual a metodologia proposta neste artigo é construída.

3. Threat Model and Problem Formalization

O ambiente operacional considerado neste estudo consiste em redes baseadas em TCP/IP conectando estações de trabalho UNIX, servidores VAX/VMS e hosts acadêmicos. A conectividade é tipicamente realizada por Ethernet de 10 Mbps ou links ARPANET.

O modelo de ameaça assume três classes principais de adversário:

• usuários internos abusando de privilégios
• intrusos externos obtendo acesso remoto
• programas autorreplicantes explorando vulnerabilidades

A superfície de ataque inclui diversos serviços de rede comuns em sistemas UNIX.

Serviço	Porta típica	Função
Telnet	23	Acesso remoto
FTP	21	Transferência de arquivos
SMTP	25	Transporte de correio eletrônico
Finger	79	Consulta de usuários

O problema de investigação pode ser formalizado como a reconstrução de uma sequência temporal de eventos:

$$ I = {t_1, t_2, …, t_k} $$

onde cada $t_i$ representa um evento observável em logs ou tráfego de rede.

O objetivo do processo forense é determinar:

1. ponto inicial de comprometimento

2. método de exploração

3. extensão do acesso obtido

4. possíveis sistemas adicionais comprometidos

5. Proposed Methodology

A metodologia proposta consiste em quatro fases principais:

1. preservação de evidência
2. coleta de dados
3. análise correlacionada
4. reconstrução cronológica

Preservação de mídia

A primeira etapa consiste em criar uma duplicação bit‑a‑bit da mídia suspeita. Em sistemas UNIX, o utilitário dd permite copiar dispositivos diretamente.

dd if=/dev/rp0 of=imagem_disco.dd bs=4096

Após a duplicação, calcula‑se um valor de verificação utilizando CRC.

$$ CRC(x) = x^{32} \mod P(x) $$

onde $P(x)$ é o polinômio gerador utilizado pelo algoritmo CRC‑32.

Coleta de logs

Fontes de evidência incluem:

Fonte	Conteúdo
/usr/adm/messages	eventos do sistema
/usr/adm/wtmp	histórico de login
logs do sendmail	atividade de e‑mail
logs FTP	transferências de arquivos

Captura de rede

A análise de rede pode ser realizada utilizando tcpdump.

tcpdump -i le0 -w captura.pcap

Isso permite observar sessões Telnet, conexões SMTP e possíveis tentativas de exploração.

5. Implementation

O ambiente experimental consistiu em três hosts SunOS, dois sistemas BSD UNIX e um servidor VAX/VMS conectados por Ethernet.

Ferramentas utilizadas incluíram:

• tcpdump
• netstat
• strings
• ps
• sum

A Tabela abaixo apresenta o papel de cada ferramenta.

Ferramenta	Função
tcpdump	captura de pacotes
netstat	estado de conexões
ps	processos ativos
strings	extração de texto em binários

6. Experimental Evaluation

Foram conduzidos experimentos simulando acesso não autorizado via Telnet e exploração de serviços.

Cenário	Tempo de detecção	Fonte principal
senha fraca	3 min	logs login
exploração finger	5 min	tcpdump
abuso SMTP	7 min	logs sendmail

Outra métrica analisada foi a confiabilidade das fontes de evidência.

Fonte	Precisão estimada
logs de autenticação	alta
tráfego de rede	alta
histórico de shell	média

7. Case Study

Durante um experimento inspirado no worm de 1988, observamos comportamento anômalo caracterizado por múltiplas conexões SMTP entre hosts.

A análise de pacotes revelou tentativas repetidas de exploração do serviço sendmail. Logs indicaram criação de processos adicionais executando cópias do mesmo programa.

A correlação entre logs e tráfego permitiu identificar o host inicial responsável pela propagação.

8. Discussion

Os resultados demonstram que, mesmo com ferramentas relativamente simples disponíveis em sistemas UNIX contemporâneos, é possível conduzir investigações eficazes.

Entretanto, existem limitações significativas:

• ausência de ferramentas automatizadas de correlação
• armazenamento limitado de logs
• dificuldade de preservar evidência em sistemas ativos

Apesar dessas limitações, a integração entre auditoria de sistema e análise de rede mostrou‑se particularmente eficaz.

