Capítulo 11 — Redes e protocolos
Mapa da aula
Aula 11 publicada. Mapa, exemplo, EX031.
flowchart TD
N0["11.1 Camadas"]
N1["11.2 Capturas e fluxos"]
N2["11.3 DNS"]
N3["11.4 Criptografia"]
N4["11.5 Tempo"]
N5["11.7 Estado volátil da rede"]
N6["Redes sem fio e móveis"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX031"]
Desenho lógico
flowchart LR
N0["11.1 Camadas"]
N1["11.2 Capturas e fluxos"]
N2["11.3 DNS"]
N3["11.4 Criptografia"]
N4["11.5 Tempo"]
N5["11.7 Estado volátil da rede"]
N6["Redes sem fio e móveis"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX031"]
[11.1 Camadas]
|
v
[11.2 Capturas e fluxos]
|
v
[11.3 DNS]
|
v
[11.4 Criptografia]
|
v
[11.5 Tempo]
|
v
[11.7 Estado volátil da rede]
|
v
[Redes sem fio e móveis]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX031]
Objetivos de aprendizagem
Você vai (1) explicar as camadas relevantes para a perícia de redes; (2) identificar os artefatos que cada camada deixa; (3) raciocinar sobre capturas de pacotes e registros de fluxo; (4) respeitar os limites legais da interceptação.
11.1 Camadas
Os quadros Ethernet carregam pacotes IP, que carregam segmentos TCP ou UDP, que carregam dados de aplicação como HTTP ou DNS. Cada camada tem endereços e metadados úteis aos investigadores: endereços MAC, endereços IP, portas, nomes de domínio. Cada camada responde a uma pergunta diferente. Os endereços MAC identificam interfaces no segmento local e mudam a cada salto de roteador, por isso importam sobretudo dentro de uma rede. Os endereços IP identificam pontos de extremidade entre redes, mas a tradução de endereços pode esconder muitas máquinas atrás de um só. As portas sugerem qual serviço estava envolvido, e os dados de aplicação dizem o que foi pedido. Priya anota em cada achado a camada de onde ele veio, para que os leitores saibam até que ponto cada identificador merece confiança.
11.2 Capturas e fluxos
Uma captura completa de pacotes registra o conteúdo; um registro de fluxo (como NetFlow ou IPFIX) registra apenas quem falou com quem, quando e quanto. Os fluxos são menores e menos intrusivos, mas não podem mostrar conteúdo. Um dia de captura completa num enlace movimentado de escritório pode ocupar terabytes, enquanto os registros de fluxo do mesmo dia podem caber em poucos gigabytes. Os fluxos ainda respondem a muitas perguntas: se um host falou com um dado endereço, por quanto tempo e quantos bytes trafegaram em cada direção. Uma grande transferência de saída às 02:00 aparece claramente nos fluxos mesmo quando o conteúdo está criptografado. Priya pratica com fluxos sintéticos antes de tocar em qualquer captura.
11.3 DNS
Os logs de DNS mostram quais nomes um host consultou. Uma consulta não prova que uma conexão se seguiu, mas estreita a história. O cache complica o quadro. Um host pode resolver um nome uma vez e conectar-se muitas vezes sem novas consultas, e o log de um resolvedor mostra apenas as consultas que chegaram até ele. Algumas consultas vêm de navegadores que pré-carregam links que o usuário nunca clicou. Priya combina os registros de DNS com os registros de fluxo: uma consulta a um nome seguida, em segundos, de tráfego para o endereço devolvido é uma evidência muito mais forte do que a consulta isolada.
11.4 Criptografia
A maior parte do tráfego web usa TLS. O conteúdo fica oculto, mas metadados como a indicação de nome do servidor (SNI) podem continuar visíveis, conforme a versão do protocolo e a configuração. Mesmo com o conteúdo oculto, o tempo, os tamanhos dos pacotes, o certificado apresentado e o volume de cada sessão podem revelar muito. O encrypted client hello e extensões semelhantes são projetados para esconder o nome do servidor, de modo que os analistas não podem presumir que ele estará sempre visível. A interceptação dentro de uma organização exige autoridade explícita e uma configuração documentada, e um relatório forense diz qual visibilidade se aplicou a cada captura.
