[pt] A dissertação discute a relação entre as identidades, a construção social de gênero e a perpetração da violência no contexto dos genocídios. O objetivo central é apontar como ocorre a inserção das violências contra o gênero nessas dinâmicas, tendo como foco os crimes atualmente perpetrados em Darfur (Sudão). Argumenta-se que a construção social de gênero atua constitutivamente nos padrões de atuação do perpetrador durante os genocídios, informando suas percepções e condutas. A pesquisa evidencia, portanto, como os genocidas constroem a imagem do inimigo, que se soma aos papéis e expectativas baseados em construções de gênero, para autorizar diferentes padrões de perpetração como a violência sexual e os massacres seletivos. Nesse sentido, são relevantes as contribuições da literatura de gênero e genocídio de autores como Adam Jones e Charli Carpenter. Ao apontar como o genocídio depende da construção de uma alteridade radical, o trabalho também utiliza o arcabouço teórico proporcionado pelos trabalhos de Lene Hansen e David Campbell para contemplar a mudança nas identidades e a autorização da violência de acordo com o contexto político. A partir disso, é analisado como as identidades de gênero se articulam com a identidade do outro durante os genocídios. Em suma, a pesquisa destaca a necessidade de analisar o uso da violência contra o gênero nas dinâmicas de genocídio de maneira mais abrangente do que a realizada pela(s) teoria(s) feminista(s), revelando como o gênero pode representar um fator de insegurança tanto para mulheres quanto para homens nesses cenários. / [en] The dissertation discusses the relationship between identities, the social construction of gender and the perpetration of violence in cases of genocides. The main purpose is to comprehend how gender-based violence (GBV) occurs in these dynamics, focusing on the crimes currently perpetrated in Darfur (Sudan). It is argued that the social construction of gender interacts with the perpetrator’s perception and actions by constituting different patterns of violence in genocidal warfare. Therefore, the research shows how different patterns of GBV (such as sexual violence and sex-selective massacres) are authorized as a result of the interaction between the image of groups considered as enemies and the existing gendered roles and expectations. In that sense, the academic contributions of the literature on gender and genocide developed by authors such as Adam Jones and Charli Carpenter are crucial for this work. Since the occurrence of genocide is based on the construction of a radical alterity, the research also benefits from the theoretical work of Lene Hansen and David Campbell. These contributions allow us to contemplate the change in identities and the authorization of violence in specific political contexts. Based on the above-mentioned theoretical reflections, this dissertation will analyze how gendered identities are articulated with the identity of the other during episodes of genocide. In sum, the present work emphasizes the need to assess the occurrence of GBV by overcoming the blind spots in feminist theories in order to acknowledge how gender constructions can represent a threat to both women and men in these scenarios.

A maioria das organizações depende atualmente de algum tipo de infraestrutura computacional para suportar as atividades críticas para o negócio. Esta dependência cresce com o aumento da capacidade dos sistemas informáticos e da confiança que se pode depositar nesses sistemas, ao mesmo tempo que aumenta também o seu tamanho e complexidade. Os sistemas transacionais, tipicamente centrados em bases de dados utilizadas para armazenar e gerir a informação de suporte às tarefas diárias, sofrem naturalmente deste mesmo problema. Assim, uma solução frequentemente utilizada para amenizar a dificuldade em lidar com a complexidade dos sistemas passa por delegar sob outras organizações o trabalho de desenvolvimento, ou mesmo por utilizar soluções já disponíveis no mercado (sejam elas proprietárias ou abertas). A diversidade de software e componentes alternativos disponíveis atualmente torna necessária a existência de testes padronizados que ajudem na seleção da opção mais adequada entre as alternativas existentes, considerando uma conjunto de diferentes características. No entanto, o sucesso da investigação em testes padronizados de desempenho e confiabilidade contrasta radicalmente com os avanços em testes padronizados de segurança, os quais têm sido pouco investigados, apesar da sua extrema relevância. Esta tese discute o problema da definição de testes padronizados de segurança, comparando-o com outras iniciativas de sucesso, como a definição de testes padronizados de desempenho e de confiabilidade. Com base nesta análise é proposta um modelo de base para a definição de testes padronizados de segurança. Este modelo, aplicável de forma genérica a diversos tipos de sistemas e domínios, define duas etapas principais: qualificação de segurança e teste padronizado de confiança. A qualificação de segurança é um processo que permite avaliar um sistema tendo em conta os aspectos e requisitos de segurança mais evidentes num determinado domínio de aplicação, dividindo os sistemas avaliados entre aceitáveis e não aceitáveis. O teste padronizado de confiança, por outro lado, consiste em avaliar os sistemas considerados aceitáveis de modo a estimar a probabilidade de existirem problemas de segurança ocultados ou difíceis de detectar (o objetivo do processo é lidar com as incertezas inerentes aos aspectos de segurança). O modelo proposto é