| Objeto do Contrato: |
A identificação de dispositivos que são usados para desempenhar atividades maliciosas ou ilegais é um importante passo para rastrear os indivíduos responsáveis. Essa identificação pode ser usada em investigações para criar evidências do uso de dispositivos em possíveis crimes cibernéticos. Nesse caso, o sistema de identificação deve criar uma impressão digital do dispositivo remoto usado pelo suspeito e, quando algum equipamento for apreendido, um especialista treinado poderá verificar se a impressão digital capturada durante a atividade criminosa é equivalente à do dispositivo capturado. Essa aplicação é exemplificada por Novotny et al. (2002, 2004) com o objetivo de capturar evidências digitais de atividade criminosa em páginas de bate-papo. Esse processo de identificação é denominado Remote Computer Fingerprinting (RCF). Neste projeto, a aplicação de RCF em forense de redes de computadores está associado à criação automática de impressões digitais (assinaturas). Esse processo de criação de evidências pode ser iniciado a partir de um IDS que detecte alguma atividade suspeita. Esse cenário é ilustrado pela Figura 2.
Segundo Garfinkel (2010), sistemas autônomos que são capazes de detectar e apresentar outliers, assim como outros elementos suspeitos, são de fundamental importância para cobrir os desafios da forense digital. No cenário apresentado na Figura 2, o sistema de detecção (D) monitora a rede local com os seguintes objetivos: (i) identificar atividade suspeita a partir da análise do tráfego destinado as máquinas da rede local; e (ii) criar uma impressão digital da máquina remota do suspeito para ser usada como evidência em uma eventual investigação. Para atingir o primeiro objetivo, é possível utilizar IDSs, como por exemplo o software livre Snort (https://www.snort.org/). Já para o segundo, não há solução conhecida, assim como persistem ainda desafios tecnológicos fundamentais para a concepção de tal sistema. Este projeto tem como finalidade a criação do primeiro protótipo desse tipo de sistema.
Impressões digitais de dispositivos remotos são constituídas de informações que caracterizam serviços, sistemas ou dispositivos da máquina. Dessa forma, RCF é uma solução natural para compor o sistema representado na Figura 2. O processo de caracterização e classificação de impressões digitais pode ser representado pelo diagrama conceitual apresentado na Figura 3. O grande desafio para tornar possível a identificação de impressões digitais de dispositivos em rede está em criar representações singulares por meio de um processo de caracterização eficaz. Estudos recentes (cf., Kohno et al. (2005), Lanze et al. (2012) e Polcak et al. (2014)), concluem que isso é possível em determinadas condições.
O processo de caracterização e identificação de computadores possui várias aplicações em segurança da informação. Em análise forense em redes de computadores, por exemplo, tal processo pode ser usado em conjunto com com sistemas de detecção de intrusão a fim de caracterizar máquinas utilizadas em ataques de rede (e.g., negação de serviço). A caracterização de dispositivos remotos é baseada na análise de dados de rede gerados pela máquina de origem e a abordagem clássica é a de explorar características peculiares das diferentes implementações dos protocolos em cada camada da pilha de protocolos (i.e. enlace, rede, transporte e aplicação). Em trabalhos recentes é demostrado que o uso de inteligência computacional pode melhorar o desempenho de identificação quando comparado a métodos e ferramentas clássicas. Este projeto tem como objetivo a criação de um sistema de caracterização e classificação de assinaturas digitais para identificação de dispositivos, algo ainda não encontrado na literatura disponível. |
