Questão de Segurança da Informação — Ameaças Técnicas Relacionadas a Redes e Criptografia — VUNESP 2025

MAC Flooding: o ataque que transforma o switch em hub

Gabarito: letra A. O MAC Flooding é um ataque de negação de serviço (DoS) que inunda a tabela CAM (Content Addressable Memory) do switch com endereços MAC falsos, fazendo com que ele não consiga mais aprender os endereços legítimos e, por isso, passe a inundar todas as portas com os quadros — comportando-se como um hub, ao menos para os quadros destinados a alguns MAC Addresses. Essa é a essência do ataque: degradar a capacidade de comutação do switch para permitir a captura de tráfego (sniffing) e outros ataques.

O switch é um equipamento de camada 2 (enlace) que aprende, dinamicamente, qual porta está associada a cada endereço MAC, armazenando essa informação na tabela CAM. Quando um quadro chega com destino a um MAC já conhecido, o switch o encaminha apenas para a porta correta — é isso que o diferencia de um hub, que repete o sinal em todas as portas. O MAC Flooding explora justamente essa memória: o atacante envia uma enxurrada de quadros com endereços MAC de origem falsos e aleatórios, preenchendo a tabela CAM até o limite. A partir daí, o switch não tem mais espaço para aprender novos endereços e, na dúvida, passa a inundar (flood) os quadros por todas as portas, como um hub. O efeito desejado pelo atacante é exatamente esse: conseguir capturar o tráfego da rede (sniffing), pois os quadros que deveriam ir apenas para o destino legítimo agora são replicados para todas as portas, incluindo a do atacante.

Esse ataque é classificado como uma negação de serviço (DoS) porque degrada a funcionalidade do switch, mas o objetivo final não é apenas derrubar a rede — é, principalmente, viabilizar a interceptação de dados. É uma técnica clássica de camada 2, muito explorada em redes locais sem proteções adicionais como port security, que limita o número de MACs por porta, ou protocolos como o 802.1X.

A pegadinha da banca está em confundir o MAC Flooding com outros ataques: ele não tem relação com o sistema operacional macOS (alternativa B), não envolve dano físico às portas (alternativa C), não instala malware no switch (alternativas D e E) e não tem nada a ver com injeção de SQL. O nome "MAC" refere-se ao endereço de controle de acesso à mídia, não ao sistema da Apple — essa é a armadilha clássica.

Guarde a fronteira: MAC Flooding = ataque de camada 2 que visa esgotar a tabela CAM do switch, fazendo-o inundar a rede como um hub. É isso que separa a alternativa correta das demais.

Alternativa A — ✅ Correta ⟵ GABARITO

Esta é a definição precisa do MAC Flooding. Ao inundar a tabela CAM com endereços MAC falsos, o switch perde a capacidade de comutação seletiva e passa a replicar os quadros por todas as portas, comportando-se como um hub. O termo "ao menos para quadros destinados a alguns MAC Addresses" é tecnicamente correto: o comportamento de hub ocorre para os quadros cujo endereço de destino não está mais na tabela CAM (porque ela foi preenchida com endereços falsos), fazendo com que o switch os envie para todas as portas. É exatamente o efeito desejado pelo atacante, que consegue então capturar o tráfego alheio.

Alternativa B — ❌ Incorreta

A alternativa confunde o termo "MAC" do ataque com o sistema operacional macOS da Apple. O MAC Flooding nada tem a ver com bloquear o acesso de computadores Mac à rede local. O "MAC" aqui é o endereço de controle de acesso à mídia (Media Access Control), um identificador físico de interfaces de rede. A banca explora essa ambiguidade para induzir o candidato ao erro — é uma pegadinha clássica de troca de significado.

Alternativa C — ❌ Incorreta

Descreve um ataque físico de dano ao hardware, aplicando tensões elétricas elevadas nos cabos. Isso não corresponde ao MAC Flooding, que é um ataque lógico, baseado no envio de quadros com endereços MAC falsos para esgotar a tabela CAM do switch. Não há qualquer dano físico envolvido. A alternativa mistura conceitos de segurança física com ataques de rede.

Alternativa D — ❌ Incorreta

O MAC Flooding não instala malware no switch. Ele é um ataque de inundação de tráfego, não uma infecção por software malicioso. Além disso, o objetivo não é fazer o switch disparar e-mails de spam — isso seria função de um malware específico, como um bot, mas não é o efeito do MAC Flooding. A alternativa confunde o ataque com uma infecção por malware e atribui um efeito que não corresponde.

Alternativa E — ❌ Incorreta

Também descreve a instalação de malware no switch, o que não ocorre no MAC Flooding. E o efeito descrito — injeção de SQL em conexões TCP — é um ataque de camada de aplicação, totalmente distinto. O MAC Flooding atua na camada 2 (enlace), explorando a tabela CAM, e não tem relação com bancos de dados ou SQL. A alternativa mistura conceitos de ataques de aplicação com o ataque de camada 2.

Gabarito: letra A