Search

La información puede considerarse como el activo más importante de cualquier organización moderna. Garantizar la seguridad de esta información implica preservar la confidencialidad, la integridad y la disponibilidad de la misma, tríada conocida como CIA en inglés. Este trabajo presenta una arquitectura de seguridad multinivel motivado por la necesidad de considerar la información desde diferentes puntos de vista con el fin de protegerla. Además, se sugiere una nueva clasificación de los elementos de información, operaciones, entidades y componentes que se pueden integrar para mostrar las distintas fuentes de riesgos al tratar con información sensible. Se muestra también una visión general de cómo se trata y se representa actualmente la información y por qué es tan difícil garantizar la seguridad en todos los aspectos del tratamiento de la información.

Tese (doutorado)—Universidade de Brasília, Instituto de Ciências Biológicas, Departamento de Biologia Celular, 2008. A representação da confiança e da reputação em sistemas computacionais é um desafio em sistemas distribuídos. Nesses sistemas, a aplicação da confiança e da reputação busca contribuir com a segurança da informação, de forma a dar uma garantia mínima de realizar transações seguras sem uma autoridade central de controle. Nessa perspectiva, a confiança e a reputação se tornaram objeto de pesquisas científicas tanto do ponto de vista teórico quanto prático em MANET (mobile ad hoc networks), sistemas peer-to-peer (P2P) e grids computacionais, entre outros domínios. Em conseqüência, diversos trabalhos foram apresentados na tentativa de resolução dos problemas decorrentes da aplicação da confiança e da reputação. Entretanto, não há um consenso em torno do tema, principalmente porque existem muitos modelos distintos, muitas vezes complementares, que tratam de problemas envolvendo a aplicação da confiança e da reputação. Uma das questões ainda em aberto consiste das situações em que os sistemas distribuídos se destinam à interoperação ou ao interelacionamento entre grupos de entidades, contexto em que a confiança e a reputação são promissoras como fatores de escalabilidade, desempenho e garantia de transações. Para tais situações, esta tese apresenta uma proposta de um modelo de confiança para grupos em sistemas distribuídos, visando solucionar alguns pontos em aberto, especificamente no que se refere à representação da confiança entre grupos através de um modelo matemático, além do consenso quanto à confiança intra-grupo considerando questões de identidade dos participantes e à definição de líderes. Este trabalho, além de ter base na revisão da literatura sobre confiança e da reputação, que se encontra apresentada na tese, é também voltado para a demonstração prática dos conceitos propostos com a aplicação das definições de confiança e reputação em sistemas distribuídos, considerando a formação de grupos, o que é realizado através da implementação do modelo de confiança proposto para grupos em sistemas distribuídos baseados em P2P e sistemas de agentes de software, envolvendo simulações de serviços de um grid computacional. Esse ambiente experimental permite demonstrar alguns resultados da confiança em grupos segundo o modelo apresentado em termos de reusabilidade. _______________________________________________________________________________ ABSTRACT The representation of trust and reputation in computational systems is a challenge in distributed systems. In such systems, the application of trust and reputation tries to contribute with the information security area in order to guarantee secure transactions without a central control authority. Considering this approach, trust and reputation has become research interest in scientific theory and practical implementations in mobile ad hoc networks (MANET), peer-to-peer (P2P) systems, computational grids, and others research areas. As consequence, several research works have been published in order to try to solve specific problems considering the application of trust and reputation in distributed systems, but without a common consensus in the subject. One reason for this problem is because there are a lot of different models, sometimes complementary, that deals with trust and reputation and its application scenarios in distributed systems. Some open issues regarding trust and reputation consists in situations that in distributed systems there are the necessity of interaction in groups, particularly in its representation considering a mathematical model, besides the consensus in trust inside a group regarding the identification of its members and a unique leader, preferentially chosen using trust and reputation criteria. This thesis moreover based in the literature review about trust and reputation herein presented, also shows some practical results considering a proposed group trust model in distributed systems using trust and reputation approach. The results are shown considering P2P networks and software agent systems simulating a computational grid. The experimental environment allowed the demonstration of some results in group trust following the definition of the presented model in terms of reusability.

