Thesis (Ph. D.)--University of Texas at Austin, 2008. / Vita. Includes bibliographical references.

Thesis (M. Sc.)(Electronic Engineering)--University of Pretoria, 2004. / Summaries in English and Afrikaans. Includes bibliographical references (125-128).

Thesis (Ph. D.)--Florida State University, 2006. / Advisor: Xiuwen Liu, Florida State University, College of Arts and Sciences, Dept. of Computer Science. Title and description from dissertation home page (viewed Sept. 20, 2006). Document formatted into pages; contains xi, 109 pages. Includes bibliographical references.

Orientador: Adriano Mauro Cansian / Banca: Kalinka Regina Lucas Jaquie Castelo / Banca: Aleardo Manacero Junior / Resumo: Este trabalho apresenta um modelo de detecção de eventos em redes baseado no rastreamento de fluxos no padrão Netflow. Atualmente, a utilização de fluxos de rede como mecanismo de monitoria de tráfego tem se tornado cada vez mais importante devido a escalabilidade proporcionada. Inicialmente estabelece-se uma arquitetura de coleta e armazenamento de fluxos baseada em bancos de dados relacionais. Coletados os fluxos, criam-se estruturadas denominadas assinaturas para a descrição dos eventos de interesse no ambiente monitorado. O modelo utiliza duas vertentes na detecção de eventos: a baseada em abuso e a baseada em anomalias. A detecção baseada em abuso visa identificar eventos que produzam características fixas no tráfego de um ambiente. A detecção por anomalias visa identificar padrões de tráfego considerados anormais, podendo utilizar diferentes mecanismos de detecção. A arquitetura do sistema é capaz de coletar e armazenar fluxos, processá-los confrontando-os com uma base de assinaturas, utilizar mecanismos de detecção de anomalias e produzir relatórios para o administrador. O sistema foi testado em um ambiente isolado para coleta de informações, tais como taxas de erros e acertos, e no ambiente de produção do Instituto de Biociências, Letras e Ciências Exatas de São José do Rio Preto (IBILCE - UNESP). Além de eventos isolados de interesse dos administradores, podem ser descritos e detectados eventos como ataques de dicionário, hosts com aplicações de compartilhamento de arquivos (P2P), Bittorrent, chamadas de voz Skype, varreduras de redes e artefatos maliciosos. O modelo é aplicável em redes de pequeno e médio porte sem grandes investimentos, permitindo que eventos sejam detectados por meio da identificação de padrões comportamentais que estes geram no ambiente de rede. Testes mostraram que o modelo é capaz de descrever diversos protocolos... (Resumo completo, clicar acesso eletrônico abaixo) / Abstract: This work presents a detection model of networks events based on the tracking of Netflow standard flows. Currently, the use of network flows as a mechanism for monitoring traffic has become increasingly important because of the scalability provided. Initially an architecture is established for collection and storage of flows based on relational databases. Once collected the flows, structures called signatures are created to describe the events of interest in the environment monitored. The model uses two strands in the detection of events: one based on the abuse and one based on anomalies. The abuse detection aims to identify events that produce fixed characteristics in the traffic of an environment. The anomaly detection aims to identify traffic patterns considered abnormal and may use different mechanisms of detection. The architecture of the system is able to collect and store flows, process them confronting them with a signature database, make use mechanisms of anomaly detection and produce reports for the administrator. The system was tested in an isolated environment for collecting information such as rates of errors and successes, and in the production environment of the Instituto de Biociencias, Letras e Ciencias Exatas de Sao Jose do Rio Preto (IBILCE - UNESP). Further of isolated events of interest of administrators, can be detected and described events as a dictionary attack, hosts with file sharing applications (P2P), BitTorrent, Skype voice calls, network scans and malicious softwares. The model is applicable to networks of small and medium businesses without large investments, allowing events to be detected by identifying behavioral patterns that they generate in the network environment. Tests showed that the model is able to describe several protocols and patterns of attacks, with rates of hits and misses compatible with security tools known efficient. / Mestre

