Made available in DSpace on 2016-08-17T14:52:45Z (GMT). No. of bitstreams: 1 Cristiane Lima.pdf: 1837914 bytes, checksum: acce166dfcbb2c425c7249c9bd06c29d (MD5) Previous issue date: 2002-05-10 / Recently, the interest for advanced techniques for network intrusion detection have been increased for protecting important information in computational environment. This research work presents a proposal of a new network intrusion detection system based on a society of intelligent agents whose reasoning are aupported by neural network paradigms, named NIDIA (Network Intrusion Detection System based on Intelligent Agents). A computational implementation has been carried out for the network and host sensors for dealing with task of capturing packets related to suspicious connections or abnormal behaviors within critical hosts. / Técnicas avançadas de detecção de intrusos em redes de computadores tornam-se cada vez mais importantes para prevenir abusos e proteger informações no ambiente. Esta dissertação apresenta uma proposta de um sistema de detecção de intrusos em redes de computadores, baseado na noção de sociedade de agentes inteligentes e redes neurais, denominado NIDIA. Uma implementação computacional é feita dos agentes sensores de rede e de host para realizar a tarefa de captura de pacotes associados às conexões suspeitas ou comportamentos anormais em servidores críticos.

Made available in DSpace on 2016-08-17T14:52:58Z (GMT). No. of bitstreams: 1 Antonio Alfredo Pires Oliveira.pdf: 8225871 bytes, checksum: c2e6155a7365443f49c0172bf39c5dac (MD5) Previous issue date: 2005-06-17 / The traditional security techniques applied in computer networks try to block attacks (using firewalls) or to detect them as soon as they happen (using Intrusion Detection Systems). Both are of recognized value, however, they have limitations. In that sense, there is to innovate as for techniques and defense tactics, as well as the tools and technologies that complement the traditional mechanisms applied in network and computer security. One of these solutions have been using honeypots (networks traps) to collect information, motives, tactics and tools used in malicious network activities and distributed systems. This research work introduce an architecture for automated incident response, called SAMARA, based on honeypots and intelligent agents, created to support the functional requisites of decoy server and honeynet agents proposed for NIDIA Project Network Intrusion Detection System based on Intelligent Agents [18], but that can be adjust to others detection, prevention and reaction approaches of security incidents in network and distributed systems. / As técnicas tradicionais de segurança aplicadas em redes de computadores tentam bloquear ataques (utilizando firewalls) ou detectá- los assim que eles ocorrem (utilizando Sistemas de Detecção de Intrusos). Ambas são de reconhecido valor, porém, têm seus limites. Nesse sentido, há que se inovar em relação às técnicas e táticas de defesas, bem como em ferramentas e tecnologias que complementem os mecanismos tradicionais aplicados em segurança de redes e computadores. Uma dessas soluções tem sido o uso de honeypots (armadilhas de redes) na coleta de informações, motivos, táticas e ferramentas utilizadas em atividades maliciosas em redes e sistemas distribuídos. Este trabalho introduz a arquitetura de respostas automatizadas a incidentes de segurança, denominada SAMARA, que é baseada em honeypots e agentes inteligentes, concebida para atender os requisitos funcionais dos agentes decoy server e honeynet propostos para o Projeto NIDIA Network Intrusion Detection System based on Intelligent Agents [18], mas que pode se ajustar a outras abordagens de detecção e prevenção e reação a incidentes de segurança em redes e sistemas distribuídos.

