Fundamentos de segurança de redes

Um ataque à rede explora uma fraqueza para causar danos. Identificar a fraqueza e o recurso sob pressão ajuda você a escolher uma defesa que possa funcionar.

Relacione o ataque à fraqueza

Uma ameaça pode causar danos: um atacante, uma pessoa da própria organização ou um incêndio. Uma vulnerabilidade é uma fraqueza, como firmware antigo ou uma senha padrão. Um exploit é a técnica ou o código usado contra essa fraqueza. Uma mitigação elimina a fraqueza ou reduz seu efeito. Em um serviço de login VPN vulnerável, a falha é a vulnerabilidade, o código de ataque é o exploit e a instalação da correção do fornecedor é a mitigação. Desativar o serviço exposto pode reduzir a exposição enquanto a atualização é providenciada.

A superfície de ataque é o conjunto de pontos que um atacante pode tentar explorar: serviços, portas, contas, dispositivos e redes sem fio. Desativar um serviço de gerenciamento não utilizado remove um ponto de entrada. Adicionar outra senha a esse serviço não utilizado mantém o ponto de entrada.

Diferencie três tipos de sobrecarga

Um ataque de negação de serviço (DoS) torna um serviço indisponível. Um DoS distribuído (DDoS) usa muitas origens, muitas vezes dispositivos comprometidos controlados como uma rede de bots. Bloquear um endereço deixa as outras origens enviando tráfego.

Em uma inundação de SYN, muitos estabelecimentos de conexão TCP param depois que o servidor envia SYN-ACK. O ACK final nunca chega, deixando conexões semiabertas à espera em uma fila. Os cookies SYN permitem que o servidor adie a manutenção do estado da conexão até que o cliente conclua o estabelecimento. Limites de taxa de conexões e tempos limite menores também podem reduzir a pressão.

Analise reflexão e amplificação

Na reflexão, um atacante falsifica o endereço de origem da vítima em solicitações a outros servidores. Esses servidores respondem à vítima. Na amplificação, as respostas são maiores que as solicitações. Serviços baseados em UDP são atrativos porque não há um estabelecimento inicial de conexão para validar a origem declarada.

Suponha que 500 bots enviem 4 Mbit/s de consultas cada um. A taxa combinada de solicitações é de 2.000 Mbit/s, ou 2 Gbit/s. Uma consulta de 60 bytes que produz uma resposta de 3.000 bytes fornece um fator de amplificação de 50. Desconsiderando outras sobrecargas, a vítima recebe cerca de 100 Gbit/s. As respostas grandes vêm dos servidores refletores, embora o atacante tenha enviado muito menos tráfego.

Posicione a defesa antes do gargalo

Se o enlace de entrada já estiver cheio, o firewall da organização receberá apenas o tráfego que conseguir passar por ele. Descartar pacotes de ataque ali não recupera a capacidade perdida antes desse ponto. O provedor de internet ou um serviço de filtragem em nuvem deve filtrar uma grande inundação volumétrica antes que ela alcance a conexão da empresa. Evitar resolvedores DNS abertos e filtrar endereços de origem falsificados também reduz a utilidade de uma rede para atacantes.

Um pico de tráfego isolado não basta para identificar um ataque. Compare o número de conexões, as sessões semiabertas, os padrões de solicitações e a carga de CPU com a linha de base normal. Um evento de vendas movimentado também pode aumentar a demanda legítima.

Redes locais dependem de informações aprendidas: qual porta alcança um endereço MAC, qual endereço MAC pertence a um gateway e qual servidor responde por um nome. Atacantes podem substituir essas informações e redirecionar o tráfego.

Reconheça uma posição no caminho

Um ataque de interceptação no caminho, também chamado de ataque man-in-the-middle, faz a comunicação passar pelo atacante. Ele pode ler, alterar ou descartar o tráfego não criptografado. HTTPS e SSH protegem o conteúdo mesmo quando o caminho atravessa um dispositivo não confiável, desde que as verificações de identidade sejam bem-sucedidas.

A inundação de endereços MAC envia muitos endereços MAC de origem falsos para encher a tabela de endereços de um comutador. Quadros destinados a endereços desconhecidos podem então ser inundados na VLAN, expondo o tráfego a outras portas. A segurança de porta limita os endereços aprendidos em uma porta. O efeito de uma tabela cheia depende do comutador, por isso verifique seu comportamento em vez de presumir que todos os quadros se tornam visíveis.

Acompanhe uma associação ARP falsificada

O ARP associa um endereço IPv4 local a um endereço MAC. Na falsificação de ARP, um atacante envia mensagens ARP falsas. O envenenamento ARP é a entrada falsa resultante no cache.

Um PC em 192.168.1.50 espera que o gateway 192.168.1.1 tenha o endereço MAC 00:1A:2B:3C:4D:5E. Uma resposta falsificada afirma que o gateway usa 00:AA:BB:CC:DD:EE. O PC passa a enviar os quadros destinados ao gateway para esse endereço. Se o atacante os encaminhar, a conexão poderá continuar funcionando enquanto ele estiver no caminho. Compare arp -a com o endereço conhecido do gateway; o próprio IP do atacante não precisa aparecer no cache. A inspeção dinâmica de ARP (DAI) rejeita associações que não passam em suas verificações.

Diferencie três formas de redirecionar clientes

Um gateway DHCP falso pode fazer o tráfego roteado passar pelo atacante. Um servidor DNS falso pode redirecionar nomes selecionados. A inspeção DHCP bloqueia respostas de servidor vindas de portas não confiáveis. O DNSSEC valida dados DNS assinados; ele não criptografa o tráfego DNS. Uma entrada envenenada no cache DNS dura até ser removida ou expirar, enquanto uma entrada maliciosa no arquivo hosts permanece até ser removida.

