Cyberpediapor Brain
PTDEENESFRITNL

Segmentação de rede e VLAN contra ransomware

Dividir a rede em zonas (VLAN, firewalls internas, microssegmentação) limita o ransomware. O que o colaborador faz para que isso resulte.

Em 30 segundos

Onde acontece
Na rede interna da empresa, depois de um posto de trabalho ou de uma conta ser comprometido.
O que pretende o atacante
Passar de uma máquina para outras, para cifrar o máximo de dados possível1.
Se já aconteceu
Avise de imediato o IT ou a segurança, que isola o posto; se lhe pedirem, desligue o cabo ou desative o Wi-Fi2.
O reflexo
Não ligue nenhum dispositivo ou suporte não autorizado, use a rede prevista para a sua utilização e comunique depressa um posto que se comporte de forma estranha, para que seja isolado.

Do que se trata

Um ransomware raramente se fica pelo primeiro computador atingido. Segundo o MITRE ATT&CK, um software de cifragem pode propagar-se numa rede, à semelhança de um worm, para cifrar os dados de um grande número de máquinas e maximizar os danos1. Dividir a rede em zonas estanques é uma das respostas a este risco.

Esta ficha explica o que significam os termos VLAN, firewall interna e microssegmentação, o que o colaborador pode fazer para que esta divisão resulte e as armadilhas que a tornam ineficaz.

Perguntas diretas

O que é a segmentação de rede?

É a divisão de uma rede em segmentos mais pequenos e isolados, para controlar o tráfego entre dispositivos, sistemas e aplicações. O MITRE ATT&CK indica que isso reduz a superfície de ataque, trava as deslocações do atacante e protege os ativos críticos3.

O que são uma VLAN e uma firewall interna?

O MITRE ATT&CK descreve uma separação feita de fronteiras físicas, de separação lógica por VLAN e de regras de acesso aplicadas por equipamentos como firewalls e routers3. Uma VLAN é, assim, uma separação lógica, e a firewall interna controla o que passa de um segmento para outro.

E a microssegmentação?

É o mesmo princípio à escala de cada carga de trabalho. O MITRE ATT&CK recomenda ferramentas de rede definida por software para segmentar a esse nível e impedir o movimento lateral3.

Porque é que um colaborador é afetado?

Porque a segmentação pode ser contornada por um erro de utilizador. A CISA precisa que pode tornar-se ineficaz quando as regras da organização não são respeitadas, por exemplo ao ligar um suporte amovível ou outros dispositivos a vários segmentos2.

1Como funciona2 min

O princípio é agrupar os sistemas em função da sua utilidade, sensibilidade e risco. O MITRE ATT&CK dá como exemplo os sistemas de pagamento, as bases de dados de RH, os sistemas de produção e os servidores expostos à Internet3. Os servidores web, DNS e de correio eletrónico acessíveis do exterior são colocados numa zona desmilitarizada (DMZ), com regras estritas de filtragem em direção à rede interna3.

As regras seguem uma lógica de recusa por defeito: listas de controlo de acesso nos equipamentos de rede e firewalls que limitam tanto o tráfego entre o exterior e o interior como o tráfego entre máquinas internas3. O MITRE ATT&CK recomenda também separar as redes Wi-Fi e por cabo, nomeadamente quando a rede por cabo dá acesso a recursos sensíveis3.

A CISA recomenda separar os serviços ou departamentos da organização e manter uma separação entre a informática convencional e os sistemas industriais. O seu guia apresenta um esquema de rede «plana» (não segmentada) e um esquema de rede segmentada2.

O NCSC britânico vai mais longe com o «zero trust»: a confiança inerente à rede é retirada, a rede é considerada hostil e cada pedido é verificado de acordo com uma política de acesso4. Para o NIST, esta abordagem desloca a defesa dos perímetros estáticos para os utilizadores, os ativos e os recursos5. O NIST afirma que o zero trust protege recursos, e não segmentos de rede5.

2O que faz1 min
  • Não ligue dispositivos não autorizados, nem a uma tomada de rede nem a um posto de trabalho. A CISA cita a ligação de suportes amovíveis ou de dispositivos a vários segmentos como causa de falha da segmentação2.
  • Use a rede prevista para a sua utilização. O MITRE ATT&CK recomenda separar os ambientes Wi-Fi e por cabo quando este último dá acesso a recursos sensíveis3.
  • Comunique depressa um posto suspeito ao IT ou à segurança, que isola os sistemas afetados de forma coordenada. Se lhe pedirem, desligue o cabo de rede ou desative o Wi-Fi: a CISA apresenta a desligação dos dispositivos como alternativa quando não é possível pô-los de imediato fora da rede2.
  • Não desligue o equipamento por iniciativa própria, sem instruções. A CISA indica que cortar a alimentação faz perder vestígios na memória e só se faz se não houver outra forma de desligar da rede2.
3As armadilhas2 min

A rede plana. Quando tudo comunica com tudo, um único posto comprometido abre o acesso ao resto. O MITRE ATT&CK assinala que, com credenciais de domínio válidas, um atacante pode ligar-se a muitas máquinas através de protocolos de acesso remoto como SSH ou RDP6.

