Research / Paper Files
Paper Files
Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.
Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.
DAI & ADAI · 2026
DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis
DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…
Ler o paper →ADAI · PTInteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção
ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…
Ler o paper →116 papers
Detecção Híbrida e Orientada a Comportamento de Ameaças Avançadas em Ambientes Corporativos: Uma Arquitetura Multi-Camada Integrando Telemetria de Rede, Endpoint e Memória Volátil
A crescente sofisticação de ameaças persistentes avançadas (APTs) e campanhas de malware financeiramente motivadas até 2017 evidenciou limitações estruturais de mecanismos de detecção exclusivamente baseados em assinaturas. Relatórios setoriais indicavam tempos médios de permanência (dwell time) superiores a 90 dias em diversas regiões, revelando lacunas na correlação de eventos distribuídos ao longo da cadeia de ataque. Neste trabalho, propomos e avaliamos uma arquitetura híbrida de detecção multi-camada que integra telemetria de rede (Suricata e Zeek), endpoint (Sysmon), análise estática (YARA) e memória volátil (Volatility), combinadas por meio de um modelo formal baseado em grafos temporais ponderados. Formalizamos o problema de detecção como a identificação de subgrafos $G' \subseteq G$ que maximizam $P(Malicioso \mid G')$ sob restrições explícitas de taxa de falso positivo. Diferentemente de abordagens isoladas, nossa proposta realiza correlação orientada a táticas, técnicas e procedimentos (TTPs) conforme sistematizações consolidadas até 2017, reduzindo ruído operacional e aumentando a robustez contra evasão fileless e polimorfismo. Implementamos um protótipo em ambiente corporativo controlado com 120 máquinas virtuais Windows 10 e Windows Server 2016, processando 3,2 TB de tráfego e logs agregados. Avaliamos o desempenho comparativamente a baselines baseados exclusivamente em IDS de rede e em classificação estatística isolada. Os resultados demonstram aumento significativo do F1-score (0,93) e redução do tempo médio de detecção para 3,8 minutos, mantendo taxa de falso positivo inferior a 3%. Discutimos ainda limitações relacionadas à cobertura de logs, criptografia TLS e overhead computacional. Concluímos que a integração formalmente modelada de múltiplas fontes de telemetria constitui abordagem viável e operacionalmente sustentável para detecção precoce de ameaças avançadas em ambientes corporativos contemporâneos a 2017.
Read paper →DetectionArquitetura Híbrida e Adaptativa para Detecção Multicamadas de Ameaças Avançadas Baseada em Correlação Semântica, Telemetria Comportamental e Inteligência de Ameaças
A crescente sofisticação das ameaças cibernéticas observadas até 2018, incluindo campanhas de ransomware como WannaCry e NotPetya, operações de movimentação lateral em ambientes Windows e ataques direcionados com uso de ferramentas legítimas, evidenciou as limitações de mecanismos de detecção puramente baseados em assinaturas. Paralelamente, abordagens exclusivamente comportamentais demonstraram taxas elevadas de falsos positivos em ambientes corporativos heterogêneos. Neste trabalho, propomos uma arquitetura híbrida e adaptativa de detecção multicamadas que integra telemetria de rede, endpoint e memória, combinando assinaturas, modelos de anomalia e correlação semântica orientada ao framework MITRE ATT&CK (versões amplamente difundidas até 2018). Formalizamos o problema de detecção como uma otimização multiobjetivo que maximiza a taxa de detecção (TPR) e minimiza a taxa de falsos positivos (FPR), sujeita a restrições de latência operacional. Introduzimos um modelo de correlação baseado em grafos direcionados acíclicos que representa cadeias de técnicas adversárias, permitindo inferência contextual sobre sequências de eventos. Implementamos um protótipo distribuído utilizando Suricata, Sysmon, Wazuh, YARA, MISP, Apache Kafka e Elasticsearch, avaliando-o com os conjuntos de dados CIC-IDS2017 e UNSW-NB15, além de cenários controlados com ferramentas ofensivas amplamente utilizadas até 2018. Os resultados experimentais indicam que a abordagem proposta atinge TPR de 96,8% com FPR de 2,3%, superando métodos isolados baseados apenas em assinatura ou anomalia, com latência média inferior a 4 segundos sob carga de 10.000 eventos por segundo. Discutimos implicações operacionais para Centros de Operações de Segurança (SOC), limitações relacionadas à qualidade da telemetria e ao ajuste de limiares, bem como alinhamento com exigências regulatórias emergentes, como o Regulamento Geral de Proteção de Dados (GDPR). Concluímos que arquiteturas híbridas com correlação semântica estruturada constituem abordagem promissora para detecção de ameaças avançadas no contexto tecnológico vigente em 2018.
Read paper →DetectionArquitetura Híbrida e Formal para Detecção Multi-Camada de Ameaças Avançadas Baseada em Correlação Temporal, Aprendizado Estatístico e Inteligência de Ameaças
A crescente sofisticação de ataques multi-estágio, notadamente campanhas de ransomware, operações de APTs e exploração de vulnerabilidades amplamente divulgadas, impõe desafios estruturais aos mecanismos tradicionais de detecção. Em 2017 e 2018, incidentes como WannaCry, NotPetya e o aumento de ataques fileless evidenciaram que soluções puramente baseadas em assinatura ou exclusivamente orientadas por aprendizado de máquina apresentam limitações significativas quanto à cobertura, interpretabilidade e robustez operacional. Neste trabalho, propomos uma arquitetura híbrida e formal para detecção multi-camada de ameaças avançadas, integrando mecanismos baseados em assinatura (Suricata, YARA), telemetria de endpoint (Sysmon, auditd), correlação via SIEM (Elastic Stack) e modelos estatísticos supervisionados, articulados por um modelo matemático fundamentado em grafos temporais direcionados. Formalizamos o problema como a identificação de subgrafos $G' \subseteq G$ que maximizam $P(G'|\theta)$ sob restrições temporais, permitindo modelar cadeias de ataque segundo o framework MITRE ATT&CK, amplamente adotado até 2018. Avaliamos empiricamente a proposta utilizando o dataset CIC-IDS2017, tráfego corporativo anonimizado e execuções controladas do Atomic Red Team, medindo Precision, Recall e F1-score. Os resultados demonstram melhoria estatisticamente significativa em relação a abordagens isoladas, com redução substancial de falsos positivos e menor tempo médio de correlação. Discutimos ainda implicações operacionais, limitações computacionais inerentes à análise de grafos densos e aderência regulatória em contexto de GDPR (2018). Concluímos que a integração formal de múltiplas camadas de detecção, ancorada em modelagem matemática explícita e inteligência de ameaças estruturada, constitui abordagem eficaz e viável para ambientes corporativos contemporâneos.
