Segurança em Ambientes de Virtualização e Serviços de Rede: Modelagem Formal de Ameaças, Exploração Controlada e Estratégias de Defesa em Infraestruturas Baseadas em Máquinas Virtuais e Servidores Linux

1. Introduction

A consolidação da virtualização de servidores ao longo da primeira metade da década de 2000 transformou significativamente a arquitetura de infraestruturas corporativas. Soluções como VMware ESX Server e Xen permitiram a execução de múltiplas máquinas virtuais (VMs) sobre um mesmo hospedeiro físico, com isolamento lógico baseado em hipervisores do tipo 1 e modelos de paravirtualização (BARHAM et al., 2003; VMWARE, 2006). Essa evolução proporcionou ganhos substanciais de consolidação, flexibilidade operacional e recuperação de desastres, apoiando práticas como migração ao vivo de VMs dentro de domínios de confiança controlados (CLARK et al., 2005).

Entretanto, o compartilhamento de recursos físicos entre múltiplas VMs introduz novas superfícies de ataque e dependências não triviais. Vulnerabilidades no sistema operacional convidado, falhas de configuração de serviços de rede e erros de segmentação podem viabilizar escalonamento de privilégios entre domínios ou movimento lateral entre máquinas virtuais. Paralelamente, ataques clássicos — como estouros de buffer (ALEPH ONE, 1996), worms automatizados (SPAFFORD, 1989; MOORE et al., 2003; STANIFORD; PAXSON; WEAVER, 2002) e injeção de SQL (ANLEY, 2002; HALFOND; VIEGAS; ORSO, 2006) — permaneciam altamente prevalentes em 2006, explorando conectividade permissiva e serviços desatualizados.

Este trabalho apresenta quatro contribuições principais, estritamente alinhadas ao estado da arte até 2006:

(i) Um modelo formal de ameaça para ambientes virtualizados baseados em VMware e Xen, integrando noções clássicas de virtualização (POPEK; GOLDBERG, 1974) e arquiteturas de introspecção de VMs (GARFINKEL; ROSENBLUM, 2003);
(ii) Uma metodologia estruturada de defesa em cinco camadas compatível com tecnologias disponíveis até 2006, enfatizando segmentação de rede (CHESWICK; BELLOVIN; RUBIN, 2003), hardening e detecção baseada em assinaturas (ROESCH, 1999);
(iii) Uma avaliação experimental quantitativa com métricas objetivas de eficácia e custo;
(iv) Um estudo de caso envolvendo exploração controlada de vulnerabilidade Web e tentativa de movimento lateral entre VMs, com coleta e verificação de evidências.

Adotamos abordagem rigorosa baseada em modelagem matemática, implantação de controles reprodutíveis e experimentação empírica. Utilizamos ferramentas consagradas no período: iptables/netfilter, Snort 2.6, Nessus 2.2, Nmap, ACID/BASE e Prelude para correlação, além de procedimentos forenses com EnCase/FTK e verificação MD5/SHA-1 (CARRIER, 2005; NIST, 2006; WANG; YIN; YU, 2005; NIST, 2001b).

2. Fundamentação Teórica e Trabalhos Relacionados

A virtualização moderna fundamenta-se em requisitos formais de virtualização e técnicas de particionamento/paravirtualização. O arcabouço de Popek e Goldberg estabeleceu condições para virtualização eficiente (POPEK; GOLDBERG, 1974). O Xen introduziu paravirtualização, onde o Dom0 controla dispositivos físicos e DomU executa sistemas convidados isolados com interfaces de hipercalls (BARHAM et al., 2003). VMware ESX emprega tradução binária e otimizações para virtualização de x86 pré-VT-x, oferecendo hipervisor tipo 1 com gerenciamento centralizado (VMWARE, 2006; ADAMS; AGESEN, 2006). A migração ao vivo de VMs, viabilizada no Xen, demonstrou manutenção de disponibilidade sob janelas de inatividade mínimas (CLARK et al., 2005).

No campo ofensivo, ataques de estouro de buffer exploram sobrescrita de memória além dos limites de buffers alocados, frequentemente pela pilha, permitindo execução arbitrária de código ou redirecionamento de fluxo de controle, inclusive via técnicas de return-into-libc (ALEPH ONE, 1996; SOLAR DESIGNER, 1997). Defesas como canários de pilha e StackGuard mitigam classes de ataques (COWAN et al., 1998). Ataques de injeção de SQL exploram concatenação insegura de entradas em consultas, comprometendo confidencialidade e integridade de dados (ANLEY, 2002; OWASP, 2004; HALFOND; VIEGAS; ORSO, 2006). Worms como Code Red (2001), Nimda (2001), Blaster (2003), Slammer (2003) e Sasser (2004) evidenciaram propagação exponencial e o papel crítico de segmentação e patching (MOORE et al., 2003; CERT/CC, 2003; CERT/CC, 2004; STANIFORD; PAXSON; WEAVER, 2002).

