Módulo 3: Conceitos de
segurança de rede
Material do instrutor
Rede corporativa, Segurança e Automação v7.0
(ENSA)
Situação atual da segurança cibernética
Ciber criminosos agora têm a experiência e as ferramentas necessárias para derrubar infraestrutura e sistemas críticos.
Suas ferramentas e técnicas continuam a evoluir, devemos estar cientes dos termos de segurança.
© 2019 Cisco e/ou suas afiliadas. Todos os direitos reservados. Documento
confidencial da Cisco 2
Vetores de ataques à rede
Caminho pelo qual um atacante poder obter acesso a um equipamento da rede, servidor, etc. São
originários de dentro ou de fora da rede corporativa.
Hacker
© 2019 Cisco e/ou suas afiliadas. Todos os direitos reservados. Documento
confidencial da Cisco 3
Ferramentas de ataque
Para explorar uma vulnerabilidade, um agente de ameaça deve ter uma técnica ou ferramenta. Ao longo dos anos, as
ferramentas de ataque tornaram-se mais sofisticadas e automatizadas. Elas requerem menos conhecimento técnico
para serem implementadas.
© 2019 Cisco e/ou suas afiliadas. Todos os direitos reservados. Documento
confidencial da Cisco 4
Tipos de Ataque
Ataque sniffing or snooping: É quando um ator de ameaça captura e “ouve” o tráfego da rede.
Modificação de dados: Se os agentes de ameaças capturaram o tráfego da rede, eles podem altera-los no pacote sem o conhecimento
do remetente ou receptor.
Falsificação de end. IP: Um agente de ameaça constrói um pacote IP que parece originar-se de um endereço válido dentro da intranet
corporativa.
Ataques baseados em senha: Se os atores de ameaças descobrirem uma conta de usuário válida, eles terão os mesmos direitos que o
usuário real, então poderiam usar essa conta para obter listas de outros usuários, informações da rede, alterar as configurações do
servidor, rede, redirecionar ou excluir dados.
Negação de serviços: Impede o uso normal de um computador ou rede pelos usuários. Ataque de DoS pode inundar um computador ou
toda a rede com tráfego até que o desligamento ocorra devido à sobrecarga, também pode bloquear o tráfego, o que resulta em perda de
acesso aos recursos de rede por usuários legítimos.
Man in the middle: ocorre quando os atores de ameaças se posicionam entre a origem e o destino, então eles podem monitorar,
capturar e controlar a comunicação de forma transparente.
Chave comprometida: Se um agente de ameaça obtiver uma chave secreta, essa chave será chamada de chave comprometida, ela
pode ser usada para acesso a comunicação segura sem que o remetente ou destinatário esteja ciente.
Ataque Sniffer: é um aplicativo ou dispositivo que pode ler, monitorar e capturar trocas de dados na rede. Pacotes não criptografados
fornece uma visão completa dos dados.
© 2019 Cisco e/ou suas afiliadas. Todos os direitos reservados. Documento
confidencial da Cisco 5
Visão geral dos ataques de rede
Quando malware é entregue e instalado, a carga útil pode ser usada para causar uma variedade de ataques.
Para mitigar os ataques, é útil entender os tipos. Ao categorizar ataques, é possível abordar tipos em vez de ataques
individuais.
As redes são suscetíveis aos seguintes tipos de ataques:
Reconhecimento(ou recon) coleta de informações, os atores de ameaças usam para fazer descobertas e mapeamentos
de sistemas, serviços ou vulnerabilidades. Os ataques Recon precedem ataques de acesso ou DoS.
Acesso exploram vulnerabilidades conhecidas em serviços de autenticação, FTP e da Web. O objetivo desse tipo de
ataque é obter acesso a contas da Web, bancos de dados e outras informações.
