Paper Files / IR
Uma Metodologia Operacional de Resposta a Incidentes em Ambientes Corporativos Baseados em TCP/IP e Sistemas UNIX (1986)
Este trabalho apresenta uma metodologia operacional estruturada para resposta a incidentes de segurança em ambientes corporativos baseados em TCP/IP e sistemas UNIX, conforme o estado da arte tecnológico disponível até 1986. À medida que redes Ethernet (IEEE 802.3) e protocolos da arquitetura Internet (IP, TCP, UDP, ICMP) consolidaram-se em organizações acadêmicas e empresariais, ampliou-se a superfície de exposição associada a serviços como telnet, FTP, SMTP (sendmail), rsh/rlogin e NFS. Fundamentamos nossa abordagem em princípios clássicos de proteção — privilégio mínimo, separação de privilégios, economia de mecanismos e defesa em profundidade — bem como em modelos formais de confidencialidade e integridade (Bell-LaPadula e Biba). Formalizamos o conceito de incidente como desvio observável do conjunto de estados seguros definidos por política, e modelamos a propagação de comprometimentos por meio de um grafo de confiança induzido por relações administrativas, como entradas em /etc/hosts.equiv, arquivos .rhosts e exportações NFS. A metodologia proposta estrutura-se em quatro fases: preparação, detecção e análise, contenção e erradicação, e recuperação com lições aprendidas. Demonstramos sua aplicação em laboratório composto por VAX 11/780 com 4.3BSD e Sun-3/50 com SunOS 3.x, interligados por Ethernet 10BASE-5, empregando instrumentos disponíveis à época, como syslog, accounting de processos (acct/lastcomm), sum/cksum, dump/restore, etherfind e analisadores dedicados de protocolo. Avaliamos empiricamente 32 experimentos distribuídos em quatro cenários representativos (configuração insegura de sendmail, abuso de r-commands, exportações NFS permissivas e sondagem de portas), mensurando tempo médio de detecção, tempo médio de contenção e taxa de falsos positivos. Os resultados indicam reduções superiores a 40% no tempo médio de contenção quando comparado a abordagens ad hoc. Concluímos que, mesmo sem mecanismos automatizados avançados, a combinação de formalização conceitual, centralização de logs, disciplina de auditoria e análise sistemática de tráfego permite elevar substancialmente o nível de resiliência operacional em 1986.
- Introduction
Ao longo de 1984–1986, redes baseadas em TCP/IP consolidaram-se em ambientes corporativos e acadêmicos, com crescentes interconexões por Ethernet (IEEE 802.3) e roteamento entre domínios administrativos (POSTEL, 1981a; POSTEL, 1981b; IEEE, 1983). A disseminação de sistemas UNIX — em particular 4.3BSD e variantes comerciais como SunOS — viabilizou o compartilhamento de serviços de login remoto (telnet, rlogin), transferência de arquivos (FTP), execução remota (rsh, rexec), correio eletrônico (SMTP via sendmail) e serviços de consulta (finger), criando dependências que extrapolam fronteiras organizacionais (ALLMAN, 1983; RFC 821, 1982; RFC 854, 1983; RFC 959, 1985; RFC 742, 1977).
A interconectividade ampliada introduziu novos vetores de risco. Serviços expostos em portas bem conhecidas, relações de confiança transitiva via arquivos /etc/hosts.equiv e $\sim$/.rhosts, bem como exportações NFS permissivas, tornaram-se pontos críticos de segurança (SANDBERG et al., 1985; UNIVERSITY OF CALIFORNIA, BERKELEY, 1986). Em tal contexto, a resposta a incidentes deve ser entendida como um processo técnico e organizacional estruturado para detectar, analisar, conter e remediar eventos adversos que comprometam confidencialidade, integridade ou disponibilidade (SALTZER; SCHROEDER, 1975; ANDERSON, 1980; DOD, 1983).
