05 - Mecanismos de Defesa
video: https://youtu.be/... no frontmatter da nota.Mecanismos de Defesa
1. Visão Geral
Os mecanismos de defesa em segurança de redes são uma combinação de tecnologias, processos e condutas humanas projetadas para proteger a infraestrutura e os dados contra acessos indesejados, danos ou interrupções. Esses mecanismos não são "receitas de bolo" prontas, mas devem ser adaptados conforme o contexto, a criticidade de cada rede, o orçamento disponível e o apetite a risco da organização.
A doutrina clássica é a defesa em profundidade (Defense in Depth), herdada das fortificações medievais: múltiplas camadas independentes de defesa, de modo que a falha de uma não comprometa o todo. As camadas típicas são: perímetro → DMZ → rede interna → segmento de servidores → aplicação → dado → identidade do usuário.
| Camada | Controles Típicos | Falha Comum |
|---|---|---|
| Física | Trancas, biometria, CCTV, salas-cofre | Portas destrancadas, tailgating |
| Perímetro | NGFW, anti-DDoS, screening router | Regras any-any |
| Interno | Segmentação, ACL, IPS interno | VLAN única plana |
| Aplicação | WAF, code review, SAST/DAST | Inputs sem validação |
| Dado | Criptografia, DLP, tokenization | Chaves em arquivo texto |
| Identidade | MFA, RBAC, PAM, SSO | Senhas compartilhadas |
2. Defesa de Perímetro: Firewalls
O firewall é considerado um dos principais elementos ativos no perímetro de defesa, atuando como uma barreira entre o que se quer proteger (rede interna) e redes externas (como a Internet). A evolução técnica levou a seis gerações principais:
| Geração | Tipo | Camada | Capacidade |
|---|---|---|---|
| 1ª | Packet Filter | 3-4 | Stateless; compara 5-tuple com ACL |
| 2ª | Stateful Inspection | 3-4 | Mantém tabela de sessões TCP/UDP |
| 3ª | Application Layer (ALG) | 7 | Inspeciona HTTP/FTP, SQLi/XSS básico |
| 4ª | NGFW | 3-7 | Stateful + IPS + App ID + User ID |
| 5ª | NGFW com TLS Inspection | 7 | Decifra SSL/TLS para inspeção profunda |
| 6ª | Cloud-Native SWG/SSE | 7 | Distribuído, identity-aware, ZTNA |
2.1. Filtro de Pacotes
Opera nas camadas 3 e 4, tomando decisões baseadas em endereços IP, portas, protocolo e flags TCP. Rápido, mas não enxerga contexto de aplicação. Útil em roteadores de borda para anti-spoofing e bloqueio de portas não utilizadas.
2.2. NGFW (Next-Generation Firewall)
Também chamados de firewalls de camada 7, possuem a capacidade de entender o tráfego das aplicações, permitindo bloquear ataques refinados que exploram vulnerabilidades específicas de softwares. Funcionalidades típicas:
- Application Awareness: Identifica aplicações (Facebook, BitTorrent, SSH) mesmo em portas não padrão.
- User Identity: Correlaciona IP a usuário (via Active Directory, Entra ID).
- TLS/SSL Inspection: Decifra tráfego HTTPS com SSL forward proxy, reinspeciona e recifra.
- IPS Integrado: Bloqueia explorações conhecidas com assinaturas atualizadas diariamente.
- Threat Prevention: Antivírus, anti-bot, anti-malware sandbox.
2.3. Firewall em Linux (iptables / nftables)
Utiliza o módulo netfilter do kernel para filtrar pacotes, realizar NAT e redirecionamento de portas. A política default deve ser DROP em INPUT/FORWARD, com regras explícitas para ESTABLISHED,RELATED, loopback e serviços específicos (ex.: SSH da rede de gestão). O nftables (substituto moderno) traz sintaxe unificada, melhor performance e suporte nativo a sets/maps.
3. Detecção e Prevenção de Intrusão (IDS e IPS)
Sistemas que monitoram a rede ou o host em busca de atividades maliciosas.
3.1. Classificação
| Tipo | Modo | Posição | Exemplos |
|---|---|---|---|
| NIDS | Passivo (IDS) | SPAN/port-mirror | Snort, Suricata, Zeek |
| NIPS | Ativo (IPS) | Inline | Suricata IPS, Sourcefire, Palo Alto IPS |
| HIDS | Host-based | Agente no SO | Wazuh, OSSEC, Tripwire |
| HIPS | Host-based ativo | Agente + filtro kernel | CrowdStrike, SentinelOne, Defender for Endpoint |
| WAF | Aplicação (L7) | Inline reverse proxy | ModSecurity, F5 ASM, Cloudflare WAF |
| NBA | Comportamental | SPAN | Darktrace, Vectra, ExtraHop |
3.2. IDS vs IPS
- IDS (Sistema de Detecção de Intrusão): Funciona de modo passivo, detectando potenciais violações, registrando logs e disparando alertas para o administrador. Não interfere no tráfego.
