Toda outra família desta série começou com um equipamento. Esta começou com um problema de arquivo: computadores produziam registros do que as pessoas faziam com eles, ninguém lia aqueles registros, e alguém perguntou o que aconteceria se alguém lesse.

1980: auditar os registros

O relatório técnico de James P. Anderson, Computer Security Threat Monitoring and Surveillance, publicado em abril de 1980, é de onde a detecção automatizada de intrusão costuma ser traçada. A proposta era modesta e consequente: auditar os dados de um computador para identificar padrões anormais de uso ao fim de cada dia, com análise estatística.

Duas coisas nesse enquadramento importam. Era depois do fato - revisão diária, e não alarme ao vivo - e trabalhava sobre registros que o sistema já produzia. A detecção de intrusão não começou acrescentando um sensor. Começou lendo o que já estava lá, que segue sendo a melhoria de segurança mais barata disponível à maioria das organizações e segue sendo a mais pulada.

1984 a 1986: o modelo

No SRI International, que pesquisava análise de trilha de auditoria desde 1983, Dorothy Denning e Peter Neumann desenvolveram um modelo de sistema de detecção de intrusão em tempo real, sob contrato do governo, entre 1984 e 1986. Denning apresentou An Intrusion Detection Model no Symposium on Security and Privacy, em Oakland, em maio de 1986, publicado na IEEE Transactions on Software Engineering em fevereiro de 1987.

A ideia central do modelo ainda é o princípio organizador da área. Construir um perfil estatístico do comportamento normal de cada sujeito e então sinalizar desvio - detecção sem saber de antemão como o ataque se parece. O protótipo foi o Intrusion Detection Expert System, desenvolvido no SRI sob Teresa Lunt, e tinha dois componentes que correspondem exatamente à divisão que todo produto ainda tem: um que aprende o comportamento normal e aponta desvio, e outro que codifica vulnerabilidades conhecidas como regras.

Detecção por anomalia e por assinatura eram irmãs desde o começo, no mesmo protótipo, e toda a história posterior desta família é as duas trocando de lugar conforme qual estivesse mais barata de rodar.

1990: para o fio

A detecção baseada em host lê os registros da própria máquina. O trabalho de L. Todd Heberlein, A Network Security Monitor, apresentado no simpósio do IEEE de 1990, levou a ideia para a rede - observar tráfego em vez de trilha de auditoria.

Essa mudança tornou a categoria comercialmente viável e impôs a restrição da qual ela nunca escapou. Um sensor de rede vê tudo sem tocar em nada, e é por isso que ele é fácil de implantar. Ele também vê só o que cruza o ponto de observação, só o que consegue analisar, e só na velocidade que consegue acompanhar - e cada um desses três limites acabou sendo alcançado.

A era comercial, e a letra que mudou

Ao longo dos anos 1990 o mercado cresceu: a Internet Security Systems com o RealSecure, a Cisco comprando a WheelGroup para adquirir detecção de intrusão em rede, e um conjunto de produtos de host descendentes de trabalho da Força Aérea.

Então, em 22 de dezembro de 1998, Martin Roesch lançou o Snort - inicialmente só para e limitado, e já na versão 1.5, de dezembro de 1999, capaz de análise e registro de pacotes em tempo real. Era gratuito, as regras eram legíveis, e qualquer um podia escrever uma. O Snort fez pela detecção de intrusão o que o Firewall Toolkit tinha feito pelos firewalls cinco anos antes: transformou uma categoria cara de produto em algo que um engenheiro competente podia estudar, e fez da linguagem de regras um vocabulário compartilhado.

A passagem de detecção para prevenção veio depois. Um sistema de detecção de intrusão () fica ao lado do tráfego e alerta; um sistema de prevenção de intrusão () fica no caminho e descarta. Essa única letra muda tudo no risco: um falso positivo em detecção é ruído, e um falso positivo em prevenção é uma queda. Passar de um para o outro converte um problema do analista num problema da operação, e é por isso que implantações maduras ainda escalonam - monitorar, depois bloquear num piloto, depois bloquear em geral, cada passo com data.

