No CRA-PR, o servidor web institucional 10.20.30.15, localizado em uma DMZ, passou a registrar aumento incomum de requisições ao endpoint de autenticação da aplicação. Para subsidiar a análise inicial, a equipe de tecnologia coletou uma amostra do tráfego com uma ferramenta de captura de pacotes, em ponto de monitoramento posicionado entre o firewall e a DMZ. Considere a seguinte captura resumida:
| № | Horário | Origem | Destino | Protocolo | Método/Recurso | Código HTTP | Informação observada |
|---|---|---|---|---|---|---|---|
| 1 | 09:14:02.118 | 198.51.100.24 | 10.20.30.15 | HTTPS | POST /login | 401 | user=admin |
| 2 | 09:14:02.344 | 203.0.113.77 | 10.20.30.15 | HTTPS | POST /login | 401 | user=admin |
| 3 | 09:14:02.811 | 192.0.2.49 | 10.20.30.15 | HTTPS | POST /login | 401 | user=financeiro |
| 4 | 09:14:03.102 | 203.0.113.91 | 10.20.30.15 | HTTPS | POST /login | 403 | user=registro |
| 5 | 09:14:03.550 | 198.51.100.24 | 10.20.30.15 | HTTPS | POST /login | 401 | user=admin |
| 6 | 09:14:04.006 | 192.0.2.118 | 10.20.30.15 | HTTPS | POST /login | 401 | user=fiscalizacao |
| 7 | 09:14:04.487 | 203.0.113.77 | 10.20.30.15 | HTTPS | POST /login | 401 | user=financeiro |
| 8 | 09:14:05.030 | 198.51.100.210 | 10.20.30.15 | HTTPS | POST /login | 403 | user=registro |
| 9 | 09:14:05.604 | 192.0.2.49 | 10.20.30.15 | HTTPS | POST /login | 401 | user=admin |
| 10 | 09:14:06.125 | 203.0.113.91 | 10.20.30.15 | HTTPS | POST /login | 401 | user=fiscalizacao |
| 11 | 09:14:06.870 | 10.10.4.32 | 10.20.30.15 | HTTPS | GET /portal | 200 | sessão autenticada |
| 12 | 09:14:07.041 | 10.10.4.41 | 10.20.30.15 | HTTPS | GET /consulta | 200 | sessão autenticada |
Com base exclusivamente nos dados apresentados na captura resumida, trata-se da natureza mais compatível do evento observado:
