Tráfego broadcast excessivo em segmento Camada 2 (VLAN) é clássico "assassino silencioso" performance rede. Como broadcasts (FF:FF:FF:FF:FF:FF) devem ser processados por **todo** host CPU e switch ASIC, taxas descontroladas colapsam throughput e estabilidade.
Impactos Performance
- Tempestade Interrupção CPU: Todo host NIC interrompe CPU para *cada* frame broadcast. Em >1000 pps, CPU host dispara 100% (softirq/net_rx_action), congelando aplicações.
- Congestão Tecido Switch: Broadcasts inundam todas portas VLAN. Consome largura banda ingress/egress em *todo* link, famélico tráfego unicast (VoIP, Database, Storage).
- Thrashing Tabela CAM: Switch aprende MAC origem todo frame. Alta taxa broadcast de portas flapping churna tabela MAC, causando flooding unicast (unknown unicast flood).
- Instabilidade Spanning Tree (STP): Notificações Mudança Topologia (TCNs) disparadas por port flaps geram rajadas BPDUs + flush CAMs = mais flooding.
Riscos Segurança
- Broadcast Storm / DoS: Intencional (malware, load tester mal configurado) ou acidental (loop). Derruba domínio L2 inteiro em segundos.
- Man-in-the-Middle (MITM): Gratuitous ARP / ARP Spoofing broadcasts envenenam caches vizinhos. Atacante intercepta tráfego.
- Ataques Neighbor Discovery Protocol (NDP) (IPv6): Router Advertisement (RA) floods / Redirects. Mais difícil filtrar que ARP.
- Vazamento Informação: DHCP, mDNS, SSDP, LLMNR, NetBIOS, WS-Discovery broadcasts revelam hostnames, serviços, versões OS, nomes impressoras a qualquer sniffer (Wireshark/tcpdump) no segmento.
Causas Raiz Comuns
- Loops Camada 2: STP ausente/quebrado (PortFast sem BPDU Guard), switch/hub não autorizado daisy-chaining, loops bridge wireless.
- Protocolos Tagarelas / Misconfig:
- DHCP: Servidor rogue, lease times curtos (alta taxa renovação), broadcast flag forçado.
- IPTV/Multicast: IGMP Snooping desabilitado → Multicast tratado como Broadcast.
- NetBIOS/LLMNR: Resolução nome legado Windows (desative via GPO).
- mDNS/Bonjour: Tagarelice Apple/Impressoras/Chromecast (Rate limit / separação VLAN).
- Malware / Botnets: Conficker, WannaCry, variantes Mirai escaneiam via broadcast/multicast.
- NIC / Driver Ruim: NIC "jabbering" cuspindo frames malformados.
- Virtualização: Hyper-V / vSwitch / Linux Bridge misconfig flooding broadcast VM para todos vNICs.
Mitigação e Boas Práticas
1. Design Rede (Arquitetura)
- Domínios Broadcast Pequenos: VLANs /24 ou /25 max. Roteie no Core/Distribution (L3). Sem VLAN estendida access closets.
- Private VLANs (PVLAN): Isole host-a-host (portas Promiscuous/Isolated/Community). Para propagação lateral broadcast.
2. Features Switch (Data Plane)
- Storm Control (Supressão Broadcast): `storm-control broadcast level 1.00` (1% largura banda porta) ou `pps 500`. **Ação: Shutdown / Trap / Filter.** Aplique em *Portas Access*.
- BPDU Guard / Root Guard / Loop Guard: Desliga porta imediatamente em recebimento BPDU (porta access) ou detecção loop.
- Port Security: Limite MACs (max 2-3). Violação: Restrict/Shutdown. Para ferramentas MAC flooding.
- DHCP Snooping + DAI (Dynamic ARP Inspection) + IP Source Guard: Valida todo pacote ARP/DHCP contra binding table. **Essencial.**
- IGMP/MLD Snooping + Querier: Restringe multicast a portas interessadas apenas.
3. Monitoramento e Detecção
- SNMP/Telemetria: Monitore `ifInBroadcastPkts`, `ifOutBroadcastPkts`, `dot1dTpPortInFrames` (Bridge MIB).
- NetFlow / sFlow / IPFIX: Exporte para Collector (Kentik, SolarWinds, ElastiFlow, Grafana). Alerte em `broadcast_pps > threshold`.
- Port Mirroring (SPAN/RSPAN/ERSPAN) + Zeek / Suricata: Inspeção profunda pacote para payloads broadcast anômalos.
4. Hardening Host
- Desative NetBIOS over TCP/IP. Desative LLMNR (GPO). Desative mDNS/Bonjour se desnecessário (Avahi).
- Windows: `Set-NetIPv4Protocol -RandomizeIdentifiers Enabled` (Privacidade).
- Linux: `systemd-resolved` gerencia LLMNR/mDNS. `nftables` drop broadcast input `-i eth0 -d 255.255.255.255 counter drop`.
Implementando **Storm Control em toda porta access** + **DHCP Snooping/DAI** + **Routed Access (Sem L2 stretch)** elimina 99% tempestades broadcast antes começarem.
