Cibersegurança

Validação de integridade física do cabeamento estruturado durante pentests de rede interna: guia prático

Aprenda a validar a integridade física do cabeamento estruturado em pentests internos. Métodos, ferramentas e checklist para profissionais de cibersegurança.

O rack do CPD principal estava organizado, rotulado e com gestão de cabos impecável — até que o toner revelou um cabo Cat6a saindo de uma porta de acesso do switch de borda, atravessando o teto falso e terminando em uma faceplate no hall de recepção, fora de qualquer zona controlada. Ninguém da equipe de infraestrutura sabia da existência daquele link; ele não constava na documentação CMDB nem nos diagramas de rede. Durante o pentest interno, aquele cabo fantasma virou nosso pivô: conectamos um laptop, fizemos ARP spoofing no gateway da VLAN de servidores e escalamos privilégios em 22 minutos. A falha não estava no firewall, no Active Directory nem no endpoint — estava na camada física que ninguém validava.

Essa cena se repete em empresas de todos os portes. Pentests internos costumam focar em configurações de switch, segmentação de VLAN, credenciais e movimento lateral, mas a integridade do cabeamento estruturado costuma ficar fora do escopo. O problema: a camada física é a base de confiança de toda a rede. Um cabo mal terminado, uma porta exposta, um patch panel sem documentação ou um enlace de fibra acessível em área comum criam vetores que nenhum controle lógico mitiga sozinho. Validar o cabeamento durante o pentest não é “trabalho de infra” — é parte obrigatória da superfície de ataque.

Neste artigo, mostro um método prático para integrar a validação física do cabeamento estruturado ao seu fluxo de pentest interno, da preparação à entrega do relatório, com ferramentas, checklists e critérios de evidência que resistem a auditoria.

Preparação: escopo, autorização e inventário base

Antes de ligar qualquer equipamento, alinhe o escopo físico com o cliente. Peça a planta de cabeamento (as-built), a lista de IDs TIA/EIA-606, a localização de todos os racks, patch panels, pontos de consolidação (CP) e pontos de acesso (WA). Se a documentação não existir ou estiver desatualizada — o que é a regra, não a exceção —, sua primeira tarefa é construir o inventário físico mínimo: percorra cada rack, fotografe os patch panels, anote a numeração das portas de switch correspondentes e marque no mapa quais faceplates estão em áreas controladas versus áreas comuns. Esse levantamento vira seu “mapa de verdade” e evita que você teste cabos fantasmas ou deixe links críticos de fora.

A autorização formal deve cobrir testes ativos de certificação, que exigem desativar portas de switch. Negocie janelas de mudança ou use portas de manutenção (out-of-band) quando disponíveis. Combine com a equipe de infraestrutura um canal de comunicação em tempo real (Slack/Teams) para reativar portas imediatamente após o teste. Documente tudo no termo de escopo: quais IDs serão testados, quais ferramentas, janelas permitidas e procedimento de rollback.

Inspeção visual e rastreamento: o que os olhos veem antes do certificador

Comece pelo óbvio: inspeção visual em cada rack e faceplate. Procure conectores RJ45 com travas quebradas, cabos dobrados abaixo do raio mínimo de curvatura (4x o diâmetro externo para UTP), terminais expostos sem faceplate, patch cords de categoria inferior ao link permanente (ex.: Cat5e em link Cat6a), e identificação ausente ou ilegível. Em fibra, verifique se os conectores LC/SC têm tampas de proteção, se há curvaturas excessivas nos cordões de jumpers e se os painéis de distribuição (ODF) estão lacrados.

Em seguida, rastreie cada cabo com toner e probe. Conecte o toner na porta do patch panel (lado rack) e siga o sinal até a faceplate ou equipamento final. Confirme se a topologia física bate com a lógica: a porta 12 do patch panel A realmente vai para o ponto de rede ID-342 no 3º andar? Quantas vezes a resposta é “não”? Em um cliente recente, 17% dos links rastreados divergiam da documentação — cabos cruzados entre andares, pontos desativados ainda conectados no switch, e dois links indo para a mesma faceplate. Cada divergência é um achado de pentest: permite pivoting físico não mapeado, dificulta resposta a incidentes e viola princípios de menor privilégio na camada 1.

