Introdução e Contexto Prático: A Visão do Adversário
No ciclo de vida de uma operação de segurança ofensiva (Red Team e Testes de Intrusão), o Reconhecimento é a fase inicial e mais determinante para o sucesso. Segundo o framework MITRE ATT&CK, a tática de Reconhecimento (TA0043) engloba todas as ações que um adversário executa para coletar ativamente ou passivamente informações estratégicas sobre o alvo antes de qualquer tentativa de acesso inicial.
Mais de 80% do esforço de inteligência em ataques modernos reside na disciplina de OSINT (Open Source Intelligence) — a arte de descobrir ativos esquecidos, subdomínios legados, serviços expostos e credenciais vazadas a partir de fontes públicas e acessíveis na internet.
Enquanto o time de defesa (Blue Team) precisa proteger 100% da superfície de ataque, o atacante procura exatamente o ativo desprotegido esquecido pela equipe de TI: um subdomínio de testes criado há dois anos, uma porta RDP aberta em uma filial remota, ou um arquivo de configuração .env indexado inadvertidamente por um robô de busca.
Reconhecimento Passivo vs. Reconhecimento Ativo
A distinção entre as modalidades de reconhecimento é o divisor de águas entre discrição absoluta e alerta imediato nas defesas da organização:
| Modalidade | Interação com o Alvo | Detecção por IDS / WAF / SOC | Fontes & Ferramentas Típicas | Exemplo Prático |
|---|---|---|---|---|
| Reconhecimento Passivo | Nenhuma interação direta com os servidores do alvo. As consultas são feitas a terceiros. | Zero. Os sistemas de monitoramento do alvo não recebem um único pacote suspeito. | WHOIS, DNS recursivos públicos, Certificate Transparency (crt.sh), Shodan, Censys, Google Dorks, GitHub. | Pesquisar no Shodan quais servidores pertencem ao ASN da empresa sem enviar pings ou varreduras de porta. |
| Reconhecimento Ativo | Interação direta com a infraestrutura, enviando pacotes aos endereços IP do alvo. | Alta. Gera logs abundantes em firewalls, sensores IDS/IPS, WAF e alertas de EDR nos hosts. | Nmap, Masscan, enumeração SNMP, fuzzer de URLs (Gobuster/Feroxbuster), tentativas de AXFR no DNS autoritativo. | Executar varredura de portas TCP SYN (nmap -sS -p-) diretamente no firewall de borda da vítima. |
Consultar fontes abertas (OSINT passivo) é uma atividade de pesquisa legalmente lícita. No entanto, passar para o reconhecimento ativo invasivo ou utilizar as informações para acessar dispositivos alheios sem autorização contratual expressa constitui crime tipificado pelo Art. 154-A do Código Penal Brasileiro (Invasão de Dispositivo Informático — Lei 12.737/2012 e Lei 14.155/2021). Em testes de intrusão profissionais, o escopo (Rules of Engagement) deve ser formalizado e assinado previamente.
Técnicas e Fontes Canônicas de Inteligência Técnica
Um analista de segurança defensiva ou ofensiva deve dominar as quatro fontes fundamentais de reconhecimento de infraestrutura externa:
1. WHOIS, BGP e Numeração de ASN
O protocolo WHOIS e os registros de alocação de blocos (como Registro.br para o Brasil, ARIN na América do Norte e LACNIC na América Latina) permitem identificar a entidade detentora de um domínio, contatos técnicos e, fundamentalmente, o ASN (Autonomous System Number) e blocos de rede CIDR alocados à organização (ex: 200.140.88.0/24). Conhecer o bloco CIDR revela todo o universo de IPs públicos que pertencem legitimamente ao alvo.
2. DNS e Certificate Transparency (CT Logs)
O sistema de nomes (DNS) é o mapa geográfico da presença digital:
- Registros A e AAAA: Mapeiam nomes para endereços IPv4 e IPv6.
- Registros MX: Revelam os provedores de correio eletrônico (Microsoft 365, Google Workspace ou gateways on-premises como IronPort).
