As redes de computadores experimentam um grande crescimento não apenas em tamanho, mas também no número de serviços oferecidos e no número de protocolos de alto nível e aplicações que são executados sobre elas. Boa parte desses software (ex.: ICQ e Napster), em geral, não está diretamente ligada a aplicações críticas, mas o seu uso não controlado pode degradar o desempenho da rede. Para que se possa medir o impacto dos mesmos sobre a infra-estrutura, mecanismos de gerência ligados à contabilização e caracterização de tráfego são desejáveis. Por outro lado, alguns protocolos, serviços e aplicações (ex. servidores DNS e Web) suportam aplicações e precisam ser monitorados e gerenciados com maior atenção. Para essa classe de software de rede, a simples contabilização e caracterização de tráfego não é suficiente; tarefas de gerência como teste de serviços, detecção e manipulação de falhas, medição de desempenho e detecção de intrusão são importantes para garantir alta disponibilidade e eficiência da rede e aplicações. As ferramentas existentes para essa finalidade são, entre aspectos, (a) não integradas (necessidade de uma ferramenta para monitorar cada aplicação), (b) centralizadas (não oferecem suporte à distribuição de tarefas de gerenciamento) e (c) pouco flexíveis (dificuldade em gerenciar novos protocolos, serviços e aplicações). Nesse contexto, a tese propõe uma arquitetura, centrada na monitoração passiva em temporal do tráfego de rede, para gerenciamento distribuído de protocolos de alto nível, serviços e aplicações em rede. Baseada da MIB (Management Information Base) Script do IETF (Internet Engineering Task Force), a arquitetura Trace oferece mecanismos para a delegação de tarefas de gerenciamento a gerentes intermediários, que interagem com agentes de monitoração e agentes de ação para executá-las. A tese propõe também PTSL (Protocol Trace Specification Language), uma linguagem gráfica/textual criada para permitir que gerentes de rede especificam as interações de protocolos (traços) que lhes interessam monitorar. As especificações são usadas pelso gerentes intermediários para programar os agentes de monitoração. Uma vez programadas, esses agentes passam a monitorar a ocorrência dos traços.As informações obtidas são analisadas pelos agentes intermediários, que podem requisitar de ação a execução de procedimentos (ex: scripts Perl), possibilitando a automação de diversas tarefas de gerenciamento. A arquitetura proposta é validada por um protótipo: a plataforma de gerenciamento Trace.

Este trabalho propõe a utilização da arquitetura Trace como um sistema de detecção de intrusão. A arquitetura Trace oferece suporte ao gerenciamento de protocolos de alto nível, serviços e aplicações através de uma abordagem baseada na observação passiva de interações de protocolos (traços) no tráfego de rede. Para descrever os cenários a serem monitorados, é utilizada uma linguagem baseada em máquinas de estado. Esta linguagem permite caracterizar aspectos observáveis do tráfego capturado com vistas a sua associação com formas de ataque. O trabalho mostra, através de exemplos, que esta linguagem é adequada para a modelagem de assinaturas de ataques e propõe extensões para permitir a especificação de um número maior de cenários ligados ao gerenciamento de segurançaa. Em seguida, é descrita a implementação do agente de monitoração, componente-chave da arquitetura Trace, e sua utilização para detectar intrusões. Esse agente (a) captura o tráfego da rede, (b) observa a ocorrência dos traços programados e (c) armazena estatísticas sobre a sua ocorrência em uma base de informações de gerenciamento (MIB { Management Information Base). O uso de SNMP permite a recuperação destas informações relativas µa ocorrências dos ataques. A solução apresentada mostrou ser apropriada para resolver duas classes de problemas dos sistemas de detecção de intrusão: o excesso de falsos positivos e a dificuldade em se modelar certos ataques.

