Questão de Segurança da Informação — Ameaças Técnicas Relacionadas a Redes e Criptografia — FCC 2025

Mitigação de ataques DDoS SYN Flood

Gabarito: letra E. A medida mais eficaz para reduzir o impacto de um ataque DDoS do tipo SYN Flood é a utilização de filtros de rate limiting e sistemas de blackholing em roteadores, pois essas técnicas atuam na identificação e bloqueio do tráfego malicioso antes que ele sobrecarregue os servidores. O rate limiting limita a taxa de pacotes SYN aceitos, e o blackholing descarta o tráfego destinado ao alvo, aliviando a carga na infraestrutura.

O ataque SYN Flood explora o mecanismo de estabelecimento de conexão TCP, o three-way handshake. O atacante envia uma enxurrada de pacotes SYN (synchronize) sem completar o handshake, fazendo com que o servidor reserve recursos (memória e conexões entreabertas) para cada requisição. Com milhares de requisições incompletas, o servidor esgota seus recursos e não consegue mais atender usuários legítimos, caracterizando a negação de serviço. Esse ataque afeta diretamente a disponibilidade, uma das propriedades fundamentais da segurança da informação.

A mitigação eficaz de um SYN Flood exige uma abordagem em camadas, atuando na infraestrutura de rede antes que o tráfego malicioso chegue aos servidores. As principais técnicas incluem:

• Rate limiting: limita a quantidade de pacotes SYN (ou outras requisições) que um roteador ou firewall aceita em um determinado período, impedindo que o volume de tráfego malicioso sobrecarregue o servidor.

• Blackholing: redireciona ou descarta todo o tráfego destinado ao endereço IP da vítima, geralmente em roteadores de borda, "jogando-o em um buraco negro". Isso alivia a rede e os servidores, mas pode também bloquear tráfego legítimo.

• SYN cookies: técnica aplicada no servidor que elimina a necessidade de manter conexões entreabertas, respondendo ao SYN com um cookie criptografado e só alocando recursos quando o handshake é completado.

• Superdimensionamento de recursos: aumentar a capacidade de banda e processamento para absorver o impacto do ataque.

• Serviços de proteção anti-DDoS: provedores especializados que filtram o tráfego antes de chegar à infraestrutura da vítima.

A banca explora a confusão entre as camadas de atuação e as tecnologias de segurança. É crucial entender que um SYN Flood é um ataque de camada de rede/transporte (camadas 3 e 4 do modelo OSI), e não de aplicação (camada 7). Portanto, a mitigação mais eficaz ocorre na infraestrutura de rede, com roteadores e firewalls de borda, e não apenas com ferramentas de aplicação como WAFs.

Alternativa A — ❌ Incorreta

A alternativa menciona "aumentar o número máximo de conexões UDP no estado de licensing". O SYN Flood explora o protocolo TCP, não o UDP. Além disso, "estado de licensing" não é um conceito real em segurança de redes. A medida proposta é tecnicamente inválida e não endereça o problema.

Alternativa B — ❌ Incorreta

Posicionar servidores em uma DMZ e usar IPS para gerar alertas com base em assinaturas são boas práticas de segurança, mas não são a medida mais eficaz para mitigar um SYN Flood. O IPS pode detectar e até bloquear alguns ataques, mas em um DDoS distribuído, o volume de tráfego pode sobrecarregar o próprio IPS. Além disso, o IPS atua na detecção, mas o rate limiting e o blackholing atuam diretamente na infraestrutura de rede, descartando o tráfego malicioso antes que ele cause impacto.

Alternativa C — ❌ Incorreta

Bloquear "qualquer tentativa de sincronização" (pacotes SYN) impediria o funcionamento do three-way handshake e, consequentemente, de todas as conexões TCP legítimas. O SYN é um pacote essencial para iniciar conexões TCP; bloqueá-lo completamente inviabilizaria o acesso aos serviços. A medida correta é limitar a taxa de SYN, não bloqueá-los totalmente.

Alternativa D — ❌ Incorreta

Diminuir o número máximo de conexões UDP entreabertas não é eficaz, pois o SYN Flood explora conexões TCP entreabertas, não UDP. Além disso, reduzir esse limite pode prejudicar usuários legítimos que precisam de múltiplas conexões simultâneas. A medida correta seria implementar SYN cookies ou reduzir o tempo de timeout das conexões entreabertas, mas não simplesmente diminuir o número máximo.

Alternativa E — ✅ Correta ⟵ GABARITO

A utilização de filtros de rate limiting e sistemas de blackholing em roteadores é a medida mais eficaz, pois atua na infraestrutura de rede, identificando e bloqueando o tráfego malicioso antes que ele sobrecarregue os servidores. O rate limiting limita a taxa de pacotes SYN, e o blackholing descarta o tráfego destinado ao alvo, aliviando a carga na rede e nos servidores. Essas técnicas são amplamente utilizadas por provedores de proteção anti-DDoS.

Gabarito: letra E