Capítulo 11 — Redes e protocolos
Mapa da aula
Aula 11 publicada. Mapa, exemplo, EX031.
flowchart TD
N0["11.1 TAXII sobre HTTPS"]
N1["11.2 DNS na inteligência"]
N2["11.3 NAT e hospedagem compartilhada"]
N3["11.5 Portas e protocolos no ATT&CK"]
N4["Nota de prática — Paginação e completude"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX031"]
Desenho lógico
flowchart LR
N0["11.1 TAXII sobre HTTPS"]
N1["11.2 DNS na inteligência"]
N2["11.3 NAT e hospedagem compartilhada"]
N3["11.5 Portas e protocolos no ATT&CK"]
N4["Nota de prática — Paginação e completude"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX031"]
[11.1 TAXII sobre HTTPS]
|
v
[11.2 DNS na inteligência]
|
v
[11.3 NAT e hospedagem compartilhada]
|
v
[11.5 Portas e protocolos no ATT&CK]
|
v
[Nota de prática — Paginação e completude]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX031]
Objetivos de aprendizagem
Você vai (1) explicar o HTTPS como transporte do TAXII 2.1; (2) ler os registros DNS relevantes para indicadores; (3) entender como a tradução de endereços de rede (NAT) e a hospedagem compartilhada afetam a atribuição; (4) configurar a coleta para respeitar limites de taxa.
11.1 TAXII sobre HTTPS
O TAXII 2.1 é uma API RESTful sobre HTTPS. Os clientes descobrem as raízes de API, listam as coleções e obtêm ou acrescentam objetos com paginação. A autenticação mútua e o TLS protegem o canal; a especificação TAXII define os endpoints e os tipos de mídia, não as relações de confiança, que vêm dos acordos. Para o Lantern, isso significa que o servidor de um parceiro apresenta um certificado que o coletor de Kofi verifica, e o coletor apresenta o próprio certificado para que o parceiro saiba quem está pedindo. Quais coleções a BEN pode ler é definido pelo acordo de compartilhamento e imposto pelo parceiro. Uma conexão válida não torna o conteúdo confiável; apenas mostra de onde ele veio.
11.2 DNS na inteligência
Um indicador de domínio é resolvido pelo DNS em endereços que podem mudar a cada hora. Registros A, CNAMEs e servidores de nomes contam, cada um, uma história diferente. O DNS passivo — dados históricos de resolução de provedores licenciados — mostra como a infraestrutura se moveu. Kofi registra o horário de cada resolução que o Lantern faz, porque uma resposta sem horário não pode ser comparada com nada. Um domínio que apontava para um endereço hostil no mês passado pode apontar hoje para uma página estacionada. O DNS passivo permite ao analista perguntar para onde o domínio resolvia no dia de um avistamento, que é a pergunta que uma investigação geralmente precisa responder. A licença do provedor limita por quanto tempo esse histórico pode ser guardado, e o Lantern a segue.
11.3 NAT e hospedagem compartilhada
Muitos dispositivos podem estar atrás de um único endereço público; muitos sites podem compartilhar um único endereço de hospedagem. Bloquear um endereço assim pode causar danos colaterais, e associar tudo o que está por trás dele a um adversário é um erro analítico clássico. A BEN enfrentou isso quando um parceiro listou um endereço usado pelo gateway compartilhado de um provedor de nuvem. Bloqueá-lo teria cortado vários serviços de que a BEN depende. O exemplo resolvido mostra o caminho mais seguro: bloquear o domínio específico na camada de DNS, onde isso não afeta outros clientes, e registrar por que o endereço não foi bloqueado. Os analistas devem dizer que um endereço hospedou conteúdo hostil, e não que ele pertence ao adversário.
11.4 Limites de taxa e cortesia
A coleta em servidores TAXII de parceiros segue os limites que eles publicam. Recue diante de respostas HTTP 429; nunca troque de identidade para burlar limites. Uma resposta com esse status pede ao cliente que desacelere, e muitos servidores dizem quanto tempo esperar. O coletor do Lantern respeita esse valor, dobra a espera a cada nova recusa e para depois de um número definido de tentativas, emitindo um alerta para um engenheiro. Usar muitas contas ou endereços para contornar um limite violaria o acordo e prejudicaria a reputação da BEN com o parceiro. Um coletor que respeita os limites mantém seu acesso; um que não respeita o perde.
11.5 Portas e protocolos no ATT&CK
A técnica T1071 Application Layer Protocol do ATT&CK descreve adversários que se comunicam por protocolos comuns para se misturar ao tráfego. Por isso, indicadores de rede sozinhos deixam escapar boa parte do comando e controle; analíticas comportamentais os complementam. Um atacante que envia comandos por tráfego web comum a um domínio recém-criado não deixa nenhum indicador que o Lantern já conheça. O que ainda pode chamar atenção é o padrão: contatos regulares em intervalos fixos, volumes incomuns de dados ou conexões de um host que nunca navega. Kofi repassa essas analíticas à equipe de detecção como complemento dos feeds de indicadores, e não como substituto.
Nota de prática — Paginação e completude
As respostas do TAXII 2.1 podem ser paginadas. Um coletor que lê apenas a primeira página relata sucesso enquanto perde a maioria dos objetos. O Lantern segue os indicadores more e next até que o servidor informe a conclusão, e registra a contagem recebida em cada consulta, para que quedas repentinas fiquem visíveis.
Exemplo resolvido
Kofi vê que o indicador de um parceiro resolve para um endereço compartilhado por 3.000 sites em um provedor de hospedagem. Ele o marca como "não bloquear no perímetro", encaminha-o para bloqueio do domínio específico na camada de DNS e documenta o motivo.
Caso sintético. O indicador e a contagem de sites hospedados são inventados.
Erros e limites
As respostas do DNS variam conforme o resolvedor e o momento. Nunca teste os endpoints de parceiros além do uso combinado.
Exercícios
- EX031 — Transporte do TAXII. O que o TAXII 2.1 especifica, e o que precisa vir dos acordos? Rubrica: 3 = API/endpoints/tipos de mídia sobre HTTPS; confiança/permissões/termos de compartilhamento vêm dos acordos; 2 = uma metade; 1 = o TAXII define a confiança; 0 = nenhuma.
- EX032 — Endereço compartilhado. Por que bloquear o domínio, e não o endereço, no exemplo de Kofi? Rubrica: 3 = endereço compartilhado por muitos sites; dano colateral; o domínio é específico; 2 = parcial; 1 = bloquear o endereço; 0 = nenhuma.
- EX033 — HTTP 429. Qual é o comportamento correto do cliente diante de um HTTP 429 do servidor de um parceiro? Rubrica: 3 = recuar/respeitar o Retry-After; nunca burlar; 2 = desacelerar; 1 = trocar de IPs; 0 = nenhuma.
Síntese
O TAXII trafega sobre HTTPS, o DNS conta histórias que dependem do tempo, endereços compartilhados enganam, e clientes corteses recuam.
Continue estudando — capítulo 11 de 50
← Capítulo 10 (rascunho) · Índice de capítulos do curso · Capítulo 12 (rascunho) →