Dissertação (mestrado) — Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, Mestrado Profissional em Engenharia Elétrica, 2022. A investigação digital é uma tarefa desafiadora composta por várias etapas e procedimentos que são muitas vezes lentos e propensos a erros. Da coleta de informações à análise e comunicação de resultados, muitas subtarefas são dependentes de soluções tecnológicas que visam reduzir a sobrecarga de informações que os investigadores enfrentam. Algumas ferramentas forenses oferecem mecanismos para automatizar pesquisas e categorizações de objetos e dados relevantes, mas ainda não têm suporte para cenários complexos e dinâmicos, especialmente em aplicações de Big Data. A maioria desses dados não é estruturada, o que significa que é mais difícil organizar e encontrar insights significativos. Avanços recentes em Machine Learning (ML) e, mais especificamente, em Processamento de Linguagem Natural (NLP) trouxeram à existência novas arquiteturas e modelos de linguagem que podem ser usados para aumentar significativamente o desempenho de tarefas de Extração de Informações (IE), como Reconhecimento de Entidades Mencionadas (NER) e Extração de Relacionamentos (RE). Este trabalho propõe uma configuração reproduzível para construir, testar e ajustar um pipeline de extração de informação que pode ser aplicado a investigações forenses cibernéticas usando NLP de textos em diferentes idiomas. As tarefas de NER e RE são profundamente exploradas e discutidas, com base nos mais recentes modelos de linguagem natural, como BERT e RoBERTa. Também é discutido como otimizar o desempenho de um modelo de NLP ajustando seus hiperparâmetros, validando seu desempenho com métricas de avaliação padrão e comparações com benchmarks bem conhecidos. O pipeline proposto também é aplicado a diferentes cenários com exemplos hipotéticos mas realistas, culminando com a apresentação de grafos de conhecimento abrangentes para análise de informações. Os componentes do pipeline são organizados de forma que seja possível configurar classes de entidade e de relacionamento para diferentes domínios de aplicação com alterações mínimas, não limitadas ao contexto da análise forense cibernética nem a uma linguagem específica. Os resultados apresentados neste trabalho tanto para o português quanto para o inglês alcançaram níveis de desempenho do estado da arte seguindo as etapas propostas para cada tarefa, corroborando a ideia de que o processamento por etapas tem potencial para melhorar ainda mais o resultado final. Digital investigation is a challenging task composed of several steps and procedures that are often slow and error-prone. From collection to analysis and reporting, many sub-tasks are dependent on technological solutions that aim to reduce the overhead of information the investigators face. Some forensic tools offer mechanisms to automate searches and categorizations of relevant objects and data, but they still lack support for complex and dynamic scenarios, especially regarding Big Data applications. Most of this data is unstructured, meaning it is harder to organize and find meaningful insights. Recent advances in Machine Learning (ML) and, more specifically, in Natural Language Processing (NLP) brought to existence new architectures and language models that can be used to significantly increase the performance of Information Extraction (IE) tasks, such as Named Entity Recognition (NER) and Relation Extraction (RE). This work proposes a reproducible setup to build, test and fine-tune an information extraction pipeline that can be applied to cyber forensics investigations using NLP of texts in different languages. The tasks of NER and RE are deeply explored and discussed, based on the latest state-of-the-art language models such as BERT and RoBERTa. It is also discussed how to optimize the performance of an NLP model by tuning its hyper-parameters, validating their performance with standard evaluation metrics and comparisons with well-known benchmarks. The proposed pipeline is also applied to different application scenarios with hypothetical yet realistic examples, culminating with the presentation of comprehensive knowledge graphs for structured information analysis. The components of the pipeline are organized in such a way that makes it possible to configure both entity and relationship classes for different application domains with minimal changes, not limited to the cyber forensics context nor a specific language. The results presented in this work for both Portuguese and English achieved state-of-the-art performance following the steps proposed for each task, corroborating the idea that staged processing has the potential to further improve the final result.

