Tese de doutoramento. Engenharia Electrotécnica e de Computadores. Faculdade de Engenharia. Universidade do Porto. 2007

Dissertação (mestrado)—Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, 2016. / Submitted by Fernanda Percia França (fernandafranca@bce.unb.br) on 2017-02-13T18:28:53Z No. of bitstreams: 1 2016_FábioLuizdaRochaMoraes.pdf: 24179168 bytes, checksum: 2ae20c3e7673e0d2e0b18006c464c371 (MD5) / Approved for entry into archive by Raquel Viana(raquelviana@bce.unb.br) on 2017-03-06T21:09:28Z (GMT) No. of bitstreams: 1 2016_FábioLuizdaRochaMoraes.pdf: 24179168 bytes, checksum: 2ae20c3e7673e0d2e0b18006c464c371 (MD5) / Made available in DSpace on 2017-03-06T21:09:28Z (GMT). No. of bitstreams: 1 2016_FábioLuizdaRochaMoraes.pdf: 24179168 bytes, checksum: 2ae20c3e7673e0d2e0b18006c464c371 (MD5) / O furto de credenciais é considerado ser uma peça em uma cadeia de eventos que englobam ataques a redes de computadores e sistemas operacionais, sendo a evasão de dados ou incidentes parte de um escopo maior no processo de verificação e resposta a incidentes. Apesar de ataques do tipo Passthe- Hash serem conhecidos no ambiente de Redes Windows há algum tempo, a detecção desses tipos de técnicas ainda constitui um desafio em ambientes onde o processo de autenticação conta com sistemas distribuídos em redes heterogêneas e amplas. De forma a auxiliar no combate e detalhamento deste tipo de problema de segurança em redes, este trabalho estudou as medidas protetivas contra esses ataques e três linhas de detecção. As linhas de detecção foram classificadas em detecção de eventos, detecção de anomalias e detecção de honeytokens. São propostos três elementos que podem auxiliar no confronto ao problema. O primeiro elemento é uma Kill Chain para ataques Pass-the-Hash e Pass-the-Ticket que visa mostrar e explicar a anatomia desses ataques. O segundo é uma classificação para as abordagens de tratamento desses ataques como medida para organizar as diferentes formas como o problema é encarado. O último trata-se de uma arquitetura para servir de base para a implementação de uma ferramenta de detecção. Esse terceiro componente possui fim de ajudar no processo de detecção de intrusão em redes com as características mencionadas. / Credential theft is considered to be a piece in a chain of events that cover attacks to computer networks and operating systems, being data leaks or incidents part of a bigger scope in the process of verification and response to incidents. In spite of Pass-the-Hash and Pass-the-Ticket attacks are long known in the Windows Network environment, the detection of such techniques still constitutes a challenge in environments where the authentication process counts with distributed systems in wide and heterogeneous networks. In order to aid the combating and detailing with this kind of network security problem, this work studied the protective measures against these attacks and three lines of detection. The lines of detection were classified in event detection, anomaly detection and honeytoken detection. Three elements that can help in the confrontation to this matter were proposed. The first element is a Kill Chain for Pass-the-Hash and Pass-the-Ticket attacks, that aims to show and explain the anatomy of these attacks. The second is a classification to the approaches in dealing with the issue as a mean to organize the different ways the problem is treated. The last is about an architecture to serve as a base for the implementation of a detection tool. This third component has an end to help the process of intrusion detection in networks with the mentioned characteristics.

