Honeyhashes e honeytickets : detecção de ataques pass-the-hash e pass-the-ticket em redes de domínio active directory do Windows
Título alternativo
Honyehashes & honeytickets : detecting pass-the-hash and pass-theticket attacks in Windows active directory domain networks
Autor(a)
Moraes, Fabio Luiz da Rocha
Orientador(a) Coorientador(a)
Deus, Flávio Elias Gomes de||Albuquerque, Robson de Oliveira
Data de aceite
2017-03-06
Data de disponibilizacao
2017-03-06
Data de publicacao
2017-03-06
Data de defesa submissao
2016-12-16
Citacao
MORAES, Fabio Luiz da Rocha. Honeyhashes e honeytickets: detecção de ataques pass-the-hash e pass-the-ticket em redes de domínio active directory do Windows. 2016. xxiii, 86 f., il. Dissertação (Mestrado em Engenharia Elétrica) — Universidade de Brasília, Brasília, 2016.
Dissertação (mestrado) — Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, 2016.
Resumo Portugues
O furto de credenciais é considerado ser uma peça em uma cadeia de eventos que englobam ataques a redes de computadores e sistemas operacionais, sendo a evasão de dados ou incidentes parte de um escopo maior no processo de verificação e resposta a incidentes. Apesar de ataques do tipo Passthe- Hash serem conhecidos no ambiente de Redes Windows há algum tempo, a detecção desses tipos de técnicas ainda constitui um desafio em ambientes onde o processo de autenticação conta com sistemas distribuídos em redes heterogêneas e amplas. De forma a auxiliar no combate e detalhamento deste tipo de problema de segurança em redes, este trabalho estudou as medidas protetivas contra esses ataques e três linhas de detecção. As linhas de detecção foram classificadas em detecção de eventos, detecção de anomalias e detecção de honeytokens. São propostos três elementos que podem auxiliar no confronto ao problema. O primeiro elemento é uma Kill Chain para ataques Pass-the-Hash e Pass-the-Ticket que visa mostrar e explicar a anatomia desses ataques. O segundo é uma classificação para as abordagens de tratamento desses ataques como medida para organizar as diferentes formas como o problema é encarado. O último trata-se de uma arquitetura para servir de base para a implementação de uma ferramenta de detecção. Esse terceiro componente possui fim de ajudar no processo de detecção de intrusão em redes com as características mencionadas.
Resumo Ingles
Credential theft is considered to be a piece in a chain of events that cover attacks to computer networks and operating systems, being data leaks or incidents part of a bigger scope in the process of verification and response to incidents. In spite of Pass-the-Hash and Pass-the-Ticket attacks are long known in the Windows Network environment, the detection of such techniques still constitutes a challenge in environments where the authentication process counts with distributed systems in wide and heterogeneous networks. In order to aid the combating and detailing with this kind of network security problem, this work studied the protective measures against these attacks and three lines of detection. The lines of detection were classified in event detection, anomaly detection and honeytoken detection. Three elements that can help in the confrontation to this matter were proposed. The first element is a Kill Chain for Pass-the-Hash and Pass-the-Ticket attacks, that aims to show and explain the anatomy of these attacks. The second is a classification to the approaches in dealing with the issue as a mean to organize the different ways the problem is treated. The last is about an architecture to serve as a base for the implementation of a detection tool. This third component has an end to help the process of intrusion detection in networks with the mentioned characteristics.
Unidade academica
Faculdade de Tecnologia (FT)
Departamento
Departamento de Engenharia Elétrica (FT ENE)
Programa de Pos-Graduacao
Programa de Pós-Graduação em Engenharia Elétrica
Idioma
Português
Tipo de documento
Dissertação
Formato
application/pdf
Direitos de acesso
Acesso Aberto
Termo de licenca
A concessão da licença deste item refere-se ao termo de autorização impresso assinado pelo autor com as seguintes condições: Na qualidade de titular dos direitos de autor da publicação, autorizo a Universidade de Brasília e o IBICT a disponibilizar por meio dos sites www.bce.unb.br,www.ibict.br,http://hercules.vtls.com/cgi-bin/ndltd/chameleon?lng=pt&skin=ndltd sem ressarcimento dos direitos autorais, de acordo com a Lei nº 9610/98, o texto integral da obra disponibilizada, conforme permissões assinaladas, para fins de leitura, impressão e/ou download, a título de divulgação da produção científica brasileira, a partir desta data.
Palavras-chave
Segurança em redes de computadores - arquitetura||Redes de computadores||Autenticidade
