Bem-vindo à aula sobre Segurança de Rede, um pilar essencial da segurança da informação. Em um mundo cada vez mais conectado, proteger a infraestrutura de rede é fundamental para garantir a confidencialidade, integridade e disponibilidade dos dados. Esta aula explora conceitos e ferramentas que permitem criar defesas em camadas, monitorar atividades suspeitas e responder a incidentes de forma eficaz.

A segurança de rede envolve não apenas a proteção do perímetro, mas também a segmentação interna, a detecção de anomalias e a resposta automatizada a ameaças. Vamos mergulhar em cada um desses tópicos, entendendo como eles se complementam e como implementá-los em um ambiente real.

Network segmentation

A segmentação de rede é a prática de dividir uma rede em sub-redes menores, chamadas de segmentos ou zonas, para melhorar o desempenho e, principalmente, a segurança. Ao segmentar, você limita o movimento lateral de um atacante: se uma parte da rede for comprometida, o acesso a outros segmentos pode ser bloqueado. Isso reduz a superfície de ataque e ajuda a isolar sistemas críticos.

Existem várias formas de segmentação, desde VLANs (Virtual LANs) em switches até firewalls que controlam o tráfego entre zonas. Cada segmento pode ter políticas de segurança específicas, baseadas no princípio do menor privilégio. Por exemplo, em uma empresa, você pode ter uma VLAN para servidores de banco de dados, outra para servidores web e uma terceira para estações de trabalho. O tráfego entre elas deve ser estritamente controlado.

Um exemplo de configuração de VLAN em um switch Cisco:

interface FastEthernet0/1
 switchport access vlan 10
 switchport mode access
!
interface FastEthernet0/2
 switchport access vlan 20
 switchport mode access
!
interface Vlan10
 ip address 192.168.10.1 255.255.255.0
!
interface Vlan20
 ip address 192.168.20.1 255.255.255.0
!

Além de VLANs, a segmentação pode ser implementada com sub-redes IP, utilizando roteadores ou firewalls para controlar o tráfego entre elas. Em ambientes de nuvem, como AWS ou Azure, você pode usar VPCs (Virtual Private Clouds) e sub-redes para isolar recursos. A segmentação é uma das melhores práticas recomendadas pelo CIS Controls e pelo NIST.

IDS

Um Sistema de Detecção de Intrusão (IDS - Intrusion Detection System) é uma ferramenta que monitora o tráfego de rede ou as atividades de um sistema em busca de sinais de atividades maliciosas ou violações de políticas. Ele atua como um alarme: quando detecta algo suspeito, gera alertas para que os administradores possam investigar. O IDS não bloqueia o tráfego diretamente; ele apenas observa e reporta.

Existem dois tipos principais de IDS: o IDS de rede (NIDS) e o IDS de host (HIDS). O NIDS analisa o tráfego que passa por um ponto da rede, enquanto o HIDS monitora arquivos, logs e processos de um único host. Os IDS podem usar assinaturas (padrões conhecidos de ataques) ou análise de anomalias (desvios de um comportamento estabelecido).

Um exemplo de regra para o Snort, um NIDS popular:

alert tcp any any -> 192.168.1.0/24 80 (msg:"Possible web attack"; flags:S; content:"/etc/passwd"; nocase; sid:1000001; rev:1;)

Nessa regra, o Snort alerta se detectar uma tentativa de acessar o arquivo /etc/passwd via HTTP na rede 192.168.1.0/24.

O IDS é valioso para visibilidade e análise forense, mas tem limitações: ele pode gerar muitos falsos positivos e não impede que o ataque prossiga. Por isso, é comum combiná-lo com outras ferramentas, como o IPS, que veremos a seguir.

IPS

Um Sistema de Prevenção de Intrusão (IPS - Intrusion Prevention System) é uma extensão do IDS que, além de detectar, também age para bloquear ou mitigar as ameaças em tempo real. Ele pode descartar pacotes maliciosos, bloquear endereços IP, encerrar conexões ou reconfigurar dispositivos de segurança. O IPS atua em linha, ou seja, ele fica no caminho do tráfego e pode intervir imediatamente.