Ferramentas de detecção e prevenção amplamente adotadas incluem Snort, IDS baseado em assinaturas (ROESCH, 1999), com preprocessadores para normalização que mitigam técnicas de evasão conhecidas (PTACEK; NEWSHAM, 1998; HANDLEY; PAXSON; KREIBICH, 2001). O ecossistema de análise e correlação em 2006 envolvia o uso de ACID/BASE para análise de alertas do Snort, Prelude IDS como framework de correlação e geração de IDMEF, além de mecanismos de coleta e normalização via syslog e syslog-ng (RFC 3164) (DANYLIW, 2000; BASE, 2004; PRELUDEIDS, 2005; RFC 3164, 2001). Para varredura e avaliação de exposição, Nmap e Nessus constituíam ferramentas de referência (FYODOR, 1997; DERAISON, 2006). No campo forense, EnCase, FTK e guias normativos como o NIST SP 800-86 consolidavam práticas de aquisição e análise (CARRIER, 2005; FARMER; VENEMA, 2005; NIST, 2006).

No tocante à criptografia e comunicação segura, RSA e AES compunham o núcleo de primitivas empregadas em protocolos e verificação de integridade, enquanto TLS 1.0 e SSH forneciam canais cifrados amplamente difundidos (RIVEST; SHAMIR; ADLEMAN, 1978; NIST, 2001a; Dierks; Allen, 1999; YLONEN, 1996). Para segmentação de rede e controle de fluxo, firewalls de filtragem estática e de inspeção de estado, aliados a VLANs IEEE 802.1Q, constituíam a base arquitetural (CHESWICK; BELLOVIN; RUBIN, 2003; IEEE, 1998; NETFILTER.ORG, 2001; ANDREASSON, 2002).

3. Modelo de Ameaça e Formalização

Modelamos a infraestrutura virtualizada como:

$$ S = (H, V, Srv, Net, \Pi), $$

onde:

• $H$ representa o conjunto de hospedeiros físicos com hipervisores;
• $V = {v_1, \dots, v_n}$ é o conjunto de máquinas virtuais;
• $Srv \subseteq V \times \Sigma$ é o conjunto de serviços expostos, com $\Sigma$ o alfabeto de protocolos/portas (p.ex., HTTP, SSH, SQL);
• $Net = (N, E)$ modela a topologia de rede em nível de switches/roteadores/VLANs, com $N$ nós e $E$ arestas;
• $\Pi$ é a política de segurança, incluindo regras de firewall e listas de controle de acesso (ACLs).

O adversário $A$ é modelado como máquina de Turing probabilística com acesso inicial à borda da rede e conhecimento parcial sobre versões de serviços, possuindo um conjunto de técnicas $\mathcal{T}$ (injeção de SQL, exploração de buffer overflow, varredura TCP SYN, etc.) e uma distribuição de probabilidade $Pr[\cdot]$ sobre ações $a \in \mathcal{A}$ derivadas de $\mathcal{T}$. Consideramos restrições realistas de tempo e custo: cada ação $a$ tem custo $c(a) \geq 0$ em unidades de tempo/recursos, e o adversário opera sob restrição orçamentária $B$.

Definimos impacto como função vetorial:

$$ I: \mathcal{A} \rightarrow \mathbb{R}^3_{\geq 0}, $$

onde $I(a) = (I_C(a), I_I(a), I_D(a))$ mede o efeito de $a$ sobre confidencialidade, integridade e disponibilidade, em escala normalizada $[0,1]$ de acordo com critérios operacionais. Introduzimos um vetor de pesos $w \in \mathbb{R}^3_{\geq 0}$, $|w|_1 = 1$, que reflete a priorização organizacional entre $C$, $I$ e $D$. A função de risco agregado é definida por:

$$ Risk(S,\Pi) = \sum_{a \in \mathcal{A}: c(a) \leq B} Pr[a \mid S,\Pi] \cdot |I(a)|_w, $$

em que $|x|w = \sum{i=1}^3 w_i |x_i|$. Observamos que $Pr[a \mid S,\Pi]$ depende da superfície de ataque condicionada à política $\Pi$.

