São inegáveis os benefícios proporcionados pelo uso dos computadores e suas redes conectadas a Internet. Com o crescimento significativo dos sistemas computacionais em rede, principalmente os conectados à Internet, é possível constatar pelo portal do Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil - CERT. BR, um crescimento exponencial nos incidentes de segurança nos últimos 10 anos. Com o crescimento dos incidentes de segurança têm-se observado que a maioria deles ocorre no sistema operacional Windows, líder mundial em desktop e o segundo na venda de servidores para a Internet. Desta forma, significativas pesquisas na área de detecção de intrusão em host estão sendo realizadas em centros de pesquisa. A proposta desta dissertação é apresentar um Método para a Realização de Medidas em computador que permita distinguir o comportamento de um computador em atividade normal de outro com problemas com infecção ou intrusão. O método, derivado da análise dinâmica de malware, foi concebido em fases representativas do funcionamento de um computador: fase inicial, fase de instalação, fase de conexão de rede, fase de operação e, por fim, fase de infecção. Assim, todas as fases tiveram o seu comportamento medido e os logs foram tratados pelo processo de mineração de dados. O método é empregado, com sucesso, conjuntamente com os algoritmos ADTree e Naive Bayes na fase de experimentação, os quais se mostraram eficientes na detecção de intrusão em host com o sistema operacional Windows.

Atualmente, o acesso à Internet em aeronaves é feito basicamente através de satélites geoestacionários. Contudo, as taxas de transmissão em enlaces de satélite geoestacionários são muito penalizadas pelo alto atraso de propagação inerente a este. Técnicas para aceleração da transmissão podem ser empregadas para minimizar este efeito. Neste trabalho é apresentado um proxy para melhoria de desempenho (PEP) operando na camada de transporte (TCP). O PEP TCP, implementado em um ou mais nós intermediários na rede, gera ACKs locais e encaminha os dados para o receptor desconsiderando o tamanho de sua janela de recepção, o que vem a camuflar o atraso de propagação. Além disso, serviços de segurança têm se mostrado cada vez mais necessários e requisitados pelos usuários. Contudo, a implementação do IPsec impossibilita a aceleração da transmissão pelo PEP implementado em um nó intermediário, que necessita ter acesso ao cabeçalho TCP para desempenhar sua função. Apresenta-se então a técnica de proteção de IP multi-camadas (ML-IPsec), que divide o pacote IP em zonas e aplica formas de proteção diferentes a estas zonas, permitindo que certos nós autorizados na rede tenham acesso limitado ao pacote protegido. Uma análise de desempenho é realizada para verificar as vantagens e desvantagens em se implementar as técnicas PEP e ML-IPsec em termos de taxa de transmissão de dados. Mostra-se que o PEP aumenta consideravelmente a vazão de dados, enquanto o ML-IPsec penaliza a vazão ao adicionar dados de cabeçalho. Conclui-se, contudo, que o ganho com o PEP é muito superior às perdas introduzidas pelo ML-IPsec, justificando ter a implementação de serviços de segurança em conjunto com a aceleração da transmissão.

Alguns problemas em engenharia de segurança de informações não podem ser resolvidos somente por software: um hardware confiável (trusted hardware) é necessário para garantir mecanismos de inicialização segura. Uma entidade é considerada confiável se sempre opera conforme esperado. Para converter uma plataforma convencional em confiável, é necessário um Root of Trust incorporado a mesma. O TCG (Trusted Computing Group) utiliza o TPM (Trusted Platform Module) para prover o Root of Trust em plataformas de uso geral. Neste trabalho é apresentada uma arquitetura, baseada em TPM, para incorporar o Root of Trust em sistemas embarcados e adicionalmente é proposta outra arquitetura, denominada TBoot (Trusted Boot), que visa fortificar sistemas computacionais convencionais, que provê: inicialização por camadas, garantia de identidade do sistema, gerenciamento remoto de restauração do sistema original, watch dog remoto via software, processo de inicialização e manutenção realizados com segredos compartilhados, operação somente em zonas predefinidas e circuito de segurança física.

Since the creation of public exploitation frameworks, advanced payloads are used in computer attacks. The attacks generally employ evasion techniques, have anti-forensics capabilities, and use target machines as pivots to reach other machines in the network. The attacks also use polymorphic malicious code that automatically transforms themselves in semantically equivalent variants, which makes them difficult to be detected. The current approaches that try to detect the attacks, fail because they either generate high number of false positives or require high performance capability to work properly. This thesis proposes an architecture for advanced payload detection structured in layers that employ a variant of techniques. The first layers use less computing intensive techniques while the last layers make use of smarter inspection techniques. Fine-grained checks are possible due to the layered approach. For instance, the first layer employs pattern matching while the last layer uses smart network traffic disassembly. In order to improve performance in the detection of forthcoming attacks, the proposed architecture allows the updates of checking rules for more frequently detected attacks. The proposed architecture addresses the high rate false-positives problem using a confidence level updated accordingly to the threat level observed by each layer. We implemented the architecture using real-life workloads and conventional hardware platforms with acceptable throughput. We also contribute with the creation of the well-known Return Address layer optimizing the instruction emulation.