Read paper →DetectionArquitetura Híbrida para Detecção Multicamadas de Ameaças Persistentes Avançadas: Correlação Estatística, Telemetria de Endpoint e Inteligência de Ameaças Orientada ao MITRE ATT&CK
A detecção de Ameaças Persistentes Avançadas (APTs) representa um dos principais desafios operacionais dos centros de operações de segurança (SOCs) contemporâneos. Relatórios de inteligência de 2017 e 2018 indicam tempos médios de permanência superiores a 90 dias em diversas regiões, evidenciando limitações estruturais de abordagens baseadas exclusivamente em assinaturas. Neste trabalho, propomos e avaliamos uma arquitetura híbrida multicamadas que integra telemetria de rede, monitoramento de endpoint e inteligência de ameaças estruturada segundo o framework MITRE ATT&CK (versões públicas até 2018). Formalizamos a correlação de eventos como um problema de inferência bayesiana sobre grafos direcionados de técnicas adversárias, no qual a probabilidade de comprometimento é estimada a partir da evidência observada em múltiplas fontes heterogêneas. Implementamos um protótipo funcional empregando ferramentas amplamente adotadas até 2018, incluindo Suricata 4.x, Zeek (Bro), Wazuh/OSSEC, Sysmon, Elastic Stack 6.x, YARA e integração com MISP para enriquecimento de indicadores de comprometimento (IoCs). Avaliamos empiricamente a solução utilizando os conjuntos de dados CIC-IDS2017 e UNSW-NB15, além de tráfego corporativo anonimizado (4,2 TB). Os resultados demonstram aumento significativo do F1-score (de 0,71 para 0,89) e redução da taxa de falsos positivos (de 12,4% para 7,6%) em comparação com um baseline baseado exclusivamente em assinaturas. Adicionalmente, observamos redução no tempo de correlação de técnicas críticas, como execução de comandos (T1059) e movimentação lateral via SMB (T1021), com latência média de 4,3 segundos. Concluímos que a integração probabilística orientada a ATT&CK constitui abordagem promissora para redução de ruído operacional e aumento de visibilidade sobre cadeias de ataque complexas, mantendo viabilidade computacional e operacional em ambientes corporativos reais de 2018.
Read paper →DetectionDetecção Adaptativa Multicamadas Orientada ao MITRE ATT&CK: Arquitetura Híbrida para Correlação em Tempo Real de Telemetria de Endpoint, Rede e Memória (2018)
A crescente complexidade dos ambientes corporativos em 2018 — caracterizados por virtualização extensiva, adoção inicial de arquiteturas cloud-native, integração contínua (CI/CD) e mobilidade — ampliou substancialmente a superfície de ataque organizacional. Paralelamente, campanhas como WannaCry e NotPetya (2017) e o surgimento do ransomware Ryuk (2018) evidenciaram a eficácia de técnicas de movimento lateral, abuso de credenciais e uso de ferramentas legítimas do sistema operacional. Nesse contexto, mecanismos tradicionais de detecção baseados exclusivamente em assinaturas mostraram-se insuficientes para lidar com adversários que exploram técnicas “living-off-the-land”. Propomos, neste trabalho, uma arquitetura híbrida de detecção adaptativa multicamadas orientada ao framework MITRE ATT&CK (versões públicas até 2018), combinando regras determinísticas e inferência estatística bayesiana para correlação em tempo real de telemetria proveniente de endpoints (Sysmon), rede (Suricata e Zeek) e memória (Volatility). Formalizamos o problema como inferência probabilística sobre sequências temporais de eventos correlacionados, incorporando pesos associados a técnicas adversariais. Demonstramos que a abordagem híbrida reduz a taxa de falsos positivos em comparação a métodos puramente baseados em assinatura ou em aprendizado de máquina isolado, mantendo latência operacional compatível com ambientes de alta volumetria (≥50.000 eventos por segundo). A avaliação experimental, conduzida em laboratório com 120 máquinas virtuais e 480 cenários de ataque simulados, apresentou taxa de detecção (TPR) de 0,94 e taxa de falsos positivos (FPR) de 0,10. Discutimos implicações operacionais, limitações e alinhamento com práticas emergentes de threat hunting orientadas a ATT&CK em 2018.
Read paper →DetectionArquitetura Híbrida Multicamadas para Detecção Proativa de Ameaças Avançadas Baseada em Telemetria Multissensor e Correlação Orientada ao MITRE ATT&CK
A crescente sofisticação das ameaças cibernéticas até 2019, marcada por campanhas como WannaCry, NotPetya e Ryuk, evidenciou limitações de sistemas de detecção baseados exclusivamente em assinaturas e indicadores de comprometimento (IOCs). O tempo médio de permanência de atacantes em ambientes corporativos permanece elevado, frequentemente superior a 50 dias em cenários globais, segundo relatórios contemporâneos da indústria. Nesse contexto, propomos uma arquitetura híbrida multicamadas para detecção proativa de ameaças avançadas baseada em telemetria multissensor e correlação orientada ao framework MITRE ATT&CK, amplamente adotado até 2019 como taxonomia de TTPs (Tactics, Techniques and Procedures). Formalizamos o problema como classificação probabilística temporal sobre sequências de eventos heterogêneos e modelamos a correlação como busca de caminhos críticos em grafos dirigidos anotados por técnicas ATT&CK. A arquitetura integra NIDS (Suricata), telemetria de endpoint (Sysmon + Wazuh), regras Sigma, YARA e indexação distribuída via Elastic Stack 7.x, compatível com o estado tecnológico de 2019. Avaliamos empiricamente a solução em ambiente controlado com 124 ativos e 4,2 TB de tráfego, simulando cadeias de ataque inspiradas em campanhas de ransomware prevalentes até 2018. Os resultados demonstram aumento de 23 pontos percentuais na taxa de detecção em comparação com abordagem puramente baseada em assinaturas, redução de 42% no tempo médio de detecção (MTTD) e manutenção de FPR inferior a 6%. Discutimos implicações operacionais para SOCs, limitações metodológicas e requisitos de escalabilidade. Concluímos que a correlação orientada a TTPs, quando combinada a classificação probabilística e telemetria abrangente, constitui abordagem viável e eficaz para mitigação de ameaças avançadas no contexto tecnológico de 2019.
Read paper →DetectionArquitetura Híbrida e Formalmente Fundamentada para Detecção Multicamadas de Ameaças Avançadas em Ambientes Corporativos de Alta Escala
A detecção de ameaças avançadas em ambientes corporativos de larga escala constitui um desafio central da segurança da informação contemporânea, especialmente diante da crescente adoção de infraestrutura virtualizada, serviços em nuvem e criptografia ubíqua em protocolos como TLS 1.2 e TLS 1.3. Abordagens exclusivamente baseadas em assinaturas têm se mostrado insuficientes frente a campanhas multiestágio, uso de ferramentas legítimas para fins maliciosos e técnicas fileless amplamente observadas em incidentes recentes, como WannaCry, NotPetya e Ryuk. Neste trabalho, propomos uma arquitetura híbrida multicamadas que integra mecanismos determinísticos e probabilísticos sob fundamentação formal explícita. Modelamos o problema de detecção como uma tarefa de classificação supervisionada sujeita a restrições operacionais de latência e taxa de falso positivo, complementada por um mecanismo de correlação baseado em grafos alinhado à base de conhecimento MITRE ATT&CK (versões até 2019). Formalizamos critérios de desempenho por meio de métricas como True Positive Rate (TPR), False Positive Rate (FPR) e Mean Time to Detect (MTTD), estabelecendo limites quantitativos compatíveis com ambientes de Security Operations Center (SOC). Implementamos um protótipo operacional utilizando ferramentas consolidadas até 2019, incluindo Suricata, Zeek, Wazuh, Elastic Stack 7.x e modelos de aprendizado de máquina baseados em Random Forest e Gradient Boosting. Avaliamos a proposta em ambiente corporativo com bilhões de eventos reais, demonstrando ganhos estatisticamente significativos na redução do MTTD e na melhoria da precisão quando comparada a abordagens isoladas. Os resultados indicam que a integração formalmente orientada de múltiplas camadas, aliada à correlação temporal e semântica de eventos, constitui estratégia eficaz para detecção de campanhas avançadas, mantendo viabilidade operacional em cenários de alta volumetria.