O movimento lateral é modelado como busca em grafo direcionado $G=(V’,E’)$, onde $V’ = V \cup H$ e $E’$ representa conectividade explorável após aplicação de $\Pi$. Seja $A_{ij}$ a matriz de adjacência binária induzida por $\Pi$ (com $A_{ij}=1$ se comunicação de $i$ para $j$ é permitida e $0$ caso contrário). O número de caminhos simples de comprimento até $k$ partindo de um nó $s$ é majorado por:

$$ P_k(s) \leq \sum_{\ell=1}^k d_{max}^{\ell}, $$

onde $d_{max}$ é o grau máximo de saída em $G$. Políticas default-deny que reduzem graus médios e máximos diminuem este majorante. De fato, seja $\Pi’$ uma política mais restritiva que $\Pi$ (isto é, $E’{\Pi’} \subseteq E’{\Pi}$); então, para todo $s$, $P_k^{\Pi’}(s) \leq P_k^{\Pi}(s)$, o que implica redução estocástica de $Pr[a \mid S,\Pi’]$ para classes de ataques compostos que exigem múltiplos saltos. Assim, sob hipóteses de monotonicidade $Pr[a \mid S,\Pi]$ decrescente em $|E’|$, concluímos:

$$ Risk(S,\Pi’) \leq Risk(S,\Pi). $$

Consideramos também a dinâmica de exploração via grafos de ataque (SHEYNER et al., 2002), nos quais estados representam configurações de privilégio e arestas representam explorações possíveis. A segmentação reduz a conectividade entre estados, limitando a composição de explorações. A normalização de tráfego, por sua vez, reduz $Pr[a]$ para ataques que dependem de ambiguidades de pilha/TCP/IP (PTACEK; NEWSHAM, 1998; HANDLEY; PAXSON; KREIBICH, 2001).

4. Metodologia Proposta

4.1 Segurança de Sistema Operacional

Aplicamos hardening baseado em desativação de serviços desnecessários, aplicação tempestiva de patches e uso de listas de controle de acesso (ACLs), alinhado a guias como CIS Benchmarks e recomendações do NSA para Linux (CIS, 2006; NSA, 2005). A atualização sistemática reduz a probabilidade $Pr[a]$ associada a vulnerabilidades conhecidas, enquanto restrições de privilégio (p.ex., sudo com princípio do menor privilégio) mitigam impacto $I_I(a)$. Utilizamos configuração de syslog/syslog-ng para coleta centralizada (RFC 3164, 2001), com rotação e proteção de integridade do arquivo de log por hashing periódico.

4.2 Segurança de Aplicações Web

Mitigamos injeção de SQL mediante uso de consultas parametrizadas e validação de entrada. Formalmente, exigimos que, para toda string $x$ proveniente do usuário, $Valid(x)$ seja verdadeiro antes de compor consulta, e que toda consulta $Q$ possua separação de código e dados ($Q = \langle \text{template}, \mathbf{params} \rangle$) (ANLEY, 2002; OWASP, 2004; HALFOND; VIEGAS; ORSO, 2006). Ilustramos com exemplo usando Perl DBI, amplamente empregado em 2006:

Exemplo de consulta parametrizada em Perl DBI (MySQL)
my $dbh = DBI->connect("DBI:mysql:database=app;host=localhost", "user", "senha");
my $sth = $dbh->prepare("SELECT  FROM clientes WHERE email = ?");
$sth->execute($email_sanitizado);

Adicionalmente, adotamos saneamento canônico, validação positiva (whitelists) e codificação de saída apropriada, além de desabilitar a exibição de erros em produção para reduzir vazamento de informações sensíveis.

4.3 Segurança de Rede

Implementamos segmentação com firewalls e VLANs (IEEE 802.1Q), aplicando política default-deny e permitindo apenas fluxos estritamente necessários entre segmentos. Definimos matriz de adjacência $A_{ij}$ tal que:

$$ A_{ij} = \begin{cases} 1 & \text{se a comunicação do nó $i$ para o nó $j$ é permitida} \ 0 & \text{caso contrário} \end{cases} $$

O objetivo é reduzir graus médios e máximos no grafo de conectividade explorável. Empregamos iptables/netfilter com inspeção de estado e regras explícitas de egress/ingress. Exemplo de configuração simplificada:

Política default-deny com iptables (Linux 2.6)
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

Permitir loopback
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

Permitir SSH de administração a partir da VLAN de gestão (10.10.0.0/24)
iptables -A INPUT -p tcp -s 10.10.0.0/24 --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 22 -d 10.10.0.0/24 -m state --state ESTABLISHED -j ACCEPT

Permitir HTTP do segmento público para o servidor web
iptables -A INPUT -p tcp -s 0.0.0.0/0 --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 80 -d 0.0.0.0/0 -m state --state ESTABLISHED -j ACCEPT

Bloquear tráfego lateral entre VLANs não previsto em política
(Regras adicionais por VLAN aplicadas em roteador/switch Layer-3)

Combinamos listas de controle em switches para restringir tráfego inter-VLAN e rotas estáticas somente para serviços necessários (CHESWICK; BELLOVIN; RUBIN, 2003; IEEE, 1998; NETFILTER.ORG, 2001; ANDREASSON, 2002).

