Nonparametric change point detection algorithms have been applied in intrusion detection problems and network management. Specifically, applications considering denial of service detection and traffic control are focused in this work. The algorithms studied are inspired by the CUSUM (Cumulative Sum) and SP (Shiryaev-Pollak) parametric procedures. New nonparametric sequential and batch-sequential SP inspired algorithms are introduced and they are compared with existent solutions based on CUSUM procedure in terms of the evolution of the test sequences and the detection threshold using real data containing denial of service attacks with different patterns. The results show that our sequential approach generally has better performance concerning the detection delay and false alarm rate, while our batchsequential approach can decrease the false alarm rate when they are compared to their analogous CUSUM inspired procedures. In terms of traffic control, the Leaky Bucket (LB) algorithm, the most popular traffic regulation mechanism, is proved to be a kind of CUSUM procedure. This new interpretation and the mathematical framework introduced provided a simple compact notation for this algorithm. In addition, it was possible to interpret the Fractal LB (FLB), a traffic regulator developed to deal with self-similar traffic, as a sequential test. A modification in the FLB algorithm is made, resulting in an algorithm with improved performance in terms of number of well-behaved cells marked with lower priority or discarded and punishment of bad-behaved cells. Finally, the self-similarity influence on the nonparametric sequential algorithms under study is analyzed. The consideration of the selfsimilar nature of the traffic plays a crucial role in the performance and thresholds of these algorithms. In this work, it is presented an approach to improve the performance of the nonparametric sequential CUSUM based procedure in the presence of self-similar traffic.

Atualmente, a segurança da informação é um assunto muito discutido e alvo de muitos estudos. É imprescindível o uso de mecanismos de segurança em qualquer tipo de comunicação eletrônica, pois as mensagens trocadas são, muitas vezes, sigilosas e carregam informações valiosas. Com o poder computacional cada vez maior e o aparecimento de algoritmos que ameaçam a segurança de alguns sistemas criptográficos, os pesquisadores estão estudando novas técnicas e métodos para a elaboração de cripto sistemas mais seguros e mais robustos. Uma das teorias mais estudadas atualmente promete fazer parte da próxima geração de cripto sistemas. Essa teoria, conhecida por teoria de curvas elípticas, foi inicialmente proposta por Victor Miller e Neal Koblitz. Um cripto sistema baseado em curvas elípticas é capaz de oferecer segurança comparável a cripto sistemas já consagrados tal como o RSA, porém com chaves muito menores. A teoria de curvas elípticas é bastante extensa e as técnicas envolvidas têm sido estudadas para o desenvolvimento de novos cripto sistemas. Uma dessas técnicas é o emparelhamento bilinear. Recentemente descobriu-se que emparelhamentos poderiam ser usados em cripto sistemas. Desde então, os emparelhamentos têm sido utilizados em aplicações tais como criptografia baseada em identidade e assinaturas curtas. Dentre os emparelhamentos existentes, o de Tate merece destaque por oferecer algumas vantagens, sendo uma delas a facilidade de implementação.

Nos últimos anos, as redes locais cabeadas têm sido estendidas através de redes sem fio. A vantagem desse tipo de rede é que as empresas economizam custo em infra-estrutura e conseguem prover mobilidade e flexibilidade para os usuários. Entretanto as redes sem fio estão sujeitas a ataques devido ao uso de ondas de rádio como meio de transmissão. Apesar do IEEE ter definido o WEP como mecanismo de segurança ele não é suficientemente seguro. Algumas soluções como sistemas de detecção de intrusão são desenvolvidas para mitigar as fraquezas do WEP. Um sistema de detecção de intrusão sem fio é uma ferramenta que captura todas as comunicações locais sem fio e gera alertas baseados em assinaturas pré-definidas ou anomalias no tráfego. Os sistemas existentes de código aberto atualmente são pré-definidos em termos de assinatura ou têm restrições nos tipos de ataques que podem detectar. Neste trabalho é proposto um sistema de detecção de intrusão em tempo real que detecta a presença de elementos não autorizados tais como usuários, pontos de acesso, ferramentas de Wardriving e ataques de negação de serviço.

