Conceito e funcionamento
TCP usa sequência de SYN, SYN-ACK e ACK para estabelecer conexão em fluxos usuais. Estados como SYN-SENT, ESTABLISHED e TIME-WAIT descrevem etapas e condições do socket. Uma conexão estabelecida não garante autenticação, transferência útil de dados ou sucesso de operação da aplicação.
Como investigar e correlacionar
No endpoint, use ss para observar estado, origem, destino e processo quando autorizado. Em captura, considere direção, retransmissão, perdas e ordem temporal. Relacione com firewall, NAT e proxy para identificar qual sistema realmente iniciou a conexão. Faça correlação com log de serviço para determinar resultado de aplicação.
Consulta ou exemplo orientativo
Execute somente em ambiente autorizado, com privilégios e ferramentas adequados. A saída depende da configuração da fonte.
ss -tnp
sudo tcpdump -nn -i any 'tcp port 443' -c 20ESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Um serviço de teste acumula conexões SYN-SENT após falha de rede e gera alerta genérico de varredura.
Procedimento orientado
Compare estados em ss, captura parcial de laboratório, firewall e perdas; identifique se houve SYN-ACK e ACK.
Resultado esperado
A documentação diferencia tentativa de conexão, sessão estabelecida e autenticação na aplicação, sem extrapolar.
Cuidados adicionais
Retransmissões e captura incompleta podem simular padrões de ataque quando há congestionamento ou bloqueio legítimo.
Limitações e interpretações incorretas
Captura em ponto intermediário pode perder parte do handshake e retransmissões não significam automaticamente ataque. Alguns protocolos utilizam UDP ou QUIC; não extrapole comportamento TCP para todas as conexões de um domínio.
Checklist de validação
- Inspecionar SYN e respostas
- Conferir estado e processo
- Relacionar NAT e firewall
- Verificar resultado na aplicação
Referências técnicas
Guias para aprofundar
- jornada do log ate alerta — aguardando publicação editorial