Submitted by Filipe dos Santos (fsantos@pucsp.br) on 2018-06-26T12:35:40Z No. of bitstreams: 1 Sandro Pereira de Melo.pdf: 2533198 bytes, checksum: d31cf0cd607774a7541de96797446970 (MD5) / Made available in DSpace on 2018-06-26T12:35:40Z (GMT). No. of bitstreams: 1 Sandro Pereira de Melo.pdf: 2533198 bytes, checksum: d31cf0cd607774a7541de96797446970 (MD5) Previous issue date: 2018-03-19 / Coordenação de Aperfeiçoamento de Pessoal de Nível Superior - CAPES / According to the current academic literature, numerous taxonomic proposals for the classification of cyber threats have been presented. The vast majority of these proposals focus on classifying the types of threats taking into account aspects related to their functionality, purpose and behavior. This thesis differs from others because it presents a taxonomic proposal to classify the Stealth Technique (SF) and Anti-forensics (AF) used by cyber threats to hide information, erase or cover up evidence, eliminate the track of the executed actions, obfuscate malicious codes, generate fake evidence, subvert security controls and perform attacks against their own forensic tools. Following the premise that a taxonomy must be cohesive, of simple maintenance, applicable, extensible and must encompass general types of SF and AF, the taxonomic proposal for classifying SF and AF techniques mentioned in this thesis takes into account factors related to the affected layer of a computer system, the moment of a cyber-attack using the techniques, the component of the operational system compromised, among others. This thesis also provides the following contributions: a brief index of threat indicators and their impact on organizations using data from different sources, prioritizing the CSIRT reports; some brief historical information of current SF and AF characteristics; an explanation of the forensic investigation process and the SF and AT techniques related to the affected forensic stage; and finally, the implementation of the taxonomic proposal to classify the SF and AF techniques / De acordo com a literatura acadêmica atual, inúmeras propostas taxonômicas de classificação de ameaças cibernéticas foram apresentadas. Em sua maioria, tais propostas taxonômicas têm o foco na classificação dos tipos de ameaças considerando aspectos relacionados ao funcionamento, finalidade e comportamento. Esta tese difere das demais por apresentar uma proposta de taxonomia para a classificação de Técnicas Furtivas (TF) e Antiforense (AF) utilizadas pelas ameaças cibernéticas para esconder informações, apagar ou ocultar evidências, eliminar a trilha das ações executadas, ofuscar códigos maliciosos, gerar falsas evidências, subverter controles de segurança e realizar ataques contra as próprias ferramentas forenses, impedindo e/ou prejudicando o processo de resposta a incidentes ou uma perícia forense. Seguindo a premissa de que uma taxonomia deve ser coesa, de simples manutenção, aplicável, extensível e deve englobar tipos gerais de TF e AF, a taxonomia proposta na classificação de técnicas TF e AF citada nesta tese leva em consideração fatores relacionados à camada afetada de um sistema computacional, o desdobramento de um ataque cibernético com o uso das técnicas, o componente do sistema operacional comprometido, entre outros. Outras contribuições provenientes desta tese incluem: uma breve sumarização de indicadores de ameaças e seus impactos em organizações a partir de dados tabulados de diferentes tipos de pesquisa, mas priorizando os relatórios de CSIRT, não exclusivamente; um sucinto histórico de informações sobre características de TF e AF correntes; uma explanação atrelada às fases do processo de perícia forense e das técnicas TF e AF relacionadas com a etapa forense afetada; e finalmente, a implementação da taxonomia proposta para classificar as TF e AF

Submitted by Filipe dos Santos (fsantos@pucsp.br) on 2018-08-22T12:14:10Z No. of bitstreams: 1 Dorival Moreira Machado Junior.pdf: 9885723 bytes, checksum: ec4db9d9ab0bfb009be6157700e49790 (MD5) / Made available in DSpace on 2018-08-22T12:14:10Z (GMT). No. of bitstreams: 1 Dorival Moreira Machado Junior.pdf: 9885723 bytes, checksum: ec4db9d9ab0bfb009be6157700e49790 (MD5) Previous issue date: 2018-06-18 / The concept of Internet of Things (IoT) refers to a network of objects capable of generating, collecting, and exchanging data between them. This interconnection of intelligent objects tends to provide improvements in the well-being of people so that the more “things” acquiring or generating data, the better may be the result propitiated by IoT. On the other side, privacy is best guarded in the face of the minimum supply of data or personal information. They are contrary paths that characterize a paradox. With this, studies are needed that point out possibilities that favor the growth of IoT and at the same time do not let privacy be totally succumbed to technological evolution. The user permeates both factors, being situated