Construa a ideia primeiro, depois use a próxima atividade para verificá-la.
Como as redes são atacadas
As famílias de ataque que você deve reconhecer, agrupadas pelo que exploram em vez de pelo nome, e o que realmente impede cada uma.
O que você será capaz de fazer
- Agrupar ataques comuns pela propriedade que violam
- Explicar por que o spoofing funciona e o que dificulta
- Distinguir um ataque on-path de uma simples escuta (eavesdropping)
- Explicar por que negação de serviço é um problema de projeto e não de filtragem
Antes disso: Você deve conseguir nomear uma ameaça, uma vulnerabilidade e uma exploração - veja "Ameaças, vulnerabilidades e as palavras entre elas".
Por que isso importa: Ambos os exames pedem que você reconheça ataques pela descrição, não que os execute. A forma útil de guardar vinte nomes de ataques na cabeça não é uma lista - é saber qual de um punhado de suposições cada um quebra, porque a defesa decorre da suposição.
Os protocolos de rede foram projetados entre pessoas que confiavam umas nas outras. A maioria dos ataques não é inteligente — eles simplesmente fazem algo que o protocolo nunca pensou em verificar. Agrupá-los de acordo com a suposição que eles quebram resulta em vinte nomes em quatro ideias.
Um - ninguém verifica quem enviou isso
Um endereço de origem em um pacote é uma afirmação, não um fato. Nada no IP verifica isso, e o mesmo vale para um endereço MAC em um quadro e o campo do remetente em uma resposta ARP. Cada ataque de falsificação é uma observação aplicada em algum lugar.
| Ataque | O que é forjado | Consequência |
|---|---|---|
| Falsificação de ARP | O MAC alega possuir um IP | Em vez disso, o tráfego para o gateway chega ao atacante |
| Falsificação de MAC | O endereço de hardware de um dispositivo | Controles baseados em portas admitem a máquina errada |
| Falsificação de IP | O endereço de origem de um pacote | Filtros que confiam em endereços de origem são ignorados |
| Falsificação de DNS | A resposta para uma pesquisa de nome | Um nome correto é resolvido para o endereço errado |
O que ajuda é qualquer coisa que transforme uma reclamação em algo verificável ou que limite de onde uma reclamação pode ser feita. Filtrar endereços de origem em um limite para que pacotes que alegam ser internos não possam chegar de fora. Segmentação, portanto, um invasor já precisa estar no domínio de transmissão correto para que a falsificação de ARP alcance qualquer coisa.
Dois - o caminho é confiável
O tráfego passa pelo equipamento ao longo do caminho, e os protocolos pressupõem que o equipamento seja neutro. Um atacante que se senta no caminho quebra essa suposição, e a distinção que vale a pena fazer é entre observar e interferir.
| Ataque | O que o atacante faz |
|---|---|
| Espião | Lê o tráfego que passa. Passivo; não deixa rastros |
| Ataque no caminho | Retransmite o tráfego entre as duas extremidades, capaz de lê-lo e modificá-lo |
| Sequestro de sessões | Assume uma sessão estabelecida após a autenticação ter ocorrido |
| Servidor DHCP não autorizado | Responde primeiro e se torna o gateway que todo novo host usa |
Três - os recursos são ilimitados
Cada dispositivo tem largura de banda, memória e estado de rastreamento de conexão finitos. Os ataques de negação de serviço têm como alvo qualquer um deles que se esgote primeiro, e o objetivo é a disponibilidade e não o acesso.
- Volume - mais tráfego do que o link pode transportar. Nada no seu lado do link pode corrigir um link completo.
- Estado - conexões semiabertas que consomem recursos de rastreamento sem serem concluídas.
- Amplificação - uma pequena solicitação a terceiros que produz uma grande resposta direcionada à vítima, usando falsificação para definir o endereço do remetente.
- Distribuído - o mesmo, de fontes suficientes para que o bloqueio de qualquer uma delas não resulte em nada.
Quatro - a pessoa é a maneira mais fácil de entrar
Nenhum controle de rede aborda essa família, e é exatamente por isso que ela permanece eficaz. Vale a pena nomeá-los porque a mitigação é organizacional e precisa ser reconhecida como um controle de segurança e não como um exercício de RH.
| Ataque | Método |
|---|---|
| Phishing | Uma mensagem que convence alguém a abrir mão de suas credenciais ou executar algo |
| Spear phishing | O mesmo, pesquisado e direcionado a uma pessoa |
| Pretextando | Uma razão inventada, mas plausível, para o pedido |
| utilização não autorizada | Seguir alguém por uma porta que exige um crachá |
A solicitação que é totalmente razoável
recebe uma ligação de alguém que se descreve como a nova contratante, que não consegue entrar e precisa da senha do wifi antes do início da reunião em cinco minutos. Tudo sobre a solicitação é normal; a central de atendimento lida com ela várias vezes por semana. O que o torna um ataque é que o chamador não é quem diz, e nada na rede pode dizer isso a Priya.
O que levar para o exame
As perguntas são perguntas de reconhecimento. Com uma descrição, dê um nome ao ataque; dado um ataque, nomeie uma mitigação razoável. Trabalhar com base nas quatro suposições acima é mais confiável do que memorizar uma lista, porque ela também lida com aquelas que o programa não menciona.
| Suposição | Defesa |
|---|---|
| As reivindicações de identidade são verdadeiras | Verificação, filtragem de origem, segmentação |
| O caminho é neutro | Autentique o endpoint, não apenas criptografe o canal |
| Os recursos são ilimitados | Capacidade, limitação de taxa, ajuda inicial |
| As pessoas verificam as solicitações | Processo, treinamento, uma forma de verificar que não depende do chamador |
Terminologia
- Falsificação
- Forjar um identificador - endereço, MAC ou nome - que nada verifica.
- Ataque no caminho
- Retransmitindo tráfego entre dois endpoints e, ao mesmo tempo, é possível lê-lo e alterá-lo. Derrotado ao autenticar a extremidade oposta.
- Amplificação
- Usar um terceiro para transformar uma pequena solicitação falsificada em uma grande resposta direcionada à vítima.
- Engenharia social
- Atacar a pessoa e não o sistema, fazendo uma solicitação falsa, parece comum.
Principais pontos
- A maioria dos ataques quebra uma das quatro suposições em vez de derrotar um controle.
- Os endereços de origem em cada camada são reivindicações, e a falsificação é a consequência.
- A criptografia interrompe a espionagem; somente a autenticação da extremidade remota impede um ataque no caminho.
- Um link saturado não pode ser corrigido por uma regra em seu próprio roteador.
- A engenharia social não tem controle de rede, e é por isso que continua funcionando.
- Reconheça os ataques presumindo que eles abusam, não memorizando nomes.
Pronto para continuar?
Crie uma conta gratuita para salvar seu progresso e fazer a verificação de conhecimento.