Capítulo 7 — Redes e protocolos
Mapa da aula
Aula 07 publicada. Mapa, exemplo, EX019.
flowchart TD
N0["7.1 Portas não são serviços"]
N1["7.2 TLS"]
N2["7.3 Experimentos perigosos"]
N3["7.4 Faixas de documentação"]
N4["7.5 Ética da captura"]
N5["7.6 ATT&CK"]
N6["7.7 Nota aplicada"]
N7["7.8 Humildade diante dos banners"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX019"]
Desenho lógico
flowchart LR
N0["7.1 Portas não são serviços"]
N1["7.2 TLS"]
N2["7.3 Experimentos perigosos"]
N3["7.4 Faixas de documentação"]
N4["7.5 Ética da captura"]
N5["7.6 ATT&CK"]
N6["7.7 Nota aplicada"]
N7["7.8 Humildade diante dos banners"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX019"]
[7.1 Portas não são serviços]
|
v
[7.2 TLS]
|
v
[7.3 Experimentos perigosos]
|
v
[7.4 Faixas de documentação]
|
v
[7.5 Ética da captura]
|
v
[7.6 ATT&CK]
|
v
[7.7 Nota aplicada]
|
v
[7.8 Humildade diante dos banners]
|
v
[Exemplo resolvido] --> [Exercício EX019]
Objetivos de aprendizagem
Você vai (1) ler portas e serviços com cuidado; (2) explicar os papéis do TLS; (3) evitar experimentos de protocolo em sistemas vivos do TRB.
7.1 Portas não são serviços
A porta 443 frequentemente significa HTTPS, mas pode não significar. Nomes do inventário e certificados importam. Um serviço na 443 do TRB pode ser o front-end do internet banking, um console administrativo ou uma API interna exposta por engano. Sam o identifica pelo registro de ativos, pelos nomes de sujeito do certificado e pela descrição do dono antes de escolher qualquer cartão de método. Tratar toda 443 como "o site" leva a decisões de escopo erradas, como testar um console administrativo sob regras escritas para o site público. A resposta do dono é registrada no arquivo de escopo ao lado da porta.
7.2 TLS
Protege a confidencialidade e a integridade em trânsito; não corrige uma autorização quebrada na aplicação. Uma sessão cifrada com o internet banking ainda permite que um cliente logado peça o extrato de outro cliente se a aplicação não verificar a titularidade. Por isso, Sam relata as fraquezas de TLS e as fraquezas de autorização como achados separados, com donos separados: a equipe de plataforma para certificados e configurações de protocolo, a equipe de aplicação para as verificações de acesso. Um bom TLS é necessário, mas não diz nada sobre o que o servidor faz depois que a requisição chega.
7.3 Experimentos perigosos
Enviar pacotes malformados à VLAN do razão para "ver o que acontece" está fora dos limites. Os hosts do razão são frágeis, estão sob controle de mudanças e ficam fora do escopo comum; por isso, uma reação não planejada, como uma queda ou uma transação travada, poderia afetar pagamentos reais. Mesmo onde as ROE permitem algum teste de rede, experimentos com pacotes malformados precisam de um cartão de método nomeado, de uma janela de manutenção e da aprovação explícita do dono. Sem isso, a ação certa é registrar a pergunta e levá-la ao dono do razão.
7.4 Faixas de documentação
Os laboratórios usam 198.51.100.0/24 e 203.0.113.0/24 para que os exemplos não possam atingir a Internet real. Essas faixas, reservadas para documentação, não são roteadas na internet pública; assim, um erro de digitação ou um exemplo copiado não envia nada a lugar real algum. O escopo sintético do TRB, 198.51.100.0/26 com o SWIFT em .20, as usa pelo mesmo motivo. Usar endereços de aparência real no material do curso cria o risco de um aluno colá-los numa ferramenta numa rede viva. A faixa 203.0.113.0/24 faz o papel do lado do atacante ou do parceiro nos exemplos. Se a impressão de um laboratório algum dia mostrar um endereço fora dessas faixas, trate isso como um defeito do material e relate-o.
7.5 Ética da captura
Capturas de pacotes precisam de cláusulas nas ROE; elas frequentemente contêm dados de clientes. Uma captura na camada web do TRB pode conter dados de sessão, números de conta ou conteúdos de extratos. As ROE precisam dizer quem pode capturar, em quais segmentos, por quanto tempo os arquivos são mantidos e como são apagados. Sem essa cláusula, Sam não captura nada, e ele prefere configurações e logs, porque respondem à maioria das perguntas com muito menos dados de clientes. Toda captura feita recebe hash, é armazenada no FindingsDesk e apagada no prazo.
7.6 ATT&CK
A T1190 Exploit Public-Facing Application descreve o abuso de serviços voltados para a internet — nomeada para o desenho de detecções, não como um tutorial. Ligar um achado à T1190 diz à equipe de monitoramento quais detecções verificar, como erros ou requisições incomuns no front-end do internet banking, sem descrever como a fraqueza foi acionada. Sam acrescenta o ID da técnica no FindingsDesk para que o PulseMap possa mostrar a cobertura por técnica, e o relatório nunca inclui passos. Os donos das detecções podem então testar suas regras contra requisições sintéticas em staging.
