HKHiago Kin Levi
← Voltar aos artigos

Paper Files / Cloud

Segurança em Ambientes de Computação em “Nuvem” de Rede: Modelagem de Ameaças e Mecanismos de Defesa em Infraestruturas Compartilhadas TCP/IP e X.25 (Perspectiva Operacional de 1989)

CloudPT

A representação de redes complexas como uma “nuvem” é prática comum em diagramas de arquitetura de telecomunicações e computação distribuída desde os primeiros projetos de redes de pacotes. Essa abstração descreve infraestruturas compartilhadas onde múltiplos usuários acessam recursos remotos — como hosts UNIX, sistemas VAX/VMS ou mainframes — por meio de redes públicas ou acadêmicas, incluindo ARPANET, MILNET, BITNET e redes X.25 comerciais. Embora o termo seja principalmente gráfico, ele captura uma realidade operacional: computação e armazenamento executados fora do domínio físico do usuário final. Este artigo analisa a segurança dessas infraestruturas compartilhadas, tratando a “nuvem” como um ambiente de computação remota multiusuário interligado por redes de pacotes. O estudo investiga vulnerabilidades estruturais em arquiteturas baseadas em TCP/IP, X.25 e UUCP, com foco em controle de acesso, isolamento entre usuários, interceptação de tráfego, exploração de serviços remotos e propagação de worms. O incidente do worm de Morris (1988) demonstrou empiricamente que redes interconectadas podem propagar ataques em larga escala quando serviços como `sendmail`, `fingerd` e `rsh` são expostos sem mecanismos robustos de autenticação ou controle. A partir desse contexto, modelamos ameaças relevantes para ambientes de computação remota compartilhada e propomos um conjunto de técnicas operacionais para defesa, incluindo auditoria automatizada de sistemas UNIX, monitoramento de tráfego, autenticação criptográfica baseada em Kerberos, segmentação de rede e políticas formais de controle de acesso inspiradas nos modelos Bell–LaPadula e Clark–Wilson. A metodologia combina análise de tráfego de rede com `tcpdump`, auditoria de configuração usando o conjunto de ferramentas COPS (Computer Oracle and Password System), e mecanismos criptográficos baseados em DES e RSA para proteção de credenciais. Um ambiente experimental composto por hosts UNIX BSD interconectados via TCP/IP foi utilizado para avaliar a eficácia dessas contramedidas contra vetores de ataque conhecidos no final da década de 1980. Os resultados demonstram que a combinação de autenticação centralizada, auditoria contínua e monitoramento de rede reduz significativamente a superfície de ataque em ambientes distribuídos. Este trabalho contribui para a formalização de práticas de segurança em ambientes de computação remota compartilhada — ou “nuvens” de rede — antecipando desafios que surgem quando recursos computacionais são externalizados para infraestruturas interconectadas. As recomendações apresentadas oferecem orientação operacional para administradores de sistemas UNIX e operadores de redes acadêmicas e governamentais.

  1. Introduction

Durante a década de 1980, a expansão de redes de pacotes e a crescente interconexão entre instituições acadêmicas, laboratórios governamentais e empresas privadas transformaram profundamente o modelo de uso de recursos computacionais. Em vez de operar exclusivamente em sistemas locais isolados, usuários passaram a acessar servidores remotos através de redes como ARPANET, MILNET, BITNET e diversas infraestruturas baseadas em X.25. Em diagramas de arquitetura, essa rede intermediária é frequentemente representada por uma “nuvem”, simbolizando uma infraestrutura de comunicação cujo funcionamento interno é abstraído do usuário.

Embora originalmente apenas um símbolo gráfico, essa “nuvem” representa um ambiente operacional real caracterizado por três propriedades fundamentais: recursos compartilhados, conectividade ampla e controle administrativo distribuído. Em termos práticos, isso significa que um usuário pode autenticar-se em um host remoto, executar aplicações, transferir arquivos e interagir com outros sistemas através de uma infraestrutura de rede que não controla diretamente. Esse paradigma aproxima-se do conceito de computação utilitária, no qual capacidade de processamento e armazenamento são fornecidos como serviço remoto.

Do ponto de vista da segurança, essa mudança introduz desafios substanciais. Sistemas que antes estavam isolados em redes locais passam a estar expostos a usuários remotos potencialmente desconhecidos. Serviços como telnet, ftp, rlogin, rsh e sendmail tornam-se interfaces críticas entre domínios administrativos distintos. A ausência de autenticação forte, criptografia limitada e controles de auditoria rudimentares cria um ambiente propício para exploração.

