Questão de Segurança da Informação — Ataques a Aplicações Web (XSS, CSRF, SQL Injection etc.) — FCC 2025

Ataques a redes sem fio: desautenticação (Deauth Attack)

Gabarito: letra B. O cenário descreve um ataque de desautenticação (Deauth Attack), que consiste no envio de quadros de desautenticação forjados para desconectar dispositivos legítimos da rede sem fio, causando perda de conectividade e abrindo espaço para tentativas de acesso não autorizado. A mitigação correta envolve a segmentação da rede, como o uso de redes locais virtuais (VLANs) isoladas, e não a simples ocultação do SSID ou a troca do método de autenticação.

O ataque de desautenticação explora uma vulnerabilidade inerente ao protocolo 802.11: os quadros de gerenciamento, incluindo os de desautenticação, não são criptografados nem autenticados. Isso permite que um atacante, mesmo sem estar conectado à rede, envie quadros forjados com o endereço MAC do ponto de acesso (AP), instruindo os clientes a se desconectarem. O resultado é uma negação de serviço localizada, que pode ser usada para forçar a reconexão dos dispositivos e, durante esse processo, capturar o handshake de autenticação para ataques de força bruta ou para induzir o usuário a se conectar a um ponto de acesso falso (evil twin).

A mitigação eficaz desse ataque não é trivial, pois a correção definitiva exigiria a implementação do padrão 802.11w (Protected Management Frames), que protege os quadros de gerenciamento. No entanto, uma medida prática e amplamente recomendada é a segmentação da rede em VLANs isoladas, limitando o impacto de uma desconexão e dificultando o movimento lateral do atacante. A ocultação do SSID, por sua vez, é uma medida de segurança por obscuridade, que não impede a descoberta da rede por ferramentas de análise de tráfego e não protege contra ataques de desautenticação.

A banca explora a confusão entre diferentes tipos de ataques e suas respectivas mitigações. É comum o candidato associar a perda de conectividade a um ataque de negação de serviço (DoS) genérico, mas a especificidade do cenário — uma rede sem fio — aponta diretamente para o Deauth Attack. Além disso, a alternativa correta apresenta uma mitigação plausível, mas que não é a mais adequada para o ataque descrito, exigindo que o candidato conheça as características de cada ataque e as defesas correspondentes.

Para resolver questões como esta, é fundamental dominar as características dos principais ataques a redes sem fio e suas mitigações. A tabela abaixo resume os ataques mais comuns e as defesas adequadas:

Guarde a distinção entre os ataques e suas mitigações: é exatamente nela que as alternativas se dividem.

Alternativa A — ❌ Incorreta

O ataque de força bruta WPA2 visa descobrir a senha da rede por tentativas repetidas, o que não se encaixa no cenário de perda de conectividade e tráfego desconhecido. A mitigação citada, autenticação 802.1ax baseada em EAP-TLS, é inadequada: 802.1ax é um padrão de camada física (Wi-Fi 6), não um método de autenticação. A autenticação correta para mitigar força bruta seria o uso de WPA3 ou 802.1X com EAP-TLS, mas o ataque descrito não é força bruta.

Alternativa B — ✅ Correta ⟵ GABARITO

O ataque de desautenticação (Deauth Attack) é o mais provável, pois envolve o envio de quadros de desautenticação forjados, causando perda de conectividade e permitindo tentativas de acesso não autorizado. A mitigação citada, uso de VLANs isoladas para segmentos de rede, é uma medida válida para limitar o impacto do ataque, embora a proteção definitiva seja o padrão 802.11w. A alternativa está correta ao associar o ataque à sua mitigação.

Alternativa C — ❌ Incorreta

O ataque Man-in-the-Middle (MITM) envolve a interceptação e alteração da comunicação entre duas partes, o que não é o principal sintoma descrito (perda de conectividade e tráfego desconhecido). A mitigação citada, uso de VLANs isoladas, não é a defesa primária contra MITM; a proteção adequada seria o uso de criptografia forte e autenticação mútua, como WPA2/WPA3 com 802.1X.

Alternativa D — ❌ Incorreta

O sniffing passivo é a captura de tráfego sem interação, o que não causa perda de conectividade. A mitigação citada, ocultação do SSID, é uma medida de segurança por obscuridade que não impede a captura de tráfego, pois o SSID pode ser descoberto por ferramentas de análise. A mitigação adequada para sniffing seria a criptografia do tráfego (WPA2/WPA3).

Alternativa E — ❌ Incorreta

O ataque de negação de serviço (DoS) via flooding de pacotes pode causar perda de conectividade, mas o cenário específico de uma rede sem fio com tentativas de acesso não autorizado aponta mais diretamente para o Deauth Attack. A mitigação citada, implementação de filtros no firewall, é uma medida genérica que não aborda a vulnerabilidade específica dos quadros de desautenticação. Além disso, a alternativa contém um erro de digitação ("filtros no filtros no firewall").

Gabarito: letra B