Submitted by Luiz Felipe Barbosa (luiz.fbabreu2@ufpe.br) on 2015-03-12T13:51:39Z No. of bitstreams: 2 Dissertaçao Raphael Jose D'Castro.pdf: 3419625 bytes, checksum: bc95cbbe40fd85831a5b15cf012a58d8 (MD5) license_rdf: 1232 bytes, checksum: 66e71c371cc565284e70f40736c94386 (MD5) / Approved for entry into archive by Daniella Sodre (daniella.sodre@ufpe.br) on 2015-03-13T12:55:08Z (GMT) No. of bitstreams: 2 Dissertaçao Raphael Jose D'Castro.pdf: 3419625 bytes, checksum: bc95cbbe40fd85831a5b15cf012a58d8 (MD5) license_rdf: 1232 bytes, checksum: 66e71c371cc565284e70f40736c94386 (MD5) / Made available in DSpace on 2015-03-13T12:55:09Z (GMT). No. of bitstreams: 2 Dissertaçao Raphael Jose D'Castro.pdf: 3419625 bytes, checksum: bc95cbbe40fd85831a5b15cf012a58d8 (MD5) license_rdf: 1232 bytes, checksum: 66e71c371cc565284e70f40736c94386 (MD5) Previous issue date: 2013-08-26 / Um grande desafio para a engenharia de software é entregar um produto com qualidade, no prazo acordado, a custos aceitáveis. Neste contexto, a gestão de risco é essencial para evitar ou minimizar os problemas durante a execução do projeto de software. Diversas abordagens foram propostas para o gerenciamento de riscos em projeto de software, mas esta ainda é uma atividade negligenciada nas organizações que desenvolvem software. Um fator que contribui para este cenário é a escassez de critérios para mensurar a incerteza, o que torna a gestão de riscos na engenharia de software uma atividade abstrata e subjetiva. Visando oferecer uma alternativa a essa situação, propomos um framework para monitoramento em tempo de execução de riscos operacionais no desenvolvimento de software. Esse framework utiliza mineração de processos e mineração de dados para extrair indicadores de desempenho e qualidade a partir dos logs das ferramentas de gestão de configuração de software. Esses indicadores são utilizados para monitorar, em tempo real, condições indesejadas no desenvolvimento de software. Para verificar sua viabilidade, conduzimos um estudo, aplicando o framework proposto em um ambiente real de desenvolvimento de software.

Este trabalho visa realizar uma análise exploratória de método utilizando Wavelet para analisar as variações na corrente de tráfego verificando simultaneamente os padrões no comportamento do tráfego e momentos atípicos, em diferentes escalas de tempo, através da Transformada Wavelet e métodos complementares em dados históricos do tráfego veicular. Os dados empíricos utilizados foram coletados separadamente para cada faixa de tráfego, em intervalos de curta duração (5 ou 6 minutos), em rodovias do estado de São Paulo. A partir desses dados, foram gerados os componentes de aproximação e detalhe da Transformada Wavelet Discreta de Haar. Os componentes gerados foram analisados e caracterizados antes de aplicar os métodos complementares. Para o reconhecimento de padrões no comportamento do tráfego foram utilizados os componentes de aproximação e a análise de agrupamento. Os resultados indicaram: (1) que existe grande tendência de classificar dias úteis típicos com terças, quartas e quintas-feiras, (2) a influência dos feriados na quantidade de agrupamentos, (3) a existência de diferentes efeitos para cada feriado e (4) influência do feriado de forma distinta a cada sentido da rodovia. Para detecção de momentos atípicos foram utilizados os coeficientes de detalhe e determinado um threshold em função do desvio padrão do coeficiente para determinar o que foi considerado como anomalia. Os resultados indicaram: (1) os primeiros níveis de decomposição apresentaram maior número de anomalias, (2) análises em sinais de período mensal concentraram mais anomalias do que a análise em um sinal de período anual, (3) a concentração de anomalias por tipo de dia está diretamente relacionada com o fluxo direcional e (4) identificou falhas no sensor. / This work aims to achieve an exploratory method analysis using Wavelet to analyze of traffic flow variations, evaluating both traffic behavior patterns and atypical moments, in different time scales, using Wavelet Transform and complementary traffic history data. Empirical data was collected separately for each traffic lane, in short intervals (5 or 6 minutes), in São Paulo state highways. The Haars Discrete Wavelet Transform approximation and detail components were generated from this collected data. These components were analyzed and characterized before using complementary methods. For pattern recognition in traffic behavior, approximation components were used, with cluster analysis. Results indicate that: (1) there is a great tendency in classifying work days in Tuesdays, Wednesdays and Thursdays, (2) holydays have influence in number of clusters, (3) each holyday have different effects and (4) holydays have different influences in each traffic direction. For the detection of atypical moments, detail coefficients were used with a determined threshold based on the standard deviation of said coefficient to define what was considered as an anomaly. Results indicate that: (1) the first levels of decomposition show a bigger number of anomalies, (2) monthly period signal analysis concentrate more anomalies than annual signals, (3) the anomaly concentration by each kind of day is directly related to traffic direction and (4) sensor flaws are identified.