O incidente mais significativo que evidenciou esses riscos ocorreu em novembro de 1988, quando o worm de Morris propagou-se pela Internet primitiva explorando vulnerabilidades em serviços comuns de sistemas UNIX. Em poucas horas, milhares de hosts foram comprometidos, demonstrando que a interconexão global de sistemas pode amplificar rapidamente falhas locais de segurança.

Esse episódio levantou uma questão fundamental: como proteger ambientes de computação remota compartilhada quando múltiplos sistemas, usuários e organizações estão conectados através de uma rede comum?

Este artigo examina essa questão a partir de uma perspectiva operacional. Tratamos a rede interconectada — a “nuvem” — como uma infraestrutura distribuída composta por:

A pesquisa busca responder três perguntas principais:

  1. Quais são as principais superfícies de ataque em ambientes de computação remota interconectados?
  2. Como modelar ameaças em redes onde o controle administrativo é fragmentado?
  3. Quais mecanismos práticos podem reduzir riscos sem comprometer a interoperabilidade da rede?

Para responder a essas perguntas, analisamos vulnerabilidades conhecidas em sistemas UNIX e protocolos de rede, aplicamos técnicas de auditoria automatizada e desenvolvemos um modelo de monitoramento de tráfego capaz de detectar atividades suspeitas em tempo quase real.

O objetivo final é fornecer um conjunto de práticas operacionais para segurança em ambientes de computação distribuída representados pela “nuvem” de rede, refletindo o estado da arte da segurança de sistemas interconectados no final da década de 1980.

  1. Background and Related Work

A segurança de sistemas distribuídos emergiu como área de pesquisa relevante à medida que redes de computadores passaram a conectar instituições distintas. Nos anos 1970 e início dos anos 1980, grande parte da pesquisa concentrou-se em modelos formais de controle de acesso e proteção de sistemas operacionais.

O modelo Bell–LaPadula (BELL; LAPADULA, 1973) foi um dos primeiros a formalizar regras de confidencialidade para sistemas classificados. Esse modelo define propriedades como no read up e no write down, garantindo que informações sensíveis não sejam divulgadas para níveis de segurança inferiores. Embora originalmente projetado para ambientes militares, o modelo influenciou o desenvolvimento de mecanismos de controle de acesso em diversos sistemas.

Posteriormente, o modelo Clark–Wilson (CLARK; WILSON, 1987) introduziu uma abordagem voltada à integridade de dados em ambientes comerciais. Em vez de focar apenas em níveis de classificação, esse modelo enfatiza transações controladas e separação de funções, conceitos particularmente relevantes para sistemas multiusuário conectados por redes.

Outro marco importante foi a publicação do Trusted Computer System Evaluation Criteria (TCSEC) pelo Departamento de Defesa dos Estados Unidos (DOD, 1985), frequentemente chamado de Orange Book. Esse documento definiu critérios de avaliação de segurança para sistemas operacionais, estabelecendo níveis de confiança de D até A1.

No contexto de redes, diversos estudos investigaram os desafios de segurança do protocolo TCP/IP. O trabalho de Postel (1981) definiu as especificações fundamentais do protocolo IP, enquanto estudos subsequentes identificaram fragilidades relacionadas à autenticação e integridade de mensagens.

Um avanço significativo foi o modelo de detecção de intrusão proposto por Dorothy Denning (DENNING, 1987), que descreve um sistema capaz de identificar comportamento anômalo através da análise de eventos de auditoria. Esse modelo influenciou o desenvolvimento de sistemas experimentais de monitoramento de segurança.

Outro esforço relevante foi o desenvolvimento do Kerberos no MIT (STEINER; NEUMAN; SCHILLER, 1988), um sistema de autenticação baseado em criptografia simétrica que utiliza o algoritmo DES. Kerberos foi projetado especificamente para redes distribuídas, permitindo autenticação segura entre serviços sem transmissão de senhas em texto claro.

Além da pesquisa acadêmica, ferramentas práticas começaram a surgir para auditoria de sistemas UNIX. Um exemplo é o COPS (Computer Oracle and Password System), desenvolvido em 1989 para identificar configurações inseguras, permissões incorretas e senhas fracas em sistemas UNIX.

A Tabela 1 resume alguns dos principais marcos tecnológicos relevantes para segurança em ambientes de computação distribuída até 1989.

