Capítulo 7 — Redes e protocolos
Mapa da aula
Aula 07 publicada. Mapa, exemplo, EX019.
flowchart TD
N0["7.1 HTTP e HTTPS"]
N1["7.2 DNS"]
N2["7.3 E-mail"]
N3["7.4 Registros do proxy"]
N4["7.5 Juntando host e rede"]
N5["7.7 Tempo"]
N6["Portas e serviços"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX019"]
Desenho lógico
flowchart LR
N0["7.1 HTTP e HTTPS"]
N1["7.2 DNS"]
N2["7.3 E-mail"]
N3["7.4 Registros do proxy"]
N4["7.5 Juntando host e rede"]
N5["7.7 Tempo"]
N6["Portas e serviços"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX019"]
[7.1 HTTP e HTTPS]
|
v
[7.2 DNS]
|
v
[7.3 E-mail]
|
v
[7.4 Registros do proxy]
|
v
[7.5 Juntando host e rede]
|
v
[7.7 Tempo]
|
v
[Portas e serviços]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX019]
Objetivos de aprendizagem
Você vai (1) descrever os protocolos HTTP, DNS e de e-mail; (2) ler registros de proxy e de e-mail; (3) relacionar as evidências de rede às evidências do host; (4) declarar os limites da atribuição pela rede.
7.1 HTTP e HTTPS
As requisições web especificam um método (GET, POST), um host e um caminho. Com HTTPS, o conteúdo é cifrado, mas proxies configurados para inspeção, ou registros de nomes de host, ainda mostram quais sites foram contatados. Na ws-114, o registro do proxy mostra o host login-portal.example.net e os métodos das requisições, embora o conteúdo da página estivesse cifrado. O método importa: um GET geralmente busca uma página, enquanto um POST envia dados ao servidor. É essa diferença que permite a Leah dizer que algo foi enviado à página falsa, sem ver o que era.
7.2 DNS
Antes de se conectar, um host resolve o nome para um endereço IP. Os registros de DNS mostram quais nomes foram consultados e quando. Uma consulta DNS mostra a intenção de se conectar, não que a conexão tenha sido bem-sucedida, por isso Leah combina os registros de DNS com os registros do proxy ou do firewall. O cache também importa: se a ws-114 tivesse consultado login-portal.example.net antes, uma segunda visita poderia não gerar uma nova consulta. A ausência de um registro de DNS, portanto, não descarta uma visita. Ela anota o fuso horário do servidor DNS antes de juntar os registros aos do proxy.
7.3 E-mail
O e-mail passa por servidores que acrescentam cabeçalhos Received. Lê-los de baixo para cima reconstitui o trajeto; os resultados de autenticação (SPF, DKIM, DMARC) mostram se o domínio remetente autorizou a mensagem. Cada servidor acrescenta seu cabeçalho Received no topo, então o salto mais antigo fica embaixo. Os cabeçalhos mais próximos do topo foram acrescentados pelos próprios servidores da universidade e são os mais confiáveis; os de baixo podem ser forjados pelo remetente. No e-mail da ws-114, uma falha de DMARC numa mensagem que diz vir de IT Servicedesk sustentaria o achado de phishing, e o horário de entrega, 09:12 UTC, ancora a linha do tempo.
7.4 Registros do proxy
O proxy da universidade registra horário, host cliente, destino e requisição. No caso da ws-114, um POST para login-portal.example.net mostra que dados foram enviados à página falsa — o que é coerente com a digitação de credenciais. A expressão "coerente com" é proposital: o registro mostra que dados foram enviados, mas não quais. O POST das 09:14:30 veio vinte segundos depois do GET das 09:14:10, tempo suficiente para digitar um nome de usuário e uma senha. Se as credenciais de s.kaur foram depois usadas em outro lugar é uma questão separada, respondida pelos registros de logon.
7.5 Juntando host e rede
Os registros do proxy nomeiam a ws-114; o histórico do navegador na ws-114 mostra o mesmo URL. Duas fontes independentes que concordam fortalecem o achado. As duas fontes são independentes no sentido que importa: uma é registrada na estação, a outra no proxy, e um atacante que controlasse a ws-114 não conseguiria alterar facilmente o registro do proxy. Se discordassem, por exemplo no horário, a defasagem do relógio seria verificada primeiro. A concordância no mesmo segundo, 09:14:30, depois que os horários da ws-114 são corrigidos pelo atraso de 47 segundos de seu relógio, dá confiança de que ambas descrevem o mesmo evento.
7.6 Limites da atribuição
O proxy identifica a estação, não a pessoa; computadores compartilhados de laboratório tornam isso especialmente importante. Os registros de logon ajudam, mas uma conta conectada ainda não é uma pessoa. Num laboratório estudantil, várias pessoas podem usar a ws-114 num mesmo dia, e as senhas às vezes são compartilhadas. Um logon de s.kaur mostra que a conta foi usada, não quem estava ao teclado. O laudo de Leah informa a conta e a estação e deixa a identificação da pessoa para outras evidências, como registros de acesso às portas ou depoimentos de testemunhas, que o escritório de segurança pode ou não buscar.
7.7 Tempo
Os relógios do proxy e da estação são comparados antes de os eventos serem combinados. Se o relógio do proxy estiver trinta segundos adiantado em relação à ws-114, uma entrada do navegador às 09:14:30 e uma entrada do proxy às 09:15:00 descrevem o mesmo momento. Leah registra a defasagem de cada fonte em relação a uma referência, converte todos os horários para UTC e anota a precisão de cada fonte, já que alguns registros guardam apenas segundos ou minutos inteiros. Só então ela coloca eventos de fontes diferentes numa única linha do tempo, com cada entrada marcada pela fonte, para que o leitor veja de onde ela veio.
Portas e serviços
Os números de porta sugerem serviços — 443 para HTTPS, 25 para transferência de e-mail —, mas um serviço pode rodar em qualquer porta. Leah trata as portas como pistas e confere o protocolo efetivamente observado nos registros antes de nomear um serviço num laudo.
Exemplo resolvido
Leah alinha três registros: o e-mail entregue às 09:12 UTC; o GET do proxy para a página falsa às 09:14:10 e o POST às 09:14:30; a entrada do histórico do navegador às 09:14:30. Ela escreve: "A ws-114 requisitou login-portal.example.net e depois enviou dados a ele, em até dois minutos após a entrega do e-mail."
Caso sintético. Os registros são inventados.
Erros e limites
Um POST mostra que dados foram enviados, não o que foi enviado; o conteúdo pode estar indisponível.
Exercícios
- EX019 — Significado do POST. O que o registro do POST mostra e o que não mostra? Rubrica: 3 = dados enviados; conteúdo desconhecido; 2 = parcial; 1 = senha capturada; 0 = nada.
- EX020 — Cabeçalhos Received. Em que ordem se leem os cabeçalhos Received? Rubrica: 3 = de baixo para cima, para reconstituir o trajeto; 2 = parcial; 1 = de cima para baixo; 0 = nada.
- EX021 — Computador compartilhado. Por que importa que a ws-114 seja compartilhada? Rubrica: 3 = estação não é pessoa; exige logon/outras evidências; 2 = parcial; 1 = não importa; 0 = nada.
Síntese
Os registros de protocolo, lidos junto com as evidências do host e ajustados quanto ao tempo, mostram o que os sistemas fizeram — não quem estava diante deles.
Continue estudando — capítulo 07 de 40
← Capítulo 06 (rascunho) · Índice de capítulos do curso · Capítulo 08 (rascunho) →