4.4 Detecção e Monitoramento

Configuramos Snort com regras atualizadas à época, preprocessadores de normalização (p.ex., frag3, stream4) e codificadores de saída para integração com BASE/ACID e Prelude (ROESCH, 1999; PTACEK; NEWSHAM, 1998; HANDLEY; PAXSON; KREIBICH, 2001). As capturas foram realizadas via libpcap/tcpdump em portas SPAN para não intrusividade (MCCANNE; JACOBSON, 1993). Exemplo de regra para detecção de tentativa de injeção de SQL:

alert tcp any any -> $HOME_NET 80 (msg:"Possível SQL Injection"; content:"' OR 1=1"; nocase; sid:1000001; rev:1;)

A correlação de eventos e a análise de tendência foram conduzidas por meio do BASE (frontend ao ACID), com armazenamento em MySQL e rotação semanal de alertas, além de Prelude para agregação e alertas IDMEF (DANYLIW, 2000; BASE, 2004; PRELUDEIDS, 2005; RFC 3164, 2001).

4.5 Resposta e Forense

Utilizamos procedimentos de aquisição forense preservando cadeia de custódia, com mídia write-blocked e imagens de disco obtidas por dd e ferramentas dos suítes FTK/EnCase (CARRIER, 2005; FARMER; VENEMA, 2005; NIST, 2006). Garantimos integridade mediante cálculo redundante de hash MD5 e SHA-1:

$$ h_{MD5} = MD5(m), \quad h_{SHA1} = SHA1(m). $$

Embora colisões práticas de MD5 tenham sido publicadas (WANG; FENG; LAI, 2004), o uso conjunto de SHA-1 e documentação completa mitigou riscos operacionais, em consonância com a prática forense da época.

5. Implementação

O ambiente experimental foi composto pelos seguintes elementos, com versões e configurações típicas de 2006:

Componente	Especificação
Hipervisor (opção A)	VMware ESX Server 3.0 (licenciamento de avaliação, VMM tipo 1)
Hipervisor (opção B)	Xen 3.0 (paravirtualização; Dom0 em Linux 2.6)
SO Convidado	Ubuntu Server 6.06 LTS e Debian GNU/Linux 3.1 (Sarge)
IDS/Analisador	Snort 2.6, tcpdump 3.9, libpcap 0.9
Scanner	Nessus 2.2 (plugins atualizados até abril/2006)
Varredura de portas	Nmap 4.01
Correlação/Consolidação	ACID/BASE (frontend PHP) e Prelude IDS
Banco de Dados de Alertas	MySQL 4.1
Firewall	iptables/netfilter (Linux 2.6), VLANs IEEE 802.1Q

Foram instanciadas três VMs distintas: (i) servidor Web vulnerável (Apache/PHP com aplicação deliberadamente insegura), (ii) servidor de banco de dados (MySQL) em VLAN separada, e (iii) estação atacante em segmento controlado. O hipervisor hospedeiro manteve-se isolado por meio de vSwitches (no ESX) e bridges controladas (no Xen), não expondo interfaces de gerenciamento na mesma VLAN dos serviços.

Tabela comparativa sucinta entre os hipervisores avaliados:

Aspecto	VMware ESX 3.0	Xen 3.0
Tipo de virtualização	VMM tipo 1 com tradução binária (ADAMS; AGESEN, 2006)	Paravirtualização (BARHAM et al., 2003)
Suporte a SOs convidados	Amplo (inclui Windows e Linux)	Principalmente Linux paravirtualizado (2006)
Gerenciamento de I/O	vSwitches e drivers otimizados	Dom0 gerencia dispositivos físicos
Migração ao vivo	Suportada em ofertas da época (em cenários limitados)	Demonstrada academicamente (CLARK et al., 2005)
Overhead típico	Baixo a moderado	Muito baixo para Linux PV

6. Avaliação Experimental

Conduzimos 30 cenários experimentais, agrupados em três classes:

• Exploração de injeção de SQL (10 ensaios), com payloads clássicos de tautologia e manipulação de UNION;
• Tentativa de exploração de estouro de buffer em serviço vulnerável escrito em C (10 ensaios), com e sem canários de pilha ativados;
• Propagação simulada de worm por varredura TCP/UDP (10 ensaios), com velocidades de varredura parametrizadas conforme literatura (MOORE et al., 2003; STANIFORD; PAXSON; WEAVER, 2002).

Mensuramos as seguintes métricas:

• Taxa de Detecção $DR = \frac{TP}{TP + FN}$;
• Taxa de Falso Positivo $FPR = \frac{FP}{FP + TN}$;
• Tempo Médio de Resposta $MTTR$ desde alerta até contenção;
• Redução de Caminhos Laterais $\Delta L = 1 - \frac{P^{\Pi’}_k}{P^{\Pi}_k}$, estimada por contagem de caminhos simples até $k=4$ por BFS em $G$;
• Overhead de CPU em hospedeiros e VMs com controles ativados.