demonstrado e avaliado no contexto de sistemas transacionais, os quais podem ser divididos em duas partes: a infraestrutura e as aplicações de negócio. Uma vez que cada uma destas partes possui objetivos de segurança distintos, o modelo é utilizado no desenvolvimento de metodologias adequadas para cada uma delas. Primeiro, a tese apresenta um teste padronizado de segurança para infraestruturas de sistemas transacionais, descrevendo e justificando todos os passos e decisões tomadas ao longo do seu desenvolvimento. Este teste foi aplicado a quatro infraestruturas reais, sendo os resultados obtidos cuidadosamente apresentados e analisados. Ainda no contexto das infraestruturas de sistemas transacionais, a tese discute o problema da seleção de componentes de software. Este é um problema complexo uma vez que a avaliação de segurança destas infraestruturas não é exequível antes da sua entrada em funcionamento. A ferramenta proposta, que tem por objetivo ajudar na seleção do software básico para suportar este tipo de infraestrutura, é aplicada na avaliação e análise de sete pacotes de software distintos, todos alternativas tipicamente utilizadas em infraestruturas reais. Finalmente, a tese aborda o problema do desenvolvimento de testes padronizados de confiança para aplicações de negócio, focando especificamente em aplicações Web. Primeiro, é proposta uma abordagem baseada no uso de ferramentas de análise de código, sendo apresentadas as diversas experiências realizadas para avaliar a validade da proposta, incluindo um cenário representativo de situações reais, em que o objetivo passa por selecionar o mais seguro de entre sete alternativas de software para suportar fóruns Web. Com base nas análises realizadas e nas limitações desta proposta, é de seguida definida uma abordagem genérica para a definição de testes padronizados de confiança para aplicações Web. / Most organizations nowadays depend on some kind of computer infrastructure to manage business critical activities. This dependence grows as computer systems become more reliable and useful, but so does the complexity and size of systems. Transactional systems, which are database-centered applications used by most organizations to support daily tasks, are no exception. A typical solution to cope with systems complexity is to delegate the software development task, and to use existing solutions independently developed and maintained (either proprietary or open source). The multiplicity of software and component alternatives available has boosted the interest in suitable benchmarks, able to assist in the selection of the best candidate solutions, concerning several attributes. However, the huge success of performance and dependability benchmarking markedly contrasts with the small advances on security benchmarking, which has only sparsely been studied in the past. his thesis discusses the security benchmarking problem and main characteristics, particularly comparing these with other successful benchmarking initiatives, like performance and dependability benchmarking. Based on this analysis, a general framework for security benchmarking is proposed. This framework, suitable for most types of software systems and application domains, includes two main phases: security qualification and trustworthiness benchmarking. Security qualification is a process designed to evaluate the most obvious and identifiable security aspects of the system, dividing the evaluated targets in acceptable or unacceptable, given the specific security requirements of the application domain. Trustworthiness benchmarking, on the other hand, consists of an evaluation process that is applied over the qualified targets to estimate the probability of the existence of hidden or hard to detect security issues in a system (the main goal is to cope with the uncertainties related to security aspects). The framework is thoroughly demonstrated and evaluated in the context of transactional systems, which can be divided in two parts: the infrastructure and the business applications. As these parts have significantly different security goals, the framework is used to develop methodologies and approaches that fit their specific characteristics. First, the thesis proposes a security benchmark for transactional systems infrastructures and describes, discusses and justifies all the steps of the process. The benchmark is applied to four distinct real infrastructures, and the results of the assessment are thoroughly analyzed. Still in the context of transactional systems infrastructures, the thesis also addresses the problem of the selecting software components. This is complex as evaluating the security of an infrastructure cannot be done before deployment. The proposed tool, aimed at helping in the selection of basic software packages to support the infrastructure, is used to evaluate seven different software packages, representative alternatives for the deployment of real infrastructures. Finally, the thesis discusses the problem of designing trustworthiness benchmarks for business applications, focusing specifically on the case of web applications. First, a benchmarking approach based on static code analysis tools is proposed. Several experiments are presented to evaluate the effectiveness of the proposed metrics, including a representative experiment where the challenge was the selection of the most secure application among a set of seven web forums. Based on the analysis of the limitations of such approach, a generic approach for the definition of trustworthiness benchmarks for web applications is defined.

