Atualmente uma preocupação comum em todos os ambientes envolvidos em interconexões de computadores é criar mecanismos que possibilitem a interação entre programas con tidos em diversos equipamentos. A ISO propõe uma forma padronizada para comunicações entre sistemas abertos e o nível de transporte é parte importante dessa padronização. O objetivo deste trabalho é descrever a irnplementação de um serviço de transporte para uma máquina de qrande porte com a intenção de utilizá-lo numa rede local de computadores, Descreve-se no texto o modelo OSI e a proposta para redes locais, o padrão de transporte ISO classe 4 e os sistemas utilizados. Finalmente, é descrita a implernentação num computador de grande porte. / Nowadays, a very cormnon preocupation at severai environments o£ computers interconnection is the creation of mechanisms which make possible the interaction between routines contained in different equipments. The purpose of ISO is a layered standard architecture for Open Systems Interconnection and the transport level is an irnportant component of architecture. The purpose of this work is to describe the implementation of a transport protocol to a large computer with a view to use in a local network. It describes the OSI model and the local network standards, the ISO transport standard class 4 and the used system. At last, it describes the implementation for a large computer.

Atualmente, uma das mais sérias ameaças a segurança da Internet são as botnets. As botnets - rede de máquinas comprometidas e controladas remotamente por um atacante - caracterizam-se por serem muito dinâmicas. Frequentemente novas características são incorporadas as redes dificultando que ferramentas tradicionais tal como sistemas de antivírus e IDS sejam efetivas. Diante disso, faz-se necessário desenvolver novos mecanismos que possam complementar as atuais técnicas de defesa. Esta dissertação de mestrado apresenta uma proposta de arquitetura para uma ferramenta de mitigação e detecção de botnets baseada em assinatura de rede de máquinas comprometidas por bots. Essa arquitetura automatiza o processo de geração de assinaturas compilando informações de analisadores de malwares gratuitamente disponibilizados na Web. Além disso, utilizouse de monitoração de fluxos através da solução Netflow para identificar o comportamento de rede similar aos mapeados em arquivos maliciosos analisados. Esse comportamento mapeado sinaliza uma possível infecção de máquinas na rede monitorada. Essa identificação dispara eventos na ferramenta proposta que auxiliará o gerente a mitigar a máquina comprometida. Por fim, avaliou-se a solução proposta no contexto de uma grande rede acadêmica: da própria Universidade Federal do Rio Grande do Sul (UFRGS). Os resultados alcançados por essa solução permitiram concluir que 1,5% dos controladores ficam por um longo período (52 dias) realizando atividades maliciosas e, também, observouse um pequeno grupo de controladores responsáveis pela administração de uma grande quantidade de máquinas. / Currently, botnets are one of the most serious threats of Internet security. The botnets - network of compromissed machines remotely controlled by an attacker - are being very dynamic threats. Often new features are incorporated into thismalicious networksmaking hard for traditional tools, such as antivirus and IDS, to be effective. Therefore, it is necessary to develop new mechanisms that can complement the current defense techniques. This dissertation presents an architecture for a tool for botnet mitigation and detection. The tool is based in network signature obtained from bot compromissed machine’s. This architecture automates the process of signature generation compiling information from online malwares analyze tools. Furthermore, flows monitoring tools was used to identify similar behavior to those mapped in malware (bot) analyzed by the system. This mapped behavior in flows indicates possible compromissed machines, with this, the system triggers events to help the security manager to mitigate the compromissed machines. Finally, the proposed solution was evaluated in a academic network: in the Federal University of Rio Grande do Sul. The results achieved by this solution helped to observe that more than 1.5% of the botnet controllers’s remain active for a long period of time (52 days) performing malicious activities. Also, was observed a small group of controllers responsible for the adminstration of a large number of compromissed machines.