Verifique os limites das redes sem fio e VLANs

Um ponto de acesso não autorizado se conecta à rede cabeada sem aprovação e abre um caminho sem fio indesejado para ela. Um ponto de acesso gêmeo malicioso copia um SSID legítimo para atrair clientes. Monitoramento sem fio, 802.1X na rede cabeada e validação correta do certificado do servidor de autenticação ajudam a prevenir esses ataques. Um nome de rede conhecido, por si só, não identifica um ponto de acesso confiável.

O salto entre VLANs contorna o limite de roteamento previsto. A falsificação de identidade de comutador tem sucesso quando um dispositivo final negocia um enlace tronco. A dupla marcação explora uma VLAN de acesso que também é uma VLAN nativa sem etiqueta de um enlace tronco: um comutador remove a etiqueta externa, expondo a etiqueta interna de destino ao próximo comutador. Esse caminho geralmente funciona em uma direção. Portas de acesso fixas, enlaces tronco estáticos, negociação desativada e uma VLAN nativa não utilizada fecham esses caminhos.

Um atacante pode obter acesso à rede convencendo uma pessoa, roubando uma senha ou conectando um dispositivo. Um firewall tecnicamente bem configurado não pode verificar se alguém que liga dizendo ser do suporte está falando a verdade.

Leia a solicitação antes de reagir

A engenharia social usa urgência, autoridade ou disposição para ajudar a fim de obter acesso. O phishing usa mensagens enganosas; o phishing direcionado visa uma pessoa ou função específica. O vishing usa chamadas de voz e o smishing usa mensagens de texto. Uma mensagem urgente que pede que você faça login em um domínio desconhecido é motivo para parar e verificar por um canal conhecido. Informe a mensagem e abra o serviço por seu endereço conhecido.

Observar alguém digitar uma senha é observação por sobre o ombro. Examinar documentos ou equipamentos descartados é busca em materiais descartados. Seguir uma pessoa com crachá por uma porta trancada é entrada por acompanhamento. Esses métodos exploram hábitos cotidianos de trabalho, por isso procedimentos de uso de crachá, descarte seguro e visitantes acompanhados são importantes junto com os controles de software.

Diferencie os malwares pelo que fazem

Essas classificações podem se sobrepor. O WannaCry era um ransomware que também se espalhava como worm por serviços SMBv1 vulneráveis em TCP 445, em maio de 2017. Aplicar correções, desativar o SMBv1, filtrar esse serviço e separar segmentos da rede limitaram sua propagação. A proteção de dispositivos finais ajuda a detectar malware, mas novas ameaças e roubo de senhas ainda exigem outros controles. Cópias de segurança mantidas fora do alcance do ransomware ajudam na recuperação.

Identifique o que o atacante tenta fazer com senhas

A força bruta testa combinações. Um ataque de dicionário testa palavras prováveis, senhas vazadas e variações. A pulverização de senhas testa um pequeno número de senhas comuns em muitas contas. O preenchimento de credenciais testa pares de nome de usuário e senha roubados de outros serviços. A pulverização distribui tentativas entre usuários; o preenchimento explora a reutilização de senhas.

Um atacante online encontra atrasos e bloqueios do serviço ativo. Um atacante offline testa hashes de senhas roubados sem consultar o serviço de login, por isso o bloqueio desse serviço não pode retardar as tentativas. Senhas longas e únicas, um gerenciador de senhas, verificações de senhas vazadas e o uso de hashes lentos com salt para senhas tratam diferentes partes do problema.

Proteja os outros caminhos de entrada

A autenticação multifator (MFA) exige tipos diferentes de fatores, de modo que uma senha sozinha não basta. Chaves de segurança físicas podem resistir ao phishing que captura senhas e códigos de uso único. A MFA comum baseada em códigos ainda pode ser alvo de phishing, por isso os usuários devem verificar onde fazem login.

Tranque salas e racks de rede. O acesso ao console combinado com uma reinicialização pode permitir que um intruso use o procedimento de recuperação de senha de um dispositivo. Um visitante que consiga acessar uma porta aberta de comutador pode conectar um dispositivo não autorizado mesmo sem saber uma senha de Wi-Fi.

A segmentação separa grupos de dispositivos e controla a comunicação entre eles. Ela limita a movimentação lateral, o avanço de um atacante de um dispositivo comprometido para outros sistemas acessíveis.

Separe grupos e controle as passagens

A segmentação física usa equipamentos separados; uma rede com isolamento físico não tem conexão com outras redes. VLANs fornecem segmentação lógica em comutadores compartilhados. Cada uma é um domínio de broadcast da camada 2, normalmente com sua própria sub-rede.

Um roteador, comutador de camada 3 ou firewall conecta as VLANs. Aplique ACLs ou regras de firewall nesse ponto. Criar VLANs sem filtragem deixa a comunicação roteada aberta: a separação de broadcasts, por si só, não é uma política de acesso.

Agrupe dispositivos conforme suas necessidades

Separe funcionários, servidores, voz, visitantes, gerenciamento e dispositivos IoT. Dispositivos pessoais em programas BYOD geralmente recebem acesso limitado. A TO, ou tecnologia operacional, controla processos físicos e precisa de isolamento rigoroso, pois interrupções têm efeitos físicos e a aplicação de correções pode ser difícil.

As interfaces de gerenciamento devem aceitar conexões apenas de origens de administradores aprovadas. Visitantes precisam de acesso à internet sem acesso interno; câmeras precisam de seu gravador. O isolamento eficaz também pode reduzir os sistemas incluídos em uma avaliação de segurança de cartões de pagamento. Demonstre esse isolamento por meio dos caminhos realmente permitidos.

Transforme necessidades em regras

Use a VLAN 10 Funcionários em 10.10.10.0/24, VLAN 20 Servidores em 10.10.20.0/24, VLAN 30 Visitantes em 10.10.30.0/24, VLAN 40 Câmeras em 10.10.40.0/24 e VLAN 99 Gerenciamento em 10.10.99.0/24.

