Resumo: Com o aumento das taxas transmissão de dados em redes, novos tipos de ataques e suas quantidades têm aumentado. Sistemas de detecção de intrusão são ferramentas essenciais para a segurança de redes de computadores. Esses sistemas, quando implementados em redes com altas taxas de tráfego e ataques, processam muitas informações e podem gerar grandes volumes de evidências de tentativas de ataques através de alertas. Torna-se portanto necessário um sistema que produza, de forma resumida, evidências para análise por um humano. Esse trabalho descreve um sistema de correlacionamento distribuído de alertas, chamado Nariz. O Nariz baseia-se em duas fases de correlacionamento, com préprocessamento local e pós-processamento distribuído. O correlacionamento distribuído de alertas é uma técnica nova de correlacionamento de alertas. O sistema Nariz visa correlacionar alertas de forma distribuída em uma rede de alta velocidade, através de sub-sistemas de correlacionamento que podem ser executados em computadores com custo menor do que em sistemas centralizados. O correlacionamento distribuído utiliza troca de mensagens entre seus correlacionadores, que estão espalhados pela rede. O alerta é encaminhado ao administrador da rede quando o sistema tem vários indícios sobre uma tentativa de ataque. Mostramos em resultados experimentais que com esse mecanismo o Nariz pode reduzir o número de alertas sobre um mesmo evento, bem como o número de falsos positivos.

Dissertação (mestrado)—Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, 2012. / Submitted by Albânia Cézar de Melo (albania@bce.unb.br) on 2012-10-19T12:57:05Z No. of bitstreams: 1 2012_DiogenesFerreiraReis.pdf: 6569857 bytes, checksum: 400d3cf0aca0fb0db98d0a5bcef4b5b3 (MD5) / Approved for entry into archive by Luanna Maia(luanna@bce.unb.br) on 2012-11-07T11:35:44Z (GMT) No. of bitstreams: 1 2012_DiogenesFerreiraReis.pdf: 6569857 bytes, checksum: 400d3cf0aca0fb0db98d0a5bcef4b5b3 (MD5) / Made available in DSpace on 2012-11-07T11:35:44Z (GMT). No. of bitstreams: 1 2012_DiogenesFerreiraReis.pdf: 6569857 bytes, checksum: 400d3cf0aca0fb0db98d0a5bcef4b5b3 (MD5) / Na maioria dos serviços de rede, a autenticação do usuário é feita na camada de aplicação, o que acarreta uma certa exposição já que a interface de autenticação deve ser acessível para todos os computadores que acessam o servidor hospedeiro da aplicação. Na prática, isso significa que as portas TCP/UDP correspondentes às aplicações estão abertas a qualquer computador que possa alcançar o servidor, tornando o ambiente de rede do servidor vulnerável a ataques de fingerprinting, port scanning e ataques diretos as aplicações (i.e validação de parâmetros e estouro de pilha). Com o propósito de solucionar esses problemas é proposto o KnockID, um novo protocolo de autenticação de usuário em camada de rede baseado em PortKnocking e em protocolo criptográfico de identificação ao. No KnockID, cada usuário é identicado por um par de chaves e é concedido o acesso a portas específicas depois que ele prova a sua identidade. KnockID é baseado num protocolo criptográfico e proporciona segu- rança contra man-in-the-middle, espionagem do tráfego de rede e ataques de repetição (replay). Ele pode ser implementado para atender à necessidades diferentes, tais como a construção de uma rede central de serviços de autenticação de usuário, ocultando sensiveis (e/ou inseguros) serviços de rede ou agindo como uma camada extra de se- gurança. Além disso, o KnockID pode ser transparentemente integrado em qualquer ambiente de rede executando aplicativos legados e implementado simplesmente usando bibliotecas criptográficas comuns existentes. ______________________________________________________________________________ ABSTRACT / n most network services, user authentication is carried out at the application layer, which makes it necessary for applications to expose their own authentication interface. Practically, it means that the TCP/UDP ports corresponding to a given application are open to any host that can reach the application server, thus making the server network environment vulnerable to ngerprinting, port scanning and direct attacks to applications (i.e. parameter validation and bu er over ow). In order to solve these issues, we propose KnockID, a new network layer based user authentication protocol that combines classical Portknocking techniques with cryptographic identi cation protocols and message authentication. In KnockID, each user is uniquely identi ed by a key pair and is granted access to speci c ports after he proves his identity. KnockID is based on cryptographically sound protocols and provides security against man-in-the-middle, eavesdropping and replay attacks. It can be deployed to ful ll di erent needs such as building a central network user authentication service, hiding sensitive (and/or insecure) network services or acting as an extra security layer. Moreover, KnockID can be transparently integrated into any network environment running legacy applications and simply implemented using common cryptographic libraries and existing Portknocking services.