Desenvolve-se um trabalho na área de especificação formal de protocolos de comunicação de dados. E feita uma apresentação rigorosa dos conceitos e terminologia associados ao tema. E proposto um conjunto de critérios para comparação de linguagens formais para especificação de protocolos. Estes critérios são aplicados para a comparação entre duas destas linguagens, Estelle e Lotos, atuais e bastante difundidas, em fase final de padronização pela ISO. / This work stands on the area of formal protocol specification. It is given a rigorous presentation of the concepts and terminology related to the area. A set of criteria is proposed for the comparison of formal specification languages for protocols. The criteria are applied in the comparison of two of these languages, Estelle and Lotos, modern and well accepted in the community, whose standardization by ISO is in a final step.

Atualmente uma preocupação comum em todos os ambientes envolvidos em interconexões de computadores é criar mecanismos que possibilitem a interação entre programas con tidos em diversos equipamentos. A ISO propõe uma forma padronizada para comunicações entre sistemas abertos e o nível de transporte é parte importante dessa padronização. O objetivo deste trabalho é descrever a irnplementação de um serviço de transporte para uma máquina de qrande porte com a intenção de utilizá-lo numa rede local de computadores, Descreve-se no texto o modelo OSI e a proposta para redes locais, o padrão de transporte ISO classe 4 e os sistemas utilizados. Finalmente, é descrita a implernentação num computador de grande porte. / Nowadays, a very cormnon preocupation at severai environments o£ computers interconnection is the creation of mechanisms which make possible the interaction between routines contained in different equipments. The purpose of ISO is a layered standard architecture for Open Systems Interconnection and the transport level is an irnportant component of architecture. The purpose of this work is to describe the implementation of a transport protocol to a large computer with a view to use in a local network. It describes the OSI model and the local network standards, the ISO transport standard class 4 and the used system. At last, it describes the implementation for a large computer.

Desenvolve-se um trabalho na área de especificação formal de protocolos de comunicação de dados. E feita uma apresentação rigorosa dos conceitos e terminologia associados ao tema. E proposto um conjunto de critérios para comparação de linguagens formais para especificação de protocolos. Estes critérios são aplicados para a comparação entre duas destas linguagens, Estelle e Lotos, atuais e bastante difundidas, em fase final de padronização pela ISO. / This work stands on the area of formal protocol specification. It is given a rigorous presentation of the concepts and terminology related to the area. A set of criteria is proposed for the comparison of formal specification languages for protocols. The criteria are applied in the comparison of two of these languages, Estelle and Lotos, modern and well accepted in the community, whose standardization by ISO is in a final step.

Atualmente, uma das mais sérias ameaças a segurança da Internet são as botnets. As botnets - rede de máquinas comprometidas e controladas remotamente por um atacante - caracterizam-se por serem muito dinâmicas. Frequentemente novas características são incorporadas as redes dificultando que ferramentas tradicionais tal como sistemas de antivírus e IDS sejam efetivas. Diante disso, faz-se necessário desenvolver novos mecanismos que possam complementar as atuais técnicas de defesa. Esta dissertação de mestrado apresenta uma proposta de arquitetura para uma ferramenta de mitigação e detecção de botnets baseada em assinatura de rede de máquinas comprometidas por bots. Essa arquitetura automatiza o processo de geração de assinaturas compilando informações de analisadores de malwares gratuitamente disponibilizados na Web. Além disso, utilizouse de monitoração de fluxos através da solução Netflow para identificar o comportamento de rede similar aos mapeados em arquivos maliciosos analisados. Esse comportamento mapeado sinaliza uma possível infecção de máquinas na rede monitorada. Essa identificação dispara eventos na ferramenta proposta que auxiliará o gerente a mitigar a máquina comprometida. Por fim, avaliou-se a solução proposta no contexto de uma grande rede acadêmica: da própria Universidade Federal do Rio Grande do Sul (UFRGS). Os resultados alcançados por essa solução permitiram concluir que 1,5% dos controladores ficam por um longo período (52 dias) realizando atividades maliciosas