A segurança no ambiente de redes de computadores é um elemento essencial para a proteção dos recursos da rede, dos sistemas e das informações. Os mecanismos de segurança normalmente empregados são criptografia de dados, firewalls, mecanismos de controle de acesso e sistemas de detecção de intrusão. Os sistemas de detecção de intrusão têm sido alvo de várias pesquisas, pois é um mecanismo muito importante para monitoração e detecção de eventos suspeitos em um ambiente de redes de computadores. As pesquisas nessa área visam aprimorar os mecanismos de detecção de forma a aumentar a sua eficiência. Este trabalho está focado na área de detecção de anomalias baseada na utilização de métodos estatísticos para identificar desvios de comportamento e controlar o acesso aos recursos da rede. O principal objetivo é criar um mecanismo de controle de usuários da rede, de forma a reconhecer a legitimidade do usuário através de suas ações. O sistema proposto utilizou média e desvio padrão para detecção de desvios no comportamento dos usuários. Os resultados obtidos através da monitoração do comportamento dos usuários e aplicação das medidas estatísticas, permitiram verificar a sua validade para o reconhecimento dos desvios de comportamento dos usuários. Portanto, confirmou-se a hipótese de que estas medidas podem ser utilizadas para determinar a legitimidade de um usuário, bem como detectar anomalias de comportamento. As análises dos resultados de média e desvio padrão permitiram concluir que, além de observar os seus valores estanques, é necessário observar o seu comportamento, ou seja, verificar se os valores de média e desvio crescem ou decrescem. Além da média e do desvio padrão, identificou-se também a necessidade de utilização de outra medida para refletir o quanto não se sabe sobre o comportamento de um usuário. Esta medida é necessária, pois a média e o desvio padrão são calculados com base apenas nas informações conhecidas, ou seja, informações registradas no perfil do usuário. Quando o usuário faz acessos a hosts e serviços desconhecidos, ou seja, não registrados, eles não são representados através destas medidas. Assim sendo, este trabalho propõe a utilização de uma medida denominada de grau de desconhecimento, utilizada para medir quantos acessos diferentes do seu perfil o usuário está realizando. O sistema de detecção de anomalias necessita combinar as medidas acima descritas e decidir se deve tomar uma ação no sistema. Pra este fim, propõe-se a utilização de sistemas de regras de produção e lógica fuzzy, que permitem a análise das medidas resultantes e execução do processo de decisão que irá desencadear uma ação no sistema. O trabalho também discute a integração do sistema de detecção de intrusão proposto à aplicação de gerenciamento SNMP e ao gerenciamento baseado em políticas.

Dissertação (Mestrado) - Universidade Federal de Santa Catarina, Centro Tecnológico. / Made available in DSpace on 2012-10-17T08:10:53Z (GMT). No. of bitstreams: 0Bitstream added on 2016-01-09T00:43:22Z : No. of bitstreams: 1 143019.pdf: 2160119 bytes, checksum: 511d1dc89700ee50e9b160ac7d4072ba (MD5)

Notificações enviadas por dispositivos são essenciais para ajudar no gerenciamento de redes de computadores, pois podem alertar sobre, por exemplo, situações anormais ou indesejadas. Porém, em muitos casos, múltiplas notificações relacionadas ao mesmo problema podem ser recebidas por uma estação gerente. Isso faz com que a visualização das notificações se torne confusa. Uma forma possível de diminuir a quantidade de notificações recebidas é através da sua correlação. Atualmente, os Web Services têm sido um importante tema de pesquisa na área de gerenciamento de redes de computadores. Contudo, não há pesquisas propriamente relacionadas à notificação de eventos usando Web Services. O protocolo SNMP, que é a solução mais aceita e utilizada, possui suporte à notificação de eventos através de suas mensagens trap. Porém, esse suporte é limitado e, raramente, consegue cruzar domínios administrativos diferentes. Unindo a necessidade de correlação com a necessidade de cruzar domínios administrativos diferentes, uma arquitetura de correlação de notificações baseada em Web Services e políticas é apresentada. As políticas são utilizadas no trabalho, como mecanismo para definição das regras de correlação de notificações. A arquitetura proposta e sua implementação são apresentadas, permitindo a investigação do uso de Web Services como ferramenta no gerenciamento de redes, considerando o caso específico de suporte a notificações. Este estudo complementa as investigações em andamento do Grupo de Pesquisa de Redes da Universidade Federal do Rio Grande do Sul, mostrando aspectos dosWeb Services no gerenciamento de redes, que eram desconhecidos no campo de notificações, além de mostrar o gerenciamento baseado em políticas aplicado a notificações, assunto também inexplorado até o momento.