Dissertação (mestrado)— Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, 2012. / Submitted by Albânia Cézar de Melo (albania@bce.unb.br) on 2012-11-01T13:38:14Z No. of bitstreams: 1 2012_BeatrizCamposSantana.pdf: 12841082 bytes, checksum: babed1e1134c32bbec6d124a3768d619 (MD5) / Approved for entry into archive by Luanna Maia(luanna@bce.unb.br) on 2012-11-07T11:20:31Z (GMT) No. of bitstreams: 1 2012_BeatrizCamposSantana.pdf: 12841082 bytes, checksum: babed1e1134c32bbec6d124a3768d619 (MD5) / Made available in DSpace on 2012-11-07T11:20:31Z (GMT). No. of bitstreams: 1 2012_BeatrizCamposSantana.pdf: 12841082 bytes, checksum: babed1e1134c32bbec6d124a3768d619 (MD5) / Derivado do estudo do fenômeno de mesmo nome existente entre os humanos, vem se estabelecendo um conceito de confiança específico para a área computacional. Tendo aplicação diversificada, tal conceito tem sido muito usado para avaliar o comportamento de diversos componentes de redes computacionais e principalmente para classificar nós (componentes de rede, por exemplo, roteadores), de modo a identificar aqueles que possuem intenções maliciosas e perigosas. Esta dissertação propõe a criação de uma MIB (Management Information Base) de gerenciamento da confiança em redes ad hoc, para coletar dados sobre o comportamento dos nós de uma rede e, a partir desses dados, aplicar um cálculo de confiança, de modo a tornar possível observar se o comportamento de cada nó está sendo adequado para o bom funcionamento da rede. Para a realização deste trabalho, foi necessária a pesquisa de métricas de confiança aplicadas em redes ad hoc para a implementação da MIB de confiança. Para efeito de validação da proposta, foram usadas as métricas relacionadas ao protocolo OLSR (Optimized Link State Routing Protocol), no qual se observa o comportamento do nó escolhido como MPR (Multipoint-Relays), em conformidade com o trabalho (De Sousa Jr. & Puttini, 2010). A especificação da MIB deu-se através da linguagem de definição SMI (Structure Management Information). O ambiente de validação foi desenvolvido com a modificação do deamon do OLSR (OLSRD), empregando o aplicativo NET-SNMP para validar e acessar a MIB, apresentando a confiança observada em um ambiente controlado. ______________________________________________________________________________ ABSTRACT / Resulting from the study of the phenomena with the same name existent among humans, there is an emerging concept of trust applied to the computational area. With a diversified application, this concept has been widely used for evaluating the behavior of several computational network components, especially for node classification (e.g., routers), in order to identify those that present malicious intentions. This master thesis proposes the creation of a MIB (Management Information Base) for trust management in ad hoc networks, allowing the gathering of data about the behavior of the nodes within a network and, according with this data, the estimation of a trust index that is used to verify if each node is acting adequately for the correct network operation. To accomplish this work, a survey of trust metrics in ad hoc networks was performed, giving way to the choice of objects for creating a trust MIB specific to this environment. In order to validate the proposal, metrics related to the OLSR (Optimized Link State Routing) protocol have been used to observe the behavior of the node selected as MPR (Multipoint-Relays) in OLSR, according to the work of (De Sousa Jr. & Puttini, 2010). The proposed TRUST-MIB was specified according to the rules of the SMI (Structure of Management Information) RFC related to the Internet Simple Network Management Protocol – SNMP. The environment for experimental validation of the proposed TRUST-MIB, and its utilization within a network management process, has been developed by extending the OLSR daemon (OLSRD) with software modules for metrics gathering an MIB operation, and using the network management system NET-SMTP for accessing and validating the MIB, presenting the trust observed in a controlled experimental environment.

