--- id: CP-228 slug: segmentacao-rede-vlan-microssegmentacao lang: pt title: Segmentação de rede e VLAN contra ransomware description: Dividir a rede em zonas (VLAN, firewalls internas, microssegmentação) limita o ransomware. O que o colaborador faz para que isso resulte. canonical_url: https://startbrain.io/cyberpedia/pt/articles/segmentacao-rede-vlan-microssegmentacao/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/segmentacao-rede-vlan-microssegmentacao.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Segmentação de rede e VLAN contra ransomware», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/segmentacao-rede-vlan-microssegmentacao/ (CC BY 4.0) wing: 3 theme: browse_safely reflex: cr-079 schema: G3 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/segmentacao-rede-vlan-microssegmentacao/ fr: https://startbrain.io/cyberpedia/fr/articles/segmentation-reseau-vlan-micro-segmentation/ en: https://startbrain.io/cyberpedia/en/articles/network-segmentation-vlan-micro-segmentation/ de: https://startbrain.io/cyberpedia/de/articles/netzwerksegmentierung-vlan-mikrosegmentierung/ es: https://startbrain.io/cyberpedia/es/articles/segmentacion-red-vlan-microsegmentacion/ it: https://startbrain.io/cyberpedia/it/articles/segmentazione-rete-vlan-microsegmentazione/ nl: https://startbrain.io/cyberpedia/nl/articles/netwerksegmentatie-vlan-microsegmentatie/ sources: - "n": 1 title: Data Encrypted for Impact, Technique T1486 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1486/ accessed: "2026-11-03" - "n": 2 title: "#StopRansomware Guide | CISA" publisher: CISA url: https://www.cisa.gov/stopransomware/ransomware-guide accessed: "2026-11-03" - "n": 3 title: Network Segmentation, Mitigation M1030 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1030/ accessed: "2026-11-03" - "n": 4 title: Zero trust architecture design principles publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles accessed: "2026-11-03" - "n": 5 title: SP 800-207, Zero Trust Architecture | CSRC publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/207/final accessed: "2026-11-03" - "n": 6 title: Remote Services, Technique T1021 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1021/ accessed: "2026-11-03" - "n": 7 title: "Remote Services: SMB/Windows Admin Shares, Sub-technique T1021.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1021/002/ accessed: "2026-11-03" - "n": 8 title: Exploitation of Remote Services, Technique T1210 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1210/ accessed: "2026-11-03" - "n": 9 title: Lateral Tool Transfer, Technique T1570 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1570/ accessed: "2026-11-03" --- # Segmentação de rede e VLAN contra ransomware Um ransomware raramente se fica pelo primeiro computador atingido. Segundo o MITRE ATT&CK, um software de cifragem pode propagar-se numa rede, à semelhança de um worm, para cifrar os dados de um grande número de máquinas e maximizar os danos [1]. Dividir a rede em zonas estanques é uma das respostas a este risco. Esta ficha explica o que significam os termos VLAN, firewall interna e microssegmentação, o que o colaborador pode fazer para que esta divisão resulte e as armadilhas que a tornam ineficaz. ## Em 30 segundos - Onde acontece: na rede interna da empresa, depois de um posto de trabalho ou de uma conta ser comprometido. - O que pretende o atacante: passar de uma máquina para outras, para cifrar o máximo de dados possível [1]. - Se já aconteceu: avise de imediato o IT ou a segurança, que isola o posto; se lhe pedirem, desligue o cabo ou desative o Wi-Fi [2]. - O reflexo: não ligue nenhum dispositivo ou suporte não autorizado, use a rede prevista para a sua utilização e comunique depressa um posto que se comporte de forma estranha, para que seja isolado. ## Perguntas diretas ### O que é a segmentação de rede? É a divisão de uma rede em segmentos mais pequenos e isolados, para controlar o tráfego entre dispositivos, sistemas e aplicações. O MITRE ATT&CK indica que isso reduz a superfície de ataque, trava as deslocações do atacante e protege os ativos críticos [3]. ### O que são uma VLAN e uma firewall interna? O MITRE ATT&CK descreve uma separação feita de fronteiras físicas, de separação lógica por VLAN e de regras de acesso aplicadas por equipamentos como firewalls e routers [3]. Uma VLAN é, assim, uma separação lógica, e a firewall interna controla o que passa de um segmento para outro. ### E a microssegmentação? É o mesmo princípio à escala de cada carga de trabalho. O MITRE ATT&CK recomenda ferramentas de rede definida por software para segmentar a esse nível e impedir o movimento lateral [3]. ### Porque é que um colaborador é afetado? Porque a segmentação pode ser contornada por um erro de utilizador. A CISA precisa que pode tornar-se ineficaz quando as regras da organização não são respeitadas, por exemplo ao ligar um suporte amovível ou outros dispositivos a vários segmentos [2]. ## Como funciona O princípio é agrupar os sistemas em função da sua utilidade, sensibilidade e risco. O MITRE ATT&CK dá como exemplo os sistemas de pagamento, as bases de dados de RH, os sistemas de produção e os servidores expostos à Internet [3]. Os servidores web, DNS e de correio eletrónico acessíveis do exterior são colocados numa zona desmilitarizada (DMZ), com regras estritas de filtragem em direção à rede interna [3]. As regras seguem uma lógica de recusa por defeito: listas de controlo de acesso nos equipamentos