Read paper →DetectionArquitetura Híbrida de Detecção Multi-Camada Baseada em Correlação Temporal e Inteligência de Ameaças para Ambientes Corporativos de Alta Escala (2019)
A detecção de ameaças constitui o núcleo operacional de centros de operações de segurança (SOC) em ambientes corporativos caracterizados por infraestruturas híbridas, virtualização extensiva, mobilidade e adoção progressiva de serviços em nuvem. Em 2019, observa-se o aumento de ataques multiestágio, incluindo campanhas de ransomware como WannaCry, NotPetya e Ryuk, além de operações associadas a ameaças persistentes avançadas (APT). Sistemas tradicionais baseados exclusivamente em assinaturas demonstram limitações na identificação precoce de cadeias de ataque compostas por técnicas distintas e distribuídas temporalmente. Neste trabalho, propomos uma arquitetura híbrida de detecção multi-camada fundamentada em correlação temporal de eventos e enriquecimento por inteligência de ameaças estruturada (STIX/TAXII), alinhada ao framework MITRE ATT&CK (versões até 2019). Formalizamos o problema de detecção como correspondência de subgrafos temporais em um grafo direcionado acíclico que representa padrões de ataque. Definimos propriedades formais de completude, consistência temporal e restrições de latência operacional. Implementamos um protótipo integrando Suricata 4.x, Elastic Stack 7.x, Wazuh 3.x, MISP 2.4 e regras Sigma convertidas para Elasticsearch DSL. Avaliamos a solução em ambiente corporativo com ingestão superior a 50.000 eventos por segundo durante 30 dias, totalizando 4,2 TB de logs. Comparações com abordagens baseadas apenas em assinatura e com classificador Random Forest evidenciam melhoria estatisticamente significativa no F1-score (0,93) e redução de falsos negativos (6,3%), mantendo latência média inferior a 4 segundos. Concluímos que a modelagem por grafos temporais associada a inteligência de ameaças estruturada proporciona ganhos mensuráveis na detecção de ataques multiestágio em ambientes de alta escala, mantendo viabilidade operacional em cenários reais de 2019.
Read paper →DetectionUm Modelo Operacional para Detecção de Intrusões em Sistemas UNIX e Redes TCP/IP Baseado em Perfis Estatísticos e Auditoria de Sistema
A rápida expansão de redes de computadores baseadas em TCP/IP ao longo da década de 1980 ampliou significativamente a superfície de ataque de sistemas multiusuário, particularmente aqueles baseados em UNIX conectados a redes acadêmicas e governamentais. Episódios como o Worm de Morris em 1988 demonstraram que ataques automatizados podem se propagar rapidamente por redes interconectadas, explorando vulnerabilidades de software e práticas inadequadas de administração de sistemas. Este cenário torna evidente a necessidade de mecanismos sistemáticos de detecção de intrusão capazes de identificar atividades maliciosas antes que comprometam completamente a integridade ou disponibilidade de um sistema. Este trabalho apresenta um modelo prático de detecção de intrusões orientado por auditoria de sistema e análise estatística de comportamento, inspirado em trabalhos pioneiros como o modelo de detecção de intrusão de Denning (1987) e implementações experimentais como IDES e Haystack. A proposta concentra-se em ambientes UNIX conectados por redes Ethernet e protocolos TCP/IP, empregando registros de auditoria (`syslog`, registros de login, comandos executados e tráfego de rede capturado com `tcpdump`) para construir perfis comportamentais de usuários e serviços. Esses perfis são modelados por distribuições estatísticas e cadeias de transição de eventos, permitindo a identificação de desvios significativos associados a atividades suspeitas. A metodologia combina três camadas complementares: monitoramento de atividades de sistema, análise estatística de perfis de usuário e correlação de eventos de rede. Um mecanismo de detecção baseado em limiares probabilísticos identifica anomalias operacionais como picos incomuns de login, execução de comandos administrativos por usuários não privilegiados e padrões de tráfego que sugerem exploração de vulnerabilidades. A arquitetura foi implementada em um ambiente experimental com estações UNIX BSD conectadas por Ethernet, utilizando ferramentas padrão do sistema e scripts de análise. Os resultados experimentais indicam que o modelo proposto pode detectar diversas classes de intrusão conhecidas na época, incluindo exploração de serviços remotos, uso indevido de contas comprometidas e tentativas automatizadas de propagação de worm. A avaliação demonstra que a combinação de perfis comportamentais e monitoramento de rede reduz significativamente falsos positivos quando comparada a métodos baseados apenas em regras estáticas. Este trabalho contribui para o desenvolvimento de sistemas de detecção de intrusão operacionais e destaca a importância da auditoria contínua em ambientes de rede distribuídos.
Read paper →DetectionDetecção de Intrusões em Sistemas Conectados por TCP/IP: Modelagem Estatística, Auditoria de Hosts UNIX e Monitoramento de Rede no Contexto de Segurança Computacional de 1990
A crescente interconexão de sistemas computacionais por meio de redes TCP/IP ao longo da década de 1980 introduziu uma nova classe de riscos operacionais para ambientes acadêmicos, governamentais e corporativos. Ataques como exploração de confiança entre hosts, abuso de serviços de rede e propagação automatizada de código malicioso — evidenciados dramaticamente pelo worm da Internet de 1988 — demonstraram que mecanismos tradicionais de controle de acesso são insuficientes para detectar atividades hostis após a obtenção de acesso inicial. Este trabalho investiga técnicas sistemáticas de detecção de intrusão baseadas em auditoria de sistemas e monitoramento de tráfego de rede, considerando o estado da arte disponível até 1990. Partindo dos modelos conceituais propostos por Anderson (1980) e Denning (1987), apresentamos uma abordagem híbrida que combina análise estatística de comportamento com assinaturas de padrões de ataque conhecidos. A metodologia proposta utiliza registros de auditoria de sistemas UNIX, fluxos de pacotes TCP/IP capturados em nível de rede e eventos de autenticação para construir perfis de comportamento de usuários e serviços. Esses perfis são modelados estatisticamente e avaliados por meio de métricas de desvio probabilístico capazes de identificar anomalias significativas. A implementação experimental descrita neste trabalho utiliza ferramentas disponíveis em ambientes BSD UNIX, incluindo `tcpdump`, `syslog`, `acct` e utilitários padrão de monitoramento. O sistema proposto realiza coleta contínua de eventos, normalização de registros e avaliação de anomalias utilizando funções de distribuição estatística. A eficácia do método é avaliada por meio de experimentos conduzidos em uma rede acadêmica composta por múltiplos hosts UNIX interligados via Ethernet. Os resultados indicam que a combinação de auditoria de host com análise de tráfego de rede aumenta significativamente a capacidade de identificar comportamentos suspeitos, incluindo varreduras de serviços, tentativas repetidas de autenticação e exploração de confiança entre máquinas. Um estudo de caso baseado em características observadas durante a análise do worm de 1988 demonstra como padrões de propagação automatizada podem ser detectados por meio de anomalias estatísticas em conexões SMTP e `rsh`. Concluímos que sistemas de detecção de intrusão constituem um componente essencial da arquitetura de segurança de redes modernas. Embora limitações computacionais e volume de dados ainda representem desafios significativos, os resultados demonstram que mecanismos automatizados de detecção são viáveis e oferecem uma camada crítica de defesa complementar aos controles preventivos tradicionais.