- Registros TXT: Frequentemente contêm regras de SPF (
v=spf1 include:...) que expõem parceiros de SaaS e serviços autorizados a enviar e-mails em nome da corporação. - Transferência de Zona (AXFR): Se os servidores DNS autoritativos estiverem mal configurados permitindo AXFR para qualquer solicitante, o atacante obtém instantaneamente a lista completa de todos os hosts internos e externos da zona.
O padrão Certificate Transparency (RFC 6962) exige que toda Autoridade Certificadora pública registre publicamente os certificados TLS emitidos em logs imutáveis e auditáveis. Plataformas como crt.sh permitem pesquisar por %.empresa.com.br e descobrir instantaneamente subdomínios recém-criados (ex: homolog-api.empresa.com.br, vpn-legada.empresa.com.br, dev-gitlab.empresa.com.br) sem fazer uma única consulta direta aos servidores da empresa.
3. Google Dorks e Mecanismos de Busca Especializados
O Google Hacking Database (GHDB) cataloga consultas avançadas que forçam robôs de busca a revelar dados sensíveis que foram indexados acidentalmente:
# Descoberta de arquivos de ambiente com senhas e chaves de API
site:alvo.com.br filetype:env "DB_PASSWORD"
# Descoberta de diretórios abertos com navegação ativada
site:alvo.com.br intitle:"Index of /" .git
# Painéis administrativos ou consoles de autenticação expostos
site:alvo.com.br inurl:admin | inurl:login | inurl:portal
# Documentos internos confidenciais em formato PDF ou planilhas
site:alvo.com.br filetype:pdf | filetype:xlsx "confidencial" OR "interno"4. Shodan, Censys e o Perigo do Subdomain Takeover
Ao contrário do Google, que indexa páginas web (HTML), o Shodan indexa os banners de serviço retornados por portas abertas em qualquer endereço IPv4 na internet:
- Filtros do Shodan:
org:"Nome",net:"200.140.88.0/24",port:3389(RDP),port:9200(Elasticsearch desprotegido),has_vuln:true. - Subdomain Takeover: Ocorre quando um subdomínio (ex:
blog.empresa.com.br) possui um registro DNS CNAME apontando para um serviço de nuvem (como AWS S3, GitHub Pages ou Heroku) que foi cancelado ou excluído. Se o registro DNS não for removido, qualquer atacante pode criar uma conta no provedor de nuvem com aquele mesmo identificador e assumir o controle completo do subdomínio legítimo com certificado válido! - Metadados com ExifTool: Arquivos PDF e imagens disponibilizados publicamente contêm metadados (nomes de usuários do Active Directory, versões de softwares, caminhos de rede UNC). A ferramenta ExifTool extrai esses dados sem esforço.
Laboratório Prático: Terminal Simulado de OSINT e Enumeração
Utilize o emulador de terminal abaixo para realizar o reconhecimento técnico sobre a organização fictícia corp-financeira.com.br. Utilize comandos como whois, dig, crtsh, shodan e dork para mapear a superfície de ataque externa sem enviar pacotes invasivos ao alvo.
Terminal Simulado de Reconhecimento OSINT
Explore comandos de inteligência em fontes abertas e preencha a matriz de superfície de ataque.
Matriz da Superfície de Ataque Descoberta 0 de 5 descobertas identificadas
| Categoria | Ativo / Descoberta | Fonte OSINT | Risco / Impacto Técnico |
|---|---|---|---|
| Nenhum ativo descoberto ainda. Execute comandos no terminal acima para mapear a infraestrutura do alvo. | |||
Checklist de Auditoria e Redução de Superfície Externa
Aplique este checklist defensivo para auditar a pegada digital pública da sua organização e sanar vulnerabilidades expostas antes que sejam descobertas por atores maliciosos.
Questões de Fixação e Concursos
Consolide seus conhecimentos com questões baseadas em provas de certificação ofensiva (CEH, OSCP) e concursos de segurança cibernética:
crt.sh para pesquisar logs de Certificate Transparency e realizou pesquisas com a API do Shodan pelo ASN da entidade. O WAF e o IDS perimetral do banco não registraram nenhum alerta desse analista. Como essa atividade é classificada e qual a justificativa técnica para a ausência de alertas?