Made available in DSpace on 2016-08-17T14:53:00Z (GMT). No. of bitstreams: 1 Fernando Augusto Pestana Junior.pdf: 2112146 bytes, checksum: 3755fc62c38bddc947e01ff9a28f74a9 (MD5) Previous issue date: 2005-12-09 / The security of computer networks is indispensable for its administrators. Intrusion Detection Systems (IDSs) can increase their security but is very important to update them constantly. This research work proposes a model for sharing information between Computer Security Incident Response Teams (CSIRTs) and IDSs, aiming the achievement of an automatic update of the IDSs response actions data base, based on restrictive short-term measures suggested in security alerts issued by CSIRTs. This model is based on Web services and Extensible Markup Language (XML) technologies. It is also presented a multiagent architecture based on information retrieval and filtering techniques, designed to automatically maintain the IDSs attacks signatures mechanism up-to-date. / A segurança das redes de computadores é imprescindível para seus administradores. Os Sistemas de Detecção de Intrusão (SDIs) podem torná-las mais seguras, entretanto é imperativo que esses sistemas estejam em constante atualização para desempenhar sua função de forma satisfatória. Esta dissertação propõe um modelo de compartilhamento de informações entre Grupos de Resposta a Incidentes de Segurança em Computadores, geralmente conhecidos como CSIRTs (do inglês "Computer Security Incident Response Team") e SDIs objetivando a atualização automática do conjunto de ações de resposta a intrusões dos SDIs. Essa atualização será feita com base nas medidas restritivas de curto prazo sugeridas nos alertas de segurança emitidos pelos CSIRTs. Esse modelo é baseado nas tecnologias de Web services e da Extensible Markup Language (XML). Também é proposta uma arquitetura multiagente, baseada nas técnicas de recuperação e filtragem de informação, que tem como objetivo manter o mecanismo de detecção de ataques dos SDIs atualizados de forma automática.

As redes atuais de telecomunicações utilizam tecnologias de comutação de pacotes para integração de voz, dados, imagens e outros serviços. O tráfego nessas redes costuma ser feito por meio de tecnologias como o MPLS-TP e com regras heurísticas para a determinação dos melhores caminhos. O uso de boas regras afeta diretamente o desempenho e a segurança da operação. Este trabalho propõe o uso de simulação de baixo custo para prever o comportamento e avaliar regras de escolha de caminhos. Para isso, este trabalho avalia três métodos de seleção de caminhos de LSPs, combinados com duas heurísticas de recuperação, usados em redes MPLS-TP em malha com mecanismos de proteção em malha compartilhada. Os resultados das simulações medem o impacto dos métodos e heurísticas utilizados, demonstrando o quanto uma melhor seleção de caminhos pode contribuir para a redução do uso dos recursos da rede e do número máximo de LSPs afetados em caso de falhas na rede. Os resultados deste trabalho, bem como a técnica de análise proposta, almejam ser uma contribuição para a padronização de regras de seleção de LSPs em redes heterogêneas. / The telecommunications networks nowadays use packet-switching technologies for integration of voice, data, images and other services. The traffic on these networks is usually done through technologies such as MPLS-TP and with heuristic rules to determine the best paths. The use of good rules directly affect the performance and security of operation. This paper proposes the inexpensive use of simulation to predict the behavior and evaluate rules for choosing paths. For this, this study evaluates three methods of selection of LSPs paths, combined with two recovery heuristics, used in MPLS-TP mesh networks with shared mesh protection mechanisms. The results of the simulations measure the impact of the methods and heuristics used, demonstrating how much better path selection can contribute to reducing the use of network resources and the maximum number of LSPs affected in the event of network failures. These results and the proposed analysis technique yearn to be a contribution to the standardization of LSPs selection rules in heterogeneous networks.

Este trabalho propôs o desenvolvimento e a avaliação de uma metodologia com o propósito de identificar anomalias em redes de comunicação Profinet, muito utilizadas na automação de plantas industriais. A metodologia desenvolvida está fundamentada na análise das características de comunicação do protocolo Profinet e na identificação e classificação de padrões, sendo esta, uma das principais aplicações do uso de Redes Neurais Artificiais (RNA). As anomalias são identificadas por meio da análise do tráfego de rede Profinet em sua fase de operação. Tais anomalias podem ser desde defeitos comuns apresentados pelos equipamentos da rede e/ou tentativas de ataques a esta, que por sua vez, podem gerar instabilidade e mau funcionamento da unidade industrial que fazem parte. Para o desenvolvimento deste trabalho foram apresentados: o detalhamento do protocolo Profinet, os mecanismos de segurança mais utilizados atualmente, os tipos de sistemas de detecção de anomalias existentes e os principais tipos de ataques em redes de comunicação conhecidos na literatura. Alguns ensaios para a validação da metodologia foram realizados, utilizando-se uma infraestrutura de rede instalada em laboratório. Ensaios com diferentes tipos de equipamentos interligados em rede foram realizados e os resultados apresentados. Como resultado final, demonstrou-se que a metodologia utilizada obteve êxito na identificação da presença ou ausência de anomalias na rede, sendo que os resultados obtidos podem ser considerados satisfatórios e condizentes às expectativas desta dissertação. Concluiu-se então que a metodologia apresentada é factível e aplicável no meio industrial, podendo ser incorporada a uma ferramenta mais abrangente, como os analisadores de redes Profinet. / This work proposed the development and evaluation of a methodology in order to identify anomalies in Profinet communication networks, widely used in the automation of industrial plants. The methodology is based on an analysis of the communication features of the Profinet protocol and identifying and pattern classification, which is one of the main applications of the use of Artificial Neural Networks (ANN). The anomalies are identified by analyzing the Profinet network traffic in its operation phase. Such anomalies can be provided by common defects in equipment in the network and / or attempted attacks to this, which in turn can cause instability and malfunction of the plant forming part. In development of this work were presented: the details of the Profinet protocol, the security mechanisms most widely used, the types of anomalies detection systems and the main types of attacks on communication networks known in the literature. Some assays to validate the method were performed, using a network infrastructure installed in the laboratory. Tests with different types of networked equipment were performed and the results presented. The final result showed that the methodology was successful in identifying the presence or absence of anomalies in the network, and the obtained results can be considered satisfactory and consistent with expectations of this paper. It was therefore concluded that this methodology is feasible and applicable in industrial environment and can be incorporated into a more comprehensive tool, such as analyzers Profinet networks.

