TCP/IP, DNS, Roteamento e Inspeção de Tráfego

01

Modelos de Rede, Camadas e Encapsulamento

Para proteger ou investigar uma rede, o profissional de segurança deve visualizar como a informação transita desde a aplicação do usuário até os impulsos elétricos ou ópticos no meio físico. Dois modelos conceituais norteiam essa compreensão: o Modelo OSI (7 camadas), que serve como referência teórica e padronização internacional (ISO/IEC 7498-1), e a Pilha TCP/IP (4 camadas), que representa a arquitetura real implementada na Internet e nas redes corporativas modernas.

Camada OSI	Pilha TCP/IP	Unidade de Dados (PDU)	Protocolos Notáveis	Superfície de Ataque & Foco de Segurança
7. Aplicação 6. Apresentação 5. Sessão	Aplicação	Dados / Mensagem	HTTP, HTTPS, DNS, SSH, SMTP, TLS	Injeção web (SQLi, XSS), quebra de autenticação, exfiltração em túneis DNS, cabeçalhos inseguros.
4. Transporte	Transporte	Segmento (TCP) / Datagrama (UDP)	TCP, UDP, SCTP, QUIC	Esgotamento de portas (SYN Flood), varredura de portas (Port Scan), hijacking de sessão TCP, amplificação UDP.
3. Rede	Internet	Pacote	IPv4, IPv6, ICMP, IPsec, BGP, OSPF	IP Spoofing, ataques de fragmentação, manipulação de TTL, envenenamento de rotas BGP, ICMP Tunneling.
2. Enlace de Dados	Acesso à Rede	Quadro (Frame)	Ethernet (802.3), Wi-Fi (802.11), ARP, VLAN (802.1Q)	ARP Spoofing / Poisoning, esgotamento de tabela CAM em switches, salto de VLAN (VLAN Hopping), clones de MAC.
1. Física	Acesso à Rede	Bits / Sinal	Cabos UTP/STP, Fibra óptica, Rádio RF	Interceptação física de cabos (wiretapping), interferência de sinal (jamming), acesso físico não autorizado a switches.

O Mecanismo de Encapsulamento e Desencapsulamento

Quando uma máquina cliente envia uma requisição, cada camada inferior adiciona seu próprio cabeçalho (encapsulamento), contendo os metadados necessários para seu funcionamento (ex.: porta de origem/destino no transporte, IP origem/destino na rede, MAC no enlace). No receptor, o processo ocorre de forma inversa (desencapsulamento). Em ferramentas de captura como o Wireshark ou tcpdump, a inspeção consiste justamente em desempacotar visualmente cada camada desse envelope digital.

MTU e Riscos de Fragmentação IP

A MTU (Maximum Transmission Unit) define o tamanho máximo, em bytes, de um pacote que pode trafegar em determinado meio de rede sem sofrer fragmentação. Na Ethernet padrão, a MTU é de 1.500 bytes. Quando um pacote IPv4 excede a MTU de um salto intermediário e não possui a flag DF (Don't Fragment) ativada, o roteador o divide em fragmentos menores.

Historicamente, fragmentos malformados foram explorados em ataques clássicos de negação de serviço, como o Teardrop Attack (sobreposição proposital de offsets para travar pilhas TCP/IP vulneráveis) e técnicas para contornar regras ingênuas de firewalls sem estado (stateless), onde o cabeçalho TCP viaja apenas no primeiro fragmento.

02

Dissecação dos Protocolos: IPv4, TCP, UDP, DNS e ARP

1. Anatomia do Cabeçalho IPv4

O cabeçalho IPv4 padrão possui 20 bytes de tamanho base (podendo expandir até 60 bytes se houver opções). Entre seus campos mais relevantes para investigação de segurança destacam-se:

TTL (Time to Live): Contador de 8 bits decrescido a cada salto de roteador. Impede que pacotes fiquem em loops infinitos. Valores iniciais comuns revelam o sistema operacional de origem (Linux tipicamente inicia em 64, Windows em 128, roteadores Cisco em 255).
Protocol: Identifica o protocolo da camada superior encapsulado (1 para ICMP, 6 para TCP, 17 para UDP, 47 para GRE).
Flags e Fragment Offset: Três bits de controle: bit reservado (deve ser 0), DF (Don't Fragment) e MF (More Fragments). O offset indica a posição relativa do payload em múltiplos de 8 bytes.
Endereços IP de Origem e Destino: Campos de 32 bits cada. No IPv4 puro não há mecanismo intrínseco de validação de autenticidade da origem, permitindo que atacantes gerem pacotes forjados (IP Spoofing) em ataques de negação de serviço em massa.