Critical networked services established between service provider and customers are expected to operate respecting Service Level Agreements (SLAs). An interesting possibility to monitor such SLAs is using active measurement mechanisms. However, these mechanisms are expensive in terms of network devices resource consumption and also increase the network load because of the injected traffic. In addition, if the number of SLA violations in a given time is higher than the number of available measurement sessions (common place in large and complex network infrastructures), certainly some violations will be missed. The current best practice, the observation of just a subset of network destinations driven by human administrators expertise, is error prone, does not scale well, and is ineffective on dynamic network conditions. This practice can lead to SLA violations being missed, which invariably affect the performance of several applications. In the present thesis, we advocated the use of Peer-to-Peer (P2P) technology to improve the detection of SLA violations. Such use is described using principles to control active measurement mechanisms. These principles are accomplished through strategies to activate measurement sessions. In this context, the major contributions of this thesis are: i) An approach to improve the detection of SLA violations through the steering of the activation of active measurement sessions using local and remote past service level measurement results and resource utilization constraints; ii) The concept of destination rank as an approach to autonomically prioritize destinations for the activation of active measurement sessions using destination scores; iii) The concept of correlated peers to enable the autonomic provisioning of a P2P measurement overlay for the exchange of relevant active measurement results; iv) The concept of virtual measurement sessions to enable the sharing of measurement results among correlated peers in order to save network devices resources and to improve SLA monitoring coverage; v) The definition of decentralized strategies to steer the activation of active measurement sessions using P2P principles. The method used on the investigation started with the execution of literature reviews on the networkwide control of measurement mechanisms and the employment of P2P technology on network management. After that, the proposed principles to control active measurement mechanisms and the strategies to activate measurement sessions were described. Finally, experiments were performed to evaluate the performance as well as to highlight properties of such principles and strategies. The findings showed properties which improve the detection of SLA violations in terms of the number of detected violations and the adaptivity to network dynamics. We expect that such findings can lead to better SLA monitoring tools and methods.

Este trabalho investiga diferentes estratégias e técnicas de autenticação de usuários visando determinar quais podem ser integradas em um ambiente de educação a distância. Diversas soluções de autenticação existentes no mercado foram analisadas para se determinar as mais adequadas. Buscou-se as soluções consideradas factíveis de utilização, seja pelo custo ou quantidade de equipamentos extras envolvidos, seja pela simplicidade operacional ou pelo grau de certeza das medidas efetuadas. A partir desta análise foi delineado um modelo de autenticação que integra várias técnicas de autenticação a fim de chegar a um nível de segurança maior que senhas, utilizadas na maioria dos sistemas de educação a distância. 0 sistema funciona como um proxy, cuja função é controlar o acesso a páginas Web através da combinação de senhas, perguntas randômicas, dispositivos biométricos e checagem randômica, ao mesmo tempo que gera logs da atividade do aluno no curso. Estes logs conterão informações como dia e hora do acesso, tempo dispendido em cada página, endereço IP da máquina do aluno, entre outras. Estas informações podem ser utilizadas tanto para avaliar o aluno, como para gerar seu perfil estatístico, que servirá para gerar alertas na medida em que os dados do perfil sofrerem mudanças acima dos limites estabelecidos, durante a atividade do aluno. Um protótipo do sistema foi implementado para validar a solução delineada ao longo do trabalho. A integração dos métodos de autenticação, que identificam o aluno e a máquina em que ele está trabalhando, com as rotinas de avaliação do procedimento de educação a distância, foi um dos principais resultados alcançados. / This work investigates different strategies and techniques of user authentication in order to determine which ones may be integrated in a distance learning environment. Several authentication solutions available on the market are analyzed in order to find the most appropriate. The criteria used to determine the best solutions involve cost or amount of equipments involved, operational simplicity, and degree of confidence or results obtained. Based on this analysis, an authentication model that integrates several authentication techniques is delineated in order to obtain greater security than those used in most distance learning systems, based only on passwords. This system works like a proxy whose function is to control access to Web pages through the combination of passwords, random queries, biometric devices and random checks, at the same time that it generates logs of student's activity during a course. These logs contain information about day and hour of access, time spent on each page, IP address of the student's machine and so on. This information can be used both to evaluate the student and to generate his/her statistical profile. This profile is used to give an alarm when the data of the profile undergo changes above the established limits, during the student's activity. A prototype of the system has been implemented to validate the solution designed. The integration of the authentication methods, which identifies both the student and the machine where he/she is working, with the evaluation routines of the distance learning procedure, is one of the main reached results.