in the center. This paradox as well as the lack of documentation and standardization in terms of privacy protection in IoT becomes the research problem. The hypothesis suggests the need for a standard that allows such protection. The scope of standardization of the Internet is very extensive, it is necessary to determine the limits of performance of this thesis. For this, the mapping of the mechanism by which the rules and standards of the Internet are established, as well as defining a standard scenario of IoT applicable in any environment in which it is inserted. Once these parameters were established, it was possible to continue through a critical exploratory analysis of the context that is considered emerging mainly by the lack of documentation regarding the protection of privacy in IoT. As a result, a directing to privacy protection in IoT was systematized. This has as characteristics: to be applicable specifically to the IoT environment; Have as basic principles consider all user data as private as well as adopt a restrictive policy. It is also characterized by a step of human validation, in which it is required that the user allows the sharing of their data, as well as establish the trust to the device to link, that is, the destination of the data. In this way, the user is instigated to have science of their data in question beyond the destination of these. At the end, the conclusion is made by analyzing the security objectives of other models justifying the contrary or favorable opinion for application in IoT / O conceito de Internet of Things (IoT) refere-se a uma rede de objetos com capacidade para gerar, coletar e trocar dados entre si. Esta interconexão de objetos inteligentes tende a proporcionar melhorias no bem-estar das pessoas de modo que quanto mais “coisas” adquirindo ou gerando dados, melhor pode ser o resultado propiciado pela IoT. Por outro lado, tem-se que a privacidade é melhor resguardada diante do fornecimento mínimo de dados ou informações pessoais. São caminhos contrários que caracterizam um paradoxo. Com isto, são necessários estudos que apontem possibilidades que favoreçam o crescimento da IoT e ao mesmo tempo não deixe que a privacidade seja totalmente sucumbida à evolução tecnológica. O usuário permeia ambos os fatores, ficando situado ao centro. Este paradoxo bem como a falta de documentação e padronização em termos de proteção da privacidade na IoT torna-se o problema de pesquisa. A hipótese sugere a necessidade de um padrão que possibilite tal proteção. A abrangência de padronização da Internet é muito extensa, fazendo-se necessário determinar os limites de atuação desta tese. Para isto, fez-se o mapeamento do mecanismo pelo qual as regras e padrões da Internet são estabelecidos, bem como definindo um cenário padrão de IoT aplicável em qualquer ambiente em que for inserido. Uma vez estabelecidos estes parâmetros, pôde-se prosseguir através de uma análise exploratória crítica ao contexto que é considerado emergente principalmente pela falta de documentação no que diz respeito à proteção da privacidade na IoT. Como resultado foi sistematizado um direcionamento para proteção da privacidade na IoT por meio de um paradigma. Este tem como características: ser aplicável especificamente ao ambiente de IoT; ter como princípios considerar todos os dados de usuário como privados, bem como adotar uma política restritiva. Caracteriza-se também por uma etapa de validação humana, na qual é requerido que o usuário permita o compartilhamento de seus dados, bem como estabeleça a confiança no dispositivo vinculado, isto é, o destino dos dados. Deste modo, o usuário é instigado a ter ciência de seus dados em uso bem como o destino destes. Ao final, faz-se a conclusão analisando os objetivos de segurança de outros modelos justificando o parecer contrário ou favorável para aplicação na IoT

Orientador: Luís Carlos Origa de Oliveira / Co-orientador: Christiane Marie Schweitzer / Banca: Erica Regina M. D. Machado / Banca: Cristiano Maciel / Resumo: O acesso remoto a aplicações e serviços proporciona comodidade e agilidade para experimentação remota em tempo real. Ao pesquisador, permite acesso e controle de instrumentos e aplicações experimentais por meio da Internet. Isso vem se tornando possível, pois existem várias tecnologias de redes que vêm sendo desenvolvidas e aplicadas, de forma a garantir o melhor desempenho e segurança dos serviços implementados. O LQEE [Laboratório de Qualidade de Energia Elétrica] do DEE [Departamento de Engenharia Elétrica] de Ilha Solteira disponibiliza a realização de experimento em tempo real, aos usuários do LQEE, de forma simples de acessar, apenas pelo o navegador de internet. Embora a administração e o monitoramento desse serviço são feito de forma manual gerando desconforto e insegurança aos responsáveis pelo o LQEE e os experimentos. Assim, o presente trabalho tem por objetivo aplicar uma solução por meio de técnicas e ferramentas para acesso