Dissertação (mestrado) — Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, 2016. Dado o grande número de vulnerabilidades em sistemas de informação e a atividade contínua dos atacantes, é cada vez mais necessário usar técnicas de detecção de tráfego malicioso para identificação e proteção contra ataques cibernéticos. Portanto, é importante operacionalizar intencionalmente um ambiente cibernético para ser invadido e comprometido, a fim de permitir que profissionais de segurança analisem a evolução dos diversos ataques e vulnerabilidades exploradas. Este trabalho propõe uma arquitetura projetada para a pesquisa e a obtenção de informações do ponto de vista dos atacantes. A solução, denominada HoneySELK, foi implementada e seus resultados avaliados para mostrar sua capacidade de coletar, analisar e visualizar uma grande quantidade de ataques cibernéticos em tempo real. Due to the large number of vulnerabilities in information systems and the continuous activity of attackers, techniques for malicious traffic detection are required to identify and protect against cyber-attacks. Therefore, it is important to intentionally operate a cyber environment to be invaded and compromised in order to allow security professionals to analyze the evolution of the various attacks and exploited vulnerabilities. In this paper, we propose a security architecture deployed specifically for research and information gathering from the attackers’ point of view. This architecture, named HoneySELK, is described and its results are evaluated to show its ability to collect, analyze, and visualize large amount of cyber-attacks in real time.

Dissertação (mestrado) — Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, 2016. Grande parte das ações criminosas na rede são praticadas com uso de softwares maliciosos, comumente denominados malwares. Malwares são programas desenvolvidos com o intuito de se infiltrar em um sistema de computador alheio de forma ilícita, para causar danos, alterações ou roubo de informações (confidenciais ou não). Uma resposta eficiente do Estado para um crime cibernético requer o entendimento do meio utilizado para o cometimento da ação criminosa. No ambiente jurídico, a análise de malware deve prover evidências necessárias para a materialização do fato e a determinação da autoria, visando a condenação do agente malicioso, e a fornecer meios para inocentar os erroneamente acusados. Existem duas abordagens fundamentais para o problema da análise de malware, a análise estática, que envolve examinar o malware sem executá-lo observando suas características estruturais, e a análise dinâmica, que envolve analisar o malware durante sua execução, observando suas características comportamentais. A maior parte da pesquisa feita hoje na área de análise de malware tem seu foco na detecção, como forma de prevenção e de evitar ataques. A pesquisa na área de classificação de malware ainda se encontra em estágios iniciais, e as técnicas desenvolvidas até então demonstram serventia limitada no dia a dia do investigador forense. O objetivo deste trabalho é realizar uma contribuição na área de classificação de malware. Tal contribuição é feita na forma de um estudo do panorama atual da área, na indústria de antivírus e na literatura. O estudo apresenta as principais classificações existentes até então, e suas limitações. É apresentada uma nova proposta de classificação, definida como profiling de malware, baseada no profiling criminal. Além da definição de perfis, este trabalho sugere características, comportamentais e estruturais, que podem representar comportamentos que reflitam os perfis, e apresenta uma estratégia eficiente para extração das características, utilizando a ferramenta Cuckoo Sandbox. Por fim faz-se uma análise das características extraídas, que revela que sete das onze características extraídas se mostraram promissoras para o profiling de malware. Most of the criminal actions in the network are practiced with the use of malicious software, commonly denominated malwares. Malwares are programs designed to infiltrate a computer system unlawfully, to cause damage, alteration or theft of information (confidential or not). An efficient response of the state to a cyber crime requires understanding the means used to commit the criminal action. In the legal environment, malware analysis should provide evidence necessary for the materialization of the fact and the determination of authorship, aiming at condemning the malicious agent, and providing means to clear the wrongly accused. There are two fundamental approaches to the problem of malware analysis, the static analysis, that involves examining the malware without executing it, observing its structural features, and the dynamic analysis, that involves analyzing the malware during its execution, observing its behavioral features. Most of the research done today in the area of malware analysis has its focus on malware detection, as a way of preventing attacks. The research in the area of malware classification is still in the early stages, and the techniques developed until then show limited use in the day-to-day of the forensic investigator. The goal of this work is to make a contribution in the area of malware classification. This contribution is made with a study of the current panorama of malware classification, in the antivirus industry and in the literature. The study presents the main classes definitions until now, and their limitations. A new classification strategy based on criminal profiling is presented, named as malware profiling. In addition to the definition of profiles, this work suggests features, behavioral and structural, that represent behaviors of the profiles, and presents an efficient strategy to extract these features from malware samples, using the Cuckoo Sandbox tool. Finally, an analysis of the extracted features is performed, which reveals that seven of the eleven extracted features have shown promise for malware profiling.

