Capítulo 2 — Redes e serviços de internet
Mapa da aula
Aula 02 publicada. Mapa, exemplo, EX004.
flowchart TD
N0["2.1 A rede da prefeitura"]
N1["2.2 DHCP"]
N2["2.3 DNS"]
N3["2.4 Firewall e proxy"]
N4["2.5 VPN"]
N5["2.6 Correlação"]
N6["2.7 Relógio e retenção"]
N7["Wi-Fi de visitantes"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX004"]
Desenho lógico
flowchart LR
N0["2.1 A rede da prefeitura"]
N1["2.2 DHCP"]
N2["2.3 DNS"]
N3["2.4 Firewall e proxy"]
N4["2.5 VPN"]
N5["2.6 Correlação"]
N6["2.7 Relógio e retenção"]
N7["Wi-Fi de visitantes"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX004"]
[2.1 A rede da prefeitura]
|
v
[2.2 DHCP]
|
v
[2.3 DNS]
|
v
[2.4 Firewall e proxy]
|
v
[2.5 VPN]
|
v
[2.6 Correlação]
|
v
[2.7 Relógio e retenção]
|
v
[Wi-Fi de visitantes]
|
v
[Exemplo resolvido] --> [Exercício EX004]
Objetivos de aprendizagem
Você vai (1) explicar como os sistemas da prefeitura se conectam entre si e à internet; (2) identificar logs de rede úteis em investigações; (3) entender os registros de DNS, DHCP e proxy; (4) correlacionar um endereço interno a um dispositivo num dado momento.
2.1 A rede da prefeitura
Alder Falls tem VLANs de escritório, uma rede de servidores, uma rede Wi-Fi de visitantes e uma borda de internet com firewall e proxy web. Os serviços incluem DNS, DHCP, e-mail e uma VPN de acesso remoto. Cada uma dessas zonas produz evidências diferentes e pertence a pessoas diferentes. Numa investigação sobre um PC de escritório como o CLERK-03, Jonah espera registros de DHCP e DNS dos serviços internos, registros de firewall e proxy da borda de internet e, possivelmente, registros de VPN se houver acesso remoto envolvido. O tráfego do Wi-Fi de visitantes nunca deveria chegar às VLANs de escritório; se chegar, isso por si só é um achado.
2.2 DHCP
O DHCP atribui endereços IP aos dispositivos por um período de concessão. Seus logs associam um endereço IP ao endereço MAC e ao nome de host de um dispositivo num dado momento — algo essencial, porque os endereços mudam. Um registro de concessão normalmente guarda o endereço IP, o endereço MAC, o nome de host informado pelo dispositivo e os horários de início e fim da concessão. Em Alder Falls, Jonah confere se o relógio do servidor DHCP está sincronizado e se seus logs são guardados pelo menos pelo mesmo tempo que os logs do firewall; do contrário, uma entrada antiga do firewall não pode ser ligada a dispositivo nenhum.
2.3 DNS
Os logs de DNS mostram quais nomes os dispositivos consultaram. Uma rajada de consultas a domínios incomuns a partir de um PC é uma pista. Uma consulta não é uma conexão: o PC pediu um nome, e isso pode ter sido seguido de tráfego ou não. As respostas também ficam em cache, então um PC pode voltar a se conectar sem uma nova consulta. Por isso Jonah trata o DNS como uma pista a ser conferida com os registros de firewall ou proxy, e anota qual resolvedor registrou a consulta e em qual fuso horário.
2.4 Firewall e proxy
O firewall registra as conexões permitidas e bloqueadas; o proxy registra as requisições web com as URLs. Juntos, mostram para onde o tráfego foi. Cada um tem limites. O firewall registra endereços e portas, mas não o conteúdo; o proxy registra URLs só do tráfego web que passa por ele, e o tráfego cifrado pode mostrar apenas o nome do host. Uma conexão que contornou o proxy aparece só no log do firewall. Jonah anota qual dispositivo produziu cada registro, porque os dois costumam divergir um pouco no horário.