O IPS pode ser baseado em assinaturas, como o IDS, mas também em políticas e análise de comportamento. Ao contrário do IDS, que é passivo, o IPS é ativo. Isso significa que ele precisa ser configurado com cuidado para evitar bloquear tráfego legítimo (falsos positivos), o que poderia causar indisponibilidade.

Um exemplo de implementação de IPS usando iptables no Linux para bloquear um ataque de força bruta SSH:

iptables -A INPUT -p tcp --dport 22 -m recent --name ssh_attack --update --seconds 60 --hitcount 5 -j DROP
iptables -A INPUT -p tcp --dport 22 -m recent --name ssh_attack --set -j ACCEPT

Essas regras bloqueiam temporariamente um IP que fizer mais de 5 tentativas de conexão SSH em 60 segundos.

O IPS é um componente crítico em uma estratégia de defesa em profundidade, mas não deve ser a única camada. Ele deve ser complementado com IDS, firewalls e outras medidas.

Monitoring

O monitoramento de rede é o processo contínuo de observar e analisar a infraestrutura de rede para garantir que ela esteja operando corretamente e para detectar possíveis incidentes de segurança. Isso envolve coletar dados de dispositivos como roteadores, switches, firewalls e servidores, além de analisar logs e métricas de tráfego.

Existem ferramentas como Wireshark para análise de pacotes, Nagios ou Zabbix para monitoramento de infraestrutura, e SIEM (Security Information and Event Management) como Splunk ou ELK Stack para correlacionar eventos de segurança. O monitoramento permite identificar tendências, detectar anomalias e responder a incidentes em tempo real.

Um exemplo de comando para monitorar o tráfego em tempo real usando tcpdump:

tcpdump -i eth0 -n -c 100

Esse comando captura 100 pacotes na interface eth0 com resolução de nomes desativada.

O monitoramento deve ser proativo: você não deve apenas reagir a alertas, mas também analisar logs regularmente e estabelecer uma linha de base do tráfego normal. Isso ajuda a identificar comportamentos anômalos que podem indicar uma intrusão.

Boas práticas e observações finais

Para uma segurança de rede eficaz, combine segmentação, IDS, IPS e monitoramento. Algumas boas práticas incluem: manter a rede segmentada com base no princípio do menor privilégio; posicionar IDS/IPS em pontos estratégicos, como na borda da rede e entre segmentos; configurar alertas para eventos críticos; e revisar logs regularmente. Lembre-se de que a segurança é um processo contínuo, não um produto.

Referências

Exercícios

  1. Explique a diferença entre IDS e IPS e dê um exemplo de cenário onde cada um seria mais adequado.

    ✓ Resposta: O IDS é passivo: detecta e alerta, mas não bloqueia. O IPS é ativo: detecta e bloqueia em tempo real. Um IDS é mais adequado para monitorar uma rede onde se deseja minimizar falsos positivos e ter visibilidade, enquanto um IPS é usado para bloquear ataques conhecidos automaticamente, como em um perímetro de rede.

  2. Cite três benefícios da segmentação de rede para a segurança.

    ✓ Resposta: 1) Limita o movimento lateral de atacantes; 2) Reduz a superfície de ataque; 3) Permite aplicar políticas de segurança específicas por segmento.

  3. Qual é a função de um SIEM no monitoramento de segurança?

    ✓ Resposta: Um SIEM coleta e correlaciona logs de várias fontes (firewalls, servidores, IDS), permitindo detectar incidentes complexos, gerar alertas e fornecer uma visão centralizada da segurança.

  4. Descreva uma regra de firewall que permita apenas tráfego HTTP vindo da rede interna para a externa.

    ✓ Resposta: Exemplo em iptables: 
    iptables -A FORWARD -i eth0 -o eth1 -p tcp --dport 80 -j ACCEPT
iptables -A FORWARD -i eth1 -o eth0 -p tcp --sport 80 -j ACCEPT
    Isso permite solicitações HTTP de saída e respostas correspondentes.

  5. Por que é importante monitorar logs de rede regularmente?

    ✓ Resposta: Porque ajuda a detectar atividades suspeitas, identificar vulnerabilidades, entender o tráfego normal e responder rapidamente a incidentes, além de atender a requisitos de conformidade.