MANRS

MANRS (acrônimo para Mutually Agreed Norms for Routing Security, em português: Normas Mutuamente Acordadas para Segurança de Roteamento) é uma iniciativa global liderada pela indústria de telecomunicações que estabelece um conjunto de ações técnicas e compromissos operacionais para fortalecer a resiliência e a segurança da infraestrutura de roteamento da Internet.

Lançada em novembro de 2014 por um grupo pioneiro de nove operadoras de rede com o apoio institucional e financeiro da Internet Society (ISOC), a iniciativa foi concebida para superar as vulnerabilidades estruturais do protocolo Border Gateway Protocol (BGP-4) — em especial o Sequestro de BGP (BGP hijacking), vazamentos de rotas (route leaks) e ataques distribuídos de negação de serviço (DDoS) amplificados por falsificação de endereços de origem (IP address spoofing).

Em janeiro de 2024, a governança operacional e a Secretaria Executiva da iniciativa foram formalmente transferidas para a Global Cyber Alliance (GCA), passando a ser gerida por um Comitê Gestor (Steering Committee) eleito pela própria comunidade de redes, mantendo a Internet Society como entidade fundadora e parceira estratégica.

Contexto e o problema da ação coletiva

O protocolo padrão que interliga os Sistemas Autônomos (ASNs) da Internet, o BGP, foi originalmente desenvolvido na década de 1980 sob um paradigma de confiança cega mútua entre os operadores, carecendo de mecanismos nativos de criptografia e validação de legitimidade de anúncios de caminhos.

A segurança do roteamento interdominial padece do chamado "problema da ação coletiva": o nível de segurança de qualquer rede individual na Internet não depende unicamente de suas próprias defesas, mas sim da postura e dos controles de filtragem adotados por todas as demais redes com as quais ela se conecta direta ou indiretamente na tabela global livre de rota padrão (DFZ). Um erro de digitação acidental em um filtro de prefixos (fat-finger error) ou a injeção deliberada de rotas falsas por uma operadora situada no outro lado do planeta pode propagar-se em poucos minutos por toda a malha global, desviando tráfego sigiloso ou causando a interrupção generalizada de serviços essenciais.

O MANRS foi criado para transformar recomendações técnicas históricas do IETF — historicamente dispersas em Melhores Práticas Vigentes (Best Current Practices - BCPs) de baixa adoção — em compromissos industriais mensuráveis e auditáveis pela comunidade.

As Quatro Ações do Programa de Operadores de Rede

O núcleo fundacional do MANRS é o Programa de Operadores de Rede (voltado para provedores de acesso à Internet, empresas de trânsito IP e redes corporativas autônomas). Para qualificar-se como participante, o operador deve comprovar a conformidade com quatro ações mandatórias:

Ação 1: Filtragem (Filtering)

  • Objetivo: Impedir a propagação de informações incorretas de roteamento para a Internet pública.
  • Mecanismo: O operador é obrigado a aplicar filtros rigorosos e automatizados de lista de prefixos (prefix-lists) em todas as sessões BGP estabelecidas com seus clientes e parceiros de interconexão direta (peers). Esses filtros devem ser gerados a partir de bases de dados abertas e autoritativas, impedindo que um cliente anuncie prefixos que não lhe pertencem legitimamente ou que atue como vetor de vazamento de rotas (conforme preconizado na RFC 7908 e na RFC 9234).

Ação 2: Prevenção de Falsificação (Anti-Spoofing)

  • Objetivo: Impedir que pacotes de dados contendo endereços IP de origem forjados saiam da rede do cliente ou ingressem no núcleo da operadora.
  • Mecanismo: Implementação obrigatória de filtragem de entrada de rede (network ingress filtering), em conformidade com o padrão internacional BCP 38 (RFC 2827) e BCP 84 (RFC 3704). O operador utiliza listas de controle de acesso (ACLs) estritas em portas de clientes ou ativa o mecanismo de Encaminhamento Unicast por Caminho Reverso (Unicast Reverse Path Forwarding - uRPF) — aplicando a modalidade estrita (uRPF Strict) em enlaces dedicados monoconectados ou a modalidade de caminho viável (Feasible Path / Loose uRPF) em ambientes com interconexão redundante (multihoming) para acomodar rotas assimétricas sem descarte falso-positivo de pacotes legítimos. Esse bloqueio erradica na origem o vetor essencial utilizado por invasores para disparar ataques volumétricos de negação de serviço (DDoS) baseados em reflexão e amplificação (como em ataques via DNS ou NTP).

