A redução de número de alertas com base em técnicas de agrupamento (clustering) tam- bém é proposta por Julisch [27]. Neste trabalho é notado que algumas poucas dúzias de causas raízes persistentes, em geral, são responsáveis por 90% dos alarmes gerados por IDSs . O autor propõe o uso de atributos generalizados para representar agrupamentos de alarmes. Cada alarme generalizado representa um grupo de alarmes que compartilham uma causa raiz comum. A detecção dos alarmes generalizados é feita o ine usando-se técnicas de mineração de dados e heurísticas.
A identi cação de causas raízes de tempestades de alertas permite ao grupo de segu- rança focar na fonte dos alertas (como equipamentos mal con gurados, vulnerabilidades frequentemente exploradas, sensores defeituosos, entre outros), e, como conseqüencia, re- duzir o número de alarmes a ser observado futuramente. O princípio de buscar causas raízes de incidentes de segurança é análogo ao processo de gerência de problemas de nido pelo itSMf na sua biblioteca de melhores práticas em TI, o ITIL [26].
Mesclar técnicas de fusão de alertas e técnicas estatítistas Bayesianas é proposto por Burroughs et al [6]. Neste, faz-se uso de BMHT (Bayesian Multiple Hypothesis Track- ing) para identi car o comportamento de um atacante à medida que alertas são gerados pelos sistemas de IDS distribuídos numa rede. A modelagem dos ataques é realizada de forma a reduzir o número de atributos necessários para descrever um ataque e, portanto, aumentar a performance do sistema. Em especial, os seguintes atributos são utilizados: endereço de origem, endereço de destino, serviço sob ataque, tipo de ataque e data e hora do ataque, con gurando, portanto, um subconjunto dos campos presentes do IDMEF. Segundo os autores, a fusão de dados oriundos de diferentes sensores associada ao ras- treamento continuado dos alvos dos ataques resulta no aumento do nível de consciência situacional (situational awareness) do sistema de segurança.
Uma abordagem semelhante é proposta por Sabata [50]. Neste trabalho, eventos de sensores são indicativos de ações de ataques. Tais ações de ataques são agrupados em estágios de ataques que, por sua vez, são agrupados em ataques. Ataques, estágios de ataques e ações de ataques são representados por fragmentos de redes bayesianas. Estes fragmentos são unidos em uma rede bayesiana por meio de um processo de reasoning. Como resultado, observa-se a redução do número de alertas gerados, estabelecendo altas razões de redução em casos reais. Em seu trabalho subsequente, Sabata e Ornes [51] dão continuidade ao trabalho com fragmentos de redes bayesianas. Neste caso, o modelo proposto em seu trabalho anterior é re nado arquiteturalmente e testado contra bases de dados reais, dentre elas, o desa o DARPA.
3.6 Novas abordagens
Trabalhos recentes têm apresentado novas visões para o processamento de alertas de segurança. Martimiano e Moreira [35] sugerem a de nição de uma ontologia de segurança OntoSec para o gerenciamento de incidentes de segurança de rede.
Segundo os autores, o conceito principal reside na habilidade de modelar relações do tipo um Agente executa um Ataque, podendo causar um Incidente de Segurança; tipi- camente usa uma Ferramenta e explora uma Vulnerabilidade, adquirindo, então, Acesso ao sistema. Incidentes agem sobre Ativos e possuem uma Pré-Condição tipicamente associada com uma vulnerabilidade. Incidentes de segurança implicam em Consequências,
e podem preceder ou suceder outros incidentes.
Tal abordagem possui elementos análogos aos propostos por Ning et al [45], especial- mente no tocante às Pré-Condições e Consequências, que, no caso de Nin, são denominados de Pré-Requisitos e Consequências.
Liu e Zang [31] propõem o uso de Teoria dos Jogos [42] para modelar e inferir intenções, objetivos e estratégias de atacantes. Através deste formalismo, buscam dois tipos de inferência: (a) inferir estratégias de ataque (que mais provavelmente serão usadas pelo atacante); e, (b) inferir as intenções e objetivos de um atacante.
Trata-se de uma linha de pesquisa recente cuja aplicação prática ainda é incerta. O comportamento do modelo sofre forte impacto de falsos positivos gerados por IDSs, e do atraso entre a ocorrência de um evento e sua detecção pelo sistema. Todavia, um dos potenciais benefícios da tecnologia reside na otimização da postura defensiva de uma rede como forma de aumentar sua resiliência.