Read paper →DetectionArquitetura Híbrida e Formalmente Modelada para Detecção Multi-Camada de Ameaças Avançadas em Ambientes Corporativos Baseada em Telemetria de Rede, Endpoint e Memória
A detecção de ameaças avançadas em ambientes corporativos representa, em 2020, um dos principais desafios técnicos e organizacionais da segurança da informação. A expansão de infraestruturas híbridas, a adoção crescente de serviços em nuvem, a mobilidade corporativa e a sofisticação de adversários persistentes ampliaram substancialmente a superfície de ataque. Paralelamente, técnicas de evasão baseadas em ferramentas legítimas do sistema operacional, frequentemente descritas como Living-off-the-Land, reduziram a eficácia de mecanismos puramente baseados em assinaturas. Neste trabalho, propomos uma arquitetura híbrida de detecção multi-camada fundamentada em modelagem formal baseada em grafos temporais rotulados. Formalizamos o problema de detecção como uma instância de reconhecimento de subgrafos em grafos direcionados com restrições temporais, demonstrando sua relação com o problema clássico de isomorfismo de subgrafos e estabelecendo propriedades de correção do algoritmo de correlação proposto. Integramos telemetria de rede (Suricata), endpoint (Sysmon), análise de memória (Volatility e YARA) e normalização via Elastic Stack, com regras baseadas em Sigma e mapeamento explícito ao framework MITRE ATT&CK (versões até 2020). Avaliamos qualitativamente a abordagem em dois cenários experimentais: ambiente corporativo Windows e infraestrutura industrial simulada. Os resultados indicam que a correlação multi-fonte reduz redundância de alertas, melhora a contextualização de cadeias multi-etapa e possibilita resposta mais estruturada a incidentes complexos, com sobrecarga computacional linear no volume de eventos e custo adicional concentrado em armazenamento e indexação. Discutimos limitações associadas à complexidade computacional inerente, à qualidade da telemetria e à necessidade de ajuste contínuo. Concluímos que a modelagem formal da detecção contribui para maior rigor analítico, transparência decisória e alinhamento entre teoria e prática operacional em Centros de Operações de Segurança (SOC) até o estado da arte de 2020.
Read paper →DetectionArquitetura Híbrida e Formal para Detecção Multi-Camada de Ameaças Avançadas Baseada em Correlação Temporal, Modelagem Estatística e Mapeamento MITRE ATT&CK
Este trabalho propõe e avalia uma arquitetura híbrida e formal para detecção multi-camada de ameaças avançadas em ambientes corporativos, combinando regras semânticas, modelagem estatística temporal e correlação baseada em grafos com mapeamento explícito ao framework MITRE ATT&CK. Diferentemente de abordagens exclusivamente baseadas em assinaturas ou puramente anômalas, nossa proposta integra mecanismos determinísticos (regras Sigma, YARA e assinaturas Suricata) com modelos estatísticos por host e um mecanismo formal de encadeamento temporal de eventos. Formalizamos o problema de detecção como uma tarefa de classificação sobre sequências temporais sujeita a restrições semânticas derivadas de cadeias de ataque compatíveis com ATT&CK. Demonstramos que a correlação estruturada reduz significativamente falsos positivos ao exigir consistência causal e temporal entre eventos heterogêneos (rede, endpoint e autenticação). Implementamos a arquitetura utilizando Elastic Stack, Apache Kafka, Suricata, Sysmon e Neo4j, avaliando-a com dados reais (3,2 bilhões de eventos) e com o conjunto CIC-IDS2017. Os resultados indicam aumento de TPR para 96,4%, redução de FPR para 4,6% e diminuição do MTTD em 27% quando comparado a baselines isolados. Além disso, analisamos um estudo de caso baseado na exploração da vulnerabilidade CVE-2017-5638 (Apache Struts), demonstrando a eficácia da correlação multi-camada na reconstrução de uma cadeia de ataque T1190 → T1059 → T1047. Concluímos que a integração formal entre modelagem estatística e semântica operacional oferece ganhos mensuráveis de precisão e interpretabilidade, mantendo escalabilidade em ambientes de grande porte.
Read paper →DetectionUma Arquitetura Híbrida Baseada em Correlação Multicamada e Aprendizado Estatístico para Detecção Proativa de Ameaças Avançadas em Ambientes Corporativos
A crescente sofisticação das ameaças cibernéticas em ambientes corporativos impõe limitações estruturais aos mecanismos tradicionais de detecção baseados exclusivamente em assinaturas estáticas. Campanhas de ransomware como WannaCry (2017), ataques direcionados com uso de ferramentas como Cobalt Strike e técnicas de movimentação lateral amplamente documentadas no framework MITRE ATT&CK evidenciam a necessidade de abordagens capazes de correlacionar eventos heterogêneos em múltiplas camadas temporais. Neste trabalho, propomos e avaliamos formalmente uma arquitetura híbrida que combina regras determinísticas, detecção estatística de anomalias e fusão bayesiana incremental para identificação proativa de ataques multiestágio. Modelamos o problema de detecção como uma tarefa de decisão sobre fluxos temporais estocásticos, definindo formalmente o espaço de eventos, a função de decisão e os critérios de desempenho. A arquitetura proposta integra telemetria de rede e host (Suricata, Sysmon), normalização via pipeline de logs, motor de regras compatível com Sigma e módulo estatístico baseado em Isolation Forest. Demonstramos que a fusão probabilística incremental permite reduzir significativamente falsos positivos sem degradação de recall em comparação com abordagens isoladas. A avaliação experimental foi conduzida com datasets públicos amplamente utilizados até 2020 (CIC-IDS2017, UNSW-NB15) e com 3,2 TB de logs corporativos anonimizados, totalizando bilhões de eventos. Os resultados indicam ganho de 37% na redução de falsos positivos e latência média inferior a 5 segundos para detecção de sequências envolvendo despejo de credenciais e movimentação lateral. Discutimos implicações práticas, limitações relacionadas a drift conceitual e qualidade da telemetria, e apresentamos direções de aprimoramento compatíveis com o estado da arte até 2020.