2. TCP: Controle de Estado e o 3-Way Handshake

O TCP (Transmission Control Protocol) é orientado a conexão e confiável. Ele garante a entrega ordenada dos dados e retransmite perdas. Essa confiabilidade baseia-se na troca rigorosa de Números de Sequência (SEQ) e Números de Confirmação (ACK), iniciada pelo 3-Way Handshake:

O Ciclo do 3-Way Handshake

Cliente → Servidor [SYN]: O cliente envia uma solicitação de sincronização com seu Initial Sequence Number (ISN_c). Exemplo: SEQ = 1000, flag SYN=1.
Servidor → Cliente [SYN, ACK]: O servidor responde reconhecendo o número do cliente (ACK = ISN_c + 1 = 1001) e gerando seu próprio número inicial (SEQ = ISN_s = 5000), flags SYN=1, ACK=1.
Cliente → Servidor [ACK]: O cliente confirma o recebimento (ACK = ISN_s + 1 = 5001), com flag ACK=1. A conexão está estabelecida (ESTABLISHED) e a transmissão de dados pode iniciar.

As 6 flags primárias de controle do cabeçalho TCP desempenham papéis fundamentais na análise de tráfego:

SYN (Synchronize)

Sincroniza os números de sequência iniciais. Presente apenas nos dois primeiros pacotes de abertura de conexão.

ACK (Acknowledgment)

Indica que o campo Acknowledgment Number é válido. Quase todos os pacotes pós-handshake carregam esta flag ativada.

FIN (Finish)

Solicita o encerramento gracioso e bilateral da transmissão de dados. Requer confirmação ACK mútua.

RST (Reset)

Aborta a conexão imediatamente. Enviado quando um pacote chega para uma porta fechada ou por firewalls para interromper tráfego indevido.

PSH (Push)

Instrui a pilha TCP receptora a entregar imediatamente os dados acumulados no buffer à aplicação, sem aguardar buffer cheio.

URG (Urgent)

Indica que o ponteiro de dados urgentes contém dados que devem ser priorizados (raro no tráfego moderno).

Ataque de SYN Flood e Mitigação por SYN Cookies

Em um ataque de SYN Flood, o invasor dispara milhares de pacotes [SYN] com IPs de origem forjados (spoofados). O servidor aloca memória na tabela de conexões semi-abertas (SYN backlog queue) e aguarda o terceiro pacote (ACK), que nunca chega. Quando a fila se esgota, o serviço para de responder a usuários legítimos. A principal contramedida é o uso de SYN Cookies no kernel do sistema operacional: o servidor não aloca buffer no primeiro SYN; em vez disso, codifica os parâmetros da conexão em um ISN criptográfico e só reserva memória quando recebe o ACK válido correspondente.

3. UDP: Leveza e Abuso em Ataques de Amplificação

O UDP (User Datagram Protocol) opera sem conexão (connectionless) e com cabeçalho de apenas 8 bytes (Porta Origem, Porta Destino, Comprimento e Checksum). Não há garantia de entrega, ordenação ou handshake. Essa ausência de estado torna o UDP ideal para streaming, jogos, DNS e VoIP, mas também o torna a ferramenta preferida para ataques de DDoS por Amplificação e Reflexão.

Em um ataque de amplificação DNS ou NTP, o atacante envia requisições pequenas com o IP de origem forjado (apontando para a vítima). Servidores abertos na Internet respondem com cargas de dados muito maiores (fator de amplificação de 10x a 50x em DNS com registros ANY/EDNS, ou até 500x em servidores NTP vulneráveis ao comando monlist), inundando a banda da vítima sem sobrecarregar a banda do atacante.

4. DNS: Hierarquia e Envenenamento de Cache

O DNS (Domain Name System) resolve nomes humanamente legíveis (ex.: empresa.com.br) em endereços IP roteáveis. Ele organiza-se em uma árvore hierárquica formada pelos Root Servers (13 identidades de raiz), servidores de TLD (Top-Level Domain, como .br ou .com) e Servidores Autoritativos.

Na ausência de validação criptográfica (DNSSEC), servidores recursivos de DNS estão expostos a ataques de DNS Cache Poisoning (conhecido pelo exploit Kaminsky): o atacante bombardeia o servidor recursivo com respostas forjadas contendo o mesmo Transaction ID (TxID) de 16 bits de uma consulta em andamento, injetando um IP malicioso no cache do servidor. Usuários subsequentes são redirecionados silenciosamente para sites falsos de phishing.

5. ARP e Ataques de Camada 2 (Man-in-the-Middle)

Na rede local (LAN), as placas de rede comunicam-se via endereços físicos MAC. O protocolo ARP (Address Resolution Protocol) mapeia endereços IP em endereços MAC. O protocolo foi projetado sem qualquer autenticação: qualquer estação pode anunciar "eu sou o dono do IP 192.168.1.1 e meu MAC é AA:BB:CC..." sem ter sido consultada (resposta não solicitada ou Gratuitous ARP).