remoto de aplicações e de instrumentos de experimentação. Esta solução define uma infraestrutura básica de acesso, de forma segura e confiável. Diversas técnicas foram investigadas, e algumas delas incorporadas na solução. Além do acesso remoto, o gerenciamento e controle dos usuários e experimentos se fazem necessário. Para isto, uma aplicação Web foi projetada, a qual permite o acesso remoto seguro e controlado a mobilidade, possibilitando o usuário acessar o serviço de experimentação de qualquer dispositivo e de qualquer lugar via acesso a Internet. O sistema de controle e gerenciamento de usuários e experimentação foi desenvolvido em Java, por ser uma linguagem multiplataforma e sua implantação testada com uma infraestrutura cliente-servidor, composta de dois servidores de acesso às aplicações e clientes remotos, com diferentes dispositivos / Abstract: The remote access to applications and services provides convenience and agility for real-time remote experimentation. To researcher is enabled the access and control of instruments and experimental applications through the Internet. And this has become possible because there are several technologies of networks that have been developed and applied in order to ensure optimal performance and security of the services implemented. The LQEE [Laboratory of Electric Energy Quality] of DEE [Department of Electrical Engineering] of Ilha Solteira provides the realization of real time experiments, in order to provide to LQEE users simple access through Internet browser. The administration and monitoring of this service has been done manually, generating discomfort and insecurity to the responsible for the LQEE and the experiments. Thus, the present work aims to apply a solution by means of techniques and tools for remote access applications and experimental instruments. This solution defines a basic infrastructure, access safely and reliable. Several techniques have been investigated, and some of them incorporated into the solution. In addition, remote access, management, and control of users and experiments are necessary. For this, a Web application is designed, which allows secure remote access and controlled mobility, enabling the user to access the service from any device, anywhere by Internet access. The system of control and management of users and experimentation was developed in Java, for being a cross-platform language, and their implantation tested with a client-server infrastructure, composed of two servers of access to applications and remote clients with different devices / Mestre

Orientador: Adriano Mauro Cansian / Banca: Luciana Andréia Fondazzi Martimiano / Banca: José Márcio Machado / Resumo: A Análise de Risco incorpora a avaliação do risco e seu gerenciamento, isto é, ela combina processos sistemáticos para a identificação do risco e suas consequências, e como lidar ou tratar estes riscos. Esta dissertação apresenta o desenvolvimento de uma Assinatura de Risco, suportada pelo sistema AISF - ACME! Intrusion Signature Format [SIL, 2002], voltada estritamente à segurança da informação e adequada de acordo com os padrões das normas ISO/IEC 17799 [ISO, 2005], ISO/IEC 27001 [ISO, 2006] e ISO/IEC 27002 [ISO, 2007]. O desenvolvimento desta assinatura está ligado à frente de pesquisa sobre Análise de Risco em sistemas computacionais e representa algo inédito na literatura, uma padronização para Análise de Risco. Com isso, o processo de armazenamento e análise de informação a respeito da Análise de Risco tornar-se mais simples e padronizado. / Abstract: Risk analysis includes a risk assessment and management, that is, it combines systematic procedures for risk identification and its consequences, and how to deal and mitigate these risks. This dissertation presents the Signature Risk development, supported by AISF - ACME! Intrusion Signature Format [SIL, 2002] system, dedicated strictly to information security and appropriate under the standards of ISO/IEC 17799 [ISO, 2005], ISO/IEC 27001 [ISO, 2006] and ISO/IEC 27002 [ISO, 2007]. This signature development is linked with computer systems risk analysis research and represent something unprecedented in literature, a standard for risk analysis. Therefore, the storing and analyzing process of information about risk analysis become more simple and standardized. / Mestre

Dissertação (mestrado) - Pontifícia Universidade Católica do Paraná, Curitiba, 2007 / Bibliografia: f. 61-62 / Neste trabalho é proposto um protocolo sem autenticação das partes para acordo de chaves criptográficas de forma segura, baseado no protocolo Diffe-Hellman. Atualmente os principais protocolos para acordo de chaves como Diffe-Hellman e ElGamal trabalham c / In this work is proposed an annonimous cryptographic key agreement protocol by secure way based on Diffe-Hellman protocol. Actually key agreement protocols like Diffe-Hellman, ElGamal and other work with modular exponentiation operations and the complexit