Read paper →DetectionArquitetura Híbrida Baseada em Telemetria Multicamadas e Detecção Comportamental para Identificação de Ameaças Avançadas em Ambientes Corporativos (2020)
A detecção de ameaças avançadas constitui elemento central das estratégias modernas de defesa cibernética, especialmente diante da consolidação de técnicas como living-off-the-land, abuso de credenciais legítimas e movimentação lateral furtiva observadas até 2020. Sistemas tradicionais baseados exclusivamente em assinaturas apresentam limitações frente a malware polimórfico e ataques fileless, enquanto abordagens puramente baseadas em aprendizado de máquina frequentemente sofrem com altas taxas de falsos positivos e dificuldades de operacionalização em ambientes corporativos reais. Neste trabalho, propomos uma arquitetura híbrida de detecção baseada na integração de telemetria multicamadas — rede, endpoint e autenticação — combinada com modelagem probabilística em grafos temporais. Formalizamos o problema como inferência sobre um grafo direcionado $G_t = (V, E_t)$, no qual vértices representam entidades (hosts, usuários e processos) e arestas representam interações temporais ponderadas por probabilidades de malícia. Propomos um mecanismo de pontuação híbrido que combina regras determinísticas (Snort/Suricata, Zeek, Sigma, YARA) com modelo comportamental baseado em Isolation Forest, integrando ainda contexto estrutural extraído do grafo de eventos. Avaliamos empiricamente a arquitetura em ambiente corporativo com 1.200 endpoints e 50 servidores, simulando 4.500 eventos maliciosos alinhados à matriz MITRE ATT&CK (versões até 2020). Os resultados indicam aumento do True Positive Rate para 94,3%, redução de False Positive Rate para 4,1% e diminuição do Mean Time To Detect para 4,7 minutos, superando abordagens isoladas baseadas apenas em assinatura ou apenas em aprendizado de máquina. Discutimos implicações operacionais para centros de operações de segurança (SOC), limitações computacionais e requisitos de qualidade de telemetria. Concluímos que a integração formalmente fundamentada entre correlação temporal, inferência probabilística e detecção híbrida representa avanço substancial para identificação precoce de cadeias completas de ataque em ambientes corporativos até o estado da arte de 2020.
Read paper →DetectionArquiteturas e Técnicas de Detecção de Intrusões em Sistemas UNIX Conectados à ARPANET: Modelagem Estatística, Monitoramento de Rede e Análise de Trilhas de Auditoria (1990)
A crescente interconexão de sistemas computacionais através de redes TCP/IP, particularmente na ARPANET e em redes acadêmicas derivadas, introduziu um novo conjunto de desafios relacionados à segurança operacional. Enquanto mecanismos clássicos de controle de acesso, como listas de permissões e autenticação por senha, continuam sendo amplamente utilizados, evidências empíricas demonstram que tais mecanismos são insuficientes para impedir intrusões quando credenciais são comprometidas ou vulnerabilidades de software são exploradas. Nesse contexto, mecanismos de detecção de intrusões emergem como uma camada complementar essencial para a defesa de sistemas multiusuário e redes distribuídas. Este artigo apresenta um estudo aprofundado das técnicas de detecção de intrusões disponíveis até 1990, com foco particular em ambientes UNIX conectados por TCP/IP. A pesquisa baseia-se em três pilares principais: análise de trilhas de auditoria de sistemas operacionais, monitoramento passivo de tráfego de rede e modelagem estatística do comportamento de usuários. A partir do modelo conceitual proposto por Denning (1987), desenvolvemos uma metodologia prática que integra coleta de logs (`syslog`), captura de pacotes via `tcpdump` e verificação periódica de integridade e configuração utilizando ferramentas como o Computer Oracle and Password System (COPS). O trabalho também formaliza um modelo de ameaça representativo do cenário operacional da ARPANET no final da década de 1980, incluindo exploração de serviços de rede vulneráveis (por exemplo `sendmail`, `fingerd`), ataques de força bruta contra senhas e propagação de programas auto-replicantes, como demonstrado pelo worm de Morris em 1988. Propomos um conjunto de métricas estatísticas para detectar desvios significativos no comportamento de usuários e processos, utilizando distribuições de frequência de comandos, taxas de conexão de rede e padrões temporais de login. Para validar a abordagem, conduzimos experimentos em um laboratório composto por sistemas SunOS e BSD UNIX interconectados via Ethernet. Os resultados indicam que a combinação de análise estatística e monitoramento de rede permite detectar uma variedade de atividades maliciosas com taxa de detecção superior a 80% em cenários controlados, mantendo níveis aceitáveis de falsos positivos. O artigo conclui discutindo limitações práticas, incluindo custos computacionais de análise em tempo quase real e a dificuldade de distinguir comportamento legítimo atípico de atividade maliciosa. Finalmente, são apresentadas direções futuras de pesquisa, incluindo integração de sensores distribuídos e sistemas de resposta automatizada.
Read paper →DetectionDetecção de Intrusões em Sistemas Unix e Redes TCP/IP: Um Método Estatístico-Operacional Baseado em Perfis de Comportamento (Contexto Tecnológico de 1990)
A crescente interconexão de sistemas computacionais durante a década de 1980, particularmente em ambientes UNIX conectados por redes TCP/IP e pela ARPANET, ampliou significativamente a superfície de ataque disponível a adversários técnicos. Incidentes documentados envolvendo acesso não autorizado, exploração de vulnerabilidades em serviços de rede e abuso de credenciais demonstraram que mecanismos tradicionais de segurança — como controle de acesso discricionário, autenticação por senha e auditoria manual — são insuficientes para detectar atividades maliciosas em tempo hábil. Este artigo apresenta uma abordagem sistemática para detecção de intrusões baseada em análise estatística de perfis de comportamento e monitoramento contínuo de eventos do sistema operacional e da rede. O trabalho parte da hipótese central estabelecida por Denning (1987): atividades maliciosas produzem padrões observáveis anômalos em relação ao comportamento normal de usuários e processos. A partir dessa premissa, propomos uma arquitetura de detecção composta por três componentes principais: coleta de dados (audit trails e tráfego de rede), modelagem estatística de perfis comportamentais e um mecanismo de decisão baseado em limiares adaptativos. O modelo utiliza métricas operacionais como frequência de comandos, taxa de acesso a arquivos sensíveis, duração de sessões e padrões de comunicação de rede. Para avaliar a viabilidade prática do método, implementamos um protótipo em ambiente UNIX (SunOS e BSD) utilizando registros de auditoria, logs de autenticação e captura de pacotes via `tcpdump`. Os dados coletados foram processados por rotinas estatísticas para cálculo de médias, variâncias e desvios padronizados, permitindo a identificação automática de desvios significativos. O sistema foi avaliado em um laboratório com múltiplos hosts conectados por Ethernet, simulando cenários realistas de uso legítimo e atividades intrusivas inspiradas em incidentes documentados na ARPANET. Os resultados demonstram que técnicas baseadas em perfis estatísticos podem detectar diversas classes de intrusão, incluindo uso indevido de contas privilegiadas, varreduras de rede e tentativas de exploração de serviços vulneráveis. Embora desafios permaneçam — especialmente no controle de falsos positivos e na escalabilidade — a abordagem proposta oferece um mecanismo operacionalmente viável para monitoramento de segurança em infraestruturas UNIX contemporâneas. Este estudo contribui para o desenvolvimento de sistemas automatizados de detecção de intrusões e estabelece fundamentos metodológicos para futuras pesquisas em monitoramento de segurança computacional.