Made available in DSpace on 2014-06-11T19:29:40Z (GMT). No. of bitstreams: 0 Previous issue date: 2009-08-25Bitstream added on 2014-06-13T20:19:45Z : No. of bitstreams: 1 correa_jl_me_sjrp.pdf: 1580875 bytes, checksum: f27e3532f4fe7e993ae4b32275dcaf24 (MD5) / Coordenação de Aperfeiçoamento de Pessoal de Nível Superior (CAPES) / Este trabalho apresenta um modelo de detecção de eventos em redes baseado no rastreamento de fluxos no padrão Netflow. Atualmente, a utilização de fluxos de rede como mecanismo de monitoria de tráfego tem se tornado cada vez mais importante devido a escalabilidade proporcionada. Inicialmente estabelece-se uma arquitetura de coleta e armazenamento de fluxos baseada em bancos de dados relacionais. Coletados os fluxos, criam-se estruturadas denominadas assinaturas para a descrição dos eventos de interesse no ambiente monitorado. O modelo utiliza duas vertentes na detecção de eventos: a baseada em abuso e a baseada em anomalias. A detecção baseada em abuso visa identificar eventos que produzam características fixas no tráfego de um ambiente. A detecção por anomalias visa identificar padrões de tráfego considerados anormais, podendo utilizar diferentes mecanismos de detecção. A arquitetura do sistema é capaz de coletar e armazenar fluxos, processá-los confrontando-os com uma base de assinaturas, utilizar mecanismos de detecção de anomalias e produzir relatórios para o administrador. O sistema foi testado em um ambiente isolado para coleta de informações, tais como taxas de erros e acertos, e no ambiente de produção do Instituto de Biociências, Letras e Ciências Exatas de São José do Rio Preto (IBILCE - UNESP). Além de eventos isolados de interesse dos administradores, podem ser descritos e detectados eventos como ataques de dicionário, hosts com aplicações de compartilhamento de arquivos (P2P), Bittorrent, chamadas de voz Skype, varreduras de redes e artefatos maliciosos. O modelo é aplicável em redes de pequeno e médio porte sem grandes investimentos, permitindo que eventos sejam detectados por meio da identificação de padrões comportamentais que estes geram no ambiente de rede. Testes mostraram que o modelo é capaz de descrever diversos protocolos... / This work presents a detection model of networks events based on the tracking of Netflow standard flows. Currently, the use of network flows as a mechanism for monitoring traffic has become increasingly important because of the scalability provided. Initially an architecture is established for collection and storage of flows based on relational databases. Once collected the flows, structures called signatures are created to describe the events of interest in the environment monitored. The model uses two strands in the detection of events: one based on the abuse and one based on anomalies. The abuse detection aims to identify events that produce fixed characteristics in the traffic of an environment. The anomaly detection aims to identify traffic patterns considered abnormal and may use different mechanisms of detection. The architecture of the system is able to collect and store flows, process them confronting them with a signature database, make use mechanisms of anomaly detection and produce reports for the administrator. The system was tested in an isolated environment for collecting information such as rates of errors and successes, and in the production environment of the Instituto de Biociencias, Letras e Ciencias Exatas de Sao Jose do Rio Preto (IBILCE - UNESP). Further of isolated events of interest of administrators, can be detected and described events as a dictionary attack, hosts with file sharing applications (P2P), BitTorrent, Skype voice calls, network scans and malicious softwares. The model is applicable to networks of small and medium businesses without large investments, allowing events to be detected by identifying behavioral patterns that they generate in the network environment. Tests showed that the model is able to describe several protocols and patterns of attacks, with rates of hits and misses compatible with security tools known efficient.

