ICMP.

O Internet Control Message Protocol faz parte integrante do IP e e definido pela RFC 792 para IPv4 e pela RFC 4443 para IPv6. Roteadores e hosts finais o utilizam para enviar mensagens de erro (destino inalcancavel, tempo excedido, fragmentacao necessaria) e consultas de diagnostico (echo request/reply, usadas pelo ping e pelo traceroute). O ICMP roda diretamente sobre IP com numero de protocolo 1 (ou 58 para ICMPv6) e nao usa portas.

E essencial para o Path MTU Discovery (RFC 1191) e para o Neighbor Discovery do IPv6, de modo que bloquear ICMP por completo costuma criar "buracos negros de PMTU" em que pacotes grandes desaparecem silenciosamente. Os abusos historicos estao bem documentados: o Smurf attack (aviso CERT CA-1998-01) falsificava o endereco da vitima como origem de echo requests enviados a um endereco de broadcast, amplificando a inundacao; o Ping of Death travava as pilhas TCP/IP do fim dos anos 1990 com pacotes echo remontados que ultrapassavam 65.535 bytes; e a ferramenta Loki (edicoes 49 e 51 da Phrack, 1996-97) foi pioneira no tunelamento ICMP, escondendo um shell oculto nas cargas uteis echo. As mensagens ICMP redirect tambem podem ser forjadas para envenenar a tabela de rotas de um host.

As defesas incluem limitar a taxa do ICMP em vez de descarta-lo, permitir os tipos 3 e 4 mais todas as mensagens obrigatorias de Neighbor Discovery do ICMPv6 (orientacoes da RFC 4890), ignorar os ICMP redirect em hosts reforcados e inspecionar as cargas uteis echo em solucoes NDR/EDR em busca de tunelamento.

flowchart LR
  A[Host: ping] -->|Echo Request type 8| R[Router]
  R --> B[Target host]
  B -->|Echo Reply type 0| A
  R -.->|Time Exceeded type 11| A
  R -.->|Dest Unreachable type 3| A
  X[Attacker] -.->|Forged Redirect type 5| A