Dissertação (mestrado) — Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, Mestrado Profissional em Engenharia Elétrica, 2020. Neste trabalho foi proposta uma metodologia integrativa de plataformas de CTI de código aberto vi- sando a produção de inteligência de ameaça de qualidade. Primeiramente, foi desenvolvida uma metodo- logia de avaliação para analisar padrões e plataformas de CTI e definir soluções com potencial de conso- lidação no mercado. Essa metodologia de avaliação baseou-se em uma estratégia de seleção de soluções de CTI populares de código aberto e no estabelecimento de critérios de avaliação para analisar e comparar essas soluções. Os resultados dessa avaliação comparativa mostraram a existência de boas soluções de CTI de código aberto e possibilitaram a definição de uma metodologia integrativa para a produção de inteli- gência de ameaça, baseada na complementaridade das plataformas MISP e OpenCTI. Alguns cenários de teste foram simulados e analisados com base em uma proposta definida que utiliza o método 5W3H para avaliar a completude da inteligência produzida e, consequentemente, entender sua qualidade e eficácia no processo de tomada de decisão contra incidentes. A partir dos resultados produzidos foi possível verificar que a metodologia proposta é satisfatória quando aplicada à conjuntos de dados de ameaça de tamanho controlado e contextualizados. Além disso, foi possível identificar algumas desvantagens em sua aplicação que podem proporcionar o desenvolvimento de trabalhos futuros. In this work, an integrative methodology of open source CTI platforms was proposed, aiming to pro- duce quality threat intelligence. First, an evaluation methodology was developed to analyze CTI standards and platforms and define solutions with potential for consolidation in the market. This evaluation metho- dology was based on a strategy for selecting popular open source CTI solutions and establishing evaluation criteria to analyze and compare these solutions. The results of this comparative evaluation showed the exis- tence of great open source CTI solutions and have led to the definition of an integrative methodology for the production of threat intelligence, based on the complementarity of the platforms MISP and OpenCTI. Some test scenarios were simulated and analyzed based on a defined proposal that uses the 5W3H method to assess the completeness of the intelligence produced and, consequently, understand its quality and ef- fectiveness in the decision making process. From the results produced, it was possible to verify that the proposed methodology is satisfactory when applied to contextualized and controlled size threat data sets. In addition, it was possible to identify some disadvantages in its application that may provide the development of future works.

Dissertação (mestrado)—Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, Mestrado Profissional em Engenharia Elétrica, 2020. Este trabalho propõe uma nova metodologia de análise forense que combina processos, técnicas e ferramentas para aquisição física e lógica de dados de dispositivos móveis. A metodologia proposta integra o emprego da técnica de In-System Programming (ISP) com o uso de Combination Firmware, elementos que são alinhados com processos específicos de coleta e análise. Para efeito de validação da proposta, as experiências realizadas demonstram que a nova metodologia proposta é praticável e fornece novas possibilidades para aquisição de dados em dispositivos que executam o Sistema Operacional Android com mecanismos avançados de proteção. A metodologia é viável mesmo em dispositivos que utilizam memória principal do tipo Embedded Multimedia Card (eMMC) ou Embedded Multi-Chip Package (eMCP), e que sejam compatíveis com o emprego das técnicas ISP. As técnicas incluídas na metodologia são eficazes em dispositivos criptografados onde a técnica de JATG e Chip-Off se mostram ineficazes, principalmente os que possuem mecanismo de proteção de acesso não autorizado ativados, tais como senha de bloqueio de tela, bootloader bloqueado e Factory reset Protection (FRP) ativo. Os estudos também demonstram que a metodologia é aplicável a cerca de 70% dos dispositivos móveis com Sistema Operacional (SO) Android em uso atualmente, preservando a integridade dos dados, o que é fundamental para um processo de forense digital. This work proposes a new forensic analysis methodology that combines processes, techniques and tools for physical and logical data acquisition from mobile devices. The proposed methodology integrates the use of the In-System Programming (ISP) technique with the use of Combination Firmware, elements that are aligned with specific collection and analysis processes. For the purpose of validating the proposal, the experiments carried out demonstrate that the new proposed methodology is feasible and provides new possibilities for data acquisition on devices that run the Android Operating System with advanced protection mechanisms. The methodology is feasible even on devices that use Embedded Multimedia Card (eMMC) or Embedded Multi-Chip Package (eMCP) main memory, and that are compatible with the use of ISP techniques. The techniques included in the methodology are effective on encrypted devices where the JATG and Chip-Off technique are ineffective, especially those that have protection mechanisms for unauthorized access enabled, such as screen lock password, blocked bootloader and Factory reset Protection (FRP) active. Studies also show that, the methodology is applicable to about 70 % of mobile devices with an Operating System (SO) Android currently in use, preserving data integrity, which is essential for a digital forensics process