Tese (doutorado)—Universidade de Brasília, Instituto de Ciências Biológicas, Departamento de Biologia Celular, 2008. / Submitted by Diogo Trindade Fóis (diogo_fois@hotmail.com) on 2009-10-06T15:43:43Z No. of bitstreams: 1 2008_RobsonOAlbuquerque.pdf: 1497695 bytes, checksum: 8edb0fe1b2ddfce3ce0a4b0f902c68fa (MD5) / Approved for entry into archive by Gomes Neide(nagomes2005@gmail.com) on 2010-10-14T16:04:13Z (GMT) No. of bitstreams: 1 2008_RobsonOAlbuquerque.pdf: 1497695 bytes, checksum: 8edb0fe1b2ddfce3ce0a4b0f902c68fa (MD5) / Made available in DSpace on 2010-10-14T16:04:13Z (GMT). No. of bitstreams: 1 2008_RobsonOAlbuquerque.pdf: 1497695 bytes, checksum: 8edb0fe1b2ddfce3ce0a4b0f902c68fa (MD5) Previous issue date: 2008-08-08 / A representação da confiança e da reputação em sistemas computacionais é um desafio em sistemas distribuídos. Nesses sistemas, a aplicação da confiança e da reputação busca contribuir com a segurança da informação, de forma a dar uma garantia mínima de realizar transações seguras sem uma autoridade central de controle. Nessa perspectiva, a confiança e a reputação se tornaram objeto de pesquisas científicas tanto do ponto de vista teórico quanto prático em MANET (mobile ad hoc networks), sistemas peer-to-peer (P2P) e grids computacionais, entre outros domínios. Em conseqüência, diversos trabalhos foram apresentados na tentativa de resolução dos problemas decorrentes da aplicação da confiança e da reputação. Entretanto, não há um consenso em torno do tema, principalmente porque existem muitos modelos distintos, muitas vezes complementares, que tratam de problemas envolvendo a aplicação da confiança e da reputação. Uma das questões ainda em aberto consiste das situações em que os sistemas distribuídos se destinam à interoperação ou ao interelacionamento entre grupos de entidades, contexto em que a confiança e a reputação são promissoras como fatores de escalabilidade, desempenho e garantia de transações. Para tais situações, esta tese apresenta uma proposta de um modelo de confiança para grupos em sistemas distribuídos, visando solucionar alguns pontos em aberto, especificamente no que se refere à representação da confiança entre grupos através de um modelo matemático, além do consenso quanto à confiança intra-grupo considerando questões de identidade dos participantes e à definição de líderes. Este trabalho, além de ter base na revisão da literatura sobre confiança e da reputação, que se encontra apresentada na tese, é também voltado para a demonstração prática dos conceitos propostos com a aplicação das definições de confiança e reputação em sistemas distribuídos, considerando a formação de grupos, o que é realizado através da implementação do modelo de confiança proposto para grupos em sistemas distribuídos baseados em P2P e sistemas de agentes de software, envolvendo simulações de serviços de um grid computacional. Esse ambiente experimental permite demonstrar alguns resultados da confiança em grupos segundo o modelo apresentado em termos de reusabilidade. _______________________________________________________________________________ ABSTRACT / The representation of trust and reputation in computational systems is a challenge in distributed systems. In such systems, the application of trust and reputation tries to contribute with the information security area in order to guarantee secure transactions without a central control authority. Considering this approach, trust and reputation has become research interest in scientific theory and practical implementations in mobile ad hoc networks (MANET), peer-to-peer (P2P) systems, computational grids, and others research areas. As consequence, several research works have been published in order to try to solve specific problems considering the application of trust and reputation in distributed systems, but without a common consensus in the subject. One reason for this problem is because there are a lot of different models, sometimes complementary, that deals with trust and reputation and its application scenarios in distributed systems. Some open issues regarding trust and reputation consists in situations that in distributed systems there are the necessity of interaction in groups, particularly in its representation considering a mathematical model, besides the consensus in trust inside a group regarding the identification of its members and a unique leader, preferentially chosen using trust and reputation criteria. This thesis moreover based in the literature review about trust and reputation herein presented, also shows some practical results considering a proposed group trust model in distributed systems using trust and reputation approach. The results are shown considering P2P networks and software agent systems simulating a computational grid. The experimental environment allowed the demonstration of some results in group trust following the definition of the presented model in terms of reusability.

