A evolução da tecnologia da informação popularizou o uso de sistemas computacionais para a automação de tarefas operacionais. As tarefas de implantação e manutenção desses sistemas computacionais, por outro lado, não acompanharam essa tendência de forma ágil, tendo sido, por anos, efetuadas de forma manual, implicando alto custo, baixa produtividade e pouca qualidade de serviço. A fim de preencher essa lacuna foi proposta uma iniciativa denominada Computação Autônoma, a qual visa prover capacidade de autogerenciamento a sistemas computacionais. Dentre os aspectos necessários para a construção de um sistema autônomo está a detecção de intrusão, responsável por monitorar o funcionamento e fluxos de dados de sistemas em busca de indícios de operações maliciosas. Dado esse contexto, este trabalho apresenta um sistema autônomo de detecção de intrusões em aplicações Web, baseado em técnicas de aprendizado de máquina com complexidade computacional próxima de linear. Esse sistema utiliza técnicas de agrupamento de dados e de detecção de novidades para caracterizar o comportamento normal de uma aplicação, buscando posteriormente por anomalias no funcionamento das aplicações. Observou-se que a técnica é capaz de detectar ataques com maior autonomia e menor dependência sobre contextos específicos em relação a trabalhos anteriores / The use of computers to automatically perform operational tasks is commonplace, thanks to the information technology evolution. The maintenance of computer systems, on the other hand, is commonly performed manually, resulting in high costs, low productivity and low quality of service. The Autonomous Computing initiative aims to approach this limitation, through selfmanagement of computer systems. In order to assemble a fully autonomous system, an intrusion detection application is needed to monitor the behavior and data flows on applications. Considering this context, an autonomous Web intrusion detection system is proposed, based on machine-learning techniques with near-linear computational complexity. This system is based on clustering and novelty detection techniques, characterizing an application behavior, to later pinpoint anomalies in live applications. By conducting experiments, we observed that this new approach is capable of detecting anomalies with less dependency on specific contexts than previous solutions

A evolução da tecnologia da informação popularizou o uso de sistemas computacionais para a automação de tarefas operacionais. As tarefas de implantação e manutenção desses sistemas computacionais, por outro lado, não acompanharam essa tendência de forma ágil, tendo sido, por anos, efetuadas de forma manual, implicando alto custo, baixa produtividade e pouca qualidade de serviço. A fim de preencher essa lacuna foi proposta uma iniciativa denominada Computação Autônoma, a qual visa prover capacidade de autogerenciamento a sistemas computacionais. Dentre os aspectos necessários para a construção de um sistema autônomo está a detecção de intrusão, responsável por monitorar o funcionamento e fluxos de dados de sistemas em busca de indícios de operações maliciosas. Dado esse contexto, este trabalho apresenta um sistema autônomo de detecção de intrusões em aplicações Web, baseado em técnicas de aprendizado de máquina com complexidade computacional próxima de linear. Esse sistema utiliza técnicas de agrupamento de dados e de detecção de novidades para caracterizar o comportamento normal de uma aplicação, buscando posteriormente por anomalias no funcionamento das aplicações. Observou-se que a técnica é capaz de detectar ataques com maior autonomia e menor dependência sobre contextos específicos em relação a trabalhos anteriores / The use of computers to automatically perform operational tasks is commonplace, thanks to the information technology evolution. The maintenance of computer systems, on the other hand, is commonly performed manually, resulting in high costs, low productivity and low quality of service. The Autonomous Computing initiative aims to approach this limitation, through selfmanagement of computer systems. In order to assemble a fully autonomous system, an intrusion detection application is needed to monitor the behavior and data flows on applications. Considering this context, an autonomous Web intrusion detection system is proposed, based on machine-learning techniques with near-linear computational complexity. This system is based on clustering and novelty detection techniques, characterizing an application behavior, to later pinpoint anomalies in live applications. By conducting experiments, we observed that this new approach is capable of detecting anomalies with less dependency on specific contexts than previous solutions