Este trabalho visa realizar uma análise exploratória de método utilizando Wavelet para analisar as variações na corrente de tráfego verificando simultaneamente os padrões no comportamento do tráfego e momentos atípicos, em diferentes escalas de tempo, através da Transformada Wavelet e métodos complementares em dados históricos do tráfego veicular. Os dados empíricos utilizados foram coletados separadamente para cada faixa de tráfego, em intervalos de curta duração (5 ou 6 minutos), em rodovias do estado de São Paulo. A partir desses dados, foram gerados os componentes de aproximação e detalhe da Transformada Wavelet Discreta de Haar. Os componentes gerados foram analisados e caracterizados antes de aplicar os métodos complementares. Para o reconhecimento de padrões no comportamento do tráfego foram utilizados os componentes de aproximação e a análise de agrupamento. Os resultados indicaram: (1) que existe grande tendência de classificar dias úteis típicos com terças, quartas e quintas-feiras, (2) a influência dos feriados na quantidade de agrupamentos, (3) a existência de diferentes efeitos para cada feriado e (4) influência do feriado de forma distinta a cada sentido da rodovia. Para detecção de momentos atípicos foram utilizados os coeficientes de detalhe e determinado um threshold em função do desvio padrão do coeficiente para determinar o que foi considerado como anomalia. Os resultados indicaram: (1) os primeiros níveis de decomposição apresentaram maior número de anomalias, (2) análises em sinais de período mensal concentraram mais anomalias do que a análise em um sinal de período anual, (3) a concentração de anomalias por tipo de dia está diretamente relacionada com o fluxo direcional e (4) identificou falhas no sensor. / This work aims to achieve an exploratory method analysis using Wavelet to analyze of traffic flow variations, evaluating both traffic behavior patterns and atypical moments, in different time scales, using Wavelet Transform and complementary traffic history data. Empirical data was collected separately for each traffic lane, in short intervals (5 or 6 minutes), in São Paulo state highways. The Haars Discrete Wavelet Transform approximation and detail components were generated from this collected data. These components were analyzed and characterized before using complementary methods. For pattern recognition in traffic behavior, approximation components were used, with cluster analysis. Results indicate that: (1) there is a great tendency in classifying work days in Tuesdays, Wednesdays and Thursdays, (2) holydays have influence in number of clusters, (3) each holyday have different effects and (4) holydays have different influences in each traffic direction. For the detection of atypical moments, detail coefficients were used with a determined threshold based on the standard deviation of said coefficient to define what was considered as an anomaly. Results indicate that: (1) the first levels of decomposition show a bigger number of anomalies, (2) monthly period signal analysis concentrate more anomalies than annual signals, (3) the anomaly concentration by each kind of day is directly related to traffic direction and (4) sensor flaws are identified.

Coordenação de Aperfeiçoamento de Pessoal de Nível Superior / This work presents a model to identify anomalies in the computer network behavior applied to the problem of traffic management and security information. Due to the feature of the traffic growth, some models do not differ an anomaly from an attack, generating false positives that damage the security and quality service of the network. In order to present an alternative, this work explores ARIMA model that allows turning stationary the time series and the CUSUM algorithm that allows to detect anomalies. This approach provides a way to evaluate the behavior and identification of an anomaly with better quality through the traffic variables and its correlations. The results demonstrate the approach demands a careful step of variables selection that can have influence by interest s attacks. / Este trabalho apresenta um modelo para identificação de anomalias no comportamento da rede de computadores, aplicado ao problema de gestão do tráfego de redes e segurança da informação. Devido à característica de crescimento de tráfego, alguns modelos não diferenciam anomalias de um ataque, gerando falsos positivos prejudiciais a segurança da rede e conseqüentemente a sua qualidade serviço. Com fim de apresentar uma alternativa, este trabalho explora o modelo ARIMA, que permite tornar estacionária a série temporal, e o algoritmo CUSUM, que permite detectar anomalias. Esta abordagem possibilita avaliar com melhor qualidade o comportamento e a identificação de uma anomalia a partir de variáveis descritoras de tráfego e suas correlações. Os resultados demonstram que a abordagem exige uma etapa criteriosa de seleção de variáveis que podem ser influenciadas pelos ataques de interesse.