© 2019 Cisco e/ou suas afiliadas. Todos os direitos reservados. Documento
confidencial da Cisco 6
Ataque de Falsificação de Endereços
IP ocorrem quando um agente de ameaça cria pacotes com informações falsas de endereço IP de origem para ocultar o
remetente ou para se passar por usuário legítimo. Geralmente incorporada a outro ataque, como um ataque Smurf (etapas:
Primeiro, o malware cria um pacote anexado a um endereço IP falso, técnica conhecida como "spoofing", ou falsificação. Dentro do
pacote, há uma mensagem de ping solicitando que os nós de rede que receberem o pacote enviem uma resposta).
Ataques de falsificação podem ser cego ou não cego:
- Não Cego - O agente de ameaça pode ver o tráfego que está sendo enviado entre o host e o destino, que determina o
estado de um firewall e prevê número de sequência. Também pode sequestrar uma sessão autorizada.
- Cego - O agente de ameaça não pode ver o tráfego que está sendo enviado entre o host e o destino, usada em ataques
DoS.
- Ataques de falsificação de endereço MAC - usado quando os atores de ameaças têm acesso à rede interna, alteram o
endereço MAC de seu host para corresponder a outro endereço MAC conhecido de um host de destino.
© 2019 Cisco e/ou suas afiliadas. Todos os direitos reservados. Documento
confidencial da Cisco 7
Serviços TCP
Entrega confiável - Incorpora confirmações para garantir a entrega. Se uma confirmação não for recebida à tempo, o
remetente retransmitirá os dados. Isso pode causar atrasos substanciais. Exemplos de protocolos da camada de
aplicação TCP incluem: HTTP, SSL / TLS, FTP e outros.
Controle de fluxo - Em vez de reconhecer um segmento de cada vez, vários segmentos podem ser reconhecidos com
um único segmento de reconhecimento.
Comunicação com estado - Entre duas partes ocorre durante o aperto de mãos triplo TCP.
© 2019 Cisco e/ou suas afiliadas. Todos os direitos reservados. Documento
confidencial da Cisco 8
Ataques TCP
Ataque de Inundação de SYN TCP
1. O agente de ameaças envia
várias solicitações SYN para
um servidor da web.
2. O servidor da web responde
com SYN-ACKs para cada
solicitação SYN e aguarda a
conclusão do aperto de mãos
triplo. O agente da ameaça
não responde aos SYN-ACKs.
3. Um usuário válido não pode
acessar o servidor Web
porque o servidor Web possui
muitas conexões TCP abertas
pela metade.
© 2019 Cisco e/ou suas afiliadas. Todos os direitos reservados. Documento
confidencial da Cisco 9
Operação e Cabeçalho do segmento UDP
Comumente usado por DNS, TFTP, NFS e SNMP. Também é usado com aplicações em tempo real,
como streaming de mídia ou VoIP. UDP não é orientado à conexão, tem sobrecarga muito mais baixa
que o TCP, não faz retransmissão, sequenciamento e mecanismos de controle de fluxo que fornecem
confiabilidade.
A baixa sobrecarga do UDP o torna muito interessante para protocolos que efetuam transações
simples de requisição e resposta.
© 2019 Cisco e/ou suas afiliadas. Todos os direitos reservados. Documento
confidencial da Cisco 10
Ataques UDP
O UDP não está protegido por nenhuma criptografia por padrão.
Ataques de inundação UDP: O agente de ameaças usa uma ferramenta como UDP Unicorn ou Low
Orbit Ion Cannon. Essas ferramentas enviam uma inundação de pacotes UDP, geralmente de um host
falsificado, para um servidor na sub-rede. O programa varrerá todas as portas conhecidas tentando
encontrar portas fechadas. Isso fará com que o servidor responda com uma mensagem inacessível da
porta ICMP. Como existem muitas portas fechadas no servidor, isso cria muito tráfego no segmento,
que consome a maior parte da largura de banda, o resultado é muito semelhante à um ataque de DoS.
Vulnerabilidades ARP
Qualquer cliente pode enviar uma resposta ARP não solicitada denominada "ARP gratuito".