Bloqueie os outros fluxos entre segmentos. Isso é bloqueio por padrão: identifique a origem, o destino, o protocolo e o serviço necessários e bloqueie o restante. Uma regra da câmera para o gravador não deve também abrir todos os servidores à sub-rede de câmeras.

Teste o serviço real

A partir de cada segmento, teste uma conexão necessária e uma proibida. Um visitante deve conseguir carregar um site público aprovado, mas não abrir a interface HTTPS da impressora interna. Uma câmera deve alcançar seu gravador, mas não os PCs dos funcionários. Confirme a alteração no contador ou no registro da regra esperada.

O ping testa apenas ICMP. Uma falha de ping não mostra se TCP 443 está acessível. Repita os testes de serviços após alterações de roteamento, VLAN ou firewall.

A segurança das VLANs depende de manter dispositivos finais em portas de acesso e controlar o que os enlaces tronco transportam. As etiquetas de VLAN identificam o tráfego; elas não o criptografam nem autenticam seu remetente.

Impeça que dispositivos finais formem enlaces tronco

Uma porta de acesso atende a uma VLAN de dispositivos finais. Um enlace tronco transporta várias VLANs usando etiquetas 802.1Q. Sua VLAN nativa transporta tráfego sem etiqueta, a menos que a marcação da VLAN nativa esteja ativada.

Na falsificação de identidade de comutador, um dispositivo final se passa por um comutador e negocia um enlace tronco por meio do DTP da Cisco. Defina portas de dispositivos finais no modo de acesso estático, enlaces tronco reais no modo tronco estático e desative a negociação.

Elimine o caminho da dupla marcação

A dupla marcação exige que a VLAN de acesso do atacante coincida com uma VLAN nativa sem etiqueta de um enlace tronco. O atacante adiciona uma etiqueta externa da VLAN nativa e uma etiqueta interna da VLAN de destino. A remoção da etiqueta externa expõe a etiqueta de destino ao próximo comutador. O caminho habitual funciona em uma direção, mas ainda pode introduzir tráfego prejudicial.

Use uma VLAN nativa não utilizada, sem dispositivos finais, ou ative a marcação da VLAN nativa. Configure a mesma VLAN nativa nas duas extremidades: caso contrário, quadros sem etiqueta podem entrar em VLANs diferentes nas extremidades opostas. Mantenha usuários, servidores e gerenciamento fora da VLAN 1 e da VLAN nativa.

Configure e verifique as funções

Este exemplo de Cisco IOS atribui uma porta a um dispositivo final de funcionário e configura um enlace de subida. A VLAN 999 não é utilizada; apenas as VLANs ativas listadas precisam do enlace tronco.

interface GigabitEthernet1/0/5
 switchport mode access
 switchport access vlan 10
 switchport nonegotiate
!
interface GigabitEthernet1/0/48
 switchport mode trunk
 switchport nonegotiate
 switchport trunk native vlan 999
 switchport trunk allowed vlan 10,20,30,99

Comutadores mais antigos com suporte a ISL podem precisar primeiro de switchport trunk encapsulation dot1q. Limite a lista de VLANs permitidas às necessidades reais da outra extremidade. Verifique show interfaces trunk para consultar os enlaces tronco operacionais, as VLANs nativas e as listas de VLANs permitidas, e show interfaces GigabitEthernet1/0/5 switchport para verificar a operação em modo de acesso estático.

Desabilite portas não utilizadas e isole os pares

Desabilite portas não utilizadas e atribua-as a uma VLAN de estacionamento sem roteamento, como a VLAN 998. Uma tomada de rede disponível e ativa ainda fornece uma conexão; a VLAN de estacionamento limita o alcance caso uma porta seja habilitada acidentalmente.

Portas isoladas de VLANs privadas alcançam a porta promíscua, normalmente voltada para um gateway, mas não umas às outras. Portas de comunidade também alcançam sua própria comunidade. O isolamento de clientes sem fio oferece separação semelhante entre pares. As regras no limite de roteamento continuam controlando o tráfego que sai desses grupos.

Uma lista de controle de acesso (ACL) verifica pacotes em relação a entradas ordenadas de permissão e bloqueio. A primeira entrada correspondente determina o resultado. Se nenhuma entrada corresponder, um bloqueio implícito descarta o pacote.

Escolha os campos necessários

Uma ACL IPv4 padrão verifica apenas o endereço de origem. Uma ACL estendida pode verificar protocolo, origem, destino e portas TCP ou UDP. Listas padrão numeradas da Cisco usam 1–99 ou 1300–1999; listas estendidas usam 100–199 ou 2000–2699. Listas nomeadas facilitam o reconhecimento de sua finalidade e usam números de sequência para edição.

As faixas de endereços em ACLs Cisco usam máscaras curinga. Um bit zero deve corresponder; um bit um é ignorado. Para uma sub-rede, subtraia sua máscara de sub-rede de 255.255.255.255. Uma /24 usa 0.0.0.255. A faixa 192.168.10.64/26 usa 0.0.0.63 e abrange de .64 até .127. host 10.10.20.10 corresponde a um endereço; any corresponde a todos os endereços. Digitar 255.255.255.0 como máscara curinga ignoraria os três primeiros octetos e verificaria se o último octeto é zero, em vez de corresponder à /24 pretendida.