Ver resposta explicada
Resposta Técnica:
A atividade é classificada estritamente como Reconhecimento Passivo. Ao consultar os logs de Certificate Transparency e a base de dados do Shodan, as requisições HTTP e de rede foram direcionadas aos servidores da infraestrutura do Shodan e aos repositórios de transparência de certificados mantidos por terceiros, e não aos servidores do banco. Como nenhum pacote IP ou conexão TCP foi estabelecida com a infraestrutura da organização auditada, seus sensores locais (WAF, IDS, firewall) não tinham qualquer tráfego para inspecionar ou alertar.
tech.xpto.com.br CNAME xpto-blog.github.io. Recentemente, a empresa migrou seu blog para um portal próprio e excluiu o repositório no GitHub, mas a equipe de infraestrutura esqueceu de remover o registro DNS CNAME. Explique detalhadamente como um invasor explora essa condição (*Subdomain Takeover*) e qual o impacto para a organização.
Ver resposta explicada
Resposta Técnica:
O invasor percebe que o subdomínio tech.xpto.com.br resolve para um CNAME apontando para xpto-blog.github.io que retorna o erro 404 (repositório inexistente). O invasor cria uma conta pessoal no GitHub e registra um repositório chamado xpto-blog.github.io configurando o Custom Domain como tech.xpto.com.br. O GitHub valida que o DNS aponta para sua plataforma e emite um certificado SSL legítimo. A partir deste momento, o atacante controla 100% do conteúdo servido sob o domínio institucional da vítima, permitindo hospedar páginas de phishing convincentes, roubar cookies de sessão (se configurados com escopo de domínio pai .xpto.com.br) e contornar políticas de Content Security Policy (CSP).
dig @ns1.alvo.com alvo.com axfr, o auditor recebeu como resposta uma listagem completa contendo 248 registros DNS, incluindo hosts com nomes como dc01-interno.alvo.com, banco-oracle.alvo.com e dev-ambiente.alvo.com com seus respectivos endereços IP. Qual vulnerabilidade ocorreu e qual controle de configuração deve ser implementado no servidor DNS?
Ver resposta explicada
Resposta Técnica:
Ocorreu uma Transferência de Zona DNS não autorizada (Zone Transfer AXFR). O protocolo DNS utiliza o comando AXFR para replicar toda a base de dados de uma zona entre servidores DNS primários e secundários (usando a porta TCP 53). Se o servidor autoritativo estiver configurado sem restrição de IP, qualquer cliente externo pode solicitar o dump completo de todos os nomes, subdomínios e endereços de rede registrados na zona. A correção obrigatória é restringir a transferência de zona apenas para os endereços IP confiáveis dos servidores DNS secundários autorizados (ex: no BIND DNS, configurando allow-transfer { 192.168.1.2; }; dentro da diretiva de zona).
Fatos Essenciais e Próximos Passos
O reconhecimento é o alicerce sobre o qual toda a operação de segurança ofensiva e defensiva é construída. Memorize estes princípios:
1. Invisibilidade Passiva
Reconhecimento passivo pesquisa terceiros (WHOIS, crt.sh, Shodan, Google) e não envia pacotes ao alvo, sendo indetectável por firewalls e WAFs locais.
2. Certificate Transparency
Logs públicos de certificados TLS são a fonte mais rica e atualizada para descobrir novos subdomínios, ambientes de teste e portais corporativos.
3. Shodan vs Google
O Google indexa conteúdo web textual (HTML/PDF); o Shodan indexa portas de rede abertas e banners de serviços de qualquer dispositivo conectado.
4. Risco de CNAME Órfão
Registros DNS CNAME apontando para serviços em nuvem extintos expõem a corporação ao risco crítico de Subdomain Takeover total.
Agora que mapeamos a superfície de ataque externa e identificamos aplicações web expostas, o próximo passo na Trilha 3 é auditar a segurança dessas aplicações contra as vulnerabilidades mais perigosas do planeta: injeções SQL, Cross-Site Scripting (XSS), quebra de autenticação e falhas de autorização do OWASP Top 10!