Você não pode atacar o que não entende. Toda técnica de rede que veremos — varredura de portas, sniffing, ARP spoofing, man-in-the-middle, forjar pacotes com Scapy — pressupõe que você saiba como um dado sai de uma máquina e chega em outra. Sem isso, você decora comandos sem entender por que funcionam, e trava no primeiro cenário fora do script. Esta aula constrói esse modelo mental. É densa, mas é o alicerce de metade do curso.

Bonecas russas em sete camadas

Comece pela ideia central: quando você acessa um site, seus dados não viajam inteiros num único salto. Eles são encapsulados em camadas, como bonecas russas, cada camada adicionando suas próprias informações de controle, e depois transmitidos, roteados e remontados do outro lado. O modelo OSI descreve isso em sete camadas conceituais, e embora a internet real use o modelo TCP/IP (mais enxuto, quatro camadas), o vocabulário OSI é universal — quando alguém diz "isso é um ataque de camada 7" ou "problema na camada 2", está falando OSI. Vale conhecer as sete, de cima para baixo:

7. Aplicação    → HTTP, DNS, FTP, SSH (o que o usuário/app enxerga)
6. Apresentação → criptografia, codificação (TLS opera por aqui)
5. Sessão       → gerência de sessões/diálogos
4. Transporte   → TCP e UDP (portas, confiabilidade)
3. Rede         → IP (endereçamento lógico, roteamento entre redes)
2. Enlace       → MAC/Ethernet, ARP (comunicação na rede local)
1. Física       → cabos, sinais elétricos, ondas de rádio

As quatro camadas onde a ação acontece

Para o pentester, quatro camadas concentram quase toda a ação, então vamos ancorá-las. A camada 2 (enlace) é onde vivem os endereços MAC — identificadores de hardware das placas de rede — e o protocolo ARP, que traduz IP em MAC dentro da rede local. É a camada dos ataques de ARP spoofing e MAC spoofing (Bloco XIV). A camada 3 (rede) é o reino do IP, o endereçamento lógico que permite que pacotes cruzem redes diferentes e cheguem do outro lado do mundo via roteamento. A camada 4 (transporte) traz TCP e UDP e o conceito de porta — o que permite que uma mesma máquina rode dezenas de serviços simultâneos. E a camada 7 (aplicação) é onde moram os protocolos que você vai atacar diretamente: HTTP, DNS, SSH, SMB.

Endereço, máscara e o que o /24 significa

Detalhe a camada 3, o IP, porque endereçamento é pão de cada dia. Um endereço IPv4 são quatro números de 0 a 255 (ex.: 192.168.1.10), e ele se divide em duas partes: uma identifica a rede, outra identifica o host dentro dela. A máscara de sub-rede (ou a notação CIDR, como /24) diz onde fica essa divisão. Um bloco 192.168.1.0/24 significa "os primeiros 24 bits são a rede", ou seja, os endereços de 192.168.1.1 a 192.168.1.254 estão na mesma rede local. Isso importa muito na prática: quando você faz um scan de rede (Bloco VI), você varre justamente uma faixa dessas. Alguns comandos de inspeção que você já pode rodar:

ip a                 # mostra seus endereços IP e interfaces de rede
ip route             # mostra a tabela de roteamento (por onde os pacotes saem)
ip neigh             # mostra a tabela ARP: vizinhos da rede local e seus MACs
cat /etc/resolv.conf # revela quais servidores DNS você usa

Repare que endereços como 192.168.x.x, 10.x.x.x e 172.16-31.x.x são privados — usados dentro de redes locais e não roteáveis na internet pública. Reconhecê-los à primeira vista é reflexo importante: num pentest, encontrar um 10.0.0.5 te diz imediatamente que é um alvo interno.

TCP aperta a mão; UDP dispara e some

Agora a camada 4 e a distinção TCP vs. UDP, que molda como você ataca cada serviço. O TCP é confiável e orientado a conexão: antes de trocar dados, as duas pontas fazem um "aperto de mão" (o three-way handshake), garantem entrega e ordem, e por isso o TCP sustenta serviços onde perder dados é inaceitável — web, e-mail, SSH, transferência de arquivos. O UDP é rápido e sem conexão: dispara os pacotes sem garantia de entrega nem ordem, ideal para onde velocidade importa mais que perfeição — streaming, jogos, DNS, VoIP. Essa diferença tem consequência ofensiva direta: varrer portas TCP é mais fácil e confiável (a máquina responde ao handshake), enquanto varrer UDP é mais lento e ambíguo (o silêncio pode significar "porta aberta" ou "pacote perdido"). Você sentirá isso na pele quando usarmos o Nmap.

A porta leva o pacote ao serviço certo

Fechando o quadro, o conceito de porta, que amarra tudo. Um IP leva o pacote até a máquina; a porta leva o pacote até o serviço certo dentro dela. Portas vão de 0 a 65535, e as primeiras 1024 são "bem conhecidas", associadas por convenção a serviços específicos. Você vai memorizar as principais sem esforço, de tanto encontrá-las: 22 (SSH), 80 (HTTP), 443 (HTTPS), 21 (FTP), 25 (SMTP), 53 (DNS), 445 (SMB), 3389 (RDP), 3306 (MySQL). Quando um scan revela "porta 445 aberta", seu cérebro deve traduzir na hora: "SMB — Windows, compartilhamento de arquivos, superfície rica" — e é justamente essa tradução instantânea que orienta o ataque.

Fontes e leituras recomendadas

Exercícios

  1. Explique a ideia de "encapsulamento em camadas". Por que os dados não viajam como um bloco único?

    ✓ Resposta:

    Encapsulamento é o processo pelo qual cada camada envolve os dados adicionando suas próprias informações de controle, como bonecas russas. Isso permite que cada camada cuide de uma responsabilidade distinta (endereçamento local, roteamento, transporte, etc.) de forma modular e independente.

  2. Associe cada uma a uma camada OSI: endereço MAC, endereço IP, número de porta, protocolo HTTP.

    ✓ Resposta:

    MAC → camada 2 (enlace); IP → camada 3 (rede); porta → camada 4 (transporte); HTTP → camada 7 (aplicação).

  3. O que significa a notação 192.168.1.0/24, e qual a faixa de hosts utilizáveis nessa rede?

    ✓ Resposta:

    Significa que os primeiros 24 bits identificam a rede, deixando os últimos 8 para hosts; a faixa utilizável vai de 192.168.1.1 a 192.168.1.254 (o .0 é a rede e o .255 é o broadcast).

  4. Compare TCP e UDP em confiabilidade e conexão, e explique por que varrer portas UDP é mais ambíguo que varrer TCP.

    ✓ Resposta:

    TCP é confiável e orientado a conexão (garante entrega e ordem via handshake); UDP é rápido e sem conexão (sem garantia de entrega). Varrer UDP é ambíguo porque a ausência de resposta pode significar tanto "porta aberta/filtrada" quanto "pacote perdido", já que não há handshake que confirme o estado.

  5. Um scan revela as portas 22, 443 e 445 abertas. Traduza cada uma no serviço correspondente.

    ✓ Resposta:

    22 → SSH; 443 → HTTPS; 445 → SMB.