Leia uma política completa

Esta lista nomeada filtra o tráfego dos funcionários que chega ao roteador:

ip access-list extended STAFF-IN
 10 permit tcp 10.10.10.0 0.0.0.255 host 10.10.20.10 eq 443
 15 permit udp 10.10.10.0 0.0.0.255 host 10.10.20.53 eq 53
 16 permit tcp 10.10.10.0 0.0.0.255 host 10.10.20.53 eq 53
 20 deny ip 10.10.10.0 0.0.0.255 10.10.20.0 0.0.0.255
 30 permit ip 10.10.10.0 0.0.0.255 any

Acompanhe um pacote por vez:

1. O PC de funcionário 10.10.10.25 envia tráfego TCP 443 para 10.10.20.10. A entrada 10 corresponde, então o tráfego é permitido.
2. O mesmo PC envia tráfego TCP 3389 para esse servidor. As entradas 10, 15 e 16 não correspondem; a entrada 20 corresponde e o bloqueia.
3. O PC envia tráfego TCP 443 para o servidor público 203.0.113.80. A entrada 20 não corresponde a esse destino; a entrada 30 o permite.
4. Um pacote com origem de visitante 10.10.30.7 não corresponde a nenhuma dessas entradas de origem de funcionários. O bloqueio implícito o descarta.

O DNS precisa tanto de UDP 53 quanto de TCP 53, incluindo TCP para respostas que não podem ser concluídas por UDP. Mover a entrada 30 para antes da entrada 20 permitiria o tráfego dos funcionários para todos os servidores e faria com que a entrada de bloqueio nunca fosse alcançada. Remover a entrada 30 bloquearia o restante do tráfego dos funcionários, incluindo o acesso à internet.

Aplique a lista onde os pacotes passam

Na interface da VLAN de funcionários, ip access-group STAFF-IN in filtra os pacotes dos funcionários que entram no roteador. A direção é relativa à interface do roteador, não ao usuário. out verifica pacotes que saem dessa interface. Uma interface aceita uma lista por protocolo e por direção.

ACLs estendidas geralmente ficam perto da origem para descartar o tráfego indesejado cedo. ACLs padrão geralmente ficam perto do destino: como não conseguem distinguir destinos, um bloqueio baseado apenas na origem aplicado cedo poderia bloquear outros caminhos necessários.

Verifique as respostas e as solicitações

Essas ACLs de roteador são sem estado. Uma resposta verificada por outra ACL precisa de sua própria permissão. A palavra-chave established da Cisco verifica os sinalizadores TCP ACK ou RST; ela não é uma tabela de estados e não ajuda com UDP.

Use show access-lists para inspecionar os contadores de correspondências e show ip interface para confirmar a aplicação e a direção. Nenhuma correspondência pode indicar uma entrada sombreada por uma regra anterior. Um deny ip any any log explícito no final torna o tráfego bloqueado visível. Em ACLs IPv6 da Cisco, preserve as permissões necessárias para descoberta de vizinhos: um bloqueio geral explícito antes dessas permissões pode interromper o funcionamento do enlace local.

Um firewall aplica uma política de tráfego entre redes ou em um host individual. Escolha seu método de inspeção conforme a decisão que ele precisa tomar.

Compare métodos de inspeção

Um firewall com inspeção de estado que registra uma conexão TCP de 10.10.10.25:51514 para 203.0.113.80:443 pode reconhecer a resposta no sentido inverso. Uma conexão de entrada não relacionada não recebe permissão apenas por usar a porta de origem 443. Um filtro sem estado, por sua vez, precisa de regras adequadas para as respostas.

Um proxy de aplicação encerra a conexão do cliente e abre outra com o servidor. Um WAF é especializado em solicitações web, incluindo ataques como injeção de SQL. Um firewall de próxima geração (NGFW) acrescenta identificação de aplicações, políticas de usuário e funções como IPS ou filtragem de URLs. Um dispositivo UTM reúne funções de segurança para organizações menores.

Verifique endereços e conteúdo transferido

A filtragem de URLs verifica endereços web ou categorias. A filtragem de conteúdo examina o material transferido, como arquivos executáveis ou documentos confidenciais. A permissão de TCP 443, por si só, não consegue distinguir um site empresarial de malware ou de uma ferramenta de acesso remoto que usa HTTPS.

A inspeção TLS descriptografa, inspeciona e criptografa novamente o tráfego. Os clientes devem confiar em sua autoridade certificadora. Aplique os requisitos organizacionais e de privacidade, incluindo exclusões para categorias sensíveis.

Leia uma política ordenada

Considere estas regras de primeira correspondência:

1. Permitir da rede interna para a externa em TCP 80/443 e DNS aprovado, UDP/TCP 53.
2. Permitir da rede externa para o servidor web 172.16.1.10 da sub-rede protegida em TCP 443.
3. Permitir dos PCs de administradores 10.10.10.5 e .6 para esse servidor em TCP 22.
4. Bloquear e registrar da sub-rede protegida para a rede interna.
5. Bloquear e registrar o restante.

Um navegador interno corresponde à regra 1. Uma conexão SSH externa ao servidor web chega à regra 5 porque não é HTTPS publicado nem tráfego de um administrador especificado. Um servidor público comprometido que inicia SMB para a rede interna corresponde à regra 4. As respostas correspondentes usam a política com inspeção de estado.

Use origens, destinos e serviços específicos, com exceções restritas antes de regras abrangentes. Registre finalidade, responsável e data de revisão. Revise os registros e remova permissões obsoletas ou regras sombreadas.

Um firewall de host protege um dispositivo, incluindo um notebook em viagem. Um firewall de rede protege o tráfego que atravessa seu limite. Ataques internos podem evitar a borda da internet, por isso mantenha os dois.

Um servidor público precisa aceitar algum tráfego da internet, mas isso não significa que deva ter acesso irrestrito aos sistemas internos. As zonas de segurança tornam essas permissões diferentes visíveis.

Coloque serviços públicos em uma sub-rede protegida

Uma zona de segurança agrupa interfaces ou redes com uma política comum. A rede interna é normalmente a zona confiável, a rede externa é a internet e uma sub-rede protegida, também chamada de DMZ, abriga serviços públicos. “Confiável” descreve o agrupamento da política; ainda pode haver dispositivos infectados nele.

