Capítulo 11 — Redes e protocolos

Capítulo 11 — Redes e protocolos

Mapa da aula

Aula 11 publicada. Mapa, exemplo, EX031.

flowchart TD
  N0["11.1 Mapear zonas"]
  N1["11.2 O que os protocolos protegem"]
  N2["11.3 Fraquezas das redes planas"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX031"]

Desenho lógico

flowchart LR
  N0["11.1 Mapear zonas"]
  N1["11.2 O que os protocolos protegem"]
  N2["11.3 Fraquezas das redes planas"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX031"]

[11.1 Mapear zonas]
    |
    v
[11.2 O que os protocolos protegem]
    |
    v
[11.3 Fraquezas das redes planas]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX031]

Objetivos de aprendizagem

Você vai (1) mapear as zonas de rede e os protocolos da Corvia; (2) explicar o que TLS, VPNs e segmentação protegem; (3) identificar fraquezas de arquitetura numa rede plana.

11.1 Mapear zonas

Sofia desenha a rede da Corvia: ônibus e bondes se conectam por enlaces celulares a um gateway na garagem; as garagens se conectam ao data center central; o aplicativo de passageiros e o site ficam num ambiente de nuvem; os escritórios corporativos têm rede própria. Cada zona tem usuários, dispositivos e ameaças diferentes. Ela lista os protocolos que atravessam cada fronteira, como HTTPS para o aplicativo, uma VPN dos veículos até as garagens e um protocolo proprietário do fornecedor para os validadores de passagens. Um mapa assim é o ponto de partida de toda revisão de arquitetura, porque as proteções precisam ser colocadas onde o tráfego atravessa fronteiras de confiança.

11.2 O que os protocolos protegem

O TLS, especificado na RFC 8446, protege os dados em trânsito entre dois endpoints com criptografia, integridade e autenticação do servidor. Uma VPN cria um túnel criptografado entre redes, de modo que o tráfego dos veículos que atravessa redes celulares públicas fica protegido. Nenhum dos dois controla o que acontece dentro de um endpoint nem quais sistemas internos um dispositivo conectado pode alcançar. A segmentação faz isso, limitando quais zonas podem falar com quais. Sofia observa que uma VPN que joga cada ônibus direto na rede central sem filtragem protegeria a confidencialidade no enlace celular, mas daria a um ônibus comprometido um caminho para tudo.

11.3 Fraquezas das redes planas

Na garagem mais antiga da Corvia, notebooks da equipe, servidores de bilhetagem e impressoras compartilham um único segmento de rede. Sofia explica o risco a Daniel: um notebook infectado consegue alcançar diretamente os servidores de bilhetagem, e o monitoramento não consegue distinguir com facilidade o tráfego normal do anormal quando tudo fala com tudo. Anderson (2020) descreve incidentes em que redes internas planas deixaram atacantes se moverem livremente. Ela propõe separar as zonas com firewalls e permitir apenas os fluxos necessários, a abordagem depois formalizada em orientações de zero trust como o SP 800-207, e lista os fluxos de que cada zona legitimamente precisa como base para as regras.

Exemplo resolvido

Sofia mapeia seis zonas da Corvia e seus protocolos de fronteira, explica os limites dos túneis VPN e propõe segmentar a rede plana da garagem pelos fluxos necessários.

Caso sintético. As zonas e os fluxos são sintéticos; a RFC 8446, o SP 800-207 e Anderson (2020) são reais.

Erros e limites

Mapas de rede ficam desatualizados rapidamente. As regras de segmentação precisam ser mantidas, ou derivam de volta para uma rede plana.

Exercícios

• EX031 — Limite da VPN. O que uma VPN de veículo não controla? Rubrica: 3 = quais sistemas internos o dispositivo conectado pode alcançar;; 2 = alcance;; 1 = confidencialidade;; 0 = nenhuma.

• EX032 — Risco da garagem plana. Cite dois problemas da rede plana da garagem. Rubrica: 3 = notebook infectado alcança os servidores de bilhetagem; o monitoramento não separa o normal do anormal;; 2 = dois;; 1 = um;; 0 = nenhuma.

• EX033 — Base das regras. Em que as regras de segmentação devem se basear? Rubrica: 3 = nos fluxos de que cada zona legitimamente precisa;; 2 = fluxos necessários;; 1 = todos os fluxos;; 0 = nenhuma.

Síntese

A arquitetura de rede posiciona protocolos e segmentação onde o tráfego atravessa fronteiras de confiança, e não apenas onde atravessa a internet.

Continue estudando — aula 11 (capítulo 11 de 50)

← Capítulo 10 · Índice das aulas · Capítulo 12 →

Continue para a próxima aula já escrita.