A analista Joana deve investigar anomalias no tráfego da rede B do MPU. A rede B interliga os dispositivos por um switch padrão. A fim de facilitar a investigação, Joana decidiu capturar todos os pacotes trafegados por qualquer dispositivo da rede B (sniffing geral), utilizando apenas um software sniffer no computador PC, conectado à rede B. A analista executou um ataque controlado à rede B, fazendo com que o switch padrão se comportasse como um simples hub. Joana avaliou ainda se havia necessidade de definir a única placa de rede do PC, a IBNet, para operar no modo promíscuo. Para cumprir o objetivo de investigar toda a rede B, Joana realizou um ataque do tipo:
- A)ARP spoofing, e precisou alterar o modo de operação da IBNet;
ARP spoofing atua sobretudo no envenenamento de ARP e no desvio de tráfego, mas não transforma o switch em hub e, em cenário de sniffing geral, ainda exigiria modo promíscuo.
- B)MAC flooding, e precisou alterar o modo de operação da IBNet;
Correta: o MAC flooding lota a tabela CAM do switch, forçando a inundação de quadros, e para capturá-los o PC precisa operar em modo promíscuo.
- C)ARP flooding, e não precisou alterar o modo de operação da IBNet;
ARP flooding não é a técnica clássica para fazer switch se comportar como hub, e a conclusão sobre não precisar de modo promíscuo está errada.
- D)MAC flooding, e não precisou alterar o modo de operação da IBNet;
O MAC flooding até descreve o ataque certo, mas a placa de rede continua precisando do modo promíscuo para aceitar quadros não endereçados ao seu MAC.
- E)MAC spoofing, e não precisou alterar o modo de operação da IBNet.
MAC spoofing falsifica identidade de endereço MAC, mas não tem o efeito típico de encher a tabela do switch para permitir sniffing geral.
Gabarito: B
Em uma rede com switch, o tráfego não sai espalhado para todo mundo como num hub. O switch aprende os endereços MAC na sua tabela CAM e entrega cada quadro só para a porta certa. Por isso, para fazer sniffing geral, o atacante precisa bagunçar esse aprendizado de algum jeito. A técnica clássica é o MAC flooding: o agressor envia uma enxurrada de quadros com MACs falsos para lotar a tabela CAM. Quando a tabela fica cheia ou desorganizada, o switch passa a inundar quadros desconhecidos para várias portas, se comportando de forma parecida com um hub. Aí o sniffer consegue ver muito mais tráfego da rede. Mas tem um detalhe importante: mesmo recebendo esses quadros, a placa de rede normalmente filtra o que não é destinado ao seu MAC. Para capturar tudo no PC, a interface precisa ser colocada em modo promíscuo, que aceita quadros mesmo quando o destino não é ela. Sem isso, você até recebe pacotes, mas o sistema joga muita coisa fora antes de o sniffer olhar. Por isso o gabarito é a letra B: MAC flooding, com necessidade de alterar o modo de operação da placa para promíscuo. Em provas, a banca costuma misturar o efeito do ataque no switch com a configuração da placa de rede, então vale separar bem os dois papéis.