Permita da rede externa para a sub-rede protegida apenas os serviços publicados. Bloqueie da rede externa para a interna, permitindo as respostas a conexões da rede interna autorizadas pelo firewall com inspeção de estado. Bloqueie conexões iniciadas da sub-rede protegida para a rede interna, exceto dependências específicas e restritas. Por exemplo, um servidor web pode precisar de uma porta de banco de dados em um banco de dados interno. O acesso administrativo deve vir de hosts de administradores especificados.

Um firewall de três interfaces pode aplicar esses limites. Como alternativa, coloque a sub-rede protegida entre firewalls externo e interno. A segunda opção cria limites de política separados, mas exige mais equipamentos e administração. Um atacante que alcance um servidor público por uma regra externa permitida ainda enfrentará as regras internas; as dependências permitidas determinam o alcance restante.

Combine publicação com permissão

Publique o servidor web privado 172.16.1.10 traduzindo o endereço público 203.0.113.10 em TCP 443 para seu serviço privado em TCP 443. Isso é NAT de destino, ou encaminhamento de portas. O firewall precisa tanto da tradução quanto de uma regra que permita a conexão publicada. A tradução altera o endereçamento; a regra decide a permissão. Os produtos diferem quanto ao uso do endereço anterior ou posterior à tradução em uma regra, por isso verifique a qual endereço a regra realmente corresponde.

Escolha detecção ou prevenção

Um IDS recebe uma cópia do tráfego por uma porta de espelhamento ou TAP e gera alertas. Ele não pode descartar diretamente os pacotes originais. Um IPS fica em linha e pode bloquear tráfego, incluindo tráfego legítimo classificado incorretamente como malicioso. Um IPS configurado para permitir a passagem em caso de falha deixa o tráfego passar; um configurado para bloquear em caso de falha o bloqueia.

A detecção por assinaturas identifica padrões conhecidos e precisa de assinaturas atuais. A detecção por anomalias compara o comportamento com uma linha de base normal e pode sinalizar um novo padrão. Ela também precisa de ajustes: uma grande cópia de segurança agendada pode se parecer com roubo de dados.

Apenas os resultados positivos geram alertas. Um alerta é uma ocorrência a investigar, enquanto um ataque não detectado pode não deixar alerta algum. Reduzir a sensibilidade pode diminuir falsos positivos e aumentar falsos negativos; aumentá-la pode ter o efeito oposto.

Posicione a detecção onde os dados estão disponíveis

Um sensor de rede fora de uma extremidade HTTPS ou VPN vê endereços, horários e volume, mas não consegue ler conteúdo criptografado. Inspecione o tráfego descriptografado na extremidade, atrás do gateway VPN ou em um ponto aprovado de inspeção TLS. A detecção baseada em host pode ver a atividade no servidor após a descriptografia.

Um sistema de atração de ataques é uma isca isolada sem usuários legítimos. Conexões a ele merecem investigação. Uma rede de atração de ataques combina iscas. Mantenha-as isoladas para que uma isca comprometida não possa se tornar um caminho para sistemas reais.

As proteções dos comutadores impedem vários ataques antes que os pacotes cheguem a um roteador ou firewall. Elas verificam evidências diferentes: um limite de endereços MAC, a origem de uma oferta DHCP ou uma vinculação entre IP e MAC.

Limite os endereços em uma porta

A segurança de porta limita os endereços MAC permitidos em uma porta. Comutadores Cisco permitem, por padrão, um endereço quando o recurso é ativado. Os endereços podem ser inseridos manualmente, aprendidos dinamicamente ou aprendidos de forma persistente. Endereços persistentes entram na configuração em execução e permanecem após a reinicialização quando essa configuração é salva.

Para uma mesa com um PC, use este exemplo de Cisco IOS:

interface GigabitEthernet1/0/5
 switchport mode access
 switchport access vlan 10
 switchport port-security
 switchport port-security maximum 1
 switchport port-security mac-address sticky
 switchport port-security violation restrict

Outro notebook não consegue enviar tráfego pela porta depois que o endereço do PC é aprendido. No modo restrict, o PC original pode ser reconectado sem que a porta entre em err-disabled. Verifique show port-security interface GigabitEthernet1/0/5. O modo shutdown precisa de recuperação administrativa, como shutdown seguido de no shutdown, ou de recuperação automática configurada. Endereços MAC podem ser copiados, por isso a segurança de porta não é uma autenticação forte de dispositivos.

Confie em respostas DHCP apenas da direção correta

A inspeção DHCP bloqueia mensagens de servidor DHCP em portas não confiáveis e cria uma tabela de vinculações com IP do cliente, endereço MAC, porta e VLAN. Ative-a globalmente e para as VLANs necessárias com ip dhcp snooping e ip dhcp snooping vlan 10,20. No caminho verificado em direção ao servidor autorizado, configure ip dhcp snooping trust. As portas de dispositivos finais permanecem não confiáveis. Um limite de taxa em portas de usuário, como ip dhcp snooping limit rate 10, ajuda a limitar solicitações de esgotamento DHCP.

Se o caminho de entrada do servidor legítimo permanecer não confiável, as ofertas legítimas também serão descartadas. Definir confiança é uma decisão sobre a direção, não uma afirmação de que todo enlace de subida é seguro. Um enlace de um comutador de acesso desprotegido pode transportar ofertas não autorizadas.

Reutilize vinculações para inspecionar endereços

A inspeção dinâmica de ARP (DAI) verifica mensagens ARP em relação a vinculações válidas entre IP e MAC em portas não confiáveis. A proteção de origem IP (IP Source Guard) verifica o endereçamento de origem no tráfego IP usando as vinculações. Para clientes DHCP, estabeleça as vinculações da inspeção antes de aplicar qualquer um dos dois recursos. Hosts estáticos precisam de entradas de ACL ARP para DAI e de vinculações de origem manuais para IP Source Guard; eles não adquirem uma vinculação DHCP apenas por enviar tráfego.