Dissertação (mestrado)—Universidade Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, 2012. / Submitted by Gabriela Botelho (gabrielabotelho@bce.unb.br) on 2012-07-11T16:28:38Z No. of bitstreams: 1 2012_FábioCaúsSícoli.pdf: 2109612 bytes, checksum: 77180197c36097f0eea1536b689056c5 (MD5) / Approved for entry into archive by Jaqueline Ferreira de Souza(jaquefs.braz@gmail.com) on 2012-07-13T12:07:11Z (GMT) No. of bitstreams: 1 2012_FábioCaúsSícoli.pdf: 2109612 bytes, checksum: 77180197c36097f0eea1536b689056c5 (MD5) / Made available in DSpace on 2012-07-13T12:07:11Z (GMT). No. of bitstreams: 1 2012_FábioCaúsSícoli.pdf: 2109612 bytes, checksum: 77180197c36097f0eea1536b689056c5 (MD5) / O acesso ao teor das comunicações é uma ferramenta de grande importância para o conhecimento de ações desempenhadas por investigados, relações entre pessoas, seus hábitos, dentre outras informações relevantes a uma investigação criminal. No entanto, os órgãos de segurança pública têm grandes dificuldades em acessar os dados capturados por meio de uma quebra de sigilo telemático. Dentre as razões, estão a falta de padronização nos métodos utilizados pelas operadoras de telecomunicação para enviar dados aos investigadores e a variedade de formatos de arquivos de dados capturados. Assim, prejudica-se a automatização de tarefas, deixando-as mais ineficientes e suscetíveis a erros humanos. Além disso, as rotinas atualmente utilizadas não oferecem uma cadeia de custódia confiável ou garantias de autenticidade e integridade do tráfego interceptado. Existem leis, normas e resoluções que obrigam as operadoras de telecomunicação a fornecerem meios para que dados trafegados sejam interceptados quando da suspensão de seu sigilo. Entretanto, não há uma definição de como esses dados devem ser entregues. Esse trabalho apresenta um modelo de como as operadoras de serviços de telecomunicação deveriam encaminhar os dados de Internet interceptados aos órgãos de segurança pública e outras entidades envolvidas. O modelo foi criado tendo em vista a legislação vigente sobre o tema, normas e resoluções da Agência Nacional de Telecomunicações, do Poder Judiciário e do Ministério Público, e ainda baseado em características técnicas das operadoras. Ademais, métodos e padrões utilizados em outros países foram examinados e usados como referência para o modelo. O modelo proposto foi avaliado por meio da criação de um protótipo com o uso de ferramentas de software livre e programas especialmente desenvolvidos. O protótipo foi utilizado no relacionamento com provedores de serviço de comunicação das tecnologias ADSL, cabo e 3G. O modelo proposto foi considerado adequado. _________________________________________________________________________ ABSTRACT / Accessing communication content is a very important tool for getting to know actions carried out by suspects, connections between people, their habits, as well as other relevant information to criminal investigations. However, law enforcement agencies have great difficulty in accessing data captured from lawful interceptions. This is largely caused by the lack of standards on how these data should be delivered to investigators and the variety of traffic data file formats. This impairs the automation of tasks, making them more inefficient and prone to human error. Moreover, procedures currently used do not provide a proper chain of custody or guarantees of authenticity and integrity to intercepted traffic that will be presented in court. In Brazil, there is legislation that requires Internet Service Providers (ISPs) to provide means of delivering data to law enforcement agencies when demanded by a court order. Nevertheless, there is no definition on how these data should be delivered. This document presents a model for how ISPs should send captured data to law enforcement agencies and other involved entities. The model was created compliant with national legislation on the