Nmap avançado: evasão de firewalls e IDS

Redes reais não são alvos passivos. Elas têm firewalls que filtram tráfego e sistemas de detecção de intrusão (IDS) que vigiam padrões suspeitos e disparam alertas. Um scan ingênuo e barulhento contra um alvo protegido produz dois resultados ruins: resultados incompletos (o firewall bloqueia parte das sondagens) e um alarme aceso (o IDS avisa a defesa que você está lá). Esta aula ensina as técnicas com que o Nmap tenta escanear apesar dessas proteções — e, com igual peso, ensina o outro lado, porque entender evasão é entender detecção. Tudo, como sempre, praticado em laboratório autorizado.

O que você está driblando

Antes das técnicas, entenda o que você está driblando. Um firewall decide quais pacotes passam com base em regras (bloquear certas portas, certos IPs de origem, certos padrões). Um IDS analisa o tráfego procurando assinaturas de comportamento malicioso — e um scan tem assinatura clara: muitos pacotes, para muitas portas, vindos de uma mesma origem, em pouco tempo. As técnicas de evasão do Nmap atacam essas duas lógicas: ou fazem os pacotes parecerem legítimos, ou diluem o padrão que o IDS reconhece, ou escondem a verdadeira origem.

Escanear devagar para diluir o padrão

A primeira família são as manipulações de temporização. Como o IDS detecta rajadas, escanear devagar dilui o padrão. Os timings lentos (-T0, -T1) espaçam os pacotes a ponto de o scan se perder no ruído normal da rede — ao custo de horas ou dias. É a evasão mais simples e, muitas vezes, a mais eficaz: paciência derrota detecção baseada em volume.

Iscas e porta de origem forjada

A segunda família manipula a origem e a forma dos pacotes. Algumas opções que ilustram o conceito:

nmap -D IP1,IP2,ME 192.168.1.10       # decoys: mistura seu scan com IPs "isca"
nmap -S IP_FALSO 192.168.1.10          # spoofa o IP de origem (cenários específicos)
nmap --source-port 53 192.168.1.10     # finge vir da porta 53 (DNS), que firewalls costumam permitir
nmap -f 192.168.1.10                   # fragmenta os pacotes para dificultar a análise
nmap --data-length 25 192.168.1.10     # adiciona dados para alterar o tamanho característico

O conceito dos decoys (-D) é engenhoso: o Nmap dispara o scan intercalando pacotes forjados que aparentam vir de outros IPs (as iscas), de modo que, nos logs do alvo, seu IP real se perde no meio de vários — dificultando identificar quem de fato está escaneando. O --source-port 53 explora uma fraqueza comum de configuração: muitos firewalls confiam em tráfego que aparenta ser DNS (porta 53) e o deixam passar, então fingir essa origem pode furar a regra. A fragmentação (-f) quebra os pacotes de sondagem em pedaços menores, na esperança de que o firewall ou IDS, ao analisar fragmentos isolados, não reconheça o padrão de scan que só é visível no pacote remontado.

Flags incomuns: FIN, NULL e Xmas

A terceira família explora os tipos de scan que se comportam de forma diferente frente a firewalls. O SYN scan (-sS) já é mais furtivo que o Connect scan por não completar conexões. Scans que manipulam flags de maneiras incomuns — FIN (-sF), NULL (-sN), Xmas (-sX) — enviam pacotes que não seguem o handshake normal, e certos firewalls/sistemas os tratam de forma reveladora, permitindo inferir o estado de portas que um scan comum não conseguiria. São técnicas situacionais, mas fazem parte do repertório de quem enfrenta alvos endurecidos.