Acrescente proteções para outros tipos de tráfego de controle

O controle de tempestades de tráfego limita as taxas de broadcast, multicast ou unicast desconhecido. A proteção contra BPDUs desabilita uma porta de borda que recebe mensagens da árvore de expansão. A proteção contra anúncios de roteador bloqueia anúncios de roteador IPv6 não autorizados em portas de usuário. Nenhuma realiza a mesma verificação que a DAI.

Teste essas mudanças em um laboratório ou janela de manutenção, com um caminho de recuperação disponível: uma configuração incorreta de confiança ou uma vinculação ausente pode desconectar dispositivos legítimos.

Uma conexão por cabo ou um endereço MAC conhecido não identifica um usuário aprovado. O controle de acesso à rede (NAC) decide se um dispositivo pode entrar e qual acesso recebe, usando identidade, informações do dispositivo e, muitas vezes, uma verificação de suas condições de segurança.

Acompanhe as três funções do 802.1X

O 802.1X fornece controle de acesso baseado em porta em redes cabeadas e sem fio. O suplicante do dispositivo final solicita acesso. O comutador ou ponto de acesso é o autenticador que controla a conexão. O servidor de autenticação, geralmente RADIUS, verifica as credenciais. Antes da autenticação bem-sucedida, o tráfego de dados normal é bloqueado enquanto as mensagens de autenticação EAP sobre LAN (EAPOL) passam.

Um notebook se conecta à porta GigabitEthernet1/0/12. Seu suplicante troca mensagens EAP com o comutador. O comutador as retransmite em mensagens RADIUS para o servidor. Após validar o certificado do notebook, o servidor retorna Access-Accept com a VLAN 10. O comutador admite o notebook na VLAN de funcionários. Uma identidade rejeitada permanece bloqueada ou recebe acesso restrito conforme a política.

Escolha e valide o método de autenticação

O EAP-TLS autentica cliente e servidor com certificados. O cliente prova que possui sua chave privada sem enviá-la. O PEAP cria um túnel TLS usando o certificado do servidor e verifica um nome de usuário e uma senha dentro dele.

Ambos exigem que o cliente valide o certificado do servidor de autenticação. Um cliente PEAP que aceita o servidor de um atacante pode expor sua troca de autenticação por senha a uma tentativa de quebra. O EAP-TLS não envia a chave privada, mas aceitar um servidor falso ainda pode levar um dispositivo à rede de um atacante. Configure a autoridade confiável e a identidade esperada do servidor, não apenas o SSID.

Trate dispositivos com capacidades diferentes

Uma impressora sem suplicante pode usar autenticação alternativa por endereço MAC (MAB). O comutador envia seu endereço MAC ao RADIUS como identidade. Como esse endereço pode ser copiado, coloque a impressora em um segmento restrito com apenas os caminhos necessários.

Uma avaliação da postura de segurança verifica as condições do dispositivo, como atualizações instaladas, proteção de dispositivo final ativa e firewall habilitado. Um dispositivo que não passa pode entrar em uma VLAN de quarentena que permite serviços de remediação. Após as atualizações e uma nova verificação, ele pode receber acesso normal. Um portal cativo de visitantes apresenta uma página web para aceitação de termos ou inserção de um código; ele tem uma finalidade diferente da autenticação de dispositivos baseada em certificados.

Aplique as mesmas ideias ao Wi-Fi

O WPA3-Personal usa SAE e resiste melhor a tentativas offline de adivinhação do que o WPA2-Personal. Use o modo Enterprise para funcionários e uma rede separada para visitantes. Desative WPS e os padrões obsoletos WEP ou WPA baseado em TKIP.

O NAC determina a admissão e o posicionamento. ACLs e firewalls continuam limitando o tráfego do dispositivo admitido. Introduza a aplicação em etapas: observe as falhas, teste um pequeno grupo e depois amplie. Faça um inventário dos dispositivos sem suplicantes e mantenha um caminho documentado de recuperação administrativa caso o RADIUS fique inacessível.

O fortalecimento da segurança de dispositivos remove pontos de entrada desnecessários e protege os serviços restantes. Aplique-o a comutadores, roteadores, firewalls, pontos de acesso e câmeras e verifique-o novamente após mudanças de software ou configuração.

Remova pontos de entrada fáceis

Altere as credenciais de fábrica durante a instalação. Em 2016, o Mirai usou logins padrão comuns em dispositivos conectados à internet para criar uma grande rede de bots. Desative portas não utilizadas de comutadores e serviços desnecessários, incluindo Telnet, gerenciamento por HTTP sem criptografia, UPnP e WPS. Desative protocolos de descoberta, como CDP e LLDP, em portas voltadas para redes não confiáveis quando a divulgação de informações do dispositivo criar exposição.

A criptografia protege credenciais em trânsito. Credenciais armazenadas também precisam de hashes fortes. O tipo 9 da Cisco usa scrypt e o tipo 8 usa PBKDF2 com SHA-256. O tipo 5 é obsoleto. service password-encryption produz uma ofuscação reversível do tipo 7; não é uma forma forte de armazenar senhas.

Configure acesso somente por SSH

Este exemplo de Cisco IOS pressupõe que o comutador ofereça suporte aos comandos mostrados. Crie a conta interativamente com uma senha longa e única; não reutilize uma senha de exemplo.

hostname SW1
ip domain-name example.com
crypto key generate rsa modulus 2048
ip ssh version 2

Crie o administrador nomeado com username netadmin privilege 15 algorithm-type scrypt secret seguido da senha escolhida. Depois configure as linhas de acesso remoto:

line vty 0 15
 login local
 transport input ssh
 exec-timeout 10 0
 access-class MGMT-ONLY in

MGMT-ONLY é uma ACL definida separadamente que permite apenas origens autorizadas de administradores. login local seleciona contas locais; transport input ssh exclui Telnet; o tempo limite de inatividade é de 10 minutos. Verifique um login SSH permitido e um login bloqueado a partir de um segmento comum de usuários.

