Questão FC406767
Um determinado invasor utilizou a opção de fragmentação do IP para criar fragmentos extremamente pequenos e forçar que a informação do cabeçalho TCP fique em um fragmento de pacote
Principais Protocolos de Redes
FGV · 2024
Um determinado invasor utilizou a opção de fragmentação do IP para criar fragmentos extremamente pequenos e forçar que a informação do cabeçalho TCP fique em um fragmento de pacote separado.
Uma contramedida efetiva para tal cenário é impor uma regra que:
- descarte todos os pacotes que usem a opção de roteamento baseado na origem;
- descarte pacotes cujo endereço de origem seja interno se esses pacotes chegarem a uma interface externa;
- estabeleça que o primeiro fragmento de um pacote deve conter uma quantidade mínima predefinida do cabeçalho de transporte;
- estabeleça que o último fragmento de um pacote deve conter uma quantidade mínima predefinida do cabeçalho de transporte;
- estabeleça que o primeiro fragmento de um pacote deve conter uma quantidade máxima predefinida do cabeçalho de transporte.
Mostrar resposta e comentário
Gabarito
Certo
Comentário do professor
Impor que o primeiro fragmento contenha uma quantidade mínima do cabeçalho de transporte garante que campos essenciais (por exemplo, portas, números de sequência e flags) estejam sempre presentes no fragmento inicial.
Isso impede o atacante de dividir intencionalmente o cabeçalho TCP em fragmentos muito pequenos — técnica conhecida como Tiny Fragment Attack — que busca burlar sistemas de inspeção profunda (DPI) ao ocultar informações necessárias para decisão.
Com a regra, firewalls/IDS conseguem analisar e verificar a sessão já no primeiro fragmento; pacotes cuja primeira parte não contenha o mínimo exigido são descartados ou sujeitos a regras especiais, bloqueando tentativas de evasão.
É uma medida eficaz porque atua na fase de recepção/inspeção, obrigando a remontagem completa antes que fragmentos omitidos possam ser explorados.
Conteúdo do catálogo FC Concursos · Atualizado em