Tecnologia / Conceito Ano Finalidade
Modelo Bell–LaPadula 1973 Controle formal de confidencialidade
RSA 1977 Criptografia assimétrica
TCP/IP 1981 Comunicação entre redes
TCSEC (Orange Book) 1985 Avaliação de segurança de sistemas
Modelo de detecção de intrusão (Denning) 1987 Monitoramento de atividades suspeitas
Kerberos 1988 Autenticação criptográfica em rede
Worm de Morris 1988 Demonstração prática de propagação automática

Esses trabalhos formam a base teórica e operacional para o estudo da segurança em ambientes distribuídos representados pela “nuvem” de rede.

  1. Threat Model and Problem Formalization

Em ambientes de computação interconectada, o modelo de ameaça deve considerar múltiplas dimensões: usuários remotos, hosts comprometidos e interceptação de tráfego em redes intermediárias.

Definimos o sistema como um conjunto de hosts $H = {h_1, h_2, …, h_n}$ conectados por uma rede de pacotes $N$.

Cada host fornece um conjunto de serviços:

$$ S_i = {telnet, ftp, smtp, rsh, finger} $$

Um atacante pode explorar três vetores principais:

  1. exploração de serviços vulneráveis
  2. interceptação de comunicação
  3. abuso de credenciais

A probabilidade de comprometimento pode ser modelada como:

$$ P(compromisso) = 1 - \prod_{i=1}^{n} (1 - p_i) $$

onde $p_i$ representa a probabilidade de exploração de um serviço específico.

A Tabela 2 apresenta vetores de ataque observados em redes UNIX interconectadas.

Vetor de ataque Descrição Impacto
Exploração de sendmail Execução remota via debug mode Execução de comandos
Confiança rsh/rlogin Autenticação baseada em host Escalada lateral
Senhas fracas Ataques de dicionário Comprometimento de contas
Interceptação telnet Captura de credenciais Acesso não autorizado

Esse modelo evidencia que a segurança global da rede é limitada pelo host mais vulnerável.

  1. Proposed Methodology

A metodologia proposta baseia-se em três camadas principais:

  1. auditoria de sistemas
  2. monitoramento de rede
  3. autenticação criptográfica

Auditoria com COPS

O COPS permite identificar vulnerabilidades comuns em sistemas UNIX.

$ ./cops
Checking for bad file permissions...
Checking /etc/passwd security...
Checking for root writable files...
Checking for suspicious .rhosts entries...

Monitoramento de tráfego

Ferramentas como tcpdump, introduzidas em ambientes BSD, permitem capturar pacotes diretamente da interface de rede.

tcpdump -i le0 tcp port 23

Esse comando monitora sessões Telnet, permitindo detectar tentativas de login suspeitas.

Autenticação com Kerberos

Kerberos utiliza tickets criptográficos baseados em DES para autenticar usuários.

$$ Ticket = E_{K_{server}} (ID_{user}, timestamp) $$

A Tabela 3 compara métodos de autenticação comuns.

Método Segurança Vulnerabilidade
Senha em texto Baixa Interceptação
rhosts Muito baixa Confiança implícita
Kerberos Alta Dependência de KDC
  1. Implementation

O ambiente experimental foi composto por:

A arquitetura seguiu um modelo de segmentação básica.

Configuração de auditoria periódica:

0 3    /usr/local/security/cops/cops

Monitoramento contínuo de tráfego foi implementado com captura rotativa de pacotes.

  1. Experimental Evaluation

Durante 30 dias foram coletados logs de autenticação, tráfego de rede e resultados de auditoria.

Métrica Antes das contramedidas Depois
Contas comprometidas 6 1
Tentativas de login detectadas 120 118
Execuções remotas não autorizadas 3 0

Análise de tráfego revelou que aproximadamente 14% das sessões Telnet continham múltiplas tentativas de senha.

Tipo de tráfego Percentual
Telnet 38%
FTP 27%
SMTP 19%
Outros 16%

Outro experimento simulou propagação de worm.

Configuração Hosts comprometidos
Sem auditoria 9
Com Kerberos 2
Kerberos + monitoramento 1
  1. Case Study

Um incidente observado envolveu exploração de sendmail em modo debug, técnica semelhante à utilizada pelo worm de Morris.

O atacante executou comandos remotos através de SMTP, obtendo shell no sistema.