11.5 Tempo
Os dispositivos de rede podem ter relógios não sincronizados; correlacionar logs exige conhecer o deslocamento de cada dispositivo. Priya mede os deslocamentos usando eventos que aparecem em duas fontes, como uma entrada do firewall e uma linha de log do servidor para a mesma conexão. Se o firewall está consistentemente 47 segundos adiantado, ela registra esse deslocamento com os pares que o sustentam e o aplica antes de montar uma linha do tempo. Ela também verifica se o deslocamento permanece estável ao longo do período, porque um relógio que deriva precisa de uma correção que muda com o tempo, não de uma constante única.
11.6 Limites legais
A captura do conteúdo de comunicações é regulada por lei na maioria dos países. Os laboratórios agem apenas com a devida autorização; os estudantes analisam apenas capturas sintéticas. A autorização costuma depender de quem é o dono da rede, do que foi informado aos usuários e do que um mandado ou uma política permite, e as regras para metadados podem diferir das regras para conteúdo. Os engenheiros que projetam sistemas de captura incorporam filtros que guardam apenas o que a autorização cobre. As capturas sintéticas do curso reproduzem protocolos e tempos realistas sem conter as comunicações de nenhuma pessoa real.
11.7 Estado volátil da rede
As conexões ativas e os caches ARP de um host ligado são voláteis e, segundo a RFC 3227, são coletados antes dos dados menos voláteis, quando a autorização permite. Num host em execução, a lista de conexões estabelecidas mostra os endereços remotos e os processos que as possuem, e o cache ARP associa endereços IP locais a endereços MAC vistos recentemente. Ambos mudam em segundos ou minutos. O script de coleta de Priya os captura primeiro, grava a saída em mídia externa com um hash e registra em log seus próprios comandos, de modo que as pequenas mudanças que ele provoca ficam documentadas.
Redes sem fio e móveis
Os logs de associação Wi-Fi e os registros da rede móvel acrescentam contexto de local e de tempo. Eles mostram qual ponto de acesso ou célula atendeu um dispositivo, não onde seu dono estava, metro a metro.
Exemplo resolvido
Um log sintético de firewall mostra que um laptop enviou 2 GB a um IP externo às 02:00, enquanto os logs de DNS mostram uma consulta a um serviço de compartilhamento de arquivos um segundo antes. Priya escreve: "O laptop transferiu cerca de 2 GB para um endereço que o log de DNS associa a um serviço de compartilhamento de arquivos. O conteúdo não está visível; o volume e o horário da transferência são compatíveis com o envio de um arquivo."
Caso sintético. Os logs são inventados.
Erros e limites
Os endereços IP identificam pontos de extremidade da rede, não pessoas; o NAT e as redes compartilhadas complicam a atribuição.
Exercícios
- EX031 — Fluxo versus captura. Compare registros de fluxo e capturas completas. Rubrica: 3 = fluxos só com metadados, menores; capturas incluem conteúdo; 2 = parcial; 1 = são iguais; 0 = nada.
- EX032 — Inferência a partir do DNS. O que uma consulta DNS mostra e o que não mostra? Rubrica: 3 = o nome solicitado; não que uma conexão ou transferência se seguiu; 2 = parcial; 1 = prova a visita; 0 = nada.
- EX033 — IP e pessoas. Por que um endereço IP não identifica uma pessoa? Rubrica: 3 = NAT, redes compartilhadas, ponto de extremidade e não usuário; 2 = parcial; 1 = identifica; 0 = nada.
Síntese
Cada camada deixa artefatos diferentes; leia-os em conjunto, atente para os relógios e a lei, e atribua a pontos de extremidade, não a pessoas.
Continue estudando — capítulo 11 de 50
← Capítulo 10 (rascunho) · Índice de capítulos do curso · Capítulo 12 (rascunho) →