Made available in DSpace on 2014-08-19T02:01:19Z (GMT). No. of bitstreams: 1 000460263-Texto+Completo-0.pdf: 1997938 bytes, checksum: db8ee989e5494026f04f8cc600c619a5 (MD5) Previous issue date: 2014 / In the last years, the industry has developed and put in the market a plethora of electronic devices that are able to access the Internet and other networks. This is making easier to send, receive, share and store all types of information at any moment, from anywhere. Thus, there is a huge amount of important information crossing the Internet and there are malicious entities and/or individuals trying to capture this information to steal or exploit it in order to obtain financial or strategic gains or to cause damage to other people. There are many ways to protect such information, the most relevant of which is the use of cryptog-raphy. There are many cryptographic algorithms in use nowadays, such as DES, 3DES, AES and RSA, which are usually implemented in software. This leads to low performance, and low security levels for several applications. Therefore, it is necessary to create solutions that provide higher security levels and that at the same time improve cryptography performance. This work proposes and presents a secure communication system that can be inte-grated to embedded devices or computers. The proposed secure communication system developed in this work is based on Elliptic Curve Cryptography (ECC), which is a cryptography scheme that has being studied and improved over the last decade by many researchers and is indicated as one of the most secure among cryptographic algorithms. This work describes in detail the implementation of ECC operations in hardware, trying to provide higher performance than most works available in the literature. Another goal of the work is that even critical embedded systems could use the proposed scheme to build a secure communication system. This work capitalizes on the state of the art in ECC operations and implements these in hardware. The result is a reconfigurable soft IP core for ECC, which can be synthesized for either FPGAs or ASICs. The validation of the soft core comprises the development of a complete communication system that can create a secure communication link between two computers or similar devices using ECC to encrypt all exchanged information. The soft IP core for ECC operations supports any of the five Koblitz curves recommended by the National Institute of Standards and Technology (NIST) and the Standards for Efficient Cryptography Group (SECG). However, the IP core can also be easily adapted to support other elliptic curves. An overall secure communication system was developed, implemented and prototyped in a development board with a Xilinx Virtex 5 FPGA. Furthermore, the work demonstrates the advantages and gains in performance when compared to software implementations of similar systems. / Nos últimos anos, a indústria tem desenvolvido e colocado no mercado uma grande quantidade de dispositivos que são capazes de acessar a Internet e outras redes. Isso está tornando mais fácil enviar, receber, compartilhar e guardar todo tipo de informação a qualquer momento de qualquer lugar. Assim, há uma enorme quantidade de informações importantes passando pela Internet, mas há também entidades e/ou indivíduos maliciosos tentando capturar essas informações para roubar ou explorar isso visando obter ganhos financeiros ou estratégicos, ou causar algum dano a outras pessoas. Apesar de existir muitas maneiras de proteger tais informações, a mais relevante é o uso de criptografia. Há muitos algoritmos criptográficos em uso atualmente, tais como DES, 3DES, AES e RSA, que normalmente são implementados em software. Eles atingem baixo desempenho e proveem baixos níveis de segurança para muitas aplicações. Portanto, é necessário criar so-luções que disponibilizem maiores níveis de segurança e ao mesmo tempo melhorem o desempenho de criptografar. Este trabalho propõe um sistema de comunicação seguro que pode ser integrado a dispositivos embarcados ou computadores. O sistema de comunicação seguro proposto e desenvolvido neste trabalho é baseado em Criptografia por Curvas Elípticas (ECC), um esquema de criptografia que tem sido estudado e melhorado na última década por muitos pesquisadores, e é indicado como um dos algoritmos de criptografia dos mais seguros. Este trabalho descreve em detalhes a implementação das operações do ECC em hardware, com alvo em prover maior desempenho do que a maioria dos trabalhos disponíveis na literatura. Outro objetivo do trabalho é que mesmo sistemas embarcados críti-cos possam usar o esquema proposto para criar sistemas de comunicação seguros. Este trabalho utilizou o estado da arte operações de ECC para gerar implementações em hardware. O resultado é um núcleo de propriedade intelectual (IP) flexível para ECC que pode ser sintetizado para FPGAs ou ASICs.A validação deste núcleo incluiu o desenvolvimento de um sistema de comunicação completo que pode criar um enlace de comunicação segura entre dois computadores ou dispositivos similares usando ECC para criptografar todas as informações trocadas. O núcleo IP de ECC dá suporte a qualquer uma das 5 curvas elípticas de Koblitz recomendadas pelo Instituto Nacional de Padrões e Tecnologia (NIST) e aos Padrões para Grupo de Criptografia Eficiente (SECG). Entretanto, o núcleo IP pode também ser facilmente adaptado para dar suporte a outras curvas elípticas. Um sis-tema de comunicação segura foi desenvolvido, implementado e prototipado em uma placa de desenvolvimento com FPGA Virtex 5 da Xilinx. Além disso, o trabalho demonstra as vantagens e os ganhos de desempenho obtidos quando comparado com implementações em software de sistemas similares.

