Capítulo 001 — Introdução às Redes e por que importam para Segurança¶

Entender antes de decorar.

Informação	Detalhes
Módulo	02 — Redes
Nível	Iniciante
Tempo estimado	10 a 15 minutos
Pré-requisito	Módulo 01 — Fundamentos (completo)

Objetivo deste capítulo¶

Ao final deste capítulo, você será capaz de:

explicar, em termos simples, o que é uma rede de computadores;
entender por que praticamente todo ataque cibernético depende de alguma forma de comunicação em rede;
diferenciar "saber usar" uma rede de "entender" uma rede;
reconhecer por que Blue Team e SOC dependem de conhecimento de redes no dia a dia;
relacionar conceitos de rede a táticas do MITRE ATT&CK;
visualizar o que será construído ao longo deste módulo.

Como sempre, vamos começar utilizando nossa imaginação.¶

Imagine que você está de plantão no SOC.

São 3h14 da manhã.

Um alerta aparece na sua tela:

Alerta: Conexão de saída suspeita

Host: WORKSTATION-042

Destino: 185.220.101.47

Porta: 4444

Protocolo: TCP

Você olha para a tela.

O alerta é claro sobre o que aconteceu.

Mas ele não é claro sobre o que isso significa.

Opção A
"Não sei o que é porta 4444. Vou aprovar como falso positivo e dormir."

Opção B
"Preciso entender o que essa conexão representa antes de decidir qualquer coisa."

Sem entender como uma rede funciona, um analista não consegue diferenciar tráfego comum de uma possível conexão de Comando e Controle.

Você não precisa ser um administrador de redes. Mas precisa entender o suficiente para interpretar o que está vendo.

O que é uma rede, afinal?¶

De forma simples, uma rede é um conjunto de dispositivos conectados entre si, capazes de trocar informação.

Isso pode ser:

dois computadores conectados por um cabo;
um notebook e um roteador em casa;
milhares de servidores espalhados pelo mundo, formando a internet.

Sem rede:
um computador isolado, sem trocar informação com nada

Com rede:
comunicação — mas também exposição

Toda vez que um dispositivo troca dados com outro, existe uma rede envolvida. E toda vez que existe uma rede envolvida, existe uma superfície que pode ser observada, monitorada — e também atacada.

Por que redes importam tanto para segurança?¶

Praticamente todo ataque cibernético, em algum momento, atravessa uma rede.

flowchart LR
    A[Entrega do ataque] --> B[Rede]
    B --> C[Sistema comprometido]
    C --> D[Rede]
    D --> E[Comando e Controle / Exfiltração]

Isso vale para quase qualquer cenário:

um phishing chega por e-mail — que trafega em rede;
um malware se comunica com um servidor externo — em rede;
um invasor se move entre máquinas de uma empresa — em rede;
dados roubados saem da organização — em rede.

Rede não é só 'internet'

Rede também é a comunicação interna de uma empresa entre estações, servidores, impressoras e sistemas — muitas vezes o alvo real de um ataque.

No MITRE ATT&CK, várias táticas dependem diretamente de comunicação em rede, como Command and Control, Exfiltration e Lateral Movement.

"Eu já sei usar internet, não preciso estudar rede" — será mesmo?¶

Existe uma diferença importante entre usar e entender uma rede.

Usar rede:
abrir o navegador, digitar um endereço e ver a página carregar

Entender rede:
saber o que acontece entre o clique e a resposta na tela

Um usuário comum não precisa saber o que acontece nos bastidores. Um analista de segurança, sim — porque é justamente nesses bastidores que ataques acontecem e evidências ficam registradas.

Redes no dia a dia de um analista SOC / Blue Team¶

Sem entender rede, boa parte do trabalho de um analista se torna interpretação de "caixa preta". Com esse conhecimento, tarefas comuns começam a fazer sentido:

ler logs de firewall e entender origem, destino e porta;
interpretar alertas de IDS/IPS;
analisar capturas de tráfego (pcap);
entender por que uma consulta DNS pode ser suspeita;
correlacionar eventos de rede com eventos de endpoint;
diferenciar tráfego administrativo legítimo de possível movimentação lateral.

Este módulo vai construir essa base aos poucos¶

Você não precisa entender tudo de uma vez. Este módulo foi pensado em camadas:

Capítulo 001 — por que redes importam (você está aqui)
Capítulo 002 — Modelo OSI
Capítulo 003 — Modelo TCP/IP
Capítulo 004 — Endereçamento IP e Máscaras de Sub-rede
Capítulo 005 — Portas e Protocolos Essenciais
...

A ideia não é decorar siglas. É entender o suficiente para, mais adiante, ler um log de tráfego e pensar: "isso faz sentido" ou "isso é estranho".

Aplicação em um SOC¶

Quando um analista recebe um alerta de rede, algumas perguntas iniciais ajudam a organizar o raciocínio.

Sobre a conexão¶

qual é a origem?
qual é o destino?
qual porta foi utilizada?
qual protocolo?