e, também, observouse um pequeno grupo de controladores responsáveis pela administração de uma grande quantidade de máquinas. / Currently, botnets are one of the most serious threats of Internet security. The botnets - network of compromissed machines remotely controlled by an attacker - are being very dynamic threats. Often new features are incorporated into thismalicious networksmaking hard for traditional tools, such as antivirus and IDS, to be effective. Therefore, it is necessary to develop new mechanisms that can complement the current defense techniques. This dissertation presents an architecture for a tool for botnet mitigation and detection. The tool is based in network signature obtained from bot compromissed machine’s. This architecture automates the process of signature generation compiling information from online malwares analyze tools. Furthermore, flows monitoring tools was used to identify similar behavior to those mapped in malware (bot) analyzed by the system. This mapped behavior in flows indicates possible compromissed machines, with this, the system triggers events to help the security manager to mitigate the compromissed machines. Finally, the proposed solution was evaluated in a academic network: in the Federal University of Rio Grande do Sul. The results achieved by this solution helped to observe that more than 1.5% of the botnet controllers’s remain active for a long period of time (52 days) performing malicious activities. Also, was observed a small group of controllers responsible for the adminstration of a large number of compromissed machines.

Atualmente, uma das mais sérias ameaças a segurança da Internet são as botnets. As botnets - rede de máquinas comprometidas e controladas remotamente por um atacante - caracterizam-se por serem muito dinâmicas. Frequentemente novas características são incorporadas as redes dificultando que ferramentas tradicionais tal como sistemas de antivírus e IDS sejam efetivas. Diante disso, faz-se necessário desenvolver novos mecanismos que possam complementar as atuais técnicas de defesa. Esta dissertação de mestrado apresenta uma proposta de arquitetura para uma ferramenta de mitigação e detecção de botnets baseada em assinatura de rede de máquinas comprometidas por bots. Essa arquitetura automatiza o processo de geração de assinaturas compilando informações de analisadores de malwares gratuitamente disponibilizados na Web. Além disso, utilizouse de monitoração de fluxos através da solução Netflow para identificar o comportamento de rede similar aos mapeados em arquivos maliciosos analisados. Esse comportamento mapeado sinaliza uma possível infecção de máquinas na rede monitorada. Essa identificação dispara eventos na ferramenta proposta que auxiliará o gerente a mitigar a máquina comprometida. Por fim, avaliou-se a solução proposta no contexto de uma grande rede acadêmica: da própria Universidade Federal do Rio Grande do Sul (UFRGS). Os resultados alcançados por essa solução permitiram concluir que 1,5% dos controladores ficam por um longo período (52 dias) realizando atividades maliciosas e, também, observouse um pequeno grupo de controladores responsáveis pela administração de uma grande quantidade de máquinas. / Currently, botnets are one of the most serious threats of Internet security. The botnets - network of compromissed machines remotely controlled by an attacker - are being very dynamic threats. Often new features are incorporated into thismalicious networksmaking hard for traditional tools, such as antivirus and IDS, to be effective. Therefore, it is necessary to develop new mechanisms that can complement the current defense techniques. This dissertation presents an architecture for a tool for botnet mitigation and detection. The tool is based in network signature obtained from bot compromissed machine’s. This architecture automates the process of signature generation compiling information from online malwares analyze tools. Furthermore, flows monitoring tools was used to identify similar behavior to those mapped in malware (bot) analyzed by the system. This mapped behavior in flows indicates possible compromissed machines, with this, the system triggers events to help the security manager to mitigate the compromissed machines. Finally, the proposed solution was evaluated in a academic network: in the Federal University of Rio Grande do Sul. The results achieved by this solution helped to observe that more than 1.5% of the botnet controllers’s remain active for a long period of time (52 days) performing malicious activities. Also, was observed a small group of controllers responsible for the adminstration of a large number of compromissed machines.