Ação 3: Coordenação Operacional (Coordination)

  • Objetivo: Assegurar a existência de canais de contato técnico funcionais e atualizados para resolução rápida de incidentes e emergências globais de tráfego.
  • Mecanismo: O operador deve registrar e manter dados de contato atualizados (endereços de correio eletrônico de Centros de Operações de Rede - NOC, telefones de emergência e chaves criptográficas) nos diretórios públicos de registro da Internet (Whois do seu respectivo RIR, como Registro.br ou LACNIC) e na base cadastral global de interconexão PeeringDB.

Ação 4: Validação Global (Global Validation)

  • Objetivo: Publicar publicamente a documentação de roteamento para que outros operadores mundiais possam auditar e validar a legitimidade dos seus anúncios.
  • Mecanismo: Publicação de objetos de rota (route objects) válidos em registros abertos do Internet Routing Registry (IRR) e, primordialmente, criação de Autorizações de Origem de Rota (ROA) assinadas criptograficamente no sistema Resource Public Key Infrastructure (RPKI), viabilizando que roteadores em todo o planeta executem a Validação de Origem de Rota (ROV - RFC 6811) e descartem sumariamente tentativas de sequestro de seus blocos IP.

Programas setoriais especializados

Com a evolução e maturação da iniciativa, o MANRS ampliou seu escopo além das operadoras de telecomunicações tradicionais, criando módulos específicos adaptados a diferentes atores da infraestrutura digital:

Programa SetorialAno de CriaçãoPúblico-AlvoFoco das Ações Obrigatórias
Operadores de Rede2014Provedores de Acesso (ISPs), operadoras de trânsito IP e grandes corporações.As 4 ações fundamentais: Filtragem rígida de anúncios BGP de clientes, bloqueio de IP spoofing (BCP 38/uRPF), contatos no PeeringDB/Whois e publicação de ROAs RPKI.
Pontos de Troca de Tráfego (IXPs)2018Operadores de comutação pública de tráfego (como o IX.br e o DE-CIX).Filtragem mandatória em Servidores de Rotas (Route Servers - RFC 7947) com base em RPKI/IRR, proteção da malha de comutação de camada 2 contra pacotes não autorizados e disponibilização de ferramentas de diagnóstico como o Looking Glass.
Provedores de Nuvem e CDN2020Empresas de hiperescala e redes de distribuição de conteúdo (Google, Amazon Web Services, Cloudflare, Microsoft, Akamai, Netflix).Aplicação de filtragem rigorosa em peering bilateral em escala planetária, contenção de vazamentos de rotas em múltiplos backbones e validação estrita de rotas recebidas de provedores a montante.
Fabricantes de Equipamentos (Vendors)2021Fabricantes de roteadores e sistemas operacionais de rede (Cisco, Juniper Networks, Huawei, Arista Networks, Nokia).Fornecimento de configurações de fábrica seguras por padrão (secure defaults), suporte nativo aprimorado a uRPF, facilidade de implementação de validação RPKI e telemetria de conformidade nos equipamentos.

O Observatório MANRS

Lançado oficialmente em agosto de 2019, o Observatório MANRS (MANRS Observatory) é uma plataforma pública de monitoramento e telemetria contínua que avalia em tempo real o nível de conformidade de Sistemas Autônomos de todo o mundo em relação às ações de segurança.

O observatório agrega dados provenientes de múltiplas redes de sensores e coletores globais:

Com base nessas métricas, a ferramenta gera um "Índice de Prontidão" (Readiness Score) individualizado para cada operadora e produz relatórios estatísticos periódicos sobre o estado global de saúde e resiliência da infraestrutura de roteamento da Internet.