Uma VLAN sem filtragem. Separar não basta se nada controla a passagem. O MITRE ATT&CK pede regras de firewall que bloqueiem o tráfego RDP entre zonas de segurança e a recusa por defeito nas listas de controlo de acesso3. Recomenda também rever as regras com regularidade, monitorizar os fluxos e testar a segmentação com testes de intrusão periódicos3.

Regras demasiado amplas. O MITRE ATT&CK recomenda autorizar apenas as portas e o tráfego necessários3. Uma regra que deixa passar tudo retira o interesse da zona.

Uma administração não compartimentada. As partilhas administrativas ocultas do Windows (C$, ADMIN$, IPC$) permitem a cópia remota de ficheiros e outras funções de administração, e um atacante pode usá-las com uma conta de administrador válida7. Para o WinRM, o MITRE ATT&CK aconselha isolar os enclaves críticos com uma infraestrutura separada e restringir o acesso a dispositivos específicos3.

Servidores vulneráveis acessíveis de qualquer lado. Existem falhas conhecidas em serviços comuns como SMB e RDP, bem como em aplicações internas como o MySQL8. O MITRE ATT&CK recomenda segmentar para reduzir o acesso aos sistemas críticos a métodos controlados3.

Cópias de ferramentas de uma máquina para outra. Um atacante pode copiar ficheiros entre sistemas internos com protocolos de partilha como SMB ou uma ligação RDP autenticada9.

4Casos reais1 min

2016: ataque contra a rede elétrica ucraniana

Segundo o MITRE ATT&CK, no ataque de 2016 contra a rede elétrica ucraniana, o grupo Sandworm Team usou o comando net use para se ligar a partilhas de rede7. As fontes aqui citadas não detalham mais este episódio.

Campanha «Nearest Neighbor» do APT28

O MITRE ATT&CK indica que, durante a campanha «Nearest Neighbor», o APT28 usou SMB para transferir ficheiros e se deslocar lateralmente7. As fontes aqui citadas não dão data para esta campanha.

Ficha

Identificador
CP-228
Ala
3. Protocolos e defesa
Competência Brain
Navegar em segurança (browse_safely)
Reflexo Brain
cr-079
Esquema
G3 · Corte anatómico
Idiomas
de, en, es, fr, it, nl, pt
Fontes
9 fontes verificadas em 3 de novembro de 2026
Fontes9 fontes
  1. MITRE ATT&CK, «Data Encrypted for Impact, Technique T1486 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1486/ (consultado em 3 de novembro de 2026)
  2. CISA, «#StopRansomware Guide | CISA». https://www.cisa.gov/stopransomware/ransomware-guide (consultado em 3 de novembro de 2026)
  3. MITRE ATT&CK, «Network Segmentation, Mitigation M1030 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1030/ (consultado em 3 de novembro de 2026)
  4. NCSC (Royaume-Uni), «Zero trust architecture design principles». https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles (consultado em 3 de novembro de 2026)
  5. NIST, «SP 800-207, Zero Trust Architecture | CSRC». https://csrc.nist.gov/pubs/sp/800/207/final (consultado em 3 de novembro de 2026)
  6. MITRE ATT&CK, «Remote Services, Technique T1021 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1021/ (consultado em 3 de novembro de 2026)
  7. MITRE ATT&CK, «Remote Services: SMB/Windows Admin Shares, Sub-technique T1021.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1021/002/ (consultado em 3 de novembro de 2026)
  8. MITRE ATT&CK, «Exploitation of Remote Services, Technique T1210 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1210/ (consultado em 3 de novembro de 2026)
  9. MITRE ATT&CK, «Lateral Tool Transfer, Technique T1570 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1570/ (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «Segmentação de rede e VLAN contra ransomware», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/segmentacao-rede-vlan-microssegmentacao/

BibTeX 
@misc{brain_cp228_pt_2026,
  author = {Brain},
  title = {Segmentação de rede e VLAN contra ransomware},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/segmentacao-rede-vlan-microssegmentacao/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0