Read paper →DetectionTécnicas de Detecção de Intrusões em Sistemas Interconectados: Uma Abordagem Baseada em Auditoria, Análise Estatística e Monitoramento de Rede no Contexto de Sistemas UNIX e TCP/IP (1990)
A crescente interconexão de sistemas computacionais por meio de redes baseadas em TCP/IP introduziu uma nova classe de riscos operacionais associados a acessos não autorizados, abuso de privilégios e exploração de vulnerabilidades em serviços de rede. Incidentes recentes, como o worm de Morris em 1988, demonstraram que mecanismos tradicionais de segurança baseados exclusivamente em controle de acesso e autenticação são insuficientes para proteger infraestruturas distribuídas. Neste contexto, sistemas de detecção de intrusão emergem como um mecanismo complementar essencial para identificar atividades maliciosas ou anômalas após ou durante sua ocorrência. Este trabalho apresenta uma análise sistemática de técnicas de detecção de intrusão aplicáveis ao ambiente tecnológico disponível até 1990, com foco em sistemas UNIX interligados por redes TCP/IP. Inicialmente, revisamos a literatura seminal sobre auditoria de segurança e detecção de intrusão, incluindo os modelos conceituais de Anderson (1980) e o sistema IDES proposto por Denning (1987). Em seguida, formalizamos um modelo de ameaça adequado ao cenário de redes acadêmicas e institucionais da época, considerando vetores como exploração de serviços `sendmail`, ataques de password guessing via `rlogin`, abuso de contas privilegiadas e replicação de worms. Propomos uma metodologia híbrida de detecção baseada em três pilares: análise de registros de auditoria do sistema operacional, inspeção de tráfego de rede via captura de pacotes e detecção estatística de desvios comportamentais. A implementação experimental foi conduzida em um ambiente UNIX com monitoramento utilizando `tcpdump`, análise de `syslog` e ferramentas de auditoria como COPS e Tripwire. Resultados experimentais demonstram que a combinação de análise estatística de eventos com assinaturas de padrões conhecidos permite identificar com elevada precisão atividades associadas a intrusão, incluindo tentativas repetidas de autenticação e varreduras rudimentares de serviços. Um estudo de caso baseado em padrões observados durante o worm de Morris ilustra a aplicabilidade prática do modelo proposto. Finalmente, discutimos limitações operacionais, incluindo custos computacionais e altas taxas de falsos positivos em ambientes altamente dinâmicos. O trabalho conclui que sistemas de detecção baseados em auditoria e análise estatística representam um componente fundamental para a segurança de redes abertas emergentes, especialmente em ambientes acadêmicos e governamentais.
Read paper →DetectionArquiteturas e Métodos de Detecção de Intrusão em Sistemas Computacionais Conectados: Modelagem Estatística, Auditoria de Sistemas e Monitoramento de Redes no Contexto da Internet Pré‑Comercial
A crescente interconexão de sistemas computacionais ao longo da década de 1980, especialmente através da ARPANET e de redes acadêmicas baseadas em TCP/IP, introduziu um novo conjunto de riscos operacionais relacionados ao acesso não autorizado, abuso de privilégios e disseminação automatizada de programas maliciosos. Incidentes como o worm de Morris em 1988 demonstraram que mecanismos tradicionais de segurança — principalmente controle de acesso e autenticação — são insuficientes para garantir a integridade operacional de ambientes multiusuário interconectados. Nesse contexto, sistemas de detecção de intrusão (Intrusion Detection Systems – IDS) emergem como um componente complementar fundamental da defesa computacional. Este trabalho apresenta uma análise abrangente das técnicas de detecção disponíveis até 1989, enfatizando modelos baseados em auditoria de sistemas operacionais, análise estatística de comportamento e monitoramento de tráfego de rede. Inicialmente revisamos a literatura fundamental que estabeleceu os princípios da área, incluindo o modelo de detecção de intrusão de Denning e os sistemas experimentais IDES, Haystack e NADIR. Em seguida formalizamos o problema de detecção como uma tarefa de classificação baseada em desvios estatísticos de perfis de comportamento normal. Propomos uma metodologia operacional para implementação de detecção baseada em três fontes principais de telemetria: registros de auditoria do sistema operacional, eventos de autenticação e monitoramento de tráfego TCP/IP. A implementação proposta utiliza mecanismos disponíveis em sistemas UNIX contemporâneos, incluindo registros de `syslog`, coleta de trilhas de auditoria e captura de pacotes com ferramentas como `tcpdump`. Realizamos uma avaliação experimental utilizando cenários de intrusão inspirados em incidentes documentados na literatura, incluindo exploração de serviços de rede, escalonamento de privilégios e replicação de worms. Os resultados demonstram que métodos estatísticos simples podem detectar padrões anômalos com taxas de detecção superiores a 80% em certos cenários, embora a taxa de falsos positivos permaneça um desafio significativo. Um estudo de caso baseado na análise do worm de Morris ilustra como indicadores observáveis — como taxas anômalas de conexões e execuções repetidas de serviços — poderiam ter sido utilizados para detecção antecipada. Concluímos discutindo limitações técnicas, desafios operacionais e direções futuras para pesquisa em detecção de intrusão, incluindo correlação de eventos, sensores distribuídos e integração com mecanismos de resposta automatizada.
