Ataques de rede comuns: DoS, falsificação e MITM

Um ataque de negação de serviço (DoS) tem como objetivo tornar um sistema, serviço ou rede indisponível para usuários legítimos, sobrecarregando-o com tráfego ou explorando uma vulnerabilidade que provoque uma falha. Os ataques DoS têm como alvo o pilar da Disponibilidade da tríade CIA. Um DoS de uma única origem é relativamente fácil de bloquear limitando a taxa do IP de origem; no entanto, muitos ataques modernos usam várias origens simultaneamente, tornando a mitigação muito mais difícil.

Um ataque DDoS usa milhares ou milhões de dispositivos comprometidos (uma rede de bots) para inundar um alvo a partir de muitos endereços de origem diferentes simultaneamente. Isso torna impraticável o bloqueio por IP de origem. Os ataques DDoS são categorizados como volumétricos (inundam a largura de banda, por exemplo, uma inundação UDP), de protocolo (esgotam recursos com estado, por exemplo, uma inundação SYN) ou da camada de aplicação (esgotam a capacidade do servidor com solicitações HTTP com aparência legítima, por exemplo, Slowloris). Serviços de mitigação como Cloudflare, Akamai e AWS Shield absorvem ataques volumétricos antes que eles alcancem a origem.

Os ataques de amplificação exploram protocolos que produzem respostas muito maiores que a solicitação inicial. A amplificação de DNS usa uma pequena consulta UDP para gerar uma resposta até 70 vezes maior, toda direcionada à vítima. A amplificação NTP monlist pode alcançar um fator de amplificação de 4.000 vezes. O invasor falsifica o IP da vítima como endereço de origem, fazendo com que milhares de refletores enviem suas respostas grandes à vítima — por isso, o ataque também é chamado de ataque de reflexão. A mitigação inclui BCP38 (validação do endereço de origem no nível do ISP) e a desativação dos serviços de amplificação.

A falsificação de IP consiste em criar pacotes com um endereço IP de origem forjado. A falsificação é usada em ataques de reflexão DoS/DDoS, para contornar listas de controle de acesso baseadas em IP e para ocultar a localização verdadeira do invasor. São necessários privilégios de soquete bruto para enviar pacotes falsificados. As defesas incluem a filtragem de entrada (BCP38), que orienta ISPs e roteadores a descartar pacotes que chegam por uma interface com um IP de origem que legitimamente não poderia se originar daquela rede. Firewalls com estado também ajudam rejeitando pacotes de entrada não solicitados que não correspondam a sessões estabelecidas.

A falsificação de ARP (também chamada de envenenamento de ARP) consiste em enviar respostas ARP não solicitadas que associam o endereço MAC do invasor a um endereço IP legítimo. Os hosts que recebem a atualização ARP falsa atualizam seu cache ARP e passam a enviar o tráfego destinado a esse IP para o endereço MAC do invasor. Isso permite ataques de intermediário em segmentos locais. Ferramentas como Arpspoof, Ettercap e Bettercap automatizam esse ataque. As defesas incluem a Inspeção Dinâmica de ARP (DAI) em switches gerenciados, que valida os pacotes ARP comparando-os com uma tabela de associações confiável do DHCP snooping.

Um ataque de intermediário (MitM) ocorre quando um invasor retransmite secretamente e pode alterar as comunicações entre duas partes que acreditam estar se comunicando diretamente. Um MitM pode ser realizado por meio de falsificação de ARP, falsificação de DNS, pontos de acesso Wi-Fi maliciosos ou sequestro de rotas BGP. Depois de se posicionar no meio, o invasor pode espionar, injetar conteúdo, remover a criptografia (remoção de SSL) ou reutilizar credenciais. A principal defesa é a autenticação mútua e a criptografia — o TLS com certificados válidos impede a maioria dos ataques MitM porque o cliente pode verificar a identidade do servidor.

O envenenamento de cache DNS injeta registros DNS maliciosos no cache de um resolvedor, fazendo com que nomes de domínio legítimos sejam resolvidos para endereços IP controlados pelo invasor. O ataque clássico de Kaminsky (2008) explorou IDs de transação previsíveis para envenenar resolvedores em larga escala. Quando o resolvedor de um usuário é envenenado, o usuário é redirecionado para sites falsos que podem roubar credenciais ou distribuir malware. O DNSSEC (Extensões de Segurança do DNS) assina digitalmente os registros DNS para que os resolvedores possam verificar sua autenticidade, e o DNS sobre HTTPS (DoH) impede a interceptação das consultas no caminho.

Um invasor no caminho (in-path) ocupa uma posição na rede que lhe permite ver e modificar o tráfego em trânsito — ele está física ou logicamente entre os dois endpoints em comunicação. A falsificação de ARP cria uma posição no caminho em um segmento local. Um invasor fora do caminho não consegue ver o tráfego, mas pode tentar ataques às cegas, como injetar pacotes TCP RST falsificados para interromper conexões usando números de sequência estimados. O TLS mitiga ambos os cenários, pois, mesmo que o tráfego seja interceptado, ele não pode ser descriptografado ou forjado sem a chave privada.

O sequestro de BGP (Border Gateway Protocol) ocorre quando um Sistema Autônomo malicioso ou configurado incorretamente anuncia prefixos IP mais específicos para atrair tráfego destinado a outra organização. Isso pode redirecionar tráfego de toda a internet pela rede do invasor. O sequestro de BGP já foi usado para interceptar transações de criptomoedas, roubar e-mails e redirecionar tráfego bancário. As defesas incluem o RPKI (Resource Public Key Infrastructure), que valida criptograficamente as autorizações de origem das rotas, e o monitoramento dos anúncios BGP em busca de alterações inesperadas.

A inundação SYN explora o handshake de três vias do TCP enviando muitos pacotes SYN com IPs de origem falsificados, fazendo com que o servidor aloque estado para conexões semiabertas (aguardando ACKs que nunca chegam). A tabela de conexões do servidor fica cheia, impedindo-o de aceitar novas conexões legítimas. As defesas incluem cookies SYN (o servidor codifica o estado no número de sequência do SYN-ACK e só aloca recursos depois que o ACK é recebido), reduzir o tempo limite de SYN e limitar a taxa de pacotes SYN por endereço de origem.

Detectar ataques de DoS, spoofing e MitM exige visibilidade em vários pontos. Os dados de NetFlow/IPFIX revelam picos repentinos de tráfego provenientes de muitas fontes. As regras de correlação do SIEM podem alertar sobre atividades anômalas de ARP (um MAC reivindicando muitos IPs) ou respostas DNS com TTLs suspeitosamente curtos. As assinaturas de IDS/IPS detectam inundações SYN e ferramentas de spoofing de ARP. As ações de resposta incluem limitar a taxa nos roteadores de borda, ativar serviços de limpeza contra DDoS, isolar segmentos afetados e reativar a inspeção dinâmica de ARP ou limpar caches envenenados.

Teste sua compreensão dos conceitos do CompTIA Security+ (SY0-701) abordados nesta lição.

Nesta lição, você aprendeu que: ataques DDoS usam botnets para sobrecarregar alvos a partir de muitas fontes e são categorizados como ataques volumétricos, de protocolo ou de camada de aplicação; o spoofing de ARP envenena caches de redes locais para permitir ataques MitM e é atenuado pela inspeção dinâmica de ARP; e as inundações SYN esgotam o estado das conexões do servidor e são combatidas com cookies SYN e limitação de taxa. Em seguida, exploraremos os protocolos de segurança de Wi-Fi, de WEP a WPA3.