Submitted by Nayara Passos (nayara.passos@ufpe.br) on 2015-03-11T19:52:28Z No. of bitstreams: 2 TESE George Gomes Cabral.pdf: 3153073 bytes, checksum: 0d149ea3bf3d88d754b81befbafa8b70 (MD5) license_rdf: 1232 bytes, checksum: 66e71c371cc565284e70f40736c94386 (MD5) / Made available in DSpace on 2015-03-11T19:52:28Z (GMT). No. of bitstreams: 2 TESE George Gomes Cabral.pdf: 3153073 bytes, checksum: 0d149ea3bf3d88d754b81befbafa8b70 (MD5) license_rdf: 1232 bytes, checksum: 66e71c371cc565284e70f40736c94386 (MD5) Previous issue date: 2014 / FACEPE / A detecção de novidades é um problema com um grande número de aplicações. Em algumas aplicações, o foco está na prevenção ou detecção de estados indesejados. Em alguns casos, esses estados não são conhecidos durante o treinamento do modelo de classificador; em outros, como monitoramento de máquinas, por exemplo, uma quebra da máquina pode ser bem rara e exemplos desse caso podem ser bastante raros. Nestes casos, a abordagem mais aceita consiste em se modelar o comportamento normal do sistema de forma a, no futuro, se detectar eventos desconhecidos. Esse é o conceito básico de Classificação com Exemplos de uma Única Classe (One-Class Classification - OCC). Esta tese introduz duas versões de um método simples e efetivo para OCC, chamado de FBDOCC (Feature Boundaries Detector for One-Class Classification). O FBDOCC funciona analisando cada característica (dimensão) do problema e criando uma representação sintética da classe novidade (desconhecida a priori) que engloba os dados da classe normal. Esse trabalho também considera o uso do algoritmo Particle Swarm Optimization (PSO) na busca da melhor configuração dos parâmetros do método proposto. Além disso, o presente trabalho introduz também um procedimento para a melhoria do custo computacional durante o treinamento, da técnica proposta, sem que haja a degradação na qualidade da classificação. Entre as motivações por trás deste trabalho, estão a criação de um método com baixo custo computacional e com a mesma ou melhor precisão na classificação que métodos para detecção de novidades do estado da arte. Vários experimentos foram executados com bases de dados do mundo real e artificiais no intuito de comparar as duas versões desenvolvidas do método proposto com alguns dos mais recentes e efetivos métodos OCC, são eles: Support Vector Data Description (SVDD), One-Class SVM (OCSVM), Least Squares One-class SVM (LSOCSVM), Kernel Principal Component Analysis (KPCA), Gaussian Process Prior OCC (GP-OCC), Condensed Nearest Neighbor Data Description (CNNDD) e One-class Random Forests (OCRF). As métricas de desempenho consideradas nos experimentos foram: (i) a area sob a curva ROC (Area Under the Curve - AUC); (ii) o coeficiente de correlação deMatthews (Matthews Correlation Coefficient - MCC); (iii) o tempo de treinamento; e (iv) a taxa de redução de protótipos. Em relação às métricas AUC e MCC, a primeira versão do método FBDOCC apresentou a melhor média global entre todos os métodos enquanto que a segunda versão do método proposto, FBDOCC2, obteve resultados comparáveis aosmelhoresmétodos em experimentos onde o FBDOCC obteve um baixo desempenho. O FBDOCC obteve os melhores resultados considerando o tempo de treinamento em todas as bases de dados, exceto uma. Em adição, o FBDOCC foi bem mais rápido que todos os métodos baseados em Máquinas de Vetores de Suporte. Além disso, um estudo de caso foi realizado utilizando dados adquiridos em um hospital local de renome. Estes dados são compostos de informações não-invasivas sobre as crianças que compareceram ao hospital com sintomas de sopro no coração. Informações como idade, peso, altura, etc., foram usadas para prever se a criança é ou cardiopata. Devido ao elevado grau de desequilíbrio entre as classes (ou seja, o número de pacientes saudáveis foi consideravelmente mais elevado), a abordagem adotada foi a de construir uma descrição dos casos saudáveis deixando casos desconhecidos fora desta descrição. Os resultados mostram que dois dos classificadores OCC aplicados (FBDOCC e OCSVM) obtiveram êxito nesta tarefa, resultando na melhor taxa, entre os métodos investigados, de detecção baseada exclusivamente em dados não-invasivo