As redes de computadores experimentam um grande crescimento não apenas em tamanho, mas também no número de serviços oferecidos e no número de protocolos de alto nível e aplicações que são executados sobre elas. Boa parte desses software (ex.: ICQ e Napster), em geral, não está diretamente ligada a aplicações críticas, mas o seu uso não controlado pode degradar o desempenho da rede. Para que se possa medir o impacto dos mesmos sobre a infra-estrutura, mecanismos de gerência ligados à contabilização e caracterização de tráfego são desejáveis. Por outro lado, alguns protocolos, serviços e aplicações (ex. servidores DNS e Web) suportam aplicações e precisam ser monitorados e gerenciados com maior atenção. Para essa classe de software de rede, a simples contabilização e caracterização de tráfego não é suficiente; tarefas de gerência como teste de serviços, detecção e manipulação de falhas, medição de desempenho e detecção de intrusão são importantes para garantir alta disponibilidade e eficiência da rede e aplicações. As ferramentas existentes para essa finalidade são, entre aspectos, (a) não integradas (necessidade de uma ferramenta para monitorar cada aplicação), (b) centralizadas (não oferecem suporte à distribuição de tarefas de gerenciamento) e (c) pouco flexíveis (dificuldade em gerenciar novos protocolos, serviços e aplicações). Nesse contexto, a tese propõe uma arquitetura, centrada na monitoração passiva em temporal do tráfego de rede, para gerenciamento distribuído de protocolos de alto nível, serviços e aplicações em rede. Baseada da MIB (Management Information Base) Script do IETF (Internet Engineering Task Force), a arquitetura Trace oferece mecanismos para a delegação de tarefas de gerenciamento a gerentes intermediários, que interagem com agentes de monitoração e agentes de ação para executá-las. A tese propõe também PTSL (Protocol Trace Specification Language), uma linguagem gráfica/textual criada para permitir que gerentes de rede especificam as interações de protocolos (traços) que lhes interessam monitorar. As especificações são usadas pelso gerentes intermediários para programar os agentes de monitoração. Uma vez programadas, esses agentes passam a monitorar a ocorrência dos traços.As informações obtidas são analisadas pelos agentes intermediários, que podem requisitar de ação a execução de procedimentos (ex: scripts Perl), possibilitando a automação de diversas tarefas de gerenciamento. A arquitetura proposta é validada por um protótipo: a plataforma de gerenciamento Trace.

Voz sobre IP (VoIP) é uma tecnologia que permite a digitalização e a codificação da voz e o empacotamento em pacotes de dados IP para a transmissão em uma rede que utilize o protocolo TCP/IP. Devido ao volume de dados gerados por uma aplicação VoIP, esta tecnologia se encontra em funcionamento, em redes corporativas privadas. Mas se a rede base para o transporte desta aplicação for a Internet, certamente, não deve ser utilizada para fins profissionais, pois o TCP/IP não oferece padrões de QoS (Qualidade de Serviço) comprometendo desta forma a qualidade da voz. A qualidade da voz fica dependente do tráfego de dados existentes no momento da conversa. Para realizar um projeto de VoIP é necessário conhecer todo o tráfego existente na rede e verificar o quanto isto representa em relação à banda total da rede. Também se deve conhecer o tipo de aplicação que se deseja implantar, verificando a banda a ser utilizada por esta, e então projetar como a rede deverá ser estruturada. Para auxiliar no projeto de VoIP, pretende-se mostrar o que está sendo desenvolvido para que o protocolo TCP/IP ofereça QoS e uma ferramenta para análise do tráfego de voz sobre redes TCP/IP e também análises dos resultados obtidos em experimentos simulando diversas situações práticas.