Dissertação (mestrado)—Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, Mestrado Profissional em Engenharia Elétrica, 2020. Defesa, reconhecimento e ataque são pré-requisitos para a projeção do poder militar na guerra cibernética e a eficácia das forças armadas nessas atividades determinam a imposição do Estado no mundo contemporâneo. Para melhorar suas habilidades cibernéticas, as organizações mili- tares, geralmente, criam exercícios para suas equipes ofensivas e defensivas. Esses exercícios aumentam as habilidades cibernéticas, mas são periódicos e dependem da disponibilidade de pro- fissionais. Para além disso, nota-se também que existe uma grande dificuldade, principalmente pelos Estados menos desenvolvidos, de estabelecer as habilidades necessárias a serem buscadas para suas equipes ofensivas. Isso acontece, pois determinados nichos como no caso das orga- nizações militares possuem certas peculiaridades que precisam ser bem compreendidas antes da implantação de um cyber red team. Neste trabalho são identificadas as competências que um cyber red team deve ter no contexto militar. Foram identificadas quatro competências macro, de onde se originaram mais oito competências, a partir das suas intersecções sucessivas. Com isso, pretende-se apresentar uma visão mais clara das competências necessárias para um cyber red team militar, de forma a aumentar a eficiência de sua montagem e ação nesse contexto. Para esse fim, este trabalho propõe também uma metodologia de treinamento contínuo que não exige que os profissionais se envolvam exclusivamente nos exercícios, mas que permite um aumento cons- tante das habilidades cibernéticas. Essa metodologia proposta trabalha com três redes diferentes em paralelo. Uma rede exclusiva para desenvolvimento de ataques, outra para confronto real em ambiente simulado e a rede de produção, que sofre correções de acordo com as falhas encontra- das no confronto simulado. Para eficácia dessa metodologia proposta, leva-se em consideração que existem três equipes, o cyber red team para ações ofensivas, o cyber blue team para ações defensivas e o cyber purple team que é responsável por gerenciar as infraestruturas das redes pro- postas na metodologia. A eficácia da metodologia foi demonstrada a partir de um experimento de aproximadamente nove meses que foi realizado com a participação de dezessete militares. Neste experimento foi constatado o aprimoramento das habilidades inerentes aos pré-requisitos para a projeção do poder militar na guerra cibernética, sem causar danos à atividade real. Defense, reconnaissance and attack are prerequisites for the military power projection when considering cyber warfare, also the effectiveness of the armed forces in these activities determi- nes the imposition of the its States in the contemporary world. In order to improve cyber skills of their personnel, military organizations often create exercises to put to the test cyber red and blue teams. Such exercises increase their cyber skills, but they are periodic and high dependent on the availability of professionals. In addition, it is also noted that there is a great difficulty, mainly by the less developed States to establish the necessary skills to be sought for their offensive teams. This happens because certain niches as in the case of military organizations have peculiarities that must be well understood before to implement a cyber red team. This work identifies the com- petencies required for a cyber red team in the military context. Four macro competences were specified, originating by their successive intersections eight more competences. In this context, we expect to provide a better vision of the skills needed for a military cyber red team, in order to increase the efficiency of its composition and action in this context. With such considerations in mind, this work proposes a cyber red team formation methodology with continuous training that does not require professionals to be exclusively involved in the exercises, but which permits a constant development of cyber skills. The proposed methodology also considers different kno- wledge domains with three different networks in parallel. An exclusive network for cyber attacks developments, another for attack and defense teams confrontation in a simulated environment and the production network, which is corrected according to the flaws found in the simulated confrontation. For the effectiveness of the proposed methodology, there must be three cyber te- ams, the cyber red team for offensive actions, the cyber blue team for defensive actions and the cyber purple team, which acts as judge and manages the infrastructures of the networks proposed in the methodology. Methodology effectiveness was demonstrated from an experiment of nine months approximately that was carried out with the participation of seventeen militaries. In this experiment, the skills inherent in prerequisites for the military power projection in cyber warfare inhanced and there was not causing real damage to cyber production environments.