2.5 VPN
Os logs de VPN mostram quais contas se conectaram remotamente, a partir de quais endereços públicos e quando. Em Alder Falls, um registro de VPN liga uma conta da prefeitura a um endereço público e a um período de sessão. Isso ajuda a responder se uma conta foi usada de fora da prefeitura durante um incidente, mas não diz nada sobre quem estava ao teclado. Uma conexão de um país incomum ou num horário estranho é uma pista a verificar com o titular da conta, não uma prova de comprometimento.
2.6 Correlação
Para responder "qual dispositivo era o 10.20.4.37 às 08:02?", Jonah consulta o log de concessões do DHCP: o CLERK-03 tinha esse endereço das 07:55 às 15:55. Sem o registro do DHCP, o IP sozinho poderia enganar, caso as concessões tivessem mudado. Jonah também confronta a janela da concessão com a pergunta: 08:02 cai bem dentro da concessão das 07:55 às 15:55, então a associação é firme. Se o horário estivesse perto do limite de uma concessão, ele anotaria que o endereço poderia ter pertencido a outro dispositivo e procuraria os registros de concessão vizinhos antes de citar o CLERK-03 num relatório.
2.7 Relógio e retenção
Os dispositivos de rede precisam sincronizar o horário; os logs precisam ser guardados por tempo suficiente para cobrir o período anterior à descoberta de um incidente. Na prática, Renata confere os dois pontos no início de qualquer caso. Todos os dispositivos da prefeitura deveriam obter o horário do mesmo servidor interno, para que uma entrada do firewall e uma concessão do DHCP possam ser comparadas ao segundo. A retenção precisa cobrir o período entre o comprometimento e a descoberta, que muitas vezes é de semanas; se os logs forem sobrescritos em poucos dias, a atividade anterior simplesmente não pode ser reconstruída.
Wi-Fi de visitantes
O Wi-Fi de visitantes é separado das redes de escritório, e seus logs registram endereços MAC de dispositivos, e não contas. Jonah observa que muitos celulares randomizam o endereço MAC, o que torna os registros de visitantes fracos para identificar dispositivos ao longo do tempo.
Exemplo resolvido
O log do proxy lista requisições web vindas de 10.20.4.37 às 08:02, por volta do momento em que o CLERK-03 começou a se comportar de modo estranho. O DHCP associa esse endereço ao CLERK-03 durante todo o período. Renata registra o achado com as duas fontes de log e seus horários e confere se os dois dispositivos sincronizam com o mesmo servidor de horário. As tentativas de área de trabalho remota contra o próprio CLERK-03 não aparecem no log do firewall, que registra apenas o tráfego de internet; elas são encontradas depois no log de segurança do próprio desktop.
Caso sintético. Os logs são inventados.
Erros e limites
A associação entre IP e dispositivo é tão boa quanto o log do DHCP; endereços estáticos ou falsificação a quebram.
Exercícios
- EX004 — Papel do DHCP. Por que os dados de log do DHCP são essenciais em investigações? Rubrica: 3 = associam um IP que muda a um dispositivo num dado momento; 2 = parcial; 1 = atribui IPs; 0 = nada.
- EX005 — Do endereço ao dispositivo. Como Jonah identificou o 10.20.4.37 às 08:02? Rubrica: 3 = concessão do DHCP: CLERK-03 das 07:55 às 15:55; 2 = parcial; 1 = palpite; 0 = nada.
- EX006 — Limites da associação. Quando a associação entre IP e dispositivo pode falhar? Rubrica: 3 = endereços estáticos, falsificação, logs ausentes; 2 = um; 1 = nunca; 0 = nada.
Síntese
Os serviços de rede deixam registros que, correlacionados pelo horário, ligam o tráfego aos dispositivos — dentro dos limites desses registros.
Continue estudando — capítulo 02 de 30
← Capítulo 01 (rascunho) · Índice de capítulos do curso · Capítulo 03 (rascunho) →