Made available in DSpace on 2016-04-01T17:55:13Z (GMT). No. of bitstreams: 0 Previous issue date: 2015-07-31. Added 1 bitstream(s) on 2016-04-01T18:01:09Z : No. of bitstreams: 1 000859947.pdf: 5654318 bytes, checksum: 5931f4a187cdb085ea82ccd0414a4428 (MD5) / Nos últimos anos, diversas características biométricas têm sido propostas para a identificação de pessoas, dentre as quais destacam-se a face, a íris, a retina, a geometria da mão. Entretanto, a impressão digital ainda é a característica mais utilizada, tanto em aplicações comerciais quanto governamentais. Dentre as principais aplicações que utilizam impressões digitais podemos citar a identificação de eleitores por meio de urnas eletrônicas biométricas, o controle de fronteiras e imigração por meio dos passaportes, o acesso aos serviços bancários por meio de caixas bancários eletrônicos biométricos, entre outros. Com o aumento da utilização destes sistemas, as tentativas de ataque também aumentam. Dentre os tipos de ataques que um sistema biométrico baseado em impressões digitais pode sofrer, a apresentação de um dedo falso ao sensor é a técnica mais utilizada por pessoas mal intencionadas. Este trabalho tem como objetivo propor um método robusto para detecção de impressões digitais falsas, por meio da incorporação de informações dos poros sudoríparos. O método proposto foi avaliado utilizando-se uma base de dados própria denominada UNESP Fingerprint Spoof Database (UNESP-FSDB). A análise considerou alguns fatores que podem influenciar na detecção de impressões digitais falsas, tais como: (i) resolução da imagem da impressão digital; (ii) utilização de características de terceiro nível (poros); (iii) pressão do dedo sobre a superfície do sensor; (iv) tempo de aquisição da imagem da impressão digital; (v) umidade presente no dedo no momento da captura da impressão digital. Os resultados dos experimentos realizados mostraram que: (i) a utilização de informações de poros pode aumentar a acurácia em até 9%; (ii) a aplicação de uma maior pressão contra o sensor no momento da captura melhora a performance; (iii) a umidade presente no dedo influencia na qualidade da imagem e... / In recent years, many biometrics traits have been proposed to biometric identification of people, among which stand out the face, iris, retina, hand geometry. However, fingerprint is still the most used feature in both commercial and government applications. The main applications we can mention are the identification of voters through electronic voting machines, border control and immigration through passports, access to banking services through biometric Automated Teller Machine (ATM), among others. With the increased use of these systems, attempts to attack also increase. Among the types of attacks that a biometric system based on fingerprint may suffer, presenting a false finger to the sensor is the most used technique by malicious people. This work aims to propose a robust method to detect fake fingerprints by incorporating information from the sweat pores. The proposed method was assessed on own database named UNESP Fingerprint Spoof Database (UNESP-FSDB), the analysis considered some factors that may influence method performance as: (i) fingerprint image resolution ; (ii) use of third-level characteristics (pores); (iii) finger pressure on the sensor surface; (iv) fingerprint image acquisition time; (v) finger moisture present in the moment of capture fingerprint. The results of the experiments showed that: (i) incorporating information of pores can increase the accuracy up to 9%; (ii) using increased pressure at the time of capture improves the performance; (iii) the moisture present in the finger can influence the image quality and accuracy of the proposed method

Neste trabalho é proposto um método de interrogação de fibra óptica com arquitetura reduzida, que pode ser empregado em sistemas distribuídos de detecção de intrusão de médias e longas distâncias, como para proteção de perímetros, divisas, faixa de dutos, plantas industriais, ou outras instalações, usando uma fibra óptica comum como elemento sensor. O método é baseado na técnica Brillouin Optical Time Domain Analysis (BOTDA), porém dispensando-se a varredura sequencial com diferentes frequências, o que simplifica o sistema, reduz custos e melhora o tempo de resposta. O trabalho consiste de uma abordagem geral sobre o tema, sendo apresentada a teoria básica dos fenômenos de espalhamento não linear em fibras ópticas, o detalhamento do método de interrogação proposto e a descrição dos experimentos realizados em laboratório, seguida de uma analise e comentários quanto ao desempenho alcançado, bem como de algumas de sugestões para melhor explorar o potencial do método. / In this research work is proposed an optic fiber interrogation method with reduced architecture, that can be applied in distributed intrusion detection systems of medium and long distances, such as for the protection of pipeline\'s right of way, perimeters, boundaries, industrial plants or others installations, using a standard optic fiber as a sensor. The proposed method is based on a Brillouin Time Domain Analysis (BOTDA), however dispensing the sequential frequency sweeping, what simplifies the system, reduce its costs and improve the response time. The work comprehends a general discussion of the subject, being presented the basic theory of the nonlinear scattering phenomena in optic fibers, the description of the proposed interrogation method and the conducted in lab experiments, followed by an analysis and comments on the achieved performance, as well as a few suggestions to better explore the potential of the method.

