Questão 617503

• Banca: CESGRANRIO
• Órgão: FINEP
• Ano: 2011
• Provas: CESGRANRIO - 2011 - FINEP - Analista de Suporte
• Disciplina: Segurança da Informação
• Assuntos: Ataques e ameaças; Segurança na Internet

O ataque de inundação (flooding) visa a sobrecarregar o alvo ou a rede do alvo com uma grande quantidade de tráfego que possibilite provocar a negação de serviço (Denial of Service – DoS) de solicitações de usuários legítimos de um sistema. A arquitetura TCP/IP facilita, em parte, esta ação maliciosa. Em particular, a técnica conhecida como inundação SYN visa a explorar o processo de

• A. estabelecimento de uma conexão TCP, enviando um pacote para o sistema alvo com um segmento SYN e um endereço de origem falso, que indica o endereço do próprio sistema alvo.
  
• B. estabelecimento de uma conexão TCP, enviando um pacote para o sistema alvo com um segmento SYN e um endereço de origem falso, que indica o endereço do gateway do sistema alvo.
  
• C. estabelecimento de uma conexão TCP, enviando um pacote para o sistema alvo com um segmento SYN e um endereço de origem falso, que indica um sistema inexistente ou inalcançável.
  
• D. encerramento de uma conexão TCP, enviando um pacote para o sistema alvo com um segmento SYN e um endereço de origem falso, que indica um sistema inexistente ou inalcançável.
  
• E. encerramento de uma conexão TCP, enviando um pacote para o sistema alvo com um segmento SYN e um endereço de origem falso, que indica o endereço do próprio sistema alvo.

Gabarito: C

Comentários

•     a) estabelecimento de uma conexão TCP, enviando um pacote para o sistema alvo com um segmento SYN e um endereço de origem falso, que indica o endereço do próprio sistema alvo. (Errado, Este é o Land attack)
  
      b) estabelecimento de uma conexão TCP, enviando um pacote para o sistema alvo com um segmento SYN e um endereço de origem falso, que indica o endereço do gateway do sistema alvo. (Errado, assemelha-se ao smurf attack, mas este é feito utilizando-se pacotes ICMP. O ataque de DoS não funciona para este caso, pois o gateway ao receber o SYN,ACK responderia com um RST e o host atacado liberaria os buffers TCP alocados)
  
      c) estabelecimento de uma conexão TCP, enviando um pacote para o sistema alvo com um segmento SYN e um endereço de origem falso, que indica um sistema inexistente ou inalcançável. (Correto)
  
      d) encerramento de uma conexão TCP, enviando um pacote para o sistema alvo com um segmento SYN e um endereço de origem falso, que indica um sistema inexistente ou inalcançável. (Errado)
  
      e) encerramento de uma conexão TCP, enviando um pacote para o sistema alvo com um segmento SYN e um endereço de origem falso, que indica o endereço do próprio sistema alvo. (Errado)

• SYN flood ou ataque SYN é uma forma de ataque de negação de serviço (também conhecido como Denial of Service - DoS) em sistemas computadorizados, na qual o atacante envia uma seqüência de requisições SYN para um sistema-alvo visando uma sobrecarga direta na camada de transporte e indireta na camada de aplicação do modelo OSI.

  Quando um cliente tenta começar uma conexão TCP com um servidor, o cliente e o servidor trocam uma série de mensagens, que normalmente são assim:

  • O cliente requisita uma conexão enviando um SYN (synchronize) ao servidor.
  • O servidor confirma esta requisição mandando um SYN-ACK(acknowledge) de volta ao cliente.
  • O cliente por sua vez responde com um ACK, e a conexão está estabelecida.

  Isto é o chamado aperto de mão em três etapas (Three-Way Handshake).

  Um cliente malicioso, que implemente intencionalmente um protocolo TCP errado e incompleto, pode não mandar esta última mensagem ACK. O servidor irá esperar por isso por um tempo, já que um simples congestionamento de rede pode ser a causa doACK faltante.

  Esta chamada conexão semi-aberta explora a boa-fé do protocolo TCP que espera por um certo tempo e algumas tentativas de restabelecimento de um sinal ACK válido para retomar a comunicação. A resposta maliciosa ao comando SYN gerada pelo cliente pode ocupar recursos no servidor (memória e processamento) ou causar prejuízos para empresas usando softwares licenciados por conexão (aumento de conexões "ativas"). Pode ser possível ocupar todos os recursos da máquina, com pacotes SYN. Uma vez que todos os recursos estejam ocupados, nenhuma nova conexão (legítima ou não) pode ser feita, resultando em negação de serviço. Alguns podem funcionar mal ou até mesmo travar se ficarem sem recursos desta maneira.

• letra C. Se trata também do uso do SYN Flooding + IP Spoofing. O IP Spoofing é usado para forjar o endereço de origem falso.

  
  

  Segundo Nakamura(2010,p.105),"O ataque de SYN flooding explora o mecanismo de estabelecimento de conexões TCP, baseado em handshake em três vias(three-way handshake). A característica dos ataques de SYN flooding é que um grande número de requisições de conexão(pacotes SYN) é enviado,de tal maneira que o servidor não é capaz de responder a todas elas. A pilha de memória sofre um overflow e as requisições de conexões de usuários legítimos são,então, desprezadas."

  
  

  Bibliografia:

  SEGURANÇA DE REDES EM AMBIENTES COOPERATIVOS-NAKAMURA-2010