Este trabalho propôs o desenvolvimento e a avaliação de uma metodologia com o propósito de identificar anomalias em redes de comunicação Profinet, muito utilizadas na automação de plantas industriais. A metodologia desenvolvida está fundamentada na análise das características de comunicação do protocolo Profinet e na identificação e classificação de padrões, sendo esta, uma das principais aplicações do uso de Redes Neurais Artificiais (RNA). As anomalias são identificadas por meio da análise do tráfego de rede Profinet em sua fase de operação. Tais anomalias podem ser desde defeitos comuns apresentados pelos equipamentos da rede e/ou tentativas de ataques a esta, que por sua vez, podem gerar instabilidade e mau funcionamento da unidade industrial que fazem parte. Para o desenvolvimento deste trabalho foram apresentados: o detalhamento do protocolo Profinet, os mecanismos de segurança mais utilizados atualmente, os tipos de sistemas de detecção de anomalias existentes e os principais tipos de ataques em redes de comunicação conhecidos na literatura. Alguns ensaios para a validação da metodologia foram realizados, utilizando-se uma infraestrutura de rede instalada em laboratório. Ensaios com diferentes tipos de equipamentos interligados em rede foram realizados e os resultados apresentados. Como resultado final, demonstrou-se que a metodologia utilizada obteve êxito na identificação da presença ou ausência de anomalias na rede, sendo que os resultados obtidos podem ser considerados satisfatórios e condizentes às expectativas desta dissertação. Concluiu-se então que a metodologia apresentada é factível e aplicável no meio industrial, podendo ser incorporada a uma ferramenta mais abrangente, como os analisadores de redes Profinet. / This work proposed the development and evaluation of a methodology in order to identify anomalies in Profinet communication networks, widely used in the automation of industrial plants. The methodology is based on an analysis of the communication features of the Profinet protocol and identifying and pattern classification, which is one of the main applications of the use of Artificial Neural Networks (ANN). The anomalies are identified by analyzing the Profinet network traffic in its operation phase. Such anomalies can be provided by common defects in equipment in the network and / or attempted attacks to this, which in turn can cause instability and malfunction of the plant forming part. In development of this work were presented: the details of the Profinet protocol, the security mechanisms most widely used, the types of anomalies detection systems and the main types of attacks on communication networks known in the literature. Some assays to validate the method were performed, using a network infrastructure installed in the laboratory. Tests with different types of networked equipment were performed and the results presented. The final result showed that the methodology was successful in identifying the presence or absence of anomalies in the network, and the obtained results can be considered satisfactory and consistent with expectations of this paper. It was therefore concluded that this methodology is feasible and applicable in industrial environment and can be incorporated into a more comprehensive tool, such as analyzers Profinet networks.

