📖 Resumo - Domínio 2: Arquitetura e Design

1️⃣ Arquitetura de Rede e Defesa em Profundidade

Modelo OSI Essencial

Three-Tier Architecture

• Core Layer: Backbone alta velocidade, roteamento entre segmentos
• Distribution Layer: Políticas, ACLs, filtragem, agregação
• Access Layer: Conecta usuários finais, switches de acesso

Tipos de Controles em Profundidade

Controle	Descrição
Preventivo	Firewall na borda (bloqueia antes de entrar)
Detectivo	IDS dentro do perímetro (alerta sobre ameaças)
Corretivo	Load balancer (mitiga DDoS), endpoint protection
Fail-Open	Mantém acesso → prioriza AVAILABILITY
Fail-Closed	Bloqueia acesso → prioriza CONFIDENTIALITY

2️⃣ Screened Subnet (DMZ) ⭐ CRÍTICO

Conceitos Chave

• Dual-Homed Gateway: 3 interfaces (internet, DMZ, LAN)
• Screening Router: Router + firewall (ACLs), mais externo
• Bastion Host: Servidor fortificado exposto à internet
• Screened-Host Gateway: Na DMZ, requer autenticação

3️⃣ Firewalls e VPN

Tipos de Firewall

• Stateless (Packet Filter): Analisa cada packet independente, IP/porta/protocolo
• Stateful: Rastreia estado de conexões TCP, state table
• NGFW: Firewall + IPS + DPI + TLS inspection + threat intel
• WAF: Web Application Firewall - SQL Injection, XSS, CSRF
• UTM: All-in-one (firewall + antimalware + IPS + spam + VPN)

VPN

Protocolos VPN

• IPSec: Transport mode (host-to-host) vs Tunnel mode (site-to-site)
• AH: Authentication Header, ICV hash, sem criptografia
• ESP: Encapsulating Security Payload, criptografa
• L2TP/IPSec: L2TP tunneling + IPSec encryption
• TLS VPN: Certificados digitais, mutual auth, porta 443

4️⃣ Switch e Router Security

Ataques em Switches

Ataque	Descrição	Proteção
MAC Flooding	Inunda CAM table → switch vira hub	Port Security
ARP Spoofing	Associa MAC atacante ao IP vítima (MitM)	DAI
VLAN Hopping	Salta entre VLANs (double tagging)	Desabilitar DTP
DHCP Spoofing	DHCP falso fornece gateway malicioso	DHCP Snooping

ACLs em Roteadores

• Standard (1-99): Filtra apenas IP origem, perto do DESTINO
• Extended (100-199): IP origem/dest + portas + protocolo, perto da ORIGEM
• Wildcard Mask: Inverso subnet mask (0=match, 255=ignore)
• Nova ACL: Por padrão BLOQUEIA TUDO (implicit deny)

5️⃣ Virtualização e Cloud

Hypervisors

Tipo	Descrição	Exemplos
Type 1 (Bare Metal)	Executa diretamente no hardware	VMware ESXi, Hyper-V, Xen
Type 2 (Hosted)	Executa sobre sistema operacional	VirtualBox, Workstation

Ameaças em Virtualização

• VM Sprawl: Proliferação descontrolada de VMs
• VM Escape: Ataque onde VM compromete hypervisor
• Container Escape: Similar, mas em containers

Modelos de Serviço Cloud

Modelos de Implantação

• Public Cloud: Recursos compartilhados (multi-tenant). AWS, Azure.
• Private Cloud: Nuvem exclusiva da organização. Mais controle.
• Hybrid Cloud: Combinação de pública e privada.
• Community Cloud: Compartilhada por organizações com interesses comuns.

6️⃣ SDN e Virtual Networking

SDN (Software-Defined Networking)

• Control Plane: Tomada de decisão (roteamento). Centralizado.
• Data Plane: Encaminhamento de pacotes. Segue regras do control plane.
• Northbound API: Comunicação control plane → aplicações (REST).
• Southbound API: Comunicação control plane → data plane (OpenFlow).

Virtual Networking

• vSwitch (Virtual Switch): Switch virtual que conecta VMs entre si e com rede física.
• NIC Teaming (Bonding): Agregação de múltiplas NICs para balanceamento e failover.
• VLAN: Segmentação lógica de rede.

7️⃣ NAC e Zero Trust

NAC (Network Access Control)

• Autentica usuários/devices E verifica compliance (antivirus, patches, OS) antes de permitir acesso.
• Agent-based: Software no device, info detalhada, auto-remediation.
• Agentless: Port-based/scan, funciona com guests/IoT.
• Dynamic VLAN: NAC atribui VLAN por compliance, quarantine se necessário.

Zero-Trust Security

• "Never trust, always verify"
• Microsegmentation: Firewall entre workloads
• Least privilege: Acesso mínimo necessário
• MFA everywhere

8️⃣ Wireless Security

Padrões Wi-Fi

Padrão	Segurança
WPA3	SAE (Simultaneous Authentication of Equals). Mais seguro.
WPA2	AES-CCMP. Vulnerável a KRACK, mas ainda usado.
WPA	TKIP (inseguro).
WEP	Totalmente inseguro, quebrado em minutos.

Ataques Wi-Fi

• Evil Twin: AP falso com mesmo SSID. MITM.
• Rogue AP: AP não autorizado na rede.
• Deauth Attack: Força desconexão de clientes.
• WPS Attack: PIN de 8 dígitos vulnerável a brute force.

Proteções Wi-Fi

• WIPS: Wireless IPS detecta rogue APs e evil twins.
• 802.1X (Enterprise): RADIUS + EAP para autenticação corporativa.
• Disable WPS: WPS é vulnerável.

9️⃣ Hardening de SO

• Remover software desnecessário - reduz superfície de ataque
• Desabilitar serviços não usados - menos portas abertas
• Patches e updates automáticos - correção de vulnerabilidades
• Firewall habilitado - controle de tráfego
• Princípio do menor privilégio - mínimas permissões necessárias

NTFS Permissions (Windows)

• Read, Write, Execute, Modify, Full Control
• Deny sempre prevalece sobre Allow
• Explicit > Inherited (permissões explícitas têm prioridade sobre herdadas)

Linux Security

• iptables: firewall do Linux. Chains: INPUT, OUTPUT, FORWARD
• SELinux: MAC (Mandatory Access Control) no Linux