Made available in DSpace on 2014-12-02T11:16:55Z (GMT). No. of bitstreams: 0 Previous issue date: 2014-08-29Bitstream added on 2014-12-02T11:20:53Z : No. of bitstreams: 1 000800653.pdf: 2857194 bytes, checksum: bdb53dc2b22d78f63260d025bb089206 (MD5) / O acesso remoto a aplicações e serviços proporciona comodidade e agilidade para experimentação remota em tempo real. Ao pesquisador, permite acesso e controle de instrumentos e aplicações experimentais por meio da Internet. Isso vem se tornando possível, pois existem várias tecnologias de redes que vêm sendo desenvolvidas e aplicadas, de forma a garantir o melhor desempenho e segurança dos serviços implementados. O LQEE [Laboratório de Qualidade de Energia Elétrica] do DEE [Departamento de Engenharia Elétrica] de Ilha Solteira disponibiliza a realização de experimento em tempo real, aos usuários do LQEE, de forma simples de acessar, apenas pelo o navegador de internet. Embora a administração e o monitoramento desse serviço são feito de forma manual gerando desconforto e insegurança aos responsáveis pelo o LQEE e os experimentos. Assim, o presente trabalho tem por objetivo aplicar uma solução por meio de técnicas e ferramentas para acesso remoto de aplicações e de instrumentos de experimentação. Esta solução define uma infraestrutura básica de acesso, de forma segura e confiável. Diversas técnicas foram investigadas, e algumas delas incorporadas na solução. Além do acesso remoto, o gerenciamento e controle dos usuários e experimentos se fazem necessário. Para isto, uma aplicação Web foi projetada, a qual permite o acesso remoto seguro e controlado a mobilidade, possibilitando o usuário acessar o serviço de experimentação de qualquer dispositivo e de qualquer lugar via acesso a Internet. O sistema de controle e gerenciamento de usuários e experimentação foi desenvolvido em Java, por ser uma linguagem multiplataforma e sua implantação testada com uma infraestrutura cliente–servidor, composta de dois servidores de acesso às aplicações e clientes remotos, com diferentes dispositivos / The remote access to applications and services provides convenience and agility for real-time remote experimentation. To researcher is enabled the access and control of instruments and experimental applications through the Internet. And this has become possible because there are several technologies of networks that have been developed and applied in order to ensure optimal performance and security of the services implemented. The LQEE [Laboratory of Electric Energy Quality] of DEE [Department of Electrical Engineering] of Ilha Solteira provides the realization of real time experiments, in order to provide to LQEE users simple access through Internet browser. The administration and monitoring of this service has been done manually, generating discomfort and insecurity to the responsible for the LQEE and the experiments. Thus, the present work aims to apply a solution by means of techniques and tools for remote access applications and experimental instruments. This solution defines a basic infrastructure, access safely and reliable. Several techniques have been investigated, and some of them incorporated into the solution. In addition, remote access, management, and control of users and experiments are necessary. For this, a Web application is designed, which allows secure remote access and controlled mobility, enabling the user to access the service from any device, anywhere by Internet access. The system of control and management of users and experimentation was developed in Java, for being a cross-platform language, and their implantation tested with a client-server infrastructure, composed of two servers of access to applications and remote clients with different devices

Orientador: Adriano Mauro Cansian / Banca: André Ricardo Abed Grégio / Banca: Geraldo Francisco Donega Zafalon / Resumo: A garantia de segurança em ambientes computacionais é complexa, uma vez que a expertise dos atacantes e o número de ameaças têm aumentado. De forma a lidar com o aumento de incidentes de segurança, é necessária uma metodologia que automatize o processo de análise de ameaças e forneça assinaturas de ataques para os ambientes de defesa. Este projeto propõe uma metodologia para criação automatizada de assinaturas para malware baseado em fluxo de dados de redes. A partir de múltiplas execuções de uma amostra de malware, são encontradas semelhanças entre o tráfego de rede gerado em cada uma de suas execuções. O processo de encontrar semelhanças baseia-se em: (i) geração de um hash para cada uma das conexões realizadas pelo malware, no qual cada hash irá representar um elemento de uma sequência e (ii) utilização do algoritmo LCS para encontrar uma subsequência em comum mais longa entre duas sequências geradas a partir das conexões realizadas pelo malware durante cada uma de suas execuções. Uma vez encontrada a subsequência em comum mais longa, os descritores das conexões realizadas pelo malware são recuperados, os