As redes atuais de telecomunicações utilizam tecnologias de comutação de pacotes para integração de voz, dados, imagens e outros serviços. O tráfego nessas redes costuma ser feito por meio de tecnologias como o MPLS-TP e com regras heurísticas para a determinação dos melhores caminhos. O uso de boas regras afeta diretamente o desempenho e a segurança da operação. Este trabalho propõe o uso de simulação de baixo custo para prever o comportamento e avaliar regras de escolha de caminhos. Para isso, este trabalho avalia três métodos de seleção de caminhos de LSPs, combinados com duas heurísticas de recuperação, usados em redes MPLS-TP em malha com mecanismos de proteção em malha compartilhada. Os resultados das simulações medem o impacto dos métodos e heurísticas utilizados, demonstrando o quanto uma melhor seleção de caminhos pode contribuir para a redução do uso dos recursos da rede e do número máximo de LSPs afetados em caso de falhas na rede. Os resultados deste trabalho, bem como a técnica de análise proposta, almejam ser uma contribuição para a padronização de regras de seleção de LSPs em redes heterogêneas. / The telecommunications networks nowadays use packet-switching technologies for integration of voice, data, images and other services. The traffic on these networks is usually done through technologies such as MPLS-TP and with heuristic rules to determine the best paths. The use of good rules directly affect the performance and security of operation. This paper proposes the inexpensive use of simulation to predict the behavior and evaluate rules for choosing paths. For this, this study evaluates three methods of selection of LSPs paths, combined with two recovery heuristics, used in MPLS-TP mesh networks with shared mesh protection mechanisms. The results of the simulations measure the impact of the methods and heuristics used, demonstrating how much better path selection can contribute to reducing the use of network resources and the maximum number of LSPs affected in the event of network failures. These results and the proposed analysis technique yearn to be a contribution to the standardization of LSPs selection rules in heterogeneous networks.

Made available in DSpace on 2016-08-17T14:52:54Z (GMT). No. of bitstreams: 1 Romulo Alves Dias.PDF: 2725851 bytes, checksum: eaa8311ad62c875b230e288dfc66efa3 (MD5) Previous issue date: 2003-11-21 / The obsolescence of the IDS's attack identification mechanisms critically compromises the security level of the networks. This research work presents a proposal of a automatic updating model of the network attack detection mechanism for intrusion detection systems based on a society of intelligent agents. The Security Central Agency, a component of the model, distributes a mini-society of attack detection agents, called SAARA, that uses a neural network trained with data captured from several network traffic sources. A computational implementation of the SAARA model, focusing data driven attack detection, is presented for the multiagent IDS NIDIA. / A obsolescência dos mecanismos de identificação de ataques dos SDI´s tem comprometido de forma crítica o nível de segurança das redes de computadores. Esta dissertação apresenta uma proposta de um modelo de atualização automática do mecanismo de detecção de ataques de rede para sistemas de detecção de intrusão baseados na noção de sociedade de agentes inteligentes. A Agência Central de Segurança integrante deste modelo distribui uma mini-sociedade de agentes de detecção de ataque, denominada de SAARA, que utiliza uma rede neural treinada a partir de dados coletados de diversas fontes de tráfego. Uma implementação computacional da SAARA, abordando detecção de ataques orientados a dados, é apresentada dentro do contexto do SDI multiagentes NIDIA.