Nonparametric change point detection algorithms have been applied in intrusion detection problems and network management. Specifically, applications considering denial of service detection and traffic control are focused in this work. The algorithms studied are inspired by the CUSUM (Cumulative Sum) and SP (Shiryaev-Pollak) parametric procedures. New nonparametric sequential and batch-sequential SP inspired algorithms are introduced and they are compared with existent solutions based on CUSUM procedure in terms of the evolution of the test sequences and the detection threshold using real data containing denial of service attacks with different patterns. The results show that our sequential approach generally has better performance concerning the detection delay and false alarm rate, while our batchsequential approach can decrease the false alarm rate when they are compared to their analogous CUSUM inspired procedures. In terms of traffic control, the Leaky Bucket (LB) algorithm, the most popular traffic regulation mechanism, is proved to be a kind of CUSUM procedure. This new interpretation and the mathematical framework introduced provided a simple compact notation for this algorithm. In addition, it was possible to interpret the Fractal LB (FLB), a traffic regulator developed to deal with self-similar traffic, as a sequential test. A modification in the FLB algorithm is made, resulting in an algorithm with improved performance in terms of number of well-behaved cells marked with lower priority or discarded and punishment of bad-behaved cells. Finally, the self-similarity influence on the nonparametric sequential algorithms under study is analyzed. The consideration of the selfsimilar nature of the traffic plays a crucial role in the performance and thresholds of these algorithms. In this work, it is presented an approach to improve the performance of the nonparametric sequential CUSUM based procedure in the presence of self-similar traffic.

Nos últimos anos, as redes locais cabeadas têm sido estendidas através de redes sem fio. A vantagem desse tipo de rede é que as empresas economizam custo em infra-estrutura e conseguem prover mobilidade e flexibilidade para os usuários. Entretanto as redes sem fio estão sujeitas a ataques devido ao uso de ondas de rádio como meio de transmissão. Apesar do IEEE ter definido o WEP como mecanismo de segurança ele não é suficientemente seguro. Algumas soluções como sistemas de detecção de intrusão são desenvolvidas para mitigar as fraquezas do WEP. Um sistema de detecção de intrusão sem fio é uma ferramenta que captura todas as comunicações locais sem fio e gera alertas baseados em assinaturas pré-definidas ou anomalias no tráfego. Os sistemas existentes de código aberto atualmente são pré-definidos em termos de assinatura ou têm restrições nos tipos de ataques que podem detectar. Neste trabalho é proposto um sistema de detecção de intrusão em tempo real que detecta a presença de elementos não autorizados tais como usuários, pontos de acesso, ferramentas de Wardriving e ataques de negação de serviço.

São inegáveis os benefícios proporcionados pelo uso dos computadores e suas redes conectadas a Internet. Com o crescimento significativo dos sistemas computacionais em rede, principalmente os conectados à Internet, é possível constatar pelo portal do Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil - CERT. BR, um crescimento exponencial nos incidentes de segurança nos últimos 10 anos. Com o crescimento dos incidentes de segurança têm-se observado que a maioria deles ocorre no sistema operacional Windows, líder mundial em desktop e o segundo na venda de servidores para a Internet. Desta forma, significativas pesquisas na área de detecção de intrusão em host estão sendo realizadas em centros de pesquisa. A proposta desta dissertação é apresentar um Método para a Realização de Medidas em computador que permita distinguir o comportamento de um computador em atividade normal de outro com problemas com infecção ou intrusão. O método, derivado da análise dinâmica de malware, foi concebido em fases representativas do funcionamento de um computador: fase inicial, fase de instalação, fase de conexão de rede, fase de operação e, por fim, fase de infecção. Assim, todas as fases tiveram o seu comportamento medido e os logs foram tratados pelo processo de mineração de dados. O método é empregado, com sucesso, conjuntamente com os algoritmos ADTree e Naive Bayes na fase de experimentação, os quais se mostraram eficientes na detecção de intrusão em host com o sistema operacional Windows.

