Questão de Redes de Computadores — Firewall — Quadrix 2023

Varredura TCP ACK e detecção de firewalls

Gabarito: ✅ CERTO. A varredura TCP ACK é uma técnica de enumeração que envia pacotes TCP com o flag ACK ativo e analisa a resposta (RST ou ausência de resposta) para inferir se o firewall é um filtro de pacotes simples (stateless) ou um firewall stateful. Essa técnica é amplamente documentada em ferramentas como o Nmap, que a utiliza para mapear regras de firewall sem estabelecer conexões completas.

A varredura TCP ACK (também conhecida como ACK scan) é uma técnica de enumeração de portas e de mapeamento de regras de firewall. Ela consiste em enviar um pacote TCP com o flag ACK definido para uma porta específica do alvo, sem que tenha havido qualquer conexão prévia. Como o ACK é um flag de confirmação, um host que recebe um ACK inesperado (fora de uma conexão estabelecida) deve responder com um pacote RST (reset), conforme o comportamento padrão da pilha TCP/IP. A análise da resposta (ou da ausência dela) permite inferir o comportamento do firewall intermediário.

A distinção entre um filtro de pacotes simples (stateless) e um firewall stateful é o cerne da questão. Um filtro de pacotes stateless analisa cada pacote de forma isolada, sem manter registro do estado das conexões. Ele toma decisões com base apenas em campos do cabeçalho, como endereços IP, portas e flags TCP. Nesse modelo, um pacote ACK que chega a uma porta é tratado de forma independente: se a regra permitir tráfego com ACK (comum para permitir respostas a conexões originadas internamente), o pacote é encaminhado; caso contrário, é descartado. Já um firewall stateful mantém uma tabela de conexões ativas e verifica se cada pacote pertence a uma sessão legítima. Um ACK que não corresponde a nenhuma conexão registrada é considerado suspeito e, dependendo da política, pode ser descartado silenciosamente.

Na prática, a varredura ACK funciona assim: o atacante envia um pacote ACK para uma porta do alvo. Se o firewall for um filtro de pacotes simples que permite conexões estabelecidas (ou seja, que permite pacotes com ACK), o pacote ACK será encaminhado ao host de destino. O host, por não ter uma conexão correspondente, responderá com um RST. Essa resposta RST indica que a porta está "filtrada" ou "aberta" do ponto de vista do firewall, mas, mais importante, revela que o firewall é stateless, pois encaminhou o pacote sem verificar o estado da conexão. Por outro lado, se o firewall for stateful, ele não encontrará a conexão na tabela de estados e descartará o pacote ACK silenciosamente. Nesse caso, o atacante não recebe resposta alguma, indicando que o firewall é stateful.

A pegadinha que a banca explora é a confusão entre a varredura ACK e outras técnicas de varredura, como a varredura SYN (half-open) ou a varredura FIN. A varredura SYN é usada para identificar portas abertas, enquanto a varredura ACK é especificamente projetada para mapear regras de firewall e distinguir entre firewalls stateless e stateful. O candidato que não conhece essa distinção pode marcar a questão como errada, achando que a varredura ACK serve para outro propósito. No entanto, a afirmação do enunciado está correta: a varredura TCP ACK é exatamente a técnica que pode ajudar a determinar se o firewall é um filtro de pacotes simples ou um firewall com detecção de estados.

Guarde a fronteira entre as técnicas de varredura: a varredura ACK é para firewall, a varredura SYN é para portas abertas, e a varredura FIN é para detecção de portas em sistemas que ignoram pacotes FIN. É exatamente nessa distinção que a questão se apoia.

Item — ✅ CERTO

A afirmação está correta. A varredura TCP ACK é uma técnica de enumeração que envia pacotes TCP com o flag ACK ativo e analisa a resposta (RST ou ausência de resposta) para inferir se o firewall é um filtro de pacotes simples (stateless) ou um firewall stateful. Essa técnica é amplamente documentada em ferramentas como o Nmap, que a utiliza para mapear regras de firewall sem estabelecer conexões completas.

Gabarito: ✅ CERTO