Dissertação (mestrado)—Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, 2018. O entendimento da estrutura gramatical de uma frase é um passo importante para que os computadores sejam capazes de compreender o significado pretendido em um texto. Esta dissertação faz um estudo de quatro ferramentas que realizam processamento de linguagem natural. O trabalho explora conceitos envolvendo ferramentas que realizam PLN e utiliza uma metodologia de construção de um corpus específico que auxilie o reconhecimento de entidades da fonte de dados textual (DOU), processando o entendimento linguístico das palavras em um texto e depois comparando a quantidade e qualidade das entidades que foram reconhecidas nos textos processados. Assim, a OpenNLP foi escolhida e construiu-se um novo corpus, utilizando o aprendizado supervisionado, para que fosse elaborada uma proposta de construção de um corpus específico para extrair Entidades Nomeadas com melhor qualidade em comparação com os resultados obtidos com os corpus disponíveis. Uma arquitetura foi desenvolvida para compreender um conjunto de atividades a serem executadas na extração de Entidades Nomeadas, identificando e descrevendo a organização dos módulos, visando a codificação e especificação de cada um deles. Understanding the grammatical structure of a sentence is an important step for computers to be able to understand the meaning intended in a text. This dissertation makes a study of four tools that perform natural language processing. The work explores concepts involving tools that perform PLN and uses a methodology of construction of a specific corpus that helps the recognition of entities of the textual data source (DOU), processing the linguistic understanding of the words in a text and then comparing the quantity and quality of the entities that were recognized in the texts processed. Thus, OpenNLP was chosen and a new corpus was constructed, using supervised learning, to elaborate a proposal to build a specific corpus to extract named entities with better quality in comparison to the results obtained with the available corpus. An architecture was developed to understand a set of activities to be performed in the extraction of named entities, identifying and describing the organization of the modules, aiming at the coding and specification of each one of them.

Dissertação (mestrado)—Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, 2017. Este trabalho apresenta uma metodologia para a criação de testes de software automatizados. A automação dos testes de software teve como base a utilização de Aprendizado de Máquina, através de Rede Neural Artificial, para o reconhecimento de padrões em páginas HTML. Para identificação das referências de entrada e saída de dados, é utilizado um Banco de dados baseado em grafos, gerando o mapeamento da aplicação sobre teste (do inglês Application Under Test - AUT). Para a automatização da geração dos dados de entrada para os testes é utilizada a metodologia de Algoritmo Genético. Os resultados obtidos demonstram, que a partir da metodologia proposta, é possível simplificar a realização dos casos de teste, através de uma linguagem de alto nível. Observou-se também a possibilidade de viabilizar um ambiente de alta performance para realização de testes automatizados de software e interpretação dos resultados através de Processamento Natural de Linguagem (NLP). Como conclusão é possível afirmar que a metodologia proposta, quando comparada a algumas soluções disponíveis no mercado de teste de software, pode atender aos mesmos requisitos e também suprir algumas possibilidades de testes que agregam o processo como um todo. This dissertation proposes a methodology for automating the process of creating test cases using Machine Learning. This procedure is performed through Artificial Neural Networks, used to identify patterns in HTML pages (Hyper Text Markup Language); identificationofGeneticAlgorithms,usedforthecreationoftestvalues;Graphsdatabaseareused to perform the mapping; and, finally, general understanding of the application to be tested. With the bibliographic review carried out in this work, we identified some problems related to the implementation and automation of tests, such as the difficulties of writing and keeping the test cases in operation, and the high costs related to the creation of scripts and maintenance required to ensure the continued operation of test cases. Finally, experiments were carried out to verify the simplification of the language used and the speed of execution of the test cases, as well as the possibility of performing the automation of a good part of thetestcasecreationprocess.Thispaperproposesamethodologyforautomatingtheprocess of creating test cases using Machine Learning. This procedure is performed through Artificial Neural Networks techniques, used to identify patterns in HTML (Hyper Text Markup Language) pages ; identification of Genetic Algorithms, used for the creation of test values; Database in graphs, used to perform the mapping; and, finally, general understanding of the application to be tested.