Orientador: Kelton Augusto Pontara da Costa / Resumo: À medida que a Internet cresce com o passar dos anos, é possível observar um aumento na quantidade de dados que trafegam nas redes de computadores do mundo todo. Em um contexto onde o volume de dados encontra-se em constante renovação, sob a perspectiva da área de Segurança de Redes de Computadores torna-se um grande desafio assegurar, em termos de eficácia e eficiência, os sistemas computacionais da atualidade. Dentre os principais mecanismos de segurança empregados nestes ambientes, destacam-se os Sistemas de Detecção de Intrusão em Rede. Muito embora a abordagem de detecção por assinatura seja suficiente no combate de ataques conhecidos nessas ferramentas, com a eventual descoberta de novas vulnerabilidades, faz-se necessário a utilização de abordagens de detecção por anomalia para amenizar o dano de ataques desconhecidos. No campo acadêmico, diversos trabalhos têm explorado o desenvolvimento de abordagens híbridas com o intuito de melhorar a acurácia dessas ferramentas, com o auxílio de técnicas de Aprendizado de Máquina. Nesta mesma linha de pesquisa, o presente trabalho propõe a aplicação destas técnicas para a detecção de intrusão em um ambiente tempo real mediante uma ferramenta popular e amplamente utilizada, o Snort. Os resultados obtidos mostram que em determinados cenários de ataque, a abordagem de detecção baseada em anomalia pode se sobressair em relação à abordagem de detecção baseada em assinatura, com destaque às técnicas AdaBoost, Florestas Aleatórias, Árvor... (Resumo completo, clicar acesso eletrônico abaixo) / Abstract: As the Internet grows over the years, it is possible to observe an increase in the amount of data that travels on computer networks around the world. In a context where data volume is constantly being renewed, from the perspective of the Network Security area it becomes a great challenge to ensure, in terms of effectiveness and efficiency, today’s computer systems. Among the main security mechanisms employed in these environments, stand out the Network Intrusion Detection Systems. Although the signature-based detection approach is sufficient to combat known attacks in these tools, with the eventual discovery of new vulnerabilities, it is necessary to use anomaly-based detection approaches to mitigate the damage of unknown attacks. In the academic field, several works have explored the development of hybrid approaches in order to improve the accuracy of these tools, with the aid of Machine Learning techniques. In this same line of research, the present work proposes the application of these techniques for intrusion detection in a real time environment using a popular and widely used tool, the Snort. The obtained results shows that in certain attack scenarios, the anomaly-based detection approach may outperform the signature-based detection approach, with emphasis on the techniques AdaBoost, Random Forests, Decision Tree and Linear Support Vector Machine. / Mestre

Nowadays, many business processes are supported by information systems (e.g. WfMS, CRM, ERP, SCM, etc.). Many of these systems have a strong characteristic of coordination of activities defined in the business processes, mainly for ensuring that these activities are performed as specified in the process model. However, there are domains that demand more flexible systems, for example, hospital and health domains, whose behavior can vary for each patient. Such domains of applications require an information system in which the business processes are weakly defined, supporting more flexible and dynamic executions. For example, the execution of some common activities may be violated, or some unusual activity may be enforced for execution. Therefore, in domains of applications in which the systems support a high levei of flexibility the business processes are susceptible to exceptional or even fraudulent executions. Thus, the provision of flexibility can not be considered without improving the security issues, since there is clearly a trade-off between flexibility and security requirements. Therefore, it is necessary to develop a mechanism to allow the combination of these two requirements in a system, that is, a mechanism that promotes a balance between flexibility and security. This thesis aims to design, implement and evaluate methods for detecting anomalies in logs of process-aware information systems, that is, the development of methods to find out which process instances may be an anomalous execution. Thus, when incorporating a method for detecting anomalies in such systems, it would be possible to offer a flexible and safer execution environment, since the system is also able to identify anomalous executions, which could be a simple exception or a harmful fraud attempt. Thus, the study of methods for detecting anomalous events will fill an area largely unexplored by the community of process mining, which has been mainly interested in understanding the common behavior in business processes. Furthermore, although this thesis does not discuss the meaning of an anomalous instance, the methods and algorithms presented here are important