Esse recurso também significa que qualquer host pode reivindicar ser o proprietário de qualquer IP ou MAC. Um agente
de ameaça pode envenenar o cache ARP dos dispositivos na Lan, criando um ataque MITM para redirecionar o tráfego.
© 2019 Cisco e/ou suas afiliadas. Todos os direitos reservados. Documento
confidencial da Cisco 11
Tunelamento DNS
Os agentes de ameaças colocam tráfego que não é de DNS, dentro do tráfego DNS. Esse método geralmente contorna as
soluções de segurança quando um agente de ameaça deseja se comunicar com bots dentro de uma rede protegida ou
extrair dados da organização. É assim que o tunelamento DNS funciona para comandos enviados para uma botnet.
Uma botnet é uma rede de computadores infectados que podem ser controlados remotamente e forçados a enviar spam, espalhar
malware ou preparar ataques de DDoS sem o consentimento dos proprietários.
Para interromper o tunelamento DNS, o administrador deve usar um filtro que inspecione o tráfego DNS. Preste muita
atenção às consultas DNS maiores que a média ou às que têm um nome de domínio suspeito.
Ataques DHCP
Um ataque de spoofing ocorre quando um servidor DHCP invasor está conectado à rede e fornece falsos
parâmetros de configuração aos clientes legítimos, podendo fornecer informações enganosas:
Gateway padrão - O agente de ameaças fornece um gateway inválido ou o endereço IP de seu host para criar
um ataque MITM. Isso pode não ser totalmente detectado, pois o invasor intercepta o fluxo de dados pela rede.
Servidor DNS - O agente de ameaças fornece um endereço de servidor incorreto, apontando o usuário para
um site malicioso.
Endereço IP - O agente de ameaças fornece endereço IP inválido, gateway inválido ou ambos criando um
ataque de DoS no cliente DHCP.
© 2019 Cisco e/ou suas afiliadas. Todos os direitos reservados. Documento
confidencial da Cisco 12
Confidencialidade, integridade e disponibilidade
Segurança da rede consiste em proteger informações e sistemas de informações contra acesso não
autorizado, uso, divulgação, interrupção, modificação ou destruição.
A maioria das organizações segue a tríade de segurança da informação da CID:
Confidencialidade - Somente indivíduos, entidades ou processos autorizados podem acessar
informações. Pode exigir o uso de algoritmos de criptografia como AES para criptografar e
descriptografar dados.
Integridade - Proteção dos dados contra alterações não autorizadas. Requer uso de algoritmos hash,
como o SHA.
Disponibilidade - Usuários autorizados devem ter acesso ininterrupto a recursos e dados. Requer a
implementação de serviços, gateways e links redundantes.
© 2019 Cisco e/ou suas afiliadas. Todos os direitos reservados. Documento
confidencial da Cisco 13
Firewalls
Um firewall é um sistema ou grupo de sistemas que aplica a política de controle de acesso.
© 2019 Cisco e/ou suas afiliadas. Todos os direitos reservados. Documento
confidencial da Cisco 14
IDS e IPS
Os IDSs são ferramentas de detecção e monitoramento que não agem por conta própria.
Os IPSs são sistemas de controle que aceitam ou rejeitam um pacote baseado em um conjunto de regras.
As tecnologias IDS e IPS compartilham várias características, são implantadas como sensores e pode estar na forma de
vários dispositivos diferentes:
Um roteador configurado com o software Cisco IOS IPS
Um dispositivo projetado especificamente para fornecer serviços IDS/IPS dedicados
Um módulo de rede instalado em um dispositivo de segurança adaptável (ASA), switch ou roteador
© 2019 Cisco e/ou suas afiliadas. Todos os direitos reservados. Documento
confidencial da Cisco 15
Dispositivo de gerenciamento de segurança de conteúdo
• O Cisco E-mail Security Appliance (ESA) projetado para monitorar o SMTP. É constantemente atualizado
por feeds em tempo real do Cisco Talos. Esses dados de inteligência de ameaças são coletados pelo Cisco
ESA a cada três a cinco minutos.