A preocupação com os requisitos de safety e security de sistemas de controle industriais tem aumentado sensivelmente nos últimos anos. A crescente demanda por sistemas de controle industriais baseados em padrões abertos, a necessidade de integração de dados de processo com ERP's e sistemas corporativos e o acesso remoto aos sistemas de controle trazem consigo maiores requisitos de segurança e, conseqüentemente, torna-se necessário um estudo mais aprofundado de seus riscos e implicações. Assim, verifica-se a necessidade crescente nas grandes empresas de uma forma de avaliar e qualificar o nível de segurança em que se encontram seus sistemas de controle. Neste trabalho é proposto um processo de avaliação de riscos e o estabelecimento de um indicador associado à security em sistemas de controle industriais. Na intenção de validar o processo proposto, foi realizado um estudo de caso em uma unidade de processo industrial, com arquitetura de controle baseado em Sistema Digital de Controle Distribuído (SDCD), sendo consultadas fontes distintas, no sentido de detectar as combinações de vulnerabilidades de security com maior potencial de dano. Os resultados experimentais obtidos confirmam a adequação do processo proposto. O processo de avaliação formulado toma como base as idéias presentes na metodologia COCOTS Risk Analyser e as vulnerabilidades apresentadas no guia do NIST, no intuito de prover um indicador único que reflita o nível de segurança do sistema corrente.

Com o aumento do poder computacional e o surgimento de algoritmos eficientes que compromete a segurança dos sistemas criptográficos faz-se necessário o desenvolvimento de criptossistemas mais robustos e eficientes, assim como bibliotecas que dêem suporte a esses algoritmos. A utilização de curvas elípticas em sistemas criptográficos é uma das alternativas, pois oferece segurança similar ou superior com chaves significativamente menores. O modelo de criptografia de chave pública baseada em identidade é bastante atraente, pois a própria identidade do usuário é utilizada como chave pública, sem a necessidade de gerenciamento da chave pública e certificados digitais. O objetivo deste trabalho é prover todos os recursos/algoritmos necessários à biblioteca Elliptix Lite, a fim de oferecer suporte à implementação de modelos criptográficos de chave pública baseado em identidade. A biblioteca Elliptix Lite foi inicialmente desenvolvida por Barreto (2000) e aprimorada em Paiva (2005). A implementação inicial propõe funcionalidades de curvas elípticas em E(Fp) e sua aritmética, a extensão realizada por Paiva (2005) propões funcionalidades da aritmética de corpos finitos para corpos estendidos em Fpk e o emparelhamento de Tate. Entretanto, os algoritmos implementados na biblioteca, especialmente os desenvolvidos por Paiva (2005) não foram verificados e testados utilizando parâmetros considerados seguros para fins criptográficos. Deste modo, este trabalho propõe testar e implementar novos algoritmos com o objetivo de desenvolver sistemas criptográficos baseado em identidade utilizando a biblioteca Elliptix Lite com parâmetros considerados seguros.

A maioria dos incidentes de segurança nos sistemas computacionais é causada por funcionários ou pessoas ligadas à empresa. A segurança da informação tem focado seus esforços em problemas de redes de computadores e proteção de servidores, onde o perigo é iminente. Seguindo modelos de controle de acesso e suas extensões, pode-se evitar ou detectar muitas vulnerabilidades no sistema de segurança da organização. Esta dissertação procura dar um passo adiante no processo de formalização do modelo de ataques de engenharia social. Dentro desta linha de pesquisa, alguns trabalhos já foram e estão sendo desenvolvidos como por exemplo o trabalho feito por Camilo Peçanha (CAMILO, 2001).