Read paper →DetectionMecanismos de Detecção de Intrusões em Sistemas de Computação Conectados em Rede: Modelagem Estatística, Auditoria de Sistemas Unix e Monitoramento de Tráfego em Ambientes ARPANET/Ethernet
A crescente interconexão de sistemas computacionais ao longo da década de 1980, particularmente através de redes como ARPANET, MILNET e infraestruturas Ethernet corporativas, ampliou substancialmente a superfície de ataque disponível para intrusos. Embora mecanismos tradicionais de segurança — como autenticação por senha, controles de acesso baseados em listas e modelos formais como Bell-LaPadula — tenham sido amplamente estudados, tais mecanismos concentram-se principalmente em prevenção. Na prática operacional, diversos incidentes demonstraram que mecanismos preventivos são insuficientes diante de erros de configuração, vulnerabilidades de software ou abuso de credenciais legítimas. Consequentemente, a detecção de intrusões emergiu como uma disciplina crítica para a defesa de sistemas computacionais. Este trabalho apresenta uma análise sistemática de técnicas de detecção de intrusões aplicáveis ao cenário tecnológico de 1989. Baseamo-nos principalmente no modelo conceitual proposto por Denning (1987), expandindo-o com uma abordagem operacional voltada para ambientes Unix conectados em rede TCP/IP. Investigamos três fontes primárias de evidência: trilhas de auditoria de sistemas operacionais, registros de autenticação e monitoramento de tráfego de rede utilizando sniffers baseados em `tcpdump`. Propomos um arcabouço híbrido que combina detecção baseada em assinaturas comportamentais e detecção estatística de anomalias. A metodologia apresentada utiliza perfis de comportamento de usuários e processos derivados de métricas como frequência de login, padrões de acesso a arquivos, duração de sessões e volume de tráfego de rede. Tais métricas são modeladas estatisticamente e avaliadas por meio de limiares adaptativos calculados a partir de distribuições históricas de atividade. Demonstramos que desvios significativos desses perfis podem indicar comprometimento de contas, escalonamento de privilégios ou propagação de worms, como evidenciado no incidente do worm de Morris em 1988. Também descrevemos uma implementação experimental em ambiente Unix BSD conectado via Ethernet, utilizando ferramentas de auditoria padrão do sistema e captura de pacotes em nível de interface de rede. Resultados experimentais demonstram que a abordagem é capaz de identificar atividades anômalas com taxas de detecção superiores a 80% em cenários simulados de ataque. Finalmente, discutimos limitações práticas da detecção de intrusões na infraestrutura atual, incluindo custo de armazenamento de logs, desempenho e taxas de falso positivo. Concluímos que sistemas de detecção constituem um componente essencial de uma arquitetura de segurança em profundidade e delineamos direções futuras de pesquisa, incluindo análise distribuída de eventos e integração com mecanismos automáticos de resposta.
Read paper →DetectionDetecção de Intrusões em Redes TCP/IP e Sistemas UNIX: Modelos Estatísticos, Auditoria de Eventos e Análise de Tráfego em Ambientes Conectados (1989)
A crescente interconexão entre sistemas computacionais através de redes TCP/IP — particularmente ARPANET, MILNET e a emergente NSFNET — ampliou significativamente a superfície de ataque contra infraestruturas computacionais institucionais. Incidentes recentes, como o worm propagado na Internet em 1988, demonstraram que mecanismos tradicionais de controle de acesso e autenticação são insuficientes para detectar compromissos ativos ou abusos internos. Este trabalho examina sistematicamente o problema da detecção de intrusões em sistemas UNIX conectados em rede, propondo uma abordagem baseada em análise estatística de auditoria de eventos e inspeção de tráfego TCP/IP. A pesquisa combina conceitos introduzidos por Anderson (1980) e Denning (1987), aplicando-os em um modelo operacional que integra coleta de logs do sistema, monitoramento de chamadas de sistema e captura de pacotes de rede. A metodologia proposta estrutura a detecção em três camadas: monitoramento de auditoria do sistema operacional, análise estatística de perfis de comportamento de usuários e inspeção de padrões de comunicação em rede. Demonstramos que ataques característicos — incluindo exploração de falhas em serviços de rede, tentativa sistemática de quebra de senhas e propagação automatizada entre hosts — produzem anomalias mensuráveis em métricas operacionais como frequência de login, taxa de conexões TCP e distribuição temporal de comandos executados. Um protótipo experimental foi implementado em sistemas UNIX BSD conectados via Ethernet e TCP/IP, utilizando mecanismos de auditoria do sistema e captura de pacotes com ferramentas como `tcpdump`. Dados coletados durante um período de observação controlado foram analisados utilizando modelos estatísticos de desvio padrão e detecção de anomalias. Os resultados indicam que padrões anormais associados a comportamento malicioso podem ser detectados com antecedência suficiente para permitir resposta operacional. Além disso, o trabalho discute limitações práticas, incluindo volume de dados de auditoria, evasão por atacantes e custo computacional de análise contínua. Também são analisadas implicações arquiteturais para sistemas de detecção distribuída em redes acadêmicas e governamentais. Conclui-se que sistemas automatizados de detecção baseados em auditoria e análise estatística representam um componente essencial para a defesa de redes interconectadas. O estudo contribui com uma metodologia operacional reproduzível e fornece evidências experimentais de sua eficácia em ambientes reais de computação em rede no final da década de 1980.
Read paper →DetectionDetecção de Intrusões em Sistemas Unix e Redes TCP/IP: Um Modelo Operacional Baseado em Análise Estatística de Trilhas de Auditoria (1989)
A crescente interconexão de sistemas computacionais por meio de redes TCP/IP, ARPANET e infraestruturas corporativas baseadas em UNIX criou, ao longo da década de 1980, um novo campo de preocupações operacionais em segurança da informação: a detecção de intrusões. Embora mecanismos tradicionais de controle de acesso, autenticação e criptografia tenham sido amplamente estudados desde os trabalhos clássicos de Saltzer e Schroeder (1975), incidentes recentes, como o worm de Morris em 1988, demonstraram que tais mecanismos são insuficientes quando atacantes obtêm acesso parcial ou exploram falhas de configuração. Em resposta a esse cenário, pesquisadores começaram a explorar sistemas capazes de detectar comportamentos anômalos ou padrões conhecidos de uso malicioso por meio da análise de trilhas de auditoria do sistema operacional e de dados de rede. Este artigo apresenta um modelo operacional para detecção de intrusões em ambientes UNIX interconectados via TCP/IP. O trabalho integra três linhas principais de pesquisa emergentes na década de 1980: (1) modelos estatísticos de detecção de anomalias propostos por Denning (1987), (2) análise de trilhas de auditoria conforme discutido por Anderson (1980) e implementado no sistema IDES do SRI International, e (3) monitoramento passivo de rede utilizando ferramentas como `tcpdump`, desenvolvido no Lawrence Berkeley Laboratory. A proposta combina coleta de eventos de sistema (login, execução de comandos privilegiados, acesso a arquivos sensíveis) com monitoramento de tráfego de rede e aplicação de métricas estatísticas simples para identificar desvios significativos no comportamento de usuários e hosts. O artigo descreve a formalização do problema de detecção, a arquitetura de um protótipo implementado em sistemas UNIX BSD, e experimentos conduzidos em uma rede acadêmica simulada com múltiplos hosts VAX e estações Sun. Os resultados demonstram que modelos estatísticos simples baseados em médias históricas e desvios padrão são capazes de identificar diversas classes de atividades suspeitas, incluindo varreduras de serviços, tentativas repetidas de autenticação e padrões de uso incompatíveis com o perfil normal do usuário. Além disso, o trabalho discute limitações práticas, como a taxa de falsos positivos e o custo computacional da análise contínua de logs. Conclui-se que sistemas de detecção de intrusão devem ser considerados um complemento essencial aos mecanismos tradicionais de segurança, especialmente em ambientes distribuídos. O artigo também sugere direções futuras, incluindo correlação entre múltiplos hosts e uso de sistemas especialistas para análise automática de eventos de segurança.