Submitted by Daniella Sodre (daniella.sodre@ufpe.br) on 2015-03-09T12:40:54Z No. of bitstreams: 2 dissertacao_tgr_final_digital.pdf: 2171210 bytes, checksum: f12a3f4a3a1d0cb741406b75b56f43b7 (MD5) license_rdf: 1232 bytes, checksum: 66e71c371cc565284e70f40736c94386 (MD5) / Made available in DSpace on 2015-03-09T12:40:54Z (GMT). No. of bitstreams: 2 dissertacao_tgr_final_digital.pdf: 2171210 bytes, checksum: f12a3f4a3a1d0cb741406b75b56f43b7 (MD5) license_rdf: 1232 bytes, checksum: 66e71c371cc565284e70f40736c94386 (MD5) Previous issue date: 2012-03-07 / A área de segurança de redes de computadores e sistemas apresenta-se como uma das maiores preocupações atualmente. À medida que o número de usuários de computadores aumenta, cresce no número de incidentes de segurança. A falta de comportamentos voltados à segurança, no que se refere a uso de hardware, e-mails ou configuração de programas são fatores facilitam a implantação de códigos maliciosos. O impacto da exploração de vulnerabilidades ou de falhas de softwares tem aumentado gradualmente e causado enormes prejuízos ao redor do mundo. A divulgação destas vulnerabilidades e boas práticas de segurança têm sido uma das soluções para este problema pois permitem que administradores de redes e sistemas consigam adquirir informações relevantes para mitigar o impacto de uma atividade maliciosa. Ao notar que divulgar informações de segurança é uma das saídas para combater as atividades maliciosas e também para diminuir o impacto de uma exploração bem sucedida, várias organizações resolveram publicar este tipo de conteúdo. Estas bases encontram-se espalhadas em diferentes sítios Web, o que faz com que equipes de administração de redes e sistemas demore muito tempo buscando informações necessárias para a resolução dos seus problemas. Além disto, a exposição do conteúdo não é um fator preponderante para a solução dos problemas. Baseado neste cenário, este trabalho de mestrado se propõe a criar um sistema de apoio à recuperação de informação na Web voltado à segurança de redes e sistemas.

Distributed attacks, such as Distributed Denial of Service (DDoS) ones, require not only the deployment of standalone security mechanisms responsible for monitoring a limited portion of the network, but also distributed mechanisms which are able to jointly detect and mitigate the attack before the complete exhaustion of network resources. This need led to the proposal of several collaborative security mechanisms, covering different phases of the attack mitigation: from its detection to the relief of the system after the attack subsides. It is expected that such mechanisms enable the collaboration among security nodes through the distributed enforcement of security policies, either by installing security rules (e.g., for packet filtering) and/or by provisioning new specialized security nodes on the network. Albeit promising, existing proposals that distribute security tasks among collaborative nodes usually do not consider an optimal allocation of computational resources. As a result, their operation may result in a poor Quality of Service for legitimate packet flows during the mitigation of a DDoS attack. Aiming to tackle this issue, this work proposes a collaborative solution against DDoS attacks with two main goals: (1) ensure an optimal use of resources already available in the attack\'s datapath in a proactive way, and (2) optimize the placement of security tasks among the collaborating security nodes. Regardless the characteristics of each main goal, legitimate traffic must be preserved as packet loss is reduced as much as possible. / Sem resumo

Devido à importância dos firewalls para proteção de redes de computadores, muito se estuda no sentido do aprimoramento das técnicas de proteção e no desenvolvimento de novas técnicas para serem utilizadas na análise destes. Com enfoque neste tema, esta dissertação trata a respeito da viabilidade da técnica de injeção de pacotes e observação dos resultados para analisar o comportamento de firewalls de rede para a pilha TCP/IP, resultando em uma técnica alternativa para análise de firewalls. Para mostrar a validade da técnica foi proposta uma arquitetura e, como prova de conceito, foi implementado um protótipo do sistema de análise. Foram também efetuados alguns testes. A técnica de injeção de pacotes e observação dos resultados mostrou-se viável para algumas situações. Para outras, são necessárias estudos adicionais para redução da explosão combinatória. / Due to the importance of the firewalls for protection of network computers, a lot of studies has been done in order of the improvement of the protection techniques and in the development of new techniques to be used in the analysis of them. With focus in this theme, this thesis considers the viability of the technique of injection of packages and observation of the results to analyze the behavior of network firewalls for stack TCP/IP, resulting in an alternative technique for analysis of firewalls. To show the validity of the technique an architecture was proposed and, as a concept proof, a prototype of the analysis system was implemented. Also was implemented some tests. The technique of injection of packages and observation of the results reveled viable for some situations. For others, addictionals studies are necessary for reduction of the combinatory explosion.

