O que você vai desenvolver
Interpretar fluxos de rede, detectar anomalias verificáveis e registrar limites de visibilidade.
Para quem: Analistas NOC/SOC, administradores de redes e investigadores.
Pré-requisitos
- Endereçamento IPv4/IPv6 e roteamento básico
- Conhecimentos de portas e sessões TCP/UDP
- Ambiente autorizado para captura
Roteiro técnico de estudo
ETAPA 01
Mapeie visibilidade e captura
Antes de analisar pacotes, identifique SPAN/TAP, sensores, firewalls e fluxos de proxy. Captura não mostra necessariamente o tráfego de todas as VLANs, fluxos criptografados ou conexões entre hosts que não atravessam o ponto de coleta. Registre interface, janela, fuso, filtros e eventuais perdas de pacotes.
Atividades recomendadas
- Confira interface com ip -brief link e caminhos com ip route.
- Em laboratório, liste interfaces com tcpdump -D.
- Documente a origem e o escopo de um arquivo PCAP sintético.
ETAPA 02
Investigue DNS como contexto de comportamento
Resoluções frequentes, subdomínios variáveis e respostas inesperadas podem sustentar hipóteses, mas não são prova de comprometimento. Relacione consulta, resposta, TTL, processo/host e padrão conhecido do ambiente. Caches, resolvers intermediários e DNS over HTTPS podem reduzir a visibilidade.
Atividades recomendadas
- Observe consultas DNS com captura autorizada e filtros limitados.
- Diferencie erro NXDOMAIN, resposta válida e falha de transporte.
- Compare eventos DNS com logs do host gerador.
ETAPA 03
Analise TLS, HTTP e SSH sem extrapolar
SNI, certificados, metadados de handshake e direção das sessões podem ser úteis, mas nem sempre estão disponíveis. O conteúdo criptografado não deve ser inferido a partir do tamanho dos pacotes. Em HTTP, método, rota, status e autenticação ajudam a investigar padrões; o contexto da aplicação determina se eles são anômalos.
Atividades recomendadas
- Classifique pacotes por protocolo e direção.
- Relacione horário de requisições com logs do reverse proxy.
- Registre o que não é possível concluir pela captura disponível.
ETAPA 04
Correlacione rede, endpoint e resposta
Uma investigação robusta compara IP e porta com origem real, NAT, mudanças de DHCP, endereço MAC, processo, identidade e janela. A contenção de rede exige autorização e avaliação de dependências; bloqueios mal direcionados podem afetar serviços legítimos.
Atividades recomendadas
- Construa timeline simples de DNS, conexão e evento de processo.
- Documente hipótese alternativa para cada achado.
- Produza uma decisão de escalonamento com evidências e limitações.
Enciclopédia desta especialidade
Consulte fichas detalhadas para eventos, protocolos, componentes e conceitos operacionais antes de avançar aos artigos.
Leituras técnicas relacionadas
Links liberados apenas quando o material foi aprovado e publicado no CMS.
- Do log ao alerta: ingestão, normalização, correlação e investigação — em preparação editorial
- Triagem de alertas: severidade, contexto, evidência e escalonamento — em preparação editorial