Atualmente uma preocupação comum em todos os ambientes envolvidos em interconexões de computadores é criar mecanismos que possibilitem a interação entre programas con tidos em diversos equipamentos. A ISO propõe uma forma padronizada para comunicações entre sistemas abertos e o nível de transporte é parte importante dessa padronização. O objetivo deste trabalho é descrever a irnplementação de um serviço de transporte para uma máquina de qrande porte com a intenção de utilizá-lo numa rede local de computadores, Descreve-se no texto o modelo OSI e a proposta para redes locais, o padrão de transporte ISO classe 4 e os sistemas utilizados. Finalmente, é descrita a implernentação num computador de grande porte. / Nowadays, a very cormnon preocupation at severai environments o£ computers interconnection is the creation of mechanisms which make possible the interaction between routines contained in different equipments. The purpose of ISO is a layered standard architecture for Open Systems Interconnection and the transport level is an irnportant component of architecture. The purpose of this work is to describe the implementation of a transport protocol to a large computer with a view to use in a local network. It describes the OSI model and the local network standards, the ISO transport standard class 4 and the used system. At last, it describes the implementation for a large computer.

O fluxo de informações na sociedade moderna a crescente e mais intenso a cada dia. Cada vez mais as ferramentas de tratamento da informação ou seja, os computadores, necessitam interconexão de forma a proporcionar acesso a dados importantes e serviços especializados. Neste contexto, as redes de computadores agem como catalizadores do processo de disseminação e tratamento da informação. A demanda por serviços distribuídos cresce a cada dia, fazendo com que as redes cresçam também. Muitas vezes este processo a rápido e desordenado, a entropia do sistema aumenta e seu controle torna-se uma tarefa árdua. Para que possa exercer maior controle sobre as redes de computadores o gerente da rede deve dispor de ferramentas (e métodos) de auxilio. Assim pode-se manter a prestação de serviços a que a rede se propõe. Em Gerencia de Redes, duas arquiteturas tem sido apontadas como "modelos" a serem adotados: a arquitetura OSI para gerencia de redes (OSINM) [DOT91] e a arquitetura INTERNET [SCH91]. Ambas arquiteturas consideram que os diferentes componentes inseridos no domínio de gerencia são capazes de emitir e decodificar mensagens de gerencia. Por outro lado, tem sido destacada a necessidade de gerenciar componentes que não suportam funções de gerencia ou que não possuem as mesmas funções de gerencia que o restante da rede, desta forma pretende-se que o sistema de gerencia da rede seja completo e confiável. O sistema especificado e prototipado se encaixa neste contexto pois orientado a gerencia de Redes Locais do tipo CSMA/CD que ainda não possuem funções de gerencia. Defende-se a ideia de que, a partir do tráfego gerado, pode-se inferir o perfil ou estado da rede, derivando ou antecipando os problemas da instalação que não poderiam ser detectados pelo administrador da rede de outra maneira [DOT90]. Assim sendo, uma estação da rede a escolhida para este trabalho. Esta estação captura o trafego da rede e o submete continuamente a um processo de analise que detecta as diversas situações anormais que podem ser verificadas nos padrões de trafego. As ocorrências de situações anormais, denominadas alarmes, são repassadas a um processo de diagnose. O processo de diagnose, contendo uma base de conhecimento em forma de regras e a descrição estrutural da rede, leva em conta estes alarmes para reconhecer o problema. Uma vez reconhecido o problema, formula-se um procedimento de cone* que a levado ao Gerente da Rede. O sistema foi especificado com o use de dois métodos formais: • Para especificar a interação, do sistema com o ambiente em que se insere foi usado o método CSP (Communicating Sequential Processes), proposto por Hoare em 1978 [H0A87] e reformulado também por Hoare em 1985 [H0A85]; • Para especificar o sistema em si, o funcionamento do processo de agregação de conhecimento, foi utilizado o método denotacional VDM (Vienna Development Method), [BJ078] e PON861. Para a construção do protótipo foram utilizadas as linguagens "C" e "PROLOG". Futuramente, quando inserido em um Domínio de Gerencia (segundo a terminologia OSI/ISO), este sistema poderá reportar os problemas que fogem ao escopo da base de conhecimento local para o Processo Gerente do Domínio que responder com os procedimentos de solução cabíveis a porção da rede gerenciada pelo sistema. / The