Questão de Segurança da Informação — Práticas de Segurança e Ameaças em Programação — FUNDATEC 2025

Ataque DDoS e o handshake TCP: SYN Flood

Gabarito: letra B. O ataque de negação de serviço distribuído (DDoS) que explora o handshake TCP é o SYN Flood, que consiste no envio massivo de pacotes com a flag SYN (Synchronize) para esgotar os recursos do servidor, impedindo conexões legítimas. A flag SYN é a primeira do three-way handshake, e é exatamente ela que o atacante utiliza em massa para inundar o alvo.

O handshake TCP (three-way handshake) é o mecanismo de estabelecimento de conexão do protocolo TCP, composto por três etapas: o cliente envia um pacote com a flag SYN; o servidor responde com SYN-ACK; e o cliente confirma com ACK. O ataque SYN Flood explora justamente a primeira etapa: o atacante envia uma enxurrada de pacotes SYN sem completar o handshake, fazendo com que o servidor mantenha um número excessivo de conexões semiabertas (half-open), consumindo memória e recursos até não conseguir mais atender requisições legítimas. Esse é um ataque clássico de negação de serviço, que afeta diretamente a disponibilidade — um dos pilares da segurança da informação (CID).

Na prática, imagine um servidor web que só consegue manter 100 conexões simultâneas em estado de espera. Um atacante envia 10.000 pacotes SYN com endereços IP forjados (spoofing). O servidor responde com SYN-ACK para cada um e fica aguardando o ACK final que nunca chega. A fila de conexões semiabertas enche, e usuários legítimos não conseguem mais se conectar — o serviço fica indisponível. Quando o ataque é coordenado por uma botnet (rede de máquinas zumbis), temos o DDoS, amplificando o impacto.

A distinção importante aqui é entre as flags do handshake: SYN inicia a conexão, SYN-ACK é a resposta do servidor, e ACK confirma o estabelecimento. O atacante explora a flag SYN porque é o ponto de partida — ele não precisa completar o handshake para causar dano; basta inundar com pedidos de início de conexão. As flags FIN e FIN+ACK estão relacionadas ao encerramento da conexão, não ao estabelecimento, e não são usadas nesse tipo de ataque.

A pegadinha que a banca explora é justamente a confusão entre as flags do handshake: o candidato pode lembrar que o servidor responde com SYN-ACK e marcar a letra D, mas o ataque é feito com o envio de pacotes SYN pelo atacante, não com a resposta do servidor. Guarde a sequência do handshake e o papel de cada flag: é exatamente nela que as alternativas se dividem.

Alternativa A — ❌ Incorreta

A flag ACK é a terceira etapa do handshake, usada para confirmar o recebimento do SYN-ACK e estabelecer a conexão. No SYN Flood, o atacante não envia ACK — ele envia apenas SYN e nunca completa o handshake, deixando o servidor com conexões semiabertas. A flag ACK também é usada em outros contextos, como no reconhecimento de pacotes, mas não é a flag explorada nesse ataque.

Alternativa B — ✅ Correta ⟵ GABARITO

A flag SYN é a utilizada no ataque SYN Flood, que explora o handshake TCP. O atacante envia um grande volume de pacotes SYN para o servidor, que responde com SYN-ACK e fica aguardando o ACK final. Como o atacante nunca envia o ACK, o servidor mantém as conexões semiabertas, esgotando seus recursos e causando negação de serviço. O contexto confirma: "SYN Flooding: explora o mecanismo de estabelecimento de conexões TCP, baseado em handshake em três vias (three-way handshake). Um grande número de requisições de conexão (pacotes SYN) é enviado, de tal maneira que o servidor não é capaz de responder a todas elas."

Alternativa C — ❌ Incorreta

A flag FIN é usada para encerrar uma conexão TCP de forma ordenada (finalizar). Não tem relação com o estabelecimento de conexão nem com o SYN Flood. O atacante não utiliza FIN para iniciar conexões; ele usa SYN. A flag FIN aparece em ataques como o FIN scan (para mapear portas), mas não em ataques de negação de serviço que exploram o handshake.

Alternativa D — ❌ Incorreta

A flag SYN+ACK é a resposta do servidor ao receber um SYN do cliente, indicando que ele está disposto a estabelecer a conexão. No SYN Flood, o servidor é a vítima que responde com SYN-ACK, mas o atacante não envia essa flag — ele envia SYN. A confusão aqui é comum: o candidato pode pensar que o ataque usa a resposta do servidor, mas o ataque é feito com o pedido inicial (SYN).

Alternativa E — ❌ Incorreta

A flag FIN+ACK combina o encerramento (FIN) com o reconhecimento (ACK), usada no fechamento de conexão TCP. Não é utilizada no SYN Flood, que explora o início da conexão com a flag SYN. Essa alternativa mistura flags de encerramento, tentando confundir o candidato que não domina a sequência do handshake.

Gabarito: letra B