Evoluções tecnológicas e integração com ASPA

Para mitigar as limitações remanescentes da validação de origem de rota convencional — que assegura a legitimidade do ASN originador, mas não impede a falsificação de saltos intermediários no atributo AS_PATH (como em sequestros de caminho ou vazamentos acidentais) —, a comunidade técnica do MANRS e os grupos de trabalho do IETF (SIDROPS) estudam a incorporação da Autenticação de Provedor de Sistema Autônomo (Autonomous System Provider Authorization - ASPA), protocolo que valida criptograficamente as cadeias de conectividade cliente-provedor ao longo de todo o percurso da rede.

O ecossistema no Brasil e na América Latina

O Brasil possui uma posição de destaque na adoção prática e na disseminação das diretrizes do MANRS na América Latina, reflexo da densidade de seu ecossistema de internet (segundo país em volume de Sistemas Autônomos no mundo, com mais de 9.100 ASNs ativos):

Centenas de Sistemas Autônomos de telecomunicações e operadoras privadas brasileiras figuram como membros credenciados no programa global do MANRS, conferindo ao país altos índices de conformidade de roteamento na América Latina.

Ver também

Referências

  1. 1 2 3 4 5 «Mutually Agreed Norms for Routing Security». MANRS Community. Consultado em 30 de outubro de 2026. Cópia arquivada em 15 de outubro de 2026
  2. 1 2 3 James F. Kurose; Keith W. Ross (2021). Redes de Computadores e a Internet: Uma Abordagem Top-Down 8ª ed. [S.l.]: Pearson. pp. 350–355. ISBN 978-6550110055
  3. ↑ «Global Cyber Alliance to House MANRS Secretariat». Global Cyber Alliance. 16 de janeiro de 2024. Consultado em 30 de outubro de 2026
  4. ↑ K. Sriram; D. Montgomery; D. McPherson; E. Osterweil; B. Dickson (junho de 2016). «RFC 7908: Problem Definition and Classification of BGP Route Leaks». IETF. Consultado em 30 de outubro de 2026. Cópia arquivada em 14 de novembro de 2025
  5. ↑ Andrew S. Tanenbaum; David J. Wetherall (2011). Redes de Computadores 5ª ed. [S.l.]: Pearson. pp. 322–326. ISBN 978-8576059240
  6. ↑ A. Azimov; E. Bogomazov; R. Bush; K. Patel; K. Sriram (maio de 2022). «RFC 9234: Route Leak Prevention and Detection Using Roles in UPDATE and OPEN Messages». IETF. Consultado em 30 de outubro de 2026. Cópia arquivada em 7 de janeiro de 2026
  7. ↑ P. Ferguson; D. Senie (maio de 2000). «RFC 2827: Network Ingress Filtering: Defeating Denial of Service Attacks which employ IP Source Address Spoofing». IETF. Consultado em 30 de outubro de 2026. Cópia arquivada em 20 de outubro de 2026
  8. ↑ F. Baker; P. Savola (março de 2004). «RFC 3704: Ingress Filtering for Multihomed Networks». IETF. Consultado em 30 de outubro de 2026. Cópia arquivada em 28 de setembro de 2026
  9. ↑ CERT.br. «Recomendações para Evitar o Uso Abusivo de Servidores DNS Recursivos Abertos». CERT.br / NIC.br. Consultado em 30 de outubro de 2026. Cópia arquivada em 28 de maio de 2025
  10. ↑ M. Lepinski; S. Kent (fevereiro de 2012). «RFC 6480: An Infrastructure to Support Secure Internet Routing». IETF. Consultado em 30 de outubro de 2026. Cópia arquivada em 4 de outubro de 2026
  11. ↑ E. Jasinska; N. Hilliard; R. Raszuk; N. Bakker (setembro de 2016). «RFC 7947: Internet Exchange BGP Route Server». IETF. Consultado em 30 de outubro de 2026. Cópia arquivada em 7 de janeiro de 2026
  12. 1 2 «Boas Práticas para a Internet no Brasil». NIC.br / CGI.br. Consultado em 30 de outubro de 2026. Cópia arquivada em 19 de outubro de 2026
  13. ↑ «PoP-SC/RNP ingressa na iniciativa MANRS». Rede Nacional de Ensino e Pesquisa (RNP). 14 de outubro de 2020. Consultado em 30 de outubro de 2026

Ligações externas