information flow in the modern society becomes bigger and faster day by day. Aidding the task of information treating, the computers need to be interconnected in order to proportionate access to important data and specialized services. In this context, the computer networks are like catalyzers of the process of dissemination and treating of information. The demand for distributed services is increasing, making the computer networks increase too. Many times this growth is fast and disordered and the network control becomes a hard task. For achieving more control over the computer network, powerful tools and methods for problem solving must be provided to the Network Manager. With this, the services offered by the network can be kept running. In Network Management, two architectures have been pointed as "models" to be used: the OSI network management architecture (OSINM) [DOT91] and the INTERNET architecture [SCH91]. Both consider that every network component must be capable of sending and receiving management messages. However, there are many components that do not support management functions, or that have management functions that are distinct of the rest of the network. This different components must be managed because without this the management system would not be representative and trustworthy. The specified and prototyped system deals with the problem above boarded. It is oriented to the management of a CSMA/CD Local Area Networks that do not support management functions. The central idea is that, through traffic analysis, the network state can be obtained (or infered) and the problems arising in the network can be detected or even predicted. A network station is chosen to perform this task. This station gathers all traffic and submit it continuously to an analysis process that detects the different anormal situations over the network. The occurrences of anormal situations, called alarms, feeds a diagnosis process. This process has a knowledge base with rules and the structural description of the network, it uses this knowledge and the alarms to recognize the network problems. Once the problems are recognized, the system is ready for advise the possible corrections to the Network Manager. The system was specified using two formal methods: To specify the interaction of the system with the environment in which it is embeeded was used CSP (Communicating Sequential Processes), proposed by Hoare in 1978 [HOA87] and reformulated by Hoare too in 1985 [H0A85]; To specify the software, the way the knowledge aggregation task acts, was used the denotational method VDM (Vienna Development Method), [BJ078] and [JON86]. For the prototyping were used the languages "C" and PROLOG. In the future, when embeded in a Management Domain, this system will be capable of reporting the problems that are not treated by the local knowledge base (or that are not in the scope of the system) to the Management Process of the domain. The Management Process will give some advising and the local system will obey to it.

O fluxo de informações na sociedade moderna a crescente e mais intenso a cada dia. Cada vez mais as ferramentas de tratamento da informação ou seja, os computadores, necessitam interconexão de forma a proporcionar acesso a dados importantes e serviços especializados. Neste contexto, as redes de computadores agem como catalizadores do processo de disseminação e tratamento da informação. A demanda por serviços distribuídos cresce a cada dia, fazendo com que as redes cresçam também. Muitas vezes este processo a rápido e desordenado, a entropia do sistema aumenta e seu controle torna-se uma tarefa árdua. Para que possa exercer maior controle sobre as redes de computadores o gerente da rede deve dispor de ferramentas (e métodos) de auxilio. Assim pode-se manter a prestação de serviços a que a rede se propõe. Em Gerencia de Redes, duas arquiteturas tem sido apontadas como "modelos" a serem adotados: a arquitetura OSI para gerencia de redes (OSINM) [DOT91] e a arquitetura INTERNET [SCH91]. Ambas arquiteturas consideram que os diferentes componentes inseridos no domínio de gerencia são capazes de emitir e decodificar mensagens de gerencia. Por outro lado, tem sido destacada a necessidade de gerenciar componentes que não suportam funções de gerencia ou que não possuem as mesmas funções de gerencia que o restante da rede, desta forma pretende-se que o sistema de gerencia da rede seja completo e confiável. O sistema especificado e prototipado se encaixa neste contexto pois orientado a gerencia de Redes Locais do tipo CSMA/CD que ainda não possuem funções de gerencia. Defende-se a ideia de que, a partir do tráfego gerado, pode-se