Capítulo 010 — VPNs e Criptografia em Trânsito¶

Entender antes de decorar.

Informação	Detalhes
Módulo	02 — Redes
Nível	Iniciante
Tempo estimado	15 a 20 minutos
Pré-requisito	Capítulo 009 — Roteamento e Firewalls

Objetivo deste capítulo¶

Ao final deste capítulo, você será capaz de:

explicar o que é uma VPN e o problema que ela resolve;
diferenciar VPN de acesso remoto de VPN site-to-site;
reconhecer as diferenças básicas entre IPsec, OpenVPN e WireGuard;
entender o que é split tunneling e por que ele é um risco quando mal configurado;
reconhecer o que uma VPN protege — e o que ela não protege;
entender por que concentradores de VPN são alvos tão visados por atacantes.

Como sempre, vamos começar utilizando nossa imaginação.¶

Um alerta chega ao SOC: malware detectado no notebook de um colaborador em home office.

A primeira reação de alguém do time é imediata:

"Mas ele estava com a VPN ligada. Como isso é possível?"

Opção A
"VPN devia ter impedido isso. Algo na VPN falhou."

Opção B
"VPN protege o tráfego em trânsito. Não é a mesma coisa que proteção do dispositivo."

Esse é um dos mal-entendidos mais comuns sobre VPN — inclusive entre profissionais de TI. Ao final deste capítulo, você vai entender exatamente por que a opção B está correta.

VPN protege o caminho que os dados percorrem. Não protege o dispositivo que os produz.

O que é uma VPN?¶

Uma VPN (Virtual Private Network) cria um túnel criptografado entre dois pontos, através de uma rede não confiável — geralmente a internet pública.

Sem VPN:
tráfego trafega "exposto" pela rede pública até o destino

Com VPN:
tráfego trafega dentro de um túnel criptografado, protegido de quem observa o caminho

Pense em uma VPN como um tubo blindado passando por dentro de uma rua movimentada: mesmo que alguém observe a rua inteira, não consegue ver o que está dentro do tubo.

Encapsulamento revisitado — o "túnel" de uma VPN¶

Lembra do conceito de encapsulamento, lá do capítulo sobre o Modelo OSI? Uma VPN é uma aplicação direta desse conceito: ela pega o pacote original e o encapsula dentro de outro pacote, criptografado, para transporte.

flowchart LR
    A[Pacote original] --> B[Criptografado]
    B --> C[Encapsulado em novo pacote]
    C --> D[Transmitido pela rede pública]
    D --> E[Desencapsulado no destino]
    E --> F[Pacote original entregue]

Do ponto de vista de quem observa o tráfego pelo caminho, tudo que se vê é um fluxo criptografado indo de um ponto a outro — o conteúdo real, incluindo os endereços IP originais da comunicação interna, fica inacessível.

Tipos de VPN¶

Tipo	Uso comum
Acesso remoto	Conecta um usuário individual a uma rede corporativa, como um colaborador em home office
Site-to-site	Conecta duas redes inteiras entre si, como a matriz e uma filial de uma empresa

Protocolos comuns de VPN¶

Alguns protocolos são usados para estabelecer esses túneis, cada um com características próprias:

IPsec¶

Um conjunto de protocolos amplamente adotado, especialmente em VPNs site-to-site corporativas. Opera na camada de rede, é robusto e amplamente suportado por equipamentos de diferentes fabricantes — mas sua configuração pode ser mais complexa.

OpenVPN¶

Solução de código aberto, bastante flexível, capaz de operar tanto em TCP quanto em UDP. Por anos foi o padrão de fato para VPNs de acesso remoto em ambientes corporativos e também para uso pessoal.

WireGuard¶

Protocolo mais recente, ganhando popularidade rápida por ser mais enxuto (uma base de código muito menor, mais fácil de auditar), além de geralmente oferecer melhor performance e conexões mais rápidas de estabelecer do que IPsec ou OpenVPN.

Não existe 'o melhor' protocolo universal

A escolha depende do contexto: WireGuard tende a ser preferido quando performance e simplicidade são prioridade; IPsec continua dominante em ambientes corporativos que já possuem infraestrutura compatível; OpenVPN segue como uma opção madura e amplamente testada.

