O Modelo OSI (Open Systems Interconnection) é um framework conceitual que padroniza as funções de um sistema de comunicação em sete camadas distintas. Cada camada possui responsabilidades específicas e se comunica com as camadas adjacentes, permitindo a interoperabilidade entre sistemas heterogêneos. Compreender o modelo OSI é fundamental para profissionais de segurança, pois ele fornece uma lente para analisar vulnerabilidades, ataques e mecanismos de defesa em cada nível da rede.

Nesta aula, vamos percorrer as sete camadas, relacionando cada uma a ataques típicos e contramedidas. Em seguida, discutiremos o princípio da defesa em profundidade, que preconiza o uso de múltiplas camadas de segurança, e a segmentação de redes, técnica que isola recursos e limita o impacto de incidentes.

Camadas OSI

O Modelo OSI é composto por sete camadas, da mais baixa (física) à mais alta (aplicação). Cada camada oferece serviços à camada superior e se apoia nos serviços da camada inferior.

1. Camada Física (Layer 1): Trata da transmissão de bits brutos pelo meio físico (cabos, fibra, ondas de rádio). Ataques comuns: corte de cabos, interferência eletromagnética, escuta passiva (tapping). Defesas: blindagem, criptografia de enlace, monitoramento físico.

2. Camada de Enlace (Layer 2): Organiza os bits em quadros, controla o acesso ao meio e detecta erros. Endereçamento MAC. Ataques: ARP spoofing, MAC flooding, VLAN hopping. Defesas: segurança de portas (802.1X), DHCP snooping, Dynamic ARP Inspection (DAI).

3. Camada de Rede (Layer 3): Roteamento de pacotes entre redes, endereçamento IP. Ataques: IP spoofing, ataques de roteamento (BGP hijacking), Smurf attack. Defesas: filtragem de pacotes, RPF (Reverse Path Forwarding), autenticação de roteamento.

4. Camada de Transporte (Layer 4): Garante a entrega confiável (TCP) ou não confiável (UDP) de segmentos. Ataques: SYN flood, UDP flood, ataques de negação de serviço (DoS). Defesas: firewalls stateful, rate limiting, SYN cookies.

5. Camada de Sessão (Layer 5): Gerencia sessões de comunicação entre aplicações. Ataques: sequestro de sessão (session hijacking), ataques de autenticação. Defesas: tokens criptografados, renovação periódica de sessão.

6. Camada de Apresentação (Layer 6): Traduz dados entre formatos de rede e aplicação, incluindo criptografia e compressão. Ataques: ataques a implementações de SSL/TLS (ex: Heartbleed). Defesas: atualização de bibliotecas, uso de cifras fortes.

7. Camada de Aplicação (Layer 7): Interface com o usuário e aplicações (HTTP, FTP, DNS, SMTP). Ataques: SQL injection, cross-site scripting (XSS), DNS poisoning. Defesas: validação de entrada, WAF (Web Application Firewall), DNSSEC.

Exemplo: Um ataque SYN flood visa a camada de transporte. O atacante envia uma enxurrada de pacotes SYN com endereços IP falsificados, consumindo recursos do servidor e impedindo conexões legítimas.

Ataques de rede

Ataques de rede exploram vulnerabilidades em diferentes camadas para comprometer a confidencialidade, integridade ou disponibilidade dos sistemas. Podem ser classificados como passivos (escuta, varredura) ou ativos (modificação, interrupção).

Exemplos comuns incluem: Packet sniffing (captura de tráfego não criptografado), Man-in-the-Middle (MitM) (interceptação e alteração de comunicações), DoS/DDoS (sobrecarga de recursos), ARP spoofing (associação falsa entre IP e MAC), DNS spoofing (redirecionamento para sites maliciosos), Port scanning (identificação de serviços ativos) e Exploração de vulnerabilidades (buffer overflow, injeção de código).

Exemplo de ataque MitM: Um invasor se posiciona entre o cliente e o servidor, realizando ARP spoofing para interceptar o tráfego. Sem criptografia (HTTPS), o invasor pode ler e modificar os dados transmitidos.

Defesa em profundidade

Defesa em profundidade é uma estratégia de segurança que utiliza múltiplas camadas de controle para proteger os ativos. Se uma camada falhar, a próxima ainda oferece proteção. Esse conceito é inspirado em castelos medievais, que possuíam muralhas, fossos e torres.

As camadas típicas incluem: políticas e procedimentos (conscientização, treinamento), segurança física (controle de acesso, câmeras), segurança de perímetro (firewalls, IDS/IPS), segurança de rede interna (segmentação, VLANs), segurança de host (antivírus, hardening), segurança de aplicação (revisão de código, WAF) e criptografia (dados em repouso e em trânsito).