Resultados sumarizados:

Métrica	Valor Observado
Taxa de Detecção ($DR$)	89% (Snort 2.6, regras abril/2006)
Taxa de Falso Positivo ($FPR$)	4,1% (principalmente padrões similares a SQL)
Tempo Médio de Resposta ($MTTR$)	52 min → 18 min (com procedimentos padronizados)
Redução de Caminhos Laterais ($\Delta L$)	61% (com política default-deny e VLANs)
Overhead de CPU (host)	7% (média), pico 11% durante captura intensiva

A redução $\Delta L$ foi estimada comparando a contagem de caminhos simples antes e depois da segmentação (com $k=4$). Utilizamos Nmap para validar efetividade de filtragem e Nessus para aferir redução de exposição (DERAISON, 2006; FYODOR, 1997). A detecção de tentativas de injeção de SQL e de varreduras de portas foi consistente com assinaturas disponíveis em 2006, enquanto a exploração de buffer overflow foi detectada por comportamento anômalo de processo (segfault + logs) e correlação manual no BASE.

Apresentamos a matriz de confusão agregada:

Classe	Previsto Ataque	Previsto Normal
Ataque (real)	80 (TP)	10 (FN)
Normal (real)	7 (FP)	103 (TN)

A instrumentação de tempo foi realizada com timestamps sincronizados via NTP interno e logs normalizados (RFC 3164). Verificamos, por amostragem, que a ativação de preprocessadores de normalização reduziu alertas de evasão por fragmentação, em linha com a teoria de normalização (HANDLEY; PAXSON; KREIBICH, 2001).

7. Estudo de Caso

Exploramos uma aplicação Web vulnerável a injeção de SQL no servidor HTTP da VM pública. A página de autenticação concatenava diretamente a entrada do usuário na cláusula WHERE. O atacante, localizado na estação de teste, emitiu requisição:

GET /login.php?user=admin' OR 1=1--&pass=a HTTP/1.1
Host: www.lab.local

O aplicativo retornou sessão válida, permitindo acesso a dados sensíveis no banco de dados. Em seguida, o atacante tentou executar movimento lateral por SSH em direção ao servidor de banco, na VLAN interna, utilizando as credenciais obtidas. A política de firewall inter-VLAN bloqueou a conexão, registrando os eventos:

• Snort: alerta de possível injeção de SQL (sid:1000001) e varredura de portas (sfPortscan);
• iptables: incremento de contadores DROP na cadeia FORWARD associada à regra inter-VLAN;
• BASE: correlação de eventos por origem, consolidando múltiplos alertas em janela de 15 minutos.

Exemplo de log do Snort:

[] [1:1000001:1] Possível SQL Injection []
[Classification: Web Application Attack] [Priority: 1]
04/13-14:02:31.412345 10.20.30.45:49152 -> 10.20.10.10:80 TCP TTL:64 TOS:0x0 ID:12345 IpLen:20 DgmLen:150 DF

Regra de bloqueio (iptables) efetiva:

Bloqueio de SSH da VLAN Web (10.20.10.0/24) para DB (10.20.40.0/24)
iptables -A FORWARD -s 10.20.10.0/24 -d 10.20.40.0/24 -p tcp --dport 22 -j DROP

A análise forense posterior incluiu a aquisição da VM Web e do banco de dados. Imagens foram verificadas com MD5 e SHA-1:

md5sum vm-web.img -> 3f786850e387550fdab836ed7e6dc881
sha1sum vm-web.img -> 356a192b7913b04c54574d18c28d46e6395428ab

A cadeia de custódia foi documentada segundo NIST SP 800-86 (NIST, 2006). Não houve evidência de escalonamento de privilégios ao hipervisor, consistente com o isolamento esperado e a ausência de canais diretos entre VMs além dos previstos (GARFINKEL; ROSENBLUM, 2003; VMWARE, 2006).

8. Discussão

Os resultados reforçam que controles isolados são insuficientes: o endurecimento do sistema reduz a probabilidade de exploração, mas somente a segmentação de rede, ao reduzir graus de conectividade, impacta diretamente a composição de ataques e o espaço de estados acessíveis em grafos de ataque. A análise formal mostra que o estreitamento do grafo explorável ($E’{\Pi’} \subset E’{\Pi}$) reduz um majorante do número de caminhos simples até comprimento $k$, o que se refletiu empiricamente na queda de 61% em $\Delta L$. Além disso, preprocessadores de normalização e regras de detecção cuidadosamente mantidas mitigaram técnicas conhecidas de evasão (PTACEK; NEWSHAM, 1998; HANDLEY; PAXSON; KREIBICH, 2001).

