EDNS0 como Vetor Adversarial: Lacunas de Visibilidade Empírica em Ferramentas Populares de DPI e Detecção de Intrusão - Alvarenga, Bruno Carvalho; Grégio, André Ricardo Abed (Anais do Simpósio Brasileiro de Cibersegurança (SBSeg); 2026: Anais do XXVI Simpósio Brasileiro de Cibersegurança, 2026)
Opções carregadas no pseudo-registro OPT do EDNS0 constituem vetor adversarial para canais encobertos em tráfego DNS negligenciado pela literatura defensiva. A avaliação empírica de Suricata, Snort e Zeek em configuração padrão resulta em zero detecções contra seis técnicas adversariais (T1 a T6). A inspeção do código-fonte identifica a causa como lacuna estrutural do parser no Zeek 8.1.x. Endereçamos a lacuna com um plugin Spicy que expõe eventos por opção e por pseudo-RR OPT, e derivamos cinco heurísticas com precisão e revocação de 1,00. A portabilidade para Suricata revela um teto: a rule-language pura alcança precisão equivalente mediante ancoragem semântica, mas não reproduz revocação em enumeração multi-opção nem em heurísticas com estado por origem.