Formalizamos um incidente como desvio observável do conjunto de estados seguros. Seja $S$ o conjunto de estados do sistema que satisfazem a política de segurança definida, e $E$ o conjunto de eventos auditáveis. Um incidente ocorre quando:
$$ \exists e \in E \text{ tal que } f(e) \notin S, $$
em que $f(e)$ representa a transição de estado induzida pelo evento $e$. O conjunto $S$ é derivado de requisitos formais de confidencialidade e integridade (BELL; LAPADULA, 1973; BIBA, 1977), bem como de políticas operacionais específicas, como inexistência de contas sem senha, ausência de exportações NFS globais e desativação de funcionalidades de depuração em serviços críticos.
Nosso objetivo é propor e validar empiricamente uma metodologia operacional de resposta a incidentes adequada às capacidades técnicas de 1986, enfatizando formalização, reprodutibilidade e mensuração objetiva de desempenho.
- Background and Related Work
Os fundamentos teóricos da segurança em sistemas computacionais foram estabelecidos ao longo das décadas de 1960 e 1970. O trabalho seminal de Lampson (1971) introduziu noções fundamentais de proteção, posteriormente sistematizadas por Saltzer e Schroeder (1975) em princípios de projeto amplamente aceitos. Os modelos formais de Bell-LaPadula (1973) e Biba (1977) ofereceram arcabouço matemático para confidencialidade e integridade, respectivamente.
No domínio operacional, Anderson (1980) enfatizou a necessidade de monitoramento sistemático e análise de trilhas de auditoria como instrumentos centrais de detecção de intrusões. O TCSEC (“Orange Book”) do Departamento de Defesa dos Estados Unidos consolidou requisitos mínimos de auditoria, identificação e controle de acesso para sistemas confiáveis (DOD, 1983).
A arquitetura TCP/IP foi formalizada por Postel (1980; 1981a; 1981b) e complementada por especificações de protocolos de aplicação como SMTP (RFC 821, 1982), Telnet (RFC 854, 1983) e FTP (RFC 959, 1985). A ampla adoção do padrão IEEE 802.3 consolidou a Ethernet como meio físico predominante (IEEE, 1983), introduzindo implicações específicas de segurança em segmentos compartilhados.
No contexto UNIX, mecanismos relevantes incluem:
| Componente | Função de Segurança | Referência |
|---|---|---|
| syslog | Registro centralizado de eventos | UNIVERSITY OF CALIFORNIA, BERKELEY, 1986 |
| acct/lastcomm | Auditoria de processos executados | UNIVERSITY OF CALIFORNIA, BERKELEY, 1986 |
| sum/cksum | Verificação básica de integridade | UNIVERSITY OF CALIFORNIA, BERKELEY, 1986 |
| dump/restore | Backup e recuperação | UNIVERSITY OF CALIFORNIA, BERKELEY, 1986 |
| etherfind | Captura de tráfego Ethernet | SUNOS, 1986 |
| Sniffer (dedicado) | Análise detalhada de protocolos | HP, 1986 |
A literatura sobre segurança de senhas em UNIX (MORRIS; THOMPSON, 1979) destacou a relevância de mecanismos de hash e políticas rigorosas de escolha de senha. A implementação do NFS (SANDBERG et al., 1985) introduziu desafios específicos relacionados a mapeamento de identidades e controle de exportações.
Nosso trabalho integra tais fundamentos em um processo unificado e mensurável de resposta a incidentes.
- Threat Model and Problem Formalization
Modelamos o ambiente como um grafo de confiança $G=(V, E)$, no qual $V$ representa hosts e $E$ representa relações administrativas de confiança (e.g., entradas em /etc/hosts.equiv, arquivos .rhosts, exportações NFS).
A probabilidade de propagação de comprometimento ao longo de um caminho de comprimento $n$ é:
$$ P_{prop} = 1 - \prod_{i=1}^{n} (1 - p_i), $$
em que $p_i$ é a probabilidade de exploração da $i$-ésima relação de confiança. A mitigação eficaz visa reduzir cada $p_i$ por meio de políticas restritivas e monitoramento.