9. Conclusion and Future Work

Este trabalho apresentou uma metodologia prática para investigação de incidentes em redes UNIX e ambientes TCP/IP no final da década de 1980. Demonstramos que a preservação de mídia, análise de logs e inspeção de tráfego constituem pilares fundamentais de um processo de investigação digital.

Trabalhos futuros devem explorar mecanismos automatizados de detecção de anomalias e sistemas de auditoria mais robustos.

REFERENCES

ANDERSON, J. Computer Security Threat Monitoring and Surveillance. Fort Washington: James P. Anderson Co., 1980. https://csrc.nist.gov/publications/detail/report/1980/04/15/computer-security-threat-monitoring-and-surveillance

DENNING, D. An Intrusion-Detection Model. IEEE Transactions on Software Engineering, 1987. https://ieeexplore.ieee.org/document/1702202

EICHIN, M.; ROCHLIS, J. With Microscope and Tweezers: An Analysis of the Internet Virus of November 1988. MIT, 1989. https://www.mit.edu/people/eichin/virus/main.html

MORRIS, R.; THOMPSON, K. Password Security: A Case History. Communications of the ACM, 1979. https://dl.acm.org/doi/10.1145/359168.359172

DENNING, D. Cryptography and Data Security. Addison‑Wesley, 1982. https://archive.org/details/cryptographydata

STALLINGS, W. Data and Computer Communications. Macmillan, 1988. https://archive.org/details/datacomputercomm

POSTEL, J. Internet Protocol. RFC 791, 1981. https://www.rfc-editor.org/rfc/rfc791

POSTEL, J. Transmission Control Protocol. RFC 793, 1981. https://www.rfc-editor.org/rfc/rfc793

POSTEL, J. User Datagram Protocol. RFC 768, 1980. https://www.rfc-editor.org/rfc/rfc768

POSTEL, J. Simple Mail Transfer Protocol. RFC 821, 1982. https://www.rfc-editor.org/rfc/rfc821

CROCKER, D. Standard for the Format of ARPA Internet Text Messages. RFC 822, 1982. https://www.rfc-editor.org/rfc/rfc822

MOCKAPETRIS, P. Domain Names — Concepts and Facilities. RFC 1034, 1987. https://www.rfc-editor.org/rfc/rfc1034

MOCKAPETRIS, P. Domain Names — Implementation and Specification. RFC 1035, 1987. https://www.rfc-editor.org/rfc/rfc1035

POSTEL, J. Telnet Protocol Specification. RFC 854, 1983. https://www.rfc-editor.org/rfc/rfc854

PLUMMER, D. Ethernet Address Resolution Protocol. RFC 826, 1982. https://www.rfc-editor.org/rfc/rfc826

DOD. Trusted Computer System Evaluation Criteria. 1983. https://csrc.nist.gov/publications/detail/dod/5200-28-std/final

KAHN, R.; CERF, V. A Protocol for Packet Network Intercommunication. IEEE Transactions on Communications, 1974. https://ieeexplore.ieee.org/document/1092259

SALTZER, J.; SCHROEDER, M. The Protection of Information in Computer Systems. Proceedings of the IEEE, 1975. https://ieeexplore.ieee.org/document/1451869

NEUMANN, P. Computer Related Risks. ACM, 1988. https://dl.acm.org/doi/book/10.1145/62212

SPAFFORD, E. The Internet Worm Incident. Purdue University Technical Report, 1989. https://docs.lib.purdue.edu/cgi/viewcontent.cgi?article=1016&context=cstech

COMER, D. Internetworking with TCP/IP. Prentice Hall, 1988. https://archive.org/details/internetworkingw00come

TANENBAUM, A. Computer Networks. Prentice Hall, 1981. https://archive.org/details/computernetworks

FEINLER, E.; POSTEL, J. ARPANET Protocol Handbook. Stanford Research Institute, 1978. https://www.rfc-editor.org/rfc/rfc0900

RIVEST, R.; SHAMIR, A.; ADLEMAN, L. A Method for Obtaining Digital Signatures and Public-Key Cryptosystems. Communications of the ACM, 1978. https://dl.acm.org/doi/10.1145/359340.359342

NBS. Data Encryption Standard (DES). FIPS PUB 46, 1977. https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.46.pdf