de rede e firewalls que limitam tanto o tráfego entre o exterior e o interior como o tráfego entre máquinas internas [3]. O MITRE ATT&CK recomenda também separar as redes Wi-Fi e por cabo, nomeadamente quando a rede por cabo dá acesso a recursos sensíveis [3]. A CISA recomenda separar os serviços ou departamentos da organização e manter uma separação entre a informática convencional e os sistemas industriais. O seu guia apresenta um esquema de rede «plana» (não segmentada) e um esquema de rede segmentada [2]. O NCSC britânico vai mais longe com o «zero trust»: a confiança inerente à rede é retirada, a rede é considerada hostil e cada pedido é verificado de acordo com uma política de acesso [4]. Para o NIST, esta abordagem desloca a defesa dos perímetros estáticos para os utilizadores, os ativos e os recursos [5]. O NIST afirma que o zero trust protege recursos, e não segmentos de rede [5]. ## O que faz - Não ligue dispositivos não autorizados, nem a uma tomada de rede nem a um posto de trabalho. A CISA cita a ligação de suportes amovíveis ou de dispositivos a vários segmentos como causa de falha da segmentação [2]. - Use a rede prevista para a sua utilização. O MITRE ATT&CK recomenda separar os ambientes Wi-Fi e por cabo quando este último dá acesso a recursos sensíveis [3]. - Comunique depressa um posto suspeito ao IT ou à segurança, que isola os sistemas afetados de forma coordenada. Se lhe pedirem, desligue o cabo de rede ou desative o Wi-Fi: a CISA apresenta a desligação dos dispositivos como alternativa quando não é possível pô-los de imediato fora da rede [2]. - Não desligue o equipamento por iniciativa própria, sem instruções. A CISA indica que cortar a alimentação faz perder vestígios na memória e só se faz se não houver outra forma de desligar da rede [2]. ## As armadilhas A rede plana. Quando tudo comunica com tudo, um único posto comprometido abre o acesso ao resto. O MITRE ATT&CK assinala que, com credenciais de domínio válidas, um atacante pode ligar-se a muitas máquinas através de protocolos de acesso remoto como SSH ou RDP [6]. Uma VLAN sem filtragem. Separar não basta se nada controla a passagem. O MITRE ATT&CK pede regras de firewall que bloqueiem o tráfego RDP entre zonas de segurança e a recusa por defeito nas listas de controlo de acesso [3]. Recomenda também rever as regras com regularidade, monitorizar os fluxos e testar a segmentação com testes de intrusão periódicos [3]. Regras demasiado amplas. O MITRE ATT&CK recomenda autorizar apenas as portas e o tráfego necessários [3]. Uma regra que deixa passar tudo retira o interesse da zona. Uma administração não compartimentada. As partilhas administrativas ocultas do Windows (C$, ADMIN$, IPC$) permitem a cópia remota de ficheiros e outras funções de administração, e um atacante pode usá-las com uma conta de administrador válida [7]. Para o WinRM, o MITRE ATT&CK aconselha isolar os enclaves críticos com uma infraestrutura separada e restringir o acesso a dispositivos específicos [3]. Servidores vulneráveis acessíveis de qualquer lado. Existem falhas conhecidas em serviços comuns como SMB e RDP, bem como em aplicações internas como o MySQL [8]. O MITRE ATT&CK recomenda segmentar para reduzir o acesso aos sistemas críticos a métodos controlados [3]. Cópias de ferramentas de uma máquina para outra. Um atacante pode copiar ficheiros entre sistemas internos com protocolos de partilha como SMB ou uma ligação RDP autenticada [9]. ## Casos reais ### 2016: ataque contra a rede elétrica ucraniana Segundo o MITRE ATT&CK, no ataque de 2016 contra a rede elétrica ucraniana, o grupo Sandworm Team usou o comando net use para se ligar a partilhas de rede [7]. As fontes aqui citadas não detalham mais este episódio. ### Campanha «Nearest Neighbor» do APT28 O MITRE ATT&CK indica que, durante a campanha «Nearest Neighbor», o APT28 usou SMB para transferir ficheiros e se deslocar lateralmente [7]. As fontes aqui citadas não dão data para esta campanha. ## Fontes 1. MITRE ATT&CK, «Data Encrypted for Impact, Technique T1486 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1486/ (consultado em 3 de novembro de 2026) 2. CISA, «#StopRansomware Guide | CISA». https://www.cisa.gov/stopransomware/ransomware-guide (consultado em 3 de novembro de 2026) 3. MITRE ATT&CK, «Network Segmentation, Mitigation M1030 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1030/ (consultado em 3 de novembro de 2026) 4. NCSC (Royaume-Uni), «Zero trust architecture design principles». https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles (consultado em 3 de novembro de 2026) 5. NIST, «SP 800-207, Zero Trust Architecture | CSRC». https://csrc.nist.gov/pubs/sp/800/207/final (consultado em 3 de novembro de 2026) 6. MITRE ATT&CK, «Remote Services, Technique T1021 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1021/ (consultado em 3 de novembro de 2026) 7. MITRE ATT&CK, «Remote Services: SMB/Windows Admin Shares, Sub-technique T1021.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1021/002/ (consultado em 3 de novembro de 2026) 8. MITRE ATT&CK, «Exploitation of Remote Services, Technique T1210 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1210/ (consultado em 3 de novembro de 2026) 9. MITRE ATT&CK, «Lateral Tool Transfer, Technique T1570 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1570/ (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/segmentacao-rede-vlan-microssegmentacao/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.