Análise de estado de tráfego de redes TCP/IP para aplicação em detecção de intrusão - Marcelo Henrique Peixoto Caetano Chaves (2002)
Este trabalho apresenta o desenvolvimento de uma metodologia de reconstrução de sessões para o tráfego de redes TCP/IP. Esta metodologia baseia-se em um modelo, gerado a partir de dados extraídos do tráfego de rede, que permite reconstruir e rastrear o estado das sessões, utilizando apenas o cabe calho dos pacotes. Através da extrapolação do conceito de "sessão", esta modelagem permite não são reconstruir e rastrear o estado das sessões TCP, mas também reconstruir sessões ICMP e UDP. O modelo é, então, utilizado como base para o desenvolvimento do Sistema de Reconstrução de Sessões TCP/IP - RECON - para ser usado em atividades associadas à detecção de intrusão. Esta abordagem possibilita a redução do número de falso-positivos e falso-negativos, visto que o estado e todo o histórico de pacotes que compõem uma sessão podem ser utilizados na tomada de decisões, em contrapartida daquelas que tomam decisões avaliando pacote a pacote, isoladamente. Ela também permite correlacionar informações de um conjunto de sessões na identificação de atividades hostis, que não podem ser observadas em uma única sessão. O sistema faz uso de um sensor, posicionado adequadamente para coleta de pacotes do tráfego, que armazena os dados em arquivos periodicamente. Estes arquivos são transferidos para uma estação de análise, onde o RECON de executado. Uma característica desta metodologia de que ela permite tratar uma quantidade relativamente grande de informações, pois utiliza um número reduzido de dados por pacote, correspondentes apenas aos seus cabeçalhos. O sistema desenvolvido pode também funcionar como uma ferramenta de suporte, aplicado não são em atividades de detecção de intrusões, mas também a outras atividades, tais como o gerenciamento, monitoramento e estudo do importamento do tráfego de redes TCP/IP. Finalmente, são relatados os resultados obtidos com o sistema desenvolvido, mostrando a eficiência, capacidade e possibilidades de sua aplicação.