A segurança no ambiente de redes de computadores é um elemento essencial para a proteção dos recursos da rede, dos sistemas e das informações. Os mecanismos de segurança normalmente empregados são criptografia de dados, firewalls, mecanismos de controle de acesso e sistemas de detecção de intrusão. Os sistemas de detecção de intrusão têm sido alvo de várias pesquisas, pois é um mecanismo muito importante para monitoração e detecção de eventos suspeitos em um ambiente de redes de computadores. As pesquisas nessa área visam aprimorar os mecanismos de detecção de forma a aumentar a sua eficiência. Este trabalho está focado na área de detecção de anomalias baseada na utilização de métodos estatísticos para identificar desvios de comportamento e controlar o acesso aos recursos da rede. O principal objetivo é criar um mecanismo de controle de usuários da rede, de forma a reconhecer a legitimidade do usuário através de suas ações. O sistema proposto utilizou média e desvio padrão para detecção de desvios no comportamento dos usuários. Os resultados obtidos através da monitoração do comportamento dos usuários e aplicação das medidas estatísticas, permitiram verificar a sua validade para o reconhecimento dos desvios de comportamento dos usuários. Portanto, confirmou-se a hipótese de que estas medidas podem ser utilizadas para determinar a legitimidade de um usuário, bem como detectar anomalias de comportamento. As análises dos resultados de média e desvio padrão permitiram concluir que, além de observar os seus valores estanques, é necessário observar o seu comportamento, ou seja, verificar se os valores de média e desvio crescem ou decrescem. Além da média e do desvio padrão, identificou-se também a necessidade de utilização de outra medida para refletir o quanto não se sabe sobre o comportamento de um usuário. Esta medida é necessária, pois a média e o desvio padrão são calculados com base apenas nas informações conhecidas, ou seja, informações registradas no perfil do usuário. Quando o usuário faz acessos a hosts e serviços desconhecidos, ou seja, não registrados, eles não são representados através destas medidas. Assim sendo, este trabalho propõe a utilização de uma medida denominada de grau de desconhecimento, utilizada para medir quantos acessos diferentes do seu perfil o usuário está realizando. O sistema de detecção de anomalias necessita combinar as medidas acima descritas e decidir se deve tomar uma ação no sistema. Pra este fim, propõe-se a utilização de sistemas de regras de produção e lógica fuzzy, que permitem a análise das medidas resultantes e execução do processo de decisão que irá desencadear uma ação no sistema. O trabalho também discute a integração do sistema de detecção de intrusão proposto à aplicação de gerenciamento SNMP e ao gerenciamento baseado em políticas.

Notificações enviadas por dispositivos são essenciais para ajudar no gerenciamento de redes de computadores, pois podem alertar sobre, por exemplo, situações anormais ou indesejadas. Porém, em muitos casos, múltiplas notificações relacionadas ao mesmo problema podem ser recebidas por uma estação gerente. Isso faz com que a visualização das notificações se torne confusa. Uma forma possível de diminuir a quantidade de notificações recebidas é através da sua correlação. Atualmente, os Web Services têm sido um importante tema de pesquisa na área de gerenciamento de redes de computadores. Contudo, não há pesquisas propriamente relacionadas à notificação de eventos usando Web Services. O protocolo SNMP, que é a solução mais aceita e utilizada, possui suporte à notificação de eventos através de suas mensagens trap. Porém, esse suporte é limitado e, raramente, consegue cruzar domínios administrativos diferentes. Unindo a necessidade de correlação com a necessidade de cruzar domínios administrativos diferentes, uma arquitetura de correlação de notificações baseada em Web Services e políticas é apresentada. As políticas são utilizadas no trabalho, como mecanismo para definição das regras de correlação de notificações. A arquitetura proposta e sua implementação são apresentadas, permitindo a investigação do uso de Web Services como ferramenta no gerenciamento de redes, considerando o caso específico de suporte a notificações. Este estudo complementa as investigações em andamento do Grupo de Pesquisa de Redes da Universidade Federal do Rio Grande do Sul, mostrando aspectos dosWeb Services no gerenciamento de redes, que eram desconhecidos no campo de notificações, além de mostrar o gerenciamento baseado em políticas aplicado a notificações, assunto também inexplorado até o momento.

Notificações enviadas por dispositivos são essenciais para ajudar no gerenciamento de redes de computadores, pois podem alertar sobre, por exemplo, situações anormais ou indesejadas. Porém, em muitos casos, múltiplas notificações relacionadas ao mesmo problema podem ser recebidas por uma estação gerente. Isso faz com que a visualização das notificações se torne confusa. Uma forma possível de diminuir a quantidade de notificações recebidas é através da sua correlação. Atualmente, os Web Services têm sido um importante tema de pesquisa na área de gerenciamento de redes de computadores. Contudo, não há pesquisas propriamente relacionadas à notificação de eventos usando Web Services. O protocolo SNMP, que é a solução mais aceita e utilizada, possui suporte à notificação de eventos através de suas mensagens trap. Porém, esse suporte é limitado e, raramente, consegue cruzar domínios administrativos diferentes. Unindo a necessidade de correlação com a necessidade de cruzar domínios administrativos diferentes, uma arquitetura de correlação de notificações baseada em Web Services e políticas é apresentada. As políticas são utilizadas no trabalho, como mecanismo para definição das regras de correlação de notificações. A arquitetura proposta e sua implementação são apresentadas, permitindo a investigação do uso de Web Services como ferramenta no gerenciamento de redes, considerando o caso específico de suporte a notificações. Este estudo complementa as investigações em andamento do Grupo de Pesquisa de Redes da Universidade Federal do Rio Grande do Sul, mostrando aspectos dosWeb Services no gerenciamento de redes, que eram desconhecidos no campo de notificações, além de mostrar o gerenciamento baseado em políticas aplicado a notificações, assunto também inexplorado até o momento.