As redes de computadores experimentam um grande crescimento não apenas em tamanho, mas também no número de serviços oferecidos e no número de protocolos de alto nível e aplicações que são executados sobre elas. Boa parte desses software (ex.: ICQ e Napster), em geral, não está diretamente ligada a aplicações críticas, mas o seu uso não controlado pode degradar o desempenho da rede. Para que se possa medir o impacto dos mesmos sobre a infra-estrutura, mecanismos de gerência ligados à contabilização e caracterização de tráfego são desejáveis. Por outro lado, alguns protocolos, serviços e aplicações (ex. servidores DNS e Web) suportam aplicações e precisam ser monitorados e gerenciados com maior atenção. Para essa classe de software de rede, a simples contabilização e caracterização de tráfego não é suficiente; tarefas de gerência como teste de serviços, detecção e manipulação de falhas, medição de desempenho e detecção de intrusão são importantes para garantir alta disponibilidade e eficiência da rede e aplicações. As ferramentas existentes para essa finalidade são, entre aspectos, (a) não integradas (necessidade de uma ferramenta para monitorar cada aplicação), (b) centralizadas (não oferecem suporte à distribuição de tarefas de gerenciamento) e (c) pouco flexíveis (dificuldade em gerenciar novos protocolos, serviços e aplicações). Nesse contexto, a tese propõe uma arquitetura, centrada na monitoração passiva em temporal do tráfego de rede, para gerenciamento distribuído de protocolos de alto nível, serviços e aplicações em rede. Baseada da MIB (Management Information Base) Script do IETF (Internet Engineering Task Force), a arquitetura Trace oferece mecanismos para a delegação de tarefas de gerenciamento a gerentes intermediários, que interagem com agentes de monitoração e agentes de ação para executá-las. A tese propõe também PTSL (Protocol Trace Specification Language), uma linguagem gráfica/textual criada para permitir que gerentes de rede especificam as interações de protocolos (traços) que lhes interessam monitorar. As especificações são usadas pelso gerentes intermediários para programar os agentes de monitoração. Uma vez programadas, esses agentes passam a monitorar a ocorrência dos traços.As informações obtidas são analisadas pelos agentes intermediários, que podem requisitar de ação a execução de procedimentos (ex: scripts Perl), possibilitando a automação de diversas tarefas de gerenciamento. A arquitetura proposta é validada por um protótipo: a plataforma de gerenciamento Trace.

Voz sobre IP (VoIP) é uma tecnologia que permite a digitalização e a codificação da voz e o empacotamento em pacotes de dados IP para a transmissão em uma rede que utilize o protocolo TCP/IP. Devido ao volume de dados gerados por uma aplicação VoIP, esta tecnologia se encontra em funcionamento, em redes corporativas privadas. Mas se a rede base para o transporte desta aplicação for a Internet, certamente, não deve ser utilizada para fins profissionais, pois o TCP/IP não oferece padrões de QoS (Qualidade de Serviço) comprometendo desta forma a qualidade da voz. A qualidade da voz fica dependente do tráfego de dados existentes no momento da conversa. Para realizar um projeto de VoIP é necessário conhecer todo o tráfego existente na rede e verificar o quanto isto representa em relação à banda total da rede. Também se deve conhecer o tipo de aplicação que se deseja implantar, verificando a banda a ser utilizada por esta, e então projetar como a rede deverá ser estruturada. Para auxiliar no projeto de VoIP, pretende-se mostrar o que está sendo desenvolvido para que o protocolo TCP/IP ofereça QoS e uma ferramenta para análise do tráfego de voz sobre redes TCP/IP e também análises dos resultados obtidos em experimentos simulando diversas situações práticas.

