Criptografia e Segurança de Redes Capítulo 18

Apresentação em tema: "Criptografia e Segurança de Redes Capítulo 18"— Transcrição da apresentação:

1 Criptografia e Segurança de Redes Capítulo 18
4ª Edição por William Stallings Slides para palestra por Lawrie Brown Traduzido por Otavio Moreira Slides para palestra por Lawrie Brown para “Criptografia e Segurança de Redes”, 4/e, por William Stallings, Capítulo 18 – “Intrusos”. Traduzido por Otavio Moreira

2 Capítulo 18 – Intrusos Eles concordaram que Graham deveria definir o teste para Charles Mabledene. Nada mais, nada menos do que Dragon deveria obter o código de Stern. Se ele tivesse a ‘entrada’ em Utting, que afirmou ter, isso deveria ser possível, e somente a lealdade a Central de Moscou impediria isso. Se ele tivesse a chave para o código, provaria sua lealdade à Central de Londres sem sombra de dúvida. —Talking to Strange Men, Ruth Rendell Citação de abertura.

3 Intrusos Uma questão importante para sistemas em rede são acessos hostis ou indesejados Seja via rede ou local Podemos indentificar os intrusos por classes: Mascarado (masquerader) Infrator (misfeasor) Usuário clandestino (clandestine user) Com níveis de competência diferentes Uma questão importante para sistemas em rede são acessos hostis, ou pelo menos indesejados, através de login não autorizado ou uso de um sistema, por usuário local ou remoto; ou por softwares contendo vírus como Worm ou Cavalo de Tróia. Uma das duas ameaças à segurança que ganha mais publicidade é a do intruso (ou hacker ou cracker), que Anderson identificou em três classes: • Mascarado (masquerader): um indivíduo que não está autorizado a usar o computador e que penetra nos controles de acesso de um sistema para explorar a conta de um usuário legítimo • Infrator (misfeasor): Um usuário legítimo que acessa dados, programas ou recursos para os quais não tem autorização de acesso, ou que está autorizado para tal acesso, mas faz mau uso de seus privilégios • Usuário clandestino (clandestine user): Um indivíduo que se apodera do controle de supervisor do sistema e utiliza esse controle para escapar de auditorias e controles de acesso ou para suprimir provas parciais de auditoria Ataques de intrusos variam de não perigosos (simplesmente exploram as interligações de redes para ver o que há la fora); até sérios (que tentam ler dados privilegiados, realizar modificações não autorizadas nos dados ou interromper o sistema)

4 Intrusos Claramente um problema com publicidade crescente
de “Wily Hacker” em 1986/87 to clearly escalating CERT stats Podem ser benignos, mas continuam consumindo recursos Podem utilizar sistema comprometido para lançar outros ataques Consciência dos invasores levou ao desenvolvimento da CERT A ameaça de intruso tem obtido bastante publicidade, particularmente devido ao famoso incidente “Wily Hacker” de , documentado por Cliff Stoll. Os intrusos benignos podem ser toleráveis, embora consumam recursos e possam tornar lento o desempenho de usuários legítimos. Porém não há uma maneira de saber antecipadamente se um intruso será benigno ou maligno. Intrusos podem usar sistemas comprometidos para lançar outros ataques em outros sistemas, aumentando a performance da degradação. Um dos resultados da crescente consciência do problema de intrusão tem sido o estabelecimento de diversas equipes de resposta a emergências de computador (CERTs). Esses empreendimentos cooperativos reúnem informações sobre vulnerabilidades do sistema que são disseminadas para gerentes de sistemas.

5 Técnicas de Intrusão O objetivo é obter acesso e/ou aumentar privilégios em um sistema Metodologia básica de ataque Adquiri um alvo e recolher informações Acesso inicial Aumentar os privilégios covering tracks (cobrindo faixas?) O objetivo principal é ,geralmente, a aquisição de senhas. Então exerce o direito do proprietário Conhecer os métodos de ataque padrão é a chave principal para limitar sua vulnerabilidade. O objetivo básico é obter acesso e/ou aumentar privilégios em algum sistema. A lista de metodologia de ataques básico pode ser vista em “Hacking Exposed” de McClure. A técnica básica para obter acesso é adquirir a senha de um usuário (preferencialmente administrador), então o invasor pode se logar e exercer todos os diretos de acesso à conta do usuário.