• O Cisco Web Security Appliance (WSA) é uma tecnologia de mitigação para ameaças baseadas na Web.
Combina proteção avançada contra malware, visibilidade e controle de aplicativos, controles de política de
uso aceitável e relatórios.
• O Cisco WSA fornece controle completo sobre como os usuários acessam a Internet. O WSA pode executar
uma lista negra de URLs, filtragem de URL, varredura de malware, categorização de URL, filtragem de
aplicativos da Web e criptografia e descriptografia do tráfego da Web.
© 2019 Cisco e/ou suas afiliadas. Todos os direitos reservados. Documento
confidencial da Cisco 16
Integridade de dados
• As funções de hash são usadas para garantir a integridade de uma mensagem. Garantem que os
dados não foram alterados acidental ou intencionalmente.
1. O dispositivo de envio insere a mensagem em um algoritmo de hash e calcula seu hash de tamanho fixo de
4ehiDx67NMop9.
2. Esse hash é anexado à mensagem e enviado ao destinatário. A mensagem e o hash estão em texto sem
formatação.
3. O dispositivo receptor remove o hash da mensagem e insere a mensagem no mesmo algoritmo de hash. Se o
hash calculado for igual ao que está anexado à mensagem, a mensagem não foi alterada em trânsito. Se são
diferentes a integridade não é confiável.
© 2019 Cisco e/ou suas afiliadas. Todos os direitos reservados. Documento
confidencial da Cisco 17
Autenticação da origem
• Conforme mostrado na figura, um HMAC é calculado usando qualquer algoritmo criptográfico que combina uma
função hash com uma chave secreta. As funções de hash são a base do mecanismo de proteção dos HMACs.
• Somente o remetente e o destinatário têm conhecimento da chave secreta e agora a saída da função hash
depende dos dados de entrada e da chave secreta. Apenas as partes que têm acesso a essa chave secreta podem
calcular o digest de uma função HMAC. Isso derrota os ataques man-in-the-middle e fornece autenticação da
origem dos dados.
© 2019 Cisco e/ou suas afiliadas. Todos os direitos reservados. Documento
confidencial da Cisco 18
Confidencialidade de dados
Classes de criptografia:
1. Algoritmos de criptografia simétrica como (DES), 3DES e AES (Advanced Encryption Standard)
baseiam-se na premissa de que cada parte que se comunica conhece a chave pré-compartilhada.
2. A confidencialidade dos dados também pode ser garantida usando algoritmos assimétricos, incluindo
Rivest, Shamir e Adleman (RSA) e a Infraestrutura de Chave Pública (PKI).
© 2019 Cisco e/ou suas afiliadas. Todos os direitos reservados. Documento
confidencial da Cisco 19
Diffie-Hellman
• Diffie-Hellman (DH) é um algoritmo matemático assimétrico em que dois computadores geram uma chave
secreta compartilhada idêntica sem ter se comunicado antes. A nova chave compartilhada nunca é realmente
trocada entre o remetente e o destinatário.
• Três exemplos de casos em que o DH é comumente usado:
• Os dados são trocados usando uma VPN IPsec.
• Os dados são criptografados na internet usando SSL ou TLS.
• Os dados SSH são trocados.
• A segurança DH usa números incrivelmente grandes em seus cálculos.
• Infelizmente, os sistemas de chave assimétrica são extremamente lentos para qualquer tipo de criptografia em
massa. Portanto, é comum criptografar a maior parte do tráfego usando um algoritmo simétrico, como 3DES ou
AES e, em seguida, usar o algoritmo DH para criar chaves que serão usadas pelo algoritmo de criptografia.
© 2019 Cisco e/ou suas afiliadas. Todos os direitos reservados. Documento
confidencial da Cisco 20