O sistema de monitoramento de rede de uma organização detectou a utilização total da tabela de endereços de controle de acesso à mídia (MAC) do switch de núcleo do datacenter, o que o deixou temporariamente com a funcionalidade de um hub. A equipe de sustentação e segurança de TIC teve dificuldades para lidar com o ataque, pois eram mais de 1.500 servidores físicos e lógicos, e o swicth core possuía alta densidade, com mais de 200 portas físicas para análise. O tipo de ataque ocorrido na situação apresentada e a contramedida adequada são, respectivamente,
- A)falsificação de endereço MAC e lista de controle de acesso (ACL) para cada porta do switch.
Errada, porque falsificação de MAC pode ser uma técnica usada no ataque, mas o problema descrito é o estouro da tabela CAM, e ACL por porta não é a medida típica para impedir esse tipo de inundação de MACs.
- B)ataque de negação de serviço (DoS) e lista de controle de acesso (ACL) para cada porta do switch.
Errada, porque não se trata de DoS genérico, e ACL por porta não resolve o aprendizado excessivo de endereços MAC na tabela do switch.
- C)estouro de memória de contexto endereçável (CAM) e lista de controle de acesso (ACL) para cada porta do switch.
Errada, porque o nome correto do ataque é estouro da tabela CAM, não "memória de contexto endereçável", embora a sigla CAM seja a chave da questão.
- D)estouro de memória de contexto endereçável (CAM) e limitação do número máximo de endereços MAC simultâneos que podem ser apreendidos e alocados para cada porta do switch.
Certa, porque descreve exatamente o ataque de estouro da tabela CAM e a defesa adequada por limitação do número de MACs aprendidos por porta.
- E)ataque de negação de serviço (DoS) e limitação do número máximo de endereços MAC simultâneos que podem ser apreendidos e alocados a cada porta do switch.
Errada, porque o ataque não é apenas DoS em sentido amplo, e a contramedida correta precisa atuar diretamente no aprendizado de MACs por porta.
Gabarito: D
Aqui a ideia é bem clássica de redes: o switch aprende os endereços MAC que aparecem em cada porta e guarda isso na tabela CAM. Se um atacante despeja uma quantidade enorme de MACs falsos, ele enche essa tabela e faz o equipamento perder a função de comutação eficiente, passando a se comportar como um hub, isto é, difundindo quadros para várias portas. Isso abre espaço para interceptação de tráfego e bagunça geral na rede. Esse cenário não é simplesmente um DoS genérico, porque o problema central é o esgotamento da tabela CAM do switch. Também não é, em regra, falsificação de MAC isoladamente, embora a técnica possa ser usada para alimentar o ataque. O nome mais cobrado é CAM table overflow, ou estouro da tabela CAM. A contramedida adequada é a segurança de porta, especialmente a limitação do número máximo de endereços MAC aprendidos por porta. Assim, o switch passa a bloquear ou restringir novos MACs quando o limite é atingido, impedindo que uma porta sirva de fonte para inundar a tabela. Em ambientes maiores, isso costuma aparecer junto de port security, sticky MAC e outras políticas de controle por porta. Na prova, a banca quer que você ligue o sintoma ao mecanismo: tabela MAC lotada, switch virando hub, logo o ataque é de estouro da CAM e a defesa é limitar quantos MACs cada porta pode aprender. É o tipo de questão que parece detalhe de rede, mas adora derrubar quem confunde efeito com causa.