Read paper →DetectionMétodos de Detecção de Intrusões em Sistemas Computacionais Baseados em Auditoria: Uma Análise Operacional no Contexto das Redes UNIX e ARPANET no Final da Década de 1980
A crescente interconexão de sistemas computacionais através de redes como ARPANET, MILNET e redes acadêmicas baseadas em TCP/IP ampliou significativamente a superfície de ataque dos sistemas UNIX e de mainframes interligados. Incidentes recentes, incluindo a propagação do worm de 1988 na Internet, demonstraram de maneira inequívoca que mecanismos tradicionais de controle de acesso e autenticação são insuficientes para prevenir ou mesmo identificar atividades maliciosas em tempo hábil. Este trabalho examina, de forma sistemática, os métodos de detecção de intrusões disponíveis no final da década de 1980, com ênfase em análise de trilhas de auditoria (audit trails), monitoramento de rede e técnicas estatísticas de detecção de anomalias. Inicialmente, revisamos a literatura fundamental que estabelece as bases conceituais para sistemas de detecção de intrusão, incluindo os modelos propostos por Anderson (1980) e Denning (1987), bem como implementações experimentais como o Intrusion Detection Expert System (IDES) e o sistema Haystack. Em seguida, formalizamos um modelo de ameaça representativo para ambientes UNIX interconectados via TCP/IP, caracterizando vetores de ataque comuns como exploração de serviços remotos, tentativas de quebra de senha, escalonamento de privilégios e propagação automatizada de código malicioso. A metodologia proposta integra análise estatística de comportamento de usuários com correlação de eventos de rede coletados por ferramentas de captura de pacotes como tcpdump, permitindo a identificação de desvios significativos em padrões de atividade. Implementamos um protótipo operacional utilizando registros de auditoria do sistema UNIX, logs de autenticação e monitoramento passivo de tráfego IP. Experimentos conduzidos em um ambiente de laboratório simulando uma rede universitária demonstram que a abordagem híbrida reduz significativamente o tempo médio de detecção de atividades suspeitas, mantendo taxas aceitáveis de falsos positivos. Um estudo de caso baseado em padrões observados durante o worm da Internet de 1988 ilustra a eficácia da metodologia na identificação de comportamento automatizado de varredura e exploração. Concluímos discutindo limitações inerentes às técnicas atuais, particularmente relacionadas ao volume de dados de auditoria e à dificuldade de modelar comportamento legítimo em ambientes multiusuário. Por fim, delineamos direções para pesquisa futura, incluindo sistemas distribuídos de detecção e integração mais estreita entre monitoramento de host e rede.
Read paper →DetectionTécnicas de Detecção de Intrusão em Sistemas Unix e Redes TCP/IP: Uma Abordagem Baseada em Auditoria, Perfis Estatísticos e Monitoramento de Tráfego (1989)
A crescente interconexão de sistemas computacionais através de redes TCP/IP durante a década de 1980 ampliou significativamente a superfície de ataque de ambientes computacionais multiusuário. Sistemas Unix conectados a redes acadêmicas e militares, como ARPANET e NSFNET, tornaram-se alvos potenciais para acesso não autorizado, exploração de falhas de configuração e disseminação de programas autorreplicantes, como demonstrado pelo incidente do worm de Morris em 1988. Nesse contexto, mecanismos eficazes de detecção de intrusão tornaram-se essenciais para complementar controles tradicionais de segurança baseados em autenticação e controle de acesso. Este artigo apresenta um estudo abrangente sobre técnicas de detecção de intrusão adequadas ao estado da arte em 1989, combinando auditoria de sistema operacional, análise estatística de comportamento de usuários e monitoramento passivo de tráfego de rede. Inicialmente revisamos fundamentos de segurança clássicos, incluindo o modelo de monitor de referência e princípios de segurança propostos por Saltzer e Schroeder, além dos trabalhos pioneiros de Anderson e Denning em auditoria e detecção de intrusão. Em seguida formalizamos um modelo de ameaça representativo de ambientes Unix conectados por TCP/IP, contemplando ataques como exploração de serviços remotos, abuso de privilégios e propagação automatizada de código malicioso. Propomos uma metodologia de detecção híbrida baseada em três componentes: coleta de trilhas de auditoria (audit trails), análise estatística de perfis de usuários e monitoramento de pacotes utilizando ferramentas de captura de tráfego. A implementação experimental utiliza recursos disponíveis em sistemas Unix da época, incluindo syslog, mecanismos de auditoria do kernel e o utilitário tcpdump para inspeção de tráfego. Avaliamos o método em um ambiente de laboratório simulando padrões de uso legítimo e cenários de ataque inspirados em incidentes reais. Os resultados indicam que a combinação de análise estatística com monitoramento de eventos de sistema permite identificar desvios comportamentais significativos com taxa reduzida de falsos positivos. Um estudo de caso baseado na análise retrospectiva do worm de Morris demonstra como indicadores de comportamento anômalo poderiam ter permitido detecção antecipada. O trabalho conclui discutindo limitações práticas de desempenho, desafios de escalabilidade e direções futuras para sistemas automáticos de detecção de intrusão em redes abertas.
Read paper →DetectionArquiteturas e Métodos para Detecção de Intrusões em Sistemas UNIX Conectados por Redes TCP/IP: Modelagem Estatística, Auditoria de Eventos e Correlação Temporal (1988)
A crescente interconexão de sistemas UNIX por meio de redes TCP/IP acadêmicas e corporativas, notadamente a ARPANET e suas redes associadas, ampliou significativamente a superfície de ataque disponível a adversários técnicos e internos maliciosos. Incidentes recentes, como a propagação do worm de 1988 explorando vulnerabilidades em serviços `sendmail` e `finger`, evidenciaram a insuficiência de controles puramente preventivos e a necessidade de mecanismos sistemáticos de detecção. Este trabalho apresenta uma arquitetura integrada de detecção de intrusões adequada ao estado da arte em 1988, combinando auditoria de sistemas operacionais UNIX, inspeção de tráfego em gateways TCP/IP e modelagem estatística de comportamento de usuários. Fundamentamos o modelo em pesquisas clássicas sobre monitoramento de sistemas (DENNING, 1987), análise de falhas (ANDERSON, 1980) e segurança em redes (POSTEL, 1981; 1982), formalizando o problema como um teste de hipótese entre comportamento legítimo e atividade intrusiva sob restrições de capacidade computacional típicas de VAX-11/780 e estações Sun-3. Propomos métricas baseadas em frequência de chamadas de sistema, duração de sessões, padrões de comandos e taxa de conexões TCP, empregando técnicas de limiar adaptativo e correlação temporal. Descrevemos implementação prática utilizando recursos de auditoria do UNIX BSD, análise de logs `syslog`, instrumentação de kernel e coleta de pacotes via interface de rede em modo promíscuo. Avaliamos o sistema em ambiente experimental controlado, com simulações de ataques de força bruta, escalonamento de privilégios e exploração de serviços remotos, apresentando resultados quantitativos de taxa de detecção, falsos positivos e sobrecarga computacional. Concluímos que a combinação de detecção baseada em anomalia e assinatura simples é viável operacionalmente e fornece ganhos substanciais na identificação precoce de compromissos, com custo computacional aceitável para a infraestrutura disponível em 1988. O estudo estabelece fundamentos práticos para programas de monitoramento contínuo em redes interconectadas e orienta futuras pesquisas em correlação distribuída e automação de resposta.
Read paper →