inferir o perfil ou estado da rede, derivando ou antecipando os problemas da instalação que não poderiam ser detectados pelo administrador da rede de outra maneira [DOT90]. Assim sendo, uma estação da rede a escolhida para este trabalho. Esta estação captura o trafego da rede e o submete continuamente a um processo de analise que detecta as diversas situações anormais que podem ser verificadas nos padrões de trafego. As ocorrências de situações anormais, denominadas alarmes, são repassadas a um processo de diagnose. O processo de diagnose, contendo uma base de conhecimento em forma de regras e a descrição estrutural da rede, leva em conta estes alarmes para reconhecer o problema. Uma vez reconhecido o problema, formula-se um procedimento de cone* que a levado ao Gerente da Rede. O sistema foi especificado com o use de dois métodos formais: • Para especificar a interação, do sistema com o ambiente em que se insere foi usado o método CSP (Communicating Sequential Processes), proposto por Hoare em 1978 [H0A87] e reformulado também por Hoare em 1985 [H0A85]; • Para especificar o sistema em si, o funcionamento do processo de agregação de conhecimento, foi utilizado o método denotacional VDM (Vienna Development Method), [BJ078] e PON861. Para a construção do protótipo foram utilizadas as linguagens "C" e "PROLOG". Futuramente, quando inserido em um Domínio de Gerencia (segundo a terminologia OSI/ISO), este sistema poderá reportar os problemas que fogem ao escopo da base de conhecimento local para o Processo Gerente do Domínio que responder com os procedimentos de solução cabíveis a porção da rede gerenciada pelo sistema. / The information flow in the modern society becomes bigger and faster day by day. Aidding the task of information treating, the computers need to be interconnected in order to proportionate access to important data and specialized services. In this context, the computer networks are like catalyzers of the process of dissemination and treating of information. The demand for distributed services is increasing, making the computer networks increase too. Many times this growth is fast and disordered and the network control becomes a hard task. For achieving more control over the computer network, powerful tools and methods for problem solving must be provided to the Network Manager. With this, the services offered by the network can be kept running. In Network Management, two architectures have been pointed as "models" to be used: the OSI network management architecture (OSINM) [DOT91] and the INTERNET architecture [SCH91]. Both consider that every network component must be capable of sending and receiving management messages. However, there are many components that do not support management functions, or that have management functions that are distinct of the rest of the network. This different components must be managed because without this the management system would not be representative and trustworthy. The specified and prototyped system deals with the problem above boarded. It is oriented to the management of a CSMA/CD Local Area Networks that do not support management functions. The central idea is that, through traffic analysis, the network state can be obtained (or infered) and the problems arising in the network can be detected or even predicted. A network station is chosen to perform this task. This station gathers all traffic and submit it continuously to an analysis process that detects the different anormal situations over the network. The occurrences of anormal situations, called alarms, feeds a diagnosis process. This process has a knowledge base with rules and the structural description of the network, it uses this knowledge and the alarms to recognize the network problems. Once the problems are recognized, the system is ready for advise the possible corrections to the Network Manager. The system was specified using two formal methods: To specify the interaction of the system with the environment in which it is embeeded was used CSP (Communicating Sequential Processes), proposed by Hoare in 1978 [HOA87] and reformulated by Hoare too in 1985 [H0A85]; To specify the software, the way the knowledge aggregation task acts, was used the denotational method VDM (Vienna Development Method), [BJ078] and [JON86]. For the prototyping were used the languages "C" and PROLOG. In the future, when embeded in a Management Domain, this system will be capable of reporting the problems that are not treated by the local knowledge base (or that are not in the scope of the system) to the Management Process of the domain. The Management Process will give some advising and the local system will obey to it.