Made available in DSpace on 2016-08-17T14:52:54Z (GMT). No. of bitstreams: 1 Glenda de Lourdes Ferreira dos Santos.pdf: 972743 bytes, checksum: 111a2522d029325d266db2465a430638 (MD5) Previous issue date: 2003-11-21 / The development of approaches for proving fast reactions against intruders and attackers have been one of the most important requirements in the critical defense of computer networks, since the intrusion occur quickly, demanding reactions without human intervention. These approaches should be able to, autonomously, respond to attacks and deal with several important aspects of the computer security problem in order to reduce the system administrator s workload Such approaches can offer larger reliability and effectiveness in the detection and response processes, a higher rate of security to private networks, better defense possibilities and, in addition, minimize the intruder's change of success. This research work deals with the specification of a society of intelligent agents for assessment and enhancement of intrusion response systems in computer networks. The proposal of the model of intrusion response system (IRS) be based on in several available architectures, in order to look for better solutions for the problems faced in the modelling of a system of that level. With that, was modeled a system to approach the main desirable functionalities for a system of active answers. The system, as part of the NIDIA (Network Intrusion Detection System based on Intelligent Agents) (Lima, 2001), is formed by a society of agents that are responsible for the functions of identification of the characteristic of the attack, choice of the best reaction strategy and for the execution of the response.The society is composed by agents able to determine and apply automatically corrective actions against attacks classified according to a given severity taxonomic model. In the proposed model was looked for to define response to intrusions for abuse and for anomaly to guarantee a lower robustness to the system. / O desenvolvimento de mecanismos para reações rápidas contra intrusos tem sido um dos mais importantes requisitos na defesa crítica de redes de computador, visto que estes agem rapidamente exigindo reações sem intervenção humana. Tais mecanismos devem estar habitas a, automaticamente, responder um ataque e lidar com o vários aspectos do problema de seguança de computadores, e com isso reduzir a carga de trabalho do administrador do sistema. Semelhantes características podem oferecer confiança e efetividade no processo de detecção e resposta, alta taxa de segunça a redes privadas, melhores possibilidades de defesa e, ainda, minimizar as chances do intruso. Essa dissertação trata da especificação de uma sociedade de agentes para a avaliação e aprimoramento de sistema de resposta de intrusão em redes de computadores. A proposta de um modelo de sistema de resposta de intrusao(IRS) é baseada em várias arquiteturas disponíveis na procura da melhor solução para os problemas encontrados na modelagem de um sistema deste nível. Com isso, foi modelado um sistema que contenha as principais funcionalidades desejáveis para um de respostas ativas. O sistema, que faz parte do NIDIA(Network Intrusion Detection System based on Intelligent Agents) (Lima, 2001), é formado por uma sociedade de agentes que são responsáveis pelas funções de identificação das características do ataque, escolha da melhor estratégia de reação a pela execução resposta.A sociedade é composta por agentes artificiais aptos em determinar e aplicar automaticamente ações, corretivas e preventivas, contra ataques classificados de acordo com um modelo taxonômico de severidade. No modelo proposto procurou-se definir respostas de intrusoes por abuso e por anomalia para garantir maior robustes ao sistema.

Made available in DSpace on 2016-08-17T14:53:13Z (GMT). No. of bitstreams: 1 Emanoel Claudino.pdf: 1555729 bytes, checksum: b4ba5604a13f7f5cbe0d556a5a9eedf8 (MD5) Previous issue date: 2006-12-19 / The digital security has become an important factor for institutions of diverse domains. The Intrusion Detection Systems (IDS) have appeared as a solution for detention and correction of intrusion of pro-active way. Thus, some models of SDIs have appeared to diminish the probability of compromising of on computational systems connected in net, identifying, reporting and answering to these incidents. In face to that diversity of solutions, they lack proposals of standardization of the information used for these Systems, as well as of mechanisms of interoperability and exchange of information between the solutions in use. This dissertation, proposes a model, an architecture and an implementation of a SDI´s Information Manager, using the technologies of Multi- Agents Systems and Web Services. The objective of the Information Manager is to keep the information that are necessary to the development of the inherent functions of a SDI, in a safe and updated way. We also propose a standard of format for storage of these data to insert requirements in the environment, as: Unified Storage, Transparent Access, Uniform Generation of Data and Friendly Interaction. / A Segurança digital tem se tornado fator inegociável para instituições de diversos domínios. Os Sistemas de Detecção de Intrusão (SDIs) têm surgido como uma solução para detecção e correção de intrusão de forma próativa. Assim, vários modelos de SDIs têm surgido para, identificando, reportando e respondendo a estes incidentes, diminuir a probabilidade de comprometimento dos sistemas computacionais ligados em rede. Diante desta diversidade de soluções, faltam propostas de padronização das informações utilizadas por estes Sistemas, bem como de mecanismos de interoperabilidade e troca de informações entre as soluções em uso. Esta dissertação, propõem um modelo, uma arquitetura e uma implementação de um Gerenciador de Informações para SDIs, usando as tecnologias de Sistemas Multiagentes e Web Services. O objetivo do Gerenciador de Informações é manter de forma segura e atualizada as informações que são necessárias ao desenvolvimento das funções inerentes a um SDI. É proposto também, um padrão de formato para armazenamento desses dados, de forma a inserir no ambiente requisitos como: Armazenamento Unificado, Acesso Transparente, Geração de Dados Uniforme e Facilidade de Interoperabilidade.