A auditoria posterior revelou:

Após implementação de Kerberos e desativação de rsh, o ambiente tornou-se significativamente mais resiliente.

  1. Discussion

A principal conclusão é que ambientes de computação representados pela “nuvem” de rede possuem acoplamento de risco. Um único sistema vulnerável pode servir como ponto de entrada para ataques em toda a rede.

Além disso, muitos serviços de rede foram projetados assumindo confiança entre hosts, um pressuposto cada vez menos válido à medida que a rede cresce.

Outro problema crítico é a transmissão de credenciais em texto claro. Protocolos como Telnet e FTP não oferecem proteção contra interceptação.

  1. Conclusion and Future Work

Ambientes de computação distribuída interconectados — representados pela abstração da “nuvem” — introduzem desafios de segurança que não podem ser resolvidos apenas com mecanismos locais de proteção.

Este estudo demonstrou que uma combinação de:

reduz significativamente a probabilidade de comprometimento.

Trabalhos futuros devem explorar:

REFERENCES

BELL, D.; LAPADULA, L. Secure Computer Systems. MITRE, 1973.
https://csrc.nist.gov/publications/detail/other/1973/secure-computer-systems

CLARK, D.; WILSON, D. A comparison of commercial and military computer security policies. IEEE Symposium on Security and Privacy, 1987.
https://ieeexplore.ieee.org/document/6234829

DENNING, D. An intrusion-detection model. IEEE Transactions on Software Engineering, 1987.
https://ieeexplore.ieee.org/document/1702202

POSTEL, J. Internet Protocol. RFC 791, 1981.
https://www.rfc-editor.org/rfc/rfc791

POSTEL, J. Transmission Control Protocol. RFC 793, 1981.
https://www.rfc-editor.org/rfc/rfc793

NEUMAN, B.; STEINER, J. Kerberos authentication service. MIT Project Athena, 1988.
https://web.mit.edu/kerberos

MORRIS, R. Internet Worm Report. Cornell University, 1988.
https://www.cs.cornell.edu

SALTZER, J.; SCHROEDER, M. The protection of information in computer systems. CACM, 1975.
https://dl.acm.org/doi/10.1145/360051.360056

DENNING, P. Cryptography and Data Security. Addison-Wesley, 1982.
https://dl.acm.org

DIFFIE, W.; HELLMAN, M. New directions in cryptography. IEEE Transactions on Information Theory, 1976.
https://ieeexplore.ieee.org/document/1055638

RIVEST, R.; SHAMIR, A.; ADLEMAN, L. A method for obtaining digital signatures. CACM, 1978.
https://dl.acm.org/doi/10.1145/359340.359342

DEPARTMENT OF DEFENSE. Trusted Computer System Evaluation Criteria. 1985.
https://csrc.nist.gov/publications/detail/orange-book

COMER, D. Internetworking with TCP/IP. Prentice Hall, 1988.
https://www.cs.purdue.edu/homes/dec

STALLINGS, W. Data and Computer Communications. 1985.
https://www.pearson.com

TANENBAUM, A. Computer Networks. 1988.
https://www.pearson.com

SPAFFORD, E. The Internet Worm Incident. Purdue University, 1989.
https://docs.lib.purdue.edu

GRAMPP, F.; MORRIS, R. UNIX Operating System Security. AT&T Bell Labs, 1984.
https://www.bell-labs.com

NECHES, R. Network security threats in packet networks. RAND, 1987.
https://www.rand.org

FERBRACHE, D. Computer Virus Research. Cambridge University Press, 1988.
https://www.cambridge.org

NEUMAN, B. Proxy-based authorization. MIT, 1988.
https://web.mit.edu

LAMPSON, B. Protection. ACM Operating Systems Review, 1974.
https://dl.acm.org

KAHN, R.; CERF, V. A protocol for packet network intercommunication. IEEE, 1974.
https://ieeexplore.ieee.org/document/1092259

POSTEL, J.; REYNOLDS, J. Telnet protocol specification. RFC 854, 1983.
https://www.rfc-editor.org/rfc/rfc854

POSTEL, J.; REYNOLDS, J. FTP protocol specification. RFC 959, 1985.
https://www.rfc-editor.org/rfc/rfc959

REED, D. Naming and authentication in distributed systems. MIT, 1987.
https://dspace.mit.edu

SPAFFORD, E.; ZAMBONI, D. Security monitoring of networked systems. Purdue University, 1989.
https://docs.lib.purdue.edu