No ataque de ARP Spoofing / Poisoning, o invasor envenena a tabela ARP da vítima e do gateway padrão, fazendo todo o tráfego da rede passar pela sua máquina antes de ser repassado ao roteador, viabilizando espionagem de senhas em texto claro e interceptação ativa de tráfego. Contramedidas em switches corporativos incluem Dynamic ARP Inspection (DAI) aliada a DHCP Snooping e Port Security.

03

Laboratório Interativo: Inspetor Visual de Pacotes e Probe de Portas

Utilize o simulador abaixo para manipular cabeçalhos IPv4 e TCP/UDP. Você pode configurar IPs, portas e flags, visualizar os campos em tempo real e testar como o host de destino reage quando a porta está aberta, fechada ou bloqueada por um firewall.

Simulador Interativo em Vanilla JS

Inspetor de Pacotes • Probe de Portas e Handshake TCP

Protocolo de Transporte:

Estado da Porta no Servidor Alvo:

IP Origem:

IP Destino:

Porta de Origem (Efêmera):

Porta de Destino (Serviço):

IPv4 Time to Live (TTL): 64 saltos (Padrão Linux/Unix)

Visualizador de Cabeçalho em Tempo Real (IPv4 + Transporte)

Monitor de Tráfego e Resposta do Host Alvo

Aguardando disparo de pacote... Clique em "Disparar Pacote (Probe)" ou "Simular 3-Way Handshake Completo".

04

Checklist de Triage e Inspeção de Rede

Ao investigar um incidente ou realizar a triagem de tráfego anômalo no Wireshark ou tcpdump, execute este procedimento metódico. Os itens marcados são salvos automaticamente no seu navegador via localStorage.

Procedimento de Análise de Tráfego e Diagnóstico de Protocolos

1. Mapeamento de Camada 2 e Tabela ARP: Verifique a tabela de vizinhos ARP (arp -a ou ip neigh) em busca de endereços MAC duplicados associados a múltiplos IPs, o que evidencia envenenamento por ARP Spoofing na rede local.
2. Identificação de Padrões Anômalos de Flags TCP: Filtre no Wireshark por combinações ilegítimas de flags que revelam port scanning furtivo, como pacotes sem nenhuma flag ativada (Null Scan: tcp.flags == 0), pacotes com flags conflitantes (Xmas Scan: tcp.flags.fin && tcp.flags.psh && tcp.flags.urg) ou enxurrada de [SYN] sem ACK subsequente (SYN Flood).
3. Inspeção de Anomalias de TTL (Time to Live): Avalie discrepâncias drásticas no valor do TTL em conexões com o mesmo IP de origem. Se pacotes legítimos chegam com TTL 128 e repentinamente chegam pacotes com TTL 54 alegando ser o mesmo host, há forte indício de injeção de pacotes ou IP spoofing externo.
4. Auditoria de Tráfego DNS Suspeito: Monitore consultas com nomes de domínio excessivamente longos e randômicos (ex.: subdomínios em Base64 como a1b2c3d4e5.malware.com), indicando canais de comando e controle (C2) ou exfiltração de dados por DNS Tunneling.
5. Verificação de Amplificação e Reflexão UDP: Examine fluxos UDP em portas conhecidas (53/DNS, 123/NTP, 1900/SSDP, 389/CLDAP) onde o tamanho das respostas é desproporcionalmente superior às requisições com destino a um único IP interno.
6. Validação de Conexões RST Anômalas: Analise picos de pacotes com flag [RST] ou [RST, ACK]. Picos concentrados podem significar que uma máquina interna comprometida está escaneando a rede interna contra portas fechadas ou que um IDS/IPS está ativamente resetando sessões maliciosas.

05

Questões de Fixação e Concursos Públicos

Teste seus conhecimentos com questões técnicas concebidas a partir de bancas de concursos de TI (FGV, Cebraspe, FCC) e certificações de segurança da informação (CompTIA Network+, Security+, CEH).

Questão 1 • Pilha TCP/IP • Flags de Transporte

Durante uma varredura de portas com o utilitário Nmap utilizando o modo SYN Stealth Scan (-sS), o atacante envia um pacote com a flag [SYN] para a porta 22/TCP de um servidor. O servidor de destino responde com um pacote contendo as flags [SYN, ACK]. Imediatamente após receber essa resposta, qual pacote o scanner envia para evitar completar a conexão na aplicação, e qual é o estado reportado para essa porta?

Resposta Correta: O scanner envia um pacote com flag [RST] e classifica a porta como ABERTA (Open).