Tese (doutorado)—Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, 2017. Metodologias de Testes de Penetração (Penetration Tests - pentest) são a base para a prospecção ativa de vulnerabilidades (PAV) em sistemas computacionais. Entretanto, há várias lacunas conceituais nas metodologias mais amplamente utilizadas. As lacunas podem ser por falta de rigor metodológico ou por serem projetadas como parte de processos mais geria em segurança da informação, como avaliação de risco ou auditoria de segurança; ou por limitações de escopo ou na definição de seus processos; ou por não definir e modelar a execução dos testes, ou ainda por fazê-lo com limitações. Com tais motivações, DOTA, uma metodologia de pentest, tendo por objetivo definir procedimentos padronizados para prospecção de vulnerabilidades baseada na estratégia e no fluxo das decisões durante a execução de pentests. A metodologia agrega ações de planejamento com a execução de testes em diferentes cenários pela composição de seis fases sequenciais. Os testes (ataques) são modelados segundo um ciclo de decisão geral, de forma que DOTA ganha em generalidade e aplicabilidade. A metodologia foi aplicada com finalidades de intrusão e indisponibilidade, envolvendo cenários reais. O s resultados obtidos foram mais completos, precisos e repetíveis. Penetration Tests (pentest) methodologies are the basis for actively prospecting vulnerabilities (PAV) in computer systems. However, there are several conceptual gaps in current pentest most widely used methodologies. They either lack methodological rigor or are designed as part of other information security processes, like risk assessment ou security audit. They are also either limited in their scope or in their process definition. They either do not define test execution at all, or do it with impacting shortcomings. With those motivations, DOTA, a decision oriented tool agnostic pentest methodology is developed and presented. It aims to define standardized procedures for vulnerability assessment based on the strategy and the decision flow during execution of pentests. The methodology interconnects planning procedures with the execution of computational scenarios through the composition of six closely adjacent phases. Tests (attacks) are modelled using a general decision cycle, so that DOTA gains in generality and aplicability. The methodology was applied for intrusion and unavailability, with full runs on controlled real world scenarios. Results obtained were more complete, precise and repeatable.

Dissertação (mestrado) — Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, 2016. O furto de credenciais é considerado ser uma peça em uma cadeia de eventos que englobam ataques a redes de computadores e sistemas operacionais, sendo a evasão de dados ou incidentes parte de um escopo maior no processo de verificação e resposta a incidentes. Apesar de ataques do tipo Passthe- Hash serem conhecidos no ambiente de Redes Windows há algum tempo, a detecção desses tipos de técnicas ainda constitui um desafio em ambientes onde o processo de autenticação conta com sistemas distribuídos em redes heterogêneas e amplas. De forma a auxiliar no combate e detalhamento deste tipo de problema de segurança em redes, este trabalho estudou as medidas protetivas contra esses ataques e três linhas de detecção. As linhas de detecção foram classificadas em detecção de eventos, detecção de anomalias e detecção de honeytokens. São propostos três elementos que podem auxiliar no confronto ao problema. O primeiro elemento é uma Kill Chain para ataques Pass-the-Hash e Pass-the-Ticket que visa mostrar e explicar a anatomia desses ataques. O segundo é uma classificação para as abordagens de tratamento desses ataques como medida para organizar as diferentes formas como o problema é encarado. O último trata-se de uma arquitetura para servir de base para a implementação de uma ferramenta de detecção. Esse terceiro componente possui fim de ajudar no processo de detecção de intrusão em redes com as características mencionadas. Credential theft is considered to be a piece in a chain of events that cover attacks to computer networks and operating systems, being data leaks or incidents part of a bigger scope in the process of verification and response to incidents. In spite of Pass-the-Hash and Pass-the-Ticket attacks are long known in the Windows Network environment, the detection of such techniques still constitutes a challenge in environments where the authentication process counts with distributed systems in wide and heterogeneous networks. In order to aid the combating and detailing with this kind of network security problem, this work studied the protective measures against these attacks and three lines of detection. The lines of detection were classified in event detection, anomaly detection and honeytoken detection. Three elements that can help in the confrontation to this matter were proposed. The first element is a Kill Chain for Pass-the-Hash and Pass-the-Ticket attacks, that aims to show and explain the anatomy of these attacks. The second is a classification to the approaches in dealing with the issue as a mean to organize the different ways the problem is treated. The last is about an architecture to serve as a base for the implementation of a detection tool. This third component has an end to help the process of intrusion detection in networks with the mentioned characteristics.