subject, rules and resolutions of the National Telecommunications Agency (ANATEL), judiciary and public prosecution, moreover based on technical characteristics of Brazilian ISPs and telecom carriers, which are key players in providing Internet access. Furthermore, methods used for the same purpose in other countries have been examined and used as reference to improve the model. Finally, the model was evaluated using a prototype that was built with pieces of open source software and programs that were specially developed for the purpose of this work. The prototype was then used to successfully receive data from ISPs that used ADSL, cable and 3G technologies. The proposed model was considered satisfactory.

Dissertação (mestrado)—Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, 2013. / Submitted by Albânia Cézar de Melo (albania@bce.unb.br) on 2014-02-11T15:00:59Z No. of bitstreams: 1 2013_DaniloFernandesTenorio.pdf: 2551263 bytes, checksum: d9339a5df868203abb3933076dc2c23f (MD5) / Approved for entry into archive by Guimaraes Jacqueline(jacqueline.guimaraes@bce.unb.br) on 2014-03-31T12:18:14Z (GMT) No. of bitstreams: 1 2013_DaniloFernandesTenorio.pdf: 2551263 bytes, checksum: d9339a5df868203abb3933076dc2c23f (MD5) / Made available in DSpace on 2014-03-31T12:18:14Z (GMT). No. of bitstreams: 1 2013_DaniloFernandesTenorio.pdf: 2551263 bytes, checksum: d9339a5df868203abb3933076dc2c23f (MD5) / Atualmente, a vida das pessoas e das empresas está cada vez mais dependente dos meios de comunicação empregados, por exemplo, em smartphones, em computadores, em tablets. Dessa forma, nada mais claro que as pessoas e as empresas armazenem informações em tais dispositivos, requerendo obviamente segurança das mesmas, seja ela para que esteja sempre disponível quando solicitada, não seja alterada por quem não tenha autorização para isso, ou não seja divulgada publicamente. Entretanto, esses mesmos meios de comunicação são usados para efetuar ataques contra a segurança da informação. Desse modo, nas redes de comunicação, o tráfego de interesse e utilidade para os usuários mistura-se a um tráfego malicioso voltado a causar problemas de segurança. Assim, uma das mais importantes medidas de proteção para tais redes consiste em detectar tal tráfego malicioso da maneira mais rápida e precisa, de modo a permitir que sejam tomadas decisões quanto à aplicação de contramedidas de segurança. Esta dissertação propõe uma técnica inovadora de detecção automática de tráfego malicioso por detecção de anomalias na composição do tráfego monitorado em uma rede. Para descrever tal técnica, esta dissertação apresenta todo o embasamento matemático necessário para o melhor entendimento da algorítmica desenvolvida nessa técnica, assim como das ações preliminares, incluindo coleta do tráfego e filtragem de dados, necessárias para se chegar aos resultados desejados. A técnica de detecção proposta utiliza conceitos matemáticos bem conhecidos e emprega processamento digital de sinais, com o objetivo de detectar ataques de negação de serviço (synflood e fraggle) e de escaneamento de portas de comunicação (portscan) em redes de computadores. Para validar a técnica proposta, foram desenvolvidos os correspondentes módulos de software, o que permitiu a experimentação com testes de efetividade utilizando amostras de tráfego de redes. Os resultados obtidos são apresentados e discutidos, incluindo os resultados de detecção dos ataques supracitados. ______________________________________________________________________________ ABSTRACT / Currently, the life of people and organizations is increasingly dependent on the media applied, for instance, on smartphones, on computers, on tablets. Thus, nothing more clear that people and organizations store information on such devices, obviously requiring its security, that is: it is always available when requested, it is not changed by anyone not authorized to do so, and it is not