Orientador: Paulo Licio de Geus / Dissertação (mestrado) - Universidade Estadual de Campinas, Instituto de Computação / Made available in DSpace on 2018-08-10T18:08:43Z (GMT). No. of bitstreams: 1 Castro_ArthurBispode_M.pdf: 1955953 bytes, checksum: 46cf350cf44d894dc72583bf5206f94e (MD5) Previous issue date: 2006 / Resumo: Desde o início da computação a idéia de máquinas virtuais vem sendo aplicada para estender o multiprocessamento, multi-programação e multi-acesso, tornando os sistemas multi-ambiente. O contínuo aumento no poder de processamento dos computadores fez com que máquinas muito rápidas estivessem ao alcance de qualquer usuário, surgindo PCs com processamento, espaço em disco e memória suficiente para comportar mais de um sistema compartilhando o mesmo hardware. Basicamente, o objetivo das máquinas virtuais é produzir um sistema mais simples, que permita que no mesmo hardware sejam executados vários sistemas operacionais. Sua implementação se resume a um programa gerenciador chamado VMM (Virtual Machine Monitor), que cria um ambiente que simula o acesso direto ao hardware. Este gerenciador é classificado em vários tipos, apresentados neste trabalho. Graças às suas funcionalidades e variedades, o uso das máquinas virtuais pode ser estendido a fim de promover maior segurança e desempenho em redes, apresentando diversas vantagens e garantindo um ambiente mais confiável. São aplicáveis às estações de trabalho, à detecção e aprendizado de novos ataques a sistemas operacionais e aplicações, além de focar o aumento de segurança de servidores. Devido à disponibilidade de um laboratório de segurança de redes, pode-se colocar uma implementação de máquinas virtuais em sistemas reais de produção: servidor web, ftp, dns, e-mail, etc., e seus resultados confirmam o êxito desta utilização / Abstract: Since the beginning of computing, the concept of virtual machines has been associated with extending multi-processing, multi-programming and multi-access to create multienvironment systems. The continual increase in computer processing power has resulted in the common user having access to personal computers whose processing speed, disk space and memory are sufficient to support more than one operating system, whilst sharing, the same hardware. In simple terms, the goal of a virtual machine is to produce a simple system that permits that various operating systems can be executed on the same hardware. It is implemented via a managing program called VMM (Virtual Machine Monitor) that creates an environment that simulates direct access to the hardware. This managing program can be implemented in diverse ways, as will be discussed in this work. Due to its functionality and flexibility, virtual machines can be employed to provide greater security and performance in networked environments, offering various advantages and guaranteeing a trustworthy environment. In this work, virtual machines have been employed in workstations to detectand learn new attacks against operating systems and applications, as well as to increase .the security of the servers. Due to availability of a network security laboratory the ideas proposed have been implemented in real production systems: web server, ftp, dns, e-mail, etc., and the results confirm the effectiveness of the utilizations / Mestrado / Segurança de Redes / Mestre em Ciência da Computação

Orientador: Eleri Cardozo / Dissertação (mestrado) - Universidade Estadual de Campinas, Faculdade de Engenharia Elétrica e de Computação / Made available in DSpace on 2018-08-23T13:04:59Z (GMT). No. of bitstreams: 1 Feliciano_GuilhermedeOliveira_M.pdf: 2077722 bytes, checksum: 5dd4458ac834821b2bacb4160ad55aee (MD5) Previous issue date: 2013 / Resumo: O resumo poderá ser visualizado no texto completo da tese digital / Abstract: The Abstract is available with the full electronic document / Mestrado / Engenharia de Computação / Mestre em Engenharia Elétrica

Orientador: Paulo Lício de Geus / Dissertação (mestrado) - Universidade Estadual de Campinas, Instituto de Computação / Made available in DSpace on 2018-08-23T17:54:44Z (GMT). No. of bitstreams: 1 Ferreira_AndersonSoares_M.pdf: 1713313 bytes, checksum: 51dca461e2b83cdfcc2dc93cad68a877 (MD5) Previous issue date: 2013 / Resumo: Apesar do extensivo uso da computação em nuvens na atualidade, ainda há um grande número de organizações que optam por utilizar arquiteturas computacionais tradicionais por considerarem esta tecnologia não confiável, devido a problemas não resolvidos relacionados a segurança e privacidade. A garantia da segurança em ambientes de nuvens é atualmente perseguida através de acordos de níveis de serviço de segurança; apesar disto, o monitoramento destes acordos até agora tem sido dificultada por obstáculos técnicos relacionados a virtualização, compartilhamento de recursos e multi-locação Visando o acompanhamento destes acordos e consequentemente a melhoria da segurança em nuvens de serviços de infraestrutura, este trabalho apresenta uma solução de monitoramento baseada em mecanismos seguros para coleta de informações. Utilizando-se técnicas como monitoramento caixa preta e introspecção, elimina-se a necessidade de instalação de ferramentas de monitoramento na máquina virtual. Através de informações de desempenho coletadas através da solução de monitoramento, apresenta-se também um estudo sobre a identificação de ataques a máquinas virtuais em ambientes de nuvens, através da detecção de anomalias de segurança / Abstract: Despite the extensive use of cloud computing today, there is a large number of organizations that choose to stick to traditional architectures, since this technology is considered unreliable due to as yet unsolved problems related to security and privacy. Ensuring security in cloud environments is currently being pursued through security-minded service level agreements. However, monitoring such agreements has so far been hampered by technical obstacles related to virtualization, resource sharing and multi-tenancy. Aiming at monitoring these agreements and consequently improving security in cloud infrastructure services, this work presents a monitoring architecture based on external mechanisms for collecting information. Through the use of techniques such as blackbox monitoring and introspection, one eliminates the need to install monitoring tools on the virtual machine. Also, by using performance information collected by the monitoring solution, this work presents a study about the identification of attacks to virtual machines in cloud environments through anomaly detection / Mestrado / Ciência da Computação / Mestre em Ciência da Computação