Dissertação (mestrado) — Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, 2016. Dispositivos Android são amplamente utilizados e podem funcionar como receptores GPS. Informações de tempo e posicionamento possuem grande relevância no campo investigativo, todavia, os dados armazenados em mídia não-volátil podem ser limitados no que diz respeito à reconstrução de trajetórias. Este trabalho propõe um método de recuperação de mensagens com coordenadas GPS armazenadas na memória RAM de dispositivos móveis Android, a fim de reconstruir o trajeto trilhado pelo dispositivo. Estudos relacionados encontrados na literatura se mostraram limitados, uma vez que a maioria dos trabalhos produzidos são voltados à recuperação de informações de posicionamento de artefatos tipicamente encontrados em memória não-volátil. No desenvolvimento deste trabalho foi possível detalhar a arquitetura GPS em ambientes Android, viabilizando o entendimento dos principais mecanismos de armazenamento de coordenadas de posicionamento. Nesta linha, constatou-se que o protocolo NMEA 0183 tem importância fundamental na comunicação dos receptores GPS com os diversos tipos de aparelhos, uma vez que provê uma forma padronizada de transmissão dos dados de posicionamento. Ademais, foram realizados experimentos em diferentes ambientes, com aparelhos de distintas arquiteturas, para analisar a viabilidade da reconstrução de trajetórias com base nas mensagens do protocolo NMEA 0183 recuperadas da memória RAM, bem como nas estruturas textuais com características de coordenadas geodésicas. No desenvolvimento da técnica, foi possível verificar as dificuldades que podem atrapalhar o processo de extração e análise dos dados, bem como foram desenvolvidas ferramentas para auxiliar o processo. Android devices are widely used and can function as GPS receivers. Time and position information have great relevance in the investigative field, however, data stored in non-volatile media may be limited with regard to the reconstruction of trajectories. This study proposes a method for recovering messages with GPS coordinates stored in RAM memory of Android mobile devices, in order to rebuild the trajectory of the device. Related literature proved limited since the majority of the studies produced were directed to recovery of positioning information from artifacts typically found in non-volatile memory. In the development of this work, it was possible to detail GPS architecture on Android environments, providing a better understanding of the positioning coordinate storage mechanisms. Along this line, it was discovered that the NMEA 0183 protocol is critical for the communication of GPS receivers with the various types of equipment, since it provides a standard way of broadcasting positioning data. Experiments were performed in different environments, with different device architectures, to analyze the feasibility of reconstruction of trajectories based on the NMEA 0183 protocol messages and geodetic coordinates in textual format retrieved from RAM memory. In developing this technique, it was possible to verify the problems that can hinder the process of extraction and analysis of data. In addition, tools have been developed to aid the process of trajectory reconstruction.

Dissertação (mestrado)—Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, 2011. Este trabalho tem como objetivo principal criar um catálogo de serviços visando possibilitar a disponibilização automatizada de infraestrutura de TI, alinhado com conceitos de virtualização de servidores e ferramentas de gerenciamento de infraestrutura. Este estudo surgiu a partir da análise de problemas decorrentes da disponibilização de serviços de infraestrutura de TI. Neste trabalho é demonstrado que o uso de ambientes virtualizados, em conjunto com um catálogo de serviços padronizado e ferramentas específicas para gerenciamento de infraestrutura, possibilitam ganho de tempo, reduzindo o intervalo da solicitação de um novo servidor até a disponibilização, de vários dias para algumas horas. Ao final deste trabalho são mostrados os resultados alcançados com a integração dos diversos conceitos visando ampliar as possibilidades de interação entre os conceitos e as ferramentas emergentes de gerenciamento de infraestrutura de TI e virtualização, para disponibilizar um novo servidor em algumas horas. _________________________________________________________________________________ ABSTRACT The main objective of this work is to create a service catalog aiming the possibility to automate the availability in a IT infraestructure, aligning the concepts on virtualization of servers and infraestructure management tools. This study work emerged from the analisys on the problems regarding the services availability in the IT infraestructure. This work demonstrates that the virtualized environment use, with a standard services catalog and specific infraestructure management tools, provides a time saving, reducing the request interval to a new Server from several days to a few hours. At the end of this work is shown the results achieved with the integration of the diverse concepts aiming to enhance the possibilities of interaction between the concepts and the emerging tools to IT infraestructure management and virtualization, to dispose a new server in a few hours.