Mobilidade implica que um usuário tem acesso a qualquer serviço em qualquer tempo e local sem qualquer interrupção da sua conexão. Este conceito vem sendo usado freqüentemente na Internet. MobileIP é um dos protocolos usados para alcançar este propósito. Este trabalho enfoca um dos problemas relacionados com esta tecnologia, que é a autenticação do nó móvel com sua Home Network ou Home Agent. Para isso, são propostos dois protocolos de autenticação de usuário que permitem um nó móvel se autenticar com sua própria rede. Estas propostas foram necessárias pois a maioria dos protocolos não foram previstos para funcionar na camada de aplicativos, mas sim em outras camadas OSI, como Sessão e de Enlace. Além disso, análises de segurança são feitas usando um método formal denominado lógica BAN. Questões de desempenho são também consideradas, através de uma comparação qualitativa dos tempos de transmissão e geração de mensagens entre esses protocolos, a fim de proporcionar suas implementações em ambientes sem fio.

RBAC (Role Based Access Control) é uma tecnologia para controle de acesso que se encontra em plena evolução. Em RBAC, permissões são atribuídas a papéis existentes em uma organização, e usuários recebem essas permissões quando são atribuídos a esses papéis. Qualquer modelo de RBAC possui, na sua essência, quatro componentes: usuários, papéis, permissões e suas relações. Na comunidade de RBAC não existe um consenso sobre o conceito de papel, seja por acadêmicos ou quando adotado em produtos comerciais. Este trabalho consiste no desenvolvimento de uma abordagem para o estudo e compreensão da segurança de sistemas de computação em organizações, tendo como base a pesquisa em RBAC. É apresentada uma abordagem que contempla somente o aspecto de controle de acesso em segurança de sistemas de computação. Foi desenvolvido um modelo de controle de acesso baseado em RBAC denominado FTQL (Funções, Tarefas e Qualificações). O modelo apresenta dois conceitos novos: Tarefas e Qualificações. O conceito de qualificação é adotado para relacionar um usuário a uma função. O mesmo ocorre com o conceito de tarefa que é utilizado para relacionar uma função a uma permissão. Estes conceitos possibilitam o estudo do controle de acesso em organizações sem a necessidade de se definir formalmente o conceito de papéis.

A crescente demanda experimentada nos últimos anos pela informação traz como uma de suas contrapartidas, a necessidade da utilização de mecanismos para a sua proteção. Preservar o conhecimento é uma necessidade premente e permanente dos dias de hoje. Nesta direção propõe-se um trabalho com o intuito de salvaguardar as informações digitais tramitadas entre os diversos elos de desenvolvimento de qualquer projeto de comunicações seguras, a exemplo do que pode vir a ocorrer em projetos como aquele do CC-SIVAM. Associado a um projeto de comunicações digitais seguras tem-se a interligação de diversas áreas do conhecimento, sendo que serão abordados aqui, aqueles referentes à criptografia e sistemas computacionais. O plano do trabalho desenvolvido obedece à linha cronológica desde o surgimento da criptografia até os dias atuais onde selecionamos os conceitos e técnicas a serem aplicados no desenvolvimento do produto final. Foi feita uma tentativa de inclusão da maior quantidade de informações a respeito de um projeto de comunicações digitais seguras para que o conjunto dessas fosse autocontida.Tem-se, ainda, um protótipo com grande quantidade de funcionalidades voltadas à segurança, implementadas.

O pós-Guerra Fria, a globalização econômica e a popularização da Internet inseriram a prática de inteligência no rol de prioridades de governos e empresas. O ciberespaço tornou-se ao mesmo tempo facilitador e destino obrigatório na busca de inteligência. A postura clássica de inteligência perde eficácia no ciberespaço, e uma nova postura de segurança, adequada a este contexto, se faz necessária. Partindo da definição de componentes de segurança da informação dada por Marco Cepik (2003) buscar-se-á evidenciar que a postura que apresenta resultados tangíveis, deve ser pautada na aplicação do conceito de contrainteligência. Serão avaliados e classificados, sob esta categorização, os controles de segurança apresentados i) pelo padrão NIST (National Institute of Standards and Technology) SP-800-53 (rev3) e ii) pelo instituto SANS. Assim será possível concluir que os controles de segurança do tipo contrainteligência ainda são menosprezados no meio de segurança da informação. A análise do modus-operandi dos atancantes e a aplicação de uma prática de contrainteligência neste contexto, ilustrada através de um estudo de caso, permitirão concluir que controles deste tipo têm seu espaço na arquitetura de segurança da informação das organizações e podem trazer benefícios, principalmente quando os ativos da informação endereçados são equipamentos e a interferência humana é baixa. Para o caso de ataques que têm em sua concepção um forte direcionamento social, os controles de contrainteligência mostraram-se de aplicabilidade nula. Também será possível observar que estes controles não são a solução final para os problemas de segurança da informação. Estes devem ser parte da arquitetura de segurança da informação das organizações e devem estar integrados aos outros tipos de controles, onde, explorando-se o potencial de complementaridade, pode-se chegar a resultados interessantes. A última conclusão mostrará que diversas organizações não aplicam as tecnologias de segurança de forma adequada. Sem uma correta política de segurança da informação, sem a definição de processos e responsáveis, sem o adequado treinamento e capacitação de todos os funcionários da organização, o número registrado de incidentes de ciberespionagem continuará crescendo. Organizações neste nível precisam estabelecer as condições mínimas de segurança da informação antes de dedicar esforços para técnicas de contrainteligência. Neste sentido, uma abordagem inicial para uma ciberdoutrina será apresentada, complementada por uma política de governança de dados. Para as organizações que possuem uma infraestrutura de segurança avançada, os controles de segurança do tipo contrainteligência mostram-se adequados para utilização, trazendo benefícios diretos como: a redução do vazamento de informações relevantes; a oportunidade de rápida identificação das ações indesejadas, com potencial para identificação dos invasores; a redução de falsos-positivos; a redução do esforço de determinação de ataques pela menor geração de registros a serem processados; o aprendizado do modus-operandi dos atacantes; e a perda de interesse dos atacantes no alvo.