- IPS (Sistema de Prevenção de Intrusão): Funciona de modo ativo, podendo responder a atividades suspeitas em tempo real, encerrando sessões TCP (RST), bloqueando IPs no firewall ou dropping de pacotes maliciosos.
3.3. HIDS vs NIDS
- HIDS (Host-based IDS): Protege máquinas específicas. Monitora logs do SO, integridade de arquivos (hash), processos em execução, conexões de rede do host.
- NIDS (Network-based IDS): Analisa o fluxo global de dados que trafega pelo segmento. Detecta ataques em andamento mesmo em hosts sem agentes, mas é cego para tráfego cifrado de ponta a ponta.
3.4. Estratégias de Detecção
| Estratégia | Mecanismo | Vantagem | Limitação |
|---|---|---|---|
| Signature-based | Compara padrões com base de assinaturas | Alta precisão, baixo falso positivo | Não detecta zero-day |
| Anomaly-based | Aprende baseline e detecta desvios | Detecta comportamento inédito | Muitos falsos positivos no início |
| Heuristic | Regras lógicas de comportamento | Equilibra precisão e cobertura | Requer ajuste manual |
| ML/AI-based | Modelos de machine learning | Escala para milhões de eventos | Black box, explicabilidade baixa |
4. Listas de Controle de Acesso (ACL) em Roteadores
Roteadores podem atuar como elementos de segurança através de ACLs, que são listas sequenciais de regras de permissão ou negação. Elas filtram o tráfego com base em protocolos, endereços IP e portas, agindo tanto na entrada (inbound) quanto na saída (outbound) das interfaces.
Em ambientes modernos, as ACLs são substituídas ou complementadas por security groups em nuvem (AWS SG, Azure NSG, GCP Firewall Rules), que operam por instance e seguem o princípio default deny. Exemplo clássico de ACL é o anti-spoofing na borda, bloqueando prefixos RFC 1918 vindos da Internet.
5. Criptografia e Certificados Digitais
A criptografia é o método mais eficaz para ocultar comunicações e garantir a confidencialidade.
5.1. Tipos de Criptografia
| Tipo | Mecanismo | Uso Típico |
|---|---|---|
| Simétrica | AES-256, ChaCha20 | Volume grande; rápida |
| Assimétrica | RSA-2048, ECDSA P-256, Ed25519 | Troca de chaves, assinatura |
| Hash | SHA-256, BLAKE3 | Integridade, fingerprint |
| AEAD | AES-GCM, ChaCha20-Poly1305 | Confidencialidade + integridade em uma operação |
5.2. VPN (Virtual Private Network)
Cria um túnel criptografado que assegura comunicações seguras através de redes inseguras, como a Internet. Tecnologias comuns:
| Tecnologia | Camada | Uso |
|---|---|---|
| IPsec | 3 (L3) | Site-to-site corporativo |
| SSL/TLS VPN | 7 (L7) | Acesso remoto de usuário |
| WireGuard | 3 (L3) | Moderno, código minimalista, alta performance |
| OpenVPN | 7 (L7) | Multiplataforma, configurável |
| L2TP/IPsec | 2+3 | Legado; substituído por IKEv2 |
5.3. Certificados Digitais (PKI)
Garantem a identidade do site e protegem os dados trocados entre cliente e servidor em transações online. A PKI (Public Key Infrastructure) envolve:
- CA (Certificate Authority): Emite e assina certificados (DigiCert, Let's Encrypt, Sectigo).
- RA (Registration Authority): Valida a identidade do solicitante.
- VA (Validation Authority): Mantém OCSP / CRL para checagem de revogação.
- HSM: Armazena chaves da CA em hardware certificado (FIPS 140-2 Level 3+).
6. Mecanismos de Gestão de Acesso (AAA)
A segurança lógica depende da confirmação de identidade e controle de privilégios.