As redes de computadores experimentam um grande crescimento não apenas em tamanho, mas também no número de serviços oferecidos e no número de protocolos de alto nível e aplicações que são executados sobre elas. Boa parte desses software (ex.: ICQ e Napster), em geral, não está diretamente ligada a aplicações críticas, mas o seu uso não controlado pode degradar o desempenho da rede. Para que se possa medir o impacto dos mesmos sobre a infra-estrutura, mecanismos de gerência ligados à contabilização e caracterização de tráfego são desejáveis. Por outro lado, alguns protocolos, serviços e aplicações (ex. servidores DNS e Web) suportam aplicações e precisam ser monitorados e gerenciados com maior atenção. Para essa classe de software de rede, a simples contabilização e caracterização de tráfego não é suficiente; tarefas de gerência como teste de serviços, detecção e manipulação de falhas, medição de desempenho e detecção de intrusão são importantes para garantir alta disponibilidade e eficiência da rede e aplicações. As ferramentas existentes para essa finalidade são, entre aspectos, (a) não integradas (necessidade de uma ferramenta para monitorar cada aplicação), (b) centralizadas (não oferecem suporte à distribuição de tarefas de gerenciamento) e (c) pouco flexíveis (dificuldade em gerenciar novos protocolos, serviços e aplicações). Nesse contexto, a tese propõe uma arquitetura, centrada na monitoração passiva em temporal do tráfego de rede, para gerenciamento distribuído de protocolos de alto nível, serviços e aplicações em rede. Baseada da MIB (Management Information Base) Script do IETF (Internet Engineering Task Force), a arquitetura Trace oferece mecanismos para a delegação de tarefas de gerenciamento a gerentes intermediários, que interagem com agentes de monitoração e agentes de ação para executá-las. A tese propõe também PTSL (Protocol Trace Specification Language), uma linguagem gráfica/textual criada para permitir que gerentes de rede especificam as interações de protocolos (traços) que lhes interessam monitorar. As especificações são usadas pelso gerentes intermediários para programar os agentes de monitoração. Uma vez programadas, esses agentes passam a monitorar a ocorrência dos traços.As informações obtidas são analisadas pelos agentes intermediários, que podem requisitar de ação a execução de procedimentos (ex: scripts Perl), possibilitando a automação de diversas tarefas de gerenciamento. A arquitetura proposta é validada por um protótipo: a plataforma de gerenciamento Trace.

Voz sobre IP (VoIP) é uma tecnologia que permite a digitalização e a codificação da voz e o empacotamento em pacotes de dados IP para a transmissão em uma rede que utilize o protocolo TCP/IP. Devido ao volume de dados gerados por uma aplicação VoIP, esta tecnologia se encontra em funcionamento, em redes corporativas privadas. Mas se a rede base para o transporte desta aplicação for a Internet, certamente, não deve ser utilizada para fins profissionais, pois o TCP/IP não oferece padrões de QoS (Qualidade de Serviço) comprometendo desta forma a qualidade da voz. A qualidade da voz fica dependente do tráfego de dados existentes no momento da conversa. Para realizar um projeto de VoIP é necessário conhecer todo o tráfego existente na rede e verificar o quanto isto representa em relação à banda total da rede. Também se deve conhecer o tipo de aplicação que se deseja implantar, verificando a banda a ser utilizada por esta, e então projetar como a rede deverá ser estruturada. Para auxiliar no projeto de VoIP, pretende-se mostrar o que está sendo desenvolvido para que o protocolo TCP/IP ofereça QoS e uma ferramenta para análise do tráfego de voz sobre redes TCP/IP e também análises dos resultados obtidos em experimentos simulando diversas situações práticas.

Este trabalho propõe a utilização da arquitetura Trace como um sistema de detecção de intrusão. A arquitetura Trace oferece suporte ao gerenciamento de protocolos de alto nível, serviços e aplicações através de uma abordagem baseada na observação passiva de interações de protocolos (traços) no tráfego de rede. Para descrever os cenários a serem monitorados, é utilizada uma linguagem baseada em máquinas de estado. Esta linguagem permite caracterizar aspectos observáveis do tráfego capturado com vistas a sua associação com formas de ataque. O trabalho mostra, através de exemplos, que esta linguagem é adequada para a modelagem de assinaturas de ataques e propõe extensões para permitir a especificação de um número maior de cenários ligados ao gerenciamento de segurançaa. Em seguida, é descrita a implementação do agente de monitoração, componente-chave da arquitetura Trace, e sua utilização para detectar intrusões. Esse agente (a) captura o tráfego da rede, (b) observa a ocorrência dos traços programados e (c) armazena estatísticas sobre a sua ocorrência em uma base de informações de gerenciamento (MIB { Management Information Base). O uso de SNMP permite a recuperação destas informações relativas µa ocorrências dos ataques. A solução apresentada mostrou ser apropriada para resolver duas classes de problemas dos sistemas de detecção de intrusão: o excesso de falsos positivos e a dificuldade em se modelar certos ataques.