Orientador: Yuzo Iano / Dissertação (mestrado) - Universidade Estadual de Campinas, Faculdade de Engenharia Elétrica e de Computação / Made available in DSpace on 2018-08-20T16:13:03Z (GMT). No. of bitstreams: 1 Noboa_FranciscoJoseViudes_M.pdf: 2562716 bytes, checksum: 8090bd81ec54aaeab629033ee45a1ef0 (MD5) Previous issue date: 2012 / Resumo: Considerando-se que para controlar e possibilitar a entrega de diversos conteúdos e serviços a qualquer tipo de acesso fazia-se necessário um núcleo bem definido e estruturado, surgiu o IMS (IP Multimedia Subsystem) com o propósito de prover a integração completa das redes e serviços. O IMS define uma arquitetura completa e framework que habilita a convergência de voz, vídeo, dados e tecnologia de rede móvel através de uma infraestrutura baseada em IP, preenchendo a distância entre os dois paradigmas de comunicação mais bem sucedidos, celular e tecnologia IP. Este trabalho apresenta a arquitetura IMS como controle central de todas as redes, e uma arquitetura para o desenvolvimento de aplicações móveis que incorporem voz, vídeo e dados. A arquitetura IMS apesar de promissora apresenta inúmeras oportunidades de melhoria no seu mecanismo de segurança, muitas dessas oportunidades de melhoria estão relacionadas a falhas e até mesmo a falta de especificações de segurança quando a arquitetura foi originalmente implementada. Assim o maior desafio na implantação e globalização da arquitetura IMS são as falhas de segurança e a vulnerabilidade que a arquitetura possui a diversos tipos de ataques que podem atingir e prejudicar, tanto operadoras quanto usuários da rede. O objetivo deste projeto de pesquisa é apresentar uma análise detalhada sobre a estrutura da arquitetura IMS focando principalmente na arquitetura de segurança desenvolvida pela 3GPP, e assim prover análises e soluções para os ataques, vulnerabilidades e falhas de segurança que atingem a arquitetura tanto do ponto de vista de operadoras e provedores de serviço quanto na perspectiva do usuário / Abstract: Considering that to control and enable the delivery of diverse content and services to any type of access it should make necessary a core well-defined and structuralized, appeared the IMS (IP Multimedia Subsystem) in order to provide the complete integration of networks and services. IMS defines a complete architecture and framework that enables the convergence of voice, video, data and mobile network technology over an infrastructure based on IP, in addition to filling the gap between the two communications paradigms most successful, cellular and IP technology. This paper presents the IMS architecture as central control of all networks, and architecture for developing mobile applications that incorporate voice, video and data. The IMS architecture despite being promising presents numerous opportunities for improvement in its security mechanism, many of these opportunities for improvement are related to failures and even the lack of security specifications when creating the architecture. So the biggest challenge in the implementation of the IMS architecture and globalization are the security issues and vulnerabilities that the architecture faces being vulnerable to several types of attacks that can reach and affect carriers and network users. The objective of this research project is to present a detailed analysis on the structure of the IMS architecture focusing primarily on security architecture developed by 3GPP, and thus provide analysis and solutions about the attacks, vulnerabilities and security issues that affect the architecture from the point of view of carriers, service providers and from the network users / Mestrado / Telecomunicações e Telemática / Mestre em Engenharia Elétrica

For the greater part, security controls are based on the principle of Decision through Detection (DtD). The exception to this is a honeypot, which analyses interactions between a third party and itself, while occupying a piece of unused information space. As honeypots are not located on productive information resources, any interaction with it can be assumed to be non-productive. This allows the honeypot to make decisions based simply on the presence of data, rather than on the behaviour of the data. But due to limited resources in human capital, honeypots’ uptake in the South African market has been underwhelming. Amber attempts to change this by offering a zero-interaction security system, which will use the honeypot approach of decision through Presence (DtP) to generate a blacklist of third parties, which can be passed on to a network enforcer. Empirical testing has proved the usefulness of this alternative and low cost approach in defending networks. The functionality of the system was also extended by installing nodes in different geographical locations, and streaming their detections into the central Amber hive.