6 Adivinhando Senhas Um dos ataques mais comuns
Invasor conhece um login (de /web page etc) Depois tenta adivinhar uma senha para ele defaults, palavras pequenas, palavras muito procuradas Informações do usuário (variações no nome, aniversário, telefone, interesses/palavras comuns) Tentar exaustivamente todas as senhas possíveis Checar pelo login ou contra arquivos de senha roubados Sucesso depende da senha escolhida pelo usuário Inquéritos mostram que muitos usuários escolhem mal Adivinhar senha é um ataque comum. Se o invasor obtiver um arquivo de senha mal protegido, em seguida pode montar ataques off-line, de forma que o alvo não tenha conhecimento de seu progresso. Alguns SO têm menos cuidados do que outros com seus arquivos de senha. Depois de um certo número de falhas de login, o sistema percebe isso e desencadeia uma série de contramedidas pelo administrador/segurança. Provavelmente o sucesso depende muito de quão bem a senha foi escolhida. Infelizmente, freqüentemente os usuários não escolhem bem.

7 Capturando Senha Outro ataque envolve captura de senha
Fazer verificação de tráfico pra ver quando a senha é digitada Usar um programa cavalo de tróia para coletar Monitorar uma rede insegura de login ex. telnet, FTP, web, Extrair informações gravadas depois de obter êxito no login (histórico da web/cache, último número discado etc) Usando login/senha válidos podemos fingir ser um usuário Usuários precisam ser educados a utilizar precauções adequadas Existem também várias formas de “capturar” um par login/senha, da baixa tecnologia de análise de tráfego, para o uso de programas Cavalos de Tróia, para sofisticadas ferramentas de monitoramento de rede, ou extraindo informações salvas depois de um login bem sucedido – como o histórico da web ou informações que ainda estejam na cache, ou o último número discado em um telefone etc. É necessário educar os usuários a prestar atenção no que acontece ao seu redor, a checar se eles estão realmente interagindo com o com o computador (caminho confiável), a tomar cuidado com informações desconhecidas, a utilizar conexões de rede seguras (HTTPS, SSH, SSL), a apagar o histórico do browser/telefone após o uso etc.

8 Detecção de Intrusão Inevitavelmente haverá falhas de seguraça
Por isso precisamos também detectar as intrusões então podemos: Bloquear se a detecção for rápida Agir como uma proteção Coletar informações para aperfeiçoar a segurança Presumir que o intruso terá o comportamento diferente do usuário legítimo Mas haveria distinção imperfeita entre eles(?) Inevitavelmente, o melhor sistema de prevenção de intrusos irá falhar. Uma segunda linha defesa é a detecção de intrusão, que visa detectar intrusões, por isso pode: bloquear acesso & minimizar os danos se detectado com rapidez; agir como uma proteção dando a chance de serem capturados, ou pode coletar informações dos invasores para aperfeiçoar a segurança pro futuro. Detecção de intruso é baseado na suposição que o comportamento do intruso difere do usuário legítimo dessa forma eles são quantificados.

9 Abordagens para Detecção de Intrusão
Detecção estatística de anomalia Detecção de limiar Baseada em perfil Detecção baseada em regras Detecção de anomalia Identificação de penetração Podemos identificar as seguintes abordagens para detecção de Intrusão: Detecção estatística de anomalia: Envolve a coleta de dados relacionados ao comportamento de usuários legítimos por um período de tempo. Depois, testes estatísticos são aplicados ao comportamento observado para determinar com um alto nível de confiabilidade se esse comportamento não é um comportamento legítimo do usuário. a. Detecção de limiar: Essa técnica envolve a definição de limiares, independente do usuário, para a freqüência de ocorrência de vários eventos. b. Baseada em perfil: Um perfil de atividade de cada usuário é desenvolvido e usado para detectar mudanças no comportamento das contas individuais. 2. Detecção baseada em regras: Envolve uma tentativa de definir um conjunto de regras que podem ser usadas para decidir se determinado comportamento é o de um intruso. a. Detecção de anomalia: Regras são desenvolvidas para detectar os desvios dos padrões de uso anteriores. b. Identificação de penetração: Uma abordagem por sistema especialista que procura por comportamento suspeito