Abordagens distribuídas e colaborativas para detecção de intrusão, conforme proposto por Locasto et al [32], também visam compreender as intenções do atacante, modelar seu comportamento e obter uma visão global das atividades de ataque à rede. Os autores propõem um sistema composto por dois componentes:
• Worminator: sistema que extrai informações de uxos de alertas e as codi cam em Bloom Filters;
• Whirlpool: sistema para coordenação de correlações entre pares de nós.
Bloom Filters são estruturas de dados compactas para representação de alertas de segu- rança. Consistem de um vetor compacto de bits, associado a uma poderosa função de hash que suporta duas operações: inserção e veri cação. Seu uso apresenta-se como uma alternativa ao uso do padrão IDMEF dentro de um contexto de busca por performance do processamento distribuído, aportando três benefícios:
• Compactação: bloom lters conseguem representar alertas com muito menos bits que sua contrapartida em XML dentro do padrão IDMEF;
• Resiliência: mesmo que se con gure bloom lters de tamanho inferior ao necessário, a consequência desta atitude implica em falsos positivos, mas nunca em falsos neg- ativos;
• Segurança: o fato da estrutura de dados ser binária e compacta permite que corpo- rações troquem informações na forma de bloom lters sem que seus dados internos (endereços IP, por exemplo) sejam expostos nesta operação.
Os sistemas distribuídos publicam seu interesse em tipos de eventos através do uso de watchlists. Quando um evento, codi cado na forma de um bloom lter, passa pelo critério de uma watchlist, o mesmo é enviado para o sistema requerente.
3.6.1 Novas técnicas de aprendizado de máquina aplicadas
Dentro das novas técnicas em aprendizado de máquina, algumas têm começado a ser aplicadas aos desa os de correlação de eventos de segurança.
Mukkamala et al [41] aplicam um ensemble de SVM e ANN (rede neural) sobre um subconjunto da base DARPA. Seu trabalho atesta a melhor performance de SVM sobre ANN, e enfoca a escolha dos eventos relevantes na detecção de ataques em detrimento de técnicas de fusão ou agrupamento como forma de obter consciência situacional.
Outra iniciativa que visa o uso de SVM na construção de um NIDS é o proposto por Tian et al [56]. Nele o autor usa SVMs para o processamento do tráfego de uma rede ou servidor, ao invés de processar eventos oriundos de outros sensores. Sua base de dados não é pública, consistindo de tráfego de uma subrede da Universidade de Aeronáutica e Astronáutica de Nanjing.
A questão da redução de falsos positivos em detecção de intrusão é abordada por Ohta et al [46]. Os autores observam que o uso de técnicas de aprendizado de máquina para construção de IDSs gera muitos falsos positivos, diminuindo sua e cácia. Dentro de um cenário que usa árvores de decisão como classi cadores, este trabalho busca a escolha dos atributos que devem ser usados para a redução dos falsos positivos.
A avaliação de sua proposta é feita com base no desa o DARPA. Segundo os pesquisadores, se o classi cador desempenhar com sucesso na base DARPA, ele desempenhará com sucesso em intrusões reais ou ataques na Internet.
Abordagem Proposta
Processar e correlacionar alertas de segurança é fundamental para o estabelecimento de uma gestão e caz da segurança da informação. Para tal, buscamos uma abordagem que proveja a consciência situacional, ou seja, a capacidade de analisar os alertas de segurança dentro de um contexto amplo e holístico. Queremos analisar o maior número de evidências possíveis que nos permita julgar se a segurança da informação está em risco, ou não.
Visamos, portanto, integrar eventos de diferentes fontes. De uma forma bastante intu- itiva, se mais fontes geram alertas acerca de um potencial incidente, maior a probabilidade deste incidente ser real. Logo, necessitamos coletar eventos de fontes distribuídas e, de alguma forma, provermos mecanismos para um processamento homogêno dos mesmos.
A consciência situacional parece depender da capacidade de criarmos cenários de ataques. Tais cenários são frutos da contraposição de diferentes alertas, de, potencial- mente, distintas fontes. Este processo de agrupamento, ou fusão, agrega alertas em en- tidades de maior hierarquia, de maior carga semântica. Tais elementos permitem que a classi cação entre ataques reais e falsos alarmes seja realizada com base em dados mais completos, signi cativos.
Objetivamos também criar uma abordagem de fácil instaciação e alto desempenho. Necessitamos que uma implementação desta abordagem execute em tempo-real, indicando os ataques à medida que os mesmos ocorrem, propiciando à equipe de segurança o tempo para implementar as contra-medidas necessárias.