Since the creation of public exploitation frameworks, advanced payloads are used in computer attacks. The attacks generally employ evasion techniques, have anti-forensics capabilities, and use target machines as pivots to reach other machines in the network. The attacks also use polymorphic malicious code that automatically transforms themselves in semantically equivalent variants, which makes them difficult to be detected. The current approaches that try to detect the attacks, fail because they either generate high number of false positives or require high performance capability to work properly. This thesis proposes an architecture for advanced payload detection structured in layers that employ a variant of techniques. The first layers use less computing intensive techniques while the last layers make use of smarter inspection techniques. Fine-grained checks are possible due to the layered approach. For instance, the first layer employs pattern matching while the last layer uses smart network traffic disassembly. In order to improve performance in the detection of forthcoming attacks, the proposed architecture allows the updates of checking rules for more frequently detected attacks. The proposed architecture addresses the high rate false-positives problem using a confidence level updated accordingly to the threat level observed by each layer. We implemented the architecture using real-life workloads and conventional hardware platforms with acceptable throughput. We also contribute with the creation of the well-known Return Address layer optimizing the instruction emulation.

O objetivo principal do presente trabalho é apresentar uma proposta que permita a combinação entre uma solução de captura de pacotes já existente e não muito flexível (sniffer) e o conceito de agentes móveis para aplicação em redes segmentadas. Essa pesquisa possui como foco principal a aplicação da técnica captura de pacotes em SDIs network based, utilizando para isso o modelo desenvolvido no ICMC (Cansian, 1997) e posteriormente adequado ao ambiente de agentes móveis (Bernardes, 1999). Assim sendo, foi especificada a camada base do ambiente desenvolvido em (Bernardes, 1999) visando as interações entre seus agentes e o agente de captura de pacotes. / The main objective of the current work is to present a proposal that allows the combination between an existent and not so flexible packet capture solution (sniffer) and the concept of mobile agents for application in switched networks. This research focuses the application of the packet capture technique in IDSs network-based, using for this purpose the model developed at ICMC (Cansian, 1997) and later adjusted to the mobile agents environment (Bernardes, 1999). Therefore, the base layer of the developed environment (Bernardes, 1999} was specified focusing the interactions between its agents and the packet capture agent.

Em decorrência do aumento do número de ataques de origem interna, a utilização de mecanismos de proteção, como o firewall, deve ser ampliada. Visto que este tipo de ataque, ocasionado pelos usuários internos ao sistema, não permite a localização imediata, torna-se necessário o uso integrado de diversas tecnologias para aumentar a capacidade de defesa de um sistema. Desta forma, a introdução de agentes móveis em apoio a segurança computacional apresenta-se como uma solução natural, uma vez que permitirá a distribuição de tarefas de monitoramento do sistema e automatização do processo de tomada de decisão, no caso de ausência do administrador humano. Este trabalho apresenta uma avaliação do uso do mecanismo de agentes móveis para acrescentar características de mobilidade ao processo de monitoração de intrusão em sistemas computacionais. Uma abordagem modular é proposta, onde agentes pequenos e independentes monitoram o sistema. Esta abordagem apresenta significantes vantagens em termos de overhead, escalabilidade e flexibilidade. / The use of protection mechanisms must be improved due the increase of attacks from internal sources. As this kind of attack, made by internal users do not allow its immediate localization, it is necessary the integrated use of several technologies to enhance the defense capabilities of a system. Therefore, the introduction of mobile agents to provide security appears to be a natural solution. It will allow the distribution of the system monitoring tasks and automate the decision making process, in the absence of a human administrator. This project presents an evaluation of the use of mobile agents to add mobile capabilities to the process of intrusion detection in computer systems. A finer-grained approach is proposed, where small and independent agents monitor the system. This approach has significant advantages in terms of overhead, scalability and flexibility.