¶ Sai spoofing da minha rede
¶ O que chega ate voce
Uma notificacao de abuso do transito, ou a suspeita de que um cliente esta
sendo usado como origem de ataque. Quase nunca chega como reclamacao interna.
¶ Onde olhar, nesta ordem
¶ 1. Existe volume forjado, e quanto
Spoofing. A tarja de estado responde sim ou nao.
Os indicadores dizem o tamanho: bytes suspeitos, percentual do trafego do
equipamento e quantidade de fluxos.
Ambiente de um beta tester. Enderecos, prefixos, ASNs, nomes de rede e nomes de equipamento foram substituidos.
¶ 2. Que tipo de forjado e
Separe as duas categorias antes de agir:
- Origem forjada. O pacote diz vir de uma rede que nao e sua nem do seu
cliente. E o caso classico de amplificacao e de ataque com origem falsa. - Origem nao resolvida. Endereco privado ou de CGNAT escapando para o
transito. Quase sempre e erro de NAT, nao ataque.
¶ 3. Por qual porta entrou
Cada amostra traz a interface de entrada. Essa interface e a porta do cliente
que originou o pacote. E ali que o filtro anti-spoofing precisa existir - na
borda do cliente, nao na sua saida.
¶ 4. Confirmar antes de ligar para o cliente
Consulta de fluxo com o prefixo de origem, na
linha do tempo. Volume constante ao longo do dia e configuracao errada. Pico
curto e um evento; anote a hora para a conversa.
¶ O que este caminho nao resolve
- Trafego que ja saiu. O painel e evidencia, nao bloqueio. O filtro entra no
equipamento, e o EdgeGuard nao escreve no roteador do cliente. - Cliente atras de CGNAT sem IPv6. A amostra para no concentrador; nao ha
como apontar o assinante individual. - Origem forjada de dentro para dentro. Se o pacote nao passa por um uplink
observado, ele nao entra na conta.
¶ Resumo
| Achado | Conclusao |
|---|---|
| Origem forjada com volume constante | Falta filtro BCP38 na porta do cliente |
| Origem nao resolvida | NAT vazando endereco privado |
| Pico curto, poucas origens | Evento pontual, guarde a janela |
| Percentual do trafego alto | Prioridade: o transito vai notar antes de voce |