Split Tunneling — quando nem tudo passa pelo túnel¶

Em uma configuração de split tunneling, apenas parte do tráfego do usuário passa pelo túnel VPN (geralmente o tráfego destinado à rede corporativa), enquanto o restante (como navegação comum na internet) segue diretamente, fora do túnel.

flowchart TB
    A[Notebook do colaborador] -->|Tráfego corporativo| B[Túnel VPN criptografado]
    A -->|Navegação comum| C[Direto para a internet]
    B --> D[Rede corporativa]
    C --> E[Sites diversos]

Isso melhora performance e reduz carga no túnel — mas, se mal configurado, pode criar um caminho alternativo que contorna controles de segurança da rede corporativa (como o firewall e o proxy corporativo), ou expor o dispositivo simultaneamente a duas superfícies de risco diferentes: uma protegida pela VPN, outra não.

O que uma VPN NÃO faz¶

"VPN me deixa anônimo"¶

Não necessariamente.

A VPN protege o conteúdo do seu tráfego de quem está no caminho. Mas o provedor da VPN ainda pode ver sua atividade, e diversas técnicas de identificação (cookies, fingerprinting de navegador) continuam funcionando independente da VPN.

"VPN é antivírus"¶

Não.

VPN protege dados em trânsito. Ela não analisa, bloqueia ou remove malware do dispositivo — essa é função de uma solução de proteção de endpoint (antivírus, EDR).

"Se a VPN está ativa, todo o tráfego está automaticamente seguro"¶

Não completamente.

Se o dispositivo já está comprometido, o malware pode se comunicar através do próprio túnel VPN — e, de forma preocupante, esse tráfego malicioso passa a viajar criptografado dentro do túnel, tornando-se ainda mais difícil de inspecionar por ferramentas de rede.

VPN como superfície de ataque¶

Paradoxalmente, a própria infraestrutura de VPN se tornou um dos alvos mais visados por atacantes nos últimos anos. Concentradores de VPN expostos à internet, quando desatualizados ou mal configurados, já foram porta de entrada para diversos incidentes de grande escala amplamente noticiados — geralmente por meio de vulnerabilidades conhecidas ainda não corrigidas nesses equipamentos.

Isso reforça um ponto importante: VPN não é "instale e esqueça". Como qualquer serviço exposto à internet, exige patch management rigoroso e monitoramento contínuo — e, ironicamente, o mesmo dispositivo pensado para proteger o acesso remoto pode se tornar o ponto de entrada de um atacante, se não for tratado como parte crítica da superfície de ataque da organização.

Aplicação em um SOC¶

Ao lidar com a limitação de visibilidade¶

lembrar que tráfego dentro de um túnel VPN é opaco para ferramentas de inspeção de rede — a visibilidade real, nesses casos, depende de detecção no endpoint (EDR);
entender que isso não é uma falha da VPN, mas uma consequência natural de como criptografia funciona.

Ao monitorar acesso remoto¶

observar logs do concentrador de VPN: horários e localizações incomuns de login, múltiplas sessões simultâneas de locais geograficamente incompatíveis ("impossible travel"), tentativas repetidas de autenticação falha (possível força bruta contra a própria VPN).

Ao gerenciar a infraestrutura de VPN¶

tratar a infraestrutura de VPN com a mesma prioridade de patch que qualquer outro serviço crítico exposto à internet;
revisar periodicamente configurações de split tunneling, garantindo que fazem sentido para o perfil de risco da organização.

Cenário prático — Resolvendo o alerta do início¶

Voltando ao malware encontrado no notebook em home office:

A VPN protegeu o tráfego entre o notebook e a rede corporativa durante o trânsito pela internet.

Ela não impediu a infecção inicial — que provavelmente ocorreu por outro vetor, como phishing ou download malicioso, diretamente no endpoint.

Uma vez o dispositivo comprometido, é possível que o malware tenha se comunicado com sua infraestrutura de Comando e Controle através do próprio túnel VPN, aproveitando a criptografia para dificultar a detecção baseada em rede.

Se havia split tunneling configurado, é preciso investigar também se o vetor inicial de infecção passou pelo tráfego que ia direto para a internet, fora do túnel — um caminho que a inspeção corporativa normalmente não alcança.

VPN e proteção de endpoint resolvem problemas diferentes e complementares — uma não substitui a outra.

Perguntas de investigação¶

1. O que uma VPN realmente protege, tecnicamente falando?

Protege a confidencialidade e integridade dos dados enquanto trafegam entre dois pontos através de uma rede não confiável, encapsulando e criptografando o tráfego original.

2. Por que malware em um notebook pode continuar se comunicando mesmo com a VPN ativa?

Porque a VPN protege o caminho da comunicação, não impede que o dispositivo já comprometido inicie ou receba tráfego malicioso — que pode, inclusive, viajar dentro do próprio túnel criptografado.