10 Registros de Auditoria
Ferramenta fundamental para a Detecção de Intrusão Registros de auditoria navitos Parte de todo SO multiusuário comum Já presente para uso Talvez não tenha a informação requerida em um formato conveniente Registros de auditoria específicos para detecção Criado especificamente para coletar informações requeridas Custo de um overhead extra no sistema Uma ferramenta fundamental para a detecção de intrusão é o registro de auditoria. Algum registro da atividade contínua realizada pelo usuário precisa ser mantido como entrada de um sistema de detecção de intrusão. Basicamente, dois planos são usados: • Registros de auditoria nativos: Virtualmente todos os principais SOs incluem um software contabilizador que coleta informações das atividades do usuário, a vantagem é que já está la, a desvantagem é que talvez não contenha a informação necessária. • Registros de auditoria específicos para detecção: implementa a coleta com facilidade gerando registros de auditoria personalizados com as informações desejadas, a vantagem é que é portátil, a desvantagem é o overhead extra envolvido.

11 Detecção Estatística de Anomalia
Análise de limiar Conta ocorrências de um evento específico ao longo do tempo Se exceder um valor razoável supõe-se que seja intrusão Sozinho é um detector imperfeito e ineficaz Baseada em perfil Caracterizado no comportamento passado dos usuários Detectar desvios significativos a partir destes Perfil normalmente possui multiparâmetros As técnicas de Detecção Estatística de Anomalia podem ser sistemas de Análise de limiar e baseada no perfil. A detecção por análise de limiar envolve a não ocorrência de um evento específico em um determinado intervalo de tempo, se a contagem superar um número razoável, então a intrusão é assumida. Por si só, é um detector grosseiro e ineficaz. A detecção de anomalia baseada no perfil concentra-se nas características do comportamento passado pelo usuário ou pelo grupo, e em seguida são detectados desvios significativos. Um perfil pode ser constituído por um conjunto de parâmetros, se houver desvio de somente um parâmetro talvez não seja o suficiente para dar um sinal de alerta. O fundamento desta abordagem é análise dos registros de auditoria.

12 Análise dos Registros de Auditoria
Fundamento das estatísticas de abordagem Analize dos registros para obter métricas ao longo do tempo contador, medidor, temporizador de intervalo, utlização de recursos Utiliza vários testes para determinar se o comportamento corrente é aceitável média e desvio padrão, multivariado, processo de Markov, séries de tempo, operacional principal vantagem é que nenhum conhecimento prévio é utilizado Uma análise dos registros de auditoria, por um período de tempo pode ser usada para determinar o perfil de atividade do usuário comum. Então os registros de auditoria atuais são utilizados como entrada para verificar se na próxima análise de registros de auditoria haverá desvio do comportamento comum. Exemplos de métricas úteis para a detecção de intrusão baseada em perfil são: contador, medidor, temporizador de intervalo, utilização de recursos. Dadas essas métricas gerais diversos testes podem ser realizados para determinar se a atividade atual se encaixa dentro dos limites aceitáveis, como: Média e desvio padrão, Multivariado, Processo de Markov, Séries de tempo, Operacional No quadro 18.1 do livro mostra diversas medidas consideradas ou testadas para o sistema de detecção de intrusão (IDES) do Stanford Research Institute (SRI). A principal vantagem do uso de perfis estatísticos é que um conhecimento prévio das falhas de segurança não é exigido. Assim ele deverá ser prontamente portável entre uma série de sistemas.

13 Detecção de Intrusão Baseada em Regras
Observa eventos no sistema e aplica regras para decidir se é atividade suspeita ou não Detecção de anomalia baseada em regras Analisa registros históricos de auditoria para identificar habitos de consumos e geração automática de regras por eles Então observa o comportamento atua e compara com as regras para ver se confirma Como a detecção de anomalia por estatística não requer conhecimento prévio das falhas de segurança Técnicas baseada em regras detectam a intrusão observando eventos no sistema e aplicando um conjunto de regras que levam a uma decisão com relação a se determinado padrão de atividade é ou não suspeito. Em termos muito gerais podemos caracterizar todas as técnicas como focalizando ou detectando anomalias ou a identificação de penetração, embora haja alguma sobreposição dessas abordagens. A detecção de anomalias baseada em regras é semelhante à detecção estatística de anomalia em termos de abordagem utilizada e de pontos fortes. Com a técnica baseada em regras, registros de auditoria históricos são analisados para identificar padrões de uso e gerar automaticamente regras que descrevem esses padrões. Assim como a detecção estatística de anomalia, a detecção de anomalia baseada em regras não exige conhecimento das vulnerabilidades de segurança do sistema.