A Internet consolidou as redes IP como uma infra-estrutura de transporte de dados barata e versátil, fato que justifica o crescente interesse nela como infraestrutura de transporte para outros serviços, como telefonia e TV. Esta convergência de serviços tem base no amadurecimento das tecnologias de redes de transmissão de dados, que proporcionou o aumento da velocidade de conexão residencial, tornando cada vez mais viável o uso de aplicações multimídia, inclusive em tempo real. Desta demanda de serviços convergentes, nasceu a digitalização da TV e, posteriormente, a possibilidade de transmissão pelas redes IP, conhecida como IPTV. Este trabalho analisa o cenário atual de IPTV para distribuição de conteúdo multimídia em redes de acesso privadas. Parte-se da necessidade de mecanismos de segurança para distribuição e controle do consumo das mídias digitais no sistema. O trabalho analisa, portanto, mecanismos para descrição inequívoca dos direitos que os usuários têm sobre o conteúdo adquirido, bem como a utilização de tecnologias para a transmissão do conteúdo de forma segura. O trabalho visa contribuir para a comunidade científica a partir da utilização de padrões abertos na especificação de um elemento de distribuição de vídeo em uma plataforma IPTV. Este elemento se baseia em políticas de uso da linguagem de expressão de direitos do MPEG-21 para reforçar os direitos de autoria e distribuição do conteúdo durante seu manuseio em toda a cadeia de negócios. / Internet consolidated IP networks as a versatile and accessible data transport infrastructure, thus justifying the growing interest on it as a transport network for several services, such as telephony and TV. The convergence leverages on the maturity of network technologies, responsible for the increasing availability of bandwidth for residential access, making the use of multimedia applications, including interactive ones, possible. From the demand for convergence, Digital TV has born, and later on, its transmission through IP networks, know as IPTV. This work analyzes current IPTV scenario for multimedia content distribution in the scope of private networks. It is based on the need for security mechanisms for digital content delivering and control of consumption in the system. Therefore it analyzes mechanisms for rights description, as well as security transmission of content. This work\'s contribution stems from the reutilization of open standards in the specification of a distribution broker in the IPTV environment. Such broker is based on the MPEG-21 digital rights description to enforce copyright of digital content during handling in the entire value chain.

Propõe-se uma estratégia de modelagem e de análise formal de políticas de segurança para sistemas baseados em fluxos de trabalho (workflows) e contendo regras que envolvam aspectos de lógica de negócios. Verifica-se com o auxílio de uma política de exemplo que a estratégia proposta resulta em modelos amplamente capazes de expressar restrições lógicas em função de parâmetros de negócio sem comprometer a viabilidade de suas análises. A modelagem baseia-se no uso de um metamodelo definido a partir da identificação das entidades que caracterizam o estado de proteção de um sistema e representado na forma de uma rede de Petri colorida. Por meio da escrita de predicados para consulta sobre o espaço de estados da rede de Petri, verifica-se o atendimento às regras de segurança no modelo formal. A tratabilidade da análise é garantida pela adoção de um paradigma diferenciado principalmente pela busca de ramos inseguros em vez de nós inseguros no espaço de estados e por explorar a natureza independente entre serviços de negócio distintos, expressa por restrições ao fluxo de informação no metamodelo. Tais restrições permitem que a análise seja fracionada evitando o problema da explosão de estados. O exemplo discutido de modelagem e análise de um sistema de serviços bancários online fornece evidências suficientes para atestar a aplicabilidade do método à validação de políticas de segurança para sistemas reais. / A strategy is proposed for the formal modeling and analysis of workflow- -based security policies having rules which involve aspects of business logic. Aided by an example of security policy, the proposed strategy is shown to lead to models widely capable of expressing logical restrictions as functions of business parameters without compromising the feasibility of its analyses. The modeling is based on the usage of a metamodel defined from the identification of the entities that characterize the protection state of a system, and represented as a colored Petri net. By writing predicates for querying the Petri net state-space, compliance with security rules at the formal model is verified. The feasibility of the analysis is ensured by the adoption of a paradigm distinguished mainly for the search for insecure branches rather than insecure nodes in the state-space, and for exploiting the independent nature among different business services, expressed by restrictions to the information flow within the metamodel. Such restrictions allow the analysis to be fractioned, avoiding the state explosion problem. The example provided of modeling and analysis of an online banking services system offers enough evidence to attest the applicability of the method to the validation of security policies for real-world systems.