3. O que é split tunneling, e por que ele representa um risco se mal configurado?

É a configuração onde apenas parte do tráfego passa pelo túnel VPN. Mal configurado, pode permitir que o dispositivo contorne controles de segurança da rede corporativa através do tráfego que segue fora do túnel.

4. Por que concentradores de VPN são alvos tão visados por atacantes?

Porque, por definição, ficam expostos à internet para permitir acesso remoto — tornando-os um ponto de entrada atrativo quando desatualizados ou mal configurados.

5. Qual a principal vantagem do WireGuard em relação a protocolos mais antigos como IPsec?

Uma base de código muito menor e mais simples, o que facilita auditoria de segurança, além de geralmente oferecer melhor performance e conexões mais rápidas de estabelecer.

O que não fazer¶

não assuma que VPN substitui proteção de endpoint;
não trate tráfego dentro de um túnel VPN como automaticamente seguro só por estar criptografado;
não ignore split tunneling como um detalhe técnico irrelevante de configuração;
não deixe concentradores de VPN fora da rotina de patch management só porque "já estão funcionando";
não escolha um protocolo de VPN só pelo nome mais conhecido, sem considerar o contexto de uso.

Erros comuns¶

"VPN me deixa anônimo"¶

Não.

Ela protege o conteúdo do tráfego em trânsito, mas não elimina outras formas de rastreamento, nem esconde sua atividade do provedor da própria VPN.

"VPN é antivírus / proteção completa do dispositivo"¶

Não.

VPN e proteção de endpoint resolvem problemas diferentes. Um dispositivo pode estar infectado e conectado a uma VPN simultaneamente.

"Se a VPN está ativa, todo o tráfego está automaticamente seguro"¶

Não.

Tráfego malicioso de um dispositivo já comprometido pode viajar dentro do mesmo túnel criptografado, dificultando ainda mais a detecção por ferramentas de rede.

Resumo¶

Neste capítulo, aprendemos que:

uma VPN cria um túnel criptografado sobre uma rede não confiável, aplicando o conceito de encapsulamento;
existem VPNs de acesso remoto (usuário-rede) e site-to-site (rede-rede);
protocolos como IPsec, OpenVPN e WireGuard implementam esses túneis, cada um com vantagens diferentes;
split tunneling só encaminha parte do tráfego pelo túnel, podendo criar riscos se mal configurado;
VPN protege dados em trânsito, mas não substitui antivírus, EDR, nem garante anonimato completo;
malware em um endpoint comprometido pode se comunicar através do próprio túnel VPN;
concentradores de VPN são alvos frequentes de ataques, exigindo patch management rigoroso.

Não pergunte apenas:

"A VPN está ativa?"

Pergunte também:

"O que exatamente essa VPN está protegendo?"
"O endpoint por trás dessa VPN está limpo?"
"Existe split tunneling configurado, e isso foi intencional?"

VPN é um túnel seguro. Mas um túnel seguro ainda pode transportar algo perigoso, se a origem já estiver comprometida.

Checkpoint¶

Antes de seguir para o próximo capítulo, confirme se você consegue responder:

[ ] O que é uma VPN e que problema ela resolve?
[ ] Como o conceito de encapsulamento se aplica a uma VPN?
[ ] Qual a diferença entre VPN de acesso remoto e site-to-site?
[ ] Quais as diferenças básicas entre IPsec, OpenVPN e WireGuard?
[ ] O que é split tunneling?
[ ] Por que VPN não garante anonimato completo?
[ ] Por que VPN não substitui proteção de endpoint?
[ ] Por que concentradores de VPN são alvos frequentes de ataques?

Glossário¶

Termo	Definição
VPN	Virtual Private Network; cria um túnel criptografado sobre uma rede não confiável.
Túnel VPN	Canal criptografado por onde o tráfego encapsulado trafega entre dois pontos.
VPN de acesso remoto	Conecta um usuário individual a uma rede corporativa.
VPN site-to-site	Conecta duas redes inteiras entre si.
IPsec	Conjunto de protocolos amplamente usado para estabelecer túneis VPN seguros, comum em ambientes corporativos.
OpenVPN	Protocolo de VPN de código aberto, flexível, historicamente muito difundido.
WireGuard	Protocolo de VPN mais recente, com base de código enxuta e boa performance.
Split Tunneling	Configuração onde apenas parte do tráfego passa pelo túnel VPN.

Referências¶

Próximo capítulo¶

No próximo capítulo, vamos colocar a mão na massa de verdade com Análise de Tráfego usando Wireshark e tcpdump — a primeira ferramenta prática deste módulo.

← Capítulo anterior: Roteamento e Firewalls

Próximo: Wireshark e tcpdump →

Entender antes de decorar.