APRENDER. PRATICAR. EVOLUIR.Da ameaça à medida
Uma vulnerabilidade é uma fraqueza suscetível de exploração; uma ameaça é uma circunstância ou evento com potencial de dano. Um exploit é um mecanismo que usa uma vulnerabilidade; a mitigação reduz exposição ou impacto, sem ser necessariamente a correção da causa.
Num switch com serviço de gestão vulnerável, restringir origens pode reduzir exposição enquanto se prepara a atualização, mas não elimina o defeito. Formação para reconhecer engenharia social, procedimentos de confirmação e acesso físico controlado tratam riscos diferentes.
Um email suspeito, uma porta de consola exposta e uma versão vulnerável não devem receber a mesma resposta automática. Explicita o que a medida impede e o que continua possível.
Identidade, privilégios e recuperação
Autenticação verifica identidade; autorização define ações permitidas; accounting regista atividade. Uma conta local de recuperação pode ser útil quando AAA está indisponível, desde que tenha custódia, privilégio e uso auditável definidos. Segredos de utilizador e enable secret têm funções diferentes; guardar um segredo de forma protegida não cifra uma sessão Telnet.
Uma política de passwords deve considerar comprimento, credenciais comprometidas, limitação de tentativas e recuperação. Duas passwords continuam a ser o mesmo tipo de fator. Um autenticador físico com PIN ou biometria de ativação pode combinar posse e outro fator, dependendo da implementação.
Certificados só ajudam quando a chave privada e a cadeia de confiança são verificadas; conhecer o nome do titular não demonstra posse da chave.
VPN e política de tráfego
Uma VPN IPsec site-to-site protege tráfego selecionado entre gateways; remote access liga um utilizador ou equipamento remoto ao ambiente autorizado. A seleção de tráfego, os endpoints, as rotas e a política têm de corresponder nos dois lados.
Um túnel estabelecido não autoriza todos os destinos internos nem garante que o tráfego pretendido entra no túnel. IPsec protege comunicações conforme a associação e os serviços negociados; não corrige uma aplicação vulnerável no endpoint. Para uma falha, compara o fluxo concreto, seleção, contadores e regras de acesso.
Em ACLs, sequência e direção importam: uma permissão ampla antes de uma negação específica pode torná-la ineficaz. Verifica também os fluxos que devem continuar bloqueados.
Confiança no primeiro salto
DHCP snooping distingue portas confiáveis para mensagens de servidor e portas de clientes. Ativa-o nas VLANs previstas e confia apenas no caminho autorizado para o servidor. Marcar todas as portas trusted para resolver uma falha remove a proteção pretendida.
As bindings relacionam endereço, MAC, VLAN e porta e podem apoiar DAI. Um host estático pode não ter binding DHCP, exigindo a política explícita apropriada em vez de uma exceção global. Port security limita identidades MAC numa interface: um telefone e um PC podem exigir duas identidades.
No modo restrict, tráfego de uma origem não permitida é descartado e há registo/contagem da violação; shutdown pode colocar a porta em err-disabled. Estes controlos não são autenticação humana e um MAC não é um segredo. Aceita a configuração verificando o cliente permitido e a origem que deve ser rejeitada.
Ler controlos aplicados à interface
No excerto didático, a porta 1 é o percurso autorizado para o servidor DHCP e a porta 10 liga um único cliente. A confiança de DHCP snooping e a confiança de DAI são configurações distintas: a decisão de confiar em ARP no uplink exige avaliar esse percurso.
A porta de cliente tem máximo um MAC e modo restrict. Um telefone mais um PC exigiria rever esse limite. DAI depende de bindings ou de uma política apropriada para endereços estáticos; não assumes que ativá-lo resolve todos os casos.
A ACL estendida BLOCK-SSH é aplicada à entrada na interface L3 dos clientes. O deny específico aparece antes do permit geral; inverte-os mentalmente e prevê a alteração do resultado. Contadores, bindings e tráfego permitido e negado são evidências complementares.
configure terminal
ip dhcp snooping
ip dhcp snooping vlan 60
ip arp inspection vlan 60
interface GigabitEthernet1/0/1
ip dhcp snooping trust
ip arp inspection trust
interface GigabitEthernet1/0/10
switchport mode access
switchport access vlan 60
switchport port-security
switchport port-security maximum 1
switchport port-security violation restrict
exit
ip access-list extended BLOCK-SSH
deny tcp host 10.1.2.3 host 192.0.2.8 eq 22
permit ip any any
interface Vlan60
ip access-group BLOCK-SSH in
exit
end
show ip dhcp snooping binding
show ip arp inspection
show port-security interface GigabitEthernet1/0/10
show access-lists BLOCK-SSHUm novo telefone bloqueia a porta que só permitia um MAC do PC. Confirma o desenho de dados/voz e o limite necessário antes de remover a proteção de todo o switch.
Armadilhas comuns
Confundir cifragem com autorização, dois segredos com dois fatores ou uma exceção global com reparação dirigida.
Tópicos relacionados: Diagnóstico de redes · Decisões de configuração
Define a fronteira de confiança e observa decisões positivas e negativas.
Referências
- Threat · Glossary consulted 2026-10-22
- Vulnerability · Glossary consulted 2026-10-22
- Authenticator and verifier requirements · SP 800-63B-4
- TACACS+ protocol · RFC 8907
- Security architecture for the Internet Protocol · RFC 4301
- IP ACL overview · IOS 15S conceptual processing; syntax varies by platform
- Configuring DHCP and DHCP snooping · IOS XE 17.18.x C9300
- Dynamic ARP inspection · IOS XE 17
- Port security · IOS XE 17.18.x C9300