Restrinja o caminho de gerenciamento

Use uma VLAN de gerenciamento e permissões de origem restritas. Um servidor de salto é um servidor com segurança reforçada ao qual os administradores se conectam primeiro, permitindo que os dispositivos aceitem sessões de gerenciamento apenas dessa origem. O gerenciamento em banda usa a rede de produção; o gerenciamento fora de banda usa uma rede separada ou um caminho de console que pode permanecer disponível durante uma interrupção da rede de produção.

Atrasos ou bloqueios de login reduzem tentativas online de adivinhação. Por exemplo, login block-for 120 attempts 5 within 60 bloqueia logins por 120 segundos após cinco falhas em 60 segundos. As configurações do dispositivo devem atender à política de senhas da organização; um mínimo definido no dispositivo não é uma recomendação para escolher a senha mais curta permitida.

Atualize e audite o dispositivo

Leia o aviso do fornecedor, obtenha a imagem oficial e verifique seu hash ou assinatura. Faça uma cópia de segurança da configuração, atualize um dispositivo durante a janela planejada, teste o resultado e mantenha uma imagem para reversão. Substitua dispositivos em fim de vida útil que não recebam mais correções.

Envie registros a um serviço syslog central e sincronize os relógios com NTP para que os eventos possam ser comparados. O syslog normalmente usa UDP 514. Mantenha linhas de base de configuração aprovadas e cópias de segurança; compare-as com as configurações em execução para encontrar mudanças inesperadas. Um aviso de login informa as regras de uso autorizado e monitoramento. Registros e linhas de base só são úteis quando o acesso a eles é controlado e as mudanças são revisadas.

Um login bem-sucedido responde a apenas uma pergunta: quem se conectou? A administração de redes também exige uma decisão sobre as ações permitidas e um registro do que aconteceu.

Separe as três decisões do AAA

A autenticação verifica a identidade. A autorização concede permissão para ações. O registro de atividades registra o que foi feito. Juntos, eles formam o AAA. Um engenheiro pode se autenticar com sucesso, mas não ter permissão para alterar uma rota. O registro de atividades pode então registrar a tentativa de comando.

As contas locais ficam em cada dispositivo. O AAA central fornece a muitos dispositivos um único diretório de contas e um registro comum. Remover uma vez o acesso de um administrador que está saindo é mais seguro e fácil de verificar do que editar contas em 40 comutadores. Use contas pessoais e permissões baseadas em funções para que os registros identifiquem uma pessoa e uma função de suporte possa visualizar o estado sem alterar configurações.

O RADIUS clássico normalmente transporta autenticação de 802.1X, Wi-Fi empresarial e VPN. O TACACS+ oferece suporte à autorização e ao registro detalhados de comandos. Equipamentos RADIUS antigos podem usar UDP 1645 e 1646.

Entenda a alternativa local antes de ativá-la

No Cisco IOS, aaa authentication login default group tacacs+ local tenta primeiro o grupo de servidores. A autenticação local é usada quando nenhum servidor responde, não quando um servidor acessível rejeita o login. Uma senha incorreta rejeitada pelo servidor não provoca uma segunda tentativa nas contas locais.

aaa new-model ativa o AAA. aaa authorization exec default group tacacs+ local seleciona métodos de autorização, e aaa accounting commands 15 default start-stop group tacacs+ registra comandos de nível de privilégio 15. O grupo de servidores, as chaves e a conectividade também devem ser configurados. Mantenha uma conta local de emergência protegida e teste o caminho de recuperação antes de depender da disponibilidade do serviço central.

Escolha senhas resistentes a tentativas de adivinhação

Senhas longas e únicas e verificações de senhas vazadas são mais importantes do que uma mistura previsível de símbolos. A orientação do NIST dos Estados Unidos de 2025 exige pelo menos 15 caracteres para uma senha usada sozinha e permite um mínimo de 8 com outro fator. Os sistemas devem permitir pelo menos 64 caracteres, evitar misturas obrigatórias de caracteres e evitar alterações periódicas forçadas sem indícios de comprometimento.

Para letras minúsculas realmente aleatórias, cada caractere acrescentado multiplica o espaço de possibilidades por 26. A 10 bilhões de tentativas por segundo, testar todas as combinações de oito letras leva cerca de 21 segundos; de doze, cerca de 110 dias; de dezesseis, cerca de 138.000 anos. Uma senha reutilizada ou frase previsível não recebe essa proteção do espaço de possibilidades aleatório. O uso de hashes lentos com salt também reduz a velocidade das tentativas offline.

Acrescente um fator diferente e proteja os registros

A MFA combina fatores de conhecimento, posse ou característica inerente: por exemplo, uma senha e uma chave de segurança física. Uma senha mais um PIN ainda representam apenas conhecimento. Use MFA para administração remota e acesso VPN.

Os registros de atividades contêm dados pessoais, incluindo nomes, endereços e horários de login. Limite o acesso e a retenção conforme a política da organização e a lei aplicável. Na rede de um cliente, examine apenas os dados necessários para o trabalho autorizado.

Uma VPN protege o tráfego entre extremidades através de uma rede não confiável. Primeiro escolha a disposição das extremidades e depois decida qual tráfego a usará.

Escolha a VPN conforme o trabalho

Hosts de uma filial atrás de um gateway de VPN entre redes não precisam de um cliente VPN individual. Um cliente de acesso remoto se autentica, de preferência com MFA, e geralmente recebe um endereço de um pool interno. Um portal sem cliente é adequado a um prestador de serviço que não pode instalar software, mas disponibiliza apenas as aplicações que oferece e publica.