publicly disclosed. However, these same media are used to perform attacks against information security. Thus, in communication networks, the traffic of interest and usefulness to users mixture to a malicious traffic aimed to cause security problems. Therefore, one of the most important measures to protect such networks is to detect such malicious traffic more quickly and accurately to allow decisions to be made regarding the implementation of safety countermeasures. This work proposes an innovative technique for automatic detection of malicious traffic by detecting anomalies in the composition of the monitored traffic on a network. To describe such technique, this dissertation presents all the necessary mathematical foundation for better understanding the algorithmic developed in this technique as well as the preliminary actions, including collecting and filtering data traffic needed to get the desired results. The proposed detection technique uses well known mathematical concepts and employs digital signal processing in order to detect denial of service (synflood and fraggle) and scan communication ports (portscan) attacks in computer networks. To validate the proposed technique it was developed the corresponding software modules allowing experimentation with effectiveness tests using samples of network traffic. The results obtained are presented and discussed, including the detection results of the abovementioned attacks.

Dissertação (mestrado) - Pontifícia Universidade Católica do Paraná, Curitiba, 2008 / Bibliografia: f. 99-103 / Atualmente, a troca de informações através da Internet se tornou não somente possível, mas uma necessidade, as empresas precisam interagir com um número cada vez maior de parceiros de negócio e consumidores. Em tais cenários, métodos tradicionais utilizad / Nowadays, the information Exchange though the Internet hás become not only possible, it is a need. The enterprices need to interact with an ever growing number of partners and consumers. In such scenarios, traditional methods for managing rights and enfor

Dissertação (mestrado) - Pontifícia Universidade Católica do Paraná, Curitiba, 2012 / Bibliografia: f. 81-84 / Este trabalho propõe um mecanismo para sobrevivência de fluxos multicast em redes de sobreposição P2P, capaz de proteger a transmissão do fluxo contra falhas do nó de origem e dos nós intermediários da árvore multicast. Com base em um modelo de programaçã / This dissertation proposes a mechanism for survival of multicast streams on P2P overlay network, capable of protecting against failures of the transmission of flows due to source nodes and intermediate nodes of the multicast tree. Based on a mixed integer

Dissertação (mestrado) - Pontifícia Universidade Católica do Paraná, Curitiba, 2011 / Bibliografia: p.71-79 / Este trabalho apresenta uma proposta de arquitetura para um sistema de detecção de intrusão baseado em anomalias que utiliza algoritmos de agrupamento para a detecção de ataques em servidores web. Os algoritmos de agrupamento são utilizados para criar mod / This paper presents a proposal of architecture for an anomaly based intrusion detection system where clustering algorithms are implemented to detect webservers attacks. The clustering algorithms are used to create intrusion detection models when training

Dissertação (mestrado) - Pontifícia Universidade Católica do Paraná, Curitiba, 2004 / Inclui bibliografias / Diversas ferramentas contribuem para aumentar a segurança de um sistema computacional. Dentre elas, destacam-se os sistemas de detecção de intrusão. Tais sistemas monitoram continuamente a atividade em uma rede ou servidor, buscando evidências de intrusão / Several tools contribute to improve the security of a computing system. Among them, intrusion detection systems stand out. Such systems continuously watch the activity on a network or server, looking for intrusion evidences. However, host-based intrusion