SYN flood (TCP half‑open DDoS): esgota recursos do servidor ao abrir muitas conexões TCP sem completá‑las.

Brute‑force em serviços (SSH, RDP, FTP): tentativa automatizada de credenciais para obter acesso.

Banner grabbing e fingerprinting: coleta de informações de versão para identificar aplicações vulneráveis.

Exploits de serviço (ex.: SMB/445, RDP/3389): aproveitar vulnerabilidades conhecidas em serviços que escutam em portas específicas.

Port forwarding abuse / Tunneling malicioso: redirecionamento de tráfego para contornar controles e manter persistência.

Avaliação de superfície: decide quais serviços valem exploração (portas críticas, versões vulneráveis).

Exploração: uso de credenciais fracas, exploits conhecidos ou criação de tráfego malicioso (DoS) contra as portas alvo.

Persistência e movimentação lateral: estabelecimento de backdoors, túneis ou encaminhamentos através de portas abertas para manter acesso.

Muitos conectores de origem diferentes tentando portas padrão (varredura distribuída).

Falhas repetidas de login (logs de autenticação).

Serviços que começam a responder lentamente ou ficam indisponíveis.

Logs de IDS/IPS mostrando tentativas de exploração ou scanners conhecidos.

Fechar portas não utilizadas: mantenha um inventário de portas e serviços; feche tudo que não for necessário.

Aplicar o princípio do menor privilégio: permita apenas o tráfego estritamente necessário por função/usuário.

• Firewalls e regras explícitas: bloquear por padrão (deny‑by‑default) e permitir apenas o mínimo necessário; usar regras baseadas em fonte/destino/porta/protocolo.

• Segmentação de rede: isolar serviços críticos em segmentos separados (VLANs/sub‑redes) e aplicar regras entre zonas.

• Desabilitar protocolos inseguros: evitar Telnet, FTP sem TLS etc. Substituir por SSH/SFTP com autenticação forte.

• Autenticação forte e gerenciamento de chaves: usar autenticação por chave pública, MFA, rotacionar credenciais e evitar contas com senhas fracas.

• Patching e atualização: manter sistemas e serviços atualizados para reduzir janelas de exploração.

• Registro e análise de logs: centralizar logs (SIEM) para correlação e detecção de padrões anormais.

• IDS/IPS e detecção de anomalias: implantar sistemas que sinalizem varreduras, tentativas de exploit e DoS.

• Monitoramento de integridade e varredura periódica: escaneamentos internos regulares e varreduras de portas externas controladas.

• Rate limiting e syn‑cookies: limitar taxa de novas conexões e usar técnicas que evitam consumos de recursos por half‑open SYNs.

• CDN / serviços anti‑DDoS: para serviços públicos, usar proteção na borda que absorva picos de tráfego.

• Inventário de ativos: saber exatamente quais hosts e serviços expõem portas.

• Políticas de mudança e revisão de regras de firewall: revisar e auditar regras frequentemente.

• Backups e planos de recuperação: garantir recuperação no caso de comprometimento.

• Educação e processos: treinar equipe para reconhecer sinais de ataque e reagir rapidamente.

Manter-se atualizado com recomendações de entidades como CISA, fornecedores de firewall e blogs de segurança.

1. Executar um inventário de portas/serviços (scan autorizado).

2. Priorizar fechamento e correção de portas que exponham serviços críticos.

3. Implantar monitoramento e regras de firewall com retenção de logs.

4. Agendar testes de intrusão periódicos.

Fechamento de portas desnecessárias: desativar tudo o que não for essencial.

Regras de firewall: aplicar política de bloqueio por padrão e permitir somente o necessário.

Autenticação forte: usar MFA e senhas seguras.

Atualizações e patches: manter sistemas e aplicativos sempre atualizados.

Monitoramento contínuo: revisar logs e alertas diariamente.

Testes periódicos: realizar varreduras e pentests internos.

Proteção contra DDoS: adotar serviços de mitigação e controle de tráfego.

Auditoria e revisão: revisar regras e permissões mensalmente.

Treinamento da equipe: promover conscientização em segurança de rede.