Definimos o impacto operacional como:
$$ Impacto = D \times T_c, $$
em que $D$ representa o dano estimado por unidade de tempo e $T_c$ o tempo até contenção. A redução de $T_c$ é, portanto, objetivo central da metodologia.
- Proposed Methodology
A metodologia compreende quatro fases: preparação; detecção e análise; contenção e erradicação; recuperação e lições aprendidas.
4.1 Preparação
Inclui definição formal de papéis, inventário de ativos, sincronização temporal (MILLS, 1985), centralização de logs via syslog e estabelecimento de baseline de integridade:
find /bin /usr/bin /etc -type f -exec cksum {} \; > /secure/baseline/cksum.all
Ativação de accounting:
/usr/lib/acct/startup
accton /usr/adm/pacct
4.2 Detecção e Análise
Empregamos filtros sistemáticos:
egrep 'FAILED|refused|illegal' /var/adm/messages
Monitoramos conexões:
netstat -a
arp -a
Captura de tráfego:
/usr/etc/etherfind -i le0 -n 'tcp port 25'
A inferência é baseada na existência de padrão $p$ tal que:
$$ \exists p \in P : match(p, T) = 1. $$
4.3 Contenção e Erradicação
Inclui isolamento físico ou lógico do host, remoção de relações de confiança, reconfiguração de serviços (e.g., sendmail), verificação de integridade e, quando necessário, imagem forense:
dd if=/dev/rsd0 of=/dev/rmt0 bs=20b
4.4 Recuperação
Restauração com dump/restore, reforço de políticas e documentação completa do incidente.
- Implementation
Laboratório experimental:
| Componente | Especificação |
|---|---|
| Host A | VAX 11/780 – 4.3BSD |
| Host B | Sun-3/50 – SunOS 3.x |
| Rede | Ethernet 10BASE-5 |
| Serviços | telnet, ftp, rsh, sendmail, NFS |
| Log central | syslog em Host B |
Configuração de syslog:
auth.info;daemon.info @loghost
.err /var/adm/messages
- Experimental Evaluation
Realizamos 32 experimentos distribuídos em quatro cenários.
| Cenário | TMD sem método | TMD com método | TMC sem método | TMC com método |
|---|---|---|---|---|
| sendmail | 48 | 21 | 129 | 72 |
| rsh/.rhosts | 39 | 17 | 103 | 61 |
| NFS | 46 | 20 | 118 | 66 |
| Sondagem portas | 41 | 19 | 112 | 65 |
Reduções médias: $TMD \approx 55%$; $TMC \approx 43%$.
- Case Study
Analisamos incidente envolvendo tentativa de uso indevido de funcionalidades de depuração do sendmail combinada a abuso de .rhosts. Logs indicaram:
sendmail: illegal -d flag
rsh: permission denied
Captura com etherfind confirmou reconexões sucessivas à porta 25/TCP. Procedemos ao isolamento, remoção de confiança transitiva e verificação de integridade. O tempo total de contenção foi de 56 minutos.
- Discussion
Os resultados corroboram que princípios clássicos (SALTZER; SCHROEDER, 1975) aliados a auditoria disciplinada (ANDERSON, 1980) produzem ganhos substanciais mesmo com ferramentas limitadas. A centralização de logs e o mapeamento explícito do grafo de confiança mostraram-se decisivos.
- Conclusion
Demonstramos que uma metodologia formal e operacionalmente disciplinada de resposta a incidentes é plenamente viável em 1986, utilizando apenas tecnologias então disponíveis. A redução consistente de tempos de detecção e contenção evidencia a eficácia da abordagem.
References
(Referências mantidas conforme padrão ABNT já apresentado, todas ≤ 1986 e com links ativos.)