Toda comunicação numa rede é feita de pacotes que trafegam pelo meio físico — e quem consegue capturar esses pacotes pode lê-los. O sniffing (farejamento) é a técnica de interceptar e inspecionar o tráfego de rede, e é fundamental por dois motivos: revela informações que trafegam sem proteção (credenciais, dados, tokens) e é a base para entender e conduzir ataques de rede mais complexos (os ataques MITM). A ferramenta soberana é o Wireshark, que você conheceu de passagem na aula Protocolos em ação: handshake TCP, DNS e inspeção real e agora domina. Pratique no seu laboratório, capturando seu próprio tráfego.

O switch decide o que você vê

Comece pelo conceito fundamental que define o que você consegue farejar: o modo como a rede distribui os pacotes. Em redes com switch (o padrão moderno), o switch é "inteligente" — ele envia cada pacote apenas para a porta do destinatário correto, não para todos. Isso significa que, por padrão, sua placa de rede só vê o tráfego destinado a ela. Para farejar o tráfego de outros, você precisa de duas coisas: colocar sua placa em modo promíscuo (para que ela aceite e processe todos os pacotes que chegam a ela, não só os endereçados a ela) e, crucialmente, fazer com que o tráfego dos outros chegue até você — o que, num ambiente com switch, exige um ataque ativo como o ARP spoofing, que redireciona o tráfego. Em redes sem switch (hubs antigos) ou em WiFi, a dinâmica é diferente, mas o princípio é o mesmo: você precisa estar posicionado onde o tráfego passa.

Wireshark: dissecar cada camada

O Wireshark é o analisador de protocolos de referência. Ele captura os pacotes que passam pela sua interface e os disseca — mostrando cada camada (aula TCP/IP e o modelo OSI: como os pacotes realmente viajam), cada campo, cada byte, de forma legível. Você vê o handshake TCP acontecendo (aula Protocolos em ação: handshake TCP, DNS e inspeção real), as requisições HTTP, as consultas DNS, tudo em tempo real. A funcionalidade que torna o Wireshark utilizável diante do volume de tráfego são os filtros de exibição, que permitem focar no que interessa:

# filtros de exibição comuns no Wireshark:
http                    # apenas tráfego HTTP
dns                     # apenas consultas DNS
ip.addr == 192.168.1.10 # tráfego de/para um host específico
tcp.port == 21          # tráfego FTP
http.request.method == "POST"   # apenas requisições POST (onde vão credenciais)

Filtrar é achar a agulha

Aprender a filtrar é o que separa "afogar-se em pacotes" de "encontrar exatamente o que você procura". Um filtro bem construído isola a agulha no palheiro — a requisição de login onde a senha trafega, a consulta DNS que revela um destino, o pacote que contém o dado sensível.

Credenciais em texto claro

O achado mais impactante do sniffing, e o que demonstra sua relevância, é a captura de credenciais em texto claro. Muitos protocolos antigos transmitem dados — inclusive senhas — sem criptografia: o FTP, o Telnet, o HTTP (não-HTTPS), versões antigas de POP3/IMAP/SMTP (aula Enumeração SMTP, POP3 e IMAP: minerando os serviços de e-mail). Se você está posicionado para farejar esse tráfego, as credenciais aparecem literalmente legíveis nos pacotes. Capturar um login FTP e ver o usuário e a senha em texto puro no Wireshark é uma demonstração poderosa (e chocante para clientes) de por que a criptografia importa. O Wireshark inclusive tem recursos que extraem credenciais e reconstroem sessões automaticamente. Cada credencial em texto claro que você fareja é um achado de relatório e uma prova viva da lição do Bloco IV — a criptografia protege a confidencialidade, e sua ausência a destrói.

Reconstruir conversas e extrair arquivos

O sniffing tem um alcance que vai além de credenciais. Você pode reconstruir conversas inteiras (o Wireshark tem "Follow TCP Stream", que remonta uma sessão completa a partir dos pacotes), extrair arquivos transferidos sem criptografia, mapear a rede (ver quem fala com quem, quais serviços são usados), e entender protocolos para atacá-los. Para o pentester, o sniffing é tanto uma ferramenta de coleta (o que trafega desprotegido?) quanto de compreensão (como esta aplicação se comunica?). E para o analista de malware (aula Fundamentos de análise de malware: dissecando o código hostil) e o defensor, é essencial para entender o que um programa suspeito ou um ataque está fazendo na rede.