As empresas militares e de segurança privadas (EMSPs) deixam de atuar apenas para Estados e outras corporações, e expandem as suas atividades para o contexto de paz da ONU. A organização busca as EMSPs para melhor atender aos desafios apresentados nos contextos cada vez mais instáveis nos quais as suas operações de paz se desenvolvem. Considerando esse contexto, a dissertação proposta possui como escopo a busca por respostas ao seguinte problema de pesquisa: tendo em vista a crescente tendência na privatização dos serviços de segurança em operações de paz da ONU, de que forma as EMSPs atuam nesse cenário? A partir disso, existe algum meio pelo qual a ONU pode responder por eventuais ilícitos cometidos pelas EMSPs? Para responder a estes problemas, o método de abordagem adotado foi o hipotético-dedutivo. A atuação das EMSPs no âmbito da ONU se dá por meio da provisão de atividades de segurança, além de serviços de inteligência, de treinamento, de desminagem, entre outros. O engajamento entre a ONU e as EMSPs pode ocorrer de duas formas diversas. No primeiro caso, haverá a contratação diretamente pela organização e, no segundo, haverá a contratação da EMSP por um Estado-membro da ONU, o qual disponibilizará tropas para que atuem nas operações de paz. Esse cenário gera preocupações referentes ao potencial risco de impactos negativos que as EMSPs pode ter sobre a imagem da organização, uma vez que referidas empresas possuem um histórico de violações aos direitos humanos. Com isso, deve-se verificar se a ONU pode responder pelas EMSPs que perpetrem atos ilícitos no cenário de suas missões de paz. Para isso, parte-se da atribuição da conduta ilícita à organização, que ocorrerá conforme a forma de engajamento. Quando houver a contratação direta, a ONU não considera as EMSPs agentes e não assume a responsabilidade. Quando há a disponibilização de EMSPs como parte de tropas estatais, elas serão tratadas de forma análoga às tropas regulares e a ONU assume a responsabilidade. A reparação de danos causados a terceiros em decorrência de violações será feita pela organização, observados certos limites. Assim, em muitos casos as vítimas terão seu acesso à justiça frustrados em função das imunidades das quais a ONU goza. Não obstante a falta de previsões das quais decorra a responsabilidade da ONU no caso de violações cometidas por EMSPs, verifica-se que a estrutura normativa internacional não endereça essa questão, e refere, comumente, a relação entre Estados e EMSPs. Isso seria sanado por meio da elaboração de um documento vinculante a todos os atores que atuam nesse contexto, o que exige esforços de toda a comunidade internacional e, por isso, apresenta-se como um grande desafio. / Private military and security companies (PMSCs) cease to act only for states and other corporations, and expand their activities into the UN peace operations context. The organization seeks PMSCs to better address the challenges posed in the increasingly unstable contexts in which its peace operations develop. Considering this context, the proposed dissertation has as its goal the search for answers to the following research problem: in view of the growing tendency in the privatization of security services in UN peace operations, in what way do PMSCs act in this scenario? From this, is there any means by which the UN can respond for any wrongdoing committed by the PMSCs? To respond to these problems, the approach method adopted was the hypothetico-deductive. The activities of the PMSCs within the scope of the UN are provided through the provision of security activities, as well as intelligence, training, demining services, among others. Engagement between the UN and PMSCs can occur in two different ways. In the first case, the PMSC will be hired directly by the organization, and in the second a UN member-State will hire the PMSC and make it available as its troops to work in UN peace operations. This scenario raises concerns about the potential risk of negative impacts that PMSCs may have on the organization's image, since these companies have a history of human rights violations. With this, it must be verified if the UN can be responsible for the PMSCs that perpetrate illicit acts in the context of its peace operations. Therefore, it starts from the attribution of the unlawful conduct to the organization, which will occur according to the form of engagement. When there is direct hiring, the UN does not consider the PMSCs its agents and does not assume responsibility. When PMSCs are made available as part of state troops, they will be treated in the same way as regular troops and the UN takes responsibility. The reparation of harm caused to third parties as a result of violations will be made by the organization, subject to certain limits. Thus, in many cases the victims will have their access to justice frustrated by the immunities enjoyed by the UN. Notwithstanding the lack of predictions of UN responsibility in the case of violations committed by PMSCs, it is clear that the international normative framework does not address this issue, and commonly refers to the relationship between States and PMSCs. This would be remedied through the drafting of a binding document on all actors working in this context, which calls for the efforts of the entire international community and therefore presents itself as a major challenge.