A segurança da informação é uma das grandes preocupações dos gestores corporativos nessas últimas décadas e responsável por grandes prejuízos as organizações. A prevenção desses problemas pode ser alcançada através da educação e da conscientização do usuário no uso da tecnologia de maneira segura, utilizando práticas que estejam de acordo com as políticas de segurança da informação das empresas. Gestores tem dificuldade de entender e decidir que tipo de ação deve ser realizada para proteger informações. A falta de conhecimento, métricas e dados sobre o assunto são os principais problemas relatados pelos gestores para tomada de decisão sobre investimentos. Diversos estudos indicam que o uso de práticas de segurança por usuários e investimentos em treinamento e conscientização são a maneira mais eficaz de evitar problemas relacionados à segurança da informação. A satisfação do usuário é uma das formas comprovadas na literatura de SI de medir a qualidade do investimento em SI e a intenção de uso do SI pelo usuário. O objetivo da pesquisa é desenvolver um instrumento para medir a satisfação do usuário com as práticas de segurança da informação. Para atingir esse objetivo, fatores sobre a satisfação do usuário com SI foram identificados na literatura. Esses fatores foram combinados para elaboração de um instrumento de pesquisa sobre satisfação do usuário com as práticas de segurança da informação. Um modelo conceitual foi elaborado e validado através de uma survey realizada com usuários de computador que utilizam sistemas de informação corporativo. Obteve-se um total de 229 respostas, com 173 questionários válidos. A análise de dados utilizou modelagem de equações estruturais baseado em covariância para avaliação do modelo conceitual e das hipóteses de pesquisa. O resultado indica satisfação com os benefícios percebidos com a segurança frente ao esforço para alcança-los, mas insatisfação do usuário com o uso do sistemas de informação com as práticas de segurança. / Information security is a major concern for management in recent decades and responsible for major losses in organizations. The prevention of these problems can be achieved through user education and awareness on using technology safely, using practices that are consistent with the information security policies on firm. Managers face difficulties to understand and decide what action should be taken to protect information systems. Lack of knowledge and metrics on the information security are the main problems reported by managers for decision on information security investments. Several studies indicate that user involvement and investment in training and awareness are the most effective way to avoid problems related to information security. User satisfaction is one of the proven ways to measure the quality of investment and use intention of information systems. The objective of this research is to develop an instrument to measure user satisfaction with information security practices. To achieve this goal, factors to measure IS user satisfaction were identified on literature. A research instrument was developed based on these factors to measure user satisfaction with information security practices. A conceptual model was developed and a survey was conducted with enterprise information systems users. There was obtained a total of 173 usable questionnaires. Structural equation modeling covariance-based was used to evaluate model and research hypotheses. The result indicates satisfaction with percept benefits from information security compared with efforts to achieve them, but user dissatisfaction over the information systems use with security practices.

Orientador: Alexandre Cezar Rodrigues da Silva / Resumo: A simulação de ambientes computacionais é uma das principais técnicas para estudo de protocolos, seu comportamento em redes de computadores e análise da segurança da informação. O acesso a ambientes reais para simulação de smart grids está restrito a poucas universidades e empresas assim como existem poucas ferramentas disponíveis para sua simulação computacional, o que dificulta a realização de pesquisas nesta linha. Neste trabalho objetiva-se a configuração de um ambiente para simulação do protocolo DNP3 utilizando exclusivamente ferramentas open source, utilizando-se técnicas de segurança ofensiva para realizar ataques a rede e então validar o comportamento da simulação e por fim realizar a integração do ambiente de simulação com equipamentos reais. Para isso, foi desenvolvido um testbed virtual através da integração e configuração de diversas ferramentas e softwares open source e posteriormente utilizados os equipamentos do Laboratório de Proteção do Campus III na UNESP de Ilha Solteira, expandindo as funcionalidades do simulador e obtendo um testbed misto com resultados promissores em todos os testes realizados. / Mestre