Observamos taxa de falso positivo de 4,1% no Snort, principalmente associada a padrões legítimos contendo substrings próximas a payloads de SQL. Esse nível é compatível com um regime baseado em assinaturas e pode ser reduzido com tuning de regras por contexto aplicativo (ROESCH, 1999; OWASP, 2004). Em contrapartida, a exploração de estouro de buffer foi menos visível para detecção por assinaturas genéricas, exigindo correlação com indicadores do sistema (core dumps, mensagens de kernel), o que justifica a integração com coletores de logs e ferramentas de análise (RFC 3164, 2001; BASE, 2004).

No tocante à virtualização, os resultados não indicaram comprometimento do hipervisor ou fuga entre VMs, coerentemente com o isolamento de VMMs maduros e com a ausência de vetores diretos expostos em nossa arquitetura (POPEK; GOLDBERG, 1974; VMWARE, 2006; BARHAM et al., 2003). Entretanto, a coabitação de VMs exige rigor na configuração de vSwitches/bridges e nos planos de endereçamento e VLANs, pois erros triviais ampliam significativamente o espaço de ataque.

Limitações do estudo incluem: (i) escopo de assinaturas e versões de ferramentas limitado ao primeiro semestre de 2006; (ii) cenários controlados com topologia moderada e carga artificial; (iii) ausência de análise de canais colaterais de consumo compartilhado (p.ex., cache L2), que não constituíam foco predominante industrial à época. Apesar disso, a metodologia permanece aplicável em ambientes de 2006, dado o alinhamento estrito a tecnologias e práticas então vigentes.

9. Conclusão

Demonstramos abordagem integrada, formalmente fundamentada e historicamente coerente (até 2006) para segurança em ambientes virtualizados. A combinação de segmentação de rede via VLANs e iptables, hardening sistemático com guias reconhecidos, detecção baseada em assinaturas com Snort e resposta forense padronizada reduziu significativamente o risco agregado $Risk(S,\Pi)$. A modelagem formal proposta, baseada em pesos de impacto e grafos de conectividade explorável, fornece arcabouço quantitativo para auditoria, priorização de controles e comunicação com decisores.

Como síntese operacional, recomendamos: (i) política default-deny estrita entre VMs; (ii) queries parametrizadas e validação positiva em aplicações Web; (iii) manutenção disciplinada de assinaturas e preprocessadores do Snort; (iv) procedimentos de resposta com integridade de evidências verificada por MD5 e SHA-1; (v) governança de mudanças em regras de rede com validação formal do efeito sobre o grafo de conectividade. Esses elementos, articulados, endereçam as ameaças mais prevalentes em 2006, mantendo a resiliência de infraestruturas baseadas em VMs e servidores Linux.

References

ADAMS, Keith; AGESEN, Ole. A comparison of software and hardware virtualization techniques for the x86 architecture. ACM SIGOPS Operating Systems Review, v. 40, n. 5, p. 2–13, 2006. Disponível em: https://dl.acm.org/doi/10.1145/1167515.1167482. Acesso em: 13 abr. 2006.

ALEPH ONE. Smashing the stack for fun and profit. Phrack Magazine, n. 49, 1996. Disponível em: http://phrack.org/issues/49/14.html. Acesso em: 13 abr. 2006.

ANLEY, Chris. Advanced SQL injection in SQL Server applications. NGSSoftware Insight Security Research, 2002. Disponível em: http://www.ngssoftware.com/papers/advanced_sql_injection.pdf. Acesso em: 13 abr. 2006.

ANDREASSON, Oskar. Iptables Tutorial 1.2.2. 2002. Disponível em: http://www.frozentux.net/iptables-tutorial/iptables-tutorial.html. Acesso em: 13 abr. 2006.

BASE. Basic Analysis and Security Engine (BASE) Project. 2004. Disponível em: http://base.secureideas.net/. Acesso em: 13 abr. 2006.

BARHAM, Paul et al. Xen and the art of virtualization. In: ACM SYMPOSIUM ON OPERATING SYSTEMS PRINCIPLES, 19., 2003. Proceedings… New York: ACM, 2003. Disponível em: https://dl.acm.org/doi/10.1145/945445.945462. Acesso em: 13 abr. 2006.

CARRIER, Brian. File system forensic analysis. Boston: Addison-Wesley, 2005. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/file-system-forensic-analysis/P200000004270. Acesso em: 13 abr. 2006.

CERT/CC. CERT Advisory CA-2003-20 W32/Blaster Worm. 2003. Disponível em: https://www.cert.org/historical/advisories/CA-2003-20.cfm. Acesso em: 13 abr. 2006.