Exemplo prático: Um servidor web é protegido por firewalls de rede, um WAF, sistema de detecção de intrusão, hardening do sistema operacional e criptografia TLS. Mesmo que o WAF seja contornado, o IDS pode alertar; se o atacante explorar uma vulnerabilidade, o hardening pode limitar danos.

Segmentação de redes

Segmentação de redes divide uma rede em sub-redes menores, isolando recursos e controlando o tráfego entre elas. Isso limita a superfície de ataque e contém incidentes, impedindo que um invasor se mova lateralmente.

As técnicas incluem: VLANs (separação lógica em switches), sub-redes IP (divisão com roteamento), firewalls internos (controle de tráfego entre segmentos), DMZ (zona desmilitarizada para serviços públicos), redes de gerenciamento (isolamento de administradores) e microssegmentação (políticas granulares, como em ambientes de nuvem).

Exemplo: Em uma empresa, a rede é segmentada em: rede de produção, rede de desenvolvimento, rede de convidados e rede de gerenciamento. Um firewall bloqueia todo o tráfego da rede de convidados para a rede de produção. Se um dispositivo na rede de convidados for comprometido, o atacante não conseguirá acessar servidores críticos.

Boas práticas

Ao implementar segurança de redes, considere: manter sistemas atualizados, usar criptografia forte (TLS 1.3, SSH), adotar o princípio do menor privilégio, monitorar logs e tráfego, realizar testes de penetração regularmente e educar os usuários sobre phishing e engenharia social.

Referências

Exercícios

  1. Explique como um ataque ARP spoofing pode ser usado para interceptar tráfego em uma rede local e quais medidas podem mitigá-lo.

    ✓ Resposta: O ARP spoofing consiste em enviar mensagens ARP falsificadas associando o endereço IP do gateway (ou de outro host) ao endereço MAC do atacante. Assim, o tráfego destinado ao gateway é redirecionado ao atacante, que pode capturá-lo (sniffing) ou modificá-lo (MitM). Medidas de mitigação incluem: Dynamic ARP Inspection (DAI) em switches, que valida pacotes ARP contra uma tabela confiável; uso de criptografia ponta a ponta (como HTTPS); e segmentação da rede com VLANs para limitar o domínio de broadcast.

  2. Descreva o conceito de defesa em profundidade e dê um exemplo de como ele se aplica à proteção de um servidor web.

    ✓ Resposta: Defesa em profundidade é a estratégia de implantar múltiplas camadas de segurança de modo que, se uma falhar, outras ainda protejam o ativo. Para um servidor web, as camadas podem incluir: (1) firewall de rede filtrando tráfego malicioso; (2) sistema de detecção/prevenção de intrusão (IDS/IPS); (3) Web Application Firewall (WAF) bloqueando ataques como SQL injection; (4) hardening do sistema operacional (remoção de serviços desnecessários, atualizações); (5) autenticação forte e controle de acesso; (6) criptografia TLS para proteger dados em trânsito; (7) monitoramento e logging para detecção de anomalias; (8) backups regulares para recuperação. Assim, mesmo que um atacante contorne o WAF, o IDS pode alertar, e o hardening pode limitar o dano.

  3. Cite três tipos de ataques de rede e a camada OSI em que cada um ocorre.

    ✓ Resposta: 1. Ataque SYN Flood: Camada de Transporte (Layer 4), explora o handshake TCP enviando muitos pacotes SYN com IPs falsos. 2. ARP Spoofing: Camada de Enlace (Layer 2), falsifica mensagens ARP para associar IP a MAC do atacante. 3. DNS Spoofing: Camada de Aplicação (Layer 7), corrompe respostas DNS para redirecionar usuários a sites maliciosos.

  4. Explique como a segmentação de redes pode conter um ataque de ransomware em uma empresa.

    ✓ Resposta: A segmentação de redes divide a rede em zonas isoladas, como rede de usuários, servidores críticos, backups e DMZ. Se um ransomware infectar um computador na rede de usuários, a segmentação impede que ele se propague para servidores críticos ou backups, pois o tráfego entre segmentos é controlado por firewalls. Além disso, políticas de menor privilégio garantem que apenas tráfego necessário seja permitido. Assim, o ataque fica contido em um segmento, reduzindo o impacto e facilitando a recuperação a partir de backups isolados.

  5. Qual a diferença entre um ataque passivo e um ativo? Dê um exemplo de cada.

    ✓ Resposta: Ataques passivos têm como objetivo obter informações sem alterar o sistema ou o tráfego. Exemplo: packet sniffing (captura de pacotes não criptografados). Ataques ativos envolvem modificação, interrupção ou destruição de dados ou serviços. Exemplo: ataque DoS (negação de serviço), que sobrecarrega um servidor para torná-lo indisponível.