14 Detecção de Intrusão Baseada em Regras
Identificação de Penetração Baeada em Regras Usa tecnologia de um sistema especialista Com as regras identifica penetração conhecida, pontos fracos, ou comportamento suspeito Compara os registros de auditoria ou os estados com as regras Regras normalmente específicas para máquina e SO Regras geralmente são criadas por especialista que são entrevistados e codificados com o conhecimento dos adminstradores de segurança A qualidade depende do quão bem isso é feito A identificação de penetração baseada em regras usa uma técnica muito diferente para a detecção de intrusão baseada na tecnologia de um sistema especialista. Um recurso importante desse tipo de sistema é o uso de regras para identificar penetrações conhecidas ou penetrações que exploram pontos fracos conhecidos, ou identifica comportamento suspeito. Normalmente, as regras usadas nesses sistemas são especificas para máquina e sistema operacional. As regras são geradas por “especialistas”, de entrevistas de administradores de sistema e analistas de segurança. Assim a força da abordagem depende das técnicas que estão envolvidas na criação das regras.

15 O Mito da Probabilidade de Base
Para que tenha um uso prático um sistema de detecção de intrusão precisa detectar uma porcentagem substancial de intrusões com poucos alarmes falsos Se poucas intrusões forem detectadas-> falso sentido de segurança Se tiver grande quantidade de alarmes falsos -> ignora / perda de tempo Isto é muito difícil de fazer Existem sistemas que não possuem um bom registro Para que tenha um uso prático, um sistema de detecção de intrusão deve detectar uma porcentagem substancial de intrusões, enquanto mantém a taxa de alarmes falsos é um nível aceitável. Se apenas uma porcentagem moderada das intrusões reais for detectada, o sistema oferece um falso sentido de segurança. Por outro lado, se o sistema freqüentemente disparar um alerta quando não houver intrusão (um alarme falso), então os gerentes do sistema começarão a ignorar os alarmes, ou muito tempo será gasto analisando os alarmes falsos. Infelizmente, devido à natureza das probabilidades envolvidas, é muito difícil atender o padrão de alta taxa de detecções com uma baixa taxa de alarmes falsos. Um estudo dos sistemas de detecção de intrusão existentes, indicou que os sistemas atuais não contornam o problema do mito da probabilidade de base.

16 Detecção de Intrusão Distribuída
Tradicionalmente focalizado em um único sistema Mas tipicamente necessita defender um sistema em rede Defesa mais eficaz com trabalho em equipe na detecção de intrusões Questões Lidar com formatos variados de registros de auditoria Integridade e confidencialidade desses dados em rede Arquitetura centralizada ou descentralizada Até recentemente, o trabalho sobre sistemas de intrusão focalizava as estruturas isoladas de um único sistema. Uma organização típica, porém, precisa defender um conjunto distribuído de hosts que compõem uma LAN ou inter-rede. Embora seja possível montar uma defesa usando sistemas de detecção de intrusão isolados em cada host, uma defesa mais eficaz pode ser obtida pela coordenação e cooperação entre sistemas de detecção de intrusão na rede. Porras aponta os seguintes problemas principais no projeto do sistema de detecção de intrusão distribuído: • Um sistema de detecção de intrusão distribuído precisa lidar com formatos variados de registros de auditoria • Um ou mais nos na rede servirão como pontos de coleta e análise dos dados dos sistema na rede, que devem ser transmitidos em segurança • Podem ser usados dois tipos de arquitetura: a centralizada (único ponto, mais fácil porém age como um gargalo) ou descentralizada (onde multiplos centros coordenam).

17 Distributed Intrusion Detection - Architecture
Monitor de LAN Módulo agente Roteador A Figura18.2 mostra a arquitetura geral, que consiste três componentes principais: • Módulo agente do host: Um módulo de coleta de auditoria operando em segundo plano em um sistema monitorado. • Módulo agente monitor da LAN: Igual ao anterior exceto que esse faz análise de tráfego da LAN • Módulo gerenciador central: Recebe relatórios do monitor da LAN e agentes do host e processa e correlaciona esses relatórios para detectar a intrusão Gerenciador central Módulo gerenciador