Medidas para gerenciamento de saúde e segurança em laboratórios são de extrema importância em laboratórios químicos. As pessoas que realizam qualquer atividade em um ambiente de laboratório estão expostas a diversos perigos e, consequentemente, existe o risco de ocorrência de eventos adversos para a saúde e segurança. Este trabalho foi desenvolvido em um laboratório químico de uma universidade federal tem como principal objetivo o aperfeiçoamento de uma framework que permite a realização de uma análise sistemática qualitativa e quantitativa das folgas presentes em um sistema sócio-técnico complexo. Ferramentas da Engenharia de Resiliência foram utilizadas para estudar o laboratório, o qual foi considerado como um sistema sócio-técnico complexo. Uma das características de um sistema resiliente é a capacidade de lidar com a variabilidade, o que pode ser obtido por meio de recursos de folgas (slack) no sistema. O uso da framework permitiu obter dados importantes para a análise do sistema e sugestões de melhorias. Os aperfeiçoamentos propostos na framework mostraram-se eficazes, principalmente na quantificação das folgas e variabilidades, em função da utilização do método AHP (Analytical Hierarchy Process) para a análise de dados. O método AHP tornou possível substituir o uso de questionários para toda a equipe por uma avaliação direcionada a especialistas. Ao utilizar o AHP, os dados podem ser adquiridos com maior rapidez. Outro ganho obtido com o uso do método AHP foi a possibilidade de redução de uma etapa da framework, tornando-a mais concisa. / Measures for health and safety management are of paramount importance in chemical laboratories. People who perform any activity in a laboratory environment are exposed to a variety of hazards and consequently there is a risk of adverse health and safety events. This work was developed in a chemical laboratory of a federal university, and has as main objective the improvement of a framework that allows the accomplishment of a systematic qualitative and quantitative analysis of the slack present in a complex socio-technical system. Tools of Resilience Engineering were used for studying a chemical laboratory, which was considered as a complex socio-technical system. One of the characteristics of a resilient system is the ability to deal with variability, which can be obtained through slack resources in the system. This work was developed in a chemical laboratory of a federal university and consists in the improvement of a framework that allows the accomplishment of a systematic qualitative and quantitative analysis of the slack present in the system. The use of the framework allowed to obtain data important for the analysis of the system and suggestions for improvements. The improvements proposed in the framework proved to be effective, especially in the quantification of slack and variability, as a function of the AHP (Analytical Hierarchy Process) method for data collection. The AHP method made it possible to replace the use of questionnaires for the entire team by an expert team assessment. By using AHP, data can be acquired more quickly. Another gain obtained with the use of the AHP method was the possibility of reducing one stage of the framework, making it more concise.

Esta dissertação apresenta o desenvolvimento de um novo algoritmo de criptografia de chave pública. Este algoritmo apresenta duas características que o tornam único, e que foram tomadas como guia para a sua concepção. A primeira característica é que ele é semanticamente seguro. Isto significa que nenhum adversário limitado polinomialmente consegue obter qualquer informação parcial sobre o conteúdo que foi cifrado, nem mesmo decidir se duas cifrações distintas correspondem ou não a um mesmo conteúdo. A segunda característica é que ele depende, para qualquer tamanho de texto claro, de uma única premissa de segurança: que o logaritmo no grupo formado pelos pontos de uma curva elíptica de ordem prima seja computacionalmente intratável. Isto é obtido garantindo-se que todas as diferentes partes do algoritmo sejam redutíveis a este problema. É apresentada também uma forma simples de estendê-lo a fim de que ele apresente segurança contra atacantes ativos, em especial, contra ataques de texto cifrado adaptativos. Para tanto, e a fim de manter a premissa de que a segurança do algoritmo seja unicamente dependente do logaritmo elíptico, é apresentada uma nova função de resumo criptográfico (hash) cuja segurança é baseada no mesmo problema. / This dissertation presents the development of a new public key algorithm. This algorithm has two key features, which were taken to be a goal from the start. The first feature is that it is semantically secure. That means that no polynomially bounded adversary can extract any partial information about the plaintext from the ciphertext, not even decide if two different ciphertexts correspond to the same plaintext. The second feature of the algorithm is that it depends on only one security assumption: that it is computationally unfeasible to calculate the logarithm on the group formed by the points of a prime order elliptic curve. That is achieved by ensuring that all parts of the algorithm are reducible to that problem. Also, it is presented a way to extend the algorithm so that it the resists attacks of an active adversary, in special, against an adaptive chosen-ciphertext attack. In order to do that, and attain to the assumption that only the assumption of the logarithm is necessary, it is introduced a new hash function with strength based of the same problem.