Evasão não é mágica, e às vezes chama mais atenção

Aqui, porém, um alerta de honestidade profissional que separa o especialista do entusiasta: evasão não é mágica, e frequentemente é contraproducente. Sistemas de detecção modernos são sofisticados e muitas vezes reconhecem as próprias técnicas de evasão como suspeitas — um scan fragmentado e lento vindo com decoys pode ser mais chamativo que um scan honesto, porque tráfego evasivo é, ele próprio, anômalo. Além disso, num pentest tradicional focado em cobertura, evasão nem sempre é o objetivo: você quer mapear tudo, e o cliente sabe que você está testando. As técnicas desta aula brilham em contextos específicos — red team engagements que testam detecção, alvos com filtragem que impede um scan direto — e devem ser aplicadas com critério, não por reflexo. Saber quando não evadir é tão profissional quanto saber como.

Entender a evasão é o que a detecta

E é justamente por isso que esta aula tem um valor defensivo enorme, talvez maior que o ofensivo. Entender as técnicas de evasão é o que permite ao Blue Team detectá-las: um IDS bem configurado é ajustado para reconhecer não só scans óbvios, mas também os sinais de tentativa de evasão (fragmentação incomum, decoys, source ports suspeitos). Do lado defensivo, as contramedidas incluem firewalls com regras rigorosas (não confiar cegamente em source port 53, por exemplo), IDS/IPS atualizados e capazes de remontar pacotes fragmentados antes de analisá-los, e monitoramento que correlaciona atividade ao longo do tempo (para pegar até scans lentos). A eterna corrida entre evasão e detecção é um microcosmo de toda a segurança: cada técnica ofensiva gera uma defensiva, que gera uma nova ofensiva.

Fontes e leituras recomendadas

Nmap Network Scanning — Fyodor (capítulos sobre evasão de firewall e IDS)
nmap.org/book — seção "Firewall/IDS Evasion and Spoofing"
Documentação de Snort/Suricata (IDS) — para entender o lado da detecção
HackTheBox — máquinas com firewalls que exigem técnicas de scan mais elaboradas

Exercícios

Qual é a "assinatura" típica de um scan que um IDS reconhece, e como os timings lentos ajudam a evadi-la?

✓ Resposta:
A assinatura é uma rajada de muitos pacotes para muitas portas, vindos de uma mesma origem em pouco tempo. Timings lentos (-T0/-T1) espaçam os pacotes, diluindo esse padrão no ruído normal da rede e dificultando a detecção baseada em volume.
Explique o conceito de decoys (-D) e como eles dificultam a identificação do atacante.

✓ Resposta:
Os decoys fazem o Nmap intercalar pacotes forjados que aparentam vir de outros IPs (iscas), de modo que, nos logs do alvo, o IP real do atacante se mistura a vários outros, dificultando identificar quem realmente conduz o scan.
Por que fingir a porta de origem 53 (--source-port 53) pode ajudar a atravessar um firewall?

✓ Resposta:
Porque muitos firewalls são configurados para confiar em tráfego que aparenta ser DNS (porta 53) e o permitem passar; forjar essa porta de origem pode fazer os pacotes de sondagem furarem regras que bloqueariam outras origens.
Por que a aula afirma que "evasão frequentemente é contraproducente"? Dê duas razões.

✓ Resposta:
(1) Sistemas de detecção modernos reconhecem as próprias técnicas de evasão como anômalas, tornando o scan evasivo às vezes mais chamativo que um honesto; (2) em pentests focados em cobertura, evasão não é o objetivo — quer-se mapear tudo, e o cliente sabe do teste —, então evadir só faz sentido em contextos específicos.
Como o conhecimento das técnicas de evasão beneficia o Blue Team, e cite duas contramedidas defensivas correspondentes.

✓ Resposta:
Permite configurar o IDS/IPS para reconhecer sinais de evasão (fragmentação incomum, decoys, source ports suspeitos), não apenas scans óbvios. Contramedidas: firewalls com regras rigorosas que não confiam cegamente em source port 53, e IDS/IPS capazes de remontar pacotes fragmentados antes de analisá-los (além de correlação temporal para pegar scans lentos).