quais irão compor os passos de uma assinatura. Por fim, as assinaturas geradas serão testadas para identificação de falsos-positivos e verdadeiros-positivos, para que sejam selecionadas com o intuito de alimentar um Sistema de Detecção de Intrusão / Abstract: The guarantee of security in computing environments is complex, since the expertise of the attackers and the numbers of threats have increased. In order to handle the increased security incidents, is required a methodology to automate the process of threat analysis and provide signatures to defense environments. This project proposes a methodology to generate signatures automatically, based on network flows. From multiple execution of a malware sample, similarities are found between the network traffic generated in each of its executions. The process of finding similarity is based on: (i) Generation of a hash for each connection performed by the malware, where each hash will represent an element of a sequence and (ii) application of the LCS algorithm to find the longest common subsequence between two sequences generated from the connections performed by the malware during each of its executions. Once the longest common subsequence is found, the descriptors of the connections performed by the malware are retrieved, which will compose the steps of a signature. Finally, the generated signatures will be tested for false positive and true positive identification, so that they are selected with the intention of feeding an Intrusion Detection System / Mestre

Orientador: Adriano Mauro Cansian / Banca: Kalinka Regina Lucas Jaquie Castelo Branco / Banca: Leandro Alves Neves / Resumo: Os sistemas de detecção de intrusão fornecem informações valiosas em relação à segurança das redes de computadores. No entanto, devida à quantidade de ameaças inerentes aos sistemas computacionais, os registros dessas ameaças na forma de alertas podem constituir de grandes volumes de dados, muitas vezes bastante complexos para serem analisados em tempo hábil. Esta dissertação apresenta uma abordagem para correlacionar alertas de segurança. A metodologia tem como princípio a utilização de mineração de dados para a coleta de informações constituintes nos alertas providos pelos sistemas detectores de intrusão. Primeiramente, os alertas são classificados em tipos de ataques para que, na sequência, sejam clusterizados de forma a agrupar alertas com características semelhantes. Por fim, a correlação é realizada baseada na ocorrência dos alertas em cada cluster e, dessa forma, é obtida uma visão geral do cenário de ataque, utilizando de métodos de visualização de tais ocorrências maliciosas / Abstract: Intrusion detection systems provides valuable information regarding the security of computer networks. However, due to the amount of threats inherent in computer systems, records of these threats in the form of alerts can be large volumes of data, often quite complex to be analyzed in a timely manner. This paper presents an approach to correlate security alerts. The methodology is based on the use of data mining to the collection of constituent information in the alerts provided by intrusion detection systems. First, alerts are classified into types of attacks so that, later, are clustered in order to compose alerts with similar characteristics. Finally, the correlation is performed based on the occurrence of alerts in each cluster and thereby an overview of the attack scenario is obtained using visualization methods of such malicious events / Mestre

Orientador: João Paulo Papa / Coorientador: Kelton Augusto Pontara da Costa / Banca: Alexandre Luís Magalhães Levada / Banca: Antonio Carlos Sementille / Resumo: O problema de detecção de anomalias vem sendo estudado há vários anos, dado que esta área é de grande interesse por parte de indústrias e também da comunidade científica. Basicamente, a detecção de anomalias difere da tarefa de reconhecimento de padrões convencional pelo fato de apenas amostras não anômalas (normais) estarem disponíveis para o treinamento da técnica de aprendizado de máquina. Assim, quando uma nova amostra é classificada, o sistema deve reconhecer a mesma como pertencente ou não ao modelo de dados "normais" que o mesmo aprendeu. Dentre as várias técnicas disponíveis, uma das mais antigas e populares é a que faz uso de distribuições Gaussianas multivariadas, as quais modelam o conjunto de dados normais como sendo distribuições Gaussianas e, qualquer amostra que não pertençaa a essas distribuições, é considerada anômala. Entretanto, um grande problema dessa abordagem está relacionado à etapa de estimação dos parãmetros dessas distribuições Gaussianas, a qual é realizada de maneira não supervisionada. Na presente dissertação, objetivamos estudar o comportamento do classificador Floresta de Caminhos Ótimos (Optimum-Path Forest - OPF) para (i) estimação dos parâmetros das distribuições Gaussianas, bem como compará-lo com várias outras técnicas comumente