A segurança em sistemas de computação é uma das áreas mais críticas nas ciências da informação. Freqüentemente se ouve falar em alguma "brecha" descoberta em algum sistema. Não importando quão grave seja o problema, já existe certa paranóia em relação a questões de segurança. Esses furos na segurança podem ser explorados de diversas maneiras: para obter benefícios financeiros indevidos, personificação maliciosa a custos de uma pretensa "brincadeira", perda de informações sigilosas, danos em arquivos do sistema, etc. Esses são alguns dos motivos porque se investe cada vez mais em segurança. Como se não bastasse, ainda existem os problemas relativos a legislação: por um lado, o governo pode vir a exigir que a segurança em sistemas de informação seja encarada como um problema federal e impor controle sobre tudo que seja utilizado nos mecanismos de proteção; por outro lado, outros podem reclamar a necessidade de privacidade e liberdade de escolha em problemas relativos a segurança. Os sistemas são, a medida que agregam mais recursos, muito complexos e extensos, propiciando um meio fértil para acúmulo de erros e conseqüentes problemas de segurança. A conectividade alterou a realidade da computação: as redes de computadores estão aí para provar. Entretanto, os sistemas em rede a medida que facilitam a realização de uma série de tarefas também apresentam vulnerabilidades. As redes públicas são um exemplo crítico, pois todas as informações passam por meios não confiáveis sujeitos a alteração ou utilização por terceiros. A Internet talvez represente um dos ambientes mais críticos a nível de segurança. Devido a sua abrangência e velocidade com que cresce, ela é um dos ambientes mais propícios a disseminação e exploração de "furos" de segurança. Existem, entretanto, um esforço constante em desenvolvimento de mecanismos para protegê-la. "Internet Firewalls", são um conjunto de mecanismos utilizados para formar uma barreira de segurança entre a rede interna e a Internet. isolando-a das principais ameaças. Os componentes básicos de um "firewall" são o "packet filter" e o "proxy server". Basicamente, o que esses componentes fazem é uma filtragem dos pacotes. 0 "packet filter", como o nome sugere, faz uma filtragem dos pacotes até o nível de transporte (UDP e TCP). 0 "proxy server" atua como um procurador entre o cliente e o servidor real realizando uma filtragem a nível de aplicação; portanto, é uma tarefa mais apurada. Cada um desses componentes básicos apresentam os seus benefícios à segurança da rede interna. Um dos problemas desses mecanismos, é que eles acarretam em um "overhead" ao sistema, degradando o desempenho. Um "packet filter" tem de ser suficientemente rápido para que não seja o gargalo do sistema. De fato, como é apresentado nesse trabalho, pode-se conseguir um filtro tão rápido quanto necessário. A filtragem dos pacotes é baseada nas regras de filtragem que são elaboradas segundo a política de segurança, a qual estabelece qual o tipo de tráfego que pode existir entre a rede interna e a Internet. Cada pacote que passa pelo filtro é comparado com as regras de filtragem na ordem em que elas foram especificadas pelo administrador. Dependendo do número de regras, e este é um fator relevante porque são em grande número os serviços utilizados na rede, o tempo médio de filtragem aumenta. Uma solução para melhorar o desempenho na filtragem, é realizar a filtragem dos pacotes por sessão ("session filter"). Nesse caso somente se consegue atender aos serviços baseados no TCP (que é orientado a conexão); entretanto, considerando que os serviços mais utilizados na rede são baseados no TCP esse é um mecanismo viável. Na filtragem por sessão apenas o pacote de solicitação de conexão é comparado com a lista de regras de filtragem. Os pacotes subsequentes são verificados junto a uma "cache" de sessões ativas. Caso o pacote pertença a alguma sessão válida ele é passado adiante; caso contrário, ele é descartado. O acesso a "cache" deve ser suficientemente rápido para justificar esse procedimento. Além do ganho em desempenho, o filtro de sessões apresenta a vantagem de monitoramento: todas as sessões ativas entre a rede interna e a Internet estão registradas na "cache". Esta dissertação apresenta o projeto e a implementação de um "Packet/session filter". O filtro foi implementado como um módulo do "kernel" do sistema operacional "FreeBSD". O filtro "ip_fw" disponível como "freeware" na referida plataforma, serviu como referência básica para o desenvolvimento do filtro proposto. O utilitário "ipfw", disponível para gerenciar o filtro de pacotes "ip_fw", foi adaptado para interagir com o filtro desenvolvido. Os testes de desempenho apresentam resultados esperados. Ou seja, o filtro de sessão melhora consideravelmente o processo de filtragem em relação a um filtro convencional. O recurso de monitoramento das sessões ativas também representa uma facilidade a mais no controle e obtenção de estatísticas para o "firewall". / Security in computer systems is one of the most critical areas in "information sciences". Often it is heard something about a new "hole" discovered in some system. No matter how important is such a problem, there is a "paranoia" regarding questions about security. These security holes could be explored in a diversity of ways: to obtain financial benefits, to impersonate somebody to spoofing, to obtain secret informations, to damage to file systems, etc. Those are some of the reasons because so much time and money are spent in security. There are also some problems concerning legislation: government can demand that security in information systems is a federal problem and it can lead to impose control over everything that is used in protection mechanisms; on the other hand, there is the question of privacy and freedom of choice concerning to security. By adding new resources to the systems, the complexity is increase and new bugs and security problems can arise. Connectivity has changed the computer reality: computer networks show that. However, network systems also present weak points. Public networks are a critical example because all information flow by untrusted medias subject to modification or misuse by outsiders. The Internet may be one of the most critical environments concerning security. Because the internet covers almost all the world and grows so fast, it's able to dissiminate "holes" in security. There is, however, a constant effort to develop new mechanisms to protect the Internet, Internet Firewalls are a set of mechanisms used to build a security barrier between the internal network and the internet, maintaining the internal network far away from the main threats. The basic components of a firewall are the packet filter and the proxy server. These two components basically do a packet screening. The "packet filter", as the name suggests, makes a packet filtering up to the transport layer (UDP and TCP). The Proxy Server acts like a proxy between the client and the real server, the proxy does a packet filtering at the application level; therefore, it's a refined task. Each one of these components present their own benefits to the internal network security. A problem of those mechanisms is that they bring an overhead to the system, slowing the performance. A packet filter must be fast enough, otherwise it'll be the bottleneck in the system. The present work slows that, it's possible to obtain a filter as fast as necessary. The packet filtering is based on the filter rules which are prepared following the security policy that establishes what kind of traffic can flow between the internal network and the Internet. Each packet that passes through the filter is compared with the filtering rules to check if it is in the sequence specified by the administrator. Depending on the number of rules, and this is an important issue because there is a great number of services available in the network, the filtering mean time increases. A solution to improve the filtering process is to make the packet filtering by session (session filter). In this case it's only possible to attend to TCP, based services (connection oriented); however, considering that the most used services in the internet are based on TCP this is a feasible mechanism. In the session filtering only the first packet is compared against the filtering rules. The next packets are verified against a session cache. If the packet refers to a valid session it's sent forward; otherwise, it's dropped. The access time to the cache must be fast enough in order to allow applying this procedure. Beyond the performance improvement the session filter presents the advantage of monitoring: all the active sessions are recorded in the "cache". This work presents the project and development of a "packet/session filter". The filter was developed as a kernel module of the operating system "FreeBSD". The filter "ip_fw" available as freeware served as a basic reference to the implementation of the filter here presented. The "ipfw" utility available to manage the "ipfw" packet filter was adapted to interact to the developed filter. The performance benchmark presents expected results. The session filter enhances the filtering process when compared to the conventional packet filter. The monitoring facility also represents an enhancement the control and statistics gathering.

Redes de computadores estão sob constante ameaça, ainda mais quando conectadas à Internet. Para reduzir o risco, dispositivos de segurança como o filtro de pacotes são usados. Uma primeira camada de segurança, o filtro de pacotes é responsável pelo bloqueio do tráfego indesejado em posições chave da rede. Os pacotes que devem ser permitidos ou bloqueados pelo filtro são definidos através de um conjunto de regras programadas pelo administrador da rede. Essas regras tem duas partes: a seleção e a ação. Conforme cresce a rede e o número de serviços, a quantidade de regras tende a aumentar. Passado certo limite, a complexidade de manter uma quantidade grande de regras se torna um fardo para o administrador. Isso aumenta a probabilidade de enganos que podem prejudicar a segurança da rede. Este trabalho desenvolve o conceito de “anomalia”, cada qual representa um problema em potencial, uma contradição ou uma regra supérflua dentro do conjunto de regras; ou seja, cada anomalia alerta o administrador da rede para determinada situação. Há 7 tipos de anomalias, que podem ser divididos em dois grupos: anomalias de filtro único e anomalias em rede. As anomalias de filtro único alertam o administrador sobre regras que se contradizem (“bloqueio”) ou que não possuem efeito no filtro (“invisibilidade” e “redundância”). As anomalias em rede, por sua vez, alertam o administrador sobre filtros que se contradizem (“discordância”), filtros que bloqueiam tráfego desejado (“bloqueio”), regras que não se aplicam a nenhum pacote que passe pelo filtro onde estão (“irrelevância”) e roteadores que permitem a passagem de tráfego indesejado (“vazamento”). Cada um desses tipos de anomalia é definido formalmente e apresentado junto com um algoritmo que a encontra. As anomalias e seus algoritmos foram usados para implementar uma ferramenta, o Packet Filter Checker (PFC), que lê as regras e a descrição da topologia da rede e cria um relatório com todas as anomalias presentes. Este trabalho apresenta um caso de uso fictício que é analisado e corrigido com base nos resultados apresentados pela ferramenta. O caso de uso é apresentado em diversas iterações, cada uma representando alterações nos requisitos da rede. Este caso mostra a ferramenta e os conceitos no contexto-alvo: na ajuda ao administrador da rede. / Computer networks are under constant threat, even more when connected to the Internet. To decrease the risk of invasions and downtime, security devices such as the packet filter are deployed. As a first layer of security, the packet filter is responsible for blocking out unwanted traffic at key network locations. The packets dropped or forwarded by the filter are defined by a set of rules programmed by the network administrator. These rules are in the form of guarded commands, each with a condition and a decision section. As the number of services and networks grow, the number of rules tend to grow as well. Beyond a certain threshold, the complexity of maintaining such a large and distributed set of rules becomes a burden for the network administrator. Mistakes can be easily made, compromising security. This work develops the concept of “anomaly”, each representing a potential problem, a contradiction or a superfluous rule in the rule set; i.e. a warning to the system administrator. There are 7 types of anomalies divided in two groups: single filter anomalies and networked anomalies. The single-filter anomalies warns the administrator about rules that contradict one another (the “conflict” anomaly) or have no effect (“invisibility” and “redundancy”) in the analysed filter. The networked anomalies, on the other hand, analyse the filters in the context of the network topology and warn the administrator about filters that contradict one another (“disagreement”), filters that block desired traffic (“blocking”), rules that have no effect on the given network topology (“irrelevancy”) and routers that are enabling unwanted traffic (“leaking”). Each type of anomaly is formally defined along with its algorithm. The developed concepts were used to implement a tool — the Packet Filter Checker (PFC) — that reads a description of the rules and network topology in a simple custom language and reports all anomalies present. This tool is used to analyse and fix a fictional user case in several iterations of changing requirements. This shows the tool and the anomalies in the target context: where they help the network administrator.