6.1. Modelo AAA
| Componente | Pergunta | Implementação |
|---|---|---|
| Autenticação | Quem é o usuário? | Senha, MFA, biometria, certificado |
| Autorização | O que ele pode fazer? | RBAC, ABAC, políticas IAM |
| Auditoria (Accounting) | O que ele fez? | Logs, SIEM, sessão gravada (PAM) |
6.2. Protocolos de Suporte
| Protocolo | Porta | Característica |
|---|---|---|
| RADIUS | UDP 1812/1813 | Autenticação + accounting; criptografa só a senha |
| TACACS+ | TCP 49 | Cisco; cifra todo o pacote; separa A/A/A |
| Diameter | TCP/SCTP 3868 | Sucessor do RADIUS; usado em 4G/5G |
| Kerberos | TCP 88 | SSO com tickets; usa criptografia simétrica |
| SAML 2.0 | HTTPS | Federation entre empresas |
| OIDC | HTTPS | OAuth 2.0 + identidade; padrão moderno |
7. Mecanismos de Continuidade e Resiliência
A defesa também envolve a capacidade de recuperação após incidentes.
7.1. Backup e Redundância
| Estratégia | Descrição | RPO Típico |
|---|---|---|
| Backup 3-2-1 | 3 cópias, 2 mídias, 1 offsite | 24h |
| Replicação síncrona | Confirmação dupla antes de ack | 0 |
| Replicação assíncrona | Confirmação local, sync em background | Segundos a minutos |
| Immutable backup | WORM; ransomware não consegue criptografar | Variável |
| Clustering ativo-ativo | Múltiplos sites processando | 0 |
7.2. Plano de Recuperação de Desastres (DRP)
Documento detalhado com instruções para reconstruir os serviços com o menor impacto possível após eventos adversos. Inclui RTO/RPO definidos por sistema, sites de recuperação (cold/warm/hot/cloud), procedimentos de ativação e testes periódicos (tabletop, parallel, full-interruption).
8. Controles Físicos
Representam a primeira camada de segurança em profundidade:
| Controle | Aplicação |
|---|---|
| Salas-cofre (data center vault) | Paredes reforçadas, controle de umidade, fire suppression |
| Controle biométrico | Impede tailgating; padrão: impressão digital, íris, face |
| Câmeras (CCTV) | Cobertura 360°, registro 90+ dias |
| Sensores de movimento | Detecta intrusão fora de horário |
| Trancas eletrônicas | Auditáveis; integra com access control system |
| UPS e geradores | Garantem disponibilidade elétrica; testes mensais |
| Shred de mídias | Destruição física de discos, fitas, papéis |
9. Controles Complementares Modernos
| Controle | Função | Exemplos |
|---|---|---|
| NAC (Network Access Control) | Avalia conformidade do host antes de conceder acesso | Cisco ISE, Forescout, Aruba ClearPass |
| DLP (Data Loss Prevention) | Impede exfiltração de dados sensíveis | Forcepoint, Symantec, Microsoft Purview |
| CASB | Controle de aplicativos SaaS | Netskope, Skyhigh, Microsoft Defender for Cloud Apps |
| SWG (Secure Web Gateway) | Proxy com filtro de URL, anti-malware, TLS inspect | Zscaler, Symantec WSS |
| EDR / XDR | Detecção em endpoint com resposta automatizada | CrowdStrike, Defender, SentinelOne |
| Email Security | Anti-phishing, anti-spam, DLP | Proofpoint, Mimecast |
| Deception | Honeypots, honeytokens, fake shares | TrapX, Attivo |
10. Resumo Prático de Implantação
A construção de uma defesa eficaz segue uma sequência pragmática: (1) inventário de ativos, dados e dependências; (2) classificação por criticidade; (3) hardening com CIS Benchmarks; (4) segmentação e microssegmentação; (5) controle de acesso com MFA, RBAC e PAM; (6) monitoramento contínuo com SIEM, NTA e EDR; (7) resposta com playbooks e SOAR; (8) continuidade com backup imutável e DRP testado; (9) conformidade auditável; (10) treinamento contínuo com simulações de phishing.
11. Conclusão
Mecanismos de defesa não são produtos isolados — são camadas integradas que se sustentam mutuamente. Um NGFW de última geração é inútil sem ACLs corretas no roteador de borda; um IPS afiado não detecta invasão sem visibilidade de tráfego; criptografia impecável não protege dados se a identidade do usuário está comprometida. A defesa eficaz é, antes de tudo, arquitetural: combina tecnologia, processo e pessoas em um sistema coerente, com governança clara e ciclo de melhoria contínua. Não existe prata bala; existe disciplina, monitoramento e capacidade de resposta — e mesmo assim, em segurança, a vitória diária é apenas a preparação para a próxima batalha.