Questão de Segurança da Informação — Ameaças Técnicas Relacionadas a Redes e Criptografia — FCC 2025

ARP Spoofing e a interceptação de tráfego em redes locais

Gabarito: letra E. O cenário descreve um ataque de ARP Spoofing (ou ARP Poisoning), no qual o atacante envia mensagens ARP falsificadas para associar seu endereço MAC ao IP do gateway, permitindo interceptar e modificar o tráfego entre dois dispositivos — e a mitigação correta é a Dynamic ARP Inspection (DAI), que valida as respostas ARP na camada 2. As demais alternativas erram ao associar técnicas de ataque a mitigações que não as combatem diretamente.

O ARP (Address Resolution Protocol) é o protocolo responsável por mapear endereços IP (camada 3) para endereços MAC (camada 2) dentro de uma rede local. Quando um dispositivo precisa se comunicar com outro na mesma sub-rede, ele envia uma requisição ARP broadcast perguntando "quem tem o IP X?" e o dono responde com seu MAC. O problema é que esse protocolo foi desenhado sem nenhum mecanismo de autenticação: qualquer host pode responder a uma requisição ARP, mesmo que não seja o dono legítimo do IP. É exatamente essa confiança cega que o atacante explora.

No ARP Spoofing, o invasor envia respostas ARP falsificadas para a vítima (ou para o gateway), afirmando que o MAC dele corresponde ao IP do roteador. A partir daí, todo o tráfego que a vítima envia para a internet passa primeiro pelo atacante, que pode ler (sniffing), modificar (tampering) ou simplesmente repassar os dados ao destino real — configurando um típico ataque Man-in-the-Middle (MitM). É por isso que o enunciado fala em "interceptar e modificar o tráfego de comunicação entre dois dispositivos": o atacante se coloca no meio do caminho, sem que as partes percebam.

A defesa clássica para esse ataque é a Dynamic ARP Inspection (DAI), um recurso de switches gerenciáveis que valida cada mensagem ARP recebida, conferindo se o par IP/MAC anunciado consta em uma tabela confiável (geralmente construída com o DHCP Snooping). Se a resposta ARP não bater com o registro legítimo, o pacote é descartado. Outras medidas complementares incluem entradas ARP estáticas nos hosts críticos e a segmentação da rede, mas a DAI é a solução padrão e mais citada em provas.

A pegadinha central desta questão está em associar cada ataque à mitigação correta. O candidato que conhece apenas o nome das técnicas pode se confundir, pois todas as alternativas mencionam ataques reais, mas com defesas que não os combatem. A banca explora exatamente essa confusão entre ataque e contramedida: DNS Spoofing não se resolve com RADIUS, Rogue AP não se resolve com chaves simétricas estáticas, e assim por diante. Guarde o par "ARP Spoofing → DAI" como uma das associações mais cobradas em segurança de redes.

Alternativa A — ❌ Incorreta

O DNS Spoofing (ou envenenamento de cache DNS) é uma técnica em que o atacante corrompe as respostas do servidor DNS, fazendo o usuário acessar um site falso. A mitigação correta envolve DNSSEC (extensões de segurança do DNS), que assina digitalmente as respostas, ou a configuração adequada dos resolvedores. A autenticação RADIUS é um protocolo de autenticação, autorização e contabilidade (AAA) usado para controlar acesso à rede (como em redes Wi-Fi corporativas) — não tem relação com a integridade das respostas DNS. O erro está em associar uma técnica de ataque a uma defesa que não a combate.

Alternativa B — ❌ Incorreta

O Rogue Access Point é um ponto de acesso não autorizado instalado na rede, muitas vezes fingindo ser legítimo (Evil Twin), para capturar credenciais e tráfego. A mitigação correta envolve detecção de APs rogue (através de ferramentas de varredura wireless, WIDS), autenticação forte (802.1X/EAP-TLS) e políticas de segurança física. A alternativa sugere "implementação de chaves simétricas estáticas", o que não é uma defesa eficaz: chaves simétricas estáticas são frágeis e não impedem a criação de um AP falso. O erro está em propor uma solução de criptografia que não resolve o problema de um dispositivo intruso na rede.

Alternativa C — ❌ Incorreta

O ataque de replay consiste em capturar uma comunicação legítima (como uma autenticação) e reenviá-la posteriormente para obter acesso ou enganar o sistema. A mitigação correta envolve o uso de nonces (números aleatórios usados uma única vez), timestamps ou números de sequência, que tornam a mensagem capturada inútil após o primeiro uso. A alternativa sugere "implementação de chaves simétricas estáticas", o que não impede o replay: se o atacante captura a mensagem cifrada, ele pode reenviá-la, pois a chave estática não adiciona proteção contra reutilização. O erro está em confundir a defesa contra replay (que exige frescor da mensagem) com a criptografia em si.

Alternativa D — ❌ Incorreta

O tunneling ICMP é uma técnica de exfiltração de dados ou comunicação oculta, na qual o atacante encapsula dados dentro de pacotes ICMP (ping), que muitas vezes são permitidos pelo firewall. A mitigação correta envolve bloquear ou inspecionar o tráfego ICMP, não apenas as portas 80 e 443 (HTTP/HTTPS). O erro está em sugerir o bloqueio de portas que não têm relação com o protocolo ICMP — o atacante usaria o ICMP justamente por ele não depender dessas portas. A alternativa confunde a técnica de ataque com a defesa inadequada.

Alternativa E — ✅ Correta ⟵ GABARITO

O ARP Spoofing é exatamente o ataque descrito: o atacante envia mensagens ARP falsificadas para associar seu MAC ao IP do gateway, interceptando e modificando o tráfego entre dois dispositivos. A mitigação correta é a Dynamic ARP Inspection (DAI), que valida as respostas ARP na camada 2, descartando pacotes que não correspondem a entradas confiáveis na tabela ARP. A alternativa acerta tanto na identificação da técnica quanto na contramedida, sendo a única que estabelece a associação correta entre ataque e defesa.

Gabarito: letra E — ARP Spoofing, mitigado com Dynamic ARP Inspection (DAI).