Este trabalho propõe a utilização da arquitetura Trace como um sistema de detecção de intrusão. A arquitetura Trace oferece suporte ao gerenciamento de protocolos de alto nível, serviços e aplicações através de uma abordagem baseada na observação passiva de interações de protocolos (traços) no tráfego de rede. Para descrever os cenários a serem monitorados, é utilizada uma linguagem baseada em máquinas de estado. Esta linguagem permite caracterizar aspectos observáveis do tráfego capturado com vistas a sua associação com formas de ataque. O trabalho mostra, através de exemplos, que esta linguagem é adequada para a modelagem de assinaturas de ataques e propõe extensões para permitir a especificação de um número maior de cenários ligados ao gerenciamento de segurançaa. Em seguida, é descrita a implementação do agente de monitoração, componente-chave da arquitetura Trace, e sua utilização para detectar intrusões. Esse agente (a) captura o tráfego da rede, (b) observa a ocorrência dos traços programados e (c) armazena estatísticas sobre a sua ocorrência em uma base de informações de gerenciamento (MIB { Management Information Base). O uso de SNMP permite a recuperação destas informações relativas µa ocorrências dos ataques. A solução apresentada mostrou ser apropriada para resolver duas classes de problemas dos sistemas de detecção de intrusão: o excesso de falsos positivos e a dificuldade em se modelar certos ataques.

A segurança no ambiente de redes de computadores é um elemento essencial para a proteção dos recursos da rede, dos sistemas e das informações. Os mecanismos de segurança normalmente empregados são criptografia de dados, firewalls, mecanismos de controle de acesso e sistemas de detecção de intrusão. Os sistemas de detecção de intrusão têm sido alvo de várias pesquisas, pois é um mecanismo muito importante para monitoração e detecção de eventos suspeitos em um ambiente de redes de computadores. As pesquisas nessa área visam aprimorar os mecanismos de detecção de forma a aumentar a sua eficiência. Este trabalho está focado na área de detecção de anomalias baseada na utilização de métodos estatísticos para identificar desvios de comportamento e controlar o acesso aos recursos da rede. O principal objetivo é criar um mecanismo de controle de usuários da rede, de forma a reconhecer a legitimidade do usuário através de suas ações. O sistema proposto utilizou média e desvio padrão para detecção de desvios no comportamento dos usuários. Os resultados obtidos através da monitoração do comportamento dos usuários e aplicação das medidas estatísticas, permitiram verificar a sua validade para o reconhecimento dos desvios de comportamento dos usuários. Portanto, confirmou-se a hipótese de que estas medidas podem ser utilizadas para determinar a legitimidade de um usuário, bem como detectar anomalias de comportamento. As análises dos resultados de média e desvio padrão permitiram concluir que, além de observar os seus valores estanques, é necessário observar o seu comportamento, ou seja, verificar se os valores de média e desvio crescem ou decrescem. Além da média e do desvio padrão, identificou-se também a necessidade de utilização de outra medida para refletir o quanto não se sabe sobre o comportamento de um usuário. Esta medida é necessária, pois a média e o desvio padrão são calculados com base apenas nas informações conhecidas, ou seja, informações registradas no perfil do usuário. Quando o usuário faz acessos a hosts e serviços desconhecidos, ou seja, não registrados, eles não são representados através destas medidas. Assim sendo, este trabalho propõe a utilização de uma medida denominada de grau de desconhecimento, utilizada para medir quantos acessos diferentes do seu perfil o usuário está realizando. O sistema de detecção de anomalias necessita combinar as medidas acima descritas e decidir se deve tomar uma ação no sistema. Pra este fim, propõe-se a utilização de sistemas de regras de produção e lógica fuzzy, que permitem a análise das medidas resultantes e execução do processo de decisão que irá desencadear uma ação no sistema. O trabalho também discute a integração do sistema de detecção de intrusão proposto à aplicação de gerenciamento SNMP e ao gerenciamento baseado em políticas.