Certificação de cabos metálicos: além do "link acende"

Teste de continuidade (pinout, shorts, opens, reversals) é o mínimo. Para pentest, você precisa de certificação conforme TIA-568.2-D / ISO 11801: parâmetros de NEXT (diafonia próxima), PSNEXT, retorno de perda (RL), atenuação (inserção de perda), ACR-F e delay skew. Use um certificador de classe II (ex.: Fluke DSX-8000, VIAVI CertiFiber Pro) com adaptadores de canal permanente (PL) e canal completo (CL). Teste pelo menos 100% dos links que servem ativos críticos (servidores, storage, appliances de segurança) e amostragem estatística (mínimo 20%) dos links de usuários finais, priorizando áreas comuns e zonas compartilhadas.

Configure o certificador para o padrão exato do cabo instalado (Cat5e, Cat6, Cat6A). Um link Cat6A certificado apenas como Cat6 passa no teste, mas esconde margem zero para 10GBASE-T — e isso é um achado de risco médio se a rede roda 10G. Salve os relatórios nativos do certificador (.pdf/.csv) como evidência bruta; eles são aceitos em auditoria e mostram margem de passagem (headroom) por parâmetro. Correlação prática: se o switch reporta CRC errors ou symbol errors em uma porta, puxe o relatório de certificação daquele link. Em 80% dos casos, a causa raiz está no conector (punch-down mal feito, par trançado aberto no jack) ou no patch cord.

Validação de fibra óptica: OTDR e inspeção de extremidades

Para enlaces de fibra (multimodo OM3/OM4/OM5 ou monomodo OS2), a certificação de perda de inserção (IL) com source meter + power meter é o baseline. Mas para pentest, o OTDR (Optical Time Domain Reflectometer) é insubstituível: ele revela eventos não visíveis no IL — emendas mal feitas, macrobends em bandejas, conectores sujos ou riscados, e até taps ópticos passivos inseridos no enlace. Faça varredura bidirecional em 1310/1550 nm (monomodo) e 850/1300 nm (multimodo). Marque qualquer evento com reflexão > -45 dB ou perda pontual > 0,3 dB em conector / > 0,1 dB/km em cabo.

Inspecione todas as extremidades com microscópio de fibra (200x-400x) antes de conectar no OTDR ou no equipamento. Sujeira no ferrule é a causa #1 de falhas intermitentes e pode mascarar um tap. Use o padrão IEC 61300-3-35 para aceitação: zona core (0-25 µm) sem defeitos, zona cladding (25-115 µm) sem riscos, zona adesivo (115-135 µm) limpa. Fotografe cada extremidade (lado rack e lado faceplate/ODF) e anexe ao relatório. Um conector sujo em área não controlada é um vetor: permite que um atacante limpe, insira um splitter óptico passivo e reconecte sem alarme no link — o OTDR bidirecional pega, mas só se você rodar depois da intrusão.

Portas expostas, VLANs de quarentena e controles compensatórios

A validação física não para no cabo. Cada porta de switch acessível fisicamente é uma porta lógica potencial. Varrea todos os switches de acesso (edge) e identifique portas up em áreas não seguras: hall, salas de reunião, estações de trabalho vazias, pontos de AP wireless, câmeras IP, telefones VoIP. Para cada porta, verifique: está em VLAN de usuário? Tem port-security (sticky MAC, max 1-2)? Tem 802.1X? Tem BPDU guard / root guard? Está em VLAN de quarentena (shutdown ou guest VLAN) quando não autorizada?

Em um pentest recente, encontramos 23 portas up em VLAN corporativa no térreo de um prédio compartilhado — nenhuma com 802.1X, 12 sem port-security. Conectamos, fizemos DHCP, ARP scan e acessamos o servidor de arquivos em 4 minutos. A remediação não foi “configurar 802.1X” (projeto de 6 meses), mas “desabilitar portas não inventariadas hoje” e “colocar em VLAN de quarentena com captive portal amanhã”. Controles compensatórios rápidos reduzem a superfície enquanto o projeto estruturado avança. Para projetos que exigem implantação ou revalidação completa da infraestrutura, conte com um projeto de cabeamento estruturado em Sao Paulo que inclua testes de certificação e documentação as-built desde o dia zero.

Correlação camada 1 + camada 2/3: transformando achados físicos em risco de negócio

O valor do pentest está na narrativa de risco. Não entregue “cabo 342 falhou no NEXT”. Entregue: “Link ID-342 (servidor de banco de dados, VLAN 100) falha na certificação Cat6A com margem -2,1 dB no NEXT par 3-6. Switch reporta 1.450 CRC errors/hora na porta Gi1/0/12. Correlação: degradação física permite injeção de erros bit-level; atacante com acesso físico ao patch panel pode induzir retransmissões TCP, aumentar latência e viabilizar timing attacks no protocolo de replicação do banco. Risco: Alto. Remediação: reterminar jack lado rack e faceplate, recertificar, monitorar CRC por 48h.”