7.7 Nota aplicada
As cláusulas de captura das ROE especificam as horas de retenção e quem pode rodar o wireshark. O pedido padrão de Sam é "configurações e logs primeiro; pacotes só se esses falharem". A maioria dos achados web do TRB nunca precisa de pacotes; quando precisa, a cláusula já está escrita. Escrever a cláusula com antecedência significa que um pedido urgente de captura durante uma janela não leva a uma decisão improvisada sobre dados de clientes. A cláusula também nomeia quem apaga os arquivos quando as horas de retenção expiram. A pessoa nomeada confirma a exclusão no ticket da captura quando as horas de retenção expiram, para que ninguém presuma que os arquivos sumiram.
7.8 Humildade diante dos banners
Banners alimentam o inventário, não o teatro de severidade. Sam registra a exposição de versão como baixa, a menos que esteja associada a um caminho vulnerável alcançável sob as ROE — que este curso, ainda assim, não vai explorar no mundo real. Um banner que mostra uma versão antiga pode ter sido corrigido por um backport do fornecedor; por isso, a versão sozinha não prova uma fraqueza. Registrá-la como inventário permite aos donos planejar atualizações sem inflar um relatório com achados alarmantes, mas não verificados. Se uma fraqueza alcançável for confirmada depois sob as ROE, a severidade é repontuada com essa evidência.
7.9 Lint de faixas de documentação
Os exemplos na documentação passam por um lint que garante que os IPs sejam de faixas de documentação. O lint de Sam reprovou o rascunho de um post de blog que usava um endereço real do TRB; boa captura. O endereço real teria revelado parte do layout de rede do TRB e poderia ter convidado os leitores a sondá-lo. O lint roda em toda mudança de documentação e bloqueia a publicação até que o endereço seja substituído por um exemplo de faixa de documentação, como um da 198.51.100.0/24. O rascunho do blog foi corrigido e o endereço original foi relatado ao dono da rede.
7.10 Redirecionando um pedido de FIN scan
Um aluno pede para tentar uma varredura TCP FIN em staging "para o trabalho do curso". Sam mostra a lista de métodos proibidos das ROE e a página de fronteira do curso. Em vez disso, eles fazem um quiz offline de PCAP. A curiosidade é redirecionada, não envergonhada — e não é satisfeita em redes bancárias. O quiz usa capturas sintéticas, então o aluno ainda vê como os pacotes se parecem sem que nenhum tráfego toque uma rede do TRB. Sam também registra o pedido como nota de ensino, sem o nome do aluno, porque ele mostra onde a fronteira do curso precisa ser explicada mais cedo.
As respostas do quiz de PCAP nunca incluem bytes de payload de clientes reais. As capturas sintéticas são geradas com endereços de faixas de documentação e payloads inventados, de modo que nenhum dado de cliente pode vazar pelo material didático. As respostas descrevem cabeçalhos, tempos e padrões de fluxo, que é do que os alunos precisam para raciocinar sobre detecção. Sam regenera os arquivos do quiz quando o curso muda, em vez de editar capturas à mão, para que sua procedência fique clara. Cada arquivo regenerado recebe hash, e o hash é publicado com o quiz.
Exemplo resolvido (TRB sintético)
O laboratório de escopo de Sam rejeita 203.0.113.9 como OUT OF SCOPE usando apenas aritmética local de IPs.
Caso sintético — Riverstone Transit Bank (TRB). O banco, Sam Ito, TrackScope/FindingsDesk/PulseMap e todos os números são inventados para fins didáticos.
Erros e limites
Este livro não concede nenhuma autoridade para testar bancos ou sistemas de pagamento reais. Os laboratórios usam apenas endereços de faixas de documentação e dados sintéticos; código de exploit nunca é fornecido.
Exercícios
- EX019 — Limite do TLS. O que o TLS não corrige? Rubrica: 3 = autorização / lógica da aplicação quebradas; 2 = parcial; 1 = tudo; 0 = nada.
- EX020 — Faixas de documentação. Por que usar 198.51.100.0/24 nos laboratórios? Rubrica: 3 = faixas reservadas/de documentação; exemplos seguros; 2 = parcial; 1 = TRB real; 0 = nada.
- EX021 — Regra de captura. Quando Sam pode fazer uma captura de pacotes? Rubrica: 3 = quando as ROE permitem; minimizar os dados; 2 = parcial; 1 = a qualquer momento; 0 = nada.
Síntese
Letramento em protocolos sem experimentação ao vivo; capturas apenas sob as ROE.
Continue estudando — capítulo 07 de 40
← Capítulo 06 (rascunho) · Índice de capítulos do curso · Capítulo 08 (rascunho) →