Detecção de Anomalias

Detectar anomalias significa identificar tráfego que se desvia do padrão de referência de uma rede. Você não consegue reconhecer o que é anormal antes de saber o que é normal.

Esta lição aborda os padrões comuns que denunciam atividades maliciosas.

Uma varredura de portas aparece quando uma única origem acessa muitas portas de uma máquina, geralmente com pacotes SYN que recebem respostas RST.

Uma rajada de SYNs em portas sequenciais a partir de um único IP é uma assinatura clássica.

Softwares maliciosos costumam enviar sinais periódicos: entram em contato com um servidor de comando e controle em intervalos regulares. O indício são conexões periódicas, de tamanho semelhante, com o mesmo destino.

Procure uma regularidade mecânica nos horários que a navegação humana nunca apresenta.

O tunelamento de DNS transporta dados clandestinamente dentro de consultas DNS. A assinatura é a presença de muitos subdomínios longos e aparentemente aleatórios sob um único domínio.

Um volume alto de consultas a um único domínio com rótulos codificados é suspeito.

Observe protocolos nas portas erradas: SSH na 443 ou TCP bruto onde você esperaria HTTPS.

Os invasores ocultam o tráfego em portas comuns para passar pelos firewalls. A detecção de protocolos do Wireshark ajuda a identificar a discrepância.

Uma estação de trabalho que de repente envia gigabytes para fora pode indicar exfiltração de dados.

Use Estatísticas > Conversas e ordene por bytes para encontrar máquinas que enviam volumes incomuns para IPs externos.

No HTTP, identificadores de agente do usuário incomuns ou vazios podem indicar ferramentas automatizadas ou software malicioso que nem tentou se disfarçar.

Filtre por agentes incomuns para revelar clientes que usam scripts.

Muitos pacotes RST ou SYNs repetidos sem conclusão podem indicar varredura, tentativa de força bruta ou um ataque de negação de serviço.

Um aumento nas conexões semicompletas merece investigação.

Em redes locais, observe anomalias de ARP: dois IPs afirmando usar o mesmo MAC ou respostas ARP rápidas. Isso sugere um ataque de intermediário ou falsificação de ARP.

O Wireshark sinaliza automaticamente ARP com endereços duplicados.

Um único pacote estranho raramente comprova um ataque. Aumente a confiança correlacionando vários indicadores ao longo do tempo e entre máquinas.

Um sinal periódico, mais um domínio conhecido como malicioso, mais uma grande transferência formam um caso forte; qualquer um deles isoladamente é fraco.

Além do Wireshark, ferramentas como Zeek e Suricata transformam pacotes brutos em registros estruturados e alertas em larga escala.

Elas automatizam grande parte da detecção de anomalias que, de outro modo, você faria manualmente.

Você aprendeu a detectar anomalias no tráfego.

• Varreduras de portas: uma origem, muitas portas.
• Sinalização periódica: conexões regulares de comando e controle.
• Tunelamento de DNS: subdomínios longos e aleatórios.
• Observe protocolos em portas erradas, grandes transferências de saída, tempestades de RST e falsificação de ARP.
• Correlacione vários indicadores; use Zeek e Suricata em larga escala.

A seguir, você extrairá arquivos e credenciais das capturas.