18 Detecção de Intrusão Distribuída – Implementação do Agente
Informações de auditoria do SO Filtro Gerenciador central Registro de auditoria do host Lógica Alertas Consulta/ resposta A Figura 18.3 mostra a técnica geral utilizada. O agente capta cada registro de auditoria produzido pelo sistema de coleta de auditoria nativo. Um filtro que retém apenas os registros que são de interesse à segurança é aplicado. Esses registros são então reformatados em um formato padronizado conhecido como registro de auditoria do host (HAR – Host Audit Record). Em seguida, um módulo de lógica guiado por um modelo analisa os registros em busca de atividades suspeitas. Quando é detectada uma atividade suspeita, um alerta é enviado ao gerenciador central. O gerenciador central inclui um sistema especialista que pode tirar conclusões a partir dos dados recebidos. O gerenciador também pode consultar sistemas individuais para obter cópias de HARs para correlacionar com aquelas de outros agentes. Máquina de protocolo do agente Atividade observável Assinaturas Sessões dignas de atenção Modificações

19 Honeypots Sistemas de armadilha, para atrair atacantes
Desviar um atacante do acesso a sistemas críticos Coletar informações sobre a atividade do atacante Encorajar o atacante a permanecer no sistema por tempo o suficiente para que os administradores respondam Recheados com informações falsas Preparado para coletar informçoes detalhadas das atividades do atacante Sistemas únicos ou compatilhados em rede Padrões Intrusion Detection Working Group do IETF Honeypots são sistemas de armadilhas, criados para atrair atacantes em potencial para longe de sistemas críticos, e: • desviar um atacante do acesso a sistemas críticos • coletar informações sobre a atividade do atacante • encorajar o atacante a permanecer no sistema por tempo suficiente para que os administradores respondam Esses sistemas são recheados com informações inventadas, criadas para que pareçam ser valiosas, mas que um usuário legítimo do sistema não acessaria, assim, qualquer acesso ao Honeypot é suspeito. O sistema é preparado com monitores sensíveis e registradores de eventos que detectam esses acessos e coletam informações sobre as atividades do atacante. Houve a evolução de um único computador honeypots para honeynets de multiplos sistemas dispersados. Intrusion Detection Working Group IETF --> A finalidade do grupo de trabalho é definir formatos de dados e procedimentos de troca para o compartilhamento de informações interessantes aos sistemas de detecção e resposta à intrusão e aos sistemas de gerenciamento que podem ter de interagir com eles.

20 Gerenciamento de Senhas
Primeira linha de defesa contra intrusos O usuário deve fornecer ambos: login – determina os privilégios desse usuário senha – para identifica-lo Senhas freqüentemente são encriptadas antes de serem armazenadas Unix usa multiplo DES (variando com sal) Sistemas mais recentes utilizam criptografia com função de hash Deve proteger o arquivo de senha no sistema A primeira linha de defesa contra intrusos é o sistema de senhas, onde o usuário provê seu login (ID) e uma senha. A senha serve para autenticar a ID do indivíduo efetuando o login no sistema. Senhas nunca são armazenadas às claras (isso as torna mais vulneráveis). O sistema Unix tradicionalmente utiliza um multiplo DES que varia com o sal como uma função de hash “só de ida”. Os mais recentes a criptografia com função de hash (ex. MD5). O arquivo contém essas senhas hashes necessárias para acessar o controle de proteções para fazer com que a tentativa seja mais difícil.

21 Estudos & Senhas Purdue 1992 – muitas senhas curtas
Klein 1990 – muitas senhas descobertas Conclusão é que os usuários escolhem freqüentemente senhar fracas Precisamos de técnicas para combater isso Estudos mostram que usuários freqüentemente tendem a escolher senhas pobres. Um estudo feito na Purdue University em 1992 observou escolha de mudança de senhas em 54 máquinas, representando aproximadamente usuários. Quase 3% das senhas tinham 3 caracteres ou menos, o que torna ataque por força bruta uma opção eficaz. O tamanho da senha é apenas uma parte do problema, muitas pessoas escolhem senhas que podem ser descobertas, como seu próprio nome, o nome da sua rua, uma palavra comum de um dicionário, e assim por diante. Isso torna a tarefa de quebrar a senha simples. Um estudo feito por Klein em Ele coletou arquivos de senhas do UNIX, contendo quase senhas criptografadas, resumindo, quase um quarto das senhas foram descobertas. Uma estratégia seria forçar os usuários a escolher senhas que sejam difíceis de descobrir.

