Ambientes Específicos de Segurança de Redes

A Segurança de Redes em Ambientes Específicos aborda os desafios que fogem do modelo tradicional de rede corporativa (laptops e servidores Windows/Linux em LAN Ethernet). Ambientes como nuvem, Wi-Fi, IoT, containers e sistemas industriais (OT) exigem controles e protocolos completamente diferentes. Cada um tem suas próprias ameaças, modelos de responsabilidade e pilares de defesa.

1. Visão Geral da Seção

Esta seção consolida os ambientes que demandam abordagens especializadas, indo além do perímetro corporativo tradicional. Cada ambiente tem características únicas de hardware, protocolos, escala e modelo operacional, que inviabilizam a simples replicação de controles da rede "padrão".

2. Segurança em Nuvem (Cloud Computing)

Na nuvem, o conceito de perímetro físico desaparece e a rede é definida por software (SDN).

Modelo de Responsabilidade Compartilhada

• Ameaças: Misconfigurations (Security Groups abertos para 0.0.0.0/0), falhas em APIs de gestão (ex.: SSRF no metadata service 169.254.169.254), roubo de credenciais IAM, container escape, shadow IT.
• Defesa: IAM (Identity and Access Management) com MFA e roles temporárias, Logging detalhado (CloudTrail, Activity Log), microssegmentação (Security Groups por workload), CSPM (Cloud Security Posture Management) e CASB.

Boas práticas cloud

• Mínimo privilégio em IAM, com STS (Temporary credentials).
• Criptografia KMS em disco (EBS, Managed Disk) e objetos (S3, Blob).
• VPC com sub-redes públicas (apenas NAT/LB) e privadas.
• Private endpoints para serviços gerenciados (não expor RDS à Internet).
• GuardDuty / Defender for Cloud para detecção de ameaças nativa.

3. Segurança em Redes Sem Fio (Wi-Fi)

O Wi-Fi é inerentemente inseguro porque o sinal se propaga pelo ar, podendo ser capturado de fora do prédio da empresa.

• Ameaças: Acesso não autorizado, Evil Twin (AP falso com SSID legítimo), deauthentication attack, KRACK (Key Reinstallation Attack, 2017), wardriving.
• Defesa: WPA3 (chaves individuais por station, SAE dragonfly com proteção offline dictionary attack), autenticação via EAP-TLS (certificados X.509 em servidor e cliente), ocultação do SSID (segurança por obscuridade, frágil), wireless IDS/IPS (Cisco MSE, Aruba RFProtect), rogue AP detection.

Comparativo de padrões

4. Segurança em Containers (Docker / Kubernetes)

Containers compartilham o kernel do host, o que reduz isolamento comparado a VMs. O ciclo de vida curto (segundos/minutos) dificulta monitoramento e forense.

• Ameaças: Imagem base vulnerável (CVE), registry público não confiável, container escape (CVE-2019-5736 runc), pod breakout, secrets em variáveis de ambiente, supply chain (dependências npm/pip maliciosas).
• Defesa:
• Admission controllers (OPA Gatekeeper, Kyverno) para regras de política.
• Scan de imagens (Trivy, Snyk, Aqua, Prisma Cloud) no pipeline CI/CD.
• Runtime security (Falco, Sysdig Secure, Aqua).
• Network Policies (Kubernetes) para limitar tráfego pod-to-pod.
• Service mesh (Istio, Linkerd) com mTLS automático East-West.
• Rootless containers, read-only filesystem, dropping capabilities (drop: ALL), seccomp profile.

# Exemplo de SecurityContext hardening no Kubernetes
securityContext:
  runAsNonRoot: true
  runAsUser: 1000
  readOnlyRootFilesystem: true
  allowPrivilegeEscalation: false
  capabilities:
    drop: ["ALL"]

5. Segurança em IoT (Internet of Things)

Dispositivos IoT (câmeras, sensores, termostatos) são alvos fáceis por possuírem hardware limitado e firmware raramente atualizado.

• Ameaças: Mirai Botnet (2016, 600 k dispositivos comprometidos para DDoS massivo contra Dyn), senhas padrão de fábrica, firmware não assinado, protocolos em claro (Telnet, HTTP), falta de secure boot.
• Defesa: Colocar dispositivos IoT em uma VLAN isolada, desabilitar UPnP e Telnet, usar firewalls com inspeção de pacotes, network access control (NAC) com profiling de dispositivo, protocolos leves com TLS (MQTT over TLS, CoAP over DTLS), secure boot com assinatura, OTA update assinado.

Protocolos IoT e perfil de segurança

6. Segurança em Redes Industriais (SCADA / OT)

Sistemas que controlam infraestruturas críticas (energia, água, fábricas) usam protocolos proprietários como Modbus, Profibus, DNP3 e IEC 60870-5-104.

• Diferença Crucial: Em redes industriais, a Disponibilidade e a Segurança Física são priorizadas acima da Confidencialidade (se uma fábrica parar por causa de uma atualização de sistema, o prejuízo é catastrófico). A cultura OT privilegia "safety first" sobre "security first".
• Defesa: Uso de air-gap (isolamento total da rede industrial da Internet), IDS industriais que entendem protocolos específicos (Claroty, Nozomi, Dragos), Purdue Model com DMZs entre níveis (Level 0-1 field devices, Level 2 control, Level 3 site operations, Level 3.5 DMZ industrial, Level 4 IT).
• Casos históricos: Stuxnet (2010, primeira raça de worm direcionado a PLCs Siemens), Industroyer/CrashOverride (2016, Ucrânia), Triton/Trisis (2017, Saudi Aramco — visava SIS de segurança).

7. Segurança em Edge e Fog Computing

A computação edge move processamento para perto da fonte de dados (câmeras, gateways IoT, 5G gNodeB). A fog é uma camada intermediária entre edge e cloud.

• Ameaças: Dispositivos remotos em localização física não protegida, conectividade intermitente (dificulta atualização), ataques físicos (extração de disco/flash), privacidade de dados pessoais.
• Defesa: Criptografia em trânsito (DTLS, QUIC), secure boot com TPM, attestation remota, federated learning para preservar privacidade dos dados, zero-touch provisioning com certificados baseados em manufacturer.

8. Mobile (BYOD e MDM)

Dispositivos móveis em ambiente corporativo trazem risco de mistura de dados pessoais e corporativos.

• Ameaças: Apps maliciosas, jailbreak/root, vazamento de dados via clipboard, perda/roubo de dispositivo, ataques via SMS (smishing).
• Defesa: MDM (Mobile Device Management) com containerization ( Knox, Apple Managed Apps), MFA, conditional access baseado em postura do dispositivo, app whitelisting.

9. Resumo Comparativo

10. Conclusão

A segurança em ambientes específicos exige a especialização técnica em protocolos de nicho (Zigbee para IoT, Modbus para SCADA, mTLS para service mesh, EAP-TLS para Wi-Fi). A rede corporativa "padrão" é apenas a ponta do iceberg no mundo da Cyber Segurança. Cada ambiente introduz um modelo de ameaça distinto, exigindo profundo conhecimento do domínio, parcerias com donos do negócio (engenheiros OT, devs cloud, time de mobile) e ajuste fino dos pilares da tríade CIA conforme a realidade operacional. A tendência moderna é a convergência: arquiteturas SASE (Secure Access Service Edge) e CSMA (Cyber Security Mesh Architecture) prometem unificar controles entre esses ambientes em um único fabric distribuído.