Fundamentação Técnica:

No SYN Stealth Scan (também chamado de varredura semi-aberta ou half-open), o scanner envia um [SYN]. Ao receber um [SYN, ACK], o scanner confirma categoricamente que existe um serviço ouvindo na porta (estado Open). Para não completar o 3-Way Handshake — o que abriria um socket formal no sistema operacional e registraria um log de conexão completa na aplicação —, o scanner envia imediatamente um pacote [RST] abortando a transação. Caso a porta estivesse fechada, o servidor responderia com [RST, ACK].

Questão 2 • Camada de Enlace • Ataques Locais

Um analista de SOC nota que em um segmento corporativo comutada (switched) um usuário conseguiu capturar credenciais enviadas via protocolo não criptografado entre duas máquinas vizinhas. Ao analisar as tabelas de endereçamento das estações, constatou-se que o tráfego destinado ao Default Gateway estava sendo direcionado para a placa de rede da máquina do invasor. Qual protocolo foi abusado e qual controle de segurança em switches mitiga diretamente essa ameaça na Camada 2?

Resposta Correta: Protocolo ARP (ARP Spoofing / Poisoning) • Mitigação via Dynamic ARP Inspection (DAI).

Fundamentação Técnica:

O ataque descrito é o clássico ARP Cache Poisoning, no qual o invasor envia respostas ARP forjadas associando seu próprio endereço MAC ao IP do roteador (gateway). Como o ARP não exige autenticação, as máquinas atualizam suas tabelas locais e passam a enviar seus quadros Ethernet ao atacante. A tecnologia de segurança em switches camada 2 que resolve esse problema chama-se Dynamic ARP Inspection (DAI): o switch intercepta todos os pacotes ARP e valida se o par IP/MAC corresponde aos dados registrados na tabela de espionagem do DHCP Snooping, descartando pacotes forjados imediatamente.

Questão 3 • Serviços de Rede • DNS e Spoofing

O protocolo DNS tradicionalmente utiliza a porta 53 sobre UDP para a maioria de suas consultas recursivas. Qual é a principal vulnerabilidade inerente ao uso do UDP para resolução de nomes que facilita ataques de DNS Spoofing / Cache Poisoning, e qual extensão de segurança foi padronizada pela IETF para garantir a autenticidade e integridade das respostas DNS?

Resposta Correta: Ausência de estado e falta de verificação de IP de origem (facilidade de spoofing) • Mitigação via DNSSEC.

Fundamentação Técnica:

Como o UDP não possui handshake de três vias nem controle de sequência pré-estabelecido, qualquer entidade pode forjar o endereço IP de origem de um servidor DNS em um datagrama UDP. Se o invasor adivinhar ou inundar o servidor recursivo com respostas contendo o Transaction ID (TxID) correto antes da resposta legítima chegar, o cache é envenenado. Para sanar essa deficiência estrutural, foram criadas as extensões DNSSEC (DNS Security Extensions), que adicionam assinaturas digitais assimétricas (registros RRSIG, DNSKEY, DS) a cada zona DNS, permitindo que o resolvedor valide criptograficamente a autenticidade e a integridade da resposta antes de aceitá-la.

06

Fatos Essenciais e Conexões da Trilha

Sintetize os números, portas e convenções operacionais deste estudo que devem estar na ponta da língua em qualquer entrevista técnica ou incidente de segurança:

20 B Tamanho Base IPv4

Sem opções. Contém TTL, protocolo encapsulado e endereços de 32 bits de origem e destino.

20 B Tamanho Base TCP

Sem opções. Contém portas, números SEQ e ACK, flags (SYN, ACK, RST, FIN) e janela de fluxo.

8 B Cabeçalho UDP

Ultra-enxuto: Porta Origem, Porta Destino, Comprimento e Checksum. Zero controle de estado.

1.500 MTU Padrão Ethernet

Bytes máximos por quadro. Datagramas maiores sem DF são fragmentados em múltiplos pacotes.

53 / 67 Serviços Críticos UDP

Porta 53 (DNS) e portas 67/68 (DHCP). Vetores comuns de amplificação DDoS e envenenamento local.

SYN-ACK Sinal de Porta Aberta

Se o host responder com SYN-ACK a porta está ativa. Se responder com RST-ACK está fechada.

Próximo Estudo Recomendado • Estudo 03

Criptografia Prática: Simétrica, Assimétrica, Hashes e PKI

Agora que você domina como os pacotes transitam em texto claro pela rede, o próximo passo é aprender como proteger a confidencialidade e a integridade das mensagens com algoritmos de cifra (AES, RSA, Curvas Elípticas), funções hash seguras (SHA-256) e a arquitetura de Certificados Digitais X.509.

Avançar para Estudo 03 →