because they allow us to identify those instances. / Atualmente há uma variedade de sistemas que apoiam processos de negócio (ex. WfMS, CRM, ERP, SCM, etc.). Muitos desses sistemas possuem uma forte característica de coordenação das atividades dos processos de negócios, garantindo que essas atividades sejam executadas como especificadas no modelo de processo. Entretanto, há domínios com maior necessidade de flexibilidade na execução desses processos, por exemplo, em atendimento hospitalar, cuja conduta pode variar para cada paciente. Essa característica desses domínios demanda o desenvolvimento de sistemas orientados a processos fracamente definidos, ou com execução mais flexível. Nesses domínios, a execução de algumas atividades comuns pode ser violada, ou a execução de uma atividade "incomum" pode ser necessária, ou seja, tais processos são suscetíveis a execuções excepcionais ou mesmo fraudulentas. Assim, o provimento de flexibilidade não pode ser considerado sem melhorar as questões relacionadas à segurança, pois flexibilidade e segurança são requisitos claramente conflitantes. Portanto, é necessário desenvolver mecanismos ou métodos que permitam a conjugação desses dois requisitos em um mesmo sistema, promovendo um balanço entre flexibilidade e segurança. Esta tese tem por objetivo projetar, implementar e avaliar métodos de detecção de anomalias em logs de sistemas de apoio a processos de negócios, ou seja, o desenvolvimento de métodos utilizados para descobrir quais instâncias de processo podem ser uma execução anômala. Desta forma, através da integração de um método de detecção de anomalias com um sistema de apoio a processos de negócio, tais sistemas poderão oferecer um ambiente de execução flexível, mas capaz de identificar execuções anômalas que podem indicar desde uma execução excepcional, até uma tentativa de fraude. Assim, o estudo de métodos de detecção de eventos anômalos vem preencher um espaço pouco explorado pela comunidade de process mining, que tem demonstrado maior interesse em entender o comportamento comum em processos de negócios. Entretanto, apesar desta tese não discutir o significado das instâncias anômalas, os métodos de detecção apresentados aqui são importantes porque permitem selecionar essas instâncias.

O presente trabalho investiga um método de detecção de anomalias baseado em sistemas imunológicos artificiais, especificamente em uma técnica de reconhecimento próprio/não-próprio chamada algoritmo de seleção negativa (NSA). Foi utilizado um esquema de representação baseado em hiperesferas com centros e raios variáveis e um modelo capaz de gerar detectores, com esta representação, de forma eficiente. Tal modelo utiliza algoritmos genéticos onde cada gene do cromossomo contém um índice para um ponto de uma distribuição quasi-aleatória que servirá como centro do detector e uma função decodificadora responsável por determinar os raios apropriados. A aptidão do cromossomo é dada por uma estimativa do volume coberto através uma integral de Monte Carlo. Este algoritmo teve seu desempenho verificado em diferentes dimensões e suas limitações levantadas. Com isso, pode-se focar as melhorias no algoritmo, feitas através da implementação de operadores genéticos mais adequados para a representação utilizada, de técnicas de redução do número de pontos do conjunto próprio e de um método de pré-processamento baseado em bitmaps de séries temporais. Avaliações com dados sintéticos e experimentos com dados reais demonstram o bom desempenho do algoritmo proposto e a diminuição do tempo de execução. / This work investigates a novel detection method based on Artificial Immune Systems, specifically on a self/non-self recognition technique called negative selection algorithm (NSA). A representation scheme based on hyperspheres with variable center and radius and a model that is able to generate detectors, based on that representation scheme, have been used. This model employs Genetic Algorithms where each chromosome gene represents an index to a point in a quasi-random distribution, which serves as a detector center, and a decoder function that determines the appropriate radius. The chromosome fitness is given by an estimation of the covered volume, which is calculated through a Monte Carlo integral. This algorithm had its performance evaluated for different dimensions, and more suitable genetic operators for the used representation, techniques of reducing self-points number and a preprocessing method based on bitmap time series have been therefore implemented. Evaluations with synthetic data and experiments with real data demonstrate the performance of the proposed algorithm and the decrease in execution time.

