Ameaças Comuns a Redes

1. Visão Geral

Entender as ameaças de redes é o primeiro passo para construir defesas eficazes. Um atacante pode explorar vulnerabilidades em diferentes camadas do modelo OSI para comprometer a integridade, confidencialidade ou disponibilidade dos dados. A classificação clássica das ameaças divide-se em quatro grupos fundamentais: interceptação, interrupção, modificação e falsificação — frequentemente referidos pela sigla SADR (Spoofing, Alteração, Denial, Reprodução).

2. Ataques de Interceptação (Sniffing)

2.1. Princípio

O sniffing consiste em capturar o tráfego de rede para extrair informações sensíveis como senhas, cookies de sessão, chaves de API e-mails e tokens de autenticação. Em redes shared (HUBs ou Wi-Fi), qualquer host pode ler todo o tráfego; em redes switched, é necessário usar técnicas como port mirroring, MAC flooding ou ARP poisoning para forçar a entrega de pacotes ao atacante.

2.2. Ferramentas Típicas

• tcpdump e tshark: captura de pacotes em CLI.
• Wireshark: análise gráfica com dissectors para centenas de protocolos.
• ettercap e bettercap: sniffing combinado com MITM em Camada 2.
• dsniff: suíte clássica para extração automática de credenciais.

2.3. Defesas

• Substituir HUBs por switches (mitiga sniffing passivo).
• Habilitar DHCP Snooping, Dynamic ARP Inspection (DAI) e IP Source Guard em switches gerenciáveis.
• Usar 802.1X para autenticar hosts antes de atribuir portas ativas.
• Migrar todos os protocolos para versões criptografadas (TLS, SSH, IPsec) — sniffing criptografado só revela metadados.

3. Ataques de Interrupção (DoS/DDoS)

3.1. Categorias

Os ataques de negação de serviço dividem-se em três grandes famílias:

• Volumétricos: saturam a largura de banda do alvo. Exemplos: UDP reflection (DNS, NTP, Memcached amplification). Fator de amplificação do Memcached chegou a 51.000:1 em 2018.
• De Protocolo: esgotam recursos do stack TCP/IP. Exemplos: SYN flood (esgota tabela half-open), Ping of Death (ICMP oversized), Smurf (ICMP broadcast).
• De Aplicação: esgotam recursos da camada 7. Exemplos: HTTP flood, Slowloris (mantém conexões abertas), hash collision attacks em parsers XML.

3.2. Indicadores de um DDoS em Curso

• Aumento súbito de tráfego em uma única porta ou endereço IP.
• Picos anômalos de pacotes UDP pequenos ou fragmentados.
• Aumento de conexões SYN_SENT sem transição para ESTABLISHED.
• Latência elevada e perda de pacotes em hosts vizinhos.

3.3. Defesas

• Scrubbing Centers: Serviços como Cloudflare, Arbor, Imperva redirecionam o tráfego suspeito para datacenters de limpeza.
• BGP Blackholing (RTBH): Anúncio de rota null para o IP atacado via comunidade BGP (RFC 5635).
• Flowspec BGP: Permite bloquear com granularidade (porta, tamanho de pacote, flags TCP).
• Rate Limiting e SYN Cookies: Mitigam SYN flood sem descartar conexões legítimas.

4. Ataques de Modificação (MITM)

4.1. ARP Spoofing (Camada 2)

Em redes Ethernet sem proteção, qualquer host pode enviar um ARP Reply gratuito afirmando ser o gateway. As vítimas atualizam suas tabelas ARP e passam a enviar todo o tráfego pelo atacante, que pode ler, modificar ou descartar os pacotes.

4.2. DNS Spoofing (Camada 7)

O atacante envenena o cache DNS do alvo respondendo antes do servidor legítimo, levando a vítima a um site clonado. Variantes incluem:

• DNS Cache Poisoning (Kaminsky, 2008): explora race condition em recursive resolvers.
• DNS Hijacking: comprometimento direto do servidor autoritativo ou do registrador.
• mDNS spoofing: em redes Wi-Fi públicas, para descoberta de serviços locais.

4.3. Defesas

• DNSSEC: Assinatura criptográfica de respostas DNS (RFC 4033).
• DoH/DoT (DNS over HTTPS/TLS): Impede que ISPs ou attackers no caminho alterem respostas.
• HTTPS com HSTS: Garante que o navegador recuse conexões em texto puro, mesmo com redirecionamentos maliciosos.
• Certificado Public Key Pinning (HPKP): Combate rogue CAs em ataques state-level.

5. Ataques de Falsificação (Spoofing)

6. Ameaças Modernas

Com o advento da Nuvem, do IoT e do SaaS, a superfície de ataque evoluiu:

• Ataques à Cadeia de Suprimentos: Comprometimento de fornecedores de software de gerência (SolarWinds Orion, Kaseya VSA, 3CX Desktop App). O atacante injeta backdoors em atualizações assinadas, atravessando firewalls de perímetro.
• Movimentação Lateral: Após a primeira invasão (via spear-phishing, por exemplo), o atacante usa Pass-the-Hash, Kerberoasting e abuso de WMI/PSRemoting para se mover entre hosts e elevar privilégios até atingir o Domain Controller.
• Exfiltração de Dados: Saída silenciosa de dados por canais não convencionais: tunneling DNS (iodine, dnscat2), tunneling ICMP, steganografia em imagens publicadas em redes sociais, ou split-tunneling via serviços legítimos (Google Drive, MEGA, Discord).
• Living-off-the-Land (LotL): Uso de binários legítimos do sistema (powershell, wmic, certutil, rundll32) para evitar detecção por antivírus baseados em assinaturas.

7. Engenharia Social

Embora não seja puramente técnica, a engenharia social é o vetor de entrada de mais de 80% dos ataques bem-sucedidos. Variantes:

• Phishing: E-mails falsos com links clonados.
• Spear Phishing: Alvo específico, com pesquisa prévia (LinkedIn, GitHub).
• Vishing: Chamada telefônica se passando por suporte (help desk, banco).
• Smishing: SMS com URL curta maliciosa.
• BEC (Business Email Compromise): Compromete e-mails de executivos (CEO, CFO) para autorizar transferências fraudulentas — prejuízo global estimado em US$ 50 bilhões entre 2013 e 2022.

8. Resumo Prático de Defesa em Camadas

9. Conclusão

A maioria dos ataques de rede modernos começa com um simples erro de configuração ou o uso de protocolos antigos (Telnet, SNMPv1, FTP em texto puro). Patch management, desativação de serviços desnecessários, MFA e hardening continuam sendo as defesas mais baratas e eficazes — frequentemente mais impactantes do que qualquer ferramenta next-gen. Segurança em rede não é produto, é processo contínuo, e deve ser medida pela capacidade de detecção e resposta (MTTD/MTTR), não apenas pela existência de controles.