Evolução

  • Revisão de auditoria, 1980. Diária, estatística, depois do fato.
  • Detecção em host em tempo real, de 1986 ao início dos anos 1990. O modelo IDES e seus descendentes.
  • Detecção em rede, a partir de 1990. Observar o fio.
  • Assinaturas abertas, a partir de 1998. O Snort, e um formato de regra que outros adotaram.
  • Prevenção, do início dos anos 2000. No caminho, descartando.
  • Absorção, por volta de 2009. A prevenção de intrusão deixa de ser produto e vira recurso do firewall de próxima geração, que é onde a maioria das organizações a roda hoje.
  • Análise comportamental e detecção em endpoint, dos anos 2010. O modelo de anomalia de Denning voltando com poder computacional suficiente para de fato rodá-lo, nos hosts, onde o tráfego ainda é legível.

Esse último ponto merece ênfase. A ideia fundacional da área - traçar o normal e sinalizar o desvio - estava certa em 1986 e foi impraticável por vinte e cinco anos, porque ninguém tinha armazenamento nem processamento para construir linhas de base por sujeito em escala. A onda atual de produtos comportamentais não é ideia nova; é a ideia original finalmente pagável.

Os cargos e as práticas

Esta família criou o analista de segurança e, com ele, o centro de operações de segurança - uma sala cujo propósito inteiro é que alguém leia a saída. Todo outro equipamento desta série roda sem supervisão; um sistema de detecção de intrusão que ninguém lê é custo sem efeito.

Daí veio o problema que define a disciplina e segue sem solução: a fadiga de alertas. Ajuste, supressão, correlação e triagem são todas respostas ao fato de que o volume de detecções excede a atenção humana, e a categoria inteira de gestão de eventos de segurança existe a jusante disso. A medida incômoda de uma implantação de detecção não é o que ela pegou, e sim que fração do que ela sinalizou alguém de fato olhou.

Ela também criou o escritor de regras - ofício específico de expressar um padrão de ataque com precisão suficiente para casar e folga suficiente para sobreviver à variação - e, do outro lado, a disciplina da evasão, que é o mesmo ofício invertido.

As empresas

A pesquisa veio do SRI, de Purdue, da Força Aérea e de laboratórios universitários, e não de fabricantes. A primeira onda comercial foi a Internet Security Systems, a Cisco via WheelGroup, e um conjunto de produtos de host vindos de trabalho governamental. A Sourcefire, fundada por Roesch para comercializar o Snort, foi comprada pela Cisco em 2013. Hoje a função mora principalmente dentro de outros produtos - Palo Alto, Fortinet, Check Point, Cisco -, enquanto a linhagem aberta segue em Snort, Suricata e Zeek, o último descendente direto da pesquisa de monitoração de rede dos anos 1990.

Para onde vai

A cifragem removeu o conteúdo. Um sensor de rede que não lê o tráfego fica reduzido a metadados - quem falou com quem, com que frequência, quanto. O que acaba sendo mais útil do que se esperava, e é por isso que a detecção migrou em parte para análise de tráfego em vez de inspeção de conteúdo.

O endpoint virou o sensor. Onde está o texto em claro, está a detecção. É essa a lógica inteira de detecção e resposta em endpoint, e é a mesma migração que acontece com firewalls e proxies pela mesma razão.

Identidade virou o sinal. A detecção moderna mais valiosa muitas vezes não é sobre pacotes: uma conta se comportando diferente de si mesma, autenticando de um lugar novo, buscando algo que nunca tocou. É o modelo de Denning de 1986 aplicado a pessoas, e não a processos.

E o gargalo não se mexeu. A detecção melhorou em ordens de grandeza; o número de pessoas disponíveis para ler o que ela produz, não. Todo avanço desta família é medido, no fim, contra essa restrição, e a pergunta honesta sobre qualquer capacidade nova de detecção não é o que ela consegue achar, e sim quem vai olhar.

Fontes