Segurança

Sistemas de Detecção de Intrusão Livres: suas limitações e uma arquitetura proposta sobre concentração de mensagens e correlacionamento de eventos
Tiago Bortoletto Vaz, Tássia Camões, Gorgonio Araújo* Universidade Federal da Bahia – Instituto de Matemática Av. Adhemar de Barros, s/n – Salvador – BA – Brasil [e-mail], [e-mail], [e-mail]

Abstract. Solutions based on free software that act as Intrusion Detectors (IDSs) still do not make use of mechanisms capable of detecting some sophisticated attacks. The numbers of false alerts, also called false positives is raised, making it difficult to the administrator taking the necessary countermeasures. The lack of a management interface disables the analysis of events in more complex networks. This work evidences the technological lacks presented by a free Intrusion Detection System, the Snort. After evaluation of the IDS in question, is presented a model capable of reducing the verified weak points, through the concentration of messages, correlation of events, aid of distributed network devices and vulnerability scanners. Resumo. As soluções baseadas em software livre que atuam como detectores de intrusão (IDSs) ainda não dispõem de mecanismos capazes de detectar determinados ataques mais sofisticados. A taxa de falsos alertas, chamados também de falsos positivos é elevada, dificultando a realização de contra-medidas necessárias por parte do administrador. A falta de uma interface de gerência impossibilita a análise de eventos em redes mais complexas. Este trabalho evidencia empiricamente as carências tecnológicas apresentadas por um sistema de detecção de intrusão livre, o Snort. Após avaliação do IDS em questão, é proposto então um modelo capaz de reduzir os pontos fracos verificados, através da concentração de mensagens, correlacionamento de eventos, auxílio de dispositivos distribuídos de rede e scanners de vulnerabilidades. Palavras-chave: Segurança, IDS, Software livre

1.