Segurança de redes

Posição do atacante e TLS

• Atacante no caminho observa ou altera tráfego desprotegido; atacante remoto só envia os seus pedidos. Declara que mensagens controla.

Caso	Defesa e limite
ARP falso	Controlos locais e canal autenticado.
DNS adulterado	DNSSEC valida onde aplicável; não cifra nem garante honestidade do serviço.
TCP manipulado	Validações do protocolo e transporte autenticado; IP não prova identidade.
HTTP sem TLS	TLS validado protege entre os seus extremos.

TLS autentica o handshake, estabelece chaves e protege registos. Handshake TCP não autentica. HTTPS protege caminho HTTP, mas pode expor IP, tamanhos, tempos e nome do servidor.

No HTTPS habitual, só o servidor apresenta certificado; dados ficam protegidos nos dois sentidos. Login e autorização são decisões da aplicação. Handshake estabelece parâmetros; Record protege dados. SSH exige validar a chave do servidor.

TLS 1.3 com 0-RTT usa chave pré-partilhada sem frescura da nova sessão e pode ser repetido. Só pedidos com perfil explícito de segurança sob repetição, por decisão do servidor. Ausência de escrita não basta.

IPsec atua no nível IP; transporte protege carga, túnel protege pacote original. Não elimina spoofing noutros pontos nem decide autorizações. Ordem habitual: IP, TCP, TLS e HTTP.

Firewall, IDS e taxa base

Regra indica direção, origem, destino, protocolo, porta e estado. Ordem e omissão importam:

1. Aceita saída TCP para 443, nova ou estabelecida.
2. Aceita entrada só de conexão estabelecida.
3. Nega o resto.

SYN inicial externo nega-se; ACK sem estado conhecido nega-se. Permitir HTTPS não impede ataques em pedidos válidos. Sem estado usa campos; com estado acompanha conexões; proxy aplica regras da aplicação. IDS deteta; IPS pode bloquear.

Com $A$ ataques, $L$ legítimos, sensibilidade $s$ e falsos positivos $f$: $VP=sA$, $FP=fL$, precisão $=VP/(VP+FP)$. Exemplo: 10 ataques em 10 000 eventos com $s=0{,}9$ e $f=0{,}01$ dá $9/108{,}9$ cerca de 8,3%. Valores esperados, não contagens observadas.

Malware e DoS

• Vírus propaga-se por hospedeiro; worm propaga-se sozinho. Troia disfarça e esconde ações; ransomware bloqueia e extorque. Bot é nó controlado; botnet coordena nós. Categorias não exclusivas.
• Inatividade em sandbox não prova inocuidade. Combina origem, análise estática, execução isolada e telemetria. Corrige via de entrada; restauro pode exigir isolamento e troca de credenciais.

DoS esgota disponibilidade; DDoS usa origens distribuídas. SYN flood ocupa estado de conexões incompletas; SYN cookies reduzem estado, sem resolver todos os limites. Reflexão usa IP falsificado; amplificação $F$ é resposta sobre pedido. Exemplo: 60 bytes para 3 000 dá $F=50$. Identifica o recurso esgotado; filtrar tarde ou bloquear IP partilhado tem limites.

Alertas e defesas.