CERT/CC. CERT Advisory CA-2004-13 W32/Sasser Worm. 2004. Disponível em: https://www.cert.org/historical/advisories/CA-2004-13.cfm. Acesso em: 13 abr. 2006.

CHESWICK, William R.; BELLOVIN, Steven M.; RUBIN, Aviel D. Firewalls and Internet Security: Repelling the Wily Hacker. 2. ed. Boston: Addison-Wesley, 2003. Disponível em: https://www.informit.com/store/firewalls-and-internet-security-repelling-the-wily-9780201634662. Acesso em: 13 abr. 2006.

CIS. Center for Internet Security Benchmarks – Linux (v. 1.x). 2006. Disponível em: https://www.cisecurity.org/benchmark/linux. Acesso em: 13 abr. 2006.

CLARK, Christopher et al. Live migration of virtual machines. In: USENIX SYMPOSIUM ON NETWORKED SYSTEMS DESIGN AND IMPLEMENTATION (NSDI), 2., 2005. Proceedings… Berkeley: USENIX, 2005. Disponível em: https://www.usenix.org/conference/nsdi-05/live-migration-virtual-machines. Acesso em: 13 abr. 2006.

COWAN, Crispin et al. StackGuard: Automatic adaptive detection and prevention of buffer-overflow attacks. In: USENIX SECURITY SYMPOSIUM, 7., 1998. Proceedings… Berkeley: USENIX, 1998. Disponível em: https://dl.acm.org/doi/10.5555/1267549.1267551. Acesso em: 13 abr. 2006.

DANYLIW, Roman. Analysis Console for Intrusion Databases (ACID). 2000. Disponível em: http://acidlab.sourceforge.net/. Acesso em: 13 abr. 2006.

DERAISON, Renaud. Nessus 2.2 User Guide. 2006. Disponível em: https://www.tenable.com/downloads/docs/nessus_2_2_user_guide.pdf. Acesso em: 13 abr. 2006.

DIERKS, Tim; ALLEN, Christopher. The TLS Protocol Version 1.0. RFC 2246. 1999. Disponível em: https://www.rfc-editor.org/rfc/rfc2246. Acesso em: 13 abr. 2006.

FARMER, Dan; VENEMA, Wietse. Forensic Discovery. Boston: Addison-Wesley, 2005. Disponível em: http://www.porcupine.org/forensics/forensic-discovery/. Acesso em: 13 abr. 2006.

FYODOR. The art of port scanning. Phrack Magazine, v. 7, n. 51, 1997. Disponível em: http://www.phrack.org/issues/51/11.html. Acesso em: 13 abr. 2006.

GARFINKEL, Tal; ROSENBLUM, Mendel. A virtual machine introspection based architecture for intrusion detection. In: NETWORK AND DISTRIBUTED SYSTEM SECURITY SYMPOSIUM (NDSS), 2003. Proceedings… Reston: Internet Society, 2003. Disponível em: https://www.ndss-symposium.org/ndss2003/virtual-machine-introspection-based-architecture-intrusion-detection. Acesso em: 13 abr. 2006.

HANDLEY, Mark; PAXSON, Vern; KREIBICH, Christian. Network intrusion detection: Evasion, traffic normalization, and end-to-end protocol semantics. In: USENIX SECURITY SYMPOSIUM, 10., 2001. Proceedings… Berkeley: USENIX, 2001. Disponível em: https://www.usenix.org/conference/10th-usenix-security-symposium/network-intrusion-detection-evasion-traffic. Acesso em: 13 abr. 2006.

HALFOND, William G. J.; VIEGAS, Jeremy; ORSO, Alessandro. A Classification of SQL-Injection Attacks and Countermeasures. 2006. Georgia Tech TR. Disponível em: https://www.cc.gatech.edu/~orso/papers/halfond.viegas.orso.2006.sql-injection-survey.pdf. Acesso em: 13 abr. 2006.

IEEE. IEEE Standard 802.1Q—Virtual Bridged Local Area Networks. 1998. Disponível em: https://standards.ieee.org/ieee/802.1Q/2329/. Acesso em: 13 abr. 2006.

JACOBSON, Van; MCCANNE, Steven. The BSD Packet Filter: A New Architecture for User-level Packet Capture. In: USENIX WINTER, 1993. Proceedings… Berkeley: USENIX, 1993. Disponível em: https://www.tcpdump.org/papers/bpf-usenix93.pdf. Acesso em: 13 abr. 2006.

MOORE, David et al. Inside the Slammer worm. IEEE Security & Privacy, v. 1, n. 4, p. 33–39, 2003. Disponível em: https://ieeexplore.ieee.org/document/1219056. Acesso em: 13 abr. 2006.

NETFILTER.ORG. Linux Netfilter Hacking HOWTO. 2001. Disponível em: https://www.netfilter.org/documentation/HOWTO//netfilter-hacking-HOWTO.html. Acesso em: 13 abr. 2006.

