Segmentação de redes e VLANs

A segmentação de Network divide uma Network grande e plana em zonas menores e isoladas. Sem segmentação, um único Host comprometido pode se comunicar com todos os outros dispositivos da Network — dando liberdade total aos invasores depois que entram. A segmentação aplica o princípio do menor privilégio na camada de Network: uma estação de trabalho não deve conseguir alcançar diretamente um servidor de banco de dados, e um dispositivo de Wi-Fi para convidados nunca deve enxergar compartilhamentos de arquivos internos. A segmentação reduz drasticamente o raio de impacto de uma violação.

Uma VLAN (Virtual Local Area Network) é uma Network lógica criada em um switch que agrupa portas independentemente da localização física. Dispositivos na mesma VLAN se comunicam como se estivessem no mesmo segmento físico; dispositivos em VLANs diferentes não podem se comunicar sem passar por um roteador ou switch de Layer 3 que aplique o controle de acesso. As VLANs são identificadas com um cabeçalho 802.1Q que transporta um ID de VLAN (1–4094), permitindo que um único enlace físico (porta Trunk) transporte simultaneamente o tráfego de várias VLANs.

Enquanto as VLANs segmentam na Camada 2, as sub-redes segmentam na Camada 3 (IP). Cada VLAN normalmente corresponde à sua própria sub-rede, e o roteamento entre sub-redes é controlado por um firewall ou roteador que aplica listas de controle de acesso. Isso cria uma separação clara: a VLAN 10 pode ser 10.10.10.0/24 para usuários corporativos, e a VLAN 20 pode ser 10.20.20.0/24 para convidados. As regras do firewall entre sub-redes determinam qual tráfego é permitido e qual é bloqueado no nível do IP.

Uma DMZ (Zona Desmilitarizada), também chamada de sub-rede protegida, é uma zona de rede situada entre a internet e a rede interna. Servidores voltados ao público — servidores web, servidores de e-mail e servidores DNS — são colocados na DMZ para que usuários externos possam acessá-los sem obter acesso direto aos sistemas internos. Se um dispositivo na DMZ for comprometido, o firewall interno impede que o invasor alcance recursos internos confidenciais. A DMZ é um conceito essencial de segmentação, muito cobrado na Security+.

A microssegmentação leva o isolamento de rede ao nível da carga de trabalho, aplicando políticas de segurança entre VMs, contêineres ou aplicativos individuais, em vez de apenas entre zonas de rede. A rede definida por software (SDN) e as ferramentas baseadas em hipervisor (VMware NSX, AWS Security Groups) aplicam políticas sem exigir alterações de hardware. A microssegmentação é um componente essencial da arquitetura de confiança zero, pois elimina a confiança implícita entre cargas de trabalho executadas no mesmo centro de dados ou na mesma região de nuvem.

O salto de VLAN é um ataque que permite que o tráfego escape da sua VLAN e alcance outra VLAN sem passar por um roteador. Existem dois métodos: falsificação de switch, em que um invasor configura sua NIC para usar entroncamento 802.1Q e negocia um enlace de tronco com o switch, obtendo acesso a todas as VLANs; e marcação dupla, em que um invasor envolve um quadro com dois cabeçalhos 802.1Q para fazê-lo parecer destinado a outra VLAN. As defesas incluem desabilitar o protocolo de entroncamento dinâmico (DTP), configurar explicitamente as portas de acesso e não usar a VLAN nativa para o tráfego de usuários.

A forma mais extrema de segmentação de rede é um air gap — uma rede sem conexão física ou lógica com redes externas. Sistemas isolados por air gap são usados em redes governamentais altamente classificadas, sistemas de controle industrial e controles de instalações nucleares. A transferência de dados exige mídias físicas (unidades USB, CDs), o que por si só introduz riscos (o Stuxnet se espalhou por USB para alcançar centrífugas iranianas isoladas por air gap). Até mesmo sistemas isolados por air gap precisam de controles: gerenciamento rigoroso de mídias, bloqueadores físicos de gravação e proteção de endpoints.

O NAC (Controle de Acesso à Rede) aplica políticas de segurança antes de permitir que um dispositivo entre na rede. Os sistemas NAC verificam a postura do dispositivo — nível de aplicação de correções, status do antivírus e certificado — antes de conceder acesso completo à rede. Os dispositivos que falham nas verificações são colocados em quarentena em uma VLAN de remediação, na qual só podem acessar servidores de atualização. O NAC integra-se ao 802.1X para autenticação e comunica-se com serviços de diretório para aplicar políticas com base na função do usuário e no tipo de dispositivo.

A segurança tradicional de perímetro concentrava-se no tráfego norte-sul — dados que entram e saem do centro de dados a partir de fontes externas. Invasores modernos exploram o tráfego leste-oeste — o movimento lateral entre servidores dentro do centro de dados ou do ambiente de nuvem, que historicamente não contava com inspeção. A microssegmentação e os firewalls internos tratam dos riscos leste-oeste. As regras de correlação do SIEM devem monitorar padrões incomuns de conexão leste-oeste, como uma estação de trabalho que passa repentinamente a se comunicar com dezenas de hosts internos, o que pode indicar um worm ou um invasor ativo.

As redes ICS/SCADA que controlam infraestruturas físicas (redes elétricas, tratamento de água e manufatura) exigem segmentação rigorosa em relação às redes corporativas de TI. O Modelo Purdue define níveis que vão dos dispositivos de campo (Nível 0), passam pelo controle da planta (Nível 2) e chegam à TI corporativa (Nível 4), com uma DMZ entre os Níveis 2 e 3 para impedir a conectividade direta. Os padrões NERC CIP determinam essa separação para organizações do setor de energia. Uma violação na rede corporativa nunca deve conseguir manipular diretamente atuadores ou sensores físicos.

O objetivo final da segmentação de rede é minimizar o raio de impacto de qualquer comprometimento isolado — a extensão dos danos que um invasor pode causar depois de entrar em um segmento. Combinada a outros controles (detecção em endpoints, IAM rigoroso e gerenciamento de correções), a segmentação cria uma defesa em profundidade: várias camadas independentes que o invasor precisa violar sucessivamente. A segmentação, por si só, não impede o comprometimento inicial, mas retarda os invasores, cria oportunidades de detecção e limita o impacto de ransomware e worms que dependem de movimento lateral irrestrito.

Teste sua compreensão dos conceitos da CompTIA Security+ (SY0-701) abordados nesta lição.

Nesta lição, você aprendeu que: as VLANs fornecem segmentação lógica na Camada 2, limitando os domínios de broadcast e o movimento lateral; uma DMZ (sub-rede protegida) isola servidores voltados ao público entre um firewall externo e um interno; e os ataques de salto de VLAN podem ser impedidos desabilitando o entroncamento dinâmico, alterando a VLAN nativa e atribuindo portas não utilizadas a uma VLAN inativa. A seguir, exploraremos ataques de rede comuns, incluindo DoS, falsificação e MITM.