Use uma tabela de correlação no relatório:

ID Ponto Ativo/Local VLAN Falha Física Evidência Lógica Risco Ação Imediata
ID-342 DB-SRV-01 / Rack A 100 NEXT -2,1 dB (Cat6A) 1.450 CRC/h, 230 symbol errors Alto Reterminar + recertificar
ID-117 Hall recepção 99 (guest) Porta exposta, sem 802.1X DHCP lease ativo, ARP scan ok Crítico Shutdown + VLAN quarentena
FP-088 Fibra ODF-C / Bloco B Core Reflexão -38 dB no conector LC 0,8% packet loss em backup noturno Médio Limpar/inspecionar + OTDR bidirecional

Essa tabela fala a língua do CISO, do gerente de infra e do auditor. Ela transforma “cabo ruim” em “risco de indisponibilidade do ERP” ou “vetor de exfiltração”.

Entrega: evidências, priorização e remediação verificável

O relatório final deve conter: (1) inventário físico validado (planilha com ID, local, tipo, status), (2) relatórios brutos do certificador e OTDR, (3) fotos georreferenciadas de cada achado crítico, (4) tabela de correlação camada 1/2/3, (5) priorização por risco (Crítico/Alto/Médio/Baixo) com SLA sugerido de remediação, e (6) plano de reteste — o pentest não acaba na entrega; acaba quando o cliente prova que corrigiu e você valida novamente (amostragem ou 100% dos críticos).

Inclua recomendações de governança: adoção de TIA/EIA-606-C para administração de cabeamento, integração do CMDB com ferramenta de gestão de ativos de rede (ex.: NetBox, Nautobot), automação de port-security/802.1X via NAC, e testes de certificação anuais ou pós-qualquer obra civil no CPD ou áreas de passagem de cabo. A validação física deixa de ser evento de pentest e vira controle contínuo.

Validar a integridade do cabeamento estruturado durante o pentest interno expõe falhas que nenhum scanner de vulnerabilidade encontra. Um cabo fantasma no teto falso, uma porta aberta no hall, uma fibra suja no ODF — cada um é uma porta dos fundos na sua rede. Adicione a camada 1 ao seu escopo, use as ferramentas certas, documente com rigor de evidência forense e entregue risco de negócio, não apenas “cabo passou/falhou”. Sua próxima intrusão pode vir pelo teto — e agora você sabe como fechar essa porta.

Artigos relacionados:

Checklist prático

0 de 9 concluídos

Perguntas frequentes

Por que validar o cabeamento físico durante um pentest interno?

Falhas no cabeamento podem criar vetores de ataque físicos, como taps não autorizados ou portas expostas em áreas comuns. Validar a integridade garante que a camada física não comprometa os controles lógicos testados no pentest.

Quais ferramentas são essenciais para essa validação?

Um certificador de cabos (ex.: Fluke DSX), toners e probes para rastreamento, testadores de continuidade, OTDR para fibra óptica e uma câmera de inspeção de conectores. Um laptop com Wireshark ajuda a correlacionar perdas de pacote com problemas físicos.

Como documentar achados de cabeamento no relatório de pentest?

Registre o ID do ponto de rede, localização física, tipo de cabo, resultados de certificação (pass/fail), fotos de terminais expostos ou danificados e a correlação com vulnerabilidades lógicas exploradas. Use a norma TIA/EIA-606 para identificação.

Qual a diferença entre teste de continuidade e certificação de cabo?

Teste de continuidade apenas verifica se os condutores estão conectados ponta a ponta. Certificação valida parâmetros de desempenho (NEXT, retorno de perda, atenuação) conforme categorias Cat5e/6/6A, garantindo que o cabo suporte a taxa de dados nominal.

Posso testar cabeamento em produção sem janela de manutenção?

Testes passivos (inspeção visual, OTDR em fibra monomodo, rastreamento com toner) não impactam tráfego. Testes ativos de certificação exigem porta desativada; agende com a equipe de infraestrutura ou use janelas de mudança aprovadas.

Como o cabeamento afeta a superfície de ataque em redes internas?

Portas de switch expostas em áreas não seguras, cabos não rotulados que facilitam pivoting físico, e links de fibra acessíveis em CPDs compartilhados ampliam a superfície. A validação física reduz esses vetores antes que sejam explorados.