Acompanhe os pacotes interno e externo

A filial usa 10.20.0.0/16 e a matriz usa 10.10.0.0/16. Seus gateways públicos são 198.51.100.1 e 203.0.113.1. Um PC da filial em 10.20.5.7 envia dados ao servidor de arquivos 10.10.1.20.

1. O roteamento e a política de VPN selecionam o pacote para a extremidade do túnel da filial.
2. O processamento de túnel ESP criptografa o pacote original e adiciona um cabeçalho externo de 198.51.100.1 para 203.0.113.1.
3. Os roteadores da internet usam os endereços públicos externos; o destino privado permanece protegido no interior.
4. A matriz verifica e descriptografa o pacote e o encaminha para 10.10.1.20.

A proteção termina nessas extremidades. Os caminhos locais além delas precisam de protocolos de aplicação e controles de acesso adequados.

Escolha roteamento completo ou dividido

Um túnel completo envia todo o tráfego do dispositivo remoto pela organização, incluindo a navegação pública. A filtragem da empresa pode inspecionar esse caminho, mas ele usa largura de banda central e pode acrescentar atraso.

Um túnel dividido envia destinos selecionados pela VPN. Por exemplo, 10.0.0.0/8 entra no túnel enquanto um serviço público de vídeo usa o enlace direto de internet do trabalhador. Esse tráfego não passa pela filtragem do gateway da empresa; a segurança do dispositivo final continua necessária.

Escolha o tunelamento completo quando a política exigir o tratamento central de toda a navegação. Escolha o tunelamento dividido quando o tráfego direto permitido consumiria, de outra forma, a capacidade limitada da matriz.

Limite os dispositivos admitidos

A criptografia da VPN não remove malware. Combine acesso remoto com MFA, verificações de postura e regras de firewall que limitem os usuários aos recursos necessários. Um notebook infectado e autenticado pode atacar sistemas acessíveis. O operador do gateway pode ver o tráfego após a descriptografia, por isso uma VPN também não oculta a atividade desse operador.

O IPsec separa o estabelecimento entre pares do tráfego protegido dos usuários. Verificar essas etapas separadamente ajuda a explicar por que uma VPN pode indicar uma conexão enquanto as aplicações continuam falhando.

Estabeleça chaves e associações de segurança

A troca de chaves da internet (IKE), normalmente IKEv2, começa em UDP 500. Os pares se autenticam com uma chave pré-compartilhada ou certificados, acordam algoritmos compatíveis e derivam chaves. Uma associação de segurança (SA) registra configurações de proteção e material de chave. O IKE estabelece seu canal de controle protegido e negocia SAs IPsec para os dados.

As SAs IPsec de dados são direcionais, por isso o tráfego nos dois sentidos precisa de um par. Cada par aplica sua própria política de duração; qualquer um pode renovar as chaves antes da expiração. No IKEv2, durações configuradas diferentes não impedem, por si só, o estabelecimento.

Diferencie os protocolos de dados e os modos

VPNs entre gateways normalmente usam ESP em modo túnel. O AH abrange campos de endereço alterados pelo NAT, o que o torna inadequado para atravessar NAT. O ESP é o protocolo IP 50, não a porta TCP 50 nem a porta UDP 50. Permita IKE, NAT-T quando usado e ESP nativo quando usado entre os endereços dos gateways.

O GRE encapsula sem criptografar. O GRE sobre IPsec combina o transporte de tráfego multicast ou de roteamento pelo GRE com a proteção do IPsec. O encapsulamento adicional, por si só, não fornece sigilo.

Considere o tamanho do pacote

Um túnel ESP normalmente acrescenta cerca de 50–80 bytes por pacote; o NAT-T acrescenta outro cabeçalho UDP de 8 bytes. Um pacote original completo de 1.500 bytes mais esses cabeçalhos excede uma MTU de caminho de 1.500 bytes. Dependendo do protocolo e das configurações, ele precisa ser fragmentado ou é descartado. Uma MTU de túnel menor, muitas vezes de cerca de 1.400 bytes, e um tamanho máximo de segmento TCP (MSS) ajustado ajudam o tráfego a caber. Solicitações pequenas funcionarem enquanto transferências maiores param é um sinal útil de problema de MTU.

Compare outras opções de VPN

VPNs TLS, tradicionalmente chamadas de VPNs SSL, normalmente usam TCP 443 e também podem oferecer suporte a UDP. Elas são adequadas a clientes remotos e portais no navegador. O WireGuard usa UDP, muitas vezes 51820, e um pequeno conjunto de algoritmos modernos. O L2TP/IPsec combina o tunelamento L2TP mais antigo em UDP 1701 com a proteção IPsec. O PPTP é obsoleto e inseguro.

Chaves pré-compartilhadas longas e aleatórias são gerenciáveis para poucos pares, mas difíceis de administrar em grande escala. Certificados emitidos por uma autoridade certificadora (AC) e uma infraestrutura de chaves públicas (ICP, PKI) permitem renovação e revogação individuais. Mantenha chaves privadas em segredo, verifique expiração e confiança e revogue credenciais que não devem mais funcionar. Um certificado autoassinado precisa de uma relação de confiança estabelecida explicitamente.

Localize a etapa que falha

Primeiro verifique a conectividade dos gateways, a versão do IKE, os algoritmos e as credenciais dos pares. Em seguida, inspecione as SAs IKE e IPsec separadamente. Confirme os seletores espelhados das redes protegidas, as permissões necessárias no firewall e as rotas para o túnel. Por fim, teste transferências pequenas e grandes de aplicações. Uma SA IKE comprova o estabelecimento do canal de controle; ela não comprova que o caminho de dados selecionado, as regras de firewall e os tamanhos de pacotes estão corretos.