Atualmente, o acesso à Internet em aeronaves é feito basicamente através de satélites geoestacionários. Contudo, as taxas de transmissão em enlaces de satélite geoestacionários são muito penalizadas pelo alto atraso de propagação inerente a este. Técnicas para aceleração da transmissão podem ser empregadas para minimizar este efeito. Neste trabalho é apresentado um proxy para melhoria de desempenho (PEP) operando na camada de transporte (TCP). O PEP TCP, implementado em um ou mais nós intermediários na rede, gera ACKs locais e encaminha os dados para o receptor desconsiderando o tamanho de sua janela de recepção, o que vem a camuflar o atraso de propagação. Além disso, serviços de segurança têm se mostrado cada vez mais necessários e requisitados pelos usuários. Contudo, a implementação do IPsec impossibilita a aceleração da transmissão pelo PEP implementado em um nó intermediário, que necessita ter acesso ao cabeçalho TCP para desempenhar sua função. Apresenta-se então a técnica de proteção de IP multi-camadas (ML-IPsec), que divide o pacote IP em zonas e aplica formas de proteção diferentes a estas zonas, permitindo que certos nós autorizados na rede tenham acesso limitado ao pacote protegido. Uma análise de desempenho é realizada para verificar as vantagens e desvantagens em se implementar as técnicas PEP e ML-IPsec em termos de taxa de transmissão de dados. Mostra-se que o PEP aumenta consideravelmente a vazão de dados, enquanto o ML-IPsec penaliza a vazão ao adicionar dados de cabeçalho. Conclui-se, contudo, que o ganho com o PEP é muito superior às perdas introduzidas pelo ML-IPsec, justificando ter a implementação de serviços de segurança em conjunto com a aceleração da transmissão.

Since the creation of public exploitation frameworks, advanced payloads are used in computer attacks. The attacks generally employ evasion techniques, have anti-forensics capabilities, and use target machines as pivots to reach other machines in the network. The attacks also use polymorphic malicious code that automatically transforms themselves in semantically equivalent variants, which makes them difficult to be detected. The current approaches that try to detect the attacks, fail because they either generate high number of false positives or require high performance capability to work properly. This thesis proposes an architecture for advanced payload detection structured in layers that employ a variant of techniques. The first layers use less computing intensive techniques while the last layers make use of smarter inspection techniques. Fine-grained checks are possible due to the layered approach. For instance, the first layer employs pattern matching while the last layer uses smart network traffic disassembly. In order to improve performance in the detection of forthcoming attacks, the proposed architecture allows the updates of checking rules for more frequently detected attacks. The proposed architecture addresses the high rate false-positives problem using a confidence level updated accordingly to the threat level observed by each layer. We implemented the architecture using real-life workloads and conventional hardware platforms with acceptable throughput. We also contribute with the creation of the well-known Return Address layer optimizing the instruction emulation.

Mobilidade implica que um usuário tem acesso a qualquer serviço em qualquer tempo e local sem qualquer interrupção da sua conexão. Este conceito vem sendo usado freqüentemente na Internet. MobileIP é um dos protocolos usados para alcançar este propósito. Este trabalho enfoca um dos problemas relacionados com esta tecnologia, que é a autenticação do nó móvel com sua Home Network ou Home Agent. Para isso, são propostos dois protocolos de autenticação de usuário que permitem um nó móvel se autenticar com sua própria rede. Estas propostas foram necessárias pois a maioria dos protocolos não foram previstos para funcionar na camada de aplicativos, mas sim em outras camadas OSI, como Sessão e de Enlace. Além disso, análises de segurança são feitas usando um método formal denominado lógica BAN. Questões de desempenho são também consideradas, através de uma comparação qualitativa dos tempos de transmissão e geração de mensagens entre esses protocolos, a fim de proporcionar suas implementações em ambientes sem fio.

RBAC (Role Based Access Control) é uma tecnologia para controle de acesso que se encontra em plena evolução. Em RBAC, permissões são atribuídas a papéis existentes em uma organização, e usuários recebem essas permissões quando são atribuídos a esses papéis. Qualquer modelo de RBAC possui, na sua essência, quatro componentes: usuários, papéis, permissões e suas relações. Na comunidade de RBAC não existe um consenso sobre o conceito de papel, seja por acadêmicos ou quando adotado em produtos comerciais. Este trabalho consiste no desenvolvimento de uma abordagem para o estudo e compreensão da segurança de sistemas de computação em organizações, tendo como base a pesquisa em RBAC. É apresentada uma abordagem que contempla somente o aspecto de controle de acesso em segurança de sistemas de computação. Foi desenvolvido um modelo de controle de acesso baseado em RBAC denominado FTQL (Funções, Tarefas e Qualificações). O modelo apresenta dois conceitos novos: Tarefas e Qualificações. O conceito de qualificação é adotado para relacionar um usuário a uma função. O mesmo ocorre com o conceito de tarefa que é utilizado para relacionar uma função a uma permissão. Estes conceitos possibilitam o estudo do controle de acesso em organizações sem a necessidade de se definir formalmente o conceito de papéis.