Questão de Redes de Computadores — Análise de Tráfego de Dados em Redes — VUNESP 2023

Análise de Tráfego: identificação de serviço pela porta UDP

Gabarito: letra A. O datagrama UDP capturado tem porta de destino 53, que é o número de porta padrão do serviço DNS (Domain Name System) — por isso se trata de uma consulta DNS. A identificação do serviço pelo número da porta é o conhecimento central que a questão cobra, e a alternativa A é a única que extrai corretamente essa informação do cabeçalho exibido.

O UDP (User Datagram Protocol) é um protocolo da camada de transporte, descrito na RFC 768, que permite que uma aplicação envie um datagrama encapsulado num pacote IP a um destino, porém sem qualquer tipo de garantia de entrega. Ele é um protocolo não confiável, sem conexão, e cada datagrama UDP é tratado como um registro indivisível. O cabeçalho UDP é fixo e possui 8 bytes, contendo quatro campos de 16 bits: porta de origem, porta de destino, comprimento (length) e checksum. O campo "Length" indica o tamanho total do datagrama UDP, incluindo o cabeçalho de 8 bytes e o payload (dados). No caso da questão, o campo Length é 40, o que significa que o payload tem 32 bytes (40 - 8 = 32), exatamente como indicado na captura: "UDP payload (32 bytes)".

A identificação do serviço pelo número da porta é um dos conceitos mais cobrados em análise de tráfego. As portas são números de 16 bits que identificam o processo ou serviço de origem e destino. As portas padrão (well-known ports) vão de 0 a 1023 e são atribuídas pela IANA (Internet Assigned Numbers Authority) a serviços específicos. A porta 53 é a porta padrão do DNS, tanto para consultas quanto para respostas, usando UDP (e também TCP para transferências de zona e consultas maiores). O DNS é o serviço responsável por traduzir nomes de domínio em endereços IP, e as consultas DNS são tipicamente enviadas via UDP, pois são mensagens curtas que não exigem a confiabilidade do TCP — se um pacote for perdido, o cliente simplesmente reenvia a consulta após um timeout.

Para entender por que as outras alternativas estão incorretas, é preciso conhecer as portas padrão de outros serviços. O DHCP (Dynamic Host Configuration Protocol) usa as portas 67 (servidor) e 68 (cliente), e não a porta 53. O tamanho total do conteúdo UDP, incluindo o cabeçalho, é dado pelo campo Length, que é 40 bytes, e não 32 bytes — 32 bytes é apenas o payload. A informação de que o destinatário está fora da rede local não pode ser concluída apenas com os dados do cabeçalho UDP, pois não há informações de endereço IP ou roteamento na captura exibida. E o checksum está marcado como "[unverified]", o que significa que o Wireshark não verificou o checksum, mas isso não indica que ele está incorreto — apenas que a verificação não foi realizada.

A pegadinha desta questão está na alternativa C, que confunde o tamanho do payload (32 bytes) com o tamanho total do datagrama UDP (40 bytes). O campo Length do cabeçalho UDP já inclui os 8 bytes do próprio cabeçalho, então o payload é sempre Length - 8. Guarde essa relação: Length UDP = 8 (cabeçalho) + payload. É exatamente esse raciocínio que separa a alternativa correta das incorretas.

Alternativa A — ✅ Correta ⟵ GABARITO

A porta de destino 53 é o número de porta padrão do DNS (Domain Name System). O DNS é o serviço que traduz nomes de domínio em endereços IP, e as consultas DNS são tipicamente enviadas via UDP, usando a porta 53. Como o datagrama UDP capturado tem destino na porta 53, conclui-se que se trata de uma consulta DNS. A porta de origem 32795 é uma porta efêmera (acima de 1024), escolhida aleatoriamente pelo cliente para identificar a comunicação.

Alternativa B — ❌ Incorreta

O DHCP (Dynamic Host Configuration Protocol) usa as portas 67 (servidor) e 68 (cliente), e não a porta 53. O DHCP é o protocolo responsável por atribuir configurações de endereço IP automaticamente aos dispositivos da rede, mas sua porta padrão é diferente da porta 53. A banca troca o serviço DNS pelo DHCP, explorando a confusão entre dois protocolos de infraestrutura que operam na camada de aplicação.

Alternativa C — ❌ Incorreta

O campo Length do cabeçalho UDP indica o tamanho total do datagrama UDP, incluindo o cabeçalho de 8 bytes e o payload. Na captura, o campo Length é 40, portanto o tamanho total do conteúdo UDP é 40 bytes, e não 32 bytes. O valor 32 bytes corresponde apenas ao payload (40 - 8 = 32), que é a carga útil de dados. A alternativa confunde o tamanho do payload com o tamanho total do datagrama UDP.

Alternativa D — ❌ Incorreta

Não é possível concluir que o destinatário está fora da rede local apenas com as informações do cabeçalho UDP exibidas. O cabeçalho UDP contém apenas portas de origem e destino, comprimento e checksum — não há informações de endereço IP ou roteamento. Para saber se o destinatário está fora da rede local, seria necessário analisar o cabeçalho IP, que contém os endereços IP de origem e destino, e compará-los com a máscara de sub-rede da rede local.

Alternativa E — ❌ Incorreta

O campo Checksum está marcado como "[unverified]" e o "[Checksum Status: Unverified]", o que significa que o Wireshark não verificou o checksum do datagrama. Isso não indica que o checksum está incorreto — apenas que a verificação não foi realizada. O checksum pode estar correto ou incorreto, mas não há como afirmar com base nas informações exibidas. A alternativa confunde "não verificado" com "incorreto".

Gabarito: letra A