utilizadas para esta tarefa, e (ii) desenvolver uma nova técnica de detecção de anomalias centralizada nas funcionalidades do OPF. Os resultados experimentais em bases de dados sintéticas e reais demonstraram que o classificador OPF obteve melhores resultados em ambas as tarefas, dado que o mesmo é menos sensível à escolha dos parâmetros iniciais, o que é de grande valia em bases de dados cujas amostras "normais" estão representadas por múltiplos agrupamentos / Abstract: Anomaly detection has a massive literature, since detecting such anomalies are of great interest for big companies and also the scientific community. Basically, anomaly detection differs from regular pattern recognition task by the fact that only nom-anomalous (normal) samples are available for training the machine learning technique. Therefore, when a new a sample is classified, the system should recognize whether the sample belongs or not to the "normal" data model. Multivariate Gaussian Distributions is one of the oldest and most used techniques among others available, which models the set of normal samples as Gaussian Distributions, and classifies any sample outside those distributions as an anomaly. However, this approach presents a problem related to the parameter estimation, which is performed in a non-supervised classification. In this work, we propose to study the behavior of the Optimum Path Forest (OPF) classifier to (i) estimate the parameters of Gaussian distributions, as well as to compare it against with some of the most used techniques for this task, and (ii) to develop a new anomaly detection technique centered in the OPF functionalities. The experimental results applied in synthetic and real datasets show that OPF classifier achieved best results for both tasks, since its initial parameters are less sensible than the other techniques, which makes a great difference for datasets when "normal" samples are represented by many clusters / Mestre

Made available in DSpace on 2014-06-11T19:29:40Z (GMT). No. of bitstreams: 0 Previous issue date: 2011-08-01Bitstream added on 2014-06-13T18:59:20Z : No. of bitstreams: 1 proto_a_me_sjrp.pdf: 1013912 bytes, checksum: 6c409f2d9d7693eb241046a3ee776c64 (MD5) / Este trabalho desenvolve e consolida um sistema de identificação e correlação de comportamentos de usuários e serviços em redes de computadores. A definição destes perfis auxiliará a identificação de comportamentos anômalos ao perfil de um grupo de usuários e serviços e a detecção de ataques em redes de computadores. Este sistema possui como estrutura base a utilização do padrão IPFIX – IP Flow Information Export – como exportador de informações sumarizadas de uma rede de computadores. O projeto prevê duas etapas principais: o desenvolvimento de um coletor de fluxos baseado no protocolo NetFlow, formalizado pela Internet Engineering Task Force (IETF) como padrão IPFIX, que acrescente melhorias na sumarização das informações oferecidas, consumindo menor espaço de armazenamento; a utilização de técnicas de mineração de dados estatísticas e associativas para detecção, correlação e classificação de comportamentos e eventos em redes de computadores. Este modelo de sistema mostra-se inovador na análise de fluxos de rede por meio da mineração de dados, empreendendo características importantes aos sistemas de monitoramento e segurança computacional, como escalabilidade de redes de alta velocidade e a detecção rápida de atividades ilícitas, varreduras de rede, intrusão, ataques de negação de serviço e de força bruta, sendo tais eventos considerados como grandes ameaças na Internet. Além disso, possibilita aos administradores de redes um melhor conhecimento do perfil da rede administrada / This work develops and consolidates an identification and correlation system of users and services behaviors on computer networks. The definition about these profiles assists in identifying anomalous behavior for the users and services profile and detecting attacks on computer networks. This system is based on the use of standard IPFIX – IP Flow Information Export – as a summarizing information exporter of a computer network. The project provides two main steps: the development of a flow collector based on the NetFlow protocol, formalized by Internet Engineering Task Force (IETF) as IPFIX standard, which improves the summarization of provided information, resulting in less storage space; the use of data mining association techniques for the detection, correlation and classification of behaviors and events in computer networks. This system model innovates in the analysis through IPFIX flow mining, adding important features to the monitoring of systems and computer security, such as scalability for high speed networks and fast detection of illicit activities, network scan, intrusion, DoS and brute force attacks, which are events considered big threats on the Internet. Also, it enables network administrators to have a better profile of the managed network