Sobre o contexto¶

esse host costuma se comunicar com esse destino?
esse destino é conhecido ou reputado como malicioso?
esse tipo de tráfego é esperado nesse horário?

Sobre o comportamento¶

a conexão foi única ou repetida?
houve volume incomum de dados?
outros hosts apresentaram o mesmo padrão?

Cenário prático — A conexão estranha às 3 da manhã¶

Voltando ao alerta do início do capítulo:

Host: WORKSTATION-042
Destino: 185.220.101.47
Porta: 4444
Protocolo: TCP

Sem contexto, isso é apenas uma linha em um log.

Com raciocínio de rede, o analista pode perguntar:

Esse host normalmente se comunica com esse destino?

Porta 4444 é usada por algum serviço legítimo nessa empresa?

Esse endereço tem alguma reputação conhecida?

Nenhuma dessas perguntas exige ser especialista em redes. Exige entender o suficiente para saber que perguntas fazer.

Perguntas de investigação¶

1. Por que a porta de destino é uma informação relevante?

Porque muitos serviços utilizam portas conhecidas ou padronizadas, e portas incomuns podem indicar ferramentas de acesso remoto não autorizadas, como shells reversos.

2. O simples fato de ser tráfego criptografado significa que é seguro?

Não. Tráfego malicioso também pode ser criptografado. Criptografia protege a confidencialidade do conteúdo, não garante que a comunicação seja legítima.

3. Por que o horário da conexão pode importar?

Conexões fora do padrão de uso da estação (como madrugada, sem atividade do usuário) podem ser um indicador de comportamento automatizado ou não autorizado.

4. Analisar apenas essa conexão isolada é suficiente?

Não. É importante correlacionar com outros eventos: processos em execução no host, outras conexões, logs de autenticação e comportamento de outros hosts.

O que não fazer¶

não ignore um alerta só porque parece técnico demais;
não conclua que é malicioso ou legítimo apenas pela aparência;
não analise a conexão isoladamente, sem contexto do host;
não decore siglas sem entender o que elas representam na prática.

Erros comuns¶

"Rede é assunto só de administrador de infraestrutura"¶

Não.

Um analista de segurança interpreta tráfego constantemente — mesmo sem administrar a rede.

"Se está criptografado, está seguro"¶

Não.

Criptografia protege o conteúdo. Não garante boas intenções de quem está se comunicando.

"Só preciso saber usar a ferramenta de firewall/SIEM"¶

Ferramentas mostram dados. Entender rede é o que permite interpretar esses dados corretamente.

"Vou aprender rede depois, quando for preciso"¶

Rede é praticamente sempre "preciso" — está por trás da maioria dos alertas, logs e investigações em segurança.

Resumo¶

Neste capítulo, aprendemos que:

uma rede é um conjunto de dispositivos que trocam informação entre si;
praticamente todo ataque cibernético envolve, em algum momento, comunicação em rede;
existe diferença entre usar e entender uma rede;
conhecimento de rede é essencial para interpretar logs, alertas e tráfego em um SOC;
táticas do MITRE ATT&CK como Command and Control, Exfiltration e Lateral Movement dependem de rede;
este módulo vai construir esse conhecimento em camadas, começando pelos modelos OSI e TCP/IP.

Não pergunte apenas:

"Essa conexão é maliciosa?"

Pergunte também:

"O que essa conexão representa?"
"Esse comportamento é esperado?"
"Que outras evidências existem?"

Rede não é decoreba de sigla. É a linguagem por trás de praticamente todo incidente de segurança.

Checkpoint¶

Antes de seguir para o próximo capítulo, confirme se você consegue responder:

[ ] O que é uma rede de computadores?
[ ] Por que praticamente todo ataque envolve rede em algum momento?
[ ] Qual é a diferença entre usar e entender uma rede?
[ ] Por que um analista SOC precisa de conhecimento de redes?
[ ] Quais táticas do MITRE ATT&CK dependem de comunicação em rede?
[ ] Tráfego criptografado é automaticamente seguro?
[ ] Por que analisar uma conexão isolada não é suficiente?
[ ] O que este módulo vai construir nos próximos capítulos?

Glossário¶

Termo	Definição
Rede	Conjunto de dispositivos conectados entre si, capazes de trocar informação.
Host	Qualquer dispositivo conectado a uma rede, como um computador ou servidor.
Tráfego	Conjunto de dados que trafegam por uma rede em determinado momento.
Porta	Identificador numérico usado para direcionar comunicação a um serviço específico em um host.
Protocolo	Conjunto de regras que define como dispositivos se comunicam em uma rede.
Comando e Controle (C2)	Infraestrutura utilizada por um atacante para controlar remotamente um sistema comprometido.
Movimentação Lateral	Deslocamento de um atacante entre sistemas dentro de uma rede já comprometida.

Referências¶

Próximo capítulo¶

No próximo capítulo, vamos estudar o Modelo OSI, a base conceitual usada para entender como a comunicação em rede é organizada em camadas.

← Voltar: Módulo 01 — Fundamentos

Próximo: Modelo OSI →

Entender antes de decorar.