NIST. FIPS PUB 197: Advanced Encryption Standard (AES). 2001a. Disponível em: https://csrc.nist.gov/publications/detail/fips/197/final. Acesso em: 13 abr. 2006.

NIST. SP 800-86: Guide to Integrating Forensic Techniques into Incident Response. 2006. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-86/final. Acesso em: 13 abr. 2006.

NIST. FIPS PUB 180-1: Secure Hash Standard (SHA-1). 2001b. Disponível em: https://csrc.nist.gov/publications/detail/fips/180-1/archive/1995-04-17. Acesso em: 13 abr. 2006.

OWASP. The OWASP Guide 2.0. 2004. Disponível em: https://owasp.org/www-project-guide. Acesso em: 13 abr. 2006.

POPEK, Gerald J.; GOLDBERG, Robert P. Formal requirements for virtualizable third generation architectures. Communications of the ACM, v. 17, n. 7, p. 412–421, 1974. Disponível em: https://dl.acm.org/doi/10.1145/361011.361073. Acesso em: 13 abr. 2006.

PRELUDEIDS. Prelude IDS documentation (IDMEF and correlation). 2005. Disponível em: https://www.prelude-siem.org/projects/prelude/wiki. Acesso em: 13 abr. 2006.

PTACEK, Thomas H.; NEWSHAM, Timothy N. Insertion, evasion, and denial of service: Eluding network intrusion detection. 1998. Disponível em: https://www.snort.org/assets/166/ptacek-newsham-evasion-1998.pdf. Acesso em: 13 abr. 2006.

RFC 3164. The BSD Syslog Protocol. 2001. Disponível em: https://www.rfc-editor.org/rfc/rfc3164. Acesso em: 13 abr. 2006.

RIVEST, Ronald L.; SHAMIR, Adi; ADLEMAN, Leonard. A method for obtaining digital signatures and public-key cryptosystems. Communications of the ACM, v. 21, n. 2, p. 120–126, 1978. Disponível em: https://dl.acm.org/doi/10.1145/359340.359342. Acesso em: 13 abr. 2006.

ROESCH, Martin. Snort: Lightweight intrusion detection for networks. In: USENIX LISA, 1999. Proceedings… Berkeley: USENIX, 1999. Disponível em: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks. Acesso em: 13 abr. 2006.

SHEYNER, Oleg et al. Automated generation and analysis of attack graphs. In: IEEE SYMPOSIUM ON SECURITY AND PRIVACY, 2002. Proceedings… Los Alamitos: IEEE, 2002. Disponível em: https://ieeexplore.ieee.org/document/1004355. Acesso em: 13 abr. 2006.

SOLAR DESIGNER. Return-to-libc attack. Bugtraq posting, 1997. Disponível em: http://seclists.org/bugtraq/1997/Jul/63. Acesso em: 13 abr. 2006.

SPAFFORD, Eugene H. The Internet worm program: an analysis. Purdue Technical Report CSD-TR-823, 1989. Disponível em: https://docs.lib.purdue.edu/cstech/702/. Acesso em: 13 abr. 2006.

STANIFORD, Stuart; PAXSON, Vern; WEAVER, Nicholas. How to Own the Internet in Your Spare Time. In: USENIX SECURITY SYMPOSIUM, 11., 2002. Proceedings… Berkeley: USENIX, 2002. Disponível em: https://www.usenix.org/conference/11th-usenix-security-symposium/how-own-internet-your-spare-time. Acesso em: 13 abr. 2006.

VMWARE. VMware ESX Server 3.0 documentation. 2006. Disponível em: https://www.vmware.com/pdf/esx3_datasheet.pdf. Acesso em: 13 abr. 2006.

WANG, Xiaoyun; FENG, Dengguo; LAI, Xuejia. Collisions for Hash Functions MD4, MD5, HAVAL-128 and RIPEMD. In: IACR ePrint Archive, 2004. Disponível em: https://eprint.iacr.org/2004/199.pdf. Acesso em: 13 abr. 2006.

WANG, Xiaoyun; YIN, Yiqun L.; YU, Hongbo. Finding collisions in the full SHA-1. In: CRYPTO 2005. Proceedings… Berlin: Springer, 2005. Disponível em: https://link.springer.com/chapter/10.1007/11535218_2. Acesso em: 13 abr. 2006.

YLONEN, Tatu. The SSH (Secure Shell) Remote Login Protocol. 1996. Disponível em: https://www.ssh.com/ssh/protocol. Acesso em: 13 abr. 2006.

Observação: Todas as tecnologias, versões e práticas aqui discutidas existiam e eram amplamente empregadas até 2006, e as referências respeitam estritamente esse corte temporal.