A gerência adequada de recursos e serviços de Tecnologia da Informação (TI) se tornou imperativa para o sucesso de organizações modernas. A Biblioteca de Infraestrutura de Tecnologia da Informação (Information Technology Infrastructure Library, ITIL) representa, nesse contexto, o framework mais popular para ajudar a alcançar esse fim. Para lidar com mudanças em TI, a ITIL define o processo de gerência de mudanças (change management), cujo principal objetivo é garantir que métodos e procedimentos padronizados são utilizados para o tratamento imediato e eficiente dessas mudanças. Para alcançar esse objetivo, é fundamental reutilizar a experiência adquirida com mudanças passadas no projeto de requisições futuras. A ITIL sugere o uso de modelos de mudanças (change models) como uma forma para permitir o reuso de tal experiência em mudanças recorrentes e similares. A criação de modelos de mudanças pode ser concretizada considerando duas abordagens distintas. Em uma abordagem top-down, operadores de TI podem projetar os modelos manualmente, com base no conhecimento adquirido no passado. Em uma perspectiva alternativa, bottom-up, esses modelos poderiam ser extraídos a partir de traços de mudanças passadas obtidos com orquestradores de mudanças. Na prática, no entanto, mudanças tem sido geralmente descritas e documentadas de forma ad hoc, devido `a falta de mecanismos adequados para apoiar o projeto das mesmas. Isso impede que o conhecimento adquirido na especificação, planejamento e condução de mudanças passadas seja reutilizado em requisições futuras. Para abordar esse problema, nesta dissertação são propostos (i ) o conceito de templates de mudança como um mecanismo para formalizar, preservar, e (re)usar conhecimento na especificação de mudanças recorrentes e similares, (ii ) um algoritmo para o refinamento automatizado de planos de mudanças em workflows executáveis, (iii ) um mecanismo para extrair templates de mudanças a partir de traços de execuções passadas, e (iv) uma solução fim-a-fim, apoiada por um sistema real, para permitir o planejamento e implantação de mudanças em TI. Para provar conceito e viabilidade técnica da solução proposta, foi realizada uma implementação prototípica de um sistema de gerência de mudanças chamado ChangeLedge, o qual foi utilizado para conduzir uma série de experimentos considerando mudanças típicas em TI. Os resultados alcançados indicam a efetividade da solução e eficiência do sistema, o qual é capaz de gerar planos de mudança executáveis e corretos em um período de tempo substancialmente menor que o que seria gasto por um operador humano experiente, e de extrair templates que descrevem com acurácia mudanças passadas executadas na organização. / Proper management of Information Technology (IT) resources and services has become imperative for the success of modern organizations. The IT Infrastructure Library (ITIL) represents, in this context, the most widely accepted framework to help achieve this end. In order to deal with IT changes, ITIL defines the change management process, whose main goal is to ensure that standardized methods and procedures are used for the efficient and prompt handling of these changes. To meet this goal, it is of paramount importance reusing the experience acquired from previous changes in the design of subsequent ones. ITIL suggests the use of change models as a mean of enabling the reuse of such experience across recorrent, similar changes. The creation of change models can be done considering two distinct approaches. In a top-down approach, IT operators may manually design models based on the knowledge owned/acquired in the past. In contrast, in a bottom-up perspective, these models could be discovered from past execution traces gathered from IT provisioning tools. In practice, however, changes have been usually described and documented in an ad hoc fashion, due to the lack of proper mechanisms to both support the change design process. This hampers knowledge acquired when specifying, planning, and carrying out previous changes to be reused in subsequent requests. To address this problem, in this thesis we propose (i ) the concept of change templates as a mechanism to formalize, preserve, and (re)use knowledge in the specification of (recurrent and similar) IT changes, (ii ) an algorithm for the automated refinement of change plans into actionable workflows, (iii ) a mechanism to discover change templates from traces of past changes, and (iv) an end-to-end solution, supported by a real system, to allow planning and implementation of IT changes to be designed and executed. To prove concept and technical feasibility of the proposed solution, we have developed a prototypical implementation of a change management system called ChangeLedge and used it to carry out a set of experiments, considering typical IT changes. The results obtained indicate the effectiveness of the solution and efficiency of the system, which is able to generate accurate and actionable change plans in substantially less time than would be spent by a skilled human operator, and to extract templates that accurately describe IT change procedures previously executed in the organization.