O fornecimento de facilidades de QoS em redes de computadores tem por objetivo introduzir níveis das garantias que são ausentes, por exemplo, no paradigma de melhor-esforço das redes IP. Diferentes arquiteturas de QoS possuem padrões diferentes para os serviços fornecidos, que conduzem a um cenário em que a QoS prevista não possa ser sempre fornecida corretamente pela arquitetura utilizada. Neste contexto, uma monitoração da QoS é necessária para verificar a QoS observada e para compará-la com a QoS esperada/ contratada. Em uma rede que utilize gerenciamento baseado em políticas, a QoS esperada é definido pelas políticas que regem o comportamento da rede. O Internet Engineering Task Force (IETF) tem padronizado vários elementos para um sistema de gerenciamento de redes baseado em políticas (PBNM), no qual políticas são definidas utilizando-se linguagem de alto nível, armazenadas em repositórios para políticas, aplicadas com o auxilio de Policy Decision Points (PDPs) e mantidas por Enforcement Points (PEPs). Pela definição do IETF, uma vez que uma política é aplicada com sucesso, o sistema de PBNM não mais checará o comportamento desta, e a QoS definida é assumida com a fornecida pela rede. De fato, isso nem sempre é verdade. A arquitetura da qual provém a QoS pode apresentar-se instável ou mediante problemas, logo a QoS esperada não seria atingida. Para verificar a degradação na QoS em ambientes de gerenciamento reais, atualmente, o administrador da rede monitora a rede e determina a QoS fornecida. Tal QoS é, por sua vez, manualmente comparada com a QoS definida pelas políticas de rede. Finalmente, se diferenças são encontradas, o administrador procede com medidas que levem a arquitetura a um estado consistente Nos dias de hoje, as definições e aplicações de políticas e monitoração de QoS são tarefas executadas separadamente pelas soluções disponíveis. Além disso, como demonstrado anteriormente, a verificação da QoS fornecida contra a QoS definida pelas políticas da rede é deixada a cargo do administrador da rede. Nesse contexto, a automação da monitoração das políticas de QoS e a integração entre as tarefas citadas são necessárias do ponto de vista do administrador da rede. Nesta dissertação, é proposta uma definição (e um sistema) para a monitoração de QoS em que as definições de políticas são dados de entrada utilizados para checar a QoS observada. No momento em que uma degradação na QoS é detectada, o sistema de monitoração notifica um gerente com suporte a SNMP utilizando mensagens do tipo InformRequest. A arquitetura do sistema é dividida internamente em monitores de QoS e controladores de monitores de QoS. Cada controlador de monitor de QoS controla vários monitores de QoS, os quais coletam dados da rede. Tais dados são comparados com as políticas traduzidas pelo controlador, e, caso sejam detectadas degradações, o controlador de monitor de QoS notifica o gerente. A comunicação entre controlador de monitores de QoS e monitores de QoS também é baseada em SNMP. O principal objetivo do trabalho é fornecer uma solução que integre monitoração de QoS e PBNM em um único ambiente de gerenciamento.

A tecnologia de rede dominante em ambientes locais é ethernet. Sua ampla utilização e o aumento crescente nos requisitos impostos pelas aplicações são as principais razões para a evolução constante presenciada desde o surgimento deste tipo de rede simples e barata. Na busca por maior desempenho, configurações baseadas na disputa por um meio de transmissão compartilhado foram substituídas por topologias organizadas ao redor de switches e micro-segmentadas, ou seja, com canais de transmissão individuais para cada estação. Neste mesmo sentido, destacam-se os dispositivos de qualidade de serviço padronizados a partir de 1998, que permitem a diferenciação de tráfego prioritário. O uso desta tecnologia em ambientes de automação sempre foi refreado devido à imprevisibilidade do protocolo CSMA/CD. Entretanto, o uso de switched ethernet em conjunto com a priorização de tráfego representa um cenário bastante promissor para estas aplicações, pois ataca as duas fontes principais de indeterminismo: colisões e enfileiramento. Este trabalho procura avaliar esta estrutura em ambientes de controle distribuído, através de uma análise temporal determinística. Como resultado, propõe-se um modelo analítico de cálculo capaz de prever os valores máximos, médios e mínimos do atraso fim-a-fim observado nas comunicações de diferentes classes de tráfego. Durante a análise, outras métricas relevantes são investigadas como a variação no atraso (jitter) e a interferência entre classes de prioridades distintas.

A evolução das redes de computadores criou a necessidade de novos serviços de rede que fornecessem qualidade de serviços nos fluxos de dados dos usuários. Nesse contexto, uma nova área de pesquisa surgiu, o gerenciamento de QoS, onde foram apresentadas novas tarefas para o gerenciamento de recursos de rede que fornecem QoS. Uma delas, a descoberta de QoS, é responsável por identificar alvos numa rede de computadores. Um alvo é uma entidade capaz de implementar funcionalidades para o fornecimento de QoS. Essa dissertação apresenta uma proposta de modelo para a descoberta de QoS. O modelo é composto por duas partes: metodologia e arquitetura. A metodologia define os procedimentos para a realização da descoberta de QoS, enquanto a arquitetura define entidades que implementam tais procedimentos bem como o relacionamento entre essas entidades. O modelo proposto também tem por objetivo ser extensível, escalável e distribuído. Além disso, um protótipo baseado no modelo é apresentado.