Distributed attacks, such as Distributed Denial of Service (DDoS) ones, require not only the deployment of standalone security mechanisms responsible for monitoring a limited portion of the network, but also distributed mechanisms which are able to jointly detect and mitigate the attack before the complete exhaustion of network resources. This need led to the proposal of several collaborative security mechanisms, covering different phases of the attack mitigation: from its detection to the relief of the system after the attack subsides. It is expected that such mechanisms enable the collaboration among security nodes through the distributed enforcement of security policies, either by installing security rules (e.g., for packet filtering) and/or by provisioning new specialized security nodes on the network. Albeit promising, existing proposals that distribute security tasks among collaborative nodes usually do not consider an optimal allocation of computational resources. As a result, their operation may result in a poor Quality of Service for legitimate packet flows during the mitigation of a DDoS attack. Aiming to tackle this issue, this work proposes a collaborative solution against DDoS attacks with two main goals: (1) ensure an optimal use of resources already available in the attack\'s datapath in a proactive way, and (2) optimize the placement of security tasks among the collaborating security nodes. Regardless the characteristics of each main goal, legitimate traffic must be preserved as packet loss is reduced as much as possible. / Sem resumo

A Internet consolidou as redes IP como uma infra-estrutura de transporte de dados barata e versátil, fato que justifica o crescente interesse nela como infraestrutura de transporte para outros serviços, como telefonia e TV. Esta convergência de serviços tem base no amadurecimento das tecnologias de redes de transmissão de dados, que proporcionou o aumento da velocidade de conexão residencial, tornando cada vez mais viável o uso de aplicações multimídia, inclusive em tempo real. Desta demanda de serviços convergentes, nasceu a digitalização da TV e, posteriormente, a possibilidade de transmissão pelas redes IP, conhecida como IPTV. Este trabalho analisa o cenário atual de IPTV para distribuição de conteúdo multimídia em redes de acesso privadas. Parte-se da necessidade de mecanismos de segurança para distribuição e controle do consumo das mídias digitais no sistema. O trabalho analisa, portanto, mecanismos para descrição inequívoca dos direitos que os usuários têm sobre o conteúdo adquirido, bem como a utilização de tecnologias para a transmissão do conteúdo de forma segura. O trabalho visa contribuir para a comunidade científica a partir da utilização de padrões abertos na especificação de um elemento de distribuição de vídeo em uma plataforma IPTV. Este elemento se baseia em políticas de uso da linguagem de expressão de direitos do MPEG-21 para reforçar os direitos de autoria e distribuição do conteúdo durante seu manuseio em toda a cadeia de negócios. / Internet consolidated IP networks as a versatile and accessible data transport infrastructure, thus justifying the growing interest on it as a transport network for several services, such as telephony and TV. The convergence leverages on the maturity of network technologies, responsible for the increasing availability of bandwidth for residential access, making the use of multimedia applications, including interactive ones, possible. From the demand for convergence, Digital TV has born, and later on, its transmission through IP networks, know as IPTV. This work analyzes current IPTV scenario for multimedia content distribution in the scope of private networks. It is based on the need for security mechanisms for digital content delivering and control of consumption in the system. Therefore it analyzes mechanisms for rights description, as well as security transmission of content. This work\'s contribution stems from the reutilization of open standards in the specification of a distribution broker in the IPTV environment. Such broker is based on the MPEG-21 digital rights description to enforce copyright of digital content during handling in the entire value chain.