22 Gerenciamento de Senhas – Treinamento do Usuário
Pode usar política e bom treinamento para os usuários Ensinar a importância de boas senhas Dar uma orientação para escolher senhas Mínimo de 6 caracteres (>6) Requer uma mistura de letras minúsculas e letras maiúsculas, números e caracteres especiais Não utilizar palavras do dicionário Mas suscetível a ser ignorado por muitos usuários O objetivo, então, é eliminar senhas de fácil descoberta e permitir que o usuário selecione uma senha que seja fácil de lembrar. Quatro técnicas básicas são utilizadas: treinamento de usuário, senhas geradas pelo computador, verificação reativa da senha e verificação pró-ativa da senha. A estratégia de treinamento do usuário diria aos usuários a importância da utilização de senhas difíceis se serem descobertas e daria orientações para eles selecionarem senhas fortes, mas necessitaria da cooperação deles. O problema é que muitos usuários virão simplesmente ignorar as orientações.

23 Gerenciamento de Senhas – Senhas Geradas Pelo Computador
Deixa o computador criar as senhas Se for muito aleatoria e o usuário não conseguir memorizar, ele tera que escrever (síndrome da etiqueta adesiva) Mesmo que seja pronunciável pode não ser difícil de lembrar Possui histórico de fraca aceitação pelos usuários FIPS PUB 181 um dos melhores geradores Possui ambos descrição e código-fonte Geração de palavras pela concatenação de sílabas pronunciáveis geradas aleatoriamente Um computador gerador de senhas cria uma senha para usuário, mas possui problemas. Se as senhas forem de natureza muito aleatória, o usuário poderá ter dificuldade para lembrá-la. Mesmo se a senha for pronunciável, o usuário pode ter dificuldade para lembrá-la e, por isso será tentado a escrevê-la. Em geral, os esquemas de senha gerados pelo computador possuem um histórico de fraca aceitação pelos usuários. FIPS PUB 181 define um dos geradores de senha automatizados mais bem projetados. O padrão inclui não apenas uma descrição da técnica, mas também uma listagem completa do código-fonte do algoritmo em linguagem C, que gera palavras formando sílabas pronunciáveis, concatenando-as para formar uma palavra.

24 Gerenciamento de Senhas – Verificação Reativa de Senhas
Reativamente roda ferramentas para descobrir senhas Note que existem bons dicionários para qualquer idioma Senhas quebradas são desabilitadas Mas é um recurso intensivo Senhas ruims são vuneráveis até serem encontradas Uma estratégia de verificação reativa de senha é aquela em que o sistema executa periodicamente seu próprio quebrador de senhas para encontrar senhas de fácil descoberta. O sistema cancela quaisquer senhas descobertas e notifica ao usuário. As desvantagens são que ela exige muitos recursos se a tarefa for feita corretamente, e quaisquer senhas existentes permanecem vulneráveis até que o verificador de senhas reativo as encontre.

25 Gerenciamento de senhas – Verificação Proativa de Senhas
Técnica mais promissora para maior segurança das senhas O usuário pode escolher sua própria senha Mas o sistema verifica se a senha é aceitável Execução de regras simples(ver slides anteriores) Compara as senhas ruins com um dicionário Usa algorítmos (modelo de Markov ou filtro de Bloom) para detectar escolhas ruins. A técnica mais promissora para maior segurança das senhas é o verificador proativo de senhas, onde o usuário tem permissão para selecionar sua própria senha, maso sistema verifica se a senha é aceitável, e se não for ela será rejeitada. O truque com um verificador proativo de senhas é conseguir um equilíbrio entre aceitabilidade do usuário e força. A primeira técnica é um sistema simples para imposição de regras, execução das orientações dadas no treinamento para usuários. Mas talvez não seja o bastante. Outra técnica seria compilar um grande dicionário de possíveis senhas ruins e faz uma comparação da senha selecionada pelo usuário com a lista de senhas desaprovadas. Mas essa pode ser uma maneira de busca muito longa e lenta. Uma terceira técnica é baseada na rejeição de palavras usando tanto um modelo de Markov de resolução de senhas, ou um filtro de Bloom. Ambos tentam identificar boas e más senhas sem a utilização de grandes dicionários. Ver no livro para mais detalhes.

26 RESUMO considerações: Problema de intrusão
Detecção de intrusão(estatística & baseada em regras) Gerenciamento de senha Resumo do capítulo 18.