Quando o ataque cabe em 0,01% dos pacotes: entropia de fluxos IP na era do tráfego cifrado

01A mediana é pequena. A cauda é gigante.

Existe uma distorção conhecida na forma como se fala de ataques de rede. As manchetes registram os recordes, e os recordes são de fato impressionantes: no primeiro semestre de 2026, a Cloudflare relatou ter mitigado 935 ataques de camada de rede acima de 1 Tbps, com uma alta de 519% entre o primeiro e o segundo trimestre^[10].

O mesmo relatório traz o número que quase ninguém cita. Nesse período, 96,62% dos ataques de camada de rede ficaram abaixo de 500 Mbps e 90,60% terminaram em menos de dez minutos^[10]. A distribuição é bimodal de forma agressiva: uma cauda que dobra a infraestrutura de um provedor e uma massa central que nem sequer aparece nos gráficos de utilização de link.

Essa massa central é o problema difícil. Um detector calibrado pela cauda passa por cima dela sem registrar nada. Um detector calibrado por ela dispara alarmes sem parar quando a cauda chega. Portanto, o que se pede de um sistema de detecção não é sensibilidade, e sim sensibilidade ajustável, um ponto ao qual esta série volta na Parte 4.

Vale notar que a mediana pequena não é sinônimo de evento inofensivo. Uma varredura de portas não derruba nada por si só, contudo costuma ser o primeiro movimento de quem procura uma vulnerabilidade para explorar^[12]. O evento barato de gerar é justamente o que antecede o caro.

02O que a cifra deixou visível

A inspeção profunda de pacotes, que examina o conteúdo transportado, perdeu terreno de forma irreversível. Com o TLS 1.3^[8] e com o QUIC^[9], não apenas a carga útil, mas também boa parte dos metadados de sessão que antes ficavam em claro passaram a viajar cifrados por padrão.

Todavia, existe uma camada que a criptografia não apaga, porque ela é a condição de funcionamento da própria rede. Roteadores e comutadores precisam saber para onde encaminhar cada pacote, e por isso agrupam o tráfego em fluxos e exportam esses registros por protocolos como o IPFIX^[7].

A cifra protege o que foi dito. Ela não esconde quem falou com quem, quando, com que frequência, em que volume e por quanto tempo. Um registro de fluxo carrega endereço de origem e destino, portas, protocolo, contagem de pacotes, de bytes e de fluxos, além das marcas de tempo. Nada disso depende de ler um único byte de conteúdo.

Convém ser honesto quanto ao alcance dessa escolha. Um sistema que observa apenas metadados de fluxo não detecta vírus, cavalos de Troia, estouros de buffer ou escaladas de privilégio, precisamente porque essas evidências vivem no conteúdo^[1]. O escopo é mais restrito, embora seja um escopo que continua acessível quando todo o resto se fecha.

03Entropia, em termos simples

Entropia é uma medida que os físicos criaram para quantificar desordem e que a teoria da informação adotou para medir incerteza^[2]. Na análise de tráfego, ela ganha uma leitura mais direta: entropia mede o quanto uma propriedade do tráfego está concentrada ou dispersa.

Dada uma distribuição de probabilidades p₁, p₂, …, p_n, a entropia de Shannon é definida como:

H_S = −∑ p_i log p_i

O valor é mínimo quando quase toda a probabilidade se acumula em um único ponto, e máximo quando ela se espalha por igual entre muitos pontos. Aplicada a portas de destino, por exemplo, a medida separa um servidor web sadio, no qual quase tudo chega à porta 443, de um alvo sob varredura, no qual dezenas de milhares de portas aparecem uma vez cada.

04Concentração e dispersão são a assinatura do evento

O ponto que torna a entropia interessante não é detectar que algo mudou. É que a direção da mudança, propriedade por propriedade, descreve o tipo de evento.

Uma inundação TCP contra um servidor concentra o endereço de destino, a porta de destino, a contagem de pacotes e a de fluxos, ao mesmo tempo em que dispersa a porta de origem, já que a ferramenta de ataque sorteia portas altas a cada conexão. Uma varredura de rede faz o oposto quase na íntegra, dispersando endereços e contagens com pacotes minúsculos.

Em ^[1], essa leitura foi formalizada como uma assinatura textual, na qual cada posição corresponde a uma propriedade de fluxo rotulada como concentrada (C), dispersa (D) ou normal (N). O ataque distribuído real registrado no estudo produziu TCCDCCCC, o evento de alpha flow produziu TCCCCCDC e a varredura de rede produziu IDDDDD.

São, na prática, impressões digitais. Duas anomalias que causam perturbações de magnitude completamente diferente ficam distinguíveis pela forma, e não pelo tamanho.

05Por que medir a rede inteira não é suficiente

A aplicação clássica da entropia em detecção de anomalias trabalha no nível da rede^[3][4]. Calcula-se uma distribuição única, agregando todo o tráfego observado no intervalo, e verifica-se o desvio dessa distribuição em relação ao comportamento habitual.

O modelo funciona bem enquanto existe um evento por vez. Quando vários acontecem simultaneamente, entretanto, aparece um efeito de dominância: o ataque que move gigabytes reescreve a distribuição agregada, e o evento discreto some dentro dela^[4].

Os números do experimento com varredura de rede em ^[1] mostram a escala do problema. O dispositivo varredor sondou 254 destinos e respondeu, em média, por 0,01% dos pacotes, 0,001% dos bytes e 0,15% dos fluxos do intervalo. O evento estava no tráfego. Ele apenas não estava na média.

No mesmo estudo, quando quatro anomalias distintas foram reunidas em um único conjunto de dados, a entropia de Shannon aplicada no nível da rede identificou apenas uma das quatro^[1]. Não se trata de defeito de implementação, e sim de uma consequência direta de agregar antes de medir.

A saída proposta foi mudar a unidade de observação. Em vez de uma distribuição para a rede, calcula-se a entropia sobre os fluxos trocados entre cada par de dispositivos, o que exige representar a rede como um grafo dirigido e inspecionar cada aresta. Essa é a inspeção profunda de fluxo IP, tema da Parte 3.

A segunda decisão foi trocar a entropia de Shannon pela entropia de Tsallis^[6], cuja generalização introduz um parâmetro entrópico q que controla o peso das probabilidades altas e baixas no resultado^[5]. Esse parâmetro é o botão de sensibilidade citado na Seção 1, e a Parte 4 mostra o que ele custa e o que ele entrega.

06O que vem nas próximas nove partes

A série percorre o caminho completo, do registro bruto de fluxo até a operação autônoma, sempre confrontando o desenho original com o cenário atual.

1. Fluxos IP como fonte de dados. NetFlow, IPFIX e o que se perde ao abrir mão do conteúdo.
2. A rede como grafo. Inspeção profunda de fluxo e a mudança da unidade de observação para o dispositivo.
3. O parâmetro entrópico q. Sintonizar o detector entre a cauda e a mediana.
4. Limiares adaptativos. Por que percentis substituíram média e desvio padrão.
5. Assinaturas e classificação por regras. Da detecção ao diagnóstico do tipo de evento.
6. Anomalias simultâneas. O caso em que o detector precisa ver mais de uma coisa ao mesmo tempo.
7. Amostragem de pacotes. O custo de enxergar 1 pacote em 2048.
8. Localizar origem e destino. Heurísticas para fluxos bidirecionais sem marca de iniciador.
9. Da detecção à autonomia. Métricas, indicadores de desempenho e o laço de controle autonômico.