Anais - Engenharia de Redes de Comunicação - UnB

os algoritmos e os mecanismos de detecção dos ataques.
Yee e seus colegas [Yee, Shin e Rao 2007] aplicaram um framework adaptável
para tentar compensar as diferenças entre a detecção baseada em anomalias e
assinaturas, através da integração de agentes, técnicas de mineração de dados e técnicas
de lógica difusa. Para os autores, o uso destas técnicas permite tomar decisões em
ambientes incertos e imprecisos. Porém, nenhum resultado concreto foi apresentado.
A abordagem de Bravenboer e seus colegas [Bravenboer, Dolstra e Visser 2010]
sugere a incorporação de sintaxe, de acordo com as linguagens utilizadas no guest e
host (e.g. XPath com Java), para gerar automaticamente o código que irá prevenir
vulnerabilidades para ataques de injection (e.g. adicionando funções para filtrar
caracteres inválidos). Os autores argumentam que a proposta é genérica, podendo ser
aplicada com facilidade a qualquer combinação de linguagens. Porém, uma limitação
apontada é o fato de nem todas as linguagens possuírem uma sintaxe livre de contexto.
A proposta de Undercoffer e seus colegas [Undercoffer et al. 2004] aplica
ontologia para categorizar classes de ataques baseando-se principalmente no
componente alvo dos mesmos, também considera os meios e as conseqüências do
ataque e a localização do atacante. Esta ontologia é compartilhada por diversos sistemas
de detecção de intrusão – o intuito é disseminar a todos um ataque descoberto por um
deles. Porém, não é mencionado o uso de axiomas ou inferência, além disto, os autores
não avaliam a proposta com testes.
Vorobiev e Han [Vorobiev e Han 2006] propuseram a abordagem que está mais
próxima deste trabalho, os autores aplicaram uma ontologia especificamente para
abordar o domínio de ataques a web services. Entretanto, a implementação da ontologia
não foi encontrada e a proposta não utiliza inferência para detectar novos ataques. A
ontologia é principalmente um ‘dicionário’ comum para diferentes ambientes.
6. Conclusão
Este artigo apresentou uma abordagem baseada em ontologia (XID) para proteger web
services de ataques de XML injection e para mitigar o problema dos ataques que são
variações de ataque conhecidos. Os ataques de XML injection que já estavam na base
de conhecimento foram detectados com sucesso utilizando SPARQL para consultar a
ontologia. Adicionalmente, as variações de payload foram detectadas utilizando
inferência com nenhuma ocorrência de falsos positivos, já que novos payloads
(instâncias) foram detectados baseando-se somente em classes e axiomas de ataques
pré-existentes. Os novos payloads foram automaticamente adicionados à base de
conhecimento da ontologia como instâncias – abaixo das classes relacionadas,
eliminando os ataques que são variantes de ataques conhecidos.
O XID agrega as principais vantagens das abordagens clássicas de detecção.
Permite a detecção de ataques conhecidos, como na abordagem baseada em assinaturas,
e permite a detecção de novos ataques, como na abordagem baseada em anomalias. Esta
segunda abordagem de detecção é feita pelo XID através de inferência na ontologia.
Como relação ao desempenho a proposta é comparável à detecção baseada em
assinaturas quando os ataques são conhecidos. Quando os ataques não são conhecidos a
proposta perde em desempenho quando comparada à abordagem por assinaturas, porém,
neste caso podem ser detectadas variações de payloads com taxa nula de falsos
positivos, mitigando ataques zero-day, por exemplo. Esta inferência de ataques que não
estão pré-cadastrados na base não é possível na abordagem clássica de detecção baseada
em assinaturas e imprecisa na baseada em anomalias.
55