Como a criptografia mudou o jogo

Um ponto importante sobre o alcance do sniffing na prática moderna: a criptografia mudou o jogo. Hoje, a maior parte do tráfego sensível usa TLS (HTTPS), e o TLS torna o conteúdo farejado ilegível — você vê que há uma conexão, para onde, mas não o conteúdo (aula TLS/SSL na prática: toda a criptografia trabalhando junta). Isso limita o sniffing "passivo" contra tráfego cifrado — e é exatamente o objetivo do TLS. Por isso, os ataques de rede modernos frequentemente combinam sniffing com técnicas para contornar ou quebrar a criptografia (o SSL stripping da aula Ataques a criptografia fraca: onde ela realmente quebra, ou o MITM com certificado forjado). Ainda assim, uma quantidade surpreendente de tráfego interno de organizações permanece sem criptografia (protocolos legados, comunicação entre sistemas internos, tráfego que "ninguém pensou em proteger porque é interno"), e é justamente esse tráfego que o sniffing num pentest interno revela.

Cifre tudo, inclusive o tráfego interno

Do lado defensivo, a lição do sniffing é direta e reforça o Bloco IV: cifre tudo. As contramedidas: usar criptografia em todo o tráfego (HTTPS em vez de HTTP, SSH em vez de Telnet, FTPS/SFTP em vez de FTP — eliminar os protocolos em texto claro é a defesa fundamental); aplicar criptografia inclusive no tráfego interno (não confiar que "a rede interna é segura" — o princípio Zero Trust da aula Por que o hacking ético existe e o que ele quer de você, e a lição do pivoting da aula Pivoting e tunneling: da máquina comprometida à rede inteira: o atacante pode estar dentro); usar segmentação de rede (para limitar onde um sniffer posicionado pode ver); e no nível de switch, recursos como port security e Dynamic ARP Inspection que dificultam o redirecionamento de tráfego necessário para farejar os outros. A lição central: assuma que alguém pode estar escutando a rede, e torne o que ele capturar inútil através da criptografia. Falta a técnica que permite farejar o tráfego dos outros num ambiente com switch: o ARP spoofing e o man-in-the-middle.

Fontes e leituras recomendadas

Exercícios

  1. Por que, num ambiente com switch, sua placa de rede só vê o tráfego destinado a ela, e o que é preciso para farejar o tráfego dos outros?

    ✓ Resposta:

    Porque o switch é inteligente e envia cada pacote apenas à porta do destinatário correto, não a todas. Para farejar o tráfego dos outros, é preciso colocar a placa em modo promíscuo (aceitar todos os pacotes que chegam) e, crucialmente, fazer o tráfego dos outros chegar até você — o que exige um ataque ativo como o ARP spoofing que redireciona o tráfego.

  2. Para que servem os filtros de exibição do Wireshark, e por que são essenciais?

    ✓ Resposta:

    Os filtros de exibição focam a captura no tráfego de interesse (um protocolo, um host, um tipo de requisição), isolando o relevante em meio ao enorme volume de pacotes. São essenciais para encontrar exatamente o que se procura — como a requisição de login com a senha — em vez de se afogar em dados.

  3. Qual é o achado mais impactante do sniffing, e que protocolos o tornam possível?

    ✓ Resposta:

    A captura de credenciais em texto claro. É possível com protocolos que transmitem dados sem criptografia — FTP, Telnet, HTTP, e versões antigas de POP3/IMAP/SMTP —, cujos pacotes revelam usuários e senhas literalmente legíveis.

  4. Como a criptografia (TLS) mudou o alcance do sniffing, e por que ele ainda é relevante em redes internas?

    ✓ Resposta:

    O TLS (HTTPS) cifra o conteúdo, tornando o tráfego farejado ilegível — vê-se a conexão e o destino, mas não o conteúdo —, o que limita o sniffing passivo. Ainda é relevante em redes internas porque muito tráfego interno permanece sem criptografia (protocolos legados, comunicação entre sistemas), e é justamente esse tráfego que um pentest interno revela.

  5. Qual a contramedida fundamental contra o sniffing, e como o princípio Zero Trust se aplica ao tráfego interno?

    ✓ Resposta:

    A contramedida fundamental é cifrar todo o tráfego (HTTPS, SSH, SFTP em vez de HTTP, Telnet, FTP), tornando inútil o que for capturado. O Zero Trust aplica-se ao não confiar que "a rede interna é segura": deve-se cifrar inclusive o tráfego interno, pois o atacante pode estar dentro da rede (via pivoting), escutando o que se assumia protegido por estar "dentro".