Detecção de Varredura de Rede com Assinaturas de IDS

Visão Geral

A varredura de rede é tipicamente a primeira fase de um ataque, onde os adversários enumeram hosts ativos, portas abertas, serviços em execução e versões de SO usando ferramentas como Nmap, Masscan, ZMap e scanners personalizados. Detectar essa atividade de reconhecimento fornece um alerta precoce de ataques potenciais. Sistemas IDS/IPS como Suricata e Snort podem identificar varreduras através de detecção baseada em assinatura (correspondência de padrões de pacotes de scanners conhecidos), detecção baseada em limite (contagem de tentativas de conexão ao longo do tempo) e detecção de anomalias (identificação de padrões de tráfego incomuns). Esta habilidade abrange a escrita e implantação de assinaturas de IDS para detecção de varreduras, configuração de alertas baseados em limite e correlação de atividade de varredura com indicadores de ataque subsequentes.

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de varreduras de rede com assinaturas de IDS.
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Suricata 7.0+ ou Snort 3.0+ implantado em modo IDS/IPS.
• TAP de rede ou porta SPAN para visibilidade do tráfego.
• Conjunto de regras Emerging Threats habilitado.
• Infraestrutura de log para análise de alertas (ELK Stack, Splunk).
• Compreensão básica dos padrões normais de tráfego de rede.

Conceitos Principais

Técnicas de Varredura e Indicadores de Detecção

Modelos de Tempo do Nmap

Fluxo de Trabalho

Etapa 1: Implantar Regras de Detecção de Varredura do Suricata

Criar /var/lib/suricata/rules/scan-detection.rules:

# === Detecção de Varredura TCP ===

# Detectar varredura TCP SYN (SYN de alto volume sem conclusão)
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"SCAN TCP SYN Scan Detected"; flags:S,12; threshold:type both,track by_src,count 30,seconds 10; classtype:attempted-recon; sid:5000001; rev:2;)

# Detectar varredura TCP FIN
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"SCAN TCP FIN Scan"; flags:F,12; threshold:type both,track by_src,count 20,seconds 60; classtype:attempted-recon; sid:5000002; rev:1;)

# Detectar varredura TCP Xmas (FIN+PSH+URG)
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"SCAN TCP Xmas Tree Scan"; flags:FPU,12; classtype:attempted-recon; sid:5000003; rev:1;)

# Detectar varredura TCP NULL (sem flags)
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"SCAN TCP NULL Scan"; flags:0,12; classtype:attempted-recon; sid:5000004; rev:1;)

# Detectar varredura ACK (sondagem de firewall)
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"SCAN TCP ACK Scan"; flags:A,12; flow:stateless; threshold:type both,track by_src,count 50,seconds 30; classtype:attempted-recon; sid:5000005; rev:1;)

# Detectar varredura SYN+ACK (sonda stateless incomum)
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"SCAN TCP SYN-ACK Scan"; flags:SA,12; flow:stateless; threshold:type both,track by_src,count 30,seconds 30; classtype:attempted-recon; sid:5000006; rev:1;)

# === Detecção de Varredura UDP ===

# Detectar varredura de porta UDP

…