O presente trabalho investiga um método de detecção de anomalias baseado em sistemas imunológicos artificiais, especificamente em uma técnica de reconhecimento próprio/não-próprio chamada algoritmo de seleção negativa (NSA). Foi utilizado um esquema de representação baseado em hiperesferas com centros e raios variáveis e um modelo capaz de gerar detectores, com esta representação, de forma eficiente. Tal modelo utiliza algoritmos genéticos onde cada gene do cromossomo contém um índice para um ponto de uma distribuição quasi-aleatória que servirá como centro do detector e uma função decodificadora responsável por determinar os raios apropriados. A aptidão do cromossomo é dada por uma estimativa do volume coberto através uma integral de Monte Carlo. Este algoritmo teve seu desempenho verificado em diferentes dimensões e suas limitações levantadas. Com isso, pode-se focar as melhorias no algoritmo, feitas através da implementação de operadores genéticos mais adequados para a representação utilizada, de técnicas de redução do número de pontos do conjunto próprio e de um método de pré-processamento baseado em bitmaps de séries temporais. Avaliações com dados sintéticos e experimentos com dados reais demonstram o bom desempenho do algoritmo proposto e a diminuição do tempo de execução. / This work investigates a novel detection method based on Artificial Immune Systems, specifically on a self/non-self recognition technique called negative selection algorithm (NSA). A representation scheme based on hyperspheres with variable center and radius and a model that is able to generate detectors, based on that representation scheme, have been used. This model employs Genetic Algorithms where each chromosome gene represents an index to a point in a quasi-random distribution, which serves as a detector center, and a decoder function that determines the appropriate radius. The chromosome fitness is given by an estimation of the covered volume, which is calculated through a Monte Carlo integral. This algorithm had its performance evaluated for different dimensions, and more suitable genetic operators for the used representation, techniques of reducing self-points number and a preprocessing method based on bitmap time series have been therefore implemented. Evaluations with synthetic data and experiments with real data demonstrate the performance of the proposed algorithm and the decrease in execution time.

Conselho Nacional de Desenvolvimento Científico e Tecnológico / With the increase web traffic of comes various threats to the security of web applications. The threats arise inherent vulnerabilities of web systems, where malicious code or content injection are the most exploited vulnerabilities in web attacks. The injection vulnerability allows the attacker to insert information or a program in improper places, causing damage to customers and organizations. Its property is to change the character frequency distribution of some requests within a set of web requests. Anomaly-based intrusion detection systems have been used to break these types of attacks, due to the diversity and complexity found in web attacks. In this context, this paper proposes a new anomaly based detection algorithm that apply the two-dimensional wavelet transform for the detection of web attacks. The algorithm eliminates the need for a training phase (which asks for reliable data) and searches for character frequency anomalies in a set of web requests, through the analysis in multiple directions and resolutions. The experiment results demonstrate the feasibility of our technique for detecting web attacks. After some adjustments on different parameters, the algorithm has obtained detection rates up to 100%, eliminating the occurrence of false positives. / O aumento do tráfego web vem acompanhado de diversas ameaças para a segurança das aplicações web. As ameaças são decorrentes das vulnerabilidades inerentes dos sistemas web, sendo a injeção de código ou conteúdo malicioso uma das vulnerabilidades mais exploradas em ataques web, pois permite que o atacante insira uma informação ou programa em locais indevidos, podendo causar danos aos clientes e organizações. Esse tipo de ataque tem sido caracterizado pela alteração na distribuição da frequência dos caracteres de algumas requisições dentro de um conjunto de requisições web. Sistemas de detecção de intrusão baseados em anomalias têm sido usados para procurar conter tais tipos de ataques, principalmente em função da diversidade e da complexidade dos ataques web. Neste contexto, o trabalho propõe um novo algoritmo para detecção de anomalias que aplica a transformada wavelet bidimensional na detecção de ataques web e elimina a necessidade de uma fase de treinamento com dados confiáveis de difícil obtenção. O algoritmo pesquisa por anomalias nas frequências dos caracteres de um conjunto de requisições web através da análise em múltiplas direções e resoluções. Os resultados obtidos nos experimentos demonstraram a viabilidade da técnica para detecção de ataques web e também que com ajustes entre diferentes parâmetros foram obtidas taxas de detecção de até 100%, eliminando a ocorrência de falsos positivos.